Kas yra duomenų valdytojas ir duomenų tvarkytojas?

Atsakymas

Duomenų valdytojas nustato duomenų tvarkymo tikslus ir priemones. Taigi, jeigu jūsų įmonė ar organizacija sprendžia, kodėl ir kaip bus tvarkomi asmens duomenys, ji yra duomenų valdytojas. Darbuotojai, kurie jūsų organizacijoje tvarko asmens duomenis, tai daro, kad būtų įvykdytos jūsų, kaip duomenų valdytojo, užduotys.

Jūsų įmonė ar organizacija yra bendras duomenų valdytojas, jeigu duomenų tvarkymo tikslus ir priemones ji nustato kartu su kita organizacija ar organizacijomis. Bendri duomenų valdytojai turi sudaryti susitarimą, kuriame išdėstomos jų prievolės laikytis BDAR taisyklių. Asmenims, kurių duomenys tvarkomi, turi būti sudaryta galimybė susipažinti su esminėmis šio susitarimo nuostatomis.

Duomenų tvarkytojas tvarko asmens duomenis tik duomenų valdytojo vardu. Paprastai tai yra įmonei nepriklausanti trečioji šalis, tačiau įmonių grupės atveju viena įmonė gali būti kitos įmonės duomenų tvarkytoja.

Duomenų tvarkytojo pareigos duomenų valdytojo atžvilgiu turi būti nustatytos sutartimi ar kitu teisės aktu. Pavyzdžiui, sutartyje turi būti nurodyta, kas nutiks asmens duomenims pasibaigus sutarties galiojimui. Duomenų tvarkytojai dažnai pasiūlo IT sprendimų, įskaitant debesijos duomenų saugyklas. Duomenų tvarkytojas gali perleisti dalį savo užduoties kitam duomenų tvarkytojui, sudarydamas su juo subrangos sutartį, arba paskirti bendrą duomenų tvarkytoją, jeigu iš anksto gavo rašytinį duomenų valdytojo sutikimą.

Kartais subjektas gali būti duomenų valdytojas, duomenų tvarkytojas arba tuo pačiu metu ir duomenų valdytojas, ir duomenų tvarkytojas.

Pavyzdžiai

Duomenų valdytojas ir duomenų tvarkytojas

Alaus darykloje dirba daug žmonių. Ji pasirašo sutartį su apskaitos įmone, kad ši mokėtų jiems darbo užmokestį. Alaus darykla praneša apskaitos įmonei, kai reikia išmokėti darbo užmokestį, kai koks nors darbuotojas išeina iš darbo arba padidinamas darbo užmokestis. Ji pateikia visus algalapiams ir mokėjimams reikalingus duomenis. Apskaitos įmonė suteikia IT sistemą ir saugo darbuotojų duomenis. Alaus darykla yra duomenų valdytojas, o apskaitos įmonė – duomenų tvarkytojas.

Bendri duomenų valdytojai

Jūsų įmonė ar organizacija per internetinę platformą siūlo vaikų priežiūros paslaugas. Ji taip pat turi sudariusi sutartį su kita įmone, todėl gali pasiūlyti ir kitų paslaugų. Tokios paslaugos apima galimybę tėvams ne tik pasirinkti auklę, bet ir išsinuomoti žaidimų ar DVD filmų, kuriuos atsineša auklė. Abi įmonės atsako už interneto svetainės techninę pusę. Šiuo atveju jos nusprendė naudoti platformą abiem tikslais (vaikų priežiūros paslaugų teikimui ir DVD filmų / žaidimų nuomai), todėl labai dažnai dalijasi klientų pavardėmis. Taigi, abi įmonės yra bendri duomenų valdytojai, nes jos ne tik sutinka siūlyti „bendras paslaugas“, bet ir kuria bei naudoja bendrą platformą.

Nuorodos

• Nuorodos: BDAR 4 straipsnio 7 ir 8 dalys, 24, 26, 28 ir 29 straipsniai; 74, 79 ir 81 konstatuojamosios dalys
• 29 straipsnio darbo grupės nuomonė 1/2010 dėl sąvokų „duomenų valdytojas“ ir „duomenų tvarkytojas“ (WP 169)

Examples

Controller and processor

A brewery has many employees. It signs a contract with a payroll company to pay the wages. The brewery tells the payroll company when the wages should be paid, when an employee leaves or has a pay rise, and provides all other details for the salary slip and payment. The payroll company provides the IT system and stores the employees’ data. The brewery is the data controller and the payroll company is the data processor.

Joint controllers

Your company/organisation offers babysitting services via an online platform. At the same time your company/organisation has a contract with another company allowing you to offer value-added services. Those services include the possibility for parents not only to choose the babysitter but also to rent games and DVDs that the babysitter can bring. Both companies are involved in the technical set-up of the website. In that case, the two companies have decided to use the platform for both purposes (babysitting services and DVD/games rental) and will very often share clients’ names. Therefore, the two companies are joint controllers because not only do they agree to offer the possibility of ‘combined services’ but they also design and use a common platform.