Duomenų dalijimasis yra šiuolaikinės komercijos gyvybės šaltinis. Nesvarbu, ar samdote naują debesijos paslaugų teikėją, ar bendradarbiaujate su rinkodaros agentūra, ar integruojate trečiosios šalies žmogiškųjų išteklių sistemą, asmens duomenys nuolat juda tarp organizacijų. Tačiau štai nemaloni tiesa: dauguma įmonių nepakankamai įvertina teisinį minų lauką, kurį duomenų dalijimasis reiškia pagal Bendrąjį duomenų apsaugos reglamentą (BDAR).
Rizika reali. Baudos gali siekti 20 mln. eurų arba 4 % pasaulinės metinės apyvartos – atsižvelgiant į tai, kuri suma didesnė. Be finansinių baudų, rizikuojate pakenkti reputacijai, sulaukti reguliavimo institucijų patikrinimų ir nukentėjusių asmenų civilinės atsakomybės ieškinių. Nyderlandų duomenų apsaugos tarnyba (Autoriteit Persoonsgegevens arba AP) aiškiai pareiškė: nežinojimas nėra gynyba.
Šiame straipsnyje apžvelgiamos septynios svarbiausios BDAR rizikos, kylančios bendrinant asmens duomenis. Kiekviena rizika pagrįsta konkrečiomis BDAR nuostatomis, iliustruota realiomis pasekmėmis ir pateikiama praktinių gairių, padėsiančių jums laikytis reikalavimų. Nesvarbu, ar esate verslo savininkas, atitikties pareigūnas, ar teisininkas, dirbantis Nyderlanduose, labai svarbu suprasti šiuos pavojus.
1. Duomenų bendrinimas neturint galiojančio teisinio pagrindo (BDAR 6 straipsnis)
Rizika: Negalima dalytis asmens duomenimis vien dėl to, kad tai patogu ar naudinga. Kiekvienu duomenų dalijimosi atveju reikalingas galiojantis teisinis pagrindas pagal BDAR 6 straipsnį.
Kodėl įmonės klysta: Daugelis organizacijų mano, kad pakanka komercinės priežasties dalytis duomenimis. Taip nėra. BDAR numato šešis teisėtus duomenų tvarkymo pagrindus: sutikimą, sutartinę būtinybę, teisinę prievolę, gyvybinius interesus, viešąją užduotį ir teisėtus interesus. Kiekvienas iš jų turi konkrečius reikalavimus ir apribojimus.
Pavyzdžiui, „teisėti interesai“ dažnai naudojami siekiant pateisinti duomenų dalijimąsi su partneriais ar paslaugų teikėjais. Tačiau šiam pagrindui reikia atidžiai atlikti pusiausvyros testą: jūsų interesai neturi viršyti asmenų, kurių duomenis tvarkote, teisių ir laisvių. Ir jūs turite dokumentuoti šį vertinimą.
Teisinis pagrindas: BDAR 6 straipsnyje pateikiamas išsamus teisėtų pagrindų sąrašas. BDAR 5(1)(a) straipsnyje įpareigojama, kad visas tvarkymas būtų teisėtas, sąžiningas ir skaidrus.
Realios pasekmės: AP skyrė baudas organizacijoms, kurios be tinkamo teisinio pagrindo dalijosi klientų duomenimis su trečiosiomis šalimis rinkodaros tikslais. Net jei duomenys buvo nuasmeninti arba apibendrinti, jei įmanoma pakartotinai identifikuoti, jie išlieka asmens duomenimis ir jiems reikalingas teisėtas pagrindas.
Praktinė išvada: prieš bendrindami bet kokius asmens duomenis, nustatykite ir dokumentuokite, koks teisinis pagrindas taikomas. Jei remiatės teisėtais interesais, atlikite ir užregistruokite teisėtų interesų vertinimą (LIA). Jei naudojate sutikimą, įsitikinkite, kad jis duotas laisva valia, konkretus, informuotas ir nedviprasmiškas.
2. Painiava dėl vaidmenų: duomenų valdytojas ir tvarkytojas (BDAR 4 straipsnio 7–8 dalys)
Rizika: BDAR skiria duomenų valdytojus (kurie nustato tvarkymo tikslus ir priemones) ir tvarkytojus (kurie tvarko duomenis duomenų valdytojo vardu). Neteisingai nustatant savo arba savo partnerio vaidmenį, atsiranda rimtų atitikties spragų.
Kodėl įmonės klysta: Praktiškai vaidmenys gali būti dviprasmiški. Jei dalijatės duomenimis su SaaS teikėju, ar jis yra duomenų valdytojas, ar tvarkytojas? O kas, jei jis naudoja jūsų duomenis savo algoritmams tobulinti? Daugelis įmonių kiekvieną tiekėją vadina „duomenų tvarkytoju“, tinkamai neišanalizavusios šių santykių.
Neteisingas klasifikavimas yra svarbus, nes duomenų valdytojai ir tvarkytojai turi skirtingas prievoles. Duomenų valdytojai privalo užtikrinti, kad tvarkytojai suteiktų pakankamas atitikties garantijas (BDAR 28 straipsnis). Bendri duomenų valdytojai privalo susitarti dėl savo atitinkamos atsakomybės (BDAR 26 straipsnis). Jei suklysite, galite būti patraukti atsakomybėn už pažeidimus, apie kuriuos net nežinojote.
Teisinis pagrindas: BDAR 4 straipsnio 7 ir 8 dalyse apibrėžiami „duomenų valdytojas“ ir „duomenų tvarkytojas“. BDAR 24 straipsnyje apibrėžiami duomenų valdytojo atskaitomybės įsipareigojimai.
Pasekmė realiame pasaulyje: Europos Teisingumo Teismas byloje „Fashion ID“ (C-40/17) nusprendė, kad net dalinis tikslų nustatymas gali paversti jus bendru duomenų valdytoju. Tai reiškia, kad galite būti bendrai atsakingi už BDAR pažeidimus, net jei juos sukėlė kita šalis.
Praktinė išvada: suplanuokite duomenų srautus ir nustatykite, kas nusprendžia, kodėl ir kaip duomenys tvarkomi. Dokumentuokite tai raštu ir užtikrinkite, kad kiekviena šalis suprastų savo vaidmenį ir įsipareigojimus.
3. Trūkstama arba nepakankama duomenų tvarkymo sutartis (BDAR 28 straipsnis)
Rizika: Jei samdote duomenų tvarkytoją tvarkyti asmens duomenis jūsų vardu, jūs privalote teisiškai sudaryti rašytinę duomenų tvarkymo sutartį (DPS). Jokių išimčių.
Kodėl įmonės klysta: kyla pagunda praleisti dokumentus, ypač su patikimais ar ilgalaikiais partneriais. Tačiau be reikalavimus atitinkančios duomenų apsaugos sutarties, jūs pažeidžiate BDAR 28 straipsnį nuo pirmos dienos – net jei realios žalos ir nepadaroma.
Tinkamame duomenų apsaugos susitarime (DPA) turi būti numatytos konkrečios privalomos nuostatos: tvarkymo dalykas ir trukmė, tvarkymo pobūdis ir tikslas, asmens duomenų tipas, duomenų subjektų kategorijos ir duomenų valdytojo pareigos bei teisės. Jame taip pat turi būti aptartas subtvarkymas, duomenų saugumas ir pranešimas apie pažeidimus.
Teisinis pagrindas: BDAR 28(3) straipsnyje išvardytas privalomas duomenų tvarkymo sutarties turinys. BDAR 28(4) straipsnyje reikalaujama aiškaus subtvarkytojų leidimo.
Pasekmė realiame pasaulyje: AP skyrė sankcijas organizacijoms už tai, kad jos pasitelkia tvarkytojus be tinkamų duomenų apsaugos institucijų. Net jei pats tvarkytojas laikosi reikalavimų, duomenų valdytojas vis tiek gali būti nubaustas bauda už tai, kad nesudarė tinkamo susitarimo.
Praktinė išvada: naudokite standartizuotą duomenų tvarkymo sutarties (DPA) šabloną, apimantį visus 28(3) straipsnio reikalavimus. Peržiūrėkite esamus susitarimus, kad įsitikintumėte, jog jie atitinka BDAR reikalavimus. Nepriimkite jokių naujų tvarkytojų be pasirašytos duomenų tvarkymo sutarties.
4. Neteisėtas perdavimas į trečiąsias šalis, nepriklausančias EEE (BDAR 44–49 straipsniai ir Schrems II)
Rizika: Asmens duomenų perdavimas už Europos ekonominės erdvės (EEE) ribų yra griežtai ribojamas. Tai galite daryti tik tuo atveju, jei paskirties šalis užtikrina tinkamą apsaugos lygį arba jei įgyvendinate tinkamas apsaugos priemones.
Kodėl įmonės klysta: Daugelis įmonių naudojasi debesijos paslaugomis, mokėjimų apdorojimo įmonėmis ar analizės įrankiais, esančiais JAV ar Azijoje, nesuvokdamos, kad jos taiko tarptautinio perdavimo taisykles. Net jei jūsų sutartis sudaryta su ES subjektu, jei duomenys saugomi arba prie jų prisijungiama už EEE ribų, taikomos perdavimo taisyklės.
Sprendimas Schrems II byloje (C-311/18) panaikino ES ir JAV privatumo skydą ir sustiprino mintį, kad vien standartinių sutarčių sąlygų (SSS) nepakanka. Taip pat turite atlikti duomenų perdavimo poveikio vertinimą (TIA), kad įvertintumėte, ar paskirties šalies įstatymai nekenkia SSS garantuojamai apsaugai.
Teisinis pagrindas: BDAR 44–49 straipsniai reglamentuoja tarptautinius duomenų perdavimus. BDAR V skyriuje reikalaujama priimti sprendimus dėl tinkamumo (45 straipsnis) arba priimti tinkamas apsaugos priemones (46 straipsnis), pvz., standartines sąlygų sąlygas.
Realios pasekmės: AP gali įsakyti jums sustabdyti arba uždrausti duomenų perdavimą į trečiąsias šalis, jei nėra įdiegtos tinkamos apsaugos priemonės. Įmonės susidūrė su vykdymo užtikrinimo veiksmais ir žala reputacijai už tai, kad perdavė duomenis į JAV neatlikus TIA po Schrems II bylos.
Praktinė išvada: Nustatykite visus duomenų srautuose esančius duomenų perdavimus į trečiąsias šalis. Patikrinkite, ar yra priimtas sprendimas dėl tinkamumo. Jei ne, įdiekite standartines sąlygas ir atlikite poveikio duomenų apsaugai vertinimą. Prireikus dokumentuokite papildomas priemones (pvz., šifravimą, pseudonimizavimą).
5. Neatliktas duomenų apsaugos poveikio vertinimas (BDAR 35 straipsnis)
Rizika: Duomenų apsaugos poveikio vertinimas (DPAV) yra privalomas, kai duomenų dalijimasis gali sukelti didelę riziką asmenų teisėms ir laisvėms. Tai apima didelio masto specialių kategorijų duomenų tvarkymą, sistemingą stebėseną arba naujų technologijų naudojimą.
Kodėl įmonės klysta: daugelis organizacijų DPAV vertina kaip neprivalomus arba aktualius tik „dideliems“ projektams. Iš tikrųjų DPAV reikalavimas gali atsirasti, kai sveikatos duomenys bendrinami su trečiosios šalies analizės platforma, diegiami dirbtiniu intelektu pagrįsti profiliavimo įrankiai arba derinami duomenų rinkiniai iš kelių šaltinių.
DPAV nėra tik varnelių žymėjimas. Tai struktūrizuotas procesas, skirtas nustatyti rizikas, įvertinti jų rimtumą ir nustatyti priemones joms sušvelninti. Jei likusi rizika išlieka didelė, prieš tęsdami turite pasikonsultuoti su AP.
Teisinis pagrindas: BDAR 35 straipsnis įpareigoja atlikti poveikio duomenų apsaugai vertinimą (DPAV) didelės rizikos tvarkymo atvejais. AP paskelbė gaires, kada reikalingas poveikio duomenų apsaugai vertinimas.
Realios pasekmės: Neatliktas poveikio duomenų apsaugai vertinimas (DPAV), kai to reikalaujama, pats savaime yra BDAR pažeidimas. AP skyrė baudas organizacijoms už tai, kad jos dalijosi didelės rizikos duomenimis neatlikusios poveikio duomenų apsaugai vertinimo, net jei faktinio duomenų saugumo pažeidimo nebuvo.
Praktinė išvada: patikrinkite visą duomenų bendrinimo veiklą, ar nėra DPAV iniciatorių. Kilus abejonių, atlikite tokį vertinimą. Įtraukite savo duomenų apsaugos pareigūną (DAP) ir kruopščiai dokumentuokite vertinimo procesą.
6. Nepakankama informacija duomenų subjektams (BDAR 13 ir 14 straipsniai)
Rizika: Skaidrumas yra BDAR kertinis akmuo. Rinkdami ar dalydamiesi asmens duomenimis, privalote informuoti duomenų subjektus apie tai, kas gaus jų duomenis, kokiu tikslu ir kokiu teisiniu pagrindu.
Kodėl įmonės klysta: Privatumo pranešimai dažnai būna neaiškūs arba pasenę. Tokios frazės kaip „mes galime bendrinti jūsų duomenis su patikimais partneriais“ netinka. Turite nurodyti gavėjų kategorijas (pvz., „debesų kompiuterijos paslaugų teikėjai“, „rinkodaros agentūros“) ir, jei reikia, jas įvardyti.
Kai duomenys gaunami netiesiogiai, pavyzdžiui, iš duomenų tarpininko ar kito duomenų valdytojo, BDAR 14 straipsnis nustato papildomus informavimo įpareigojimus, įskaitant duomenų šaltinio nurodymą.
Teisinis pagrindas: BDAR 13 ir 14 straipsniuose išvardyta informacija, kuri turi būti pateikta duomenų subjektams. BDAR 5(1)(a) straipsnis reikalauja skaidrumo vykdant visą duomenų tvarkymo veiklą.
Pasekmė realiame pasaulyje: AP skyrė sankcijas įmonėms už tai, kad jos neinformavo asmenų apie tai, kad jų duomenys buvo bendrinami su trečiosiomis šalimis. Net jei pats bendrinimas buvo teisėtas, nepakankamas skaidrumas yra atskiras pažeidimas.
Praktinė išvada: peržiūrėkite ir atnaujinkite savo privatumo pranešimus, kad aiškiai aprašytumėte duomenų bendrinimo praktiką. Užtikrinkite, kad pranešimai būtų lengvai prieinami ir parašyti aiškia kalba. Bendrindami duomenis su naujais partneriais, atnaujinkite savo pranešimus prieš pradėdami bendrinti.
7. Pseudonimų suteikimas kaip klaidingas saugumo jausmas
Rizika: Pseudonimizavimas – tiesioginių identifikatorių pakeitimas kodais arba žetonais – yra skatinamas pagal BDAR kaip saugumo priemonė. Tačiau jis nepadaro duomenų nuasmenintais. Jei duomenis vis dar galima susieti su asmeniu, jie lieka asmens duomenimis ir jiems taikoma visa BDAR taikymo sritis.
Kodėl įmonės klysta: Įmonės dažnai mano, kad pseudonimizuotus duomenis „saugu“ bendrinti be apribojimų. Praktiškai pseudonimizavimas tik sumažina riziką, bet jos nepašalina. Jei pseudonimizuotais duomenimis dalijatės su partneriu, kuris turi prieigą prie rakto ar kitų duomenų rinkinių, leidžiančių pakartotinai identifikuoti, vis tiek tvarkote asmens duomenis.
Teisinis pagrindas: Pseudonimų suteikimo apibrėžimas pateiktas BDAR 4(5) straipsnyje. BDAR 26 konstatuojamojoje dalyje paaiškinama, kad pseudonimizuoti duomenys išlieka asmens duomenimis, nebent jie būtų iš tikrųjų anonimizuoti (t. y. pakartotinai nustatyti tapatybę nebeįmanoma jokiomis pagrįstomis priemonėmis).
Realios pasekmės: AP gairėse paaiškino, kad pseudonimizavimas nėra kortelė „išeiti iš kalėjimo“. Jei pakartotinis identifikavimas yra įmanomas, taikomi visi BDAR įsipareigojimai, įskaitant teisinio pagrindo turėjimą, poveikio duomenų apsaugai vertinimų atlikimą ir tinkamo saugumo užtikrinimą.
Praktinė išvada: pseudoniminius duomenis laikykite asmens duomenimis, nebent jums buvo atliktas griežtas ekspertų patvirtintas anonimizavimo procesas. Dokumentuokite taikomas technines ir organizacines priemones, skirtas užkirsti kelią pakartotiniam identifikavimui.
Dažnai užduodami klausimai
Kada leidžiama dalytis duomenimis pagal BDAR?
Duomenų bendrinimas yra teisėtas tik tuo atveju, jei turite galiojantį teisinį pagrindą pagal BDAR 6 straipsnį. Šeši teisiniai pagrindai yra šie: sutikimas, sutartinė būtinybė, teisinė prievolė, gyvybiniai interesai, viešoji užduotis ir teisėti interesai. Taip pat turite laikytis teisėtumo, sąžiningumo, skaidrumo, tikslo ribojimo, duomenų kiekio mažinimo, tikslumo, saugojimo apribojimo, vientisumo ir konfidencialumo principų (BDAR 5 straipsnis). Praktiškai tai reiškia, kad turite aiškiai dokumentuoti, kodėl dalijatės duomenimis, užtikrinti, kad tikslas atitiktų tai, kodėl juos iš pradžių rinkote, ir informuoti duomenų subjektus apie bendrinimą.
Kuo skiriasi valdiklis ir procesorius?
Duomenų valdytojas nustato asmens duomenų tvarkymo tikslus ir priemones. Tvarkytojas tvarko duomenis duomenų valdytojo vardu pagal konkrečius nurodymus. Šis skirtumas yra svarbus, nes duomenų valdytojai pirmiausia yra atsakingi už BDAR laikymąsi, o tvarkytojai turi labiau ribotus įsipareigojimus (daugiausia užtikrinant saugumą ir konfidencialumą). Jei dalijatės duomenimis su tiekėju, kuris juos tvarko pagal jūsų nurodymus, pavyzdžiui, darbo užmokesčio paslaugų teikėju arba debesies saugyklos paslauga, jis paprastai yra tvarkytojas. Jei jis taip pat nusprendžia, kaip naudoti duomenis savo tikslais, jis gali būti (bendras) duomenų valdytojas. Neteisingai nustatant vaidmenis gali atsirasti atskaitomybės ir bendros atsakomybės už pažeidimus spragų.
Kada duomenų tvarkymo sutartis (DPA) yra privaloma?
Duomenų apsaugos sutartis (DPA) yra privaloma, kai samdote duomenų tvarkytoją tvarkyti asmens duomenis jūsų vardu (BDAR 28 straipsnis). Tai taikoma nepriklausomai nuo jūsų organizacijos dydžio ar tvarkomų duomenų kiekio. DPA turi būti sudaryta raštu ir apimti konkrečias privalomas sąlygas, pvz., tvarkymo dalyką ir trukmę, pobūdį ir tikslą, duomenų rūšis ir duomenų subjektų kategorijas, taip pat abiejų šalių įsipareigojimus dėl saugumo, pranešimų apie pažeidimus ir subtvarkymo. Nesant reikalavimus atitinkančios DPA, jūs pažeidžiate duomenis nuo to momento, kai duomenų tvarkytojas pradeda tvarkyti duomenis, net jei nepadaroma jokios žalos.
Ar galiu bendrinti klientų duomenis su šalimi už ES ribų?
Taip, bet tik tuo atveju, jei laikomasi griežtų sąlygų. Pagal BDAR 44–49 straipsnius galite perduoti duomenis į trečiąją šalį, jei: (a) Europos Komisija yra priėmusi sprendimą dėl tinkamumo tai šaliai arba (b) įdiegėte tinkamas apsaugos priemones, pvz., standartines sutarčių sąlygas (SCS). Po sprendimo Schrems II byloje taip pat turite atlikti perdavimo poveikio vertinimą (TIA), kad įvertintumėte, ar paskirties šalies įstatymai (pvz., vyriausybės stebėjimas) nepakenkia SSS garantuojamai apsaugai. Jei rizika išlieka, turite įgyvendinti papildomas priemones, pvz., šifravimą ar duomenų kiekio mažinimą. Perdavimas be tinkamų apsaugos priemonių gali lemti AP vykdymo veiksmus, įskaitant perdavimo sustabdymą.
Kada duomenų dalijimuisi reikalingas poveikio duomenų apsaugai vertinimas (DPAV)?
Pagal BDAR 35 straipsnį DPAV yra privalomas, kai tvarkymas gali kelti didelę riziką asmenų teisėms ir laisvėms. Tai apima: didelio masto specialių kategorijų duomenų (pvz., sveikatos, biometrinių, genetinių duomenų) tvarkymą, sistemingą viešai prieinamų sričių stebėseną, automatizuotą sprendimų priėmimą, turintį teisinį ar panašų reikšmingą poveikį, ir naujų technologijų naudojimą. Dalijant duomenis, DPAV dažnai reikalaujama, jei jungiate duomenų rinkinius, dalijatės neskelbtina informacija arba naudojate duomenis profiliavimui ar dirbtinio intelekto pagrįstai analizei. AP paskelbė tvarkymo operacijų, kurioms reikalingas DPAV, sąrašą. Kilus abejonių, atlikite jį – geriau apsidrausti nei gailėtis.
Kokios baudos gali būti skiriamos įmonėms už BDAR pažeidimus?
BDAR numato dviejų lygių baudas. Žemesnis lygis – iki 10 mln. EUR arba 2 % pasaulinės metinės apyvartos – taikomas už tokius pažeidimus kaip tinkamų saugumo priemonių neįgyvendinimas arba poveikio duomenų apsaugai vertinimo neatlikimas, kai to reikia. Didesnis lygis – iki 20 mln. EUR arba 4 % pasaulinės metinės apyvartos – taikomas už sunkesnius pažeidimus, įskaitant teisėto pagrindo tvarkyti duomenis nebuvimą, neteisėtą tarptautinį duomenų perdavimą arba duomenų subjektų teisių pažeidimą. AP nustato baudos dydį, remdamasi tokiais veiksniais kaip pažeidimo pobūdis ir sunkumas, ar jis buvo tyčinis, ar dėl aplaidumo, nukentėjusių asmenų skaičius ir bet kokie imti švelninamieji veiksmai. Naujausi vykdymo užtikrinimo veiksmai rodo, kad AP yra pasirengusi skirti dideles baudas, ypač už sisteminius ar tyčinius pažeidimus.
Ar pseudoniminiais duomenimis visada saugu dalytis?
Ne. Pseudonimų suteikimas sumažina riziką, bet jos nepašalina. Pagal BDAR 4(5) straipsnį pseudonimų suteikimas reiškia tiesioginių identifikatorių (pvz., vardų) pakeitimą kodais arba pseudonimais. Tačiau jei duomenis vis dar galima susieti su asmeniu, pavyzdžiui, naudojant papildomą jūsų ar gavėjo turimą informaciją, jie lieka asmens duomenimis ir jiems visapusiškai taikomas BDAR. Tai reiškia, kad jums vis tiek reikia teisinio pagrindo, turite informuoti duomenų subjektus ir užtikrinti tinkamą saugumą. Tik tikras anonimizavimas, kai pakartotinis tapatybės nustatymas nebeįmanomas jokiomis pagrįstomis priemonėmis, pašalina duomenis iš BDAR taikymo srities. Praktiškai pasiekti tikrą anonimizavimą yra sunku ir tam reikalingas ekspertų patvirtinimas.
Ką turėčiau daryti, jei mano įmonėje įvyko duomenų saugumo pažeidimas dėl neteisėto duomenų bendrinimo?
Jei aptinkate asmens duomenų saugumo pažeidimą, įskaitant ir tokį, kurį sukėlė neteisėtas duomenų bendrinimas, turite 72 valandas pranešti apie tai AP pagal BDAR 33 straipsnį (nebent pažeidimas greičiausiai nekels pavojaus asmenų teisėms ir laisvėms). Taip pat privalote nedelsdami pranešti paveiktiems asmenims, jei pažeidimas gali sukelti jiems didelę riziką (BDAR 34 straipsnis). Neatidėliotini veiksmai apima: pažeidimo sustabdymą, jo masto ir poveikio įvertinimą, įvykio ir jūsų veiksmų dokumentavimą bei AP pranešimą per jų internetinį portalą. Nepranešus gali būti skirta atskira bauda. AP įvertins, ar reikia imtis vykdymo veiksmų, atsižvelgdamas į pažeidimo sunkumą ir jūsų atsaką.
Apsaugokite savo verslą – gaukite ekspertų teisinę pagalbą
Duomenų dalijimasis yra neišvengiamas, tačiau BDAR pažeidimai nebūtinai turi būti neišvengiami. Septynios aukščiau aprašytos rizikos nėra teorinės – jos paimtos iš realių vykdymo bylų, teismo sprendimų ir reguliavimo gairių. Kiekviena iš jų gali baigtis baudomis, atsakomybės ieškiniais ir žala reputacijai.
Geros naujienos? Turėdami tinkamą teisinę sistemą, aiškią dokumentaciją ir aktyvias atitikties priemones, galite užtikrintai ir teisėtai dalytis duomenimis. Tačiau norint tai padaryti teisingai, reikia daugiau nei bendro pobūdžio patarimų – reikia individualiai pritaikytos teisinės pagalbos, kuri suprastų jūsų verslą, duomenų srautus ir konkrečias rizikas, su kuriomis susiduriate.
Nelaukite, kol AP pasibels. Jei nesate tikri, ar jūsų duomenų bendrinimo praktika atitinka BDAR reikalavimus, arba jei jums reikia pagalbos rengiant duomenų bendrinimo susitarimus (DPA), atliekant poveikio duomenų apsaugai vertinimus (DPAV) ar valdant tarptautinius duomenų perdavimus, susisiekite su specializuotu privatumo teisės specialistu. Jūsų verslas ir jūsų klientai nusipelno nieko mažiau.
