Duomenų tvarkymo veiklos įrašai (angl. records of processing activities, ROPA) – tai dokumentas, kuriame organizacija surašo visas savo asmens duomenų tvarkymo operacijas: kokius duomenis renka, kokiais tikslais, kokiu teisiniu pagrindu, kam perduoda ir kiek laiko saugo. Pagal Bendrojo duomenų apsaugos reglamento (BDAR) 30 straipsnį šį įrašą privalo tvarkyti kiekvienas duomenų valdytojas ir duomenų tvarkytojas, turintis 250 ar daugiau darbuotojų, taip pat – nepriklausomai nuo darbuotojų skaičiaus – bet kuri organizacija, kurios tvarkymas kelia riziką, nėra atsitiktinis arba apima specialių kategorijų duomenis. Praktiškai išimtis beveik neveikia, todėl įrašą turėti privalo dauguma Lietuvos įmonių ir įstaigų.
Šis registras yra atskaitomybės principo (BDAR 5 str. 2 d.) pagrindas: būtent jo pirmiausia paprašo Valstybinė duomenų apsaugos inspekcija (VDAI) per patikrinimą. Nesant įrašų arba jiems esant nepilniems, pažeidimas fiksuojamas savarankiškai, net jei jokio incidento nebuvo. Šiame straipsnyje paaiškinu, kokie laukai privalomi, kaip įrašą sudaryti ir kokių klaidų vengti. Praktinį šabloną rasite atskirame duomenų tvarkymo veiklos įrašų šablone.
Kam privalomi duomenų tvarkymo veiklos įrašai
BDAR 30 straipsnis nustato dvi įrašų rūšis. Duomenų valdytojo įrašas (30 str. 1 d.) apima tvarkymą, kurį organizacija atlieka savo tikslais. Duomenų tvarkytojo įrašas (30 str. 2 d.) apima tvarkymą, kurį organizacija atlieka kito subjekto vardu – pavyzdžiui, IT paslaugų teikėjas, buhalterinę apskaitą tvarkanti įmonė ar debesijos platforma.
Formaliai 30 str. 5 d. numato išimtį organizacijoms iki 250 darbuotojų, tačiau ji netaikoma, jeigu tvarkymas: (a) gali kelti riziką duomenų subjektų teisėms ir laisvėms, (b) nėra atsitiktinis arba © apima specialių kategorijų duomenis (BDAR 9 str.) ar duomenis apie apkaltinamuosius nuosprendžius (10 str.). Kadangi darbo užmokesčio, klientų ir rinkodaros duomenų tvarkymas nėra „atsitiktinis", praktiškai net maža įmonė privalo turėti įrašą. VDAI savo rekomendacijose šią išimtį aiškina siaurai.
Kuo skiriasi valdytojo ir tvarkytojo įrašai
Valdytojo įraše nurodomi tvarkymo tikslai, duomenų subjektų ir duomenų kategorijos, gavėjai, perdavimai į trečiąsias valstybes ir saugojimo terminai. Tvarkytojo įrašas siauresnis: jame fiksuojami valdytojai, kurių vardu tvarkoma, tvarkymo kategorijos ir saugumo priemonės. Jeigu jūsų organizacija veikia abiem vaidmenimis (pavyzdžiui, SaaS įmonė tvarko savo darbuotojų duomenis kaip valdytojas ir klientų duomenis kaip tvarkytojas), reikalingi abu įrašai. Vaidmenų atskyrimą svarbu atlikti prieš sudarant duomenų tvarkymo sutartį (28 str.).
Kokie laukai privalomi pagal 30 straipsnį
Valdytojo įraše (30 str. 1 d.) turi būti:
- Valdytojo ir, jei paskirtas, duomenų apsaugos pareigūno kontaktiniai duomenys – pavadinimas, adresas, atsakingo asmens duomenys.
- Tvarkymo tikslai – pavyzdžiui, personalo administravimas, klientų aptarnavimas, tiesioginė rinkodara.
- Duomenų subjektų kategorijos – darbuotojai, klientai, tiekėjai, kandidatai.
- Asmens duomenų kategorijos – tapatybės, kontaktiniai, finansiniai, sveikatos duomenys.
- Gavėjų kategorijos – įskaitant tvarkytojus ir gavėjus trečiosiose valstybėse.
- Perdavimai į trečiąsias valstybes ir taikomos apsaugos priemonės (BDAR 46 str.).
- Numatomi saugojimo terminai pagal saugojimo ribojimo principą.
- Bendras techninių ir organizacinių saugumo priemonių aprašymas (BDAR 32 str.).
Įrašas turi būti rašytinis, įskaitant elektroninę formą (30 str. 3 d.), ir pateikiamas VDAI pareikalavus (30 str. 4 d.). Nors 30 straipsnis to tiesiogiai nereikalauja, praktiškai naudinga kiekvienai operacijai nurodyti ir teisinį pagrindą (BDAR 6 str.), nes be jo įrašas neatlaiko atskaitomybės patikros.
Kodėl teisinis pagrindas turėtų būti įraše
VDAI ir Europos duomenų apsaugos valdyba pabrėžia, kad įrašas yra pirmoji atskaitomybės priemonė. Kai organizacija kiekvienai operacijai turi nurodytą teisinį pagrindą – sutartį, teisinę prievolę, sutikimą ar teisėtą interesą – ji gali įrodyti, kad tvarko teisėtai. Praktiškai tai leidžia greitai atsakyti ir į duomenų subjektų prašymus, pavyzdžiui, dėl teisės susipažinti, nes matote, kur konkretaus asmens duomenys tvarkomi.
Kaip parengti registrą praktiškai
Registrą patariu sudaryti keliais etapais. Pirma, atlikite duomenų srautų inventorizaciją – apklauskite kiekvieną padalinį (personalo, pardavimų, IT, buhalterijos), kokius duomenis jis renka ir kokiomis sistemomis naudojasi. Antra, sugrupuokite operacijas pagal tikslą, o ne pagal sistemą: viena „tiesioginės rinkodaros" eilutė gali apimti kelias priemones. Trečia, kiekvienai eilutei priskirkite teisinį pagrindą ir saugojimo terminą. Ketvirta, susiekite tvarkymo operacijas su duomenų tvarkymo sutartimis ir, kur reikia, su poveikio duomenų apsaugai vertinimu.
Įraše aprašytas operacijas su konkrečiomis programomis ir perdavimais padeda susieti informacinių sistemų žemėlapio rengimo eiga.
Kaip įrašai susiję su VDAI patikra
Lietuvos praktika rodo, kad įrašų kokybė tiesiogiai lemia patikros baigtį. 2019 m. VDAI skyrė 61 500 eurų baudą UAB „MisterTango" – be kita ko, už duomenų kiekio mažinimo principo pažeidimą: bendrovė rinko daugiau duomenų, nei buvo būtina mokėjimams vykdyti. Tvarkingas įrašas, kuriame kiekvienai operacijai nurodytas tikslas ir minimalus duomenų rinkinys, padeda tokių pažeidimų išvengti. Įrašas taip pat yra atspirties taškas rengiant duomenų pažeidimų valdymo procedūrą, nes leidžia greitai įvertinti, kokie duomenys galėjo būti paveikti.
Dažnos klaidos
- Registro sutapatinimas su sistemų sąrašu. Įrašas grupuojamas pagal tvarkymo tikslą, ne pagal IT priemonę. Viena sistema gali aptarnauti kelis tikslus, o vienas tikslas – kelias sistemas.
- Saugojimo terminų nenurodymas. Frazė „saugoma tiek, kiek reikia" netenkina 30 str. 1 d. f punkto. Nurodykite konkretų terminą arba jo nustatymo kriterijų.
- Tvarkytojų neįtraukimas. Kiekvienas gavėjas, tvarkantis duomenis jūsų vardu, turi būti įraše ir turėti sutartį pagal 28 str.
- Registro „užšaldymas". Kartą parengtas ir nebeatnaujinamas įrašas praranda vertę. Peržiūrėkite jį bent kartą per metus.
Įrašų sąsaja su Lietuvos teise ir VDAI patikra
Lietuvoje BDAR taikomas tiesiogiai, o Asmens duomenų teisinės apsaugos įstatymas (ADTAĮ) papildo jį nacionalinėmis nuostatomis dėl VDAI įgaliojimų, vaiko sutikimo amžiaus (Lietuvoje – 14 metų) ir atskirų tvarkymo atvejų. Duomenų tvarkymo veiklos įrašų turinį lemia BDAR 30 straipsnis, tačiau per patikrinimą VDAI vertina ne tik jų buvimą, bet ir atitiktį tikrovei.
Praktikoje VDAI paprastai tikrina keletą dalykų. Pirma, ar įrašas sutampa su privatumo politika: jei politikoje nurodyti tikslai ar gavėjai, kurių nėra įraše (arba atvirkščiai), tai rodo neatitiktį ir skaidrumo spragą. Antra, ar kiekvienas įraše nurodytas tvarkytojas turi galiojančią 28 straipsnio sutartį. Trečia, ar saugojimo terminai realūs, o ne mechaniškai perrašyti iš šablono. Ketvirta, ar teisiniai pagrindai parinkti tinkamai – dažna klaida yra remtis sutikimu ten, kur tvarkymas iš tikrųjų grindžiamas sutartimi ar teisine prievole.
Todėl įrašą naudinga naudoti kaip savęs patikrinimo priemonę dar prieš bet kokį VDAI kreipimąsi. Trumpas vidinis auditas – ar kiekviena eilutė turi tikslą, teisinį pagrindą, saugojimo terminą ir susietą sutartį – atskleidžia daugumą trūkumų, kuriuos priešingu atveju nustatytų priežiūros institucija. Šis auditas ypač svarbus prieš pradedant naują didelės rizikos tvarkymą, nes leidžia iš karto nustatyti, ar reikės poveikio duomenų apsaugai vertinimo.
Dažnai užduodami klausimai
Ar labai mažai įmonei tikrai reikia tvarkyti įrašus?
Beveik visada – taip. 250 darbuotojų riba yra tik atspirties taškas, o trys išimties netaikymo sąlygos (rizika, ne atsitiktinis tvarkymas, specialių kategorijų duomenys) praktiškai apima darbo užmokesčio, klientų ir rinkodaros duomenis. Todėl net individuali įmonė paprastai privalo turėti bent supaprastintą įrašą. Mažoms organizacijoms pritaikytus įrankius lygina BDAR programinės įrangos MVĮ vadovas.
Ar VDAI reikia siųsti duomenų tvarkymo veiklos įrašus?
Ne. Įrašas nesiunčiamas ir neregistruojamas iš anksto. Jis laikomas organizacijoje ir pateikiamas tik VDAI pareikalavus (BDAR 30 str. 4 d.). Tačiau jis turi būti parengtas iš anksto, o ne kuriamas gavus paklausimą.
Kokia forma turi būti įrašas?
Bet kokia rašytinė, įskaitant elektroninę (30 str. 3 d.). Tinka struktūrizuota lentelė, skaičiuoklė arba specializuota programinė įranga. Svarbu, kad įrašas būtų pilnas, aktualus ir greitai pateikiamas.
Ar įrašas pakeičia poveikio duomenų apsaugai vertinimą?
Ne. Tai skirtingi dokumentai. Įrašas fiksuoja, kas tvarkoma, o poveikio vertinimas (35 str.) atliekamas didelės rizikos tvarkymui ir vertina riziką bei jos mažinimo priemones. Įrašas padeda nustatyti, kurioms operacijoms vertinimas reikalingas.
Išvada
Duomenų tvarkymo veiklos įrašai – tai atskaitomybės pamatas ir pirmasis dokumentas, kurio paprašo VDAI. Praktiškai jį privalo turėti dauguma Lietuvos organizacijų, nepriklausomai nuo dydžio. Gerai parengtas įrašas apima tikslą, teisinį pagrindą, duomenų ir subjektų kategorijas, gavėjus, perdavimus, saugojimo terminus ir saugumo priemones, o svarbiausia – yra reguliariai atnaujinamas. Pradėkite nuo duomenų srautų inventorizacijos, susiekite operacijas su sutartimis ir vertinimais, ir įrašas taps ne formalumu, o realia atitikties valdymo priemone.
Teisinė informacija: BDAR 30 straipsnis (EUR-Lex) · Asmens duomenų teisinės apsaugos įstatymas (e-seimas) · VDAI.
Šis straipsnis yra bendro pobūdžio informacija ir nėra teisinė konsultacija.