Kai yra du ar daugiau duomenų valdytojų, kurie kartu nustato duomenų tvarkymo tikslą ir priemones, jie laikomi bendrais duomenų valdytojais. Jie kartu nusprendžia tvarkyti asmens duomenis bendru tikslu. Bendras duomenų valdymas gali būti įvairių formų, o skirtingų duomenų valdytojų dalyvavimas gali būti nevienodas. Todėl bendri duomenų valdytojai turi nustatyti savo atitinkamą atsakomybę už BDAR laikymąsi.

Svarbu pažymėti, kad bendras duomenų valdymas lemia bendrą atsakomybę už duomenų tvarkymo veiklą.

• Bendro duomenų valdymo pavyzdys: Bendrovės A ir B pristatė bendrą prekės ženklą ir nori surengti renginį šiam produktui reklamuoti. Tuo tikslu jos nusprendžia dalytis savo atitinkamų klientų ir būsimų klientų duomenų bazių duomenimis ir šiuo pagrindu priimti sprendimą dėl pakviestų dalyvauti renginyje asmenų sąrašo. Jos taip pat susitaria dėl kvietimų į renginį siuntimo, informacijos rinkimo renginio metu ir tolesnių rinkodaros veiksmų tvarkos. Bendrovės A ir B gali būti laikomos bendrais duomenų valdytojais tvarkant asmens duomenis, susijusius su reklaminio renginio organizavimu, nes jos kartu nusprendžia dėl bendrai apibrėžto duomenų tvarkymo tikslo ir pagrindinių priemonių šiame kontekste.

Daugiau informacijos:

• Duomenų valdytojas ar duomenų tvarkytojas

Taip, bet norėdami tai padaryti, pirmiausia turėsite nustatyti tokio tipo asmens duomenų tvarkymo teisinį pagrindą. Pavyzdžiui, duomenų tvarkymas gali būti laikomas teisėtu jūsų organizacijos interesu. Tvarkant asmens duomenis teisėto intereso pagrindu, visada būtina atlikti pusiausvyros testą, kad nustatytumėte, ar jūsų teisėti interesai yra svarbesni už asmenų teises, ypač jei tai susiję su vaikais.

Kitas galimas tokio duomenų tvarkymo teisinis pagrindas galėtų būti sutikimas. Bet kuriuo atveju asmenys visada turėtų būti iš anksto informuojami, kad renginys yra fotografuojamas ar filmuojamas.

Daugiau informacijos:

• Tvarkyti asmens duomenis teisėtai

1. Įsitikinkite, kad jūsų gauti duomenys buvo surinkti teisėtai ir kad atitinkami asmenys buvo informuoti apie jų asmens duomenų tvarkymą.
2. Jei trečioji šalis tvarko asmens duomenis jūsų vardu, įsitikinkite, kad turite duomenų valdytojo ir duomenų tvarkytojo sutartį, kurioje išsamiai aprašomos tvarkymo operacijos ir asmens duomenų tvarkymo priemonės.

Ir, žinoma, laikykitės visų duomenų valdytojo pareigų.

Daugiau informacijos:

• Duomenų valdytojas ar duomenų tvarkytojas

DAP organizacijoje gali atlikti kitas užduotis, tačiau dėl to negali kilti interesų konfliktas. Tai reiškia, kad DAP negali užimti tokios pozicijos, kurioje nustatytų duomenų tvarkymo tikslus ir priemones. Nesuderinamos funkcijos daugiausia apima vadovaujančias pareigas (generalinis direktorius, vykdomasis direktorius, finansų vadovas, žmogiškųjų išteklių vadovas, IT vadovas), tačiau jos taip pat gali apimti kitas funkcijas, jei vykdant jas nustatomi duomenų tvarkymo tikslai ir priemonės.

DAP turi galėti nepriklausomai vykdyti savo pareigas ir užduotis. Tai reiškia, kad jūsų organizacija:

• negali duoti nurodymų DAP dėl jo DAP pareigų vykdymo;
• negali bausti ar atleisti DAP už savo užduočių vykdymą.

Daugiau informacijos:

• Duomenų apsaugos pareigūnas

Asmens duomenų tvarkymas – bet kokios rūšies veikla (tvarkymo operacija), atliekama su fizinių asmenų asmens duomenimis. Tai apima asmens duomenų rinkimą, įrašymą, rūšiavimą, sisteminimą, saugojimą, pritaikymą ar keitimą, išgavimą, susipažinimą, paiešką, naudojimą, atskleidimą perduodant, platinant ar kitu būdu sudarant galimybę jais naudotis, sugretinimą ar sujungimą, apribojimą, ištrynimą ar sunaikinimą.

Asmens duomenų saugumo pažeidimas yra saugumo pažeidimas, dėl kurio netyčia arba neteisėtai sunaikinami, prarandami, pakeičiami, neteisėtai atskleidžiami asmens duomenys arba suteikiama prieiga prie jų.

• Jei duomenų saugumo pažeidimas kelia pavojų fiziniams asmenims, turite apie tai pranešti atitinkamai duomenų apsaugos institucijai per 72 valandas.
• Jei dėl pažeidimo gali kilti didelis pavojus fiziniams asmenims, apie tą pažeidimą taip pat turėsite nepagrįstai nedelsiant jiems pranešti.

Bet kuriuo atveju, visų pažeidimų, net ir tų, apie kuriuos nepranešta DAI, atveju turite užregistruoti bent pagrindinius pažeidimo duomenis, jo vertinimą, jo poveikį ir veiksmus, kurių imtasi reaguojant į jį.

Daugiau informacijos:

• Duomenų saugumo pažeidimai

Jei jūsų organizacija renka asmens duomenis tiesiogiai iš asmenų, ji turi pateikti reikiamą informaciją rinkimo metu.

Netiesioginio asmens duomenų rinkimo atveju jūsų organizacija privalo pateikti informaciją ne vėliau kaip per vieną mėnesį nuo asmens duomenų gavimo. Šis ilgiausias vieno mėnesio laikotarpis gali būti sutrumpintas:

• jei asmens duomenys naudojami bendravimo su duomenų subjektu tikslu. Tokiu atveju privalote informuoti duomenų subjektą ne vėliau kaip pirmą kartą susisiekiant su duomenų subjektu;
• jei duomenys perduodami kitam gavėjui, organizacija apie tai informuoja duomenų subjektus ne vėliau kaip asmens duomenų perdavimo metu.

Daugiau informacijos:

• Gerbti asmenų teises

Kad sutikimas būtų laikomas galiojančiu, jis turi būti:

• laisvai duodamas;
• konkretus;
• informuotas; ir
• nedviprasmiškas.

Tai reiškia, kad asmenys turi turėti tikrai laisvą pasirinkimą, ar jie sutinka su jų asmens duomenų tvarkymu, ar ne; jiems reikia pakankamai informacijos, kad jie galėtų suprasti, kokie duomenys tvarkomi, kokiu tikslu ir kaip tai daroma; jiems taip pat reikia pakankamo išsamumo prašymuose dėl sutikimo.

Be to, asmuo turėtų imtis aiškių veiksmų (be iš anksto pažymėtų langelių ir atskirai nuo taikytinų bendrųjų sąlygų).

Be to, asmenys turi turėti galimybę laisvai atšaukti savo sutikimą (be jokių neigiamų pasekmių), jei vėliau persigalvoja.

Daugiau informacijos:

• Tvarkyti asmens duomenis teisėtai

BDAR numatytos konkrečios asmenų teisės, kurių turi būti paisoma. Tai galite padaryti:

• informuodami asmenis, kurių duomenis tvarkote, apie savo tvarkymo operacijas ir duomenų tvarkymo tikslus, kai renkate jų duomenis, pavyzdžiui, savo interneto svetainėje pateikdami privatumo pareiškimą;
• atsakydami į asmenų prašymus pasinaudoti savo teisėmis, pavyzdžiui, susipažinimo, ištaisymo, prieštaravimo, ištrynimo arba perkeliamumo prašymus.

Organizacijos, kurios yra skaidrios dėl asmens duomenų naudojimo ir gerbia asmenų teises, rečiau tampa skundų objektu.

Daugiau informacijos:

• Gerbti asmenų teises

Konkurso laimėtojų vardų ir pavardžių paskelbimas jūsų svetainėje gali būti laikomas teisėtu interesu, jei galite tai įrodyti atlikdami pusiausvyros testą, kad nustatytumėte, ar jūsų teisėti interesai yra svarbesni už asmenų teises.

Gera praktika būtų nustatyti vidaus procedūrą, kurioje būtų paaiškintos laimėtojų asmens duomenų skelbimo taisyklės.

Be to, asmens duomenų tvarkymas šiais tikslais turėtų būti įtrauktas į konkurso privatumo politiką, kad dalyviai būtų iš anksto informuoti apie tai, kaip jų duomenys bus tvarkomi.

Daugiau informacijos:

• Tvarkyti asmens duomenis teisėtai