BDAR reikalavimus atitinkanti klientų galerija fotobūdelių renginiams: ko iš tiesų reikia operatoriams

Svečių nuotraukos iš vestuvių ir įmonių renginių yra asmens duomenys — dažnai net su aiškia veido nuoroda. Fotobūdelio operatorius, kuris šiuos vaizdus tvarko, saugo ir perduoda, automatiškai tampa duomenų apsaugos požiūriu reikšmingo proceso dalimi. Tai liečia ne tik korporacijas, bet ir kiekvieną individualų verslininką, kuris nuomoja dėžę.

Trys dažniausios klaidos su nuotraukų galerijomis

• Viešai indeksuotos galerijos nuorodos. Jei nuoroda pasiekiama be prieigos apsaugos arba turi lengvai atspėjamą adresą, prie svečių nuotraukų gali prieiti ir nesusiję tretieji asmenys.
• Debesijos saugykla be duomenų tvarkymo sutarties. Naudojant tiekėją, su kuriuo nesudaryta duomenų tvarkymo sutartis, trūksta teisinio pagrindo renginio nuotraukų tvarkymui.
• Nėra aiškių ištrynimo terminų. Nuotraukos, saugomos neribotą laiką, kai klientai ar svečiai nežino, kiek laiko ir kodėl, yra dažna priekaištų priežastis iš įmonių klientų.

Kas nutinka, kai kažkas nutinka blogai

Hipotetinis, bet realistiškas scenarijus: po renginio svečias nuskaito QR kodą, esantį jo renginio kortelėje — tačiau atsiduria ne savo galerijoje, o dėl to, kad nuoroda buvo lengvai atspėjama ar net paieškos sistemos indeksuota, patenka į visiškai kito, tą pačią savaitę vykusio renginio galeriją. Nukentėjusiems asmenims tai nėra smulkmena: tai asmens duomenų saugumo pažeidimas pagal BDAR, dėl kurio gali kilti pareiga informuoti priežiūros instituciją (BDAR 33 str.) ir, priklausomai nuo sunkumo, pačius nukentėjusius asmenis (BDAR 34 str.). Operatoriui blogiausiu atveju tai reiškia dokumentavimo darbus, būtinybę aiškintis klientui ir reputacijos žalą, kurią sutvarkyti sunkiau nei bet kokį techninį gedimą. Svarbiausia: rizika kyla ne dėl blogo ketinimo, o dėl vienos struktūrinės silpnybės — lengvai atspėjamos ar indeksuotos nuorodos.

Ko reikia tvarkingam galerijos sprendimui

Keturi elementai lemia skirtumą tarp „kažkaip sutvarkyta" ir proceso, kuris atlaiko net ir kritišką klausimą:

• Privačios QR nuorodos vietoj atvirų aplankų — prieiga tik asmenims su tinkama nuoroda, neaptinkama per paieškos sistemas.
• Duomenų tvarkymo sutartis su programinės įrangos tiekėju — aiškus sutartinis pagrindas, kas, kokius duomenis ir kiek laiko tvarko.
• Apibrėžtos ištrynimo koncepcijos — renginio galiojimo pabaigos data, po kurios nuotraukos ištrinamos automatiškai arba pagal prašymą.
• ES prieglaba — duomenų tvarkymas ES viduje gerokai palengvina argumentaciją klientams.

Ištrynimo koncepcija praktikoje

Ištrynimo koncepcija neprivalo būti sudėtinga, tačiau ji turi būti konkreti. Atsakymas „ištrinsime kada nors" neatlaiko kritiško klausimo. Prasminga turėti aiškiai komunikuojamą galiojimo pabaigos datą kiekvienam renginiui ar paketui — pavyzdžiui, fiksuotą dienų skaičių nemokamame bandomajame režime, po kurio seka automatinis ištrynimas, o mokamo naudojimo atveju saugojimo laikotarpis priklauso nuo su klientu sutarto termino. Svarbiau už tikslų terminą yra pats faktas, kad jis apskritai egzistuoja — ir kad jis raštu užfiksuotas pasiūlyme ar duomenų tvarkymo sutartyje, o ne improvizuojamas tik paklausus. Klientai, kurie iš anksto gauna aiškų atsakymą į klausimą „kas nutiks su nuotraukomis po to?", rečiau užduoda kritinius papildomus klausimus nei tie, kuriems tenka aiškintis patiems.

Kas iš tiesų atsakingas?

Kaip operatorius, jūs paprastai išliekate duomenų apsaugos požiūriu atsakingas už savo renginių nuotraukas — net ir naudodami trečiosios šalies programinę įrangą. Programinės įrangos tiekėjas veikia kaip duomenų tvarkytojas. Kad tai teisiškai veiktų tvarkingai, tarp jūsų ir tiekėjo turi būti sudaryta duomenų tvarkymo sutartis. Be šios sutarties nėra pagrindo tiekėjui apskritai tvarkyti svečių nuotraukų.

Kontrolinis sąrašas: ką turėtų reglamentuoti duomenų tvarkymo sutartis su programinės įrangos tiekėju

Ne kiekviena duomenų tvarkymo sutartis yra vienodai išsami. Šie punktai turėtų būti konkrečiai atsakyti, prieš ją pasirašant ar pateikiant klientams:

• Kokie tiksliai duomenys tvarkomi (nuotraukos, prireikus — vardai patvirtinimo eigoje)
• Kur duomenys saugomi — aiškiai nurodyta, ES viduje ar už jos ribų
• Kiek laiko duomenys saugomi, prieš juos automatiškai ištrinant
• Kas informuojamas duomenų saugumo pažeidimo atveju ir per kokį terminą
• Ar ir kokie subtiekėjai naudojami
• Kaip vyksta ištrynimas pasibaigus ar nutraukus sutartį

Praktinis patarimas įmonių klientų užklausoms

Įmonių renginiams duomenų tvarkymo sutarties dažnai aktyviai paprašoma dar prieš priimant pasiūlymą. Jei iš karto galite pasiūlyti paruoštą dokumentą, atrodote gerokai profesionalesni nei konkurentai, kuriems tenka improvizuoti tik po užklausos. Tas pats galioja ištrynimo terminui: paminėjus jį pasiūlyme neprašius, atsakoma į klausimą dar prieš jį uždedant.

Šis įrašas nepakeičia teisinės konsultacijos. Dėl privalomo vertinimo, susijusio su jūsų konkrečiu verslo modeliu, rekomenduojama individuali duomenų apsaugos peržiūra.