Duomenų tvarkytojas
Duomenų tvarkytojas yra subjektas, kuris tvarko asmens duomenis duomenų valdytojo vardu ir pagal jo nurodymus. Politinės reklamos kontekste tvarkytojai tvarko asmens duomenis tikslinio nukreipimo ar reklamos pateikimo tikslais, tačiau nenusprendžia, kaip ar kodėl duomenys naudojami. Valdytojas išlieka galutinai atsakingas už teisėtą tvarkymą.
Teisinis pagrindas
„Duomenų tvarkytojas – fizinis arba juridinis asmuo, valdžios institucija, agentūra ar kitas subjektas, kuris duomenų valdytojo vardu tvarko asmens duomenis."
— 4 straipsnio 8 dalis, Reglamentas (ES) 2016/679 (BDAR)
Nors Reglamente (ES) 2024/900 duomenų tvarkytojas nėra apibrėžtas, jame daroma nuoroda į duomenų apsaugos teisę ir nustatomi konkretūs valdytojų ir tvarkytojų įsipareigojimai, kai asmens duomenys naudojami politinei reklamai internete tikslingai nukreipti.
Kodėl tai svarbu
Duomenų tvarkytojų vaidmens supratimas yra labai svarbus siekiant atitikti tiek BDAR, tiek politinės reklamos reglamentą. Kai politinė partija, kampanija ar rėmėjas naudoja internetinę platformą, reklamos technologijų teikėją ar analitikos įmonę tikslingai nukreiptai politinei reklamai pateikti, tas teikėjas paprastai veikia kaip tvarkytojas. Rėmėjas ar politinis subjektas išlieka valdytojas ir privalo užtikrinti, kad tvarkytojas atitiktų visus teisinius reikalavimus.
Tvarkytojai privalo įgyvendinti atitinkamas technines ir organizacines priemones, padėti valdytojams vykdyti savo įsipareigojimus (pvz., atsakyti į duomenų subjektų prašymus) ir tvarkyti duomenis tik pagal dokumentais pagrįstus nurodymus. Jie negali naudoti asmens duomenų savo tikslais. Jei tvarkytojas pats nustato savo tvarkymo tikslus, jis tampa valdytoju ir prisiima visą atsakomybę pagal duomenų apsaugos teisę.
Politinės reklamos atveju šis skirtumas yra svarbus, nes tikslinis nukreipimas naudojant asmens duomenis yra griežtai ribojamas pagal Reglamento (ES) 2024/900 III skyrių. Valdytojai privalo užtikrinti, kad jų tvarkytojai laikytųsi tikslinio nukreipimo apribojimų, sutikimo reikalavimų ir draudimų naudoti tam tikras jautrių duomenų kategorijas.
Pagrindiniai aspektai
- Veikia pagal nurodymus: Tvarkytojai tvarko asmens duomenis tik valdytojo nurodžius; jie negali nuspręsti, kaip ar kodėl duomenys tvarkomi.
- Išlieka atskaitingi: Valdytojai yra galutinai atsakingi už tai, kad tvarkytojai atitiktų BDAR ir politinės reklamos taisykles.
- Reikalingos rašytinės sutartys: Valdytojai privalo turėti sutartį ar teisinį aktą su tvarkytojais, kuriame nurodomi tvarkymo terminai, saugumo priemonės ir įsipareigojimai.
- Padeda vykdyti atitiktį: Tvarkytojai privalo padėti valdytojams atsakyti į duomenų subjektų teisių prašymus, atlikti poveikio vertinimus ir pranešti apie duomenų saugos pažeidimus.
- Gali tapti valdytoju: Jei tvarkytojas nustato tvarkymo tikslus ir būdus, jis perklasifikuojamas kaip valdytojas su visa teisine atsakomybe.
- Specialios tikslinio nukreipimo taisyklės: Kai tvarkytojai pateikia tikslingai nukreiptą politinę reklamą internete, jie privalo laikytis III skyriaus apribojimų ir negali naudoti specialių kategorijų duomenų tikslinio nukreipimo tikslais.
Duomenų tvarkytojas ir duomenų valdytojas
Duomenų valdytojas nustato asmens duomenų tvarkymo tikslus ir būdus – nusprendžia, kokius duomenis rinkti, kaip juos naudoti ir kodėl. Duomenų tvarkytojas veikia tik pagal valdytojo nurodymus ir nepriima tų sprendimų.
Politinės reklamos srityje politinė partija, nusprendžianti vykdyti tikslingai nukreiptos reklamos kampaniją, yra valdytojas. Socialinių tinklų platforma ar reklamos technologijų paslauga, pateikianti tą reklamą pagal partijos nurodymus, yra tvarkytojas. Jei platforma taip pat naudoja duomenis savo tikslais (pvz., tobulindama savo rekomendavimo algoritmą), ji veikia kaip valdytojas tam atskiram tikslui.
Šis skirtumas yra labai svarbus, nes valdytojai ir tvarkytojai turi skirtingus įsipareigojimus pagal BDAR, o atsakomybė už neatitiktį galų gale tenka valdytojui.