Datu koplietošana ir mūsdienu komercijas dzīvības spēks. Neatkarīgi no tā, vai jūs piesaistāt jaunu mākoņpakalpojumu sniedzēju, sadarbojaties ar mārketinga aģentūru vai integrējat trešās puses HR sistēmu, personas dati nepārtraukti plūst starp organizācijām. Taču šeit ir nepatīkama patiesība: lielākā daļa uzņēmumu nenovērtē juridisko mīnu lauku, ko datu koplietošana nozīmē saskaņā ar Vispārīgo datu aizsardzības regulu (VDAR).
Likmes ir reālas. Naudas sodi var sasniegt 20 miljonus eiro vai 4% no globālā gada apgrozījuma — atkarībā no tā, kura summa ir lielāka. Papildus finansiāliem sodiem jūs riskējat ar reputācijas kaitējumu, regulatoru pārbaudi un civiltiesiskās atbildības prasībām no skartajām personām. Nīderlandes Datu aizsardzības iestāde (Autoriteit Persoonsgegevens jeb AP) ir skaidri norādījusi: nezināšana nav attaisnojums.
Šajā rakstā ir aprakstīti septiņi kritiski GDPR riski, kas rodas, kopīgojot personas datus. Katrs risks ir balstīts uz konkrētiem GDPR noteikumiem, ilustrēts ar reālām sekām un apvienots ar praktiskiem norādījumiem, kas palīdzēs jums ievērot noteikumus. Neatkarīgi no tā, vai esat uzņēmuma īpašnieks, atbilstības speciālists vai juridiskais speciālists, kas darbojas Nīderlandē, ir svarīgi izprast šīs kļūdas.
1. Datu koplietošana bez derīga juridiska pamata (VDAR 6. pants)
Risks: Jūs nevarat kopīgot personas datus tikai tāpēc, ka tas ir ērti vai izdevīgi. Katram datu kopīgošanas gadījumam ir nepieciešams derīgs juridiskais pamats saskaņā ar GDPR 6. pantu.
Kāpēc uzņēmumi kļūdās: Daudzas organizācijas pieņem, ka pietiek ar komerciālu iemeslu datu kopīgošanai. Tas tā nav. GDPR paredz sešus likumīgus pamatus apstrādei: piekrišana, līgumsaistību nepieciešamība, juridisks pienākums, vitāli svarīgas intereses, sabiedrisks uzdevums un leģitīmas intereses. Katram no tiem ir īpašas prasības un ierobežojumi.
Piemēram, datu koplietošanu ar partneriem vai pakalpojumu sniedzējiem bieži vien attaisno “leģitīmas intereses”. Taču šim pamatojumam ir nepieciešama rūpīga līdzsvarošanas pārbaude: jūsu intereses nedrīkst ignorēt to personu tiesības un brīvības, kuru datus jūs apstrādājat. Un jums ir jādokumentē šis novērtējums.
Juridiskais pamatojums: GDPR 6. pantā ir noteikts izsmeļošs likumīgo pamatu saraksts. GDPR 5. panta 1. punkta a) apakšpunktā ir noteikts, ka visai apstrādei jābūt likumīgai, godprātīgai un pārredzamai.
Reālās sekas: AP ir piemērojusi naudas sodus organizācijām, kas bez pienācīga juridiska pamata kopīgoja klientu datus ar trešajām personām mārketinga nolūkos. Pat ja dati tika anonimizēti vai apkopoti, ja atkārtota identifikācija ir iespējama, tie joprojām ir personas dati un tiem ir nepieciešams likumīgs pamats.
Praktisks secinājums: pirms jebkādu personas datu kopīgošanas nosakiet un dokumentējiet, kurš juridiskais pamats ir piemērojams. Ja paļaujaties uz likumīgām interesēm, veiciet un reģistrējiet likumīgo interešu novērtējumu (LIA). Ja izmantojat piekrišanu, pārliecinieties, ka tā ir sniegta brīvprātīgi, konkrēta, informēta un nepārprotama.
2. Neskaidrības par lomām: pārzinis pret apstrādātāju (VDAR 4. panta 7.–8. punkts)
Risks: GDPR nošķir pārziņus (kuri nosaka apstrādes mērķus un līdzekļus) un apstrādātājus (kuri apstrādā datus pārziņa vārdā). Nepareiza savas vai jūsu partnera lomas identificēšana rada nopietnas atbilstības nepilnības.
Kāpēc uzņēmumi kļūdās: Praksē lomas var būt neskaidras. Ja jūs kopīgojat datus ar SaaS pakalpojumu sniedzēju, vai viņi ir pārzinis vai apstrādātājs? Kas notiek, ja viņi izmanto jūsu datus, lai uzlabotu savus algoritmus? Daudzi uzņēmumi pēc noklusējuma katru piegādātāju sauc par “apstrādātāju”, pienācīgi neanalizējot attiecības.
Nepareiza klasifikācija ir svarīga, jo pārziņiem un apstrādātājiem ir atšķirīgi pienākumi. Pārziņiem ir jānodrošina, ka apstrādātāji sniedz pietiekamas atbilstības garantijas (VDAR 28. pants). Kopīgajiem pārziņiem ir jāvienojas par savu attiecīgo atbildību (VDAR 26. pants). Ja kļūdāties, jūs varat tikt saukts pie atbildības par pārkāpumiem, par kuriem pat nezinājāt.
Juridiskais pamatojums: VDAR 4. panta 7. un 8. punktā ir definēti “pārzinis” un “apstrādātājs”. VDAR 24. pantā ir izklāstīti pārziņa atbildības pienākumi.
Reālās sekas: Eiropas Savienības Tiesa lietā Fashion ID (C-40/17) lēma, ka pat daļēja mērķu noteikšana var padarīt jūs par kopīgu pārzini. Tas nozīmē, ka jūs varat tikt saukts pie solidāras atbildības par GDPR pārkāpumiem, pat ja tos izraisījusi cita puse.
Praktiska atziņa: Izplānojiet datu plūsmas un nosakiet, kurš izlemj, kāpēc un kā dati tiek apstrādāti. Dokumentējiet to rakstiski un pārliecinieties, ka katra puse saprot savu lomu un pienākumus.
3. Trūkstošs vai nepietiekams datu apstrādes līgums (VDAR 28. pants)
Risks: Ja jūs nolīgstat apstrādātāju, lai tas apstrādātu jūsu personas datus, jums ir juridisks pienākums noslēgt rakstisku datu apstrādes līgumu (DPA). Izņēmumu nav.
Kāpēc uzņēmumi kļūdās: Ir vilinoši izlaist dokumentāciju, īpaši ar uzticamiem vai ilgstošiem partneriem. Taču bez atbilstoša datu aizsardzības līguma jūs pārkāpjat GDPR 28. pantu jau no pirmās dienas, pat ja faktisks kaitējums nenotiek.
Pareizā datu aizsardzības līgumā (DPA) jāiekļauj konkrētas obligātas klauzulas: apstrādes priekšmets un ilgums, apstrādes raksturs un mērķis, personas datu veids, datu subjektu kategorijas, kā arī pārziņa pienākumi un tiesības. Tajā jāiekļauj arī apakšapstrāde, datu drošība un pārkāpumu paziņošana.
Juridiskais pamatojums: VDAR 28. panta 3. punktā ir uzskaitīts obligātais datu aizsardzības līguma saturs. VDAR 28. panta 4. punktā ir noteikta prasība pēc skaidras atļaujas saņemšanas apakšapstrādātājiem.
Reālās sekas: AP ir sodījis organizācijas par apstrādātāju iesaistīšanu bez atbilstošām datu aizsardzības iestādēm. Pat ja pats apstrādātājs atbilst prasībām, pārzinim joprojām var tikt piemērots naudas sods par atbilstoša līguma nenoslēgšanu.
Praktisks secinājums: Izmantojiet standartizētu datu apstrādes līguma (DPA) veidni, kas aptver visas 28.(3) panta prasības. Pārskatiet esošos līgumus, lai pārliecinātos, ka tie atbilst VDAR prasībām. Nepievienojiet jaunu apstrādātāju bez parakstīta datu apstrādes līguma.
4. Nelikumīga pārsūtīšana uz trešām valstīm ārpus EEZ (VDAR 44.–49. pants un Schrems II)
Risks: Personas datu pārsūtīšana ārpus Eiropas Ekonomikas zonas (EEZ) ir stingri ierobežota. To var darīt tikai tad, ja galamērķa valsts nodrošina atbilstošu aizsardzības līmeni vai ja jūs ieviešat atbilstošus drošības pasākumus.
Kāpēc uzņēmumi kļūdās: Daudzi uzņēmumi izmanto mākoņpakalpojumus, maksājumu apstrādātājus vai analītikas rīkus, kas atrodas ASV vai Āzijā, neapzinoties, ka tie aktivizē starptautiskos pārskaitījumu noteikumus. Pat ja jūsu līgums ir noslēgts ar ES struktūru, ja dati tiek glabāti vai tiem piekļūst ārpus EEZ, ir spēkā pārskaitījumu noteikumi.
Spriedums Schrems II lietā (Lieta C-311/18) atzina par spēkā neesošu ES un ASV privātuma vairogu un uzsvēra, ka ar standarta līguma klauzulām (SCC) vien nepietiek. Jums ir jāveic arī pārsūtīšanas ietekmes novērtējums (TIA), lai novērtētu, vai galamērķa valsts likumi neapdraud SCC garantēto aizsardzību.
Juridiskais pamatojums: Starptautisko datu pārsūtīšanu regulē VDAR 44.–49. pants. VDAR V nodaļā ir noteikti lēmumi par aizsardzības līmeņa pietiekamību (45. pants) vai atbilstošas garantijas (46. pants), piemēram, standartklauzulas.
Reālās sekas: AP var jums likt apturēt vai aizliegt datu pārsūtīšanu uz trešajām valstīm, ja nav ieviesti atbilstoši drošības pasākumi. Uzņēmumi ir saskārušies ar tiesībaizsardzības pasākumiem un reputācijas kaitējumu par datu pārsūtīšanu uz ASV, neveicot TIA pēc Šremsa II lietas.
Praktisks secinājums: identificējiet visus trešo valstu pārsūtījumus savās datu plūsmās. Pārbaudiet, vai ir spēkā lēmums par atbilstību. Ja nē, ieviesiet standarta līguma nosacījumus un veiciet informācijas ietekmes novērtējumu (TIA). Dokumentējiet papildu pasākumus, ja nepieciešams (piemēram, šifrēšanu, pseidonimizāciju).
5. Datu aizsardzības ietekmes novērtējuma neveikšana (VDAR 35. pants)
Risks: Datu aizsardzības ietekmes novērtējums (DPIA) ir obligāts, ja datu koplietošana var radīt augstu risku personu tiesībām un brīvībām. Tas ietver īpašu datu kategoriju apstrādi liela mērogā, sistemātisku uzraudzību vai jaunu tehnoloģiju izmantošanu.
Kāpēc uzņēmumi kļūdās: daudzas organizācijas uzskata DPIA par neobligātu vai atbilstošu tikai “lieliem” projektiem. Patiesībā veselības datu koplietošana ar trešās puses analītikas platformu, mākslīgā intelekta vadītu profilēšanas rīku ieviešana vai datu kopu apvienošana no vairākiem avotiem var izraisīt DPIA prasību.
Datu aizsardzības ietekmes novērtējums nav tikai ķeksīšu atzīmēšana. Tas ir strukturēts process risku identificēšanai, to nopietnības novērtēšanai un pasākumu noteikšanai to mazināšanai. Ja atlikušie riski joprojām ir augsti, pirms turpināt darbu, ir jākonsultējas ar AP.
Juridiskais pamatojums: GDPR 35. pants nosaka, ka augsta riska apstrādes gadījumā ir jāveic ietekmes uz datu aizsardzību novērtējums (DPIA). AP ir publicējusi vadlīnijas par to, kad ir nepieciešams veikt ietekmi uz datu aizsardzību.
Sekas reālajā pasaulē: DPIA neveikšana, kad tas ir nepieciešams, pati par sevi ir GDPR pārkāpums. AP ir sodījusi organizācijas par augsta riska datu koplietošanu, neveicot DPIA, pat ja faktisks datu pārkāpums nav noticis.
Praktisks secinājums: pārbaudiet visas datu koplietošanas darbības, lai noteiktu, vai tās izraisa datu aizsardzības ietekmes novērtējumu (DPIA). Ja rodas šaubas, veiciet to. Iesaistiet savu datu aizsardzības speciālistu (DAS) un rūpīgi dokumentējiet novērtēšanas procesu.
6. Nepietiekama informācija datu subjektiem (VDAR 13. un 14. pants)
Risks: Caurspīdīgums ir GDPR stūrakmens. Ikreiz, kad vācat vai kopīgojat personas datus, jums ir jāinformē datu subjekti par to, kas saņems viņu datus, kādam mērķim un uz kāda juridiskā pamata.
Kāpēc uzņēmumi kļūdās: Paziņojumi par konfidencialitāti bieži vien ir neskaidri vai novecojuši. Frāzes, piemēram, “mēs varam kopīgot jūsu datus ar uzticamiem partneriem”, neder. Jums ir jānorāda saņēmēju kategorijas (piemēram, “mākoņpakalpojumu mitināšanas pakalpojumu sniedzēji”, “mārketinga aģentūras”) un, ja nepieciešams, jānorāda to nosaukumi.
Ja dati tiek iegūti netieši, piemēram, no datu starpnieka vai cita pārziņa, VDAR 14. pants uzliek papildu informācijas sniegšanas pienākumus, tostarp par datu avotu.
Juridiskais pamatojums: VDAR 13. un 14. pantā ir uzskaitīta informācija, kas jāsniedz datu subjektiem. VDAR 5. panta 1. punkta a) apakšpunkts paredz pārredzamību visās apstrādes darbībās.
Reālās sekas: AP ir piemērojusi sankcijas uzņēmumiem par to, ka tie nav informējuši personas par to, ka viņu dati tiek kopīgoti ar trešajām personām. Pat ja pati kopīgošana bija likumīga, nepietiekama pārredzamība ir atsevišķs pārkāpums.
Praktiska atziņa: pārskatiet un atjauniniet savus paziņojumus par konfidencialitāti, lai skaidri aprakstītu datu koplietošanas praksi. Pārliecinieties, vai paziņojumi ir viegli pieejami un uzrakstīti vienkāršā valodā. Kopīgojot datus ar jauniem partneriem, atjauniniet savus paziņojumus pirms koplietošanas sākuma.
7. Pseidonimizācija kā viltus drošības sajūta
Risks: Pseidonimizācija — tiešo identifikatoru aizstāšana ar kodiem vai žetoniem — saskaņā ar GDPR ir ieteicama kā drošības pasākums. Taču tā nepadara datus anonīmus. Ja datus joprojām var sasaistīt ar konkrētu personu, tie joprojām ir personas dati un uz tiem attiecas pilna GDPR darbības joma.
Kāpēc uzņēmumi kļūdās: Uzņēmumi bieži pieņem, ka pseidonimizētus datus ir “droši” kopīgot bez ierobežojumiem. Praksē pseidonimizācija tikai samazina risku, bet gan to nenovērš. Ja kopīgojat pseidonimizētus datus ar partneri, kuram ir piekļuve atslēgai vai citiem datu kopumiem, kas ļauj veikt atkārtotu identifikāciju, jūs joprojām apstrādājat personas datus.
Juridiskais pamatojums: VDAR 4. panta 5. punktā ir definēta pseidonimizācija. VDAR 26. apsvērumā ir precizēts, ka pseidonimizēti dati joprojām ir personas dati, ja vien tie nav patiesi anonimizēti (t.i., atkārtota identifikācija vairs nav iespējama ar jebkādiem saprātīgiem līdzekļiem).
Reālās pasaules sekas: AP vadlīnijās ir precizējusi, ka pseidonimizācija negarantē iespēju “izkļūt no cietuma”. Ja atkārtota identifikācija ir iespējama, ir spēkā visas GDPR saistības, tostarp juridiska pamata esamība, ietekmes uz vidi novērtējumu veikšana un atbilstošas drošības nodrošināšana.
Praktisks secinājums: Apstrādājiet pseidonimizētus datus kā personas datus, ja vien neesat izgājis stingru anonimizācijas procesu, ko apstiprinājuši eksperti. Dokumentējiet ieviestos tehniskos un organizatoriskos pasākumus, lai novērstu atkārtotu identifikāciju.
Biežāk uzdotie jautājumi
Kad datu koplietošana ir atļauta saskaņā ar GDPR?
Datu koplietošana ir likumīga tikai tad, ja jums ir derīgs juridiskais pamats saskaņā ar GDPR 6. pantu. Seši juridiskie pamati ir: piekrišana, līgumiska nepieciešamība, juridisks pienākums, vitāli svarīgas intereses, sabiedrisks uzdevums un leģitīmas intereses. Jums ir jāievēro arī likumības, taisnīguma, pārredzamības, mērķa ierobežojuma, datu minimizēšanas, precizitātes, glabāšanas ierobežojuma, integritātes un konfidencialitātes principi (GDPR 5. pants). Praksē tas nozīmē skaidri dokumentēt, kāpēc jūs kopīgojat datus, nodrošināt, ka mērķis atbilst tam, kāpēc jūs tos sākotnēji vācāt, un informēt datu subjektus par koplietošanu.
Kāda ir atšķirība starp kontrolieri un procesoru?
Pārzinis nosaka personas datu apstrādes mērķus un līdzekļus. Apstrādātājs apstrādā datus pārziņa vārdā saskaņā ar īpašiem norādījumiem. Šī atšķirība ir svarīga , jo pārziņi galvenokārt ir atbildīgi par atbilstību VDAR, savukārt apstrādātājiem ir ierobežotāki pienākumi (galvenokārt drošības un konfidencialitātes nodrošināšana). Ja jūs kopīgojat datus ar piegādātāju, kurš tos apstrādā pēc jūsu norādījumiem, piemēram, algu aprēķināšanas pakalpojumu sniedzēju vai mākoņkrātuves pakalpojumu, viņi parasti ir apstrādātāji. Ja viņi arī izlemj, kā izmantot datus saviem mērķiem, viņi var būt (kopīgi) pārziņi. Nepareiza lomu identificēšana var radīt nepilnības pārskatatbildībā un kopīgā atbildībā par pārkāpumiem.
Kad ir obligāts datu apstrādes līgums (DPA)?
DPA ir obligāts ikreiz, kad jūs nolīgstat apstrādātāju, lai tas apstrādātu personas datus jūsu vārdā (VDAR 28. pants). Tas ir spēkā neatkarīgi no jūsu organizācijas lieluma vai iesaistīto datu apjoma. DPA ir jābūt rakstiskam un jāietver konkrētas obligātas klauzulas, piemēram, apstrādes priekšmets un ilgums, raksturs un mērķis, datu veidi un datu subjektu kategorijas, kā arī abu pušu pienākumi attiecībā uz drošību, pārkāpumu paziņošanu un apakšapstrādi. Bez atbilstoša DPA jūs pārkāpjat noteikumus no brīža, kad apstrādātājs sāk apstrādi, pat ja netiek nodarīts kaitējums.
Vai es varu kopīgot klientu datus ar pusi ārpus ES?
Jā, bet tikai tad, ja ir izpildīti stingri nosacījumi. Saskaņā ar VDAR 44.–49. pantu jūs varat pārsūtīt datus uz trešo valsti, ja: (a) Eiropas Komisija ir pieņēmusi lēmumu par atbilstību šai valstij vai (b) jūs esat ieviesis atbilstošus drošības pasākumus, piemēram, standarta līguma klauzulas (SCC). Pēc sprieduma Schrems II lietā jums ir jāveic arī pārsūtīšanas ietekmes novērtējums (TIA), lai novērtētu, vai galamērķa valsts likumi (piemēram, valdības uzraudzība) apdraud SCC garantēto aizsardzību. Ja riski joprojām pastāv, jums ir jāievieš papildu pasākumi, piemēram, šifrēšana vai datu minimizēšana. Pārsūtīšana bez atbilstošiem drošības pasākumiem var izraisīt AP piespiedu darbības, tostarp pārsūtīšanas apturēšanu.
Kad datu koplietošanai ir nepieciešams DPIA?
Saskaņā ar VDAR 35. pantu DPIA ir obligāts, ja apstrāde var radīt augstu risku personu tiesībām un brīvībām. Tas ietver: īpašu datu kategoriju (piemēram, veselības, biometrisko, ģenētisko datu) apstrādi liela mērogā, publiski pieejamu zonu sistemātisku uzraudzību, automatizētu lēmumu pieņemšanu ar juridiskām vai līdzīgi būtiskām sekām un jaunu tehnoloģiju izmantošanu. Kopīgojot datus, DPIA bieži vien ir nepieciešams, ja apvienojat datu kopas, kopīgojat sensitīvu informāciju vai izmantojat datus profilēšanai vai mākslīgā intelekta balstītai analītikai. AP ir publicējis to apstrādes darbību sarakstu, kurām nepieciešams DPIA. Ja rodas šaubas, veiciet to — labāk droši nekā nožēlot.
Kādus sodus uzņēmumi var saņemt par GDPR pārkāpumiem?
GDPR paredz divus naudas sodu līmeņus. Zemākais līmenis — līdz 10 miljoniem eiro vai 2% no globālā gada apgrozījuma — attiecas uz tādiem pārkāpumiem kā atbilstošu drošības pasākumu neieviešana vai ietekmes uz datu aizsardzību novērtējuma (DPIA) neveikšana, kad tas nepieciešams. Augstākais līmenis — līdz 20 miljoniem eiro vai 4% no globālā gada apgrozījuma — attiecas uz nopietnākiem pārkāpumiem, tostarp likumīga pamata neesamību apstrādei, nelikumīgu starptautisku pārsūtīšanu vai datu subjektu tiesību pārkāpumiem. AP nosaka naudas soda apmēru, pamatojoties uz tādiem faktoriem kā pārkāpuma raksturs un smagums, vai tas bija tīšs vai nolaidīgs, skarto personu skaits un visi veiktie mazināšanas pasākumi. Nesen veiktie kontroles pasākumi liecina, ka AP ir gatava piemērot ievērojamus naudas sodus, jo īpaši par sistemātiskiem vai tīšiem pārkāpumiem.
Vai pseidonimizētus datus vienmēr ir droši kopīgot?
Nē. Pseidonimizācija samazina risku, bet to nenovērš. Saskaņā ar VDAR 4. panta 5. punktu pseidonimizācija nozīmē tiešu identifikatoru (piemēram, vārdu) aizstāšanu ar kodiem vai pseidonīmiem. Tomēr, ja datus joprojām var saistīt ar indivīdu, piemēram, izmantojot papildu informāciju, kas ir jūsu vai saņēmēja rīcībā, tie joprojām ir personas dati un uz tiem pilnībā attiecas VDAR. Tas nozīmē, ka jums joprojām ir nepieciešams juridiskais pamats, ir jāinformē datu subjekti un jānodrošina atbilstoša drošība. Tikai patiesa anonimizācija, kad atkārtota identifikācija vairs nav iespējama ar jebkādiem saprātīgiem līdzekļiem, izslēdz datus no VDAR darbības jomas. Praksē patiesas anonimizācijas sasniegšana ir sarežģīta un prasa ekspertu validāciju.
Ko darīt, ja manā uzņēmumā notiek datu noplūde nelikumīgas datu koplietošanas dēļ?
Ja atklājat personas datu pārkāpumu, tostarp tādu, ko izraisījusi nelikumīga datu koplietošana, jums ir 72 stundas, lai paziņotu AP saskaņā ar VDAR 33. pantu (izņemot gadījumus, kad pārkāpums, visticamāk, neradīs risku personu tiesībām un brīvībām). Jums arī bez nepamatotas kavēšanās jāpaziņo skartajām personām, ja pārkāpums, visticamāk, radīs tām augstu risku (VDAR 34. pants). Neatliekamie pasākumi ietver: pārkāpuma ierobežošanu, tā apmēra un ietekmes novērtēšanu, notikušā un jūsu rīcības dokumentēšanu, kā arī AP paziņošanu, izmantojot tā tiešsaistes portālu. Nepaziņošanas gadījumā var tikt piemērots atsevišķs naudas sods. AP izvērtēs, vai ir pamatoti veikt piespiedu pasākumus, pamatojoties uz pārkāpuma smagumu un jūsu reakciju.
Aizsargājiet savu uzņēmumu — saņemiet profesionālu juridisko palīdzību
Datu koplietošana ir neizbēgama, taču GDPR pārkāpumiem tādam nav jābūt. Septiņi iepriekš minētie riski nav teorētiski — tie ir iegūti no reālām tiesībaizsardzības lietām, tiesas spriedumiem un normatīvajām vadlīnijām. Katrs no tiem var izraisīt naudas sodus, atbildības prasības un reputācijas kaitējumu.
Labā ziņa? Ar atbilstošu tiesisko regulējumu, skaidru dokumentāciju un proaktīviem atbilstības pasākumiem jūs varat droši un likumīgi koplietot datus. Taču, lai to izdarītu pareizi, ir nepieciešams vairāk nekā tikai vispārīgs padoms — tam ir nepieciešams pielāgots juridiskais atbalsts, kas izprot jūsu uzņēmējdarbību, datu plūsmas un konkrētos riskus, ar kuriem jūs saskaraties.
Negaidiet, kamēr AP pats pieklauvēs. Ja neesat pārliecināts, vai jūsu datu koplietošanas prakse atbilst GDPR prasībām, vai ja jums nepieciešama palīdzība datu apstrādes līgumu (DPA) izstrādē, ietekmes uz vidi novērtējumu (DPIA) veikšanā vai starptautisku pārsūtījumu pārvaldībā, sazinieties ar privātuma tiesību juristu. Jūsu uzņēmums un jūsu klienti ir pelnījuši neko mazāk.
