20 straipsnis. Duomenų tvarkytojas

1. Kai duomenys turi būti tvarkomi duomenų valdytojo vardu, duomenų valdytojas pasitelkia tik tuos duomenų tvarkytojus, kurie užtikrina, kad tinkamos techninės ir organizacinės priemonės bus įgyvendintos tokiu būdu, kad duomenų tvarkymas atitiktų šio įstatymo reikalavimus ir būtų užtikrinta duomenų subjekto teisių apsauga.

2. Duomenų tvarkytojas nepasitelkia kito duomenų tvarkytojo be išankstinio konkretaus arba bendro rašytinio duomenų valdytojo leidimo. Bendro rašytinio duomenų valdytojo leidimo atveju duomenų tvarkytojas praneša duomenų valdytojui apie visus planuojamus pakeitimus, susijusius su kitų duomenų tvarkytojų pasitelkimu ar pakeitimu, ir taip suteikia duomenų valdytojui galimybę nesutikti su tokiais pakeitimais.

3. Duomenų tvarkytojo atliekamas duomenų tvarkymas reglamentuojamas rašytinėje sutartyje ar Europos Sąjungos arba Lietuvos Respublikos teisės akte, kurie yra privalomi duomenų tvarkytojui duomenų valdytojo atžvilgiu ir kuriuose nustatomas duomenų tvarkymo dalykas ir trukmė, duomenų tvarkymo pobūdis ir tikslas, asmens duomenų rūšis, duomenų subjektų kategorijos ir duomenų valdytojo prievolės ir teisės. Šioje dalyje numatytuose sutartyje ar teisės akte visų pirma nustatoma, kad duomenų tvarkytojas:

1) veikia tik pagal duomenų valdytojo nurodymus;

2) užtikrina, kad asmens duomenis tvarkyti įgalioti asmenys būtų įsipareigoję užtikrinti konfidencialumą arba jiems būtų taikoma įstatymuose nustatyta konfidencialumo prievolė;

3) visomis tinkamomis priemonėmis padeda duomenų valdytojui užtikrinti, kad būtų laikomasi nuostatų dėl duomenų subjekto teisių;

4) pagal duomenų valdytojo pasirinkimą, baigęs teikti su duomenų tvarkymu susijusias paslaugas, ištrina visus asmens duomenis arba grąžina duomenų valdytojui visus asmens duomenis ir ištrina esamas jų kopijas, išskyrus atvejus, kai Europos Sąjungos arba Lietuvos Respublikos teisės aktuose nustatytas reikalavimas asmens duomenis saugoti;

5) pateikia duomenų valdytojui visą informaciją, būtiną siekiant įrodyti, kad laikomasi šio straipsnio nuostatų;

6) laikosi šio straipsnio 2 dalyje ir šioje dalyje nurodytų kito duomenų tvarkytojo pasitelkimo sąlygų.

4. Duomenų tvarkytojas, kuris, pažeisdamas šį įstatymą, nustato duomenų tvarkymo tikslus ir priemones, tokio duomenų tvarkymo atžvilgiu laikomas duomenų valdytoju.