Dažnas ginčas tarp duomenų valdytojo ir duomenų tvarkytojo kyla dėl duomenų valdytojo duomenų tvarkymo sutartyje nustatytų duomenų saugumo priemonių. Praktikoje duomenų tvarkytojams sutartyje nustatytos priemonės dažnai atrodo perteklinės, jie bijo pasirašyti sutartis, kuriose nurodytos konkrečios taikytinos priemonės. Neretas duomenų tvarkytojas už duomenų valdytojo nustatytų duomenų saugumo priemonių taikymą paprašo ir papildomai duomenų valdytoją susimokėti. Kai kurie duomenų valdytojai tokiose situacijoje nusileidžia ir sutinka arba abstrakčiai nurodyti, kad taikomos visos rizikos lygį atitinkančios priemonės, arba susiaurina prašomų taikyti reikalavimų sąrašą. Atkreiptinas dėmesys, kad šioje situacijoje duomenų tvarkytojo derybinė pozicija yra gana ribota, nes BDAR 28 str. 3 d. c) punktas nustato pareigą duomenų tvarkytojui imtis visų priemonių, kurių reikalaujama pagal BDAR 32 str. Taigi bet kokios duomenų tvarkytojo derybos gali signalizuoti duomenų valdytojui apie galimai nepatikimą duomenų tvarkytoją, o duomenų tvarkytojus duomenų valdytojas turi pasitelkti tik įsitikinęs jog duomenų tvarkytojas užtikrina, kad tinkamos techninės ir organizacinės priemonės bus įgyvendintos tokiu būdu, kad duomenų tvarkymas atitiktų šio reglamento reikalavimus ir būtų užtikrinta duomenų subjekto teisių apsauga (BDAR 28 str. 1 d.).

Taigi, kaip detaliai duomenų saugumo priemonės sutartyje turėtų būti nurodytos? VDAI viešosioms konsultacijoms pateiktame dokumente rekomenduoja apibūdinti prieigai, įskaitant nuotolines prieigas, prie asmens duomenų  keliamus reikalavimus, taip pat aprašyti asmens duomenų apsaugai keliamus reikalavimus duomenų perdavimo metu, duomenų apsaugai keliamus reikalavimus jų saugojimo metu ir pan. Taigi VDAI siūlo konkrečiai nurodyti kokios priemonės yra taikomos duomenų saugumui užtikrinti, neapsiribojant bendrosiomis frazėmis ar nuorodomis į teisės aktus ar to paties BDAR 32 str., kitaip tariant sutartyje šie reikalavimai turi būti detalizuoti konkrečiomis juos įgyvendinančiomis priemonėmis.

Kaip konkrečiai pasireiškia duomenų tvarkytojo pagalba duomenų valdytojui?

Kadangi BDAR 28 str. 3 d. f) punktas nustato, kad duomenų tvarkytojas padeda duomenų valdytojui užtikrinti BDAR 32–36 str. nustatytų prievolių laikymąsi, atsižvelgdamas į duomenų tvarkymo pobūdį ir duomenų tvarkytojo turimą informaciją, dažnai duomenų tvarkymo sutartyse įprastai tik nurodyti pareigą, jog duomenų tvarkytojas padeda duomenų valdytojui atlikti poveikio domenų apsaugai vertinimą (BDAR 35 str.) ar vykdant išankstines konsultacijas su priežiūros institucija (BDAR 36 str.), taip ir nedetalizuojant kokia ir kaip teikiama ta pagalba. VDAI į tai atkreipia dėmesį ir minėtame dokumente siūlo aprašyti duomenų tvarkytojo teikiamos pagalbos apimtį ir mastą, aprašyti konkrečias technines ir organizacines priemones, kurių turi imtis duomenų tvarkytojas, norėdamas padėti duomenų valdytojui. Todėl darytina išvada, kad sutartyse turi būti nurodyta ne tik bendroji nuostata padėti duomenų valdytojui, bet ir šiai pagalbai įgyvendinti skirtos nuostatos, pvz., visą turimą informaciją duomenų valdytojo atliekama poveikio duomenų apsaugai vertinimui duomenų tvarkytojas turi pateikti per tris darbo dienas nuo duomenų valdytojo kreipimosi ir pan.