Suvestinė redakcija nuo 2024-04-30
Įsakymas paskelbtas: TAR 2018-10-29, i. k. 2018-17041
APLINKOS APSAUGOS AGENTŪROS DIREKTORIUS
ĮSAKYMAS
dėl ASMENS DUOMENŲ TVARKYMO APLINKOS APSAUGOS AGENTŪROJE TAISYKLIŲ PATVIRTINIMO
2018 m. spalio 24 d. Nr. AV-279
Vilnius
Įgyvendindama 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamentą (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas) (OL 2016 L 119, p. 1) ir atsižvelgdama į Europos Komisijos 2018 m. sausio 24 d. komunikatą Europos Parlamentui ir Tarybai „Didesnė apsauga, naujos galimybės. Komisijos gairės dėl tiesioginio Bendrojo duomenų apsaugos reglamento taikymo nuo 2018 m. gegužės 25 d.“:
1. Tvirtinu Asmens duomenų tvarkymo Aplinkos apsaugos agentūroje taisykles (toliau – taisyklės) (pridedama).
2. P a v e d u supažindinti su taisyklėmis:
2.1. Aplinkos apsaugos agentūros Teisės skyriaus vedėjui Agentūros direktoriaus pavaduotojus ir administracijos padalinių (departamentų ir nesančių departamento struktūroje skyrių) vadovus per Dokumentų valdymo bendrąją informacinę sistemą (toliau – DBSIS);
2.2. Aplinkos apsaugos agentūros administracijos padalinių (departamentų, skyrių) vadovams jiems pavaldžius valstybės tarnautojus ir darbuotojus, dirbančius pagal darbo sutartis, per DBSIS;
2.3. Aplinkos apsaugos agentūros Personalo ir dokumentų valdymo skyriui naujai priimamus valstybės tarnautojus ir darbuotojus, dirbančius pagal darbo sutartį, per DBSIS arba pasirašytinai.
Punkto pakeitimai:
Nr. AV-306, 2022-12-28, paskelbta TAR 2022-12-28, i. k. 2022-27112
3. Skiriu Aplinkos apsaugos agentūros Teisės skyriaus vedėją atsakingu už taisyklių nuostatų laikymosi priežiūrą ir jose reglamentuotų nuostatų vykdymo kontrolę ir taisyklių peržiūrėjimą.
4. P r i p a ž i s t u netekusiu galios Aplinkos apsaugos agentūros direktoriaus 2016 m. rugsėjo 9 d. įsakymą Nr. AV-242 „Dėl Asmens duomenų tvarkymo Aplinkos apsaugos agentūroje taisyklių patvirtinimo“.
PATVIRTINTA
Aplinkos apsaugos agentūros direktoriaus
2018 m. spalio 24 d. įsakymu Nr. AV-279
ASMENS DUOMENŲ TVARKYMO APLINKOS APSAUGOS AGENTŪROJE TAISYKLĖS
I SKYRIUS
BENDROSIOS NUOSTATOS
1. Asmens duomenų tvarkymo Aplinkos apsaugos agentūroje (toliau – Agentūra, asmens duomenų valdytojas, asmens duomenų tvarkytojas) taisyklių (toliau – taisyklės) tikslas – nustatyti duomenų subjektų teisių įgyvendinimo Agentūroje tvarką siekiant įgyvendinti atskaitomybės principą.
2. Įgyvendinant duomenų subjekto teises vadovaujamasi 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamentu (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas) (toliau – Bendrasis duomenų apsaugos reglamentas), Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymu ir šiomis taisyklėmis.
3. Šios taisyklės taikomos ir yra privalomos asmens duomenų valdytojui, asmens duomenų tvarkytojui Agentūrai ir visiems Agentūros valstybės tarnautojams ir darbuotojams, dirbantiems pagal darbo sutartis (toliau – darbuotojai), kurie vykdydami savo tiesiogines funkcijas, nustatytas pareigybių aprašymuose, tvarko asmens duomenis.
4. Agentūra, juridinio asmens kodas 188784898, buveinės adresas A. Juozapavičiaus g. 9, 09311 Vilnius, mob. tel. +370 682 92653, el. p. aaa@gamta.lt , yra visų Agentūros veiklos ir vidaus administravimo procesuose surinktų asmens duomenų valdytojas, taip pat duomenų subjektų, valstybės, savivaldybės institucijų, įstaigų, kitų organizacijų, įmonių ir kitų juridinių asmenų, Europos Sąjungos institucijų, įstaigų, valstybių narių ir trečiųjų valstybių institucijų, įstaigų, kitų organizacijų, įmonių ir kitų juridinių asmenų, tarptautinių organizacijų asmens duomenų, perduotų Agentūrai, asmens duomenų tvarkytojas.
Punkto pakeitimai:
Nr. AV-306, 2022-12-28, paskelbta TAR 2022-12-28, i. k. 2022-27112
5. Už asmens duomenų apsaugos reikalavimų įgyvendinimo ir laikymosi stebėseną ir priežiūrą Agentūroje atsakingas duomenų apsaugos pareigūnas, skiriamas Agentūros direktoriaus įsakymu. Duomenų apsaugos pareigūno el. p. duomenuapsauga@gamta.lt. Duomenų apsaugos pareigūno duomenys ir informacija apie duomenų subjektų asmens duomenų tvarkymą skelbiama Agentūros interneto svetainės https://aaa.lrv.lt skyriaus „Teisinė informacija“ skiltyje „Asmens duomenų apsauga“. Agentūra apie duomenų apsaugos pareigūno paskyrimą praneša Valstybinei duomenų apsaugos inspekcijai.
Punkto pakeitimai:
Nr. AV-306, 2022-12-28, paskelbta TAR 2022-12-28, i. k. 2022-27112
6. Taisyklėse vartojamos sąvokos atitinka Bendrajame duomenų apsaugos reglamente, Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatyme ir kituose Lietuvos Respublikos teisės aktuose, reglamentuojančiuose asmens duomenų tvarkymą ir apsaugą, vartojamas sąvokas.
7. Asmens duomenų tvarkymo Agentūroje tikslas – tvarkyti asmens duomenis pagal Agentūrai nustatytus įgaliojimus atlikti viešąjį administravimą Lietuvos Respublikos įstatymuose, Lietuvos Respublikos Vyriausybės nutarimuose, Lietuvos Respublikos aplinkos ministro įsakymuose, kituose teisės aktuose, Agentūros nuostatuose, patvirtintuose Lietuvos Respublikos aplinkos ministro 2004 m. liepos 14 d. įsakymu Nr. D1-385 „Dėl Aplinkos apsaugos agentūros nuostatų patvirtinimo“.
II SKYRIUS
ASMENS DUOMENŲ TVARKYMO TIKSLAI IR
JŲ PAGRINDU TVARKOMI ASMENS DUOMENYS
9. Asmens duomenų tvarkymo Agentūroje tikslai ir tvarkomi asmens duomenys:
9.1. skundų, prašymų nagrinėjimo tikslu tvarkomi asmenų, pateikusių Agentūrai skundą, prašymą, asmens duomenys (vardas, pavardė, asmens kodas, adresas, telefono ryšio numeris, elektroninio pašto adresas), kiti skunde, prašyme nurodyti asmens duomenys (įskaitant ir specialių kategorijų asmens duomenis), skundo, prašymo nagrinėjimo metu gauta informacija (duomenys) apie asmenį ir skundo, prašymo nagrinėjimo rezultatas, kai jame nurodomi asmens duomenys tvarkomi automatiniu būdu DBSIS vidaus administravimo (raštvedybos tvarkymo) tikslu, Aplinkosaugos leidimų sistemoje (ALIS), Atliekų tvarkytojų valstybės registre (ATVR), kitose informacinėse sistemose administracinių paslaugų, pavyzdžiui, leidimo išdavimo, įregistravimo į ATVR ar pan., gavimo tikslais, neautomatiniu būdu susistemintose rinkmenose, popierinėje formoje skundų ir prašymų nagrinėjimo tikslais, kitų administracinių paslaugų gavimo tikslais. Dokumentai su asmens duomenimis popierinėje formoje ir elektroninėje formoje saugomi Agentūros dokumentacijos plane nurodytais terminais. Pasibaigus saugojimo terminui, laikino saugojimo bylos yra naikinamos;
Papunkčio pakeitimai:
Nr. AV-306, 2022-12-28, paskelbta TAR 2022-12-28, i. k. 2022-27112
9.2.[1] personalo valdymo vidaus administravimo (personalo valdymo, raštvedybos tvarkymo) tikslu tvarkomi Agentūros esamų ir buvusių darbuotojų asmens duomenys, pretendentų į Agentūros valstybės tarnautojus ir darbuotojus, dirbančius pagal darbo sutartis, asmenų, atliekančių studento praktinį mokymą ar savanoriškos veiklos sutarties pagrindais, asmens duomenys: vardas, pavardė, gyvenamosios vietos adresas, asmeninis telefono numeris, šeiminė padėtis, vaikai, banko atsiskaitomosios sąskaitos numeris, gimimo data, asmens kodas, asmens dokumento duomenys, socialinio draudimo pažymėjimo duomenys, išsilavinimas, darbinė ir kitos veiklos, tarnybinės nuobaudos, drausminės nuobaudos, skatinimas, darbo užmokestis, pareigybės aprašymas, darbo sutartis, elektroninio pašto adresas ir t.t. Taip pat esamų ir buvusių valstybės tarnautojų ir darbuotojų pateiktose privačių interesų deklaracijose nurodyti sutuoktinio asmens duomenys, kitų fizinių asmenų asmens duomenys. Dokumentai su asmens duomenimis popierinėje formoje saugomi Agentūros dokumentacijos plane nurodytais terminais. Pasibaigus saugojimo terminui, laikino saugojimo bylos yra naikinamos, o ilgo ir nuolatinio saugojimo bylos yra saugomos Agentūros archyve iki bus perduota Lietuvos naujajam archyvui. Informacinėse sistemose, registruose tvarkomi Agentūros valstybės tarnautojų ir darbuotojų, kitų asmenų asmens duomenys saugomi informacinių sistemų, registrų duomenų bazėse;
9.3. viešųjų pirkimų tikslu tvarkomi tiekėjų pateiktuose pasiūlymuose nurodyti asmens duomenys tvarkomi ir saugomi automatiniu būdu Centrinės viešųjų pirkimų informacinėje sistemoje (CVPIS), neautomatiniu būdu susistemintose rinkmenose, popierinėje formoje. Dokumentai su asmens duomenimis popierinėje formoje saugomi Agentūros dokumentacijos plane nurodytais terminais. Pasibaigus saugojimo terminui, laikino saugojimo bylos yra naikinamos;
9.4. vidaus administravimo (sutarčių vykdymo ir atsiskaitymo) tikslu tvarkomi fizinių asmenų, su Agentūra sudariusių prekių, paslaugų ar darbų viešojo pirkimo sutartis, asmens duomenys, o juridinių asmenų – jų darbuotojų, nurodytų sutartyse, asmens duomenys;
9.5. paskelbimo Agentūros interneto svetinėje informacijos apie Agentūros valstybės tarnautojus ir darbuotojus, jų kontaktus vadovaujantis Bendrųjų reikalavimų valstybės ir savivaldybių institucijų ir įstaigų interneto svetainėms aprašu, patvirtintu Lietuvos Respublikos Vyriausybės 2003 m. balandžio 18 nutarimu Nr. 480 „Dėl Bendrųjų reikalavimų valstybės ir savivaldybių institucijų ir įstaigų interneto svetainėms aprašo patvirtinimo“, tikslu tvarkomi asmens duomenys;
9.6. ginčų nagrinėjimo teismuose ir ikiteisminėse ginčų nagrinėjimo institucijose tikslu automatiniu būdu tvarkomi ir saugomi Lietuvos teismų elektroninių paslaugų portale (EPP), neautomatiniu būdu susistemintose rinkmenose, popierinėje formoje. Dokumentai su asmens duomenimis popierinėje formoje saugomi Agentūros dokumentacijos plane nurodytais terminais. Pasibaigus saugojimo terminui, laikino saugojimo bylos yra naikinamos;
9.7. asmens duomenys automatiniu būdu tvarkomi ir saugomi Agentūros tvarkomose registruose, kadastruose ir informacinėse sistemose esantys duomenų subjektų asmens duomenys, kurių tvarkymo tikslas ir baigtinis tvarkomų asmens duomenų sąrašas numatyti atitinkamo registro, kadastro ar atitinkamos informacinės sistemos nuostatuose: Aplinkos informacijos valdymo integruotoje kompiuterinėje sistemoje (AIVIKS IS), Aplinkosaugos leidimų sistemoje (ALIS), Licencijų informacinėje sistemoje (LIS), Europos aplinkos informacijos ir stebėjimo tinkle (EIONET), Atliekų tvarkytojų valstybės registre (ATVR), Lietuvos Respublikos upių, ežerų ir tvenkinių kadastre (UETK), Valstybės tarnautojų registre (VATARAS), Valstybės tarnybos valdymo informacinėje sistemoje (VATIS), Privačių interesų registre (PINREG), Vieningos gaminių, pakuočių ir atliekų apskaitos informacinėje sistemoje (GPAIS), Statybos leidimų ir statybos valstybinės priežiūros informacinėje sistemoje (IS Infostatyba), Teritorijų planavimo dokumentų rengimo informacinėje sistemoje (TPDRIS), Žemėtvarkos planavimo dokumentų rengimo informacinėje sistemoje (ŽPDRIS), Centrinės viešųjų pirkimų informacinėje sistemoje (CVPIS), Lietuvos teismų elektroninių paslaugų portale (EPP), Lietuvos Respublikos valstybinio socialinio draudimo fonde (SODRA), Nekilnojamojo turto registre ir kadastre, taip pat žinybinėse informacinėse sistemose: pagalbos tarnybos informacinėje sistemoje (PTIS), DBSIS, Buhalterinės apskaitos programoje (STEKAS) ir pan., Agentūros interneto svetainėje ir kitose Agentūros informacinėse sistemose duomenų tvarkymo tikslais;
Papunkčio pakeitimai:
Nr. AV-306, 2022-12-28, paskelbta TAR 2022-12-28, i. k. 2022-27112
10. Visi darbuotojai yra informuojami apie jų asmens duomenų tvarkymą vidaus administravimo, socialinio draudimo mokesčio ir kitų mokesčių administravimo tikslais, taip pat apie vietos nustatymo įrenginio renkamų asmens duomenų tvarkymą, apie asmens duomenų tvarkytojo pasikeitimus. Informavimo apie jų asmens duomenų tvarkymą formos yra pateikiamos taisyklių 3, 4 prieduose.
11. Asmens duomenys gali būti atskleisti ar kitaip perduoti tik įstatymų ir kitų teisės aktų nustatytais atvejais ir tvarka:
11.1. Agentūros darbuotojų asmens duomenys Valstybės tarnybos departamentui valstybės tarnybos valdymo tikslu;
11.2. Agentūros darbuotojų asmens duomenys Vyriausiajai tarnybinės etikos komisijai privačių interesų deklaracijų kontrolės tikslu;
11.3. Agentūros darbuotojų asmens duomenys Valstybinio socialinio draudimo fondo valdybai prie Socialinės apsaugos ir darbo ministerijos socialinio draudimo mokesčio administravimo tikslu, Valstybinei mokesčių inspekcijai prie Lietuvos Respublikos finansų ministerijos – mokesčių administravimo tikslu; Nacionaliniam bendrųjų funkcijų centrui – personalo administravimo tikslu, darbo užmokesčio apskaičiavimo ir persiuntimo į darbuotojų sąskaitas bankuose tikslu;
11.4. asmenų, pateikusių Agentūrai skundą ar prašymą, asmens duomenys juridiniams ir fiziniams asmenims skundo ar prašymo nagrinėjimo tikslu;
11.5. Agentūros darbuotojų ir kitų asmenų asmens duomenys Lietuvos valstybės naujajam archyvui Agentūros bylų perdavimo saugojimui ir saugojimo tikslu;
11.6. Agentūros darbuotojų asmens duomenys Agentūros vadovybei ir Agentūros administracijos padalinių vadovams, tarnybinių ar drausminių nusižengimų tyrėjams, darbo laiko apskaitos žiniaraščių rengėjams, vizuotojams vidaus administravimo (personalo valdymo, finansinių ir materialinių išteklių valdymo, viešųjų pirkimų kontrolės, raštvedybos, privačių interesų deklaracijų kontrolės, leidimo išduoti dirbti kitą darbą, valstybės tarnautojų tarnybinės veiklos vertinimo, darbuotojų darbinės veiklos vertinimo tikslais);
11.7. asmenų, pateikusių Agentūrai skundą ar prašymą, asmens duomenys Agentūros direktoriui ar jo įgaliotam asmeniui, Aplinkos ministerijai, Lietuvos Respublikos seimo kontrolieriui, Lietuvos Respublikos valstybės kontrolei, Valstybės tarnybos departamentui, Vyriausiajai tarnybinės etikos komisijai, Lietuvos administracinių ginčų komisijai, teismams skundo, prašymo ar ginčo dėl Agentūros priimto sprendimo teisėtumo ir pagrįstumo nagrinėjimo tikslu;
11.8. Agentūros tvarkomuose registruose, kadastruose ir informacinėse sistemos esantys duomenų subjektų asmens duomenys, atitinkamo registro ar atitinkamos informacinės sistemos nuostatuose nurodytiems susijusiems registrams, kadastrams, informacinėms sistemoms bei kitiems duomenų gavėjams duomenų teikimo sutarčių pagrindais;
11.9. Agentūros darbuotojų asmens duomenys įstatymo, kitų teisės aktų pagrindais arba sutarčių pagrindais ar kitam duomenų tvarkytojui;
III SKYRIUS
ASMENS DUOMENŲ TVARKYMO IR APSAUGOS REIKALAVIMAI IR PRIEMONĖS
12. Agentūroje tvarkomi asmens duomenys laikantis Bendrajame duomenų apsaugos reglamente ir Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymo 3 ir 5 straipsniuose nustatytų asmens duomenų tvarkymo reikalavimų. Agentūroje asmens duomenys renkami tik teisės aktų nustatyta tvarka arba sutarčių pagrindais, juos gaunant tiesiogiai iš duomenų subjekto, oficialiai užklausiant reikalingą informaciją tvarkančių ir turinčių teisę ją teikti valstybės ir savivaldybių institucijų, įstaigų, įmonių, organizacijų, kitų trečiųjų asmenų, kurie įstatymų ar kitų teisės aktų įpareigoti tvarkyti asmens duomenis. Agentūroje duomenys tvarkomi automatiniu ir neautomatiniu būdu.
13. Duomenų subjekto asmens duomenys trečiosioms valstybėms ir visuomeninėms organizacijoms neteikiami, išskyrus Europos Sąjungos ir Lietuvos Respublikos teisės aktuose, tarpvalstybiniuose susitarimuose nustatytus atvejus.
14. Agentūroje asmens duomenys yra saugomi ne ilgiau, negu to reikalauja duomenų tvarkymo tikslai. Konkretūs dokumentų, automatinių duomenų rinkmenų ir duomenų bazių, jų kopijų, kuriuose nurodomi asmenys duomenys, saugojimo terminai ir saugojimo vieta nustatyti Agentūros direktoriaus patvirtintame Dokumentacijos plane, registrų, kadastrų ir informacinių sistemų nuostatuose, registrų, kadastrų ir informacinių sistemų saugos nuostatuose.
15. Dokumentai, kuriuose nurodomi asmens duomenys tvarkomi DBSIS.
Punkto pakeitimai:
Nr. AV-306, 2022-12-28, paskelbta TAR 2022-12-28, i. k. 2022-27112
16. Dokumentai, kuriuose nurodomi asmens duomenys ir kurių saugojimo terminas yra pasibaigęs, ir jų kopijos turi būti sunaikinami taip, kad šių dokumentų nebūtų galima atkurti ir atpažinti jų turinio, išskyrus, kai įstatymų nustatytais atvejais turi būti perduoti Lietuvos valstybės naujajam archyvui. Duomenis saugomus vietinio kompiuterinio tinklo specialiame kataloge ištrina darbuotojai, pasibaigus saugojimo laikotarpiui.
17. Agentūros vietinio tinklo sritys, kuriose yra saugomi asmens duomenys, privalo būti apsaugotos prieigos prie asmens duomenų slaptažodžiais arba turi būti apribotos prieigos teisės prie jų. Prieigos prie duomenų rinkinių, kuriuose yra asmens duomenys, slaptažodžiai suteikiami, keičiami ir saugomi užtikrinant jų konfidencialumą, yra unikalūs, sudaromi nenaudojant asmeninio pobūdžio informacijos, keičiami periodiškai ne rečiau kaip kartą per 12 mėnesių, taip pat susidarius tam tikroms aplinkybėms (pasikeitus darbuotojui, iškilus įsilaužimo grėsmei, kilus įtarimui, kad slaptažodis tapo žinomas tretiesiems asmenims, ir pan.) ir pirmojo prisijungimo metu naudotojo privalomai keičiami. Agentūros darbuotojas, dirbantis konkrečiu kompiuteriu ir (ar) turintis prieigos teisę prie asmens duomenų, turi naudotis prieigos prie asmens duomenų slaptažodžiais asmeniškai ir neatskleisti jų tretiesiems asmenims.
18. Agentūros interneto svetainėje turi būti maksimaliai apribotos galimybės viešai veikiančioms interneto paieškos sistemoms bei paieškos variklių robotams kopijuoti Agentūros svetainėje esančią informaciją ir būtų maksimaliai apribota galimybė šioms sistemoms ir robotams surasti anksčiau skelbtos, bet iš Agentūros interneto svetainės jau pašalintos, informacijos kopijų. Kompiuterinė įranga turi būti apsaugota nuo kenksmingos programinės įrangos (antivirusinių programų įdiegimas, atnaujinimas ir pan.).
19. Asmens duomenų tvarkymo keliamos rizikos vertinimo atlikimo tvarką ir saugumo pažeidimų valdymą, reagavimo į šiuos pažeidimus veiksmus nustato Bendrasis duomenų apsaugos reglamentas, kiti asmens duomenų saugos politiką įgyvendinantys teisės aktai.
IV SKYRIUS
DUOMENŲ SUBJEKTO SUTIKIMAS
21. Siekiant užtikrinti asmens duomenų tvarkymo teisėtumą asmens duomenys turėtų būti tvarkomi gavus atitinkamo duomenų subjekto sutikimą.
22. Sutikimas nereikalingas jei asmens duomenis galima tvarkyti remiantis kitu teisėtu teisiniu pagrindu, nustatytu Bendrajame duomenų apsaugos reglamente, arba kitame Sąjungos teisės akte ar valstybės narės teisėje, įskaitant būtinybę, kad duomenų valdytojas vykdytų jam tenkančią teisinę prievolę, arba būtinybę vykdyti sutartį, kurios šalis yra duomenų subjektas, arba siekiant imtis priemonių duomenų subjekto prašymu prieš sudarant sutartį.
23. Duomenų subjekto sutikimas yra užpildomas ir teikiamas Agentūrai pagal taisyklių 1 priede nustatytą formą.
24. Duomenų subjekto sutikimai gali būti renkami šiais būdais: raštu, įskaitant gautus elektroninėmis priemonėmis, žodžiu ar veiksmais, jeigu yra galimybė įrodyti, kad toks sutikimas buvo duotas, ir jeigu duomenų subjektas savo veiksmais aiškiai sutinka su siūlomu jo asmens duomenų tvarkymu. Duomenų subjekto tylėjimas, iš anksto pažymėti laukai arba neveikimas nelaikomi duomenų subjekto sutikimu.
25. Kai asmens duomenys yra tvarkomi sutikimo pagrindu, tvarkomi tik tie asmens duomenys, kurie nurodyti sutikime, tik tais tikslais, kurie nurodyti sutikime, ir su jais atliekamos tik tos tvarkymo operacijos (veiksmai), kurios nurodytos sutikime. Jeigu keičiasi tvarkomų duomenų kiekis, tvarkymo tikslas ar tvarkymo operacijos (veiksmai), privaloma gauti papildomą sutikimą tokiam duomenų tvarkymui arba turi egzistuoti kitas teisėtas teisinis pagrindas.
26. Sutikimas gali būti asmens duomenų tvarkymo pagrindas, jei atitinka šiuos reikalavimus:
26.2. sutikimas yra konkretus ir išsamus, jame aiškiai ir išsamiai nurodytas konkretus ir teisėtas asmens duomenų tvarkymo tikslas, nurodyti konkretūs asmens duomenys, kurie bus tvarkomi konkrečiais duomenų tvarkymo tikslais, nurodytos duomenų tvarkymo operacijos (veiksmai), kurios bus atliekamos sutikimo pagrindu, duomenų subjektui sudaroma galimybė sutikti tik su atskirais duomenų tvarkymo tikslais, jeigu sutikimas duodamas keliems duomenų tvarkymo tikslams, taip pat tik su konkrečiomis duomenų tvarkymo operacijomis (veiksmais);
26.3. sutikimą duomenų subjektas davė tinkamai informuotas. Tam, kad šis reikalavimas būtų įvykdytas, prieš duomenų subjektui pasirašant sutikimą, jam turi būti pateikta Bendrojo duomenų apsaugos reglamento 13 straipsnyje nurodyta informacija bei informuojama apie duomenų subjekto teisę bet kuriuo metu atšaukti savo sutikimą. Informacija gali būti pateikta raštu, žodžiu;
26.4. sutikimas yra nedviprasmiškas duomenų subjekto valios išreiškimas, kad su juo susiję duomenys būtų tvarkomi. Sutikimas turi būti duodamas aktyviais veiksmais;
27. Sutikimas turi būti gaunamas prieš atliekant duomenų tvarkymo operacijas (veiksmus), dėl kurių renkamas sutikimas.
28. Duomenų subjektas turi teisę bet kuriuo metu atšaukti savo sutikimą. Duomenų subjektui atšaukus sutikimą, draudžiama tvarkyti asmens duomenis tais tikslais ir atlikti duomenų tvarkymo operacijas (veiksmus), kurios buvo atliekamos tokio sutikimo pagrindu, išskyrus atvejus, kai tokiam duomenų tvarkymui egzistuoja kitas Bendrajame duomenų apsaugos reglamente ar Asmens duomenų teisinės apsaugos įstatyme įtvirtintas asmens duomenų tvarkymo teisinis pagrindas. Duomenų subjektas apie šiame punkte išdėstytas nuostatas privalo būti informuojamas prieš jam duodant sutikimą.
29. Sutikimas galioja iki jo atšaukimo momento arba iki sutikime nurodyto jo galiojimo termino pabaigos.
30. Sutikimas ir jame nurodyti asmens duomenys yra saugomi vienerius metus (pasibaigus asmens duomenų, dėl kurių tvarkymo buvo duotas sutikimas, saugojimo laikotarpiui) nuo sutikimo atšaukimo arba jo galiojimo termino pabaigos, arba nuo Agentūros sprendimo nebetvarkyti asmens duomenų sutikime nustatytais tikslais priėmimo dienos, išskyrus atvejus, kai teisės aktai numato kitokį duomenų saugojimo terminą. Jei sutikimo duomenys naudojami kaip įrodymai ikiteisminiame ar kitokiame tyrime, įskaitant ir Valstybinės duomenų apsaugos inspekcijos vykdomame tyrime, civilinėje, administracinėje ar baudžiamojoje byloje arba kitais įstatymų nustatytais atvejais, asmens duomenys gali būti saugomi tiek, kiek reikia šiems duomenų tvarkymo tikslams, ir sunaikinami nedelsiant, kai tampa nebereikalingi.
V SKYRIUS
DUOMENŲ SUBJEKTO TEISĖS IR JŲ ĮGYVENDINIMO TVARKA
31. Duomenų subjektas dėl Agentūroje tvarkomų asmens duomenų turi teises, numatytas Bendrojo duomenų apsaugos reglamento III skyriuje:
31.8. teisę, kad jam nebūtų taikomas tik automatizuotu duomenų tvarkymu, įskaitant profiliavimą, grindžiamas sprendimas;
PIRMASIS SKIRSNIS
TEISĖ GAUTI INFORMACIJĄ APIE DUOMENŲ TVARKYMĄ
32. Informacija apie Agentūroje atliekamą duomenų subjekto, išskyrus taisyklių 33 punktą, asmens duomenų tvarkymą, nurodyta Bendrojo duomenų apsaugos reglamento 13 ir 14 straipsniuose, pateikiama raštu asmens duomenų gavimo metu, ar prieš gaunant asmens duomenis, pagal taisyklių 2 priede nustatytą formą. Agentūros darbuotojai pildydami formą gali naudotis duomenimis iš duomenų tvarkymo veiklos įrašų. Rašte, siunčiamame fiziniam asmeniui, ar persiunčiam fizinio asmens prašymui, skundui kitai institucijai, įstaigai, organizacijai, įmonei, kitam juridiniam asmeniui turi būti nurodoma kokioje sistemoje asmens duomenys bus tvarkomi, asmens duomenų tvarkymo tikslas, pvz., grupuoti ir analizuoti tam tikrą veiklą vykdančių, leidimus turinčių asmenų duomenis ir t.t., sistemos valdytojas, juridinio asmens kodas, buveinės adresas, duomenų subjekto teisės. Siunčiant registruotą korespondenciją registruotu paštu ar paštu papildomai fizinis asmuo turi būti raštu informuojamas apie asmens duomenų perdavimą paslaugos teikėjui, teikiančiam korespondencijos ir siuntų pristatymo paslaugas Agentūrai.
321 . Rašte, sprendime, siunčiamame fiziniam asmeniui, ar juridiniam asmeniui, kai rašte ir sprendime yra fizinio asmens duomenų, turi būti pateikiama informacija: Asmens duomenys bus tvarkomi DBSIS. Asmens duomenų tvarkymo tikslas – grupuoti ir analizuoti asmenų duomenis. Asmens duomenys tvarkomi griežtai laikantis Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymo, 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamento (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas). DBSIS valdytoja yra Lietuvos Respublikos vidaus reikalų ministerija, pagrindinis DBSIS tvarkytojas ir DBSIS paslaugų teikėjas yra Informatikos ir ryšių departamentas prie Lietuvos Respublikos vidaus reikalų ministerijos.
Papildyta punktu:
Nr. AV-306, 2022-12-28, paskelbta TAR 2022-12-28, i. k. 2022-27112
33. Informacija apie Agentūroje atliekamą Agentūros darbuotojo asmens duomenų tvarkymą, nurodyta Bendrojo duomenų apsaugos reglamento 13 ir 14 straipsniuose, pateikiama raštu asmens duomenų gavimo metu, ar prieš gaunant asmens duomenis pagal taisyklių 3 ir/ar 4 prieduose nustatytą formą.
34. Kai duomenų subjekto asmens duomenys renkami ne tiesiogiai iš duomenų subjekto, apie šio duomenų subjekto asmens duomenų tvarkymą informuojama:
34.1. per pagrįstą laikotarpį nuo asmens duomenų gavimo, bet ne vėliau kaip per vieną mėnesį, atsižvelgiant į konkrečias asmens duomenų tvarkymo aplinkybes;
34.2. jeigu asmens duomenys bus naudojami ryšiams su duomenų subjektu palaikyti – ne vėliau kaip pirmą kartą susisiekiant su tuo duomenų subjektu;
ANTRASIS SKIRSNIS
TEISĖ SUSIPAŽINTI SU DUOMENIMIS
36. Agentūra, esant duomenų subjekto prašymui įgyvendinti teisę susipažinti su savo asmens duomenimis turi pateikti:
36.2. su asmens duomenų tvarkymu susijusią informaciją, numatytą Bendrojo duomenų apsaugos reglamento 15 straipsnio 1 ir 2 dalyse, jeigu duomenų subjekto asmens duomenys tvarkomi;
37. Duomenų subjektas turi teisę prašyti, kad jam būtų pateikta tvarkomų asmens duomenų kopija ir kita forma, nei Agentūra pateikia. Už duomenų kopiją ir tvarkomų asmens duomenų pateikimą kita forma, išskyrus šių taisyklių 71 punktą, kai veiksmai ir informacija teikiama duomenų subjektui neatlygintinai, imamas mokestis Dokumentų kopijų parengimo Aplinkos apsaugos agentūroje išlaidų atlyginimo tvarkos aprašo, patvirtinto Agentūros direktoriaus 2014 m. rugsėjo 29 d. įsakymu Nr. AV-309 „Dėl Dokumentų kopijų parengimo Aplinkos apsaugos agentūroje išlaidų atlyginimo tvarkos aprašo patvirtinimo“ (Agentūros direktoriaus 2015 m. balandžio 3 d. įsakymo Nr. AV- 85 redakcija), nustatyta tvarka.
TREČIASIS SKIRSNIS
TEISĖ REIKALAUTI IŠTAISYTI DUOMENIS
38. Duomenų subjektas, vadovaudamasis Bendrojo duomenų apsaugos reglamento 16 straipsniu, turi teisę reikalauti, kad bet kokie jo tvarkomi netikslūs asmens duomenys būtų ištaisyti, o neišsamūs papildyti.
39. Siekiant įsitikinti, kad tvarkomi duomenų subjekto asmens duomenys yra netikslūs ar neišsamūs, Agentūra gali duomenų subjekto paprašyti pateikti tai patvirtinančius įrodymus.
40. Jeigu duomenų subjekto asmens duomenys (ištaisyti pagal duomenų subjekto prašymą) buvo perduoti duomenų gavėjams, Agentūra šiuos duomenų gavėjus apie tai informuoja, nebent tai būtų neįmanoma ar pareikalautų neproporcingų pastangų. Duomenų subjektas turi teisę prašyti, kad jam būtų pateikta informacija apie tokius duomenų gavėjus.
KETVIRTASIS SKIRSNIS
TEISĖ REIKALAUTI IŠTRINTI DUOMENIS („TEISĖ BŪTI PAMIRŠTAM“)
41. Duomenų subjekto teisė ištrinti jo asmens duomenis („teisė būti pamirštam“) įgyvendinama Bendrojo duomenų apsaugos reglamento 17 straipsnyje numatytais atvejais tik dėl šių asmens duomenų, tvarkomų žemiau nurodytais tikslais:
42. Duomenų subjekto teisė reikalauti ištrinti asmens duomenis („teisė būti pamirštam“) gali būti neįgyvendinta Bendrojo duomenų apsaugos reglamento 17 straipsnio 3 dalyje numatytais atvejais.
43. Jeigu duomenų subjekto asmens duomenys (ištrinti pagal duomenų subjekto prašymą) buvo perduoti duomenų gavėjams, Agentūra duomenų gavėjus apie tai informuoja, nebent tai būtų neįmanoma ar pareikalautų neproporcingų pastangų. Duomenų subjektas turi teisę prašyti, kad jam būtų pateikta informacija apie tokius duomenų gavėjus.
PENKTASIS SKIRSNIS
TEISĖ APRIBOTI DUOMENŲ TVARKYMĄ
44. Bendrojo duomenų apsaugos reglamento 18 straipsnio 1 dalyje numatytais atvejais Agentūra privalo įgyvendinti duomenų subjekto teisę apriboti jo asmens duomenų tvarkymą.
45. Asmens duomenys, kurių tvarkymas apribotas, yra saugomi, o prieš tokio apribojimo panaikinimą duomenų subjektas raštu, elektroninių ryšių priemonėmis yra informuojamas.
46. Jeigu duomenų subjekto asmens duomenys (kurių tvarkymas apribotas pagal duomenų subjekto prašymą) buvo perduoti duomenų gavėjams, Agentūra šiuos duomenų gavėjus apie tai informuoja, nebent tai būtų neįmanoma ar pareikalautų neproporcingų pastangų. Duomenų subjektas turi teisę prašyti, kad jam būtų pateikta informacija apie tokius duomenų gavėjus.
ŠEŠTASIS SKIRSNIS
TEISĖ Į DUOMENŲ PERKELIAMUMĄ
47. Duomenų subjekto teisę į duomenų perkeliamumą, numatytą Bendrojo duomenų apsaugos reglamento 20 straipsnyje, Agentūra įgyvendina tik dėl asmens duomenų, tvarkomų automatiniu būdu Agentūros tvarkomų registrų, kadastro ir informacinių sistemų.
48. Duomenų subjektas teisės į duomenų perkeliamumą neturi tų asmens duomenų atžvilgiu, kurie tvarkomi neautomatiniu būdu susistemintose rinkmenose, pavyzdžiui, popierinėse bylose.
49. Duomenų subjektas, kreipdamasis dėl teisės į duomenų perkeliamumą, turi nurodyti, ar pageidauja, kad jo asmens duomenys būtų persiųsti jam ar kitam duomenų valdytojui.
SEPTINTASIS SKIRSNIS
TEISĖ NESUTIKTI SU DUOMENŲ TVARKYMU
51. Duomenų subjektas, vadovaudamasis Bendrojo duomenų apsaugos reglamento 21 straipsniu, turi teisę dėl su juo konkrečiu atveju susijusių priežasčių bet kuriuo metu nesutikti, kad Agentūra tvarkytų jo asmens duomenis skundų, prašymų nagrinėjimo tikslu.
52. Apie duomenų subjekto teisę nesutikti su asmens duomenų tvarkymu Agentūra informuoja raštu arba interneto svetainėje.
53. Duomenų subjektui išreiškus nesutikimą su asmens duomenų tvarkymu, toks tvarkymas atliekamas tik tuo atveju, jeigu motyvuotai nusprendžiama, kad priežastys, dėl kurių atliekamas asmens duomenų tvarkymas, yra viršesnės už duomenų subjekto interesus, teises ir laisves, arba jeigu asmens duomenys yra reikalingi pareikšti, vykdyti ar apginti teisinius reikalavimus.
AŠTUNTASIS SKIRSNIS
TEISĖ REIKALAUTI, KAD NEBŪTŲ TAIKOMAS TIK AUTOMATIZUOTU DUOMENŲ TVARKYMU, ĮSKAITANT PROFILIAVIMĄ, GRINDŽIAMAS SPRENDIMAS
54. Skundų, prašymų nagrinėjimo metu duomenų subjektas turi teisę reikalauti, kad jo atžvilgiu nebūtų taikomas tik automatizuotu duomenų tvarkymu grindžiamas sprendimas ir toks sprendimas būtų peržiūrėtas.
VI SKYRIUS
PRAŠYMO ĮGYVENDINTI DUOMENŲ SUBJEKTO TEISES PATEIKIMAS
56. Kreiptis dėl duomenų subjekto teisių įgyvendinimo duomenų subjektas turi teisę žodžiu arba raštu, pateikiant prašymą asmeniškai, paštu ar elektroninėmis priemonėmis duomenų apsaugos pareigūnui elektroniniu paštu duomenuapsauga@gamta.lt .
Punkto pakeitimai:
Nr. AV-306, 2022-12-28, paskelbta TAR 2022-12-28, i. k. 2022-27112
57. Jeigu dėl duomenų subjekto teisių įgyvendinimo kreipiamasi žodžiu ar prašymas pateiktas raštu asmeniškai, duomenų subjektas turi patvirtinti savo tapatybę pateikdamas asmens tapatybę patvirtinantį dokumentą. To nepadarius, duomenų subjekto teisės nėra įgyvendinamos. Ši nuostata netaikoma, jeigu duomenų subjektas kreipiasi dėl informavimo apie asmens duomenų tvarkymą pagal Bendrojo duomenų apsaugos reglamento 13 ir 14 straipsnius.
58. Jeigu dėl duomenų subjekto teisių įgyvendinimo kreipiamasi raštu, pateikiant prašymą paštu, tuomet kartu su prašymu turi būti pateikta notaro ar kita teisės aktų nustatyta tvarka. Teikiant prašymą elektroninėmis priemonėmis, prašymas turi būti pasirašytas kvalifikuotu elektroniniu parašu arba jis turi būti suformuotas elektroninėmis priemonėmis, kurios leidžia užtikrinti teksto vientisumą ir nepakeičiamumą. Ši nuostata netaikoma, jeigu duomenų subjektas kreipiasi dėl informavimo apie asmens duomenų tvarkymą pagal Bendrojo duomenų apsaugos reglamento 13 ir 14 straipsnius.
59. Prašymas įgyvendinti duomenų subjekto teises turi būti įskaitomas, asmens pasirašytas, jame turi būti nurodyti duomenų subjekto vardas, pavardė, adresas ir (ar) kiti kontaktiniai duomenys ryšiui palaikyti ar kuriais pageidaujama gauti atsakymą dėl duomenų subjekto teisių įgyvendinimo, prašomų pateikti asmens duomenų apimtis.
61. Asmens atstovas prašyme turi nurodyti savo vardą, pavardę, adresą ir (ar) kitus kontaktinius duomenis ryšiui palaikyti, kuriais asmens atstovas pageidauja gauti atsakymą, taip pat atstovaujamo asmens vardą, pavardę bei pateikti atstovavimą patvirtinantį dokumentą ar jo kopiją.
62. Esant abejonių dėl duomenų subjekto tapatybės, duomenų valdytojas ar duomenų tvarkytojas prašo papildomos informacijos, reikalingos ja įsitikinti.
63. Kreipiantis raštu dėl duomenų subjekto teisių įgyvendinimo, rekomenduojama pateikti taisyklių 5 priede nustatytos formos prašymą.
64. Jeigu kreipiamasi dėl netikslių duomenų ištaisymo, pateikiamos tikslius duomenis patvirtinančių dokumentų kopijas; jeigu jos siunčiamos paštu, tuomet turi būti patvirtintos notaro ar kita teisės aktų nustatyta tvarka.
65. Jeigu duomenų subjekto asmens duomenys, tokie kaip vardas, pavardė, yra pasikeitę, kartu pateikiamos dokumentų, patvirtinančių šių duomenų pasikeitimą, kopijos; jeigu jos siunčiamos paštu, tuomet turi būti patvirtintos notaro ar kita teisės aktų nustatyta tvarka.
66. Visais klausimais, susijusiais su duomenų subjekto asmens duomenų tvarkymu ir naudojimusi savo teisėmis, duomenų subjektas turi teisę kreiptis į duomenų apsaugos pareigūną A. Juozapavičiaus g. 9, 09311 Vilnius, el. p. duomenuapsauga@gamta.lt . Siekiant užtikrinti Bendrojo duomenų apsaugos reglamento 38 straipsnio 5 dalyje įtvirtintą konfidencialumą, kreipiantis į duomenų apsaugos pareigūną paštu, ant voko užrašoma, kad korespondencija skirta duomenų apsaugos pareigūnui.
Punkto pakeitimai:
Nr. AV-306, 2022-12-28, paskelbta TAR 2022-12-28, i. k. 2022-27112
VII SKYRIUS
PRAŠYMO ĮGYVENDINTI DUOMENŲ SUBJEKTO TEISES NAGRINĖJIMAS
67. Gavus duomenų subjekto prašymą, ne vėliau kaip per vieną mėnesį nuo prašymo gavimo, jam pateikiama informacija apie tai, kokių veiksmų buvo imtasi pagal gautą prašymą. Jeigu bus vėluojama pateikti informaciją, per nurodytą terminą duomenų subjektas informuojamas apie tai, nurodant vėlavimo priežastis ir apie galimybę pateikti skundą Valstybinei duomenų apsaugos inspekcijai.
68. Jeigu prašymas pateiktas nesilaikant taisyklių VI skyriuje nustatytos tvarkos ir reikalavimų, jis nenagrinėjamas, ir nedelsiant, bet ne vėliau kaip per 5 (penkias) darbo dienas duomenų subjektas apie tai informuojamas nurodant priežastis.
69. Jeigu prašymo nagrinėjimo metu nustatoma, jog duomenų subjekto teisės yra apribotos Bendrojo duomenų apsaugos reglamento 23 straipsnio 1 dalyje numatytais pagrindais, duomenų subjektas apie tai informuojamas.
70. Informacija pagal duomenų subjekto prašymą dėl jo teisių įgyvendinimo pateikiama valstybine kalba. Kai duomenų subjektas prašymą pateikia elektroninėmis priemonėmis ir išskyrus atvejus, kai duomenų subjektas paprašo ją pateikti kitaip, informacija pateikiama įprastai naudojama elektronine forma.
71. Visi veiksmai pagal duomenų subjekto prašymus įgyvendinti duomenų subjekto teises atliekami ir informacija teikiama neatlygintinai kartą per kalendorinius metus. Jei duomenų subjektas kreipiasi į Agentūrą su prašymu gauti nurodytą informaciją daugiau negu vieną kartą per metus, Agentūra, teikdama duomenų subjektui nurodytą informaciją, vadovaujasi Bendrojo duomenų apsaugos reglamento 12 straipsnio 5 dalimi, 15 straipsnio 3 dalimi. Kai duomenų subjektas prašymą pateikia elektroninėmis priemonėmis ir išskyrus atvejus, kai duomenų subjektas paprašo ją pateikti kitaip, informacija pateikiama įprastai naudojama elektronine forma.
72. Agentūros veiksmus ar neveikimą įgyvendinant duomenų subjekto teises duomenų subjektas turi teisę skųsti pats arba duomenų subjekto atstovas, taip pat jo įgaliota ne pelno įstaiga, organizacija ar asociacija, atitinkanti Bendrojo duomenų apsaugos reglamento 80 straipsnio reikalavimus, Valstybinei duomenų apsaugos inspekcijai, L. Sapiegos g., 10312 Vilnius, el. paštas ada@ada.lt, interneto svetainė https://vdai.lrs.lt/, taip pat Regionų administracinio teismo Vilniaus rūmams Žygimantų g. 2, 01102, Vilnius.
Punkto pakeitimai:
Nr. AV-79, 2024-04-26, paskelbta TAR 2024-04-29, i. k. 2024-07816
73. Dėl duomenų subjekto teisių pažeidimo patyrus materialinę ar nematerialinę žalą, duomenų subjektas turi teisę į kompensaciją, dėl kurios priteisimo turi teisę kreiptis į Regionų administracinio teismo Vilniaus rūmus Žygimantų g. 2, 01102, Vilnius.
Punkto pakeitimai:
Nr. AV-79, 2024-04-26, paskelbta TAR 2024-04-29, i. k. 2024-07816
VIII SKYRIUS
ASMENS DUOMENŲ SAUGUMAS
74. Atsižvelgdama į techninių galimybių išsivystymo lygį, įgyvendinimo sąnaudas bei duomenų tvarkymo pobūdį, aprėptį, kontekstą ir tikslus, taip pat duomenų tvarkymo keliamus įvairios tikimybės ir rimtumo pavojus fizinių asmenų teisėms ir laisvėms, Agentūra, duomenų valdytoja ir/ar duomenų tvarkytoja, įgyvendina tinkamas technines ir organizacines priemones, kad būtų užtikrintas pavojų atitinkančio lygio saugumas įgyvendindama Bendrojo duomenų apsaugos reglamento 32 straipsnyje nustatytus reikalavimus.
75. Asmens duomenų saugumo pažeidimo atveju Agentūra, jei įmanoma, praėjus ne daugiau kaip 72 valandoms nuo tada, kai sužino apie asmens duomenų saugumo pažeidimą, apie tai praneša Valstybinei duomenų apsaugos inspekcijai, nebent asmens duomenų saugumo pažeidimas nekelia pavojaus duomenų subjekto teisėms ir laisvėms. Duomenų apsaugos pareigūnas, gavęs informaciją apie asmens duomenų saugumo pažeidimą, per 72 valandas nuo tada, kai sužinojo apie asmens duomenų saugumo pažeidimą, užpildo pranešimą pagal taisyklių 7 priede nustatytą formą.
76. Pranešime duomenų apsaugos pareigūnas aprašo asmens duomenų saugumo pažeidimo pobūdį, galimas pasekmes, priemones, kurių ėmėsi, kad būtų pašalintas asmens duomenų saugumo pažeidimas, ir nurodo savo kontaktus.
761. Kai Agentūros darbuotojas (-ai) gauna informaciją, kad padarė asmens duomenų saugumo pažeidimą, nedelsiant apie tai informuoja duomenų apsaugos pareigūną. Duomenų apsaugos pareigūnas atlieka pirminį tyrimą ir praėjus ne daugiau kaip 72 valandoms nuo tada, kai sužino apie asmens duomenų saugumo pažeidimą, apie tai praneša Valstybinei duomenų apsaugos inspekcijai, nebent asmens duomenų saugumo pažeidimas nekelia pavojaus duomenų subjekto teisėms ir laisvėms. Kai dėl asmens duomenų saugumo pažeidimo gali kilti didelis pavojus duomenų fizinių asmenų teisėms ir laisvėms, duomenų apsaugos pareigūnas nepagrįstai nedelsdamas praneša dėl asmens duomenų saugumo pažeidimo duomenų subjektui. Pranešime duomenų subjektui aiškia ir paprasta kalba aprašomas asmens duomenų saugumo pažeidimo pobūdis ir pateikiama bent Bendrojo duomenų apsaugos reglamento 33 straipsnio 3 dalies b, c ir d punktuose nurodyta informacija ir priemonės, t. y. duomenų apsaugos pareigūno arba kito kontaktinio asmens, galinčio suteikti daugiau informacijos, vardą bei pavardę (pavadinimas) ir kontaktinius duomenis; aprašyti tikėtinas asmens duomenų saugumo pažeidimo pasekmes, aprašyti priemones, kurių ėmėsi arba pasiūlė imtis duomenų valdytojas, kad būtų pašalintas asmens duomenų saugumo pažeidimo, įskaitant, kai tinkama, priemones galimoms neigiamoms jo pasekmėms sumažinti.
Papildyta punktu:
Nr. AV-79, 2024-04-26, paskelbta TAR 2024-04-29, i. k. 2024-07816
762. Agentūros darbuotojas (-ai) konsultuojasi su duomenų apsaugos pareigūnu, kitais Agentūros administracijos padaliniais kokias priemones taikyti asmens duomenų pažeidimui pašalinti. Pašalinęs (-ę) asmens duomenų saugumo pažeidimą, apie tai informuoja duomenų apsaugos pareigūną. Agentūros darbuotojas (-ai), kai dėl asmens duomenų saugumo pažeidimo negali kilti didelis pavojus duomenų fizinių asmenų teisėms ir laisvėms parengia rašytinį pranešimą i kuriuo informuojamas duomenų subjektas apie įvykusį asmens duomenų saugumo pažeidimą, apie galimas jo pasekmes, ar priemones, kurių ėmėsi, kad būtų sumažinto asmens duomenų saugos pažeidimo pasekmės, duomenų apsaugos pareigūno arba kito kontaktinio asmens, galinčio suteikti daugiau informacijos apie įvykusį asmens duomenų saugos pažeidimą, vardas, pavardė (pavadinimas) kaip to reikalaujama Bendrojo duomenų apsaugos reglamento 33 straipsnio 3 dalies b, c ir d punktuose. Šis rašytinis pranešimas derinamas su duomenų apsaugos pareigūnu per Dokumentų valdymo bendrąją informacinę sistemą (DBSIS).
Papildyta punktu:
Nr. AV-79, 2024-04-26, paskelbta TAR 2024-04-29, i. k. 2024-07816
763. Atliekant pavojaus duomenų subjektų teisėms ir laisvėms vertinimą, pavojus turi būti vertinamas ne tik dėl to ne tiems asmenims raštų, laiškų išsiuntimo, bet ir pačio rašto, laiško turinio bei jame pateiktos informacijos atskleidimo atitinkamo asmens atžvilgiu. Turi būti vertinama informacija iš esmės, t. y. tiek dėl rašte nurodytų asmens duomenų atskleidimo, tiek ir dėl laiško turinyje pateikiamos informacijos.
Papildyta punktu:
Nr. AV-79, 2024-04-26, paskelbta TAR 2024-04-29, i. k. 2024-07816
77. Kai dėl asmens duomenų saugumo pažeidimo gali kilti didelis pavojus duomenų subjekto teisėms ir laisvėms, Agentūra savo interneto svetainėje https://aaa.lrv.lt paskelbia pranešimą, kuriame duomenų subjektus informuoja apie asmens duomenų saugumo pažeidimą, nurodo pažeidimo pobūdį, galimas pasekmes, aprašo priemones, kurių ėmėsi, kad būtų pašalintas asmens duomenų saugumo pažeidimas.
Punkto pakeitimai:
Nr. AV-306, 2022-12-28, paskelbta TAR 2022-12-28, i. k. 2022-27112
78. Kai dėl asmens duomenų saugumo pažeidimo gali kilti didelis pavojus duomenų fizinių asmenų teisėms ir laisvėms, duomenų valdytojas ar duomenų apsaugos pareigūnas nedelsdamas praneša apie asmens duomenų saugumo pažeidimą duomenų subjektui įgyvendindamas Bendrojo duomenų apsaugos reglamento 34 straipsnio 2 ir 3 dalyse nustatytus reikalavimus.
79. Asmens duomenų tvarkymą ir apsaugą pagal kompetenciją užtikrina kiekvienas Agentūros darbuotojas.
80. Duomenų tvarkymo veiklos įrašai Agentūroje tvarkomi pagal Asmens duomenų tvarkymo veiklos įrašų tvarkymo reikalavimų aprašą, patvirtintą Agentūros direktoriaus 2018 m. rugsėjo 28 d. įsakymu Nr. AV-254 „Dėl Asmens duomenų tvarkymo veiklos įrašų tvarkymo reikalavimų aprašo patvirtinimo“.
81. Agentūros darbuotojai, siekdami užkirsti kelią atsitiktiniam ar neteisėtam asmens duomenų sunaikinimui, pakeitimui, atskleidimui, taip pat bet kokiam kitam neteisėtam tvarkymui, turi saugoti dokumentus ir duomenų rinkmenas tinkamai ir saugiai, vengti nereikalingų kopijų darymo. Praradus asmens duomenis turi nedelsiant informuoti duomenų apsaugos pareigūną ir registro, kadastro ar informacinės sistemos saugos įgaliotinį. Agentūros darbuotojai privalo operatyviai teikti duomenų apsaugos pareigūnui visą jo paprašytą su asmens duomenų saugumo pažeidimu susijusią informaciją ir dokumentus.
82. Agentūros direktoriui nusprendus, prieš pradedant įgyvendinti duomenų tvarkymo operacijas (veiksmus), atliekamas poveikio duomenų apsaugai vertinimas. Atlikus poveikio duomenų apsaugai vertinimą, asmuo ar asmenys, atlikę poveikio duomenų apsaugai vertinimą, užpildo poveikio duomenų apsaugai vertinimo ataskaitą, kurios forma nustatyta taisyklių 8 priede. Panašių didelius pavojus keliančių duomenų tvarkymo operacijų sekai išnagrinėti galima atlikti vieną poveikio duomenų apsaugai vertinimą.
IX SKYRIUS
ASMENS DUOMENŲ TVARKYTOJŲ TEISĖS IR PAREIGOS
83. Agentūros darbuotojas, tvarkantis duomenų subjektų asmens duomenis, privalo:
83.1. rinkti asmens duomenis šių taisyklių 7 ir 9 punktuose apibrėžtais tikslais ir tvarkyti su šiais tikslais suderintais būdais;
83.2. laikytis pagrindinių asmens duomenų tvarkymo reikalavimų ir saugumo reikalavimų, įtvirtintų Bendrajame duomenų apsaugos reglamente, šiose Taisyklėse ir kituose teisės aktuose;
83.3. laikytis konfidencialumo principo ir laikyti paslaptyje bet kokią su asmens duomenimis susijusią informaciją, su kuria jis susipažino vykdydamas savo funkcijas, nebent tokia informacija būtų vieša pagal galiojančių įstatymų ar kitų teisės aktų nuostatas. Pareiga saugoti asmens duomenų paslaptį galioja ir perėjus dirbti į kitas pareigas ar pasibaigus valstybės tarnybos ar darbo santykiams Agentūroje;
83.4. laikytis šiose taisyklėse nustatytų organizacinių ir techninių asmens duomenų saugumo priemonių, kad būtų užkirstas kelias atsitiktiniam ar neteisėtam asmens duomenų sunaikinimui, pakeitimui, atskleidimui, taip pat bet kokiam kitam neteisėtam tvarkymui, saugoti dokumentus, duomenų rinkmenas bei duomenų bazėse saugomus duomenis ir vengti nereikalingų kopijų darymo;
83.5. nedelsiant pranešti Agentūros direktoriui ar jo paskirtam asmeniui (duomenų apsaugos pareigūnui, saugos įgaliotiniui) apie bet kokią įtartiną situaciją, kuri gali kelti grėsmę Agentūros tvarkomų asmens duomenų saugumui;
84. Visi Agentūros darbuotojai privalo bendradarbiauti su duomenų apsaugos pareigūnu, skubiai teikti visus jo paprašytus dokumentus ir informaciją, derinti raštų, teisės aktų projektus ir t.t. Darbuotojai privalo palaikyti nuolatinį kontaktą su duomenų apsaugos pareigūnu, t. y. užtikrinti, kad su juo duomenų apsaugos pareigūnui būtų lengva susisiekti, operatyviai reaguoti į duomenų apsaugos pareigūno paklausimus, dalyvauti duomenų apsaugos pareigūno organizuojamuose mokymuose.
85. Agentūros darbuotojas netenka teisės tvarkyti duomenų subjektų asmens duomenų, pasibaigus atitinkamai valstybės tarnybos ar darbo santykiams su Agentūra, arba kai jam pavedama vykdyti su asmens duomenų tvarkymu nesusijusias funkcijas.
X SKYRIUS
BAIGIAMOSIOS NUOSTATOS
87. Taisyklės yra skelbiamos Agentūros interneto svetainėje https://aaa.lrv.lt .
Punkto pakeitimai:
Nr. AV-306, 2022-12-28, paskelbta TAR 2022-12-28, i. k. 2022-27112
88. Agentūros darbuotojai su taisyklėmis supažindinami per DBSIS arba pasirašytinai.
Punkto pakeitimai:
Nr. AV-306, 2022-12-28, paskelbta TAR 2022-12-28, i. k. 2022-27112
89. Už šių taisyklių nuostatų laikymosi priežiūrą ir jose reglamentuotų nuostatų vykdymo kontrolę ir taisyklių peržiūrėjimą yra atsakingas Agentūros direktoriaus paskirtas darbuotojas, kuris, įvertinęs taisyklių taikymo praktiką, esant poreikiui, inicijuoja šių Taisyklių pakeitimus.
Asmens duomenų tvarkymo
Aplinkos apsaugos agentūroje
taisyklių
3 priedas
(Informavimo apie darbuotojo asmens duomenų tvarkymą formos pavyzdys)
APLINKOS APSAUGOS AGENTŪRA
|
|
| (darbuotojo skyriaus pavadinimas, pareigos, vardas, pavardė)
|
INFORMAVIMAS APIE DARBUOTOJO ASMENS DUOMENŲ TVARKYMĄ
|
|
| (data)
|
| (vieta)
|
| Aš, |
|
, |
informuotas (-a), kad mano asmens duomenys yra tvarkomi duomenų valdytojo – Aplinkos apsaugos agentūros, juridinio asmens kodas 188784898, buveinės adresas A. Juozapavičiaus g. 9, 09311 Vilnius, vidaus administravimo tikslu (personalo valdymo, raštvedybos tvarkymo, materialinių ir finansinių išteklių naudojimo): vardas, pavardė, asmens kodas, gimimo data, lytis, asmens socialinio draudimo numeris, pilietybė, adresas, gyvenimo ir veiklos aprašymas, šeiminė padėtis, pareigos, duomenys apie priėmimą (perkėlimą) į pareigas, atleidimą iš pareigų, duomenys apie tarnybos stažą įstaigoje ir Lietuvos valstybei, duomenys apie išsilavinimą ir kvalifikaciją, duomenys apie mokymą, duomenys apie atostogas, duomenys apie darbo užmokestį, duomenys apie užsienio kalbų mokėjimo lygį, išeitines išmokas, kompensacijas, pašalpas, informacija apie dirbtą darbo laiką, informacija apie leidimus dirbti kitą darbą, informacija apie skatinimus, apdovanojimus ir nuobaudas, informacija apie atliktus darbus ir užduotis, duomenys apie valstybės tarnautojo tarnybinės veiklos vertinimą, Lietuvos Respublikos piliečio paso arba asmens tapatybės kortelės numeris, išdavimo data, galiojimo data, dokumentą išdavusi įstaiga, dokumentų registracijos data ir numeris, valstybės tarnautojo kodas bei kiti asmens duomenys, kuriuos pateikia pats asmuo ir (arba) kuriuos tvarkyti Lietuvos Respublikos valstybinės darbo inspekcija prie Socialinės apsaugos ir darbo ministerijos įpareigoja įstatymai ir kiti teisės aktai.
Taip pat esu informuotas (-a), kad turiu teisę susipažinti su savo duomenimis, kurie tvarkomi Aplinkos apsaugos agentūros, reikalauti ištaisyti neteisingus, neišsamius, netikslius mano asmens duomenis, reikalauti sustabdyti duomenų tvarkymo veiksmus bei reikalauti sunaikinti neteisėtai, nesąžiningai sukauptus mano asmens duomenis bei nesutikti (teisiškai pagrįstai), kad būtų tvarkomi mano asmens duomenys. Aplinkos apsaugos agentūros direktoriaus įsakymu patvirtintose Asmens duomenų tvarkymo Aplinkos apsaugos agentūroje taisyklėse nurodomos duomenų subjektų teisės. Informaciją apie asmens duomenų tvarkymą galiu rasti Aplinkos apsaugos agentūros interneto svetainėje.
|
|
|
(parašas) |
|
(vardas, pavardė) |
Asmens duomenų tvarkymo
Aplinkos apsaugos agentūroje
taisyklių
4 priedas
(Informavimo apie vietos nustatymo įrenginio GPS renkamų asmens duomenų tvarkymą formos pavyzdys)
APLINKOS APSAUGOS AGENTŪRA
| (darbuotojo skyriaus pavadinimas, pareigos, vardas, pavardė)
|
INFORMAVIMAS APIE VIETOS NUSTATYMO ĮRENGINIO GPS RENKAMŲ ASMENS DUOMENŲ TVARKYMĄ
|
|
|
||
|
(data)
|
|
||
|
(vieta)
|
|
||
| Aš, |
|
, |
||
(vardas, pavardė)
esu informuotas (-a), kad vietos nustatymo įrenginio (toliau – GPS) renkami duomenys yra tvarkomi duomenų valdytojo – Aplinkos apsaugos agentūros, juridinio asmens kodas 188784898, buveinės adresas A. Juozapavičiaus g. 9, 09311 Vilnius, vykdant transporto priemonės stebėseną valstybės tarnautojo, darbuotojo tarnybinių funkcijų atlikimo metu, siekiant apsaugoti patikėtą transporto priemonę.
Taip pat esu informuotas (-a), kad turiu teisę susipažinti su savo duomenimis, kurie tvarkomi Aplinkos apsaugos agentūros, reikalauti ištaisyti neteisingus, neišsamius, netikslius mano asmens duomenis, reikalauti sustabdyti duomenų tvarkymo veiksmus bei reikalauti sunaikinti neteisėtai, nesąžiningai sukauptus mano asmens duomenis bei nesutikti (teisiškai pagrįstai), kad būtų tvarkomi mano asmens duomenys. Aplinkos apsaugos agentūros direktoriaus įsakymu patvirtintose Asmens duomenų tvarkymo Aplinkos apsaugos agentūroje taisyklėse nurodomos duomenų subjektų teisės. Informaciją apie asmens duomenų tvarkymą galiu rasti Aplinkos apsaugos agentūros interneto svetainėje.
| (vardas, pavardė) |
|
(parašas) |
Asmens duomenų tvarkymo
Aplinkos apsaugos agentūroje
taisyklių
5 priedas
(Prašymo įgyvendinti duomenų subjekto teisę (-es) rekomenduojama forma)
(Duomenų subjekto vardas, pavardė)
(Adresas ir (ar) kiti kontaktiniai duomenys (telefono ryšio numeris ar el. pašto adresas
(Atstovas ir atstovavimo pagrindas, jeigu prašymą pateikia duomenų subjekto atstovas)[2]
Aplinkos apsaugos agentūrai
PRAŠYMAS
ĮGYVENDINTI DUOMENŲ SUBJEKTO TEISĘ (-ES)
____________
(Data)
________
(Vieta)
1. Prašau įgyvendinti šią (šias) duomenų subjekto teisę (-es):
(Tinkamą langelį pažymėkite kryželiu):
Teisę gauti informaciją apie duomenų tvarkymą
Teisę susipažinti su duomenimis
Teisę reikalauti ištaisyti duomenis
Teisę reikalauti ištrinti duomenis („teisė būti pamirštam“)
Teisę apriboti duomenų tvarkymą
Teisę į duomenų perkeliamumą
Teisę nesutikti su duomenų tvarkymu
Teisę reikalauti, kad nebūtų taikomas tik automatizuotu duomenų tvarkymu, įskaitant profiliavimą, grindžiamas sprendimas
2. Nurodykite, ko konkrečiai prašote ir pateikite kiek įmanoma daugiau informacijos, kuri leistų tinkamai įgyvendinti Jūsų teisę (-es) (pavyzdžiui, jeigu norite gauti asmens duomenų kopiją, nurodykite, kokių konkrečiai duomenų (pavyzdžiui, 2018 m. x mėn. x d. elektroninio pašto laiško kopiją, 2018 m. x mėn. x d. vaizdo įrašą (x val. x min. – x val. x min.) kopiją pageidaujate gauti; jeigu norite ištaisyti duomenis, nurodykite, kokie konkrečiai Jūsų asmens duomenys yra netikslūs; jeigu nesutinkate, kad būtų tvarkomi Jūsų asmens duomenys, tuomet nurodykite argumentus, kuriais grindžiate savo nesutikimą, nurodykite dėl kokio konkrečiai duomenų tvarkymo nesutinkate; jeigu kreipiatės dėl teisės į duomenų perkeliamumą įgyvendinimo, prašome nurodyti, kokių duomenų atžvilgiu šią teisę pageidaujate įgyvendinti, ar pageidaujate juos perkelti į savo įrenginį ar kitam duomenų valdytojui, jeigu pastarajam, tuomet nurodykite kokiam):
_______________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________.
PRIDEDAMA[3]:
1. _________________________________________________________________________.
2. _________________________________________________________________________.
3. _________________________________________________________________________.
4. _________________________________________________________________________.
_______________ _____________________________
(Parašas) (Vardas, pavardė)
Asmens duomenų tvarkymo
Aplinkos apsaugos agentūroje
taisyklių
6 priedas
(Pasižadėjimo saugoti duomenų paslaptį formos pavyzdys)
APLINKOS APSAUGOS AGENTŪRA
| (darbuotojo skyriaus pavadinimas, pareigos, vardas, pavardė)
|
PasižadėjimAS saugoti duomenų paslaptį
|
|
|
||
|
(data)
|
|
||
|
(vieta)
|
|
||
| Aš, |
|
, |
||
(vardas, pavardė)
suprantu, kad:
-savo darbe tvarkysiu vaizdo duomenis (toliau – asmens duomenys), kurie negali būti atskleisti ar perduoti neįgaliotiems asmenims ar institucijoms;
- draudžiama perduoti neįgaliotiems asmenims slaptažodžius ir kitus duomenis, leidžiančius programinėmis ir techninėmis priemonėmis ar kitaip sudaryti sąlygas susipažinti su Aplinkos apsaugos agentūros tvarkomais asmens duomenimis;
- netinkamas asmens duomenų tvarkymas gali užtraukti atsakomybę pagal Lietuvos Respublikos įstatymus;
įsipareigoju:
- saugoti asmens duomenų paslaptį;
- tvarkyti asmens duomenis, vadovaudamasis Bendruoju duomenų apsaugos reglamentu, Lietuvos Respublikos teisės aktais reglamentuojančiais asmens duomenų tvarkymą ir apsaugą, pareigybės aprašymu ir Aplinkos apsaugos agentūros teisės aktais, reglamentuojančiais funkcijas, kurias vykdant man bus patikėtas asmens duomenų tvarkymas, apibrėžtais ir teisėtais tikslais;
- neatskleisti, neperduoti ir nesudaryti sąlygų jokiomis priemonėmis susipažinti su tvarkoma informacija nė vienam asmeniui, kuris nėra įgaliotas naudotis šia informacija, tiek įstaigos viduje, tiek už jos ribų;
- pranešti savo tiesioginiam vadovui ir (ar) už duomenų apsaugos pareigūnui apie bet kokią įtartiną situaciją, kuri gali kelti grėsmę asmens duomenų saugumui;
- siekdamas užkirsti kelią atsitiktiniam ar neteisėtam asmens duomenų sunaikinimui, pakeitimui, atskleidimui, taip pat bet kokiam kitam neteisėtam tvarkymui, saugoti duomenų rinkmenas tinkamai ir saugiai;
žinau, kad:
- savo tarnyboje (darbe) tvarkysiu asmens duomenis Aplinkos apsaugos agentūros valdomo turto apsaugos tikslu;
- už šio įsipareigojimo nesilaikymą ir teisės aktų reglamentuojančių asmens duomenų tvarkymą ir apsaugą pažeidimą turėsiu atsakyti pagal galiojančius Lietuvos Respublikos įstatymus;
- asmuo, patyręs žalą dėl neteisėto asmens duomenų tvarkymo arba kitų duomenų valdytojo ar duomenų tvarkytojo, taip pat kitų asmenų veiksmų ar neveikimo, pažeidžiančių teisės aktų reglamentuojančių asmens duomenų tvarkymą ir apsaugą nuostatas, turi teisę reikalauti atlyginti jam padarytą turtinę ir neturtinę žalą pagal Bendrojo duomenų apsaugos reglamento 82 straipsnį;
- asmens duomenų tvarkymas pažeidžiant Lietuvos Respublikos teisės aktų reglamentuojančių asmens duomenų tvarkymą ir apsaugą nuostatas užtraukia administracinę atsakomybę pagal Lietuvos Respublikos administracinių nusižengimų kodeksą;
- šis įsipareigojimas galios visą mano darbo laiką šioje įstaigoje ir pasitraukus iš valstybės tarnybos, perėjus dirbti į kitas pareigas arba pasibaigus darbo santykiams.
| (vardas, pavardė) |
|
(parašas) |
Asmens duomenų tvarkymo
Aplinkos apsaugos agentūroje
taisyklių
8 priedas
(Poveikio duomenų apsaugai vertinimo ataskaitos forma)
POVEIKIO DUOMENŲ APSAUGAI VERTINIMO ATASKAITA
(data)
1. Priežastys, dėl kurių būtina atlikti poveikio duomenų apsaugai vertinimą
| Planuojamos vykdyti veiklos aprašymas, jos tikslai ir planuojamos atlikti asmens duomenų tvarkymo operacijos. Paaiškinimas, kodėl būtina atlikti poveikio duomenų apsaugai vertinimą. Jei reikia, prie formos pridedami susiję dokumentai. |
|
|
2. Asmens duomenų tvarkymo aprašymas
| Aprašomi asmens duomenų rinkimo, naudojimo, saugojimo ir naikinimo veiksmai, nurodoma, iš kokių šaltinių bus renkami duomenys, kam bus teikiami (galima pateikti asmens duomenų tvarkymo veiksmų schemą). Aprašoma, kokie asmens duomenų tvarkymo veiksmai gali kelti pavojų fizinių asmenų teisėms ir laisvėms. |
|
|
| Aprašomas tvarkymo mastas: kokių kategorijų asmens duomenys bus tvarkomi; ar bus tvarkomi specialių kategorijų asmens duomenys arba duomenys apie apkaltinamuosius nuosprendžius ir nusikalstamas veikas; kiek duomenų, kaip dažnai bus renkama ir naudojama; kaip ilgai bus saugomi asmens duomenys; nurodomas apytikslis duomenų subjektų skaičius bei geografinė duomenų tvarkymo aprėptis.
|
|
|
| Aprašomas duomenų tvarkymo pobūdis: kokio pobūdžio santykiai sieja Jūsų įmonę su duomenų subjektais; ar duomenų subjektai turės galimybę kontroliuoti duomenų tvarkymą; ar duomenų subjektai gali numatyti, kad jų asmens duomenys bus tvarkomi šiuo būdu; ar bus tvarkomi vaikų ir kitų pažeidžiamų asmenų duomenys; įvertinama, ar toks duomenų tvarkymas yra saugus; ar duomenų tvarkymo technologijos yra naujos, ar egzistuojančios technologijos bus panaudotos kitokiu būdu; koks yra technologijų išsivystymo lygis šioje srityje; ar yra kokių nors visuomeninių ar pan. problemų ar klausimų, į kuriuos būtina atsižvelgti; nurodoma, ar yra įsipareigojimas laikytis patvirtinto elgesio kodekso ar patvirtinto sertifikavimo mechanizmo. |
|
|
| Aprašomi asmens duomenų tvarkymo tikslai: kokį rezultatą siekiama gauti; kokį poveikį tai turės fiziniams asmenims; kokia yra tokio duomenų tvarkymo nauda Jūsų įmonei bei kitiems asmenims. |
|
|
3. Būtinumo ir proporcingumo įvertinimas
| Aprašomas asmens duomenų tvarkymo teisėtumas ir tvarkymo proporcingumas: nurodomas teisėto tvarkymo pagrindas; įvertinama, ar tvarkant asmens duomenis bus pasiektas Jūsų tikslas; ar tą patį rezultatą įmanoma pasiekti kitokiu būdu; kokiu būdu bus išvengta veiklos sutrikimų; kaip bus užtikrinta duomenų kokybė ir įgyvendintas duomenų kiekio mažinimo principas; kokia informacija bus pateikta duomenų subjektams; kaip Jūsų įmonė planuoja įgyvendinti duomenų subjektų teises; kokiu būdu bus užtikrinta, kad duomenų tvarkytojas laikytųsi reikalavimų; kokiu būdu bus užtikrintas į užsienio valstybes teikiamų asmens duomenų saugumas. |
|
|
4. Kriterijų, rodančių galimą didelį pavojų duomenų subjektų teisės ir laisvėms, vertinimas:
| Eil. Nr. |
Kriterijus |
Egzistuoja/ neegzistuoja |
| 1. |
Naudojamas asmens duomenų ar duomenų subjektų vertinimas ir balų skyrimas, įskaitant profiliavimą ir prognozavimą |
|
| 2. |
Automatizuotas sprendimų, sukeliančių teisinį arba panašų rimtą poveikį, priėmimas |
|
| 3. |
Sisteminga asmens duomenų ar duomenų subjektų stebėsena |
|
| 4. |
Neskelbtini duomenys arba labai asmeniški duomenys, pvz., specialių kategorijų asmens duomenys |
|
| 5. |
Didelio masto duomenų tvarkymas |
|
| 6. |
Duomenų rinkinių siejimas ir derinimas |
|
| 7. |
Su pažeidžiamais duomenų subjektais susiję duomenys, pvz., vaikų duomenys, darbuotojai, pažeidžiamesni subjektai, kuriems reikalinga speciali apsauga, segmentai, kai galima nustatyti nelygiaverčius duomenų subjekto ir duomenų valdytojo santykius |
|
| 8. |
Naujų technologijų ar organizacinių sprendimų būdų taikymas |
|
| 9. |
Dėl duomenų tvarkymo duomenų subjektams užkertamas kelias naudotis savo teisėmis, paslaugomis arba sudaryti sutartis |
|
| 10. |
Kitos aplinkybės, rodančios galimą didelį pavojų subjektų teisėms ir laisvėms |
|
5. Pavojų nustatymas ir įvertinimas
| Aprašomas pavojaus ir poveikio fiziniam asmeniui pobūdis. Jei būtina, aprašoma susijusi verslo rizika. |
Žalos tikimybė |
Žalos sunkumas |
Bendras pavojaus lygis |
|
|
Mažai tikėtina, tikėtina ar labai tikėtina |
Minimali, reikšminga ar sunki |
Žemas, vidutinis ar aukštas |
6. Duomenų tvarkymo operacijos atitikties Reglamento ir kitų teisės aktų, reglamentuojančių asmens duomenų apsaugą, vertinimas:
|
|
7. Pavojams, grėsmėms duomenų subjektų teisėms ir laisvėms (V dalis) bei galimam neatitikimui Reglamentui ir kitiems teisės aktams, reglamentuojantiems asmens duomenų apsaugą (VI dalis), pašalinti numatytos priemonės, įskaitant apsaugos priemones, saugumo priemones ir mechanizmus, kuriais užtikrinama asmens duomenų apsauga ir pagrindžiama, kad bus laikomasi Reglamento ir kitų teisės aktų, reglamentuojančių asmens duomenų apsaugą:
| Nurodomos papildomos priemonės, kurių galima imtis siekiant sumažinti ar panaikinti aukšto ar vidutinio lygio pavojus. |
||||
| Pavojus |
Priemonės sumažinti ar pašalinti pavojų |
Priemonės pritaikymo rezultatas |
Likęs pavojus |
Priemonė patvirtinta |
|
|
|
Pašalinta, sumažinta, priimtina rizika
|
Žemas, vidutinis ar aukštas |
Taip, ne |
8. Išvados ir sprendimai
| Nurodomos priemonės ir įvardijamas likęs pavojus |
Vardas, pavardė, data, parašas |
Pastabos |
| Priemonės patvirtintos: |
|
Įtraukti numatytas priemones į veiklos planą, nustatant atlikimo terminą ir atsakingus asmenis |
| Likęs pavojus pripažintas priimtina rizika:
|
|
Jei priimtina rizika pripažintas aukšto lygio pavojus priimtinas, privaloma kreiptis dėl išankstinės konsultacijos į Valstybinę duomenų apsaugos inspekciją |
9. Duomenų subjektų ar jų atstovų nuomonė apie numatomą duomenų tvarkymą, jeigu tokia nuomonė yra gauta, argumentai ir motyvai, jeigu nusprendžiama neatsižvelgti į duomenų subjektų ar jų atstovų nuomonę, arba priežastys, dėl kurių nesiekiama išsiaiškinti duomenų subjektų ar jų atstovų nuomonės:
| Nurodomos ir glaustai aprašomos kitų asmenų nuomonės ir nurodoma, ar į jas atsižvelgta. Jeigu sprendimas skiriasi nuo susijusių asmenų nuomonės, pagrindžiama, kodėl. |
|
|
|
Vardas, pavardė, data, parašas |
10. Duomenų apsaugos pareigūno nuomonė ir konsultacijos dėl poveikio duomenų apsaugai vertinimo:
Duomenų apsaugos pareigūno nuomonė turi būti pateikta dėl asmens duomenų tvarkymo teisėtumo, planuojamų priemonių pavojams mažinti ar pašalinti bei dėl galimybės toliau tvarkyti asmens duomenis.
| Nurodoma duomenų apsaugos pareigūno nuomonė ir konsultacijos dėl poveikio duomenų apsaugai vertinimo: |
|
|
|
Vardas, pavardė, data, parašas |
11. Nurodoma, ar atsižvelgta į duomenų apsaugos pareigūno nuomonę
| Jeigu atmesta, pagrindžiama, kodėl. |
|
|
|
Vardas, pavardė, data, parašas |
12. Pasitelktų konsultantų, specialistų, ekspertų nuomonė ir išvados (jeigu konsultantai, specialistai, ekspertai buvo pasitelkti):
| Nurodoma Pasitelktų konsultantų, specialistų, ekspertų nuomonė ir išvados: |
|
|
|
Vardas, pavardė, data, parašas |
13. Poveikio duomenų apsaugai vertinimo išvados (ar duomenų tvarkymo operacijos kelia riziką dėl didelio pavojaus duomenų subjektų teisėms ir laisvėms ar neatitikties Reglamento ar kitų teisės aktų nuostatoms, ar numatytos priemonės (VII dalis) sumažina riziką iki priimtino lygio, ar yra pagrindas konsultuotis su Valstybine duomenų apsaugos inspekcija):
|
|
|
|
|
Vardas, pavardė, data, parašas |
14. Poveikio duomenų apsaugai vertinimą atlikę asmenys, jų parašai:
_________________________________________
(vardas, pavardė, pareigos) (parašas)
_________________________________________
(vardas, pavardė, pareigos) (parašas)
Priedų pakeitimai:
1 priedas
2 priedas
7 priedas
Pakeitimai:
1.
Aplinkos apsaugos agentūra, Įsakymas
Nr. AV-306, 2022-12-28, paskelbta TAR 2022-12-28, i. k. 2022-27112
Dėl Aplinkos apsaugos agentūros direktoriaus 2018 m. spalio 24 d. įsakymo Nr. AV-279 „Dėl Asmens duomenų tvarkymo Aplinkos apsaugos agentūroje taisyklių patvirtinimo“ pakeitimo
2.
Aplinkos apsaugos agentūra, Įsakymas
Nr. AV-79, 2024-04-26, paskelbta TAR 2024-04-29, i. k. 2024-07816
Dėl Aplinkos apsaugos agentūros direktoriaus 2018 m. spalio 24 d. įsakymo Nr. AV-279 „Dėl Asmens duomenų tvarkymo aplinkos apsaugos agentūroje taisyklių patvirtinimo“ pakeitimo