NACIONALINIO VISUOMENĖS SVEIKATOS CENTRO
PRIE SVEIKATOS APSAUGOS MINISTERIJOS
DIREKTORIUS
ĮSAKYMAS
DĖL NACIONALINIO VISUOMENĖS SVEIKATOS CENTRO PRIE SVEIKATOS APSAUGOS MINISTERIJOS ASMENS DUOMENŲ TVARKYMO TAISYKLIŲ PATVIRTINIMO
2023 m. gruodžio 1 d. Nr. VKE-355
Vilnius
Vadovaudamasis Europos Parlamento ir Tarybos 2016 m. balandžio 27 d. reglamentu (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas), Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymu ir kitais teisės aktais, reglamentuojančiais asmens duomenų apsaugą, Nacionalinio visuomenės sveikatos centro prie Sveikatos apsaugos ministerijos nuostatų, patvirtintų Lietuvos Respublikos sveikatos apsaugos ministro 2015 m. rugsėjo 18 d. įsakymu Nr. V-1058 „Dėl Nacionalinio visuomenės sveikatos centro prie Sveikatos apsaugos ministerijos nuostatų patvirtinimo“, 17.3 papunkčiu ir siekdamas tinkamai įgyvendinti asmens duomenų apsaugos reikalavimus Nacionaliniame visuomenės sveikatos centre prie Sveikatos apsaugos ministerijos:
1. T v i r t i n u Nacionalinio visuomenės sveikatos centro prie Sveikatos apsaugos ministerijos asmens duomenų tvarkymo taisykles (pridedama).
2. Į p a r e i g o j u:
2.1. Teisės ir viešųjų pirkimų skyriaus patarėją ne vėliau kaip per 1 darbo dieną nuo įsakymo užregistravimo dienos dokumentų valdymo sistemos (toliau – DVS) priemonėmis supažindinti su šiuo įsakymu direktoriaus pavaduotoją, departamentų direktorius, skyrių, neįeinančių į departamentų sudėtį, vedėjus;
2.2. skyrių, neįeinančių į departamentų sudėtį, vedėjus ne vėliau kaip per 3 darbo dienas nuo įsakymo užregistravimo dienos DVS priemonėmis supažindinti su šiuo įsakymu skyrių darbuotojus;
PATVIRTINTA
Nacionalinio visuomenės sveikatos
centro prie Sveikatos apsaugos
ministerijos direktoriaus
2023 m. gruodžio 1 d. įsakymu
Nr. VKE-355
NACIONALINIO VISUOMENĖS SVEIKATOS CENTRO
PRIE SVEIKATOS APSAUGOS MINISTERIJOS
ASMENS DUOMENŲ TVARKYMO TAISYKLĖS
I SKYRIUS
BENDROSIOS NUOSTATOS
1. Nacionalinio visuomenės sveikatos centro prie Sveikatos apsaugos ministerijos asmens duomenų tvarkymo taisyklės (toliau – Taisyklės) reglamentuoja fizinių asmenų, kurių duomenis tvarko Nacionalinis visuomenės sveikatos centras prie Sveikatos apsaugos ministerijos (toliau –Centras), asmens duomenų tvarkymo principus, procedūras, technines bei organizacines priemones, skirtas asmens duomenų saugumui užtikrinti, poveikio duomenų apsaugai vertinimą, kitų 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamento (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (toliau – Reglamentas (ES) 2016/679) 5 straipsnio 2 dalyje įtvirtinto atskaitomybės principo įgyvendinimo priemonių tvarką, Centro valstybės tarnautojų ir darbuotojų, dirbančių pagal darbo sutartis, asmenų, atliekančių praktiką Centre (toliau visi kartu – darbuotojai) teises, pareigas ir atsakomybę asmens duomenų tvarkymo srityje, duomenų subjektų teisių įgyvendinimo tvarką vadovaujantis Reglamentu (ES) 2016/679, Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymo (toliau – ADTAĮ) ir kitų teisės aktų, reguliuojančių asmens duomenų apsaugą, reikalavimais.
2. Asmens duomenų tvarkymą Centro valdomose valstybės informacinėse sistemose reglamentuoja šių informacinių sistemų nuostatai.
3. Centras paskiria duomenų apsaugos pareigūną (toliau – DAP), kuris yra atsakingas už Taisyklių įgyvendinimo priežiūrą ir kartu su kitais Taisyklėse nurodytais darbuotojais atlieka Taisyklėse įtvirtintas funkcijas.
5. Centras, tvarkydamas asmens duomenis, vadovaujasi Reglamentu (ES) 2016/679, ADTAĮ ir kituose teisės aktuose, susijusiuose su asmens duomenų tvarkymu ir apsauga, įtvirtintais asmens duomenų tvarkymo reikalavimais.
6. Taisyklių privalo laikytis visi Centro darbuotojai, taip pat tretieji asmenys, kurie, tvarkydami asmens duomenis Centre ir (arba) eidami savo pareigas, sužino asmens duomenis arba turi bet kokio pobūdžio prieigą prie asmens duomenų.
7. Taisyklėse vartojamos sąvokos:
7.1. Duomenų subjektas – asmuo, kurio asmens duomenys tvarkomi Centro veikloje, o Centras yra šių asmens duomenų valdytojas arba tvarkytojas;
7.2. Inventorizacija – Centro tvarkomų asmens duomenų, jų tvarkymo tikslų, pagrindų ir kitų su Centro atliekamu asmens duomenų tvarkymu susijusių aspektų nustatymas ir įvertinimas;
7.4. Privatumo pranešimas – dokumentas, kuriame pateikta visa Reglamento (ES) 2016/679 13 ir 14 straipsniuose nurodyta privaloma informacija duomenų subjektui;
II SKYRIUS
DUOMENŲ TVARKYMO bendrieji reikalavimai ir principai, DARBUOTOJŲ TEISĖS IR PAREIGOS
9. Centre visi asmens duomenys yra tvarkomi vadovaujantis Reglamento (ES) 2016/679 5 straipsnio 1 dalyje įtvirtintais teisėtumo, sąžiningumo ir skaidrumo, tikslo apribojimo, duomenų kiekio mažinimo, tikslumo, saugojimo trukmės apribojimo, vientisumo ir konfidencialumo principais.
10. Asmens duomenys gali būti tvarkomi tik tuo tikslu, kuriuo jie yra renkami. Jeigu tam tikram tikslui pasiekti asmens duomenys nėra būtini, tokie duomenys negali būti tvarkomi, įskaitant jų peržiūrą. Konkrečiam tikslui pasiekti yra tvarkomas kiek įmanoma mažesnis asmens duomenų kiekis. Netikslūs asmens duomenys, atsižvelgiant į jų tvarkymo tikslą (-us), turi būti nedelsiant sunaikinami arba ištaisomi. Asmens duomenys tvarkomi ir saugomi ne ilgiau, negu nustatytas jų saugojimo terminas, kuris turi būti ne ilgesnis, negu yra būtina asmens duomenų tvarkymo tikslu (-ais).
11. Centre asmens duomenys gali būti tvarkomi, tik jeigu yra bent viena iš Reglamento (ES) 2016/679 6 straipsnio 1 dalyje įtvirtintų asmens duomenų teisėto tvarkymo sąlygų.
12. Draudžiama tvarkyti specialių kategorijų asmens duomenis, išskyrus atvejus, kai yra bent viena iš Reglamento (ES) 2016/679 9 straipsnio 2 dalyje įtvirtintų sąlygų.
13. Asmens duomenis apie apkaltinamuosius nuosprendžius ir nusikalstamas veikas Centras tvarko, tik kai tokia teisė ir (ar) pareiga yra tiesiogiai nustatyta įstatymuose ir jų įgyvendinamuosiuose teisės aktuose.
14. Darbuotojai tvarko asmens duomenis tik teisės aktų nustatyta tvarka atlikdami funkcijas ar vykdydami pavedimus. Darbuotojas tvarko asmens duomenis tol, kol tai yra būtina funkcijoms atlikti ar pavedimams įvykdyti. Su asmens duomenimis galima atlikti tik tuos veiksmus, kuriuos atlikti Centro darbuotojams yra suteiktos teisės, vykdant Centrui pavestas funkcijas.
15. Prieiga prie asmens duomenų suteikiama tik tiems Centro darbuotojams, kuriems tokie duomenys yra reikalingi jiems pavestoms funkcijoms ir pavedimams vykdyti. Jei darbuotojas laikinai eina kito darbuotojo pareigas ar vykdo kito darbuotojo funkcijas, jis turi teisę tvarkyti asmens duomenis pareigų arba funkcijų vykdymo laikotarpiu.
16. Centre tvarkomi asmens duomenys, jų tvarkymo tikslai, saugojimo terminai ir tvarkymo teisinis pagrindas yra nurodomi duomenų tvarkymo veiklos įrašuose, kuriais privalo vadovautis visi darbuotojai.
17. Darbuotojai prieš kiekvieną asmens duomenų tvarkymo operaciją (veiksmą) privalo įvertinti, ar toks asmens duomenų tvarkymas atitinka Taisyklių 9 ir 10 punktuose nustatytus reikalavimus, užtikrinti, kad kiekviena asmens duomenų tvarkymo operacija (veiksmas) atitiktų minėtus reikalavimus, įvertinti, ar yra bent viena Taisyklių 11 punkte ir, kai taikoma, Taisyklių 12 punkte nurodyta asmens duomenų teisėto tvarkymo sąlyga, taip pat užtikrinti, kad asmens duomenys nebūtų tvarkomi, jeigu jų teisėto tvarkymo sąlygų nėra.
18. Darbuotojai, atlikdami savo pareigas ir tvarkydami asmens duomenis, privalo:
18.2. asmens duomenis rinkti nustatytais, aiškiai apibrėžtais bei teisėtais tikslais ir toliau jų netvarkyti su tais tikslais nesuderinamu būdu;
18.3. atlikti tik tas asmens duomenų tvarkymo operacijas (veiksmus), kurioms atlikti yra teisinis pagrindas;
18.4. asmens duomenis tvarkyti tik tokios apimties, kuri būtina atliekant funkcijas tikslui pasiekti, ir nereikalauti iš asmenų pateikti tų duomenų, kurie nėra būtini Centro funkcijoms vykdyti, nekaupti ir netvarkyti perteklinių duomenų;
18.5. saugoti asmens duomenų paslaptį (užtikrinti konfidencialumą) visą valstybės tarnybos, darbo santykių (praktikos) laikotarpį ir jam pasibaigus. Darbuotojas pasirašo Įsipareigojimą saugoti asmens duomenų paslaptį (1 priedas), kuris saugomas darbuotojo asmens byloje visą valstybės tarnybos, darbo santykių laikotarpį ir jam pasibaigus – asmens bylų saugojimo terminą, o asmenų, priimtų atlikti praktiką Centre, – praktikos sutarčių saugojimo terminą;
18.6. užtikrinti asmens duomenų tikslumą ir, jei reikia dėl asmens duomenų tvarkymo, juos atnaujinti; netikslius ar neišsamius duomenis ištaisyti, papildyti, sunaikinti arba jų tvarkymą sustabdyti;
18.7. nedelsdami ištaisyti ar sunaikinti netikslius asmens duomenis, duomenų subjektui pranešus, kad asmens duomenys yra pasikeitę, ir informuoti duomenų subjektą apie jo prašymu atliktus arba neatliktus veiksmus;
18.8. asmens duomenis tvarkyti taip, kad duomenų subjekto tapatybę būtų galima nustatyti ne ilgiau, negu būtina tais tikslais, kuriais jie yra tvarkomi;
18.9. dokumentus, kuriuose yra asmens duomenų (vidaus teisės aktus, prašymus, raštus, sutartis ir kitus dokumentus, jų kopijas ar išrašus, taip pat asmens bylas, kompiuterines laikmenas su asmens duomenimis ir kt.), elektroniniu būdu tvarkyti tik tose Centro naudojamose programose ir informacinėse sistemose, kuriose duomenys yra tvarkomi, laikantis Lietuvos Respublikoje galiojančiuose teisės aktuose nustatytų asmens duomenų apsaugos reikalavimų;
18.11. asmens duomenis tvarkyti tokiu būdu, kad taikant atitinkamas fizines, technines ar organizacines priemones būtų užtikrintas tinkamas asmens duomenų saugumas, įskaitant apsaugą nuo duomenų tvarkymo be leidimo arba neteisėto duomenų tvarkymo ir nuo netyčinio praradimo, sunaikinimo ar sugadinimo (vientisumo ir konfidencialumo principas);
18.12. organizuoti savo darbą, kad apribotų galimybę kitiems darbuotojams ar tretiesiems asmenims sužinoti tvarkomus asmens duomenis;
18.13. nepalikti dokumentų su tvarkomais asmens duomenimis ar kompiuterio, kuriuo naudojantis galima atidaryti rinkmenas su asmens duomenimis, be priežiūros taip, kad juose esančią informaciją galėtų perskaityti darbuotojai, neturintys teisės dirbti su konkrečiais asmens duomenimis tretieji asmenys;
19. Asmens duomenų saugojimo terminus ir veiksmus, kurie atliekami pasibaigus šiam terminui, nustato teisės aktai, reglamentuojantys duomenų tvarkymą ir dokumentų saugojimą. Asmens duomenys saugomi ne ilgiau, negu to reikalauja teisės aktai ir duomenų tvarkymo tikslai. Konkretūs dokumentų (duomenų) saugojimo terminai nustatyti Centro direktoriaus patvirtintame dokumentacijos plane ir (ar) kituose Centro dokumentuose. Kai asmens duomenys nebereikalingi jų tvarkymo tikslams įgyvendinti, jie yra perduodami į Centro archyvą arba valstybės archyvą arba sunaikinami, išskyrus tuos asmens duomenis, kurie įstatymų nustatyta tvarka turi būti perduodami į valstybės archyvą. Asmens duomenis galima saugoti pasibaigus jų saugojimo terminui, jeigu jie bus tvarkomi tik archyvavimo tikslais viešojo intereso labui, mokslinių ar istorinių tyrimų tikslais arba statistiniais tikslais, taikant tinkamas duomenų subjekto teisių ir laisvių apsaugos priemones.
20. Darbuotojams draudžiama savavališkai tvarkyti (peržiūrėti, rinkti, sisteminti, kopijuoti, saugoti ir kt.) asmens duomenis ir naudoti juos asmeniniams, su atliekamomis funkcijomis ar vykdomais pavedimais nesusijusiems, tikslams.
21. Draudžiama daryti dokumentų kopijas, kurios nėra būtinos funkcijoms atlikti. Dokumentų kopijos, kuriose nurodomi duomenų subjekto duomenys, turi būti sunaikinamos tokiu būdu, kad šių dokumentų nebūtų galima atkurti ir atpažinti jų turinio (pavyzdžiui, susmulkinant).
22. Nesant būtinybės, rinkmenos su asmens duomenimis neturi būti dauginamos skaitmeniniu būdu, t. y. kuriamos rinkmenų kopijos vietiniuose kompiuterių diskuose, nešiojamosiose laikmenose, nuotolinėse rinkmenų talpyklose ir kt.
23. Darbuotojai turi teisę kreiptis į kitus darbuotojus pagal kompetenciją (pavyzdžiui informacinės sistemos saugos įgaliotinį, administratorių, darbuotoją atsakingą už kibernetinį saugumą ir kt.), kad jiems būtų sudarytos galimybės laikytis Taisyklėse ir kituose teisės aktuose nustatytų elektroninės informacijos saugos (kibernetinio saugumo) reikalavimų ir užtikrinti asmens duomenų saugumą.
24. Atvejais, kai asmens duomenų tvarkymas būtų atliekamas remiantis Reglamento (ES) 2016/679 6 straipsnio 1 dalies f punktu (teisėto intereso pagrindu), darbuotojas, prieš pradėdamas tvarkyti asmens duomenis, konsultuojant DAP, privalo atlikti teisėto intereso testą, t. y. užpildyti Teisėto intereso vertinimo formą (3 priedas) ir ją pateikti DAP derinti dokumentų valdymo sistemos (toliau – DVS) priemonėmis.
25. Rengiant direktoriaus įsakymų, administracinių sprendimų bei kitų dokumentų projektus, privaloma vengti perteklinių duomenų apie fizinius asmenis, jei to nereikalauja teisės aktai ar kitos su konkretaus dokumento rengimu susijusios aplinkybės.
26. Perduodant dokumentus, kuriuose yra asmens duomenų, kitiems darbuotojams, Centro padaliniams ar juridiniams asmenims, per asmenis, kurie neturi teisės tvarkyti asmens duomenų, arba per paštą ar kurjerį, jie privalo būti užklijuotame nepermatomame voke. Šis punktas netaikomas, jeigu minėti dokumentai įteikiami asmeniškai ir konfidencialiai.
27. Centro vidaus dokumentuose nėra naudojami papildomi duomenų subjektų tapatybės nustatymo duomenys, tokie kaip asmens kodas, jeigu tai nėra būtina duomenų subjekto tapatybei nustatyti, kitam teisėtam tikslui pasiekti arba jeigu to nenustato teisės aktai.
28. Jeigu Centro tvarkoma informacija turi būti skelbiama viešai ir joje yra viešai neskelbtinų asmens duomenų (fizinių asmenų asmens kodai, gyvenamųjų vietų adresai, gimimo datos ir vietos, valstybiniai automobilių numeriai, sveikatos duomenys ir kita informacija, pagal kurią galima nustatyti asmens tapatybę), parengiama viešai skelbtina teksto versija, kurioje asmens duomenys pakeičiami taip, kad duomenų subjekto tapatybės nebūtų galima nustatyti. Pašalintų duomenų vietoje pasviruoju šriftu skliaustuose įrašoma „(duomenys neskelbtini)“.
III SKYRIUS
REGLAMENTO (ES) 2016/679 5 STRAIPSNIO 2 DALYJE ĮTVIRTINTO ATSKAITOMYBĖS PRINCIPO ĮGYVENDINIMO PRIEMONĖS
PIRMASIS SKIRSNIS
INVENTORIZACIJA IR PATIKRA
30. Centro skyriai, neįeinantys į departamentų sudėtį, ir jiems nepriskirti darbuotojai, kurie savo veikloje tvarko asmens duomenis, privalo vykdyti inventorizaciją.
31. Inventorizacija atliekama raštu ne rečiau kaip kartą per vienus metus arba pasikeitus Centro duomenų tvarkymo procesams ir (ar) asmens duomenų tvarkymą reglamentuojantiems teisės aktams.
32. Atliekant inventorizaciją turi būti nustatyta: asmens duomenų tvarkymo tikslai, pagrindai, šaltiniai, duomenų subjektų kategorijos, tvarkomų asmens duomenų kategorijos, asmens duomenų gavėjai, saugojimo laikotarpis, už asmens duomenų tvarkymą atsakingi asmenys. Atliekant inventorizaciją konsultuojamasi su DAP.
34. Centro skyriai, neįeinantys į departamentų sudėtį, ir jiems nepriskirti darbuotojai, kurie savo veikloje tvarko asmens duomenis, inventorizacijos rezultatus Centro DVS teikia susipažinti DAP.
35. Inventorizacijos rezultatai skelbiami Centro intraneto svetainėje. Už inventorizacijos rezultatų paskelbimą yra atsakingas DAP.
36. Centre ne rečiau kaip kartą per metus atliekamos asmens duomenų tvarkymo atitikties Reglamento (ES) 2016/679 reikalavimams patikros. Už šias patikras yra atsakingas DAP.
37. Patikros metu tikrinama, ar Centre vykdoma asmens duomenų tvarkymo veikla atitinka duomenų tvarkymo veiklos įrašus. Atliekant patikrą tikrinamos ne mažiau kaip 3 duomenų tvarkymo veiklos. Patikroms atlikti DAP gali pasitelkti Centro darbuotojus.
38. DAP kasmet teikia siūlymus Centro Kokybės vadybos ir komunikacijos skyriui dėl Nacionalinio visuomenės sveikatos centro prie Sveikatos apsaugos ministerijos kokybės vadybos sistemos vidaus auditų programoje numatytų auditų apimties nustatymo, numatant papildomą proceso dalyvių veiklos vertinimą dėl Reglamento (ES) 2016/679 laikymosi.
39. Atliktos patikros rezultatai yra įforminami išvada, kurioje nurodoma, ar Centro vykdoma asmens duomenų tvarkymo veikla atitinka duomenų tvarkymo veiklos įrašus, nurodomi trūkumai, jeigu tokių nustatoma, ir pateikiamos rekomendacijos, kaip juos ištaisyti. Patikros išvada teikiama Centro direktoriui rezoliucijai.
ANTRASIS SKIRSNIS
DUOMENŲ TVARKYMO VEIKLOS ĮRAŠAI
40. Kiekvienas Centro skyrius, neįeinantis į departamentų sudėtį, ir jam nepriskirtas darbuotojas, kuris savo veikloje tvarko asmens duomenis, privalo tvarkyti duomenų tvarkymo veiklos, už kurią jis atsakingas, įrašus.
41. Centro vykdoma asmens duomenų tvarkymo veikla privalo atitikti duomenų tvarkymo veiklos įrašuose nurodytą veiklą, tvarkomi tik duomenų tvarkymo veiklos įrašuose nurodyti asmens duomenys ir tik nurodytu tikslu bei teisiniu pagrindu.
42. Duomenų tvarkymo veiklos įrašai turi būti teisingi, aktualūs ir išsamūs, atspindėti realią Centro asmens duomenų tvarkymo veiklą.
43. Darbuotojas parengtą duomenų tvarkymo veiklos įrašą privalo DVS priemonėmis suderinti su DAP. Duomenų tvarkymo veiklos įrašus tvirtina Centro direktorius.
45. Duomenų tvarkymo veiklos įrašuose nurodoma Reglamento (ES) 2016/679 30 straipsnio 1 dalyje nurodyta informacija, kurioje aprašoma Centro asmens duomenų tvarkymo veikla, už kurią jis atsako kaip duomenų valdytojas, ir Reglamento (ES) 2016/679 30 straipsnio 2 dalyje nurodyta informacija, kurioje aprašoma Centro asmens duomenų tvarkymo veikla, už kurią jis atsako kaip duomenų tvarkytojas.
46. Nustačius, kad patvirtintas duomenų tvarkymo veiklos įrašas neatitinka praktiškai atliekamo Centro asmens duomenų tvarkymo, pasikeitus asmens duomenų tvarkymą reglamentuojantiems teisės aktams, diegiant struktūrinius, technologinius ar kitokius pakeitimus, susijusius su asmens duomenų tvarkymu, nedelsiant informuojamas DAP ir parengiamas naujas duomenų tvarkymo veiklos įrašas.
47. DAP įvertina, ar duomenų tvarkymo veiklos įraše pateikta visa Taisyklių 45 punkte nurodyta informacija, teikia siūlymus ar pastabas dėl įrašo tikslinimo.
48. Kartu su duomenų tvarkymo veiklos įrašu Taisyklių 77–79 punktuose nustatyta tvarka yra rengiamas privatumo pranešimas duomenų subjektui.
TREČIASIS SKIRSNIS
POVEIKIO DUOMENŲ APSAUGAI VERTINIMAS IR KONSULTACIJOS SU PRIEŽIŪROS INSTITUCIJA
50. Centras, prieš pradėdamas vykdyti naują (-as) duomenų tvarkymo operaciją (-as) arba pasikeitus vykdomos operacijos pobūdžiui, mastui ir pan., privalo atlikti poveikio duomenų apsaugai vertinimą:
50.1. kai duomenų tvarkymo operacija (veiksmas) patenka į Duomenų tvarkymo operacijų, kurioms taikomas reikalavimas atlikti poveikio duomenų apsaugai vertinimą, sąrašą, patvirtintą Valstybinės duomenų apsaugos inspekcijos direktoriaus 2019 m. kovo 14 d. įsakymu Nr. 1T-35 (1.12.E) „Dėl Duomenų tvarkymo operacijų, kurioms taikomas reikalavimas atlikti poveikio duomenų apsaugai vertinimą, sąrašo patvirtinimo“ (toliau – Duomenų tvarkymo operacijų sąrašas);
50.2. kai duomenų tvarkymo operacija (veiksmas) nepatenka į Duomenų tvarkymo operacijų sąrašą, tačiau laikoma, kad duomenų tvarkymo operacija (veiksmas), atsižvelgiant į Taisyklių 51 punkte nustatytus kriterijus, fizinių asmenų teisėms ir laisvėms gali kelti didelį pavojų;
50.3. pasikeitus duomenų tvarkymo operacijų (veiksmų) sąlygoms ir kai tai gali lemti didelį pavojų fizinių asmenų teisėms ir laisvėms;
51. Kriterijai, į kuriuos atsižvelgiama priimant sprendimą, kad duomenų tvarkymo operacijos (veiksmai) gali kelti didelį pavojų fizinių asmenų teisėms ir laisvėms, yra šie:
51.1. vertinimas arba balų skyrimas, įskaitant profiliavimą ir prognozavimą, visų pirma, remiantis aspektais, susijusiais su duomenų subjekto darbo rezultatais, ekonomine padėtimi, sveikatos būkle, asmeniniais pomėgiais ar interesais, patikimumu arba elgesiu, vieta arba judėjimu;
51.2. duomenų tvarkymas priimant automatizuotus sprendimus, sukeliančius teisinį arba kitokį reikšmingą poveikį duomenų subjektui (pavyzdžiui, duomenų tvarkymas gali lemti asmenų atskirtį arba diskriminaciją);
51.3. neskelbtinų arba labai asmeniškų duomenų (Reglamento (ES) 2016/679 9 straipsnyje nurodytų specialių kategorijų asmens duomenų; Reglamento (ES) 2016/679 10 straipsnyje nurodytų asmens duomenų, susijusių su apkaltinamaisiais nuosprendžiais ar nusikalstamomis veikomis; asmens duomenų, susijusių su namų ūkiu ir privačia veikla (pavyzdžiui, elektroniniai ryšiai, kurių konfidencialumas turi būti apsaugotas) arba susijusių su pagrindinių teisių įgyvendinimu (pavyzdžiui, vietos duomenys, kurių rinkimas gali reikšti judėjimo laisvės apribojimą), arba kurių pažeidimas būtų aiškiai susijęs su rimtais padariniais kasdieniam duomenų subjekto gyvenimui (pavyzdžiui, finansiniai duomenys, kurie gali būti panaudoti atliekant su sukčiavimu susijusį mokėjimą) tvarkymas. Šis kriterijus netaikomas asmens duomenims, kuriuos viešai paskelbė duomenų subjektas arba trečiosios šalys;
51.4. sisteminga stebėsena: duomenų tvarkymas duomenų subjektų stebėsenos arba kontrolės tikslais, įskaitant sistemingą viešosios vietos stebėjimą dideliu mastu;
51.8. naujoviškas asmens duomenų naudojimas arba naujų technologinių ar organizacinių sprendinių taikymas (pavyzdžiui, pirštų atspaudų ar veido atpažinimo naudojimas siekiant užtikrinti geresnę fizinės prieigos kontrolę);
51.9. atvejai, kai dėl paties duomenų tvarkymo duomenų subjektams užkertamas kelias naudotis savo teisėmis, paslaugomis arba sudaryti sutartis ar kitus susitarimus;
52. Kuo daugiau Taisyklių 51 punkte nustatytų kriterijų atitinka duomenų tvarkymo operacija (veiksmas), tuo didesnė tikimybė, kad tokia operacija (veiksmas) gali kelti didelį pavojų fizinių asmenų teisėms ir laisvėms. Dėl būtinybės atlikti poveikio duomenų apsaugai vertinimą konsultuojamasi su DAP.
53. Jeigu duomenų tvarkymo operacija (veiksmas) atitinka du ar daugiau Taisyklių 51 punkte nustatytų kriterijų, tačiau laikoma, kad tokia operacija (veiksmas) negali kelti didelio pavojaus duomenų subjektų teisėms ir laisvėms, toks sprendimas ir jo argumentai išdėstomi raštu ir kartu su DAP nuomone DVS pateikiami Centro direktoriui.
54. Už poveikio duomenų apsaugai vertinimo atlikimą atsakingas (-i) padaliniui nepriskirtas (-i) darbuotojas (-ai) ir (ar) Centro padalinio (‑ių), kuris (-ie) tvarkys asmens duomenis arba inicijuoja duomenų tvarkymo operacijos (veiksmo) poreikį, vadovas (-ai). Jeigu Centro žmogiškųjų, laiko ar kitų išteklių nepakanka, kad poveikio duomenų apsaugai vertinimas būtų atliktas tinkamai, gali būti pasitelkiami išorės konsultantai, specialistai, ekspertai (teisės, informacinių technologijų, kibernetinio saugumo, etikos ir kitų sričių).
55. Poveikio duomenų apsaugai vertinimas atliekamas raštu. Panašių didelį pavojų keliančių duomenų tvarkymo operacijų (veiksmų) sekai išnagrinėti galima atlikti vieną poveikio duomenų apsaugai vertinimą. Įvertinime privalo būti pateikta bent jau Reglamento (ES) 2016/679 35 straipsnio 7 dalyje nurodyta informacija. Atlikdami poveikio duomenų apsaugai vertinimą darbuotojai konsultuojasi su DAP.
56. Poveikio duomenų apsaugai vertinimo ataskaitos rekomenduojama forma skelbiama Inspekcijos interneto svetainėje. Poveikio duomenų apsaugai vertinimui dokumentuoti gali būti naudojamos ir kitos formos ar įrankiai (pavyzdžiui, programa „PIA“ ir kt.).
57. Jeigu, atsižvelgiant į numatomos duomenų tvarkymo operacijos (veiksmo) pobūdį, yra įmanoma, Centras siekia išsiaiškinti duomenų subjektų ar jų atstovų nuomonę apie numatomą duomenų tvarkymą, nepažeisdamas komercinių, viešųjų interesų apsaugos ir duomenų tvarkymo operacijų (veiksmų) saugumo reikalavimų.
58. Poveikio duomenų apsaugai vertinimą atlikęs Centro padalinys (-iai) ir (ar) padaliniui nepriskirtas (-i) darbuotojas (-ai) ataskaitą DVS pateikia tvirtinti Centro direktoriui. Su patvirtinta ataskaita supažindinami atitinkamos informacinės sistemos saugos įgaliotinis, DAP ir už sprendimo dėl vertinamos duomenų tvarkymo operacijos (veiksmo) priėmimą ir jo įgyvendinimą atsakingi asmenys.
59. Prieš pradėdamas duomenų tvarkymo operacijas (veiksmus), kurios gali kelti didelį pavojų fizinių asmenų teisėms ir laisvėms, Centras Išankstinių konsultacijų teikimo taisyklių, patvirtintų Valstybinės duomenų apsaugos inspekcijos direktoriaus 2018 m. rugpjūčio 29 d. įsakymu Nr. 1T-84(1.12.E) „Dėl Išankstinių konsultacijų teikimo taisyklių patvirtinimo“, 2 punkte nustatytais atvejais privalo konsultuotis su Inspekcija.
60. Duomenų tvarkymo operacijos (veiksmai), kurios gali kelti didelį pavojų fizinių asmenų teisėms ir laisvėms, gali būti atliekamos tik tada, kai Centras visiškai ir tinkamai įgyvendina Inspekcijos rekomendacijas, nurodymus ir priemones, gautus išankstinės konsultacijos metu.
61. Prekės ir (ar) paslaugos, susijusios su duomenų tvarkymu tokiu būdu, kuris gali kelti didelį pavojų fizinių asmenų teisėms ir laisvėms, gali būti perkamos tik tada, jeigu tam tikros prekės ir (ar) paslaugos pardavėjas yra atlikęs poveikio duomenų apsaugai vertinimą, Centrui yra pateikta susipažinti tokio vertinimo išvada ir pardavėjas patvirtina, kad jo prekė ar paslauga atitinka Reglamento (ES) 2016/679 reikalavimus.
IV SKYRIUS
DUOMENŲ SUBJEKTŲ TEISĖS IR JŲ ĮGYVENDINIMO TVARKA
PIRMASIS SKIRSNIS
DUOMENŲ SUBJEKTŲ TEISĖS
64. Duomenų subjektas turi šias Reglamente (ES) 2016/679 įtvirtintas teises:
64.1. teisę gauti informaciją apie savo asmens duomenų tvarkymą. Informacija apie jo asmens duomenų tvarkymą, nurodyta Reglamento (ES) 2016/679 13–14 straipsniuose, duomenų subjektui pateikiama Taisyklių IV skyriaus trečiajame skirsnyje nustatyta tvarka;
64.2. teisę reikalauti, kad būtų ištaisyti netikslūs jo asmens duomenys ir (arba) papildyti neišsamūs jo asmens duomenys. Duomenų subjektas turi teisę reikalauti, kad duomenų valdytojas nepagrįstai nedelsdamas ištaisytų netikslius su juo susijusius asmens duomenis; atsižvelgdamas į tikslus, kuriais duomenys buvo tvarkomi, duomenų subjektas turi teisę reikalauti, kad būtų papildyti neišsamūs asmens duomenys;
64.3. teisę reikalauti ištrinti savo asmens duomenis („teisė būti pamirštam“). Duomenų subjektas turi teisę reikalauti, kad duomenų valdytojas nepagrįstai nedelsdamas ištrintų su juo susijusius asmens duomenis, o duomenų valdytojas yra įpareigotas nepagrįstai nedelsdamas ištrinti tuos duomenis, jei tai galima pagrįsti viena iš Reglamento (ES) 2016/679 17 straipsnio 1 dalyje nurodytų priežasčių. Ši teisė gali būti neįgyvendinama Reglamento (ES) 2016/679 17 straipsnio 3 dalyje nurodytais atvejais;
64.4. teisę apriboti savo asmens duomenų tvarkymą. Duomenų subjektas turi šią teisę Reglamento (ES) 2016/679 18 straipsnio 1 dalyje nurodytais atvejais;
64.5. teisę į savo asmens duomenų perkeliamumą. Duomenų subjektas turi teisę gauti su juo susijusius asmens duomenis, kuriuos jis pateikė duomenų valdytojui susistemintu, įprastai naudojamu ir kompiuterio skaitomu formatu, ir turi teisę persiųsti tuos duomenis kitam duomenų valdytojui, o duomenų valdytojas, kuriam asmens duomenys buvo pateikti, turi nesudaryti tam kliūčių, kai yra Reglamento (ES) 2016/679 20 straipsnio 1 dalyje nurodytos aplinkybės. Ši teisė netaikoma Reglamento (ES) 2016/679 20 straipsnio 3 dalyje nurodytu atveju;
64.6. teisę nesutikti su savo asmens duomenų tvarkymu. Duomenų subjektas turi teisę dėl su jo atveju susijusių priežasčių bet kuriuo metu nesutikti, kad su juo susiję asmens duomenys būtų tvarkomi, kai toks duomenų tvarkymas atliekamas pagal Reglamento (ES) 2016/679 6 straipsnio 1 dalies e arba f punktus, įskaitant profiliavimą remiantis šių punktų nuostatomis, kaip tai numatyta Reglamento (ES) 2016/679 21 straipsnyje;
64.7. teisę reikalauti, kad nebūtų taikomas tik automatizuotu duomenų tvarkymu, įskaitant profiliavimą, grindžiamas sprendimas (dėl kurio duomenų subjektui kyla teisinių pasekmių arba kuris jam panašiu būdu daro didelį poveikį). Ši teisė neįgyvendinama Reglamento (ES) 2016/679 22 straipsnio 2 dalyje nurodytais atvejais, taip pat negali būti įgyvendinta, kai nepriimami sprendimai, grindžiami automatizuotu duomenų tvarkymu, ir nevykdomas profiliavimas;
65. Centras imasi visų būtinų priemonių, kad visos duomenų subjekto teisės būtų tinkamai įgyvendintos. Duomenų subjekto teisių įgyvendinimo tvarka nustatyta Reglamente (ES) 2016/679 ir šiose Taisyklėse.
66. Duomenų subjektų teisių įgyvendinimo tvarkant asmens duomenis Centro valdomose informacinėse sistemose tvarką nustato Duomenų subjektų teisių įgyvendinimo tvarkant asmens duomenis Nacionalinio visuomenės sveikatos centro prie Sveikatos apsaugos ministerijos valdomose informacinėse sistemose tvarkos aprašas, patvirtintas Nacionalinio visuomenės sveikatos centro prie Sveikatos apsaugos ministerijos direktoriaus 2023 m. kovo 13 d. įsakymu Nr. VKE-73 „Dėl Duomenų subjektų teisių įgyvendinimo tvarkant asmens duomenis Nacionalinio visuomenės sveikatos centro prie Sveikatos apsaugos ministerijos valdomuose informacinėse sistemose tvarkos aprašo patvirtinimo“ ir atitinkamos informacinės sistemos nuostatai.
67. Dėl duomenų valdytojo ar duomenų tvarkytojo veiksmų ar neveikimo įgyvendinant duomenų subjekto teises duomenų subjektui rekomenduojama kreiptis į DAP.
68. Duomenų valdytojo ir duomenų tvarkytojo veiksmus ar neveikimą, kuriais pažeidžiamos Reglamento (ES) 2016/679 ir (ar) ADTAĮ nuostatos, duomenų subjektas arba duomenų subjekto atstovas, taip pat jo įgaliota ne pelno įstaiga, organizacija ar asociacija, atitinkanti Reglamento (ES) 2016/679 80 straipsnio reikalavimus, turi teisę skųsti Inspekcijai ar žurnalistų etikos inspektoriui, taip pat Vilniaus apygardos administraciniam teismui.
ANTRASIS SKIRSNIS
TEISĖS ŽINOTI (BŪTI INFORMUOTAM) APIE ASMENS DUOMENŲ TVARKYMĄ ĮGYVENDINIMAS
69. Centras privalo informuoti duomenų subjektą apie jo asmens duomenų tvarkymą. Centro darbuotojams informacija apie Centre atliekamą jų asmens duomenų tvarkymą pateikiama priėmimo į darbą (praktiką) metu, Centro intraneto ar interneto svetainėje, Centro parengtuose teisės aktuose, kuriuose numatytas atitinkamas darbuotojų asmens duomenų tvarkymas. Darbuotojai gali būti informuojami ir kitais būdais atsižvelgus į vykdomų duomenų tvarkymo veiksmų pobūdį ir operacijos specifiką.
70. Kai asmens duomenys gaunami iš paties duomenų subjekto, duomenų subjektui pateikiama informacija apie asmens duomenų tvarkymą, nurodyta Reglamento (ES) 2016/679 13 straipsnyje. Informacija duomenų subjektui pateikiama prieš gaunant jo asmens duomenis arba jų gavimo metu.
71. Taisyklių 70 punkte nurodyta informacija neteikiama, jeigu duomenų subjektas tą informaciją jau turi ir tiek, kiek jos turi.
72. Kai asmens duomenys gaunami ne iš paties duomenų subjekto, Centras privalo duomenų subjektui pateikti Reglamento (ES) 2016/679 14 straipsnyje nurodytą informaciją apie asmens duomenų tvarkymą.
73. Taisyklių 72 punkte nurodyta informacija duomenų subjektui pateikiama:
73.2. pirmą kartą susisiekiant su duomenų subjektu, jeigu jo asmens duomenys bus naudojami ryšiams su juo palaikyti;
74. Taisyklių 72 punktas netaikomas, jeigu ir tiek, kiek:
74.2. tokios informacijos pateikti yra neįmanoma arba tam reikėtų neproporcingų pastangų, arba jeigu dėl pareigos informuoti gali būti sunku pasiekti duomenų tvarkymo tikslus arba neįmanoma jų pasiekti. Tokiais atvejais imamasi tinkamų priemonių fizinių asmenų teisėms ir laisvėms ir teisėtiems interesams apsaugoti, įskaitant viešą informacijos apie asmens duomenų tvarkymą paskelbimą Centro interneto svetainės skyriuje „Asmens duomenų apsauga“;
75. Informacija apie Centre atliekamą asmens duomenų tvarkymą duomenų subjektui gali būti pateikiama raštu, telefonu, elektroninėmis priemonėmis asmens duomenų gavimo metu, Centro interneto svetainėje www.nvsc.lrv.lt skiltyje „Asmens duomenų apsauga“, pateikiant informaciją Taisyklėse, teisės aktuose, reglamentuojančiuose asmens duomenų tvarkymą ir duomenų subjekto teisių įgyvendinimą, Centre esančiuose informaciniuose stenduose, Centro leidžiamuose informaciniuose leidiniuose, informaciniame pranešime apie vaizdo įrašymą, retransliavimą kompiuterio, kuriuo naudojasi duomenų subjektas, ekrane, skrajutėse, elektroniniu paštu, asmeniškai ir pan.
76. Jei Centras ketina toliau tvarkyti asmens duomenis kitu tikslu, negu tas, kuriuo jie buvo renkami, prieš toliau tvarkydamas asmens duomenis, Centras pateikia duomenų subjektui informaciją apie kitą tikslą ir informaciją, nurodytą Taisyklių 70 ir (ar) 72 punktuose.
77. Duomenų subjektas yra informuojamas privatumo pranešimu. Rekomenduojama privatumo pranešimo forma skelbiama Centro intraneto svetainėje.
78. Privatumo pranešimus duomenų subjektams rengia Centro padaliniai ir padaliniams nepriskirti darbuotojai, kurie savo veikloje atlikdami padalinio nuostatuose ar pareigybės aprašyme nustatytas funkcijas rengia duomenų tvarkymo veiklos įrašus. Jei veiklos įrašas nerengiamas privatumo pranešimą rengia Centro padalinys ir padaliniams nepriskirtas darbuotojas, kuris renka ir tvarko to duomenų subjekto duomenis.
79. Privatumo pranešimai, skirti darbuotojams, pateikiami Taisyklių 75 punkte nurodytu priimtinu būdu bei visais atvejais skelbiami Centro intraneto svetainės skyriuje „Asmens duomenų apsauga“. Privatumo pranešimai, skirti kitiems duomenų subjektams, pateikiami Taisyklių 75 punkte nurodytu priimtinu būdu, bet visais atvejais skelbiami Centro interneto svetainėje skyriuje „Asmens duomenų apsauga“. Privatumo pranešimus Centro intraneto svetainės skyriuje „Asmens duomenų apsauga“ ir interneto svetainės skyriuje „Asmens duomenų apsauga“ skelbia DAP.
TREČIASIS SKIRSNIS
PRAŠYMŲ ĮGYVENDINTI DUOMENŲ SUBJEKTO TEISES PATEIKIMAS IR NAGRINĖJIMAS
81. Duomenų subjektai, siekdami įgyvendinti savo Reglamento (ES) 2016/679 15–22 straipsniuose įtvirtintas teises, Centrui turi pateikti rašytinį prašymą asmeniškai, paštu ar per kurjerį, ar elektroninių ryšių priemonėmis. Kreipiantis dėl duomenų subjekto teisių įgyvendinimo, rekomenduojama pateikti Taisyklių 2 priede nurodytos formos Prašymą įgyvendinti duomenų subjekto teisę (-es).
82. Visi raštu, įskaitant elektroninę formą, Centrui pateikti prašymai turi būti įskaitomi, duomenų subjekto pasirašyti. Juose turi būti nurodyti duomenų subjekto vardas, pavardė, adresas ir (ar) kiti kontaktiniai duomenys ryšiui palaikyti, kuriais pageidaujama gauti atsakymą ir informaciją apie tai, kokią iš Taisyklėse nurodytų teisių ir kokia apimtimi duomenų subjektas pageidauja įgyvendinti. Centrui pagrįstai pareikalavus turi būti pateiktas asmens kodas.
83. Duomenų subjektas Reglamento (ES) 2016/679 15–22 straipsniuose įtvirtintas teises gali įgyvendinti per atstovą. Atstovas prašyme turi nurodyti savo vardą, pavardę, adresą ir (ar) kitus kontaktinius duomenis ryšiui palaikyti, kuriais asmens atstovas pageidauja gauti atsakymą, taip pat atstovaujamo asmens vardą, pavardę, informaciją apie tai, kokias Reglamento (ES) 2016/679 15–22 straipsniuose nurodytas teises ir kokios apimties pageidauja įgyvendinti, bei pateikti atstovavimą patvirtinantį dokumentą ar jo kopiją, patvirtintą teisės aktų nustatyta tvarka. Atstovas, pateikdamas prašymą, privalo patvirtinti tapatybę Taisyklių 84 punkte nustatyta tvarka. Centrui pagrįstai pareikalavus turi būti pateiktas atstovaujamojo asmens kodas.
84. Duomenų subjektas, siekdamas įgyvendinti Reglamento (ES) 2016/679 15–22 straipsniuose įtvirtintas teises, privalo patvirtinti savo tapatybę (išskyrus įgyvendindamas teisę gauti informaciją):
84.1. pateikdamas prašymą Centre darbuotojui, registruojančiam prašymą, turi pateikti asmens tapatybę patvirtinantį dokumentą;
84.2. pateikdamas prašymą elektroninių ryšių priemonėmis, turi pasirašyti jį kvalifikuotu elektroniniu parašu;
85. Duomenų subjektas, siekiantis įgyvendinti savo teises, susijusias su Reglamento (ES) 2016/679 9 straipsnyje nurodytais specialiųjų kategorijų asmens duomenimis arba susijusias su asmens duomenimis apie apkaltinamuosius nuosprendžius ir nusikalstamas veikas, teikdamas prašymą paštu arba per pasiuntinį, kartu turi pateikti asmens tapatybę patvirtinančio dokumento kopiją.
86. Duomenų subjektui prašymą pateikus paštu ar per pasiuntinį, atsakymas su prašomais dokumentais ar duomenimis įteikiamas duomenų subjektui asmeniškai registruotąja pašto siunta arba siunčiamas per E. pristatymą.
87. Esant abejonių dėl duomenų subjekto tapatybės, Centras turi teisę paprašyti papildomos informacijos, reikalingos ja įsitikinti.
88. Jeigu prašymas pateiktas nesilaikant Taisyklių 82–85 punktuose nustatytos tvarkos ir reikalavimų, jis nenagrinėjamas, o duomenų subjektas apie tai informuojamas nedelsiant, bet ne vėliau kaip per 10 darbo dienų nuo prašymo gavimo dienos, nurodant prašymo nenagrinėjimo priežastis.
89. Duomenų subjektui atsakymas, informuojantis apie tai, kokių veiksmų buvo imtasi pagal gautą prašymą, pateikiamas ne vėliau kaip per vieną mėnesį nuo prašymo gavimo Centre dienos. Šis terminas gali būti pratęstas dar dviem mėnesiams, atsižvelgiant į gauto prašymo sudėtingumą ir prašymų skaičių, apie tokį pratęsimą informuojant duomenų subjektą ir nurodant priežastis, dėl kurių terminas pratęstas. Jeigu prašymo nagrinėjimo metu duomenų subjektas prašymą patikslina arba suformuluoja iš esmės naują prašymą, nagrinėjimo terminas skaičiuojamas nuo patikslinto (papildyto) prašymo gavimo dienos.
90. Nagrinėjant duomenų subjekto prašymą įvertinama, ar prašomos įgyvendinti duomenų subjekto teisės, vadovaujantis Reglamento (ES) 2016/679 23 straipsniu, neturi būti visiškai arba iš dalies apribotos dėl įstatymuose ir juos įgyvendinančiuose poįstatyminiuose teisės aktuose nustatytų atvejų, kai reikia užtikrinti valstybės saugumą ar gynybą, viešąją tvarką, nusikalstamų veikų prevenciją, tyrimą, nustatymą ar baudžiamąjį persekiojimą, svarbius valstybės ekonominius ar finansinius interesus, tarnybinės ar profesinės etikos pažeidimų prevenciją, tyrimą ir nustatymą, duomenų subjekto ar kitų asmenų teisių ir laisvių apsaugą.
91. Centras atsakymą pagal duomenų subjekto prašymą dėl jo teisių įgyvendinimo pateikia aiškiai ir suprantamai, valstybine kalba.
92. Jei pagal duomenų subjekto prašymą asmens duomenys yra ištaisomi, ištrinami ar jų tvarkymas yra apribojamas, prašymą išnagrinėjęs darbuotojas privalo apie tai informuoti kitus duomenų tvarkytojus, kuriems tokie duomenys buvo teikiami.
93. Visi veiksmai pagal duomenų subjekto prašymą įgyvendinti duomenų subjekto teises atliekami ir informacija teikiama neatlygintinai. Vadovaujantis Reglamento (ES) 2016/679 12 straipsnio 5 dalimi, Centras turi teisę atsisakyti imtis veiksmų pagal duomenų subjekto prašymą, raštu nurodydamas tokio atsisakymo priežastis ir motyvus, jeigu prašymas yra nepagrįstas arba duomenų subjekto teisių įgyvendinimas sudarytų Centrui neproporcingai didelę naštą.
94. Centras, įgyvendindamas duomenų subjekto teises, užtikrina, kad nebūtų pažeista kitų asmenų teisė į privataus gyvenimo neliečiamumą, nebūtų daromas neigiamas poveikis kitų asmenų teisėms ir laisvėms, kaip tai numato Reglamentas (ES) 2016/679. Jeigu duomenų, kurie teikiami duomenų subjektui, kopijose yra trečiųjų asmenų asmens duomenys, jie, kai būtina, turi būti neatskleidžiami, teikiamas šių dokumentų išrašas arba imamasi kitų priemonių, kad duomenų subjektui nebūtų pateikti trečiųjų asmenų asmens duomenys.
95. Tiek, kiek duomenų subjektų teisių įgyvendinimo nereglamentuoja Taisyklės ir Taisyklių 5 punkte nurodyti teisės aktai, taikomos Asmenų prašymų ir skundų nagrinėjimo viešojo administravimo subjektuose taisyklės, patvirtintos Lietuvos Respublikos Vyriausybės 2007 m. rugpjūčio 22 d. nutarimu Nr. 875 „Dėl Asmenų prašymų ir skundų nagrinėjimo viešojo administravimo subjektuose taisyklių patvirtinimo“ (toliau – Prašymų ir skundų nagrinėjimo taisyklės) ir Asmenų aptarnavimo Nacionaliniame visuomenės sveikatos centre prie Sveikatos apsaugos ministerijos tvarkos aprašas, patvirtintas Nacionalinio visuomenės sveikatos centro prie Sveikatos apsaugos ministerijos direktoriaus 2022 m. balandžio 8 d. įsakymu Nr. VKE-163 „Dėl Asmenų aptarnavimo Nacionaliniame visuomenės sveikatos centre prie Sveikatos apsaugos ministerijos tvarkos aprašo patvirtinimo“ (toliau – Asmenų aptarnavimo tvarkos aprašas).
V SKYRIUS
ASMENS DUOMENŲ TEIKIMAS TRETIESIEMS ASMENIMS
97. Asmens duomenys tretiesiems asmenims, išskyrus duomenų tvarkytojus, gali būti teikiami:
98. Centras duomenų subjektų duomenis duomenų gavėjams gali teikti pagal sudarytą sutartį arba vienkartinį duomenų gavėjo prašymą, nepažeisdamas teisės aktuose įtvirtintų reikalavimų ir asmens duomenų konfidencialumo užtikrinimo bei laikydamasis duomenų valdytojo atskaitomybės principo.
99. Vienkartinio duomenų teikimo atveju Centras, teikdamas asmens duomenis pagal trečiosios šalies vienkartinį prašymą, pirmenybę teikia duomenų teikimui elektroninių ryšių priemonėmis, jeigu prašyme nenurodyta kitaip. Siekiant įgyvendinti Reglamento (ES) 2016/679 5 straipsnio 2 dalyje įtvirtintą duomenų valdytojo atskaitomybės principą, duomenys trečiosioms šalims gali būti teikiami tik, kai duomenų gavėjas teiktame prašyme nurodo aplinkybes, pagrindžiančias, kad duomenų tvarkymas (teikimas) atitinka Reglamento (ES) 2016/679 5 straipsnyje įtvirtintus principus ir yra pagrįstas bent viena Reglamento (ES) 2016/679 6 straipsnio 1 dalyje arba 9 straipsnio 2 dalyje įtvirtinta teisėto duomenų tvarkymo sąlyga. Tokiu atveju, kai prašymą teikia valstybės ar savivaldybės institucija, jei asmens duomenys būtini tyrimui pagal teisės aktuose šiai institucijai nustatytą kompetenciją atlikti, prašyme nėra būtina pateikti nuorodos į konkrečius Reglamento (ES) 2016/679 6 straipsnio 1 dalies ir 9 straipsnio 2 dalies punktus, tačiau jame turi būti pateiktos nuorodos į konkrečias prašymą pateikusių institucijų veiklą reglamentuojančias teisės aktų nuostatas, pagrindžiančias šių institucijų tyrimo įgaliojimus prašyme nurodytu atveju.
100. Prašyme privaloma nurodyti:
100.2. jeigu yra, duomenų tvarkymo (gavimo) teisinį pagrindą, įtvirtintą Lietuvos Respublikos arba Europos Sąjungos teisės aktuose, ir konkrečią jų nuostatą, suteikiančią teisę gauti asmens duomenis;
100.3. duomenų tvarkymo (gavimo) teisėtą sąlygą, įtvirtintą Reglamento (ES) 2016/679 6 straipsnio 1 dalyje arba 9 straipsnio 2 dalyje, kuria vadovaujantis suteikiama teisė gauti asmens duomenis;
100.4. duomenų teisėto tvarkymo (teikimo) sąlygą, įtvirtintą Reglamento (ES) 2016/679 6 straipsnio 1 dalyje arba 9 straipsnio 2 dalyje, kuria vadovaudamasis Centras turi teisę pateikti šiuos duomenis trečiajam asmeniui;
100.5. konkrečią prašomų duomenų apimtį, t. y. kokių konkrečių duomenų prašoma: vardo, pavardės, paskirtos išmokos dydžio ir pan. Prašymai pateikti visą turimą informaciją apie asmenį nelaikytini konkrečiais;
100.6. jei duomenis pateikti prašoma vadovaujantis Reglamento (ES) 2016/679 6 straipsnio 1 dalies e arba f punktais, t. y. kai duomenis tvarkyti (teikti) reikia siekiant atlikti užduotį, vykdomą viešojo intereso labui, arba vykdant duomenų valdytojui pavestas viešosios valdžios funkcijas arba teikti duomenis būtina siekiant teisėtų duomenų valdytojo arba trečiosios šalies interesų apsaugos, prašyme turi būti išsamiai pagrįsta, kodėl šių asmenų interesai yra viršesni už duomenų subjekto teises ir laisves.
101. Centro darbuotojas, nagrinėjantis gautą prašymą pateikti asmens duomenis, privalo:
101.1. įvertinti, ar prašyme nurodytas asmens duomenų naudojimo tikslas yra konkretus ir teisėtas (nurodymas, kad duomenys reikalingi nagrinėjant bylą ar teikiant ieškinį, paprastai nelaikomas konkrečiu tikslu);
101.2. įvertinti, ar duomenų gavėjas pagrįstai remiasi prašyme nurodytu gavimo ir teikimo teisiniu pagrindu bei teisėta duomenų teikimo ir gavimo sąlyga, įtvirtinta Reglamento (ES) 2016/679 6 straipsnio 1 dalyje arba 9 straipsnio 2 dalyje;
101.3. kai duomenis pateikti prašoma remiantis Reglamento (ES) 2016/679 6 straipsnio 1 dalies e arba f punktais, įvertinti, ar gavėjo interesai tikrai yra svarbesni už duomenų subjekto teises ir laisves;
101.5. kai duomenis teikti prašoma vadovaujantis Reglamento (ES) 2016/679 6 straipsnio 1 dalies e arba f punktais, prašymą nagrinėjantis Centro darbuotojas teikdamas asmens duomenis rengiamame atsakymo projekte privalo nurodyti, kad prašymą pateikęs duomenų valdytojas privalo imtis priemonių duomenų subjektui informuoti apie prašymą ir sudaryti jam galimybę prieštarauti jo asmens duomenų teikimui.
102. Prašymai dėl asmens duomenų teikimo teikiami ir nagrinėjami Prašymų ir skundų nagrinėjimo taisyklėse ir Asmenų aptarnavimo tvarkos apraše nustatyta tvarka.
103. Asmuo, pateikęs prašymą dėl asmens duomenų gavimo, privalo patvirtinti savo tapatybę vienu iš Taisyklių 84–85 punkte nurodytų būdų.
104. Asmens duomenys viešosios informacijos rengėjų ir (ar) skleidėjų atstovams, žurnalistams teikiami Lietuvos Respublikos visuomenės informavimo įstatymo ir Nacionalinio visuomenės sveikatos centro prie Sveikatos apsaugos ministerijos informacijos teikimo visuomenei per viešosios informacijos rengėjus ir skleidėjus tvarkos aprašo, patvirtinto Nacionalinio visuomenės sveikatos centro prie Sveikatos apsaugos ministerijos direktoriaus 2022 m. gruodžio 28 d. įsakymu Nr. VKE–553 „Dėl Nacionalinio visuomenės sveikatos centro prie Sveikatos apsaugos ministerijos informacijos teikimo visuomenei per viešosios informacijos rengėjus ir skleidėjus tvarkos aprašo patvirtinimo“, nustatyta tvarka.
105. Priimant sprendimą dėl asmens duomenų teikimo, konsultuojamasi su DAP, išskyrus atvejus, kai teikiama asmens duomenis sudaranti informacija yra paskelbta viešai arba dėl tokios informacijos teikimo duomenų gavėjui tais pačiais tikslais DAP jau yra pateikęs savo nuomonę.
VI SKYRIUS
ASMENS DUOMENŲ APSAUGOS PAREIGŪNAS
107. DAP skiriamas Centro darbuotojas arba asmuo, su kuriuo sudaroma paslaugų teikimo sutartis. Centras taip pat paskiria DAP pavaduojantį asmenį, kuris atlieka DAP funkcijas šiam laikinai negalint eiti pareigų ir (ar) atlikti funkcijų.
108. DAP yra nepriklausomas Centro patarėjas asmens duomenų apsaugos klausimais. Duomenų subjektai gali kreiptis į pareigūną visais klausimais, susijusiais jų asmens duomenų tvarkymu ir naudojimusi savo teisėmis vadovaujantis Reglamento (ES) 2016/679, tačiau konkrečias užduotis ar veiksmus, būtinus įgyvendinant asmens duomenų apsaugos reikalavimus, išskyrus šiose Taisyklėse tiesiogiai aptartus atvejus, atlieka už duomenų tvarkymą atsakingas Centro darbuotojas, padalinys ir pan.
109. DAP pareigos:
109.2. informuoja Centro direktorių apie bet kokias neatitiktis, pažeidimus asmens duomenų apsaugos srityje, kuriuos DAP nustato vykdydamas savo funkcijas;
109.3. konsultuoja Centro darbuotojus, tvarkančius asmens duomenis, asmens duomenų teisinės apsaugos klausimais;
109.4. užtikrina slaptumą ir (ar) konfidencialumą, susijusį su jo užduočių vykdymu, laikydamasis teisės aktų reikalavimų;
109.5. pasibaigus kalendoriniams metams rengia veiklos metinę ataskaitą už praėjusius kalendorinius metus, kurią iki vasario 1 d. pateikia Centro direktoriui;
110. DAP teisės:
110.1. atlikdamas jam nustatytas užduotis yra nepriklausomas, t. y. neturi gauti jokių nurodymų dėl šių užduočių atlikimo, ir yra tiesiogiai atskaitingas Centro direktoriui;
111. Visi Centro darbuotojai privalo bendradarbiauti su DAP, nedelsdami teikti visus jo paprašytus dokumentus ir informaciją. Darbuotojai privalo operatyviai reaguoti į DAP paklausimus.
VII SKYRIUS
ASMENS DUOMENŲ SAUGUMO POLITIKA
113. Asmens duomenų saugumas (toliau – duomenų sauga) apima tris pagrindinius elementus:
114. Bendrieji duomenų saugos tikslai:
114.1. užtikrinti tinkamą ir efektyvų asmens duomenų valdymą, siekiant išvengti veiklos sutrikdymo dėl asmens duomenų konfidencialumo, vientisumo ar prieinamumo pažeidimo ir įgyvendinant gerąją praktiką atitinkančias technines ir organizacines priemones;
114.2. užtikrinti atitiktį duomenų saugą reglamentuojančių teisės aktų reikalavimams, atliekant kasmetinį atitikties vertinimą ir šalinant nustatytus trūkumus;
114.3. užtikrinti efektyvų rizikos valdymą ir tinkamų rizikos valdymo priemonių naudojimą, siekiant sumažinti riziką iki priimtino lygio, atliekant kasmetinį rizikos vertinimą ir įgyvendinant rizikos valdymo priemones;
115. Duomenų saugos reikalavimai nustatomi:
115.1. vadovaujantis teisės aktuose nustatytais informacijos saugos, kibernetinio saugumo ir asmens duomenų apsaugos reikalavimais;
115.3. atsižvelgiant į informacijos saugą reglamentuojančiuose teisės aktuose, duomenų teikimo, tvarkymo ar kitokio pobūdžio sutartyse nustatytus suinteresuotų šalių lūkesčius ir poreikius;
116. Duomenų saugos valdymas yra užtikrinamas nuosekliai planuojant, įgyvendinant, vertinant ir tobulinant Centro elektroninės informacijos saugos (kibernetinio saugumo) politiką, vadovaujantis Centro valdomos atitinkamos valstybės informacinės sistemos duomenų saugos nuostatais ir kitais saugos politiką reglamentuojančiais teisės aktais ir standartais.
117. Centras:
117.2. nustato duomenų saugos tobulinimo uždavinius ir priemones ir juos įtraukia į veiklos planavimo dokumentus;
117.3. laikosi Lietuvos Respublikoje galiojančiuose teisės aktuose ir sutartyse nustatytų pareigų duomenų saugos srityje;
118. Centras nuolat gerina duomenų saugos valdymo veiksmingumą, įgyvendindamas informacijos saugos politiką ir tikslus, organizuodamas duomenų saugos valdymo vidaus auditą, nustatydamas neatitiktis ir jas šalindamas, vykdydamas duomenų saugos valdymo korekcinius veiksmus ir reguliariai aptardamas duomenų saugos klausimus.
119. Duomenų saugos nuostatos skelbiamos suinteresuotoms šalims joms prieinama ir suprantama forma. Vadovaujantis Lietuvos Respublikos valstybės informacinių išteklių valdymo įstatymu, informacija apie Centre įgyvendintas saugos priemones ir Centro valdomų valstybės informacinių išteklių pažeidžiamumą yra konfidenciali ir teikiama, jeigu galimybė teikti šią informaciją yra numatyta įstatymuose ar jų pagrindu priimtuose kituose norminiuose teisės aktuose. Duomenų saugos nuostatos peržiūrimos periodiškai, ne rečiau kaip kartą per metus, ir prireikus tikslinamos.
120. Centro techninės ir organizacinės priemonės turi užtikrinti tokio lygio saugumą, kuris atitiktų saugotinų duomenų pobūdį, aprėptį, kontekstą ir tikslus, taip pat duomenų tvarkymo keliamus įvairios tikimybės ir rimtumo pavojus fizinių asmenų teisėms ir laisvėms ir juos tvarkant kylančias rizikas.
121. Įvertinus Taisyklių 117 punkte nurodytas aplinkybes ir nustačius asmens duomenų saugumo lygį, Centre taikomos techninės ir organizacinės priemonės, skirtos asmens duomenims apsaugoti nuo atsitiktinio ar neteisėto sunaikinimo, pakeitimo, atskleidimo, taip pat nuo bet kokio kito neteisėto tvarkymo ir visų pirma susijusios su:
122. Už Taisyklių 117 punkte nustatytų pareigų vykdymą atsako Centro darbuotojai pagal kompetenciją.
123. Duomenų saugos priemonės, taikomos asmens duomenims, tvarkomiems Centro valdomose valstybės informacinėse sistemose, apsaugoti, nustatytos atitinkamos informacinės sistemos duomenų saugos nuostatuose ir kituose saugos dokumentuose.
124. Centro paskirtas atitinkamos valstybės informacinės sistemos saugos įgaliotinis stebi, koordinuoja ir prižiūri duomenų saugos politikos įgyvendinimą. Centro saugos įgaliotinio paskyrimas nepanaikina kiekvieno darbuotojo pareigos įgyvendinti ir taikyti duomenų saugos priemones ir atsakomybės už tų priemonių neįgyvendinimą ir netaikymą.
125. Darbuotojai, kurie naudojasi Centro suteiktu elektroniniu paštu, interneto prieiga ir kita informacinių ir komunikacinių technologijų įranga, privalo vadovautis Taisyklių, Nacionalinio visuomenės sveikatos centro prie Sveikatos apsaugos ministerijos informacijos apdorojimo bendrųjų priemonių taikymo tvarkos aprašu, patvirtintu Nacionalinio visuomenės sveikatos centro direktoriaus 2022 m. birželio 13 d. įsakymu Nr. VKE-278 „Dėl Nacionalinio visuomenės sveikatos centro prie Sveikatos apsaugos ministerijos informacijos apdorojimo bendrųjų priemonių taikymo tvarkos aprašo patvirtinimo“ ir kitų teisės aktų, reglamentuojančių elektroninės informacijos saugą, nuostatomis, o kilus klausimų dėl duomenų saugos priemonių taikymo – kreiptis į Informacinių technologijų valdymo skyrių.
VIII SKYRIUS
ASMENS DUOMENŲ SAUGUMO PAŽEIDIMŲ VALDYMAS
126. Asmens duomenų saugumo pažeidimų ir jų priežasčių klasifikavimas, pranešimų apie pažeidimus Centrui, Inspekcijai ir duomenų subjektams teikimas, pažeidimų tyrimo, jų ir jų pasekmių pašalinimo ir mažinimo, pažeidimų prevencijos ir dokumentavimo veiksmai atliekami Centro direktoriaus nustatyta tvarka.
IX SKYRIUS
ASMENS DUOMENŲ TVARKYMO CENTRE YPATUMAI
PIRMASIS SKIRSNIS
DARBUOTOJŲ ASMENS DUOMENŲ TVARKYMO YPATUMAI
127. Centre gali būti tvarkomi tik tie darbuotojų asmens duomenys, dėl kurių tvarkymo darbuotojas sutiko, kurie yra būtini valstybės tarnybos ar darbo santykiams (praktikai) užtikrinti, susitarimui su darbuotoju sudaryti ir vykdyti, teisės aktuose nustatytoms Centro teisinėms prievolėms, funkcijoms ir (ar) užduotims atlikti, Centro teisėtam interesui apsaugoti. Darbuotojų asmens duomenų tvarkymo tikslai nurodyti duomenų tvarkymo veiklos įrašuose.
128. Centre draudžiama tvarkyti su valstybės tarnyba, darbo santykiais (praktika) ir (ar) darbuotojų teisių įgyvendinimu nesusijusius (perteklinius) darbuotojų asmens duomenis, taip pat pateikti darbuotojų asmens duomenis trečiosioms šalims (įskaitant kitus Centro darbuotojus, kuriems asmens duomenys nėra reikalingi funkcijoms atlikti), išskyrus teisės aktuose nustatytus atvejus.
129. Darbuotojai apie jų asmens duomenų tvarkymą yra informuojami Taisyklių nustatyta tvarka, skelbiant privatumo pranešimus Centro intraneto svetainėje arba DVS priemonėmis supažindinant su Centro priimtais teisės aktais.
130. Draudžiama tvarkyti pretendento į pareigas (toliau – pretendentas) ir darbuotojo asmens duomenis apie apkaltinamuosius nuosprendžius ir nusikalstamas veikas, išskyrus atvejus, kai šie asmens duomenys būtini patikrinti, ar asmuo atitinka įstatymuose nustatytus reikalavimus pareigoms eiti.
131. Pretendento asmens duomenis apie jo kvalifikaciją, profesinius gebėjimus ir (ar) dalykines savybes galima rinkti iš buvusio darbdavio prieš tai informavus pretendentą, o iš esamo darbdavio – tik gavus pretendento sutikimą.
132. Pretendento, neatrinkto eiti pareigas, asmens duomenys saugomi ne ilgiau negu vienus metus po priėmimo procedūros pabaigos termino. Ilgesnį terminą tokie asmens duomenys gali būti saugomi tik tada, jeigu yra kitas teisinis pagrindas ilgiau saugoti asmens duomenis.
133. Jeigu darbuotojas naudoja kompiuterį, telefoną ir (ar) kitą Centro suteiktą įrangą, prietaisus, įtaisus, informacines ir komunikacines technologijas, programinę įrangą asmeniniais tikslais, juose kaupia asmeninio pobūdžio informaciją ir asmens duomenis, jis prisiima riziką, kad tokią informaciją, įskaitant asmens duomenis, Centras gali sužinoti per atliktą Taisyklių 135 punkte nurodytą patikrinimą. Centras neužtikrina darbuotojų asmeninės informacijos konfidencialumo darbuotojams asmeniniais tikslais naudojant elektroninį paštą, interneto ryšį, socialinius tinklus ir (ar) kitas informacines ir komunikacines technologijas bei programinę įrangą.
134. Draudžiama vykdyti Centro darbuotojui suteikto kompiuterio, elektroninio pašto ir kitų Centro įrenginių, prietaisų, įtaisų, informacinių ir komunikacinių technologijų, programinės įrangos stebėjimą, išskyrus Taisyklių 135 punkte nustatytais atvejais ir tvarka.
135. Centro darbuotojams suteiktos darbo priemonės, įranga, įskaitant elektroninio pašto dėžutę, kompiuterius, mobiliuosius telefonus, juose esantys asmens duomenys, kiti duomenys ir informacija gali būti tikrinami esant šioms sąlygoms:
135.1. toks tikrinimas nustatytas Centro teisės aktuose ir kuris atitinka Reglamente (ES) 2016/679 nustatytas teisėtumo sąlygas;
135.3. yra pagrindo manyti, kad darbuotojas padarė tarnybinį nusižengimą ar darbo pareigų pažeidimą arba vykdė veiklą, nesuderinamą su Centro interesais, arba vykdė teisės aktams prieštaraujančią veiklą, arba Centras siekia patikrinti, ar darbuotojas tinkamai atlieka funkcijas ir laikosi kitų nustatytų įpareigojimų ir taisyklių, arba egzistuoja kitos svarbios tokį patikrinimą pagrindžiančios priežastys;
136. Taisyklių 135 punkte nurodyto patikrinimo apimtis yra ribojama, t. y. aiškiai apibrėžiamas tikrinamas laikotarpis arba objektas, pavyzdžiui, tikrinamas tam tikro projekto vykdymas, arba kitos aplinkybės, leidžiančios aiškiai nustatyti tikrinimo ribas, pavyzdžiui, tikrinamas konkrečių funkcijų atlikimas, ir tikrinama tik tiek, kiek yra būtina Taisyklėse išdėstytoms aplinkybėms išsiaiškinti ir Centro interesams apginti. DAP teikia konsultacijas, kad patikrinimu nebūtų pažeistas Reglamentas (ES) 2016/679, Taisyklės ir duomenų subjektų teisė į privatumą.
ANTRAS SKIRSNIS
VAIZDO STEBĖJIMAS
139. Centras vaizdo stebėjimą Centro teisėtai valdomose patalpose ir teritorijoje vykdo šiais tikslais:
139.1. vykdyti teisės aktuose nustatyta tvarka valdomo ir naudojamo (disponuojamo) Centrui patikėjimo teise perduoto valstybės turto priežiūrą;
140. Centro patalpose tvarkomas tik vaizdas (be garso) iš vaizdo stebėjimo kamerų, patenkantis į vaizdo stebėjimo lauką, tai yra: pastato Kalvarijų g. 153, Vilniuje, viduje (koridoriuose), pastato išorėje ir automobilių stovėjimo aikštelėje. Stebimi visi įėjimai į pastatą iš lauko ir iš automobilių stovėjimo aikštelės bei teritorija aplink pastatą. Vaizdas iš IP vaizdo stebėjimo kamerų įrašomas į vaizdo įrašymo įrenginius.
141. Vaizdo stebėjimo kameros turi būti įrengiamos taip, kad vaizdo stebėjimas nebūtų vykdomas kitoje teritorijoje ar patalpoje, negu nurodyta Taisyklių 140 punkte. Vaizdo stebėjimas neturi apimti teritorijų ir pastatų, kurių Centras nevaldo ir nenaudoja (nedisponuoja) patikėjimo teise.
143. Vaizdo stebėjimo duomenys yra saugomi 14 kalendorinių dienų. Pasibaigus nustatytam terminui, duomenys automatiniu būdu sunaikinami. Vaizdo įrašų duomenys, naudojami kaip įrodymai ikiteisminiame ar kitame tyrime, civilinėje, administracinėje ar baudžiamojoje byloje arba kitais įstatymų nustatytais atvejais, gali būti saugomi tiek, kiek reikalinga šiais duomenų tvarkymo tikslais, ir sunaikinami nedelsiant, kai tampa nebereikalingi.
145. Vykdant vaizdo stebėjimą draudžiama:
145.1. įrengti ir eksploatuoti įrengtas vaizdo stebėjimo priemones, į kurių stebėjimo lauką patektų darbuotojų darbo vietos;
145.2. vykdyti vaizdo stebėjimą patalpose, kuriose duomenų subjektas pagrįstai tikisi absoliučios privatumo apsaugos ir kur toks stebėjimas žemintų žmogaus orumą (pavyzdžiui, tualetuose, persirengimo kambariuose ir pan.);
146. Duomenų subjekto teisės, susijusios su vaizdo duomenų tvarkymu, įgyvendinamos Taisyklių IV skyriuje nustatyta tvarka. Įgyvendinant duomenų subjekto teisę susipažinti su savo asmens duomenimis, užtikrinama trečiųjų asmenų teisė į privatų gyvenimą, t. y. jeigu vaizdo įraše matomi kiti asmenys, kurių tapatybė gali būti nustatyta, ar kita informacija, galinti pažeisti trečiųjų asmenų privatumą, duomenų subjektui susipažįstant su vaizdo įrašu šie vaizdai turi būti retušuoti ar galimybė identifikuoti šiuos trečiuosius asmenis turi būti panaikinama kitais būdais.
147. Duomenų subjektas apie duomenų tvarkymą vykdant vaizdo stebėjimą informuojamas informacinėmis lentelėmis su vaizdo stebėjimo kameros simboliu prieš jam patenkant į patalpas ar teritoriją, kurioje vykdomas vaizdo stebėjimas. Informacinėje lentelėje turi būti pateikta ši informacija:
147.2. duomenų valdytojo pavadinimas, kontaktinė informacija (adresas, el. pašto adresas ir (arba) telefono ryšio numeris);
TREČIASIS SKIRSNIS
ASMENS DUOMENŲ TVARKYMAS IR RINKIMAS RENGINIUOSE BEI VIEŠOSIOSE ERDVĖSE
149. Organizuojant Centro renginius, vaizdo konferencijas ir įgyvendinant kitas komunikacijos sklaidos priemones gali būti fotografuojama ir (ar) vykdomas vaizdo ir garso įrašymas, renkami kiti asmens duomenys.
150. Centro renginiuose, kurių metu yra numatyta filmuoti ar fotografuoti, ar rinkti kitus asmens duomenis, renginio dalyvius privaloma apie tai informuoti iš anksto jiems pateikiant Reglamento (ES) 2016/679 13 straipsnyje nurodytą informaciją. Ši informacija gali būti pateikiama įvairiomis formomis priklausomai nuo renginio pobūdžio ir numatyto dalyvių registracijos būdo, pavyzdžiui, nurodant kvietime, renginio dalyvio registracijos formoje, įteikiant informacinį lapelį, patalpinant Centro interneto svetainėje ar kituose šaltiniuose, kuriuose skelbiama apie renginį.
151. Centro organizuojamo renginio metu užfiksavus asmens atvaizdą, prieš skelbiant jį viešai (pavyzdžiui, Centro interneto svetainėje www.nvsc.lrv.lt, socialinių tinklų paskyrose) turi būti gautas duomenų subjekto sutikimas ar jo atstovo sutikimas. Jeigu dalis Centro organizuojamame renginyje dalyvavusių asmenų duoda sutikimą dėl jų atvaizdo viešo skelbimo, o dalis ne, nuotraukos ar vaizdo įrašai prieš paskelbiant viešai turi būti pakoreguoti taip, kad nebūtų galimybės nustatyti sutikimo nedavusių asmenų tapatybės.
152. Jeigu Centro organizuojamas renginys vyksta viešoje vietoje, fiksuojant panoraminį planą, kuriame neišryškinami konkretūs žmonės, duomenų subjekto sutikimo gauti nereikia. Jei filmuojami (fotografuojami) konkrečiai išskirti žmonės ir jie yra aiškiai atpažįstami, reikia gauti šių duomenų subjektų sutikimą. Visais atvejais, jei duomenų subjektas akivaizdžiai nepageidauja, kad jo atvaizdas būtų užfiksuotas (pavyzdžiui, užsidengia veidą), duomenų subjekto atvaizdas nefiksuojamas ir viešai neskelbiamas.
KETVIRTASIS SKIRSNIS
POSĖDŽIŲ GARSO (GARSO IR VAIZDO) ĮRAŠŲ DARYMAS
154. Darant posėdžių garso (garso ir vaizdo) įrašus (toliau – įrašai) užtikrinama, kad įrašų darymas ir tvarkymas atitiktų Taisyklių nuostatas.
155. Jeigu Centro padalinių, darbo grupių ar komisijų darbo tvarką nustatančiuose teisės aktuose ar kituose dokumentuose nenustatyta kitaip, įrašai:
155.1. gali būti daromi ir tvarkomi tik tinkamo posėdžio eigos fiksavimo, atsekamumo ir posėdžio protokolo surašymo tikslu;
155.3. gali būti saugomi, kol bus surašytas protokolas, bet ne ilgiau kaip 30 dienų. Pasibaigus įrašų saugojimo terminui, įrašai sunaikinami;
157. Duomenų subjektas apie įrašo darymą ir įrašuose fiksuojamų asmens duomenų tvarkymą turi būti informuojamas prieš pradedant daryti įrašą. Už duomenų subjekto informavimą apie įrašo darymą ir įrašuose fiksuojamų asmens duomenų tvarkymą atsakingas posėdžio sekretorius ar kitas už posėdžio organizavimą atsakingas asmuo.
X SKYRIUS
ASMENS DUOMENŲ TVARKYTOJAI IR DUOMENŲ TVARKYMO SUTARČIŲ SUDARYMAS
159. Centras turi teisę pasitelkti duomenų tvarkytoją asmens duomenų tvarkymo operacijoms (veiksmams) atlikti.
160. Duomenų tvarkytojas, ketindamas duomenims tvarkyti pasitelkti trečiuosius asmenis (kitus duomenų tvarkytojus), privalo gauti išankstinį rašytinį Centro pritarimą bei užtikrinti, kad pasitelktas subtvarkytojas laikytųsi tų pačių reikalavimų, kurie nustatyti tvarkytojui.
161. Sprendimą perduoti duomenų subjekto duomenų tvarkymą asmens duomenų tvarkytojui priima Centro direktorius arba jo įgaliotas asmuo.
162. Centro valdomų valstybės informacinių sistemų duomenų tvarkytojas (-ai) paskiriamas (-i) teisės aktu, kuriuo tvirtinami atitinkamos informacinės sistemos nuostatai, arba pasirenkamas (-i) viešųjų pirkimų būdu įsigyjant paslaugas ir pasirašant paslaugų pirkimo sutartį, kurioje aptariamos asmens duomenų tvarkymo sąlygos, arba atskirą asmens duomenų tvarkymo sutartį. Visais atvejais, kai Centras įgalioja duomenų tvarkytoją atlikti asmens duomenų tvarkymo veiksmus, tarp Centro ir duomenų tvarkytojo turi būti sudaroma rašytinė asmens duomenų tvarkymo sutartis.
163. Centras, prieš pasitelkdamas duomenų tvarkytoją, įsitikina, kad jis įgyvendina tinkamas technines ir organizacines saugumo priemones bei užtikrina pritaikytąją ir standartizuotą duomenų apsaugą. Taikomų techninių ir organizacinių saugumo priemonių atitiktį Reglamento (ES) 2016/679 reikalavimams turi įrodyti duomenų tvarkytojas.
164. Duomenų tvarkytojo atliekamas asmens duomenų tvarkymas reglamentuojamas duomenų tvarkymo sutartimi arba teisės aktais. Duomenų tvarkytojas veikia tik pagal Centro nurodymus ir Centras yra atsakingas už tai, kad būtų pasirinktas duomenų tvarkytojas, kuris užtikrina tinkamą asmens duomenų saugumą. Kiekvienu atveju duomenų tvarkytojas turi prieigos teises tik prie tokios apimties asmens duomenų ir turi teisę atlikti tik tuos asmens duomenų tvarkymo veiksmus, kurie būtini konkrečiam pavedimui įvykdyti ar konkrečiai paslaugai suteikti.
165. Sutartis ar kitas susitarimas dėl asmens duomenų tvarkymo su duomenų tvarkytoju sudaromi vadovaujantis Standartinėmis sutarčių sąlygomis asmens duomenų tvarkymo sutartyse, patvirtintomis Valstybinės duomenų apsaugos inspekcijos direktoriaus 2021 m. gruodžio 27 d. įsakymu Nr. 1T-117 (1.12.E) „Dėl Standartinių sutarčių sąlygų asmens duomenų tvarkymo sutartyse patvirtinimo“ (toliau – Standartinės sutarčių sąlygos).
166. Duomenų tvarkymo sutarčių rengimo, pasirašymo, pakeitimo, atnaujinimo ar nutraukimo procedūras inicijuoja ir jas vykdo už bendradarbiavimą atsakingas darbuotojas, pirkimo iniciatorius arba viešojo pirkimo komisija (toliau – visi kartu atsakingi asmenys). Atsakingi asmenys, nustatę, kad paslaugos teikėjas tvarkys asmens duomenis Centro vardu, turi parengti Taisyklių 165 punkte nurodytos sutarties, kurioje nustatomos asmens duomenų tvarkymo sąlygos, projektą ir nurodyti už tokios sutarties ar kito susitarimo ar jos (jo) asmens duomenų tvarkymo nuostatų vykdymą atsakingą asmenį.
167. Sudarydamas sutartį su duomenų tvarkytoju, Centras turi užtikrinti sudaromų asmens duomenų tvarkymo sutarčių atitiktį Reglamento (ES) 2016/679 ir kitų asmens duomenų apsaugą reglamentuojančių teisės aktų reikalavimams.
XI SKYRIUS
PRITAIKYTOJI IR STANDARTIZUOTOJI ASMENS DUOMENŲ APSAUGA
169. Centras, kaip duomenų valdytojas, tiek nustatydamas duomenų tvarkymo priemones, tiek tvarkydamas duomenis įgyvendina tinkamas technines ir organizacines priemones asmens duomenų saugumui užtikrinti. Centras, nustatydamas tinkamas technines ir organizacines priemones, turi atsižvelgti į techninių galimybių pažangos lygį, įgyvendinimo sąnaudas ir duomenų tvarkymo pobūdį, aprėptį, kontekstą ir tikslus, taip pat į duomenų tvarkymo keliamus pavojus fizinių asmenų teisėms ir laisvėms. Pritaikytosios duomenų apsaugos principas įpareigoja Centrą imtis techninių ir organizacinių priemonių ankstyvuosiuose duomenų tvarkymo operacijų (veiksmų) rengimo etapuose, kad privatumo ir duomenų apsaugos principai būtų įgyvendinami nuo pat duomenų tvarkymo pradžios, o kiekviena nauja programa ar sistema, kurioje tvarkomi asmens duomenys, būtų kuriama ir diegiama atsižvelgiant į tokių duomenų apsaugą. Į privatumą turi būti atsižvelgiama visą programos ar sistemos gyvavimo ciklą.
170. Priemonių, taikomų įgyvendinant pritaikytosios duomenų apsaugos principą, pavyzdžiai:
171. Standartizuotoji duomenų apsauga reiškia pareigą duomenų valdytojui užtikrinti, kad asmens duomenys būtų tvarkomi užtikrinant aukščiausią privatumo apsaugos lygį, o su asmens duomenimis negalėtų susipažinti neribotas asmenų skaičius.
172. Priemonių, skirtų standartizuotosios duomenų apsaugos principui įgyvendinti, pavyzdžiai:
172.1. standartizuotai tvarkomi tik tie duomenys, kurie yra būtini tam tikru duomenų tvarkymo tikslu;
172.2. technologinės priemonės turi būti suprojektuotos taip, kad būtų galima išvengti nebūtino asmens duomenų tvarkymo;
173. Prekės ir (ar) paslaugos, susijusios su duomenų tvarkymu, gali būti perkamos tik tada, jeigu tam tikros prekės ir (ar) paslaugos pardavėjas užtikrina, kad jo siūloma prekė ar paslauga atitinka pritaikytosios ir standartizuotosios asmens duomenų apsaugos principus ir Centrui yra pateikiami dokumentai, kuriais pardavėjas patvirtina, kad jo prekė ar paslauga atitinka Reglamento (ES) 2016/679 reikalavimus.
XII SKYRIUS
BAIGIAMOSIOS NUOSTATOS
174. Centro vidaus teisės aktuose ar kituose dokumentuose nustatomi reikalavimai, susiję su asmens duomenų tvarkymu, negali prieštarauti Taisyklių nuostatoms.
175. Darbuotojai, kurie yra įgalioti tvarkyti asmens duomenis arba eidami savo pareigas juos sužino, privalo laikytis šių Taisyklių, pagrindinių asmens duomenų tvarkymo reikalavimų bei konfidencialumo ir saugumo reikalavimų, įtvirtintų teisės aktuose ir šiose Taisyklėse. Už Taisyklių nuostatų pažeidimą darbuotojai atsako teisės aktų nustatyta tvarka.
176. Centre ne rečiau kaip kartą per metus vykdomi darbuotojų mokymai Reglamento (ES) 2016/679, Taisyklių taikymo ir įgyvendinimo bei kitais asmens duomenų apsaugos klausimais. Už mokymų organizavimą atsakingas DAP.
177. Priėmus naują darbuotoją, jis su Taisyklėmis privalo būti supažindintas pirmąją jo darbo dieną. Už supažindinimą su Taisyklėmis atsakingas Personalo skyrius.