LIETUVOS RADIJO IR TELEVIZIJOS KOMISIJA
SPRENDIMAS
DĖL ASMENS DUOMENŲ TVARKYMO IR DUOMENŲ SUBJEKTŲ TEISIŲ ĮGYVENDINIMO LIETUVOS RADIJO IR TELEVIZIJOS KOMISIJOJE TVARKOS APRAŠO PATVIRTINIMO
2018 m. lapkričio 28 d. Nr. KS-63
Vilnius
Vadovaudamasi 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamento (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendruoju duomenų apsaugos reglamentu) (OL 2016 L 119, p. 1) 24 straipsnio 1 dalimi, 32 straipsnio 1 dalimi, Lietuvos radijo ir televizijos komisija n u s p r e n d ž i a:
Patvirtinti Asmens duomenų tvarkymo ir duomenų subjektų teisių įgyvendinimo Lietuvos radijo ir televizijos komisijoje tvarkos aprašą (pridedama).
PATVIRTINTA
Lietuvos radijo ir televizijos komisijos
2018 m. lapkričio 28 d. sprendimu Nr. KS-63
Asmens duomenų tvarkymo ir duomenų subjektų teisių įgyvendinimo Lietuvos radijo ir televizijos komisijoje tvarkos aprašas
I SKYRIUS
BENDROSIOS NUOSTATOS
1. Asmens duomenų tvarkymo ir duomenų subjektų teisių įgyvendinimo Lietuvos radijo ir televizijos komisijoje tvarkos aprašas (toliau – Aprašas) nustato asmens duomenų tvarkymo tikslus ir apimtį, reglamentuoja asmens duomenų tvarkymo, duomenų subjektų prašymų dėl teisių, įtvirtintų 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamente (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas) (OL 2016 L 119, p. 1), (toliau – Reglamentas) įgyvendinimo pateikimo ir nagrinėjimo Lietuvos radijo ir televizijos komisijoje (toliau – Komisija) tvarką ir sąlygas, asmens duomenų saugumo pažeidimų valdymą.
2. Aprašas parengtas vadovaujantis Reglamentu ir kitais teisės aktais, reglamentuojančiais asmens duomenų tvarkymą ir apsaugą.
3. Apraše vartojamos sąvokos apibrėžtos Reglamente ir Lietuvos Respublikos dokumentų ir archyvų įstatyme.
4. Duomenų valdytojas – Komisija, kodas 188741498, adresas: Šeimyniškių g. 3A, LT-09312 Vilnius. Duomenų tvarkytojas – Komisijos administracija.
5. Aprašas taikomas tvarkant asmens duomenis Komisijoje ir įgyvendinant duomenų subjektų – asmenų, kurių asmens duomenys tvarkomi Komisijoje, teises.
6. Aprašo privalo laikytis visi Komisijos nariai, Komisijos administracijos valstybės tarnautojai ir darbuotojai, dirbantys pagal darbo sutartis ir gaunantys darbo užmokestį iš valstybės biudžeto ir valstybės pinigų fondų, (toliau – Komisijos administracijos darbuotojai) kurie eidami savo pareigas, atlikdami savo funkcijas ir (ar) vykdydami pavedimus, sužino asmens duomenis.
II SKYRIUS
ASMENS DUOMENŲ TVARKYMO TIKSLAI IR APIMTIS
7. Komisijoje asmens duomenys tvarkomi šiais tikslais ir apimtimi:
7.1. radijo, televizijos programų transliavimo veiklos ir retransliuojamo turinio licencijavimo tikslu tvarkomi šie asmens duomenys: vardas, pavardė, asmens kodas, gimimo data, gyvenamoji vieta (adresas korespondencijai), telefono ryšio numeris (fakso numeris), elektroninio pašto adresas, pareigos, parašas, turto dalis (akcijų (dalių, pajų) kiekis) ir balsų dalis procentais, duomenys apie teistumą ir apkaltinamuosius nuosprendžius, ir kiti asmens duomenys, jei jų yra šiuo tikslu Komisijai pateiktuose dokumentuose;
7.2. nelicencijuojamos radijo ir (ar) televizijos programų transliavimo ir (ar) retransliavimo veiklos, televizijos programų ir (ar) atskirų programų platinimo internete Lietuvos Respublikos vartotojams paslaugų ar užsakomųjų visuomenės informavimo audiovizualinėmis priemonėmis paslaugų teikimo reguliavimo tikslu tvarkomi šie asmens duomenys: vardas, pavardė, asmens kodas, gimimo data, gyvenamoji vieta (adresas korespondencijai), telefono ryšio numeris (fakso numeris), elektroninio pašto adresas, pareigos, parašas, turto dalis (akcijų (dalių, pajų) kiekis) ir balsų dalis procentais, duomenys apie teistumą ir apkaltinamuosius nuosprendžius, ir kiti asmens duomenys, jei jų yra šiuo tikslu Komisijai pateiktuose dokumentuose;
7.3. asmenų skundų, prašymų, įskaitant prašymus dėl transliavimo ar retransliuojamo turinio licencijos turėtojo akcijų (dalių, pajų) perleidimo ir įgijimo, ir pranešimų nagrinėjimo tikslu tvarkomi šie asmens duomenys: vardas, pavardė, asmens kodas, gimimo data, gyvenamoji vieta (adresas korespondencijai), telefono ryšio numeris (fakso numeris), elektroninio pašto adresas, pareigos, parašas, gyvenimo aprašyme nurodyti asmens duomenys, turto dalis (akcijų (dalių, pajų) kiekis) ir balsų dalis procentais, informacija apie turtinius santykius ir (ar) jungtinę veiklą, siejančią su transliavimo ir (ar) retransliuojamo turinio licencijas turinčiais asmenimis bei kitais viešosios informacijos rengėjais ir (ar) skleidėjais, duomenys apie teistumą ir apkaltinamuosius nuosprendžius, ir kiti asmens duomenys, jei jų yra šiuo tikslu Komisijai pateiktuose dokumentuose;
7.4. administracinių nuobaudų skyrimo tikslu tvarkomi šie asmens duomenys: vardas, pavardė, asmens kodas, gimimo data, pilietybė, adresas, pareigos, telefono ryšio numeris, elektroninio pašto adresas, parašas, darbovietės pavadinimas, darbovietės adresas ir kiti asmens duomenys, jei juos teisės aktų nustatyta tvarka būtina nurodyti administracinių nuobaudų skyrimo metu;
7.5. vidaus administravimo tikslu tvarkomi šie asmens duomenys: vardas, pavardė, asmens kodas, gimimo data, gyvenamoji vieta, telefono ryšio numeris, elektroninio pašto adresas, parašas, socialinio draudimo pažymėjimo serija ir numeris, gyvenimo aprašyme nurodyti asmens duomenys ir jame nurodytus faktus pagrindžiančiuose dokumentuose (diplomuose, atestatuose, pažymėjimuose, pažymose, kt.) nurodyti asmens duomenys, duomenys, įrodantys asmens teisę į Lietuvos Respublikos darbo kodekse (toliau – Darbo kodeksas) nustatytas lengvatas (duomenys apie darbuotojo neįgalumą, duomenys apie darbuotojo turimą (turimus) vaiką (vaikus) iki 14 metų ar neįgalų (neįgalius) vaiką (vaikus) iki 18 metų, darbuotojo duomenys apie jo sveikatos būklę, duomenys, kad darbuotojas vaiką (vaikus) augina vienas), pareigos, įskaitant pareigas į kurias pretenduojama, priėmimo į darbą ir atleidimo iš darbo datos, duomenys apie darbo užmokestį, informacija apie skatinimus ir nuobaudas, banko atsiskaitomosios sąskaitos duomenys ir kiti asmeniui būdingi ekonominio ar socialinio pobūdžio duomenys, kuriuos pateikia pats asmuo ir (arba) kuriuos tvarkyti įpareigoja įstatymai ir (arba) kiti teisės aktai;
7.6. prekių, darbų, paslaugų sutarčių su teikėjais sudarymo ir vykdymo tikslu tvarkomi šie asmens duomenys: vardas, pavardė, asmens kodas, adresas, telefono ryšio numeris, elektroninio pašto adresas, banko atsiskaitomosios sąskaitos duomenys, pareigos ir kiti asmens duomenys, kuriuos pateikia pats asmuo ir (arba) kuriuos tvarkyti įpareigoja įstatymai ir (arba) kiti teisės aktai;
III SKYRIUS
ASMENS DUOMENŲ TVARKYMAS
8. Asmens duomenys Komisijoje tvarkomi laikantis asmens duomenų tvarkymo principų, reikalavimų asmens duomenų tvarkymui ir apsaugai, įtvirtintų Reglamente, Apraše ir kituose teisės aktuose.
9. Asmens duomenys Komisijoje renkami tik teisės aktų nustatyta tvarka, juos gaunant tiesiogiai iš duomenų subjekto, iš teisės aktuose nurodytų asmenų, turinčių pareigą teikti Komisijai tokius duomenis, oficialiai užklausiant Komisijos funkcijoms vykdyti reikalingą informaciją tvarkančių ir turinčių teisę ją teikti asmenų pagal prašymą (vienkartinio asmens duomenų rinkimo atveju) arba pagal asmens duomenų teikimo sutartį (daugkartinio asmens duomenų rinkimo atveju).
10. Asmens duomenys Komisijoje tvarkomi neautomatiniu būdu susistemintose rinkmenose ir (arba) automatiniu būdu.
11. Dokumentai, kuriuose yra asmens duomenų, Komisijoje valdomi vadovaujantis Dokumentų tvarkymo ir apskaitos taisyklėmis, patvirtintomis Lietuvos vyriausiojo archyvaro 2011 m. liepos 4 d. įsakymu Nr. V-118 „Dėl Dokumentų tvarkymo ir apskaitos taisyklių patvirtinimo“, Elektroninių dokumentų valdymo taisyklėmis, patvirtintomis Lietuvos vyriausiojo archyvaro 2011 m. gruodžio 29 d. įsakymu Nr. V-158 „Dėl Elektroninių dokumentų valdymo taisyklių patvirtinimo“, Komisijos pirmininko patvirtintu kasmetiniu Komisijos dokumentacijos planu ir laikantis kitų teisės aktų, reglamentuojančių dokumentų valdymą, reikalavimų.
12. Komisijos nariai, Komisijos administracijos darbuotojai ir kiti asmenys, kuriems yra suteikta teisė susipažinti su asmens duomenimis, pagal kompetenciją užtikrina tinkamą asmens duomenų tvarkymą, laikosi Reglamente nurodytų asmens duomenų tvarkymo principų bei reikalavimų ir laiko paslaptyje bet kokią su asmens duomenimis susijusią informaciją, su kuria jie susipažino atlikdami savo funkcijas ir (ar) vykdydami pavedimus.
13. Komisijoje tvarkomų asmens duomenų saugumas užtikrinamas įgyvendinant Komisijos pirmininko įsakymu nustatytas organizacines ir technines priemones, skirtas asmens duomenims nuo atsitiktinio ar neteisėto sunaikinimo, praradimo, pakeitimo, atskleidimo, taip pat nuo bet kokio kito neteisėto tvarkymo apsaugoti.
14. Asmens duomenys Komisijoje tvarkomi ne ilgiau nei to reikalauja asmens duomenų tvarkymo tikslai. Kai asmens duomenys nebereikalingi jų tvarkymo tikslams, jie yra sunaikinami, jeigu Lietuvos Respublikos teisės aktai nenustato kitaip.
15. Asmens duomenys šiame punkte nurodytiems tretiesiems asmenims teikiami tik įstatymų ir kitų teisės aktų nustatytais atvejais ir tvarka:
15.1. Nacionaliniam saugumui užtikrinti svarbių objektų apsaugos koordinavimo komisijai – siekiant įvertinti asmens atitiktį nacionalinio saugumo interesams pagal Lietuvos Respublikos visuomenės informavimo įstatymo (toliau – Visuomenės informavimo įstatymas) 22 straipsnio 5 dalies 4 ir (ar) 5 punktuose, 31 straipsnio 11 dalies 4 ir (ar) 5 punktuose, 33 straipsnio 2 dalies 4 ir (ar) 5 punktuose nurodytas aplinkybes. Šiuo tikslu teikiami asmens duomenys, kuriuos privaloma pateikti pagal Nacionaliniam saugumui užtikrinti svarbių objektų apsaugos koordinavimo komisijos darbo tvarkos aprašą, patvirtintą Lietuvos Respublikos Vyriausybės 2009 m. lapkričio 25 d. nutarimu Nr. 1540 „Dėl Nacionaliniam saugumui užtikrinti svarbių objektų apsaugos koordinavimo komisijos darbo tvarkos aprašo patvirtinimo“;
15.2. Informatikos ir ryšių departamentui prie Lietuvos Respublikos vidaus reikalų ministerijos – siekiant įvertinti asmens atitiktį nacionalinio saugumo interesams pagal Visuomenės informavimo įstatymo 22 straipsnio 5 dalies 3 punkte, 31 straipsnio 11 dalies 3 punkte ir 33 straipsnio 2 dalies 3 punkte nurodytas aplinkybes. Šiuo tikslu teikiami asmens duomenys, kuriuos privaloma pateikti pagal su Informatikos ir ryšių departamentu prie Lietuvos Respublikos vidaus reikalų ministerijos sudarytą asmens duomenų teikimo sutartį dėl Įtariamųjų, kaltinamųjų ir nuteistųjų registre tvarkomų duomenų;
15.3. Valstybinei mokesčių inspekcijai prie Lietuvos Respublikos finansų ministerijos – mokesčių administravimo tikslu. Šiuo tikslu teikiami šie asmens duomenys: vardas, pavardė, gimimo data, asmens kodas, informacija apie darbo užmokestį, banko atsiskaitomosios sąskaitos duomenys;
15.4. Valstybinio socialinio draudimo fondo valdybai prie Socialinės apsaugos ir darbo ministerijos – draudžiamųjų pajamų, socialinio draudimo įmokų, išmokų ir socialinio draudimo stažo administravimo tikslu. Šiuo tikslu teikiami šie asmens duomenys: vardas, pavardė, gimimo data, asmens kodas, socialinio draudimo pažymėjimo serija ir numeris, priėmimo į darbą ir atleidimo iš darbo datos, duomenys apie darbo užmokestį, duomenys, įrodantys darbuotojo teisę į Darbo kodekse nustatytas lengvatas (duomenys apie darbuotojo neįgalumą, duomenys apie darbuotojo turimą (turimus) vaiką (vaikus) iki 14 metų ar neįgalų (neįgalius) vaiką (vaikus) iki 18 metų, darbuotojo duomenys apie jo sveikatos būklę, duomenys, kad darbuotojas vaiką (vaikus) augina vienas), informacija apie suteiktas atostogas ir darbo laiką;
15.5. teismams – ginčo dėl Komisijos veiksmų ar neveikimo teisėtumo nagrinėjimo tikslu. Šiuo tikslu teikiami asmens duomenys, susiję su ginču;
15.6. juridiniams asmenims – skundo, prašymo ar pranešimo nagrinėjimo tikslu ir tik jeigu būtina skundui, prašymui ar pranešimui išnagrinėti. Šiuo tikslu teikiami asmens duomenys, nurodyti asmens skunde, prašyme ar pranešime;
16. Komisija tvarko duomenų tvarkymo veiklos įrašus, kuriuose pateikiama Reglamento 30 straipsnyje nurodyta informacija apie tvarkomus asmens duomenis. Duomenų tvarkymo veiklos įrašai tvarkomi raštu, įskaitant elektronine forma. Pasikeitus Komisijoje tvarkomų asmens duomenų tikslams, apimčiai ar kitoms su asmens duomenų tvarkymu susijusioms aplinkybėms, duomenų tvarkymo veiklos įrašuose esanti informacija nedelsiant, bet ne vėliau kaip per 5 darbo dienas, atnaujinama. Duomenų tvarkymo veiklos įrašų pakeitimai atliekami taip, kad būtų įmanoma užtikrinti duomenų tvarkymo veiklos įrašų pakeitimų atsekamumą.
IV SKYRIUS
DUOMENŲ SUBJEKTŲ TEISĖS IR JŲ ĮGYVENDINIMAS
PIRMASIS SKIRSNIS
DUOMENŲ SUBJEKTŲ TEISĖS
17. Duomenų subjektas turi šias teises:
17.3. teisę reikalauti, kad būtų ištaisyti netikslūs asmens duomenys ir (arba) būtų papildyti neišsamūs asmens duomenys;
ANTRASIS SKIRSNIS
TEISĖ ŽINOTI (BŪTI INFORMUOTAM) APIE ASMENS DUOMENŲ TVARKYMĄ KOMISIJOJE
18. Duomenų subjekto teisė žinoti (būti informuotam) apie asmens duomenų tvarkymą Komisijoje įgyvendinama jam pateikiant informaciją, nurodytą Reglamento 13 ir 14 straipsniuose.
19. Informacija apie Komisijos atliekamą asmens duomenų tvarkymą pateikiama:
20. Kai asmens duomenys iš duomenų subjekto renkami tiesiogiai, informacija apie asmens duomenų tvarkymą pateikiama asmens duomenų gavimo metu. Komisija turi teisę atsisakyti įgyvendinti duomenų subjekto teisę žinoti (būti informuotam) apie jo asmens duomenų tvarkymą Komisijoje arba pateikti ne visą Reglamento 13 straipsnyje nurodytą informaciją, jeigu duomenų subjektui ši informacija jau buvo pateikta.
21. Kai duomenų subjekto asmens duomenys renkami ne tiesiogiai iš duomenų subjekto, apie asmens duomenų tvarkymą informuojama:
21.1. per pagrįstą laikotarpį nuo asmens duomenų gavimo, bet ne vėliau kaip per vieną mėnesį, atsižvelgiant į konkrečias asmens duomenų tvarkymo aplinkybes;
21.2. jeigu asmens duomenys naudojami ryšiams su duomenų subjektu palaikyti – ne vėliau kaip pirmą kartą susisiekiant su tuo duomenų subjektu;
22. Komisija turi teisę neinformuoti duomenų subjekto apie asmens duomenų tvarkymą Komisijoje pagal Aprašo 21 punktą arba pateikti ne visą Reglamento 14 straipsnyje nurodytą informaciją, jeigu:
22.2. tokios informacijos pateikimas yra neįmanomas, pareikalautų neproporcingų pastangų arba jeigu dėl to gali tapti neįmanoma pasiekti ar bus trukdoma pasiekti asmens duomenų tvarkymo tikslus. Tokiais atvejais Komisija imasi tinkamų priemonių duomenų subjekto teisėms, laisvėms ir teisėtiems interesams apsaugoti, įskaitant viešą informacijos paskelbimą;
22.3. asmens duomenų gavimas ar atskleidimas aiškiai nustatytas Europos Sąjungos arba nacionaliniuose teisės aktuose, taikomuose Komisijai ir kuriuose nustatytos tinkamos teisėtų duomenų subjekto interesų apsaugos priemonės;
TREČIASIS SKIRSNIS
teisĖ susipažinti su asmens duomenimis, tvarkomais Komisijoje
23. Komisija, įgyvendindama duomenų subjekto teisę susipažinti su savo asmens duomenimis, duomenų subjektui pateikia:
24. Komisija duomenų subjektui pateikia vieną tvarkomų asmens duomenų kopiją. Tvarkomų asmens duomenų kopija pateikiama raštu, o kai duomenų subjektas prašymą pateikia elektroninėmis priemonėmis – elektronine forma (užtikrinant saugų elektroninių duomenų ir informacijos perdavimą, pavyzdžiui, naudojant šifravimą). Duomenų subjektas turi teisę prašyti, kad jam būtų pateikta papildoma tvarkomų asmens duomenų kopija ir (ar) kita forma, tačiau Komisija turi teisę netenkinti tokio prašymo, jei papildomos ir (ar) kitos formos duomenų subjekto tvarkomų asmens duomenų kopijos pateikimas pareikalautų neproporcingų išlaidų.
KETVIRTASIS SKIRSNIS
teisĖ reikalauti, kad būtų ištaisyti netikslūs asmens duomenys ir (arba) būtų papildyti neišsamūs asmens duomenys
25. Duomenų subjektas, vadovaudamasis Reglamento 16 straipsniu, turi teisę reikalauti, kad bet kokie jo tvarkomi netikslūs asmens duomenys būtų ištaisyti, o neišsamūs asmens duomenys – papildyti.
26. Siekiant įsitikinti, kad tvarkomi duomenų subjekto asmens duomenys yra netikslūs ar neišsamūs, Komisija gali duomenų subjekto paprašyti pateikti tai patvirtinančius įrodymus.
27. Jeigu duomenų subjekto asmens duomenys (ištaisyti pagal duomenų subjekto prašymą) buvo perduoti duomenų gavėjams, Komisija šiuos duomenų gavėjus apie tai informuoja, nebent tai būtų neįmanoma ar pareikalautų neproporcingų pastangų. Duomenų subjektas turi teisę prašyti, kad jam būtų pateikta informacija apie tokius duomenų gavėjus.
PENKTASIS SKIRSNIS
teisĖ reikalauti ištrinti asmens duomenis („teisė būti pamirštam“)
28. Duomenų subjektas turi teisę reikalauti ištrinti jo asmens duomenis („teisė būti pamirštam“) tik esant Reglamento 17 straipsnio 1 dalyje nurodytoms sąlygoms, kurių egzistavimą privalo pagrįsti.
29. Komisija netenkina duomenų subjekto reikalavimo ištrinti jo asmens duomenis („teisė būti pamirštam“), jei tokių duomenų tvarkymas yra pagrindžiamas Reglamento 17 straipsnio 3 dalyje numatytomis aplinkybėmis.
30. Jeigu duomenų subjekto asmens duomenys (ištrinti pagal duomenų subjekto prašymą) buvo perduoti duomenų gavėjams, Komisija šiuos duomenų gavėjus apie tai informuoja, nebent tai būtų neįmanoma ar pareikalautų neproporcingų pastangų. Duomenų subjektas turi teisę prašyti, kad jam būtų pateikta informacija apie tokius duomenų gavėjus.
ŠEŠTASIS SKIRSNIS
teisė apriboti asmens duomenų tvarkymą Komisijoje
31. Duomenų subjekto teisę apriboti jo asmens duomenų tvarkymą Komisija įgyvendina Reglamento 18 straipsnio 1 dalyje numatytais atvejais.
32. Komisija neatlieka jokių asmens duomenų, kurių tvarkymą duomenų subjektas paprašė apriboti, tvarkymo veiksmų, išskyrus jų saugojimą, nebent duomenų subjektas davė tam sutikimą arba Komisija siekia pareikšti, vykdyti ar apginti teisinius reikalavimus, apsaugoti kito fizinio ar juridinio asmens teises, arba asmens duomenis tvarkyti būtina dėl su viešuoju interesu susijusių priežasčių. Komisija, apribodama tokių asmens duomenų tvarkymą, imasi visų būtinų priemonių, kad būtų apribota prieiga prie tokių asmens duomenų (pavyzdžiui, išima paskelbtus asmens duomenis iš interneto svetainės, jei jie buvo paskelbti) ar kitaip užkirstas kelias atlikti bet kokius tvarkymo veiksmus su tokiais asmens duomenimis (pavyzdžiui, Komisijos dokumentų valdymo informacinėje sistemoje pažymint, kad šių asmens duomenų tvarkymas yra apribotas).
33. Kai asmens duomenys, kurių tvarkymas apribotas, yra ištaisomi ar sunaikinami (duomenų subjekto prašymu arba pasibaigus asmens duomenų saugojimo terminui), arba išnyksta priežastys, dėl kurių tvarkyti asmens duomenis yra svarbiau už duomenų subjekto interesus, teises ir laisves, tokių asmens duomenų tvarkymo apribojimas panaikinamas, o Komisija, prieš panaikindama šį apribojimą, apie tai raštu informuoja duomenų subjektą.
34. Jeigu duomenų subjekto asmens duomenys, kurių tvarkymas apribotas, buvo perduoti duomenų gavėjams, Komisija šiuos duomenų gavėjus apie tai informuoja, nebent tai būtų neįmanoma ar pareikalautų neproporcingų pastangų. Duomenų subjektas turi teisę prašyti, kad jam būtų pateikta informacija apie tokius duomenų gavėjus.
SEPTINTASIS SKIRSNIS
teisė į asmens duomenų perkeliamumą
35. Duomenų subjekto teisę į asmens duomenų perkeliamumą Komisija įgyvendina tik dėl tų asmens duomenų, kurie tvarkomi automatiniu būdu susistemintose rinkmenose remiantis sutartimi, kurios šalis yra duomenų subjektas.
36. Duomenų subjektas, kreipdamasis dėl teisės į asmens duomenų perkeliamumą, turi nurodyti, ar pageidauja, kad jo asmens duomenys būtų persiųsti jam ar kitam duomenų valdytojui. Duomenų subjekto asmens duomenys kitam duomenų valdytojui gali būti persiųsti, jei yra techninės galimybės pateikti asmens duomenis tiesiogiai kitam duomenų valdytojui ir užtikrinamas saugus elektroninių duomenų ir informacijos perdavimas. Komisija, duomenų subjekto prašymu persiųsdama duomenų subjekto asmens duomenis kitam duomenų valdytojui, nevertina, ar duomenų valdytojas, kuriam persiunčiami duomenų subjekto asmens duomenys, turi teisinį pagrindą gauti duomenų subjekto asmens duomenis ir, ar šis duomenų valdytojas užtikrins tinkamas asmens duomenų saugumo priemones.
AŠTUNTASIS SKIRSNIS
teisė nesutikti su asmens duomenų tvarkymu
38. Duomenų subjektas, vadovaudamasis Reglamento 21 straipsniu, turi teisę dėl su juo konkrečiu atveju susijusių priežasčių bet kuriuo metu nesutikti, kad Komisija tvarkytų jo asmens duomenis.
39. Apie duomenų subjekto teisę nesutikti su asmens duomenų tvarkymu Komisija informuoja duomenų subjektą ne vėliau kaip pirmą kartą susisiekdama su juo. Komisija pateikia duomenų subjektui informaciją apie jo teisę nesutikti su asmens duomenų tvarkymu aiškiai ir atskirai nuo visos kitos teikiamos informacijos tokiu būdu, kokiu duomenų subjektas kreipiasi į Komisiją.
40. Duomenų subjektui išreiškus nesutikimą su asmens duomenų tvarkymu, toks tvarkymas atliekamas tik tuo atveju, jeigu Komisija įrodo, kad duomenų subjekto asmens duomenys tvarkomi dėl priežasčių, kurios yra svarbesnės už duomenų subjekto interesus, teises ir laisves, arba jeigu asmens duomenys yra reikalingi pareikšti, vykdyti ar apginti teisinius reikalavimus.
DEVINTASIS SKIRSNIS
PRAŠYMŲ ĮGYVENDINTI DUOMENŲ SUBJEKTO TEISĘ (TEISES) PATEIKIMAS
41. Kreiptis dėl duomenų subjekto teisės (teisių) įgyvendinimo duomenų subjektas turi teisę žodžiu arba raštu, pateikiant prašymą įgyvendinti duomenų subjekto teisę (teises) asmeniškai, paštu ar elektroninių ryšių priemonėmis. Žodžiu gali būti teikiamas tik prašymas dėl Aprašo 17.1 papunktyje nurodytos duomenų subjekto teisės įgyvendinimo. Raštu teikiamo prašymo įgyvendinti duomenų subjekto teisę (teises) pavyzdinė forma nustatyta Aprašo priede.
42. Duomenų subjekto raštu teikiamas prašymas įgyvendinti duomenų subjekto teisę (teises) turi būti parašytas valstybine kalba, įskaitomas, asmens pasirašytas, jame turi būti nurodyti duomenų subjekto vardas, pavardė, adresas ir (ar) kiti kontaktiniai duomenys ryšiui palaikyti ir (ar) kuriais pageidaujama gauti atsakymą dėl duomenų subjekto teisių įgyvendinimo, informacija, kokią (kokias) duomenų subjekto teisę (teises) ir kokia apimtimi duomenų subjektas pageidauja įgyvendinti, nurodyti argumentai ir (ar) pridėti įrodymai, pagrindžiantys tokį prašymą. Nevalstybine kalba pateiktas duomenų subjekto prašymas įgyvendinti duomenų subjekto teisę (teises) gali būti priimamas ir nagrinėjamas tik išimtiniais atvejais Komisijos pirmininko pavedimu.
43. Pateikdamas prašymą įgyvendinti duomenų subjekto teisę (teises), duomenų subjektas privalo patvirtinti savo tapatybę:
43.1. jeigu dėl duomenų subjekto teisės (teisių) įgyvendinimo kreipiamasi asmeniškai, duomenų subjektas turi patvirtinti savo tapatybę pateikdamas asmens tapatybę patvirtinantį dokumentą. To nepadarius, duomenų subjekto teisės nėra įgyvendinamos. Ši nuostata netaikoma, jeigu duomenų subjektas kreipiasi dėl Aprašo 17.1 papunktyje nurodytos teisės įgyvendinimo;
43.2. jeigu dėl duomenų subjekto teisių įgyvendinimo kreipiamasi raštu, pateikiant prašymą įgyvendinti duomenų subjekto teisę (teises) paštu, tuomet kartu su prašymu įgyvendinti duomenų subjekto teisę (teises) turi būti pateikta teisės aktų nustatyta tvarka patvirtinta asmens tapatybę patvirtinančio dokumento kopija. Teikiant prašymą įgyvendinti duomenų subjekto teisę (teises) elektroninių ryšių priemonėmis, prašymas įgyvendinti duomenų subjekto teisę (teises) turi būti pasirašytas kvalifikuotu elektroniniu parašu arba jis turi būti suformuotas elektroninių ryšių priemonėmis, kurios leidžia užtikrinti teksto vientisumą ir nepakeičiamumą. Ši nuostata netaikoma, jeigu duomenų subjektas kreipiasi dėl 17.1 papunktyje nurodytos teisės įgyvendinimo.
45. Duomenų subjekto atstovas prašyme įgyvendinti duomenų subjekto teisę (teises) turi nurodyti savo vardą, pavardę, adresą ir (ar) kitus kontaktinius duomenis ryšiui palaikyti, kuriais duomenų subjekto atstovas pageidauja gauti atsakymą, taip pat atstovaujamo duomenų subjekto vardą, pavardę, informaciją, kokią (kokias) duomenų subjekto teisę (teises) ir kokia apimtimi pageidaujama įgyvendinti, nurodyti argumentai ir (ar) pridėti įrodymai, pagrindžiantys tokį prašymą. Kartu su prašymu įgyvendinti duomenų subjekto teisę (teises) duomenų subjekto atstovas privalo pateikti atstovavimą patvirtinantį dokumentą ar jo kopiją, patvirtintą teisės aktų nustatyta tvarka.
46. Esant abejonių dėl duomenų subjekto ar jo atstovo tapatybės, Komisija gali paprašyti papildomos informacijos, reikalingos ja įsitikinti.
47. Visais klausimais, susijusiais su duomenų subjekto asmens duomenų tvarkymu ir naudojimusi savo teisėmis, duomenų subjektas ar jo atstovas turi teisę kreiptis į Komisijos duomenų apsaugos pareigūną. Siekiant užtikrinti Reglamento 38 straipsnio 5 dalyje įtvirtintą konfidencialumą, kreipiantis į duomenų apsaugos pareigūną paštu, privaloma ant voko užrašyti, kad korespondencija skirta duomenų apsaugos pareigūnui.
DEŠIMTASIS SKIRSNIS
PRAŠYMŲ ĮGYVENDINTI DUOMENŲ SUBJEKTO (TEISĘ) TEISES NAGRINĖJIMAS
48. Komisija, be nepagrįsto delsimo, bet ne vėliau kaip per vieną mėnesį nuo prašymo įgyvendinti duomenų subjekto teisę (teises) gavimo dienos, duomenų subjektui ar jo atstovui pateikia informaciją apie tai, kokių veiksmų buvo imtasi pagal gautą prašymą. Tas laikotarpis prireikus gali būti pratęstas Komisijos pirmininko įsakymu dar dviem mėnesiams, atsižvelgiant į prašymų įgyvendinti duomenų subjekto teisę (teises) sudėtingumą ir skaičių. Komisija per vieną mėnesį nuo prašymo gavimo dienos informuoja duomenų subjektą ar jo atstovą apie tokį pratęsimą, kartu pateikdama vėlavimo priežastis.
49. Jeigu prašymas įgyvendinti duomenų subjekto teisę (teises) pateiktas nesilaikant Aprašo IV skyriaus devintajame skirsnyje nustatytos tvarkos ir reikalavimų, Komisija jo nenagrinėja ir nedelsiant, tačiau ne vėliau kaip per 5 darbo dienas nuo prašymo įgyvendinti duomenų subjekto teisę (teises) gavimo dienos, informuoja duomenų subjektą apie tai, nurodydama atsisakymo nagrinėti prašymą priežastis.
50. Kai prašymas įgyvendinti duomenų subjekto teisę (teises) yra akivaizdžiai nepagrįstas arba neproporcingas, visų pirma dėl pasikartojančio turinio, Komisija turi teisę atsisakyti nagrinėti tokį prašymą.
51. Komisija turi teisę atsisakyti vykdyti Aprašo nuostatas atitinkantį duomenų subjekto prašymą įgyvendinti duomenų subjekto teisę (teises) esant Reglamento 23 straipsnio 1 dalyje numatytiems pagrindams.
52. Komisija atsakymą duomenų subjektui ar jo atstovui pateikia valstybine kalba duomenų subjekto ar jo atstovo pasirinktu būdu (paštu, įteikiant asmeniškai atvykus į Komisiją arba elektroninių ryšių priemonėmis). Komisijos pirmininko pavedimu į prašymą įgyvendinti duomenų subjekto teisę (teises) gali būti atsakoma nevalstybine kalba.
53. Komisija, atsisakydama nagrinėti arba vykdyti prašymą įgyvendinti duomenų subjekto teisę (teises), duomenų subjektui ar jo atstovui pateikia tokio atsisakymo motyvus ir informuoja apie galimybę pateikti skundą Aprašo 54 punkte nurodytoms institucijoms.
54. Komisijos veiksmus ar neveikimą įgyvendinant duomenų subjekto teises turi teisę skųsti duomenų subjektas pats arba duomenų subjekto atstovas, taip pat jo įgaliota ne pelno siekianti įstaiga, organizacija ar asociacija, atitinkanti Reglamento 80 straipsnio reikalavimus, Valstybinei duomenų apsaugos inspekcijai ir (ar) Vilniaus apygardos administraciniam teismui.
V SKYRIUS
ASMENS DUOMENŲ SAUGUMO PAŽEIDIMŲ VALDYMAS
PIRMASIS SKIRSNIS
ASMENS DUOMENŲ SAUGUMO PAŽEIDIMO TYRIMAS
55. Komisijos nariai ir Komisijos administracijos darbuotojai, kurie eidami savo pareigas, atlikdami savo funkcijas ir (ar) vykdydami pavedimus sužino asmens duomenis, pastebėję galimą asmens duomenų saugumo pažeidimą arba sužinoję apie galimą asmens duomenų saugumo pažeidimą iš visuomenės informavimo priemonės (priemonių) ar kito šaltinio, nedelsdami apie tai informuoja Komisijos pirmininką, savo tiesioginį vadovą ir duomenų apsaugos pareigūną.
56. Komisijos pirmininkas ar jo pavedimu kitas atsakingas asmuo, nustatęs, kad asmens duomenų saugumo pažeidimas iš tikrųjų įvyko, inicijuoja ir organizuoja asmens duomenų saugumo pažeidimo tyrimą, kad būtų nustatytos aplinkybės, susijusios su asmens duomenų saugumo pažeidimu, nurodytos Aprašo 57 punkte, taip pat užtikrina, kad būtų imtasi priemonių asmens duomenų saugumo pažeidimui pašalinti ir (arba) neigiamoms asmens duomenų saugumo pažeidimo pasekmėms sumažinti.
57. Atliekant asmens duomenų saugumo pažeidimo tyrimą, tiriamos ir vertinamos:
57.1. asmens duomenų saugumo pažeidimo aplinkybės (pavyzdžiui, kokio pobūdžio asmens duomenų saugumo pažeidimas įvyko: asmens duomenų konfidencialumo praradimas (neautorizuota prieiga ar atskleidimas), asmens duomenų vientisumo praradimas (neautorizuotas asmens duomenų pakeitimas) ar asmens duomenų prieinamumo praradimas (asmens duomenų praradimas, sunaikinimas));
57.2. asmens duomenų, kurių saugumas pažeistas, kategorijos ir skaičius (pavyzdžiui, asmens tapatybę patvirtinantys asmens duomenys, specialių kategorijų asmens duomenys, duomenys apie apkaltinamuosius nuosprendžius ir nusikalstamas veikas, prisijungimo duomenys ir (arba) asmens identifikaciniai numeriai ir kt.);
57.3. duomenų subjektų, kurių asmens duomenų saugumas pažeistas, kategorijos ir apytikslis skaičius;
57.4. galimos asmens duomenų saugumo pažeidimo pasekmės, įskaitant ir pavojus duomenų subjekto teisėms ir laisvėms. Laikoma, kad asmens duomenų saugumo pažeidimas galintis kelti pavojų asmenų teisėms ir laisvėms yra toks, dėl kurio, laiku nesiėmus tinkamų priemonių, fiziniai asmenys gali patirti kūno sužalojimą, materialinę ar nematerialinę žalą, pavyzdžiui, prarasti savo asmens duomenų kontrolę, patirti teisių apribojimą, diskriminaciją, gali būti pavogta ar suklastota jo asmens tapatybė, jam padaryta finansinių nuostolių, neleistinai panaikinti pseudonimai, gali būti pakenkta jo reputacijai, prarastas asmens duomenų, kurie laikomi profesine paslaptimi, konfidencialumas arba padaryta kita ekonominė ar socialinė žala atitinkamam fiziniam asmeniui.
ANTRASIS SKIRSNIS
PRANEŠIMAS APIE ASMENS DUOMENŲ SAUGUMO PAŽEIDIMĄ
58. Komisijos pirmininkas ar jo pavedimu kitas atsakingas asmuo užtikrina, kad be nepagrįsto delsimo ir, jei įmanoma, praėjus ne daugiau kaip 72 valandoms nuo tada, kai tapo žinoma apie asmens duomenų saugumo pažeidimą, apie tai būtų pranešta Valstybinei duomenų apsaugos inspekcijai, išskyrus atvejus, kai asmens duomenų saugumo pažeidimas nekelia pavojaus fizinių asmenų teisėms ir laisvėms. Jeigu Valstybinei duomenų apsaugos inspekcijai nepranešama per 72 valandas, pranešime nurodomos vėlavimo priežastys. Pranešimas apie asmens duomenų saugumo pažeidimą pateikiamas Pranešimo apie asmens duomenų saugumo pažeidimą pateikimo Valstybinei duomenų apsaugos inspekcijai tvarkos apraše, patvirtintame Valstybinės duomenų apsaugos inspekcijos direktoriaus 2018 m. liepos 27 d. įsakymu Nr. 1T-72(1.12.E) „Dėl Pranešimo apie asmens duomenų saugumo pažeidimą pateikimo Valstybinei duomenų apsaugos inspekcijai tvarkos aprašo patvirtinimo“, nustatyta tvarka ir sąlygomis, užpildant pranešimo apie asmens duomenų saugumo pažeidimo formą, patvirtintą Valstybinės duomenų apsaugos inspekcijos direktoriaus 2018 m. rugpjūčio 29 d. įsakymu Nr. 1T-82(1.12.E) „Dėl Pranešimo apie asmens duomenų saugumo pažeidimą rekomenduojamos formos patvirtinimo“.
59. Kai dėl asmens duomenų saugumo pažeidimo gali kilti didelis pavojus fizinių asmenų teisėms ir laisvėms, Komisijos pirmininkas ar jo pavedimu kitas atsakingas asmuo užtikrina, kad be nepagrįsto delsimo, bet ne vėliau kaip per 5 darbo dienas nuo tada, kai tapo žinoma apie asmens duomenų saugumo pažeidimą, apie asmens duomenų saugumo pažeidimą būtų pranešta duomenų subjektui (subjektams), kurio (kurių) teisėms ir laisvėms dėl asmens duomenų saugumo pažeidimo gali kilti didelis pavojus. Apie asmens duomenų saugumo pažeidimą, dėl kurio gali kilti didelis pavojus fizinių asmenų teisėms ir laisvėms, duomenų subjektui pranešti neprivaloma, jeigu įvykdoma bet kuri iš Reglamento 34 straipsnio 3 dalyje nurodytų sąlygų.
60. Aprašo 59 punkte nurodytame pranešime duomenų subjektui aiškiai ir suprantamai pateikiama ši informacija:
60.2. duomenų apsaugos pareigūno arba kito atsakingo asmens, galinčio suteikti daugiau informacijos apie asmens duomenų saugumo pažeidimą, vardas, pavardė ir kontaktiniai duomenys (telefono ryšio numeris, elektroninio pašto adresas);
60.4. priemonės, kurių buvo imtasi arba siūloma imtis, kad būtų pašalintas asmens duomenų saugumo pažeidimas, įskaitant priemonės galimoms neigiamoms asmens duomenų saugumo pažeidimo pasekmėms sumažinti (pavyzdžiui, kad apie asmens duomenų saugumo pažeidimą yra informuota Valstybinė duomenų apsaugos inspekcija ir, kad yra gauta jos rekomendacija dėl asmens duomenų saugumo pažeidimo tvarkymo ir jo poveikio sumažinimo), taip pat duomenų subjektui skirtos rekomendacijos, kaip sumažinti galimą neigiamą asmens duomenų saugumo pažeidimo poveikį (pavyzdžiui, pasikeisti prisijungimo slaptažodžius neteisėtos prieigos prie asmens duomenų atveju ir kt.);
61. Duomenų subjektas (subjektai) apie asmens duomenų saugumo pažeidimą, dėl kurio gali kilti didelis pavojus jo (jų) teisėms ir laisvėms, informuojamas (informuojami) tiesiogiai pateikiant jam (jiems) Aprašo 60 punkte nurodyto turinio pranešimą raštu (paštu arba elektroninių ryšių priemonėmis). Kai tiesioginio pranešimo duomenų subjektui (subjektams) pateikimas pareikalautų neproporcingai daug pastangų ar didelių sąnaudų, vietoj to apie įvykusį asmens duomenų saugumo pažeidimą gali būti paskelbiama viešai arba taikoma panaši priemonė, kuria duomenų subjektas (subjektai) būtų informuojamas (informuojami) taip pat efektyviai (pavyzdžiui, pranešimas Komisijos interneto svetainėje ir (ar) kitomis Komisijos naudojamomis komunikacijos priemonėmis ar panašiai).
TREČIASIS SKIRSNIS
ASMENS DUOMENŲ SAUGUMO PAŽEIDIMO ĮFORMINIMAS
62. Komisijos pirmininkas ar jo pavedimu kitas atsakingas asmuo užtikrina, kad visi asmens duomenų saugumo pažeidimai būtų fiksuojami Asmens duomenų saugumo pažeidimų žurnale.
63. Asmens duomenų saugumo pažeidimų žurnale nurodoma:
63.1. asmens duomenų saugumo pažeidimo nustatymo aplinkybės (asmens duomenų saugumo pažeidimo nustatymo data, laikas (val., min.), subjektas, pranešęs apie asmens duomenų saugumo pažeidimą (vardas, pavardė, pareigos);
63.2. asmens duomenų saugumo pažeidimo aplinkybės (asmens duomenų saugumo pažeidimo data, laikas (val., min.), asmens duomenų saugumo pažeidimo pobūdis, priežastys, asmens duomenų, kurių saugumas pažeistas, kategorijos ir skaičius, duomenų subjektų, kurių asmens duomenų saugumas pažeistas, kategorijos ir apytikslis skaičius);
63.4. priemonės, kurių buvo imtasi, kad būtų pašalintas asmens duomenų saugumo pažeidimas, įskaitant priemonės galimoms neigiamoms asmens duomenų saugumo pažeidimo pasekmėms sumažinti;
63.5. informacija apie pranešimą Valstybinei duomenų apsaugos inspekcijai apie asmens duomenų saugumo pažeidimą:
63.5.1. jei apie asmens duomenų saugumo pažeidimą nebuvo pranešta Valstybinei duomenų apsaugos inspekcijai, nurodomi tokio sprendimo motyvai; jei apie asmens duomenų saugumo pažeidimą buvo pranešta Valstybinei duomenų apsaugos inspekcijai, nurodoma pranešimo data ir būdas, taip pat, ar pranešimas teikiamas etapais;
63.6. informacija apie pranešimą duomenų subjektui (subjektams) apie asmens duomenų saugumo pažeidimą:
63.6.1. jei apie asmens duomenų saugumo pažeidimą nebuvo pranešta duomenų subjektui (subjektams), nurodomi tokio sprendimo motyvai; jei apie asmens duomenų saugumo pažeidimą buvo pranešta duomenų subjektui (subjektams), nurodoma pranešimo (pranešimų) data (datos) ir būdas (būdai);
64. Informacija apie asmens duomenų saugumo pažeidimą Asmens duomenų saugumo pažeidimų žurnale fiksuojama nedelsiant, kai tik nustatomas asmens duomenų saugumo pažeidimo faktas, nustatomos ir įvertinamos su juo susijusios aplinkybės, nurodytos Aprašo 57 punkte, tačiau ne vėliau kaip per 5 darbo dienas. Esant poreikiui, Asmens duomenų saugumo pažeidimų žurnale esanti informacija gali būti patikslinta ir (ar) papildyta.
VI SKYRIUS
BAIGIAMOSIOS NUOSTATOS
Asmens duomenų tvarkymo ir
duomenų subjektų teisių
įgyvendinimo Lietuvos radijo ir
televizijos komisijoje tvarkos aprašo
priedas
(Prašymo įgyvendinti duomenų subjekto teisę (teises) pavyzdinė forma)
|
|
| (Vardas, pavardė) |
|
|
| Adresas ir (ar) kiti kontaktiniai duomenys (telefono ryšio numeris, elektroninio pašto adresas) |
|
|
| (Atstovaujamo duomenų subjekto vardas, pavardė)[1] |
Lietuvos radijo ir televizijos komisijai
Šeimyniškių g. 3A
LT-09312 Vilnius
PRAŠYMAS
ĮGYVENDINTI DUOMENŲ SUBJEKTO TEISĘ (TEISES)
|
|
| (Data) |
|
|
| (Vieta) |
1. Prašau įgyvendinti šią (šias) duomenų subjekto teisę (teises) (pažymėkite tinkamą langelį):
□ teisę žinoti (būti informuotam) apie asmens duomenų tvarkymą;
□ teisę susipažinti su asmens duomenimis;
□ teisę reikalauti, kad būtų ištaisyti netikslūs asmens duomenys ir (arba) būtų papildyti neišsamūs asmens duomenys;
□ teisę reikalauti ištrinti asmens duomenis („teisė būti pamirštam“);
□ teisę apriboti asmens duomenų tvarkymą;
□ teisę į asmens duomenų perkeliamumą;
□ teisę nesutikti su asmens duomenų tvarkymu.
2. Nurodytą duomenų subjekto teisę (teises) prašau įgyvendinti šia apimtimi dėl šių priežasčių (nurodykite, ko konkrečiai prašote ir pateikite kiek įmanoma daugiau informacijos, kuri leistų tinkamai įgyvendinti duomenų subjekto teisę (teises)[2]):
|
|
3. Atsakymą noriu gauti (pažymėti vieną tinkamą langelį):
atvykęs į Lietuvos radijo ir televizijos komisiją adresu Šeimyniškių g. 3A, Vilnius;
paštu;
elektroninių ryšių priemonėmis.
PRIDEDAMA[3]:
1. __________________________________________.
2. __________________________________________.
3. __________________________________________.
4. __________________________________________.
|
|
|
|
| (Parašas) |
|
(Vardas, pavardė) |