I SKYRIUS
BENDROSIOS NUOSTATOS
1. Duomenų subjektų teisių įgyvendinimo tvarkant asmens duomenis Higienos instituto valdomuose registruose ir valstybės informacinėse sistemose tvarkos aprašas (toliau – Aprašas) nustato duomenų subjektų teisių įgyvendinimo tvarkant asmens duomenis Higienos instituto valdomuose registruose ir valstybės informacinėse sistemose tvarką.
2. Aprašas taikomas įgyvendinant duomenų subjektų – asmenų, kurių asmens duomenys tvarkomi Higienos instituto valdomuose registruose ir valstybės informacinėse sistemose, teises.
3. Duomenų subjekto teises Aprašo nustatyta tvarka įgyvendina Higienos institutas.
4. Aprašas parengtas vadovaujantis 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamentu (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas) (toliau – Reglamentas (ES) 2016/679).
5. Apraše vartojamos sąvokos suprantamos taip, kaip jos apibrėžtos Reglamente (ES) 2016/679.
6. Higienos instituto tvarkomuose registruose ir valstybės informacinėse sistemose, kurių valdytoja yra Lietuvos Respublikos sveikatos apsaugos ministerija, duomenų subjekto teisių tvarkymą reglamentuoja Duomenų subjektų teisių įgyvendinimo tvarkant asmens duomenis Lietuvos Respublikos sveikatos apsaugos ministerijos valdomuose registruose ir valstybės informacinėse sistemose tvarkos aprašas, patvirtintas Lietuvos Respublikos sveikatos apsaugos ministro 2019 m. liepos 8 d. įsakymu Nr. V-800 „Dėl Duomenų subjektų teisių įgyvendinimo tvarkant asmens duomenis Lietuvos Respublikos sveikatos apsaugos ministerijos valdomuose registruose ir valstybės informacinėse sistemose tvarkos aprašo patvirtinimo“.
II SKYRIUS
DUOMENŲ SUBJEKTŲ TEISĖS
7. Duomenų subjektas turi šias teises, įtvirtintas Reglamente (ES) 2016/679:
7.1. teisę gauti informaciją apie asmens duomenų tvarkymą;
7.2. teisę susipažinti su asmens duomenimis;
7.3. teisę reikalauti ištaisyti asmens duomenis;
7.4. teisę reikalauti ištrinti asmens duomenis (teisę „būti pamirštam“);
7.5. teisę apriboti asmens duomenų tvarkymą.
8. Higienos instituto valdomuose registruose ir valstybės informacinėse sistemose neatliekamas asmens duomenų tvarkymas, grindžiamas duomenų subjekto sutikimu pagal Reglamento (ES) 2016/679 6 straipsnio 1 dalies a punktą arba 9 straipsnio 2 dalies a punktą arba sutartimi pagal 6 straipsnio 1 dalies b punktą, todėl duomenų subjektui netaikoma teisė į duomenų perkeliamumą pagal Reglamento (ES) 2016/679 20 straipsnį.
9. Higienos instituto valdomuose registruose ir valstybės informacinėse sistemose neatliekamas asmens duomenų tvarkymas pagal Reglamento (ES) 2016/679 6 straipsnio 1 dalies e arba f punktus, įskaitant profiliavimą, todėl duomenų subjektui netaikoma teisė nesutikti su duomenų tvarkymu pagal Reglamento (ES) 2016/679 21 straipsnį.
10. Duomenų subjektui netaikoma teisė reikalauti, kad nebūtų taikomas tik automatizuotu duomenų tvarkymu grindžiamas sprendimas pagal Reglamento (ES) 2016/679 22 straipsnį.
PIRMASIS SKIRSNIS
TEISĖ GAUTI INFORMACIJĄ APIE ASMENS DUOMENŲ TVARKYMĄ
11. Informacija apie Higienos instituto valdomuose registruose ir valstybės informacinėse sistemose esančių asmens duomenų tvarkymą, nurodyta Reglamento (ES) 2016/679 13 straipsnyje, duomenų subjektui pateikiama žodžiu, raštu, elektroninių ryšių priemonėmis asmens duomenų gavimo metu arba Higienos instituto interneto svetainėje www.hi.lt.
12. Asmens duomenų rinkimo iš duomenų subjektų atveju duomenų subjektams informacija apie asmens duomenų tvarkymą pateikiama asmens duomenų gavimo metu tokiu būdu, kokiu duomenų subjektas kreipiasi į Higienos institutą, išskyrus atvejus, kai duomenų subjektas tokią informaciją jau turi, ir tiek, kiek tos informacijos jis turi.
13. Kai duomenų subjekto asmens duomenys renkami ne iš duomenų subjekto, informacija, nurodyta Reglamento (ES) 2016/679 14 straipsnio 1 ir 2 dalyse, duomenų subjektui neteikiama Reglamento (ES) 2016/679 14 straipsnio 5 dalyje nurodytais pagrindais.
ANTRASIS SKIRSNIS
TEISĖ SUSIPAŽINTI SU ASMENS DUOMENIMIS
14. Duomenų subjektui pateikus prašymą susipažinti su savo asmens duomenimis, tvarkomais Higienos instituto valdomuose registruose ir valstybės informacinėse sistemose, Higienos institutas turi pateikti:
14.1. informaciją, ar duomenų subjekto asmens duomenys tvarkomi, ar ne;
14.2. su asmens duomenų tvarkymu susijusią informaciją, numatytą Reglamento (ES) 2016/679 15 straipsnio 1 ir 2 dalyse, jeigu duomenų subjekto asmens duomenys yra tvarkomi;
14.3. tvarkomų asmens duomenų kopiją, jeigu asmens duomenų kopijos pateikimas nedaro neigiamo poveikio kitų asmenų teisėms ir laisvėms.
15. Duomenų subjektas turi teisę prašyti, kad jam būtų pateikta tvarkomų asmens duomenų kopija ir kita forma, nei Higienos institutas pateikia, nebent tai būtų neįmanoma ar pareikalautų neproporcingų pastangų.
TREČIASIS SKIRSNIS
TEISĖ REIKALAUTI IŠTAISYTI ASMENS DUOMENIS
16. Duomenų subjektas turi teisę reikalauti, kad Higienos instituto tvarkomi netikslūs jo asmens duomenys būtų ištaisyti, o neišsamūs – papildyti.
17. Siekdamas įsitikinti, kad tvarkomi duomenų subjekto asmens duomenys yra netikslūs ar neišsamūs, Higienos institutas gali duomenų subjekto paprašyti pateikti tai patvirtinančius įrodymus. Jei duomenų subjektas per 5 darbo dienas nuo Higienos instituto prašymo gavimo dienos nepateikia netikslių ar neišsamių duomenų įrodymų, duomenų subjekto teisė reikalauti ištaisyti asmens duomenis neįgyvendinama.
18. Jeigu duomenų subjekto asmens duomenys, ištaisyti pagal duomenų subjekto prašymą, iki jų ištaisymo buvo perduoti duomenų gavėjams, Higienos institutas šiuos duomenų gavėjus apie tai informuoja per 5 darbo dienas nuo asmens duomenų ištaisymo momento, nebent tai būtų neįmanoma ar pareikalautų neproporcingų pastangų. Duomenų subjektui jo prašymu turi būti pateikta informacija apie duomenų gavėjus, kuriems buvo perduoti asmens duomenys iki jų ištaisymo.
KETVIRTASIS SKIRSNIS
TEISĖ REIKALAUTI IŠTRINTI ASMENS DUOMENIS („TEISĖ BŪTI PAMIRŠTAM“)
19. Duomenų subjekto teisė reikalauti ištrinti jo asmens duomenis („teisė būti pamirštam“), numatyta Reglamento (ES) 2016/679 17 straipsnyje, įgyvendinama tik tuo atveju, jei:
19.1. asmens duomenys nebėra reikalingi tikslams, kuriems jie buvo renkami arba kitaip tvarkomi Higienos instituto valdomuose registruose ar valstybės informacinėse sistemose, pasiekti;
19.2. duomenys tvarkomi neteisėtai;
19.3. duomenys turi būti ištrinti laikantis teisės aktuose nustatytos teisinės prievolės, kuri taikoma duomenų valdytojui.
20. Duomenų subjekto prašymas ištrinti asmens duomenis turi būti motyvuotas, jame turi būti nurodytas bent vienas iš Reglamento (ES) 2016/679 17 straipsnyje nurodytų pagrindų.
21. Duomenų subjekto teisė reikalauti ištrinti jo asmens duomenis („teisė būti pamirštam“) neįgyvendinama Reglamento (ES) 2016/679 17 straipsnio 3 dalyje numatytais atvejais.
22. Jeigu duomenų subjekto asmens duomenys, ištrinti duomenų subjekto prašymu, buvo perduoti duomenų gavėjams, Higienos institutas šiuos duomenų gavėjus apie tai informuoja per 5 darbo dienas nuo asmens duomenų ištrynimo momento, nebent tai būtų neįmanoma ar pareikalautų neproporcingų pastangų. Duomenų subjektui jo prašymu Higienos institutas pateikia informaciją apie duomenų gavėjus, kuriems buvo perduoti asmens duomenys iki jų ištrynimo.
PENKTASIS SKIRSNIS
TEISĖ APRIBOTI ASMENS DUOMENŲ TVARKYMĄ
23. Duomenų subjektas turi teisę reikalauti, kad Higienos instituto valdomuose registruose ir valstybės informacinėse sistemose būtų apribotas jo asmens duomenų tvarkymas Reglamento (ES) 2016/679 18 straipsnio 1 dalyje numatytais atvejais.
24. Duomenų subjektą, kurio prašymas apriboti duomenų tvarkymą buvo tenkintas, Higienos institutas informuoja tokiu būdu, kokiu duomenų subjektas pateikė prašymą dėl asmens duomenų tvarkymo apribojimo.
25. Jeigu duomenų subjekto asmens duomenys, kurių tvarkymas apribotas pagal duomenų subjekto prašymą, buvo perduoti duomenų gavėjams, Higienos institutas šiuos duomenų gavėjus apie tai informuoja per 5 darbo dienas nuo asmens duomenų apribojimo momento, nebent tai būtų neįmanoma ar pareikalautų neproporcingų pastangų. Duomenų subjektui jo prašymu Higienos institutas pateikia informaciją apie duomenų gavėjus, kuriems buvo perduoti asmens duomenys iki jų tvarkymo apribojimo.
26. Asmens duomenis, kurių tvarkymas yra apribotas, galima tvarkyti, išskyrus saugojimą, tik gavus duomenų subjekto sutikimą arba siekiant pareikšti, vykdyti arba apginti teisinius reikalavimus, arba apsaugoti kito fizinio ar juridinio asmens teises, arba dėl svarbaus Europos Sąjungos arba Lietuvos Respublikos viešojo intereso.
27. Higienos institutas prieš panaikindamas apribojimą tvarkyti duomenis apie tai informuoja duomenų subjektą, kurio duomenų tvarkymas buvo apribotas, tokiu būdu, kokiu duomenų subjektas pateikė prašymą dėl asmens duomenų tvarkymo apribojimo.
III SKYRIUS
PRAŠYMO ĮGYVENDINTI DUOMENŲ SUBJEKTO TEISES PATEIKIMAS
28. Duomenų subjektas savo teises gali įgyvendinti pats arba per atstovą.
29. Duomenų subjektas, siekdamas įgyvendinti Aprašo 7 punkte nurodytas teises (išskyrus Aprašo 7.1 papunktyje nurodytą teisę), turi pateikti Higienos institutui rašytinį prašymą įgyvendinti duomenų subjekto teises (toliau – prašymas) tiesiogiai jam pačiam arba jo atstovui atvykus, paštu, per pasiuntinį ar elektroninėmis priemonėmis. Žodžiu, elektroninėmis priemonėmis (telefonu ar garso ir vaizdo nuotolinio perdavimo ir įrašymo priemonėmis) gali būti teikiami prašymai dėl teisės gauti informaciją apie asmens duomenų tvarkymą įgyvendinimą. Juos pateikdamas asmuo neprivalo patvirtinti savo tapatybės.
30. Prašymas teikiamas valstybine kalba, jis turi būti aiškus, suprantamas, parašytas įskaitomai, pasirašytas duomenų subjekto, jame turi būti nurodytas duomenų subjekto vardas, pavardė, adresas ir (ar) kiti kontaktiniai duomenys ryšiui palaikyti ar kuriais pageidaujama gauti atsakymą dėl duomenų subjekto teisių įgyvendinimo ir informacija apie tai, kokią iš Aprašo 7 punkte nurodytų teisių ir kokia apimtimi duomenų subjektas pageidauja įgyvendinti, bei informacija, kokiu būdu duomenų subjektas pageidauja gauti atsakymą. Asmens atstovas prašyme turi papildomai turi nurodyti savo vardą, pavardę, adresą ir (ar) kitus kontaktinius duomenis ryšiui palaikyti, kuriais asmens atstovas pageidauja gauti atsakymą, bei pateikti atstovavimą patvirtinantį dokumentą ar jo kopiją.
31. Pateikdamas prašymą, duomenų subjektas ar jo atstovas privalo patvirtinti savo tapatybę:
31.1. jeigu prašymas pateikiamas tiesiogiai, duomenų valdytojo atsakingam darbuotojui pateikiamas asmens tapatybę patvirtinantis dokumentas;
31.2. jeigu prašymas pateikiamas elektroninėmis priemonėmis, prašymas turi būti pasirašytas kvalifikuotu elektroniniu parašu arba suformuotas elektroninėmis priemonėmis, kurios leidžia užtikrinti teksto vientisumą ir nepakeičiamumą.
32. Duomenų subjekto, nepatvirtinusio savo asmens tapatybės, teisės nėra įgyvendinamos. Ši nuostata netaikoma, jeigu duomenų subjektas kreipiasi dėl informavimo apie asmens duomenų tvarkymą pagal Reglamento (ES) 2016/679 13 ir 14 straipsnius.
33. Kai yra abejojama prašymą pateikusio duomenų subjekto tapatybe, Higienos institutas gali paprašyti duomenų subjekto pateikti papildomą, reikalingą jo tapatybei patvirtinti, informaciją.
34. Duomenų subjektui nepateikus prašomos papildomos informacijos per Higienos instituto nurodytą terminą, duomenų subjekto prašymas nėra tenkinamas.
35. Kreipiantis raštu dėl duomenų subjekto teisių įgyvendinimo, rekomenduojama pateikti Higienos instituto nurodytos formos prašymą.
36. Visais klausimais, susijusiais su duomenų subjekto asmens duomenų tvarkymu ir naudojimuisi savo teisėmis, duomenų subjektas turi teisę kreiptis į Higienos instituto duomenų apsaugos pareigūną, kurio kontaktai nurodyti Higienos instituto interneto svetainėje. Kreipiantis į duomenų apsaugos pareigūną paštu, ant voko turėtų būti nurodyta, kad korespondencija yra skirta duomenų apsaugos pareigūnui.
IV SKYRIUS
PRAŠYMO ĮGYVENDINTI DUOMENŲ SUBJEKTO TEISES NAGRINĖJIMAS
37. Higienos institutas nedelsdamas, tačiau ne vėliau kaip per vieną mėnesį nuo prašymo gavimo dienos, turi išnagrinėti Aprašo reikalavimus atitinkantį prašymą ir įgyvendinti arba atsisakyti įgyvendinti duomenų subjekto teises. Šis terminas prireikus Higienos instituto vadovo ar jo įgalioto asmens sprendimu gali būti pratęstas dar dviem mėnesiams, atsižvelgiant į prašymo sudėtingumą ir skaičių. Higienos institutas per vieną mėnesį nuo prašymo gavimo dienos informuoja duomenų subjektą apie tokį pratęsimą, kartu pateikdamas vėlavimo priežastis.
38. Jei duomenų subjekto prašymas tenkinamas iš dalies, duomenų subjektas turi būti informuojamas apie tai, kokia dalimi prašymas yra tenkinamas ir pateikiami argumentai, pagrindžiantys sprendimą kitos prašymo dalies netenkinti.
39. Jei kartu su prašymu pateikta ne visa ir (ar) netiksli informacija arba prašymas neatitinka kitų Aprašo III skyriuje nustatytų reikalavimų, Higienos institutas ne vėliau kaip per 10 darbo dienų nuo prašymo gavimo dienos prašymą pateikusiam asmeniui nurodo nustatytus trūkumus ir informuoja, kad per 10 darbo dienų nuo prašymą pateikusio asmens informavimo apie nustatytus trūkumus dienos nepašalinus trūkumų, išskyrus numatytas išimtis, duomenų subjekto prašymas dėl duomenų subjekto teisių įgyvendinimo nebus nagrinėjamas. Duomenų subjekto neprašoma patikslinti informacijos tais atvejais, kai iš pateiktos informacijos galima aiškiai nustatyti, kokia apimtimi yra prašoma įgyvendinti jo teises. Trūkumų šalinimo laikas į Aprašo 37 punkte nurodytą terminą neįskaičiuojamas.
40. Prašymai nenagrinėjami ir grąžinami juos pateikusiam asmeniui nurodant grąžinimo priežastis šiais atvejais:
40.1. kartu su prašymu pateikta ne visa ir (ar) netiksli informacija ir prašymą pateikęs asmuo per Aprašo 39 punkte nurodytą terminą neįvykdo reikalavimo ištaisyti trūkumus;
40.2. prašymas neįskaitomas;
40.3. prašymas yra akivaizdžiai nepagrįstas.
41. Higienos institutas apie duomenų subjekto teisių neįgyvendinimą ar jų ribojimą, to priežastis ir apie galimybę pateikti skundą priežiūros institucijai ir pasinaudoti teisių gynimo priemone, ne vėliau kaip per 1 mėnesį nuo prašymo gavimo dienos informuoja duomenų subjektą, nebent tokį informavimą draustų teisės aktai.
42. Higienos institutas atsakymą į prašymą pateikia valstybine kalba duomenų subjekto pageidaujamu būdu (pateikiant rašytinį atsakymą paštu, elektroninėmis priemonėmis, asmeniškai Higienos instituto patalpose ar pateikiant informaciją žodžiu, įsitikinus duomenų subjekto tapatybe). Jei duomenų subjektas nenurodo pageidaujamo informacijos pateikimo būdo ir prašymas yra pateiktas elektroninėmis priemonėmis, atsakymas į prašymą pateikiamas, jei tai įmanoma, elektroninėmis priemonėmis. Kitais atvejais atsakymas į prašymą pateikiamas siunčiant rašytinį atsakymą paštu ar kita forma, užtikrinant siunčiamos informacijos konfidencialumą.
43. Higienos institutas visus veiksmus pagal prašymus atlieka ir informaciją teikia nemokamai. Kai duomenų subjekto prašymai yra neproporcingi dėl jų pasikartojančio turinio (jais prašoma dėl tų pačių asmens duomenų įgyvendinti tas pačias duomenų subjekto teises, kurios jau įgyvendintos arba jas pagrįstai atsisakyta įgyvendinti pagal ankstesnius jo prašymus, nebent po vėliausio prašymo pateikimo praėjo ne mažiau nei 5 mėnesiai) arba kai atsakymui pateikti reikėtų sukurti dokumentus ar informacijos rinkmenas ir tai būtų susiję su neproporcingai didelėmis Higienos instituto darbo ir laiko sąnaudomis, Higienos institutas gali atsisakyti nagrinėti prašymą ir apie tai informuoja duomenų subjektą Aprašo 41 punkto nustatyta tvarka. Higienos institutui tenka pareiga įrodyti, kad prašymas yra akivaizdžiai nepagrįstas arba neproporcingas.
44. Higienos institutas, įgyvendindamas duomenų subjekto teises, užtikrina, kad nebūtų daromas neigiamas poveikis kitų fizinių ir juridinių asmenų teisėms ir laisvėms.
