Vos už kelių mėnesių, 2018 m. gegužės 25-ąją, visoje Europos Sąjungoje, įskaitant ir Lietuvą, pradėtas tiesiogiai taikyti Bendrasis duomenų apsaugos reglamentas (BDAR). Šis reglamentas, žinomas kaip revoliucinis asmens duomenų apsaugos srityje, įtvirtina aukštesnius standartus ir kelia naujus reikalavimus verslui bei viešajam sektoriui.
Asmens duomenų apsaugą Lietuvoje ilgą laiką reglamentavo Asmens duomenų teisinės apsaugos įstatymas, tačiau technologinė plėtra ir globalizacija pakeitė situaciją. Visi verslai veiklai naudoja kompiuterius, turi prieigą prie interneto, siunčia ir gauna įvairiausius asmens duomenis (pavyzdžiui, naudojantis el. paštu, el. parduotuve ir pan.), o didžiąją dalį surinktų asmens duomenų saugo būtent skaitmeniniu pavidalu (kompiuteriuose, serveriuose ir pan.).
Labai svarbu, jog Reglamentas visoje ES (taigi ir Lietuvoje) bus taikomas tiesiogiai. Reglamentas, be kita ko, bus taikomas visiems privačiame sektoriuje veikiantiems asmenims (įmonėms, individualia veikla užsiimantiems asmenims ir pan.), kurie savo veikloje tvarko asmens duomenis.
Šiame straipsnyje aptarsime, ką svarbu žinoti žemės ūkio sektoriuje veikiančioms įmonėms apie šį reglamentą, kokios pareigos joms tenka ir ko galima tikėtis ateityje.
Kas Yra Asmens Duomenys?
Asmens duomenų sąvoka yra labai talpi ir reiškia bet kokią informaciją apie fizinį asmenį, kurio tapatybė nustatyta arba kurio tapatybę galima nustatyti. Tad asmens duomenys apima ne vien fizinio asmens vardą, pavardę, asmens kodą, gimimo datą, adresą, banko sąskaitos numerį, bet ir šio asmens pomėgius, įsigytų prekių istoriją, nuosavybės teise valdomą turtą, naudojamo kompiuterio IP adresą ir gausybę kitų duomenų.
Iš esmės kiekvienas verslas įvairiausiomis formomis tvarko asmens duomenis, pavyzdžiui, duomenis, susijusius su savo darbuotojais bei kandidatais į laisvas darbo vietas, su esamais ar potencialiais klientais, įvairiais tiekėjais ar partneriais. Net ir tais atvejais, kai patalpų viduje ar išorėje saugumo tikslais įrengiamos vaizdo stebėjimo kameros, taip pat laikoma, jog verslas tvarko į šių vaizdo kamerų filmavimo lauką patekusių fizinių asmenų duomenis.
Asmens duomenis galima aptikti ne tik dokumentuose, kuriuose nurodomas jo vardas, pavardė, kodas ir telefono numeris. Asmens duomenimis laikomas ir IP adresas, pirkimo įpročiai, pomėgiai, buvimo vieta ir t. t.
Pagrindiniai BDAR Reikalavimai ir Pareigos
Reglamentas numato daug naujų pareigų asmens duomenis tvarkantiems verslo subjektams. Pirmiausia, Reglamente įtvirtinamas principas, jog verslas turės pats savarankiškai užtikrinti tinkamas technines ir organizacines priemones asmens duomenų apsaugai.
Kitaip tariant, verslui bus mažinama administracinė našta (pavyzdžiui, nuo 2018 m. gegužės 25 d. verslui nereikės papildomai registruotis Valstybinės duomenų apsaugos inspekcijos prižiūrimame duomenų valdytojų registre), suteikiama daugiau laisvės nuspręsti, kokių konkrečių techninių ir organizacinių priemonių imtis tinkamai duomenų apsaugai. Pavyzdžiui, verslas turės pats nuspręsti, kur saugoti tvarkomus skaitmenizuotus asmens duomenis (savo serveriuose ar išorinių paslaugų teikėjų serveriuose), šifruoti saugomus duomenis ar daryti šių duomenų atsargines kopijas ir pan.
- Sutikimas: Dažniausiai savo veikloje verslas tvarko asmens duomenis prieš tai gavęs fizinių asmenų sutikimus dėl tokio jų asmens duomenų tvarkymo. Pradėjus taikyti Reglamentą, verslas prieš gaudamas tokį sutikimą privalės labai išsamiai informuoti atitinkamą fizinį asmenį. Mat fizinis asmuo turės būti informuojamas apie tai, kokiais tikslais jo duomenys tvarkomi, kokiu teisiniu pagrindu, kokias teises šis fizinis asmuo turi ir pan. Jei klientui fiziniam asmeniui iš anksto nepateikiama visa Reglamente numatyta informacija, bus laikoma, kad tokio kliento duotas sutikimas negalioja ir verslas tvarko šio kliento duomenis neteisėtai.
- Duomenų apsaugos pareigūnas: Kita Reglamento naujovė - duomenų apsaugos pareigūno pareigybė. Daliai stambesnių agroverslo įmonių, kurios tvarko asmens duomenis intensyviai, bus privalu paskirti duomenų apsaugos pareigūną, t. y. kompetentingą asmenį, kuris konsultuos įmonę asmens duomenų tvarkymo klausimais.
Taip pat svarbu, kad asmens duomenys būti tvarkomi tik tuo atveju, kai yra asmens duomenų tvarkymo teisėtas pagrindas, t. y. sutikimas, sutarties vykdymas, teisinė prievolė, teisėtas interesas, viešasis interesas ar gyvybiniai interesai. Turi būti vienas iš šių asmens duomenų tvarkymo pagrindų. Pavyzdžiui, jei su tiekėju yra sudaryta paslaugų teikimo sutartis, asmens duomenys, būtini tinkamai įgyvendinti sutartį, turėtų būti tvarkomi sutarties vykdymo pagrindu, o sutikimas šiuo atveju nereikalingas.
Sutikimas, kaip teisėtas asmens duomenų tvarkymo pagrindas, turėtų būti naudojamas tik tuo atveju, jei jį duomenų subjektas gali bet kada panorėjęs atšaukti.
Fizinių Asmenų Teisės
Pagaliau, Reglamentas suteiks naujų teisių fiziniams asmenims. Štai fizinis asmuo tam tikrais atvejais turės teisę reikalauti, kad verslas visiškai sunaikintų apie jį surinktus asmens duomenis (vadinamoji teisė būti pamirštam), taip pat, kad verslas skaitmeniniu pavidalu saugiai perkeltų apie šį fizinį asmenį sukauptus asmens duomenis kitam verslui (teisė į duomenų perkeliamumą).
Atsakomybė Už Pažeidimus
Pradėjus taikyti Reglamentą, už jo pažeidimus verslui grės itin didelės administracinės baudos - maksimalus nustatytas šių baudų dydis siekia 20 mln. eurų arba iki 4 proc. ankstesnių finansinių metų bendros metinės pasaulinės apyvartos, priklausomai nuo to, kuri suma didesnė.
Palyginimui, šiuo metu už asmens duomenų apsaugos pažeidimus Administracinių nusižengimų kodeksas įmonėms numato baudas iki 580 Eur, o įmonių vadovams - iki 1 200 Eur (už pakartotinį pažeidimą atitinkamai iki 1 150 ir iki 3 000 Eur). Verslui, pažeidusiam Reglamento nuostatas, taip pat grės ir civilinė atsakomybė. Pagaliau, būtina įvertinti ir padidėsiančią įmonės reputacijos riziką.
Taigi, asmens duomenų tvarkymo reikalavimų nežinojimas gali lemti tai, kad duomenys bus tvarkomi netinkamai, taip pat asmens duomenų subjektai negalės pasinaudoti savo teisėmis.
Kaip Pasiruošti BDAR Reikalavimams?
Pasiruošimo Reglamentui procesą galima suskirstyti į dvi dalis. Pirmiausia, agroverslui reikia atlikti individualų asmens duomenų apsaugos auditą. Per tokį auditą turi būti atsakoma į svarbius klausimus: kokie ir kieno asmens duomenys yra tvarkomi, kokiais tikslais, kokiu teisiniu pagrindu, iš kur jie gaunami, kam teikiami ir pan.
Būtina peržiūrėti visas agroverslo sutartis, vidines įmonės tvarkas, kitus dokumentus, net interneto svetainės ar naudojamos programinės įrangos turinį. Inventorizavus kiekvieną asmens duomenų tvarkymo operaciją, įvertinama jos atitiktis Reglamento reikalavimams. Kitas žingsnis - įgyvendinti per auditą parengtą individualų veiksmų planą.
Tinkamas pasiruošimas Reglamento reikalavimams reikalauja teisinių ir informacinių technologijų žinių, todėl šiame procese patartina konsultuotis su kompetentingais įmonės darbuotojais ar specialistais iš išorės. Be to, praktikoje toks pasirengimo procesas vidutiniškai trunka ganėtinai ilgai - nuo vieno iki kelių mėnesių.
Taip pat svarbu, kad parengti dokumentai būtų nuolat ir sistemiškai peržiūrimi, t. y. neužtenka tik formaliai pasirengti dokumentus, turi būti ir reali atitiktis praktikoje.
Štai keletas klausimų, į kuriuos reikia atsakyti atliekant auditą:
- Kokius asmens duomenis tvarkote?
- Kieno asmens duomenis tvarkote?
- Kokiais tikslais tvarkote asmens duomenis?
- Kokiu teisiniu pagrindu tvarkote asmens duomenis?
- Iš kur gaunate asmens duomenis?
- Kam teikiate asmens duomenis?
Turint omenyje, kad Reglamentas jau yra taikomas, griežtesnis asmens duomenų apsaugos reguliavimas skatins verslą keisti asmens duomenų tvarkymo kultūrą.
AGRO SISTEMOS taip pat tvarko asmens duomenis, vadovaudamiesi tam tikrais principais:
- Asmens duomenys gali būti gaunami tiesiogiai iš Kliento, iš Kliento veiklos jam naudojantis paslaugomis ir išorinių šaltinių, kaip valstybės ir privačių asmenų valdomų registrų bei kitų trečiųjų šalių.
- Duomenys ryšiams, kaip - adresas, telefono numeris, el.
- Duomenys, surinkti naudojantis ryšių ir kitomis techninėmis priemonėmis, kaip - duomenys, kurie surinkti klientui atvykus į AGRO SISTEMOS padalinius (vaizdo stebėjimo ir garso įrašymo duomenys duomenys) arba bendraujant su AGRO SISTEMOS telefonu, vaizdo ir/arba garso įrašymo priemonėmis, el.
Pagrindiniai tikslai, kurių siekia AGRO SISTEMOS tvarkydama asmens duomenis, tai santykių su Klientais palaikymas ir galimybių naudotis AGRO SISTEMOS paslaugomis sudarymas ir administravimas. Kliento Asmens duomenys naudojami tiek, kiek yra būtina kokybiškų paslaugų suteikimui užtikrinti ar pasiūlymų paruošimui ir teikimui.
AGRO SISTEMOS gali tvarkyti Asmens duomenis, siekdamas pagerinti Klientui teikiamų elektroninių paslaugų kokybę, pavyzdžiui, siūlomas paslaugas pritaikant naudojamam įrenginiui, taip pat siekiant parengti asmeninius pasiūlymus Klientui. Jei Klientas nėra paprieštaravęs Asmens duomenų tvarkymui tiesioginės rinkodaros tikslu, AGRO SISTEMOS tvarkyti Asmens duomenis tam, kad pateiktų bendrus ir asmeninius AGRO SISTEMOS teikiamų paslaugų pasiūlymus. Asmens duomenų gavėjai.
Asmens duomenys tvarkomi ne ilgiau nei yra būtina.
Klientas turi teisę raštu pateikti reikalavimą ištrinti jo Asmens duomenis.
AGRO SISTEMOS turi teisę bet kuriuo metu vienašališkai pakeisti šiuos Principus, informuodamas Klientą apie pakeitimus paskelbiant AGRO SISTEMOS klientų aptarnavimo padalinyje, interneto svetainėje, informuojant Klientą paštu, el.
DROGAS asmens duomenų tvarkymo pakeitimai
tags: #asmens #duomenu #naudojimas #igyvendinant #zemes #ukio