DĖL DUOMENŲ TVARKYMO OPERACIJŲ UTENOS RAJONO SAVIVALDYBĖS ADMINISTRACIJOJE POVEIKIO DUOMENŲ APSAUGAI VERTINIMO TVARKOS APRAŠO PATVIRTINIMO

Suvestinė redakcija nuo 2023-06-02

Įsakymas paskelbtas: TAR 2021-04-27, i. k. 2021-08746

UTENOS RAJONO SAVIVALDYBĖS ADMINISTRACIJOS DIREKTORIUS

ĮSAKYMAS

DĖL DUOMENŲ TVARKYMO OPERACIJŲ UTENOS RAJONO SAVIVALDYBĖS ADMINISTRACIJOJE POVEIKIO DUOMENŲ APSAUGAI VERTINIMO TVARKOS APRAŠO PATVIRTINIMO

2021 m. balandžio 26 d. Nr. AĮ-475

Utena

Atsižvelgdama 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamento (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrojo duomenų apsaugos reglamento) (OL 2016 L 119, p. 1) 35 straipsniu, Lietuvos Respublikos vietos savivaldos įstatymo 29 straipsnio 8 dalies 2 punktu, atsižvelgdamas į duomenų apsaugos darbo grupės, įkurtos 1995 m. spalio 24 d. Europos Parlamento ir Tarybos direktyvos 95/46/EB dėl asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo (OL 2004 m. specialusis leidimas, 13 skyrius, 15 tomas, p. 355) 29 straipsnio pagrindu, parengtas 2017 m. balandžio 4 d. Poveikio duomenų apsaugai vertinimo (PDAV) gaires, kuriomis Reglamento (ES) 2016/679 taikymo tikslais nurodoma, kaip nustatyti, ar duomenų tvarkymo operacijos gali sukelti didelį pavojų

1. Tvirtinu Duomenų tvarkymo operacijų Utenos rajono savivaldybės administracijoje poveikio duomenų apsaugai vertinimo tvarkos aprašą (pridedama).

2. Nurodau, kad šis įsakymas turi būti paskelbtas Teisės aktų registre ir savivaldybės interneto svetainėje www.utena.lt.

Administracijos direktorius pavaduotoja, Zita Ringelevičienė

vykdanti administracijos direktoriaus pareigas

PATVIRTINTA

Utenos rajono savivaldybės

administracijos direktoriaus

2021 m. balandžio 26 d.

įsakymu Nr. AĮ-475

DUOMENŲ TVARKYMO OPERACIJŲ UTENOS RAJONO SAVIVALDYBĖS ADMINISTRACIJOJE POVEIKIO DUOMENŲ APSAUGAI VERTINIMO TVARKOS APRAŠAS

I SKYRIUS

BENDROSIOS NUOSTATOS

1. Duomenų tvarkymo operacijų Utenos rajono savivaldybės administracijoje poveikio duomenų apsaugai vertinimo tvarkos aprašo (toliau – Aprašas) nustato duomenų tvarkymo operacijų poveikio duomenų apsaugai vertinimo Utenos rajono savivaldybės administracijoje atlikimo procedūrą, eigą ir reikalavimus, siekiant užtikrinti 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamento (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrojo duomenų apsaugos reglamento) (OL 2016 L 119, p. 1) (toliau – Reglamentas) laikymąsi ir įgyvendinimą.

2. Atliekant poveikio duomenų apsaugai vertinimą, vadovaujamasi Reglamentu, šiuo Aprašu ir kitais asmens duomenų apsaugos tvarkymą ir privatumo apsaugą reglamentuojančiais teisės aktais.

3. Apraše vartojamos sąvokos

3.1. Asmens duomenys (toliau – Duomenys) – bet kokia informacija apie fizinį asmenį, kurio tapatybė nustatyta arba kurio tapatybę galima tiesiogiai arba netiesiogiai nustatyti visų pirma pagal identifikatorių, kaip antai vardą ir pavardę, asmens kodą, buvimo vietos duomenis ir interneto identifikatorių, arba pagal vieną ar kelis to fizinio asmens fizinės, fiziologinės, genetinės, psichinės, ekonominės, kultūrinės ar socialinės tapatybės požymius.

3.2. Darbuotojas – Savivaldybės administracijos valstybės tarnautojas arba darbuotojas, dirbantis pagal darbo sutartį.

3.3. Duomenų apsaugos pareigūnas – Savivaldybės administracijos vyriausiasis specialistas duomenų apsaugai.

3.4. Duomenų subjektas – fizinis asmuo, kurio duomenis tvarko Savivaldybės administracija.

3.5. Duomenų saugumo pažeidimas – pažeidimas, dėl kurio netyčia arba neteisėtai sunaikinami, prarandami, pakeičiami, be leidimo atskleidžiami, persiųsti, saugomi arba kitaip tvarkomi asmens duomenys arba gaunama prieiga prie jų be leidimo.

3.6. Poveikio duomenų apsaugai procedūra (toliau – PDAV) – poveikio duomenų apsaugai vertinimas.

3.7. Priežiūros institucija – Valstybinė duomenų apsaugos inspekcija.

3.8. Poveikio duomenų apsaugai vertinimo komisija (toliau – Komisija) – Savivaldybės administracijos direktoriaus konkrečiam atvejui sudaryta ne mažiau kaip 3 asmenų komisija, kuri atlieka poveikio duomenų apsaugai vertinimą. Savivaldybės administracijos direktoriaus sprendimu komisijos darbe gali dalyvauti ir išorės paslaugų teikėjai.

3.9. Kitos Apraše vartojamos sąvokos suprantamos taip, kaip jos apibrėžtos Reglamente, Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatyme ir kituose teisės aktuose, reglamentuojančiuose asmens duomenų apsaugą.

II SKYRIUS

POVEIKIO DUOMENŲ APSAUGAI VERTINIMO PROCEDŪRA

4. PDAV atlikimas yra privalomas tada, jei tam tikro pobūdžio duomenų tvarkymas gali kelti didelį pavojų fizinių asmenų teisėms bei laisvėms, visų pirma, tada, kai naudojamos naujos technologijos, atsižvelgiant į duomenų tvarkymo pobūdį, aprėptį, kontekstą ir tikslus.

5. PDAV turėtų būti įgyvendintas prieš duomenų tvarkymą. Atitinkamai PDAV turėtų prasidėti taip anksti, kaip yra praktiška kuriant tvarkymo operaciją, net jei tam tikri jos aspektai vis dar nėra žinomi. Tai, kad gali prireikti atnaujinti PDAV, kai tvarkymas jau bus prasidėjęs, nėra pateisinama priežastis atidėti ar nevykdyti PDAV.

6. Kai duomenų tvarkymas tikėtinai gali kelti didelę riziką fizinių asmenų teisėms ir laisvėms, Savivaldybės administracija kaip duomenų valdytojas turi atlikti PDAV tam, kad būtų įvertinta visų pirma to pavojaus kilmė, pobūdis, specifika ir rimtumas.

7. Duomenų tvarkymą inicijuojantis Savivaldybės administracijos padalinys privalo parengti planuojamos duomenų tvarkymo veiklos aprašą pagal šio Aprašo 1 priede pateiktą formą ir pateikti jį Komisijai.

8. PDAV atliekamas Komisijai bendradarbiaujant su duomenų tvarkymą inicijuojančiu Savivaldybės administracijos padaliniu, kitomis suinteresuotomis šalimis ir duomenų apsaugos pareigūnu.

9. Vienas PDAV gali įvertinti keletą panašių tvarkymo operacijų, keliančių panašias dideles rizikas.

10. Sistemoms ir procesams, kurios niekaip neidentifikuoja asmenų, įprastai nekeliamas reikalavimas atlikti PDAV. Tačiau būtina atsižvelgti į tai, kad tai, kas gali atrodyti nuasmenintais duomenimis, iš tikro gali būti identifikuojantys asmenį duomenys naudojant juos kartu su kita informacija, taigi nuasmeninti duomenys turėtų būti atidžiai įvertinti siekiant įsitikinti, kad jais nebus identifikuojami individai.

III SKYRIUS

POREIKIO ATLIKTI POVEIKIO DUOMENŲ APSAUGAI VERTINIMĄ NUSTATYMAS

11. Poreikio atlikti PDAV vertinimo etapo metu Komisija atsako į atrankos klausimus.

12. Atrankos klausimai skirti nustatyti, ar yra reikalingas PDAV. Jei atsakymas į bet kurį iš pateiktų klausimų yra „taip“, PDAV turėtų būti atliekamas

12.1. Ar asmens duomenų tvarkymas tikėtinai gali kelti didelę riziką fizinių asmenų teisėms ir laisvėms?

12.2. Ar asmens duomenų tvarkymas apima sistemingą ir išsamų su fiziniais asmenimis susijusių asmeninių aspektų vertinimą, kuris yra grindžiamas automatizuotu tvarkymu, įskaitant profiliavimą, ir kuriuo remiantis priimami sprendimai, kuriais padaromas su fiziniu asmeniu susijęs teisinis poveikis arba kurie daro panašų didelį poveikį fiziniam asmeniui?

12.3. Ar asmens duomenų tvarkymas apima specialių kategorijų duomenų, atitinkamai (a) asmens duomenis, atskleidžiančius rasinę ar etninę kilmę, politines pažiūras, religinius ar filosofinius įsitikinimus ar narystę profesinėse sąjungose, (b) genetinius duomenis, biometrinius duomenis, siekiant konkrečiai nustatyti fizinio asmens tapatybę, sveikatos duomenis arba duomenis apie fizinio asmens lytinį gyvenimą ir lytinę orientaciją ar (c) asmens duomenis apie apkaltinamuosius nuosprendžius ir nusikalstamas veikas tvarkymą dideliu mastu?

12.4. Ar bus atliekamas sistemingas viešos vietos stebėjimas dideliu mastu?

12.5. Ar asmens duomenų tvarkymas patenka į Valstybinės duomenų apsaugos inspekcijos 2019 m. kovo 14 d. įsakymu Nr. 1T-35 (1.12.E) „Dėl duomenų tvarkymo operacijų, kurioms taikomas reikalavimas atlikti poveikio duomenų apsaugai vertinimą, sąrašo patvirtinimo“ patvirtintą Duomenų tvarkymo operacijų, kurioms taikomas reikalavimas atlikti poveikio duomenų apsaugai vertinimą, sąrašą?

13. Kiti kriterijai, kurie turėtų būti įvertinti, kaip galintys lemti duomenų tvarkymo operacijų „didelę riziką“, dėl kurios reikėtų atlikti PDAV, yra tokie

13.1. Ar duomenys yra tvarkomi dideliu mastu? Į žemiau įvardytus faktorius turėtų būti atsižvelgta sprendžiant, ar tvarkymas atliekamas dideliu mastu

13.1.1. Paveikiamų duomenų subjektų skaičius kaip konkretus skaičius arba kaip proporcija iš atitinkamos populiacijos;

13.1.2. Duomenų kiekį ir/ar tvarkomų skirtingų duomenų spektrą;

13.1.3. Duomenų tvarkymo veiksmų trukmę arba pastovumą;

13.2. Ar tvarkomi neskelbtini duomenys arba labai asmeniški duomenys (pvz., specialios kategorijos duomenys, duomenys, susiję su apkaltinamaisiais nuosprendžiais ir nusikalstamomis veikomis, socialinės padėties duomenys ir pan.);

13.3. Ar duomenų rinkiniai buvo suderinti arba sujungti tada, kai, pvz., jie kilo iš dviejų ar daugiau skirtingų duomenų tvarkymo veiklų, atliktų skirtingais tikslais ir/arba skirtingų duomenų valdytojų, tokiu būdu, kuris peržengtų pagrįstus duomenų subjekto lūkesčius?

13.4. Ar tvarkomi duomenys susiję su labiau pažeidžiamais duomenų subjektais (vaikais, darbuotojais, pacientais ir t.t.)?

13.5. Ar tvarkymas vykdomas naujoviškai pritaikant technologinius ar organizacinius sprendimus arba taikant inovatyvius technologinius ar organizacinius sprendimo būdus?

13.6. Ar duomenys bus perduodami už Europos Sąjungos ribų?

13.7. Ar pats duomenų tvarkymas gali apriboti duomenų subjektų galimybes įgyvendinti savo teises arba naudotis paslaugomis ar sudaryti sutartį?

14. Kuo daugiau iš 13 punkte nurodytų kriterijų atitinka tvarkymas, tuo labiau tikėtina, kad jis kelia didelę grėsmę duomenų subjektų teisėms bei laisvėms ir atitinkamai reikalauja PDAV. Tvarkymas, atitinkantis mažiau nei du kriterijus, įprastai nereikalaus PDAV dėl žemesnės rizikos, tačiau būtina racionaliai įvertinti faktinę situaciją. Atitinkamai Komisija visais atvejais privalo išsamiai aprašyti savo sprendimą nevykdyti PDAV.

15. Jei pagal atsakymus į 13 punkte nurodytus klausimus arba egzistuojant kitiems „didelės rizikos“ egzistavimo pagrindams PDAV turėtų būti atliekamas, tada Komisija tęsia pagal toliau šiame Apraše nustatytas procedūras.

16. Procedūra pakartojama tada, jei atliekami esminiai vertinto duomenų tvarkymo pakeitimai.

IV SKYRIUS

PASIRUOŠIMAS ATLIKTI POVEIKIO DUOMENŲ APSAUGAI VERTINIMĄ

17. Komisija parengia planuojamų Duomenų tvarkymo procedūrų ir jų tikslų aprašymą įskaitant įvertinimą, kaip tai atitinka Savivaldybės administracijos, kaip Duomenų valdytojo, teisės aktais pavestas funkcijas arba siekiamus teisėtus interesus.

18. Tuo atveju, jei teisėtų interesų siekimas yra taikomas kaip teisėto duomenų tvarkymo pagrindas, Komisija taip pat turėtų išsiaiškinti duomenų subjektų ar jų atstovų nuomonę apie numatytą duomenų tvarkymą. Jei Savivaldybės administracija tokiu atveju priima sprendimą nesiaiškinti duomenų subjektų nuomonės arba jos galutinis sprendimas skiriasi nuo duomenų subjektų išreikštos nuomonės, tokių sprendimų motyvai turi būti aprašomi.

V SKYRIUS

DUOMENŲ RINKIMAS

19. Duomenų rinkimo etape Komisija kritiškai išanalizuoja asmens duomenų tvarkymo situacijas, nustatytas pasiruošimo atlikti PDAV (Aprašo III skyrius) metu.

20. Komisija privalo išanalizuoti ir aprašyti esmines su asmens duomenimis susijusias sritis atsakydama į šiuos klausimus

20.1. Kokie duomenys bus tvarkomi?

20.2. Koks yra duomenų tvarkymo tikslas(-ai)?

20.3. Kaip vyksta duomenų tvarkymo procesas (aprašyti, kaip duomenų tvarkymas vyksta nuo duomenų gavimo iki sunaikinimo)?

20.4. Ar visi tvarkomi asmens duomenys būtini duomenų tvarkymui vykdyti (pagrįsti būtinumą)?

20.5. Ar duomenys yra tikslūs ir, esant poreikiui, atnaujinami?

20.6. Kiek laiko saugomi duomenys?

20.7. Kaip duomenų subjektai informuojami apie duomenų tvarkymą?

20.8. Jei duomenys tvarkomi remiantis sutikimu, kokiu būdu jis gaunamas?

20.9. Kaip duomenų subjektai gali įgyvendinti savo teises?

20.10. Jei pasitelkiamas duomenų tvarkytojas ar tvarkytojai, ar jų pareigos tinkamai aprašytos susitarime pagal Reglamente nustatytus reikalavimus?

20.11. Jei duomenys teikiami už Europos Sąjungos ribų, ar duomenys yra tinkamai apsaugomi?

20.12. Kokias saugumo priemones Savivaldybės administracija įgyvendins siekdama apsaugoti asmens duomenis?

VI SKYRIUS

PAVOJŲ NUSTATYMAS IR ĮVERTINIMAS

21. Kai nustatomos tvarkymo situacijos ir susijusių asmens duomenų pobūdis, Komisija įvertina grėsmes duomenų subjektų teisėms ir laisvėms.

22. Esminiai duomenų subjektams kylančių grėsmių tipai, atitinkantys duomenų saugumo pažeidimų rūšis, yra šie

22.1. Konfidencialumo pažeidimas – netyčia ar neteisėtai atskleidžiami asmens duomenys arba prie duomenų suteikiama prieiga tam teisės neturintiems asmenims;

22.2. Pasiekiamumo pažeidimas – netyčia ar neteisėtai prarandama prieiga prie asmens duomenų arba duomenys yra sunaikinami;

22.3. Vientisumo pažeidimas – netyčia ar neteisėtai atliekami nepageidaujami asmens duomenų pakeitimai.

23. Nustačiusi grėsmes, Komisija jas aprašo atsakydama į šiuos klausimus

23.1. Kokios tikėtinos pasekmės duomenų subjektams tada, jei įvyktų pažeidimas?

23.2. Kokie veiksmai/įvykiai galėtų sudaryti sąlygas tokiam pažeidimui įvykti?

23.3. Kokie yra grėsmės šaltiniai (asmenys ar aplinkybes, dėl kurių tyčia ar atsitiktinai gali įvykti pažeidimas)?

24. Komisija įvertina planuojamos duomenų tvarkymo veiklos atitiktį reikalavimams, nustatytiems Reglamente ir atitinkamuose įstatymuose ir kituose teisės aktuose.

VII SKYRIUS

PAVOJŲ VALDYMO PRIEMONIŲ NUSTATYMAS

25. Pavojų valdymo priemonių nustatymo etapo metu Komisija turi aprašyti, kokios esamos ar planuojamos techninės (fizinio ir kibernetinio saugumo) bei organizacinės priemonės padės suvaldyti nustatytas grėsmes duomenų subjektų teisėms ir laisvėms. Pirmenybė teikiama reikšmingiausioms nustatytoms saugumo grėsmėms ir jų valdymo priemonėms, tačiau turi būti pagrindžiamas tam tikrų grėsmių ignoravimas.

26. Aprašius rizikos valdymo priemones, turi būti nurodoma, kokio rimtumo ir tikėtinumo grėsmė išlieka atsižvelgiant į taikomas ar planuojamas taikyti priemones, skirtas jo išvengti.

VIII SKYRIUS

ATASKAITOS TEIKIMAS IR DUOMENŲ APSAUGOS PAREIGŪNO NUOMONĖ

27. Ataskaitos teikimo etape Komisija parengia ataskaitą apie PDAV rezultatus pagal šio Aprašo 2 priede pateiktą formą.

28. Ataskaitoje turi būti aprašomi ankstesnių etapų gauti rezultatai, nurodomi konkretūs veiksmai, kurių reikia imtis siekiant suvaldyti kylančias grėsmes, jei esamų rizikos valdymo priemonių tam nepakanka.

29. Po PDAV išvadų ataskaitoje privalo būti atskirai pateikta duomenų apsaugos pareigūno nuomonė dėl asmens duomenų tvarkymo teisėtumo, planuojamų priemonių pavojams mažinti ar pašalinti bei dėl galimybės toliau tvarkyti asmens duomenis.

30. Tuo atveju, kai atliekant planuojamą duomenų tvarkymo veiklą grėsmės asmenų privatumui ir jų pagrindinėms teisėms bei laisvėms, nenumatoma, planuojamą duomenų tvarkymo veiklą inicijuojantis Savivaldybės administracijos padalinys pagal planuojamos duomenų tvarkymo veiklos aprašą kartu su duomenų apsaugos pareigūnu parengia Duomenų tvarkymo veiklos įrašą ir teikia Savivaldybės administracijos direktoriui ar jo įgaliotam pareigūnui, kuris turi teisę priimti sprendimą dėl pritarimo Planuojamai duomenų tvarkymo veiklai.

31. Duomenų tvarkymo veiklos kūrimo procesui tęsiantis, PDAV turėtų būti peržiūrėtas, patikslintas ir atnaujintas, jei planuojama duomenų tvarkymo veikla ar įgyvendinimas daro naują įtaką privatumui, kuri anksčiau nebuvo įvertinta.

IX SKYRIUS

KONSULACIJOS SU PRIEŽIŪROS INSTITUCIJA

33. Kai iš PDAV paaiškėja, kad duomenų tvarkymo operacijos kelia didelį pavojų duomenų subjektų teisėms ir laisvėms, o duomenų valdytojas jo negali sumažinti tinkamomis rizikos valdymo priemonėmis, atsižvelgiant į turimas technologijas ir įgyvendinimo sąnaudas, prieš pradedant duomenų tvarkymą, turi būti konsultuojamasi su Priežiūros institucija jos nustatyta tvarka.

34. Duomenų apsaugos pareigūnas kreipiasi į Priežiūros instituciją dėl išankstinės konsultacijos Reglamente nustatytais pagrindais ir tvarka.

35. Konsultuodamasis su Priežiūros institucija, duomenų apsaugos pareigūnas Priežiūros institucijai pateikia šiuos duomenis

35.1. duomenų apsaugos pareigūno kontaktinius duomenis;

35.2. atliktą poveikio duomenų apsaugai vertinimą;

35.3. numatyto duomenų tvarkymo tikslus ir priemones;

35.4. nustatytas priemones bei apsaugos priemones duomenų subjektų teisėms ir laisvėms apsaugoti;

35.5. kai taikoma, atitinkamas duomenų tvarkymo procese dalyvaujančio duomenų valdytojo, bendrų duomenų valdytojų ir duomenų tvarkytojų atsakomybės sritis, visų pirma, kai duomenys tvarkomi įmonių grupėje;

35.6. bet kokią kitą Priežiūros institucijos prašomą informaciją.

X SKYRIUS

BAIGIAMOSIOS NUOSTATOS

36. Šis Aprašas peržiūrimas periodiškai, tačiau ne rečiau kaip kartą per 1 metus ir, esant poreikiui ir (arba) pasikeitus asmens duomenų tvarkymą reglamentuojantiems teisės aktams, inicijuojamas Aprašo atnaujinimas.

37. Savivaldybės administracijos darbuotojai supažindinami su šiuo Aprašu dokumentų valdymo sistemos priemonėmis ir taip įsipareigoja laikytis šiame Apraše nustatytų reikalavimų.

38. Savivaldybės administracijos darbuotojai, pažeidę Aprašo reikalavimus, atsako Lietuvos Respublikos teisės aktų nustatyta tvarka.

39. Jei poveikio duomenų apsaugai vertinimą atlieka tiekėjas viešojo pirkimo - pardavimo sutarties, sudarytos raštu ar žodžiu, pagrindu, šio Aprašo nuostatos nėra taikomos.

Papildyta punktu

Nr. AĮ-708, 2023-06-01, paskelbta TAR 2023-06-01, i. k. 2023-10873

part_dd4d850a9b8d4715be7e68dac989388e_end

Duomenų tvarkymo operacijų

Utenos rajono savivaldybės

administracijoje poveikio

duomenų apsaugai

vertinimo tvarkos aprašo

1 priedas

(Planuojamo asmens duomenų tvarkymo aprašymo pavyzdinė forma)

Duomenų tvarkymą inicijuojantis padalinys

Planuojamas asmens duomenų tvarkymo procesas

Koks yra asmens duomenų tvarkymo tikslas?

(Aprašoma: kokiu tikslu numatoma tvarkyti asmens duomenis; kokį rezultatą siekiama gauti; kokia yra tokio duomenų tvarkymo nauda Administracijai bei kitiems asmenims)

Kokių kategorijų ir kokie duomenys bus tvarkomi?

(Aprašoma: kokių kategorijų duomenų subjektų duomenys bus tvarkomi; kokių kategorijų asmens duomenys bus tvarkomi; nurodomas apytikslis duomenų subjektų skaičius bei geografinė duomenų tvarkymo aprėptis)

Kaip vyks duomenų tvarkymo procesas?

(Aprašomi asmens duomenų rinkimo, naudojimo, saugojimo ir naikinimo veiksmai, nurodoma, iš kokių šaltinių bus renkami duomenys, kam bus teikiami (galima pateikti asmens duomenų tvarkymo veiksmų schemą))

Ar duomenų tvarkymui bus gaunamas duomenų subjektų sutikimas?

(Aprašoma: kokiu metu ir kokiu būdu sutikimas gaunamas; kokia informacija apie asmens duomenų tvarkymą sutikimo gavimo metu pateikiama duomenų subjektui; kokiu būdu bus galima įsitikinti, kad duomenų subjektas davė sutikimą)

Kaip duomenų subjektai bus informuojami apie duomenų tvarkymą ir kaip jie galės įgyvendinti savo teises?

(Aprašoma: kokia informacija ir kokiu būdu bus pateikta duomenų subjektams; kaip planuojama įgyvendinti duomenų subjektų teises; ar numatoma duomenų subjektų teises apriboti (jei taip, kokiu pagrindu))

Ar duomenų tvarkymui numatoma pasitelkti duomenų tvarkytoją?

(Aprašoma: kokioms paslaugoms teikti pasitelkiamas duomenų tvarkytojas; kokius duomenų tvarkymo veiksmus numatoma pavesti tvarkyti duomenų tvarkytojui; ar su duomenų tvarkytoju yra sudaryta duomenų tvarkymo sutartis ir kokios sutarties sąlygos (gali būti pridedama sutartis su duomenų tvarkytoju ar jos projektas))

Kokias saugumo priemones numatoma įgyvendinti?

(Aprašoma: kokias technines ir organizacines saugumo priemones planuojama taikyti)

Pastabos

(Pateikiama kita informacija, kuri gali būti svarbi atliekant poveikio duomenų apsaugai vertinimą)

part_a3e27541f4c8443abf781f214b8fc4ac_end

Duomenų tvarkymo operacijų

Utenos rajono savivaldybės

administracijoje poveikio

duomenų apsaugai

vertinimo tvarkos aprašo

2 priedas

(Pavyzdinė poveikio duomenų apsaugai vertinimo ataskaitos forma)

1. Priežastys, dėl kurių būtina atlikti poveikio duomenų apsaugai vertinimą

Planuojamos vykdyti veiklos aprašymas, jos tikslai ir planuojamos atlikti asmens duomenų tvarkymo operacijos. Paaiškinimas, kodėl būtina atlikti poveikio duomenų apsaugai vertinimą. Jei reikia, prie formos pridedami susiję dokumentai.

2. Asmens duomenų tvarkymo aprašymas

Aprašomi asmens duomenų rinkimo, naudojimo, saugojimo ir naikinimo veiksmai, nurodoma, iš kokių šaltinių bus renkami duomenys, kam bus teikiami (galima pateikti asmens duomenų tvarkymo veiksmų schemą). Aprašoma, kokie asmens duomenų tvarkymo veiksmai gali kelti pavojų fizinių asmenų teisėms ir laisvėms.

Aprašomas tvarkymo mastas: kokių kategorijų asmens duomenys bus tvarkomi; ar bus tvarkomi specialių kategorijų asmens duomenys arba duomenys apie apkaltinamuosius nuosprendžius ir nusikalstamas veikas; kiek duomenų, kaip dažnai bus renkama ir naudojama; kaip ilgai bus saugomi asmens duomenys; nurodomas apytikslis duomenų subjektų skaičius bei geografinė duomenų tvarkymo aprėptis.

Aprašomas duomenų tvarkymo pobūdis: kokio pobūdžio santykiai sieja Jūsų įmonę su duomenų subjektais; ar duomenų subjektai turės galimybę kontroliuoti duomenų tvarkymą; ar duomenų subjektai gali numatyti, kad jų asmens duomenys bus tvarkomi šiuo būdu; ar bus tvarkomi vaikų ir kitų pažeidžiamų asmenų duomenys; įvertinama, ar toks duomenų tvarkymas yra saugus; ar duomenų tvarkymo technologijos yra naujos, ar egzistuojančios technologijos bus panaudotos kitokiu būdu; koks yra technologijų išsivystymo lygis šioje srityje; ar yra kokių nors visuomeninių ar pan. problemų ar klausimų, į kuriuos būtina atsižvelgti; nurodoma, ar yra įsipareigojimas laikytis patvirtinto elgesio kodekso ar patvirtinto sertifikavimo mechanizmo.

Aprašomi asmens duomenų tvarkymo tikslai: kokį rezultatą siekiama gauti; kokį poveikį tai turės fiziniams asmenims; kokia yra tokio duomenų tvarkymo nauda Jūsų įmonei bei kitiems asmenims.

3. Konsultacijos

Aprašoma, kaip planuojama sužinoti suinteresuotų asmenų nuomonę arba pagrindžiama, kodėl to daryti nebūtina: kokių asmenų nuomonę planuojama gauti; kokie asmenys bus pasitelkti Jūsų įmonėje, ar bus pasitelkti duomenų tvarkytojai; ar planuojama konsultuotis su duomenų saugos ekspertais ar kitokių sričių ekspertais.

4. Būtinumo ir proporcingumo įvertinimas

Aprašomas asmens duomenų tvarkymo teisėtumas ir tvarkymo proporcingumas: nurodomas teisėto tvarkymo pagrindas; įvertinama, ar tvarkant asmens duomenis bus pasiektas Jūsų tikslas; ar tą patį rezultatą įmanoma pasiekti kitokiu būdu; kokiu būdu bus išvengta veiklos sutrikimų; kaip bus užtikrinta duomenų kokybė ir įgyvendintas duomenų kiekio mažinimo principas; kokia informacija bus pateikta duomenų subjektams; kaip Jūsų įmonė planuoja įgyvendinti duomenų subjektų teises; kokiu būdu bus užtikrinta, kad duomenų tvarkytojas laikytųsi reikalavimų; kokiu būdu bus užtikrintas į užsienio valstybes teikiamų asmens duomenų saugumas.

5. Pavojų nustatymas ir įvertinimas

Aprašomas pavojaus ir poveikio fiziniam asmeniui pobūdis. Jei būtina, aprašoma susijusi verslo rizika.

Žalos tikimybė

Žalos sunkumas

Bendras pavojaus lygis

Mažai tikėtina, tikėtina ar labai tikėtina

Minimali, reikšminga ar sunki

Žemas, vidutinis ar aukštas

6. Priemonių sumažinti nustatymas

Nurodomos papildomos priemonės, kurių galima imtis siekiant sumažinti ar panaikinti aukšto ar vidutinio lygio pavojus.

Pavojus

Priemonės sumažinti ar pašalinti pavojų

Priemonės pritaikymo rezultatas

Likęs pavojus

Priemonė patvirtinta

Pašalinta, sumažinta, priimtina rizika

Žemas, vidutinis ar aukštas

Taip, ne

7. Išvados ir sprendimai

Nurodomos priemonės ir įvardijamas likęs pavojus

Vardas, pavardė, data, parašas

Pastabos

Priemonės patvirtintos

Įtraukti numatytas priemones į veiklos planą, nustatant atlikimo terminą ir atsakingus asmenis

Likęs pavojus pripažintas priimtina rizika

Jei priimtina rizika pripažintas aukšto lygio pavojus priimtinas, privaloma kreiptis dėl išankstinės konsultacijos į Valstybinę duomenų apsaugos inspekciją

Duomenų apsaugos pareigūno nuomonė

Duomenų apsaugos pareigūno nuomonė turi būti pateikta dėl asmens duomenų tvarkymo teisėtumo, planuojamų priemonių pavojams mažinti ar pašalinti bei dėl galimybės toliau tvarkyti asmens duomenis.

Nurodoma duomenų apsaugos pareigūno nuomonė

Vardas, pavardė, data, parašas

Nurodoma, ar atsižvelgta į duomenų apsaugos pareigūno nuomonę

Jeigu atmesta, pagrindžiama, kodėl.

Vardas, pavardė, data, parašas

Gautos kitų asmenų nuomonės

Trumpai aprašomos kitų asmenų nuomonės ir nurodoma, ar į jas atsižvelgta. Jeigu sprendimas skiriasi nuo susijusių asmenų nuomonės, pagrindžiama, kodėl.

Vardas, pavardė, data, parašas

Už šio poveikio duomenų apsaugai vertinimo priežiūrą paskirtas atsakingas asmuo

Pastaba. Duomenų apsaugos pareigūnas turi prižiūrėti asmens duomenų tvarkymo atitiktį Poveikio duomenų apsaugai vertinime nurodytoms išvadoms ir sprendimams.

Vardas, pavardė, data, parašas

Pakeitimai

1.

Utenos rajono savivaldybės administracija, Įsakymas

Nr. AĮ-708, 2023-06-01, paskelbta TAR 2023-06-01, i. k. 2023-10873

Dėl Utenos rajono savivaldybės administracijos direktoriaus 2021 m. balandžio 26 d. įsakymo Nr. AĮ-475 „Dėl duomenų tvarkymo operacijų Utenos rajono savivaldybės administracijoje poveikio duomenų apsaugai vertinimo tvarkos aprašo patvirtinimo“ pakeitimo

part_ca4334f02d01466a8389a0e1f3c6d1f2_end