DĖL POVEIKIO DUOMENŲ APSAUGAI VERTINIMO

KAUNO RAJONO SAVIVALDYBĖS

ADMINISTRAcijos direktorius

ĮSAKYMAS

DĖL POVEIKIO DUOMENŲ APSAUGAI VERTINIMO

TVARKOS APRAŠO PATVIRTINIMO

2024 m. liepos 31 d. Nr. ĮS-1426

Kaunas

Vadovaudamasi Lietuvos Respublikos vietos savivaldos įstatymo 34 straipsnio 1 dalimi, 6 dalies 2 punktu, 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamento (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB 35 straipsniu

1. Tvirtinu Poveikio duomenų apsaugai vertinimo tvarkos aprašą (pridedama).

2. Pripažįstu netekusiu galios Kauno rajono savivaldybės administracijos asmens duomenų tvarkymo taisyklių, patvirtintų Kauno rajono savivaldybės administracijos direktoriaus 2022 m. rugsėjo 20 d. įsakymu Nr. ĮS-3345 „Dėl Kauno rajono savivaldybės administracijos asmens duomenų tvarkymo taisyklių patvirtinimo“, XI skyrių „Poveikio duomenų apsaugai vertinimas“.

3. Nurodau šį įsakymą skelbti Teisės aktų registre ir Kauno rajono savivaldybės interneto svetainėje.

Administracijos direktoriaus pavaduotoja,

pavaduojanti Administracijos direktorių Rūta Černiauskienė

PATVIRTINTA

Kauno rajono savivaldybės

administracijos direktoriaus

2024 m. liepos 31 d. įsakymu Nr. ĮS-1426

POVEIKIO DUOMENŲ APSAUGAI VERTINIMO

TVARKOS APRAŠAS

I SKYRIUS

BENDROSIOS NUOSTATOS

1. Poveikio duomenų apsaugai vertinimo tvarkos apraše (toliau – Aprašas) nustatoma poveikio duomenų apsaugai vertinimo Kauno rajono savivaldybės administracijoje (toliau – poveikio vertinimas) atlikimo, poveikio vertinimo dokumentų rengimo, pavojų duomenų subjektų teisėms ir laisvėms nustatymo, sprendimų dėl poveikio vertinimo priėmimo ir išankstinių konsultacijų su Valstybine duomenų apsaugos inspekcija tvarka.

2. Apraše vartojamos sąvokos suprantamos taip, kaip jos apibrėžtos 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamente (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas).

II SKYRIUS

POVEIKIO VERTINIMAS

3. Poveikio vertinimą, kuris suprantamas kaip tęstinis procesas, skirtas asmens duomenų tvarkymui apibūdinti, tokio asmens duomenų tvarkymo būtinumui ir proporcingumui įvertinti bei padėti valdyti pavojaus duomenų subjektų teisėms ir laisvėms riziką, atlieka asmens duomenų tvarkymo operacijų iniciatorius – Kauno rajono savivaldybės administracijos (toliau – ir Administracija) padalinys ar struktūriniam padaliniui nepriskirtas darbuotojas, siekiantis atlikti asmens duomenų tvarkymo operacijas (toliau – Iniciatorius)

3.1. dėl kurių gali kilti didelis pavojus duomenų subjektų teisėms ir laisvėms;

3.2. kurios nustatytos Valstybinės duomenų apsaugos inspekcijos patvirtintame duomenų tvarkymo operacijų, kurioms taikomas reikalavimas atlikti poveikio duomenų apsaugai vertinimą, sąraše.

4. Poveikio vertinimas, atsižvelgiant į asmens duomenų tvarkymo pobūdį, aprėptį, kontekstą, tikslus bei pavojaus šaltinius ir atliktų Aprašo 10 punkte nurodytų veiksmų rezultatus, turi būti atliekamas prieš pradedant tvarkyti asmens duomenis, jeigu yra tikimybė, kad dėl numatytų asmens duomenų tvarkymo operacijų gali kilti didelis pavojus duomenų subjektų teisėms ir laisvėms.

5. Kriterijai, kuomet laikoma, kad dėl asmens duomenų tvarkymo operacijos gali kilti didelis pavojus duomenų subjektų teisėms ir laisvėms

5.1. kai vykdomas sistemingas ir išsamus su duomenų subjektais susijusių asmeninių aspektų vertinimas, kuris yra grindžiamas automatizuotu tvarkymu, įskaitant profiliavimą, ir kuriuo vadovaujantis priimami sprendimai, kuriais padaromas su duomenų subjektu susijęs teisinis poveikis arba kurie daro panašų didelį poveikį duomenų subjektui (šių operacijų metu siekiama analizuoti arba numatyti tokius duomenų subjekto asmeninius aspektus, kurie susiję su duomenų subjekto darbo rezultatais, ekonomine padėtimi, sveikatos būkle, asmeniniais pomėgiais ar interesais, patikimumu arba elgesiu, vieta arba judėjimu);

5.2. kai dideliu mastu tvarkomi specialių kategorijų asmens duomenys, atskleidžiantys rasinę ar etninę kilmę, politines pažiūras, religinius ar filosofinius įsitikinimus ar narystę profesinėse sąjungose, taip pat tvarkomi genetiniai duomenys, biometriniai duomenys, siekiant konkrečiai nustatyti duomenų subjekto tapatybę, sveikatos duomenys arba duomenys apie duomenų subjekto lytinį gyvenimą ir lytinę orientaciją (tai susiję su tiek tam tikromis duomenų subjektų kategorijomis, pavyzdžiui, vyresnio amžiaus asmenimis, vaikais, psichinėmis ligomis sergančiais asmenimis ir kt., tiek su tam tikrų kategorijų duomenimis, pavyzdžiui, apie sveikatą, politines pažiūras, finansinę padėtį, taip pat asmens privatų susirašinėjimą bei tokią asmeniniams poreikiams tenkinti naudojamą informaciją ir duomenis, pavyzdžiui, nuotraukas, užrašus, laikomus Administracijos serveriuose ar jos valdomose informacinėse sistemose);

5.3. kai vykdomas sistemingas viešos vietos stebėjimas dideliu mastu;

5.4. kitais asmens duomenų tvarkymo operacijų atvejais, kai Iniciatorius gali motyvuotai pagrįsti tikimybę, kad dėl numatytų asmens duomenų tvarkymo operacijų gali kilti didelis pavojus duomenų subjektų teisėms ir laisvėms.

6. Vertinant, ar asmens duomenys tvarkomi dideliu mastu, atsižvelgiama į šiuos kriterijus

6.1. susijusių duomenų subjektų skaičių – konkretų skaičių arba procentinę dalį;

6.2. tvarkomų asmens duomenų kiekį ir (arba) skirtingų tvarkomų asmens duomenų įvairovę;

6.3. asmens duomenų tvarkymo veiklos trukmę arba pastovumą;

6.4. geografinį asmens duomenų tvarkymo mastą.

7. Poveikio vertinimą reikėtų atlikti ir tuo atveju, jeigu Iniciatoriui kyla abejonių, ar poveikio vertinimas yra privalomas.

8. Poveikio vertinimo nereikia atlikti šiais atvejais

8.1. kai asmens duomenų tvarkymas nekelia didelio pavojaus duomenų subjektų teisėms ir laisvėms;

8.2. kai asmens duomenų tvarkymo pobūdis, aprėptis, kontekstas ir tikslai yra labai panašūs į asmens duomenų tvarkymą, kurio poveikio vertinimas buvo atliktas;

8.3. kai konkrečiomis sąlygomis, kurios nepasikeitė, vykdomas asmens duomenų tvarkymo operacijas iki 2018 m. gegužės 25 d. patikrino Valstybinė duomenų apsaugos inspekcija;

8.4. kai asmens duomenų tvarkymo operacijos pagal Reglamento (ES) 2016/679 6 straipsnio 1 dalies c arba e punktą teisinis pagrindas nustatytas Europos Sąjungos arba Lietuvos Respublikos teisės akte, kai pagal teisės aktą reglamentuojama konkreti asmens duomenų tvarkymo operacija ir kai poveikio vertinimas jau atliktas nustačius tą teisinį pagrindą, išskyrus atvejus, kai Lietuvos Respublikos teisės aktuose nustatyta, kad poveikio vertinimą būtina atlikti prieš asmens duomenų tvarkymo veiklą.

9. Poveikio vertinimas kartojamas kas 3 metai. Jeigu keičiasi Administracijos funkcijų atlikimo procesai, dėl kurių kinta asmens duomenų tvarkymo operacijos, kurios anksčiau nebuvo įvertintos, ir tai turės įtakos duomenų subjekto privatumui, poveikio vertinimas turi būti atliekamas nedelsiant.

III SKYRIUS

POVEIKIO VERTINIMO DOKUMENTŲ RENGIMAS

10. Siekdamas įvertinti, ar konkrečiai asmens duomenų tvarkymo operacijai atlikti reikalingas poveikio vertinimas, Iniciatorius turi užpildyti Aprašo 1 priede pateiktos formos poveikio duomenų apsaugai vertinimo atrankos klausimyną (toliau – Klausimynas). Klausimynas nepildomas Aprašo 3.2 papunktyje nurodytu atveju.

11. Atliekant poveikio vertinimą, pildoma Aprašo 2 priede pateikta poveikio duomenų apsaugai vertinimo išvados (toliau – Poveikio vertinimo išvada) forma. Kai pagal Aprašo 10 punktą pildomas Klausimynas, jis pridedamas prie Poveikio vertinimo išvados.

12. Poveikio vertinimo išvadoje turi būti aptarti šie klausimai

12.1. pateiktas numatytų asmens duomenų tvarkymo operacijų aprašymas, nurodyti asmens duomenų tvarkymo tikslai ir teisinis pagrindas;

12.2. pagrindžiamas asmens duomenų tvarkymo operacijų reikalingumas ir proporcingumas, palyginti su tikslais;

12.3. įvertinami pavojai duomenų subjektų teisėms ir laisvėms;

12.4. įvardijamos pavojaus duomenų subjektų teisėms ir laisvėms rizikai valdyti numatytos priemonės, įskaitant apsaugos priemones, saugumo priemones ir mechanizmus, kuriais užtikrinama asmens duomenų apsauga ir įrodoma, kad laikomasi Reglamento (ES) 2016/679 reikalavimų;

12.5. nustačius pavojaus duomenų subjektų teisėms ir laisvėms rizikos valdymo priemones, turi būti nurodoma, kokios tikimybės ir rimtumo likutinė grėsmė išlieka atsižvelgiant į taikomas ar planuojamas taikyti priemones, skirtas pavojui išvengti.

13. Spręsdamas, ar gali kilti didelis pavojus duomenų subjektų teisėms ir laisvėms, Iniciatorius turi įvertinti, ar

13.1. vykdomas vertinimas ar balų suteikimas, įskaitant profiliavimą ir prognozavimą;

13.2. atliekamas automatizuotas sprendimų priėmimas, sukeliantis teisinį arba panašų didelį poveikį;

13.3. vykdomas sistemingas stebėjimas;

13.4. tvarkomi neskelbtini asmens duomenys arba labai asmeniški duomenys (Reglamento (ES) 2016/679 9 straipsnyje nurodytų specialių kategorijų asmens duomenys arba tam tikrų kategorijų asmens duomenys, dėl kurių tvarkymo gali kilti didelis pavojus duomenų subjektų teisėms ir laisvėms);

13.5. asmens duomenys tvarkomi dideliu mastu;

13.6. lyginami ir derinami asmens duomenų rinkiniai;

13.7. tvarkomi pažeidžiamų asmenų duomenys (vaikų, darbuotojų, gyventojų, kuriems reikalinga speciali apsauga, ir visais atvejais, kai galima nustatyti nelygiaverčius duomenų subjekto ir duomenų valdytojo santykius);

13.8. naudojamos naujos technologijos ar nauji organizaciniai sprendimai;

13.9. pats asmens duomenų tvarkymas užkerta kelią duomenų subjektui naudotis savo teisėmis, paslaugomis arba sudaryti sutartis.

14. Kriterijai, kuomet laikoma, kad vykdomas sistemingas stebėjimas

14.1. vykdomas pagal tam tikrą sistemą (tam tikrais intervalais, nuolat tebevykstantis, pasikartojantis tam tikrais laikotarpiais);

14.2. vykdomas pagal iš anksto nustatytą, organizuotą arba metodinę tvarką;

14.3. vykdomas kaip sudedamoji bendro asmens duomenų rinkimo dalis.

15. Atlikdamas poveikio vertinimą Iniciatorius konsultuojasi su Duomenų apsaugos pareigūnu. Jeigu Duomenų apsaugos pareigūnas konsultaciją pateikia raštu, ji pridedama prie Poveikio vertinimo išvados.

16. Iniciatorius, atlikdamas poveikio vertinimą, turėtų siekti išsiaiškinti duomenų subjektų ar jų atstovų nuomonę apie numatytą asmens duomenų tvarkymą, nepažeisdamas komercinių ar viešųjų interesų apsaugos arba asmens duomenų tvarkymo operacijų saugumo reikalavimų (nuomones galima gauti įvairiomis priemonėmis, priklausomai nuo konteksto (bendro pobūdžio tyrimas, susijęs su asmens duomenų tvarkymo operacijos tikslu ir priemonėmis, įprastos apklausos ar darbuotojų atstovų apklausa). Šios nuomonės turi būti dokumentuotos ir pridedamos prie Poveikio vertinimo išvados.

17. Jeigu Iniciatoriaus galutinis sprendimas skiriasi nuo duomenų subjektų ar jų atstovų nuomonių, šio sprendimo tolesnio įgyvendinimo arba neįgyvendinimo motyvai turi būti įrašyti Poveikio vertinimo išvadoje. Iniciatorius taip pat turi Poveikio vertinimo išvadoje nurodyti duomenų subjektų nuomonių nesiaiškinimo priežastis.

18. Iniciatorius atsako už Klausimyne ir Poveikio vertinimo išvadoje pateiktos informacijos tikslumą ir teisingumą.

IV SKYRIUS

PAVOJŲ DUOMENŲ SUBJEKTŲ TEISĖMS IR LAISVĖMS NUSTATYMAS

19. Siekdamas užtikrinti saugumą ir užkirsti kelią Reglamento (ES) 2016/679 nuostatų, susijusių su asmens duomenų tvarkymu, tinkamą laikymąsi, Iniciatorius, atlikdamas poveikio vertinimą, turėtų įvertinti pavojus duomenų subjektų teisėms ir laisvėms ir numatyti jų rizikos valdymo priemones, kuriomis turėtų būti užtikrintas atitinkamo lygio asmens duomenų saugumas, įskaitant konfidencialumą, atsižvelgiant į techninių galimybių išsivystymo lygį ir įgyvendinimo sąnaudas pavojų ir saugotinų asmens duomenų pobūdžio atžvilgiu.

20. Pavojaus duomenų subjektų teisėms ir laisvėms tikimybė ir rimtumas turi būti nustatomi atsižvelgiant į asmens duomenų tvarkymo pobūdį, aprėptį, kontekstą ir tikslus. Pavojus turi būti vertinamas vadovaujantis objektyviu įvertinimu, kurio metu nustatoma, ar asmens duomenų tvarkymo operacijos yra susijusios su pavojumi arba dideliu pavojumi. Vertinant, ar gali kilti įvairios tikimybės ir rimtumo pavojus fizinių asmenų teisėms ir laisvėms dėl tokio asmens duomenų tvarkymo, kurio metu galėtų būti padarytas kūno sužalojimas, materialinė ar nematerialinė žala, visų pirma analizuojama, kai

20.1. dėl asmens duomenų tvarkymo gali būti patiriama diskriminacija, būti pavogta ar suklastota tapatybė, būti padaryta finansinių nuostolių, pakenkta reputacijai, prarastas asmens duomenų, kurie laikomi profesine paslaptimi, konfidencialumas, neleistinai panaikinti pseudonimai arba padaryta kita didelė ekonominė ar socialinė žala;

20.2. duomenų subjektai gali netekti galimybės naudotis savo teisėmis ir laisvėmis ar jiems užkertamas kelias kontroliuoti savo asmens duomenis;

20.3. tvarkomi asmens duomenys, kurie atskleidžia rasinę arba etninę kilmę, politines pažiūras, religiją ar filosofinius įsitikinimus, priklausymą profesinėms sąjungoms, taip pat tvarkant genetinius duomenis, sveikatos duomenis ar duomenis apie lytinį gyvenimą arba apkaltinamuosius nuosprendžius ir nusikalstamas veikas, arba susijusias saugumo priemones;

20.4. siekiant sukurti arba naudoti asmens profilį vertinami asmeniniai aspektai (nagrinėjami arba numatomi su asmens darbo rezultatais, ekonomine situacija, sveikatos būkle, asmeniniais pomėgiais ar interesais, patikimumu arba elgesiu, vieta arba judėjimu susiję aspektai);

20.5. tvarkomi pažeidžiamų duomenų subjektų asmens duomenys;

20.6. asmens duomenų tvarkymas apima didelį kiekį asmens duomenų ir daro poveikį daugeliui duomenų subjektų.

21. Pavojus fizinių asmenų teisėms ir laisvėms, atsižvelgiant į pavojaus ir pavojaus poveikio fiziniam asmeniui pobūdį, gali būti

21.1. žemo lygio (kai asmens duomenų tvarkymas arba galimas asmens duomenų saugumo pažeidimas duomenų subjektų teisėms ir laisvėms įtakos neturės arba padariniai kasdieniam fizinio asmens gyvenimui bus mažareikšmiai);

21.2. vidutinio lygio (kai dėl asmens duomenų tvarkymo arba dėl galimo asmens duomenų saugumo pažeidimo duomenų subjektams gali būti sunkiau laikinai naudotis savo teisėmis ir laisvėmis, pasinaudoti Administracijos teikiamomis paslaugomis, gali atsirasti kitokių neigiamų padarinių kasdieniam fizinio asmens gyvenimui);

21.3. aukšto lygio (kai dėl asmens duomenų tvarkymo arba dėl galimo asmens duomenų saugumo pažeidimo duomenų subjektams gali būti sunku arba neįmanoma pasinaudoti savo teisėmis ir laisvėmis, duomenų subjektas gali patirti atskirtį ar diskriminaciją, finansinių nuostolių, gali būti pakenkta jo reputacijai arba atsirasti kitokių rimtų neigiamų padarinių kasdieniam fizinio asmens gyvenimui).

22. Pavojaus įvertinimas ir bendro pavojaus lygio nustatymas atliekamas vadovaujantis pavojaus įvertinimo ir bendro pavojaus lygio nustatymo lentele, kuri pateikta Aprašo 3 priede.

23. Priemonės, kurių galima imtis siekiant sumažinti ar pašalinti pavojus (pavyzdžiui, saugumo priemonės, kuriomis užtikrinama asmens duomenų apsauga ir įrodoma, kad laikomasi Reglamento (ES) 2016/679 reikalavimų: duomenų šifravimas ir kitos techninės priemonės, reikšmingas asmenų, turinčių prieigą prie tam tikrų asmens duomenų, rato apribojimas, reikalavimų prieigos teises turinčių vartotojų identifikavimui sugriežtinimas ir pan.), nustatomos atsižvelgiant į pavojaus mažinimo ir šalinimo priemonių rekomendacijas, kurios pateiktos Aprašo 4 priede.

24. Jei planuojamos pavojaus fizinių asmenų teisėms ir laisvėms mažinimo ir šalinimo priemonės yra imlios finansiniu ir laiko atžvilgiu, jų įgyvendinimui reikalingas tarpinstitucinis bendradarbiavimas ir (ar) keli vykdytojai ir pan., šios priemonės bei informacija apie jų įgyvendinimą gali būti fiksuojama atskirame pavojaus, kylančio fizinių asmenų teisėms ir laisvėms, mažinimo ir šalinimo priemonių plane (toliau – Planas), kurio forma nustatyta Aprašo 5 priede. Planą tvirtinimo žyma tvirtina Administracijos direktorius.

25. Administracijos direktorius užtikrina, kad būtų Plane (jei toks planas buvo rengtas) nustatytų priemonių įgyvendinimo veiksmingumo vertinimas. Asmuo, įgyvendinęs Plane numatytas priemones, negali vertinti jų veiksmingumo. Plano priemonių įgyvendinimo rezultatai ir veiksmingumo vertinimas užfiksuojami Plano įgyvendinimo ataskaitoje (toliau – Ataskaita), kurios forma nustatyta Aprašo 6 priede. Ataskaitą tvirtinimo žyma tvirtina Administracijos direktorius.

26. Įgyvendinus numatytas priemones, iš naujo atliekamas poveikio vertinimas. Jį atlieka Iniciatorius.

27. Administracija, kaip duomenų valdytoja, gali nuspręsti, kad kai kurie pavojai (net ir dideli) yra priimtini, įvertinus planuojamo asmens duomenų tvarkymo tikslus bei neproporcingas pavojų mažinimo ir šalinimo priemonių įgyvendinimo sąnaudas.

28. Atliekant poveikio vertinimą, Administracijos darbuotojai, kuriems yra pavesta atlikti naujas duomenų tvarkymo operacijas ir (arba) yra su jomis susiję, privalo Iniciatoriui teikti visą informaciją, kurios pagrindu yra pildoma Poveikio vertinimo išvada bei pavojaus, kylančio fizinių asmenų teisėms ir laisvėms, mažinimo ir šalinimo priemonių planas (jei reikia), ir bendradarbiauti atliekant poveikio vertinimą (paprašius, pateikti papildomą informaciją ir (ar) dokumentus, pagal kompetenciją teikti konsultacijas ir kt.).

V SKYRIUS

SPRENDIMŲ DĖL POVEIKIO VERTINIMO PRIĖMIMAS

29. Administracijos direktorius, gavęs Poveikio vertinimo išvadą kartu su Klausimynu (kai Klausimynas pildomas pagal Aprašo 10 punktą), pasitaręs su Duomenų apsaugos pareigūnu, priima sprendimą dėl asmens duomenų tvarkymo operacijų, dėl kurių buvo atliktas poveikio vertinimas

29.1. atlikti asmens duomenų tvarkymo operaciją;

29.2. pavesti Iniciatoriui iš naujo įvertinti duomenų subjektų teisėms ir laisvėms kylančius pavojus ir nustatyti daugiau priemonių, kuriomis numatoma sumažinti šiuos pavojus iki priimtino lygio ir įrodyti atitiktį Reglamentui (ES) 2016/679;

29.3. kreiptis išankstinės konsultacijos į Valstybinę duomenų apsaugos inspekciją.

30. Aprašo 29 punkte nurodytas Administracijos direktoriaus sprendimas įforminamas rašytine rezoliucija, suteikiama Poveikio vertinimo išvadai. Rezoliucija nukreipiama vykdyti Iniciatoriui ir su ja supažindinamas Duomenų apsaugos pareigūnas.

VI SKYRIUS

IŠANKSTINĖS KONSULTACIJOS SU VALSTYBINE DUOMENŲ APSAUGOS INSPEKCIJA

31. Kai atlikus poveikio vertinimą nustatoma, kad tvarkant asmens duomenis gali kilti didelis pavojus duomenų subjekto teisėms ir laisvėms, kurio Administracija negali sumažinti tinkamomis priemonėmis, atsižvelgiant į turimas technologijas ir įgyvendinimo sąnaudas, Administracija, prieš pradėdama tvarkyti asmens duomenis, privalo konsultuotis su Valstybine duomenų apsaugos inspekcija Reglamento (ES) 2016/679 36 straipsnyje nustatyta tvarka.

VII SKYRIUS

BAIGIAMOSIOS NUOSTATOS

32. Visi poveikio vertinimo dokumentai (Klausimynas, Poveikio vertinimo išvada, pavojaus, kylančio fizinių asmenų teisėms ir laisvėms, mažinimo ir šalinimo priemonių planas ir kt.) registruojama ir saugoma Kauno rajono savivaldybės dokumentacijos plane numatytose bylose.

33. Poveikio vertinimo išvada arba jos santrauka gali būti teisės aktų numatytais atvejais skelbiama Kauno rajono savivaldybės interneto svetainėje.

34. Reglamento (ES) 2016/679 nustatyta tvarka Poveikio vertinimo išvada gali būti teikiama Valstybinei duomenų apsaugos inspekcijai.

35. Su Aprašu supažindinami visi Administracijos ir seniūnijų darbuotojai (atsakingi už supažindinimą – skyrių vedėjai ir seniūnai, už naujai priimamų darbuotojų – Administracijos Personalo skyrius).

36. Aprašas skelbiamas Teisės aktų registre ir Kauno rajono savivaldybės interneto svetainėje.

37. Asmenys, pažeidę Aprašo reikalavimus, atsako teisės aktų nustatyta tvarka.

____________________________

Poveikio duomenų apsaugai vertinimo

tvarkos aprašo

1 priedas

(Poveikio duomenų apsaugai vertinimo atrankos klausimyno forma)

POVEIKIO DUOMENŲ APSAUGAI VERTINIMO ATRANKOS KLAUSIMYNAS

20__ m. ________________ Nr. ______

Kaunas

1. Kauno rajono savivaldybės administracijos padalinys ar struktūriniam padaliniui nepriskirtas darbuotojas, siekiantis atlikti asmens duomenų tvarkymo operacijas

2. Aprašykite asmens duomenų tvarkymo operaciją (aprašomi asmens duomenų rinkimo, naudojimo, saugojimo ir naikinimo veiksmai, nurodoma, iš kokių šaltinių bus renkami duomenys, kam bus teikiami (galima pateikti asmens duomenų tvarkymo veiksmų schemą). Aprašoma, kokie asmens duomenų tvarkymo veiksmai gali kelti pavojų fizinių asmenų teisėms ir laisvėms)

3. Klausimai skirti nustatyti, ar reikia atlikti poveikio asmens duomenų apsaugai vertinimą: Poveikio asmens duomenų apsaugai vertinimą reikia atlikti, jeigu asmens duomenų tvarkymas atitinka 2 ir daugiau kriterijų (teigiamai atsakyta į 2 ir daugiau klausimų).

Atsakymas (Taip / Ne)

3.1. Ar naudojamos naujos technologijos ar taikomi nauji organizaciniai sprendimai? (Naujų technologijų naudojimas ar naujų organizacinių sprendimų taikymas, pavyzdžiui, pirštų atspaudų naudojimo ir veido atpažinimo derinimas siekiant užtikrinti geresnę fizinės prieigos kontrolę ir pan.)

3.2. Ar asmens duomenys tvarkomi dideliu mastu? (Nustatant, ar asmens duomenys tvarkomi dideliu mastu, visų pirma atsižvelgiama į toliau nurodytus veiksnius: a) susijusių duomenų subjektų skaičių (konkretus skaičius arba atitinkamų gyventojų dalis); b) tvarkomų asmens duomenų kiekį ir (arba) skirtingų tvarkomų asmens duomenų įvairovę; c) asmens duomenų tvarkymo veiklos trukmę arba pastovumą; d) geografinį asmens duomenų tvarkymo mastą.)

3.3. Ar atliekamas vertinimas ar balų skyrimas, įskaitant profiliavimą ir prognozavimą? (Vertinami aspektai, susiję su duomenų subjekto veiklos ar darbo rezultatais, ekonomine padėtimi, sveikatos būkle, asmeniniais pomėgiais ar interesais, patikimumu arba elgesiu, buvimo vieta arba judėjimu. Profiliavimas atliekamas tada, kai vertinami duomenų subjekto asmeniniai aspektai, kad būtų padarytos prognozės, net jeigu nebus priimtas joks sprendimas. Pavyzdžiui, finansų įstaiga, kuri tikrina savo klientų duomenis kredito informacinėje duomenų bazėje, kovos su pinigų plovimu ir teroristų finansavimu arba sukčiavimu duomenų bazėje, arba bendrovė, kuri, remdamasi savo interneto svetainės naudojimo arba naršymo joje duomenimis, kuria elgesio arba rinkodaros profilius.)

3.4. Ar automatizuotai priimami sprendimai, darantys teisinį arba panašų didelį poveikį? (Asmens duomenų tvarkymas, kuriuo siekiama priimti sprendimus dėl duomenų subjektų, darančius jiems teisinį poveikį arba panašų didelį poveikį. Pavyzdžiui, asmens duomenų tvarkymas gali lemti asmenų atskirtį arba diskriminaciją. Asmens duomenų tvarkymas, turintis nedidelį poveikį asmenims arba jo neturintis, neatitinka šio konkretaus kriterijaus. Sprendimų priėmimas tik automatizuotai reiškia, kad sprendimai dėl asmenų priimami technologinėmis priemonėmis, be jokio žmogaus įsikišimo. Tokie sprendimai gali būti priimami ir neatliekant profiliavimo.)

3.5. Ar vykdomas sistemingas stebėjimas? (Asmens duomenų tvarkymas, kuris atliekamas duomenų subjektų stebėsenos arba kontrolės tikslais, įskaitant socialiniuose (interneto) tinkluose surinktus asmens duomenis arba sistemingą viešos vietos stebėjimą dideliu mastu. Sistemingas stebėjimas gali būti vykdomas pagal tam tikrą sistemą, pagal iš anksto nustatytą, organizuotą arba metodinę tvarką, vykdomas kaip sudedamoji bendro asmens duomenų rinkimo plano ar strategijos dalis.)

3.6. Ar tvarkomi neskelbtini asmens duomenys arba labai asmeniški duomenys? (Tokie asmens duomenys apima specialių kategorijų asmens duomenis, taip pat asmens duomenis, susijusius su apkaltinamaisiais nuosprendžiais ar nusikalstamomis veikomis, arba tam tikrų kategorijų asmens duomenis, kuriems gali kilti didesnis pavojus, susijęs su duomenų subjektų teisėmis ir laisvėmis, pavyzdžiui, elektroniniai ryšiai, vietos duomenys, finansiniai duomenys.)

3.7. Ar tvarkomi pažeidžiamų asmenų asmens duomenys? (Pažeidžiamiems duomenų subjektams gali priklausyti vaikai (juos galima laikyti negalinčiais sąmoningai ir apgalvotai prieštarauti savo duomenų tvarkymui arba sutikti su duomenų tvarkymu), darbuotojai, pažeidžiamesni gyventojai, kuriems reikalinga speciali apsauga (psichikos ligomis sergantys asmenys, prieglobsčio prašytojai arba vyresnio amžiaus asmenys, pacientai ir pan.), ir kiti asmenys, kai galima nustatyti nelygiaverčius duomenų subjekto ir duomenų valdytojo santykius.)

3.8. Ar asmens duomenų rinkiniai siejami ir derinami? (Asmens duomenų rinkinių siejimas ir derinimas, kurį, pavyzdžiui, lemia 2 ar daugiau asmens duomenų tvarkymo operacijų, kurios skirtingais tikslais ir (arba) skirtingų duomenų valdytojų atliktos taip, kad viršija pagrįstus duomenų subjekto lūkesčius.)

3.9. Ar pats asmens duomenų tvarkymas užkerta kelią duomenų subjektui naudotis savo teisėmis, paslaugomis arba sudaryti sutartis? (Asmens duomenų tvarkymo operacijos, kuriomis siekiama duomenų subjektams leisti pasinaudoti paslauga arba sudaryti sutartį, pakeisti tokį leidimą arba atsisakyti jį suteikti. Taip, pavyzdžiui, gali būti tuo atveju, kai bankas tikrina savo klientų duomenis kredito informacinėje duomenų bazėje, kad nuspręstų, ar suteikti jiems paskolą, arba kai asmens duomenys renkami aplinkybėmis, kuriomis duomenų subjektai gali nežinoti, kas renka jų duomenis ir kaip jie bus panaudoti, arba kai duomenų subjektai gali neišvengti asmens duomenų tvarkymo viešojoje erdvėje.)

3.10. Ar vykdomas perėjimas iš vienos informacinės sistemos į kitą informacinę sistemą? (Tvarkomi asmens duomenys perkeliami iš vienos valstybės informacinės sistemos (informacinės sistemos) į kitą valstybės informacinę sistemą (informacinę sistemą).)

Klausimyną užpildė

______________ ______________ ______________

(Pareigos) (Parašas) (Vardas, pavardė)

________________________________

Poveikio duomenų apsaugai

vertinimo tvarkos aprašo

2 priedas

(Poveikio duomenų apsaugai vertinimo išvados forma)

_______________________________________

(dokumento sudarytojo pavadinimas)

POVEIKIO DUOMENŲ APSAUGAI VERTINIMO IŠVADA

20__ m. ________________ Nr. ______

Kaunas

I SKYRIUS BENDROJI INFORMACIJA

Duomenų valdytojo tipas

Duomenų valdytojo pavadinimas

☐ Vienas duomenų valdytojas

☐ Bendri duomenų valdytojai

Informacija apie poveikio duomenų apsaugai vertinimą (toliau – PDAV) atlikusius asmenis

Iniciatorius – Kauno rajono savivaldybės administracijos padalinys ar struktūriniam padaliniui nepriskirtas darbuotojas, siekiantis atlikti asmens duomenų tvarkymo operacijas

Pareigų pavadinimas

Vardas, pavardė, parašas

Telefono ryšio numeris ir elektroninio pašto adresas

Ar asmens duomenų tvarkymą atliksite patys?

☐ Taip ☐ Ne → užpildykite skiltis apie pasitelktą duomenų tvarkytoją

Duomenų tvarkytojo (juridinio asmens) pavadinimas, duomenų tvarkytojo (fizinio asmens) vardas, pavardė

Duomenų tvarkytojo (juridinio asmens) juridinio asmens kodas arba duomenų tvarkytojo (fizinio asmens) fizinio asmens kodas, gimimo data (jeigu asmuo neturi asmens kodo)

Duomenų tvarkytojo (juridinio asmens) buveinės adresas arba duomenų tvarkytojo (fizinio asmens) Lietuvos Respublikos gyventojų registre nurodytos gyvenamosios vietos adresas

Duomenų tvarkytojo telefono ryšio ir (ar) elektroninio pašto adresas

Ar duomenų tvarkytojas pateikė savo nuomonę dėl numatomo asmens duomenų tvarkymo?

☐ Taip → pridėkite ją ☐ Ne

Ar duomenų tvarkymas, dėl kurio atliekamas PDAV, reglamentuojamas teisės aktu?

☐ Ne

☐ Taip

Ar rengiant teisės akto projektą buvo atliktas PDAV?

☐ Taip → nurodykite teisės akto pavadinimą ir pridėkite PDAV, atlikto rengiant teisės aktą, išvadą arba pateikite nuorodą į ją, jei ji skelbiama viešai

☐ Ne

Ar atliekant šį duomenų tvarkymą bus laikomasi elgesio kodekso, ar jis bus atliekamas pagal sertifikatą?

☐ Ne

☐ Taip → prašome pateikti elgesio kodeksą ar nuorodą į jį, jei jis viešai prieinamas valstybine kalba, ir nurodyti sertifikatą

II SKYRIUS DUOMENŲ TVARKYMO APRAŠYMAS

Ar šis duomenų tvarkymas, dėl kurio atliekamas PDAV, yra naujas?

☐ Ne → nurodykite, kokie yra duomenų tvarkymo pasikeitimai

☐ Taip

Jeigu PDAV atliekamas dėl naujo duomenų tvarkymo, detaliai aprašykite duomenų tvarkymo operacijas. Jeigu šis duomenų tvarkymas kompleksiškai susijęs su kitu duomenų tvarkymu, prašome pateikti duomenų judėjimo schemą ir (ar) tinklo topologiją.

Jeigu yra duomenų tvarkymo, dėl kurio atliekamas PDAV, pasikeitimų, prašome detaliai aprašyti duomenų tvarkymo operacijas ir nurodyti, kokius pakeitimus planuojate atlikti. Galite pateikti duomenų judėjimo schemą ir (ar) tinklo topologiją.

Kaip bus atliekamas duomenų tvarkymas, pavyzdžiui, automatiniu ar neautomatiniu būdu, popierine ar elektronine forma. Ar bus naudojama prieglobos paslauga ir, jei taip, kokio tipo ir kokia apimtimi? Ar bus naudojamas dirbtinis intelektas ar kitos naujos technologijos?

III SKYRIUS DUOMENŲ TVARKYMO TIKSLAI

Konkrečiai, išsamiai, aiškiai ir tiksliai apibūdinkite duomenų tvarkymo tikslą (venkite abstrakčių duomenų tvarkymo formuluočių, pavyzdžiui, informacinių technologijų (toliau – IT) saugumas, paslaugos kokybės gerinimas, analizė).

IV SKYRIUS NUMATOMO ASMENS DUOMENŲ TVARKYMO SĄLYGA (-OS) PAGAL 2016 M. BALANDŽIO 27 D. EUROPOS PARLAMENTO IR TARYBOS REGLAMENTO (ES) 2016/679 DĖL FIZINIŲ ASMENŲ APSAUGOS TVARKANT ASMENS DUOMENIS IR DĖL LAISVO TOKIŲ DUOMENŲ JUDĖJIMO IR KURIUO PANAIKINAMA DIREKTYVA 95/46/EB (BENDRASIS DUOMENŲ APSAUGOS REGLAMENTAS) (TOLIAU – BDAR) 6 STRAIPSNIO 1 DALĮ

Jeigu asmens duomenų tvarkymas numatomas skirtingais tikslais, prašome šią dalį užpildyti pagal kiekvieną tikslą atskirai, išskyrus atvejus, kai šioje dalyje prašoma pateikti informacija visais tikslais sutampa.

☐

BDAR 6 straipsnio 1 dalies a punktas

Nurodykite, kaip gausite duomenų subjekto sutikimą ir kokią informaciją apie duomenų tvarkymą jam pateiksite.

☐

BDAR 6 straipsnio 1 dalies b punktas

Prašome detaliai paaiškinti, kodėl numatomas duomenų tvarkymas būtinas sutarčiai vykdyti ar iki sutarties pasirašymo reikalingiems veiksmams atlikti.

☐

BDAR 6 straipsnio 1 dalies c punktas

Nurodykite teisės aktą ar pateikite nuorodą į konkrečią teisės akto nuostatą (straipsnį, straipsnio dalį, punktą ir kt.), numatančią teisinę prievolę, kurią vykdant būtina tvarkyti asmens duomenis.

☐

BDAR 6 straipsnio 1 dalies d punktas

Nurodykite gyvybinius duomenų subjekto ar kito fizinio asmens interesus, kuriuos siekiant apsaugoti būtina tvarkyti asmens duomenis.

☐

BDAR 6 straipsnio 1 dalies e punktas

Nurodykite teisės aktą ar pateikite nuorodą į konkrečią teisės akto nuostatą (straipsnį, straipsnio dalį, punktą ir kt.), numatančią užduotį, kuri vykdoma viešojo intereso labui, arba pavestas viešosios valdžios funkcijas.

☐

BDAR 6 straipsnio 1 dalies f punktas

Aprašykite teisėtus interesus, kurių siekiate šiuo duomenų tvarkymu, ir pagrįskite, kuo šie interesai yra viršesni už duomenų subjekto teises.

Ar duomenų tvarkymas apima ir duomenų, kurie buvo surinkti kitais tikslais negu tie tikslai, dėl kurių bus atliekamas numatomas tolesnis duomenų tvarkymas, tvarkymą (BDAR 6 straipsnio 4 dalis)?

☐ Ne

☐ Taip

Ar numatomas tolesnis duomenų tvarkymas pagrįstas duomenų subjekto sutikimu?

☐ Taip

☐ Ne

Ar numatomas tolesnis duomenų tvarkymas pagrįstas teisės aktais?

☐ Taip→ pateikite nuorodą į jį

☐ Ne

Jei numatomas tolesnis duomenų tvarkymas nepagrįstas teisės aktais, kokiu būdu numatomo duomenų tvarkymo tikslas suderinamas su pirminiu duomenų rinkimo tikslu?

Koks pirminis duomenų tvarkymo tikslas?

Iš kokių šaltinių numatoma rinkti asmens duomenis?

☐ duomenų subjektų

☐ trečiųjų asmenų → nurodykite juos

Ketinamų tvarkyti asmens duomenų kategorijos

☐ asmens duomenys (BDAR 6 straipsnis)

☐ specialių kategorijų asmens duomenys (BDAR 9 straipsnis)

☐ asmens duomenys apie apkaltinamuosius nuosprendžius ir nusikalstamas veikas (BDAR 10 straipsnis)

☐ asmens kodai (Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymo 3 straipsnis)

Jeigu ketinama tvarkyti specialių kategorijų asmens duomenis, nurodykite, kuria išimtimi, numatyta BDAR 9 straipsnio 2 dalyje, grindžiate jų tvarkymą (Nepildykite, jeigu nenumatoma tvarkyti specialių kategorijų duomenų.)

☐

BDAR 9 straipsnio 2 dalies a punktas

Nurodykite, kokiu būdu gausite duomenų subjekto sutikimą.

☐

BDAR 9 straipsnio 2 dalies b punktas

Nurodykite konkretų teisės aktą ir jo punktus.

☐

BDAR 9 straipsnio 2 dalies c punktas

Nurodykite, dėl kokių fizinių ar teisinių priežasčių duomenų subjektas negalėtų duoti sutikimo.

☐

BDAR 9 straipsnio 2 dalies d punktas

Paaiškinkite, kodėl reikia laikyti, kad numatomas duomenų tvarkymas bus atliekamas vykdant teisėtą veiklą, taip pat nurodykite, kokios apsaugos priemonės bus taikomos.

☐

BDAR 9 straipsnio 2 dalies e punktas

Paaiškinkite, kokiu būdu ir kokiomis aplinkybėmis duomenų subjektai savo duomenis yra paskelbę viešai.

☐

BDAR 9 straipsnio 2 dalies f punktas

Pagrįskite šio tvarkymo būtinumą šiais tikslais.

☐

BDAR 9 straipsnio 2 dalies g punktas

Nurodykite teisės aktą ar pateikite nuorodą į konkrečią teisės akto nuostatą (straipsnį, straipsnio dalį, punktą ir kt.), pagal kurią numatomos priežastys duomenis tvarkyti siekiant viešojo intereso , taip pat nurodykite konkrečias priemones, kurių buvo imtasi siekiant apsaugoti duomenų subjektų teises ir teisėtus interesus.

☐

BDAR 9 straipsnio 2 dalies h punktas

Ar duomenis tvarkys sveikatos priežiūros specialistas ar kitas asmuo, kuriam taikoma pareiga saugoti paslaptį (BDAR 9 straipsnio 3 dalis). Nurodykite asmens pareigas ir funkcijas.

☐

BDAR 9 straipsnio 2 dalies i punktas

Nurodykite viešąjį interesą, kurio siekiate šiuo duomenų tvarkymu, ir teisės aktą, kuriuo nustatomas šis duomenų tvarkymas.

☐

BDAR 9 straipsnio 2 dalies j punktas

Nurodykite teisinį pagrindą bei technines ir organizacines priemones pagal BDAR 89 straipsnį.

Duomenų subjektų, kurių asmens duomenys bus tvarkomi, kategorijos

☐

Darbuotojai

☐

Vartotojai

☐

Klientai

☐

Tiekėjai

☐

Viešųjų paslaugų gavėjai

☐

Nepilnamečiai

☐

Asmenys su negalia

☐

Kita (detalizuokite)

Apytikslis duomenų subjektų, kurių duomenis ketinama tvarkyti, skaičius

Ar dėl numatomo asmens duomenų tvarkymo buvo gauta duomenų subjektų ar jų atstovų nuomonė?

☐ Taip → pridėkite jas arba apibendrinkite gautas nuomones

☐ Ne → nurodykite priežastis, dėl kurių duomenų subjektų ar jų atstovų nuomonės nebuvo prašoma

Ar atliekamam duomenų tvarkymui bus taikomas automatizuotas sprendimų priėmimas, įskaitant profiliavimą?

☐ Taip → paaiškinkite, kaip tai bus atliekama

☐ Ne

V SKYRIUS ASMENS DUOMENŲ TVARKYMO BŪTINUMAS IR PROPORCINGUMAS

Kodėl duomenų tvarkymas būtinas siekiant nustatyto tikslo? Paaiškinkite, kodėl šio tikslo negalima pasiekti netvarkant asmens duomenų arba kitais mažiau privatumą pažeidžiančiais būdais. Jei duomenų tvarkymas keičiamas, paaiškinkite, kodėl šis pakeitimas būtinas.

Pagrįskite kiekvieno atskiro duomens tvarkymo būtinumą nustatytam tikslui pasiekti (iliustruokite pavyzdžiais).

Nurodykite duomenų saugojimo terminą ir jį pagrįskite.

VI SKYRIUS DUOMENŲ SUBJEKTŲ TEISIŲ ĮGYVENDINIMAS

Skaidrus informavimas / informacijos pateikimas: Kaip duomenų subjektai bus informuojami apie duomenų tvarkymą?

Aprašykite, kaip bus įgyvendintos duomenų subjektų teisės, nustatytos BDAR III skyriaus 15–22 straipsniuose?

VII SKYRIUS ASMENS DUOMENŲ TIKSLUMAS IR ATNAUJINIMAS

Kaip bus užtikrintas duomenų tikslumas ir kaip prireikus duomenys bus atnaujinami?

VIII SKYRIUS DUOMENŲ GAVĖJAI IR PRIEIGA PRIE DUOMENŲ

Nurodykite pareigas ir funkcijas asmenų, kurie turės prieigą prie duomenų?

Ar tretieji asmenys turės prieigą prie šių duomenų?

☐ Taip → apibūdinkite duomenų teikimo tvarką

☐ Ne

IX SKYRIUS DUOMENŲ TEIKIMAS TREČIOSIOMS VALSTYBĖMS

Ar duomenys bus perduodami trečiosioms valstybėms (valstybėms, kurios nėra Europos ekonominės erdvės valstybės narės) ar tarptautinėms organizacijoms?

☐ Taip → nurodykite trečiąsias valstybes ar tarptautines organizacijas ir, jeigu duomenų teikimas grindžiamas BDAR 49 straipsnio 1 ir 2 dalimis, pridėkite dokumentus, kuriais patvirtinamas tinkamas apsaugos priemonių taikymas

☐ Ne

X SKYRIUS DUOMENŲ TVARKYMO KELIAMOS RIZIKOS ANALIZĖ

Apibūdinkite galimas neigiamas pasekmes (pavojus), kurias (kuriuos) gali patirti duomenų subjektai dėl numatomo duomenų tvarkymo (pavyzdžiui, diskriminacija, tapatybės vagystė, finansiniai nuostoliai, žala reputacijai, teisių apribojimas, neskelbtinos informacijos atskleidimas)

Apibūdinkite šių galimų neigiamų pasekmių (pavojų) šaltinį, t. y. ar neigiamos pasekmės (pavojai) gali kilti dėl asmens naudojamos technikos ar fizinių priemonių. Taip pat nurodykite, ar ši rizika yra vidinė, ar išorinė

Nurodykite neigiamų pasekmių tikimybę

Nurodykite galimą pasekmių rimtumą

Nurodykite bendrą pavojaus lygį

Mažai tikėtina, tikėtina ar labai tikėtina

Mažas, vidutinis ar didelis

Žemas, vidutinis ar aukštas

Nurodomos papildomos priemonės, kurių galima imtis siekiant sumažinti ar panaikinti aukšto ar vidutinio lygio pavojus

Pavojus

Priemonės pavojui sumažinti ar pašalinti

Priemonės pritaikymo rezultatas

Likęs pavojus

Priemonę pavesta įgyvendinti

Priemonė patvirtinta

Pašalinta, sumažinta, priimtina rizika

Žemas, vidutinis ar aukštas

Taip, ne

Ar dėl asmens duomenų tvarkymo kils didelis pavojus duomenų subjektų teisėms ir laisvėms?

☐ Taip→ būtina išankstinė konsultacija su Valstybine duomenų apsaugos inspekcija

☐ Ne

Nurodykite, ar rizikos analizė atlikta vadovaujantis tarptautiniais standartais (pavyzdžiui, ISO 31000; ISO 27005) ar tarptautinių organizacijų (pavyzdžiui, ISACA, ENISA, CompTIA) rekomendacijomis, gairėmis ar panašiai? Nurodykite juos.

Apibūdinkite technines ir organizacines saugumo priemones, taikomas tvarkant duomenis

Asmens duomenų saugumo politika ir procedūros

☐

Ar asmens duomenų ir jų tvarkymo saugumas yra dokumentuotas kaip informacijos saugumo politikos dalis?

☐

Ar saugumo politika peržiūrima ir prireikus atnaujinama? Kokiu dažnumu tai daroma?

Vaidmenys ir atsakomybės

☐

Аr su asmens duomenų tvarkymu susiję vaidmenys ir atsakomybės aiškiai apibrėžti ir paskirstyti pagal saugumo politiką?

☐

Ar numatytas ir aiškiai apibrėžtas darbuotojų teisių ir pareigų atšaukimas taikant atitinkamas vaidmenų ir atsakomybių perdavimo procedūras (vidaus organizacijos pertvarkymo ar darbuotojų atleidimo, funkcijų pasikeitimo metu)?

Prieigos valdymo politika

☐

Ar kiekvienam vaidmeniui, susijusiam su asmens duomenų tvarkymu, priskiriamos konkrečios prieigos kontrolės teisės, vadovaujantis principu „būtina žinoti“ (angl. need to know)? Kokiame dokumente ar IT sistemoje tai numatyta?

Išteklių ir turto valdymas

☐

Ar duomenų valdytojas turi IT išteklių, naudojamų asmens duomenims tvarkyti, registrą (techninės, programinės ir tinklo įrangos sąrašą)?

☐

Ar IT išteklių registro tvarkymas priskirtas konkrečiam asmeniui, pavyzdžiui, IT specialistui?

☐

Ar IT išteklių registras reguliariai prižiūrimas ir atnaujinamas? Kokiu dažnumu?

Pakeitimų valdymas

☐

Ar visi IT sistemų pakeitimai stebimi ir registruojami konkretaus asmens (pavyzdžiui, IT specialisto arba saugos įgaliotinio)?

☐

Ar programinės įrangos kūrimas atliekamas specialioje aplinkoje, kuri nėra prijungta prie IT sistemų, naudojamų tvarkant asmens duomenis. Ar testuojant sistemas naudojami testiniai (ne realūs) duomenys?

Duomenų tvarkytojai

☐

Ar duomenų valdytojo valdomų duomenų tvarkymas apibrėžtas ir dokumentuotas, suderintos duomenų tvarkymo gairės ir procedūrų aprašai, kurie taikomi duomenų tvarkytojams (rangovams ar užsakomųjų paslaugų teikėjams)? Ar šiose gairėse ir procedūrų aprašuose nustatomas toks pats (ne žemesnis) asmens duomenų saugumo lygis, koks nustatytas duomenų valdytojo saugumo politikoje?

☐

Ar sutartyse su duomenų tvarkytojais numatyta prievolė nepagrįstai nedelsiant pranešti duomenų valdytojui apie nustatytus asmens duomenų saugumo pažeidimus?

☐

Ar duomenų tvarkytojai yra pateikę dokumentais pagrįstus įrodymus dėl atitikties keliamiems reikalavimams?

Asmens duomenų saugumo pažeidimai ir incidentai

☐

Ar fiksuojami (dokumentuojami) asmens duomenų saugumo pažeidimai?

☐

Ar parengtas išsamus reagavimo į incidentus ir jų padarinių likvidavimo tvarkos aprašas (reagavimo į incidentus planas), kuriame nustatomas veiksmingas incidentų, susijusių su asmens duomenų saugumo pažeidimais, valdymas?

☐

Ar nustatyta pranešimo apie asmens duomenų saugumo pažeidimus teikimo kompetentingoms institucijoms ir duomenų subjektams tvarka, vadovaujantis BDAR 33 ir 34 straipsniais?

Veiklos tęstinumas

☐

Ar nustatytos pagrindinės procedūros, kurių reikia laikytis įvykus asmens duomenų saugumo pažeidimui ar incidentui, kad būtų užtikrintas reikiamas asmens duomenų tvarkymo IT sistemomis tęstinumas ir prieinamumas?

Personalo konfidencialumas

☐

Ar vaidmenys ir atsakomybės aiškiai išdėstyti darbuotojui prieš pradedant vykdyti jam paskirtas funkcijas ir darbus?

Mokymai

☐

Ar duomenų valdytojas užtikrina, kad visi darbuotojai būtų tinkamai informuoti apie IT sistemų saugumo reikalavimus, susijusius su jų kasdieniu darbu? Kokiu dažnumu vyksta mokymai?

☐

Ar darbuotojai, susiję su asmens duomenų tvarkymu, supažindinami su atitinkamais duomenų apsaugos reikalavimais ir atsakomybe rengiant reguliarius mokymus, informavimo renginius ar instruktažus? Kokiu dažnumu vyksta mokymai?

Prieigų kontrolė ir autentifikavimas

☐

Ar įdiegta, įgyvendinta prieigų kontrolės sistema, kuri taikoma visiems IT sistemos naudotojams? (Prieigų kontrolės sistema turi leisti kurti, patvirtinti, peržiūrėti ir panaikinti naudotojų paskyras)

☐

Ar naudojamos bendros naudotojų paskyros? Jeigu taip, ar visi bendros paskyros naudotojai turi tokias pačias teises ir pareigas?

☐

Ar yra veikianti autentifikavimo priemonė, leidžianti prieigas prie IT sistemų (paremtas prieigų kontrolės politika)? Ar duomenų valdytojas užtikrina minimalų reikalavimą naudotojui prisijungti prie IT sistemos naudotojo paskyros su prisijungimo vardu ir slaptažodžiu? Ar slaptažodžiai sudaromi atsižvelgiant į tam tikrą kompleksiškumo lygį? Kokios slaptažodžio sudarymo taisyklės?

☐

Ar prieigų kontrolės sistema turi galimybę aptikti slaptažodžius, kurie neatitinka tam tikro kompleksiškumo lygio, ir neleisti jų naudoti?

Techninių žurnalų įrašai ir stebėsena

☐

Ar daromi techninių žurnalų įrašai, skirti kiekvienai IT sistemai ar taikomajai programai, naudojamai asmens duomenims apdoroti? Ar techniniuose žurnaluose matomi bent šie prieigų prie asmens duomenų įrašų tipai: data, laikas, informacija apie peržiūrėjimą, keitimą, panaikinimą? Koks šių įrašų saugojimo terminas?

☐

Ar techninių žurnalų įrašai turi laiko žymas ir ar jie apsaugoti nuo galimo sugadinimo, suklastojimo ar neautorizuotos prieigos? Ar IT sistemose naudojami laiko apskaitos mechanizmai sinchronizuoti pagal bendrą laiko atskaitos šaltinį?

Tarnybinių stočių ir duomenų bazių apsauga

☐

Ar duomenų bazės ir taikomųjų programų tarnybinės stotys sukonfigūruotos taip, kad veiktų tinkamai ir naudotų atskirą paskyrą su priskirtomis žemiausiomis operacinės sistemos teisėmis?

☐

Ar duomenų bazės ir taikomųjų programų tarnybinės stotys apdoroja tik tuos asmens duomenis, kurie yra reikalingi darbui, atitinkančiam duomenų tvarkymo tikslus?

Darbo kompiuterių apsauga

☐

Ar užtikrinama, kad darbo kompiuterių naudotojai neturėtų galimybės išjungti saugos nustatymų, jų išvengti ar juos apeiti?

☐

Kokios antivirusinės taikomosios programos naudojamos darbo vietose? Kaip dažnai atnaujinamos šių programų virusų duomenų bazės?

☐

Ar darbo vietose užtikrinama, kad darbo kompiuterių naudotojai neturėtų privilegijų diegti, šalinti, administruoti neautorizuotos programinės įrangos?

☐

Ar IT sistemose (įskaitant darbo vietų operacines sistemas) nustatytas sesijos laikas (naudotojui esant neaktyviam sistemoje nustatytą laiką, jo sesija nutraukiama)? Jeigu taip, koks nustatytas neaktyvios sesijos laikas?

☐

Ar kritiniai operacinių sistemų saugos atnaujinimai diegiami reguliariai ir nedelsiant?

Tinklo ir komunikacijos sauga

☐

Ar naudojami šifruoti komunikacijos kanalai, t. y. kriptografiniai protokolai (pavyzdžiui, TLS / SSL), kai prieiga prie naudojamų IT sistemų vykdoma internetu?

Atsarginės duomenų kopijos

☐

Ar atsarginės duomenų kopijos ir duomenų atkūrimo procedūros nustatytos, dokumentuotos ir aiškiai susietos su vaidmenimis ir pareigomis?

☐

Ar užtikrintas tinkamas atsarginių duomenų kopijų laikmenų fizinis aplinkos ar patalpų saugos lygis?

☐

Ar atsarginių duomenų kopijų darymo procesas stebimas, siekiant užtikrinti jo užbaigtumą ir išsamumą?

☐

Ar atsarginės duomenų kopijos daromos reguliariai? Jei taip, kokiu dažnumu daromos visų duomenų kopijos ir (ar) pridedamosios kopijos?

Mobilieji ir nešiojamieji įrenginiai

☐

Ar nustatytos ir dokumentuotos mobiliųjų ir nešiojamųjų įrenginių administravimo procedūros, aiškiai aprašant tinkamą naudojimąsi tokiais įrenginiais?

☐

Ar mobilieji ir nešiojamieji įrenginiai, kuriais naudojamasi darbui su informacinėmis sistemomis, prieš naudojimąsi jais užregistruojami ir autorizuojami?

☐

Ar mobiliųjų įrenginių, kaip ir kitos naudojamos įrangos, prieigos kontrolės procedūros pakankamos asmens duomenims tvarkyti?

Programinės įrangos sauga

☐

Ar informacinėse sistemose naudojama programinė įranga, skirta asmens duomenims tvarkyti, atitinka programinės įrangos saugos gerąsias praktikas, kuriant programinę įrangą taikomas saugos gerąsias praktikas, programinės įrangos kūrimo struktūras (angl. frameworks), standartus?

☐

Ar pradiniuose programinės įrangos kūrimo etapuose nustatyti specifiniai saugos reikalavimai?

☐

Ar laikomasi duomenų saugą užtikrinančių programavimo standartų ir gerųjų praktikų? Jei taip, kokių?

☐

Ar programinės įrangos kūrimo, testavimo ir patikros etapai vyksta atsižvelgiant į pagrindinius saugos reikalavimus?

Duomenų naikinimas ir šalinimas

☐

Ar prieš pašalinant bet kokią duomenų laikmeną visi joje esantys duomenys sunaikinami naudojant tam skirtą programinę įrangą, kuri palaiko patikimus duomenų naikinimo algoritmus? Ar vykdomas fizinis duomenų laikmenos (pavyzdžiui, CD, DVD diskai ir pan.) sunaikinimas be galimybės ją atkurti, kai kitu būdu ištrinti duomenų neįmanoma?

☐

Ar popierius ir nešiojamosios duomenų laikmenos, kuriose buvo saugomi ar kaupiami asmens duomenys, naikinami tam skirtais smulkintuvais arba kitomis mechaninėmis priemonėmis?

Fizinė sauga

☐

Ar įgyvendinta fizinė aplinkos ir patalpų, kuriose yra IT sistemų infrastruktūra, apsauga nuo neautorizuotos prieigos?

IŠVADOS IR SPRENDIMAI

Nurodomos priemonės ir įvardijamas likęs pavojus

Vardas, pavardė, data

Pastabos

Priemonės patvirtintos

Įtraukti numatytas priemones į veiklos planą, nustatant atlikimo terminą ir atsakingus asmenis

Likęs pavojus pripažintas priimtina rizika

Jei priimtina rizika pripažintas aukšto lygio pavojus priimtinas, privaloma kreiptis į Valstybinę duomenų apsaugos inspekciją

Duomenų apsaugos pareigūno nuomonė Duomenų apsaugos pareigūno nuomonė turi būti pateikta dėl asmens duomenų tvarkymo teisėtumo, planuojamų priemonių pavojams mažinti ar pašalinti bei dėl galimybės toliau tvarkyti asmens duomenis.

Nurodoma, ar atsižvelgta į duomenų apsaugos pareigūno nuomonę Jeigu atmesta, pagrindžiama, kodėl.

Gautos kitų asmenų nuomonės Trumpai aprašomos kitų asmenų nuomonės ir nurodoma, ar į jas atsižvelgta. Jeigu sprendimas skiriasi nuo susijusių asmenų nuomonės, pagrindžiama, kodėl.

Siūloma (vienas variantas)

☐ atlikti asmens duomenų tvarkymo operaciją;

☐ pavesti Iniciatoriui iš naujo įvertinti duomenų subjektų teisėms ir laisvėms kylančius pavojus ir nustatyti daugiau priemonių, kuriomis numatoma sumažinti šiuos pavojus iki priimtino lygio ir įrodyti atitiktį Reglamentui (ES) 2016/679;

☐ kreiptis išankstinės konsultacijos į Valstybinę duomenų apsaugos inspekciją.

Pridedami dokumentai

1.

2.

3.

4.

5.

6.

7.

8.

9.

10.

Išvadą užpildė

_______________________

(Pareigos)

(parašas)

(vardas, pavardė)

___________________

Poveikio duomenų apsaugai

vertinimo tvarkos aprašo

3 priedas

PAVOJAUS ĮVERTINIMO IR BENDRO PAVOJAUS LYGIO

NUSTATYMO LENTELĖ

Žalos sunkumas

Sunki

Žemo lygio pavojus

Aukšto lygio pavojus

Aukšto lygio pavojus

Reikšminga

Žemo lygio pavojus

Vidutinio lygio pavojus

Aukšto lygio pavojus

Minimali

Žemo lygio pavojus

Žemo lygio pavojus

Žemo lygio pavojus

Mažai tikėtina

Tikėtina

Labai tikėtina

Žalos tikimybė

_________________________________

Poveikio duomenų apsaugai

vertinimo tvarkos aprašo

4 priedas

PAVOJAUS MAŽINIMO IR ŠALINIMO PRIEMONIŲ REKOMENDACIJOS

Pavojaus lygis

Rekomenduojamos pavojaus mažinimo ar šalinimo priemonės

Mažas

Papildomų pavojaus mažinimo ir (ar) šalinimo priemonių galima nenumatyti, išskyrus atvejus, kai joms įgyvendinti nereikia didelių sąnaudų. Turi būti užtikrinta, kad veiktų esamos pavojaus mažinimo ir (ar) šalinimo priemonės.

Vidutinis

Rekomenduotina numatyti pavojaus mažinimo ir (ar) šalinimo priemones, įgyvendinti tokias pavojaus mažinimo ir (ar) šalinimo priemones, kurios nėra labai imlios finansiniu ir laiko atžvilgiu, tačiau yra pakankamos sumažinti pavojaus lygį arba jį pakankamai kontroliuoti.

Didelis

Būtina išsamiai išnagrinėti situaciją, nustatyti pavojaus mažinimo ir (ar) šalinimo priemones. Šios priemonės turi būti nustatytos pavojaus, kylančio fizinių asmenų teisėms ir laisvėms, mažinimo ir šalinimo priemonių plane. Priemonės gali būti susijusios ne tik su veiksmais Kauno rajono savivaldybėje, apie nustatytą labai didelį pavojų fizinių asmenų teisėms ir laisvėms nustatyta tvarka informuojama Valstybinė duomenų apsaugos inspekcija. Nustatytos pavojaus mažinimo ir (ar) šalinimo priemonės turi būti įgyvendintos per nustatytą laikotarpį. Turi būti atliekamas priemonių įgyvendinimo veiksmingumo vertinimas. Įgyvendinus numatytas priemones, iš naujo turi būti atliktas poveikio vertinimas.

_________________________________

Poveikio duomenų apsaugai

vertinimo tvarkos aprašo

5 priedas

(Pavojaus, kylančio fizinių asmenų teisėms ir laisvėms, mažinimo ir šalinimo priemonių plano forma)

KAUNO RAJONO SAVIVALDYBĖS ADMINISTRACIJA

TVIRTINU

Administracijos direktorius

(Parašas)

(Vardas, pavardė)

PAVOJAUS, KYLANČIO FIZINIŲ ASMENŲ TEISMĖS IR LAISVĖMS, MAŽINIMO IR ŠALINIMO PRIEMONIŲ PLANAS

________________________ Nr. _______

(Sudarymo data) (Registracijos numeris)

Kaunas

Eil. Nr.

Pavojaus priežastis (kilmė)

Pavojaus pasekmė

Planuojamos pavojaus mažinimo ir (ar) šalinimo priemonės

Vykdytojo pareigos, vardas, pavardė

Įgyvendinimo terminas

Planuojami pavojaus mažinimo ir (ar) šalinimo priemonės įgyvendinimo veiksmai

1.

2.

(Rengėjo pareigos, vardas, pavardė, parengimo data)

_________________________________

Poveikio duomenų apsaugai

vertinimo tvarkos aprašo

6 priedas

(Pavojaus, kylančio fizinių asmenų teisėms ir laisvėms, mažinimo ir šalinimo priemonių plano įgyvendinimo ataskaitos forma)

KAUNO RAJONO SAVIVALDYBĖS ADMINISTRACIJA

TVIRTINU

Administracijos direktorius

(Parašas)

(Vardas, pavardė)

PAVOJAUS, KYLANČIO FIZINIŲ ASMENŲ TEISMĖS IR LAISVĖMS, MAŽINIMO IR ŠALINIMO PRIEMONIŲ PLANO ĮGYVENDINIMO ATASKAITA

________________________ Nr. _______

(Sudarymo data) (Registracijos numeris)

Kaunas

Eil. Nr.

Pavojaus priežastis (kilmė)

Pavojaus pasekmė

Planuojamos pavojaus mažinimo ir (ar) šalinimo priemonės

Vykdytojo pareigos, vardas, pavardė

Įgyvendinimo terminas

Planuojami pavojaus mažinimo ir (ar) šalinimo priemonės įgyvendinimo veiksmai

Įgyvendinimo rezultatai

Veiksmingumo vertinimas

Vertinimo atlikimo data

Vertinimą atlikusio asmens pareigos, vardas ir pavardė

1.

2.

(Rengėjo pareigos, vardas, pavardė, parengimo data)

________________________________