DĖL ASMENS DUOMENŲ TVARKYMO ŠILALĖS RAJONO SAVIVALDYBĖS ADMINISTRACIJOJE TAISYKLIŲ PATVIRTINIMO

AB Lesto

Šilalės rajono savivaldybės administracijOS

DIREKTORIUS

ĮSAKYMAS

DĖL ASMENS DUOMENŲ TVARKYMO ŠILALĖS RAJONO SAVIVALDYBĖS ADMINISTRACIJOJE TAISYKLIŲ PATVIRTINIMO

2020 m. liepos 13 d. Nr. DĮV-656

Šilalė

Vadovaudamasis Lietuvos Respublikos vietos savivaldos įstatymo 29 straipsnio 8 dalies 2 punktu, 18 straipsnio 1 dalimi, Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymu, įgyvendindamas 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamentą (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB

1. T v i r t i n u Asmens duomenų tvarkymo Šilalės rajono savivaldybės administracijoje taisykles (pridedama).

2. P r i p a ž į s t u netekusiu galios Šilalės rajono savivaldybės administracijos direktoriaus 2015 m. vasario 3 d. įsakymą Nr. DĮV-130 „Dėl Asmens duomenų tvarkymo Šilalės rajono savivaldybės administracijoje taisyklių patvirtinimo“ su visais pakeitimais ir papildymais.

3. S k e l b i u šį įsakymą Šilalės rajono savivaldybės internetinėje svetainėje www.silale.lt ir Teisės aktų registre.

Šis įsakymas gali būti skundžiamas Lietuvos Respublikos administracinių bylų teisenos įstatymo nustatyta tvarka per vieną mėnesį nuo šio įsakymo paskelbimo dienos Regionų apygardos administracinio teismo Klaipėdos rūmams (Galinio Pylimo g. 9, 91230 Klaipėda) arba Lietuvos Respublikos administracinių ginčų komisijos Klaipėdos apygardos skyriui (H. Manto g. 37, 92236 Klaipėda).

Administracijos direktorius Valdemaras Jasevičius

PATVIRTINTA

Šilalės rajono savivaldybės

administracijos direktoriaus

2020 m. liepos 13 d. įsakymu

Nr. DĮV-656

ASMENS DUOMENŲ TVARKYMO ŠILALĖS RAJONO SAVIVALDYBĖS ADMINISTRACIJOJE TAISYKLĖS

I SKYRIUS

BENDROSIOS NUOSTATOS

1. Asmens duomenų tvarkymo Šilalės rajono savivaldybės administracijoje taisyklės (toliau – Taisyklės) nustato fizinių asmenų (toliau – duomenų subjektai) asmens duomenų tvarkymo reikalavimus, asmens duomenų tvarkymo principų įgyvendinimo tvarką, organizacinių ir techninių asmens duomenų saugumo priemonių įgyvendinimo principus.

2. Taisyklių tikslas – reglamentuoti asmens duomenų tvarkymą Šilalės rajono savivaldybės administracijoje (toliau – Administracija), nustatyti pagrindines asmens duomenų tvarkymo, duomenų subjekto teisių įgyvendinimo, duomenų apsaugos technines bei organizacines priemones ir kitas procedūras, siekiant užtikrinti 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamento (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas) (toliau – Reglamentas), Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymo (toliau – ADTAĮ) ir kitų teisės aktų, reglamentuojančių asmens duomenų tvarkymą ir apsaugą, laikymąsi ir įgyvendinimą.

3. Taisyklės parengtos vadovaujantis Reglamentu (ES) 2016/679, Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymu, Lietuvos Respublikos elektroninių ryšių įstatymu ir kitais teisės aktais, reglamentuojančiais asmens duomenų tvarkymą ir privatumo apsaugą.

4. Taisyklėse vartojamos sąvokos suprantamos taip, kaip jos yra apibrėžtos Reglamente, ADTAĮ ir kituose teisės aktuose, reglamentuojančiuose asmens duomenų tvarkymą ir apsaugą.

5. Administracija yra asmens duomenų valdytoja ir tvarkytoja. Administracijos duomenų tvarkytojais gali būti ir kiti fiziniai ir juridiniai asmenys, kuriems šių duomenų tvarkymas pavedamas duomenų tvarkymo sutartimi ar kitu dokumentu.

6. Taisyklių privalo laikytis visi Administracijoje dirbantys darbuotojai ir kiti asmenys, kurie tvarko Administracijoje esančius asmens duomenis arba eidami savo pareigas juos sužino.

7. Taisyklių taip pat privalo laikytis ir duomenų tvarkytojai, kurie teikdami Administracijai duomenų tvarkymo paslaugas sužino ir tvarko asmens duomenis.

II SKYRIUS

DUOMENŲ TVARKYMO principai IR TIKSLAI

8. Administracijos darbuotojai ir asmenys, kurie tvarko asmens duomenis, atlikdami savo pareigas ir tvarkydami asmens duomenis, privalo laikytis pagrindinių asmens duomenų tvarkymo principų

8.1. asmens duomenis tvarkyti teisėtai, sąžiningai ir skaidriai;

8.2. asmens duomenys turi būti renkami teisėtais tikslais ir toliau netvarkomi su tais tikslais nesuderinamu būdu;

8.3. renkant ir tvarkant asmens duomenis laikytis tikslingumo, proporcingumo ir duomenų kiekio mažinimo principų, t. y. nereikalauti iš interesantų pateikti tų duomenų, kurie nėra būtini Administracijos funkcijoms vykdyti, nekaupti ir netvarkyti perteklinių duomenų ir duomenų, kurie nėra būtini atitinkamiems tikslams pasiekti;

8.4. užtikrinti asmens duomenų tikslumą ir, jei reikia dėl asmens duomenų tvarkymo, juos atnaujinti; netikslius ar neišsamius duomenis ištaisyti, papildyti, sunaikinti arba jų tvarkymą sustabdyti;

8.5. asmens duomenis saugoti tokia forma, kad duomenų subjektų tapatybę būtų galima nustatyti ne ilgiau, negu to reikia tiems tikslams, dėl kurių šie duomenys buvo surinkti ir tvarkomi;

8.6. asmens duomenis tvarkyti tokiu būdu, kad taikant atitinkamas technines ar organizacines priemones būtų užtikrintas tinkamas asmens duomenų saugumas, įskaitant apsaugą nuo duomenų tvarkymo be leidimo arba neteisėto duomenų tvarkymo ir nuo netyčinio praradimo, sunaikinimo ar sugadinimo;

8.7. asmens duomenis saugoti teisės aktų ir Taisyklių nustatyta tvarka, net ir pasibaigus darbo ar kitiems santykiams su Administracija.

9. Administracija, įgyvendindama savarankiškas ir valstybines (valstybės perduotas savivaldybėms) funkcijas, asmens duomenis pagal kompetenciją tvarko teikiamoms administracinėms paslaugoms vykdyti bei vidaus administravimo funkcijoms atlikti.

10. Asmens duomenų tvarkymo tikslai ir tvarkomų asmens duomenys ar jų kategorijos nurodyti Administracijos duomenų tvarkymo veiklos įrašuose, Taisyklių 1 priede.

III SKYRIUS

DUOMENŲ VALDYTOJO IR TVARKYTOJO, FUNKCIJOS, TEISĖS IR PAREIGOS

11. Administracija, kaip duomenų valdytoja, vykdo šias funkcijas

11.1. nustato asmens duomenų tvarkymo tikslus ir priemones;

11.2. užtikrina, kad asmens duomenys būtų tvarkomi laikantis Reglamento ir ADTAĮ numatytų asmens duomenų tvarkymo reikalavimų;

11.3. užtikrina Reglamente ir ADTAĮ nustatytų techninių ir organizacinių priemonių įgyvendinimą;

11.4. užtikrina Reglamente ir ADTAĮ numatytų duomenų subjekto teisių įgyvendinimą ir vykdo kitas ADTAĮ, Bendruosiuose reikalavimuose ir kituose teisės aktuose, reglamentuojančiuose asmens duomenų tvarkymą, nustatytas asmens duomenų valdytojo pareigas;

11.5. pagal poreikį gali pasitelkti kitus duomenų tvarkytojus asmens duomenų tvarkymui;

11.6. kontroliuoja, kaip duomenų tvarkytojai tvarko asmens duomenis;

11.7. ne rečiau kaip kartą per 2 metus peržiūri Taisyklėse nustatytus reikalavimus ir, jei reikia, inicijuoja Taisyklių pakeitimus;

11.8. vykdo kitas Reglamente, ADTAĮ ir kituose teisės aktuose nustatytas duomenų valdytojo funkcijas.

12. Duomenų tvarkytojai ir Administracija, kaip duomenų tvarkytojas, vykdo šias funkcijas

12.1. Duomenų tvarkytojo vadovas savo įsakymu paskiria darbuotojus – tiesioginius duomenų tvarkytojus bei nustato jų vykdytinas funkcijas, susijusias su asmens duomenų tvarkymu arba sudaro sutartis su duomenų tvarkytojais;

12.2. tvarko asmens duomenis pagal nustatytus tikslus ir vadovaujantis nustatytais asmens duomenų apsaugos principais;

12.3. asmens duomenis tvarko tiksliai, jei reikia, juos nuolat atnaujina, ištaiso ar papildo netikslius ar neišsamius asmens duomenis ir (ar) sustabdo tokių asmens duomenų tvarkymą, išskyrus saugojimą;

12.4. nustato (patikslina) ir patvirtinta sąrašą pareigų, kurias einantys asmenys yra įgalioti tvarkyti asmens duomenis, ir prie kiekvieno pareigų pavadinimo, nurodo duomenų valdytojo nustatytą asmens duomenų tvarkymo tikslą;

12.5. užtikrina, kad asmens duomenis tvarkytų tik tinkamai tam įgaliotieji asmenys (funkcija(-os) turi būtų nurodyta(-os) pareiginiuose nuostatuose (pareigybės aprašyme) arba asmuo įsakymu turi būti paskirtas atlikti nenuolatinio pobūdžio užduotį(-is), kuriai(-as) vykdyti reikia tvarkyti asmens duomenis);

12.6. kontroliuoja, kaip įgalioti asmenys tvarko asmens duomenis;

12.7. užtikrina, kad duomenų subjektai (ne Administracijos darbuotojai) pasirašytų sutikimą tvarkyti asmens duomenis, kuris saugomas vadovaujantis Duomenų tvarkytojo nustatytomis dokumentų tvarkymo taisyklėmis (Taisyklių 2 priedas);

12.8. užtikrina, kad Duomenų tvarkytojo darbuotojai, jų įdarbinimo metu, pasirašytinai susipažintų su informacija apie darbuotojų tvarkomus asmens duomenis (Taisyklių 3 priedas, kuris saugomas asmens byloje visą darbo laiką ir pasibaigus darbo santykiams);

12.9. užtikrina, kad įgaliotieji asmenys susipažintų su Taisyklėmis ir pasirašytų Pasižadėjimą saugoti duomenų paslaptį (Taisyklių 4 priedas), kuris saugomas asmens byloje visą darbo laiką ir pasibaigus darbo santykiams;

12.10. užtikrina duomenų subjekto teisių įgyvendinimą Reglamento, ADTAĮ ir kitų teisės aktų nustatyta tvarka;

12.11. nustačius asmens duomenų tvarkymo pažeidimą, imasi veiksmų teisės aktų nustatyta tvarka drausmės pažeidimui ištirti, taip pat apie asmens duomenų saugumo pažeidimą reikiamais atvejais informuoja įgaliotąją priežiūros instituciją – Valstybinę asmens duomenų apsaugos inspekciją ir duomenų subjektą, imasi priemonių pažeidimu padarytai žalai sumažinti ar gresiančiai žalai užkirsti kelią;

12.12. duomenų subjektams informavus apie pasikeitusius jų asmens duomenis, nedelsiant ištaisyti ar sunaikinti asmens duomenis ir informuoti duomenų subjektą apie jo prašymu atliktus arba neatliktus veiksmus;

12.13. asmens duomenis tvarkyti tik tokios apimties, kuri būtina jiems tvarkyti ir vykdomai funkcijai atlikti;

12.14. asmens duomenis tvarkyti taip, kad Duomenų subjektų tapatybę būtų galima nustatyti ne ilgiau, negu to reikia tiems tikslams, dėl kurių šie duomenys buvo tvarkomi, vėliau šie duomenys privalo būti sunaikinti, išskyrus tuos, kurie įstatymų nustatytais atvejais turi būti saugomi;

12.15. LR įstatymų nustatyta tvarka teikti duomenis valstybės institucijoms.

13. Administracija turi šias teises

13.1. rengti ir priimti vidinius teisės aktus, reglamentuojančius asmens duomenų tvarkymą;

13.2. spręsti dėl asmens duomenų teikimo;

13.3. įgalioti duomenų tvarkytojus tvarkyti asmens duomenis;

13.4. kitas teisės aktuose nustatytas teises.

14. Administracija turi šias pareigas

14.1. užtikrinti, kad asmens duomenys būtų tvarkomi pagal teisės aktuose, reglamentuojančiuose asmens duomenų tvarkymą, nustatytus asmens duomenų tvarkymo reikalavimus;

14.2. įdiegti vidinius procesus, užtikrinančius duomenų subjekto teisių įgyvendinimą;

14.3. užtikrinti asmens duomenų saugumą, įgyvendinant tinkamas organizacines ir technines asmens duomenų saugumo priemones;

14.4. parinkti tik tokį duomenų tvarkytoją, kuris garantuotų reikiamas technines ir organizacines asmens duomenų apsaugos priemones ir užtikrintų, kad tokių priemonių būtų laikomasi;

14.5. paskirti duomenų apsaugos pareigūną;

14.6. pildyti duomenų tvarkymo veiklos įrašus;

14.7. teisės aktų nustatytais atvejais atlikti poveikio duomenų apsaugai vertinimą;

14.8. valdyti asmens duomenų saugumo pažeidimus ir teisės aktuose nustatytais atvejais pranešti apie juos priežiūros institucijai ir duomenų subjektams;

14.9. tiek nustatant duomenų tvarkymo priemones, tiek duomenų tvarkymo metu nuo asmens duomenų surinkimo iki saugojimo termino pabaigos įgyvendinti tinkamas technines ir organizacines priemones, įskaitant pseudonimų suteikimą, kad būtų veiksmingai įgyvendinti duomenų apsaugos principai, nurodyti Šilalės rajono savivaldybės administracijos informacinės sistemos saugos dokumentuose;

14.10. kitas teisės aktuose nustatytas pareigas.

IV SKYRIUS

ASMENS DUOMENŲ TVARKYMAS

15. Administracijoje asmens duomenys tvarkomi vadovaujantis Reglamentu, ADTAĮ, kitais teisės aktais, reglamentuojančiais asmens duomenų tvarkymą ir privatumo apsaugą. Tuo atveju, jei asmens duomenų teisinio tvarkymo pagrindu nėra teisinė prievolė, sutartis ar viešosios valdžios funkcijų vykdymas, duomenų subjektui prieš pradedant tvarkyti jų asmens duomenis, pateikiama informacija ir gaunamas sutikimas (Taisyklių 5 priedas).

16. Asmens duomenys, atsižvelgiant į konkrečias situacijas, gali būti tvarkomi, vadovaujantis Reglamento 6 straipsnio 1 dalies a, b, c, d, e, f punktais.

17. Administracija tvarko tik tuos asmens duomenis, kurie būtini kiekvienam konkrečiam duomenų tvarkymo tikslui, nurodytam asmens duomenų tvarkymo veiklos įrašuose (Taisyklių 1 priedas).

18. Atsiradus naujam ar pasikeitus esamam asmens duomenų tvarkymo poreikiui ir / ar tvarkomų asmens duomenų apimčiai, vertinama asmens duomenų tvarkymo atitiktis nustatytiems asmens duomenų tvarkymo principams. Patvirtinus asmens duomenų tvarkymo pokytį, tikslinami asmens duomenų tvarkymo veiklos įrašai (Taisyklių 1 priedas).

19. Prieiga prie asmens duomenų gali būti suteikiama tik tiems Administracijos darbuotojams ir asmenims, kuriems asmens duomenys yra reikalingi jų pareigybių aprašymuose nustatytoms funkcijoms vykdyti.

20. Duomenų tvarkytojai duomenis tvarko pagal pasirašytą duomenų tvarkymo sutartį, kuri gali būti teikiamų paslaugų sutarties dalis. Duomenų tvarkytojai netenka teisės tvarkyti asmens duomenis, kai nutraukiama sutartis su Bendrove dėl duomenų tvarkymo.

21. Asmens duomenys Administracijoje tvarkomi automatiniu būdu ir (ar) neautomatiniu būdu susistemintose rinkmenose.

22. Asmens duomenys Administracijoje automatiniu būdu tvarkomi ir saugomi tarnybinėse stotyse, informacinėse sistemose, darbuotojų ir asmenų, kurie tvarko asmens duomenis, kompiuteriuose.

23. Asmens duomenys Administracijoje renkami tik įstatymų ir kitų teisės aktų nustatyta tvarka, juos gaunant tiesiogiai iš duomenų subjektų, oficialiai užklausiant reikalingą informaciją tvarkančių ir turinčių teisę ją teikti subjektų ar sutarčių ir teisės aktų pagrindu prisijungiant prie atskirus duomenis kaupiančių duomenų bazių, registrų ir informacinių sistemų.

24. Administracijos darbuotojai ir asmenys, tvarkantys asmens duomenis, prieš pradėdami tvarkyti asmens duomenis, pasirašo įsipareigojimus saugoti asmens duomenų paslaptį (Taisyklių 4 priedas). Šiuo įsipareigojimu yra saugomi visi asmens duomenys, nurodyti asmens duomenų tvarkymo veiklos įrašuose (Taisyklių 1 priedas), jeigu Lietuvos Respublikos įstatymai nenumato kitaip. Darbuotojui pareiga saugoti asmens duomenų paslaptį taip pat galioja darbuotoją paskyrus į kitas pareigas Administracijoje bei pasibaigus darbo santykiams. Kitam asmeniui pareiga saugoti asmens duomenų paslaptį galioja ir nutraukus juridinius santykius.

25. Administracijos darbuotojai ir asmenys automatiniu būdu tvarkyti asmens duomenis gali tik po to, kai jiems tokį įgaliojimą suteikia Administracijos direktorius ir teisės aktų nustatyta tvarka jiems suteikiama prieigos teisė prie bylos medžiagos, kurioje yra asmens duomenų, ar atitinkamos informacinės sistemos. Santykiams pasibaigus, darbuotojui ir asmeniui, tvarkančiam asmens duomenis, prieigos prie registrų ir kitų programų teisės panaikinamos teisės aktų nustatyta tvarka.

26. Tais atvejais, kai yra naudojami asmens duomenys viešai skelbiamame dokumente – asmens duomenys yra nuasmeninami. Pavyzdžiui, dokumente naudojant vardą ir pavardę, asmens vardas ir pavardė yra nerašomi, o į jų vietą parašoma „duomenys neskelbtini“, duomenų subjekto inicialai ar pan.

27. Administracija, kaip duomenų tvarkytoja, tvarko asmens duomenis valstybės registruose, informacinėse sistemose atitinkamo registro, informacinės sistemos nuostatų nustatyta tvarka.

28. Asmens duomenų tvarkymo sutikimai

28.1. Kai duomenys tvarkomi remiantis sutikimu, Administracija registruoja atskirame Sutikimų registre gautus sutikimus tam, kad galėtų įrodyti, kad duomenų subjektas davė sutikimą jo asmens duomenų tvarkymui.

28.2. Jeigu duomenų subjekto sutikimas duodamas rašytiniu pareiškimu, susijusiu ir su kitais klausimais, prašymas duoti sutikimą pateikiamas tokiu būdu, kad jis būtų aiškiai atskirtas nuo kitų klausimų, pateiktas suprantama ir lengvai prieinama forma, aiškia ir paprasta kalba.

28.3. Rašytiniai sutikimai registruojami rašytinių sutikimų registracijos žurnale.

28.4. Elektroniniu būdu pateikti sutikimai registruojami IT sistemoje.

28.5. Duomenų subjektas turi teisę bet kuriuo metu atšaukti savo sutikimą. Sutikimo atšaukimas nedaro poveikio sutikimu pagrįsto duomenų tvarkymo, atlikto iki sutikimo atšaukimo, teisėtumui. Duomenų subjektas apie tai informuojamas prieš jam duodant sutikimą. Atšaukti sutikimą turi būti taip pat lengva kaip jį duoti.

28.6. Duomenys, tvarkomi sutikimo pagrindu, turi būti sunaikinti pasibaigus sutikime nurodytam terminui arba duomenų subjektui pareiškus prašymą nutraukti jo duomenų tvarkymą, nebent duomenys saugomi teisės aktų pagrindu teisės aktų nustatytą terminą.

28.7. Darbuotojo ar jo šeimos nario sutikimai tvarkyti asmens duomenis, saugomi kartu su darbuotojo byla.

29. Garso ir vaizdo įrašymo priemonės Administracijoje yra naudojamos tik prieš tai informavus asmenis, kurių duomenys bus fiksuojami.

30. Administracijos renginiuose, kurių metu bus filmuojama ar fotografuojama, Administracijos darbuotojas pateikia informacinę medžiagą renginio dalyviams matomoje vietoje, o jeigu nėra galimybės, nurodytą informacinę medžiagą pateikia žodžiu.

V SKYRIUS

DUOMENŲ TEIKIMO TVARKA

31. Administracija teikia asmens duomenis duomenų gavėjams – tretiesiems asmenims ir duomenų tvarkytojams.

32. Asmens duomenys teikiami tretiesiems asmenims

32.1. valstybės ir savivaldos institucijoms ir įstaigoms, kurioms pagal kompetenciją priklauso nagrinėti sprendžiamą klausimą;

32.2. kontrolės ir priežiūros institucijoms;

32.3. teismams;

32.4. teisėsaugos institucijoms;

32.5. kitiems tretiesiems asmenims ir visuomenei, kuriems teikti asmens duomenis Administraciją įpareigoja įstatymai ar kiti teisės aktai arba kai asmens duomenis teikti būtina vykdant Administracijai pavestas funkcijas, įgyvendinant Administracijos, kaip darbdavio, pareigas, vadovaujantis Reglamentu ir kitais teisės aktais.

33. Asmens duomenys tretiesiems asmenims teikiami pagal asmens duomenų teikimo sutartį (daugkartinio teikimo atveju), pagal prašymą (vienkartinio teikimo atveju) arba teisės aktų nustatyta tvarka.

34. Jeigu asmens duomenys yra teikiami pagal sutartį, joje turi būti nurodytas asmens duomenų naudojimo tikslas, teikimo ir gavimo teisinis pagrindas, sąlygos, tvarka ir teikiamų asmens duomenų apimtis. Jeigu asmens duomenys teikiami pagal prašymą, jame turi būti nurodytas asmens duomenų naudojimo tikslas, teikimo ir gavimo teisinis pagrindas, prašomų pateikti asmens duomenų apimtis.

35. Asmens duomenys tretiesiems asmenims teikiami tik esant asmens duomenų teikimo teisiniam pagrindui, įvertinus asmens duomenų tvarkymo tikslą ir teikiamų asmens duomenų apimtį.

36. Administracija gali teikti asmens duomenis duomenų tvarkytojams, kurie teikia Administracijai informacinių sistemų kūrimo, tobulinimo ir palaikymo, duomenų centrų ir panašias paslaugas, mokymų ir renginių organizavimo, turto priežiūros ir aptarnavimo organizavimo, taip pat teikia kitas paslaugas ar atlieka kitus darbus ir tvarko asmens duomenis duomenų valdytojo vardu.

37. Duomenų tvarkytojai turi teisę tvarkyti asmens duomenis tik pagal Administracijos nurodymus ir tik tiek, kiek tai būtina siekiant tinkamai vykdyti teisės aktuose ar paslaugų teikimo sutartyje nustatytus įsipareigojimus, išskyrus atvejus, kai duomenų tvarkytojo atliekamas asmens duomenų tvarkymas yra reglamentuotas teisės aktuose. Nuostatos, susijusios su asmens duomenų tvarkymu ir apsauga, įtraukiamos į sudaromas su duomenų tvarkytojais sutartis. Administracija pasitelkia tik tuos duomenų tvarkytojus, kurie užtikrina, kad tinkamos techninės ir organizacinės priemonės bus įgyvendintos tokiu būdu, kad duomenų tvarkymas atitiktų Reglamento reikalavimus ir būtų užtikrinta duomenų subjekto teisių apsauga.

VI SKYRIUS

DUOMENŲ SAUGOJIMO IR SUNAIKINIMO TVARKA

38. Asmens duomenų saugojimo terminus ir veiksmus, kurie atliekami pasibaigus šiam terminui, nustato teisės aktai, reglamentuojantys asmens duomenų tvarkymą. Konkretūs asmens dokumentų (duomenų) saugojimo terminai yra nustatomi Administracijos direktoriaus patvirtintame dokumentacijos plane.

39. Administracijos tvarkomi asmens duomenys saugomi Administracijos serveriuose ir/ar serveriuose, esančiuose Europos Sąjungos teritorijoje.

40. Asmens duomenys Administracijoje saugomi tokia forma, kad duomenų subjektų tapatybę būtų galima nustatyti ne ilgiau, nei tai būtina tais tikslais, kuriais asmens duomenys yra tvarkomi.

41. Dokumentus, kuriuose yra asmens duomenų, saugo Administracijos padaliniai dokumentacijos plane patvirtintą terminą. Administracijos padaliniai, vadovaudamiesi Lietuvos Respublikos dokumentų ir archyvų įstatymu ir Bendrųjų dokumentų saugojimo terminų rodykle, patvirtinta Lietuvos vyriausiojo archyvaro 2011 m. kovo 9 d. įsakymu Nr. V-100 „Dėl Bendrųjų dokumentų saugojimo terminų rodyklės patvirtinimo“, perduoda dokumentus saugoti į Administracijos archyvą. Pasibaigus dokumentacijos plane nustatytam saugojimo terminui, dokumentai, kuriuose yra asmens duomenų, sunaikinami arba perduodami saugoti valstybės archyvui.

42. Informacinėse sistemose įrašyti asmens duomenys saugomi kartu su kitais duomenimis duomenų bazėje, o vėliau perduodami į duomenų bazės archyvą. Jų saugojimo terminus ir tvarką reglamentuoja Lietuvos Respublikos ir / ar Administracijos teisės aktai ir kiekvienais metais tvirtinami Administracijos dokumentacijos planai.

43. Kai asmens duomenys nebereikalingi jų tvarkymo tikslams, jie yra sunaikinami, išskyrus tuos asmens duomenis, kurie įstatymų nustatyta tvarka turi būti perduodami į valstybės archyvą ar kitais teisės aktų reglamentuojamais atvejais.

44. Dokumentai, kuriuose yra asmens duomenų, ar jų kopijos turi būti sunaikinti taip, kad jų nebūtų galima atkurti ir atpažinti turinio.

45. Už asmens duomenų sunaikinimą dokumentuose, nurodytuose informacinėse sistemose ir duomenų bazėse atsakingas Administracijos padalinys, atsakingas už IT priežiūrą, už asmens duomenų, saugomų ir tvarkomų Administracijos padaliniuose, atsakingi Taisyklių 1 priedo punktuose nurodyti atitinkami padaliniai arba specialistai.

VII SKYRIUS

REIKALAVIMAI ADMINISTRACIJOS DARBUOTOJAMS IR ASMENIMS, TVARKANTIEMS ASMENS DUOMENIS

46. Administracija užtikrina, kad asmens duomenis tvarkytų ar su jais susipažinti galėtų tik tie Administracijos darbuotojai ir asmenys, kuriems tokie duomenys yra reikalingi jų funkcijoms atlikti.

47. Administracijos darbuotojai ir asmenys, tvarkydami asmens duomenis informacinėse sistemose, su asmens duomenimis gali atlikti tik tuos veiksmus, kuriems atlikti yra suteiktos teisės.

48. Administracijos darbuotojai, tvarkantys asmens duomenis, privalo

48.1. laikytis su asmens duomenų tvarkymu susijusių principų ir saugumo reikalavimų, įtvirtintų Reglamente, Taisyklėse ir kituose teisės aktuose, reglamentuojančiuose asmens duomenų tvarkymą ir privatumo apsaugą;

48.2. laikytis konfidencialumo principo ir laikyti paslaptyje bet kokią su asmens duomenimis susijusią informaciją, su kuria jie susipažino atlikdami savo funkcijas, nebent tokia informacija yra vieša pagal galiojančių teisės aktų reikalavimus;

48.3. neatskleisti, neperduoti ar kitu būdu nesudaryti galimybės naudotis ir (ar) susipažinti su asmens duomenimis nė vienam asmeniui, kuriam nėra pavesta dirbti ir (ar) susipažinti su asmens duomenimis Administracijoje ar už jos ribų;

48.4. netvarkyti asmens duomenų, jeigu nėra tam įgalioti;

48.5. duomenų subjektų pateiktus dokumentus ir jų kopijas, finansavimo, buhalterinės apskaitos ir atskaitomybės, archyvines ar kitas bylas, kuriose yra asmens duomenų, saugoti rakinamose spintose, seifuose arba patalpose. Dokumentus, kuriuose yra asmens duomenų, laikyti taip, kad teisės susipažinti su asmens duomenimis neturintys asmenys negalėtų su jais susipažinti (švaraus stalo politika);

48.6. nedelsiant pranešti duomenų apsaugos pareigūnui apie bet kokią įtartiną situaciją, kuri gali kelti grėsmę Administracijos tvarkomų asmens duomenų saugumui.

49. Administracijos darbuotojas ar asmuo netenka teisės tvarkyti asmens duomenis, kai pasibaigia jo darbo santykiai su Administracija arba kai jam pavedama vykdyti su duomenų tvarkymu nesusijusias funkcijas.

VIII SKYRIUS

DUOMENŲ APSAUGOS PAREIGŪNAS

50. Administracija asmens duomenis tvarko kaip valdžios įstaiga, atsižvelgiant į tai Administracijoje yra paskiriamas duomenų apsaugos pareigūnas.

51. Administracija apie duomenų apsaugos pareigūno paskyrimą praneša Valstybinei duomenų apsaugos inspekcijai.

52. Administracija užtikrina duomenų apsaugos pareigūnui garantijas, įtvirtintas Reglamento 38 straipsnyje.

53. Duomenų apsaugos pareigūnas vykdo Reglamento 39 straipsnyje nurodytas užduotis.

54. Administracijos darbuotojai ir asmenys, tvarkantys asmens duomenis ar organizuojantys jų tvarkymą, siekdami užkirsti kelią atsitiktiniam ar neteisėtam asmens duomenų sunaikinimui, pakeitimui, atskleidimui, taip pat bet kokiam kitam neteisėtam duomenų tvarkymui, privalo konsultuotis su duomenų apsaugos pareigūnu ir gauti jo nuomonę šiais atvejais

54.1. keičiant esančius ar nustatant naujus asmens duomenų tvarkymo procesus;

54.2. tobulinant esamas ar diegiant naujas su asmens duomenų tvarkymu susijusias sistemas ar programas;

54.3. atliekant poveikio duomenų apsaugai vertinimą;

54.4. rengiant su asmens duomenų tvarkymu susijusius vidaus teisės aktus;

54.5. rengiant naujas ar keičiant esamas asmens duomenų teikimo, duomenų tvarkymo sutartis;

54.6. sprendžiant dėl asmens duomenų teikimo tretiesiems asmenims, jeigu toks teikimas nėra numatytas asmens duomenų teikimo sutartyje ar nėra reglamentuotas teisės aktuose;

54.7. kitais atvejais, jeigu klausimas susijęs su asmens duomenų apsauga Administracijoje.

55. Apie sprendimus Taisyklių 54.1–54.6 papunkčiuose nurodytais atvejais, duomenų apsaugos pareigūno nuomonė gaunama raštu. Jeigu priimant šiuos sprendimus į duomenų apsaugos pareigūno nuomonę visiškai ar iš dalies neatsižvelgiama, neatsižvelgimo motyvai išdėstomi raštu.

56. Administracijos darbuotojai ir asmenys, tvarkantys asmens duomenis, privalo bendradarbiauti su duomenų apsaugos pareigūnu ir teikti jam informaciją apie vykdomą asmens duomenų tvarkymą.

57. Duomenų apsaugos pareigūnas nevykdo jokių kitų pareigų ar funkcijų, kurios galėtų sukelti interesų konfliktą su jo atliekamomis pareigūno funkcijomis.

58. Duomenų apsaugos pareigūno kontaktiniai duomenys skelbiami Šilalės rajono savivaldybės interneto svetainėje.

IX SKYRIUS

TECHNINĖS IR ORGANIZACINĖS ASMENS DUOMENŲ APSAUGOS PRIEMONĖS

59. Užtikrinant asmens duomenų apsaugą, Administracija įgyvendina ir taiko technines ir organizacines priemones, nustatytas Šilalės rajono savivaldybės administracijos informacinės sistemos saugos dokumentuose.

60. Papildomi reikalavimai vaizdo stebėjimui nustatyti Vaizdo stebėjimo sistemos naudojimo apraše.

61. Administracijoje užtikrinamas duomenų tvarkymo istorijos fiksavimas, t. y. įgyvendintos priemonės, leidžiančios fiksuoti kas, kokiais tikslais ir kaip tvarkė asmens duomenis.

62. Darbuotojų dokumentai bei jų kopijos, finansavimo, buhalterinės apskaitos ir atskaitomybės, archyvinės ar kitos bylos, kuriose yra asmens duomenų, saugomos rakinamose spintose arba seifuose. Dokumentai, kuriuose yra asmens duomenų, neturi būti laikomi visiems prieinamoje matomoje vietoje.

X SKYRIUS

DUOMENŲ SUBJEKTŲ TEISĖS IR JŲ ĮGYVENDINIMO TVARKA

63. Įgyvendinant duomenų subjekto teises vadovaujamasi Reglamentu ir ADTAĮ. Duomenų subjektai turi šias teises

63.1. teisę žinoti (būti informuotam) apie savo asmens duomenų tvarkymą Administracijoje;

63.2. teisę susipažinti su Administracijoje tvarkomais savo asmens duomenimis ir gauti jų kopiją;

63.3. teisę reikalauti ištaisyti netikslius ar neteisingus asmens duomenis;

63.4. teisę reikalauti ištrinti asmens duomenis („teisė būti pamirštam“);

63.5. teisę apriboti asmens duomenų tvarkymą;

63.6. teisę nesutikti su asmens duomenų tvarkymu;

63.7. teisę perkelti asmens duomenis;

63.8. teisę pateikti skundą Valstybinei duomenų apsaugos inspekcijai;

63.9. teisę laisvai ir netrukdomai atšaukti duotą sutikimą.

64. Administracija, įgyvendindama duomenų subjekto teises, privalo

64.1. sudaryti sąlygas duomenų subjektui įgyvendinti šių Taisyklių 63.1–63.9 papunkčiuose nurodytas duomenų subjekto teises, išskyrus teisės aktų nustatytus atvejus, kai reikia užtikrinti valstybės saugumą ar gynybą, viešąją tvarką, nusikalstamų veikų prevenciją, tyrimą, nustatymą ar baudžiamąjį persekiojimą, svarbius valstybės ekonominius ar finansinius interesus, tarnybinės ar profesinės etikos pažeidimų prevenciją, tyrimą ir nustatymą, duomenų subjekto ar kitų asmenų teisių ir laisvių apsaugą;

64.2. Administracija privalo užtikrinti, kad visa reikalinga informacija duomenų subjektui būtų pateikiama aiškiai ir suprantamai, valstybine kalba;

64.3. duomenų subjektai dėl šių Taisyklių 63.1–63.9 papunkčiuose nurodytų teisių įgyvendinimo kreipiasi raštu į Administracijos direktorių ir pateikia prašymą (toliau – prašymas) bei patvirtina asmens tapatybę šių Taisyklių nustatyta tvarka;

64.4. duomenų subjektui atsakymas privalo būti pateiktas ne vėliau kaip per vieną mėnesį nuo prašymo gavimo Administracijoje dienos. Šis terminas gali būti pratęstas dar dviem mėnesiams, atsižvelgiant į prašymo sudėtingumą ir nagrinėjamų prašymų skaičių. Administracija privalo per vieną mėnesį nuo prašymo gavimo dienos informuoti duomenų subjektą apie prašymo nagrinėjimo termino pratęsimą, pateikti termino pratęsimo priežastis ir informuoti apie galimybę pateikti skundą Valstybinei duomenų apsaugos inspekcijai. Jeigu prašymo nagrinėjimo metu pareiškėjas prašymą patikslina (papildo) arba suformuluoja iš esmės naują prašymą, nagrinėjimo terminas skaičiuojamas nuo patikslinto (papildyto) prašymo gavimo dienos. Jeigu termino pabaiga skaičiuojama ne darbo diena, tuomet termino pabaiga laikoma kita darbo diena;

64.5. Administracija turi teisę atsisakyti pateikti duomenų subjektui jo prašomą informaciją, jeigu duomenų subjekto prašymas yra akivaizdžiai nepagrįstas arba neproporcingas visų pirma dėl jų pasikartojančio turinio. Jei duomenis teikti duomenų subjektui atsisakoma, ne vėliau kaip per 5 darbo dienas jam turi būti pateiktas motyvuotas ir pagrįstas atsakymas dėl jo prašymo nevykdymo.

65. Administracija privalo nedelsdama, bet ne vėliau kaip per 5 darbo dienas raštu informuoti duomenų gavėjus apie duomenų subjekto prašymu ištaisytus ar sunaikintus asmens duomenis, sustabdytus asmens duomenų tvarkymo veiksmus, išskyrus atvejus, kai pateikti tokią informaciją būtų neįmanoma arba pernelyg sunku (dėl didelio duomenų subjektų skaičiaus, duomenų laikotarpio ir masto, nepagrįstai didelių sąnaudų). Tokiu atveju turi būti nedelsiant, bet ne vėliau kaip per 3 darbo dienas raštu pranešama Valstybinei duomenų apsaugos inspekcijai.

66. Administracija duomenis duomenų subjektui teikia neatlygintinai, išskyrus už bet kurias kitas duomenų subjekto prašomas duomenų kopijas ir kitus teisės aktų nustatytas atvejus, atsižvelgiant į patiriamas prašymo įgyvendinimo administracines išlaidas.

67. Administracijos veiksmus ar neveikimą įgyvendinant duomenų subjekto teises duomenų subjektas turi teisę skųsti pats arba duomenų subjekto atstovas, taip pat jo įgaliota ne pelno įstaiga, organizacija ar asociacija, atitinkanti Reglamento 80 straipsnio reikalavimus, Valstybinei duomenų apsaugos inspekcijai, A. Juozapavičiaus g. 6, 09310 Vilnius, el. paštas ada@ada.lt, interneto svetainė www.ada.lt.

68. Dėl duomenų subjekto teisių pažeidimo patyrus materialinę ar nematerialinę žalą, duomenų subjektas turi teisę į kompensaciją, dėl kurios priteisimo turi teisę kreiptis į teismą teisės aktų nustatyta tvarka.

69. Duomenų subjektai šiame skyriuje numatytas teises įgyvendina savarankiškai arba per atstovus ir tik nustačius jų tapatybę.

70. Šiose Taisyklėse numatytoms teisėms įgyvendinti prašymai gali būti teikiami asmeniškai duomenų subjektui ar jo atstovui atvykus į Administraciją, siunčiami paštu adresu J. Basanavičiaus g. 2, 75138 Šilalė, arba per pasiuntinį, arba el. paštu info@silale.lt.

71. Visi raštu, įskaitant elektroninę formą, Administracijai pateikti prašymai turi būti įskaitomi, asmens pasirašyti, jame turi būti nurodyta duomenų subjekto vardas, pavardė, gyvenamoji vieta, duomenys ryšiui palaikyti ir informacija apie tai, kokią iš Taisyklėse nurodytų teisių ir kokia apimtimi duomenų subjektas pageidauja įgyvendinti.

72. Pateikdamas prašymą, duomenų subjektas privalo patvirtinti savo tapatybę

72.1. pateikdamas prašymą darbuotojui, registruojančiam prašymą, turi pateikti asmens tapatybę patvirtinantį dokumentą;

72.2. pateikdamas prašymą paštu ar per pasiuntinį, kartu turi pateikti asmens tapatybę patvirtinančio dokumento kopiją, patvirtintą notaro, ar šio dokumento kopiją, patvirtintą kita teisės aktų nustatyta tvarka;

72.3. pateikdamas prašymą elektroninių ryšių priemonėmis, turi pasirašyti jį elektroniniu parašu.

73. Duomenų subjektas savo teises Administracijoje gali įgyvendinti pats arba per atstovą. Jei atstovaujamo duomenų subjekto vardu į Administraciją kreipiasi asmens atstovas, jis savo prašyme turi nurodyti savo vardą, pavardę, gyvenamąją vietą, duomenis ryšiui palaikyti, taip pat atstovaujamo asmens vardą, pavardę, gyvenamąją vietą, informaciją, kurią iš Taisyklių 17.1–17.9 papunkčiuose nurodytų duomenų subjekto teisių ir kokia apimtimi pageidaujama įgyvendinti, ir pateikti atstovavimą patvirtinantį dokumentą. Kai atstovo prašymas teikiamas elektroninėmis priemonėmis, prašymas turi būti pasirašytas elektroniniu parašu. Teikdamas prašymą paštu ar per pasiuntinį, atstovas turi pridėti asmens tapatybę patvirtinančio dokumento kopiją, patvirtintą notaro, taip pat atstovavimą patvirtinančio dokumento kopiją, patvirtintą notaro.

74. Prašymai, kurie yra nepasirašyti ar neatitinkantys kitų šių Taisyklių reikalavimų, nenagrinėjami, o prašymą pateikęs asmuo ne vėliau kaip per 5 darbo dienas informuojamas apie atsisakymą nagrinėti pateiktą prašymą ir jam pasiūloma patikslinti pateiktą prašymą. Atsisakydama imtis veiksmų pagal prašymą ir pasiūlydama patikslinti pateiktą prašymą, Administracija taip pat privalo raštu nurodyti atsisakymo motyvus bei informuoti duomenų subjektą apie duomenų subjekto turimą teisę pateikti skundą Valstybinei duomenų apsaugos inspekcijai.

75. Jeigu prašymo nagrinėjimo metu nustatoma, jog duomenų subjekto teisės yra apribotos BDAR 23 straipsnio 1 dalyje numatytais pagrindais, duomenų subjektas apie tai turi būti informuojamas. Prašymus įgyvendinti duomenų subjekto teises įgyvendina Administracijos padalinys, atsakingas už asmens duomenų, su kuriais yra susijęs gautas prašymas, tvarkymą. Jeigu asmens duomenis, su kuriais yra susijęs prašymas, tvarko keli Administracijos padaliniai, prašymą nagrinėja tas padalinys, kuris asmens duomenų tvarko daugiausia, arba atsižvelgiant į prašymuose nurodytas aplinkybes ir prašomų pateikti duomenų kategorijas. Prašymus nagrinėti gali ir Administracijos padaliniai kartu, jeigu tokiu būdu Administracijai yra paprasčiau įgyvendinti duomenų subjekto teises.

76. Visi veiksmai pagal duomenų subjekto prašymus įgyvendinti duomenų subjekto teises atliekami ir informacija teikiama nemokamai, išskyrus kai duomenų subjekto teisių įgyvendinimas, remiantis Reglamento 12 straipsnio 5 dalimi, yra akivaizdžiai nepagrįstas arba neproporcingas visų pirma dėl jų pasikartojančio turinio ar dėl kitų svarbių priežasčių.

77. Teisė žinoti (būti informuotam) apie savo asmens duomenų tvarkymą Administracijoje įgyvendinama šiais būdais

77.1. darbuotojų informavimas apie jų asmens duomenų tvarkymą pasirašant Informavimo apie darbuotojo asmens duomenų tvarkymo formą (Taisyklių 3 priedas);

77.2. vykdant vaizdo stebėjimą, duomenų subjektai prieš patenkant į patalpas ar teritoriją, kurioje vykdomas vaizdo stebėjimas, informuojami apie vykdomą vaizdo stebėjimą informacinėse lentelėse, nurodant, kad yra vykdomas vaizdo stebėjimas, duomenų valdytojo juridinio asmens pavadinimą, kontaktinius duomenis, vaizdo stebėjimo tikslą ir informaciją, kur galima rasti platesnę informaciją apie vykdomą vaizdo stebėjimą;

77.3. pateikiant informaciją Administracijoje esančiuose informaciniuose stenduose, interneto svetainėje, spaudoje, elektroniniu paštu, informaciniuose pranešimuose, asmeniškai ir pan.;

77.4. bendravimo su duomenų subjektu metu tokiu būdu, kokiu duomenų subjektas kreipiasi į Administraciją;

77.5. kitais būdais, atsižvelgus į vykdomų duomenų tvarkymo veiksmų pobūdį ir operacijos specifiką.

78. Kai duomenys renkami iš duomenų subjektų, įgyvendinant duomenų subjektų teisę būti informuotiems apie duomenų tvarkymą, duomenų subjektui turi būti pateikiama visa BDAR 13 straipsnyje nurodyta informacija, išskyrus atvejus, kai duomenų subjektas šią informaciją jau turi.

79. Kai asmens duomenys yra gauti ne iš duomenų subjekto, duomenų subjektui turi būti pateikiama visa Reglamento 14 straipsnyje nurodyta informacija laikantis šių Taisyklių 83.1–83.2 papunkčiuose nustatytų terminų.

80. Tuo atveju, jeigu duomenys renkami ne iš duomenų subjekto, informacija apie tokių duomenų tvarkymą ir nuorodos į teisės aktus, reglamentuojančius tokių duomenų tvarkymą, gali būti pateikiamos Šilalės rajono savivaldybės interneto svetainėje.

81. Administracija turi teisę atsisakyti įgyvendinti duomenų subjekto teisę būti informuotam apie duomenų tvarkymą, jeigu

81.1. duomenų subjektas buvo supažindintas su šia informacija anksčiau arba ją turi iš kitų asmenų, tačiau tiek ir tik tiek, kiek šios informacijos duomenų subjektas jau turi;

81.2. duomenų subjekto informavimas yra neįmanomas arba tam reikėtų neproporcingų pastangų;

81.3. asmens duomenų gavimas ar atskleidimas aiškiai nustatytas Europos Sąjungos teisės aktuose arba Lietuvos Respublikos teisės aktuose, kuriuose nustatytos tinkamos teisėtų duomenų subjektų interesų apsaugos priemonės;

81.4. asmens duomenys privalo išlikti konfidencialūs, laikantis Europos Sąjungos teisės aktuose arba Lietuvos Respublikos teisės aktuose reglamentuojamos profesinės paslapties prievolės.

82. Kai asmens duomenys renkami iš duomenų subjekto, pavyzdžiui, kai gaunamas prašymas, skundas ir pan., Reglamento 13 straipsnyje nurodyta informacija apie duomenų subjektų asmens duomenų tvarkymą pateikiama asmens duomenų gavimo metu.

83. Kai duomenų subjekto duomenys renkami ne tiesiogiai iš duomenų subjekto, apie šio duomenų subjekto asmens duomenų tvarkymą informuojama

83.1. per pagrįstą laikotarpį nuo asmens duomenų gavimo, bet ne vėliau kaip per vieną mėnesį, atsižvelgiant į konkrečias asmens duomenų tvarkymo aplinkybes;

83.2. jeigu asmens duomenys bus naudojami ryšiams su duomenų subjektu palaikyti, – ne vėliau kaip pirmą kartą susisiekiant su tuo duomenų subjektu, arba jeigu numatoma asmens duomenis atskleisti kitam duomenų gavėjui, – ne vėliau kaip atskleidžiant duomenis pirmą kartą.

84. Taisyklių nustatyta tvarka duomenų subjektas arba jo atstovas, pateikęs prašymą ir patvirtinęs savo asmens tapatybę šių Taisyklių nustatyta tvarka, turi teisę neatlygintinai

84.1. gauti patvirtinimą, ar Administracija tvarko duomenų subjekto duomenis, ar netvarko;

84.2. susipažinti su Administracijoje tvarkomais jo asmens duomenimis ir (ar) asmens duomenų kategorijomis;

84.3. gauti informaciją, iš kokių šaltinių ir kokie jo asmens duomenys surinkti;

84.4. sužinoti, kokiu tikslu tvarkomi jo asmens duomenys;

84.5. numatomą asmens duomenų saugojimo laikotarpį arba kriterijus, pagal kuriuos nustatomas asmens duomenų saugojimo laikotarpis;

84.6. tai yra įmanoma, kokiems duomenų gavėjams ar jų kategorijoms teikiami ir buvo teikti jo asmens duomenys;

84.7. sužinoti, kokiu pagrindu surinkti jo asmens duomenys iš įvairių registrų, institucijų ir kitų asmenų.

85. Duomenų subjektui paprašius, Administracija pateikia ir tvarkomų konkrečių asmens duomenų kopiją. Konkretūs dokumentai, kuriuose yra prašymą pateikusio asmens duomenys, duomenų subjektams gali būti teikiami, jeigu Administracijai taip yra patogiau įgyvendinti duomenų subjekto prašymą. Duomenų subjektas turi teisę prašyti, kad jam būtų pateikta tvarkomų asmens duomenų kopija ir kita forma, nei Administracija pateikia, tačiau už tai gali būti imamas mokestis, apskaičiuotas pagal administracines išlaidas.

86. Kai atvykus į Administraciją pateikiamas prašymas susipažinti su savo vaizdo įrašo duomenimis ir Administracijos darbuotojas patikrina duomenų subjekto asmens tapatybę, duomenų subjektas turi teisę

86.1. peržiūrėti vaizdo įrašą Administracijos patalpose;

86.2. kai įmanoma, gauti vaizdo įrašo kopiją kompaktiniame diske arba duomenų subjekto pateiktoje laikmenoje.

87. Pateikiamas prašymas susipažinti su vaizdo įrašo duomenimis turi būti įskaitomas, asmens pasirašytas, prašyme turi būti nurodyta asmens vardas, pavardė, duomenys ryšiui palaikyti, apytikslis vaizdo įrašymo laikotarpis, ir informacija, kurią iš Taisyklių 86 punkte nurodytų teisių jis pageidauja įgyvendinti.

88. Jeigu Administracija tvarko didelį informacijos, susijusios su duomenų subjektu, kiekį ir nėra galimybės visos informacijos duomenų subjektui pateikti, Administracija turi teisę paprašyti duomenų subjekto sukonkretinti pateiktą prašymą pateikiant daugiau informacijos apie prašomus pateikti asmens duomenis. Jeigu asmens duomenų surasti ar pateikti duomenų subjektui iš karto nepavyksta ar negalima saugant trečiųjų šalių teises, ar prieš pateikiant duomenis šiuos duomenis būtina techniškai apdoroti (iškirpti ir pan.), prašymo įgyvendinimas gali būti pratęsiamas, bet ne ilgiau nei vieną mėnesį nuo prašymo pateikimo dienos. Jeigu per nustatytą terminą prašymo įgyvendinti nepavyksta, prašymo įgyvendinimo terminas gali būti pratęstas dar dviem mėnesiams duomenų subjektui nurodant vėlavimo priežastis ir galimybę pateikti skundą Valstybinei duomenų apsaugos inspekcijai.

89. Kai tam tikra informacija apie duomenų subjektą yra susijusi ir su kitais asmenimis, duomenų subjektui informacijos turi būti pateikiama tiek, kad nebūtų pažeistos kitų asmenų teisės.

90. Informaciją apie duomenų subjekto tvarkomus asmens duomenis Administracija pateikia tik duomenų subjektui užpildžius prašymą leisti susipažinti su asmens duomenimis.

91. Atsakymas duomenų subjektui turi būti pateikiamas raštu.

92. Duomenų subjektas nustatęs, kad Administracijos tvarkomi asmens duomenys yra neteisingi, netikslūs ar neišsamūs, turi teisę kreiptis į Administraciją ir, pateikęs prašymą, reikalauti, kad bet kokie tvarkomi neteisingi, netikslūs asmens duomenys būtų ištaisyti, o neišsamūs papildyti. Administracija nedelsdama, bet ne vėliau kaip per 5 darbo dienas patikrina asmens duomenis ir ištaiso neteisingus, netikslius ar papildo neišsamius Administracijos tvarkomus asmens duomenis ir (ar) sustabdo tokių asmens duomenų tvarkymo veiksmus, išskyrus saugojimą, kol bus ištaisyti neteisingi, netikslūs ir papildyti neišsamūs asmens duomenys ar asmens duomenys bus sunaikinti. Siekiant įsitikinti, kad tvarkomi duomenų subjekto asmens duomenys yra netikslūs ar neišsamūs, Administracija gali duomenų subjekto paprašyti pateikti tai patvirtinančius dokumentus.

93. Administracija nedelsdama, bet ne vėliau kaip per 3 darbo dienas praneša duomenų subjektui apie jo prašymu atliktą ar neatliktą asmens duomenų ištaisymą, sunaikinimą ar asmens duomenų tvarkymo veiksmų sustabdymą. Administracija taip pat nedelsdama informuoja duomenų gavėjus apie duomenų subjekto prašymu ištaisytus ar sunaikintus asmens duomenis, sustabdytus asmens duomenų tvarkymo veiksmus, išskyrus atvejus, kai pateikti tokią informaciją būtų neįmanoma arba pernelyg sunku (dėl didelio duomenų subjektų skaičiaus, duomenų laikotarpio, nepagrįstai didelių sąnaudų). Tokiu atveju Administracija nedelsdama, bet ne vėliau kaip per 3 darbo dienas praneša Valstybinei duomenų apsaugos inspekcijai. Bet kokiu atveju duomenų subjektas turi teisę prašyti, kad jam būtų pateikta informacija apie tokius duomenų gavėjus.

94. Kai duomenų subjekto asmens duomenys tvarkomi siekiant įgyvendinti Administracijai pavestą užduotį, vykdomą viešojo intereso labui arba vykdant Administracijai pavestas viešosios valdžios funkcijas arba teisėtus Administracijos ar trečiųjų šalių interesus (pavyzdžiui, teikiant duomenis trečiosioms šalims, skelbiant duomenis viešai ir pan.), Administracija duomenų subjektui, darbuotojui privalo sudaryti galimybę dėl su juo konkrečiu atveju susijusių priežasčių bet kuriuo metu nesutikti su duomenų tvarkymu ir pateikti nesutikimo priežastis. Teisė nesutikti įgyvendinama laikantis šios procedūros

94.1. siekdama įgyvendinti duomenų subjekto teisę nesutikti, kad būtų tvarkomi jo asmens duomenys, Administracija, prieš pradėdama tvarkyti jo asmens duomenis, privalo kreiptis į duomenų subjektą raštu (Priedas Nr. 5) ir nustatyti terminą, per kurį duomenų subjektas gali įgyvendinti savo teisę nesutikti, kad būtų tvarkomi jo asmens duomenys. Apie duomenų subjekto teisę nesutikti su asmens duomenų tvarkymu Administracija gali informuoti ir kitais būdais, pavyzdžiui, pateikdama informaciją žodžiu, interneto svetainėje, skelbimų lentoje ir pan.;

94.2. duomenų subjektas, nesutikdamas, kad būtų tvarkomi jo asmens duomenys, turi pateikti rašytinį pranešimą apie nesutikimą dėl asmens duomenų tvarkymo, išskyrus, kai asmuo apie teisę nesutikti su duomenų tvarkymu informuojamas žodžiu ar kitomis priemonėmis. Pranešimas apie nesutikimą su asmens duomenų tvarkymu Administracijai gali būti pateikiamas tiesiogiai, telefonu, registruotu paštu ar elektroninių ryšių priemonėmis;

94.3. duomenys nepradedami tvarkyti tol, kol nesueina nustatytas terminas išreikšti nesutikimą. Jeigu yra gaunamas duomenų subjekto nesutikimas ir jis yra teisiškai pagrįstas, t. y. duomenų subjekto nurodytos priežastys yra viršesnės už Administracijos ar trečiųjų šalių interesą duomenis tvarkyti, Administracija nedelsdama nutraukia asmens duomenų tvarkymo veiksmus, išskyrus teisės aktų nustatytus atvejus, ir informuoja duomenų gavėjus, kai tai įmanoma. Jeigu prašymas yra nepagrįstas, Administracija raštu duomenų subjektui nurodo priežastis, kodėl duomenų subjekto asmens duomenys turi būti ir toliau tvarkomi dėl pagrįstų ir teisėtų priežasčių, kurios yra viršesnės už duomenų subjekto interesus, teises ir laisves, arba jeigu asmens duomenys yra reikalingi pareikšti, vykdyti ar apginti teisinius reikalavimus. Atsakyme taip pat nurodoma teisė duomenų subjektui pateikti skundą Valstybinei duomenų apsaugos inspekcijai;

94.4. jeigu duomenų subjektas iki Administracijos nustatyto termino nepateikia rašytinio ar kitokios formos pranešimo apie nesutikimą dėl asmens duomenų tvarkymo, iš kurio yra aiški duomenų subjekto valia, laikoma, kad duomenų subjektas neišreiškė nesutikimo, kad būtų tvarkomi jo asmens duomenys, todėl asmens duomenys gali būti tvarkomi;

94.5. darbuotojas, išsiuntęs pranešimą apie duomenų subjekto teisę nesutikti su duomenų tvarkymu ar kitaip informavęs duomenų subjektą, privalo saugoti tai patvirtinančius dokumentus;

94.6. kai šiame skirsnyje nurodytą teisę nesutikti, kad būtų tvarkomi duomenų subjekto asmens duomenys, įgyvendina nepilnamečiai iki 18 metų asmenys arba neveiksnūs asmenys, pranešimas siunčiamas jų teisėtiems atstovams.

95. Duomenų subjektai prašymą, turi teisę reikalauti ištrinti („teisė būti pamirštam“) savo asmens duomenis, išskyrus saugojimą, kai duomenys tvarkomi nesilaikant teisės aktų reikalavimų. Ši teisė nėra absoliuti ir galioja tik esant vienam iš šių pagrindų

95.1. asmens duomenys nebėra reikalingi, kad būtų pasiekti tikslai, dėl kurių šie duomenys buvo surinkti ar kitaip tvarkomi;

95.2. duomenų subjektas atšaukia sutikimą, pagal kurį buvo grindžiamas duomenų tvarkymas ir nėra jokio kito teisinio pagrindo tvarkyti duomenis;

95.3. asmens duomenys buvo tvarkomi neteisėtai;

95.4. asmens duomenys turi būti ištrinti laikantis Europos Sąjungos arba nacionalinėje teisėje nustatytos teisinės prievolės.

96. Duomenų subjekto prašyme turi būti išsamiai argumentuota, dėl kokių priežasčių yra prašoma ištrinti jo asmens duomenis (prašyme turi būti nurodytas vienas iš Taisyklių 95 punkte nurodytų pagrindų).

97. Teisė reikalauti ištrinti asmens duomenis („teisė būti pamirštam“) Administracijoje neįgyvendinama, kai asmens duomenų tvarkymas yra grindžiamas

97.1. Europos Sąjungos ir Lietuvos Respublikos teisės aktuose nustatytų reikalavimų vykdymu;

97.2. archyvavimo tikslais viešojo intereso labui;

97.3. siekiant pareikšti, vykdyti arba apginti teisinius interesus.

98. Administracija, gavusi duomenų subjekto prašymą, privalo nedelsdama, bet ne vėliau kaip per 10 darbo dienų nuo prašymo gavimo dienos, atlikti prašymo įvertinimą, siekdama nustatyti, ar duomenų subjekto pateiktas prašymas yra pagrįstas.

99. Jeigu yra nustatoma, kad duomenų subjekto pateiktas prašymas yra pagrįstas, Administracija privalo

99.1. nedelsdama, bet ne vėliau kaip per vieną mėnesį nuo prašymo gavimo dienos ištrinti visus turimus su duomenų subjektu susijusius asmens duomenis;

99.2. jeigu nėra galimybių nedelsiant ištrinti duomenų subjekto asmens duomenų, sustabdyti duomenų subjekto asmens duomenų tvarkymo veiksmus;

99.3. ne vėliau kaip per 5 darbo dienas nuo asmens duomenų ištrynimo informuoti duomenų subjektą apie ištrintus asmens duomenis;

99.4. informuoti duomenų gavėjus apie duomenų subjekto prašymu ištrintus asmens duomenis, jeigu duomenų subjekto asmens duomenys buvo teikiami duomenų gavėjams. Informuoti duomenų gavėjų nereikia, kai pateikti tokią informaciją neįmanoma arba pernelyg sunku (dėl didelio duomenų subjektų skaičiaus, asmens duomenų saugojimo laikotarpio, nepagrįstai didelių sąnaudų). Duomenų subjektas turi teisę prašyti, kad jam būtų pateikta informacija apie tokius duomenų gavėjus.

100. Duomenų subjektas ar jo atstovas turi teisę kreiptis į Administraciją su prašymu gauti su juo susijusius asmens duomenis bei turi teisę prašyti persiųsti Administracijoje tvarkomus duomenų subjekto asmens duomenis kitam duomenų valdytojui, kai

100.1. duomenų tvarkymas atliekamas duomenų subjekto sutikimu arba duomenų tvarkymas vykdomas remiantis sutartimi tarp Administracijos ir duomenų subjekto;

100.2. asmens duomenys yra tvarkomi automatizuotomis priemonėmis;

100.3. duomenų subjektas asmens duomenis, kuriuos ketina persiųsti kitam duomenų valdytojui, pateikė Administracijai pats arba per atstovą;

100.4. duomenų subjekto pateikti asmens duomenys yra susisteminti bei pateikti įprastai naudojamu ir kompiuteriu skaitomu formatu. Duomenų subjektas teisės perkelti duomenis neturi tų asmens duomenų atžvilgiu, kurie tvarkomi neautomatiniu būdu susistemintose rinkmenose, pavyzdžiui, popierinėse bylose.

101. Tam, kad būtų įgyvendintas duomenų subjekto prašymas, turi būti įgyvendintos visos Taisyklių 100 punkte nurodytos sąlygos.

102. Administracija, gavusi duomenų subjekto prašymą įgyvendinti duomenų subjekto teisę perkelti asmens duomenis, privalo nedelsdama, bet ne vėliau kaip per 10 darbo dienų nuo prašymo gavimo dienos atlikti prašymo įvertinimą, siekdama nustatyti, ar duomenų subjekto pateiktas prašymas yra pagrįstas.

103. Jeigu prašymas yra pagrįstas, informacija gali būti pateikiama

103.1. duomenų subjektui;

103.2. kitam duomenų valdytojui, jeigu

103.2.1. duomenų subjektas prašyme nurodo, kad Administracija asmens duomenis turėtų persiųsti kitam duomenų valdytojui;

103.2.2. yra techninės galimybės pateikti asmens duomenis tiesiogiai kitam duomenų valdytojui.

104. Jeigu duomenų subjekto prašymas dėl asmens duomenų perkėlimo įgyvendinamas duomenų subjekto asmens duomenis perkeliant kitam duomenų valdytojui, Administracija nevertina, ar duomenų valdytojas, kuriam bus perkelti duomenų subjekto asmens duomenys, turi teisinį pagrindą gauti duomenų subjekto asmens duomenis ir ar šis duomenų valdytojas užtikrins tinkamas asmens duomenų saugumo priemones. Administracija neprisiima atsakomybės už perkeltų asmens duomenų tolesnį tvarkymą, kurį atliks kitas duomenų valdytojas.

105. Administracija užtikrina, kad duomenų subjektams įgyvendinant savo teisę perkelti asmens duomenis būtų perkeliami tik tie duomenys, kurie tvarkomi sutarties arba sutikimo pagrindu ir yra tvarkomi automatizuotomis priemonėmis. Tokiu atveju asmens duomenys duomenų subjektui būtų pateikiami susistemintu, įprastai naudojamu ir kompiuterio skaitomu formatu.

106. Duomenų subjekto teisė į duomenų perkeliamumą nebus taikoma tais atvejais, kai asmens duomenų tvarkymas yra būtinas Administracijai siekiant laikytis jai nustatytos teisinės prievolės arba siekiant atlikti užduotį, vykdomą dėl viešojo intereso, arba vykdant Administracijai pavestas viešosios valdžios funkcijas.

107. Pagal duomenų subjekto prašymą perkelti jo asmens duomenys nėra automatiškai ištrinami. Jeigu duomenų subjektas to pageidauja, turi kreiptis į Administraciją dėl teisės reikalauti ištrinti duomenis („teisės būti pamirštam“) įgyvendinimo šių Taisyklių nustatyta tvarka ir pateikti atskirą prašymą.

108. Duomenų subjektas turi teisę kreiptis į Administraciją su prašymu apriboti savo asmens duomenų tvarkymą, jeigu yra vienas iš šių pagrindų

108.1. kai duomenų subjektas užginčija Administracijos tvarkomų jo asmens duomenų tikslumą. Tokiu atveju duomenų subjekto asmens duomenų tvarkymas gali būti apribotas tokiam laikotarpiui, per kurį duomenų valdytojas patikrina asmens duomenų tikslumą;

108.2. kai yra nustatyta, kad duomenų subjekto asmens duomenų tvarkymas buvo neteisėtas, tačiau duomenų subjektas nesutinka, kad asmens duomenys būtų ištrinti ir vietoj to prašo apriboti jų tvarkymą;

108.3. jeigu yra pasiektas asmens duomenų tvarkymo tikslas ir Administracijai, kaip duomenų valdytojui, nebereikia šiam tikslui pasiekti surinktų duomenų subjekto asmens duomenų, tačiau jų reikia duomenų subjektui, siekiančiam pareikšti, vykdyti ar apginti teisinius reikalavimus;

108.4. kai duomenų subjektas pateikė prašymą Administracijai, kuriame išreiškė nesutikimą, kad Administracija tvarkytų jo asmens duomenis. Tokiu atveju duomenų subjekto asmens duomenų tvarkymas gali būti apribotas tokiam laikotarpiui, per kurį duomenų valdytojas patikrina, ar šis duomenų subjekto prašymas yra pagrįstas;

108.5. kai duomenų subjektas pateikia prašymą ištrinti jo Administracijoje tvarkomus asmens duomenis ir nustatoma, kad prašymas yra pagrįstas, tačiau nėra techninių galimybių duomenų subjekto asmens duomenis ištrinti nedelsiant. Tokiu atveju duomenų subjekto asmens duomenų tvarkymas gali būti apribotas iki tol, kol duomenų subjekto asmens duomenys bus ištrinti.

109. Administracija, gavusi duomenų subjekto prašymą, privalo nedelsdama, bet ne vėliau kaip per 10 darbo dienų nuo prašymo gavimo dienos atlikti prašymo įvertinimą, siekdama nustatyti, ar duomenų subjekto pateiktas prašymas yra pagrįstas.

110. Jeigu yra nustatoma, kad duomenų subjekto pateiktas prašymas yra pagrįstas, Administracija privalo

110.1. apriboti duomenų subjekto asmens duomenų tvarkymą;

110.2. nedelsdama, bet ne vėliau kaip per 5 darbo dienas nuo sprendimo dėl asmens duomenų tvarkymo apribojimo priėmimo, informuoti duomenų subjektą apie jo asmens duomenų tvarkymo apribojimą. Jeigu yra galimybė, nurodyti preliminarų laikotarpį, kurio metu bus apribotas duomenų subjekto asmens duomenų tvarkymas;

110.3. ne vėliau kaip per 5 darbo dienas nuo sprendimo dėl asmens duomenų tvarkymo apribojimo priėmimo informuoti duomenų gavėjus apie priimtą sprendimą, jeigu duomenų subjekto asmens duomenys buvo teikiami duomenų gavėjams. Informuoti duomenų gavėjų nereikia, kai pateikti tokią informaciją neįmanoma arba pernelyg sunku (dėl didelio duomenų subjektų skaičiaus, asmens duomenų saugojimo laikotarpio, nepagrįstai didelių sąnaudų). Duomenų subjektas turi teisę prašyti, kad jam būtų pateikta informacija apie tokius duomenų gavėjus;

110.4. kai yra priimamas sprendimas panaikinti apribojimą tvarkyti duomenų subjekto asmens duomenis, Administracija, prieš panaikindama apribojimą, privalo raštu informuoti duomenų subjektą.

110.5. Duomenų subjektas prašyme, turi teisę reikalauti, kad jo atžvilgiu Administracijoje nebūtų taikomas tik automatizuotu duomenų tvarkymu grindžiamas sprendimas ir toks sprendimas būtų peržiūrėtas. Prašyme turi būti nurodyta, su kokių automatizuotų sprendimų priėmimu asmuo nesutinka.

111. Duomenų subjektui kreipiantis dėl automatizuotu duomenų tvarkymu grindžiamo sprendimo peržiūros, Administracijos darbuotojas, turintis atitinkamus įgaliojimus ir gebėjimus pakeisti sprendimą, turi atlikti išsamų visų svarbių duomenų, įskaitant ir duomenų subjekto pateiktos informacijos, vertinimą.

XI SKYRIUS

DUOMENŲ TVARKYMO VEIKLOS ĮRAŠAI

112. Administracijoje pildomi duomenų tvarkymo veiklos įrašai Administracijai tvarkant asmens duomenis kaip duomenų valdytojai.

113. Administracijos asmens duomenų tvarkymo veiklos įrašuose nurodoma

113.1. duomenų valdytojo duomenys, duomenų apsaugos pareigūno vardas, pavardė ir kontaktiniai duomenys;

113.2. duomenų tvarkymo tikslai;

113.3. duomenų tvarkymo pagrindas;

113.4. duomenų subjektų kategorijų ir asmens duomenų kategorijų aprašymas;

113.5. duomenų gavėjų, kuriems atskleidžiami asmens duomenys, kategorijos;

113.6. kai taikoma, asmens duomenų perdavimai į trečiąją valstybę, įskaitant tos trečiosios valstybės pavadinimą, ir privalomi tinkamų apsaugos priemonių dokumentai;

113.7. duomenų ištrynimo terminai;

113.8. kai įmanoma, bendras techninių ir organizacinių saugumo priemonių aprašymas.

114. Duomenų tvarkymo veiklos įrašuose gali būti ir kitų nuostatų, pildomų pagal poreikį. Duomenų tvarkymo veiklos įrašų informacija yra suvedama į duomenų tvarkymo veiklos įrašų žurnalą ir saugomi elektronine forma pas duomenų apsaugos pareigūną.

115. Priežiūros institucijai pateikus pagrįstą reikalavimą susipažinti su duomenų tvarkymo veiklos įrašų žurnalu, Administracija pateikia atitinkamą žurnalą per prašyme nustatytą terminą.

116. Duomenų tvarkymo veiklos įrašai yra tikrinami ir atnaujinami pagal poreikį, kad atitiktų realią asmens duomenų tvarkymo situaciją Administracijoje.

XII SKYRIUS

KONSULTACIJA SU PRIEŽIŪROS INSTITUCIJA

117. Administracija, prieš pradėdama tvarkyti asmens duomenis, konsultuojasi su Valstybine duomenų apsaugos inspekcija, kai atlikus poveikio duomenų apsaugai vertinimą yra nustatoma, kad tvarkant asmens duomenis kiltų didelis pavojus fizinių asmenų teisėms ir laisvėms duomenų valdytojui nesiėmus priemonių pavojui sumažinti.

118. Kreipdamasi į Valstybinė duomenų apsaugos inspekciją Administracija pateikia

118.1. prašymą dėl išankstinės konsultacijos (toliau – Prašymas), kuriame pateikia

118.1.1. Administracijos, bendrų duomenų valdytojų, kai viena iš šalių yra Administracija, atsakomybės sritis;

118.1.2. duomenų tvarkymo tikslus ir priemones;

118.1.3. duomenų subjektų teisėms ir laisvėms apsaugoti taikomų techninių ir organizacinių priemonių sąrašą;

118.1.4. duomenų apsaugos pareigūno kontaktus;

118.2. atlikto poveikio duomenų apsaugai vertinimo ataskaitą.

119. Teikiamą Prašymą pasirašo Administracijos direktorius ar jo įgaliotas asmuo. Prie Prašymo pridedami atstovavimą patvirtinantys dokumentai ar jų patvirtintos kopijos, kai Prašymą teikia Administracijos direktoriaus įgaliotas atstovas.

XIII SKYRIUS

POVEIKIO DUOMENŲ APSAUGAI VERTINIMO TVARKA

120. Administracija, prieš pradedama vykdyti naują (-as) duomenų tvarkymo operaciją (-as) arba pasikeitus vykdomos operacijos pobūdžiui, mastui ir pan., privalo atlikti poveikio duomenų apsaugai vertinimą, jei duomenų tvarkymas

120.1. keltų didelį pavojų duomenų subjektų teisėms ir laisvėms (pavyzdžiui, atvejai, kai duomenys būtų perduodami už Europos Sąjungos ribų ar būtų pradėti tvarkyti duomenys, kurie gauti juos sujungus su duomenimis iš kitų šaltinių, būtų pradėti naudoti nauji technologiniai sprendimai, pavyzdžiui, veido atpažinimo sistemos ir kt.);

120.2. automatizuotai būtų tvarkomi asmeniniai aspektai, vykdomas profiliavimas ir priimami teisiniai ar kiti didelio poveikio (pavyzdžiui, kai duomenų tvarkymas gali lemti asmenų atskirtį arba diskriminaciją) sprendimai;

120.3. būtų pradėtas vykdyti sistemingas vaizdo stebėjimas dideliu mastu;

120.4. būtų pradėti tvarkyti ypatingi asmens duomenys dideliu mastu.

121. Jei Administracija, atlikdama poveikio duomenų apsaugai vertinimą, nustatytų, kad duomenų subjektų teisėms ir laisvėms gali kilti didelis pavojus, ji privalo konsultuotis su Valstybine duomenų apsaugos inspekcija dėl tinkamų saugumo ir kitų priemonių įgyvendinimo.

122. Atliekant poveikio duomenų apsaugai vertinimą, Administracija privalo nustatyti

122.1. kokia (-ios) bus atliekama (-os) duomenų tvarkymo operacija (-os);

122.2. kiek konkreti duomenų tvarkymo operacija yra reikalinga ir proporcinga;

122.3. koks gali būti poveikis duomenų subjektams;

122.4. kokios yra galimos potencialių pavojų šalinimo, saugumo užtikrinimo priemonės.

123. Administracija privalo užtikrinti, kad šiame skyriuje aprašytas ir Administracijos numatytais atvejais atliekamas poveikio duomenų apsaugai vertinimas būtų tinkamai dokumentuotas ir saugomas. Poveikio duomenų apsaugai vertinimo procedūra nustatyta šių Taisyklių 6 priede.

124. Poveikio duomenų apsaugai vertinimas gali būti atliekamas ir esamoms duomenų tvarkymo operacijoms (t. y. vykdomoms iki Reglamento įsigaliojimo), jei tose operacijose atsirastų reikšmingų pokyčių, pavyzdžiui, būtų pradėtos naudoti naujos technologijos, duomenys būtų pradėti tvarkyti kitu tikslu nei iki tol, atsirastų naujos rizikos, susijusios su įvykdytomis kibernetinėmis atakomis, įsilaužimais į Administracijos sistemą, duomenys būtų pradėti teikti naujiems duomenų gavėjams, tvarkytojams už Europos Sąjungos ribų, kt.

125. Poveikio duomenų apsaugai vertinimas taip pat gali būti atliekamas ir šiame skyriuje neaptartais atvejais, bet esant Administracijos direktoriaus, pareigūno ar Valstybinės duomenų apsaugos inspekcijos rekomendacijai tai atlikti.

126. Administracija, esant poreikiui, atlikdama poveikio duomenų apsaugai vertinimą konsultuojasi su Administracijos duomenų tvarkytoju.

XIV SKYRIUS

DUOMENŲ SAUGUMO PAŽEIDIMŲ VALDYMAS

127. Už asmens duomenų saugumo pažeidimų valdymą Administracijoje atsakingas duomenų apsaugos pareigūnas. Duomenų apsaugos pareigūnas gali pasitelkti papildomus Administracijos žmogiškuosius resursus, reikalingus asmens duomenų pažeidimų valdymui.

128. Administracijos darbuotojai ir asmenys, tvarkantys asmens duomenis, sužinoję, kad nebuvo užtikrintas asmens duomenų saugumas

128.1. nedelsiant, bet ne vėliau kaip per 2 darbo valandas nuo asmens duomenų saugumo pažeidimo paaiškėjimo momento, elektroniniu paštu, telefonu arba žodžiu informuoja savo tiesioginį vadovą ir Administracijos duomenų apsaugos pareigūną;

128.2. imasi priemonių pašalinti asmens duomenų saugumo pažeidimą ir priemonių galimoms neigiamoms jo pasekmėms sumažinti.

129. Duomenų tvarkytojai, sužinoję apie asmens duomenų saugumo pažeidimą, nedelsdami, bet ne vėliau kaip per 1 darbo dieną nuo sužinojimo, apie tai raštu praneša Administracijai, pateikdami informaciją, numatytą Reglamento 33 straipsnio 3 dalyje. Duomenų tvarkytojai pateikia Administracijai visą kitą jos prašomą informaciją, susijusią su pažeidimu ir jo tyrimu, per Administracijos nurodytą terminą. Duomenų tvarkytojų pareigos, susijusios su pranešimu apie duomenų saugumo pažeidimą Administracijai bei su bendradarbiavimu tiriant pažeidimą, įtvirtinamos su duomenų tvarkytoju sudaromoje sutartyje.

130. Duomenų apsaugos pareigūnas gavęs Administracijos darbuotojo pranešimą ar duomenų tvarkytojo pranešimą galimą asmens duomenų saugumo pažeidimą

130.1. nedelsdamas pradeda nagrinėti pranešime nurodytas aplinkybes;

130.2. įvertina, ar buvo padarytas asmens duomenų saugumo pažeidimas;

130.3. jei asmens duomenų saugumo pažeidimas padarytas, nustato pažeidimo pobūdį, tipą (asmens duomenų konfidencialumo, vientisumo ir (arba) prieinamumo pažeidimas) aplinkybes, apytikslį duomenų subjektų, kurių asmens duomenų saugumas pažeistas, skaičių, asmens duomenų, kurių saugumas pažeistas, kategorijas (asmens tapatybę patvirtinantys asmens duomenys, specialių kategorijų asmens duomenys, duomenys apie apkaltinamuosius nuosprendžius ir nusikalstamas veikas, prisijungimo duomenys ir (arba) asmens identifikaciniai numeriai ir kt.) ir apimtį, tikėtinos asmens duomenų saugumo pažeidimo pasekmes, pavojų fizinių asmenų teisėms ir laisvėms bei kitą svarbią su asmens duomenų saugumo pažeidimu susijusią informaciją;

130.4. nustato, kokių skubių ir tinkamų priemonių būtina imtis, kad būtų pašalintas asmens duomenų saugumo pažeidimas (pvz., naudoti atsargines kopijas, siekiant atkurti prarastus ar sugadintus duomenis);

130.5. nustato, ar būtina nedelsiant pranešti duomenų subjektui apie asmens duomenų saugumo pažeidimą;

130.6. nustato, ar būtina pranešti Valstybinei duomenų apsaugos inspekcijai apie asmens duomenų saugumo pažeidimą.

131. Vertinant asmens duomenų saugumo pažeidimą, laikoma, kad asmens duomenų saugumo pažeidimas, galintis kelti pavojų asmenų teisėms ir laisvėms, yra toks, dėl kurio, laiku nesiėmus tinkamų priemonių, fizinis asmuo gali patirti kūno sužalojimą, materialinę ar nematerialinę žalą, pvz., prarasti savo asmens duomenų kontrolę, patirti teisių apribojimą, diskriminaciją, gali būti pavogta ar suklastota jo asmens tapatybė, jam padaryta finansinių nuostolių, neleistinai panaikinti pseudonimai, gali būti pakenkta jo reputacijai, prarastas asmens duomenų, kurie saugomi profesine paslaptimi, konfidencialumas arba padaryta kita ekonominė ar socialinė žala.

132. Duomenų apsaugos pareigūnas, atlikęs asmens duomenų saugumo pažeidimo tyrimą, užpildo šios Taisyklių 8 priede pranešimo apie asmens duomenų saugumo pažeidimą formą (toliau – Išvada).

133. Išvadą dėl duomenų saugumo pažeidimo buvimo ir pavojaus fizinių asmenų teisėms ir laisvėms įvertinimo kartu su siūlymu dėl duomenų saugumo priemonių įgyvendinimo duomenų apsaugos pareigūnas pateikia Administracijos direktoriui ar jo įgaliotam asmeniui, o šis priima sprendimą dėl tolesnių veiksmų, susijusių su duomenų saugumo pažeidimu.

134. Nustačius, kad duomenų saugumo pažeidimas buvo ir kad yra pavojus fizinių asmenų teisėms ir laisvėms, duomenų apsaugos pareigūnas nedelsdamas, bet ne vėliau kaip per 72 val. nuo sužinojimo apie duomenų saugumo pažeidimą, Administracijos direktoriaus ar jo įgalioto asmens pavedimu apie duomenų saugumo pažeidimą praneša Valstybinei duomenų apsaugos inspekcijai.

135. Jeigu, atsižvelgiant į duomenų saugumo pažeidimo pobūdį, yra būtina atlikti išsamesnį tyrimą ir nustatyti visus svarbius faktus, susijusius su duomenų saugumo pažeidimu, ir todėl per 72 val. nuo sužinojimo apie duomenų saugumo pažeidimą neįmanoma pranešti Valstybinei duomenų apsaugos inspekcijai, duomenų apsaugos pareigūnas informaciją apie duomenų saugumo pažeidimą teikia Valstybinei duomenų apsaugos inspekcijai etapais ir nurodo, kodėl visos informacijos neįmanoma pateikti iš karto.

136. Nustatęs, kad duomenų saugumo pažeidimas buvo ir dėl jo gali kilti didelis pavojus fizinių asmenų teisėms ir laisvėms, duomenų apsaugos pareigūnas Administracijos direktoriaus ar jo įgalioto asmens pavedimu nedelsdamas, bet ne vėliau kaip per 72 val. nuo sužinojimo apie duomenų saugumo pažeidimą, apie duomenų saugumo pažeidimą praneša duomenų subjektui.

137. Duomenų subjektui nurodoma informacija

137.1. duomenų valdytojo pavadinimas, juridinio asmens kodas, buveinės adresas;

137.2. duomenų apsaugos pareigūno vardas, pavardė ir kontaktiniai duomenys;

137.3. pažeidimo pobūdžio ir tikėtinų pažeidimo pasekmių aprašymas;

137.4. priemonių, kurių ėmėsi arba pasiūlė imtis Administracija, kad būtų pašalintas pažeidimas įskaitant priemones galimoms neigiamoms pasekmėms sumažinti, aprašymą;

137.5. kitą reikšmingą informaciją, susijusią su pažeidimu, kuri, Administracijos manymu, turėtų būti pateikta duomenų subjektui.

138. Atvejai, kada pranešimas duomenų subjektui apie pažeidimą neteikiamas

138.1. Administracija įgyvendino tinkamas technines ir organizacines apsaugos priemones ir tos priemonės taikytos duomenims, kuriems asmens duomenų saugumo pažeidimas turėjo poveikio;

138.2. Administracija ėmėsi priemonių, kuriomis užtikrinama, kad nekiltų didelis pavojus duomenų subjektų teisėms ir laisvėms;

138.3. pranešimas pareikalautų neproporcingai didelių pastangų. Tokiu atveju apie pažeidimą viešai paskelbiama Šilalės rajono savivaldybės interneto svetainėje arba taikoma panaši priemonė, kuria duomenų subjektai būtų informuojami taip pat efektyviai.

139. Pažeidimai, nepriklausomai nuo to, ar apie juos buvo pranešta Valstybinei duomenų apsaugos inspekcijai, ar ne, registruojami Asmens duomenų saugumo pažeidimų registravimo žurnale (toliau – Žurnalas), kuris pateiktas Taisyklių 9 priede.

140. Informacija apie duomenų saugumo pažeidimą į Žurnalą įrašoma nedelsiant, ne vėliau kaip per 5 darbo dienas, kai tik nustatomas duomenų saugumo pažeidimo faktas ir įvertinamas pavojus. Prireikus, atsižvelgiant į duomenų saugumo pažeidimo tyrimo metu nustatytas papildomas aplinkybes, Žurnale esanti informacija papildoma ir (ar) patikslinama.

141. Už Žurnalo pildymą atsakingas duomenų apsaugos pareigūnas.

142. Kai padarytas asmens duomenų saugumo pažeidimas yra susijęs su kibernetiniu incidentu, informacija apie kibernetinį incidentą, susijusį su asmens duomenų saugumo pažeidimu, pateikiama Lietuvos Respublikos kibernetinio saugumo įstatyme nurodytoms valstybės institucijoms šio įstatymo nustatyta tvarka ir atvejais.

XV SKYRIUS

BAIGIAMOSIOS NUOSTATOS

143. Taisyklės skelbiamos Šilalės rajono savivaldybės interneto svetainėje.

144. Administracijos darbuotojai ir asmenys, tvarkantys asmens duomenis, su Taisyklėmis supažindinami per dokumentų valdymo sistemą „Kontora“.

145. Už Taisyklių laikymosi priežiūrą ir kontrolę atsakingi Administracijos padalinių vadovai.

146. Administracijos darbuotojai ir asmenys, kurie yra įgalioti tvarkyti asmens duomenis arba eidami savo pareigas juos sužino, privalo laikytis Taisyklių, pagrindinių asmens duomenų tvarkymo reikalavimų bei konfidencialumo ir saugumo reikalavimų, įtvirtintų teisės aktuose ir Taisyklėse. Administracijos darbuotojams ir asmenims, pažeidusiems Taisyklių, Reglamento, kitų teisės aktų, reglamentuojančių asmens duomenų tvarkymą ir apsaugą, reikalavimus, gali būti taikoma tarnybinė, drausminė ar kita įstatymų numatyta atsakomybė.

147. Taisyklės peržiūrimos ir, esant reikalui, atnaujinamos įvykus esminiams organizaciniams, sisteminiams ar kitiems asmens duomenų tvarkymo ir (ar) veiklos pokyčiams arba pasikeitus teisės aktų reikalavimams, bet ne rečiau kaip kartą per metus.

148. Administracijos veiksmai ar neveikimas, kuriais pažeidžiami teisės aktai, reglamentuojantys asmens duomenų tvarkymą ir apsaugą, gali būti skundžiami Valstybinei duomenų apsaugos inspekcijai arba teismui Administracinių bylų teisenos įstatymo nustatyta tvarka.

______________________

Asmens duomenų tvarkymo Šilalės rajono

savivaldybės administracijoje taisyklių

1 priedas

(Taisyklių priedas neviešinamas)

ASMENS DUOMENŲ TVARKYMO VEIKLOS ĮRAŠAI

Duomenų apsaugos pareigūnas – ____________________________________

(vardas, pavardė, kontaktiniai duomenys)

Eil. Nr.

Asmens duomenų tvarkymo tikslas

Asmens duomenų tvarkymo teisinis pagrindas

Duomenų subjektų kategorijos

Asmens duomenų kategorijos

Duomenų gavėjų kategorijos*

Asmens duomenų saugojimo, ištrynimo terminai

Techninių ir organizacinių saugumo priemonių aprašymas

Duomenų šaltiniai

Darbuotojai (struktūriniai padaliniai), atsakingi už asmens duomenų tvarkymą

Duomenų įvedimo, keitimo data (datos)

1.

2.

3.

4.

5.

6.

7.

8.

9.

10.

*Kai taikoma, asmens duomenų perdavimai į trečiąją valstybę arba tarptautinei organizacijai, įskaitant tos trečiosios valstybės arba tarptautinės organizacijos pavadinimą, ir Reglamento (ES) 2016/679 49 straipsnio 1 dalies antroje pastraipoje nurodytais duomenų perdavimų atvejais tinkamų apsaugos priemonių dokumentai.

_____________

Asmens duomenų tvarkymo Šilalės rajono

savivaldybės administracijoje taisyklių

2 priedas

SUTIKIMAS APIE ASMENS DUOMENŲ TVARKYMĄ

Pasirašydamas / -a šią formą patvirtinu, kad esu informuotas / -a, jog duomenų valdytojas Šilalės rajono savivaldybės administracija (toliau – Administracija) (juridinio asmens kodas 188773720, adresas J. Basanavičiaus g. 2, LT-75138, Šilalė) mano asmens duomenis tvarko šiais tikslais ir pagrindais: norėdama įvykdyti mano ar mano atstovaujamo asmens pateiktą prašymą, suteikti administracinę paslaugą ar vykdydama sutartį (arba siekdama imtis veiksmų mano prašymu prieš sudarant sutartį), kurios šalis aš esu ir / arba kurią aš atstovauju, ir / arba dėl to, kad vykdo teisinę prievolę, kurią jai nustato teisės aktai. Suprantu, kad, jeigu nepateiksiu savo asmens duomenų, Administracija negalės įvykdyti mano prašymo, suteikti administracinės paslaugos ar įvykdyti teisės aktuose numatytų pareigų ar sutarties.

Esu informuotas / -a, jog turiu šias duomenų subjekto teises: teisę susipažinti su savo duomenimis ir kaip jie yra tvarkomi; teisę reikalauti ištaisyti arba, atsižvelgiant į asmens duomenų tvarkymo tikslus papildyti asmens neišsamius asmens duomenis; teisę prašyti savo duomenis sunaikinti arba sustabdyti savo duomenų tvarkymo veiksmus (išskyrus saugojimą); teisę prašyti, kad asmens duomenų tvarkymas būtų apribotas; teisę į duomenų perkėlimą; teisę pateikti skundą Valstybinei duomenų apsaugos inspekcijai; teisę atšaukti sutikimą. Suprantu, kad mano teisės gali būti įgyvendintos tik nustačius mano tapatybę, taip pat kiekvienu konkrečiu atveju įvertinus mano prašymo pagrįstumą. Daugiau apie savo asmens duomenų tvarkymą galiu perskaityti Administracijos interneto svetainėje paskelbtose Šilalės rajono savivaldybės administracijos asmens duomenų tvarkymo taisyklėse

Jeigu teikdamas prašymą ar dėl kitokių priežasčių Administracijai pateikčiau ne tik savo, bet ir kito duomenų subjekto asmens duomenis, įsipareigoju šiam asmeniui pateikti visą šiame pranešime nurodytą informaciją apie asmens duomenų tvarkymą.

Administracijos duomenų apsaugos pareigūno, į kurį galiu kreiptis dėl savo duomenų subjekto teisių įgyvendinimo bei kitų klausimų administratorius@silale.lt, tel. (8 449) 76114, korespondencijos adresas J.Basanavičiaus g. 2, 75138 Šilalė – laišką adresuoti Administracijos duomenų apsaugos pareigūnui.

Esu informuotas / -a, kad Administracija gali teikti mano asmens duomenis informacinių sistemų ir registrų valdytojams arba iš jų duomenis gauti, taip pat teikti ir gauti mano asmens duomenis kitoms valstybės ar savivaldos institucijoms ar įstaigoms, IT, serverio, pašto ir kitokiems paslaugų teikėjams tiek, kiek tai būtina mano prašymui įvykdyti, Administracijai pavestoms viešojo administravimo funkcijoms atlikti ar su manimi sudarytai sutarčiai vykdyti.

Asmens duomenų saugojimo laikotarpis. Šis sutikimas ir jame nurodyti mano asmens duomenys yra saugomi trejus metus nuo sutikimo atšaukimo arba jo galiojimo termino pabaigos arba nuo Administracijos sprendimo nebetvarkyti asmens duomenų sutikime nustatytais tikslais priėmimo dienos. Asmens duomenys surinkti šio sutikimo pagrindu saugomi _________________.

--------------------------------------------------------------------–––––––––––––––––––––––––––––

(vardas, pavardė, parašas, data)

Asmens duomenų tvarkymo Šilalės rajono

savivaldybės administracijoje taisyklių

3 priedas

(Administracijos darbuotojų informavimo apie asmens duomenų tvarkymą forma)

INFORMAVIMAS APIE DARBUOTOJO ASMENS DUOMENŲ TVARKYMĄ

____________

(data)

Šilalė

Aš, , sutinku ir esu informuotas (-a),

(vardas, pavardė)

kad mano asmens duomenys yra tvarkomi duomenų valdytojo – Šilalės rajono savivaldybės administracijos (toliau – Administracija), juridinio asmens kodas 188773720, buveinės adresas J. Basanavičiaus g. 2, LT-75138 Šilalė.

1. Administracijoje tvarkomi mano asmens duomenys – vardas, pavardė, asmens kodas, parašas, asmens socialinio draudimo numeris, pilietybė, adresas, telefono ryšio numeris, elektroninio pašto adresas, gyvenimo ir veiklos aprašymas, šeiminė padėtis, pareigos, duomenys apie priėmimą (perkėlimą) į pareigas, atleidimą iš pareigų, duomenys apie išsilavinimą ir kvalifikaciją, duomenys apie mokymą, duomenys apie atostogas, duomenys apie darbo užmokestį, išeitines išmokas, kompensacijas, pašalpas, informacija apie dirbtą darbo laiką, informacija apie skatinimus ir nuobaudas, informacija apie atliktus darbus ir užduotis, duomenys apie valstybės tarnautojo tarnybinės veiklos vertinimą, viešų ir privačių interesų deklaravimo duomenys, Lietuvos Respublikos piliečio paso arba asmens tapatybės kortelės numeris, išdavimo data, galiojimo data, dokumentą išdavusi įstaiga, specialių kategorijų asmens duomenys, susiję su sveikata, teistumu, dalyvavimu uždraustos organizacijos veikloje, dokumentų registracijos data ir numeris, elektroninių ryšių srauto duomenys, naudojamos IT įrangos identifikaciniai numeriai, veiklos įrašai, prisijungimo duomenys, vaizdo kamerų užfiksuoti duomenys bei kiti asmens duomenys, kuriuos pateikia pats asmuo ir (arba) kuriuos tvarkyti įpareigoja įstatymai ir kiti teisės aktai.

2. Asmens duomenų tvarkymo tikslai

2.1. darbo sutarčių sudarymo, vykdymo ir apskaitos;

2.2. Administracijos kaip darbdavio pareigų, nustatytų teisės aktuose, tinkamam vykdymui;

2.3. tinkamai komunikacijai su darbuotojais ne darbo metu palaikyti;

2.4. tinkamoms darbo sąlygoms užtikrinti;

2.5. IT infrastruktūros veikimui užtikrinti;

3. Asmens duomenų tvarkymo teisinis pagrindas - Lietuvos Respublikos darbo kodeksas, Lietuvos Respublikos valstybės tarnybos įstatymas ir juos įgyvendinantys poįstatyminiai teisės aktai.

4. Nurodyti mano duomenys gauti iš Valstybės tarnautojų registro (taikoma Administracijos valstybės tarnautojams), Sodros.

5. Mano asmens duomenys gali būti perduoti

5.1. duomenų tvarkytojams, kurie atlieka tam tikrus darbus ir teikia paslaugas (informacinių technologijų bendrovės, kurios duomenis tvarko, kad užtikrintų informacinių sistemų kūrimą, tobulinimą ir palaikymą; bendrovės, kurios užtikrina pranešimų klientams siuntimą, teikia apsaugos ir kitas paslaugas, įskaitant teisės, finansų, mokesčių, verslo valdymo, personalo administravimo, buhalterinės apskaitos paslaugas);

5.2. teismui, teisėsaugos įstaigoms ar valstybės institucijoms tiek, kiek tokį teikimą nustato teisės aktų reikalavimai (pvz.: antstoliams, teismams ir kt.);

5.3. kitiems fiziniams / juridiniams asmenims mano sutikimu, jei toks sutikimas gaunamas dėl konkretaus atvejo;

5.4. kita: Valstybės tarnybos departamentas, Sodra, teismas, Darbo ginčų komisija, Nacionalinis kibernetinio saugumo centras prie KAM.

6. Turiu šias teises: teisę prašyti, kad man būtų leista susipažinti su mano asmens duomenimis ir juos ištaisyti arba ištrinti, teisę apriboti duomenų tvarkymą, teisę nesutikti, kad asmens duomenys būtų tvarkomi, taip pat teisę į asmens duomenų perkeliamumą. Šias teises galiu įgyvendinti teisės aktų nustatyta tvarka.

7. Turiu teisę bet kada atšaukti sutikimą tvarkyti mano duomenis. Sutikimo atšaukimas nedaro poveikio sutikimu pagrįsto asmens duomenų tvarkymo, atlikto iki sutikimo atšaukimo, teisėtumui.

8. Mano asmens duomenys bus saugomi 50 m. laikotarpį (išskyrus asmens duomenis renkamus Administracijos renginių viešinimo tikslu). Šis terminas gali būti pratęstas, jei asmens duomenys yra naudojami arba gali būti naudojami kaip įrodymai ar informacijos šaltinis ikiteisminiame ar kitokiame tyrime, įskaitant ir Valstybinės duomenų apsaugos inspekcijos vykdomame tyrime, civilinėje, administracinėje ar baudžiamojoje byloje ar kitais įstatymų nustatytais atvejais. Tokiu atveju asmens duomenys gali būti saugomi tiek, kiek reikalinga šiems duomenų tvarkymo tikslams, ir sunaikinami nedelsiant, kai tampa nebereikalingi.

9. Šie duomenys nebus naudojami automatizuotų sprendimų priėmimui mano atžvilgiu, įskaitant profiliavimą.

10. Aš turiu teisę skųsti Administracijos veiksmus (neveikimą) Valstybinei duomenų apsaugos inspekcijai ir teismui teisės aktų nustatyta tvarka, taip pat skųsti teismui Valstybinės duomenų apsaugos inspekcijos veiksmus (neveikimą).

(pareigos) (parašas) (vardas, pavardė)

Asmens duomenų tvarkymo Šilalės rajono

savivaldybės administracijoje taisyklių

4 priedas

ŠILALĖS RAJONO SAVIVALDYBĖS ADMINISTRACIJA

Įsipareigojimas saugoti asmens duomenų paslaptį

Aš,

,

(vardas, pavardė)

suprantu, kad

-savo darbe tvarkysiu asmens duomenis, kurie negali būti atskleisti ar perduoti neįgaliotiems asmenims ar institucijoms;

- draudžiama perduoti neįgaliotiems asmenims slaptažodžius ir kitus duomenis, leidžiančius programinėmis ir techninėmis priemonėmis ar kitaip sudaryti sąlygas susipažinti su Bendrovės tvarkomais asmens duomenimis;

- netinkamas asmens duomenų tvarkymas gali užtraukti atsakomybę pagal ES teisės aktus ir Lietuvos Respublikos įstatymus;

įsipareigoju

- saugoti asmens duomenų paslaptį;

- tvarkyti asmens duomenis, vadovaudamasis Lietuvos Respublikos įstatymais ir kitais teisės aktais, pareigybės aprašymu ir Bendrovės vidiniais teisės aktais, reglamentuojančiais funkcijas, kurias vykdant man bus patikėtas asmens duomenų tvarkymas, apibrėžtais ir teisėtais tikslais;

- neatskleisti, neperduoti ir nesudaryti sąlygų jokiomis priemonėmis susipažinti su tvarkoma informacija nė vienam asmeniui, kuris nėra įgaliotas naudotis šia informacija, tiek įstaigos viduje, tiek už jos ribų;

- pranešti savo tiesioginiam vadovui ir (ar) už duomenų saugą atsakingiems asmenims apie bet kokią įtartiną situaciją, kuri gali kelti grėsmę asmens duomenų saugumui;

- siekdamas užkirsti kelią atsitiktiniam ar neteisėtam asmens duomenų sunaikinimui, pakeitimui, atskleidimui, taip pat bet kokiam kitam neteisėtam tvarkymui, saugoti duomenų rinkmenas tinkamai ir saugiai;

žinau, kad

- savo darbe tvarkysiu asmens duomenis Bendrovės valdomo ir darbuotojų turto apsaugos tikslu;

- už šio įsipareigojimo nesilaikymą ir ADTAĮ bei ES teisės aktų pažeidimą turėsiu atsakyti pagal galiojančius Lietuvos Respublikos įstatymus;

- asmuo, patyręs žalą dėl neteisėto asmens duomenų tvarkymo arba kitų duomenų valdytojo ar duomenų tvarkytojo, taip pat kitų asmenų veiksmų ar neveikimo, pažeidžiančių Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymo nuostatas, turi teisę reikalauti atlyginti jam padarytą turtinę ir neturtinę žalą pagal ADTAĮ ir kitus įstatymus;

- asmens duomenų tvarkymas pažeidžiant ADTAĮ ir duomenų subjekto teisių, nustatytų ADTAĮ bei ES teisės aktuose, pažeidimas užtraukia administracinę atsakomybę, taip pat atsakomybę už darbo drausmės pažeidimus;

- šis įsipareigojimas galios visą mano darbo laiką Bendrovėje, perėjus dirbti į kitas pareigas arba pasibaigus darbo santykiams.

(parašas, vardas, pavardė, data)

___________

Asmens duomenų tvarkymo Šilalės rajono

savivaldybės administracijoje taisyklių

5 priedas

INFORMACIJA APIE ASMENS DUOMENŲ TVARKYMĄ

Vadovaudamiesi 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamento (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas) 13/14[1] straipsniu, teikiame Jums informaciją, susijusią su Jūsų duomenų tvarkymu

1. Duomenų valdytojas – Šilalės rajono savivaldybės administracija, J.Basanavičiaus g. 2, 75138 Šilalė, el. pašto adresas administratorius@silale.lt;

2. Duomenų apsaugos pareigūno kontaktai – el. pašto adresas administratorius@silale.lt, korespondencijos adresas J.Basanavičiaus g. 2, 75138 Šilalė – laišką adresuokite Administracijos duomenų apsaugos pareigūnui.

3. Duomenų tvarkymo tikslai. Toliau nurodyti Jūsų asmens duomenys yra tvarkomi šiais tikslais[2]

3.1. ________________________

3.2. ________________________

3.3. ________________________

3.4. ________________________

4. Tvarkomi duomenys. Informuojame Jus, kad tvarkome šiuos Jūsų asmens duomenis[3]

4.1. ________________________

4.2. ________________________

4.3. ________________________

4.4. ________________________

5. Duomenų tvarkymo teisinis pagrindas. Jūsų asmens duomenų tvarkymo teisinis pagrindas[4] – _______________________________________________________________________

__________________________________________________________________________________ [5].

6. Duomenų šaltinis. Pirmiau nurodyti Jūsų duomenys gauti iš[6] ________________________

__________________________________________________________________________________

7. Asmens duomenų gavėjai. Jūsų asmens duomenys gali būti perduoti[7]

7.1. duomenų tvarkytojams, kurie atlieka tam tikrus darbus ir teikia paslaugas (informacinių technologijų bendrovės, kurios duomenis tvarko, kad užtikrintų informacinių sistemų kūrimą, tobulinimą ir palaikymą; bendrovės, kurios užtikrina pranešimų klientams siuntimą, teikia apsaugos ir kitas paslaugas, įskaitant teisės, finansų, mokesčių, verslo valdymo, personalo administravimo, buhalterinės apskaitos paslaugas);

7.2. teismui, teisėsaugos įstaigoms ar valstybės institucijoms tiek, kiek tokį teikimą nustato teisės aktų reikalavimai (pvz., antstoliams, teismams ir kt.);

7.3. kitiems fiziniams / juridiniams asmenims Jūsų sutikimu, jei toks sutikimas gaunamas dėl konkretaus atvejo;

7.4. ____________________________________.

8. Duomenų subjektų teisės. Informuojame Jus, kad turite šias teises: teisę prašyti, kad Jums būtų leista susipažinti su Jūsų asmens duomenimis ir juos ištaisyti arba ištrinti, teisę apriboti duomenų tvarkymą, teisę nesutikti, kad asmens duomenys būtų tvarkomi, taip pat teisę į asmens duomenų perkeliamumą. Šias teises galite įgyvendinti teisės aktų nustatyta tvarka.

Prašymai dėl teisių įgyvendinimo Šilalės rajono savivaldybės administracijai turi būti pateikti raštu (įskaitant ir elektroniniu formatu), taip pat turi būti įmanoma identifikuoti prašymą padavusio asmens bei duomenų subjekto tapatybę. Duomenų subjekto tapatybė nustatoma pagal tapatybę patvirtinantį dokumentą ar elektroninių ryšių priemonėmis, kurios leidžia tinkamai identifikuoti asmenį. Jei prašymą duomenų subjektas siunčia paštu ar per pasiuntinį, prie prašymo turi būti pridėta teisės aktų nustatyta tvarka patvirtinta duomenų subjekto asmens tapatybę patvirtinančio dokumento kopija. Kai dėl informacijos apie asmenį kreipiasi jo atstovas, jis turi pateikti atstovavimą patvirtinantį dokumentą ir atstovo tapatybę patvirtinantį dokumentą, jeigu nėra kitų protingų būdų nustatyti atstovo tapatybę.

Dėl duomenų subjektų teisių įgyvendinimo tvarkos maloniai prašome kreiptis į duomenų apsaugos pareigūną 2 punkte nurodytais kontaktais.

9. Jūs taip pat turite teisę bet kada atšaukti sutikimą tvarkyti Jūsų duomenis. Sutikimo atšaukimas nedaro poveikio sutikimu pagrįsto asmens duomenų tvarkymo, atlikto iki sutikimo atšaukimo, teisėtumui.[8]

10. Asmens duomenų saugojimo laikotarpis. Informuojame, kad Jūsų asmens duomenys bus saugomi ____________ laikotarpį[9]. Šis terminas gali būti pratęstas, jei asmens duomenys yra naudojami arba gali būti naudojami kaip įrodymai ar informacijos šaltinis ikiteisminiame ar kitokiame tyrime, įskaitant ir Valstybinės duomenų inspekcijos vykdomame tyrime, civilinėje, administracinėje ar baudžiamojoje byloje ar kitais įstatymų nustatytais atvejais. Tokiu atveju asmens duomenys gali būti saugomi tiek, kiek reikalinga šiems duomenų tvarkymo tikslams, ir sunaikinami nedelsiant, kai tampa nebereikalingi.

11. Automatizuotų sprendimų priėmimai. Informuojame, kad šie Jūsų duomenys nebus naudojami automatizuotiems sprendimams priimti Jūsų atžvilgiu, įskaitant profiliavimą.

12. Skundų teikimas. Informuojame, kad Jūs turite teisę skųsti Šilalės rajono savivaldybės administracijos veiksmus (neveikimą) Valstybinei duomenų apsaugos inspekcijai ir teismui teisės aktų nustatyta tvarka, taip pat skųsti teismui Valstybinės duomenų apsaugos inspekcijos veiksmus (neveikimą).

______________

Asmens duomenų tvarkymo Šilalės rajono

savivaldybės administracijoje taisyklių

6 priedas

POVEIKIO DUOMENŲ APSAUGAI VERTINIMO APRAŠAS

1. Nustačius poreikį atlikti poveikio duomenų apsaugai vertinimą, Administracijos direktorius sprendžia, kam pavesti minėto vertinimo atlikimą. Jeigu Administracijos direktoriaus sprendimu, yra samdoma konsultacines paslaugas teikianti įmonė, Administracijos direktorius (ar duomenų apsaugos pareigūnas) bendradarbiauja su šia įmone teikdamas jai visą susijusių informaciją, reikalingą vertinimui atlikti.

2. Panašių didelį pavojų keliančių duomenų tvarkymo operacijų sekai išnagrinėti galima atlikti vieną vertinimą.

3. Jeigu Administracijos direktorius paveda duomenų apsaugos pareigūnui ar kitam Administracijos darbuotojui atlikti poveikio duomenų apsaugai vertinimą, pastarasis atlieka šiuos veiksmus

3.1. Vertinamas būsimas duomenų tvarkymas, siekiant įsitikinti, ar jis atitiks visus Reglamente bei įstatymuose įtvirtintus asmens duomenų tvarkymo principus, ypatingai atidžiai atsižvelgiama į teisėtumo bei proporcingumo principų atitiktį.

3.2. Atliekamas numatytų duomenų tvarkymo operacijų aprašymas atskirai aprašant kiekvieną su asmens duomenimis atliekama veiksmą (įskaitant, bet neapsiribojant, surinkimas, saugojimas, perdavimas tvarkytojams, duomenų vertinimas ir kitos panašios asmens duomenų tvarkymo operacijos).

3.3. Atliekamas asmens duomenų tvarkymo tikslų aprašymas ir vertinimas. Vertinant asmens duomenų tvarkymo tikslus, be kita ko, atsižvelgiama ir į teisėtus interesus, kurių siekiant bus tvarkomi asmens duomenis.

3.4. Atliekamas duomenų tvarkymo operacijų reikalingumo ir proporcingumo, palyginant su tikslais, vertinimas. Atsižvelgiama į planuojamą duomenų tvarkymo sistemą, vertinimas vykdomas pradedant pirminiais veiksmais ir baigiant planuojamu asmens duomenų sunaikinimu.

3.5. Atliekamas duomenų tvarkymo operacijų reikalingumo ir proporcingumo, palyginimas su tikslais. Palyginant atsižvelgiama į proporcingumo, sąžiningumo ir saugumo principus. Konkrečiai į tai

- Ar numatomos operacijos tikrai yra būtinos siekiant pasiekti Duomenų valdytojo tikslus?

- Ar numatomos operacijos nėra perteklinės?

- Ar numatomos operacijos nekelia asmens duomenų paviešinimo ar nutekėjimo grėsmės?

- Ar renkami asmens duomenys tikrai yra reikalingi Duomenų valdytojo tikslams pasiekti?

4. Atliekant vertinimą dėl asmens duomenų tvarkymo kylančio pavojaus asmens subjektų teisėms ir laisvėms, atsižvelgiama į duomenų tvarkymo

4.1. Pobūdį. Vertinama, ar tikrai tie asmens duomenys yra svarbūs duomenų subjektų laisvėms ir teisėms. Ar asmens duomenų paviešinimas turėtų ypatingos reikšmės jų finansinei situacijai, socialinei padėčiai, paviešintų privataus gyvenimo detales ar kt.

4.2. Aprėptį. Vertinama, ar planuojama rinkti asmens duomenų apimtis yra proporcinga ir reikalinga siekiant pasiekti Duomenų valdytojo tikslams. Kiekvieno asmens duomens rinkimas turi būti pagrįstas ir atskirai aprašytas.

4.3. Kontekstą. Vertinamas asmens duomenų rinkimo kontekstas, kokiomis aplinkybėmis ir kaip surenkami asmens duomenys. Vertinama, ar asmens duomenų tvarkymo kontekstas gali lemti didesnį pavojų asmens duomenų saugumui; ar asmens duomenų subjekto teisės ir laisvės, tokios kaip privatumas, apsisprendimo laisvė ir pan. nebus pažeidžiamos atsižvelgiant į asmens duomenų tvarkymo kontekstą.

4.4. Tikslus. Vertinama, kokiems tikslams yra renkami asmens duomenys; ar asmens duomenų rinkimas gali turėti kokių nors neigiamų pasekmių duomenų subjektui.

5. Įvertinus kiekvieną atskirą saugumo lygį, vertinama bendro saugumo būklė, t. y., vertinama kokie išoriniai veiksmai gali pakenkti asmens duomenų subjekto teisėms ir laisvėms, pvz. fizinis įlaužimas į patalpas, kur saugomi asmens duomenys ir/arba kibernetinės atakos prieš sistemas.

6. Įvertinus visus galimus pavojus yra išvardijamos techninės ir administracinės priemonės, kurios realiai bus taikomos siekiant pašalinti pavojus.

7. Visi šio Priedo 3–6 punktuose įvardinti veiksmai turi būti detaliai aprašyti ir parengta bendra poveikio asmens duomenų apsaugai vertinimo ataskaita. Ją tvirtina Administracijos direktorius. Poveikio asmens duomenų apsaugai vertinimą atliekantis asmuo, atsižvelgdamas į planuojamos duomenų tvarkymo operacijos sudėtingumą, gali jį atlikti pasirinkdamas savo nustatytą formą, tačiau rekomenduojamos naudoti Poveikio asmens duomenų apsaugai vertinimo formos pavyzdys pateikiamas kaip šių Taisyklių 7 priedas.

8. Jeigu atlikus poveikio vertinimą, iš jo ataskaitos paaiškėja, kad pavojus duomenų subjektų teisėms bei laisvėms yra didelis, Administracijos direktorius gali priimti sprendimą atsisakyti poveikio vertinimo ataskaitoje įvertintos duomenų tvarkymo veiklos.

9. Jeigu atikus poveikio vertinimą, iš jo ataskaitos paaiškėja, kad reikalingos konsultacijos su Valstybine duomenų apsaugos inspekcija, Administracijos direktorius (ar duomenų apsaugos pareigūnas) inicijuoja šias konsultacijas per ne vėliau kaip per 1 mėnesį nuo poveikio vertinimo ataskaitos patvirtinimo dienos.

10. Konsultacijų metu Administracijos direktorius (ar duomenų apsaugos pareigūnas) Valstybinei duomenų apsaugos inspekcijai pateikia šiuos dokumentus bei informaciją

10.1. duomenų tvarkymo procese dalyvaujančių Duomenų valdytojo ir duomenų tvarkytojų atsakomybės sritis;

10.2. numatytus duomenų tvarkymo tikslus ir priemones;

10.3. nustatytas apsaugos priemones duomenų subjektų teisėms ir laisvėms apsaugoti pagal Reglamentą bei įstatymus;

10.4. duomenų apsaugos pareigūno ar kito Administracijos direktoriaus, atsakingo už duomenų apsaugą, kontaktinius duomenis;

10.5. poveikio vertinimo dokumentaciją;

10.6. kitą informaciją, kurios pareikalauja Valstybinės duomenų apsaugos inspekcijos pareigūnai.

11. Gavus Valstybinės duomenų inspekcijos rekomendacijas, šios rekomendacijos yra įvertinamos.

12. Administracijos direktorius, pasitaręs su duomenų apsaugos pareigūnu, nusprendžia dėl tolesnių veiksmų – vykdant Valstybinės duomenų apsaugos inspekcijos rekomendacijas koreguoti planuojamos duomenų tvarkymo operacijos įgyvendinimą, atsisakyti planuojamos asmens duomenų tvarkymo operacijos ar kt.

13. Prireikus Duomenų valdytojas atlieka poveikio vertinimo ataskaitos peržiūrą, kad įvertintų, ar duomenys tvarkomi laikantis poveikio duomenų apsaugai vertinimo.

Asmens duomenų tvarkymo Šilalės rajono

savivaldybės administracijoje taisyklių

7 priedas

(Poveikio duomenų apsaugai vertinimo (PDAV) pavyzdinė forma)

POVEIKIO DUOMENŲ APSAUGAI VERTINIMO ATASKAITA

1.

Identifikuojamas PDAV poreikis

Aprašoma, kokių tikslų siekiama, kokios duomenų tvarkymo operacijos bus atliekamos. Kodėl manoma, kad gali reikti PDAV?

2.

Aprašomos planuojamos duomenų tvarkymo operacijos

2.1.

Aprašomas duomenų tvarkymo pobūdis Kaip bus renkami, naudojami, saugomi ir ištrinami asmens duomenys? Koks šių duomenų šaltinis? Ar duomenys bus teikiami gavėjams? Kokios duomenų tvarkymo operacijos gali kelti didelį pavojų?

2.2.

Aprašoma duomenų tvarkymo apimtis Kokie asmens duomenys bus tvarkomi? Ar bus tvarkomi specialiųjų kategorijų asmens duomenys? Kiek duomenų bus renkama ir naudojama? Kaip dažnai? Kaip ilgai šie duomenys bus saugomi? Kiek duomenų subjektų tai gali paveikti? Kokia geografinė teritorija?

2.3.

Aprašomas duomenų tvarkymo kontekstas Kokie santykiai sieja su duomenų subjektais? Kiek kontrolės savo asmens duomenims jie turės? Ar jie gali tikėtis, kad jų duomenys bus tvarkomi planuojamu būdu? Ar bus tvarkomi pažeidžiamų duomenų subjektų, įskaitant vaikus, duomenys? Ar tai naujoviškas duomenų tvarkymo būdas? Kokios technologijos paprastai taikomos šioje srityje? Ar dėl planuojamo duomenų tvarkymo būdo buvo išreikštas viešas susirūpinimas?

2.4.

Aprašomi duomenų tvarkymo tikslai Kokių tikslų siekiama? Koks planuojamas poveikis duomenų subjektams? Kokia tokio duomenų tvarkymo nauda Duomenų valdytojui? Kokia tokio duomenų tvarkymo nauda apskritai?

3.

Konsultacijų procesas

Aprašoma, ar siekiama konsultuotis su kitais subjektais Jei siekiama konsultuotis su duomenų subjektais – aprašoma, kaip ir kada. Jei nesiekiama, aprašoma, kodėl. Ar tvarkant asmens duomenis reiks duomenų tvarkytojų pagalbos? Ar planuojama konsultuotis su duomenų tvarkytojais? Ar planuojama konsultuotis su duomenų saugumo ekspertais ar kitais specialistais? Kokiais?

4.

Būtinybės ir proporcingumo vertinimas

Aprašomos atitikties ir proporcingumo priemonės Koks teisėtas duomenų tvarkymo pagrindas? Ar tvarkymas iš tiesų padės pasiekti planuojamą tikslą? Ar yra kitų priemonių pasiekti planuojamą rezultatą? Kaip bus užtikrinama duomenų kokybė ir duomenų minimizavimo principas? Kokia informacija bus pateikta duomenų subjektams? Kaip bus užtikrintas jų teisių įgyvendinimas? Kaip bus užtikrinamas duomenų tvarkytojų patikimumas ir atitiktis? Kokios priemonės bus taikomos teikiant duomenis į trečiąsias šalis?

5.

Rizikų identifikavimas ir įvertinimas

Aprašomi rizikos šaltiniai bei galimas poveikis individams Aprašomos rizikos gali būti susijusios ne tik su duomenų apsauga, bet ir atitiktimi kitiems teisės aktų reikalavimams ar Duomenų valdytojo sąrangai

Žalos tikimybė

Žalos dydis

Bendra rizika

Menkai tikėtina / galima / tikėtina

Minimali / reikšminga / didelė

Žema / vidutinė / didelė

6.

Žalos sumažinimo priemonių identifikavimas

Identifikuojamos papildomos priemonės, kurių galima imtis siekiant sumažinti ar pašalinti rizikas, kurios 5 skiltyje buvo apibūdintos kaip „vidutinės“ ar „didelės“

Rizika

Sprendimai, kaip sumažinti ar pašalinti riziką

Poveikis rizikai

Išliekanti rizika

Priemonė bus pritaikyta

Panaikinta / sumažinta / priimtina

Žema / vidutinė / aukšta

Taip / ne

7.

Išvados ir rezultatai

Patvirtinantys asmenys

Vardas, pavardė / data

Komentarai

Taikomas priemones patvirtino

Priemonės integruojamos į projekto planą, su datomis ir atsakingais asmenimis, kada tai turi būti atlikta

Išliekančias rizikas patvirtino

Jei išlieka aukštų rizikų, būtina konsultuotis su VDAI

Gautas duomenų apsaugos pareigūno patarimas

Duomenų apsaugos pareigūnas turėtų patarti dėl 6 skilties priemonių ir dėl to, ar galima tęsti (pradėti) tvarkymą

Duomenų apsaugos pareigūno patarimas

Duomenų apsaugos pareigūno patarimą priėmė arba atmetė

Jei patarimas atmestas, nurodomos priežastys

Komentarai dėl priežasčių

Konsultacijas su duomenų subjektais peržiūrėjo

Jei sprendimas atlikti duomenų tvarkymo operacijas prieštarauja duomenų subjektų nuomonei, paaiškinamos priežastys, kodėl nutartą tęsti

Komentarai dėl priežasčių

Už šio PDAV vėlesnę peržiūrą atsakingas

__________________________

Asmens duomenų tvarkymo Šilalės rajono

savivaldybės administracijoje taisyklių

8 priedas

(Asmens duomenų saugumo pažeidimo forma)

PRANEŠIMAS

APIE ASMENS DUOMENŲ SAUGUMO PAŽEIDIMĄ

________ Nr. ___________

(data) (rašto numeris)

1. Asmens duomenų saugumo pažeidimo apibūdinimas

1.1. Asmens duomenų saugumo pažeidimo data ir laikas

Asmens duomenų saugumo pažeidimo

Data ______________ Laikas __________

Asmens duomenų saugumo pažeidimo nustatymo

Data ______________ Laikas __________

1.2. Asmens duomenų saugumo pažeidimo vieta (pažymėti tinkamą (-us)

 Informacinė sistema

 Duomenų bazė

 Tarnybinė stotis

 Internetinė svetainė

 Debesų kompiuterijos paslaugos

 Nešiojami / mobilus įrenginiai

 Neautomatiniu būdu susistemintos bylos (archyvas)

 Kita ___________________________________________________________________

1.3. Asmens duomenų saugumo pažeidimo aplinkybės (pažymėti tinkamą (-us)

 Asmens duomenų konfidencialumo praradimas (neautorizuota prieiga ar atskleidimas)

 Asmens duomenų vientisumo praradimas (neautorizuotas asmens duomenų pakeitimas)

 Asmens duomenų prieinamumo praradimas (asmens duomenų praradimas, sunaikinimas)

1.4. Apytikslis duomenų subjektų, kurių asmens duomenų saugumas pažeistas, skaičius

_____________________________________________________________________________

1.5. Duomenų subjektų, kurių asmens duomenų saugumas pažeistas, kategorijos (atskiriamos pagal jai būdingą požymį)

_______________________________________________________________________________

1.6. Asmens duomenų, kurių saugumas pažeistas, kategorijos (pažymėti tinkamą (-as)

 Asmens tapatybę patvirtinantys asmens duomenys (vardas, pavardė, amžius, gimimo data, lytis ir kt.)

_______________________________________________________________________________

 Specialių kategorijų asmens duomenys (duomenys, atskleidžiantys rasinę ar etninę kilmę, politines pažiūras, religinius ar filosofinius įsitikinimus, ar narystę profesinėse sąjungose, genetiniai duomenys, biometriniai duomenys, sveikatos duomenys, duomenys apie lytinį gyvenimą ir lytinę orientaciją)

_____________________________________________________________________________

 Duomenys apie apkaltinamuosius nuosprendžius ir nusikalstamas veikas

_______________________________________________________________________________

 Prisijungimo duomenys ir (ar) asmens identifikaciniai numeriai (pavyzdžiui, asmens kodas, mokėtojo kodas, slaptažodžiai)

_______________________________________________________________________________

 Kiti

_____________________________________________________________________________

 Nežinomi (pranešimo teikimo metu)

1.7. Apytikslis asmens duomenų, kurių saugumas pažeistas, skaičius

_____________________________________________________________________________

1.8. Kita duomenų valdytojo nuomone reikšminga informacija apie asmens duomenų saugumo pažeidimą

_____________________________________________________________________________

2. Galimos asmens duomenų saugumo pažeidimo pasekmės

2.1. Konfidencialumo praradimo atveju

 Asmens duomenų išplitimas labiau nei yra būtina ir duomenų subjekto kontrolės praradimas savo asmens duomenų atžvilgiu (pavyzdžiui, asmens duomenys išplito internete)

 Skirtingos informacijos susiejimas (pavyzdžiui, gyvenamosios vietos adreso susiejimas su asmens buvimo vieta realiu laiku)

 Galimas panaudojimas kitais, nei nustatytais ar neteisėtais tikslais (pavyzdžiui, komerciniais tikslais, asmens tapatybės pasisavinimo tikslu, informacijos panaudojimo prieš asmenį tikslu)

 Kita

_____________________________________________________________________________

2.2. Vientisumo praradimo atveju

 Pakeitimas į neteisingus duomenis dėl ko asmuo gali netekti galimybės naudotis paslaugomis

 Pakeitimas į galiojančius duomenis, kad asmens duomenų tvarkymas būtų nukreiptas (pavyzdžiui, pavogta asmens tapatybė susiejant vieno asmens identifikuojančius duomenis su kito asmens biometriniais duomenimis)

 Kita

_____________________________________________________________________________

2.3. Duomenų prieinamumo praradimo atveju

 Dėl asmens duomenų trūkumo negalima teikti paslaugų (pavyzdžiui, administracinių procesų sutrikdymas, dėl ko negalima prieiti, pavyzdžiui, prie asmens sveikatos istorijų ir teikti pacientams sveikatos paslaugų, arba įgyvendinti duomenų subjekto teises)

 Dėl klaidų asmens duomenų tvarkymo procesuose negalima teikti tinkamos paslaugos (pavyzdžiui, asmens sveikatos istorijoje neliko informacijos apie asmens alergijas, tam tikra informacija iš mokesčių deklaracijos išnyko, dėl ko negalima tinkamai apskaičiuoti mokesčių ir pan.)

 Kita

_____________________________________________________________________________

2.4. Kita

_____________________________________________________________________________

3. Priemonės, kurių imtasi siekiant pašalinti pažeidimą ar sumažinti jo pasekmes

3.1. Taikytos priemonės siekiant sumažinti poveikį duomenų subjektams

_____________________________________________________________________________

_________________________________________________________________

3.2. Taikytos priemonės siekiant pašalinti asmens duomenų saugumo pažeidimą

_____________________________________________________________________________

3.3. Taikytos priemonės siekiant, kad pažeidimas nepasikartotų

_____________________________________________________________________________

3.4. Kita

_______________________________________________________________________________

4. Siūlomos priemonės sumažinti asmens duomenų saugumo pažeidimo pasekmėms

_______________________________________________________________________________

5. Duomenų subjektų informavimas apie asmens duomenų saugumo pažeidimą

5.1. Duomenys apie informavimo faktą

 Taip, duomenų subjektai informuoti (nurodoma data) _______________________________

 Ne, bet jie bus informuoti (nurodoma data) _______________________________________

 Ne

5.2. Duomenų subjektų, kurių asmens duomenų saugumas pažeistas, neinformavimo priežastys

 Ne, nes nekyla didelis pavojus duomenų subjektų teisėms ir laisvėms (nurodoma kodėl) _____________________________________________________________________________

 Ne, nes įgyvendintos tinkamos techninės ir organizacinės priemonės, užtikrinančios, kad asmeniui, neturinčiam leidimo susipažinti su asmens duomenimis, jie būtų nesuprantami (nurodomos kokios)

_____________________________________________________________________________

 Ne, nes įgyvendintos tinkamos techninės ir organizacinės priemonės, užtikrinančios, kad nekiltų didelis pavojus duomenų subjektų teisėms ir laisvėms (nurodomos kokios)

_____________________________________________________________________________

 Ne, nes tai pareikalautų neproporcingai daug pastangų ir apie tai viešai paskelbta (arba taikyta panaši priemonė) (nurodoma kada ir kur paskelbta informacija viešai arba jei taikyta kita priemonė, nurodoma kokia ir kada taikyta)

_____________________________________________________________________________

 Ne, nes dar neidentifikuoti duomenų subjektai, kurių asmens duomenų saugumas pažeistas

_____________________________________________________________________________

5.3. Informacija, kuri buvo pateikta duomenų subjektams (gali būti pridėtas pranešimo duomenų subjektui kopija)

_____________________________________________________________________________

5.4. Būdas, kokiu duomenų subjektai buvo informuoti

 Paštu

 Elektroniniu paštu

 Kitu būdu __________________________________________________________________

5.5. Informuotų duomenų subjektų skaičius ___________________________________________

6. Asmuo galintis suteikti daugiau informacijos apie asmens duomenų saugumo pažeidimą (duomenų apsaugos pareigūnas ar kitas kontaktinis asmuo)[10]

6.1. Vardas ir pavardė ____________________________________________________________

6.2. Telefono ryšio numeris _______________________________________________________

6.3. Elektroninio pašto adresas _____________________________________________________

6.4. Pareigos ___________________________________________________________________

6.5. Darbovietės pavadinimas ir adresas ______________________________________________

7. Pranešimo pateikimo Valstybinei duomenų apsaugos inspekcijai pateikimo vėlavimo priežastys

_____________________________________________________________________________

8. Kita reikšminga informacija

_____________________________________________________________________________

(pareigos)

(parašas)

(vardas, pavardė)

Asmens duomenų tvarkymo Šilalės rajono

savivaldybės administracijoje taisyklių

9 priedas

(Asmens duomenų saugumo pažeidimų žurnalo forma)

ŠILALĖS RAJONO SAVIVALDYBĖS ADMINISTRACIJOS

ASMENS DUOMENŲ SAUGUMO PAŽEIDIMŲ ŽURNALAS

Pažeidimo užfiksavimo data

Pažeidimo tipas

Paveikti asmens duomenys

Duomenų subjektų, susijusių su pažeidimu, sąrašas. Jei įmanoma, baigtinis

Pažeidimo galimos pasekmės

Pažeidimo likvidavimo data

Naudotos/pasiūlytos priemonės pažeidimo pašalinimui

Nustatytas didelis pavojus duomenų subjektų teisėms ir laisvėms? TAIP/NE

Pranešimo VDAI data (didelio pavojaus atveju)

Komentaras nusprendus nepranešti VDAI (nedidelio pavojaus atveju)

Reikalingas duomenų subjektų informavimas? Komentaras / pranešimo data. TAIP/TAIP, VIEŠAS/NE

Įrašą padariusio asmens vardas, pavardė, parašas

(Fotografavimo, filmavimo renginio metu informacinė forma)

RENGINYS YRA FILMUOJAMAS IR (AR) FOTOGRAFUOJAMAS

Visuomenės informavimo tikslu Šilalės rajono savivaldybės administracija (J. Basanavičiaus g. 2, LT-75138 Šilalė, Tel.: +370 449 76114, Faks.: +370 449 76 118, El. paštas info@silale.lt) renginį fotografuoja ir (arba) filmuoja. Nuotraukos ar vaizdo medžiaga bus skelbiamos puslapyje www.silale.lt, Šilalės rajono savivaldybės administracijos socialinių tinklų paskyrose (Facebook, Instagram, Youtube) bei kitose žiniasklaidos priemonėse.

SVARBU. Nepageidaujant būti fotografuojamiems ir (arba) filmuojamiems arba nesutinkant su nuotraukų ir (arba) vaizdo medžiagos skelbimu, prašome apie tai informuoti renginio organizatorių arba fotografą.

INFORMACINĖ LENTELĖ DUOMENŲ SUBJEKTAMS APIE VAIZDO IR (AR) GARSO ĮRAŠYMĄ

SIEKIANT ĮVYKDYTI TEISINĘ PRIEVOLĘ VYKDOMAS VAIZDO IR (AR) GARSO ĮRAŠYMAS

ŠILALĖS RAJONO SAVIVALDYBĖS ADMINISTRACIJA J. Basanavičiaus g. 2 LT-75138 Šilalė Duomenys kaupiami ir saugomi Juridinių asmenų registre, kodas 188773720 Tel.: +370 449 76114, Faks.: +370 449 76 118, El. paštas info@silale.

Garso įrašymo tikslas – užtikrinti posėdžių skaidrumą ir sklandų Savivaldybės tarybos darbą

Teisinis pagrindas – LR Vietos savivaldos įstatymo 13 str.14 d., 14 str. 8 d.

Duomenų saugojimo terminas – 10 metų

Daugiau informacijos apie duomenų apsaugą rasite savivaldybės tinklalapyje www.silale.lt

_______________________

[1] Pasirinkti tinkamą: jei duomenys gauti iš paties duomenų subjekto, nurodomas 13 straipsnis, jei iš kitų asmenų – 14 straipsnis.

[2] Šiame punkte pateikiami asmens duomenų tvarkymo tikslai, nurodyti Administracijos asmens duomenų tvarkymo įrašuose.

[3] Šiame punkte pateikiamas tvarkomų asmens duomenų (asmens duomenų kategorijų) sąrašas, nurodytas Administracijos asmens duomenų tvarkymo įrašuose.

[4] Šiame punkte pateikiamas asmens duomenų tvarkymo pagrindas, nurodytas Administracijos asmens duomenų tvarkymo įrašuose.

[5] Atsižvelgiant į duomenų tvarkymo teisinį pagrindą nurodoma, ar duomenų pateikimas yra nustatytas teisės aktais, arba sutartyje numatytas reikalavimas, ar reikalavimas, kurį būtina vykdyti norint sudaryti sutartį, taip pat tai, ar duomenų subjektas privalo pateikti asmens duomenis, ir informacija apie galimas tokių duomenų nepateikimo pasekmes; jeigu duomenų tvarkymo pagrindas – teisėtas Administracijos ar trečiųjų asmenų interesas – aiškiai įvardijamas šis interesas.

[6] Šiame punkte pateikiamas asmens duomenų kilmės šaltinis ir, jeigu taikoma, ar duomenys gauti iš viešai prieinamų šaltinių.

[7] Šiame punkte pateikiami duomenų gavėjai (jų kategorijos), nurodyti Administracijos duomenų tvarkymo veiklos įrašuose.

[8] Ši pastraipa yra rašoma tik tada, kai duomenys yra tvarkomi sutikimo pagrindu.

[9] Šiame punkte pateikiamas asmens duomenų saugojimo laikotarpis, nurodytas Administracijos duomenų tvarkymo veiklos įrašuose.

[10] Kai pranešimas apie asmens duomenų saugumo pažeidimą teikiamas pagal Įstatymo 29 straipsnį, nenurodomi šios formos 6.4 ir 6.5 papunkčiuose nurodyti duomenys.