LIETUVOS RESPUBLIKOS ŠVIETIMO, MOKSLO IR SPORTO MINISTRAS
ĮSAKYMAS
DĖL ASMENS DUOMENŲ TVARKYMO TAISYKLIŲ PATVIRTINIMO
2021 m. rugsėjo 30 d. Nr. V-1777
Vilnius
Siekdama įgyvendinti 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamentą (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas), Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymą ir atsižvelgdama į Europos Komisijos 2018 m. sausio 24 d. komunikatą Europos Parlamentui ir Tarybai „Didesnė apsauga, naujos galimybės. Komisijos gairės dėl tiesioginio Bendrojo duomenų apsaugos reglamento taikymo nuo 2018 m. gegužės 25 d.“:
2. Skiriu Lietuvos Respublikos švietimo, mokslo ir sporto ministerijos vyriausiąjį specialistą Dainių Dzimanavičių atsakingu už Asmens duomenų tvarkymo taisyklių įgyvendinimo priežiūrą.
3. Pavedu Teisės ir administravimo departamento Personalo skyriui su šiuo įsakymu supažindinti Lietuvos Respublikos švietimo, mokslo ir sporto ministerijos valstybės tarnautojus ir darbuotojus, dirbančius pagal darbo sutartis.
PATVIRTINTA
Lietuvos Respublikos švietimo, mokslo ir
sporto ministro
2021 m. rugsėjo 30 d. įsakymu Nr. V-1777
ASMENS DUOMENŲ TVARKYMO TAISYKLĖS
I SKYRIUS
BENDROSIOS NUOSTATOS
1. Asmens duomenų tvarkymo taisyklės (toliau – Taisyklės) reglamentuoja asmens duomenų tvarkymą Lietuvos Respublikos švietimo, mokslo ir sporto ministerijoje (toliau – Ministerija), užtikrinant 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamento (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas), Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymo (toliau – ADTAĮ) ir kitų teisės aktų, nustatančių asmens duomenų tvarkymą ir apsaugą, nuostatų laikymąsi ir įgyvendinimą.
2. Taisyklių paskirtis – numatyti pagrindines asmens duomenų tvarkymo ir asmens duomenų saugos organizacines priemones. Asmens duomenų tvarkymą Ministerijos valdomuose registruose ir valstybės informacinėse sistemose reglamentuoja šių registrų ir informacinių sistemų nuostatai.
3. Taisyklių privalo laikytis visi Ministerijos valstybės tarnautojai ir darbuotojai, dirbantys pagal darbo sutartis, praktikantai bei stažuotojai, atliekantys praktiką arba besistažuojantys Ministerijoje (toliau – darbuotojas), taip pat kiti asmenys, kurie, tvarkydami asmens duomenis Ministerijoje ir (arba) eidami savo pareigas, sužino asmens duomenis arba turi bet kokio pobūdžio prieigą prie asmens duomenų.
4. Ministro paskirtas darbuotojas yra atsakingas už Taisyklių įgyvendinimo priežiūrą ir kartu su kitais Taisyklėse nurodytais darbuotojais atlieka Taisyklėse įtvirtintas funkcijas. Asmens, atsakingo už Taisyklių įgyvendinimo priežiūrą, paskyrimas nepanaikina kiekvieno darbuotojo, kuris tvarko asmens duomenis, eidamas savo pareigas, juos sužino arba turi bet kokio pobūdžio prieigą prie asmens duomenų, pareigos ir atsakomybės už Taisyklių laikymąsi ir įgyvendinimą bei asmens duomenų tvarkymo teisėtumą.
II SKYRIUS
ASMENS DUOMENŲ TVARKYMAS
PIRMASIS SKIRSNIS
ASMENS DUOMENŲ TVARKYMO BENDROSIOS NUOSTATOS
6. Ministerijoje visi asmens duomenys yra tvarkomi vadovaujantis Reglamento 5 straipsnio 1 dalyje nustatytais teisėtumo, sąžiningumo ir skaidrumo, tikslo apribojimo, duomenų kiekio mažinimo, tikslumo, saugojimo trukmės apribojimo, vientisumo ir konfidencialumo principais.
7. Asmens duomenys gali būti tvarkomi tik tuo tikslu, kuriuo yra renkami. Jeigu asmens duomenys nėra būtini tam, kad būtų pasiektas konkretus tikslas, jie negali būti tvarkomi. Konkrečiam tikslui pasiekti yra tvarkomas kiek įmanoma mažesnis kiekis asmens duomenų. Asmens duomenys, kurie nėra tikslūs, atsižvelgiant į jų tvarkymo tikslus, turi būti nedelsiant ištrinami arba ištaisomi – Ministerijoje imamasi visų pagrįstų priemonių užtikrinti, kad būtų laikomasi Reglamento 5 straipsnio 1 dalyje nustatytų principų.
8. Asmens duomenys tvarkomi ir saugomi ne ilgiau, negu nustatytas jų saugojimo terminas, kuris turi būti ne ilgesnis, negu yra būtina tais tikslais, kuriais asmens duomenys yra tvarkomi.
9. Ministerijoje asmens duomenys gali būti tvarkomi tik tada, jeigu yra bent viena iš Reglamento 6 straipsnio 1 dalyje įtvirtintų teisėto tvarkymo sąlygų.
10. Draudžiama tvarkyti specialių kategorijų asmens duomenis (asmens duomenis, atskleidžiančius rasinę ar etninę kilmę, politines pažiūras, religinius ar filosofinius įsitikinimus ar narystę profesinėse sąjungose, taip pat tvarkyti genetinius duomenis, biometrinius duomenis, siekiant konkrečiai nustatyti fizinio asmens tapatybę, sveikatos duomenis arba duomenis apie fizinio asmens lytinį gyvenimą ir lytinę orientaciją), išskyrus tuos atvejus, jeigu yra bent viena iš Reglamento 9 straipsnio 2 dalyje numatytų sąlygų.
11. Asmens duomenis apie apkaltinamuosius nuosprendžius ir nusikalstamas veikas Ministerija tvarko tik tais atvejais, kai tokią teisę tiesiogiai nustato teisės aktai.
12. Konkretūs tvarkomi asmens duomenys, jų tvarkymo tikslai, saugojimo terminai bei tvarkymo teisiniai pagrindai yra numatyti duomenų tvarkymo veiklos įrašuose, kuriais privalo vadovautis darbuotojai.
13. Darbuotojai prieš kiekvieną asmens duomenų tvarkymo operaciją (veiksmą) privalo įvertinti, ar toks asmens duomenų tvarkymas atitinka Taisyklių 6 ir 7 punktų nuostatas, ir užtikrinti, kad kiekviena duomenų tvarkymo operacija (veiksmas) atitiktų minėtus principus, taip pat įvertinti, ar toks asmens duomenų tvarkymas turi bent vieną Taisyklių 9 punkte numatytų teisėto duomenų tvarkymo sąlygų, bei užtikrinti, kad asmens duomenys nebūtų tvarkomi, jei nėra bent vienos iš minėtų teisėto duomenų tvarkymo sąlygos.
14. Ministerijoje asmens duomenys nėra tvarkomi tiesioginės rinkodaros tikslais. Ministerijos veikloje nėra vykdomas profiliavimas.
15. Ministerijos vidaus dokumentuose papildomi duomenų subjektų identifikavimo duomenys, tokie kaip asmens kodas, jeigu tai nėra būtina duomenų subjekto tapatybei nustatyti, kitam teisėtam tikslui pasiekti arba jeigu to nenustato teisės aktai, nenaudojami.
16. Siekiant užtikrinti, kad asmens duomenys Ministerijoje būtų saugomi tik nustatytą terminą, visi Ministerijoje tvarkomi asmens duomenys yra fiksuojami duomenų tvarkymo veiklos įrašuose. Asmens duomenų saugojimo terminai yra nurodyti duomenų tvarkymo veiklos įrašuose.
17. Pasibaigus asmens duomenų saugojimo terminui, jis gali būti pratęstas, jeigu Ministerija nustato, kad saugoti asmens duomenis toliau yra būtina, ypač atsižvelgiant į būtinybę panaudoti asmens duomenis kaip įrodymą ikiteisminiame ar kitokiame tyrime, įskaitant ir Valstybinės duomenų apsaugos inspekcijos (toliau – Inspekcija) vykdomame tyrime, civilinėje, administracinėje ar baudžiamojoje byloje ar kitais teisės aktų nustatytais atvejais. Prieš priimant sprendimą pratęsti asmens duomenų saugojimo terminą, konsultuojamasi su Ministerijos duomenų apsaugos pareigūnu.
ANTRASIS SKIRSNIS
REIKALAVIMAI SUTIKIMUI, KAIP ASMENS DUOMENŲ TVARKYMO PAGRINDUI
18. Asmens duomenys sutikimo pagrindu tvarkomi:
18.2. kai, atsižvelgiant į duomenų tvarkymo tikslą ar duomenų kiekį, Ministerija neturi kito teisinio pagrindo tvarkyti asmens duomenis ar įvykdyti kitus Reglamente nustatytus įpareigojimus visa apimtimi. Jeigu asmens duomenys, atsižvelgiant į jų kiekį ir tvarkymo tikslus, gali būti tvarkomi bent vienu Reglamente įtvirtintų pagrindų, duomenų subjekto sutikimas papildomai nėra prašomas pateikti;
19. Duomenų subjekto sutikimas dėl asmens duomenų tvarkymo yra užpildomas raštu ir teikiamas Ministerijai pagal patvirtintą formą (Taisyklių 1 priedas).
20. Duomenų subjekto sutikimai gali būti renkami šiais būdais: raštu, įskaitant gautus elektroninėmis priemonėmis, žodžiu ar veiksmais, jeigu yra galimybė įrodyti, kad toks sutikimas buvo duotas, ir jeigu duomenų subjektas savo veiksmais aiškiai sutinka su siūlomu jo asmens duomenų tvarkymu. Pirmenybė kiekvienu atveju yra teikiama duomenų subjekto sutikimams, gautiems raštu (įskaitant gautus elektroninėmis priemonėmis), o kiti sutikimo būdai gali būti naudojami tik kiekvienu konkrečiu atveju įsitikinus, kad yra įmanoma įrodyti duomenų subjekto sutikimo davimo faktą. Duomenų subjekto tylėjimas, iš anksto pažymėti laukai arba neveikimas nelaikomi duomenų subjekto sutikimu.
21. Visais atvejais, kai asmens duomenys yra tvarkomi duomenų subjekto sutikimo pagrindu, Ministerija privalo kaupti ir turėti įrodymus, kad duomenų subjektas davė Taisyklių 1 priede nustatytos formos ir turinio sutikimą.
22. Kai asmens duomenys yra tvarkomi sutikimo pagrindu, tvarkomi tik tie asmens duomenys, kurie nurodyti sutikime, tik tais tikslais, kurie nurodyti sutikime, ir su jais atliekamos tik tos tvarkymo operacijos (veiksmai), kurios nurodytos sutikime. Jeigu keičiasi tvarkomų duomenų kiekis, tvarkymo tikslas ar tvarkymo operacijos (veiksmai), privaloma gauti papildomą sutikimą tokiam duomenų tvarkymui arba turi egzistuoti kitas Taisyklėse ar Reglamente įtvirtintas asmens duomenų tvarkymo teisinis pagrindas.
23. Sutikimas gali būti asmens duomenų tvarkymo pagrindas, jei atitinka šiuos reikalavimus:
23.1. duotas laisva duomenų subjekto valia. Vertinant, ar sutikimas duotas laisva valia, atsižvelgiama į šias aplinkybes:
23.1.1. ar sutarties vykdymui nustatyta sąlyga, kad turi būti duotas sutikimas tvarkyti asmens duomenis, kurie nėra būtini tai sutarčiai vykdyti (tokiu atveju nelaikoma, kad sutikimas duotas laisva valia);
23.1.2. ar duomenų subjektas yra verčiamas duoti sutikimą, neturi realaus pasirinkimo dėl sutikimo davimo, patiria spaudimą, negali realiai kontroliuoti sutikimo davimo bei asmens duomenų ar gali susilaukti neigiamų pasekmių (tiesioginių ir netiesioginių), jeigu sutikimas nebus duotas (tokiais atvejais nelaikoma, kad sutikimas duotas laisva valia);
23.1.3. jeigu sutikimas yra neatsiejamai susietas su sąlygomis, dėl kurių duomenų subjektas neturi galimybės derėtis ar jas pakeisti, preziumuojama, kad toks sutikimas nėra duotas laisva valia. Tokiu atveju Ministerija imasi papildomų priemonių šiai prezumpcijai paneigti ir užtikrinti, kad sutikimas būtų duodamas laisva valia;
23.1.4. jeigu yra aiški Ministerijos ir duomenų subjekto padėties neatitiktis ir dėl to tikėtina, kad sutikimas, atsižvelgiant į visas to konkretaus atvejo aplinkybes, gali nebūti duotas laisva valia. Tokiu atveju Ministerija imasi papildomų priemonių užtikrinti, kad sutikimas būtų duodamas laisva valia;
23.1.5. jeigu sutikimas yra siejamas su keliais duomenų tvarkymo tikslais ar keliomis duomenų tvarkymo operacijomis (veiksmais), duomenų subjektams turi būti sudaryta galimybė sutikti ne su visais tikslais ar operacijomis (veiksmais), o tik su atskirais tikslais ar operacijomis (veiksmais), jeigu jie nėra tarpusavyje tiesiogiai susiję. Priešingu atveju nelaikoma, kad sutikimas duotas laisva valia;
23.2. sutikimas yra konkretus ir išsamus. Laikoma, kad sutikimas yra konkretus ir išsamus, jeigu jis atitinka šiuos reikalavimus:
23.2.2. nurodyti konkretūs asmens duomenys, kurie bus tvarkomi konkrečiais duomenų tvarkymo tikslais;
23.3. sutikimą duomenų subjektas davė tinkamai informuotas. Tam, kad šis reikalavimas būtų įvykdytas, prieš duomenų subjektui pasirašant sutikimą jam turi būti pateikta Reglamento 13 straipsnyje nurodyta informacija bei informuojama apie duomenų subjekto teisę bet kuriuo metu atšaukti savo sutikimą. Informacija gali būti pateikta raštu, žodžiu, audiovizualinėmis žinutėmis, tačiau visais atvejais tokiu būdu, kad Ministerija turėtų galimybę įrodyti, jog informacija duomenų subjektui buvo pateikta ir kad ji atitinka Reglamento 13 straipsnyje įtvirtintą turinį;
23.4. sutikimas yra nedviprasmiškas duomenų subjekto valios išreiškimas, kad su juo susiję duomenys būtų tvarkomi. Sutikimas turi būti duodamas aktyviais veiksmais;
24. Visais atvejais sutikimas turi būti gaunamas prieš atliekant duomenų tvarkymo operacijas (veiksmus), dėl kurių renkamas sutikimas.
25. Duomenų subjektas turi teisę bet kuriuo metu atšaukti savo sutikimą. Duomenų subjektui atšaukus sutikimą, draudžiama tvarkyti asmens duomenis tais tikslais ir atlikti duomenų tvarkymo operacijas (veiksmus), kurios buvo atliekamos tokio sutikimo pagrindu, išskyrus atvejus, kai tokiam duomenų tvarkymui egzistuoja kitas Taisyklėse ar Reglamente įtvirtintas asmens duomenų tvarkymo teisinis pagrindas. Sutikimui atšaukti yra sudaromos analogiškos sąlygos, kaip ir sutikimui duoti, draudžiama apsunkinti ar sudaryti papildomas sąlygas sutikimui atšaukti. Sutikimo atšaukimas negali sukelti duomenų subjektui neigiamų padarinių, įskaitant paslaugos kokybės sumažinimą. Sutikimo atšaukimas nedaro poveikio sutikimu pagrįsto duomenų tvarkymo, atlikto iki sutikimo atšaukimo, teisėtumui. Duomenų subjektas apie šiame punkte išdėstytas nuostatas privalo būti informuojamas prieš jam duodant sutikimą.
26. Ministerija imasi priemonių, kad sutikimai, kiek tai yra įmanoma atsižvelgiant į asmens duomenų tvarkymo tikslus ir apimtį, galiotų apibrėžtą terminą.
27. Sutikimas galioja iki jo atšaukimo momento arba iki sutikime nurodyto jo galiojimo termino pabaigos.
28. Sutikimas ir jame nurodyti asmens duomenys yra saugomi trejus metus nuo sutikimo atšaukimo arba jo galiojimo termino pabaigos, arba nuo Ministerijos sprendimo nebetvarkyti asmens duomenų sutikime nustatytais tikslais priėmimo dienos, išskyrus atvejus, kai teisės aktai numato kitokį duomenų saugojimo terminą. Jei sutikimo duomenys naudojami kaip įrodymai ikiteisminiame ar kitokiame tyrime, įskaitant ir Inspekcijos vykdomame tyrime, civilinėje, administracinėje ar baudžiamojoje byloje arba kitais įstatymų nustatytais atvejais, asmens duomenys gali būti saugomi tiek, kiek reikia šiems duomenų tvarkymo tikslams, ir sunaikinami nedelsiant, kai tampa nebereikalingi.
TREČIASIS SKIRSNIS
DUOMENŲ SUBJEKTŲ INFORMAVIMAS
30. Ministerija privalo informuoti duomenų subjektą apie jo asmens duomenų tvarkymo veiklą. Kai asmens duomenys gaunami iš paties duomenų subjekto, duomenų subjektui pateikiama informacija apie asmens duomenų tvarkymą, nurodyta Reglamento 13 straipsnyje, pagal Taisyklių 2 priede nustatytą formą.
31. Taisyklių 30 punkte nurodyta informacija duomenų subjektui pateikiama prieš gaunant asmens duomenis arba asmens duomenų gavimo metu.
32. Taisyklių 30 ir 31 punktai netaikomi, jeigu duomenų subjektas jau turi informaciją apie jo asmens duomenų tvarkymą, ir tokia apimtimi, kiek tos informacijos jis turi.
33. Kai asmens duomenys gaunami ne iš paties duomenų subjekto, Ministerija privalo duomenų subjektui pateikti informaciją apie asmens duomenų tvarkymą, nurodytą Reglamento 14 straipsnyje, pagal Taisyklių 2 priede nustatytą formą.
34. Kai asmens duomenys gaunami ne iš paties duomenų subjekto, šių Taisyklių 33 punkte nurodyta informacija duomenų subjektui pateikiama:
34.2. jeigu asmens duomenys bus naudojami ryšiams su duomenų subjektu palaikyti, – ne vėliau kaip pirmą kartą susisiekiant su tuo duomenų subjektu;
35. Taisyklių 33 ir 34 punktai netaikomi, jeigu:
35.2. tokios informacijos pateikimas yra neįmanomas arba tam reikėtų neproporcingų pastangų, arba jeigu dėl informavimo pareigos gali tapti neįmanoma pasiekti to tvarkymo tikslus arba ji gali sukliudyti pasiekti to tvarkymo tikslus. Tokiais atvejais Ministerija imasi tinkamų priemonių duomenų subjekto teisėms ir laisvėms ir teisėtiems interesams apsaugoti, įskaitant viešą informacijos apie asmens duomenų tvarkymą paskelbimą Ministerijos interneto svetainės skiltyje „Asmens duomenų apsauga“;
35.3. duomenų gavimas ar atskleidimas aiškiai nustatytas teisės aktuose, kurie taikomi Ministerijai;
36. Jei Ministerija ketina toliau tvarkyti asmens duomenis kitu tikslu, nei tas, kuriuo asmens duomenys buvo renkami, prieš toliau tvarkydama asmens duomenis Ministerija pateikia duomenų subjektui informaciją apie kitą tikslą ir informaciją, kaip nurodyta Taisyklių 2 priede.
III SKYRIUS
DUOMENŲ TVARKYMO VEIKLOS ĮRAŠAI
38. Ministerijoje yra tvarkomi duomenų tvarkymo veiklos įrašai pagal Taisyklėse patvirtintą formą (Taisyklių 3 priedas). Ministerijoje vykdoma asmens duomenų tvarkymo veikla privalo tiksliai atitikti duomenų tvarkymo veiklos įrašuose aprašytą veiklą.
39. Ministerijoje yra tvarkomi tik tie asmens duomenys ir tik tuo tikslu bei tuo teisiniu pagrindu, kurie nurodyti duomenų tvarkymo veiklos įrašuose.
41. Už duomenų tvarkymo veiklos įrašų registravimą atsakingas Ministerijos duomenų apsaugos pareigūnas.
42. Darbuotojai nedelsdami informuoja Ministerijos duomenų apsaugos pareigūną, jeigu Ministerijos duomenų tvarkymo veiklos įrašai neatitinka Ministerijos realaus poreikio dėl asmens duomenų tvarkymo, pateikdami duomenų tvarkymo veiklos įrašų užpildytą formą (Taisyklių 3 priedas).
43. Duomenų tvarkymo veiklos įrašai turi būti teisingi, aktualūs ir išsamūs, atspindėti realią Ministerijos duomenų tvarkymo veiklą.
44. Duomenų tvarkymo veiklos išrašai, gavus prašymą, pateikiami Inspekcijai jos prašyme nurodytais terminais.
45. Ministerijos duomenų apsaugos pareigūnas atlieka nuolatines patikras Ministerijoje, ar Ministerijoje vykdoma asmens duomenų tvarkymo veikla atitinka duomenų tvarkymo veiklos įrašus. Patikrų metu gali būti tikrinama tik konkreti duomenų tvarkymo operacija (veiksmas), konkrečios duomenų subjektų kategorijos duomenų tvarkymo veikla, konkretus duomenų tvarkymo veiklos epizodas. Patikros rezultatai yra įforminami protokolu, kuriame nurodoma, ar tikrinta Ministerijos vykdoma asmens duomenų tvarkymo veikla atitinka duomenų tvarkymo veiklos įrašus, nurodomi trūkumai, jeigu tokie nustatyti. Patikros protokolas yra teikiamas Ministerijos kancleriui. Patikros metu nustačius trūkumus, nedelsiant imamasi priemonių jiems ištaisyti.
IV SKYRIUS
MINISTERIJOS DUOMENŲ APSAUGOS PAREIGŪNAS
46. Ministerijos duomenų apsaugos pareigūnas atskaitingas švietimo, mokslo ir sporto ministrui. Ministerijos duomenų apsaugos pareigūnui negalint vykdyti funkcijų ir atlikti užduočių, švietimo, mokslo ir sporto ministras įsakymu paskiria jį pavaduojantį asmenį.
47. Ministerijos duomenų apsaugos pareigūno kontaktiniai duomenys (vardas, pavardė, el. pašto adresas ir telefono ryšio numeris) yra skelbiami Ministerijoje tokiu būdu, kad darbuotojams būtų aišku, jog konkretus asmuo yra duomenų apsaugos pareigūnas, taip pat jo funkcijos bei uždaviniai. Ministerijos duomenų apsaugos pareigūno kontaktiniai duomenys pranešami Inspekcijai, taip pat nurodomi Ministerijos internetinės svetainės skiltyje „Asmens duomenų apsauga“, sutikimo dėl asmens duomenų tvarkymo formoje (Taisyklių 1 priedas), informavimo apie asmens duomenų tvarkymą formoje (Taisyklių 2 priedas) ir kitose vietose, siekiant sudaryti galimybę suinteresuotiems asmenims be kliūčių susisiekti su Ministerijos duomenų apsaugos pareigūnu.
V SKYRIUS
DUOMENŲ SUBJEKTŲ TEISĖS IR JŲ ĮGYVENDINIMO TVARKA
49. Duomenų subjektai turi visas Reglamento III skyriuje įtvirtintas teises, pagrindinės iš jų:
50. Ministerija imasi visų būtinų priemonių, kad būtų užtikrintos visos duomenų subjektų teisės. Duomenų subjektų teisių įgyvendinimo tvarka įtvirtinta:
VI SKYRIUS
DARBUOTOJŲ ASMENS DUOMENŲ TVARKYMO YPATUMAI
51. Darbuotojų asmens duomenys yra tvarkomi šiais pagrindais: darbo sutarties ar kitos su darbuotoju sudarytos sutarties sudarymas ir vykdymas, valstybės tarnybos teisinių santykių pagrindas, teisės aktuose nustatytų teisinių prievolių vykdymas, Ministerijos ar trečiųjų asmenų teisėtas interesas (pavyzdžiui, Ministerijos materialinės nuosavybės apsauga, darbuotojų produktyvumo ir komunikacijos gerinimas, konfidencialios informacijos apsauga, asmens duomenų, už kuriuos atsakinga Ministerija, apsauga, turto ir interesų apsauga, darbuotojų bei kitų subjektų teisių ir saugumo užtikrinimas ir kt.).
52. Ministerijoje gali būti tvarkomi tik tie darbuotojų asmens duomenys, kurie yra būtini darbo sutarčiai / valstybės tarnybos teisinių santykių ar kitai su darbuotoju sudarytai sutarčiai sudaryti ir vykdyti, teisės aktuose nustatytoms Ministerijos teisinėms prievolėms vykdyti, konkrečiam Ministerijos teisėtam interesui apsaugoti. Darbuotojų duomenų tvarkymo tikslai numatyti duomenų tvarkymo veiklos įrašuose.
53. Ministerijoje draudžiama tvarkyti su darbu / valstybės tarnyba ir jų teisių įgyvendinimu nesusijusius (perteklinius) darbuotojų asmens duomenis, taip pat pateikti darbuotojo asmens duomenis tretiesiems asmenims, išskyrus Reglamente ir įstatymuose nustatytus atvejus.
54. Darbuotojai Taisyklių nustatyta tvarka yra informuojami apie jų asmens duomenų tvarkymą Ministerijos dokumentų valdymo sistemos (toliau – DVS) priemonėmis.
55. Draudžiama tvarkyti pretendento eiti pareigas arba dirbti darbus ir darbuotojo asmens duomenis apie apkaltinamuosius nuosprendžius ir nusikalstamas veikas, išskyrus atvejus, kai šie asmens duomenys būtini patikrinti, ar asmuo atitinka įstatymuose ir (ar) įgyvendinamuosiuose teisės aktuose nustatytus reikalavimus pareigoms eiti arba darbams dirbti ir atsakomybei teisės aktų nustatyta tvarka taikyti.
56. Pretendento eiti pareigas arba dirbti darbus asmens duomenis, susijusius su kvalifikacija, profesiniais gebėjimais ir dalykinėmis savybėmis, galima rinkti iš buvusio darbdavio / valstybės ir savivaldybių įstaigų, kurioje valstybės tarnautojas atliko valstybės tarnybą ar dirbo pagal darbo sutartis, prieš tai informavus pretendentą, o iš esamo darbdavio / valstybės ir savivaldybės įstaigos, kurioje valstybės tarnautojas atlieka valstybės tarnybą ar dirba pagal darbo sutartis, – tik pretendento sutikimu.
57. Viešai prieinami asmens duomenys apie pretendentą, pretenduojantį eiti pareigas arba dirbti darbus, ar darbuotojus gali būti renkami tik tiek ir tik tokia apimtimi, kiek tie asmens duomenys yra tiesiogiai reikalingi ir aktualūs darbo / valstybės tarnybos pareigoms ir funkcijoms, į kurias pretenduojama, vykdyti. Apie šią galimybę pretendentai yra informuojami darbo skelbime / priėmimo į valstybės tarnybą paskelbimo pranešime.
58. Pretendento eiti pareigas arba dirbti darbus, neatrinkto eiti pareigas arba dirbti darbus, asmens duomenys saugomi ne ilgiau nei 3 mėnesius nuo momento, kai pretendentui buvo pranešta, kad su juo nebus sudaryta darbo sutartis / pretendentas nebuvo atrinktas į valstybės tarnautojus. Ilgesnį terminą tokie asmens duomenys gali būti saugomi tik tada, jeigu yra gaunamas pretendento sutikimas, atitinkantis Taisyklėse įtvirtintus reikalavimus, arba atsiranda kitas teisinis pagrindas ilgiau saugoti duomenis.
59. Pasibaigus darbo / valstybės tarnybos teisiniams santykiams, nauji duomenys apie darbuotoją gali būti renkami tik esant teisiniam pagrindui ir tik tiek, kiek jie yra susiję ir būtini remiantis konkrečiu teisiniu pagrindu pagrįstam tikslui pasiekti. Apie tokį duomenų rinkimą darbuotojai yra informuojami pateikiant užpildytą Taisyklių 2 priedo formą.
60. Darbuotojas Ministerijos darbo / valstybės tarnybos funkcijoms vykdyti suteiktą kompiuterį, elektroninį paštą ir kitus Ministerijos įrenginius, prietaisus, įtaisus, informacijos ir ryšių technologijas, programinę įrangą naudoja tik su darbu / valstybės tarnyba susijusiais tikslais ir tik darbo / valstybės tarnybos funkcijoms vykdyti. Darbuotojams yra draudžiama naudoti kompiuterius, telefonus ir kitą Ministerijos suteiktą įrangą, prietaisus, įtaisus, informacijos ir ryšių technologijas, programinę įrangą asmeniniais tikslais, juose kaupti asmeninio pobūdžio informaciją, asmens duomenis, išskyrus Taisyklių 61 punkte numatytą išimtį. Jeigu darbuotojas naudoja kompiuterius, telefonus ir kitą Ministerijos suteiktą įrangą, prietaisus, įtaisus, informacijos ir ryšių technologijas, programinę įrangą asmeniniais tikslais, juose kaupia asmeninio pobūdžio informaciją ir asmens duomenis, darbuotojas prisiima riziką, kad tokią informaciją, asmens duomenis Ministerija gali sužinoti patikrinimo metu. Ministerija neužtikrina darbuotojų asmeninės informacijos konfidencialumo darbuotojams asmeniniais tikslais naudojant elektroninį paštą, internetą, socialinius tinklus ir programinę įrangą.
61. Interneto paslaugos gali būti naudojamos ir asmeniniais tikslais (socialinių tinklų naudojimas, asmeniniai mokestiniai ir bankiniai pervedimai, elektroninio pašto paslauga, momentiniai susirašinėjimai asmeniniais tikslais ir pan.), kiek tai netrukdo optimaliai ir kokybiškai atlikti darbo pareigas, nepažeidžiant Taisyklių 77 punkte nurodytų reikalavimų.
62. Darbuotojai, turintys nuotolinę prieigą prie Ministerijos infrastuktūros, privalo imtis visų priemonių, kad būtų užtikrintas informacijos ir duomenų saugumas bei konfidencialumas, o Ministerija privalo padėti darbuotojui įgyvendinti šią pareigą.
63. Nuolatinį Ministerijos darbuotojui suteikto kompiuterio, elektroninio pašto ir kitų Ministerijos įrenginių, prietaisų, įtaisų, informacijos ir ryšių technologijų, programinės įrangos stebėjimą ar tikrinimą vykdyti draudžiama. Ministerijos darbuotojams suteiktos darbo priemonės, įranga, įskaitant elektroninius paštus, kompiuterius, mobiliuosius telefonus, juose esantys asmens duomenys, kiti duomenys bei informacija gali būti tikrinami tik esant visoms šioms sąlygoms:
63.2. yra pagrindas manyti, kad darbuotojas padarė darbo / valstybės tarnybos pareigų pažeidimą arba vykdė veiklą, nesuderinamą su Ministerijos interesais, arba vykdė teisės aktams prieštaraujančią veiklą, arba Ministerija siekia patikrinti, ar darbuotojas tinkamai vykdo teisės aktų, įskaitant Ministerijos vidinių dokumentų, reikalavimus, arba egzistuoja kitos objektyvios tokį patikrinimą pagrindžiančios priežastys;
64. Taisyklėse įtvirtintas tikrinimas vykdomas limituota apimtimi, t. y. apibrėžtas konkretus laikotarpis, už kurį tikrinama, tikrinamas konkretaus projekto vykdymas, tikrinamas konkrečių funkcijų vykdymas ir tikrinamas tik tiek, kiek yra būtina išsiaiškinti Taisyklėse išdėstytas aplinkybes ir apginti Ministerijos interesus. Ministerijos duomenų apsaugos pareigūnas teikia konsultacijas, kad tikrinimas nepažeistų Reglamento, Taisyklių nuostatų bei duomenų subjektų teisės į privatumą.
65. Darbuotojai turi būti supažindinti su informacinių ir komunikacinių technologijų naudojimo bei darbuotojų stebėsenos ir kontrolės darbo vietoje tvarka.
66. Vaizdo stebėjimas ir garso įrašymas darbuotojų darbo vietose gali būti vykdomas tik tada, kai dėl darbo specifikos būtina užtikrinti asmenų, turto ar visuomenės saugumą, ir kitais atvejais, kai kiti būdai ar priemonės yra nepakankami ir (arba) netinkami siekiant išvardytų tikslų, išskyrus atvejus, kai tiesiogiai siekiama kontroliuoti darbo kokybę ir mastą. Apie vaizdo stebėjimą ir garso įrašymą konkrečioje vietoje informuojama vaizdiniu žymeniu matomoje vietoje.
VII SKYRIUS
VAIZDO DUOMENŲ TVARKYMO YPATUMAI
67. Vaizdo stebėjimas Ministerijos patalpose ar teritorijose, užtikrinant Reglamento, ADTAĮ, kitų įstatymų bei teisės aktų, reglamentuojančių asmens duomenų tvarkymą ir apsaugą, laikymąsi ir įgyvendinimą, vykdomas pagal švietimo, mokslo ir sporto ministro nustatytą asmens vaizdo duomenų tvarkymo tvarką.
68. Viešosios informacijos rengėjų ir (ar) skleidėjų, žurnalistų bei trečiųjų asmenų filmavimo, fotografavimo, garso ar vaizdo įrašų darymo, kitų techninio pobūdžio priemonių naudojimo (toliau – vaizdo ir garso fiksavimo techninės priemonės) Ministerijos patalpose ar Ministerijai, kaip valstybės institucijai, priskirtų funkcijų vykdymo metu ne Ministerijos patalpose principai ir tvarka:
68.1. darbuotojai privalo užtikrinti, kad vaizdo ir garso fiksavimo techninių priemonių naudojimo metu asmens duomenys (išskyrus tuos, kuriuos būtina ir teisėta atskleisti šių priemonių naudojimo metu) būtų apsaugoti nuo neteisėto jų užfiksavimo, t. y. darbo vietoje Ministerijos patalpose (ir (ar) darbuotojų funkcijų vykdymo metu ne Ministerijos patalpose) negali būti dokumentų, užrašų ir kitos informacijos, kurioje gali būti asmens duomenų (išskyrus tuos, kuriuos būtina ir teisėta atskleisti vaizdo ir garso fiksavimo techninių priemonių naudojimo metu);
68.2. jei reikalingą informaciją galima suteikti kitomis (lygiavertėmis) priemonėmis nei vaizdo ir garso fiksavimo techninės priemonės arba kitose (lygiavertėse) patalpose ir (ar) erdvėse (pvz., viešose erdvėse arba ne darbuotojų darbo vietose) ir dėl to jos turinys nenukentės, informaciją rekomenduojama pateikti lygiaverčiais būdais.
VIII SKYRIUS
GARSO ĮRAŠŲ DARYMAS
69. Darant garso įrašus užtikrinama, kad garso įrašų darymas ir tvarkymas atitiktų Taisyklių nuostatas.
70. Garso įrašų darymo ir tvarkymo Ministerijoje tikslai, garso įrašų saugojimo terminai bei garso įrašų darymo ir saugojimo tvarka numatyti Ministerijos darbo grupių, komisijų ir komitetų posėdžių darbo reglamentuose (nuostatuose). Pasibaigus Ministerijų komisijų ir komitetų posėdžių darbo reglamentuose nustatytam garso įrašų saugojimo terminui, garso įrašai sunaikinami ir toliau Ministerijoje nebesaugomi.
71. Duomenų subjektų teisės, susijusios su garso įrašų duomenų tvarkymu, įgyvendinamos pagal Taisyklių 50 punkte nurodytus teisės aktus. Įgyvendinant duomenų subjekto teisę susipažinti su tvarkomais savo asmens duomenimis, t. y. Ministerijoje saugomu garso įrašu, užtikrinama trečiųjų asmenų teisė į privatų gyvenimą, t. y. duomenų subjektui susipažinti gali būti pateikiama tik garso įrašo dalis, susijusi su pačiu duomenų subjektu.
72. Duomenų subjektas apie garso įrašo darymą ir garso įrašuose fiksuojamų asmens duomenų tvarkymą turi būti informuojamas prieš pradedant daryti garso įrašą. Už duomenų subjekto informavimą apie garso įrašo darymą ir garso įrašuose fiksuojamų asmens duomenų tvarkymą atsakingi Ministerijos darbo grupių, komisijų ir komitetų posėdžių sekretoriai.
IX SKYRIUS
ASMENS DUOMENŲ SAUGUMO NUOSTATOS
73. Ministerijoje taikomų tipinių asmens duomenų apsaugos priemonių sąrašas patvirtintas Taisyklių 4 priede.
74. Pagrindiniai asmens duomenų apsaugos užtikrinimo principai ir priemonės:
74.1. užtikrinama tinkama prieigos prie asmens duomenų apsauga, valdymas ir kontrolė. Ministerija užtikrina, kad prieigos teisės prie asmens duomenų būtų suteikiamos tik legaliems naudotojams ir tik tokia apimtimi, kiek jos būtinos darbuotojų pareiginėms funkcijoms atlikti arba siekiant tinkamai vykdyti asmens duomenų tvarkymo sutartį, sudarytą su asmens duomenų tvarkytoju. Prieigos teisės prie asmens duomenų naikinamos pasibaigus Ministerijos ir jo darbuotojo darbo santykiams, pasibaigus valstybės tarnybos teisiniams santykiams, pasikeitus darbo funkcijoms, kurioms vykdyti prieiga nereikalinga, taip pat nutraukus asmens duomenų tvarkymo sutartį, sudarytą su asmens duomenų tvarkytoju, ar šiai sutarčiai nustojus galioti;
74.2. su asmens duomenimis galima atlikti tik tuos veiksmus, kuriems atlikti naudotojui yra suteiktos teisės;
74.5. kompiuterinės darbo vietos, tarnybinės stotys ir kita techninė įranga, per kurią gali būti pasiekiami asmens duomenys, yra tinkamai apsaugota, vadovaujantis gerosiomis informacijos saugos praktikomis ir teisės aktų reikalavimais;
74.6. draudžiamas ir griežtai kontroliuojamas nelegalios (neleistinos) programinės įrangos naudojimas;
74.7. užtikrinama tinkama asmens duomenų apsauga nuo neteisėtos prieigos elektroninių ryšių priemonėmis;
74.9. kiti asmens duomenų saugos reikalavimai nustatomi ir įgyvendinami vadovaujantis Techniniais valstybės registrų (kadastrų), žinybinių registrų, valstybės informacinių sistemų ir kitų informacinių sistemų elektroninės informacijos saugos reikalavimais, patvirtintais Lietuvos Respublikos vidaus reikalų ministro 2013 m. spalio 4 d. įsakymu Nr. 1V-832 „Dėl Techninių valstybės registrų (kadastrų), žinybinių registrų, valstybės informacinių sistemų ir kitų informacinių sistemų elektroninės informacijos saugos reikalavimų patvirtinimo“, Bendrųjų elektroninės informacijos saugos reikalavimų aprašu, patvirtintu Lietuvos Respublikos Vyriausybės 2013 m. liepos 24 d. nutarimu Nr. 716 „Dėl Bendrųjų elektroninės informacijos saugos reikalavimų aprašo, Saugos dokumentų turinio gairių aprašo ir Elektroninės informacijos, sudarančios valstybės informacinius išteklius, svarbos įvertinimo ir valstybės informacinių sistemų, registrų ir kitų informacinių sistemų klasifikavimo gairių aprašo patvirtinimo“, Lietuvos Respublikos Vyriausybės 2018 m. rugpjūčio 13 d. nutarimu Nr. 818 „Dėl Lietuvos Respublikos kibernetinio saugumo įstatymo įgyvendinimo“;
75. Darbuotojams, kurie naudojasi Ministerijos suteiktu elektroniniu paštu, interneto prieiga ir kita informacinių ir komunikacinių technologijų įranga, draudžiama:
75.1. skelbti Ministerijos konfidencialią informaciją, vidinius dokumentus internete, jei tai nėra susiję su darbinių funkcijų vykdymu;
75.2. naudoti elektroninį paštą ir interneto prieigą asmeniniams komerciniams ar politiniams tikslams, Lietuvos Respublikos įstatymais draudžiamai veiklai, šmeižiančio, įžeidžiančio, grasinamojo pobūdžio ar visuomenės dorovės ir moralės principams prieštaraujančiai informacijai, kompiuterių virusams, masinei piktybiškai informacijai siųsti ar kitiems tikslams, kurie gali pažeisti Ministerijos ar kitų asmenų teisėtus interesus;
75.3. naudoti arba platinti tiesiogiai su darbu nesusijusią grafinę, garso ir vaizdo medžiagą, žaidimus ir programinę įrangą, naudoti duomenis, kurie gali sutrikdyti kompiuterių ar komunikacinių technologijų įrenginių, programinės įrangos funkcionavimą ir saugumą;
75.4. savarankiškai keisti, taisyti informacinių technologijų ir komunikacinių technologijų techninę ir programinę įrangą, išskyrus atvejus, kai tai susiję su tiesioginių funkcijų, t. y. techninės ir programinės įrangos priežiūros, vykdymu;
75.5. perduoti Ministerijai priklausančią informacinių technologijų ir komunikacinių technologijų techninę ir programinę įrangą tretiesiems asmenims, jei toks perdavimas nėra susijęs su darbinių funkcijų vykdymu ar gali bet kokiu būdu pakenkti Ministerijos interesams;
75.6. diegti, saugoti, naudoti, kopijuoti ar platinti bet kokią neautorizuotą, neteisėtą, autorių teises pažeidžiančią programinę įrangą;
X SKYRIUS
ASMENS DUOMENŲ SAUGUMO PAŽEIDIMŲ VALDYMAS
76. Asmens duomenų saugumo pažeidimų ir jų priežasčių klasifikavimą, pranešimo apie pažeidimus Ministerijai, Inspekcijai ir duomenų subjektams, pažeidimų tyrimo, pažeidimų ir jų pasekmių pašalinimo ir mažinimo, pažeidimų prevencijos ir dokumentavimo tvarką nustato Lietuvos Respublikos švietimo, mokslo ir sporto ministerijos asmens duomenų saugumo pažeidimų valdymo tvarkos aprašas, patvirtintas Lietuvos Respublikos švietimo, mokslo ir sporto ministro 2019 m. liepos 1 d. įsakymu Nr. V-678 „Dėl dokumentų, reglamentuojančių duomenų subjektų teises, patvirtinimo“.
XI SKYRIUS
POVEIKIO DUOMENŲ APSAUGAI VERTINIMAS IR KONSULTACIJOS SU PRIEŽIŪROS INSTITUCIJA
77. Tais atvejais, kai, atsižvelgiant į asmens duomenų ir duomenų subjektų kategoriją, duomenų tvarkymo pobūdį, aprėptį, kontekstą, tikslus, duomenų subjektų teisėms bei laisvėms gali kilti didelis pavojus, Ministerija, prieš pradėdama vykdyti duomenų tvarkymo operacijas (veiksmus) ir tvarkyti duomenis, atlieka numatytų duomenų tvarkymo operacijų poveikio duomenų apsaugai vertinimą.
78. Poveikis duomenų apsaugai vertinamas, kai:
78.1. duomenų tvarkymo operacija patenka į Duomenų tvarkymo operacijų, kurioms taikomas reikalavimas atlikti poveikio duomenų apsaugai vertinimą, sąrašą, patvirtintą Valstybinės duomenų apsaugos inspekcijos direktoriaus 2019 m. kovo 14 d. įsakymu Nr. 1T-35 (1.12. E) „Dėl Duomenų tvarkymo operacijų, kurioms taikomas reikalavimas atlikti poveikio duomenų apsaugai vertinimą, sąrašo patvirtinimo“ (toliau – Duomenų tvarkymo operacijų sąrašas), kurioms poveikio duomenų apsaugai vertinimas yra privalomas;
78.2. duomenų tvarkymo operacija nepatenka į Duomenų tvarkymo operacijų sąrašą, kurioms poveikio duomenų apsaugai vertinimo reikalavimas yra privalomas, tačiau Ministerija įvertina, kad duomenų tvarkymo operacija, atsižvelgiant į Taisyklių 79 punkte įtvirtintus kriterijus, duomenų subjektų teisėms bei laisvėms gali kelti didelį pavojų;
78.3. pasikeitus duomenų tvarkymo operacijų (veiksmų) įgyvendinimo sąlygoms ir kai tai gali lemti didelį pavojų duomenų subjektų teisėms ir laisvėms;
79. Ar duomenų tvarkymo operacijos (veiksmai) gali kelti didelį pavojų duomenų subjektų teisėms ir laisvėms, sprendžiama kiekvieną kartą atsižvelgiant į šiuos kriterijus:
79.2. neskelbtini duomenys arba labai asmeniški duomenys, pavyzdžiui, specialių kategorijų asmens duomenys;
79.3. didelio masto duomenų tvarkymas (susijusių duomenų subjektų skaičius, tvarkomų duomenų kiekis, tvarkomų duomenų įvairovė, duomenų tvarkymo veiklos trukmė ir pastovumas, geografinis duomenų tvarkymo mastas);
79.5. su pažeidžiamais duomenų subjektais susiję duomenys (pavyzdžiui, vaikų, darbuotojų, pažeidžiamų subjektų, kuriems reikalinga speciali apsauga, duomenys, kiti segmentai, kai galima nustatyti nelygiaverčius duomenų subjekto ir duomenų valdytojo santykius);
79.7. dėl duomenų tvarkymo duomenų subjektams užkertamas kelias naudotis savo teisėmis, paslaugomis arba sudaryti sutartis;
80. Kuo daugiau Taisyklių 79 punkte įtvirtintų kriterijų atitinka konkreti duomenų tvarkymo operacija (veiksmai), tuo didesnė tikimybė, kad duomenų tvarkymo operacija (veiksmai) gali kelti didelį pavojų duomenų subjektų teisėms ir laisvėms. Dėl poveikio duomenų apsaugai atlikimo būtinybės visais atvejais konsultuojamasi su Ministerijos duomenų apsaugos pareigūnu.
81. Jeigu duomenų tvarkymo operacija (veiksmai) atitinka du ir daugiau Taisyklių 79 punkte išdėstytų kriterijų, tačiau padaroma išvada, kad tokia duomenų tvarkymo operacija (veiksmai) negali kelti didelio pavojaus duomenų subjektų teisėms ir laisvėms, toks sprendimas ir jo argumentai išdėstomi raštu ir kartu su Ministerijos duomenų apsaugos pareigūno nuomone pateikiami Ministerijos kancleriui.
82. Poveikio duomenų apsaugai vertinimas turi būti atliktas prieš pradedant įgyvendinti duomenų tvarkymo operacijas (veiksmus).
83. Už poveikio duomenų apsaugai vertinimą kiekvienu konkrečiu atveju atsakingas Ministerijos padalinio (-ių), kuris (-ie) tvarkys asmens duomenis arba kuris (-ie) pagal kompetenciją formuoja politiką tam tikroje srityje, kurioje veikia Ministerijos valdomas registras ar informacinė sistema, kurioje bus tvarkomi duomenys, vadovas (-ai). Poveikio duomenų vertinimui atlikti gali būti pasitelkti išorės konsultantai, specialistai, ekspertai (teisininkai, informacinių technologijų specialistai, saugumo ekspertai, etikos specialistai ir pan.), jeigu Ministerijos žmogiškųjų, laiko išteklių nepakanka tinkamam poveikio duomenų apsaugai vertinimui atlikti.
84. Atlikus poveikio duomenų apsaugai vertinimą, asmuo ar asmenys, atlikę poveikio duomenų apsaugai vertinimą, užpildo poveikio duomenų apsaugai vertinimo ataskaitos formą (Taisyklių 5 priedas). Panašių didelius pavojus keliančių duomenų tvarkymo operacijų sekai išnagrinėti galima atlikti vieną poveikio duomenų apsaugai vertinimą.
85. Jeigu, atsižvelgiant į numatomą duomenų tvarkymo operacijos pobūdį, yra įmanoma, Ministerija siekia išsiaiškinti duomenų subjektų ar jų atstovų nuomonę apie numatytą duomenų tvarkymą, nepažeisdama komercinių ar viešųjų interesų apsaugos arba duomenų tvarkymo operacijų saugumo reikalavimų.
86. Visais atvejais poveikio duomenų apsaugai vertinimo ataskaita yra pateikiama Ministerijos kancleriui ir už sprendimo dėl vertinamos duomenų tvarkymo operacijos priėmimą bei jo įgyvendinimą atsakingam asmeniui (viceministrui arba padalinio vadovui pagal veiklos sritį).
87. Ministerija, prieš pradėdama duomenų tvarkymo operacijas (veiksmus), kurios gali kelti didelį pavojų duomenų subjektų teisėms ir laisvėms, privalo konsultuotis su Inspekcija Išankstinių konsultacijų teikimo taisyklių, patvirtintų Valstybinės duomenų apsaugos inspekcijos direktoriaus 2018 m. rugpjūčio 29 d. įsakymu Nr. 1T-84(1.12. E) „Dėl Išankstinių konsultacijų teikimo taisyklių patvirtinimo“, 2 punkte nustatytais atvejais.
88. Duomenų tvarkymo veiksmai, kurie gali sukelti didelį pavojų duomenų subjektų teisėms ir laisvėms, gali būti vykdomi tik tada, kai Ministerija visiškai ir tinkamai įgyvendina Inspekcijos rekomendacijas, nurodymus ir priemones, gautus konsultavimosi procedūros metu.
89. Prekės ir (ar) paslaugos, susijusios su duomenų tvarkymu tokiu būdu, kuris gali kelti didelį pavojų duomenų subjektų teisėms ir laisvėms, gali būti perkami tik tada, jeigu atitinkamos prekės ir (ar) paslaugos pardavėjas yra atlikęs poveikio duomenų apsaugai vertinimą, Ministerijai yra pateikiama susipažinti tokio vertinimo išvada ir pardavėjas patvirtina, kad jų produktas atitinka Reglamento reikalavimus.
XII SKYRIUS
ASMENS DUOMENŲ TVARKYMAS, KAI MINISTERIJA YRA DUOMENŲ TVARKYTOJA
91. Šio skyriaus nuostatos yra taikomos tais atvejais, kai Ministerija tvarko duomenis kaip duomenų tvarkytoja. Ministerijos, kaip duomenų tvarkytojos, duomenų tvarkymo veikla yra fiksuojama duomenų tvarkymo veiklos įrašų registre.
92. Ministerija turi teisę tvarkyti kitų duomenų valdytojų duomenis tik tada, jeigu duomenų valdytojas yra aiškiai nustatęs ir nurodęs duomenų tvarkymo dalyką ir trukmę, duomenų tvarkymo pobūdį ir tikslą, asmens duomenų rūšis ir duomenų subjektų kategorijas bei duomenų valdytojo prievoles ir teises.
93. Tais atvejais, kai Ministerija tvarko duomenis kaip duomenų tvarkytoja, Ministerija privalo laikytis duomenų valdytojo nustatyto duomenų tvarkymo tikslo, priemonių ir kitų duomenų tvarkymo sąlygų, taip pat privalo tvarkyti tik tokį kiekį duomenų ir tik tokią trukmę, kaip nurodyta duomenų valdytojo.
94. Ministerija turi teisę tvarkyti asmens duomenis kaip duomenų tvarkytoja tik esant bent vienam iš šių teisinių pagrindų:
94.1. sudaryta sutartis su duomenų valdytoju. Gali būti sudaryta atskira duomenų tvarkymo sutartis arba atskiros duomenų tvarkymo veiklos nuostatos įtrauktos į kitą sutartį;
95. Ministerija nepasitelkia kito duomenų tvarkytojo be išankstinio konkretaus arba bendro rašytinio duomenų valdytojo leidimo. Bendro rašytinio leidimo atveju Ministerija informuoja duomenų valdytoją apie visus planuojamus pakeitimus, susijusius su kitų duomenų tvarkytojų pasitelkimu ar pakeitimu, ir taip suteikia duomenų valdytojui galimybę nesutikti su tokiais pakeitimais.
96. Kai Ministerija konkrečiai duomenų tvarkymo veiklai duomenų valdytojo vardu atlikti pasitelkia kitą duomenų tvarkytoją, sutartimi ar kitu teisės aktu tam kitam duomenų tvarkytojui nustatomos tos pačios duomenų apsaugos prievolės, kaip ir prievolės, nustatytos Ministerijos teisės aktų bei duomenų valdytojo, visų pirma prievolė pakankamai užtikrinti, kad tinkamos techninės ir organizacinės priemonės bus įgyvendintos taip, kad duomenų tvarkymas atitiktų Reglamento reikalavimus.
97. Visais atvejais, be duomenų valdytojo nustatytų papildomų pareigų, Ministerija, tvarkydama duomenis kaip duomenų tvarkytoja, turi šias pareigas:
97.1. tvarkyti asmens duomenis tik pagal duomenų valdytojo dokumentais įformintus nurodymus, išskyrus atvejus, kai tai daryti reikalaujama pagal teisės aktų reikalavimus, kurie yra taikomi Ministerijai. Tokiu atveju Ministerija, prieš pradėdama tvarkyti duomenis, praneša apie tokį teisinį reikalavimą duomenų valdytojui, išskyrus atvejus, kai pagal teisės aktus toks pranešimas yra draudžiamas dėl svarbių viešojo intereso priežasčių;
97.2. užtikrinti, kad asmens duomenis tvarkyti įgalioti asmenys būtų įsipareigoję užtikrinti konfidencialumą;
97.3. imtis visų techninių ir organizacinių priemonių, kad būtų užtikrintas tvarkomų duomenų saugumas;
97.5. atsižvelgdama į duomenų tvarkymo pobūdį, padėti duomenų valdytojui, taikydama tinkamas technines ir organizacines priemones, kiek tai įmanoma, kad būtų įvykdyta duomenų valdytojo prievolė atsakyti į prašymus, susijusius su duomenų subjektų teisių įgyvendinimu;
97.6. padėti duomenų valdytojui įgyvendinti jo prievoles pranešti apie asmens duomenų saugumo pažeidimus bei atlikti poveikio duomenų apsaugai vertinimą, atsižvelgiant į duomenų tvarkymo pobūdį ir Ministerijos turimą informaciją;
97.7. užbaigus teikti su duomenų tvarkymu susijusias paslaugas, ištrinti arba grąžinti duomenų valdytojui visus asmens duomenis ir ištrinti esamas jų kopijas, išskyrus atvejus, kai teisės aktai nustato reikalavimą asmens duomenis saugoti;
XIII SKYRIUS
ASMENS DUOMENŲ PERDAVIMAS TRETIESIEMS ASMENIMS
99. Ministerija turi teisę sutarties pagrindu duomenų tvarkymo veiksmams atlikti pasitelkti duomenų tvarkytoją. Ministerija pasitelkia tik tuos duomenų tvarkytojus, kurie pakankamai užtikrina, kad tinkamos techninės ir organizacinės priemonės bus įgyvendintos taip, kad duomenų tvarkymas atitiktų Reglamento, ADTAĮ ir Taisyklių reikalavimus ir būtų užtikrintas duomenų subjekto teisių įgyvendinimas bei apsauga.
100. Ministerijos valdomų valstybės registro ir informacinės sistemos tvarkytojas (tvarkytojai) paskiriamas (paskiriami) teisės aktu, kuriuo tvirtinami valstybės registro nuostatai.
101. Sutartys su trečiaisiais asmenimis (duomenų tvarkytojais, duomenų gavėjais) rengiamos pagal Lietuvos Respublikos švietimo, mokslo ir sporto ministro 2019 m. rugpjūčio 23 d. įsakymą Nr. V-933 „Dėl pavyzdinių sutarčių formų patvirtinimo“.
102. Ministerija, prieš pasitelkdama konkretų duomenų tvarkytoją pagal sutartį, konsultuojasi su Ministerijos duomenų apsaugos pareigūnu, ar duomenų tvarkytojas pakankamai užtikrina, kad tinkamos techninės ir organizacinės priemonės bus įgyvendintos taip, kad duomenų tvarkymas atitiktų Reglamento, ADTAĮ ir Taisyklių reikalavimus ir būtų užtikrintas duomenų subjekto teisių įgyvendinimas ir apsauga.
103. Siekiant tinkamai valdyti asmens duomenų judėjimą, Ministerijoje yra tvarkomas Ministerijos duomenų tvarkytojų registras pagal formą (Taisyklių 6 priedas). Už Ministerijos duomenų tvarkytojų registro pildymą atsakingas Ministerijos duomenų apsaugos pareigūnas, kuris Ministerijos duomenų tvarkytojų registrą pildo pagal Ministerijos struktūrinių padalinių pateiktą informaciją.
XIV SKYRIUS
ASMENS DUOMENŲ PERDAVIMAS Į TREČIĄSIAS VALSTYBES IR TARPTAUTINES ORGANIZACIJAS
105. Perduoti asmens duomenis į trečiąją valstybę arba tarptautinę organizaciją galima tik esant bent vienai iš šių sąlygų:
105.1. yra priimtas Europos Komisijos sprendimas, kad atitinkama trečioji valstybė, teritorija arba vienas ar daugiau nurodytų sektorių toje trečioje valstybėje, arba atitinkama tarptautinė organizacija užtikrina tinkamo lygio apsaugą;
105.2. jeigu nėra priimtas sprendimas dėl tinkamo apsaugos lygio užtikrinimo arba nenustatytos tinkamos apsaugos priemonės, asmens duomenys gali būti perduoti į trečiąją valstybę arba tarptautinei organizacijai tik tuo atveju, jeigu Ministerija yra nustačiusi tinkamas apsaugos priemones, įskaitant tai, kad duomenų subjektams bus užtikrinta galimybė naudotis vykdytinomis duomenų subjektų teisėmis ir veiksmingomis duomenų subjektų teisių gynimo priemonėmis.
106. Jeigu nėra priimtas Komisijos sprendimas dėl tinkamo apsaugos lygio užtikrinimo arba nenustatytos tinkamos apsaugos priemonės, kaip nurodyta Reglamento 46 straipsnio 2 ir 3 dalyse, asmens duomenų perdavimas į trečiąją valstybę arba tarptautinei organizacijai gali būti atliekamas tik tada, jeigu duomenų valdytojas arba duomenų tvarkytojas yra nustatęs tinkamas apsaugos priemones, su sąlyga, kad suteikiama galimybė naudotis vykdytinomis duomenų subjektų teisėmis ir veiksmingomis duomenų subjektų teisių gynimo priemonėmis.
XV SKYRIUS
BAIGIAMOSIOS NUOSTATOS
107. Visais klausimais Ministerija bendradarbiauja ir komunikuoja su Inspekcija, kaip vadovaujančia priežiūros institucija, išskyrus atvejus, kai konkretų skundą ar Reglamento pažeidimą nagrinėja kita priežiūros institucija.
108. Per dvejus metus nuo Taisyklių įsigaliojimo atliekamas iki Taisyklių įsigaliojimo vykdomų duomenų tvarkymo operacijų (veiksmų), kurios gali kelti pavojų duomenų subjektų teisėms ir laisvėms, poveikio duomenų apsaugai vertinimas ir įgyvendinamos priemonės bei mechanizmai, kuriais užtikrinama asmens duomenų apsauga ir pagrindžiama, kad laikomasi Reglamento, ADTAĮ, Taisyklių ir kitų teisės aktų, atsižvelgiant į duomenų subjektų ir kitų susijusių asmenų teises ir teisėtus interesus. Dėl konkrečių duomenų tvarkymo operacijų (veiksmų), kurioms būtinas poveikio duomenų apsaugai vertinimas, Ministerijoje konsultuoja Ministerijos duomenų apsaugos pareigūnas.
109. Ministerijoje periodiškai, bet ne rečiau kaip kartą per metus, vyksta darbuotojų mokymai Reglamento taikymo ir įgyvendinimo bei kitais asmens duomenų apsaugos klausimais. Už mokymų organizavimą atsakingas Ministerijos duomenų apsaugos pareigūnas.
111. Ministerijoje periodiškai, bet ne rečiau kaip kartą per metus, vyksta Ministerijoje vykdomos asmens duomenų tvarkymo veiklos atitikties Reglamentui bei kitiems asmens duomenų apsaugą reglamentuojantiems teisės aktams patikra. Už patikros vykdymą yra atsakingas Ministerijos duomenų apsaugos pareigūnas. Patikros rezultatai įforminami ataskaitoje, kurioje nurodomi nustatyti trūkumai, jei tokie nustatyti, bei rekomendacijos, kaip trūkumus ištaisyti ar pagerinti Ministerijos asmens duomenų tvarkymo veiklą.
Asmens duomenų tvarkymo taisyklių
1 priedas
(Sutikimo dėl asmens duomenų tvarkymo pavyzdinė forma)
SUTIKIMAS DĖL ASMENS DUOMENŲ TVARKYMO
20__ m.___________________ __ d.
Nr.
__________________
(vieta)
Aš,_______________________________________________________________________,
(asmens vardas, pavardė / pavadinimas, gimimo data / įmonės kodas)
sutinku ir esu informuotas (-a), kad:
1. Lietuvos Respublikos švietimo, mokslo ir sporto ministerija (toliau – Ministerija) gautų ir tvarkytų toliau išvardytus mano asmens duomenis[1]:
___________________________________________________________________________________
_____________________________________________________________________________
2. Išvardyti asmens duomenys būtų tvarkomi šiais tikslais[2]:
________________________________________________________________________________
________________________________________________________________________________
3. Su išvardytais asmens duomenimis būtų atliekami šie tvarkymo veiksmai[3]:
________________________________________________________________________________
________________________________________________________________________________
4. Asmens duomenys būtų gaunami iš[4]:
manęs, _________________________________________________________________________
________________________________________________________________________________
5. Asmens duomenys būtų perduoti ______________________[5]. Duomenų gavėjai tokius asmens duomenis tvarkytų šiame sutikime nurodytais tikslais.
6. Ministerija duomenis tvarkys teisėtai, sąžiningai ir skaidriai, laikydamasi teisės aktų nustatytų reikalavimų, tik šiame sutikime nustatytais tikslais.
Ministerija naudoja įvairias saugumą užtikrinančias technologijas ir procedūras, siekdama apsaugoti Jūsų asmeninę informaciją nuo neteisėtos prieigos, naudojimo ar atskleidimo. Mūsų tiekėjai yra kruopščiai atrenkami, mes iš jų reikalaujame naudoti tinkamas priemones, galinčias apsaugoti Jūsų konfidencialumą ir užtikrinti Jūsų asmeninės informacijos saugumą. Vis dėlto informacijos perdavimo internetu ar mobiliuoju ryšiu saugumas negali būti užtikrintas; bet koks informacijos mums perdavimas nurodytais būdais yra vykdomas Jūsų pačių rizika.
7. Pasikeitus Jūsų asmens duomenims, tvarkomiems pagal šį sutikimą, prašome pranešti apie tai Ministerijai.
9. Duomenų valdytojas – Ministerija, A. Volano g. 2, 01124 Vilnius, tel. (8 5) 219 1225, el. p. [email protected], http://www.smm.lt.
10. Ministerijos duomenų apsaugos pareigūno kontaktai – el. pašto adresas [email protected], korespondencijos adresas A. Volano g. 2, 01124 Vilnius, – laišką adresuokite Ministerijos duomenų apsaugos pareigūnui.
11. Duomenų tvarkymo teisinis pagrindas – šiame sutikime nurodytų Jūsų asmens duomenų tvarkymo teisinis pagrindas yra šis sutikimas.
12. Be šio sutikimo 5 punkte nurodytų duomenų gavėjų, Jūsų asmens duomenys, surinkti šio sutikimo pagrindu, gali būti perduoti:
12.1. duomenų tvarkytojams, kurie atlieka tam tikrus darbus ir teikia paslaugas (pvz., informacinių technologijų bendrovės, kurios duomenis tvarko, kad užtikrintų informacinių sistemų kūrimą, tobulinimą ir palaikymą; bendrovės, kurios užtikrina pranešimų klientams siuntimą, teikia apsaugos ir kitas paslaugas, įskaitant teisės, finansų, mokesčių, verslo valdymo, personalo administravimo, buhalterinės apskaitos paslaugas);
12.2. teismui, teisėsaugos įstaigoms ar valstybės institucijoms tiek, kiek tokį teikimą nustato teisės aktų reikalavimai;
13. Žinau, kad turiu šias teises: teisė prašyti, kad būtų leista susipažinti su duomenimis ir juos ištaisyti arba ištrinti, teisė apriboti duomenų tvarkymą, teisė nesutikti, kad duomenys būtų tvarkomi, taip pat teisė į duomenų perkeliamumą. Šias teises galiu įgyvendinti teisės aktų nustatyta tvarka.
Prašymai dėl teisių įgyvendinimo Ministerijai turi būti pateikti raštu (įskaitant teikiamus elektroniniu formatu), taip pat turi būti įmanoma identifikuoti prašymą padavusio asmens bei duomenų subjekto tapatybę. Duomenų subjekto tapatybė nustatoma pagal tapatybę patvirtinantį dokumentą ar elektroninių ryšių priemonėmis, kurios leidžia tinkamai identifikuoti asmenį. Jei prašymą duomenų subjektas siunčia paštu ar per pasiuntinį, prie prašymo turi būti pridėta teisės aktų nustatyta tvarka patvirtinta duomenų subjekto asmens tapatybę patvirtinančio dokumento kopija. Kai dėl informacijos apie asmenį kreipiasi jo atstovas, jis turi pateikti atstovavimą patvirtinantį dokumentą ir savo tapatybę patvirtinantį dokumentą. Jei prašymas pateikiamas elektroniniu paštu, jis turi būti pasirašytas kvalifikuotu elektroniniu parašu.
Iškilus klausimų dėl duomenų subjektų teisių įgyvendinimo Ministerijoje, maloniai prašome kreiptis į Ministerijos duomenų apsaugos pareigūną 10 punkte nurodytais kontaktais.
14. Žinau, kad turiu teisę bet kada atšaukti šį sutikimą ir reikalauti nutraukti tolimesnį asmens duomenų tvarkymą, kuris yra vykdomas sutikimo pagrindu. Sutikimo atšaukimas nedaro poveikio sutikimu pagrįsto asmens duomenų tvarkymo, atlikto iki sutikimo atšaukimo, teisėtumui.
15. Asmens duomenų saugojimo laikotarpis. Šis sutikimas ir jame nurodyti mano asmens duomenys yra saugomi trejus metus nuo sutikimo atšaukimo arba jo galiojimo termino pabaigos arba nuo Ministerijos sprendimo nebetvarkyti asmens duomenų sutikime nustatytais tikslais priėmimo dienos. Asmens duomenys surinkti šio sutikimo pagrindu saugomi _________________.
Šis terminas gali būti pratęstas, jei asmens duomenys yra naudojami arba gali būti naudojami kaip įrodymai ar informacijos šaltinis ikiteisminiame ar kitokiame tyrime, įskaitant ir Valstybinės duomenų apsaugos inspekcijos vykdomame tyrime, civilinėje, administracinėje ar baudžiamojoje byloje arba kitais įstatymų nustatytais atvejais. Tokiu atveju asmens duomenys gali būti saugomi tiek, kiek reikalinga šiems duomenų tvarkymo tikslams, ir sunaikinami nedelsiant, kai tampa nebereikalingi.
16. Automatizuotų sprendimų priėmimai. Duomenys nebus naudojami automatizuotiems sprendimams priimti mano atžvilgiu, įskaitant profiliavimą.
17. Žinau, kad turiu teisę skųsti. Jeigu Jūs manote, kad Jūsų duomenis mes tvarkome pažeisdami duomenų apsaugos teisės aktų reikalavimus, mes visuomet pirmiausia prašome kreiptis tiesiogiai į mus. Jeigu Jūsų netenkins mūsų siūlomas problemos išsprendimo būdas arba, Jūsų nuomone, mes nesiimsime pagal Jūsų prašymą būtinų veiksmų, Jūs turėsite teisę pateikti skundą priežiūros institucijai, kuri Lietuvos Respublikoje yra Valstybinė duomenų apsaugos inspekcija (L. Sapiegos g. 17, LT-10312 Vilnius, tel. (8 5) 212 7532, el. paštas [email protected]).
Asmens duomenų tvarkymo taisyklių
2 priedas
(Informacijos apie asmens duomenų tvarkymą forma)
INFORMACIJA APIE ASMENS DUOMENŲ TVARKYMĄ
Vadovaudamiesi 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamento (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas) 13/14[6] straipsniu, teikiame Jums informaciją, susijusią su Jūsų duomenų tvarkymu:
1. Duomenų valdytojas – Lietuvos Respublikos švietimo, mokslo ir sporto ministerija (toliau – Ministerija), A. Volano g. 2, 01124 Vilnius, tel. (8 5) 219 1225, el. p. [email protected], http://www.smm.lt.
2. Ministerijos duomenų apsaugos pareigūno kontaktai – el. pašto adresas [email protected], korespondencijos adresas A. Volano g. 2, 01124 Vilnius, – laišką adresuokite Ministerijos duomenų apsaugos pareigūnui.
3. Duomenų tvarkymo tikslai. Toliau nurodyti Jūsų asmens duomenys yra tvarkomi šiais tikslais[7]:
4. Tvarkomi duomenys. Informuojame Jus, kad tvarkome šiuos Jūsų asmens duomenis[8]:
5. Duomenų tvarkymo teisinis pagrindas. Jūsų asmens duomenų tvarkymo teisinis pagrindas[9] – _______________________________________________________________________
_________________________________________________________________________________ [10].
6. Duomenų šaltinis. Pirmiau nurodyti Jūsų duomenys gauti iš[11] ____________________
__________________________________________________________________________________
7. Asmens duomenų gavėjai. Jūsų asmens duomenys gali būti perduoti[12]:
7.1. duomenų tvarkytojams, kurie atlieka tam tikrus darbus ir teikia paslaugas (informacinių technologijų bendrovės, kurios duomenis tvarko, kad užtikrintų informacinių sistemų kūrimą, tobulinimą ir palaikymą; bendrovės, kurios užtikrina pranešimų klientams siuntimą, teikia apsaugos ir kitas paslaugas, įskaitant teisės, finansų, mokesčių, verslo valdymo, personalo administravimo, buhalterinės apskaitos paslaugas);
7.2. teismui, teisėsaugos įstaigoms ar valstybės institucijoms tiek, kiek tokį teikimą nustato teisės aktų reikalavimai (pvz., antstoliams, teismams ir kt.);
7.3. kitiems fiziniams / juridiniams asmenims Jūsų sutikimu, jei toks sutikimas gaunamas dėl konkretaus atvejo;
8. Duomenų subjektų teisės. Informuojame Jus, kad turite šias teises: teisę prašyti, kad Jums būtų leista susipažinti su Jūsų asmens duomenimis ir juos ištaisyti arba ištrinti, teisę apriboti duomenų tvarkymą, teisę nesutikti, kad asmens duomenys būtų tvarkomi, taip pat teisę į asmens duomenų perkeliamumą. Šias teises galite įgyvendinti teisės aktų nustatyta tvarka.
Prašymai dėl teisių įgyvendinimo Ministerijai turi būti pateikti raštu (įskaitant ir elektroniniu formatu), taip pat turi būti įmanoma identifikuoti prašymą padavusio asmens bei duomenų subjekto tapatybę. Duomenų subjekto tapatybė nustatoma pagal tapatybę patvirtinantį dokumentą ar elektroninių ryšių priemonėmis, kurios leidžia tinkamai identifikuoti asmenį. Jei prašymą duomenų subjektas siunčia paštu ar per pasiuntinį, prie prašymo turi būti pridėta teisės aktų nustatyta tvarka patvirtinta duomenų subjekto asmens tapatybę patvirtinančio dokumento kopija. Kai dėl informacijos apie asmenį kreipiasi jo atstovas, jis turi pateikti atstovavimą patvirtinantį dokumentą ir atstovo tapatybę patvirtinantį dokumentą, jeigu nėra kitų protingų būdų nustatyti atstovo tapatybę.
Dėl duomenų subjektų teisių įgyvendinimo tvarkos maloniai prašome kreiptis į Ministerijos duomenų apsaugos pareigūną 2 punkte nurodytais kontaktais.
9. Jūs taip pat turite teisę bet kada atšaukti sutikimą tvarkyti Jūsų duomenis. Sutikimo atšaukimas nedaro poveikio sutikimu pagrįsto asmens duomenų tvarkymo, atlikto iki sutikimo atšaukimo, teisėtumui.[13]
10. Asmens duomenų saugojimo laikotarpis. Informuojame, kad Jūsų asmens duomenys bus saugomi ____________ laikotarpį[14]. Šis terminas gali būti pratęstas, jei asmens duomenys yra naudojami arba gali būti naudojami kaip įrodymai ar informacijos šaltinis ikiteisminiame ar kitokiame tyrime, įskaitant ir Valstybinės duomenų inspekcijos vykdomame tyrime, civilinėje, administracinėje ar baudžiamojoje byloje ar kitais įstatymų nustatytais atvejais. Tokiu atveju asmens duomenys gali būti saugomi tiek, kiek reikalinga šiems duomenų tvarkymo tikslams, ir sunaikinami nedelsiant, kai tampa nebereikalingi.
11. Automatizuotų sprendimų priėmimai. Informuojame, kad šie Jūsų duomenys nebus naudojami automatizuotiems sprendimams priimti Jūsų atžvilgiu, įskaitant profiliavimą.
12. Skundų teikimas. Informuojame, kad Jūs turite teisę skųsti Ministerijos veiksmus (neveikimą) Valstybinei duomenų apsaugos inspekcijai ir teismui teisės aktų nustatyta tvarka, taip pat skųsti teismui Valstybinės duomenų apsaugos inspekcijos veiksmus (neveikimą).
Asmens duomenų tvarkymo taisyklių
3 priedas
(Duomenų valdytojo duomenų tvarkymo veiklos įrašų forma)
| Duomenų valdytojas: |
||||||||||||
| Lietuvos Respublikos švietimo, mokslo ir sporto ministerija (toliau – Ministerija) |
||||||||||||
| A. Volano g. 2, 01124 Vilnius |
tel. (8 5) 219 1225 |
el. p. [email protected] |
http://www.smm.lt |
|||||||||
| Duomenų valdytojo atstovas (darbuotojas ar padalinys, atsakingas už asmens duomenų tvarkymą: |
||||||||||||
| Struktūrinio padalinio pavadinimas ir funkcijos tvarkant asmens duomenis |
||||||||||||
| Telefono ryšio numeris |
el. pašto adresas |
|
||||||||||
| Ministerijos duomenų apsaugos pareigūnas: |
||||||||||||
| Asmens duomenų apsaugos pareigūno vardas, pavardė |
||||||||||||
| Telefono ryšio numeris |
el. pašto adresas |
|
||||||||||
| Duomenų tvarkymo tikslas (pvz., įdarbinimas, personalo administravimas, tarnybinis tyrimas dėl tarnybinio nusižengimo, profilaktinis sveikatos tikrinimas, vaizdo konferencijų organizavimas, viešosios informacijos administravimas, patalpų ir teritorijos apsauga, įsigijimų vykdymas, asmenų aptarnavimas, paslaugų kokybės užtikrinimas, leidimų statyti automobilį išdavimas, visiškos materialinės atsakomybės sutarčių administravimas, įgaliojimų suteikimas ir t. t.) |
||||||||||||
| Duomenų tvarkymo teisinis pagrindas nurodoma Bendrojo duomenų apsaugos reglamento (toliau – BDAR) 6 straipsnio 1 dalies ir, jei taikoma, 9 straipsnio 2 dalies konkretus punktas ir, jei taikoma, Lietuvos Respublikos teisės aktas, kuris suteikia teisę tvarkyti asmens duomenis (pvz., Darbo kodeksas, Visuomenės informavimo įstatymas, Viešojo administravimo įstatymas, sutikimas ir t. t.) |
||||||||||||
| Duomenų subjektų kategorijų aprašymas (pvz., asmenys, pretenduojantys arba paskirti (priimti) į pareigas; asmenys, su kuriais sudaroma tarnybos (darbo) sutartis; asmenys, teikiami skatinti ar apdovanoti; asmenys, kurie prašo leidimo dirbti kitą darbą; asmenys, kurių atžvilgiu atliekamas tarnybinis tyrimas, ir kiti asmenys, susiję su teisės pažeidimo tyrimu; vaizdo konferencijų dalyviai, žurnalistai ir kiti asmenys, viešąją informaciją renkantys iš Ministerijos; asmenys, patenkantys į vaizdo stebėjimo lauką; klientai; ir t. t.). Esant kelioms duomenų subjektų grupėms, atskirai nurodomi kiekvienos duomenų subjektų grupės tvarkomi asmens duomenys (įskaitant ir specialių kategorijų asmens duomenis), jeigu tvarkomi duomenys yra skirtingi. |
||||||||||||
| Asmens duomenų kategorijų aprašymas (pvz., vardas, pavardė, gimimo data, adresas, vaizdo duomenys, priskaičiuotas darbo užmokestis, duomenys apie sveikatą, telefono pokalbio įrašas, IP adresas ir t. t.) |
||||||||||||
| Asmens duomenų gavėjų kategorijos (pvz., teisėsaugos institucijos, kurjerių tarnybos, bankai, Sodra, valstybės ir savivaldybių institucijos ir įstaigos teisės aktų nustatytoms funkcijoms vykdyti bei kiti fiziniai ir juridiniai asmenys, turintys teisę gauti duomenis, ir t. t.) |
||||||||||||
| Asmens duomenų šaltinis (pvz., tiesiogiai iš duomenų subjekto, iš Gyventojų registro, iš duomenų subjekto buvusio darbdavio, iš banko, iš vaizdo įrašymo priemonės, iš Sodros ir t. t.) |
||||||||||||
| Asmens duomenų perdavimai į trečiąją valstybę arba tarptautinei organizacijai (kai taikoma): |
||||||||||||
| Trečiosios valstybės arba tarptautinės organizacijos, kuriai perduodami asmens duomenys, pavadinimas: |
BDAR 49 straipsnio 1 dalies antroje pastraipoje nurodytais duomenų perdavimų atvejais tinkamų apsaugos priemonių dokumentai: |
|||||||||||
| Kita informacija, susijusi su asmens duomenų perdavimu |
||||||||||||
| Numatomi asmens duomenų saugojimo, ištrynimo terminai (kai įmanoma) (pvz., 10 metų po sutarties įvykdymo, 30 kalendorinių dienų, 3 mėn. nuo atrankos pabaigos, 6 mėn. nuo kandidato dokumentų gavimo ir t. t.) |
||||||||||||
| Asmens duomenų saugojimo vieta (pvz., rakinama spinta, darbuotojo kompiuteryje, Ministerijos serveryje, DVS, valstybės registre ar informacinėje sistemoje ir t. t.) |
||||||||||||
| Bendras duomenų saugumo priemonių (nurodytų BDAR 32 straipsnio 1 dalyje) aprašymas (kai įmanoma): |
||||||||||||
| Techninės saugumo priemonės: (pvz., programinė įranga yra nuolatos atnaujinama, aprūpinta ugniasienėmis ir antivirusinėmis programomis, daromos atsarginės duomenų kopijos, atliekamas duomenų šifravimas ir t. t.) |
Organizacinės saugumo priemonės: (pvz., informacinių sistemų ir duomenų bazių vartotojų teisių ribojimas ir kontrolė, asmenys, dirbantys su asmens duomenimis, yra saistomi teisės aktuose nustatytų konfidencialumo pareigų ir t. t.) |
|||||||||||
| Kita informacija (pvz., Pranešimo duomenų subjektui apie asmens duomenų tvarkymą pateikimo vieta (arba aplinkybės, dėl kurių neįmanoma informuoti duomenų subjekto apie jo duomenų tvarkymą), kitų duomenų subjekto teisių įgyvendinimo ypatumai, nuorodos į kitus su duomenų apsauga susijusius dokumentus (į poveikio duomenų apsaugai vertinimą, vidaus tvarkos taisykles, informaciją apie asmens duomenų tvarkymą ir t. t.) |
||||||||||||
| Duomenų įvedimo, keitimo data (-os), registravimo numeris, įvedusio asmens vardas, pavardė, parašas |
||||||||||||
| data |
registravimo numeris |
vardas |
pavardė |
parašas |
||||||||
|
||||||||||||
(Duomenų tvarkytojo duomenų tvarkymo veiklos įrašų forma)
| Duomenų tvarkytojas: |
||||||
| Lietuvos Respublikos švietimo, mokslo ir sporto ministerija |
||||||
| A. Volano g. 2, 01124 Vilnius |
tel. (8 5) 219 1225 |
el. p. [email protected] |
http://www.smm.lt |
|||
| Kiekvienas duomenų valdytojas (jei taikoma, – ir jo atstovas), kurio vardu veikia duomenų tvarkytojas: |
||||||
| Duomenų valdytojo pavadinimas (jei fizinis asmuo, – jo vardas ir pavardė) |
||||||
| Pašto adresas |
Telefono ryšio numeris |
Elektroninio pašto adresas |
Kitos ryšių priemonės (pvz., interneto svetainės adresas, el. siuntos pristatymo dėžutės adresas) |
|||
| Ministerijos duomenų apsaugos pareigūnas (jei taikoma): |
||||||
| Asmens duomenų apsaugos pareigūno vardas, pavardė |
||||||
| Telefono ryšio numeris |
el. pašto adresas |
|
||||
| Kiekvieno duomenų valdytojo vardu atliekamo duomenų tvarkymo kategorijos, t. y. atliekami asmens duomenų tvarkymo veiksmai (pvz., vaizdo stebėjimas, asmens duomenų saugojimas, naikinimas ir t. t.) |
||||||
| Asmens duomenų perdavimai į trečiąją valstybę arba tarptautinei organizacijai (kai taikoma): |
||||||
| Trečiosios valstybės arba tarptautinės organizacijos, kuriai perduodami asmens duomenys, pavadinimas: |
BDAR 49 straipsnio 1 dalies antroje pastraipoje nurodytais duomenų perdavimų atvejais tinkamų apsaugos priemonių dokumentai: |
|||||
| Kita informacija, susijusi su asmens duomenų perdavimu |
||||||
| Bendras duomenų saugumo priemonių (nurodytų BDAR 32 straipsnio 1 dalyje) aprašymas (kai įmanoma): |
||||||
| Techninės saugumo priemonės: (pvz., programinė įranga yra nuolatos atnaujinama, aprūpinta ugniasienėmis ir antivirusinėmis programomis, daromos atsarginės duomenų kopijos, atliekamas duomenų šifravimas ir t. t.) |
Organizacinės saugumo priemonės: (pvz., informacinių sistemų ir duomenų bazių vartotojų teisių ribojimas ir kontrolė, asmenys, dirbantys su asmens duomenimis, yra saistomi teisės aktuose nustatytų konfidencialumo pareigų ir t. t.) |
|||||
| Kita informacija (pvz., darbuotojai (skyriai), atsakingi už duomenų tvarkymą, nuorodos į kitus su duomenų apsauga susijusius dokumentus ir t. t.) |
||||||
| Duomenų įvedimo, keitimo data (-os) |
||||||
|
||||||
_____________
Asmens duomenų tvarkymo taisyklių
4 priedas
TIPINIŲ ASMENS DUOMENŲ APSAUGOS PRIEMONIŲ SĄRAŠAS
1. Fizinė prieiga prie kompiuterinės įrangos:
2. Programinės įrangos naudotojai:
2.2. prieigos prie asmens duomenų slaptažodžiai suteikiami, keičiami ir saugomi užtikrinant jų konfidencialumą;
3. Prieiga prie vidinio tinklo:
3.2. nutolę įrenginiai prie vidinio tinklo jungiasi saugiu ryšio kanalu (VPN, skirtinėmis linijomis ir pan.);
4. Atsarginių duomenų kopijų naudojimas:
5. Apsauga nuo vagystės:
5.1. ribojamas ir kontroliuojamas neįgaliotų asmenų patekimas į patalpas, kuriose saugomi asmens duomenys;
6. Apsauga nuo piktnaudžiavimo duomenų perdavimo tinklu:
7. Programinės įrangos klaidos:
8. Apsauga nuo kenkėjiškos programinės įrangos:
8.1. tarnybinėse stotyse ir kompiuterinėse darbo vietose įdiegtos ir nuolatos atnaujinamos vidinio tinklo antivirusinės programos;
9. Programinės įrangos naudojimas:
9.2. nuolat atliekama naudotojų kompiuterinėse darbo vietose naudojamos programinės įrangos kontrolė;
9.3. darbuotojams nesuteiktos teisės patiems diegti programinę įrangą, nebent tai nustatyta pareigybės aprašymuose;
10. Naudotojų švietimas:
11. Apsauga nuo duomenų perdavimo tinklo įrangos gedimų:
12. Apsauga nuo kompiuterinės įrangos gedimų:
14. Apsauga nuo ugnies:
15. Apsauga nuo užliejimo:
16. Apsauga nuo temperatūros ir drėgmės svyravimų:
18. Apsauga nuo elektros srovės tiekimo sutrikimų:
19. Apsauga nuo maitinimo ir ryšio linijų gedimų:
Asmens duomenų tvarkymo taisyklių
5 priedas
(Poveikio duomenų apsaugai vertinimo ataskaitos pavyzdinė forma)
POVEIKIO DUOMENŲ APSAUGAI VERTINIMO ATASKAITA
| Duomenų valdytojas: |
||||||||||||
| Lietuvos Respublikos švietimo, mokslo ir sporto ministerija (toliau – Ministerija) |
||||||||||||
| A. Volano g. 2, 01124 Vilnius |
tel. (8 5) 219 1225 |
el. p. [email protected] |
http://www.smm.lt |
|||||||||
| Duomenų valdytojo atstovas (darbuotojas ar padalinys, atsakingas už asmens duomenų tvarkymą): |
||||||||||||
| Struktūrinio padalinio pavadinimas ir funkcijos tvarkant asmens duomenis |
||||||||||||
| Telefono ryšio numeris |
el. pašto adresas |
|
||||||||||
| Ministerijos duomenų apsaugos pareigūnas: |
||||||||||||
| Asmens duomenų apsaugos pareigūno vardas, pavardė |
||||||||||||
| Telefono ryšio numeris |
el. pašto adresas |
|
||||||||||
| Priežastys, dėl kurių būtina atlikti poveikio duomenų apsaugai vertinimą: |
||||||||||||
| Planuojamos vykdyti veiklos aprašymas, jos tikslai ir planuojamos atlikti asmens duomenų tvarkymo operacijos. Paaiškinimas, kodėl būtina atlikti poveikio duomenų apsaugai vertinimą. Jei reikia, prie formos pridedami susiję dokumentai. |
||||||||||||
|
|
||||||||||||
| Asmens duomenų tvarkymo aprašymas |
||||||||||||
| Aprašomi asmens duomenų rinkimo, naudojimo, saugojimo ir naikinimo veiksmai, nurodoma, iš kokių šaltinių bus renkami duomenys, kam bus teikiami (galima pateikti asmens duomenų tvarkymo veiksmų schemą). Aprašoma, kokie asmens duomenų tvarkymo veiksmai gali kelti pavojų fizinių asmenų teisėms ir laisvėms. |
||||||||||||
|
|
||||||||||||
| Aprašomas tvarkymo mastas: kokių kategorijų asmens duomenys bus tvarkomi; ar bus tvarkomi specialių kategorijų asmens duomenys arba duomenys apie apkaltinamuosius nuosprendžius ir nusikalstamas veikas; kiek duomenų, kaip dažnai bus renkama ir naudojama; kaip ilgai bus saugomi asmens duomenys; nurodomas apytikslis duomenų subjektų skaičius bei geografinė duomenų tvarkymo aprėptis. |
||||||||||||
|
|
||||||||||||
| Aprašomas duomenų tvarkymo pobūdis: kokio pobūdžio santykiai sieja Jūsų įmonę su duomenų subjektais; ar duomenų subjektai turės galimybę kontroliuoti duomenų tvarkymą; ar duomenų subjektai gali numatyti, kad jų asmens duomenys bus tvarkomi šiuo būdu; ar bus tvarkomi vaikų ir kitų pažeidžiamų asmenų duomenys; įvertinama, ar toks duomenų tvarkymas yra saugus; ar duomenų tvarkymo technologijos yra naujos, ar egzistuojančios technologijos bus panaudotos kitokiu būdu; koks yra technologijų išsivystymo lygis šioje srityje; ar yra kokių nors visuomeninių ar pan. problemų ar klausimų, į kuriuos būtina atsižvelgti; nurodoma, ar yra įsipareigojimas laikytis patvirtinto elgesio kodekso ar patvirtinto sertifikavimo mechanizmo. |
||||||||||||
|
|
||||||||||||
| Aprašomi asmens duomenų tvarkymo tikslai: kokį rezultatą siekiama gauti; kokį poveikį tai turės fiziniams asmenims; kokia yra tokio duomenų tvarkymo nauda Jūsų įmonei bei kitiems asmenims. |
||||||||||||
|
|
||||||||||||
| Konsultacijos |
||||||||||||
| Aprašoma, kaip planuojama sužinoti suinteresuotų asmenų nuomonę, arba pagrindžiama, kodėl to daryti nebūtina: kokių asmenų nuomonę planuojama gauti; kokie asmenys bus pasitelkti Ministerijoje, ar bus pasitelkti duomenų tvarkytojai; ar planuojama konsultuotis su duomenų saugos ekspertais ar kitokių sričių ekspertais. |
||||||||||||
|
|
||||||||||||
| Būtinumo ir proporcingumo įvertinimas |
||||||||||||
| Aprašomas asmens duomenų tvarkymo teisėtumas ir tvarkymo proporcingumas: nurodomas teisėto tvarkymo pagrindas; įvertinama, ar tvarkant asmens duomenis bus pasiektas tikslas; ar tą patį rezultatą įmanoma pasiekti kitokiu būdu; kokiu būdu bus išvengta veiklos sutrikimų; kaip bus užtikrinta duomenų kokybė ir įgyvendintas duomenų kiekio mažinimo principas; kokia informacija bus pateikta duomenų subjektams; kaip Ministerija planuoja įgyvendinti duomenų subjektų teises; kokiu būdu bus užtikrinta, kad duomenų tvarkytojas laikytųsi reikalavimų; kokiu būdu bus užtikrintas į užsienio valstybes teikiamų asmens duomenų saugumas. |
||||||||||||
|
|
||||||||||||
| Pavojų nustatymas ir įvertinimas |
||||||||||||
| Aprašomas pavojaus ir poveikio fiziniam asmeniui pobūdis. Jei būtina, aprašoma susijusi verslo rizika. |
Žalos tikimybė |
Žalos sunkumas |
Bendras pavojaus lygis |
|||||||||
|
|
Mažai tikėtina, tikėtina ar labai tikėtina |
Minimali, reikšminga ar sunki |
Žemas, vidutinis ar aukštas |
|||||||||
|
|
|
|
|
|||||||||
| Priemonių sumažinti pavojų nustatymas |
||||||||||||
| Nurodomos papildomos priemonės, kurių galima imtis siekiant sumažinti ar panaikinti aukšto ar vidutinio lygio pavojus. |
||||||||||||
| Pavojus |
Priemonės sumažinti ar pašalinti pavojų |
Priemonės pritaikymo rezultatas |
Likęs pavojus |
Priemonė patvirtinta |
||||||||
|
|
|
Pašalinta, sumažinta, priimtina rizika |
Žemas, vidutinis ar aukštas |
Taip, ne |
||||||||
|
|
|
|
|
|
||||||||
| Išvados ir sprendimai |
||||||||||||
| Nurodomos priemonės ir įvardijamas likęs pavojus |
Vardas, pavardė, data, parašas |
Pastabos |
||||||||||
| Priemonės patvirtintos: |
|
Įtraukti numatytas priemones į veiklos planą, nustatant atlikimo terminą ir atsakingus asmenis |
||||||||||
| Likęs pavojus pripažintas priimtina rizika:
|
|
Jei priimtina rizika pripažintas aukšto lygio pavojus priimtinas, privaloma kreiptis dėl išankstinės konsultacijos į Valstybinę duomenų apsaugos inspekciją |
||||||||||
| Ministerijos duomenų apsaugos pareigūno nuomonė |
||||||||||||
| Ministerijos duomenų apsaugos pareigūno nuomonė turi būti pateikta dėl asmens duomenų tvarkymo teisėtumo, planuojamų priemonių pavojams mažinti ar pašalinti bei dėl galimybės toliau tvarkyti asmens duomenis. |
||||||||||||
| Nurodoma duomenų apsaugos pareigūno nuomonė:
|
||||||||||||
|
|
Vardas, pavardė, data, parašas |
|||||||||||
| Nurodoma, ar atsižvelgta į Ministerijos duomenų apsaugos pareigūno nuomonę |
||||||||||||
| Jeigu atmesta, pagrindžiama, kodėl. |
||||||||||||
|
|
||||||||||||
|
|
Vardas, pavardė, data, parašas |
|||||||||||
| Gautos kitų asmenų nuomonės |
||||||||||||
| Trumpai aprašomos kitų asmenų nuomonės ir nurodoma, ar į jas atsižvelgta. Jeigu sprendimas skiriasi nuo susijusių asmenų nuomonės, pagrindžiama, kodėl. |
||||||||||||
|
|
||||||||||||
|
|
Vardas, pavardė, data, parašas |
|||||||||||
| Už šio poveikio duomenų apsaugai vertinimo priežiūrą paskirtas atsakingas asmuo |
||||||||||||
| Trumpai aprašomos kitų asmenų nuomonės ir nurodoma, ar į jas atsižvelgta. Jeigu sprendimas skiriasi nuo susijusių asmenų nuomonės, pagrindžiama, kodėl. |
||||||||||||
|
|
||||||||||||
|
|
Vardas, pavardė, data, parašas |
|||||||||||
|
||||||||||||
_____________
Asmens duomenų tvarkymo taisyklių
6 priedas
(Lietuvos Respublikos švietimo, mokslo ir sporto ministerijos duomenų tvarkytojų registro forma)
LIETUVOS RESPUBLIKOS ŠVIETIMO, MOKSLO IR SPORTO MINISTERIJOS
DUOMENŲ TVARKYTOJŲ REGISTRAS
| Eil. Nr. |
Duomenų tvarkytojas |
Sutarties su duomenų tvarkytoju sudarymo data, pobūdis |
Perduotų asmens duomenų kategorijos ir duomenų subjektų kategorijos |
Perduotų duomenų tvarkymo tikslas |
Duomenų tvarkytojui duoti nurodymai |
Sutarties su duomenų tvarkytoju pasibaigimo data |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
_____________