VALSTYBINĖS ENERGETIKOS REGULIAVIMO TARYBOS
PIRMININKAS
ĮSAKYMAS
DĖL NAUDOJIMOSI energetikos darbuotojų ATESTAVIMO INFORMACINE SISTEMA sutarties IR ENERGETIKOS DARBUOTOJŲ ATESTAVIMO INFORMACINĖS SISTEMOS (edais) ASMENS DUOMENŲ TVARKYMO SUTARTIES PATVIRTINIMO
2024 m. d. Nr. O3E-
Vilnius
Vadovaudamasis Lietuvos Respublikos energetikos įstatymo 281 straipsnio 6 dalies 4 punktu ir Valstybinės energetikos reguliavimo tarybos nuostatų, patvirtintų Lietuvos Respublikos Vyriausybės 2002 m. lapkričio 7 d. nutarimu Nr. 1747 „Dėl Valstybinės energetikos reguliavimo tarybos nuostatų patvirtinimo“, 23.10 papunkčiu,
PATVIRTINTA
Valstybinės energetikos reguliavimo tarybos pirmininko
20 m. d. įsakymu Nr. O1E-
NAUDOJIMOSI ENERGETIKOS DARBUOTOJŲ ATESTAVIMO INFORMACINE SISTEMA (EDAIS) SUTARTIS
202_ m.__________ __d.
Vilnius
____________________, pagal Lietuvos Respublikos įstatymus įsteigta ir veikianti valstybės biudžetinė įstaiga, juridinio asmens kodas __________________, įsikūrusi adresu ____________________, telefono ryšio numeris _____________, elektroninio pašto adresas ____________, duomenys apie šį juridinį asmenį kaupiami ir saugomi Lietuvos Respublikos Juridinių asmenų registre, atstovaujama (vardas, pavardė, pareigos) _____________________, veikiančio (-ios) pagal __________________ nuostatus, patvirtintus _____________________ (toliau – Taryba), iš vienos pusės,,
ir
______________________, juridinio asmens kodas __________________, registruotos buveinės adresas: ______________________, telefono ryšio numeris _____________, elektroninio pašto adresas ____________, 202_ _________ _d. leidimas verstis energetikos darbuotojų atestavimo veikla Nr. _______, atstovaujama (vardas, pavardė, pareigos) _____________________, veikiančio (‑ios) pagal _____________________________ (toliau –Atestavimo įstaiga), toliau kartu vadinami Šalimis, o kiekvienas atskirai – Šalimi,
sudarė šią Naudojimosi Energetikos darbuotojų atestavimo informacine sistema (toliau – EDAIS) sutartį (toliau – Sutartis).
I SKYRIUS
SUTARTIES DALYKAS
1. Taryba suteikia Atestavimo įstaigai prieigą prie EDAIS, kad Atestavimo įstaiga neatlygintinai Sutartyje numatyta apimtimi ir sąlygomis vykdytų energetikos darbuotojų atestavimą.
II SKYRIUS
NAUDOJIMOSI EDAIS TEISINIS PAGRINDAS
3. Taryba ir Atestavimo įstaiga sutartiniuose teisiniuose naudojimosi EDAIS santykiuose ir naudodami EDAIS vadovaujasi šių teisės aktų nuostatomis, reglamentuojančios Šalių turimas teises ir pareigas bei vykdomas funkcijas, susijusias su energetikos darbuotojų atestavimu:
3.1. 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamentas (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas) (toliau – Reglamentas (ES) 2016/679);
3.5. Energetikos darbuotojų atestavimo tvarkos aprašas, patvirtintas Lietuvos Respublikos energetikos ministro 2012 m. lapkričio 7 d. įsakymo Nr. 1-220 „Dėl Energetikos darbuotojų atestavimo tvarkos aprašo patvirtinimo“;
3.6. Leidimų verstis energetikos darbuotojų atestavimo veikla išdavimo taisyklės, patvirtintos Lietuvos Respublikos energetikos ministro 2021 m. balandžio 30 d. įsakymu Nr. 1-99 „Dėl Leidimų verstis energetikos darbuotojų atestavimo veikla išdavimo taisyklių patvirtinimo“;
3.7. Bendroji energetikos darbuotojų atestavimo schema, patvirtinta Valstybinės energetikos reguliavimo tarybos 2020 m. gruodžio 18 d. nutarimu Nr. O3E-1458 „Dėl Bendrosios energetikos darbuotojų atestavimo schemos patvirtinimo“ (toliau – Bendroji atestavimo schema);
3.8. Atestavimo įstaigų kompetencijos vertinimo taisyklės, patvirtintos Valstybinės energetikos reguliavimo tarybos 2021 m. gegužės 17 d. nutarimu Nr. O3E-578 „Dėl Atestavimo įstaigų kompetencijos vertinimo taisyklių patvirtinimo“;
3.9. Energetikos darbuotojų atestavimo informacinės sistemos nuostatai, patvirtinti Valstybinės energetikos reguliavimo tarybos pirmininko 2021 m. lapkričio 11 d. įsakymu Nr. O1E-304 „Dėl Energetikos darbuotojų atestavimo informacinės sistemos nuostatų ir Energetikos darbuotojų atestavimo informacinės sistemos duomenų saugos nuostatų patvirtinimo“ (toliau – EDAIS nuostatai);
3.10. Energetikos darbuotojų atestavimo informacinės sistemos duomenų saugos nuostatai, patvirtinti Valstybinės energetikos reguliavimo tarybos pirmininko 2021 m. lapkričio 11 d. įsakymu Nr. O1E-304 „Dėl Energetikos darbuotojų atestavimo informacinės sistemos nuostatų ir Energetikos darbuotojų atestavimo informacinės sistemos duomenų saugos nuostatų patvirtinimo“ (toliau – EDAIS Duomenų saugos nuostatai);
3.11. Valstybinės energetikos reguliavimo tarybos Energetikos darbuotojų atestavimo informacinės sistemos naudotojų administravimo taisyklės, patvirtintos Valstybinės energetikos reguliavimo tarybos pirmininko 2022 m. balandžio 1 d. įsakymu Nr. O1E-82 „Dėl Energetikos darbuotojų atestavimo informacinės sistemos saugos politiką įgyvendinančių dokumentų patvirtinimo“ (toliau – EDAIS Naudotojų administravimo taisyklės);
3.12. Valstybinės energetikos reguliavimo tarybos Energetikos darbuotojų atestavimo informacinės sistemos veiklos tęstinumo valdymo planas, patvirtintas Valstybinės energetikos reguliavimo tarybos pirmininko 2022 m. balandžio 1 d. įsakymu Nr. O1E-82 „Dėl energetikos darbuotojų atestavimo informacinės sistemos saugos politiką įgyvendinančių dokumentų patvirtinimo“ (toliau – EDAIS Veiklos tęstinumo valdymo planas);
3.13. Valstybinės energetikos reguliavimo tarybos Energetikos darbuotojų atestavimo informacinės sistemos saugaus elektroninės informacijos tvarkymo taisyklės, patvirtintos Valstybinės energetikos reguliavimo tarybos pirmininko 2022 m. balandžio 1 d. įsakymu Nr. O1E-82 „Dėl energetikos darbuotojų atestavimo informacinės sistemos saugos politiką įgyvendinančių dokumentų patvirtinimo“ (toliau – EDAIS Saugaus elektroninės informacijos tvarkymo taisyklės).
III SKYRIUS
PRIEIGOS PRIE EDAIS SUTEIKIMO IR VALDYMO TVARKA
4. Taryba įsipareigoja sudaryti sąlygas Atestavimo įstaigos įgaliotiems darbuotojams jungtis prie EDAIS.
5. Atestavimo įstaiga privalo paskirti bent vieną Atestavimo įstaigos EDAIS administratorių, kuriam prieiga prie EDAIS suteikiama ir valdoma šia tvarka:
5.1. Atestavimo įstaiga pateikia Tarybai Sutarties 1 priede numatytą prašymą, jame nurodytiems asmenims suteikti EDAIS administratoriaus prieigą.
5.2. Kartu su prašymu Atestavimo įstaiga privalo pateikti Tarybai šiuos dokumentus:
5.2.1. Atestavimo įstaigos EDAIS administratoriaus pasirašytą konfidencialumo pasižadėjimą (2 priedas).
5.3. Pagrindinis EDAIS administratorius Atestavimo įstaigos EDAIS administratoriaus paskyrą sukuria ne vėliau nei per 5 (penkias) darbo dienas nuo prašymo suteikti Atestavimo įstaigos EDAIS administratoriui prieigą ir visų Sutarties 5.2 punkte nurodytų dokumentų gavimo.
5.4. Atestavimo įstaigoje esant paskirtiems dviem Atestavimo įstaigos EDAIS administratoriams ir esant poreikiui pakeisti vieną iš jų, Atestavimo įstaiga Tarybai turi pateikti nustatytos formos prašymą (1 priedas), nurodydama asmenį, kuriam prašoma suteikti Atestavimo įstaigos EDAIS administratoriaus prieigos teises, ir Atestavimo įstaigos EDAIS administratorių, kuriam turi būti panaikinta prieiga. Tokiu atveju prašyme data nuo kurios turi būti suteiktos prieigos prie EDAIS teisės negali būti ankstesnė nei data nuo kada jau esamam Atestavimo įstaigos EDAIS administratoriui turi būti panaikintos minėtos teisės.
5.5. Atestavimo įstaiga ne vėliau nei per 3 (tris) darbo dienas privalo informuoti Pagrindinį EDAIS administratorių apie Atestavimo įstaigos EDAIS administratoriaus duomenų, nurodytų teikiant Sutarties 5.1 punkte nurodytą prašymą, pasikeitimą.
5.6. Atestavimo įstaiga privalo nedelsiant, bet ne vėliau nei iki tos dienos, kai Atestavimo įstaigos EDAIS administratorius neteks teisių tvarkyti EDAIS duomenis, apie tai informuoti Tarybą pateikiant Sutarties 1 priede numatytą prašymą panaikinti prieigos teises administratoriui.
6. Esant poreikiui Atestavimo įstaigos EDAIS administratoriui vykdyti funkcijas nereikalaujančias privilegijuotos prieigos, kaip ji yra apibrėžta Naudotojų administravimo taisyklėse, tokių, rizikos nekeliančių, funkcijų atlikimui jis privalo naudotis neprivilegijuoto naudotojo paskyra.
7. Be Sutarties 5.2.2. punkte nurodytų Atestavimo įstaigos EDAIS administratoriui nustatytų teisių ir pareigų, Atestavimo įstaigos EDAIS administratorius:
7.1. Naudotojų administravimo taisyklių nustatyta tvarka suteikia ir naikina prieigas prie EDAIS kitiems Atestavimo įstaigos įgaliotiems darbuotojams;
7.2. Identifikavęs ne Lietuvos Respublikos piliečio tapatybę, Naudotojų administravimo taisyklių nustatyta tvarka suteikia ir naikina prieigas atestuotis pageidaujantiems energetikos darbuotojams, ne Lietuvos Respublikos piliečiams bei suteikia jiems unikalias pirminio prisijungimo prie EDAIS nuorodas.
8. Pirmo prisijungimo prie EDAIS metu Atestavimo įstaigos EDAIS administratorius, Atestavimo įstaigos įgalioti darbuotojai EDAIS priemonėmis supažindinami su EDAIS Duomenų saugos nuostatais ir EDAIS saugos politiką įgyvendinančiais teisės aktais bei atsakomybe už šių reikalavimų nesilaikymą. EDAIS atnaujinus teisės aktą, Atestavimo įstaigos įgaliotiems darbuotojams jis pateikiamas susipažinti kito prisijungimo metu.
9. Taryba įsipareigoja pasikeitus teisės aktams, atnaujinti atitinkamus teisės aktus EDAIS ir Sutarties 3 priede.
10. Atestavimo įstaigos EDAIS administratorius privalo panaikinti įgaliotų darbuotojų paskyras, jei nustatomas neteisėtas duomenų tvarkymas arba kyla įtarimų, kad Atestavimo įstaigos įgalioti darbuotojai piktnaudžiauja suteiktomis prieigos teisėmis ir gali pažeisti EDAIS arba joje tvarkomų duomenų saugumą. Atestavimo įstaigos EDAIS administratorius privalo nedelsiant, bet ne vėliau nei iki tos dienos, kai Atestavimo įstaigos įgalioti darbuotojai neteks teisių tvarkyti EDAIS duomenis, panaikinti įgaliotų darbuotojų paskyras.
11. Pagrindinis EDAIS administratorius turi teisę sustabdyti Atestavimo įstaigos EDAIS administratoriaus prieigą, jei nustatomas neteisėtas duomenų naudojimas arba kyla įtarimų, kad Atestavimo įstaigos EDAIS administratorius piktnaudžiauja suteiktomis prieigos teisėmis ir gali pažeisti EDAIS arba joje tvarkomų duomenų saugumą. Pagrindinis EDAIS saugos įgaliotinis nedelsiant informuoja Atestavimo įstaigos saugos įgaliotinį Sutarties 4 priede nurodytais kontaktais apie minėtos prieigos sustabdymą ir sustabdymo priežastis.
12. Atestavimo įstaigai pašalinus keliamas grėsmes arba dingus aplinkybėms, dėl kurių buvo sustabdyta Atestavimo įstaigos EDAIS administratoriaus prieiga, Pagrindinis EDAIS administratorius per 1 (vieną) darbo dieną atstato Atestavimo įstaigos EDAIS administratoriaus prieigą.
13. Sutarties 31 punkte numatytais atvejais Pagrindinis EDAIS administratorius sustabdo visas Atestavimo įstaigos prieigas prie EDAIS ir raštu informuoja Pagrindinį EDAIS saugos įgaliotinį. Pagrindinis EDAIS saugos įgaliotinis nedelsiant informuoja Sutarties 4 priede nurodytais kontaktais Atestavimo įstaigos saugos įgaliotinį apie Atestavimo įstaigos prieigų sustabdymą ir sustabdymo priežastis. Prieigos stabdomos kol nebus pašalintos Sutarties galiojimo sustabdymą nulėmusios aplinkybės. Prieigų stabdymas panaikinamas, kai Atestavimo įstaiga pašalina Sutarties sustabdymą lėmusias priežastis ir apie tai raštu informuoja Pagrindinį EDAIS administratorių.
IV SKYRIUS
TARYBOS TEISĖS
14. Be Sutarties 3 punkte nurodytuose teisės aktuose numatytų teisių Taryba turi ir šias teises:
14.1. Prašyti Atestavimo įstaigos pateikti visų Atestavimo įstaigos įgaliotų darbuotojų pasirašytų konfidencialumo pasižadėjimų originalus;
V SKYRIUS
ATESTAVIMO ĮSTAIGOS TEISĖS IR PAREIGOS
15. Be Sutarties 3 punkte nurodytuose teisės aktuose numatytų teisių Atestavimo įstaiga turi šias teises:
16. Be Sutarties 3 punkte nurodytuose teisės aktuose numatytų pareigų Atestavimo įstaiga turi šias pareigas:
16.1. Privalo užtikrinti, kad Atestavimo įstaigos įgaliotų darbuotojų atliekami veiksmai nekeltų grėsmės EDAIS veikimui ir EDAIS tvarkomų duomenų saugumui;
16.2. Privalo suteikti Pagrindiniam EDAIS administratoriui informaciją apie Atestavimo įstaigos prisijungimams prie EDAIS naudojamus IP adresus bei nedelsiant informuoti apie šių IP adresų pasikeitimus;
16.4. Užtikrinti, kad EDAIS duomenis Atestavimo įstaigos vardu tvarkytų ar galėtų susipažinti tik atitinkamos įgaliojimus turintys Atestavimo įstaigos įgalioti darbuotojai;
16.5. Laikytis EDAIS veiklos tęstinumo valdymo plane įtvirtintų reikalavimų, įskaitant Atestavimo įstaigos EDAIS administratorių pareigą dalyvauti Valdymo grupės ir Atkūrimo grupės veikloje, kai šių grupių vadovai pasitelkia juos kaip konsultantus;
16.6. Privalo užtikrinti, kad jo įgalioti darbuotojai būtų supažindinami ir laikytųsi teisės aktų ir rekomendacijų, susijusių su naudojimusi EDAIS, įskaitant, bet neapsiribojant, Sutarties 3 punkte nurodytus teisės aktus;
16.7. Privalo užtikrinti, kad Atestavimo įstaigos EDAIS administratoriai būtų reikiamos kvalifikacijos, turėtų informacinių technologijų srities išsilavinimą arba dokumentais patvirtintą informacinių sistemų administravimo patirti;
16.8. Privalo saugoti ir apskaityti savo įgaliotų darbuotojų pasirašytų konfidencialumo pasižadėjimų originalus ir Tarybos prašymu juos nedelsiant pateikti Tarybai;
16.9. Sudaryti sąlygas ir bendradarbiauti su Taryba, pastarajam įgyvendinant savo teisę vykdyti Atestavimo įstaigos veiklos kontrolę, vadovaujantis sutarties 3.6 punkte nurodytomis taisyklėmis. Dėl objektyvių aplinkybių (pvz., dėl epidemiologinės situacijos, gaisro, kitų institucijų vykdomų patikrinimų ir pan.) neturint galimybių sudaryti sąlygas Tarybos įgaliotiems asmenims atlikti vertinimą Tarybos rašte nurodytą dieną, Atestavimo įstaiga privalo ne vėliau nei per 1 (vieną) darbo dieną nuo objektyvių aplinkybių atsiradimo momento, raštu informuoti apie tai Tarybą. Atestavimo įstaiga privalo pagrįsti objektyvių aplinkybių egzistavimą ir (arba) pateikti įrodymus, patvirtinančius jų egzistavimą. Atestavimo įstaiga privalo nurodyti artimiausią įmanomą patikrinimo atlikimo datą arba pagrindimą, kodėl tokios datos Atestavimo įstaiga neturi galimybės nurodyti. Išnykus aplinkybėms dėl kurių Atestavimo įstaiga, neturėjo galimybių nurodyti artimiausią įmanomą patikrinimo datą, Atestavimo įstaiga privalo ne vėliau nei per 1 (vieną) darbo dieną nuo artimiausios įmanomos patikrinimo datos nustatymo dienos raštu informuoti apie tai Tarybą. Atestavimo įstaiga privalo nedelsiant, bet vėliau nei per 1 (vieną) darbo dieną informuoti Tarybą apie objektyvių aplinkybių, dėl kurių negalėjo įvykti Atestavimo įstaigos patalpų ar (ir) techninių, kompiuterinių ir kitų priemonių vertinimas, pašalinimą ar išnykimą;
16.10. Atestavimo įstaiga privalo nedelsiant EDAIS įvesti duomenis apie Atestavimo įstaigos atestuojamų energetikos darbuotojų pažymėjimų išdavimą, išduotų pažymėjimų galiojimo sustabdymą, galiojimo sustabdymo panaikinimą ir pažymėjimo galiojimo panaikinimą. Energetikos darbuotojų pažymėjimų duomenų tvarkymas turi būti vykdomas vadovaujantis Bendroje atestavimo schemoje įtvirtintomis nuostatomis.
VI SKYRIUS
ŠALIŲ ATSAKOMYBĖ IR GINČŲ SPRENDIMO TVARKA
18. Už sutartinių įsipareigojimų nevykdymą ar netinkamą vykdymą Šalys atsako šioje Sutartyje ir Lietuvos Respublikos teisės aktuose nustatyta tvarka.
19. Bet kokie nesutarimai ar ginčai, kylantys tarp Šalių dėl Sutarties, sprendžiami derybų būdu. Jeigu Šalims nepavyksta per protingą terminą šių ginčų išspręsti derybomis, ginčai sprendžiami Lietuvos Respublikos teismuose, konkretų ginčą nagrinėjantį teismą nustatant pagal Atestavimo įstaigos buveinės vietą, bei vadovaujantis Lietuvos Respublikos įstatymų nustatyta tvarka.
VII SKYRIUS
NENUGALIMOS JĖGOS (FORCE MAJEURE) APLINKYBĖS
20. Bet kuri Šalis atleidžiama nuo atsakomybės už savo sutartinių įsipareigojimų nevykdymą ar netinkamą vykdymą, jei įrodo, kad toks nevykdymas ar netinkamas vykdymas buvo nulemtas nenugalimos jėgos (force majeure) aplinkybių, kurių ji negalėjo kontroliuoti bei protingai numatyti Sutarties sudarymo metu, ir kad negalėjo užkirsti kelio šių aplinkybių ar jų pasekmių atsiradimui. Šalys nenugalimos jėgos (force majeure) aplinkybėmis susitaria laikyti aplinkybes, kaip jos reglamentuotos Lietuvos Respublikos civilinio kodekso 6.212 straipsnyje ir Lietuvos Respublikos Vyriausybės 1996 m. liepos 15 d. nutarimu Nr. 840 „ Dėl Atleidimo nuo atsakomybės esant nenugalimos jėgos (force majeure) aplinkybėms taisyklių patvirtinimo ”.
21. Šalis privalo pranešti kitai Šaliai apie nenugalimos jėgos (force majeure) aplinkybių atsiradimą ir jų įtaką Sutarties įvykdymui nedelsdama, bet ne vėliau kaip per 3 (tris) darbo dienas po to, kai Sutarties neįvykdžiusi Šalis sužinojo ar turėjo sužinoti apie tą aplinkybę.
22. Pranešimas apie nenugalimos jėgos (force majeure) aplinkybių atsiradimą turi būti pateikiamas Sutarties 37 punkte numatyta tvarka. Šalis, laiku nepranešusi kitai Šaliai apie nenugalimos jėgos (force majeure) aplinkybes, negali jomis remtis kaip atleidimo nuo atsakomybės už Sutarties nevykdymą pagrindu bei privalo kitai Šaliai atlyginti nuostolius, susijusius su negautu ar ne Sutartyje nustatytu terminu gautu pranešimu.
VIII SKYRIUS
KONFIDENCIALUMAS
23. Šalys susitaria, kad konfidencialia informacija laikoma:
23.1. Duomenys, susiję su vykdomų energetikos darbuotojų atestavimo procedūromis, įskaitant, bet neapsiribojant, atestavimams naudojamų klausimynų turinį.
23.2. Duomenys, susiję su taikomomis EDAIS saugumo priemonėmis, įskaitant, bet neapsiribojant, EDAIS naudotojų prisijungimo duomenis, informaciją apie Tarybos ar Atestavimo įstaigos taikomus EDAIS saugumo sprendimus.
25. Šalys susitaria neatskleisti konfidencialios informacijos jokiai trečiai šaliai be išankstinio raštiško ją pateikusios Šalies sutikimo, išskyrus atvejus, kai tam tikros informacijos atskleidimas yra tiesioginis šia Sutartimi prisiimtų įsipareigojimų vykdymas. Asmuo, kuriam Šalis atskleidžia konfidencialią informaciją, turi prisiimti konfidencialumo įsipareigojimus pagal šio punkto nuostatą ir naudoti tokią informaciją tik tam tikslui, kuriam ji buvo suteikta.
26. Informacija nelaikoma konfidencialia, jeigu ji:
26.1. yra viešai prieinama, išskyrus atvejus, kai viešas prieinamumas tapo galimas dėl Sutarties ar teisės aktų pažeidimo;
27. Šalis, pažeidusi šioje Sutartyje numatytus įsipareigojimus – saugoti konfidencialią informaciją ir jos neatskleisti, privalo atlyginti kitai Šaliai šios Sutarties pažeidimu padarytus tiesioginius nuostolius bei imtis visų protingų veiksmų, kad per trumpiausią laikotarpį ištaisytų tokio atskleidimo pasekmes.
IX SKYRIUS
SUTARTIES GALIOJIMAS, PAKEITIMAS IR NUTRAUKIMAS
28. Ši Sutartis įsigalioja tik pasirašius Asmens duomenų tvarkymo sutartį, ir galioja neterminuotai.
29. Sutartis gali būti keičiama ar papildoma rašytiniu Šalių susitarimu. Visi Sutarties priedai ir susitarimai dėl Sutarties pakeitimo ir (ar) papildymo sudaromi raštu ir įsigalioja Sutarties 44 punkte nustatyta tvarka.
30. Esant kolizijai tarp Sutarties nuostatų ir su naudojimusi EDAIS susijusių teisės aktų, įskaitant, bet neapsiribojant, Sutarties 3 punkte nurodytus teisės aktus, likusios Sutarties nuostatos laikomos galiojančiomis ir turi būti taikomos tą apimtimi, kiek tai neprieštarauja galiojantiems su EDAIS naudojimu susijusiems teisės aktams.
31. Taryba turi teisę, nenutraukdamas Sutarties, sustabdyti Sutartį ir apriboti Atestavimo įstaigos naudojimąsi EDAIS Tarybai gavus informaciją apie:
31.1. netinkamą Atestavimo įstaigos naudojimąsi EDAIS, įskaitant, bet neapribojant, veiksmus, kurie kelia grėsmę EDAIS tinkamam funkcionavimui.
32. Sutarties 31 punkte numatytais atvejais Atestavimo įstaigos naudojimasis EDAIS apribojamas tol kol bus pašalintos grėsmės EIDAS ar joje tvarkomų asmens duomenų saugumui, arba energetikos darbuotojų atestavimo procedūroms bei apie tai Atestavimo įstaiga informuos Tarybą, pateikdamas grėsmių pašalinimo įrodymus, arba iki Sutarties nutraukimo. Sutarties sustabdymas ir naudojimosi EDAIS apribojimai neatleidžia Atestavimo įstaigos nuo jo pareigų, numatytų Sutartyje ir kituose joje nurodytuose teisės aktuose, susijusių su asmens duomenų apsauga, konfidencialumu, sistemos saugumo reikalavimais, vykdymu. Atestavimo įstaiga nedelsdama informuoja Tarybą, jei dėl kokios nors priežasties jis negali vykdyti Sutarties, EDAIS nuostatuose bei EDAIS duomenų saugos nuostatuose jam nustatytų reikalavimų.
33. Jeigu kuri nors šios Sutarties nuostata yra ar tampa iš dalies ar visiškai negaliojančia, ji nedaro negaliojančiomis likusių šios Sutarties nuostatų. Tokiu atveju Šalys susitaria dėti visas pastangas, kad negaliojančioji nuostata būtų pakeista teisiškai veiksminga norma, kuri, kiek įmanoma, turėtų tą patį rezultatą kaip ir pakeistoji norma.
34. Sutartis gali būti nutraukta:
34.2. Atestavimo įstaigos vienašaliu rašytiniu pranešimu Tarybai, pateiktu ne vėliau kaip prieš 15 (penkiolika) kalendorinių dienų iki numatomos Sutarties nutraukimo dienos;
35. Taryba turi teisę nutraukti Sutartį, jeigu:
35.1. Atestavimo įstaiga iš esmės arba nuolat pažeidžia Sutartį arba savo įsipareigojimus pagal Sutarties 3 punkte nurodytus teisės aktus, reglamentuojančius asmens duomenų tvarkymą;
35.2. Atestavimo įstaiga nesilaiko privalomo kompetentingo teismo arba kompetentingos priežiūros institucijos sprendimo dėl savo įsipareigojimų pagal Sutartį arba Reglamentą (ES) 2016/679;
35.3. Taryba sustabdė Atestavimo įstaigos atliekamą asmens duomenų tvarkymą pagal Sutarties 35.1 ir (ar) 35.2 papunkčius ir atitiktis šiai Sutarčiai ir (arba) Sutarties 3 punkte nurodytiems teisės aktams, reglamentuojantiems asmens duomenų tvarkymą nėra atkurta per 15 darbo dienų nuo sustabdymo momento.
X SKYRIUS
BAIGIAMOSIOS NUOSTATOS
37. Pranešimai, prašymai ir kita Tarybos bei Atestavimo įstaigos tarpusavyje siunčiama informacija, susijusi su Sutartyje numatytų teisių ir pareigų vykdymu, turi būti rašytinė, siunčiama 4 priede nurodytais kontaktais. Jei pranešimas siunčiamas elektroniniu paštu, laikoma, kad jį Šalis gavo tą pačią dieną, jei jis buvo išsiųstas darbo valandomis, arba kitą darbo dieną, jei jis buvo išsiųstas ne darbo valandomis arba ne darbo dieną. Jei pranešimas siunčiamas per E. pristatymo sistemą, pranešimo įteikimas nustatomas vadovaujantis E. pristatymo sistemoje pateikiamomis pranešimo būsenomis.
39. Neatidėliotinais atvejais Šalių paskirtiems atsakingiems asmenims pagal jų atsakomybės sritis aktuali informacija siunčiama nedelsiant.
40. Jeigu keičiasi Sutartį pasirašiusių Šalių adresai, kontaktinis elektroninis paštas ir (ar) kiti rekvizitai, Šalys per 3 (tris) darbo dienas nuo kontaktinių duomenų ir (ar) kitų rekvizitų pasikeitimo privalo apie tai informuoti viena kitą. Šalis, neįvykdžiusi šių reikalavimų, negali pareikšti pretenzijų, jog kitos Šalies veiksmai, atlikti pagal paskutinius jai žinomus rekvizitus, neatitinka Sutarties sąlygų, arba jog ji negavo pranešimų, siųstų pagal tuos rekvizitus.
41. Sutartis sudaroma vienu iš šių būdų:
41.1. pasirašant popierinį dokumentą, Sutartis sudaroma 2 (dviem) vienodą teisinę galią turinčiais egzemplioriais po 1 (vieną) kiekvienai Šaliai;
XI SKYRIUS
SUTARTIES PRIEDAI
42. Sutarties priedai yra neatskiriama jos dalis:
42.3. Atestavimo įstaigos administratoriaus supažindinimo su aktualiais teisės aktais forma (3 priedas).
XII SKYRIUS
ŠALIŲ ADRESAI IR REKVIZITAI
| TARYBA |
ATESTAVIMO ĮSTAIGA |
|
| Valstybinė energetikos reguliavimo taryba |
<Juridinio asmens pavadinimas> |
|
| Verkių g. 25C-1, LT-08223 Vilnius |
|
<adresas> |
| Įmonės kodas 188706554 |
|
Įmonės kodas <kodas>
|
|
|
|
|
| Tel. El.p. |
|
Tel. El.p. |
|
|
|
|
|
|
|
|
|
|
|
|
| <Įstaigos atstovo pareigos vardas pavardė >
Parašas Data A.V. |
|
<Įstaigos atstovo pareigos vardas pavardė >
Parašas Data A.V. |
Naudojimosi EDAIS 202...-...-...
sutarties Nr. ....... 1 priedas
______________________________________________________________________________
(Atestavimo įstaigos pavadinimas)
Valstybinės energetikos reguliavimo tarybos
Energetikos darbuotojų atestavimo informacinės sistemos
Pagrindiniam administratoriui
PRAŠYMAS
SUTEIKTI (PANAIKINTI) PRIVILEGIJUOTĄ PRIEIGĄ PRIE ENERGETIKOS DARBUOTOJŲ ATESTAVIMO INFORMACINĖS SISTEMOS
____________________
(Data)
____________________
(Sudarymo vieta)
Vadovaudamasis Energetikos darbuotojų atestavimo informacinės sistemos (toliau – EDAIS) ______________________________________________________________________,
(Naudojimosi EDAIS sutarties data, Nr.)
Prašau:
1. nuo 20_____m.________________________ d. suteikti / panaikinti (nereikalingą išbraukti) EDAIS administratoriaus prieigą prie EDAIS atestavimo įstaigos įgaliotam darbuotojui:
________________________________________________________________________
______________________________________________________________________;
(darbuotojo vardas, pavardė, pareigos, darbo el. pašto adresas, tel.)
2. nuo 20_____m.________________________ d. suteikti / panaikinti (nereikalingą išbraukti) EDAIS administratoriaus prieigą prie EDAIS atestavimo įstaigos įgaliotam darbuotojui:
________________________________________________________________________
_______________________________________________________________;
(darbuotojo vardas, pavardė, pareigos, darbo el. pašto adresas)
Pridedama:
1. Atestavimo įstaigos EDAIS administratorių supažindinimo su teisės aktais patvirtinimas (-ai), _______ lapas (-ų), ______ egz.
Naudojimosi EDAIS 202...-...-...
sutarties Nr. .......
2 priedas
KONFIDENCIALUMO PASIŽADĖJIMAS
_________________
(data)
______________________________
(sudarymo vieta)
Aš, ____________________________________________________________________
_______________________________________________________________________, (Atestavimo įstaigos pavadinimas, darbuotojo vardas, pavardė (pildyti didžiosiomis raidėmis) ir pareigos)
1. Patvirtinu, kad esu susipažinęs su 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamentu (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas) (toliau – Reglamentas (ES) 2016/679), Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymu, kitais teisės aktais, reglamentuojančiais asmens duomenų teisinę apsaugą.
2. Suprantu, kad:
2.1. dirbdamas, atlikdamas pareigybės aprašyme numatytas funkcijas, tvarkysiu Valstybinės energetikos reguliavimo tarybos (toliau – Taryba) valdomos EDAIS duomenis ar susipažinsiu su šiais duomenimis, įskaitant asmens duomenis (toliau – duomenys), kurie negali būti atskleisti tretiesiems asmenims, išskyrus teisės aktuose nustatytus atvejus;
3. Pasižadu ir įsipareigoju:
3.1. saugoti duomenų ir informacijos paslaptį, jei jie neskirti skelbti viešai; įsipareigojimas saugoti paslaptį galioja ir nutraukus su duomenų, informacijos, dokumentų ir (arba) jų kopijų tvarkymu susijusią veiklą;
3.2. tvarkyti asmens duomenis vadovaudamasis Reglamentu (ES) 2016/679, Lietuvos Respublikos įstatymais ir kitais teisės aktais, reglamentuojančiais asmens duomenų tvarkymą, taip pat pareigybės aprašymu;
3.4. atlikti tik tuos asmens duomenų tvarkymo veiksmus, kuriuos atlikti man suteiktos teisės ir tik tokios apimties, kuri būtina mano funkcijoms atlikti;
3.5. neatskleisti, neperduoti ir nesudaryti sąlygų jokiomis priemonėmis susipažinti su tvarkomais duomenimis, informacija, dokumentais ir (arba) jų kopijomis nė vienam asmeniui, kuris teisės aktų nustatyta tvarka nėra įgaliotas jų tvarkyti;
3.6. pranešti savo tiesioginiam vadovui bei duomenų apsaugos pareigūnui, jei toks Atestavimo įstaigoje yra paskirtas, apie asmens duomenų saugumo pažeidimus ir bet kokią įtartiną situaciją, galinčią kelti grėsmę asmens duomenų saugumui;
4. Žinau, kad:
4.1. už šio pasižadėjimo nesilaikymą ir teisės aktų, reglamentuojančių asmens duomenų tvarkymą bei apsaugą, pažeidimą turėsiu atsakyti teisės aktų nustatyta tvarka;
4.2. asmuo patyręs žalą dėl neteisėto asmens duomenų tvarkymo arba kitų veiksmų ar neveikimo, pažeidžiančių teisės aktų, reglamentuojančių asmens duomenų tvarkymą ir apsaugą nuostatas, turi teisę reikalauti atlyginti jam padarytą turtinę ar neturtinę žalą pagal Reglamento (ES) 2016/679 82 straipsnį;
Naudojimosi EDAIS 2024...-...-...
sutarties Nr. .......
3 priedas
ATESTAVIMO ĮSTAIGOS EDAIS ADMINISTRATORIAUS SUPAŽINDINIMO SU TEISĖS AKTAIS PATVIRTINIMAS
Aš , _______________________________________________ , (Atestavimo įstaigos nurodyto duomenų vartotojo vardas, pavardė ir pareigos)
Patvirtinu, kad buvau supažindintais su šiais teisės aktais, susijusiais su naudojimusi EDAIS:
· 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamentas (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas);
· Energetikos darbuotojų atestavimo informacinės sistemos nuostatai, patvirtinti Valstybinės energetikos reguliavimo tarybos pirmininko 2021 m. lapkričio 11 d. įsakymu Nr. O1E-304 „Dėl Energetikos darbuotojų atestavimo informacinės sistemos nuostatų ir Energetikos darbuotojų atestavimo informacinės sistemos duomenų saugos nuostatų patvirtinimo“;
· Energetikos darbuotojų atestavimo informacinės sistemos duomenų saugos nuostatai, patvirtinti Valstybinės energetikos reguliavimo tarybos pirmininko 2021 m. lapkričio 11 d. įsakymu Nr. O1E-304 „Dėl Energetikos darbuotojų atestavimo informacinės sistemos nuostatų ir Energetikos darbuotojų atestavimo informacinės sistemos duomenų saugos nuostatų patvirtinimo“;
· Valstybinės energetikos reguliavimo tarybos energetikos darbuotojų atestavimo informacinės sistemos saugaus elektroninės informacijos tvarkymo taisyklės, patvirtintos Valstybinės energetikos reguliavimo tarybos pirmininko 2022 m. balandžio 01 d. įsakymu Nr. O1E-82 „Dėl energetikos darbuotojų atestavimo informacinės sistemos saugos politiką įgyvendinančių dokumentų patvirtinimo“;
· Valstybinės energetikos reguliavimo tarybos Energetikos darbuotojų atestavimo informacinės sistemos naudotojų administravimo taisyklės, patvirtintos Valstybinės energetikos reguliavimo tarybos pirmininko 2022 m. balandžio 1 d. įsakymu Nr. O1E-82 „Dėl Energetikos darbuotojų atestavimo informacinės sistemos saugos politiką įgyvendinančių dokumentų patvirtinimo“;
· Valstybinės energetikos reguliavimo tarybos Energetikos darbuotojų atestavimo informacinės sistemos veiklos tęstinumo valdymo planas, patvirtintas Valstybinės energetikos reguliavimo tarybos pirmininko 2022 m. balandžio 01 d. įsakymu Nr. O1E-82 „Dėl energetikos darbuotojų atestavimo informacinės sistemos saugos politiką įgyvendinančių dokumentų patvirtinimo“.
Įsipareigoju tinkamai vykdyti visas nurodytuose teisės norminiuose dokumentuose numatytas atestavimo įstaigos EDAIS administratoriaus pareigas bei tinkamai įgyvendinti teisės aktuose pavestas funkcijas
__________________________ ________________________
(Vardas, Pavardė) (Parašas, data)
Naudojimosi EDAIS 2024...-...-...
sutarties Nr. ....... 4 priedas
TARYBOS IR ATESTAVIMO ĮSTAIGOS ATSAKINGI ASMENYS
|
|
Tarybos atsakingo asmens vardas, pavardė, telefono ryšio numeris ir elektroninio pašto adresas |
Atestavimo įstaigos atsakingo asmens vardas, pavardė, telefono ryšio numeris ir elektroninio pašto adresas |
| Atsakingas už sutarties priežiūrą
|
|
|
| Atsakingas už EDAIS techninius klausimus
|
|
|
| Atsakingi asmenys, su kuriais bus susisiekiama asmens duomenų saugumo pažeidimų ir kitais asmens duomenų tvarkymo klausimais |
|
|
PATVIRTINTA
Valstybinės energetikos reguliavimo tarybos pirmininko
20 m. d. įsakymu Nr. O1E-
ENERGETIKOS DARBUOTOJŲ ATESTAVIMO INFORMACINĖS SISTEMOS (EDAIS) Asmens duomenų tvarkymo sutarTis
_____ m. ____________ ___ d.
Vilnius
____________________, pagal Lietuvos Respublikos įstatymus įsteigta ir veikianti valstybės biudžetinė įstaiga, juridinio asmens kodas __________________, įsikūrusi adresu ____________________, telefono ryšio numeris _____________, elektroninio pašto adresas ____________, duomenys apie šį juridinį asmenį kaupiami ir saugomi Lietuvos Respublikos Juridinių asmenų registre, atstovaujama (vardas, pavardė, pareigos) _____________________, veikiančio (-ios) pagal __________________ nuostatus, patvirtintus _____________________ (toliau – Duomenų valdytojas), iš vienos pusės,
ir
______________________, juridinio asmens kodas __________________, registruotos buveinės adresas: ______________________, telefono ryšio numeris _____________, elektroninio pašto adresas ____________, atstovaujama (vardas, pavardė, pareigos) _____________________, veikiančio (‑ios) pagal _____________________________ (toliau – Duomenų tvarkytojas), toliau kartu vadinami Šalimis, o kiekvienas atskirai – Šalimi,
vadovaudamosi 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamento (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas) (toliau – Reglamentas),
sudarė šią Asmens duomenų tvarkymo sutartį (toliau – Sutartis), kurią sudaro Sutartyje nurodyti priedai ir kiti Sutarties galiojimo laikotarpiu Šalių tarpusavio susitarimu suderinti dokumentai.
I SKYRIUS
SUTARTIES OBJEKTAS
1. Sutartimi įgyvendinant Reglamento 28 straipsnio 3 dalį, nustatomos Duomenų valdytojo ir duomenų tvarkytojo teisės bei pareigos, Duomenų valdytojo vardu tvarkant asmens duomenis. Sutartimi siekiama apsaugoti duomenų subjektų teises, mažinti konkrečią asmens duomenų apsaugos riziką ir užtikrinti duomenų valdytojo ir duomenų tvarkytojo santykių bei atitinkamų teisių ir pareigų aiškumą.
2. Duomenų tvarkytojas vykdydamas Energetikos darbuotojų atestavimo informacinės sistemos nuostatų, patvirtintų Valstybinės energetikos reguliavimo tarybos pirmininko 2021 m. lapkričio 11 d. įsakymu Nr. O1E-304 „Dėl Energetikos darbuotojų atestavimo informacinės sistemos nuostatų ir Energetikos darbuotojų atestavimo informacinės sistemos duomenų saugos nuostatų patvirtinimo“ (toliau – EDAIS nuostatai), 13 ir 14 punktuose nustatytas funkcijas tvarkys asmens duomenis duomenų valdytojo vardu pagal šią Sutartį. Asmens duomenų tvarkymo sąlygos nustatytos Sutarties 1 priede.
II SKYRIUS
ŠALIŲ ĮSIPAREIGOJIMAI
3. Duomenų valdytojas:
3.1. įsipareigoja užtikrinti, kad asmens duomenys būtų tvarkomi laikantis Reglamento (žr. Reglamento 24 straipsnį), kitų asmens duomenų apsaugą ir (ar) tvarkymą reglamentuojančių Europos Sąjungos ar Lietuvos Respublikos teisės aktų ir šios Sutarties;
4. Duomenų tvarkytojas įsipareigoja:
4.1. tvarkyti asmens duomenis tik pagal Duomenų valdytojo pateiktus dokumentais įformintus nurodymus, išskyrus atvejus, kai to reikalaujama pagal Europos Sąjungos ar jos valstybės narės[1] teisės aktus, kurie yra taikomi duomenų tvarkytojui (tokiais atvejais Duomenų tvarkytojas informuoja Duomenų valdytoją apie šiuos reikalavimus, išskyrus atvejus, kai teisės aktai draudžia minėtą informaciją pateikti dėl svarbaus viešojo intereso). Tokie nurodymai pateikti Sutarties 1 ir 2 prieduose. Duomenų valdytojas taip pat gali pateikti tolesnius nurodymus viso asmens duomenų tvarkymo metu, tačiau tokie su Sutartimi susiję nurodymai visada turi būti pagrįsti dokumentais;
4.2. nedelsiant informuoti Duomenų valdytoją, jei Duomenų valdytojo nurodymai, Duomenų tvarkytojo nuomone, prieštarauja Reglamentui arba kitiems asmens duomenų apsaugą reglamentuojantiems Europos Sąjungos ar jos valstybių narių teisės aktams;
5. Tuo atveju, jei, Duomenų tvarkytojo nuomone, Duomenų valdytojo nurodymai pažeidžia Reglamentą ar kitus asmens duomenų apsaugą reglamentuojančius Europos Sąjungos ar jos valstybės narės teisės aktus, jis turi nedelsiant apie tai raštu informuoti Duomenų valdytoją. Duomenų valdytojas, gavęs minėtą Duomenų tvarkytojo pranešimą, pakeičia savo nurodymus arba raštu motyvuotai atsako Duomenų tvarkytojui, kodėl tai nėra daroma.
III SKYRIUS
KONFIDENCIALUMAS
7. Duomenų tvarkytojas prieigą prie Duomenų valdytojo vardu tvarkomų asmens duomenų suteikia tik tiems asmenims, kuriems vadovauja Duomenų tvarkytojas ir kurie yra įpareigoti laikytis konfidencialumo arba kuriems taikoma teisinė konfidencialumo pareiga, ir tik tuo atveju, jei jiems būtina su jais susipažinti. Šalys užtikrina, kad:
7.1. Pasikeitus asmenims, kurie tvarko asmens duomenis, ar šių asmenų pareigoms, jų prieigos teisės prie Duomenų valdytojo asmens duomenų panaikinamos arba atitinkamai pakoreguojamos ne vėliau nei paskutinę jų užduočių, dėl kurių jiems būtina prieiga prie Duomenų valdytojo asmens duomenų, patikėtų tvarkyti Duomenų tvarkytojui, dieną, o tuo atveju, jei nutrūksta Duomenų tvarkytojo darbuotojo darbo santykiai – ne vėliau nei paskutinę tokio darbuotojo darbo dieną.
7.2. Asmenų, kuriems suteikta prieiga prie asmens duomenų, sąrašas turi būti periodiškai peržiūrimas ne rečiau kaip kartą per 6 mėnesius. Vadovaujantis šia peržiūra, tokia prieiga prie asmens duomenų panaikinama, jei tokia prieiga nebereikalinga, todėl asmens duomenys nebegalės būti prieinami tiems asmenims.
IV SKYRIUS
DUOMENŲ TVARKYMO SAUGUMAS
9. Vadovaujantis Reglamento 32 straipsniu, Duomenų valdytojas ir Duomenų tvarkytojas įgyvendina tinkamas technines ir organizacines priemones, kad būtų užtikrintas pavojų atitinkančio lygio saugumas, atsižvelgiant į techninių galimybių išsivystymo lygį, įgyvendinimo sąnaudas bei duomenų tvarkymo pobūdį, aprėptį, kontekstą ir tikslus, taip pat duomenų tvarkymo keliamus įvairios tikimybės ir rimtumo pavojus fizinių asmenų teisėms ir laisvėms.
10. Duomenų valdytojas įvertina fizinių asmenų teisėms ir laisvėms galinčią kilti riziką tvarkant asmens duomenis ir įgyvendina priemones šiai rizikai sumažinti. Priklausomai nuo jų tinkamumo, priemonės gali būti šios:
10.2. galimybė užtikrinti nuolatinį duomenų tvarkymo sistemų ir paslaugų konfidencialumą, vientisumą, prieinamumą ir atsparumą;
10.3. galimybė laiku atkurti prieinamumą ir prieigą prie asmens duomenų, įvykus fiziniam ar techniniam incidentui;
11. Pagal Reglamento 32 straipsnį Duomenų tvarkytojas, nepriklausomai nuo Duomenų valdytojo, taip pat įvertina duomenų tvarkymo riziką, susijusią su asmens duomenų tvarkymo veikla, kuriai atlikti Duomenų valdytojas pasitelkė Duomenų tvarkytoją, galinčią kilti fizinių asmenų teisėms ir laisvėms, ir įgyvendina priemones šiai rizikai sumažinti. Šiuo tikslu Duomenų valdytojas Duomenų tvarkytojui pateikia visą informaciją, reikalingą tokiai rizikai nustatyti ir įvertinti.
12. Be to, Duomenų tvarkytojas padeda Duomenų valdytojui užtikrinti duomenų valdytojo pareigų pagal Reglamento 32 straipsnį vykdymą, teikdamas inter alia Duomenų valdytojui informaciją apie technines ir organizacines priemones, kurias Duomenų tvarkytojas jau įgyvendino pagal Reglamento 32 straipsnį kartu su visa kita informacija, reikalinga Duomenų valdytojui įvykdyti duomenų valdytojo pareigas pagal Reglamento 32 straipsnį.
13. Jei, atsižvelgiant į Duomenų valdytojo atliktą vertinimą, nustatytai rizikai sumažinti Duomenų tvarkytojas turi įgyvendinti papildomas priemones, Duomenų valdytojas šias priemones nurodo Sutarties 2 priede, o Duomenų tvarkytojas turi įgyvendinti papildomas priemones ir tas, kurias jau įgyvendino pagal Reglamento 32 straipsnį. Duomenų tvarkytojas turi Duomenų valdytojui suteikti visą informaciją, kuri būtina siekiant įrodyti Sutarties X skyriuje nustatytų Duomenų tvarkytojo pareigų vykdymą.
V SKYRIUS
KITŲ DUOMENŲ TVARKYTOJŲ PASITELKIMAS
14. Atsižvelgiant į EDAIS nuostatų II skyrių, nustatantį EDAIS organizacinę struktūrą, EDAIS nuostatų 9.2 punktą, kuris nustato, kad EDAIS asmens duomenų tvarkytojai yra juridiniai asmenys, kurie turi Duomenų valdytojo išduotą leidimą vykdyti energetikos darbuotojų atestavimo veiklą (toliau – Atestavimo įstaigos), o atestavimo veikla yra reguliuojama išduodant leidimus[2], Duomenų tvarkytojui neleidžiama EDAIS nuostatų 13 ir 14 punktuose nustatytų funkcijų vykdymui pasitelkti kitą duomenų tvarkytoją.
VI SKYRIUS
DUOMENŲ PERDAVIMAS Į TREČIĄSIAS VALSTYBES[3] ARBA TARPTAUTINĖMS ORGANIZACIJOMS
15. Duomenų tvarkytojas asmens duomenis gali perduoti į trečiąsias valstybes ar tarptautinėms organizacijoms tik gavęs Duomenų valdytojo dokumentais įformintus nurodymus ir laikydamasis Reglamento V skyriaus reikalavimų.
16. Jei asmens duomenis trečiosioms valstybėms ar tarptautinėms organizacijoms reikia perduoti pagal Europos Sąjungos ar jos valstybės narės teisės aktus, kurių turi laikytis Duomenų tvarkytojas, nors Duomenų valdytojas nedavė nurodymų Duomenų tvarkytojui tai atlikti, Duomenų tvarkytojas informuoja Duomenų valdytoją apie šį teisinį reikalavimą prieš duomenų perdavimą, nebent tas teisės aktas draudžia perduoti tokią informaciją.
17. Duomenų tvarkytojas be Duomenų valdytojo dokumentais įformintų nurodymų arba be konkretaus reikalavimo pagal Europos Sąjungos ar jos valstybės narės teisės aktus negali pagal šią Sutartį:
17.1. perduoti asmens duomenis duomenų valdytojui ar duomenų tvarkytojui trečiojoje valstybėje ar tarptautinėje organizacijoje;
18. Duomenų valdytojo nurodymai ar leidimai dėl asmens duomenų perdavimo į trečiąją valstybę, įskaitant, jei taikoma, asmens duomenų perdavimo į trečiąsias valstybes Reglamento V skyriuje nustatyti pagrindai, kuriais duomenų valdytojo nurodymai yra grindžiami, pateikiami Sutarties 2 priede.
VII SKYRIUS
PAGALBA DUOMENŲ VALDYTOJUI
20. Atsižvelgdamas į tvarkymo pobūdį, Duomenų tvarkytojas, kiek tai įmanoma, padeda Duomenų valdytojui tinkamomis techninėmis ir organizacinėmis priemonėmis įvykdyti Duomenų valdytojo prievoles atsakyti į prašymus naudotis duomenų subjekto teisėmis, nustatytomis Reglamento III skyriuje. Tai reiškia, kad Duomenų tvarkytojas, kiek tai įmanoma, padeda Duomenų valdytojui, kad Duomenų valdytojas įgyvendintų:
20.7. prievolę pranešti apie asmens duomenų ištaisymą ar ištrynimą arba duomenų tvarkymo apribojimą;
21. Be Duomenų tvarkytojo prievolės padėti Duomenų valdytojui pagal Sutarties 12 punktą, Duomenų tvarkytojas, atsižvelgdamas į tvarkymo pobūdį ir Duomenų tvarkytojui prieinamą informaciją, taip pat padeda Duomenų valdytojui užtikrinti:
21.1. Duomenų valdytojo pareigą nedelsiant ir, jei įmanoma, ne vėliau kaip per 72 valandas po to, kai apie tai sužinojo, pranešti apie asmens duomenų saugumo pažeidimą kompetentingai priežiūros institucijai – Valstybinei duomenų apsaugos inspekcijai, nebent asmens duomenų saugumo pažeidimas neturėtų kelti pavojaus fizinių asmenų teisėms ir laisvėms;
21.2. Duomenų valdytojo pareigą nedelsiant pranešti duomenų subjektui apie asmens duomenų saugumo pažeidimą, kai asmens duomenų saugumo pažeidimas gali sukelti didelę riziką fizinių asmenų teisėms ir laisvėms;
21.3. Duomenų valdytojo pareigą atlikti numatytų asmens duomenų tvarkymo operacijų poveikio duomenų apsaugai vertinimą, kai asmens duomenų tvarkymo būdas gali sukelti didelę riziką fizinių asmenų teisėms ir laisvėms;
21.4. Duomenų valdytojo pareigą konsultuotis su kompetentinga priežiūros institucija – Valstybine duomenų apsaugos inspekcija prieš pradedant duomenų tvarkymą, jei poveikio duomenų apsaugos vertinimas rodo, kad duomenų tvarkymas sukeltų didelę riziką, jei Duomenų valdytojas nesiimtų priemonių tai rizikai sumažinti.
22. Šalys Sutarties 2 priede nustato tinkamas technines ir organizacines priemones, kurias turi taikyti Duomenų tvarkytojas siekiant padėti Duomenų valdytojui įgyvendinti duomenų subjekto teises ir vykdyti Reglamento 33‒36 straipsniuose įtvirtintas pareigas. Tai taikoma prievolėms, nurodytoms Sutarties 21 punkte.
VIII SKYRIUS
PRANEŠIMAS APIE ASMENS DUOMENŲ SAUGUMO PAŽEIDIMĄ
23. Duomenų tvarkytojas, sužinojęs apie asmens duomenų saugumo pažeidimą, nepagrįstai nedelsdamas apie tai praneša Duomenų valdytojui. Duomenų tvarkytojas praneša Duomenų valdytojui per 24 valandas nuo tada, kai Duomenų tvarkytojas sužinojo apie asmens duomenų saugumo pažeidimą, kad Duomenų valdytojas galėtų įvykdyti Duomenų valdytojo pareigą pranešti apie asmens duomenų saugumo pažeidimą kompetentingai priežiūros institucijai pagal Reglamento 33 straipsnį.
24. Sutarties 21.1 papunktyje nurodyta Duomenų tvarkytojo pareiga padėti Duomenų valdytojui pranešti kompetentingai priežiūros institucijai apie asmens duomenų pažeidimą reiškia, kad Duomenų tvarkytojas privalo Duomenų valdytojui padėti gauti toliau išvardytą informaciją, kuri, remiantis Reglamento 33 straipsnio 3 dalimi, turi būti nurodyta Duomenų valdytojo pranešime kompetentingai priežiūros institucijai:
24.1. asmens duomenų pobūdis, įskaitant, jei įmanoma, atitinkamų duomenų subjektų kategorijos ir apytikslis jų skaičius bei atitinkamų asmens duomenų kategorijos ir apytikslis skaičius;
24.3. priemonės, kurių ėmėsi ar siūlo imtis Duomenų valdytojas dėl asmens duomenų pažeidimo, įskaitant, jei reikia, priemones, skirtas sušvelninti galimą neigiamą pažeidimo poveikį;
25. Sutarties 2 priede nustatomi visi elementai, kuriuos turi pateikti Duomenų tvarkytojas, padėdamas Duomenų valdytojui pranešti kompetentingai priežiūros institucijai apie asmens duomenų saugumo pažeidimą. Jei Duomenų tvarkytojas Duomenų valdytojui pateikia ne visą informaciją apie asmens duomenų saugumo pažeidimą arba vėliau paaiškėja papildoma informacija, Duomenų tvarkytojas privalo nepagrįstai nedelsdamas, bet ne vėliau kaip per 24 valandas nuo naujos informacijos sužinojimo momento, pateikti papildomą pranešimą Duomenų valdytojui, nurodydamas visą trūkstamą informaciją.
IX SKYRIUS
DUOMENŲ TRYNIMAS IR GRĄŽINIMAS
X SKYRIUS
DUOMENŲ TVARKYTOJO AUDITAS IR TIKRINIMAS
28. Duomenų tvarkytojas Duomenų valdytojui suteikia visą informaciją, reikalingą įrodyti, kad laikomasi Reglamento 28 straipsnyje ir Sutartyje nustatytų pareigų, ir sudaro sąlygas ir padeda atlikti Duomenų valdytojui ar kitam Duomenų valdytojo įgaliotam auditoriui auditą, įskaitant patikrinimus vietoje.
29. Duomenų valdytojo atliekamam Duomenų tvarkytojo auditui, įskaitant patikrinimus, taikomos Sutarties 2 priedo 7 punkte nurodytos procedūros.
30. Duomenų tvarkytojas turi suteikti priežiūros institucijoms, kurios pagal galiojančius teisės aktus turi prieigą prie Duomenų valdytojo ir Duomenų tvarkytojo įrenginių, arba atstovams, veikiantiems tokių priežiūros institucijų vardu, prieigą prie Duomenų tvarkytojo fizinių priemonių ar atlikti kitus priežiūros institucijų nurodytus veiksmus auditui ar kitam patikrinimui atlikti. Šalys turi kompetentingų priežiūros institucijų prašymu pateikti šiose Sąlygose nurodytą informaciją, įskaitant auditų rezultatus.
XI SKYRIUS
BAIGIAMOSIOS NUOSTATOS
32. Asmens duomenų tvarkymo paslaugų teikimo laikotarpiu Sutartis negali būti nutraukta, jei Šalys nėra susitarusios dėl kitos sutarties, reglamentuojančios asmens duomenų tvarkymo paslaugų teikimą.
33. Sutartis nutraukiama jei nutraukiama EDAIS nuostatų 12 punkte numatyta naudojimosi Energetikos darbuotojų atestavimo informacinės sistemos (toliau – EDAIS) sutartis (toliau – Naudojimosi EDAIS sutartis) ir, atitinkamai, Duomenų tvarkytojas nebevykdo EDAIS asmens duomenų tvarkytojo funkcijų, o asmens duomenys grąžinami Duomenų valdytojui pagal Sutarties 27 punktą ir Sutarties 2 priedo 4 punktą.
34. Nedarant poveikio jokioms Reglamento nuostatoms, Duomenų tvarkytojui pažeidus pareigas pagal šią Sutartį, Duomenų valdytojas gali nurodyti Duomenų tvarkytojui laikinai sustabdyti asmens duomenų tvarkymą, kol pastarasis laikysis šios Sutarties arba Sutartis bus nutraukta. Duomenų tvarkytojas nedelsdamas informuoja Duomenų valdytoją, jei dėl kokios nors priežasties jis negali vykdyti Sutarties.
35. Duomenų tvarkytojo konfidencialumo įsipareigojimai lieka galioti ir pasibaigus šiai Sutarčiai ir (arba) Pagrindinei sutarčiai.
36. Duomenų valdytojas turi teisę nutraukti Sutartį, jeigu:
36.1. Duomenų tvarkytojas iš esmės arba nuolat pažeidžia Sutartį arba savo įsipareigojimus pagal Reglamentą;
36.2. Duomenų tvarkytojas nesilaiko privalomo kompetentingo teismo arba kompetentingos priežiūros institucijos sprendimo dėl savo įsipareigojimų pagal Sutartį arba Reglamentą;
37. Sutartis turi pirmenybę prieš bet kokias panašias su asmens duomenų tvarkymu susijusias nuostatas kituose Šalių susitarimuose.
XII SKYRIUS
ŠALIŲ REKVIZITAI, PARAŠAI
Duomenų valdytojo vardu: Duomenų tvarkytojo vardu:
pareigos pareigos
vardas, pavardė vardas, pavardė
data data
A. V. A. V.
Asmens duomenų tvarkymo sutarties
1 priedas
INFORMACIJA APIE ASMENS DUOMENŲ TVARKYMĄ
1. Informacija apie asmens duomenų tvarkymą:
1.2. Duomenų tvarkytojo asmens duomenų tvarkymas daugiausia susijęs su (tvarkymo pobūdžiu):
EDAIS nuostatų 13 ir 14 punktuose nustatytų funkcijų vykdymu.
1.3. Duomenų tvarkymas apima šiuos asmens duomenis:
EDAIS nuostatų 19 punkte nurodyti asmens duomenys.
1.4. Duomenų tvarkymas apima šias duomenų subjektų kategorijas:
EDAIS nuostatų 6.6 punkte nurodyti EDAIS naudotojai – pareiškėjai, kandidatai, energetikos darbuotojai ir kiti asmenys, norintys atestuotis energetikos srityje, Duomenų tvarkytojo įgalioti darbuotojai
Asmens duomenų tvarkymo sutarties
2 priedas
NURODYMAI, KAIP TVARKYTI ASMENS DUOMENIS
1. Duomenų tvarkymo nurodymas
Duomenų tvarkytojas Duomenų valdytojo vardu asmens duomenų tvarkymo metu atlieka veiksmus nustatytus EDAIS nuostatų 13 ir 14 punktuose.
2. Duomenų tvarkymo saugumas
Atsižvelgiant į tai, kad Duomenų tvarkytojas Duomenų valdytojo asmens duomenis tvarkys EDAIS, kuri yra vidutinės svarbos informacinė sistema ir jos duomenų saugumo priemones, vadovaujantis EDAIS nuostatų 10 punktu, nustato Duomenų valdytojas, taip pat į EDAIS saugaus elektroninės informacijos tvarkymo taisyklėse numatytus reikalavimus Duomenų tvarkytojui, Duomenų tvarkytojas turi užtikrinti šių papildomų techninių ir organizacinių reikalavimų laikymąsi:
- belaidė prieiga turi būti apsaugota patikimais šifravimo mechanizmais (pvz., HTTPS protokolą naudojant SSL sertifikatą ir įgalintą TLS 1.2./1.3. palaikymą), naudojamas saugus VPN (angl. Virtual Private Network) ryšis arba šifravimas taikomųjų programų lygiu;
- visuose naudojamuose kompiuteriuose turi būti įdiegtos ekrano užsklandos (angl. screen saver) apsaugotos slaptažodžiu (režimo aktyvavimo laikas – ne daugiau nei 10 minučių);
- kompiuterinėse darbo vietoje naudojamuose operacinės sistemos diskuose turi būti įgalintas pilnas standžiojo disko šifravimas.
- draudžiama naudoti mobiliuosius nešiojamus įrenginius energetikos darbuotojų atestavimo veiklos vykdymui.
3. Pagalba duomenų valdytojui
Duomenų tvarkytojas, kiek tai įmanoma ir atsižvelgiant į toliau nurodytą pagalbos sritį bei apimtį, padeda Duomenų valdytojui pagal Sutarties VII skyrių įgyvendinti šias technines bei organizacines priemones:
Duomenų tvarkytojas nėra įpareigojamas atlikti jokių kitų veiksmų, padedant Duomenų valdytojui įgyvendinti pareigą užtikrinti tinkamų organizacinių ir techninių asmens duomenų saugumo priemonių įgyvendinimą, išskyrus operatyvų ir kompetentingą informacijos pateikimą pagal konkrečius Duomenų valdytojo žodinius ar rašytinius prašymus.
Duomenų tvarkytojas, teikdamas pagalbą Duomenų valdytojui, susijusią su duomenų subjektų teisių įgyvendinimu, nedelsiant, bet ne vėliau kaip per 3 darbo dienas turi elektroniniu paštu pasirašytu kvalifikuotu elektroniniu parašu persiųsti Duomenų valdytojui visus gautus duomenų subjektų skundus, pretenzijas, prašymus dėl Reglamento III skyriuje nustatytų duomenų subjektų teisių įgyvendinimo, kurių kopijų tikrumas turi būti patvirtintas kvalifikuotu elektroniniu parašu. Duomenų tvarkytojas neturi teisės atsakydamas į duomenų subjektų prašymus (pvz., patvirtindamas jų gavimą ar pan.) veikti Duomenų valdytojo vardu, nebent Duomenų valdytojas raštu konkrečiai pateiktų tokius nurodymus. Taip pat Duomenų tvarkytojas turi nedelsiant, bet ne vėliau kaip per 5 darbo dienas aukščiau nurodytu būdu pateikti Duomenų valdytojui visą prašomą informaciją, reikalingą Reglamento III skyriuje nustatytų duomenų subjektų teisių įgyvendinimui.
Duomenų tvarkytojas, teikdamas pagalbą Duomenų valdytojui, susijusią su Duomenų valdytojo pareigų nustatytų Reglamento 33‒34 straipsniuose įgyvendinimu, be Sutarties 24 punkte nurodytos informacijos, aukščiau nurodytu būdu pateikta ir šią informaciją:
- asmens duomenų saugumo pažeidimo apibūdinimas:
- asmens duomenų saugumo pažeidimo data, laikas ir vieta;
- asmens duomenų saugumo pažeidimo nustatymo data ir laikas;
- asmens duomenų saugumo pažeidimo aplinkybės (asmens duomenų konfidencialumo praradimas (neautorizuota prieiga ar atskleidimas), asmens duomenų vientisumo praradimas (neautorizuotas asmens duomenų pakeitimas), asmens duomenų prieinamumo praradimas (asmens duomenų praradimas, sunaikinimas);
- kontaktinio asmens, galinčio suteikti daugiau informacijos, vardas bei pavardė, telefono ryšio numeris ir (arba) elektroninio pašto adresas, pareigos;
- aprašytos priemonės, kurių ėmėsi arba pasiūlė imtis Duomenų tvarkytojas, kad būtų pašalintas asmens duomenų saugumo pažeidimas, įskaitant, kai tinkama, priemones galimoms neigiamoms jo pasekmėms sumažinti. Jeigu informacijos neįmanoma pateikti tuo pačiu metu, informacija toliau nedelsiant gali būti teikiama etapais.
- pranešimo vėlavimo priežastys, jeigu apie asmens duomenų saugumo pažeidimą pranešama vėliau nei per 24 valandas nuo tada, kai Duomenų tvarkytojas sužinojo apie asmens duomenų saugumo pažeidimą.
Duomenų tvarkytojas dėl pagalbos Duomenų valdytojui įgyvendinti pareigą atlikti poveikio duomenų apsaugai vertinimą ir išankstines konsultacijas pagal Reglamento 35‒36 straipsnius, nėra įpareigojamas atlikti jokių kitų veiksmų, išskyrus operatyvų ir kompetentingą informacijos pateikimą pagal konkrečius Duomenų valdytojo žodinius ar rašytinius prašymus.
4. Duomenų saugojimo laikotarpis/duomenų trynimo procedūros
Duomenų tvarkytojui draudžiama išsaugoti Duomenų valdytojo asmens duomenis, daryti jų kopijas.
Nutraukęs asmens duomenų tvarkymo paslaugų teikimą, Duomenų tvarkytojas grąžina asmens duomenis, atsižvelgiant į Sutarties 27 punkto reikalavimus. Originalius Duomenų valdytojo Duomenų tvarkytojui perduotus dokumentus, jei tokie buvo perduoti, ar iš kitų šaltinių Duomenų valdytojo vardu gautus dokumentų originalus ir (arba) jų kopijas, jei buvo gauti Sutarties vykdymo metu grąžina, Duomenų valdytojui, o dokumentų kopijas ištrina ir patvirtina tai raštu, išskyrus atvejus, kai asmens duomenis saugoti įpareigoja teisės aktai. Duomenų tvarkytojas taip pat privalo informuoti Duomenų valdytoją apie tai, kokie asmens duomenys ar jų kopijos nėra ištrinami bei kokie teisės aktai tai reglamentuoja.
5. Duomenų tvarkymo vieta
Atsižvelgiant į Sutartį, be išankstinio rašytinio Duomenų valdytojo leidimo asmens duomenys negali būti tvarkomi kitose vietose, išskyrus šias:
Duomenų tvarkytojo vykdomos atestavimo veiklos vietoje, nurodytoje prašyme išduoti leidimą verstis energetikos darbuotojų atestavimo veikla, numatytame Leidimų verstis energetikos darbuotojų atestavimo veikla išdavimo taisyklėse
Duomenų tvarkymo vieta, Duomenų tvarkytojo naudojamas adresas
6. Nurodymai dėl asmens duomenų perdavimo į trečiąją valstybę ar tarptautinėms organizacijoms
Duomenų tvarkytojui nurodoma neperduoti Duomenų valdytojo asmens duomenų į ne Europos Sąjungos ir Europos ekonominės erdvės valstybes arba tarptautinėms organizacijoms.
7. Procedūros, skirtos duomenų valdytojo atliekamiems duomenų tvarkytojo asmens duomenų tvarkymo auditams, įskaitant patikrinimams vietoje
Duomenų tvarkytojas ne rečiau nei kartą į 3 metus savo lėšomis gauna iš nepriklausomo auditoriaus audito ataskaitą apie tai, kaip duomenų tvarkytojas laikosi Reglamento reikalavimų, galiojančių Europos Sąjungos ir Lietuvos Respublikos asmens duomenų apsaugos nuostatų ir Sutarties.
Šalys susitarė, kad atsižvelgiant į Sutartį, gali būti naudojami šie auditoriaus ataskaitos tipai – duomenų tvarkymo procesų, saugumo, vertinimo po pažeidimo.
Auditoriaus ataskaita nedelsiant turi būti pateikta susipažinimui Duomenų valdytojui. Duomenų valdytojas gali užginčyti ataskaitos apimtį ir (arba) metodiką ir tokiais atvejais gali paprašyti atlikti naują auditą pagal pakeistą taikymo sritį ir (arba) kitokią metodiką.
Remdamasis tokio audito rezultatais, Duomenų valdytojas gali paprašyti imtis papildomų priemonių, kad būtų užtikrinta atitiktis Reglamentui, galiojančioms Europos Sąjungos ar jos valstybių narių asmens duomenų apsaugos nuostatoms ir Sutarčiai.
Be to, Duomenų valdytojas arba Duomenų valdytojo atstovas turi teisę patikrinti vietas, įskaitant atlikti jų fizinę apžiūrą, kuriose Duomenų tvarkytojas tvarko asmens duomenis, įskaitant fizines priemones, taip pat sistemas, naudojamas ir susijusias su duomenų tvarkymu. Toks patikrinimas atliekamas tada, kai Duomenų valdytojas mano, kad to reikia.