Projektas

LIETUVOS RESPUBLIKOS

ASMENS DUOMENŲ, TVARKOMŲ VYKDANT POLICIJOS IR TEISMINĮ BENDRADARBIAVIMĄ BAUDŽIAMOSIOSE BYLOSE, TEISINĖS APSAUGOS ĮSTATYMO NR. XI-1336 PAKEITIMO

ĮSTATYMAS

2018 m.                       d. Nr.

Vilnius

1 straipsnis. Lietuvos Respublikos asmens duomenų, tvarkomų vykdant policijos ir teisminį bendradarbiavimą baudžiamosiose bylose, teisinės apsaugos įstatymo Nr. XI-1336 nauja redakcija

Pakeisti Lietuvos Respublikos asmens duomenų, tvarkomų vykdant policijos ir teisminį bendradarbiavimą baudžiamosiose bylose, teisinės apsaugos įstatymą Nr. XI-1336 ir jį išdėstyti taip:

„LIETUVOS RESPUBLIKOS

ASMENS DUOMENŲ, TVARKOMŲ NUSIKALSTAMŲ VEIKŲ PREVENCIJOS, TYRIMO, ATSKLEIDIMO AR BAUDŽIAMOJO PERSEKIOJIMO UŽ JAS, BAUSMIŲ VYKDYMO ARBA NACIONALINIO SAUGUMO AR GYNYBOS TIKSLAIS, TEISINĖS APSAUGOS ĮSTATYMAS

I SKYRIUS

BENDROSIOS NUOSTATOS

1 straipsnis. Įstatymo paskirtis ir taikymas

1. Šio įstatymo paskirtis – saugoti žmogaus pagrindines teises ir laisves, visų pirma jo teisę į asmens duomenų apsaugą, ir užtikrinti, kad Europos Sąjungos ir Lietuvos Respublikos teisės aktuose numatytas kompetentingų institucijų keitimasis asmens duomenimis Europos Sąjungoje nebūtų ribojamas ar draudžiamas dėl su fizinių asmenų apsauga tvarkant asmens duomenis susijusių priežasčių, kai šie duomenys tvarkomi šio straipsnio 2 dalyje nurodytais tikslais.

2. Šis įstatymas taikomas Lietuvos Respublikos kompetentingų institucijų vykdomam asmens duomenų tvarkymui, kai šie duomenys tvarkomi nusikalstamų veikų prevencijos, tyrimo, atskleidimo ar baudžiamojo persekiojimo už jas arba bausmių vykdymo, taip pat apsaugos nuo grėsmių visuomenės saugumui ir jų prevencijos tikslais. Kai Lietuvos Respublikos valstybės institucijos tvarko asmens duomenis nacionalinio saugumo ar gynybos tikslais, šis įstatymas taikomas tiek, kiek kiti įstatymai nenustato kitaip.

3. Šis įstatymas reglamentuoja santykius, kurie atsiranda Lietuvos Respublikos kompetentingoms institucijoms tvarkant asmens duomenis visiškai arba iš dalies automatinėmis priemonėmis ir tvarkant asmens duomenis, kurie sudaro arba yra skirti sudaryti susisteminto rinkinio dalį, neautomatinėmis priemonėmis, kai šie duomenys tvarkomi šio straipsnio 2 dalyje nurodytais tikslais.

4. Šiuo įstatymu asmens duomenų, tvarkomų nusikalstamų veikų prevencijos, tyrimo, atskleidimo ar baudžiamojo persekiojimo už jas arba bausmių vykdymo, taip pat apsaugos nuo grėsmių visuomenės saugumui ir jų prevencijos tikslais, teisinės apsaugos reglamentavimas suderintas su šio įstatymo priede nurodytais Europos Sąjungos teisės aktais.

2 straipsnis. Pagrindinės šio įstatymo sąvokos

1. Asmens duomenys – bet kokia informacija apie fizinį asmenį, kurio tapatybė nustatyta arba kurio tapatybę galima nustatyti (duomenų subjektą). Fizinis asmuo, kurio tapatybę galima nustatyti, yra asmuo, kurio tapatybę tiesiogiai arba netiesiogiai galima nustatyti visų pirma pagal identifikatorių, pavyzdžiui, vardą ir pavardę, asmens identifikavimo numerį, buvimo vietos duomenis ir interneto identifikatorių arba pagal vieną ar kelis to fizinio asmens fizinės, fiziologinės, genetinės, psichinės, ekonominės, kultūrinės ar socialinės tapatybės požymius.

2. Asmens duomenų saugumo pažeidimas – saugumo pažeidimas, dėl kurio neatsargiai arba neteisėtai sunaikinami, prarandami, pakeičiami, be leidimo atskleidžiami persiųsti, saugomi arba kitaip tvarkomi asmens duomenys arba prie jų be leidimo gaunama prieiga.

3. Biometriniai duomenys – po specialaus techninio apdorojimo gaunami asmens duomenys, susiję su fizinio asmens fizinėmis, fiziologinėmis arba elgesio savybėmis, pagal kurias galima tiksliai nustatyti arba patvirtinti to fizinio asmens tapatybę, pavyzdžiui, veido atvaizdai arba daktiloskopiniai duomenys.

4. Duomenų gavėjas – fizinis arba juridinis asmuo, valstybės institucija, agentūra ar kita įstaiga, kuriai atskleidžiami asmens duomenys, nesvarbu, ar tai trečioji šalis, ar ne. Valstybės institucijos, kurios pagal Europos Sąjungos valstybės narės teisės aktus gali gauti asmens duomenis vykdydamos konkretų tyrimą, nelaikomos duomenų gavėjomis; tvarkydamos tuos duomenis tos valstybės institucijos laikosi duomenų tvarkymo tikslus atitinkančių duomenų apsaugos taisyklių.

5. Duomenų tvarkymas – bet kokia automatinėmis arba neautomatinėmis priemonėmis su asmens duomenimis ar asmens duomenų rinkiniais atliekama operacija ar operacijų seka, pavyzdžiui, rinkimas, įrašymas, rūšiavimas, sisteminimas, saugojimas, adaptavimas ar keitimas, išgavimas, susipažinimas, naudojimas, atskleidimas persiunčiant, platinant ar kitu būdu sudarant galimybę jais naudotis, taip pat sugretinimas ar sujungimas su kitais duomenimis, apribojimas, ištrynimas arba sunaikinimas.

6. Duomenų tvarkymo apribojimas – saugomų asmens duomenų žymėjimas siekiant apriboti jų tvarkymą ateityje.

7. Duomenų tvarkytojas – fizinis arba juridinis asmuo, valstybės institucija, agentūra ar kita įstaiga, kuri duomenų valdytojo vardu tvarko asmens duomenis.

8. Duomenų valdytojas – kompetentinga institucija, kuri viena ar drauge su kitomis kompetentingomis institucijomis nustato asmens duomenų tvarkymo tikslus ir priemones. Kai tokio duomenų tvarkymo tikslai ir priemonės nustatyti Europos Sąjungos arba Lietuvos Respublikos teisės aktuose, duomenų valdytojas arba konkretūs jo skyrimo kriterijai taip pat gali būti nustatyti Europos Sąjungos arba Lietuvos Respublikos teisės aktuose.

9. Genetiniai duomenys – asmens duomenys, kurie yra susiję su paveldėtomis ar įgytomis fizinio asmens genetinėmis savybėmis, suteikiančiomis unikalios informacijos apie jo fiziologiją ar sveikatą, ir kurie gaunami visų pirma analizuojant biologinį to fizinio asmens mėginį.

10. Kompetentinga institucija – valstybės institucija, įgaliota vykdyti nusikalstamų veikų prevenciją, tyrimą, atskleidimą ar baudžiamąjį persekiojimą už jas arba bausmių vykdymą, įskaitant apsaugos nuo grėsmių visuomenės saugumui užtikrinimą ir jų prevenciją, arba bet kokia kita įstaiga arba subjektas, kuriems pagal Europos Sąjungos valstybės narės teisės aktus pavesta vykdyti viešosios valdžios funkcijas ir naudotis viešaisiais įgaliojimais nusikalstamų veikų prevencijos, tyrimo, atskleidimo ar baudžiamojo persekiojimo už jas arba bausmių vykdymo, taip pat apsaugos nuo grėsmių visuomenės saugumui ir jų prevencijos tikslais. Kompetentinga institucija taip pat laikoma Lietuvos Respublikos valstybės institucija, kuri tvarko asmens duomenis nacionalinio saugumo ar gynybos tikslais.

11. Profiliavimas – bet kokios formos automatinis asmens duomenų tvarkymas, kai asmens duomenys naudojami siekiant įvertinti tam tikrus su fiziniu asmeniu susijusius asmeninius aspektus, visų pirma siekiant išanalizuoti arba numatyti aspektus, susijusius su to fizinio asmens darbo rezultatais, ekonomine situacija, sveikatos būkle, asmeniniais pomėgiais, interesais, patikimumu, elgesiu, buvimo vieta arba judėjimu.

12. Pseudonimų suteikimas – asmens duomenų tvarkymas taip, kad asmens duomenys nebegalėtų būti priskiriami konkrečiam duomenų subjektui nesinaudojant papildoma informacija, jeigu tokia papildoma informacija yra saugoma atskirai ir jai taikomos techninės bei organizacinės priemonės siekiant užtikrinti asmens duomenų nepriskyrimą fiziniam asmeniui, kurio tapatybė yra nustatyta arba kurio tapatybę galima nustatyti.

13. Susistemintas rinkinys – bet kuris sistemingai sutvarkytas pagal specialius kriterijus prieinamų asmens duomenų rinkinys, kuris gali būti centralizuotas, decentralizuotas arba suskirstytas funkciniu ar geografiniu pagrindu.

14. Sveikatos duomenys – asmens duomenys, susiję su fizine ar psichine fizinio asmens sveikata, įskaitant duomenis apie sveikatos priežiūros paslaugų teikimą, atskleidžiantys informaciją apie to fizinio asmens sveikatos būklę.

15. Tarptautinė organizacija – organizacija ir jai pavaldžios įstaigos, kurių veiklą reglamentuoja tarptautinė viešoji teisė, arba bet kuri kita įstaiga, įsteigta dviejų ar daugiau valstybių susitarimu arba remiantis tokiu susitarimu.

II SKYRIUS

ASMENS DUOMENŲ TVARKYMO REIKALAVIMAI

3 straipsnis. Asmens duomenų tvarkymo principai

1. Asmens duomenys turi būti:

1) tvarkomi teisėtai ir sąžiningai;

2) renkami nustatytais, aiškiai apibrėžtais ir teisėtais tikslais ir netvarkomi su šiais tikslais nesuderinamu būdu;

3) adekvatūs, tinkami ir ne per didelės apimties, atsižvelgiant į tikslus, kuriais jie tvarkomi;

4) tikslūs ir prireikus atnaujinami. Turi būti imamasi visų pagrįstų priemonių siekiant užtikrinti, kad asmens duomenys, kurie nėra tikslūs, atsižvelgiant į jų tvarkymo tikslus, būtų nedelsiant ištrinami arba ištaisomi;

5) laikomi tokia forma, kad duomenų subjektų tapatybę būtų galima nustatyti ne ilgiau, nei tai yra būtina tais tikslais, kuriais jie tvarkomi;

6) tvarkomi tokiu būdu, kad būtų užtikrintas tinkamas asmens duomenų saugumas, įskaitant apsaugą nuo tvarkymo be leidimo arba neteisėto tvarkymo ir nuo neatsargaus praradimo, sunaikinimo ar sugadinimo, taikant tinkamas technines ar organizacines priemones.

2. Tam pačiam arba kitam duomenų valdytojui tvarkyti asmens duomenis kitais šio įstatymo 1 straipsnio 2 dalyje nurodytais tikslais nei tikslas, kuriuo asmens duomenys renkami, leidžiama, jeigu vadovaujantis Europos Sąjungos arba Lietuvos Respublikos teisės aktais duomenų valdytojui leidžiama tvarkyti tokius asmens duomenis tokiu tikslu ir duomenų tvarkymas tokiu tikslu yra būtinas bei proporcingas.

3. To paties ar kito duomenų valdytojo vykdomas asmens duomenų tvarkymas gali apimti archyvavimą dėl viešojo intereso, naudojimą mokslinio, statistinio ar istorinio tyrimo tikslu siekiant šio įstatymo 1 straipsnio 2 dalyje nurodytų tikslų, jeigu taikomos tinkamos duomenų subjektų teisių ir laisvių apsaugos priemonės.

4. Duomenų valdytojas yra atsakingas už tai, kad būtų laikomasi šio straipsnio 1–3 dalių, ir turi sugebėti įrodyti, kad jų laikomasi.

4 straipsnis. Asmens duomenų saugojimo ir peržiūros terminai

Asmens duomenų ištrynimo arba asmens duomenų saugojimo poreikio periodinės peržiūros terminai nustatomi Lietuvos Respublikos teisės aktuose, reglamentuojančiuose asmens duomenų tvarkymą šio įstatymo 1 straipsnio 2 dalyje nurodytais tikslais. Šių terminų laikymasis užtikrinamas procedūrinėmis priemonėmis.

5 straipsnis. Skirtingų kategorijų duomenų subjektų atskyrimas

Jei duomenų valdytojas tvarko skirtingų kategorijų duomenų subjektų asmens duomenis, jis, kiek įmanoma, privalo aiškiai šiuos duomenis atskirti. Šis reikalavimas taikomas tvarkant šių kategorijų duomenų subjektų asmens duomenis:

1) asmenų, kurių atžvilgiu yra rimtų priežasčių manyti, kad jie padarė arba rengiasi padaryti nusikalstamą veiką;

2) asmenų, nuteistų už nusikalstamas veikas;

3) nukentėjusiųjų arba asmenų, kurių atžvilgiu, remiantis tam tikrais faktais, yra pagrindo manyti, kad jie galėtų būti nukentėję nuo nusikalstamos veikos;

4) kitų su nusikalstama veika susijusių asmenų (pavyzdžiui, asmenų, kurie galėtų būti kviečiami liudyti atliekant nusikalstamų veikų tyrimus arba vėliau vykstant baudžiamajam procesui, asmenų, kurie gali suteikti informacijos apie nusikalstamas veikas, arba asmenų, kurie yra pažįstami arba susiję su vienu iš šio straipsnio 1 ir 2 punktuose nurodytų asmenų);

5) asmenų, kurių asmens duomenys tvarkomi nacionalinio saugumo ar gynybos tikslais.

6 straipsnis. Asmens duomenų skirstymas ir asmens duomenų kokybės patikrinimas

1. Duomenų valdytojas, kiek įmanoma, faktais pagrįstus asmens duomenis turi atskirti nuo asmeniniais vertinimais pagrįstų asmens duomenų.

2. Kompetentingos institucijos privalo imtis visų pagrįstų priemonių siekdamos užtikrinti, kad asmens duomenys, kurie yra netikslūs, neišsamūs arba pasenę, nebūtų persiunčiami ir nebūtų sudaroma galimybė jais naudotis. Tuo tikslu kiekviena kompetentinga institucija, kiek tai įmanoma, patikrina asmens duomenų kokybę prieš juos persiųsdama arba prieš suteikdama galimybę jais naudotis. Kiekvienu asmens duomenų persiuntimo atveju, kiek tai įmanoma, pridedama būtina papildoma informacija, kuri suteikia galimybę duomenis gaunančiai kompetentingai institucijai įvertinti asmens duomenų tikslumo, išsamumo ir patikimumo laipsnį, taip pat jų naujumą.

3. Paaiškėjus, kad buvo persiųsti neteisingi asmens duomenys arba asmens duomenys buvo persiųsti neteisėtai, duomenų gavėjas nedelsiant apie tai informuojamas. Tokiu atveju šie asmens duomenys pagal šio įstatymo 14 straipsnį ištaisomi ar ištrinami arba apribojamas jų tvarkymas.

7 straipsnis. Asmens duomenų tvarkymo sąlygos

1. Duomenų tvarkymas yra teisėtas tik tuo atveju, jeigu jis būtinas, ir tiek, kiek jis būtinas kompetentingai institucijai atlikti funkcijas šio įstatymo 1 straipsnio 2 dalyje nurodytais tikslais, ir grindžiamas Europos Sąjungos arba Lietuvos Respublikos teisės aktais. Lietuvos Respublikos teisės aktuose, reguliuojančiuose asmens duomenų tvarkymą, turi būti nurodyti duomenų tvarkymo siekiai, tvarkytini asmens duomenys, duomenų tvarkymo tikslai ir kiti duomenų tvarkymo reikalavimai, kuriais siekiama užtikrinti teisėtą asmens duomenų tvarkymą.

2. Kompetentingų institucijų šio įstatymo 1 straipsnio 2 dalyje nurodytais tikslais renkami asmens duomenys negali būti tvarkomi kitais tikslais, nebent taip juos tvarkyti yra leidžiama pagal Europos Sąjungos arba Lietuvos Respublikos teisės aktus. Jei asmens duomenys tvarkomi kitais tikslais, taikomas 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamentas (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas) (OL 2016 L 119, p. 1) (toliau – Reglamentas (ES) 2016/679) ir Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymas.

3. Kai kompetentingoms institucijoms pagal Lietuvos Respublikos teisės aktus yra pavesta atlikti kitas funkcijas, nei tas, kurios vykdomos šio įstatymo 1 straipsnio 2 dalyje nurodytais tikslais, tvarkant asmens duomenis tokiais tikslais, įskaitant archyvavimą dėl viešojo intereso, naudojimą mokslinių ar istorinių tyrimų tikslais ar statistiniais tikslais, taikomas Reglamentas (ES) 2016/679 ir Asmens duomenų teisinės apsaugos įstatymas.

4. Tais atvejais, kai Europos Sąjungos arba Lietuvos Respublikos teisės aktuose, taikomuose duomenis persiunčiančiai kompetentingai institucijai, numatytos specialios asmens duomenų tvarkymo sąlygos, asmens duomenis persiunčianti kompetentinga institucija turi informuoti tokių asmens duomenų gavėją apie tas sąlygas ir reikalavimą jų laikytis.

5. Asmens duomenis persiunčianti kompetentinga institucija duomenų gavėjams kitose Europos Sąjungos valstybėse narėse arba agentūroms, organams ir įstaigoms, įsteigtiems pagal Sutarties dėl Europos Sąjungos veikimo (OL 2016 C 202, p. 47) V antraštinės dalies 4 ir 5 skyrius, pagal šio straipsnio 4 dalį netaiko kitokių sąlygų nei tos, kurios taikomos panašiems asmens duomenų persiuntimams, kai jie atliekami Lietuvos Respublikoje.

8 straipsnis. Specialių kategorijų asmens duomenų tvarkymas

Asmens duomenų tvarkymas, kuriuo atskleidžiama rasinė ar etninė kilmė, politinės pažiūros, religiniai, filosofiniai įsitikinimai ar priklausymas profesinėms sąjungoms, taip pat genetinių duomenų, biometrinių duomenų tvarkymas, siekiant konkrečiai nustatyti fizinio asmens tapatybę, arba sveikatos duomenų ar duomenų apie lytinį gyvenimą ar seksualinę orientaciją tvarkymas leidžiamas tik tada, jei tai tikrai būtina ir jei taikomos tinkamos duomenų subjekto teisių ir laisvių apsaugos priemonės, ir jeigu:

1) tai leidžiama pagal Europos Sąjungos arba Lietuvos Respublikos teisės aktus;

2) tai reikalinga duomenų subjekto ar kito fizinio asmens gyvybiniams interesams apsaugoti;

3) toks tvarkymas susijęs su duomenimis, kuriuos duomenų subjektas yra akivaizdžiai paskelbęs viešai, arba

4) tai reikalinga nacionalinio saugumo ir gynybos tikslais.

9 straipsnis. Automatinis individualių sprendimų priėmimas

1. Draudžiama priimti sprendimą remiantis tik automatiniu duomenų tvarkymu, įskaitant profiliavimą, dėl kurio duomenų subjektui kyla neigiamų teisinių pasekmių arba kuris jam turi didelės įtakos, išskyrus tuos atvejus, kai tai leidžiama pagal Europos Sąjungos ar Lietuvos Respublikos  teisės aktus, kurie taikomi duomenų valdytojui ir kuriais nustatytos tinkamos duomenų subjekto teisių ir laisvių apsaugos priemonės, bent jau teisė iš duomenų valdytojo reikalauti žmogaus įsikišimo.

2. Šio straipsnio 1 dalyje nurodyti sprendimai negali būti grindžiami šio įstatymo 8 straipsnyje nurodytais specialių kategorijų asmens duomenimis, nebent yra nustatytos tinkamos priemonės duomenų subjekto teisėms ir laisvėms bei teisėtiems interesams apsaugoti.

3. Draudžiamas profiliavimas, sukeliantis fizinių asmenų diskriminaciją remiantis šio įstatymo 8 straipsnyje nurodytais specialių kategorijų asmens duomenimis.

III SKYRIUS

DUOMENŲ SUBJEKTO TEISĖS

10 straipsnis. Pranešimai ir duomenų subjektų naudojimosi savo teisėmis sąlygos

1. Duomenų valdytojas turi imtis visų  pagrįstų priemonių, kad šio įstatymo 11 straipsnyje nurodyta informacija ir pranešimai pagal šio įstatymo 12–16 ir 30 straipsnius, susiję su asmens duomenų tvarkymu, duomenų subjektui būtų pateikiami glausta, suprantama ir lengvai prieinama forma, aiškia ir paprasta kalba. Informacija pateikiama elektroniniu būdu ir (ar) bet kokiomis kitomis tinkamomis priemonėmis. Duomenų valdytojas duomenų subjekto prašomą pateikti informaciją apie asmens duomenų tvarkymą pateikia tokia pačia forma, kokia buvo gautas prašymas.

2. Duomenų valdytojas sudaro palankias sąlygas naudotis šio įstatymo 12–16 straipsniuose nustatytomis duomenų subjekto teisėmis.

3. Duomenų valdytojas nedelsdamas, tačiau ne vėliau kaip per vieną mėnesį nuo duomenų subjekto prašymo gavimo dienos, raštu pateikia duomenų subjektui informaciją apie veiksmus, kurių imtasi gavus prašymą pagal šio įstatymo 12–15 straipsnius, arba atsisakymą imtis veiksmų pagal duomenų subjekto prašymą. Šis terminas prireikus gali būti pratęstas iki trijų mėnesių, atsižvelgiant į duomenų subjekto pateiktų prašymų sudėtingumą ir skaičių. Duomenų valdytojas per vieną mėnesį nuo prašymo gavimo dienos raštu informuoja duomenų subjektą apie termino pratęsimą ir pratęsimo priežastis. Jei duomenų valdytojas atsisako imtis veiksmų pagal duomenų subjekto prašymą, jis informuoja duomenų subjektą apie atsisakymo priežastis ir apie galimybę pateikti skundą Valstybinei duomenų apsaugos inspekcijai arba kreiptis į teismą ar, kai asmens duomenys tvarkomi nacionalinio saugumo ar gynybos tikslais, galimybę pateikti skundą kitam subjektui, kuris pagal Lietuvos Respublikos įstatymus, reglamentuojančius kompetentingų institucijų veiklą, nagrinėja skundus dėl žmogaus teisių ir laisvių pažeidimų.

4. Duomenų valdytojas šio straipsnio 1 dalyje nurodytą informaciją ir pranešimus teikia bei kitus veiksmus, susijusius su duomenų subjektų teisių įgyvendinimu, atlieka nemokamai. Jeigu duomenų subjekto prašymai yra akivaizdžiai nepagrįsti arba neproporcingi, visų pirma dėl jų pasikartojančio pobūdžio, duomenų valdytojas gali:

1) imti atlyginimą už informacijos ar pranešimo teikimą arba prašomų veiksmų vykdymą; arba

2) atsisakyti imtis veiksmų pagal prašymą.

5. Šio straipsnio 4 dalyje nurodytu atveju pareiga įrodyti, kad duomenų subjekto prašymas yra akivaizdžiai nepagrįstas arba neproporcingas, tenka duomenų valdytojui.

6. Atlyginimo, imamo vadovaujantis šio straipsnio 4 dalies 1 punktu, dydis neturi viršyti informacijos ar pranešimo teikimo ar veiksmų atlikimo sąnaudų. Atlyginimo dydį duomenų valdytojas nustato ir tvirtina atsižvelgdamas į darbo ir materialines sąnaudas, kurių reikia informacijai ar pranešimui pateikti ar veiksmams atlikti.

7. Jei duomenų valdytojas turi pagrįstų abejonių dėl šio įstatymo 12 arba 14 straipsnyje nurodytą prašymą pateikusio fizinio asmens tapatybės, jis gali paprašyti pateikti papildomos informacijos, reikalingos norint patvirtinti duomenų subjekto tapatybę.

11 straipsnis. Duomenų subjektui prieinama informacija ir informacija, kuri turi būti pateikta duomenų subjektui

1. Duomenų valdytojas privalo duomenų subjektui padaryti prieinamą (paskelbti duomenų valdytojo interneto svetainėje arba padaryti kitu būdu prieinamą) šią informaciją:

1) duomenų valdytojo pavadinimą, juridinio asmens kodą, buveinę ir kontaktinius duomenis (telefono ryšio numerį ir (ar) elektroninio pašto adresą);

2) duomenų apsaugos pareigūno, jei duomenų valdytojas privalo jį paskirti, kontaktinius duomenis (adresą, telefono ryšio numerį ir (ar) elektroninio pašto adresą);

3) asmens duomenų tvarkymo tikslus;

4) informaciją apie duomenų subjekto teisę pateikti skundą Valstybinei duomenų apsaugos inspekcijai ir jos adresą arba, kai asmens duomenys tvarkomi nacionalinio saugumo ar gynybos tikslais, teisę pateikti skundą kitam subjektui, kuris pagal Lietuvos Respublikos įstatymus, reglamentuojančius kompetentingų institucijų veiklą, nagrinėja skundus dėl žmogaus teisių ir laisvių pažeidimų, ir jo adresą;

5) informaciją apie duomenų subjekto teisę duomenų valdytojo reikalauti, kad jis leistų susipažinti su tvarkomais duomenų subjekto asmens duomenimis, juos ištaisytų ar ištrintų ir apribotų jų tvarkymą.

2. Tais atvejais, kai duomenų valdytojas ketina tvarkyti ar tvarko duomenų subjekto asmens duomenis, jis duomenų subjektui turi pateikti šią informaciją, kad duomenų subjektas galėtų pasinaudoti savo teisėmis:

1) šio straipsnio 1 dalyje nurodytą informaciją; 

2) asmens duomenų tvarkymo teisinį pagrindą;

3) asmens duomenų saugojimo laikotarpį arba, jei tai neįmanoma, kriterijus, taikomus tam laikotarpiui nustatyti;

4) duomenų gavėjų, jei jų yra, kategorijas, įskaitant duomenų gavėjus trečiosiose valstybėse arba tarptautinėse organizacijose;

5) prireikus – papildomą informaciją, ypač tais atvejais, kai asmens duomenys renkami apie tai nežinant duomenų subjektui.

3. Informacijos teikimas duomenų subjektui pagal šio straipsnio 2 dalį gali būti atidėtas, apribotas arba ši informacija gali būti neteikiama Lietuvos Respublikos įstatymuose nurodytais atvejais tiek, kiek ir tol, kol tai, atsižvelgiant į susijusio fizinio asmens pagrindines teises ir teisėtus interesus, demokratinėje visuomenėje yra būtina ir proporcinga siekiant:

1) netrukdyti atlikti oficialius arba teisinius nagrinėjimus, tyrimus ar procedūras;

2) nepakenkti nusikalstamų veikų prevencijai, tyrimui, atskleidimui ar baudžiamajam persekiojimui už jas arba bausmių vykdymui;

3) užtikrinti visuomenės saugumą;

4) apsaugoti kitų asmenų teises ir laisves.

4. Informacijos teikimas duomenų subjektui pagal šio straipsnio 2 dalį gali būti atidėtas, apribotas arba ši informacija gali būti neteikiama tiek, kiek ir tol, kol tai, atsižvelgiant į susijusio fizinio asmens pagrindines teises ir teisėtus interesus, demokratinėje visuomenėje yra būtina ir proporcinga siekiant užtikrinti nacionalinį saugumą.

12 straipsnis. Duomenų subjekto teisė susipažinti su asmens duomenimis

Duomenų subjektas turi teisę iš duomenų valdytojo gauti patvirtinimą, ar su juo susiję asmens duomenys yra tvarkomi, o jei jie tvarkomi, jis turi teisę susipažinti su asmens duomenimis ir šia informacija apie:

1) asmens duomenų tvarkymo tikslus ir teisinį pagrindą;

2) tvarkomų asmens duomenų kategorijas;

3) duomenų gavėjus arba duomenų gavėjų, kuriems buvo atskleisti asmens duomenys, kategorijas, ypač apie duomenų gavėjus trečiosiose valstybėse arba tarptautinėse organizacijose;

4) numatomą asmens duomenų saugojimo laikotarpį arba, jei tai neįmanoma, kriterijus, taikomus tam laikotarpiui nustatyti;

5) duomenų subjekto teisę duomenų valdytojo reikalauti, kad jis ištaisytų ar ištrintų duomenų subjekto asmens duomenis arba apribotų jų tvarkymą;

6) duomenų subjekto teisę pateikti skundą Valstybinei duomenų apsaugos inspekcijai ir jos adresą arba, kai asmens duomenys tvarkomi nacionalinio saugumo ar gynybos tikslais, teisę pateikti skundą kitam subjektui, kuris pagal Lietuvos Respublikos įstatymus, reglamentuojančius kompetentingų institucijų veiklą, nagrinėja skundus dėl žmogaus teisių ir laisvių pažeidimų, ir jo adresą;

7) tvarkomų asmens duomenų kilmę (pateikiama visa duomenų valdytojo turima informacija).

13 straipsnis. Teisės susipažinti su asmens duomenimis apribojimai

1. Duomenų subjekto teisė susipažinti su duomenimis, nustatyta šio įstatymo 12 straipsnyje,  gali būti visiškai arba iš dalies apribota Lietuvos Respublikos įstatymuose nurodytais atvejais tiek, kiek ir tol, kol toks apribojimas, atsižvelgiant į susijusio fizinio asmens pagrindines teises ir teisėtus interesus, demokratinėje visuomenėje yra būtinas ir proporcingas siekiant:

1) netrukdyti atlikti oficialius arba teisinius nagrinėjimus, tyrimus ar procedūras;

2) nepakenkti nusikalstamų veikų prevencijai, tyrimui, atskleidimui ar baudžiamajam persekiojimui už jas arba bausmių vykdymui;

3) užtikrinti visuomenės saugumą;

4) apsaugoti kitų asmenų teises ir laisves.

2. Duomenų subjekto teisė susipažinti su duomenimis, nustatyta šio įstatymo 12 straipsnyje,  gali būti visiškai arba iš dalies apribota tiek, kiek ir tol, kol toks apribojimas, atsižvelgiant į susijusio fizinio asmens pagrindines teises ir teisėtus interesus, demokratinėje visuomenėje yra būtinas ir proporcingas siekiant užtikrinti nacionalinį saugumą.

3. Šio straipsnio 1 ir (ar) 2 dalyse nurodytais atvejais duomenų valdytojas turi raštu informuoti duomenų subjektą apie bet kokį atsisakymą suteikti teisę susipažinti su duomenimis arba tokios teisės apribojimą ir tokio atsisakymo ar apribojimo priežastis. Tokia informacija gali būti nesuteikta, jeigu jos pateikimas pakenktų tikslui, nurodytam šio straipsnio 1 ir (ar) 2 dalyse. Duomenų valdytojas turi informuoti duomenų subjektą apie galimybę pateikti skundą Valstybinei duomenų apsaugos inspekcijai arba kreiptis į teismą ar, kai asmens duomenys tvarkomi nacionalinio saugumo ar gynybos tikslais, teisę pateikti skundą kitam subjektui, kuris pagal Lietuvos Respublikos įstatymus, reglamentuojančius kompetentingų institucijų veiklą, nagrinėja skundus dėl žmogaus teisių ir laisvių pažeidimų.

4. Duomenų valdytojas turi kiekvienu konkrečiu atveju įvertinti, ar teisė susipažinti su asmens duomenimis turi būti visiškai arba iš dalies apribota, taip pat dokumentuoti faktines arba teisines priežastis, kuriomis pagrįstas sprendimas apriboti šią teisę, ir prireikus šią informaciją pateikti Valstybinei duomenų apsaugos inspekcijai jos prašymu arba, kai asmens duomenys tvarkomi nacionalinio saugumo ar gynybos tikslais, kitam subjektui, kuris pagal Lietuvos Respublikos įstatymus, reglamentuojančius kompetentingų institucijų veiklą, nagrinėja skundus dėl žmogaus teisių ir laisvių pažeidimų, jo prašymu.

14 straipsnis. Teisė reikalauti ištaisyti ar ištrinti asmens duomenis ir apriboti jų tvarkymą

1. Duomenų subjektas turi teisę reikalauti, kad duomenų valdytojas nedelsdamas ištaisytų netikslius jo asmens duomenis. Atsižvelgdamas į asmens duomenų tvarkymo tikslus, duomenų subjektas taip pat turi teisę reikalauti, kad būtų papildyti neišsamūs asmens duomenys.

2. Duomenų subjektas turi teisę reikalauti, kad duomenų valdytojas nedelsdamas ištrintų jo asmens duomenis, jeigu jų tvarkymas pažeidžia šio įstatymo 3 straipsnį, 7 straipsnio 1 dalį ir (ar) 8 straipsnį arba jeigu asmens duomenys turi būti ištrinti vykdant teisinę prievolę, kuri taikoma duomenų valdytojui. Duomenų valdytojas privalo nedelsdamas ištrinti asmens duomenis, jei duomenų subjekto prašymas pagrįstas.

3. Duomenų valdytojas apriboja asmens duomenų tvarkymą jų neištrindamas, jeigu:

1)  duomenų subjektas užginčija asmens duomenų tikslumą, o jų tikslumo arba netikslumo patvirtinti neįmanoma; arba

2)  asmens duomenys turi būti išsaugoti įrodymų tikslais.

4. Jeigu duomenų tvarkymas ribojamas pagal šio straipsnio 3 dalies 1 punktą, duomenų valdytojas, prieš panaikindamas duomenų tvarkymo apribojimą, informuoja apie tai duomenų subjektą.

5. Duomenų valdytojas turi raštu informuoti duomenų subjektą apie bet kokį atsisakymą ištaisyti ar ištrinti asmens duomenis arba apriboti jų tvarkymą ir apie tokio atsisakymo priežastis. Pareiga pateikti tokią informaciją gali būti visiškai arba iš dalies apribota Lietuvos Respublikos įstatymuose nurodytais atvejais tiek, kiek toks apribojimas, atsižvelgiant į susijusio fizinio asmens pagrindines teises ir teisėtus interesus, demokratinėje visuomenėje yra būtinas ir proporcingas siekiant:

1) netrukdyti atlikti oficialius arba teisinius nagrinėjimus, tyrimus ar procedūras;

2) nepakenkti nusikalstamų veikų prevencijai, tyrimui, atskleidimui ar baudžiamajam persekiojimui už jas arba bausmių vykdymui;

3) užtikrinti visuomenės saugumą;

4) apsaugoti kitų asmenų teises ir laisves.

6. Duomenų valdytojas turi raštu informuoti duomenų subjektą apie bet kokį atsisakymą ištaisyti ar ištrinti asmens duomenis arba apriboti jų tvarkymą ir apie tokio atsisakymo priežastis. Pareiga pateikti tokią informaciją gali būti visiškai arba iš dalies apribota tiek, kiek toks apribojimas, atsižvelgiant į susijusio fizinio asmens pagrindines teises ir teisėtus interesus, demokratinėje visuomenėje yra būtinas ir proporcingas siekiant užtikrinti nacionalinį saugumą.

7. Duomenų valdytojas šio straipsnio 5 ir (ar) 6 dalyse nurodytais atvejais turi informuoti duomenų subjektą apie galimybę pateikti skundą Valstybinei duomenų apsaugos inspekcijai arba kreiptis į teismą ar, kai asmens duomenys tvarkomi nacionalinio saugumo ar gynybos tikslais, galimybę pateikti skundą kitam subjektui, kuris pagal Lietuvos Respublikos įstatymus, reglamentuojančius kompetentingų institucijų veiklą, nagrinėja skundus dėl žmogaus teisių ir laisvių pažeidimų.

8. Duomenų valdytojas nedelsdamas turi pranešti apie netikslių asmens duomenų ištaisymą kompetentingai institucijai, iš kurios tie netikslūs asmens duomenys buvo gauti.

9. Tais atvejais, kai pagal šio straipsnio 1–3 dalis asmens duomenys buvo ištaisyti ar ištrinti arba buvo apribotas jų tvarkymas, duomenų valdytojas nedelsdamas turi informuoti duomenų gavėjus, o duomenų gavėjai turi ištaisyti ar ištrinti asmens duomenis arba apriboti asmens duomenų tvarkymą.

15 straipsnis. Duomenų subjekto naudojimasis savo teisėmis ir Valstybinės duomenų apsaugos inspekcijos atliekamas patikrinimas

1. Duomenų subjektas šio įstatymo 11 straipsnio 3 dalyje, 13 straipsnio 3 dalyje ir 14 straipsnio 5 dalyje nurodytais atvejais gali įgyvendinti savo teises ir kreiptis į Valstybinę duomenų apsaugos inspekciją jos nustatyta tvarka, išskyrus, kai asmens duomenys tvarkomi nacionalinio saugumo ar gynybos tikslais. Duomenų valdytojas turi informuoti duomenų subjektą apie tokią galimybę.

2. Jei naudojamasi šio straipsnio 1 dalyje nurodyta teise, Valstybinė duomenų apsaugos inspekcija informuoja duomenų subjektą bent apie tai, kad ji atliko visus būtinus patikrinimus arba peržiūrą. Valstybinė duomenų apsaugos inspekcija taip pat informuoja duomenų subjektą apie jo teisę kreiptis į teismą.

16 straipsnis. Duomenų subjekto teisės vykstant baudžiamajam procesui

Vykstant baudžiamajam procesui, duomenų subjektas teisėmis, nurodytomis šio įstatymo 11, 12 ir 14 straipsniuose, naudojasi tiek, kiek Lietuvos Respublikos baudžiamojo proceso kodeksas nenustato kitokios teisių įgyvendinimo tvarkos.

IV SKYRIUS

DUOMENŲ VALDYTOJAS IR DUOMENŲ TVARKYTOJAS

17 straipsnis. Duomenų valdytojo prievolės

1. Duomenų valdytojas, atsižvelgdamas į duomenų tvarkymo pobūdį, aprėptį, kontekstą ir tikslus, taip pat į įvairios tikimybės ir rimtumo pavojus žmogaus teisėms ir laisvėms, įgyvendina tinkamas technines ir organizacines priemones, kad užtikrintų ir galėtų įrodyti, kad duomenys tvarkomi laikantis šio įstatymo. Tos priemonės prireikus peržiūrimos ir atnaujinamos.

2. Kai tai proporcinga duomenų tvarkymo veiklos atžvilgiu, šio straipsnio 1 dalyje nurodytos priemonės apima duomenų valdytojo įgyvendinamą asmens duomenų apsaugos politiką.

18 straipsnis. Pritaikytoji duomenų apsauga ir standartizuotoji duomenų apsauga

1. Duomenų valdytojas, atsižvelgdamas į techninių galimybių išsivystymo lygį, įgyvendinimo sąnaudas bei į duomenų tvarkymo pobūdį, aprėptį, kontekstą ir tikslus, taip pat į duomenų tvarkymo keliamus įvairios tikimybės ir rimtumo pavojus žmogaus teisėms ir laisvėms, tiek nustatydamas duomenų tvarkymo priemones, tiek paties duomenų tvarkymo metu įgyvendina tinkamas technines ir organizacines priemones (pseudonimų suteikimą ir (ar) kitas priemones), kuriomis siekiama veiksmingai įgyvendinti duomenų apsaugos principus, ir į duomenų tvarkymą integruoti būtinas apsaugos priemones, kad duomenų tvarkymas atitiktų šio įstatymo reikalavimus ir būtų apsaugotos duomenų subjektų teisės.

2. Duomenų valdytojas įgyvendina tinkamas technines ir organizacines priemones, kuriomis užtikrina, kad standartizuotai būtų tvarkomi tik tie asmens duomenys, kurie yra būtini kiekvienam konkrečiam duomenų tvarkymo tikslui. Ta prievolė taikoma surinktų asmens duomenų kiekiui, jų tvarkymo apimčiai, saugojimo laikotarpiui ir prieinamumui. Visų pirma tokiomis priemonėmis užtikrinama, kad standartizuotai be fizinio asmens įsikišimo su asmens duomenimis negalėtų susipažinti neribotas fizinių asmenų skaičius.

19 straipsnis. Bendri duomenų valdytojai

1. Kai du ar daugiau duomenų valdytojų kartu nustato duomenų tvarkymo tikslus ir priemones, jie yra bendri duomenų valdytojai. Jie tarpusavio susitarimu skaidriai nustato savo atsakomybę už šio įstatymo nuostatų, visų pirma susijusių su duomenų subjekto naudojimusi savo teisėmis ir su pareigomis duomenų subjektui pateikti šio įstatymo 11 straipsnyje nurodytą informaciją, vykdymą, išskyrus atvejus, kai atitinkama duomenų valdytojų atsakomybė nustatoma Europos Sąjungos arba Lietuvos Respublikos teisės aktuose. Tokiame  susitarime turi būti nustatyta, į kurį duomenų valdytoją duomenų subjektas turi kreiptis dėl savo teisių įgyvendinimo.

2. Nepaisant šio straipsnio 1 dalyje nurodyto susitarimo sąlygų, duomenų subjektas gali naudotis šiame įstatyme nustatytomis teisėmis kiekvieno iš duomenų valdytojų atžvilgiu.

20 straipsnis. Duomenų tvarkytojas

1. Kai duomenys turi būti tvarkomi duomenų valdytojo vardu, duomenų valdytojas pasitelkia tik tuos duomenų tvarkytojus, kurie užtikrina, kad tinkamos techninės ir organizacinės priemonės bus įgyvendintos tokiu būdu, kad duomenų tvarkymas atitiktų šio įstatymo reikalavimus ir būtų užtikrinta duomenų subjekto teisių apsauga.

2. Duomenų tvarkytojas nepasitelkia kito duomenų tvarkytojo be išankstinio konkretaus arba bendro rašytinio duomenų valdytojo leidimo. Bendro rašytinio leidimo atveju duomenų tvarkytojas informuoja duomenų valdytoją apie visus planuojamus pakeitimus, susijusius su kitų duomenų tvarkytojų pasitelkimu ar pakeitimu, ir taip suteikia duomenų valdytojui galimybę nesutikti su tokiais pakeitimais.

3. Duomenų tvarkytojo atliekamas duomenų tvarkymas reglamentuojamas rašytine sutartimi ar Europos Sąjungos arba Lietuvos Respublikos teisės aktu, kurie yra privalomi duomenų tvarkytojui duomenų valdytojo atžvilgiu ir kuriuose nustatomas duomenų tvarkymo dalykas ir trukmė, duomenų tvarkymo pobūdis ir tikslas, asmens duomenų rūšis ir duomenų subjektų kategorijos bei duomenų valdytojo prievolės ir teisės. Toje sutartyje ar teisės akte visų pirma nustatoma, kad duomenų tvarkytojas:

1) veikia tik pagal duomenų valdytojo nurodymus;

2) užtikrina, kad asmens duomenis tvarkyti įgalioti asmenys būtų įsipareigoję užtikrinti konfidencialumą arba jiems būtų taikoma įstatymuose nustatyta konfidencialumo prievolė;

3) visomis tinkamomis priemonėmis padeda duomenų valdytojui užtikrinti, kad būtų laikomasi nuostatų dėl duomenų subjekto teisių;

4) pagal duomenų valdytojo pasirinkimą, užbaigus teikti su duomenų tvarkymu susijusias paslaugas, ištrina arba grąžina duomenų valdytojui visus asmens duomenis ir ištrina esamas jų kopijas, išskyrus atvejus, kai Europos Sąjungos arba Lietuvos Respublikos teisės aktai reikalauja asmens duomenis saugoti;

5) pateikia duomenų valdytojui visą informaciją, būtiną siekiant įrodyti, kad laikomasi šio straipsnio nuostatų;

6) laikosi šio straipsnio 2 ir 3 dalyse nurodytų kito duomenų tvarkytojo pasitelkimo sąlygų.

4. Jeigu duomenų tvarkytojas, pažeisdamas šį įstatymą, nustato duomenų tvarkymo tikslus ir priemones, to duomenų tvarkymo atžvilgiu tas duomenų tvarkytojas laikomas duomenų valdytoju.

21 straipsnis. Duomenų valdytojui ar duomenų tvarkytojui pavaldžių subjektų atliekamas duomenų tvarkymas

Duomenų tvarkytojas ir bet kuris duomenų valdytojui arba duomenų tvarkytojui pavaldus asmuo, galintis susipažinti su asmens duomenimis, gali tvarkyti asmens duomenis tik pagal duomenų valdytojo nurodymus, nebent Europos Sąjungos arba Lietuvos Respublikos teisės aktai numato kitaip.

22 straipsnis. Duomenų tvarkymo veiklos įrašai

1. Duomenų valdytojai tvarko visų kategorijų duomenų tvarkymo veiklos, už kurią jie atsako, įrašus, kuriuose pateikiama ši informacija:

1) duomenų valdytojo, bendrų duomenų valdytojų, jei jie yra, ir duomenų apsaugos pareigūno, jei jį privaloma paskirti, pavadinimas ir (ar) vardas ir pavardė, kontaktiniai duomenys (adresas, telefono ryšio numeris ir (ar) elektroninio pašto adresas);

2) duomenų tvarkymo tikslai;

3) duomenų gavėjų, kuriems buvo arba bus atskleisti asmens duomenys, kategorijos, įskaitant duomenų gavėjus trečiosiose valstybėse ar tarptautines organizacijas;

4) duomenų subjektų kategorijų ir asmens duomenų kategorijų aprašymas;

5) profiliavimo, jei jis atliekamas, naudojimas;

6) asmens duomenų perdavimų trečiajai valstybei arba tarptautinei organizacijai, jei asmens duomenys perduodami, kategorijos;

7) informacija apie duomenų tvarkymo operacijos, įskaitant duomenų perdavimus, kuriai yra skirti asmens duomenys, teisinį pagrindą;

8) jeigu įmanoma, numatomi įvairių kategorijų asmens duomenų ištrynimo terminai;

9) jeigu įmanoma, bendras šio įstatymo 28 straipsnio 1 dalyje nurodytų techninių ir organizacinių saugumo priemonių aprašymas.

2. Kiekvienas duomenų tvarkytojas tvarko su visų kategorijų duomenų tvarkymo veikla, vykdoma duomenų valdytojo vardu, susijusius įrašus, kuriuose nurodoma:

1) duomenų tvarkytojo ar duomenų tvarkytojų, kiekvieno duomenų valdytojo, kurio vardu veikia duomenų tvarkytojas, ir duomenų apsaugos pareigūno, jei jį privaloma paskirti, pavadinimas ir (ar) vardas ir pavardė, kontaktiniai duomenys (adresas, telefono ryšio numeris ir (ar) elektroninio pašto adresas);

2) kiekvieno duomenų valdytojo vardu vykdomo duomenų tvarkymo kategorijos;

3) asmens duomenų perdavimai trečiajai valstybei arba tarptautinei organizacijai, jeigu duomenų valdytojas aiškiai paveda tai padaryti, nurodant tą trečiąją valstybę arba tarptautinę organizaciją, jei asmens duomenys perduodami;

4) jeigu įmanoma, bendras šio įstatymo 28 straipsnio 1 dalyje nurodytų techninių ir organizacinių saugumo priemonių aprašymas.

3. Šio straipsnio 1 ir 2 dalyse nurodyti įrašai tvarkomi raštu, įskaitant elektroninės formos įrašus.

4. Duomenų valdytojas ir duomenų tvarkytojas turi pateikti šio straipsnio 1 ir 2 dalyse nurodytus įrašus Valstybinei duomenų apsaugos inspekcijai jos prašymu, išskyrus atvejus, kai asmens duomenys tvarkomi nacionalinio saugumo arba gynybos tikslais.

23 straipsnis. Registracijos įrašai

1. Duomenų valdytojas užtikrina, kad būtų saugomi registracijos įrašai bent apie šias duomenų tvarkymo operacijas, atliktas automatinėse duomenų tvarkymo sistemose: rinkimą, keitimą, užklausą, atskleidimą, įskaitant perdavimus, sujungimą ir ištrynimą. Užklausos ir atskleidimo registracijos įrašai turi suteikti galimybę nustatyti tokių operacijų priežastis, datą ir laiką, taip pat, kiek tai įmanoma, nustatyti asmens, kuris atliko asmens duomenų užklausą arba juos atskleidė, tapatybę ir tokių asmens duomenų gavėjų tapatybę.

2. Registracijos įrašai naudojami tik siekiant patikrinti duomenų tvarkymo teisėtumą, vykdyti savikontrolę, užtikrinti asmens duomenų vientisumą bei saugumą, taip pat baudžiamojo proceso tikslais.

3. Duomenų valdytojas ir duomenų tvarkytojas turi pateikti registracijos įrašus Valstybinei duomenų apsaugos inspekcijai jos prašymu, išskyrus atvejus, kai asmens duomenys tvarkomi nacionalinio saugumo arba gynybos tikslais.

24 straipsnis. Bendradarbiavimas su Valstybine duomenų apsaugos inspekcija

Gavęs Valstybinės duomenų apsaugos inspekcijos prašymą, duomenų valdytojas ir duomenų tvarkytojas bendradarbiauja su Valstybine duomenų apsaugos inspekcija jai vykdant funkcijas.

25 straipsnis. Poveikio duomenų apsaugai vertinimas

1. Kai dėl duomenų tvarkymo rūšies, visų pirma naudojant naujas technologijas, ir atsižvelgiant į duomenų tvarkymo pobūdį, aprėptį, kontekstą ir tikslus, žmogaus teisėms ir laisvėms gali kilti didelis pavojus, duomenų valdytojas, prieš pradėdamas tvarkyti duomenis, atlieka numatytų duomenų tvarkymo operacijų poveikio duomenų apsaugai vertinimą ir parengia poveikio duomenų apsaugai vertinimo ataskaitą.

2. Poveikio duomenų apsaugai vertinimo ataskaitoje pateikiamas bendras numatytų duomenų tvarkymo operacijų aprašymas, pavojaus duomenų subjektų teisėms ir laisvėms vertinimas, numatytos priemonės tam pavojui pašalinti, apsaugos priemonės, saugumo priemonės ir mechanizmai, kuriais užtikrinama asmens duomenų apsauga ir įrodoma, kad laikomasi šio įstatymo, atsižvelgiant į duomenų subjektų ir kitų susijusių asmenų teises ir teisėtus interesus, ir kita, duomenų valdytojo nuomone, svarbi informacija.

26 straipsnis. Išankstinis konsultavimasis su Valstybine duomenų apsaugos inspekcija

1. Duomenų valdytojas arba duomenų tvarkytojas iš anksto konsultuojasi su Valstybine duomenų apsaugos inspekcija prieš tvarkydamas asmens duomenis, kurie bus įtraukti į naujai kuriamą susistemintą rinkinį, jeigu:

1) poveikio duomenų apsaugai vertinimo ataskaitoje nurodyta, kad tvarkant duomenis kiltų didelis pavojus duomenų subjektų teisėms ir laisvėms, jei duomenų valdytojas nesiimtų priemonių pavojui sumažinti; arba

2) dėl duomenų tvarkymo rūšies, visų pirma naudojant naujas technologijas, mechanizmus ar taikant naujas procedūras, kyla didelis pavojus duomenų subjektų teisėms ir laisvėms.

2. Valstybinė duomenų apsaugos inspekcija gali sudaryti ir viešai paskelbti duomenų tvarkymo operacijų, dėl kurių turi būti konsultuojamasi pagal šio straipsnio 1 dalį, sąrašą.

3. Duomenų valdytojas turi pateikti Valstybinei duomenų apsaugos inspekcijai poveikio duomenų apsaugai vertinimo ataskaitą, o Valstybinės duomenų inspekcijos prašymu – ir kitą informaciją, kad Valstybinė duomenų apsaugos inspekcija galėtų įvertinti, ar duomenų tvarkymas atitinka šio įstatymo reikalavimus, ir visų pirma pavojų duomenų subjekto asmens duomenų apsaugai ir susijusias apsaugos priemones.

4. Jeigu Valstybinė duomenų apsaugos inspekcija laikosi nuomonės, kad šio straipsnio 1 dalyje nustatytas duomenų tvarkymas šio įstatymo nuostatas pažeistų, visų pirma tais atvejais, kai duomenų valdytojas nepakankamai nustatė arba nepakankamai sumažino pavojų, Valstybinė duomenų apsaugos inspekcija ne vėliau kaip per šešias savaites nuo prašymo suteikti konsultaciją gavimo dienos turi raštu pateikti duomenų valdytojui ir, jei reikia, duomenų tvarkytojui rekomendacijas ir gali pasinaudoti bet kuriomis šio įstatymo 41 straipsnyje nurodytomis  teisėmis. Šis terminas gali būti pratęstas vieną mėnesį, atsižvelgiant į numatyto duomenų tvarkymo sudėtingumą. Valstybinė duomenų apsaugos inspekcija informuoja duomenų valdytoją ir, jei reikia,  duomenų tvarkytoją, apie termino pratęsimą ir pratęsimo priežastis per vieną mėnesį nuo prašymo suteikti konsultaciją gavimo dienos.

5. Rengiant įstatymų ir kitų teisės aktų projektus, susijusius su asmens duomenų tvarkymu šio įstatymo 1 straipsnio 2 dalyje nurodytais tikslais, šie projektai turi būti teikiami Valstybinei duomenų apsaugos inspekcijai, kad ji pateiktų savo išvadas.

6. Šio straipsnio nuostatos, išskyrus šio straipsnio 5 dalį, netaikomos Lietuvos Respublikos valstybės institucijoms, kai jos asmens duomenis tvarko nacionalinio saugumo arba gynybos tikslais.

27 straipsnis. Pranešimų apie šio įstatymo pažeidimus skatinimas

Duomenų valdytojai turi diegti veiksmingus mechanizmus, kuriais būtų skatinama jiems konfidencialiai pranešti apie šio įstatymo pažeidimus dėl asmens duomenų tvarkymo duomenų valdytojo atsakomybės srityje.

V SKYRIUS

ASMENS DUOMENŲ SAUGUMAS

28 straipsnis. Duomenų tvarkymo saugumas

1. Duomenų valdytojas ir duomenų tvarkytojas, atsižvelgdami į technines galimybes, įgyvendinimo sąnaudas ir duomenų tvarkymo pobūdį, aprėptį, kontekstą ir tikslus, taip pat įvairios tikimybės ir rimtumo pavojus žmogaus teisėms ir laisvėms, įgyvendina tinkamas technines ir organizacines priemones, kad būtų užtikrintas pavojų atitinkančio lygio saugumas, visų pirma kiek tai susiję su šio įstatymo 8 straipsnyje nurodytu specialių kategorijų asmens duomenų tvarkymu.

2. Automatinio duomenų tvarkymo srityje duomenų valdytojas arba duomenų tvarkytojas, atlikę rizikos vertinimą, turi įgyvendinti priemones, kuriomis siekiama:

1) nesuteikti neįgaliotiems asmenims prieigos prie duomenų tvarkymo įrangos, naudojamos duomenims tvarkyti (prieigos prie įrangos kontrolė);

2) užkirsti kelią neteisėtam duomenų laikmenų skaitymui, kopijavimui, keitimui ar pašalinimui (duomenų laikmenų kontrolė);

3) užkirsti kelią neteisėtam asmens duomenų įvedimui ir neteisėtam saugomų asmens duomenų tikrinimui, keitimui ar ištrynimui (saugojimo kontrolė);

4) neleisti neįgaliotiems asmenims, kurie naudojasi duomenų perdavimo įranga, naudotis automatinėmis duomenų tvarkymo sistemomis (naudotojo kontrolė);

5) užtikrinti, kad asmenys, įgalioti naudotis automatine duomenų tvarkymo sistema, turėtų prieigą tik prie tų asmens duomenų, kuriems taikomas jų prieigos leidimas (prieigos prie duomenų kontrolė);

6) užtikrinti, kad būtų įmanoma patikrinti ir nustatyti įstaigas, kurioms asmens duomenys buvo persiųsti arba gali būti persiųsti arba kurioms buvo suteikta galimybė su jais susipažinti naudojant duomenų perdavimo įrangą (perdavimo kontrolė);

7) užtikrinti galimybę vėliau patikrinti ir nustatyti, kokie asmens duomenys buvo įvesti į automatines duomenų tvarkymo sistemas ir kada bei kas asmens duomenis įvedė (įvedimo kontrolė);

8) užkirsti kelią neteisėtam asmens duomenų skaitymui, kopijavimui, keitimui arba ištrynimui asmens duomenų perdavimo metu arba duomenų laikmenos gabenimo metu (siuntimo kontrolė);

9) užtikrinti, kad įdiegtos sistemos pertraukties atveju galėtų būti atkurtos (atgaminimas);

10) užtikrinti, kad sistemos funkcijos veiktų, kad apie pastebėtas funkcionavimo klaidas būtų pranešama (patikimumas) ir kad saugomi asmens duomenys negalėtų būti iškraipyti dėl blogo sistemos veikimo (vientisumas).

29 straipsnis. Pranešimas apie asmens duomenų saugumo pažeidimą Valstybinei duomenų apsaugos inspekcijai

1. Duomenų valdytojas nedelsdamas ir, jei įmanoma, ne vėliau kaip per 72 valandas nuo tada, kai sužinojo apie asmens duomenų saugumo pažeidimą, turi pranešti apie jį Valstybinei duomenų apsaugos inspekcijai, nebent asmens duomenų saugumo pažeidimas neturėtų kelti pavojaus žmogaus teisėms ir laisvėms. Jeigu pranešimas Valstybinei duomenų apsaugos inspekcijai pateikiamas vėliau nei per 72 valandas, prie jo pridedama informacija apie vėlavimo priežastis.

2. Duomenų tvarkytojas, sužinojęs apie asmens duomenų saugumo pažeidimą, nedelsdamas apie tai praneša duomenų valdytojui.

3. Šio straipsnio 1 dalyje nurodytame pranešime turi būti:

1) aprašytas asmens duomenų saugumo pažeidimo pobūdis, įskaitant, jeigu įmanoma, duomenų subjektų kategorijas ir apytikslį skaičių, taip pat asmens duomenų įrašų kategorijas ir apytikslį skaičių;

2) nurodyta duomenų apsaugos pareigūno arba kito kontaktinio asmens, galinčio suteikti daugiau informacijos, vardas ir pavardė bei kontaktiniai duomenys (adresas, telefono ryšio numeris ir (ar) elektroninio pašto adresas);

3) aprašytos tikėtinos asmens duomenų saugumo pažeidimo pasekmės;

4) aprašytos priemonės, kurių ėmėsi duomenų valdytojas, arba kurių siūloma, kad jis imtųsi, kad būtų pašalintas asmens duomenų saugumo pažeidimas, įskaitant, kai tinkama, priemones galimoms neigiamoms jo pasekmėms sumažinti;

5) pateikta kita reikšminga informacija duomenų valdytojo nuožiūra.

4. Jeigu informacijos neįmanoma pateikti tuo pačiu metu, informacija toliau nedelsiant gali būti teikiama dalimis.

5. Duomenų valdytojas dokumentuoja visus šio straipsnio 1 dalyje nurodytus asmens duomenų saugumo pažeidimus, įskaitant su asmens duomenų saugumo pažeidimu susijusius faktus, jo poveikį ir taisomuosius veiksmus, kurių buvo imtasi. Remdamasi tais dokumentais, Valstybinė duomenų apsaugos inspekcija turi turėti galimybę patikrinti, ar laikomasi šio straipsnio nuostatų.

6. Kai asmens duomenų saugumo pažeidimas yra susijęs su asmens duomenimis, kurie buvo persiųsti kitos Europos Sąjungos valstybės narės duomenų valdytojo arba kitos Europos Sąjungos valstybės narės duomenų valdytojui, šio straipsnio 3 dalyje nurodyta informacija nedelsiant turi būti pateikta tos Europos Sąjungos valstybės narės duomenų valdytojui.

7. Šio straipsnio nuostatos netaikomos Lietuvos Respublikos valstybės institucijoms, kai jos asmens duomenis tvarko nacionalinio saugumo arba gynybos tikslais.

30 straipsnis. Pranešimas apie asmens duomenų saugumo pažeidimą duomenų subjektui

1. Jeigu dėl asmens duomenų saugumo pažeidimo gali kilti didelis pavojus fizinių asmenų teisėms ir laisvėms, duomenų valdytojas nedelsdamas praneša apie asmens duomenų saugumo pažeidimą duomenų subjektui.

2. Šio straipsnio 1 dalyje nurodytame pranešime duomenų subjektui aiškia ir paprasta kalba aprašomas asmens duomenų saugumo pažeidimo pobūdis ir pateikiama šio įstatymo 29 straipsnio 3 dalies 2–5 punktuose nurodyta informacija.

3. Šio straipsnio 1 dalyje nurodytu atveju pranešti duomenų subjektui nereikalaujama, jeigu įvykdoma bent viena iš šių sąlygų:

1) duomenų valdytojas įgyvendino tinkamas technologines ir organizacines apsaugos priemones ir tos priemonės taikytos asmens duomenims, kuriems asmens duomenų saugumo pažeidimas turėjo poveikio, visų pirma tas priemones, kuriomis užtikrinama, kad asmeniui, neturinčiam leidimo susipažinti su asmens duomenimis, jie būtų nesuprantami (šifravimo priemones ir (ar) kitas priemones);

2) duomenų valdytojas, sužinojęs apie asmens duomenų saugumo pažeidimą, ėmėsi priemonių, kuriomis užtikrinama, kad nebegalėtų kilti šio straipsnio 1 dalyje nurodytas didelis pavojus duomenų subjektų teisėms ir laisvėms;

3) tai pareikalautų neproporcingai daug pastangų. Tokiu atveju pranešimas paskelbiamas viešai arba taikoma panaši priemonė, kuria duomenų subjektai būtų informuojami taip pat efektyviai.

4. Jeigu duomenų valdytojas dar nėra pranešęs duomenų subjektui apie asmens duomenų saugumo pažeidimą, Valstybinė duomenų apsaugos inspekcija, apsvarsčiusi, kokia yra tikimybė, kad dėl asmens duomenų saugumo pažeidimo kils didelis pavojus žmogaus teisėms ir laisvėms, gali pareikalauti, kad duomenų valdytojas tą padarytų, arba gali nuspręsti, kad įvykdyta bet kuri iš šio straipsnio 3 dalyje nurodytų sąlygų, išskyrus atvejus, kai asmens duomenys tvarkomi nacionalinio saugumo arba gynybos tikslais.

5. Šio straipsnio 1 dalyje nurodytas pranešimas duomenų subjektui gali būti atidėtas, apribotas arba jo galima nepateikti, laikantis šio įstatymo 11 straipsnio 3 dalyje nurodytų sąlygų ir pagrindų.

VI SKYRIUS

DUOMENŲ APSAUGOS PAREIGŪNAS

31 straipsnis. Duomenų apsaugos pareigūno skyrimas

1. Duomenų valdytojas turi paskirti duomenų apsaugos pareigūną. Prievolė paskirti duomenų apsaugos pareigūną netaikoma teismams, kai jie asmens duomenis tvarko vykdydami teisingumą.

2. Duomenų apsaugos pareigūnas paskiriamas remiantis profesinėmis savybėmis, visų pirma duomenų apsaugos teisės ir praktikos ekspertinėmis žiniomis, taip pat gebėjimu atlikti šio įstatymo 33 straipsnyje nurodytas užduotis.

3. Vienas duomenų apsaugos pareigūnas gali būti skiriamas kelioms kompetentingoms institucijoms, atsižvelgiant į jų organizacinę struktūrą ir dydį.

4. Duomenų valdytojas viešai paskelbia duomenų apsaugos pareigūno kontaktinius duomenis (adresą, telefono ryšio numerį ir (ar) elektroninio pašto adresą). Duomenų valdytojas duomenų apsaugos pareigūno vardą, pavardę ir jo kontaktinius duomenis (adresą, telefono ryšio numerį ir (ar) elektroninio pašto adresą) perduoda Valstybinei duomenų apsaugos inspekcijai per 10 darbo dienų nuo jo paskyrimo dienos, išskyrus atvejus, kai asmens duomenys tvarkomi nacionalinio saugumo arba gynybos tikslais.

32 straipsnis. Duomenų apsaugos pareigūno statusas

1. Duomenų valdytojas užtikrina, kad duomenų apsaugos pareigūnas būtų tinkamai ir laiku įtraukiamas į visų su asmens duomenų apsauga susijusių klausimų nagrinėjimą.

2. Duomenų valdytojas padeda duomenų apsaugos pareigūnui atlikti šio įstatymo 33 straipsnyje nurodytas užduotis suteikdamas toms užduotims atlikti būtinus išteklius ir galimybę susipažinti su asmens duomenimis bei duomenų tvarkymo operacijomis, taip pat išlaikyti savo ekspertines žinias.

33 straipsnis. Duomenų apsaugos pareigūno užduotys

1. Duomenų valdytojas duomenų apsaugos pareigūnui paveda atlikti šias užduotis:

1) informuoti duomenų valdytoją ir duomenis tvarkančius darbuotojus apie jų prievoles pagal šį įstatymą ir kitus Europos Sąjungos bei Lietuvos Respublikos teisės aktus dėl asmens duomenų apsaugos ir pataria šiais klausimais;

2) stebėti, kaip laikomasi šio įstatymo, kitų Europos Sąjungos ar Lietuvos Respublikos teisės aktų dėl duomenų apsaugos ir duomenų valdytojo asmens duomenų apsaugos politikos, įskaitant atsakomybių paskirstymą, duomenų tvarkymo operacijose dalyvaujančių darbuotojų informuotumo didinimą bei mokymą ir susijusius auditus;

3) paprašius konsultuoti duomenų valdytoją dėl poveikio duomenų apsaugai vertinimo ir stebėti jo atlikimą pagal šio įstatymo 25 straipsnį;

4) bendradarbiauti su Valstybine duomenų apsaugos inspekcija, išskyrus atvejus, kai asmens duomenys tvarkomi nacionalinio saugumo arba gynybos tikslais;

5) atlikti kontaktinio asmens funkcijas Valstybinei duomenų apsaugos institucijai kreipiantis su duomenų tvarkymu susijusiais klausimais, įskaitant šio įstatymo 26 straipsnyje nurodytas išankstines konsultacijas, ir prireikus konsultuoti visais kitais klausimais.

2. Duomenų valdytojas turi teisę pavesti duomenų apsaugos pareigūnui atlikti ir kitas užduotis, susijusias su šio įstatymo įgyvendinimu. Duomenų valdytojas užtikrina, kad dėl to nekiltų interesų konfliktas.

VII SKYRIUS

ASMENS DUOMENŲ PERDAVIMAI Į TREČIĄSIAS VALSTYBES ARBA TARPTAUTINĖMS ORGANIZACIJOMS

34 straipsnis. Bendrieji asmens duomenų perdavimo principai

1. Kompetentingos institucijos gali perduoti asmens duomenis, kurie yra tvarkomi arba kuriuos ketinama tvarkyti juos perdavus trečiajai valstybei arba tarptautinei organizacijai, įskaitant ir tolesnius perdavimus į kitą trečiąją valstybę arba tarptautinei organizacijai, tik tuo atveju, kai toks perdavimas atitinka šio įstatymo reikalavimus ir šiame skirsnyje nustatytas sąlygas, tai yra:

1) perduoti asmens duomenis būtina šio įstatymo 1 straipsnio 2 dalyje nurodytais tikslais;

2) asmens duomenys perduodami duomenų valdytojui trečiojoje valstybėje arba tarptautinei organizacijai, kuri yra kompetentinga institucija šio įstatymo 1 straipsnio 2 dalyje nurodytais tikslais;

3) tuo atveju, kai asmens duomenys persiunčiami ar suteikiama galimybė susipažinti su asmens duomenimis, gautais iš kitos Europos Sąjungos valstybės narės, ta Europos Sąjungos valstybė narė pagal savo nacionalinę teisę yra suteikusi išankstinį leidimą perduoti;

4) Europos Komisija yra priėmusi sprendimą dėl tinkamumo arba, jeigu toks sprendimas nepriimtas, buvo nustatytos arba egzistuoja tinkamos apsaugos priemonės pagal šio įstatymo 36 straipsnį, arba, nesant Europos Komisijos sprendimo dėl tinkamumo ar tinkamų apsaugos priemonių pagal šio įstatymo 36 straipsnį, taikomos nukrypti leidžiančios nuostatos konkrečiais atvejais pagal šio įstatymo 37 straipsnį;

5) tolesnio asmens duomenų perdavimo į kitą trečiąją valstybę ar tarptautinei organizacijai atveju kompetentinga institucija, kuri atliko pirminį asmens duomenų perdavimą, arba kita Lietuvos Respublikos kompetentinga institucija, tinkamai atsižvelgusi į visus susijusius veiksnius, įskaitant nusikalstamos veikos sunkumą, tikslą, kuriuo buvo atliktas pirminis asmens duomenų perdavimas, ir asmens duomenų apsaugos trečiojoje valstybėje arba tarptautinėje organizacijoje, kuriai toliau perduodami asmens duomenys, lygį, leidžia toliau perduoti duomenis.

2. Perduoti duomenis be kitos Europos Sąjungos valstybės narės išankstinio leidimo pagal šio straipsnio 1 dalies 3 punktą leidžiama tik tuo atveju, jeigu asmens duomenis būtina perduoti siekiant užkirsti kelią tiesioginei ir didelei grėsmei Lietuvos Respublikos arba trečiosios valstybės visuomenės saugumui arba Lietuvos Respublikos esminiams interesams, o išankstinio leidimo laiku gauti negalima. Apie tokį asmens duomenų perdavimą nedelsiant informuojama kitos Europos Sąjungos valstybės narės institucija, atsakinga už išankstinio leidimo suteikimą.

3. Visos šio skirsnio nuostatos taikomos siekiant užtikrinti, kad nesumažėtų šiuo įstatymu fiziniams asmenims užtikrinamos apsaugos lygis.

35 straipsnis. Asmens duomenų perdavimas remiantis Europos Komisijos sprendimu dėl tinkamumo

1. Perduoti asmens duomenis į trečiąją valstybę arba tarptautinei organizacijai galima, jeigu Europos Komisija nusprendė, kad atitinkama trečioji valstybė, teritorija arba vienas ar daugiau nurodytų sektorių toje trečiojoje valstybėje, arba atitinkama tarptautinė organizacija užtikrina tinkamo lygio apsaugą. Tokiam duomenų perdavimui specialaus leidimo nereikia.

2. Europos Komisijos sprendimas, nustatantis, kad trečioji valstybė, teritorija arba vienas ar daugiau nurodytų sektorių trečiojoje valstybėje, arba tarptautinė organizacija nebeužtikrina tinkamo lygio apsaugos, nedaro poveikio asmens duomenų perdavimui į atitinkamą trečiąją valstybę, teritoriją arba nurodytam vienam ar daugiau sektorių trečiojoje valstybėje, arba atitinkamai tarptautinei organizacijai pagal šio įstatymo 36 ir 37 straipsnius.

36 straipsnis. Asmens duomenų perdavimas taikant tinkamas apsaugos priemones

1. Jeigu nepriimtas Europos Komisijos sprendimas dėl tinkamumo, asmens duomenys gali būti perduodami į trečiąją valstybę arba tarptautinei organizacijai, jeigu:

1) su asmens duomenų apsauga susijusios tinkamos apsaugos priemonės yra numatytos teisiškai privalomame dokumente; arba

2) duomenų valdytojas įvertino visas su asmens duomenų perdavimu susijusias aplinkybes ir nusprendė, kad nustatytos tinkamos su asmens duomenų apsauga susijusios apsaugos priemonės.

2. Duomenų valdytojas informuoja Valstybinę duomenų apsaugos inspekciją apie duomenų perdavimo pagal šio straipsnio 1 dalies 2 punktą kategorijas.

3. Jeigu atliekamas duomenų perdavimas pagal šio straipsnio 1 dalies 2 punktą, toks perdavimas dokumentuojamas ir dokumentai pateikiami Valstybinei duomenų apsaugos inspekcijai jos prašymu, nurodant asmens duomenų perdavimo datą ir laiką, informaciją apie asmens duomenis gaunančią kompetentingą instituciją, perdavimo pagrindimą ir perduotus asmens duomenis.

4. Šio straipsnio 2 ir 3 dalys netaikomos Lietuvos Respublikos valstybės institucijoms, kai jos asmens duomenis perduoda nacionalinio saugumo arba gynybos tikslais.

37 straipsnis. Nukrypti leidžiančios nuostatos konkrečiais atvejais

1. Jeigu nepriimtas Europos Komisijos sprendimas dėl tinkamumo arba nenustatytos tinkamos apsaugos priemonės pagal šio įstatymo 36 straipsnį, asmens duomenų perdavimas ar tam tikros kategorijos perdavimai į trečiąją valstybę arba tarptautinei organizacijai gali būti atliekami tik su sąlyga, kad perduoti duomenis būtina:

1) kad būtų apsaugoti gyvybiniai duomenų subjekto arba kito asmens interesai;

2) kad būtų apsaugoti teisėti duomenų subjekto interesai, kai tai nustatyta Lietuvos Respublikos teisės aktuose;

3) kad būtų užkirstas kelias tiesioginei ir didelei grėsmei Lietuvos Respublikos arba trečiosios valstybės visuomenės saugumui;

4) individualiais atvejais šio įstatymo 1 straipsnio 2 dalyje nurodytais tikslais; arba

5) individualiu atveju, kad būtų nustatyti, vykdomi ar ginami teisiniai reikalavimai, susiję su šio įstatymo 1 straipsnio 2 dalyje nurodytais tikslais.

2. Asmens duomenys negali būti perduodami, jeigu duomenis perduodanti kompetentinga institucija nustato, kad atitinkamo duomenų subjekto pagrindinės teisės ir laisvės yra viršesnės už viešąjį interesą, kai duomenų perdavimas atliekamas remiantis šio straipsnio 1 dalies 4 ir 5 punktais.

3. Jeigu atliekamas duomenų perdavimas pagal šio straipsnio 1 dalį, jis dokumentuojamas ir dokumentai turi būti pateikti Valstybinei duomenų apsaugos inspekcijai jos prašymu, nurodant duomenų perdavimo datą ir laiką, informaciją apie asmens duomenis gaunančią kompetentingą instituciją, perdavimo pagrindimą ir perduotus asmens duomenis, išskyrus atvejus, kai asmens duomenys perduodami nacionalinio saugumo arba gynybos tikslais.

38 straipsnis. Asmens duomenų perdavimai trečiosiose valstybėse įsteigtiems duomenų gavėjams

1. Nukrypstant nuo šio įstatymo 34 straipsnio 1 dalies 2 punkto ir nedarant poveikio bet kokiems dvišaliams ar daugiašaliams tarptautiniams susitarimams, galiojantiems tarp Europos Sąjungos valstybių narių ir trečiųjų valstybių teisminio bendradarbiavimo baudžiamosiose bylose ir teisėsaugos institucijų bendradarbiavimo srityje, Lietuvos Respublikos valstybės institucija, veikianti kaip kompetentinga institucija, individualiais ir konkrečiais atvejais asmens duomenis trečiosiose valstybėse įsteigtiems duomenų gavėjams perduoda tiesiogiai tik tuo atveju, kai toks perdavimas atitinka šio įstatymo reikalavimus ir yra tenkinamos visos šios sąlygos:

1) perduoti duomenis tikrai būtina siekiant įvykdyti duomenis perduodančios kompetentingos institucijos funkcijas, nurodytas Europos Sąjungos arba Lietuvos Respublikos teisės aktuose, šio įstatymo 1 straipsnio 2 dalyje nurodytais tikslais;

2) duomenis perduodanti kompetentinga institucija nustato, kad jokios duomenų subjekto pagrindinės teisės ir laisvės nėra viršesnės už viešąjį interesą, dėl kurio konkrečiu atveju būtina perduoti duomenis;

3) duomenis perduodanti kompetentinga institucija mano, kad duomenų perdavimas trečiosios valstybės institucijai, kuri yra kompetentinga šio įstatymo 1 straipsnio 2 dalyje nurodytais tikslais, yra neveiksmingas arba netinkamas, visų pirma dėl to, kad perdavimo neįmanoma atlikti laiku;

4) trečiosios valstybės institucija, kuri yra kompetentinga šio įstatymo 1 straipsnio 2 dalyje nurodytais tikslais, nedelsiant apie tai informuojama, išskyrus atvejus, kai tai yra neveiksminga arba netinkama;

5) duomenis perduodanti kompetentinga institucija informuoja duomenų gavėją apie konkretų tikslą ar tikslus, kuriais jis asmens duomenis gali tvarkyti, su sąlyga, kad toks duomenų tvarkymas yra būtinas.

2. Duomenis perduodanti kompetentinga institucija informuoja Valstybinę duomenų apsaugos inspekciją apie duomenų perdavimus pagal šio straipsnio 1 dalį.

3. Jeigu atliekamas duomenų perdavimas pagal šio straipsnio 1 dalį, jis dokumentuojamas ir dokumentai turi būti pateikti Valstybinei duomenų apsaugos inspekcijai jos prašymu, nurodant duomenų perdavimo datą ir laiką, informaciją apie duomenų gavėją, perdavimo pagrindimą ir perduotus asmens duomenis.

4. Šio straipsnio 2 ir 3 dalys netaikomos Lietuvos Respublikos valstybės institucijoms, kai jos asmens duomenis perduoda nacionalinio saugumo arba gynybos tikslais.

VIII SKYRIUS

PRIEŽIŪROS INSTITUCIJA

39 straipsnis. Valstybinė duomenų apsaugos inspekcija

1. Valstybinė duomenų apsaugos inspekcija yra atsakinga už šio įstatymo taikymo stebėseną, kad būtų apsaugotos žmogaus pagrindinės teisės ir laisvės tvarkant duomenis ir sudarytos palankesnės sąlygos laisvam asmens duomenų judėjimui Europos Sąjungoje.

2. Valstybinė duomenų apsaugos inspekcija bendradarbiauja su kitų Europos Sąjungos valstybių narių priežiūros institucijomis ir Europos Komisija, dalyvauja Europos duomenų apsaugos valdybos, įsteigtos Reglamentu (ES) 2016/679 (toliau – Valdyba), veikloje.

3. Valstybinė duomenų apsaugos inspekcija neturi teisės kontroliuoti asmens duomenų tvarkymo, kurį atlieka teismai, vykdydami teisingumą. Ji taip pat neturi teisės kontroliuoti asmens duomenų tvarkymo, kurį atlieka Lietuvos Respublikos valstybės institucijos nacionalinio saugumo ar gynybos tikslais.

4. Valstybinė duomenų apsaugos inspekcija, pagal šį įstatymą vykdydama jai pavestas funkcijas ir naudodamasi jai suteiktomis teisėmis, veikia visiškai nepriklausomai. Valstybinės duomenų apsaugos inspekcijos nepriklausomumo garantijas numato Reglamentas (ES) 2016/679 ir Asmens duomenų teisinės apsaugos įstatymas.

5. Valstybinė duomenų apsaugos inspekcija, vadovaudamasi Reglamentu (ES) 2016/679, rengia metinę veiklos ataskaitą. Joje gali būti informacija apie šio įstatymo pažeidimus ir taikytas nuobaudas. Metinė veiklos ataskaita pateikiama Europos Komisijai ir Valdybai. Ji pateikiama kitoms valstybės institucijoms ir paskelbiama Valstybinės duomenų apsaugos inspekcijos interneto svetainėje Lietuvos Respublikos teisės aktų nustatyta tvarka.

40 straipsnis. Valstybinės duomenų apsaugos inspekcijos funkcijos

1. Valstybinė duomenų apsaugos inspekcija:

1) stebi, kaip taikomas šis įstatymas, ir užtikrina, kad jis būtų taikomas;

2) skatina visuomenės informuotumą apie su duomenų tvarkymu susijusius pavojus, taisykles, apsaugos priemones ir teises bei jų supratimą;

3) teikia Lietuvos Respublikos Seimui, Lietuvos Respublikos Vyriausybei, kitoms valstybės ir savivaldybių institucijoms ir įstaigoms pasiūlymus dėl teisėkūros ir administracinių priemonių, susijusių su žmogaus teisių ir laisvių apsauga, tvarkant duomenis pagal šį įstatymą;

4) teikia išvadas dėl įstatymų ir kitų teisės aktų projektų, susijusių su asmens duomenų tvarkymu šio įstatymo 1 straipsnio 2 dalyje nurodytais tikslais;

5) skatina duomenų valdytojų ir duomenų tvarkytojų informuotumą apie jų prievoles pagal šį įstatymą;

6) bet kurio duomenų subjekto prašymu suteikia jam informaciją apie naudojimąsi šiame įstatyme nustatytomis jo teisėmis ir prireikus tuo tikslu bendradarbiauja su kitų Europos Sąjungos valstybių narių priežiūros institucijomis;

7) nagrinėja duomenų subjekto arba pagal šio įstatymo 47 straipsnį įgaliotos įstaigos, organizacijos ar asociacijos pateiktus skundus;

8) tikrina duomenų tvarkymo teisėtumą pagal šio įstatymo 15 straipsnį;

9) bendradarbiauja su kitomis Europos Sąjungos valstybių narių priežiūros institucijomis, įskaitant dalijimąsi informacija, ir teikia joms savitarpio pagalbą;

10) atlieka tyrimus ir (ar) tikrinimus dėl šio įstatymo taikymo, įskaitant atvejus, kai šie tyrimai ir (ar) tikrinimai atliekami pagal iš kitos Europos Sąjungos valstybės narės priežiūros institucijos arba kitos valstybės institucijos gautą informaciją;

11) stebi pokyčius ir įvykius, turinčius įtakos asmens duomenų apsaugai, visų pirma informacinių ir ryšių technologijų raidą;

12) teikia konsultacijas dėl šio įstatymo 26 straipsnyje nurodytų duomenų tvarkymo operacijų;

13) prisideda prie Valdybos veiklos.

2. Valstybinė duomenų apsaugos inspekcija savo funkcijas duomenų subjekto ir duomenų apsaugos pareigūno atžvilgiu vykdo nemokamai. Jeigu duomenų subjekto ar duomenų apsaugos pareigūno prašymas yra akivaizdžiai nepagrįstas arba neproporcingas, visų pirma dėl jo pasikartojančio pobūdžio, Valstybinė duomenų apsaugos inspekcija gali imti pagrįstą atlyginimą arba gali atsisakyti imtis veiksmų pagal prašymą. Atlyginimo dydis neturi viršyti Valstybinės duomenų apsaugos inspekcijos patirtų administracinių išlaidų. Pareiga įrodyti, kad prašymas yra akivaizdžiai nepagrįstas arba neproporcingas, tenka Valstybinei duomenų apsaugos inspekcijai.

41 straipsnis. Valstybinės duomenų apsaugos inspekcijos teisės

Valstybinė duomenų apsaugos inspekcija, be Asmens duomenų teisinės apsaugos įstatyme nustatytų teisių, taip pat turi teisę taikyti šias poveikio priemones:

1) įspėti duomenų valdytoją arba duomenų tvarkytoją, kad numatomomis duomenų tvarkymo operacijomis gali būti pažeistos šio įstatymo nuostatos;

2) nurodyti duomenų valdytojui arba duomenų tvarkytojui suderinti duomenų tvarkymo operacijas su šio įstatymo nuostatomis;

3) nustatyti laikiną arba galutinį duomenų tvarkymo apribojimą, įskaitant duomenų tvarkymo uždraudimą;

4) skirti administracinę baudą.

42 straipsnis. Savitarpio pagalba

1. Valstybinė duomenų apsaugos inspekcija kitoms Europos Sąjungos valstybių narių priežiūros institucijoms teikia informaciją ir savitarpio pagalbą. Savitarpio pagalba visų pirma yra susijusi su informacijos prašymais ir priežiūros priemonėmis, įskaitant prašymus vykdyti konsultacijas, tikrinimus ir tyrimus.

2. Valstybinė duomenų apsaugos inspekcija imasi visų būtinų priemonių, kad atsakytų į kitos priežiūros institucijos prašymą nedelsdama ir ne vėliau kaip per vieną mėnesį nuo jo gavimo dienos. Tokios priemonės gali būti reikšmingos informacijos apie tyrimo eigą persiuntimas.

3. Valstybinė duomenų apsaugos inspekcija, gavusi prašymą, negali atsisakyti jo patenkinti, išskyrus atvejus, kai:

1) ji nėra kompetentinga prašymo dalyko arba priemonių, kurias jos prašoma vykdyti, srityje;

2) prašymo patenkinimas pažeistų šį įstatymą arba Europos Sąjungos ar Lietuvos Respublikos teisės aktus.

4. Valstybinė duomenų apsaugos inspekcija, gavusi prašymą, informuoja prašymą pateikusią priežiūros instituciją apie jo nagrinėjimo rezultatus arba priemones, kurių imtasi siekiant į jį atsakyti. Valstybinė duomenų apsaugos inspekcija bet kurio atsisakymo pagal šio straipsnio 3 dalį atveju pateikia atsisakymo patenkinti prašymą priežastis.

5. Valstybinė duomenų apsaugos inspekcija, gavusi prašymą, paprastai teikia kitų priežiūros institucijų prašomą informaciją elektroninėmis priemonėmis, naudodamasi standartizuota forma.

6. Valstybinė duomenų apsaugos inspekcija už veiksmus, kurių ji imasi gavusi savitarpio pagalbos prašymą, atlyginimo neima. Priežiūros institucijos gali tarpusavyje susitarti dėl taisyklių, reglamentuojančių viena kitai mokamą kompensaciją už konkrečias išlaidas, patirtas dėl savitarpio pagalbos teikimo išimtinėmis aplinkybėmis.

7. Valstybinės duomenų apsaugos inspekcijos pagalbos prašymuose kitoms Europos Sąjungos valstybių narių priežiūros institucijoms nurodoma visa būtina informacija, įskaitant prašymo tikslą ir priežastis. Informacija, kuria pasikeista, naudojama tik tam tikslui, kuriam jos buvo prašoma.

IX SKYRIUS

ŠIO ĮSTATYMO PAŽEIDIMŲ NAGRINĖJIMAS IR ATSAKOMYBĖ

43 straipsnis. Tyrimai ir (ar) tikrinimai, atliekami Valstybinės duomenų apsaugos inspekcijos iniciatyva, ir jų atlikimo tvarka

1. Valstybinė duomenų apsaugos inspekcija gali pradėti tyrimą ir (ar) tikrinimą savo iniciatyva bet kokiu klausimu, susijusiu su galimu šio įstatymo pažeidimu.

2. Valstybinė duomenų apsaugos inspekcija tyrimus ir (ar) tikrinimus savo iniciatyva dėl galimo šio įstatymo pažeidimo atlieka Asmens duomenų teisinės apsaugos įstatymo, kiek nenustato šis įstatymas, nustatyta tvarka. Kai atlikdama tyrimą ir (ar) tikrinimą savo iniciatyva Valstybinė duomenų apsaugos inspekcija kreipiasi savitarpio pagalbos į kitų Europos Sąjungos valstybių narių priežiūros institucijas, netaikomi Asmens duomenų teisinės apsaugos įstatyme numatyti tyrimo ir (ar) tikrinimo Valstybinės duomenų apsaugos inspekcijos iniciatyva atlikimo terminai.

44 straipsnis. Teisė pateikti skundą Valstybinei duomenų apsaugos inspekcijai ir skundų nagrinėjimo tvarka

1. Duomenų subjektas turi teisę pateikti skundą Valstybinei duomenų apsaugos inspekcijai, jeigu mano, kad su juo susiję asmens duomenys tvarkomi pažeidžiant šio įstatymo nuostatas.

2. Jeigu skundas pateikiamas dėl kitoje Europos Sąjungos valstybėje narėje atliekamo duomenų tvarkymo, Valstybinė duomenų apsaugos inspekcija nedelsdama, bet ne vėliau kaip per 5 darbo dienas nuo skundo gavimo Valstybinėje duomenų apsaugos inspekcijoje dienos, persiunčia gautą skundą kitos Europos Sąjungos valstybės narės kompetentingai priežiūros institucijai. Duomenų subjektas nedelsdamas, bet ne vėliau kaip per 5 darbo dienas nuo skundo gavimo Valstybinėje duomenų apsaugos inspekcijoje dienos, informuojamas apie skundo persiuntimą. Šiuo atveju Valstybinė duomenų apsaugos inspekcija duomenų subjekto prašymu toliau teikia jam pagalbą.

3. Valstybinė duomenų apsaugos inspekcija skundus nagrinėja šio įstatymo ir Asmens duomenų teisinės apsaugos įstatymo, kiek nenustato šis įstatymas, nustatyta tvarka. Kai nagrinėdama skundus Valstybinė duomenų apsaugos inspekcija kreipiasi savitarpio pagalbos į kitų Europos Sąjungos valstybių narių priežiūros institucijas, netaikomi Asmens duomenų teisinės apsaugos įstatyme numatyti skundo nagrinėjimo terminai.

45 straipsnis. Teisė skųsti Valstybinės duomenų apsaugos inspekcijos sprendimus, veiksmus ar neveikimą

1. Fiziniai ar juridiniai asmenys turi teisę skųsti Valstybinės duomenų apsaugos inspekcijos sprendimus teismui Lietuvos Respublikos administracinių bylų teisenos įstatymo nustatyta tvarka.

2. Jei Valstybinė duomenų apsaugos inspekcija gauto skundo nenagrinėja arba per tris mėnesius nuo skundo gavimo dienos Valstybinėje duomenų apsaugos inspekcijoje nepraneša duomenų subjektui apie pagal šio įstatymo 44 straipsnį pateikto skundo nagrinėjimo pažangą, jei skundas ar jo dalis neišnagrinėta, ar rezultatus, duomenų subjektas turi teisę skųsti Valstybinės duomenų apsaugos inspekcijos veiksmus ar neveikimą teismui Administracinių bylų teisenos įstatymo nustatyta tvarka.

46 straipsnis. Teisė skųsti duomenų valdytojo arba duomenų tvarkytojo veiksmus ar neveikimą teismui

Duomenų subjektas turi teisę Administracinių bylų teisenos įstatymo nustatyta tvarka skųsti teismui duomenų valdytojo arba duomenų tvarkytojo veiksmus ar neveikimą, jeigu mano, kad šiuo įstatymu nustatytos jo teisės buvo pažeistos, nes jo asmens duomenys buvo tvarkomi pažeidžiant šį įstatymą.

47 straipsnis. Atstovavimas duomenų subjektams

Duomenų subjektas turi teisę įgalioti pelno nesiekiančią įstaigą, organizaciją ar asociaciją, įsteigtą pagal Europos Sąjungos valstybės narės teisės aktus, kurios steigimo dokumentuose nurodyti tikslai atitinka viešąjį interesą ir kuri veikia asmens duomenų apsaugos srityje, jo vardu pateikti skundą ir jo vardu naudotis teisėmis, nurodytomis šio įstatymo 44–46 straipsniuose.

48 straipsnis. Teisė į turtinės ir neturtinės žalos atlyginimą

Asmuo, patyręs turtinę ir neturtinę žalą dėl neteisėto duomenų tvarkymo operacijos arba dėl kito veiksmo, kuriuo pažeidžiamos šio įstatymo nuostatos, turi teisę iš duomenų valdytojo reikalauti atlyginti jam padarytą žalą.

49 straipsnis. Už šio įstatymo pažeidimus skiriamos administracinės baudos

1. Duomenų valdytojui ar duomenų tvarkytojui, pažeidusiam šio įstatymo 17–33 straipsnių nuostatas, Valstybinė duomenų apsaugos inspekcija turi teisę skirti administracinę baudą iki 0,5 procento duomenų valdytojo ar duomenų tvarkytojo metinio biudžeto einamaisiais metais ir kitų praėjusiais metais gautų bendrųjų metinių pajamų, bet ne daugiau negu trisdešimt tūkstančių eurų.

2. Duomenų valdytojui ar duomenų tvarkytojui, pažeidusiam šio įstatymo 3–15, 34–38 straipsnių nuostatas, taip pat nesilaikančiam šio įstatymo 41 straipsnio 1–3 punktuose nurodytų Valstybinės duomenų inspekcijos taikytų priemonių, Valstybinė duomenų apsaugos inspekcija turi teisę skirti administracinę baudą iki 1 procento duomenų valdytojo ar duomenų tvarkytojo metinio biudžeto einamaisiais metais ir kitų praėjusiais metais gautų bendrųjų metinių pajamų, bet ne daugiau negu šešiasdešimt tūkstančių eurų.

50 straipsnis. Administracinių baudų skyrimas ir sprendimų dėl administracinės baudos skyrimo vykdymas

1. Valstybinė duomenų apsaugos inspekcija administracines baudas skiria vadovaudamasi šiuo įstatymu ir Asmens duomenų teisinės apsaugos įstatymu, kiek nenustato šis įstatymas.

2. Valstybinė duomenų apsaugos inspekcija užtikrina, kad už šio įstatymo pažeidimus skiriamos administracinės baudos kiekvienu konkrečiu atveju būtų veiksmingos, proporcingos ir atgrasomos.

3. Administracinės baudos, atsižvelgiant į kiekvieno konkretaus atvejo aplinkybes, skiriamos kartu su šio įstatymo 41 straipsnio 1–3 punktuose nustatytomis poveikio priemonėmis arba vietoj jų. Sprendžiant dėl administracinės baudos skyrimo ir jos dydžio, kiekvienu konkrečiu atveju atsižvelgiama į:

1) pažeidimo pobūdį, sunkumą ir trukmę, atsižvelgiant į duomenų tvarkymo pobūdį, aprėptį ar tikslą, taip pat į nukentėjusių duomenų subjektų skaičių ir jų patirtos žalos dydį;

2) tai, ar pažeidimas padarytas tyčia, ar dėl neatsargumo;

3) bet kuriuos veiksmus, kurių duomenų valdytojas arba duomenų tvarkytojas ėmėsi, kad sumažintų duomenų subjektų patirtą žalą;

4) duomenų valdytojo arba duomenų tvarkytojo atsakomybės dydį, atsižvelgiant į jų pagal šio įstatymo 18 ir 28 straipsnius įgyvendintas technines ir organizacines priemones;

5) bet kuriuos to duomenų valdytojo arba duomenų tvarkytojo svarbius ankstesnius pažeidimus;

6) bendradarbiavimą su Valstybine duomenų apsaugos inspekcija siekiant atitaisyti pažeidimą ir sumažinti galimą neigiamą jo poveikį;

7) asmens duomenų, kuriems pažeidimas turi poveikį, kategorijas;

8) tai, kokiu būdu Valstybinė duomenų apsaugos inspekcija sužinojo apie pažeidimą, visų pirma tai, ar duomenų valdytojas arba duomenų tvarkytojas pranešė apie pažeidimą (jei taip, – kokiu mastu);

9) jei duomenų valdytojui arba duomenų tvarkytojui dėl to paties dalyko anksčiau buvo taikytos šio įstatymo 41 straipsnio 1–3 punktuose nurodytos priemonės, – ar laikytasi tų priemonių.

4. Valstybinė duomenų apsaugos inspekcija gali ir kitas šio straipsnio 3 dalyje nenurodytas aplinkybes pripažinti atsakomybę lengvinančiomis aplinkybėmis.

5. Jei duomenų valdytojas arba duomenų tvarkytojas, atlikdamas tą pačią tvarkymo operaciją ar susijusias tvarkymo operacijas, tyčia ar dėl neatsargumo pažeidžia kelias šio įstatymo nuostatas, bendra administracinės baudos suma nėra didesnė nei suma, kuri šiame įstatyme nustatyta už sunkesnį pažeidimą.

6. Valstybinės duomenų apsaugos sprendimas dėl administracinės baudos skyrimo vykdomas Asmens duomenų teisinės apsaugos įstatyme nustatyta tvarka.

Lietuvos Respublikos asmens duomenų, tvarkomų nusikalstamų veikų prevencijos, tyrimo, atskleidimo ar baudžiamojo persekiojimo už jas, bausmių vykdymo arba nacionalinio saugumo ar gynybos tikslais, teisinės apsaugos įstatymo

priedas

ĮGYVENDINAMI EUROPOS SĄJUNGOS TEISĖS AKTAI

1. 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos direktyva (ES) 2016/680 dėl fizinių asmenų apsaugos kompetentingoms institucijoms tvarkant asmens duomenis nusikalstamų veikų prevencijos, tyrimo, atskleidimo ar baudžiamojo persekiojimo už jas arba bausmių vykdymo tikslais ir dėl laisvo tokių duomenų judėjimo, ir kuriuo panaikinamas Tarybos pamatinis sprendimas 2008/977/TVR“ (OL 2016 L 119, p. 89).“

2 straipsnis. Įstatymo įsigaliojimas ir įgyvendinimas

1. Šis įstatymas, išskyrus šio straipsnio 2 dalį, įsigalioja 2018 m. birželio 29 d.

2. Lietuvos Respublikos Vyriausybė ir Valstybinė duomenų apsaugos inspekcija iki 2018 m. birželio 28 d. priima šio įstatymo įgyvendinamuosius teisės aktus.

Skelbiu šį Lietuvos Respublikos Seimo priimtą įstatymą.

Respublikos Prezidentas