Projektas
VALSTYBINĖS DUOMENŲ APSAUGOS INSPEKCIJOS DIREKTORIAUS
ĮSAKYMAS
DĖL LEIDIMŲ PERDUOTI Asmens DUOMENIS į trečiąsias valstybes ar tarptautinėms organizacijoms išdavimo tvarkos aprašo PATVIRTINIMO
2018 m. liepos d. Nr. 1T- (1.12.E)
Vilnius
Vadovaudamasis 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamento (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas) (OL 2016 L 119, p. 1) 46 straipsnio 3 dalimi, Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymo 15 straipsniu,
tvirtinu Leidimų perduoti asmens duomenis į trečiąsias valstybes ar tarptautinėms organizacijoms išdavimo tvarkos aprašą (pridedama).
PATVIRTINTA
Valstybinės duomenų apsaugos inspekcijos
direktoriaus 2018 m. liepos d.
įsakymu Nr. 1T- (1.12.E)
LEIDIMŲ PERDUOTI ASMENS DUOMENIS Į TREČIĄSIAS VALSTYBES AR TARPTAUTINĖMS ORGANIZACIJOMS IŠDAVIMO TVARKOS APRAŠAS
I SKYRIUS
BENDROSIOS NUOSTATOS
1. Leidimų perduoti asmens duomenis į trečiąsias valstybes ar tarptautinėms organizacijoms išdavimo tvarkos aprašas (toliau – Aprašas) nustato duomenų valdytojų prašymų dėl leidimų perduoti asmens duomenis į trečiąsias valstybes ar tarptautinėms organizacijoms (toliau – Leidimas) išdavimo pateikimo Valstybinei duomenų apsaugos inspekcijai (toliau – Inspekcija) ir Leidimų išdavimo tvarką.
2. Aprašas taikomas Inspekcijai ir duomenų valdytojams, kurie prieš pradėdami asmens duomenų perdavimą, taikant tinkamas apsaugos priemones, turi gauti Inspekcijos leidimą, vadovaudamiesi 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamento (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas) (toliau – Reglamentas (ES) 2016/679) 46 straipsnio 3 dalimi.
II SKYRIUS
DOKUMENTŲ LEIDIMUI GAUTI PATEIKIMO TVARKA
3. Duomenų valdytojas Leidimui gauti Inspekcijai turi pateikti:
3.2. priklausomai nuo to, kokiu pagrindu perduodami asmens duomenys:
3.2.1. duomenų valdytojo arba duomenų tvarkytojo ir duomenų valdytojo, duomenų tvarkytojo arba asmens duomenų gavėjo trečiojoje valstybėje arba tarptautinės organizacijos sutarčių sąlygas (ar jų patvirtintas kopijas),
4. Prašymą pasirašo duomenų valdytojas (fizinis asmuo), duomenų valdytojo (juridinio asmens) vadovas ar jų įgaliotas asmuo. Prie Prašymo pridedami atstovavimą patvirtinantys dokumentai ar jų patvirtintos kopijos, kai Prašymą teikia duomenų valdytojo atstovas.
6. Prašymą duomenų valdytojas ar jo įgaliotas atstovas pateikia raštu (Inspekcijoje, paštu, naudojantis elektronine pašto siuntų pristatymo sistema), elektroninių ryšių priemonėmis pasirašytą duomenų valdytojo ar jo įgalioto asmens elektroniniu parašu arba per Inspekcijos elektroninių paslaugų teikimo portalą.
III SKYRIUS
Leidimų išdavimo TVARKA
7. Jeigu duomenų valdytojas pateikia neišsamų ar netinkamai įformintą Prašymą arba pateikia ne visus dokumentus ar informaciją, nurodytus šių Taisyklių 3 punkte, taip pat, kai Prašymą pateikia neturintis teisės jį pateikti asmuo, Inspekcija, per 5 darbo dienas nuo tokio Prašymo gavimo praneša duomenų valdytojui apie būtinybę patikslinti neišsamų ar netinkamai įformintą Prašymą ir (arba) pateikti trūkstamus dokumentus ar informaciją, nurodo ne trumpesnį kaip 10 darbo dienų terminą trūkstamiems dokumentams ar informacijai pateikti ir informuoja apie tai, kad terminas Leidimui išduoti bus skaičiuojamas nuo visų tinkamai įformintų dokumentų ir informacijos pateikimo dienos.
8. Jeigu duomenų valdytojas per Inspekcijos nustatytą terminą nepateikia patikslinto išsamaus ir tinkamai įforminto Prašymo arba nepateikia trūkstamų dokumentų ar informacijos, Inspekcija atsisako nagrinėti Prašymą ir apie tai informuoja duomenų valdytoją.
9. Kai duomenų valdytojas pateikia išsamų ir tinkamai įformintą Prašymą kartu su visais dokumentais ir informacija, nurodyta šių Taisyklių 3 punkte, Inspekcija įvertina Pranešime ir prie jo pridėtuose dokumentuose nurodytą informaciją siekdama duomenų valdytojui išduoti Leidimą.
10. Inspekcija Leidimą išduoda arba atsisako jį išduoti išnagrinėjusi Prašyme ir prie jo pridėtuose dokumentuose nurodytą informaciją.
11. Nagrinėdama Prašymą Inspekcija turi teisę paprašyti duomenų valdytojo ar jo įgalioto asmens pateikti bet kokią kitą su duomenų valdytojo vykdomu asmens duomenų tvarkymu susijusią ir Leidimui išduoti reikalingą informaciją.
12. Inspekcija, priimdama sprendimą dėl Leidimo išdavimo ar atsisakymo jį išduoti, vertina duomenų valdytojo nurodytą asmens duomenų tvarkymą, nustatytas saugumo priemones ir apsaugos priemones duomenų subjektų teisėms ir laisvėms apsaugoti.
13. Jeigu pateiktuose dokumentuose esančios informacijos nepakanka tinkamai įvertinti Aprašo 12 punkte nurodytas aplinkybes, taip pat jei Prašymo nagrinėjimo metu nustato, kad pateikta informacija yra netiksli, Inspekcija raštu kreipiasi į dokumentus pateikusį asmenį prašydama pateikti papildomą ir (arba) patikslintą informaciją nurodydama ne trumpesnį kaip 10 darbo dienų terminą, per kurį ši informacija Inspekcijai turi būti pateikta.
14. Inspekcija nutraukia Leidimo išdavimo procedūrą, kai:
14.2. duomenų valdytojas Inspekcijos nustatytu terminu pagal jos rašytinį prašymą nepateikė papildomos ir (arba) patikslintos informacijos;
15. Duomenų valdytojui pateikus papildomą ir (arba) patikslintą informaciją po to, kai Leidimo išdavimo procedūra buvo nutraukta šio Aprašo 14.2 punkte nurodytu pagrindu, Leidimo išdavimo procedūra atnaujinama, jeigu dokumentuose pateikta informacija nepasikeitė. Duomenų valdytojas šiuo atveju neprivalo teikti naujų dokumentų.
16. Jeigu Inspekcija nustato, kad Prašyme nurodytas duomenų perdavimas pažeistų Reglamento (ES) 2016/679 reikalavimus, visų pirma tais atvejais, kai duomenų valdytojas nenustatė pakankamų duomenų saugumo bei duomenų subjektų teisių apsaugos priemonių, Inspekcija ne vėliau kaip per 20 darbo dienų nuo tos dienos, kurią Inspekcija iš duomenų valdytojo gauna išsamų ir tinkamai įformintą Prašymą kartu su visais dokumentais ir informacija, nurodyta šio Aprašo 3 punkte, atsisako išduoti Leidimą.
17. Inspekcija, atsižvelgdama į duomenų perdavimo aplinkybių sudėtingumą, informacijos apimtį ar kitas svarbias aplinkybes, vieną kartą gali pratęsti dokumentų nagrinėjimo terminą iki 10 darbo dienų. Inspekcija apie termino pratęsimą ne vėliau kaip iki šio Aprašo 12 punkte nurodyto termino pabaigos raštu praneša duomenų valdytojui ir nurodo priežastis, dėl kurių terminas buvo pratęstas.
18. Inspekcija, išnagrinėjusi duomenų valdytojo pateiktą Prašymą ir prie jo pridėtuose dokumentuose pateiktą informaciją bei nustačiusi, kad Prašyme nurodytas duomenų perdavimas nepažeis Reglamento (ES) 2016/679 per šio Aprašo 16 ir 17 punktuose nurodytus terminus, parengia Inspekcijos sprendimo dėl Leidimo išdavimo projektą ir pateikia jį Europos duomenų apsaugos valdybai (toliau – Valdyba).
19. Inspekcija, gavusi Valdybos nuomonę dėl Inspekcijos sprendimo dėl Leidimo išdavimo projekto, kuria šiam sprendimo projektui pritariama, ne vėliau kaip per dvi savaites nuo Valdybos nuomonės gavimo dienos išduoda Leidimą.
20. Inspekcija, gavusi Valdybos nuomonę dėl Inspekcijos sprendimo dėl Leidimo išdavimo projekto, kuria šiam sprendimo projektui nepritariama, ne vėliau kaip per dvi savaites nuo Valdybos nuomonės gavimo, išnagrinėjusi joje nurodytus argumentus:
21. Inspekcija, nusprendusi neatsižvelgti į Valdybos nuomonę arba atsižvelgti tik iš dalies, ne vėliau kaip per dvi savaites nuo šios Valdybos nuomonės gavimo apie tai informuoja Valdybos pirmininką. Tuo atveju, jei Inspekcija iš dalies pakeičia savo sprendimo projektą kartu su minėta informacija Valdybai pateikiamas ir iš dalies pakeistas sprendimo projektas.
22. Inspekcija, gavusi privalomą Valdybos sprendimą, pagal Reglamento (ES) 2016/679 65 straipsnio 1 dalį, remdamasi šiuo sprendimu, ne vėliau kaip per 20 darbo dienų nuo tos dienos, kurią gautas šis sprendimas, priima sprendimą dėl Leidimo išdavimo arba atsisakymo jį išduoti. Šiame sprendime pateikiama nuoroda į Valdybos sprendimą bei nurodoma, kad šis sprendimas bus paskelbtas Valdybos interneto svetainėje. Inspekcija kartu su savo sprendimu dėl Leidimo išdavimo arba atsisakymo jį išduoti duomenų valdytojui ar jo atstovui pateikia privalomą Valdybos sprendimą.
IV SKYRIUS
BAIGIAMOSIOS NUOSTATOS