infa.lt

Bendrasis duomenų apsaugos reglamentas (BDAR) – 2018 m. gegužės 25 d. pradėtos taikyti naujos asmens duomenų tvarkymo taisyklės, bendros visoms Europos Sąjungos valstybėms narėms, tarp jų ir Lietuvai. Viena iš BDAR naujovių – asmens duomenų tvarkymo veiklos įrašai, kuriuos turi daryti visos valdžios institucijos ir dalis privataus sektoriaus atstovų.

Veiklos įrašai yra privalomi:

– valdžios institucijoms ir įstaigoms;

– įmonėms, įstaigoms ar organizacijos, kuriose dirba daugiau kaip 250 darbuotojų;

– įmonėms, įstaigoms ar organizacijoms, dėl kurių vykdomo duomenų tvarkymo gali kilti pavojus duomenų subjektų teisėms ir laisvėms;

– įmonėms, įstaigoms ar organizacijoms, kurių duomenų tvarkymas yra reguliarus;

– įmonėms, įstaigoms ar organizacijoms, kurių duomenų tvarkymas apima specialių kategorijų asmens duomenis;

– įmonėms, įstaigoms ar organizacijoms, kurios tvarko asmens duomenis apie apkaltinamuosius nuosprendžius ir nusikalstamas veikas.

Kam privalomi duomenų tvarkymo veiklos įrašai, kokia forma jie turi būti tvarkomi, kokia informacija juose turi būti pateikiama, kada duomenų tvarkymo veiklos įrašai turi būti atnaujinami – visą informaciją apie tai galite rasti Valstybinės duomenų apsaugos inspekcijos parengtoje rekomendacijoje „Dėl duomenų tvarkymo veiklos įrašų” arba žemiau patalpintoje informacijoje..

2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamento (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas) (toliau – BDAR) 30 straipsnis numato duomenų valdytojams ir duomenų tvarkytojams bei, kai taikoma, ir jų atstovams, pareigą tvarkyti duomenų tvarkymo veiklos įrašus, kuriuose būtų detaliai aprašytas atliekamas asmens duomenų tvarkymas.

Kam privalomi duomenų tvarkymo veiklos įrašai?

Duomenų tvarkymo veiklos įrašus privalo tvarkyti:

1. Valdžios institucijos ir įstaigos – valstybės ir savivaldybių institucijos ir įstaigos, įmonės ir viešosios įstaigos, finansuojamos iš valstybės ar savivaldybių biudžetų bei valstybės pinigų fondų ir Lietuvos Respublikos viešojo administravimo įstatymo nustatyta tvarka įgaliotos atlikti viešąjį administravimą arba teikiančios asmenims viešąsias ar administracines paslaugas ar vykdančios kitas viešąsias funkcijas. BDAR 30 straipsnio 5 dalyje numatyta išimtis šioms valdžios institucijoms ir įstaigoms nėra taikoma.
2. Įmonės, įstaigos ar organizacijos, kuriose dirba daugiau kaip 250 darbuotojų.
3. Įmonės, įstaigos ar organizacijos, kurių atliekamas asmens duomenis tvarkymas apima bent vieną iš šių atvejų:
   

• kai dėl vykdomo duomenų tvarkymo gali kilti pavojus duomenų subjektų teisėms ir laisvėms (pvz., kai dėl duomenų tvarkymo duomenų subjektai gali netekti galimybės naudotis savo teisėmis ir laisvėmis ar jiems užkertamas kelias kontroliuoti savo asmens duomenis; kai siekiant sukurti arba naudoti asmens profilį vertinami asmeniniai aspektai, pvz., duomenys susiję su darbo rezultatais, ekonomine situacija, asmeniniais pomėgiais ar interesais ir t. t.; kai tvarkomi pažeidžiamų fizinių asmenų, visų pirma vaikų, asmens duomenys; arba kai duomenų tvarkymas apima didelį kiekį asmens duomenų ir daro poveikį daugeliui duomenų subjektų; kai dėl tvarkymo gali kilti neigiamos pasekmės asmenims, pvz., diskriminacija, būti pavogta ar suklastota tapatybė, padaryta finansinių nuostolių; kai tvarkymas atliekamas naudojant naujas technologijas ir t. t.);
• duomenų tvarkymas yra reguliarus (tai reiškia, kad jis atliekamas tam tikrais intervalais, nuolat tebevykstantis, pasikartojantis tam tikrai periodais, yra organizuotas, planuotas, metodiškas ar pan.);
• duomenų tvarkymas apima specialių kategorijų asmens duomenis (pagal BDAR 9 straipsnio 1 dalį), t. y., kai tvarkomi duomenys, atskleidžiantys rasinę ar etninę kilmę, politines pažiūras, religinius ar filosofinius įsitikinimus, narystę profesinėse sąjungose, taip pat genetiniai duomenys, biometriniai duomenys, sveikatos duomenys, duomenys apie asmens lytinį gyvenimą ar lytinę orientaciją;
• tvarkomi asmens duomenys apie apkaltinamuosius nuosprendžius ir nusikalstamas veikas (pagal BDAR 10 straipsnį).

Net jei įmonei, įstaigai ar organizacijai nėra privaloma tvarkyti duomenų tvarkymo veiklos įrašus, gali būti naudinga tai daryti savanoriškai. Įrašų tvarkymas apie tai, kokiais tikslais ir kokie asmens duomenys tvarkomi, kam perduodami ir t. t., gali padėti efektyviau tvarkyti asmens duomenis, padėti įgyvendinti duomenų subjektų teises bei laikytis kitų BDAR nuostatų.