Kiekviena organizacija, nepriklausomai nuo jos dydžio ar sektoriaus, įsteigta Europos ekonominėje erdvėje (EEE) arba siūlanti produktus ar paslaugas asmenims EEE, tvarkanti asmens duomenis automatizuotomis ar neautomatizuotomis priemonėmis turi atitikti BDAR. Net jei BDAR daugiausia susijęs su automatizuotu asmens duomenų tvarkymu, duomenų tvarkymo operacijoms, atliekamoms rankiniu būdu, BDAR taip pat bus taikomas nuo to momento, kai popieriniai failai bus sistemingai organizuojami, pvz., abėcėlės tvarka bylų spintoje.

Duomenų tvarkymo operacijų pavyzdžiai apima asmens duomenų rinkimą, įrašymą, organizavimą, naudojimą, keitimą, saugojimą, atskleidimą, pakeitimą ir ištrynimą.

Vis dėlto BDAR taikymas yra moduliuojamas atsižvelgiant į atliekamų duomenų tvarkymo operacijų pobūdį, kontekstą, tikslus ir riziką. MVĮ, kurių pagrindinė veikla nėra asmens duomenų tvarkymas, pareigos gali būti ne tokios griežtos kaip didelės įmonės.

Daugiau informacijos:

• Duomenų apsaugos pagrindai

Taip, galite, bet BDAR nustato tam tikras prievoles įmonėms, kurios dalijasi asmens duomenimis. Jūsų organizacija turi informuoti asmenis, kad pasidalinsite jų duomenimis su trečiąja šalimi. Jūs taip pat turite juos informuoti apie savo tikslus, saugumą, prieigos ir saugojimo priemones, kurios bus taikomos.

Duomenų apsaugos pareigūno užduotys, be kita ko, apima:

• organizacijos ir jos darbuotojų informavimą ir konsultavimą dėl duomenų apsaugos reikalavimų laikymosi;
• stebėjimą, kaip laikomasi duomenų apsaugos reikalavimų;
• konsultacijų dėl prašymų, susijusių su poveikio duomenų apsaugai vertinimu (PDAV), teikimą;
• kontaktinio asmens su duomenų apsaugos institucija (DAI) vaidmenį ir bendradarbiavimą su ta DAI;
• kontaktinio asmens vaidmenį asmenims.

Be to, paprastai rekomenduojama, kad DAP dalyvautų priimant su duomenų apsauga susijusius sprendimus. Su DAP taip pat turėtų būti nedelsiant konsultuojamasi, kai įvyksta duomenų saugumo pažeidimas ar kitas incidentas.

Daugiau informacijos:

• Duomenų apsaugos pareigūnas

Paskirti duomenų apsaugos pareigūną privaloma šiais trimis atvejais:

• organizacija yra valdžios institucija;
• pagrindinė organizacijos veikla – reguliarus ir sistemingas didelio masto asmenų stebėjimas, pavyzdžiui, naudojantis mobiliąja programėle, naudojantis geografine vietove, arba prekybos centrų ir viešųjų erdvių stebėjimas naudojant vaizdo stebėjimo sistemą;
• pagrindinė organizacijos veikla – didelio masto neskelbtinų duomenų arba asmens duomenų, susijusių su apkaltinamaisiais nuosprendžiais ir nusikalstamomis veikomis, tvarkymas.

Visada galite paskirti DAP savanoriškai, net jei tai nėra teisiškai reikalaujama. Atkreipkite dėmesį, kad tokiu atveju turite laikytis visų BDAR nuostatų dėl duomenų apsaugos pareigūno užduočių ir pareigų.

Daugiau informacijos:

• Duomenų apsaugos pareigūnas

BDAR taikomas slapukų naudojimui, kai jie naudojami asmens duomenims tvarkyti, tačiau taip pat yra nustatytos konkretesnės taisyklės dėl slapukų, įskaitant E. privatumo direktyvą.

Saugoti slapuką arba gauti prieigą prie jau saugomo slapuko naudotojo galiniame įrenginyje leidžiama tik su sąlyga, kad atitinkamas abonentas ar naudotojas buvo tinkamai informuotas (ypač apie tvarkymo tikslus) ir davė savo sutikimą.

Vienintelė išimtis yra techniškai būtini slapukai. Organizacijoms nereikia prašyti sutikimo, kai jų interneto svetainėse naudojami techniškai būtini slapukai.

Daugiau informacijos:

• Tvarkyti asmens duomenis teisėtai

Slapukai yra maži failai, saugomi įrenginyje, pvz., kompiuteryje, mobiliajame įrenginyje ar bet kuriame kitame įrenginyje, kuriame galima saugoti informaciją. Slapukai atlieka keletą svarbių funkcijų, įskaitant naudotojų ir jų ankstesnių sąveikų su svetaine atminimą. Jie gali būti naudojami sekti prekes internetiniame pirkinių krepšelyje arba sekti informaciją, kai išsami informacija įtraukiama į internetinę paraiškos formą.

Tapatumo nustatymo slapukai taip pat yra svarbūs identifikuojant naudotojus, kai jie prisijungia prie banko paslaugų ir kitų internetinių paslaugų. Slapukuose saugoma informacija gali apimti asmens duomenis, pvz., IP adresą, naudotojo vardą, unikalų identifikatorių arba el. pašto adresą.

Duomenų valdytojo ir duomenų tvarkytojo sutartyje turi būti nustatyta, kad duomenų tvarkytojas:

• tvarko asmens duomenis tik duomenų valdytojo nurodymu, įskaitant atvejus, kai asmens duomenys perduodami į EEE nepriklausančią šalį;
• užtikrina, kad asmenys, įgalioti tvarkyti duomenis, būtų įsipareigoję laikytis konfidencialumo arba jiems būtų taikomas atitinkamas teisės aktais nustatytas konfidencialumo įsipareigojimas;
• užtikrina duomenų tvarkymo saugumą;
• nepasitelkia kito duomenų tvarkytojo be išankstinio konkretaus ar bendro rašytinio duomenų valdytojo leidimo;
• padeda duomenų valdytojui vykdyti duomenų valdytojo pareigas atsakyti į asmenų prašymus pasinaudoti savo teisėmis;
• padeda duomenų valdytojui užtikrinti duomenų tvarkymo saugumą, pranešti apie duomenų saugumo pažeidimus ir atlikti PDAV;
• pasibaigus paslaugų teikimui, duomenų valdytojo pasirinkimu, ištrina arba grąžina visus asmens duomenis duomenų valdytojui;
• pateikia duomenų valdytojui visą būtiną informaciją, kad įrodytų, jog laikosi BDAR nustatytų prievolių;
• leidžia duomenų valdytojui arba kitam duomenų valdytojo įgaliotam auditoriui atlikti auditus, įskaitant patikrinimus, ir prie jų prisideda.

Be to, duomenų tvarkytojas nedelsdamas informuoja duomenų valdytoją, jei, jo nuomone, nurodymai pažeidžia BDAR arba kitas ES ar nacionalines duomenų apsaugos nuostatas.

Daugiau informacijos:

• Duomenų valdytojas ar duomenų tvarkytojas

Pagal BDAR iš esmės yra du pagrindiniai būdai perduoti asmens duomenis EEE nepriklausančiai šaliai arba tarptautinei organizacijai. Duomenys gali būti perduodami remiantis sprendimu dėl tinkamumo arba, jei tokio sprendimo nėra, taikant tinkamas apsaugos priemones, įskaitant vykdytinas fizinių asmenų teises ir teisių gynimo priemones.

Daugiau informacijos:

• Tarptautinis perdavimas

Tvarkyti asmens duomenis leidžiama, jei tam yra teisinis pagrindas. Be laisvo, konkretaus, informacija pagrįsto ir nedviprasmiško sutikimo, gali būti naudojami kiti duomenų tvarkymo teisiniai pagrindai.

Kitaip tariant, sutikimas būtinas, kai netaikomas joks kitas teisinis pagrindas.

 

Daugiau informacijos:

• Tvarkyti asmens duomenis teisėtai

BDAR suteikia fiziniams asmenims galimybę kontroliuoti jų asmens duomenų tvarkymą. Norint tai padaryti, labai svarbu užtikrinti skaidrumą. Tai reiškia, kad turite informuoti asmenis, kurių duomenis tvarkote apie savo tvarkymo operacijas ir tikslus. Kitaip tariant, jūs turite paaiškinti, ne tik kas tvarko jų duomenis, bet taip pat kaip ir kodėl. Tik tuo atveju, jei susijusiems asmenims asmens duomenų naudojimas yra skaidrus, jie gali įvertinti galimus pavojus ir priimti sprendimus dėl savo asmens duomenų.

Pagal BDAR Jūs privalote asmenimis pateikti šią informaciją:

• duomenų valdytojo tapatybę ir kontaktinius duomenis;
• duomenų tvarkymo tikslus;
• duomenų tvarkymo teisinį pagrindą (jei teisėtas interesas, konkrečią informaciją apie tai, kokie teisėti interesai yra susiję su konkrečiu duomenų tvarkymu ir apie tai, kuris subjektas siekia kiekvieno teisėto intereso).
• duomenų valdytojo kontaktinius duomenis;
• DAP kontaktinius duomenis (jei yra DAP);
• duomenų gavėjus arba gavėjų kategorijas;
• Informaciją apie tai, ar duomenys bus perduoti už Europos ekonominės erdvės (EEE) ribų (kai taikoma: sprendimo dėl tinkamumo buvimą ar nebuvimą arba nuorodą į tinkamas apsaugos priemones ir tai, kaip ši informacija gali būti prieinama duomenų subjektams);
• tvarkomų asmens duomenų kategorijas, kai duomenys gaunami ne iš asmens.

Be to, BDAR reikalaujama, kad jūsų organizacija, siekdama užtikrinti sąžiningą ir skaidrų duomenų tvarkymą, pateiktų šią informaciją:

• saugojimo laikotarpį arba, jei tai neįmanoma, kriterijus, taikomus šiam laikotarpiui nustatyti;
• teisę prašyti susipažinti su asmens duomenimis, juos ištrinti, ištaisyti, apriboti ar prieštarauti jų tvarkymui ir juos perkelti;
• teisę pateikti skundą duomenų apsaugos institucijai;
• jei duomenų tvarkymo teisinis pagrindas yra sutikimas: teisę bet kuriuo metu atšaukti sutikimą;
• automatizuotų sprendimų priėmimo atveju – atitinkamą informaciją apie duomenų tvarkymo logiką ir numatomas pasekmes duomenų subjektui;
• asmens duomenų šaltinį (jei jų tiesiogiai negavote iš atitinkamo asmens;
• ar asmuo privalo pateikti asmens duomenis (pagal įstatymą, sutartį arba sudarant sutartį) ir kokios yra atsisakymo pateikti duomenis pasekmės.

Daugiau informacijos:

• Gerbti asmenų teises