Viena iš Bendrojo duomenų apsaugos reglamento naujovių – tam tikrų duomenų valdytojų (tvarkytojų) pareiga paskirti duomenų apsaugos pareigūną.

Mes pasirengę suteikti jums konstruktyvią pagalbą, pateikdami  konkrečius patarimus, kaip praktiškai pasirengti reglamento taikymui ir būti duomenų apsaugos pareigūnu Jūsų įmonėje.

Duomenų apsaugos pareigūnas – ekspertas, stebintis ir analizuojantis, kaip duomenų valdytojas (tvarkytojas) laikosi asmens duomenų tvarkymui keliamų reikalavimų, konsultuojantis vadovus ir darbuotojus asmens duomenų tvarkymo klausimais bei veikiantis kaip tarpininkas tarp duomenų valdytojo (tvarkytojo) ir priežiūros institucijos.

Duomenų apsaugos pareigūną privalote pasirinkti, jei:

• duomenis tvarkote kaip valdžios institucija arba įstaiga, išskyrus teismus, kai jie vykdo savo teismines funkcijas;
• pagrindinė veikla yra duomenų tvarkymo operacijos, dėl kurių pobūdžio, aprėpties ir (arba) tikslų būtina reguliariai ir sistemingai dideliu mastu stebėti duomenų subjektus;
• duomenų valdytojo arba duomenų tvarkytojo pagrindinė veikla yra specialių kategorijų duomenų tvarkymas dideliu mastu.

Duomenų valdytojas – organizacija ar asmuo, kuris naudoja asmens duomenis profesiniais tikslais, pvz., valstybės institucija, įstaiga, savivaldybė, ligoninė, poliklinika, policija, bankas, kredito unija, draudimo bendrovė, e. parduotuvė, kelionių agentūra, mokykla, advokatas, antstolis, notaras ir t. t. Jis nustato duomenų tvarkymo tikslus ir priemones, t. y. kokiu apibrėžtu ir teisėtu tikslu, teisiniu pagrindu vadovaudamasis ir kokius asmens duomenis tvarko, kam teikia, kaip užtikrina duomenų subjekto teises, kokią programinę įrangą naudoja duomenims tvarkyti ir t. t.

Duomenų tvarkytoju laikomas juridinis ar fizinis asmuo, duomenų valdytojo įgaliotas tvarkyti asmens duomenis.

Kokiais atvejais įmonėje reikalingas arba nereikalingas duomenų apsaugos pareigūnas?

1 pavyzdys. Sveikatos priežiūros įstaigos pagrindinė veikla – teikti sveikatos priežiūros paslaugas viso miesto ar rajono gyventojams. Sveikatos priežiūros įstaiga, siekdama tinkamai teikti šias paslaugas, pagal teisės aktus privalo tvarkyti tam tikrus pacientų asmens duomenis. Atsižvelgiant į tai, asmens duomenų tvarkymas būtų laikomas pagrindine sveikatos priežiūros įstaigos veikla. Vertinant tai, kad sveikatos paslaugos teikiamos viso miesto ar rajono mastu, manytina, kad asmens duomenų tvarkymas vykdomas dideliu mastu. Pažymėtina, kad kiekvieno paciento atžvilgiu pagal teisės aktus yra pildoma asmens sveikatos istorija, o tai vertintina kaip reguliarus ir sistemingas asmens stebėjimas. Taigi aptariamu atveju, sveikatos priežiūros įstaiga turi paskirti duomenų apsaugos pareigūną.

2 pavyzdys. Parduotuvė vykdo vaizdo stebėjimą turto apsaugos tikslu. Šiuo atveju vaizdo duomenų tvarkymas nėra būtinas, siekiant vykdyti prekybą, todėl toks duomenų tvarkymas nėra pagrindinė parduotuvės veikla ir ji pareigos paskirti duomenų apsaugos pareigūną neturi, nepaisant to, kad tam tikrais atvejais vaizdo stebėjimas gali būti didelio masto ir turi reguliaraus ir sistemingo stebėjimo požymius.

3 pavyzdys. Asmuo, užsiimantis individualia veikla, internete prekiauja savo užauginta produkcija viename mieste ir naudojasi informacinių technologijų paslaugas teikiančios įmonės paslaugomis, kuri prižiūri šio asmens internetinį tinklalapį bei teikia tikslinės reklamos ir tiesioginės rinkodaros paslaugas individualia veikla užsiimančio asmens klientams. Tokio asmens, užsiimančio individualia veikla, atliekamas asmens duomenų tvarkymas nebus laikomas didelio masto, tačiau informacinių technologijų paslaugas teikiančios įmonės, kaip duomenų tvarkytojo, kuris turi daug tokio pobūdžio klientų, veikla, atsižvelgiant į aptarnaujamų klientų ir jų duomenų subjektų skaičių, gali būti laikoma didelio masto ir tokia įmonė turės pareigą paskirti duomenų apsaugos pareigūną. Įvertinimo dėl duomenų apsaugos pareigūno skyrimo būtinumo rezultatus patariame išsamiai aprašyti parengiant išvadą, kuri prireikus galės būti pateikta priežiūros institucijai.

Pasirinkite duomenų apsaugos pareigūną

Duomenų apsaugos pareigūnu gali būti skiriamas tiek įmonės darbuotojas, tiek ir specialių žinių turintis išorinis paslaugų teikėjas. Taip pat galima paskirti vieną duomenų apsaugos pareigūną visai įmonių grupei. Konkretūs kvalifikaciniai, išsilavinimo reikalavimai asmens duomenų apsaugos pareigūnui nėra nustatyti, tačiau šias pareigas einantis asmuo turėtų išmanyti teisinius ir techninius asmens duomenų apsaugos aspektus, sektoriaus, kuriame veikia įmonė, specifiką ir pačios įmonės veiklą. Nepriklausomai nuo to, ar duomenų apsaugos pareigūnu paskirsite darbuotoją, ar išorės paslaugų teikėją, turite užtikrinti duomenų apsaugos pareigūno nepriklausomumą, t. y.

neduoti duomenų apsaugos pareigūnui jokių privalomų nurodymų ir instrukcijų jo veiklos klausimais;

netaikyti drausminių nuobaudų dėl duomenų apsaugos pareigūno funkcijų vykdymo;

užtikrinti, kad tarp duomenų apsaugos pareigūno ir kitų jo, kaip darbuotojo, funkcijų nekiltų interesų konflikto. Pavyzdžiui, interesų konfliktas egzistuotų, jei duomenų apsaugos pareigūnu būtų paskirtas vienas iš vadovaujančias pareigas užimančių įmonės darbuotojų.

Duomenų apsaugos pareigūnas nėra asmeniškai atsakingas už duomenų valdytojo (tvarkytojo) padarytus asmens duomenų tvarkymo pažeidimus, atsakomybė už pažeidimus bet kokiu atveju tenka duomenų valdytojui (tvarkytojui).

Paskelbkite ir praneškite priežiūros institucijai duomenų apsaugos pareigūno kontaktinius duomenis

Kadangi duomenų apsaugos pareigūnas veikia kaip tarpininkas tarp duomenų valdytojo (tvarkytojo) ir priežiūros institucijos, priežiūros institucijai turite pranešti paskirto duomenų apsaugos pareigūno kontaktinius duomenis, leidžiančius tiesiogiai su juo susisiekti: elektroninio pašto adresą ir (ar) telefono numerį. Taip pat galite nurodyti ir tokio asmens vardą bei pavardę (pavadinimą). Pareiga paskelbti duomenų apsaugos pareigūno kontaktinius duomenis apima tiek pareigą informuoti duomenų valdytojo (tvarkytojo) darbuotojus, tiek ir kitus duomenų subjektus, pateikiant informaciją, pavyzdžiui, įmonės interneto svetainėje.