Antraštė „iki 20 mln. Eur” valstybės ir savivaldybės įstaigoms netaikoma. Lietuvoje joms galioja atskiros, gerokai žemesnės ribos, ir jos nustatytos įstatyme.
ADTAĮ 33 str. 1 d. nustato, kad valdžios institucijai ar įstaigai už BDAR 83 str. 4 d. a, b ir c punktų pažeidimus skiriama bauda iki 0,5 procento einamųjų metų biudžeto ir kitų praėjusiais metais gautų bendrųjų metinių pajamų, bet ne didesnė negu trisdešimt tūkstančių eurų.
ADTAĮ 33 str. 2 d. nustato, kad už BDAR 83 str. 5 d. a–e punktų nuostatų pažeidimus bauda siekia iki 1 procento tų pačių pajamų, bet yra ne didesnė negu šešiasdešimt tūkstančių eurų.
Tai yra dvi realios viršutinės ribos mokyklai, darželiui, muziejui, poliklinikai ar savivaldybės administracijai.
Riba nėra automatiška
Yra išlyga, kurią būtina pasakyti garsiai.
Ta pati nuostata numato, kad valdžios institucijai ar įstaigai, kuri vykdo ūkinę komercinę veiklą, taikomi bendrieji BDAR baudų dydžiai. Tai reiškia, kad lubos nėra savaime suteikiamos dėl teisinės formos.
Praktikoje tai svarbu įstaigoms, kurios be viešųjų funkcijų teikia ir mokamas paslaugas: nuomoja patalpas, vykdo mokamus mokymus, teikia mokamas sveikatos priežiūros ar laisvalaikio paslaugas. Ar konkretus pažeidimas susijęs su ta veiklos dalimi, yra vertinimo klausimas, ir jis sprendžiamas ne pagal įstaigos pavadinimą.
Todėl teiginys „mums daugiau kaip trisdešimt tūkstančių skirti negali” yra pradinė prielaida, ne garantija.
Rezultatas nebūtinai yra bauda
Nagrinėjimo rezultatas nebūtinai yra piniginė sankcija: tai gali būti papeikimas ir nurodymas atlikti konkretų veiksmą.
Tokias priemones numato BDAR 58 str. 2 d.: priežiūros institucija gali pareikšti papeikimą (b p.), nurodyti patenkinti žmogaus prašymą pasinaudoti savo teisėmis (c p.) ar nurodyti ištrinti duomenis (g p.), o baudą skirti kartu su šiomis priemonėmis arba vietoj jų (i p.). Taigi piniginės baudos gali ir nebūti — lieka pareiga padaryti tai, ko žmogus prašė nuo pradžių, ir įpareigojimas, kurio nevykdyti nebegalima.
Seka gali būti tokia. BDAR 17 str. numato teisę reikalauti ištrinti duomenis. Organizacija į prašymą neatsako arba atsako neigiamai, žmogus kreipiasi į instituciją, ir institucija nurodo padaryti tą patį veiksmą, kuris iš pradžių būtų kainavęs penkias minutes.
Kodėl viešumas yra didesnė pasekmė nei bauda
ADTAĮ 14-1 str. 1 d. nustato, kad sprendimas skelbiamas viešai institucijos svetainėje.
Daugeliui įstaigų tai svarbiau už pačią baudą, ir tai yra tikroji šio puslapio žinutė. Bauda yra vienkartinė eilutė biudžete. Viešai prieinamas sprendimas, kuriame įvardytas įstaigos pavadinimas ir aprašyta, ką ji padarė ne taip, lieka randamas paieškoje ir pasiekia tėvus, pacientus, lankytojus ir tarybos narius.
Įstaigos vadovui tai reiškia paprastą dalyką: sprendžiant, ar verta investuoti valandą į tvarkingą atsakymą duomenų subjektui, reikia lyginti ne su bauda, o su viešu sprendimu.
Rizika įstaigoje nebūtinai yra ataka
Kalbant apie riziką, įsivaizduojamas įsilaužimas. Tačiau pažeidimas gali būti ir visai kasdienis: asmens duomenys išsiųsti el. paštu ne tam gavėjui. Klaidingas adresatas iš automatinio užbaigimo, priedas su visu sąrašu vietoj vieno įrašo, „atsakyti visiems” ten, kur reikėjo atsakyti vienam.
Iš realios situacijos. Gavus pranešimą apie asmens duomenų pažeidimą, buvo padaryti du dalykai: supildytas pažeidimų registras ir parengta trumpa atmintinė, kaip saugiai dalintis asmens duomenimis el. paštu. Per visą bendradarbiavimo su ta įstaiga laikotarpį tai buvo pirmas pažeidimas, apie kurį buvo pranešta.
Tai normalu, o ne katastrofa. Organizacija, kurioje per ilgą laiką užfiksuotas vienas incidentas, nėra netvarkinga — ji yra organizacija, kurioje incidentas buvo pastebėtas ir užrašytas. BDAR 33 str. 5 d. reikalauja dokumentuoti visus asmens duomenų saugumo pažeidimus, įskaitant tuos, apie kuriuos institucijai pranešti nereikia.
Tuščias pažeidimų registras patikros metu nereiškia, kad pažeidimų nebuvo. Jis gali reikšti ir tai, kad niekas jų nefiksuoja.
Ką iš to daryti
Trys dalykai duoda daugiausia už mažiausiai:
- pažeidimų registras, kuriame yra bent vienas įrašas, ir žmogus, kuris žino, kad jį pildo;
- vienas adresas, kuriuo ateina duomenų subjektų prašymai, ir terminas, skaičiuojamas nuo gavimo, o ne nuo to, kada prašymas pasiekė teisininką;
- viena pastraipos ilgio atmintinė apie siuntimą el. paštu, nes čia lengva suklysti.
Nė vienas iš jų nėra projektas. Visi trys kartu užtrunka mažiau nei vieną dieną.
Kaip pradėti
Jei norite žinoti, kuri iš dviejų ribų jūsų įstaigai taikoma ir ar jūsų veikloje yra ūkinė komercinė dalis, parašykite mums įstaigos tipą ir trumpai, kokias mokamas paslaugas teikiate. Šį įvertinimą pateikiame nemokamai.
Ar Jūsų organizacijai privalomas tvarkymo veiklų registras, galite pasitikrinti Linden kuriamu Privacio įrankiu.
El. paštas info@linden.lt
Plačiau apie šią paslaugą: BDAR auditas, atitikties dokumentai ir konsultacijos.