Kam taikomas BDAR: įmonės, įstaigos, asociacijos ir užsienio verslas

BDAR taikomas kiekvienam, kas tvarko asmens duomenis: įmonei, individualią veiklą vykdančiam žmogui, asociacijai, bendrijai, viešajai įstaigai ir valstybės institucijai. Įmonės dydis, apyvarta ir darbuotojų skaičius taikymo nenulemia. Trumpai: visos įmonės, kurios tvarko asmens duomenis, nepriklausomai nuo jų dydžio, turi atitikti BDAR.

Reglamento netaiko ne mažumas, o veiklos pobūdis. Pagrindinė išimtis žmonėms yra grynai asmeninė ar namų ūkio veikla. Teisėsaugos institucijoms, kai jos tiria ir persekioja nusikalstamas veikas, taikomos atskiros taisyklės. Užsienio įmonei BDAR taikomas, jei ji turi buveinę ES arba siūlo prekes ar paslaugas žmonėms ES, arba stebi jų elgesį. Žemiau – kaip tai patikrinti ir kur galima suklysti.

Du klausimai, kurie nulemia atsakymą

Ar tvarkote asmens duomenis? Asmens duomenys yra bet kokia informacija apie fizinį asmenį, kurio tapatybė nustatyta arba ją galima nustatyti (BDAR 4 str. 1 p.). Duomenų tvarkymas yra beveik bet koks veiksmas su jais: rinkimas, įrašymas, saugojimas, naudojimas, persiuntimas, ištrynimas (BDAR 4 str. 2 p.). Vien laikyti klientų el. pašto adresus jau yra tvarkymas.

Juridinių asmenų duomenys, pavyzdžiui, įmonės pavadinimas, teisinė forma ir bendri kontaktai, reglamento neapima (BDAR 14 konstatuojamoji dalis). Tačiau kontaktinio asmens vardas, pavardė ir darbo el. pašto adresas yra žmogaus duomenys. Todėl ir įmonė, kuri dirba tik su kitomis įmonėmis, beveik visada tvarko asmens duomenis.

Ar tvarkote juos taip, kaip apima reglamentas? BDAR 2 str. 1 d. apima tvarkymą automatizuotomis priemonėmis ir popierinius duomenis, jei jie sudaro susisteminto rinkinio dalį. Kompiuteris, telefonas, debesijos paslauga ar surūšiuotas segtuvas – visa tai patenka.

Dydis nesvarbus: mažos įmonės mitas

Duomenų valdytojas yra fizinis arba juridinis asmuo, valdžios institucija, agentūra ar kita įstaiga, kuri nustato tvarkymo tikslus ir priemones (BDAR 4 str. 7 p.). Šioje apibrėžtyje nėra jokios ribos pagal dydį.

Reglamentas mažoms įmonėms numato vienintelę išimtį iš pareigų, ir ji siaura. BDAR 13 konstatuojamoji dalis paaiškina, kad organizacijoms, kuriose dirba mažiau kaip 250 darbuotojų, nukrypti leidžianti nuostata numatyta tik įrašų laikymo atžvilgiu. Tai BDAR 30 str. 5 d., o ir ji netaikoma, jei tvarkymas nėra nereguliarus, gali kelti pavojų žmonių teisėms arba apima specialių kategorijų duomenis ar duomenis apie apkaltinamuosius nuosprendžius ir nusikalstamas veikas. Darbuotojų ir klientų duomenys tvarkomi nuolat, todėl daugumai mažų įmonių ši išimtis netinka.

Visos kitos pareigos galioja nepriklausomai nuo dydžio: informuoti žmones (BDAR 13 str.), užtikrinti saugumą (BDAR 32 str.), sudaryti sutartis su tvarkytojais (BDAR 28 str. 3 d.). Mažumas turi reikšmės kitur – kokio masto priemonių reikia. BDAR 24 str. 1 d. ir BDAR 32 str. 1 d. priemones sieja su tvarkymo pobūdžiu, aprėptimi ir rizika. Ko reikalauja saugumo pareiga, rašome straipsnyje BDAR saugumo priemonės: ko iš tikrųjų reikalauja 32 straipsnis.

Individuali veikla, asociacijos ir įstaigos

Individuali veikla. Duomenų valdytoju gali būti ir fizinis asmuo (BDAR 4 str. 7 p.). Dirbantis pagal individualios veiklos pažymą ar verslo liudijimą klientų duomenis tvarko kaip duomenų valdytojas. Namų ūkio išimtis jam netaikoma, nes ji skirta veiklai, nesusietai su profesine ar komercine veikla (BDAR 18 konstatuojamoji dalis).

Asociacijos, bendrijos, klubai. Narių sąrašas, mokesčių apskaita, renginių registracija ir nuotraukos yra asmens duomenys. Asociacija ar bendrija kaip juridinis asmuo, o neregistruotas klubas kaip „kita įstaiga“ yra duomenų valdytojai pagal BDAR 4 str. 7 p., ir joms taikomos tos pačios pareigos.

Valstybės ir savivaldybių institucijos, biudžetinės įstaigos. Joms BDAR taikomas, o kai kurios pareigos griežtesnės. Išimtis – kompetentingų institucijų atliekamas duomenų tvarkymas nusikalstamų veikų prevencijos, tyrimo ir baudžiamojo persekiojimo tikslais, kuriam BDAR netaikomas (BDAR 2 str. 2 d. d p.). Jam taikomos atskiros taisyklės. Valdžios institucija ar įstaiga, išskyrus teismus, vykdančius teismines funkcijas, privalo paskirti duomenų apsaugos pareigūną (BDAR 37 str. 1 d. a p.). Apie tai, kada pareigūnas privalomas kitiems, rašėme straipsnyje ar mums privalomas duomenų apsaugos pareigūnas. Administracinės baudos Lietuvoje gali būti skiriamos ir valdžios institucijoms (ADTAĮ 33 str.).

Žurnalistika ir saviraiška. ADTAĮ 4 str. žurnalistikos, akademinės, meninės ar literatūrinės saviraiškos tikslais netaiko dalies BDAR straipsnių, tarp jų informavimo, asmens teisių ir įrašų pareigų. Bet išimtis nėra visiška: principai, teisėtumo pagrindai ir saugumo reikalavimai lieka. Išimtis taikoma tikslui, ne organizacijai. Žiniasklaidos įmonė, tvarkanti savo prenumeratorių ar darbuotojų duomenis, BDAR taiko įprastai.

Namų ūkio išimtis ir kur ji baigiasi

BDAR 2 str. 2 d. c p. reglamento netaiko, kai duomenis tvarko fizinis asmuo išimtinai asmeninei ar namų ūkio veiklai. BDAR 18 konstatuojamoji dalis kaip pavyzdžius nurodo susirašinėjimą, adresų saugojimą ir naudojimąsi socialiniais tinklais tokios veiklos metu. Ji taip pat priduria, kad reglamentas taikomas tiems, kurie tokiai veiklai suteikia priemones (tai, pavyzdžiui, socialinių tinklų platformos).

Išimtis baigiasi ten, kur prasideda darbas. Asmeninis telefonas, kuriame laikomi klientų kontaktai ir susirašinėjimas su jais, yra darbo priemonė. Kitas pavyzdys – kamera ant namo. Teisingumo Teismas, aiškindamas tokią pačią ankstesnės direktyvos išimtį, 2014 m. gruodžio 11 d. sprendime byloje C‑212/13 nusprendė, kad vaizdo stebėjimas, kuris bent iš dalies apima viešąją erdvę, negali būti laikomas išimtinai asmenine ar namų ūkio veikla.

Kai organizacija yra ne Lietuvoje

Buveinė ES. BDAR 3 str. 1 d. reglamentą taiko tvarkymui, kurį ES esanti valdytojo ar tvarkytojo buveinė atlieka vykdydama savo veiklą, nepriklausomai nuo to, kur fiziškai tvarkomi duomenys. Buveinė reiškia veiksmingą ir realią veiklą per stabilias struktūras, o teisinė forma nėra lemiama (BDAR 22 konstatuojamoji dalis). EDPB gairėse 3/2018 pažymima, kad tam tikromis aplinkybėmis užsienio subjektui gali pakakti vieno ES veikiančio darbuotojo ar agento. Pagal tas pačias gaires, kai tvarko ES buveinė, žmonių, kurių duomenys tvarkomi, buvimo vieta ar pilietybė nesvarbi. Lietuvos įmonė BDAR taiko ir ne ES klientų duomenims.

Prekės ar paslaugos žmonėms ES, elgesio stebėsena. BDAR 3 str. 2 d. reglamentą taiko ir ES neįsisteigusiai įmonei, jei jos tvarkymas susijęs su prekių ar paslaugų siūlymu žmonėms ES arba su jų elgesio ES stebėsena. Vien tai, kad svetainė pasiekiama iš ES, nepakanka. Lemia, ar akivaizdu, kad įmonė numato teikti paslaugas ES. Tai rodo, pavyzdžiui, ES valstybės kalba ar valiuta su galimybe ja užsisakyti arba ES klientų minėjimas (BDAR 23 konstatuojamoji dalis). EDPB gairėse 3/2018 nurodoma, kad stebėsena gali būti, pavyzdžiui, elgesiu pagrįsta reklama, sekimas internete slapukais ar vaizdo stebėjimas.

Atstovas ES. Tokia įmonė raštu paskiria atstovą Sąjungoje (BDAR 27 str. 1 d.). Išimtis taikoma tik nereguliariam tvarkymui, kuris neapima specialių kategorijų ar apkaltinamųjų nuosprendžių duomenų dideliu mastu ir dėl kurio neturėtų kilti pavojus žmonių teisėms, taip pat valdžios institucijoms (BDAR 27 str. 2 d.). Pagal EDPB gaires 3/2018 atstovo nepaskyrimas yra reglamento pažeidimas.

Kas nutinka, kai manote, kad BDAR Jums netaikomas

Rizika čia yra ne kokia nors atskira pareiga, o visos iš karto. Organizacija, kuri laikė save „per maža“, gali neturėti nieko: nei informavimo teksto, nei sutarčių su tiekėjais, nei saugojimo terminų, nei incidentų tvarkos. Tai paaiškėja ne patikrinimo dieną, o tada, kai kas nors paprašo savo duomenų, pateikia skundą ar įvyksta duomenų saugumo pažeidimas, apie kurį priežiūros institucijai paprastai reikia pranešti nepagrįstai nedelsiant ir, jei įmanoma, ne vėliau kaip per 72 valandas nuo sužinojimo (BDAR 33 str. 1 d.). Tada viską tenka kurti skubomis, kai terminai jau skaičiuojami. Kaip ir per kiek laiko atsakyti į prašymą susipažinti su duomenimis, rašome straipsnyje Prašymas susipažinti su duomenimis: terminas ir atsakymas.

Skirdama baudą priežiūros institucija atsižvelgia į pažeidimo pobūdį, sunkumą ir trukmę, į tai, ar jis padarytas tyčia ar dėl aplaidumo (BDAR 83 str. 2 d.), ir į tai, kokias technines ir organizacines priemones organizacija buvo įgyvendinusi. Organizacija, kuri neturi nieko, pagal šį sąrašą atrodo blogiausiai. Kokių dokumentų dažniausiai trūksta, aprašėme straipsnyje apie BDAR dokumentų paketą.

Kada kreiptis į teisininką

• esate ne ES įmonė ir nežinote, ar Jūsų veikla ES yra „prekių ar paslaugų siūlymas“ ar „stebėsena“;
• turite grupės įmonę, filialą ar darbuotoją Lietuvoje ir reikia nustatyti, kuri buveinė tvarko duomenis;
• esate asociacija, bendrija ar įstaiga ir niekada nevertinote, kokius duomenis tvarkote;
• dirbate kaip individualią veiklą vykdantis specialistas su jautriais duomenimis, pavyzdžiui, sveikatos ar vaikų;
• remiatės žurnalistikos ar kita išimtimi ir norite įsitikinti, kokios pareigos lieka.