Pagrindinė duomenų apsaugos pareigūno funkcija – stebėti kaip yra vykdomi GDPR reikalavimai, teikti su tuo susijusias rekomendacijas bei konsultacijas.
Tapę Jūsų išoriniais duomenų apsaugos pareigūnais:
- atliksime duomenų apsaugos auditą, siekiant nustatyti ar turima dokumentacija duomenų apsaugos srityje yra pakankama ir atitinkanti Jūsų duomenų tvarkymo praktikas;
- pagal audito rezultatus, atliksime reikalingas naudojamų dokumentų korekcijas, o jei dokumentų vis dar neturite – juos parengsime;
- informuosime apie riziką keliančias duomenų tvarkymo operacijas, kurias Jūs atliekate bei pasiūlysime riziką mažinančius sprendimus;
- atliksime kontaktinio asmens funkciją santykiuose su Valstybine duomenų apsaugos inspekcija bei trečiaisiais asmenimis ar bendrovės darbuotojais (praktikantais) pateikiančiais prašymus asmens duomenų apsaugos srityje;
- konsultuosime einamaisiais duomenų apsaugos klausimais;
- dalyvausime sprendimų, susijusių su asmens duomenų apsauga, priėmime;
- vesime Jūsų duomenų tvarkymo veiklos įrašus bei padėsime tvarkytis su kita dokumentacija;
- jei bus reikalinga, konsultuosime dėl poveikio duomenų apsaugai vertinimo atlikimo;
- kartą per metus pravesime darbuotojų mokymus, iš anksto suderintomis temomis bei atsižvelgdami į bendrovės turimą dokumentaciją bei audito rezultatus;
- suteiksime dedikuotą telefono numerį ir el. pašto adresą, kurį galite pateikti savo interneto puslapyje kartu su duomenų apsaugos pareigūno rekvizitais;
- informuosime apie pokyčius bei naujienas susijusias su asmens duomenų apsaugos teisiniu reguliavimu;
- atliksime kitas teisės aktų numatytas duomenų apsaugos pareigūno funkcijas.
Gaukite detalų mūsų išorinio duomenų apsaugos pareigūno paslaugų aprašymą su paslaugų kainodara, užpildę dešinėje šio puslapio pusėje esančią formą
Susisiekite
Pasitikrinkite patys
Ar Jūsų organizacijai privalomas tvarkymo veiklų registras, galite pasitikrinti Linden kuriamu Privacio įrankiu.
Dažni klausimai
Kada įmonė ar įstaiga privalo paskirti duomenų apsaugos pareigūną?
Pareigūnas privalomas trimis atvejais. Pirma — kai duomenis tvarko valdžios institucija ar įstaiga. Antra — kai pagrindinė veikla reikalauja reguliariai ir sistemingai dideliu mastu stebėti žmones. Trečia — kai pagrindinė veikla yra specialių kategorijų duomenų (pavyzdžiui, sveikatos) tvarkymas dideliu mastu. Jeigu nė vienas kriterijus netaikomas, pareigūno skirti neprivalote, bet tai reikia užfiksuoti raštu, nes to klausia ir klientai, ir priežiūros institucija.
Ar duomenų apsaugos pareigūnu gali būti išorės paslaugų teikėjas, o ne mūsų darbuotojas?
Taip. Reglamentas tai leidžia tiesiogiai: pareigūnas gali būti personalo narys arba atlikti užduotis pagal paslaugų teikimo sutartį. Praktikoje mažoms ir vidutinėms organizacijoms išorinė paslauga dažnai yra vienintelis realus variantas — viduje retai atsiranda žmogus, kuris ir išmano duomenų apsaugos teisę, ir neturi interesų konflikto.
Ar duomenų apsaugos pareigūno pareigas gali eiti vadovas, IT vadovas ar personalo vadovas?
Paprastai ne. Reglamentas reikalauja, kad dėl kitų pareigūno užduočių ir pareigų nekiltų interesų konflikto. Vadovas, IT, personalo ar rinkodaros vadovas patys sprendžia, kokiais tikslais ir priemonėmis tvarkomi duomenys, todėl jie negali nešališkai stebėti savo pačių sprendimų. Tokiu atveju funkcija formaliai egzistuoja, o realiai jos nėra.
Kas nutinka, jei duomenų apsaugos pareigūnas paskiriamas formaliai, o funkcijų realiai nevykdo?
Kriterijai lieka neįvykdyti, o padėtis yra blogesnė nei visai neturint pareigūno. Ir klientams, ir priežiūros institucijai atrodo, kad funkcija veikia, todėl niekas jos netikrina, o prašymai ir pranešimai lieka be atsakymo. Reglamentas reikalauja tikrų dalykinių žinių, o ne pareigybės pavadinimo.
Ar duomenų apsaugos pareigūno kontaktus reikia skelbti viešai ir pranešti priežiūros institucijai?
Taip, abu veiksmai privalomi. Kontaktiniai duomenys skelbiami viešai (įprastai — privatumo politikoje ir svetainės kontaktų skiltyje) ir apie juos pranešama VDAI. Paskyrimas be viešo kontakto ir be pranešimo institucijai reikalavimo neįvykdo.
Ką duomenų apsaugos pareigūnas iš tikrųjų daro kas mėnesį?
Reglamente išvardytos penkios minimalios užduotys: informuoti ir konsultuoti, stebėti, kaip laikomasi reikalavimų (įskaitant darbuotojų mokymą ir auditus), konsultuoti dėl poveikio duomenų apsaugai vertinimo, bendradarbiauti su priežiūros institucija ir būti jos kontaktiniu asmeniu. Praktikoje tai reiškia dokumentų peržiūrą ir atnaujinimą, duomenų tvarkymo veiklos įrašų vedimą, atsakymus į duomenų subjektų prašymus ir kasmetinius darbuotojų mokymus.
Ar vienas duomenų apsaugos pareigūnas gali aptarnauti kelias įmonių grupės įmones ar kelias įstaigas?
Taip. Įmonių grupė gali paskirti vieną pareigūną, jeigu su juo lengva susisiekti iš kiekvienos buveinės. Valdžios institucijoms ir įstaigoms taikoma atskira taisyklė: vienas pareigūnas gali būti skiriamas kelioms, atsižvelgiant į jų organizacinę struktūrą ir dydį. Grupei paprastai rengiamas vienas pasiūlymas, bet kiekvienas juridinis asmuo paskyrimą įformina atskirai.
Ar duomenų apsaugos pareigūnas atsako už įmonės padarytus duomenų apsaugos pažeidimus?
Ne. Atsakomybė lieka duomenų valdytojui — jis privalo įgyvendinti priemones ir sugebėti įrodyti, kad duomenys tvarkomi teisėtai. Pareigūnas stebi, konsultuoja ir įspėja, bet neperima valdytojo atsakomybės. Todėl svarbu, kad pareigūno rekomendacijos ir organizacijos sprendimai būtų fiksuojami raštu.
Ar galima duomenų apsaugos pareigūnui nurodyti, kaip vykdyti jo funkcijas, ir ar galima jį atleisti?
Ne. Pareigūnas negali gauti jokių nurodymų dėl šių užduočių vykdymo, jo negalima atleisti ar bausti už tai, kad jis jas atliko, ir jis atsiskaito tiesiogiai aukščiausio lygio vadovybei. Organizacija taip pat privalo jį laiku įtraukti į visus su duomenų apsauga susijusius klausimus ir suteikti realius išteklius.
Kuo duomenų apsaugos pareigūnas skiriasi nuo atstovo Europos Sąjungoje?
Tai dvi skirtingos pareigos ir jos netarpusavyje pakeičiamos. Atstovas Sąjungoje skiriamas raštu, kai organizacija nėra įsisteigusi ES, bet siūlo prekes ar paslaugas ES žmonėms arba stebi jų elgesį; jis turi būti įsisteigęs toje valstybėje narėje, kur yra duomenų subjektai. Duomenų apsaugos pareigūnas skiriamas pagal visai kitus kriterijus ir vykdo stebėsenos bei konsultavimo funkciją. Ta pati organizacija gali turėti abu.
Ar duomenų apsaugos pareigūnas turi būti pasiekiamas darbuotojams ir klientams?
Taip. Duomenų subjektai turi teisę kreiptis į pareigūną visais klausimais, susijusiais su jų duomenų tvarkymu ir naudojimusi teisėmis. Todėl paskiriant išorinį pareigūną suteikiamas atskiras telefono numeris ir el. pašto adresas, kuriuos organizacija skelbia savo svetainėje.
Ar verta skirti duomenų apsaugos pareigūną savanoriškai, kai to daryti neprivalome?
Galima. Reglamentas leidžia paskirti pareigūną ir tais atvejais, kurie nepatenka į privalomus. Tačiau savanoriškai paskirtam pareigūnui taikomi tie patys reikalavimai — nepriklausomumas, interesų konflikto nebuvimas, ištekliai, viešas kontaktas. Jeigu jų įvykdyti negalite, sąžiningiau pareigūno neskirti ir nurodyti kontaktinį asmenį duomenų apsaugos klausimais.
Ar duomenų apsaugos pareigūno el. pašto adresas gali būti bendrinis, ar būtina nurodyti konkretų žmogų?
Bendrinis adresas tinka. Skelbiami kontaktiniai duomenys turi leisti lengvai susisiekti — pašto adresas, specialus telefono numeris ir (arba) e. pašto adresas — bet pareigūno vardo ir pavardės į juos įtraukti **nereikalaujama**. Funkcinis adresas net patogesnis: pasikeitus žmogui adreso keisti nereikia. Tačiau priežiūros institucijai vardą ir pavardę nurodyti **būtina**. Vardą ir kontaktus verta paskelbti ir organizacijos viduje, pavyzdžiui, intranete.
Ar su išoriniu duomenų apsaugos pareigūnu reikia pasirašyti atskirą duomenų tvarkymo sutartį?
Paprastai ne. Duomenų tvarkymo sutartis sudaroma su tuo, kas tvarko duomenis **jūsų vardu ir pagal jūsų nurodymus**. Pareigūnas veikia priešingai: reglamentas draudžia duoti jam nurodymus dėl jo užduočių vykdymo, todėl jis nėra jūsų duomenų tvarkytojas. Pakanka paslaugų teikimo sutarties. Joje verta aiškiai paskirstyti užduotis komandos nariams ir paskirti vieną vadovaujantį kontaktinį asmenį — būtent tai rekomenduoja WP29 gairės.
Ar išorinio pareigūno paslauga apima neribotą valandų skaičių?
Ne. Apimtis sutartyje paprastai apibrėžiama metiniu valandų skaičiumi arba paketu, o papildomos valandos derinamos atskirai. Pirmieji metai beveik visada intensyvesni už vėlesnius — tvarkoma dokumentacija, pradedami vesti veiklos įrašai, vedami pirmieji mokymai — todėl verta iš karto sutarti, kas nutinka apimtį viršijus. Reglamentas iš organizacijos reikalauja suteikti pareigūnui būtinus išteklius, ir sutarta valandų apimtis yra būtent tai.
Kuri priežiūros institucija mums taikoma, jei esame registruoti Lietuvoje, bet paslaugas teikiame kitų ES valstybių gyventojams?
Taikomas „vieno langelio" principas. Vadovaujanti priežiūros institucija yra ten, kur yra pagrindinė buveinė — Lietuvoje registruotai įmonei tai VDAI. Kitos valstybės institucija laikoma susijusia: ji turi kompetenciją nagrinėti skundą, jeigu dalykas susijęs tik su buveine jos valstybėje arba daro didelį poveikį duomenų subjektams tik joje. Tokiu atveju ji nedelsdama informuoja vadovaujančią instituciją, o ši per tris savaites nusprendžia, ar imsis atvejo pati.
Ką reikia pateikti, kad gautume išorinio duomenų apsaugos pareigūno pasiūlymą?
Užtenka užpildyti trumpą pasirengimo BDAR klausimyną apie tai, kokius duomenis ir kokiais tikslais tvarkote. Pagal jį parengiamas konkretus pasiūlymas su apimtimi ir kaina. Jeigu patogiau, tą patį galima aptarti telefonu. Klausimynas taip pat parodo, ar pareigūnas jums apskritai privalomas.
Kiek laiko užtrunka paskyrimas?
Nuo sutarties pasirašymo iki paskelbtų kontaktų paprastai kelios dienos.