Poveikio duomenų apsaugai vertinimas, trumpiau PDAV, mūsų vertinimu, užtrunka iki trijų savaičių. Didžiąją dalį darbo atlieka ne jūs: pateikiamas klausimynas, kurį gali užpildyti vienas arba keli darbuotojai, todėl procesas nereikalauja didelio administracijos įsitraukimo. Rezultatas yra dokumentas, kuriame pasakyta, ar planuojama operacija kelia didelį pavojų žmonių teisėms ir laisvėms, ir ką reikia padaryti, kad nekeltų.
Šis puslapis neatsako į klausimą, kada vertinimas privalomas — tai atskira tema. Jis atsako, kas vertinimą sudaro, kiek jis trunka ir ko pareikalaus iš organizacijos.
Iš ko PDAV susideda
Mūsų darbinė apibrėžtis tokia: PDAV yra procesas, kurio metu nustatoma ir įvertinama, ar duomenų tvarkymo operacija atliekama teisėtai ir nekelia didelio pavojaus fizinių asmenų teisėms ir laisvėms.
Vertinime turi būti:
- duomenų tvarkymo operacijos aprašymas;
- tvarkymo tikslai;
- kai remiamasi teisėtu interesu (BDAR 6 str. 1 d. f p.) — teisėto intereso aprašymas;
- reikalingumo ir proporcingumo vertinimas;
- duomenų subjektų teisėms ir laisvėms kylančių pavojų vertinimas;
- pavojams pašalinti numatytos saugumo priemonės ir procedūros;
- išvada, ar laikomasi reglamento.
Minimalų turinį nustato BDAR 35 str. 7 d. Sunkiausia dalis yra reikalingumo ir proporcingumo vertinimas. Aprašyti, ką darysite, lengva. Parodyti, kad to paties tikslo negalima pasiekti mažiau įsibraunančiu būdu, sunkiau, ir būtent to klausiama.
Jei organizacija yra paskyrusi duomenų apsaugos pareigūną, BDAR 35 str. 2 d. reikalauja su juo konsultuotis. Tai nėra formalumas: pareigūno nuomonės nebuvimas vėliau gali sustabdyti visą procesą.
Kiek darbo pareikalaus iš jūsų
Iš realaus atsakymo, kurį išsiuntėme vienai įstaigai: atliekant vertinimą jai būtų pateiktas klausimynas, kurį galėtų užpildyti vienas arba keli darbuotojai, todėl, mūsų vertinimu, procesas nepareikalautų didelio administracijos įsitraukimo. Vertinimas užtruktų iki trijų savaičių.
Įstatymas šio trijų savaičių termino nenustato. Tai yra mūsų įvertis, ir jis priklauso nuo to, kaip greitai grįžta užpildytas klausimynas.
Vienas atvejis, kurį galima papasakoti
Įstaiga planavo vaizdo stebėjimą su garso įrašymu vadovo kabinete. Ji prašė pasiūlymo atlikti vertinimą.
Atsakėme, kad vertinimas kaip tik ir parodytų, ar tokia operacija kelia didelį pavojų. Padarius išvadą, kad nekelia, operaciją būtų galima vykdyti. Tai yra tikroji PDAV funkcija: jis nėra kliūtis, kurią reikia įveikti, o būdas gauti pagrįstą „taip” arba pagrįstą „ne” prieš perkant įrangą.
Garso įrašymas Lietuvoje yra viena iš situacijų, kurioje vertinimas privalomas. Tai svarbu žinoti perkant sistemą: nemažai įrenginių rašo garsą pagal numatytuosius nustatymus, ir jį išjungus viena vertinimo prievolės atsiradimo priežastis dingsta iš karto.
Kas būna, jei išvada neigiama
Ši dalis dažnai suprantama kaip grėsmė. Ji ja nėra.
Nustačius, kad planuojama operacija keltų didelį pavojų ir jo sumažinti priemonėmis nepavyksta, prieš pradedant tvarkyti duomenis reikia kreiptis į priežiūros instituciją ir gauti konsultaciją (BDAR 36 str.). Tai nėra bausmė — tai reglamente numatytas kelias.
Planuojant svarbu viena: ši konsultacija užtrunka savaites, ir tuo metu tvarkyti duomenų dar negalima. Todėl vertinimą naudingiausia atlikti tada, kai sprendimas dar nepriimtas — renkantis sistemą, o ne ją įdiegus. Tuomet vertinimas gali pakeisti vieną ar du sprendimus ir tuo baigtis.
Vaikų duomenys
Čia yra keli atvejai, kurie organizacijas užklumpa netikėtai. Vertinimas privalomas, kai vaikų duomenys tvarkomi:
- tiesioginės rinkodaros tikslais;
- kai vaikų asmeniniai aspektai vertinami automatizuotu būdu, įskaitant profiliavimą;
- kai vaikams tiesiogiai siūlomos informacinės visuomenės paslaugos.
Tai nustato Valstybinės duomenų apsaugos inspekcijos direktoriaus 2019 m. kovo 14 d. įsakymu Nr. 1T-35 (1.12.E) patvirtinto sąrašo 9 punktas. Sąrašas parengtas pagal BDAR 35 str. 4 d., kuri įpareigoja priežiūros instituciją tokį sąrašą paskelbti.
Vienas dalykas šiame sąraše dažnai pražiūrimas: jis nėra baigtinis. Tai, kad konkreti situacija į jį nepateko, nereiškia, kad vertinimo nereikia. BDAR 35 str. bendra taisyklė galioja visada, kai tvarkymas gali kelti didelį pavojų žmonių teisėms ir laisvėms.
O kai norima naudoti vaikų nuotraukas reklamai
Tai jau ne vertinimo, o pagrindo klausimas, ir jį verta atskirti aiškiai.
Vaiko atvaizdui reklamoje naudoti reikia sutikimo. Atvaizdo naudojimui jį reikalauja CK 2.22 str. 1 d., o duomenų tvarkymo pagrindas yra BDAR 6 str. 1 d. a p. Vaiko, kuris dar negali pats sutikti, vardu sutikimą duoda tėvai kaip jo atstovai pagal įstatymą (CK 3.157 str. 1 d.); globėjai atstovauja pateikę tai patvirtinantį dokumentą (CK 3.157 str. 2 d.). Vertinimas šio sutikimo nepakeičia ir jo neatstoja. Jei sutikimo nėra, jokia vertinimo išvada nuotraukos panaudoti neleis.
Atvirkščiai taip pat teisinga: turimas sutikimas neatleidžia nuo vertinimo, jei tvarkymas patenka į privalomų operacijų sąrašą.
Kaip pradėti
Naudingiausia pradėti nuo dviejų sakinių aprašymo: ką planuojate tvarkyti, kokia technika ir kada norite paleisti. To užtenka, kad pasakytume, ar vertinimas jūsų atveju privalomas ir ar matome riziką, kad prireiks kreiptis į priežiūros instituciją.
Parašykite mums tą aprašymą. Atsakysime, ar vertinimas reikalingas, ir tik tada pasiūlysime kainą bei terminą. Pirmas atsakymas nemokamas — el. paštas info@linden.lt.
Praktinis žingsnis po žingsnio vadovas yra Linden kuriamoje Privacio svetainėje: Kada reikia poveikio duomenų apsaugai vertinimo (DPIA)?. Ten pat galite pasitikrinti, ar Jūsų organizacijai privalomas tvarkymo veiklų registras: Privacio įrankis.
Plačiau apie šią paslaugą: poveikio duomenų apsaugai vertinimas.