Savivaldybės įstaiga ir BDAR: muziejus, biblioteka, globos namai

Savivaldybės biblioteka, valstybės ar savivaldybės muziejus ir socialinės globos įstaiga turi vieną bendrą bruožą. Bendrojo duomenų apsaugos reglamento (toliau – BDAR) požiūriu jos gali būti valdžios institucijos ar įstaigos. Tai lemia tris dalykus: duomenų apsaugos pareigūnas privalomas (BDAR 37 str. 1 d. a p.), teisėtu interesu vykdant savo užduotis remtis negalima (BDAR 6 str. 1 d. paskutinė pastraipa), o baudų ribas nustato ne tik BDAR, bet ir Lietuvos įstatymas.

Mokykloms ir gydymo įstaigoms skirti atskiri straipsniai. Čia – apie kitas įstaigas: ką joms nustato BDAR, ką apie duomenis sako jų veiklos įstatymai ir kas gresia, kai pareigos nevykdomos.

Ar Jūsų įstaiga yra „valdžios institucija ar įstaiga“

BDAR šios sąvokos neapibrėžia. Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymas (toliau – ADTAĮ) apibrėžia valdžios institucijas ir įstaigas savo tikslais. Tai valstybės ir savivaldybių institucijos ir įstaigos, įmonės ir viešosios įstaigos, finansuojamos iš valstybės ar savivaldybių biudžetų bei valstybės pinigų fondų ir įgaliotos atlikti viešąjį administravimą, teikiančios viešąsias ar administracines paslaugas ar vykdančios kitas viešąsias funkcijas (ADTAĮ 2 str. 2 d.).

Sektorių įstatymai įstaigų formą nustato aiškiai:

• Biblioteka. Savivaldybės viešoji biblioteka yra biudžetinė įstaiga, jos savininkė – savivaldybė (Lietuvos Respublikos bibliotekų įstatymo (toliau – BibĮ) 10 str. 1 d.).
• Muziejus. Savivaldybių muziejai yra biudžetinės arba viešosios įstaigos, kurių savininkė yra savivaldybė (Lietuvos Respublikos muziejų įstatymo (toliau – MuzĮ) 10 str. 1 d.). Nacionaliniai ir valstybiniai muziejai yra biudžetinės įstaigos (MuzĮ 8 str. 1 d., 9 str. 1 d.). Savivaldybių muziejai teikia muziejų lankymo ir muziejinės edukacijos viešąsias paslaugas (MuzĮ 10 str. 2 d. 1 p.).
• Socialinių paslaugų įstaiga. Lietuvos Respublikos socialinių paslaugų įstatymas (toliau – SPĮ) mini valstybės ir savivaldybių biudžetines socialinių paslaugų įstaigas ir viešąsias socialinių paslaugų įstaigas, kurių savininkė ar dalininkė, turinti daugiau negu pusę balsų, yra valstybė ar savivaldybė (SPĮ 22 str. 1 d.). Ar privati socialinių paslaugų įstaiga yra valdžios įstaiga, mūsų vertinimu, lemia tas pats ADTAĮ 2 str. 2 d. kriterijus: finansavimas iš biudžeto ir viešosios funkcijos. Jei įstaiga šio kriterijaus neatitinka, pareigūnas jai gali būti privalomas kitu pagrindu – kai jos pagrindinė veikla yra specialių kategorijų duomenų tvarkymas dideliu mastu (BDAR 37 str. 1 d. c p.). Sveikatos duomenų taisyklės (SPĮ 6 str. 2 d., BDAR 9 str. 1 d.) taikomos visoms socialinių paslaugų įstaigoms.

Biudžetinė įstaiga yra viešasis juridinis asmuo, išlaikomas iš valstybės ar savivaldybės biudžetų ir teikiantis viešąsias paslaugas arba atliekantis valstybės ar savivaldybių funkcijas (Lietuvos Respublikos biudžetinių įstaigų įstatymo (toliau – BĮĮ) 2 str. 1 d.). Mūsų vertinimu, tokia įstaiga yra valdžios įstaiga ir BDAR 37 str. 1 d. a p. prasme. Savivaldybės muziejus, veikiantis kaip viešoji įstaiga, viešąsias paslaugas teikia pagal įstatymą (MuzĮ 10 str. 2 d. 1 p.), o savivaldybės biudžeto lėšų jam gali būti skiriama (MuzĮ 6 str. 5 d.). Jei jis finansuojamas iš biudžeto, jis patenka į ADTAĮ 2 str. 2 d. apibrėžtį ir, mūsų vertinimu, yra valdžios įstaiga ir BDAR 37 str. 1 d. a p. prasme. Tai reikia patikrinti pagal konkrečios įstaigos finansavimą.

Pareigūnas privalomas, bet gali būti vienas kelioms įstaigoms

Valdžios institucija ar įstaiga paskiria duomenų apsaugos pareigūną nepriklausomai nuo dydžio ir nuo to, kokius duomenis tvarko (BDAR 37 str. 1 d. a p.). Išimtis taikoma tik teismams, kai jie vykdo teismines funkcijas. Kada pareigūnas privalomas kitoms organizacijoms, rašome straipsnyje Ar mūsų organizacijai privalomas duomenų apsaugos pareigūnas.

Mažai įstaigai svarbi BDAR 37 str. 3 d.: vienas pareigūnas gali būti skiriamas kelioms valdžios institucijoms ar įstaigoms, atsižvelgiant į jų organizacinę struktūrą ir dydį. Pareigūnas gali būti įstaigos darbuotojas arba dirbti pagal paslaugų sutartį (BDAR 37 str. 6 d.). Jei paslauga perkama, ką numatyti pirkimo sąlygose, aptarėme straipsnyje Duomenų apsaugos pareigūno paslaugos viešajame pirkime.

Paskyrus pareigūną, lieka dar keli reikalavimai:

• pareigūno kontaktinius duomenis reikia paskelbti ir pranešti priežiūros institucijai (BDAR 37 str. 7 d.), o ja Lietuvoje yra Valstybinė duomenų apsaugos inspekcija (toliau – VDAI) (ADTAĮ 7 str. 1 d.);
• jei pareigūnas atlieka ir kitas pareigas, įstaiga užtikrina, kad nekiltų interesų konfliktas (BDAR 38 str. 6 d.);
• pareigūnas stebi, kaip laikomasi reikalavimų, įskaitant darbuotojų informuotumo didinimą ir mokymą (BDAR 39 str. 1 d. b p.). Ar mokymai privalomi, rašome straipsnyje BDAR mokymai darbuotojams.

Kuo įstaiga gali grįsti duomenų tvarkymą

Įstaigai svarbiausi du BDAR pagrindai: teisinė prievolė (BDAR 6 str. 1 d. c p.) ir užduotis, vykdoma viešojo intereso labui arba vykdant pavestas viešosios valdžios funkcijas (BDAR 6 str. 1 d. e p.). Abu šie pagrindai turi būti nustatyti ES arba valstybės narės teisėje (BDAR 6 str. 3 d.). Teisėtas interesas netaikomas duomenų tvarkymui, kurį valdžios institucijos atlieka vykdydamos savo užduotis (BDAR 6 str. 1 d. paskutinė pastraipa). BDAR 47 konstatuojamoji dalis paaiškina kodėl: teisinį pagrindą valdžios institucijoms turi teisės aktu sukurti teisės aktų leidėjas.

Ką apie duomenis sako sektorių įstatymai:

• BibĮ vartotoju vadina asmenį, įstatymo ir naudojimosi biblioteka taisyklių nustatyta tvarka įgijusį teisę naudotis bibliotekos paslaugomis (BibĮ 2 str. 7 d.). Naudojimosi taisykles tvirtina bibliotekos valdymo organas (BibĮ 19 str. 2 d.). Vartotojų asmens duomenų tvarkymo BibĮ nereglamentuoja.
• MuzĮ lankytojų asmens duomenų tvarkymo nereglamentuoja. Jis mini tik statistinius duomenis apie muziejaus veiklą, teikiamus Kultūros ministerijai (MuzĮ 10 str. 2 d. 14 p.).
• BĮĮ paslaugų gavėjų duomenų tvarkymo nereglamentuoja.

Mūsų vertinimu, iš to išplaukia, kad bibliotekos ar muziejaus duomenų tvarkymas remiasi įstatyme pavestomis funkcijomis (BibĮ 10 str. 2 d., MuzĮ 10 str. 2 d. 1 p.), o tikslas turi būti būtinas toms funkcijoms atlikti (BDAR 6 str. 3 d.). Bibliotekai vartotojo tapatybė reikalinga ir tam, kad galėtų pareikalauti pakeisti prarastą dokumentą ar atlyginti žalą (BibĮ 19 str. 3 d.). Kiek ir kokių duomenų prašyti, įstaiga turi pagrįsti pati savo taisyklėse, nes įstatymas to neišvardija.

Socialinių paslaugų įstaiga: sveikatos duomenys

Socialinių paslaugų įstaigoje padėtis kitokia, nes čia įstatymas apie duomenis kalba tiesiogiai. Asmens duomenys socialinių paslaugų skyrimo, teikimo, apskaitos ir kitais išvardytais tikslais tvarkomi vadovaujantis ADTAĮ ir BDAR, o saugojimo terminus nustato SPĮ įgyvendinamieji teisės aktai (SPĮ 6 str. 1 d.). Socialinių paslaugų įstaigos šiais tikslais tvarko ir specialių kategorijų duomenis, susijusius su sveikatos būkle: diagnozuotas ligas, gydymą, medikamentus, neįgalumo ar dalyvumo lygį (SPĮ 6 str. 2 d.). SPĮ 6 straipsnio tekstas 2027-01-01 ir 2029-01-01 redakcijose nesikeičia.

BDAR sveikatos duomenų tvarkymą draudžia (BDAR 9 str. 1 d.), išskyrus išvardytas išimtis. Viena iš jų – kai tvarkyti duomenis būtina socialinės rūpybos paslaugoms teikti remiantis ES arba valstybės narės teise (BDAR 9 str. 2 d. h p.). Šiai išimčiai keliama sąlyga: duomenis tvarko arba už juos atsako specialistas ar kitas asmuo, kuriam taikoma pareiga saugoti paslaptį (BDAR 9 str. 3 d.). SPĮ žodžio „paslaptis“ nevartoja, tačiau įpareigoja socialinį darbuotoją profesinėje veikloje vadovautis Socialinių paslaugų srities darbuotojų etikos kodeksu (SPĮ 26 str. 8 d. 3 p.), kurį tvirtina socialinės apsaugos ir darbo ministras (SPĮ 28 str. 6 d.). Kodeksas visiems socialinių paslaugų srities darbuotojams nustato konfidencialumo pareigą: iš paslaugų gavėjų gauta informacija turi išlikti konfidenciali, o atskleisti ją galima tik kodekse nurodytais atvejais (Socialinių paslaugų srities darbuotojų etikos kodekso, patvirtinto socialinės apsaugos ir darbo ministro 2023 m. liepos 5 d. įsakymu Nr. A1-448, 6.7 p.). Mūsų vertinimu, tai yra BDAR 9 str. 3 d. nurodyta pareiga saugoti paslaptį pagal nacionalinių kompetentingų įstaigų nustatytas taisykles. Įstaiga turėtų ją įtvirtinti ir darbuotojų pareigybių aprašymuose ar įsipareigojimuose, ypač tų darbuotojų, kurie nėra socialiniai darbuotojai.

Iš to kyla dar dvi pareigos:

• Veiklos įrašai. Išimtis organizacijoms, kuriose dirba mažiau kaip 250 darbuotojų, netaikoma, kai tvarkomi specialių kategorijų duomenys (BDAR 30 str. 5 d.).
• Poveikio vertinimas. Jis privalomas, kai specialių kategorijų duomenys tvarkomi dideliu mastu (BDAR 35 str. 3 d. b p.). Ar mastas didelis, reikia įvertinti pagal konkrečią įstaigą. Be to, pagal VDAI sąrašą poveikio vertinimas privalomas, kai socialinės globos įstaigoje vykdomas vaizdo stebėjimas (BDAR 35 str. 4 d.; VDAI direktoriaus 2019 m. kovo 14 d. įsakymu Nr. 1T-35 (1.12.E) patvirtinto sąrašo 6.2 p.).

Kas gali nutikti

Valstybė narė gali nustatyti, ar ir kokiu mastu baudos skiriamos valdžios institucijoms ir įstaigoms (BDAR 83 str. 7 d.). Lietuvoje tai padaryta ADTAĮ 33 straipsnyje:

• už BDAR 83 straipsnio 4 dalies a–c punktų pažeidimus – iki pusės procento įstaigos einamųjų metų biudžeto ir kitų praėjusių metų pajamų, bet ne daugiau kaip trisdešimt tūkstančių eurų (ADTAĮ 33 str. 1 d.);
• už principų, žmonių teisių ir kitus BDAR 83 str. 5 d. a–e p. nurodytus pažeidimus, taip pat už priežiūros institucijos nurodymo nevykdymą (BDAR 83 str. 6 d.) – iki vieno procento, bet ne daugiau kaip šešiasdešimt tūkstančių eurų (ADTAĮ 33 str. 2 d.);
• jei įstaiga vykdo ūkinę komercinę veiklą, taikomos bendrosios BDAR baudų ribos (ADTAĮ 33 str. 3 d.).

Paskutinis punktas bibliotekai ir muziejui nėra teorinis. Kultūros ministerija tvirtina valstybės ar savivaldybių bibliotekų mokamų paslaugų sąrašą (BibĮ 4 str. 9 p.), o muziejų mokamų paslaugų sąrašą nustato muziejaus savininko teises ir pareigas įgyvendinanti ministerija arba savivaldybės taryba (MuzĮ 4 str. 1 d. 5 p., 2 d., 3 d. 2 p.). Muziejų lėšas sudaro ir biudžeto lėšos, įskaitant pajamas iš muziejų teikiamų paslaugų, prekių pardavimo ir patalpų nuomos (MuzĮ 6 str. 1 d. 1 p.). Ar mokama paslauga jau yra ūkinė komercinė veikla, šie įstatymai neatsako. Mūsų vertinimu, tai atviras klausimas, ir mažesnių baudų ribomis savaime remtis negalima. Plačiau – straipsnyje Kokios baudos gresia įstaigai už BDAR pažeidimą.

Bauda nėra vienintelė pasekmė. Priežiūros institucijos sprendimai po tyrimo ar skundo nagrinėjimo skelbiami viešai jos svetainėje (ADTAĮ 14¹ str. 1 d.). Kiekvienas asmuo, patyręs materialinę ar nematerialinę žalą dėl BDAR pažeidimo, turi teisę gauti kompensaciją (BDAR 82 str. 1 d.). Globos namų gyventojo sveikatos duomenų nutekėjimas gali tapti ir tokiu reikalavimu.

Kada kreiptis į teisininką

• kai įstaiga neturi paskirto pareigūno arba jo kontaktai nepaskelbti ir nepranešti VDAI;
• kai kelios savivaldybės įstaigos nori dalytis vienu pareigūnu ir reikia įvertinti jų struktūrą ir dydį;
• kai socialinių paslaugų įstaiga tvarko sveikatos duomenis, bet neturi veiklos įrašų ar poveikio vertinimo;
• kai įstaiga teikia mokamas paslaugas ir reikia įvertinti, kuri baudų riba jai taikoma;
• kai gautas VDAI paklausimas, žmogaus skundas ar įvyko duomenų saugumo pažeidimas.