GDPR_Pagrindai.txt

BENDRA DUOMENŲ APSAUGOS REGLAMENTAS (BDAR / GDPR)
Santrauka verslo naudotojams
Šaltinis: Europos Parlamento ir Tarybos reglamentas (ES) 2016/679

1. KAS YRA BDAR?

BDAR (Bendrasis duomenų apsaugos reglamentas) yra ES teisės aktas, galiojantis nuo 2018 m. gegužės 25 d. Jis nustato taisykles, kaip organizacijos turi tvarkyti fizinių asmenų asmens duomenis.

BDAR taikomas visoms organizacijoms, kurios:
- Vykdo veiklą ES valstybėse narėse
- Tvarko ES gyventojų asmens duomenis, net jei organizacija yra ne ES

2. PAGRINDINĖS SĄVOKOS

Asmens duomenys: bet kokia informacija, susijusi su identifikuotu arba identifikuojamu fiziniu asmeniu (pvz., vardas, el. paštas, IP adresas, buvimo vieta, sveikatos informacija).

Duomenų subjektas: fizinis asmuo, kurio duomenys tvarkomi.

Duomenų valdytojas: organizacija, kuri nustato duomenų tvarkymo tikslus ir priemones.

Duomenų tvarkytojas: organizacija, kuri tvarko duomenis duomenų valdytojo vardu.

Tvarkymas: bet kokia operacija su asmens duomenimis (rinkimas, saugojimas, naudojimas, perdavimas, ištrynimas).

3. ŠEŠI DUOMENŲ TVARKYMO PRINCIPAI

1. Teisėtumas, sąžiningumas ir skaidrumas: duomenys tvarkomi teisėtai ir skaidriai.
2. Tikslo apribojimas: duomenys renkami konkrečiais, aiškiai apibrėžtais tikslais.
3. Duomenų kiekio mažinimas: renkami tik būtini duomenys.
4. Tikslumas: duomenys turi būti tikslūs ir atnaujinti.
5. Saugojimo apribojimas: duomenys saugomi ne ilgiau nei būtina.
6. Vientisumas ir konfidencialumas: duomenys apsaugomi nuo neteisėto tvarkymo ir praradimo.

4. TEISĖTO TVARKYMO PAGRINDAI

Asmens duomenis galima tvarkyti tik esant bent vienam iš šių pagrindų:
- Sutikimas: asmuo aiškiai sutiko su konkrečiu tvarkymu
- Sutarties vykdymas: tvarkymas būtinas sutarčiai įvykdyti
- Teisinė prievolė: tvarkymas būtinas teisinei prievolei įvykdyti
- Gyvybiniai interesai: tvarkymas būtinas apsaugoti gyvybei
- Viešasis interesas: tvarkymas atliekamas viešojo intereso labui
- Teisėtas interesas: valdytojo ar trečiosios šalies teisėtas interesas

5. DUOMENŲ SUBJEKTŲ TEISĖS

Teisė į informaciją: sužinoti, kokie duomenys renkami ir kaip naudojami.

Teisė susipažinti: gauti duomenų kopiją ir informaciją apie jų tvarkymą.

Teisė ištaisyti: reikalauti ištaisyti netikslus duomenis.

Teisė ištrinti ("teisė būti pamirštam"): reikalauti ištrinti duomenis, kai:
- duomenys nebereikalingi tikslams, kuriems buvo renkami;
- asmuo atšaukia sutikimą;
- duomenys tvarkomi neteisėtai.

Teisė apriboti tvarkymą: laikinai apriboti duomenų tvarkymą.

Teisė į duomenų perkeliamumą: gauti duomenis struktūruotu, kompiuterio skaitomu formatu.

Teisė nesutikti: nesutikti su tvarkymu, pagrįstu teisėtu interesu arba tiesioginės rinkodaros tikslais.

6. DUOMENŲ APSAUGOS PAREIGŪNAS (DAP)

Organizacijos privalo paskirti DAP, jei:
- Yra valdžios institucija
- Vykdo didelio masto reguliarų ir sisteminį asmenų stebėjimą
- Didelio masto tvarko ypatingų kategorijų duomenis (sveikata, rasė, politinės pažiūros ir kt.)

7. DUOMENŲ SAUGUMO PAŽEIDIMAI

Saugumo pažeidimą reikia pranešti priežiūros institucijai per 72 valandas nuo jo nustatymo.

Jei pažeidimas kelia didelę riziką asmenų teisėms ir laisvėms – apie tai reikia informuoti ir pačius asmenis.

8. SANKCIJOS

Už BDAR pažeidimus gali būti skirtos baudos:
- Iki 10 mln. EUR arba 2% visos pasaulinės apyvartos – už mažesnius pažeidimus
- Iki 20 mln. EUR arba 4% visos pasaulinės apyvartos – už esminius pažeidimus

9. LIETUVOJE

Priežiūros institucija Lietuvoje: Valstybinė duomenų apsaugos inspekcija (VDAI), www.ada.lt

Organizacijos privalo registruoti duomenų tvarkymo veiklą vidiniame registre (Record of Processing Activities).

10. PRAKTINIAI VEIKSMAI VERSLUI

- Atlikti duomenų auditą: kokius duomenis renkate, kur saugote, kaip naudojate
- Atnaujinti privatumo politiką: aiški, suprantama, prieinama
- Peržiūrėti sutikimo formas: sutikimas turi būti savanoriškas, konkretus, informuotas
- Paskirti atsakingą asmenį už duomenų apsaugą
- Parengti pažeidimų valdymo procedūrą
- Apmokyti darbuotojus