Vilnius. Gegužės 25-ąją visoje Europos Sąjungoje, taigi ir Lietuvoje, bus pradėtas tiesiogiai taikyti Bendrasis duomenų apsaugos reglamentas (toliau – BDAR). Verslas privalės įgyvendinti reglamento reikalavimus, o už jo pažeidimus įmonėms grės didžiulės piniginės sankcijos.

Reglamentas bus taikomas visiems privačiame sektoriuje veikiantiems asmenims (įmonėms, individualia veikla užsiimantiems asmenims ir pan.), kurie savo veikloje tvarko asmens duomenis, taigi ir žemdirbiams.

Anot advokatų profesinės bendrijos TVINS vyriausiojo teisininko Tado Lukošiaus, asmens duomenų sąvoka yra labai talpi ir reiškia bet kokią informaciją apie fizinį asmenį, kurio tapatybė nustatyta arba kurio tapatybę galima nustatyti. Tad asmens duomenys apima ne vien fizinio asmens vardą, pavardę, asmens kodą, gimimo datą, adresą, banko sąskaitos numerį, bet ir šio asmens pomėgius, įsigytų prekių istoriją, nuosavybės teise valdomą turtą, naudojamo kompiuterio IP adresą ir gausybę kitų duomenų. Tvarkyti asmens duomenis reiškia atlikti su tais duomenimis bet kokią operaciją, pavyzdžiui, juos gauti, rinkti, sisteminti, naudoti, perduoti kitiems asmenims ar tiesiog saugoti asmens duomenis savo kompiuteryje.

„Iš esmės kiekvienas verslas įvairiausiomis formomis tvarko asmens duomenis, pavyzdžiui, duomenis, susijusius su savo darbuotojais bei kandidatais į laisvas darbo vietas, su esamais ar potencialiais klientais, įvairiais tiekėjais ar partneriais. Net ir tais atvejais, kai patalpų viduje ar išorėje saugumo tikslais įrengiamos vaizdo stebėjimo kameros, taip pat laikoma, jog verslas tvarko į šių vaizdo kamerų filmavimo lauką patekusių fizinių asmenų duomenis. Vadinasi, Reglamento nuostatos bus taikomos beveik kiekvienam Lietuvoje veikiančiam verslo subjektui, taigi ir agroverslui“, - pabrėžia T. Lukošius.

Net ir pavieniai ūkininkai, besiverčiantys individualia žemės ūkio veikla ir įregistravę ūkininko ūkį, vykdydami savo veiklą taip pat gali tvarkyti kitų fizinių asmenų duomenis, todėl privalės laikytis Reglamento reikalavimų.

Naujovių gausa

BDAR numato daug naujų pareigų asmens duomenis tvarkantiems verslo subjektams. Pirmiausia, įtvirtinamas principas, jog verslas turės pats savarankiškai užtikrinti tinkamas technines ir organizacines priemones asmens duomenų apsaugai.

Kitaip tariant, verslui bus mažinama administracinė našta (pavyzdžiui, nuo 2018 m. gegužės 25 d. verslui nereikės papildomai registruotis Valstybinės duomenų apsaugos inspekcijos prižiūrimame duomenų valdytojų registre), suteikiama daugiau laisvės nuspręsti, kokių konkrečių techninių ir organizacinių priemonių imtis tinkamai duomenų apsaugai.

Pasak T. Lukošiaus, verslas turės pats nuspręsti, kur saugoti tvarkomus skaitmenizuotus asmens duomenis (savo serveriuose ar išorinių paslaugų teikėjų serveriuose), šifruoti saugomus duomenis ar daryti šių duomenų atsargines kopijas ir pan. Kita vertus, minėtas principas yra labai neapibrėžtas – verslui, asmens duomenų apsaugos srityje neturinčiam pakankamai žinių, bus sunku įvertinti, ar pasirinktas sprendimas yra pakankamas.

Dažniausiai savo veikloje verslas tvarko asmens duomenis prieš tai gavęs fizinių asmenų sutikimus dėl tokio jų asmens duomenų tvarkymo. Pradėjus taikyti reglamentą, verslas prieš gaudamas tokį sutikimą privalės labai išsamiai informuoti atitinkamą fizinį asmenį. Mat fizinis asmuo turės būti informuojamas apie tai, kokiais tikslais jo duomenys tvarkomi, kokiu teisiniu pagrindu, kokias teises šis fizinis asmuo turi ir pan. Jei klientui fiziniam asmeniui iš anksto nepateikiama visa Reglamente numatyta informacija, bus laikoma, kad tokio kliento duotas sutikimas negalioja ir verslas tvarko šio kliento duomenis neteisėtai. Be to, įrodinėjimo našta dėl to, jog kiekvienu atveju sutikimas buvo gautas, tenka pačiam verslui kaip duomenų valdytojui.

Už pažeidimus griežta atsakomybė

Pradėjus taikyti BDAR, už jo pažeidimus verslui grės itin didelės administracinės baudos – maksimalus nustatytas šių baudų dydis siekia 20 mln. eurų arba iki 4 proc. ankstesnių finansinių metų bendros metinės pasaulinės apyvartos, priklausomai nuo to, kuri suma didesnė. Palyginimui, šiuo metu už asmens duomenų apsaugos pažeidimus Administracinių nusižengimų kodeksas įmonėms numato baudas iki 580 Eur, o įmonių vadovams – iki 1 200 Eur (už pakartotinį pažeidimą atitinkamai iki 1 150 ir iki 3 000 Eur). Taigi administracinių baudų ribos asmens duomenų apsaugos srityje jau netrukus išaugs itin reikšmingai.

Verslui, pažeidusiam reglamento nuostatas, taip pat grės ir civilinė atsakomybė. Patys fiziniai asmenys galės kreiptis į teismą ir dėl netinkamo jų asmens duomenų tvarkymo prisiteisti patirtą turtinę ir neturtinę žalą. Neabejojama, kad tūkstančiais kartų šioje srityje išaugusios maksimalios administracinės baudos ilgainiui taip pat kilstelės ir šiose civilinėse bylose fiziniams asmenims teismų priteisiamos neturtinės žalos dydžius.

Kaip ruoštis BDAR taikymui

T. Lukošius pabrėžia, kad pirmiausia agroverslui reikia atlikti individualų asmens duomenų apsaugos auditą: kokie ir kieno asmens duomenys yra tvarkomi, kokiais tikslais, kokiu teisiniu pagrindu, iš kur jie gaunami, kam teikiami ir pan. Būtina peržiūrėti visas agroverslo sutartis, vidines įmonės tvarkas, kitus dokumentus, net interneto svetainės ar naudojamos programinės įrangos turinį.

Inventorizavus kiekvieną asmens duomenų tvarkymo operaciją, įvertinama jos atitiktis Reglamento reikalavimams. Asmens duomenų tvarkymo auditas leidžia įsivertinti individualią įmonės situaciją bei nustatyti konkrečius atliktinus veiksmus (pavyzdžiui, ar agroverslui reikės paskirti duomenų apsaugos pareigūną, ar ne).

Kitas žingsnis – įgyvendinti per auditą parengtą individualų veiksmų planą. Teisiniu požiūriu beveik kiekvienas verslo subjektas mažų mažiausiai privalės parengti (arba koreguoti turimas) vidines asmens duomenų tvarkymo taisykles, vidinę informacinių ir komunikacinių technologijų naudojimo tvarką, koreguoti įvairiausias šablonines formas, interneto tinklapyje paviešinti išsamią privatumo politiką, papildyti sutartis su išoriniais paslaugų tiekėjais.

MŪ inf., shutterstock nuotr.