Nors Bendrojo duomenų apsaugos reglamento (BDAR) reikalavimai jau įsigalioję, nežinomųjų, susijusių su šia tema, nemažėja. Atvirkščiai, kuo labiau įmonės susiduria su praktika, tuo daugiau kyla papildomų klausimų. Tuo tikslu žinių centras augančiam verslui „bzn start“ gruodžio 8 d. rengia nuotolinius BDAR mokymus, skirtus augančiam verslui tiesiogiai iš „Workland” konferencijų salės. Viena iš pranešėjų, advokatų kontoros GLIMSTEDT teisininkė, žiniasklaidos teisės ekspertė Raminta Bučiūtė atkreipia dėmesį, kad neretai vis dar neteisingai interpretuojami kai kurie reikalavimai, o įmonės imasi tvarkyti asmens duomenis nė pačios aiškiai neišgryninusios, kokiu tikslu tai daro.

Pirmiausia – aiški duomenų tvarkymo paskirtis ir tikslas

R. Bučiūtė atkreipia dėmesį, kad pirmiausia kiekviena įmonė turi tiksliai žinoti, kokius duomenis tvarko ir ar tvarko asmens duomenis. Tai yra, ar tvarko duomenis, kurie tiesiogiai ar netiesiogiai leidžia identifikuoti konkretų asmenį.

„Jeigu įmonė turi darbuotojų ar klientų, ji neabejotinai tvarko asmens duomenis ir jai privaloma užtikrinti atitiktį Bendrojo duomenų apsaugos reglamento reikalavimams“, – komentuoja teisininkė.

Nustačius, kad yra tvarkomi asmens duomenys, antras žingsnis – aiškiai atsakyti į klausimą, kodėl jie tvarkomi (renkami, įrašomi, perduodami ar skelbiami). 

„Kitaip tariant, būtina nusistatyti, kokiu tikslu tvarkomi asmens duomenys. Pavyzdžiui, siekiant įvykdyti sutartį, užtikrinti turto ir asmenų apsaugą, vykdyti tiesioginę rinkodarą ar dėl kitų priežasčių. Na, o tuomet jau prasideda atitinkamų reikalavimų paisymas“, – sako R. Bučiūtė.

Duomenims tvarkyti sutikimas tinka ne visada

Pašnekovė paneigia neretai vis dar sklandantį mitą, kad BDAR asmens duomenis leidžia tvarkyti tik gavus asmens sutikimą: „BDAR numato net keletą pagrindų asmens duomenims tvarkyti. Pavyzdžiui, sutarties sudarymas ir vykdymas, teisinės prievolės vykdymas, teisėtas interesas. Dažnu atveju sutikimas yra netinkamas pagrindas tvarkyti asmens duomenims, pavyzdžiui, jeigu su klientu sudarote sutartį. Tai reiškia, kad jo asmens duomenis, esančius sutartyje ir būtinus įvykdyti sutarčiai, tvarkysite sutarties vykdymo pagrindu, bet ne sutikimo.“

Teisininkė internete pastebi atvejų, kai prašoma sutikimo, kad pateikti duomenys būtų naudojami vykdant užsakymą, t. y. vykdant sudarytą pirkimo–pardavimo sutartį: „Tokiu atveju jokiu būdu papildomai nereikia dar prašyti asmens sutikimo. Juk sutikimas bet kada gali būti atšauktas ir tuomet negalėsite įvykdyti sutarties.“ 

Tinkamą duomenų tvarkymą užtikrina nustatytų principų laikymasis

„Verta atkreipti dėmesį, kad bene svarbiausia yra įgyvendinti atskaitomybės principą, t. y. gebėti įrodyti, kad įmonė laikosi duomenų tvarkymo principų ir yra įgyvendinusi technines bei organizacines duomenų tvarkymo priemones. Dėl šio principo tapo itin svarbu turėti dokumentus, kitaip tariant, vidines tvarkas, reglamentuojančias duomenų tvarkymą įmonėje, bei jų laikytis“, – sako pašnekovė.

Taip pat BDAR reikalauja užtikrinti šių su asmens duomenų tvarkymu susijusių principų laikymąsi: tikslo apribojimo, duomenų kiekio mažinimo, duomenų tikslumo (aktualumo), saugojimo trukmės, duomenų vientisumo (angl. integrity) ir konfidencialumo bei sąžiningumo ir skaidrumo duomenų subjektų atžvilgiu. Pavyzdžiui, sąžiningumo ir skaidrumo principas yra įgyvendinamas duomenų subjektus, t. y. klientus ar darbuotojus, informuojant apie jų asmens duomenų tvarkymą bei užtikrinant jų teisių įgyvendinimą. Tarp tokių teisių gali būti galimybė atšaukti sutikimą, apriboti duomenų tvarkymą.

Dar daugiau naudingų patarimų, kaip tinkamai įgyvendinti verslams keliamus BDAR reikalavimus ir atitikti reglamente nustatytas normas, GLIMSTEDT teisininkė, žiniasklaidos teisės ekspertė R. Bučiūtė atskleis nuotolinių mokymų metu. Drauge su ja savo patarimais dalinsis kolegė, advokatų kontoros GLIMSTEDT advokatė, ekspertė Giedrė Rimkūnaitė-Manke.