PATVIRTINTA

Respublikinio priklausomybės ligų centro

direktoriaus 2024 m. vasario 8 d.

įsakymu Nr. 1.3- ­­­­15 (1.2)

RESPUBLIKINIO PRIKLAUSOMYBĖS LIGŲ CENTRO

DUOMENŲ SUBJEKTŲ TEISIŲ ĮGYVENDINIMO TVARKA

1. BENDROSIOS NUOSTATOS
   • Duomenų subjektų teisių įgyvendinimo Respublikinio priklausomybės ligų centro (toliau – Centras), tvarkos (toliau – Tvarka) tikslas – nustatyti duomenų subjektų teisių įgyvendinimo Centre tvarką principą.
   • Įgyvendinant duomenų subjekto teises vadovaujamasi 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamentu (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas) (toliau – BDAR), Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymu, Lietuvos Respublikos pacientų teisių ir žalos sveikatai atlyginimo įstatymu, Europos duomenų apsaugos valdybos gairėmis, Valstybinės duomenų apsaugos inspekcijos gairėmis, rekomendacijomis ir metodine informacija bei atsižvelgiama į Europos Sąjungos teismų bei Lietuvos Respublikos teismų formuojamą teisminę praktiką.
   • Tvarkoje vartojamos sąvokos atitinka BDAR vartojamas sąvokas.
   • Taisyklės parengtos vadovaujantis BDAR, Lietuvos Respublikos pacientų teisių ir žalos sveikatai atlyginimo įstatymu.
2. DUOMENŲ SUBJEKTO TEISĖS
   • Duomenų subjektas turi teisę:
     • žinoti (būti informuotas) apie savo asmens duomenų tvarkymą;
     • susipažinti su savo asmens duomenimis ir kaip jie yra tvarkomi;
     • reikalauti ištaisyti neteisingus, netikslius savo asmens duomenis;
     • prieštarauti (nesutikti), kad būtų tvarkomi jo asmens duomenys;
     • reikalauti ištrinti asmens duomenis (teisė būti pamirštam);
     • perkelti asmens duomenis;
     • jam nebūtų taikomas tik automatizuotu duomenų tvarkymu, įskaitant profiliavimą, grindžiamas sprendimas, dėl kurio jam kyla teisinės pasekmės arba kuris jam panašiu būdu daro didelį poveikį (kuris gali pakenkti asmens interesams);
     • apriboti duomenų tvarkymą;
     • būti informuotam apie asmens duomenų saugumo pažeidimą;
     • atšaukti sutikimą.

3. TEISĖ GAUTI INFORMACIJĄ APIE DUOMENŲ TVARKYMĄ
   • Informacija apie Centro atliekamą duomenų subjekto asmens duomenų tvarkymą, nurodyta BDAR 13 ir 14 straipsniuose, pateikiama raštu Tvarkos 3.2. arba 3.3. p. nurodytais terminais, Centro interneto svetainėje rplc.lt skelbiamoje Privatumo politikoje, privatumo pranešimais.
   • Kai duomenų subjekto asmens duomenys renkami tiesiogiai iš duomenų subjekto, informacija apie duomenų subjektų asmens duomenų tvarkymą pateikiama asmens duomenų gavimo metu.
   • Kai duomenų subjekto asmens duomenys renkami ne tiesiogiai iš duomenų subjekto, apie šio duomenų subjekto asmens duomenų tvarkymą informuojama:
     • per pagrįstą laikotarpį nuo asmens duomenų gavimo, bet ne vėliau kaip per 1 (vieną) mėnesį, atsižvelgiant į konkrečias asmens duomenų tvarkymo aplinkybes;
     • jeigu asmens duomenys bus naudojami ryšiams su duomenų subjektu palaikyti – ne vėliau kaip pirmą kartą susisiekiant su tuo duomenų subjektu; arba
     • jeigu numatoma asmens duomenis atskleisti kitam duomenų gavėjui – ne vėliau kaip atskleidžiant duomenis pirmą kartą.
   • Galima paprašyti duomenų subjekto patvirtinti jo informavimo faktą aktyviu veiksmu, tačiau negalima prašyti su pateikiama informacija sutikti.
   • Asmuo, paskirtas Centro vadovo atsakingu už duomenų apsaugą Centre (toliau – Saugumo pareigūnas) yra atsakingas už informavimo formų parengimą ir tinkamą informavimo procedūrų užtikrinimą. Rengdamas informavimo formas Saugumo pareigūnas konsultuojasi su Centro duomenų apsaugos pareigūnu. Struktūrinių Centro skyrių vadovai (toliau – Skyrių vadovai) pagal poreikį, kai tai susiję su jų padalinio veikla, inicijuoja naujų informavimo formų rengimą, kreipdamiesi į Saugumo pareigūną.
4. TEISĖ SUSIPAŽINTI SU DUOMENIMIS
   • Duomenų subjektui turi būti suteikiama teisė susipažinti su apie jį surinktais asmens duomenimis ir galimybė šia teise lengvai ir pagrįstais laiko tarpais pasinaudoti, kad duomenų subjektas žinotų apie asmens duomenų tvarkymą ir galėtų patikrinti jo teisėtumą. Kiekvienas duomenų subjektas turi teisę žinoti ir būti informuotas, visų pirma, apie tai, kokiais tikslais asmens duomenys tvarkomi ir, jei įmanoma, – kokiu laikotarpiu jie tvarkomi, kas yra duomenų gavėjai.
   • Duomenų subjektui išreiškus valią supažindinti jį su tvarkomais jo asmens duomenimis, jam pateikiama jo prašoma informacija, atsižvelgiant į BDAR 15 straipsnyje numatytas nuostatas.
   • Centras, esant duomenų subjekto prašymui įgyvendinti teisę susipažinti su savo asmens duomenimis, nedetalizuojant, kokią informaciją konkrečiai pageidauja gauti, turi pateikti:
     • informaciją, ar duomenų subjekto asmens duomenys tvarkomi, ar ne;
     • su asmens duomenų tvarkymu susijusią informaciją, numatytą BDAR 15 straipsnio 1 ir 2 dalyse, jeigu duomenų subjekto asmens duomenys tvarkomi;
     • tvarkomų asmens duomenų kopiją.
   • Duomenų subjektas turi teisę prašyti, kad jam būtų pateikta tvarkomų asmens duomenų kopija ir kita forma, nei Centras pateikia, tačiau už tai imamas mokestis, apskaičiuotas pagal administracines išlaidas.
   • Teikiant asmens duomenų kopiją yra užtikrinama, kad nebūtų daromas neigiamas poveikis trečiųjų asmenų teisėms ir laisvėms, pavyzdžiui, asmeniui, pageidaujančiam susipažinti su savo vaizdo duomenimis, teikiant vaizdo įrašą, Centro darbuotojas, ruošiantis asmens duomenų kopiją susipažinimui, jei vaizdo įraše matyti kiti asmenys, kurių tapatybė gali būti tiesiogiai ar netiesiogiai nustatyta, ar kita informacija, kuri gali pažeisti trečiųjų asmenų privatumą (pvz., automobilio valstybinis numeris, kiti vaizdo įraše esantys asmenys), šie vaizdai turi būti retušuoti ar kitais būdais panaikinama galimybė identifikuoti trečiuosius asmenis.
   • Duomenų subjekto teisė gauti asmens duomenų kopiją neįpareigoja Centro šią teisę įgyvendinti pateikiant dokumentus, kuriuose asmens duomenys tvarkomi. Pavyzdžiui, asmuo remdamasis turima teise susipažinti su savo asmens duomenimis, negali Centro reikalauti pateikti jam su juo pasirašytų sutarčių pilnas kopijas. Nepaisant to, Centras gali savo nuožiūra nuspręsti būtent tokiu būdu įgyvendinti minėtą asmens teisę, atsižvelgiant į kiekvieno individualaus atvejo aplinkybes.
   • Kai duomenų subjektas – pacientas, įgyvendinant jo teisę susipažinti su savo asmens duomenimis, atsižvelgiama į Pacientų teisių ir žalos sveikatai atlyginimo įstatymo 7 straipsnio 1 dalies nuostatą, numatančią, kad  medicinos dokumentai pacientui neteikiami, kai tai iš esmės gali pakenkti paciento sveikatai ar net sukelti pavojų jo gyvybei. Tokiais atvejais įvertinama, ar apie informacijos teikimo ribojimus yra pažymėta paciento medicinos dokumentuose gydančio gydytojo.
5. TEISĖ REIKALAUTI IŠTAISYTI DUOMENIS
   • Duomenų subjektas, vadovaudamasis BDAR 16 straipsniu, turi teisę reikalauti, kad bet kokie jo tvarkomi netikslūs asmens duomenys būtų ištaisyti, o neišsamūs papildyti.
   • Siekiant įsitikinti, kad tvarkomi duomenų subjekto asmens duomenys yra netikslūs ar neišsamūs, Centras gali duomenų subjekto paprašyti pateikti tai patvirtinančius įrodymus.
   • Kai asmens duomenis ištaisyti prašo duomenų subjektas, kuris yra pacientas, ir jo reikalavimas yra pagrįstas, sveikatos priežiūros specialistas vadovaujantis Pacientų teisių ir žalos sveikatai atlyginimo įstatymu privalo ištaisyti, užbaigti, panaikinti, paaiškinti ir (ar) pakeisti netikslius, neišsamius, dviprasmiškus duomenis arba duomenis, nesusijusius su diagnoze, gydymu ar slauga. Sveikatos priežiūros specialisto ir paciento ginčą dėl įrašų jo medicinos dokumentuose ištaisymo, papildymo, užbaigimo, panaikinimo ir (ar) pakeitimo sprendžia Centro vadovas.
   • Jeigu duomenų subjekto asmens duomenys (ištaisyti pagal duomenų subjekto prašymą) buvo perduoti duomenų gavėjams, Centras šiuos duomenų gavėjus apie tai informuoja, nebent tai būtų neįmanoma ar pareikalautų neproporcingų pastangų. Duomenų subjektas turi teisę prašyti, kad jam būtų pateikta informacija apie tokius duomenų gavėjus.
6. TEISĖ REIKALAUTI IŠTRINTI DUOMENIS („TEISĖ BŪTI PAMIRŠTAM“)
   • Duomenų subjekto teisė ištrinti jo asmens duomenis („teisė būti pamirštam“) įgyvendinama BDAR 17 straipsnyje numatytais atvejais:
     • asmens duomenys nebėra reikalingi, kad būtų pasiekti tikslai, kuriais jie buvo renkami arba kitaip tvarkomi. Pavyzdžiui, šiuo pagrindu duomenų subjektas gali paprašyti ištrinti asmens duomenis, kurie saugomi vykdant teisinę prievolę, ilgiau negu teisės aktuose nustatytas terminas, buvęs darbuotojas gali paprašyti ištrinti internete skelbiamus jo kontaktinius duomenis, nuotraukas ir pan.);
     • duomenų subjektas atšaukia sutikimą, kuriuo grindžiamas duomenų tvarkymas, pavyzdžiui, asmuo gali pareikalauti ištrinti jį iš Centro naujienlaiškių prenumeratorių sąrašo;
     • duomenų subjektas pasinaudojo savo teise pagal BDAR 21 straipsnio 1 ir 2 dalis nesutikti, kad jo asmens duomenys būtų tvarkomi. Duomenų subjektui išreiškus nesutikimą vadovaujantis BDAR 21 straipsnio 1 dalimi, duomenys ištrinami, jeigu nėra viršesnių teisėtų Centro interesų, pavyzdžiui, intereso apginti savo teises pareiškiant ieškinį teisme. Duomenų subjektui nesutikimą išreiškus remiantis minėto straipsnio 2 dalimi, asmens duomenys ištrinami besąlygiškai, pavyzdžiui, tiesioginės rinkodaros (naujienlaiškių siuntimo) atveju;
     • asmens duomenys buvo tvarkomi neteisėtai, pavyzdžiui, nustačius, kad Centras negali pagrįsti duomenų subjekto asmens duomenų tvarkymo nė vienu BDAR 6 straipsnio 1 dalyje ir (ar) 9 straipsnio 2 dalyje nustatytu teisiniu pagrindu ar, kad toks tvarkymas prieštarauja kitiems asmens duomenų tvarkymo principams, bendrai teisės principams, pavyzdžiui, asmens duomenų tvarkymas yra diskriminacinio pobūdžio;
     • asmens duomenys turi būti ištrinti laikantis teisinės prievolės, pavyzdžiui, pasibaigus saugojimo terminams, nustatytiems Europos Sąjungos ar nacionalinės teisės aktuose;
     • asmens duomenys buvo surinkti teikiant informacinės visuomenės paslaugas asmeniui, jaunesniam kaip 14 metų, pavyzdžiui, paprašius ištrinti asmens duomenis, gautus užsiprenumeravus naujienlaiškį jaunesniam kaip 14 metų asmeniui.
   • Duomenų subjektas prašyme dėl jo teisės reikalauti ištrinti asmens duomenis („teisės būti pamirštam“) gali remtis daugiau nei vienu pagrindu. Jeigu duomenų subjektas nenurodo, kokiu pagrindu prašo įgyvendinti minėtą teisę ir iš prašymo turinio nėra aišku, siekiant tinkamai atsižvelgti į duomenų subjekto interesus, Centro duomenų apsaugos pareigūnas paprašo duomenų subjekto patikslinti prašymą.
   • Centras gali neįgyvendinti duomenų subjekto teisės reikalauti ištrinti asmens duomenis („teisė būti pamirštam“) šiais BDAR 17 straipsnio 3 dalyje numatytais atvejais:
     • siekiant pasinaudoti teise į saviraiškos ir informacijos laisvę;
     • siekiant laikytis Europos Sąjungos ar Lietuvos Respublikos teisės aktu, kuris taikomas Centrui, nustatytos teisinės prievolės, kuria reikalaujama tvarkyti asmens duomenis, arba siekiant atlikti užduotį, vykdomą viešojo intereso labui;
     • archyvavimo tikslais viešojo intereso labui;
     • siekiant pareikšti, vykdyti arba apginti teisinius reikalavimus.
   • Vertinimą, ar duomenų subjekto prašymas ištrinti asmens duomenis gali būti tenkinamas, atlieka Saugumo pareigūnas, konsultuodamasis su Centro duomenų apsaugos pareigūnu. Siekiant užtikrinti, kad duomenų subjekto teisės ištrinti asmens duomenis įgyvendinimu nebūtų pažeisti Centro interesai ar trečiųjų asmenų interesai, vertinimo metu Saugumo pareigūnas kreipiasi į Skyrių vadovus, prašydamas pateikti informaciją, ar nėra priežasčių nustatytų šioje Tvarkoje, dėl kurių prašymas gali būti netenkinamas.
   • Įgyvendinant teisę ištrinti asmens duomenis, užtikrinama, kad asmens duomenys būtų ištrinti iš visų Centro tiek popierinių, tiek kitokio pobūdžio laikmenų negrįžtamai, taip pat ir iš atsarginių kopijų, elektroninio pašto:
     • siekiant užtikrinti, kad duomenų subjekto teisė ištrinti asmens duomenis nebūtų pažeista, užtikrinama, kad atsarginės kopijos duomenys nebūtų naudojami jokiam kitam tikslui, kol nebus pakeista pagal nustatytą grafiką;
     • siekiant užtikrinti, kad asmens duomenys būtų sunaikinti ir Centro darbuotojų elektroninio pašto dėžutėse, Saugumo pareigūnas, informuoja Centro darbuotojus apie pareigą ištrinti jo nurodytus duomenų subjekto asmens duomenis ir gauna jų patvirtinimą.
   • Už asmens duomenų ištrynimą Centro duomenų bazėse yra atsakingi Centro darbuotojai, kuriems tokia teisė yra suteikta pagal Centras prieigų valdymo tvarką. Už asmens duomenų ištrynimą popierinėse laikmenose yra atsakingi už Centro dokumentacijos valdymą atsakingi darbuotojai. Už asmens duomenų ištrynimą pacientų medicinos dokumentuose yra atsakingi sveikatos priežiūros specialistai. Už nurodytų duomenų subjektų asmens duomenų ištrynimą Centro darbuotojų elektroninio pašto dėžutėse yra atsakingi darbuotojai. Kokie duomenų subjekto asmens duomenys turi būti ištrinti, atsakingus asmenis informuoja Saugumo pareigūnas. Atsakymas duomenų subjektui pateikiamas tik gavus patvirtinimą iš atsakingų Centro darbuotojų, kad Saugumo pareigūno nurodyti asmens duomenys yra ištrinti.
   • Jeigu duomenų subjekto asmens duomenys (ištrinti pagal duomenų subjekto prašymą) buvo perduoti duomenų gavėjams, Centras šiuos duomenų gavėjus apie tai informuoja, nebent tai būtų neįmanoma ar pareikalautų neproporcingų pastangų (pavyzdžiui, asmens duomenys yra labai seni, itin didelis duomenų gavėjų skaičius). Duomenų subjektas turi teisę prašyti, kad jam būtų pateikta informacija apie tokius duomenų gavėjus.
7. TEISĖ APRIBOTI DUOMENŲ TVARKYMĄ
   • BDAR 18 straipsnio 1 dalyje numatytais atvejais Centras privalo įgyvendinti duomenų subjekto teisę apriboti jo asmens duomenų tvarkymą, t. y. kai:.
     • ginčijamas duomenų tikslumas (duomenų tvarkymas apribojamas tokį laikotarpį, kurį duomenų tvarkymas yra tikrinamas) ar prieštaraujama duomenų tvarkymui (duomenų tvarkymas apribojamas tokį laikotarpį, kol bus patikrinta, ar Centro teisėtos priežastys yra viršesnės už duomenų subjekto priežastis);
     • asmens duomenų tvarkymas yra neteisėtas ir asmuo nesutinka, kad asmens duomenys būtų ištrinti, ir vietoj to prašo apriboti jų naudojimą;
     • Centrui nebereikia asmens duomenų numatytais tvarkymo tikslais, tačiau jų reikia asmeniui siekiant pareikšti, vykdyti arba apginti teisinius reikalavimus.
   • Asmens duomenys, kurių tvarkymas apribotas, yra saugomi, o prieš tokio apribojimo panaikinimą duomenų subjektas yra informuojamas.
   • Jeigu duomenų subjekto asmens duomenys (kurių tvarkymas apribotas pagal duomenų subjekto prašymą) buvo perduoti duomenų gavėjams, Centras šiuos duomenų gavėjus apie tai informuoja, nebent tai būtų neįmanoma ar pareikalautų neproporcingų pastangų. Duomenų subjektas turi teisę prašyti, kad jam būtų pateikta informacija apie tokius duomenų gavėjus.
8. TEISĖ Į DUOMENŲ PERKELIAMUMĄ
   • Naudodamasis savo teise į asmens duomenų perkeliamumą, duomenų subjektas turi teisę, kad Įstaiga asmens duomenis tiesiogiai persiųstų kitam duomenų valdytojui, kai tai techniškai įmanoma.
   • Duomenų subjektas turi teisę gauti su juo susijusius asmens duomenis, kuriuos jis pateikė Centrui susistemintu, įprastai naudojamu ir kompiuterio skaitomu formatu, ir turi teisę persiųsti tuos duomenis kitam duomenų valdytojui, o duomenų valdytojas, kuriam asmens duomenys buvo pateikti, turi nesudaryti tam kliūčių, kai:
     • duomenų tvarkymas yra grindžiamas sutikimu arba sutartimi;
     • duomenys yra tvarkomi automatizuotomis priemonėmis.
   • Duomenų subjektas teisės į duomenų perkeliamumą neturi tų asmens duomenų atžvilgiu, kurie tvarkomi neautomatiniu būdu susistemintose rinkmenose, pavyzdžiui, popierinėse bylose.
   • Asmens duomenys gali būti pateikiami internetu arba įrašyti į CD, DVD ar kitą duomenų laikmeną. Centras asmens duomenis gali pateikti naudojant atvirus formatus, tokius kaip XML, JSON, CSV, kartu su atitinkamais metaduomenimis.
   • Jeigu perkeliamuose asmens duomenyse yra trečiųjų asmenų duomenų, siekiant išvengti neigiamo poveikio jų interesams, Centras asmens duomenis perkelti gali tik tada, kai jie yra kontroliuojami išimtinai duomenų subjekto, kurio prašymas vykdomas, ir tik dėl asmeninių ar namų ūkio poreikių.
   • Duomenų subjektas, kreipdamasis dėl teisės į duomenų perkeliamumą, turi nurodyti, ar pageidauja, kad jo asmens duomenys būtų persiųsti jam ar kitam duomenų valdytojui.
   • Vykdant duomenų subjekto prašymą perkeliami tik su duomenų subjektu susiję bei jo duomenų valdytojui pateikti duomenys ir tik tie, kuriuos tvarko Centras. Į šios teisės sritį nepatenka asmens duomenys, gauti jau apdorojus, išanalizavus tiesiogiai duomenų subjekto pateiktą informaciją bei fiksuotus duomenis.
   • Savo teise į asmens duomenų perkeliamumą duomenų subjektas turi teisę naudotis nedarydamas poveikio jokiai kitai teisei (tai galioja ir bet kurioms kitoms BDAR numatytoms teisėms). Duomenų subjektas gali ir toliau naudotis Centro teikiamomis paslaugomis ir pasinaudoti jos teikiamais pranašumais net ir po asmens duomenų perkėlimo operacijos.
   • Pagal duomenų subjekto prašymą perkelti jo asmens duomenys nėra automatiškai ištrinami. Jeigu duomenų subjektas to pageidauja, turi kreiptis į Centrą dėl teisės reikalauti ištrinti duomenis („teisės būti pamirštam“) įgyvendinimo.
9. TEISĖ PRIEŠTARAUTI (NESUTIKTI) DUOMENŲ TVARKYMUI
   • Duomenų subjektas, vadovaudamasis BDAR 21 straipsniu, turi teisę dėl su juo konkrečiu atveju susijusių priežasčių bet kuriuo metu nesutikti, kad Centras tvarkytų jo asmens duomenis:
     • kai asmens duomenys tvarkomi tiesioginės rinkodaros tikslais; tiesiogine rinkodara laikoma veikla, kuri skirta tiesioginiu būdu siūlyti asmenims prekes ar paslaugas ir / arba teirautis jų nuomonės dėl siūlomų prekių ar paslaugų;
     • kai tvarkyti asmens duomenis būtina siekiant teisėtų Centro ar trečiosios šalies interesų.
   • Apie teisę prieštarauti (nesutikti) duomenų subjektas informuojamas ne vėliau kaip pirmą kartą susisiekiant su juo, ir ši informacija pateikiama aiškiai ir atskirai nuo kitos informacijos.
   • Tiesioginės rinkodaros atveju, duomenų subjekto teisė prieštarauti tokiam asmens duomenų tvarkymui sudaroma duomenų rinkimo metu.
   • Perduodant asmens duomenis trečiosios šalies teisėto intereso pagrindu, duomenų subjekto teisė prieštarauti tokiam tvarkymui įgyvendinama prieš atskleidžiant asmens duomenis, nustatant terminą per kurį duomenų subjektas turi teisę tokį prieštaravimą išreikšti. Negavus duomenų subjekto prieštaravimo, laikoma, kad duomenų subjektas asmens duomenų tvarkymui teisėto intereso pagrindu neprieštarauja.
   • Duomenų subjektui paprieštaravus (išreiškus nesutikimą) su asmens duomenų tvarkymu, toks tvarkymas atliekamas tik tuo atveju, jeigu motyvuotai raštu nusprendžiama, kad priežastys, dėl kurių atliekamas asmens duomenų tvarkymas, yra viršesnės už duomenų subjekto interesus, teises ir laisves, arba jeigu asmens duomenys yra reikalingi pareikšti, vykdyti ar apginti teisinius reikalavimus. Tokį vertinimą atlieka Saugumo pareigūnas, konsultuodamasis su Centro duomenų apsaugos pareigūnu.
10. TEISĖ REIKALAUTI, KAD NEBŪTŲ TAIKOMAS TIK AUTOMATIZUOTU DUOMENŲ TVARKYMU, ĮSKAITANT PROFILIAVIMĄ, GRINDŽIAMAS SPRENDIMAS
    • Centras nepriima tik automatizuotu duomenų tvarkymu grindžiamų sprendimų, dėl to atliekamam duomenų tvarkymui netaikytina ši teisė.
    • Centro veikloje atsiradus automatizuotu duomenų tvarkymu grindžiamiems sprendimams, turi būti laikomasi šių principų:
      • duomenų subjektas, vadovaudamasis BDAR 22 straipsniu, turi teisę reikalauti, kad jo atžvilgiu nebūtų taikomas tik automatizuotu duomenų tvarkymu grindžiamas sprendimas ir toks sprendimas būtų peržiūrėtas jei dėl to duomenų subjektui kyla teisinės pasekmes arba panašiu būdu daro didelį poveikį duomenų subjektui;
      • duomenų subjekto teisė reikalauti, kad nebūtų taikomas tik automatizuotas duomenų tvarkymas, ribojama BDAR 22 straipsnio 2 dalyje numatytais atvejais;
      • duomenų subjektui kreipusis dėl automatizuotu duomenų tvarkymu grindžiamo sprendimo peržiūros, Centras, turi atlikti išsamų visų svarbių duomenų, įskaitant ir duomenų subjekto pateiktos informacijos, vertinimą. Tokį vertinimą atlieka Saugumo pareigūnas, konsultuodamasis su Centro duomenų apsaugos pareigūnu.

11. TEISĖ BŪTI INFORMUOTAM APIE ASMENS DUOMENŲ SAUGUMO PAŽEIDIMĄ
    • Duomenų subjektas turi teisę būti informuotas Centro iniciatyva apie asmens duomenų saugumo pažeidimą, kai dėl asmens duomenų saugumo pažeidimo kyla didelis pavojus jo teisėms ir laisvėms Centro reagavimo į asmens duomenų saugumo pažeidimus apraše nustatyta tvarka.
    • Duomenų subjektas jo prašymu turi teisę gauti informaciją apie bet kurį Centre įvykusį jo asmens duomenų saugumo pažeidimą, net ir tuo atveju, kai toks pažeidimas nekelia jokio pavojaus jos asmens teisėms ir laisvėms. Pastaruoju, atveju siekiant skaidrumo, Centras duomenų subjektui pateikia šią informaciją:
      • asmens duomenų saugumo pažeidimo pobūdis;
      • ar asmens duomenų saugumo pažeidimo kelia pavojų duomenų subjekto teisėms ir laisvėms ar ne, jei kelia, paaiškina, kuo pavojus pasireiškia, kokios tikėtinos pasekmės;
      • nurodo, ar duomenų subjektas pats gali imtis kokių nors veiksmų asmens duomenų saugumo pažeidimo pasekmėms sumažinti, jei tokios pasekmės yra tikėtinos;
      • nurodo, kokių veiksmų ėmėsi pats Centras siekdamas, kad asmens duomenų saugumo pažeidimas būtų pašalintas ir (ar) pasekmės duomenų subjektui būtų sumažintos.

12. TEISĖ ATŠAUKTI SUTIKIMĄ
    • Duomenų subjektas turi teisę bet kuriuo metu atšaukti savo sutikimą, apie kurią informuojamas prieš jam duodant sutikimą.
    • Centras užtikrina, kad sutikimą duomenų subjektas atšauktų lygiai taip pačiai, kaip kad jis buvo duotas. Pavyzdžiui, kai sutikimas duodamas elektroninėmis priemonėmis tik vienu pelės klavišo spustelėjimu, perbraukimu ar klaviatūros klavišo paspaudimu, duomenų subjektai turi turėti galimybę taip pat lengvai tą sutikimą atšaukti. Kai sutikimas duodamas naudojantis konkrečios paslaugos naudotojo sąsaja (pavyzdžiui, per interneto svetainę ar el. paštu), duomenų subjektui turi būti užtikrinama galimybė atšaukti sutikimą naudojantis ta pačia elektronine sąsaja.
    • Duomenų subjekto teisė atšaukti sutikimą įgyvendinama nemokamai ir neprastinant teikiamų paslaugų lygio.
    • Centras ištrina asmens duomenis, kurie buvo tvarkomi remiantis sutikimu, kai tas sutikimas atšaukiamas, jei nėra kito tikslo ir teisinio pagrindo, kuriuo būtų pagrįstas tolesnis asmens duomenų tvarkymas.
    • Už duomenų subjekto teisės atšaukti sutikimą įgyvendinimą, kai tokia teisė nėra įgyvendinama Centro techniniais sprendimais, pavyzdžiui, kai sutikimas buvo duotas raštu, yra atsakingi Skyrių, kurie atlieka sutikimu grindžiamą asmens duomenų tvarkymą, vadovai. Apie pareigą įgyvendinti minėtą duomenų subjekto teisę juos informuoja Saugumo pareigūnas, pasikonsultavęs su Centro duomenų apsaugos pareigūnu.
13. PRAŠYMO ĮGYVENDINTI DUOMENŲ SUBJEKTO TEISES PATEIKIMAS
    • Kreiptis dėl duomenų subjekto teisių įgyvendinimo duomenų subjektas turi teisę raštu, pateikiant prašymą asmeniškai, paštu ar elektroninėmis priemonėmis Centras duomenų apsaugos pareigūnui el. paštu asmens.duomenu.apsauga@rplc.lt arba Centro veiklos adresu Gerosios Vilties 3, Vilnius.
    • Siekiant užtikrinti BDAR 38 straipsnio 5 dalyje įtvirtintą konfidencialumą, kreipiantis į duomenų apsaugos pareigūną paštu, ant voko užrašoma, kad korespondencija skirta duomenų apsaugos pareigūnui.
    • Prašymas įgyvendinti duomenų subjekto teises turi būti įskaitomas, asmens pasirašytas, jame turi būti nurodyti duomenų subjekto vardas, pavardė, adresas ir (ar) kiti kontaktiniai duomenys ryšiui palaikyti ar kuriais pageidaujama gauti atsakymą dėl duomenų subjekto teisių įgyvendinimo.
    • Jeigu dėl duomenų subjekto teisių įgyvendinimo prašymas pateiktas raštu asmeniškai, duomenų subjektas turi patvirtinti savo tapatybę pateikdamas asmens tapatybę patvirtinantį dokumentą. To nepadarius, duomenų subjekto teisės nėra įgyvendinamos. Ši nuostata netaikoma, jeigu duomenų subjektas kreipiasi dėl informavimo apie asmens duomenų tvarkymą pagal BDAR 13 ir 14 straipsnius.
    • Jeigu dėl duomenų subjekto teisių įgyvendinimo kreipiamasi raštu, pateikiant prašymą paštu, kartu turi būti pateikta teisės aktų nustatyta tvarka patvirtinta asmens tapatybės dokumento kopija. Ši nuostata netaikoma, jeigu duomenų subjektas kreipiasi dėl informavimo apie asmens duomenų tvarkymą pagal BDAR 13 ir 14 straipsnius.
    • Savo teises duomenų subjektas gali įgyvendinti pats arba per atstovą. Jei prašymas įteikiamas per atstovą – atsižvelgiant į prašymo pateikimo būdą, be aukščiau nurodytų dokumentų, atstovas turi nurodyti savo vardą, pavardę, adresą ir (ar) kitus kontaktinius duomenis ryšiui palaikyti, kuriais asmens atstovas pageidauja gauti atsakymą ir pateikti atstovavimą patvirtinantį dokumentą (ar teisės aktų nustatyta tvarka patvirtintą įgaliojimo kopiją).
    • Esant abejonių dėl duomenų subjekto tapatybės, Centras prašo papildomos informacijos, reikalingos ja įsitikinti. Centras turi dėti protingas pastangas nustatyti prašymą susipažinti su asmens duomenimis pateikusio asmens tapatybę, kadangi gali būti taikomos sankcijos už neteisėtą asmens duomenų atskleidimą tretiesiems asmenimis.
    • Kreipiantis raštu dėl duomenų subjekto teisių įgyvendinimo, rekomenduojama pateikti Taisyklių 1 priede nurodytos formos prašymą.
14. PRAŠYMO ĮGYVENDINTI DUOMENŲ SUBJEKTO TEISES NAGRINĖJIMAS
    • Duomenų subjektų prašymų įgyvendinti jų teises įgyvendinimą koordinuoja Centro duomenų apsaugos pareigūnas. Rašytiniai atsakymai duomenų subjektams teikiami Įstaigos vardu, pasirašant Centro vadovui ar jo įgaliotam asmeniui, pasikonsultavus su duomenų apsaugos pareigūnu.
    • Jeigu duomenų subjekto prašymas yra susijęs su asmens duomenų tvarkymu, kurį Centras atlieka kaip duomenų tvarkytojas, atliekami veiksmai, numatyti atitinkamų valstybės informacinių sistemų nuostatuose ir (ar) su duomenų valdytoju (duomenų tvarkytoju, turinčiu įgaliojimus sudaryti asmens duomenų teikimo sutartis) pasirašytoje Asmens duomenų tvarkymo sutartyje.
    • Gavus duomenų subjekto prašymą, ne vėliau kaip per 1 (vieną) mėnesį nuo prašymo gavimo, jam pateikiama informacija apie tai, kokių veiksmų buvo imtasi pagal gautą prašymą. Jeigu bus vėluojama pateikti informaciją, per nurodytą terminą duomenų subjektas informuojamas apie tai, nurodant vėlavimo priežastis ir apie galimybę pateikti skundą Valstybinei duomenų apsaugos inspekcijai.
    • Jeigu prašymas pateiktas nesilaikant šiose Taisyklėse nustatytos tvarkos ir reikalavimų, jis nenagrinėjamas, ir nedelsiant, bet ne vėliau kaip per 5 darbo dienų, duomenų subjektas apie tai informuojamas nurodant priežastis.
    • Centras į duomenų subjekto prašymus privalo atsakyti nepagrįstai nedelsdamas ir ne vėliau kaip per 1 (vieną) mėnesį bei nurodyti priežastis, kai neketina patenkinti bet kurių tokių prašymų.
    • Šis laikotarpis prireikus gali būti pratęstas dar 2 (du) mėnesius, atsižvelgiant į prašymų sudėtingumą ir skaičių. Tokiu atveju, privaloma per 1 (vieną) mėnesį nuo prašymo gavimo raštu informuoti Duomenų subjektą apie tokį pratęsimą ir nurodyti vėlavimo priežastis.
    • Jeigu nusprendžiama nesiimti veiksmų pagal duomenų subjekto prašymą, privaloma nedelsiant, tačiau ne vėliau kaip per 1 (vieną) mėnesį nuo prašymo gavimo, raštu informuoti duomenų subjektą apie neveikimo priežastis (pvz., prašymą teikiantis asmuo nepatikslino savo tapatybės) ir apie galimybę pateikti skundą priežiūros institucijai. Privaloma tinkamai informuoti duomenų subjektą apie atsisakymą tenkinti jo prašymą.
    • Jeigu prašymo nagrinėjimo metu nustatoma, jog duomenų subjekto teisės yra apribotos BDAR 23 straipsnio 1 dalyje numatytais pagrindais, duomenų subjektas apie tai informuojamas, pvz., kai atlikta nusikalstama veika ir atliekamas ikiteisminis tyrimas.
    • Duomenų subjekto prašomą pateikti informaciją apie asmens duomenų tvarkymą pateikiama tokia pačia forma, kokia buvo gautas duomenų subjekto prašymas (nebent pats duomenų subjektas paprašė ją pateikti kitu būdu), t. y. jeigu prašymas pateikiamas elektroninėmis priemonėmis (pvz., el. paštu), informacija pateikiama įprastai naudojama elektronine forma. Informacija pagal duomenų subjekto prašymą dėl jo teisių įgyvendinimo pateikiama valstybine kalba. Teikiant specialių kategorijų asmens duomenis el. paštu, taikomas šifravimas.
    • Informacija ir pranešimai teikiami bei kiti veiksmai, susiję su duomenų subjektų teisių įgyvendinimu, atliekami nemokamai, išskyrus atvejus, jeigu duomenų subjekto prašymai yra akivaizdžiai nepagrįsti arba neproporcingi, visų pirma dėl jų pasikartojančio pobūdžio. Tokiu atveju Centras gali imti pagrįstą mokestį už informacijos ar pranešimo teikimą arba prašomų veiksmų vykdymą (duomenų subjektas informuojamas apie nustatytą atlyginimo dydį (pavyzdžiui, už CD, DVD ar kitos laikmenos, kurioje yra vaizdo įrašo kopija, gavimą, dokumentų rengimą ir t. t.) ir duomenų teikimo apmokėjimo tvarką) arba atsisakyti imtis veiksmų pagal prašymą. Mokesčio dydis neturi viršyti informacijos ar pranešimo teikimo ar veiksmų atlikimo sąnaudų. Mokesčio dydį Centras nustato ir tvirtina atsižvelgdama į darbo ir materialines sąnaudas, kurių reikia informacijai ar pranešimui pateikti ar veiksmams atlikti. Saugumo pareigūnas visada privalo konsultuotis su Centro duomenų apsaugos pareigūnu, priimdamas sprendimą atsisakyti įgyvendinti duomenų subjekto teises. Sprendimas turi būti argumentuotas ir priimtas raštu.
    • Ar prašymas yra akivaizdžiai nepagrįstas arba neproporcingas, kiekvienu atveju reikia vertinti individualiai. Jeigu duomenų subjekto prašymas yra akivaizdžiai nepagrįstas arba neproporcingas, tai pareiga įrodyti tai tenka Centrui. Prašymas nelaikomas neproporcingu, jeigu duomenų subjektas nenurodo, jo pateikimo priežasčių; vartoja netinkamą ar nemandagią kalbą; ketina naudoti pateiktus duomenis tolimesniems reikalavimams Centrui pareikšti. Vertinant, ar prašymas yra neproporcingas dėl pasikartojančio turinio, atsižvelgiama į šias aplinkybes:
      • asmens duomenų keitimo dažnumą, t. y. kiek tikėtina, kad asmens duomenys pasikeitė per laikotarpį, nuo pradinio gauto duomenų subjekto prašymo pateikti informaciją apie jo asmens duomenis (pvz., duomenų subjekto asmens duomenys yra tik saugomi ir jokie kiti duomenų tvarkymo veiksmai neatliekami, duomenų subjektas apie tai informuotas įgyvendinant jo pirminį prašymą, nepaisant to duomenų subjektas pateikia pakartotinį prašymą);
      • asmens duomenų pobūdį, t. y. ar asmens duomenys apima ir jautrius asmens duomenis;
      • asmens duomenų tvarkymo tikslą, t. y. ar gali būti, kad asmens duomenų tvarkymas gali padaryti žalos duomenų subjektui, jeigu informacija apie tokį duomenų tvarkymą būtų atskleista;
      • prašymo turinį, t. y. ar prašymas yra susijęs su ta pačia informacija apie asmens duomenis ar duomenų tvarkymo veiklą ar kita.
    • Tais atvejais, kai Centras tvarko labai didelį kiekį asmens duomenų, neproporcingu gali būti laikomas prašymas pateikti informaciją apie visus tvarkomus asmens duomenis už visą jų tvarkymo laikotarpį. Vis dėlto, ir gavus neproporcingą prašymą, visų pirma, rekomenduojama paprašyti duomenų subjekto jį patikslinti, nurodant, dėl kokios priežasties duomenų subjektui yra būtina gauti tokį didelį kiekį informacijos, o jei tokios priežasties nėra – susiaurinti prašomų pateikti asmens duomenų apimtį.
    • Centro veiksmus ar neveikimą įgyvendinant duomenų subjekto teises duomenų subjektas turi teisę skųsti pats arba duomenų subjekto atstovas, taip pat jo įgaliota ne pelno įstaiga, organizacija ar asociacija, atitinkanti BDAR 80 straipsnio reikalavimus, Valstybinei duomenų apsaugos inspekcijai, A. L. Sapiegos g. 17, Vilnius, el. paštas ada@ada.lt, interneto svetainė www.vdai.lrv.lt, taip pat kompetentingam teismui.
    • Dėl duomenų subjekto teisių pažeidimo patyrus materialinę ar nematerialinę žalą, duomenų subjektas turi teisę į kompensaciją, dėl kurios priteisimo turi teisę kreiptis į teismą kompetentingą nagrinėti tokius ginčus.
15. ATSKAITOMYBĖS PRINCIPO ĮGYVENDINIMAS
    • Centras įgyvendindama atskaitomybės principą, kiek tai susiję su duomenų subjekto teisių įgyvendinimu:
      • veda ir pildo Duomenų subjektų prašymų ir Centro atsakymų į juos registracijos žurnalą (Priedas Nr. 2); žurnalą pildo Saugumo pareigūnas;
      • kaupia įrodymus apie savo iniciatyva įgyvendintas duomenų subjekto teises, patvirtinančius duomenų subjektų teisių įgyvendinimo datą, pateiktos informacijos turinį, informaciją apie duomenų subjektą kurio teisės įgyvendintos.

Duomenų subjekto teisių įgyvendinimo tvarkos

1 Priedas

______________________________________________________________

(Duomenų subjekto vardas, pavardė)

___________________________________________________________________________________________

(Adresas ir (ar) kiti kontaktiniai duomenys (telefono ryšio numeris ar el. pašto adresas (nurodoma pareiškėjui pageidaujant)

___________________________________________________________________________________________

(Atstovas ir atstovavimo pagrindas, jeigu prašymą pateikia duomenų subjekto atstovas)

PRAŠYMAS

ĮGYVENDINTI DUOMENŲ SUBJEKTO TEISĘ (-ES)

____________

(Data)

________

(Vieta)

1. Prašau įgyvendinti šią (šias) duomenų subjekto teisę (-es):

(Tinkamą langelį pažymėkite kryželiu):

o Teisę gauti informaciją apie duomenų tvarkymą

o Teisę susipažinti su duomenimis

o Teisę reikalauti ištaisyti duomenis

o Teisę reikalauti ištrinti duomenis („teisė būti pamirštam“)

o Teisę apriboti duomenų tvarkymą

o Teisę į duomenų perkeliamumą

o Teisę nesutikti su duomenų tvarkymu

o Teisę būti informuotam apie asmens duomenų saugumo pažeidimą

o Teisę atšaukti sutikimą

2. Nurodykite, ko konkrečiai prašote ir pateikite kiek įmanoma daugiau informacijos, kuri leistų tinkamai įgyvendinti Jūsų teisę (-es) (pavyzdžiui, jeigu norite gauti asmens duomenų kopiją, nurodykite, kokių konkrečiai duomenų (pavyzdžiui, 2022 m. x mėn. x d. elektroninio pašto laiško kopiją), pageidaujate gauti; jeigu norite ištaisyti duomenis, nurodykite, kokie konkrečiai Jūsų asmens duomenys yra netikslūs; jeigu nesutinkate, kad būtų tvarkomi Jūsų asmens duomenys, tuomet nurodykite argumentus, kuriais grindžiate savo nesutikimą, nurodykite dėl kokio konkrečiai duomenų tvarkymo nesutinkate; jeigu kreipiatės dėl teisės į duomenų perkeliamumą įgyvendinimo, prašome nurodyti, kokių duomenų atžvilgiu šią teisę pageidaujate įgyvendinti, ar pageidaujate juos perkelti į savo įrenginį ar kitam duomenų valdytojui, jeigu pastarajam, tuomet nurodykite kokiam):

____________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________

PRIDEDAMA:

1. _____________________________________________________________________________________________________________
2. _____________________________________________________________________________________________________________
3. _____________________________________________________________________________________________________________
4. _____________________________________________________________________________________________________________

______________                                 __________________                                                          _______________________________

    (data)                                            (parašas)                                                                                      (vardas, pavardė)