Išorinio duomenų apsaugos pareigūno paslaugos

Kam ši paslauga

Duomenų apsaugos pareigūno paslauga skirta organizacijoms, kurioms pareigūną paskirti privaloma pagal įstatymą, ir toms, kurios nusprendžia jį turėti savo noru.

Praktikoje dažniausiai kreipiasi mokyklos, darželiai ir neformaliojo švietimo įstaigos, muziejai ir teatrai, socialinės globos namai, visuomenės sveikatos biurai, privačios klinikos, viešosios įstaigos ir savivaldybių įmonės. Kreipiasi ir privatus verslas, kurio pagrindinė veikla susijusi su dideliais asmens duomenų kiekiais.

Ar jums privaloma

BDAR 37 straipsnio 1 dalis nurodo tris atvejus, kai duomenų apsaugos pareigūną paskirti privaloma:

• duomenis tvarko valdžios institucija arba įstaiga, išskyrus teismus, kai jie vykdo savo teismines funkcijas;
• pagrindinė veikla yra duomenų tvarkymo operacijos, dėl kurių pobūdžio, aprėpties ar tikslų būtina reguliariai ir sistemingai dideliu mastu stebėti duomenų subjektus;
• pagrindinė veikla yra specialių kategorijų duomenų tvarkymas dideliu mastu pagal 9 straipsnį arba duomenų apie apkaltinamuosius nuosprendžius ir nusikalstamas veikas tvarkymas dideliu mastu pagal 10 straipsnį.

Lietuvoje daugiausia klausimų kelia pirmasis punktas. Biudžetinės ir viešosios įstaigos, vykdančios viešąsias funkcijas, paprastai į jį patenka, ir pareiga nepriklauso nuo darbuotojų skaičiaus. Keturių darbuotojų neformaliojo švietimo įstaiga ir šimto darbuotojų progimnazija čia yra vienodoje padėtyje. Ar konkreti įstaiga laikytina valdžios institucija ar įstaiga, sprendžiama pagal jos steigimo ir veiklos teisinį pagrindą, todėl tai verta įsivertinti raštu, o ne nuspręsti iš nuojautos.

Jei nė vienas iš trijų punktų netaikomas, pareigūną galima paskirti savo noru (BDAR 37 str. 4 d.). Paskirtas pareigūnas yra ir aiškus atsakymas priežiūros institucijai, ir vienas adresas duomenų subjektų prašymams.

Kodėl išorinis, o ne savas darbuotojas

BDAR 37 straipsnio 6 dalis leidžia abu variantus: pareigūnas gali būti personalo narys arba atlikti užduotis pagal paslaugų teikimo sutartį.

Praktinis skirtumas yra 38 straipsnyje. Pareigūnas negali gauti jokių nurodymų dėl savo užduočių vykdymo, jo negalima dėl jų atleisti ar bausti, jis tiesiogiai atsiskaito aukščiausio lygio vadovybei, o valdytojas privalo užtikrinti, kad dėl kitų jo pareigų nekiltų interesų konflikto. Nedidelėje organizacijoje tai sunku įvykdyti: darbuotojas, kuris pats tvarko personalo bylas ar administruoja sistemas, vertintų savo paties darbą. Antras skirtumas yra kompetencija: 37 straipsnio 5 dalis reikalauja skirti pareigūną remiantis duomenų apsaugos teisės ir praktikos ekspertinėmis žiniomis.

Ką darome tapę jūsų duomenų apsaugos pareigūnu

Pradedame nuo dokumentų peržiūros: ar turima dokumentacija pakankama ir ar ji atitinka tai, kas iš tikrųjų daroma. Trūkstamus parengiame, netikslius pataisome. Toliau vykdome 39 straipsnyje nurodytas užduotis:

• informuojame ir konsultuojame vadovybę bei duomenis tvarkančius darbuotojus apie jų prievoles;
• stebime, kaip laikomasi BDAR ir jūsų pačių priimtos duomenų apsaugos politikos, įskaitant pareigų pavedimą, darbuotojų informuotumo didinimą, mokymą ir susijusius auditus;
• paprašius konsultuojame dėl poveikio duomenų apsaugai vertinimo ir stebime jo atlikimą;
• bendradarbiaujame su Valstybine duomenų apsaugos inspekcija;
• atliekame kontaktinio asmens funkcijas, kai inspekcija kreipiasi, įskaitant išankstines konsultacijas pagal 36 straipsnį.

Papildomai vedame duomenų tvarkymo veiklos įrašus (BDAR 30 str.), dalyvaujame priimant su asmens duomenimis susijusius sprendimus, kartą per metus pravedame darbuotojų mokymus ir informuojame apie reguliavimo pokyčius.

Kaip vyksta darbas

1. Pirmas pokalbis. Išsiaiškiname, ar pareigūnas jums privalomas, ir kokia apimtis realiai reikalinga. Ši dalis neapmokestinama.
2. Pasiūlymas. Gaunate paslaugų aprašymą ir kainą raštu. Paprastai per vieną darbo dieną.
3. Sutartis ir paskyrimas. Pareigūno kontaktai paskelbiami jūsų svetainėje ir pranešami Valstybinei duomenų apsaugos inspekcijai (37 str. 7 d.).
4. Pradinė peržiūra su veiksmų sąrašu.
5. Nuolatinis darbas. Konsultacijos, dokumentų priežiūra, mokymai, atstovavimas santykiuose su inspekcija.

Ką gausite

Paskyrimo dokumentus ir pranešimą Valstybinei duomenų apsaugos inspekcijai, pareigūno kontaktus paskelbimui jūsų svetainėje, pradinės peržiūros išvadą su veiksmų sąrašu, parengtus ar pataisytus duomenų apsaugos dokumentus, duomenų tvarkymo veiklos įrašus, kasmetinius darbuotojų mokymus ir atskirą elektroninio pašto adresą, kuriuo kreipiasi duomenų subjektai ir inspekcija.

Kiek tai kainuoja

Kaina yra fiksuotas mėnesinis mokestis, o ne valandinis įkainis. Mokestis apima sutartą darbo valandų apimtį per mėnesį. Kiek kartų kreipsitės, neribojama, o skaičiuojamas tik faktiškai sugaištas laikas; jei jis viršija sutartą apimtį, papildomos valandos skaičiuojamos atskirai sutartu įkainiu. Tikslią apimtį ir įkainį nurodome pasiūlyme.

Į mėnesinį mokestį įeina pareigūno funkcijų vykdymas, kontaktinio asmens funkcijos inspekcijai ir duomenų subjektams, darbuotojų konsultavimas, veiklos įrašų tvarkymas, mokymai ir atskiro elektroninio pašto adreso palaikymas.

Atskirai kainuoja darbai, kurie nėra pareigūno funkcija: atitikties auditas su dokumentų paketu, poveikio duomenų apsaugai vertinimas ir atskiri didesnės apimties mokymai.

Apimtį lemia ne darbuotojų skaičius, o tvarkomų duomenų pobūdis: įstaiga, tvarkanti sveikatos ar vaikų duomenis, per metus sugeneruoja daugiau situacijų nei tokio pat dydžio įmonė.

Dažniausi klausimai

Ar mokyklai ar darželiui pareigūnas privalomas?
Valstybinėms ir savivaldybių įstaigoms paprastai taip, pagal 37 straipsnio 1 dalies a punktą, ir darbuotojų skaičius neturi reikšmės. Privačioms mokykloms ir darželiams atsakymas nėra automatiškas: sprendžiama pagal steigimo ir veiklos teisinį pagrindą, o jei pagal jį įstaiga nelaikoma valdžios institucija ar įstaiga, tikrinami kiti du 37 straipsnio 1 dalies punktai.

Turime dokumentus, parengtus prieš kelerius metus. Ar jų pakanka?
Tai išsiaiškinama per peržiūrą. Dažniausia problema yra ne dokumentų trūkumas, o neatitikimas tarp to, kas parašyta, ir to, kas daroma.

Kiek laiko užtrunka paskyrimas?
Nuo sutarties pasirašymo iki paskelbtų kontaktų paprastai kelios dienos.

Ar galite būti ir mūsų atstovu Europos Sąjungoje pagal BDAR 27 straipsnį?
Tai atskira paslauga ir atskira pareiga, taikoma Sąjungoje neįsisteigusiems duomenų valdytojams ir duomenų tvarkytojams. Aptariame ją kartu, jei ji jums aktuali.

Ar pareigūnas prisiima atsakomybę už pažeidimus?
Ne, atsakomybė pagal BDAR tenka duomenų valdytojui. Pareigūnas stebi, konsultuoja ir įspėja, o jo rekomendacijos ir jūsų sprendimai fiksuojami raštu.

Susisiekite

Parašykite info@linden.lt arba užpildykite formą šiame puslapyje. Kad atsakymas būtų konkretus iš karto, nurodykite:

• savo veiklos sritį ir darbuotojų skaičių;
• ar tvarkote sveikatos, vaikų ar kitus specialių kategorijų duomenis;
• ar vykdote vaizdo stebėjimą;
• ar duomenų apsaugos dokumentus jau turite.

Atsakome, ar pareigūnas jums privalomas, ir atsiunčiame pasiūlymą su kaina.