Apie gegužės 25 dieną visoje Europos Sąjungoje įsigaliosiantį Bendrąjį duomenų apsaugos reglamentą tiesioginėje DELFI TV laidoje „Gyvai“ pasakojo Valstybinės duomenų apsaugos inspekcijos (VDAI) direktorius Raimondas Andrijauskas ir „NRD Cyber Security“ informacijos saugos teisininkas Šarūnas Virbickas.
Kaip veiks
R. Andrijauskas pirmiausia paaiškino, kad asmens duomenys suprantami kaip bet kokia informacija, kuria remiantis fizinis asmuo nustatomas arba galima jį nustatyti.
„Tai reiškia, kad šis apibrėžimas yra labai platus ir gali būti taikomas labai plačiam informacijos spektrui. Mums kartais kyla klausimų, ar valstybinis automobilio numeris ar PIN kodas yra asmens duomenys, bet pagal formuluojamą praktiką, net ir šie duomenys yra laikomi asmens duomenimis“, – sakė jis.
VDAI direktorius dėstė, kad teisė sužinoti ir „būti pamirštam“ per teismų praktiką jau yra įtvirtintos.
„Teisė žinoti asmeniui sudaro prielaidas valdyti savo asmens duomenis, – teigė jis. – Kalbame apie duomenis pradedant nuo vardo ir pavardės, lyties, rasės iki šeimos narių skaičiaus, namo numerio ir t.t. Naujasis reglamentas sako, kad žmogus gali gauti šių duomenų kopiją – ką turi duomenų valdytojas.
Teisė būti pamirštam sako, kad praėjus tam tikram laikotarpiui, asmuo galės būti ištrintas iš duomenų bazių arba būtų sustabdytas jo duomenų tvarkymas. Tiesa, čia yra tam tikrų išimčių.“
Kalbėdamas apie duomenų perkėlimą R. Andrijauskas paaiškino, kad asmuo galės reikalauti, kad jo duomenys būtų perduodami kitam subjektui.
„Praktikoje dabar puikus pavyzdys yra sveikatos sektoriuje. Jei pereinate iš vienos įstaigos į kitą, tai duomenys keliauja kartu su jumis“, – pasakojo jis.
Reikės domėtis pačiam
R. Andrijauskas nurodė, kad duomenų valdytojams nebus prievolės asmenis informuoti, kad jie valdo jų duomenis.
„Tai paliekama pačiam asmeniui, nes tai yra jo vertybė“, – sakė jis.
Tačiau Š. Virbickas pastebėjo, kad besirengdamos reglamento įgyvendinimo pradžiai, įmonės atlieka tam tikrus namų darbus.
„Jos inventorizuoja, kokius duomenis tvarko apie savo klientus ar darbuotojus.
Jos turi nustatyti, ar tie duomenys tvarkomi teisėtai, ar tinkamas pagrindas, ar gauti sutikimai. Iš esmės, tą informaciją susisteminusios, daugelis įmonių bando kreiptis į savo klientus, informuodami apie pasikeitimus.
Galbūt jiems reikia gauti sutikimus, informuoti apie tai, kaip tvarkys tuos duomenis. Galbūt tie duomenys jau praradę aktualumą arba norėdamos patikslinti juos įmonės kreipiasi į klientus“, – pasakojo jis.
Vaikams reikės tėvų sutikimo
Reglamente taip pat numatyta, kad jaunesni nei 16 metų (Lietuvoje – 14 metų) asmenys negalės duoti sutikimo tvarkyti jų duomenis.
„Vaikai yra ta visuomenės dalis, kuri dar ne visai gerai supranta duomenų svarbą, kad juos būtina saugoti. Reglamentas numato sutikimo gavimą, ypač kalbant apie paslaugas, teikiamas elektroninėmis priemonėmis, per nuotolį, subjekto prašymu.
Tai reiškia, kad duomenų valdytojai privalės gauti tėvų arba globėjų sutikimą prieš siūlydami paslaugas vaikams“, – aiškino Š. Virbickas.
R. Andrijauskas pastebėjo, kad tai sudėtinga situacija, nes įpareigojimas yra nustatytas, tačiau kaip jį techniškai įgyvendinti dar daug diskutuojama.
„Svarstomi įvairūs variantai, pavyzdžiui, klausimų, į kuriuos gali atsakyti tik suaugęs, subrendęs asmuo, nustatymas“, – pasakojo jis.
Š. Virbickas paminėjo, kad dėl tokio neaiškumo kai kurie jo klientai netgi svarsto atsisakyti, kad tam tikro amžiaus vaikai naudotųsi jų paslauga.
„Bendrai visoje Europos Sąjungoje, netgi visame pasaulyje gegužės 25 dieną didžioji dalis įmonių nebus pasirengusios pilnai įgyvendinti reglamento reikalavimus. Deja, tokia yra realybė.
Susidomėjimas reglamento įgyvendinimo klausimais padidėjo per pastaruosius kelis mėnesius, nors jis priimtas prieš 2 metus. Įmonės turėjo 2 metus pasirengti reglamentui“, – sakė jis.
R. Andrijauskas nurodė, kad jo vadovaujamoje VDAI šiuo metu užimti 29 etatai.
„Pajėgumai riboti, dėl to stengiamasi žiūrėti į didžiausias rizikas, grėsmes, koncentruotis į asmenų skundus“, – sakė jis.
