LIETUVOS KULTŪROS TARYBOS PIRMININKAS
ĮSAKYMAS
DĖL ASMENS DUOMENŲ APSAUGOS POLITIKOS PATVIRTINIMO
2018 m. spalio 4 d. Nr. VĮ-50(1.1 E)
Vilnius
Vadovaudamasi 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamentu (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo, kuriuo panaikinama Direktyva 95/46/EB ir Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymu:
2. N u s t a t a u, kad šiuo įsakymu patvirtintos Asmens duomenų apsaugos politikos nuostatos galioja ir tais atvejais, kai Lietuvos kultūros taryba duomenų subjektų duomenis surinko prieš šio įsakymo priėmimą.
PATVIRTINTA
Lietuvos kultūros tarybos pirmininko
2018 m. spalio 4 d. įsakymu Nr. VĮ-50(1.1 E)
ASMENS DUOMENŲ APSAUGOS POLITIKA
I SKYRIUS
BENDROSIOS NUOSTATOS
1. Šios Asmens duomenų apsaugos politikos (toliau – Politika) paskirtis – informuoti duomenų subjektus apie jų duomenų tvarkymą bei nurodyti jų turimas teises šių duomenų ir Lietuvos kultūros tarybos (toliau – Taryba) atžvilgiu.
2. Politikoje vartojamos sąvokos suprantamos taip, kaip jos aiškinamos Europos Parlamento ir Tarybos reglamente (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo, kuriuo panaikinama Direktyva 95/46/EB, (toliau - Reglamentas) ir Lietuvos Respublikos teisės aktuose.
3. Taryba užtikrina, kad Politika atitinka šiuos esminius su asmens duomenų tvarkymu susijusius principus:
3.1. asmens duomenys turi būti tvarkomi teisėtu, sąžiningu ir skaidriu būdu (teisėtumo, sąžiningumo ir skaidrumo principas);
3.2. asmens duomenys turi būti renkami nustatytais, aiškiai apibrėžtais bei teisėtais tikslais ir toliau netvarkomi su tais tikslais nesuderinamu būdu;
3.3. asmens duomenys turi būti adekvatūs, tinkami ir tik tokie, kokių reikia siekiant tikslų, dėl kurių jie tvarkomi (duomenų kiekio mažinimo principas);
3.5. turi būti imamasi visų pagrįstų priemonių užtikrinti, kad asmens duomenys, kurie nėra tikslūs, atsižvelgiant į jų tvarkymo tikslus, būtų nedelsiant ištrinami arba ištaisomi (tikslumo principas);
3.6. asmens duomenys turi būti laikomi tokia forma, kad duomenų subjekto tapatybę būtų galima nustatyti ne ilgiau, nei tai yra būtina tais tikslais, kuriais jie yra tvarkomi;
3.7. asmens duomenys turi būti tvarkomi tokiu būdu, kad taikant atitinkamas technines ar organizacines priemones būtų užtikrintas tinkamas asmens duomenų saugumas, įskaitant apsaugą nuo duomenų tvarkymo be leidimo arba neteisėto duomenų tvarkymo ir nuo netyčinio praradimo, sunaikinimo ar sugadinimo (vientisumo ir konfidencialumo principas);
4. Taryba gali įgalioti savo valdomus duomenis tvarkyti duomenų tvarkytojus, tai yra informacinių technologijų ir elektroninių ryšių paslaugų teikėjus, patarėjus, auditorius, konsultantus, saugos tarnybas ir kitus asmenis, kurie Tarybos valdomus duomenis tvarko nustatytais tikslais ir pagal Tarybos nurodymus. Duomenų tvarkytojo prieigos teisės prie asmens duomenų naikinamos nutraukus asmens duomenų tvarkymo sutartį, sudarytą su Taryba, ar šiai sutarčiai nustojus galioti.
II SKYRIUS
TINKAMAS DUOMENŲ SUBJEKTŲ INFORMAVIMAS
5. Tarybos valdomi duomenys tretiesiems asmenims teikiami esant duomenų subjekto sutikimui arba kitam teisėto duomenų teikimo pagrindui.
6. Duomenų subjektams, prieš pradedant tvarkyti jų asmens duomenis, būtina pateikti šią informaciją:
6.5. asmens duomenų saugojimo laikotarpį arba, jei tai neįmanoma, kriterijus, taikomus tam laikotarpiui nustatyti;
6.6. teisę prašyti, kad Taryba leistų susipažinti su duomenų subjekto asmens duomenimis ir juos ištaisytų arba ištrintų, arba apribotų duomenų tvarkymą, arba teisę nesutikti, kad duomenys būtų tvarkomi, taip pat teisę į duomenų perkeliamumą;
III SKYRIUS
DUOMENŲ SUBJEKTŲ TEISIŲ ĮGYVENDINIMAS
PIRMASIS SKIRSNIS
PRAŠYMŲ PATEIKIMAS
8. Duomenų subjektai turi šias teises, įtvirtintas Reglamente:
9. Norėdamas įgyvendinti savo teises (išskyrus teisę žinoti (būti informuotam) apie savo asmens duomenų tvarkymą), duomenų subjektas turi pateikti Tarybai rašytinį prašymą asmeniškai, paštu ar per pasiuntinį arba elektroninių ryšių priemonėmis (patvirtindamas savo asmens tapatybę). Teikiami elektroninių ryšių priemonėmis prašymai turi būti pasirašyti elektroniniu parašu.
10. Prašymas turi būti pateiktas valstybine kalba, įskaitomas, duomenų subjekto pasirašytas, jame turi būti nurodytas duomenų subjekto vardas ir pavardė, asmens kodas, kontaktinė informacija, informacija apie tai, kokią Politikos 8 punkte nurodytą teisę ir kokia apimtimi pageidauja įgyvendinti, bei informacija, kokiu būdu duomenų subjektas pageidauja gauti atsakymą.
11. Jeigu duomenų subjektas nenurodo atsakymo gavimo būdo, jam informacija pateikiama elektroninėmis ryšių priemonėmis (jeigu tokias duomenų subjektas nurodė). Jeigu duomenų subjektas elektroninių ryšių priemonių nenurodo, jam informacija pateikiama Tarybos pasirinktu būdu.
12. Informacija nustatyta tvarka pateikiama tik tais atvejais, kai duomenų subjektas patvirtina savo tapatybę:
12.1. kai prašymas pateikiamas asmeniškai, duomenų subjektas privalo pateikti asmens tapatybę patvirtinantį dokumentą. Taryba pasilieka tapatybę patvirtinančio dokumento kopiją;
12.2. kai prašymas pateikiamas paštu ar per pasiuntinį, kartu pateikiama notaro patvirtinta ar notariniam patvirtinimui prilyginama asmens tapatybę patvirtinančio dokumento kopija;
13. Duomenų subjektas savo teises gali įgyvendinti pats arba per atstovą. Prašymą Tarybai paduodantis asmens atstovas, pateikdamas Tarybai Politikoje nustatytus reikalavimus atitinkantį prašymą, turi pateikti ir Lietuvos Respublikos teisės aktų nustatyta tvarka įformintą atstovavimą patvirtinantį dokumentą. Taryba pasilieka atstovavimą patvirtinančio dokumento kopiją.
14. Taryba turi teisę paprašyti duomenų subjekto sukonkretinti pateiktą prašymą, jeigu ji tvarko didelį kiekį su duomenų subjektu susijusios informacijos ir nėra galimybės jos visos pateikti.
15. Taryba turi teisę atsisakyti nagrinėti prašymą, jeigu prašymas pateiktas nesilaikant Politikos 9-13 punktų nuostatų. Taryba pateikdama atsisakymą imtis veiksmų pagal prašymą privalo raštu nurodyti atsisakymo motyvus bei informuoti duomenų subjektą apie duomenų subjekto turimą teisę pateikti skundą Valstybinei duomenų apsaugos inspekcijai.
16. Taryba duomenų subjekto prašymą privalo išnagrinėti ir atsakymą duomenų subjektui prašyme nurodytu būdu pateikti ne vėliau kaip per vieną mėnesį nuo prašymo gavimo dienos. Jeigu prašymo nagrinėjimo metu pareiškėjas jį patikslina (papildo) arba suformuluoja iš esmės naują prašymą, nagrinėjimo terminas skaičiuojamas nuo patikslinto (papildyto) prašymo gavimo dienos.
17. Politikos 16 punkte nurodytas laikotarpis gali būti pratęstas dar dviem mėnesiams, atsižvelgiant į prašymo sudėtingumą ir Tarybos nagrinėjamų prašymų skaičių. Taryba prieš pratęsdama prašymo nagrinėjimo terminą informuoja duomenų subjektą apie prašymo nagrinėjimo termino pratęsimą, nurodydama termino pratęsimo priežastis.
18. Taryba turi teisę atsisakyti pateikti duomenų subjektui jo prašomą informaciją, jeigu:
19. Atsakyme duomenų subjektui be prašomos pateikti informacijos taip pat pateikiama informacija apie duomenų subjekto teisę pateikti skundą Valstybinei duomenų apsaugos inspekcijai, duomenų subjekto teisę prašyti ištaisyti arba ištrinti asmens duomenis, apriboti savo asmens duomenų tvarkymą arba nesutikti su asmens duomenų tvarkymu (kai šios teisės taikomos).
20. Duomenų subjektui paprašius, Taryba pateikia tvarkomų duomenų kopijas. Kai duomenų subjektas prašymą pateikia elektroninėmis priemonėmis ir išskyrus atvejus, kai duomenų subjektas paprašo ją pateikti kitaip, informacija pateikiama įprastai naudojama elektronine forma. Teisė gauti tvarkomų asmens duomenų kopiją neįgyvendinama, jeigu tai gali daryti neigiamą įtaką kitų asmenų teisėms.
ANTRASIS SKIRSNIS
TEISĖS BŪTI INFORMUOTAM APIE SAVO ASMENS DUOMENŲ TVARKYMĄ ĮGYVENDINIMAS
21. Teisė būti informuotam apie savo asmens duomenų tvarkymą Taryboje įgyvendinama viešai pateikiant informaciją apie asmens duomenų tvarkymą:
21.1. Tarybos interneto svetainėse: www.ltkt.lt, www.paraiskos.ltkt.lt, www.kulturostyrimai.lt, www.melynastusas.lt;
21.2. bendravimo ir (arba) susirašinėjimo su duomenų subjektu metu tokiu būdu, kokiu duomenų subjektas kreipiasi į Tarybą ar Taryba kreipiasi į duomenų subjektą:
21.2.1. jeigu duomenų subjektas į Taryba kreipiasi žodžiu – Taryba informuoja apie duomenų tvarkymą bei pateikia informaciją duomenų subjektui apie jo asmens duomenų tvarkymą, kiek tai įmanoma, žodžiu arba, esant poreikiui, nurodo duomenų subjektui teisės aktus, kurių pagrindu asmens duomenys Taryboje yra tvarkomi, nukreipia duomenų subjektą į Politikos 21.1 papunktyje nurodytą (-as) Tarybos interneto svetainę (-es) bei perduoda Tarybos duomenų apsaugos pareigūno kontaktus;
21.2.2. jeigu duomenų subjektas, teikdamas savo asmens duomenis, į Tarybą kreipiasi raštu, Taryba pateikia informaciją apie duomenų tvarkymą raštu, nurodydama teisės aktus, kurių pagrindu asmens duomenys Taryboje yra tvarkomi, nukreipia duomenų subjektą į Politikos 21.1 papunktyje nurodytą (-as) Tarybos interneto svetainę (-es) bei perduoda Tarybos duomenų apsaugos pareigūno kontaktus.
TREČIASIS SKIRSNIS
TEISĖS SUSIPAŽINTI SU TVARKOMAIS ASMENS DUOMENIMIS ĮGYVENDINIMAS
22. Duomenų subjektas, įgyvendindamas susipažinimo su Taryboje tvarkomais asmens duomenimis teisę, gali gauti informaciją, ar su juo susiję asmens duomenys yra tvarkomi ir, jei tokie duomenys tvarkomi, turi teisę susipažinti su šiais duomenimis ir Reglamento 15 straipsnio 1 dalyje nurodyta informacija.
KETVIRTASIS SKIRSNIS
TEISĖS REIKALAUTI IŠTAISYTI ASMENS DUOMENIS ĮGYVENDINIMAS
23. Jeigu duomenų subjektas nustato, kad Taryboje yra tvarkomi netikslūs ar neišsamūs jo asmens duomenys, duomenų subjektas turi teisę kreiptis su prašymu, kad Taryba ištaisytų tvarkomus netikslius asmens duomenis arba papildytų neišsamius asmens duomenis.
24. Tuo atveju, jeigu duomenų subjektas kreipiasi į Tarybą siekdamas ištaisyti ar papildyti jo Taryboje tvarkomus duomenis, kurie buvo gauti ne tiesiogiai iš duomenų subjekto, Taryba nedelsdama perduoda informaciją apie galimai netikslius ar neišsamius duomenis tuos duomenis tvarkančiam duomenų valdytojui.
25. Nustačius, kad duomenų subjekto prašymas pagrįstas, Taryba:
25.1. nedelsdama, bet ne vėliau kaip per 5 darbo dienas nuo prašymo pagrįstumo nustatymo ištaiso neišsamius ar netikslius asmens duomenis;
25.2. jeigu nėra galimybių nedelsiant ištaisyti neišsamius ar netikslius asmens duomenis, sustabdo duomenų subjekto asmens duomenų tvarkymo veiksmus ir šiuos asmens duomenis saugo tol, kol jie bus ištaisyti, tačiau asmens duomenų tvarkymo veiksmai gali būti nestabdomi, jei reikia apsaugoti viešąjį ir (arba) trečiųjų asmenų teisėtą interesą;
25.3. ne vėliau kaip per 5 darbo dienas nuo neišsamių ar netikslių asmens duomenų ištaisymo informuoja:
PENKTASIS SKIRSNIS
TEISĖS REIKALAUTI IŠTRINTI ASMENS DUOMENIS ĮGYVENDINIMAS
26. Duomenų subjektas turi teisę kreiptis reikalaudamas ištrinti su juo susijusius asmens duomenis, jeigu yra vienas iš šių pagrindų:
26.2. atšauktas duomenų subjekto sutikimas, kuriuo vadovaujantis tvarkomi duomenų subjekto asmens duomenys;
26.3. asmens duomenų subjektas nesutinka su savo asmens duomenų tvarkymu pagal Reglamento 21 straipsnio 1 dalį ir nėra viršesnių teisėtų ir (arba) viešojo intereso priežasčių tvarkyti asmens duomenis;
27. Duomenų subjekto prašyme turi būti išsamiai argumentuota, kokiu pagrindu ir dėl kokių priežasčių yra prašoma ištrinti jo asmens duomenis.
28. Teisė reikalauti ištrinti asmens duomenis Taryboje neįgyvendinama, kai asmens duomenų tvarkymas yra grindžiamas:
28.2. archyvavimo tikslais, mokslinių tyrimų tikslais arba statistiniais tikslais laikantis Reglamento 89 straipsnio 1 dalyje nustatytų duomenų tvarkymo apsaugos priemonių, jeigu dėl Politikos 26 punkte nurodytos teisės gali tapti neįmanoma arba ji gali labai sukliudyti pasiekti to tvarkymo tikslus;
29. Nustačiusi, kad duomenų subjekto pateiktas prašymas yra pagrįstas, Taryba:
29.1. nedelsdama, bet ne vėliau kaip per 5 darbo dienas nuo prašymo pagrįstumo nustatymo ištrina su duomenų subjektu susijusius asmens duomenis;
29.2. jeigu nėra galimybių nedelsiant ištrinti duomenų subjekto asmens duomenis, sustabdo duomenų subjekto asmens duomenų tvarkymą ir šiuos asmens duomenis saugo iki tol, kol jie bus ištrinti;
29.3. ne vėliau kaip per 5 darbo dienas nuo asmens duomenų ištrynimo informuoja:
ŠEŠTASIS SKIRSNIS
TEISĖS APRIBOTI SAVO ASMENS DUOMENŲ TVARKYMĄ ĮGYVENDINIMAS
30. Duomenų subjektas turi teisę kreiptis reikalaudamas apriboti savo asmens duomenų tvarkymą, jeigu yra vienas iš šių pagrindų:
30.1. duomenų subjektas ginčija tvarkomų jo asmens duomenų tikslumą. Šiuo atveju duomenų subjekto asmens duomenų tvarkymas gali būti apribotas iki kol bus patikrintas asmens duomenų tikslumas;
30.2. nustatoma, kad duomenų subjekto asmens duomenų tvarkymas buvo neteisėtas, duomenų subjektas nesutinka, kad asmens duomenys būtų ištrinti, ir prašo apriboti jų tvarkymą;
30.3. pasiektas asmens duomenų tvarkymo tikslas ir Tarybai nebereikia šiam tikslui pasiekti surinktų duomenų subjekto asmens duomenų, tačiau jų reikia duomenų subjektui, siekiančiam pareikšti, vykdyti ar apginti teisinius reikalavimus;
30.4. duomenų subjektas pateikė nesutikimą tvarkyti jo asmens duomenis. Šiuo atveju duomenų subjekto asmens duomenų tvarkymas gali būti apribotas iki kol bus patikrintas duomenų subjekto prašymo pagrįstumas;
30.5. duomenų subjektas pagrįstai prašo ištrinti jo tvarkomus asmens duomenis, tačiau nėra techninių galimybių duomenų subjekto asmens duomenis ištrinti ne vėliau kaip per 5 darbo dienas nuo prašymo pagrįstumo nustatymo. Šiuo atveju duomenų subjekto asmens duomenų tvarkymas apribojamas iki tol, kol jie bus ištrinti.
31. Nustačiusi, kad duomenų subjekto pateiktas prašymas yra pagrįstas, Taryba:
31.2. ne vėliau kaip per 5 darbo dienas nuo sprendimo dėl asmens duomenų tvarkymo apribojimo priėmimo informuoja duomenų subjektą apie jo asmens duomenų tvarkymo apribojimą ir, jeigu įmanoma, nurodo preliminarų laikotarpį, kuriam apribojamas duomenų subjekto asmens duomenų tvarkymas;
31.3. ne vėliau kaip per 5 darbo dienas nuo sprendimo dėl asmens duomenų tvarkymo apribojimo priėmimo informuoja duomenų gavėjus apie priimtą sprendimą, jeigu duomenų subjekto asmens duomenys buvo teikiami duomenų gavėjams. Duomenų gavėjai neinformuojami, kai toks pateikimas būtų susijęs su neproporcingomis darbo laiko ir finansų sąnaudomis.
SEPTINTASIS SKIRSNIS
TEISĖS NESUTIKTI SU SAVO ASMENS DUOMENŲ TVARKYMU ĮGYVENDINIMAS
33. Duomenų subjektas turi teisę dėl su jo konkrečiu atveju susijusių priežasčių bet kuriuo metu kreiptis į Tarybą su prašymu dėl nesutikimo, kad su juo susiję asmens duomenys būtų tvarkomi.
34. Nustačiusi, kad duomenų subjekto pateiktas prašymas yra pagrįstas, Taryba ne vėliau kaip per 5 darbo dienas nuo prašymo pagrįstumo nustatymo informuoja apie tai duomenų subjektą.
35. Jeigu nustatoma, kad duomenų subjekto prašymas yra nepagrįstas, duomenys yra tvarkomi dėl teisėtų priežasčių, kurios yra viršesnės už duomenų subjekto interesus, Taryba privalo atsakyme argumentuotai įrodyti, kad duomenų subjekto duomenys yra tvarkomi dėl pagrįstų ir teisėtų priežasčių, kurios yra viršesnės už duomenų subjekto interesus.
AŠTUNTASIS SKIRSNIS
TEISĖS Į ASMENS DUOMENŲ PERKELIAMUMĄ ĮGYVENDINIMAS
36. Duomenų subjektas turi teisę kreiptis į Tarybą su prašymu persiųsti Tarybos tvarkomus duomenų subjekto asmens duomenis kitam duomenų valdytojui ar pateikti pačiam duomenų subjektui, jeigu yra visos šios sąlygos:
36.1. duomenų subjekto asmens duomenys tvarkomi vadovaujantis:
36.3. duomenų subjektas asmens duomenis, kuriuos ketina persiųsti kitam duomenų valdytojui, pateikė Tarybai pats arba per atstovą;
37. Vadovaujantis Reglamentu duomenų perkeliamumas netaikomas, kai tvarkyti duomenis būtina siekiant atlikti užduotį, vykdomą viešojo intereso labui arba vykdant Tarybai pavestas viešosios valdžios funkcijas, arba tada, kai Taryba vykdo savo viešąsias pareigas arba teisinę prievolę.
38. Jeigu nustatoma, kad duomenų subjekto prašymas pagrįstas, ne vėliau kaip per 5 darbo dienas nuo prašymo pagrįstumo nustatymo informacija pateikiama:
39. Duomenys pateikiami įprastai naudojamu ir kompiuterio skaitomu formatu. Visais atvejais duomenų pateikimo forma turi būti proporcinga duomenų perkėlimo tikslui ir nebūti susijusi su neadekvačiomis Tarybos sąnaudomis.
IV SKYRIUS
ASMENS DUOMENŲ SAUGUMO UŽTIKRINIMAS
41. Taryba įgyvendina administracines, technines ir organizacines priemones, kad būtų užtikrinta asmens duomenų apsauga nuo neteisėto jų paskelbimo ir (arba) panaudojimo.
42. Duomenų subjektų asmens duomenys tvarkomi pagal šią Politiką bei Tarybos teisės aktus, reglamentuojančius konfidencialios informacijos valdymą Taryboje.
43. Duomenų subjektų asmens duomenis tvarkantys Tarybos darbuotojai laikosi konfidencialumo principo ir yra pasirašę konfidencialios informacijos saugojimo sutartis. Pareiga saugoti asmens duomenų paslaptį išlieka ir po darbo santykių su Taryba pasibaigimo.
V SKYRIUS
BAIGIAMOSIOS NUOSTATOS
45. Tarybos veiksmai ar neveikimas, kuriais pažeidžiami teisės aktai, reglamentuojantys asmens duomenų tvarkymą ir apsaugą, gali būti skundžiami Valstybinei duomenų apsaugos inspekcijai, Vyriausiajai administracinių ginčų komisijai arba Vilniaus apygardos administraciniam teismui Lietuvos Respublikos teisės aktų nustatyta tvarka.