VALSTYBINĖS DUOMENŲ APSAUGOS INSPEKCIJOS DIREKTORIAUS

ĮSAKYMAS

DĖL IŠANKSTINĖS PATIKROS ATLIKIMO TAISYKLIŲ PATVIRTINIMO

2016 m. birželio 22 d. Nr. 1T-23 (1.12.E)

Vilnius

Vadovaudamasis Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymo 33 straipsnio 2 dalimi:

1.  Tvirtinu pridedamas Išankstinės patikros atlikimo taisykles.

2.  Nustatau, kad šis įsakymas įsigalioja 2016 m. lapkričio 1 d.

3.  Pripažįstu netekusiu galios Valstybinės duomenų apsaugos inspekcijos direktoriaus 2006 m. vasario 2 d. įsakymą Nr. 1T-6(1.12.) „Dėl Išankstinės patikros atlikimo taisyklių patvirtinimo“ su visais pakeitimais.

Direktorius                                                                                          Algirdas Kunčinas

PATVIRTINTA

Valstybinės duomenų apsaugos inspekcijos

direktoriaus 2016 m. birželio 22 d.

įsakymu Nr. 1T-23 (1.12.E)

IŠANKSTINĖS PATIKROS ATLIKIMO TAISYKLĖS

I SKYRIUS

BENDROSIOS NUOSTATOS

1.  Išankstinės patikros atlikimo taisyklės (toliau – Taisyklės) nustato duomenų valdytojų pranešimo Valstybinei duomenų apsaugos inspekcijai apie numatomus asmens duomenų tvarkymo veiksmus pateikimo tvarką ir išankstinės patikros atlikimo tvarką.

2.  Valstybinė duomenų apsaugos inspekcija atlieka išankstinę patikrą Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymo 33 straipsnio 1 dalyje numatytais atvejais.

II SKYRIUS

PRANEŠIMO DĖL IŠANKSTINĖS PATIKROS PATEIKIMO TVARKA

3.  Duomenų valdytojas Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymo 33 straipsnio 1 dalyje numatytais atvejais pateikia Valstybinės duomenų apsaugos inspekcijos direktoriaus patvirtintos formos pranešimą dėl išankstinės patikros arba pranešime dėl išankstinės patikros, kai valstybės ar žinybinių registrų arba valstybės ir savivaldybių institucijų informacinių sistemų duomenų valdytojas ketina įgalioti duomenų tvarkytoją tvarkyti asmens duomenis, (toliau kartu – Pranešimas).

4.       Prie Pranešimo pridedama:

4.1.    Valstybinės duomenų apsaugos inspekcijos direktoriaus įsakymu patvirtintos formos asmens duomenų apsaugos priemonių aprašas, užpildytas pagal Valstybinės duomenų apsaugos inspekcijos direktoriaus nustatytus reikalavimus;

4.2.    dokumentų, pagrindžiančių Taisyklių 12 punkte nurodytas aplinkybes, pavyzdžiui, asmens duomenų tvarkymo sutarties ar jos projekto, asmens duomenų teikimo sutarties ar jos projekto, asmens duomenų tvarkymo taisyklių ar jų projekto ir kitų dokumentų ar jų projektų, patvirtintos kopijos;

4.3.    atstovavimą patvirtinantys dokumentai ar jų patvirtintos kopijos, kai Pranešimą teikia duomenų valdytojo atstovas.

5.  Duomenų valdytojas, ketinantis tvarkyti asmens duomenis keliais asmens duomenų tvarkymo tikslais, turi pateikti atskirus Pranešimus kiekvienu asmens duomenų tvarkymo tikslu.

6.  Tuo atveju, jeigu sutampa keliais asmens duomenų tvarkymo tikslais tvarkomi asmens duomenys (t. y. vienoda tvarkomų asmens duomenų apimtis) ir kita informacija, susijusi su numatomu asmens duomenų tvarkymu, duomenų valdytojas gali teikti vieną Pranešimą.

7.  Duomenų valdytojas apie pasikeitusius asmens duomenų tvarkymo veiksmus ar kitą informaciją, susijusią su asmens duomenų tvarkymu, dėl kurio jau buvo atlikta išankstinė patikra ir išduotas leidimas dėl tokio asmens duomenų tvarkymo, praneša Inspekcijai pateikdamas laisvos formos pranešimą, nurodydamas Valstybinės duomenų apsaugos inspekcijos priimto sprendimo išduoti leidimą atlikti asmens duomenų tvarkymo veiksmus datą ir numerį, informaciją apie pasikeitusius asmens duomenų tvarkymo veiksmus ar kitą informaciją, susijusią su asmens duomenų tvarkymu, Taisyklių 10 punkte nurodytais būdais. Prie laisvos formos pranešimo pridedami Taisyklių 4 punkte nurodyti dokumentai, susiję su pasikeitusiais asmens duomenų tvarkymo veiksmais ar kita informacija, susijusia su asmens duomenų tvarkymu, ar jų patvirtintos kopijos.

8.  Pranešimą pasirašo duomenų valdytojas (fizinis asmuo), duomenų valdytojo (juridinio asmens) vadovas ar jų įgaliotas asmuo.

9.  Duomenų valdytojas atsako už Pranešime pateiktos informacijos tikslumą ir teisingumą.

10.     Pranešimą duomenų valdytojas gali pateikti raštu (pateikti Valstybinėje duomenų apsaugos inspekcijoje, paštu, į elektroninės siuntos pristatymo dėžutę) ar elektroninių ryšių priemonėmis. Elektroninių ryšių priemonėmis teikiamas Pranešimas turi būti pasirašytas Pranešimo 8 punkte nurodyto asmens elektroniniu parašu arba šio asmens tapatybė turi būti patvirtinta naudojantis Valstybinės duomenų apsaugos inspekcijos elektroninių paslaugų sistema.

III SKYRIUS

IŠANKSTINĖS PATIKROS ATLIKIMO TVARKA

11.     Valstybinė duomenų apsaugos inspekcija išankstinę patikrą atlieka nagrinėdama Pranešime ir prie jo pateiktuose dokumentuose nurodytą informaciją.

12.     Atliekant išankstinę patikrą vertinama, ar asmens duomenys bus tvarkomi teisėtai ir nepažeidžiant Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatyme nustatytų asmens duomenų tvarkymo reikalavimų, duomenų subjektų teisių, taip pat ar duomenų valdytojo numatomos įgyvendinti organizacinės ir techninės asmens duomenų saugumo priemonės yra tinkamos.

13.     Jeigu Pranešime ir pateiktuose dokumentuose esančios informacijos nepakanka tinkamai įvertinti Taisyklių 12 punkte nurodytas aplinkybes, taip pat jei pateikta informacija yra netiksli, Valstybinė duomenų apsaugos inspekcija raštu kreipiasi į Pranešimą pateikusį asmenį nurodydama terminą pateikti papildomą ir (arba) patikslintą informaciją.

14.     Valstybinė duomenų apsaugos inspekcija atlikdama išankstinę patikrą turi teisę iš anksto raštu įspėjus atlikti tikrinimą tikrinamo asmens patalpose (tarp jų ir nuomojamose ar naudojamose kitu pagrindu) arba teritorijoje, kur yra dokumentai, įranga, susiję su asmens duomenų tvarkymu, dėl kurio atliekama išankstinė patikra, jeigu būtina įsitikinti Pranešime pateikta informacija ir (arba) jos nepakanka išankstinei patikrai atlikti.

15.     Išankstinės patikros atlikimas nutraukiamas, jeigu:

15.1.  to prašo raštu duomenų valdytojas, kurio vardu pateiktas Pranešimas;

15.2.  duomenų valdytojas Valstybinės duomenų apsaugos inspekcijos nustatytu terminu pagal jos rašytinį prašymą nepateikė papildomos ir (arba) patikslintos informacijos;

15.3.  duomenų valdytojas nesudaro galimybės Valstybinei duomenų apsaugos inspekcijai atlikti tikrinimą vietoje, kai tai reikalinga išankstinei patikrai atlikti;

15.4.  Pranešime nurodytam asmens duomenų tvarkymui netaikomas Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymas;

15.5.  išankstinei patikrai atlikti nėra teisinio pagrindo pagal Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymo 33 straipsnio 1 dalį;

15.6.  Pranešimas pateiktas to paties duomenų valdytojo vardu, dėl to paties asmens duomenų tvarkymo ir tuo pačiu asmens duomenų tvarkymo tikslu dėl kurio Valstybinė duomenų apsaugos inspekcija atlieka išankstinę patikrą;

15.7.  duomenų valdytojui jau yra išduotas leidimas arba buvo atsisakyta jam išduoti leidimą dėl to paties asmens duomenų tvarkymo, tuo pačiu tikslu ir tuo pačiu pagrindu, išskyrus atvejus, kai nurodoma naujų aplinkybių ar pateikiama naujų faktų;

15.8.  Pranešimą pateikė neturintis teisės jį pateikti asmuo;

15.9.  Pranešimas neatitinka Valstybinės duomenų apsaugos inspekcijos direktoriaus patvirtintos formos;

15.10.  Pranešimas pateiktas keliais asmens duomenų tvarkymo tikslais ir iš tokio Pranešimo neįmanoma įvertinti asmens duomenų tvarkymo teisėtumo.

16.     Duomenų valdytojui pateikus papildomą ir (arba) patikslintą informaciją po to, kai išankstinė patikra buvo nutraukta Taisyklių 15.2 papunktyje nurodytu pagrindu, išankstinės patikra atnaujinama, jeigu Pranešime pateikta informacija nepasikeitė. Duomenų valdytojas šiuo atveju neprivalo teikti naujo Pranešimo.

17.     Valstybinė duomenų apsaugos inspekcija privalo atlikti išankstinę patikrą per 2 mėnesius nuo Pranešimo gavimo dienos. Jeigu paskutinė Pranešimo nagrinėjimo termino diena tenka ne darbo ar oficialios šventės dienai, šio termino pabaigos diena laikoma po jos einanti darbo diena. Taisyklių 16 punkte nurodytu atveju 2 mėnesių terminas skaičiuojamas nuo papildomos ir (ar) patikslintos informacijos gavimo Valstybinėje duomenų apsaugos inspekcijoje dienos.

18.     Valstybinė duomenų apsaugos inspekcija Pranešimo nagrinėjimo terminą gali pratęsti dėl Pranešime nurodytų aplinkybių sudėtingumo, informacijos apimties ar kitų svarbių aplinkybių, bet ne ilgiau kaip vienu mėnesiu, apie tai raštu informuodama duomenų valdytoją.

19.     Valstybinė duomenų apsaugos inspekcija, išnagrinėjusi pateiktą Pranešimą ir prie jo pridėtus dokumentus, priima motyvuotą sprendimą:

19.1.  nutraukti išankstinę patikrą;

19.2.  išduoti leidimą atlikti asmens duomenų tvarkymo veiksmus;

19.3.  atsisakyti išduoti leidimą atlikti asmens duomenų tvarkymo veiksmus.

20.     Valstybinė duomenų apsaugos inspekcija atsisako išduoti leidimą, jeigu:

20.1.  asmens duomenys bus tvarkomi neteisėtai ir pažeidžiant Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatyme nustatytus asmens duomenų tvarkymo reikalavimus; ar (ir)

20.2.  nebus įgyvendinamos ar bus pažeidžiamos duomenų subjektų teisės; ar (ir)

20.3.  duomenų valdytojo numatomos įgyvendinti organizacinės ir techninės asmens duomenų saugumo priemonės yra netinkamos.

21.     Duomenų valdytojas raštu informuojamas apie priimtą Valstybinės duomenų apsaugos inspekcijos sprendimą. Valstybinės duomenų apsaugos inspekcijos sprendimas gali būti skundžiamas įstatymų nustatyta tvarka.

IV SKYRIUS

BAIGIAMOSIOS NUOSTATOS

22.     Vadovaujantis Duomenų valdytojų pranešimo apie duomenų tvarkymą taisyklių, patvirtintų Lietuvos Respublikos Vyriausybės 2002 m. vasario 20 d. nutarimu Nr. 262 „Dėl Asmens duomenų valdytojų valstybės registro nuostatų ir Duomenų valdytojų pranešimo apie asmens duomenų tvarkymą taisyklių patvirtinimo“ 7 punktu, duomenų valdytojas, kurio atžvilgiu Valstybinė duomenų apsaugos inspekcija atliko išankstinę patikrą ir kuriam išdavė leidimą atlikti Pranešime nurodytus asmens duomenų tvarkymo veiksmus, neturi pateikti pranešimo apie asmens duomenų tvarkymą tuo pačiu asmens duomenų tvarkymo tikslu.

23.     Inspekcija, atlikusi išankstinę patikrą ir išdavusi leidimą atlikti asmens duomenų tvarkymo veiksmus, Asmens duomenų valdytojų valstybės registro nuostatų, patvirtintų Lietuvos Respublikos Vyriausybės 2002 m. vasario 20 d. nutarimu Nr. 262 „Dėl Asmens duomenų valdytojų valstybės registro nuostatų ir Duomenų valdytojų pranešimo apie asmens duomenų tvarkymą taisyklių patvirtinimo“, nustatyta tvarka įregistruoja duomenų valdytoją Asmens duomenų valdytojų valstybės registre naudodama per išankstinę patikrą surinktus reikiamus duomenis.

__________________