MUITINĖS DEPARTAMENTO
PRIE LIETUVOS RESPUBLIKOS FINANSŲ MINISTERIJOS
GENERALINIS DIREKTORIUS
ĮSAKYMAS
DĖL ASMENS DUOMENŲ TVARKYMO LIETUVOS RESPUBLIKOS MUITINĖJE TAISYKLIŲ PATVIRTINIMO
2019 m. birželio 7 d. Nr. 1B-537
Vilnius
Vadovaudamasis 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamentu (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo, kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas) (OL 2016 L 119, p.1), Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymu ir Lietuvos Respublikos asmens duomenų, tvarkomų nusikalstamų veikų prevencijos, tyrimo, atskleidimo ar baudžiamojo persekiojimo už jas, bausmių vykdymo arba nacionalinio saugumo ar gynybos tikslais, teisinės apsaugos įstatymu:
2. P a v e d u supažindinti su šio įsakymo 1 punktu patvirtintomis taisyklėmis:
2.1. Muitinės departamento Dokumentų valdymo skyriui (D. Guzevičienė) - muitinės įstaigų vadovus, jų pavaduotojus ir struktūrinių padalinių vadovus per Lietuvos Respublikos muitinės vidinės komunikacijos sistemą (toliau – VKS);
2.2. muitinės įstaigų struktūrinių padalinių vadovus - jiems pavaldžius muitinės pareigūnus, valstybės tarnautojus ir darbuotojus, dirbančius pagal darbo sutartis, per VKS;
PATVIRTINTA
Muitinės departamento prie Lietuvos
Respublikos finansų ministerijos
generalinio direktoriaus
2019 m. birželio 7 d. įsakymu Nr. 1B-537
ASMENS DUOMENŲ TVARKYMO LIETUVOS RESPUBLIKOS MUITINĖJE
TAISYKLĖS
I SKYRIUS
BENDROSIOS NUOSTATOS
1. Asmens duomenų tvarkymo Lietuvos Respublikos muitinėje taisyklės (toliau – Taisyklės) reglamentuoja fizinių asmenų (toliau – duomenų subjektai) asmens duomenų tvarkymą Lietuvos Respublikos muitinėje (toliau – muitinė) automatiniu ir neautomatiniu būdu siekiant užtikrinti, kad būtų laikomasi 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos Reglamento (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (toliau – Bendrasis duomenų apsaugos reglamentas), Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymo, Lietuvos Respublikos asmens duomenų, tvarkomų nusikalstamų veikų prevencijos, tyrimo, atskleidimo ar baudžiamojo persekiojimo už jas, bausmių vykdymo arba nacionalinio saugumo ir gynybos tikslais, teisinės apsaugos įstatymo ir kitų teisės aktų, nustatančių asmens duomenų tvarkymo ir apsaugos reikalavimus, nuostatų.
2. Taisyklių paskirtis – reglamentuoti asmens duomenų tvarkymą ir nustatyti asmens duomenų apsaugos organizacines priemones muitinėje.
3. Taisyklės nėra taikomos, kai yra tvarkomi anoniminiai duomenys. Anoniminiais duomenimis yra laikoma bet kokia informacija, kuria remiantis duomenų subjektas negali būti tiesiogiai ar netiesiogiai nustatytas duomenų tvarkytojo arba bet kurio kito trečiojo asmens. Pripažįstant duomenis anoniminiais, atsižvelgiama į galimas panaudoti priemones fizinio asmens tapatybei nustatyti bei visus objektyvius veiksnius, pavyzdžiui, sąnaudas ir laiko trukmę, turimas technologijas ir technologinę plėtrą.
4. Tvarkant asmens duomenis Taisyklės taikomos tiek, kiek to nereglamentuoja baudžiamąjį procesą, kriminalinę žvalgybą ir tarptautinį bendradarbiavimą baudžiamosiose bylose reglamentuojantys teisės aktai.
5. Taisyklės taikomos ir yra privalomos muitinės įstaigoms kaip asmens duomenų valdytojams, asmens duomenų tvarkytojams ir visiems muitinės pareigūnams, valstybės tarnautojams ir darbuotojams, dirbantiems pagal darbo sutartis (toliau kartu vadinami muitinės darbuotojais), kurie atlikdami savo pareigas tvarko asmens duomenis, juos sužino arba gali sužinoti.
6. Muitinės departamento prie Lietuvos Respublikos finansų ministerijos generalinio direktoriaus paskirtas asmens duomenų apsaugos pareigūnas atlieka šias funkcijas: asmens duomenų apsaugos reikalavimų įgyvendinimo ir laikymosi stebėseną muitinėje, imasi priemonių nustatytiems trūkumams šalinti, teikia duomenų valdytojams, tvarkytojams ir muitinės darbuotojams informaciją apie jų prievoles pagal duomenų apsaugą reglamentuojančius Europos Sąjungos ir nacionalinius teisės aktus, teikia patarimus ir išaiškinimus šiais klausimais, palaiko ryšį su priežiūros institucijomis, atlieka kitas jam pavestas funkcijas bei Bendrajame duomenų apsaugos reglamente nurodytas užduotis. Šias pareigas einančio valstybės tarnautojo veiklos sritis apima visas muitinės įstaigas. Muitinės darbuotojai privalo bendradarbiauti su duomenų apsaugos pareigūnu, skubiai teikti visus jo paprašytus dokumentus ir informaciją. Duomenų apsaugos pareigūno paskyrimas nepanaikina kiekvieno muitinės darbuotojo, kuris tvarko asmens duomenis, eidamas savo pareigas juos sužino arba turi bet kokio pobūdžio prieigą prie asmens duomenų, pareigos ir atsakomybės už teisės aktų, reglamentuojančių asmens duomenų tvarkymą ir apsaugą, laikymąsi ir įgyvendinimą bei asmens duomenų tvarkymo teisėtumą.
7. Taisyklėse vartojamos sąvokos suprantamos taip, kaip jos apibrėžtos Bendrajame duomenų apsaugos reglamente, Asmens duomenų teisinės apsaugos ir Asmens duomenų, tvarkomų nusikalstamų veikų prevencijos, tyrimo, atskleidimo ar baudžiamojo persekiojimo už jas, bausmių vykdymo arba nacionalinio saugumo ir gynybos tikslais, teisinės apsaugos įstatymuose.
II SKYRIUS
SPECIALIOSIOS ASMENS DUOMENŲ TVARKYMO NUOSTATOS
8. Asmens duomenų valdytojai ir asmens duomenų tvarkytojai, atsižvelgiant į tai, kokioje muitinės įstaigoje asmens duomenys tvarkomi, yra:
8.1. Muitinės departamentas prie Lietuvos Respublikos finansų ministerijos, juridinio asmens kodas 188656838, buveinės adresas: A. Jakšto g. 1, 01105 Vilnius;
8.2. Muitinės informacinių sistemų centras, juridinio asmens kodas 188763765, buveinės adresas: Vytenio g. 7, 03113 Vilnius;
8.3. Vilniaus teritorinė muitinė, juridinio asmens kodas 290733470, buveinės adresas: Naujoji Riovonių g. 3, 03151 Vilnius;
8.4. Kauno teritorinė muitinė, juridinio asmens kodas 190734952, buveinės adresas: Jovarų g. 3, 47192 Kaunas;
8.5. Klaipėdos teritorinė muitinė, juridinio asmens kodas 190735335, buveinės adresas: S. Nėries g. 4, 92228 Klaipėda;
8.6. Muitinės mokymo centras, juridinio asmens kodas 190741046, buveinės adresas: Jeruzalės g. 25, 08420 Vilnius;
8.7. Muitinės laboratorija, juridinio asmens kodas 191800280, buveinės adresas: Akademijos g. 7, 08412 Vilnius;
9. Asmens duomenys muitinėje yra tvarkomi siekiant įgyvendinti Taisyklių 8 punkte nurodytoms įstaigoms priskirtas funkcijas ir nustatytus tikslus viešojo ir vidaus administravimo srityse.
10. Muitinėje visi asmens duomenys yra tvarkomi griežtai vadovaujantis Bendrojo duomenų apsaugos reglamento 5 straipsnio 1 dalyje nustatytų teisėtumo, sąžiningumo ir skaidrumo, tikslo apribojimo, duomenų kiekio mažinimo, tikslumo, saugojimo trukmės apribojimo, vientisumo, konfidencialumo ir atskaitomybės principų. Kai asmens duomenys tvarkomi nusikalstamų veikų prevencijos, tyrimo, atskleidimo ar baudžiamojo persekiojimo už jas tikslais, jie tvarkomi laikantis Asmens duomenų, tvarkomų nusikalstamų veikų prevencijos, tyrimo, atskleidimo ar baudžiamojo persekiojimo už jas, bausmių vykdymo arba nacionalinio saugumo ar gynybos tikslais, teisinės apsaugos įstatyme nustatytų asmens duomenų tvarkymo principų.
11. Muitinėje asmens duomenys renkami tik teisės aktų nustatyta tvarka, t. y. gaunami tiesiogiai iš duomenų subjekto, oficialiai užklausiant reikalingą informaciją tvarkančių ir turinčių teisę ją teikti subjektų ar sutarčių ir teisės aktų pagrindu prisijungiant prie atskirus duomenis kaupiančių duomenų bazių, registrų bei informacinių sistemų ir tvarkomi automatiniu ir neautomatiniu būdu.
12. Asmens duomenys gali būti tvarkomi tik tam tikslui, dėl kurio yra renkami, pasiekti arba teisės aktų nustatytoms funkcijoms įgyvendinti. Jeigu asmens duomenys nėra būtini tam, kad būtų pasiektas konkretus tikslas, jie negali būti tvarkomi. Konkrečiam tikslui pasiekti yra tvarkomas kiek įmanoma mažesnis kiekis asmens duomenų. Asmens duomenys, kurie nėra tikslūs, atsižvelgiant į jų tvarkymo tikslus, turi būti nedelsiant ištrinami arba ištaisomi – muitinė imasi visų pagrįstų priemonių užtikrinti, kad būtų laikomasi nustatytų asmens duomenų tvarkymo principų. Asmens duomenys tvarkomi ir saugomi ne ilgiau, negu nustatytas jų saugojimo terminas, kuris turi būti ne ilgesnis, negu yra būtina tiems tikslams, kuriais asmens duomenys yra tvarkomi, pasiekti.
13. Muitinėje asmens duomenų tvarkymas yra teisėtas, jeigu yra bent viena iš Bendrojo duomenų apsaugos reglamento 6 straipsnio 1 dalyje įtvirtintų teisėto tvarkymo sąlygų. Tais atvejais, kai asmens duomenys yra tvarkomi nusikalstamų veikų prevencijos, tyrimo, atskleidimo ar baudžiamojo persekiojimo už jas tikslais, duomenų tvarkymas yra teisėtas tik tada, kai jie tvarkomi Asmens duomenų, tvarkomų nusikalstamų veikų prevencijos, tyrimo, atskleidimo ar baudžiamojo persekiojimo už jas, bausmių vykdymo arba nacionalinio saugumo ar gynybos tikslais, teisinės apsaugos įstatyme įvardintais tikslais.
14. Draudžiama tvarkyti specialių kategorijų asmens duomenis, išskyrus tuos atvejus, jeigu yra bent viena iš Bendrojo duomenų apsaugos reglamento 9 straipsnio 2 dalyje ir Asmens duomenų, tvarkomų nusikalstamų veikų prevencijos, tyrimo, atskleidimo ar baudžiamojo persekiojimo už jas, bausmių vykdymo arba nacionalinio saugumo ar gynybos tikslais, teisinės apsaugos įstatymo 8 straipsnyje numatytų sąlygų.
15. Asmens duomenis apie apkaltinamuosius nuosprendžius ir nusikalstamas veikas muitinės darbuotojai tvarko tik tais atvejais, kai tokią teisę tiesiogiai nustato teisės aktai.
16. Muitinėje tvarkomų asmens duomenų kategorijos bei jų tvarkymo tikslai nurodyti Duomenų subjektų teisių įgyvendinimo Lietuvos Respublikos muitinėje apraše, patvirtintame Muitinės departamento prie Lietuvos Respublikos finansų ministerijos generalinio direktoriaus 2018 m. liepos 9 d. įsakymu Nr. 1B-545 „Dėl Duomenų subjektų teisių įgyvendinimo Lietuvos Respublikos muitinėje aprašo patvirtinimo“.
17. Muitinės darbuotojai prieš kiekvieną asmens duomenų tvarkymo operaciją (veiksmą), tais atvejais, kai jis neatitinka Taisyklių 11 punkto nuostatų, privalo įvertinti, ar toks asmens duomenų tvarkymas atitinka Taisyklių 10 ir 12 punktuose įtvirtintus reikalavimus, ir užtikrinti, kad kiekviena duomenų tvarkymo operacija (veiksmas) atitiktų minėtus reikalavimus, taip pat įvertinti, ar toks asmens duomenų tvarkymas turi bent vieną Taisyklių 13 ar 14 punktuose įtvirtintą asmens duomenų tvarkymo pagrindą, ir užtikrinti, kad asmens duomenys nebūtų tvarkomi, jei nėra bent vieno iš minėtų teisinių pagrindų.
18. Asmens duomenys saugomi kasmet sudaromuose ir muitinės įstaigų vadovų tvirtinamuose dokumentacijos planuose nurodytais terminais, priklausomai nuo dokumento ar bylos, kuriuose šie duomenys yra nurodyti, rūšies. Pasibaigus dokumento, kuriame šie duomenys yra nurodyti, saugojimo terminui, priimamas sprendimas dėl jo sunaikinimo ir dokumentas sunaikinamas Lietuvos Respublikos dokumentų ir archyvų įstatymo nustatyta tvarka. Nuolat saugomi dokumentai, kuriuose yra asmens duomenų, perduodami saugoti valstybės archyvams Lietuvos Respublikos dokumentų ir archyvų įstatymo nustatyta tvarka.
19. Muitinės informacinėse sistemose, duomenų bazėse duomenų subjektų asmens duomenys saugomi muitinės įstaigų dokumentacijos planuose nurodytais terminais (jei asmens duomenys yra nurodyti dokumentuose) ir Muitinės informacinių sistemų ar posistemių nuostatuose nurodytais terminais. Pasibaigus asmens duomenų saugojimo terminui teisės aktų nustatyta tvarka priimamas sprendimas dėl jų sunaikinimo.
20. Baigiantis asmens duomenų saugojimo terminui, duomenų valdytojas gali jį pratęsti, jeigu nustatoma, kad saugoti asmens duomenis toliau yra būtina, ypač atsižvelgiant į būtinybę panaudoti asmens duomenis kaip įrodymą ikiteisminiame ar kitokiame tyrime, įskaitant Valstybinės duomenų apsaugos inspekcijos vykdomą tyrimą ar kitais teisės aktų nustatytais atvejais. Prieš priimant sprendimą pratęsti asmens duomenų saugojimo terminą, konsultuojamasi su muitinės duomenų apsaugos pareigūnu.
21. Jei muitinėje tvarkoma informacija turi būti skelbiama internete ir joje yra viešai neskelbtinų asmens duomenų, parengiama viešai skelbtina teksto versija, iš kurios visi viešai neskelbtini duomenys pašalinami. Pašalintų duomenų vietoje pasviruoju šriftu skliausteliuose įrašoma: „(duomenys neskelbtini)“. Viešai neskelbtina ir neteiktina muitinės informacija apibrėžta Muitinės informacijos tvarkymo taisyklėse, patvirtintose Muitinės departamento prie Lietuvos Respublikos finansų ministerijos generalinio direktoriaus 2005 m. rugpjūčio 10 d. įsakymu
Nr. 1B-550 „Dėl Muitinės informacijos tvarkymo taisyklių patvirtinimo“.
III SKYRIUS
VAIZDO STEBĖJIMAS IR GARSO ĮRAŠYMAS
22. Siekiant užtikrinti muitinės įstaigoms priklausančių patalpų ir teritorijos apsaugą, visuomenės saugumą, viešąją tvarką, muitų teisės aktų pažeidimų ir korupcijos prevenciją, išaiškinimą ir tyrimą, gali būti atliekamas vaizdo stebėjimas ir garso įrašymas. Stebėti vaizdą ir įrašinėti garsą galima tik tada, kai kiti būdai ar priemonės nėra pakankami ir (arba) tinkami ir kai duomenų subjekto interesai nėra svarbesni. Garsas gali būti įrašomas informaciją (duomenis) perduodant telefono ryšio linijomis (informacijos telefonu 8 800 900 80, pasitikėjimo telefonu 8 800 555 44, Muitinės departamento Ryšių valdymo centro bendruoju telefonu (8 5) 261 6960, Muitinės kriminalinės tarnybos Rizikos valdymo skyriaus telefonais (8 5) 274 3107 ir 8 613 91 486). Apie tai, kad stebimas vaizdas ir (arba) įrašomas garsas, duomenų subjektai informuojami informaciniais užrašais, kurie išdėstomi prieš įėjimą į teritoriją ar patalpą, o apie pokalbių įrašymą – garsiniais pranešimais, jeigu duomenų subjektas kreipiasi telefono ryšio priemonėmis.
23. Siekiant Taisyklių 22 punkte išvardytų tikslų, galimas muitinės darbuotojo darbo vietos vaizdo stebėjimas ir garso įrašinėjimas, kuris reglamentuojamas specialiomis darbo vietos stebėjimo ir garso joje įrašymo taisyklėmis. Muitinės darbuotojai apie jų darbo vietos vaizdo stebėjimą ir garso įrašymą informuojami pasirašytinai. Pasirašytas informavimo dokumentas saugomas asmens byloje visą tarnybos ar darbo laikotarpį.
24. Vaizdo stebėjimo ir garso įrašymo priemonės įrengiamos taip, kad būtų stebima (įrašomas garsas) tik konkreti patalpa, teritorija, jos dalis, ar jos prieigos. Draudžiama vykdyti vaizdo stebėjimą patalpose, kuriose duomenų subjektas pagrįstai tikisi absoliučios privatumo apsaugos ir kur toks stebėjimas žemintų žmogaus orumą.
25. Vaizdo stebėjimo ir garso įrašymo duomenys saugomi ne ilgiau, nei to reikalauja duomenų tvarkymo tikslai. Pasibaigus šiam terminui, duomenys vaizdo ir garso laikmenos ištrinamos automatiniu būdu.
IV SKYRIUS
ASMENS DUOMENŲ SAUGUMAS
27. Asmens duomenų saugumas užtikrinamas remiantis šiais principais ir priemonėmis:
27.1. Asmens duomenų tvarkymą ir apsaugą pagal kompetenciją užtikrina kiekvienas asmens duomenų valdytojas ir asmens duomenų tvarkytojas.
27.2. Tinkamas asmens duomenų tvarkymas pagal kompetenciją užtikrinamas kiekvieno muitinės darbuotojo. Darbuotojai turi teisę rinkti, tvarkyti, perduoti, saugoti, naikinti ar kitaip naudoti asmens duomenis tik atlikdami savo tiesiogines funkcijas, apibrėžtas pareigybių aprašymuose arba priskirtas pavedimu, ir tik teisės aktų nustatyta tvarka.
27.3. Rengiant raštus, sprendimus, įsakymus ar kito pobūdžio dokumentus vengiama perteklinių duomenų apie fizinius asmenis, jei to nereikalauja privalomas teisės aktas ar su konkretaus dokumento rengimu susijusios aplinkybės.
27.4. Muitinės darbuotojai automatiniu būdu tvarkyti asmens duomenis gali tik po to, kai jiems suteikiama prieigos teisė prie atitinkamos muitinės informacinės sistemos. Prieigos teisės prie asmens duomenų, įgaliojimų tvarkyti asmens duomenis suteikimo, naikinimo ir keitimo tvarką nustato Muitinės informacinių sistemų naudotojų administravimo taisyklės, patvirtintos Muitinės departamento prie Lietuvos Respublikos finansų ministerijos generalinio direktoriaus 2011 m. gegužės 31 d. įsakymu Nr. 1B-311 „Dėl Muitinės informacinių sistemų saugaus elektroninės informacijos tvarkymo taisyklių, Muitinės informacinių sistemų naudotojų administravimo taisyklių ir Muitinės informacinių sistemų veiklos tęstinumo valdymo plano patvirtinimo“. Tarnybos (darbo) santykiams pasibaigus, darbuotojui prieigos prie muitinės informacinių sistemų, kuriose tvarkomi asmens duomenys, nedelsiant panaikinamos.
27.5. Su asmens duomenimis galima atlikti tik tuos veiksmus, kuriems atlikti naudotojui yra suteiktos teisės.
27.6. Kompiuterinės darbo vietos, tarnybinės stotys ir kita techninė įranga, kurios pagalba gali būti pasiekiami asmens duomenys, turi būti tinkamai apsaugoti, vadovaujantis gerosiomis informacijos saugos praktikomis ir teisės aktų reikalavimais.
27.7. Muitinės dokumentų kopijos, kuriose nurodomi asmens duomenys, turi būti sunaikinamos taip, kad šių dokumentų nebūtų galima atkurti ir atpažinti jų turinio.
27.8. Neautomatiniu būdu tvarkomų asmens duomenų subjektų dokumentai ir jų popierinės ir (ar) elektroninės kopijos saugomos patalpose, į kurias patekimas yra kontroliuojamas. Archyviniam saugojimui perduotos dokumentų bylos saugomos Muitinės departamento arba muitinės įstaigos archyve, rakinamoje dokumentų saugykloje.
27.9. Asmens duomenų tvarkymo funkcijas atliekantys darbuotojai, siekdami užkirsti kelią atsitiktiniam ar neteisėtam asmens duomenų sunaikinimui, pakeitimui, atskleidimui, taip pat bet kokiam kitam neteisėtam tvarkymui, turi saugoti dokumentus ir duomenų rinkmenas tinkamai ir saugiai, vengti nereikalingų kopijų darymo. Praradus asmens duomenis nedelsiant turi būti informuojamas duomenų apsaugos pareigūnas. Prarastų asmens duomenų atkūrimą organizuoja Muitinės departamento arba muitinės įstaigos struktūrinis padalinys, atsakingas už prarastų asmens duomenų tvarkymą ir saugumą.
27.11. Informacinių sistemų testavimas nevykdomas su realiais asmens duomenimis, išskyrus būtinus atvejus, kurių metu naudojamos organizacinės ir techninės asmens duomenų saugumo priemonės, užtikrinančios realių asmens duomenų saugumą.
27.12. Muitinės darbuotojų kompiuteriuose esančios kompiuterinės bylos, kuriose kaupiami asmens duomenys, neturi būti prieinamos kitų kompiuterių naudotojams.
27.13. Darbuotojai, kurie tvarko asmens duomenis arba eidami savo pareigas juos sužino, privalo laikytis konfidencialumo principo ir laikyti paslaptyje bet kokią su asmens duomenimis susijusią informaciją, išskyrus atvejus, kai tokia informacija yra vieša pagal galiojančius Lietuvos Respublikos teisės aktus. Konfidencialumo principo darbuotojai turi laikytis net ir pasibaigus tarnybos (darbo) santykiams.
27.14. Kiti asmens duomenų saugos reikalavimai nustatomi ir įgyvendinami vadovaujantis Techniniais valstybės registrų (kadastrų), žinybinių registrų, valstybės informacinių sistemų ir kitų informacinių sistemų elektroninės informacijos saugos reikalavimais, patvirtintais Lietuvos Respublikos vidaus reikalų ministro 2013 m. spalio 4 d. įsakymu Nr. 1V-832 „Dėl Techninių valstybės registrų (kadastrų), žinybinių registrų, valstybės informacinių sistemų ir kitų informacinių sistemų elektroninės informacijos saugos reikalavimų patvirtinimo“, Bendrųjų elektroninės informacijos saugos reikalavimų aprašu, patvirtintu Lietuvos Respublikos Vyriausybės 2013 m. liepos 24 d. nutarimu Nr. 716 „Dėl Bendrųjų elektroninės informacijos saugos reikalavimų aprašo, Saugos dokumentų turinio gairių aprašo ir Elektroninės informacijos, sudarančios valstybės informacinius išteklius, svarbos įvertinimo ir valstybės informacinių sistemų, registrų ir kitų informacinių sistemų klasifikavimo gairių aprašo patvirtinimo“, Organizacinių ir techninių kibernetinio saugumo reikalavimų, taikomų ypatingos svarbos informacinei infrastruktūrai ir valstybės informaciniams ištekliams, aprašu, patvirtintu Lietuvos Respublikos Vyriausybės 2016 m. balandžio 20 d. nutarimu Nr. 387 „Dėl Organizacinių ir techninių kibernetinio saugumo reikalavimų, taikomų ypatingos svarbos informacinei infrastruktūrai ir valstybės informaciniams ištekliams, aprašo patvirtinimo“.
28. Kad būtų užtikrintas asmens duomenų saugumas, asmens duomenų valdytojai ir tvarkytojai įgyvendina tinkamas organizacines ir technines priemones, skirtas apsaugoti asmens duomenis nuo atsitiktinio ar neteisėto sunaikinimo, pakeitimo, atskleidimo, taip pat nuo bet kokio kito neteisėto tvarkymo. Muitinėje taikomų tipinių asmens duomenų saugumo priemonių sąrašas pateiktas Taisyklių 1 priede.
V SKYRIUS
ASMENS DUOMENŲ TVARKYTOJO TEISĖS IR PAREIGOS
29. Šio skyriaus nuostatos yra taikomos tais atvejais, kai muitinės įstaiga tvarko asmens duomenis kaip duomenų tvarkytoja. Muitinės įstaigos, kaip asmens duomenų tvarkytojos, duomenų tvarkymo veikla yra fiksuojama asmens duomenų tvarkytojo pildomuose duomenų tvarkymo veiklos įrašuose.
30. Muitinės įstaigos turi teisę tvarkyti kitų duomenų valdytojų duomenis tik tada, jeigu duomenų valdytojas yra aiškiai nustatęs ir nurodęs duomenų tvarkymo dalyką ir trukmę, duomenų tvarkymo pobūdį ir tikslą, asmens duomenų rūšis ir duomenų subjektų kategorijas bei duomenų tvarkytojo prievoles ir teises.
31. Tais atvejais, kai muitinės įstaiga tvarko duomenis kaip duomenų tvarkytoja, muitinės įstaiga privalo laikytis duomenų valdytojo nustatyto duomenų tvarkymo tikslo, priemonių ir kitų duomenų tvarkymo sąlygų, taip pat privalo tvarkyti tik tokį kiekį duomenų ir tik tokią trukmę, kurią nurodė duomenų valdytojas.
32. Muitinės įstaiga turi teisę tvarkyti kito valdytojo asmens duomenis kaip duomenų tvarkytoja tik esant bent vienam iš šių teisinių pagrindų:
32.1. Sutartis su duomenų valdytoju. Gali būti sudaryta atskira duomenų tvarkymo sutartis arba atskiros duomenų tvarkymo veiklos nuostatos įtrauktos į kitą sutartį;
33. Muitinės įstaigos nepasitelkia kito duomenų tvarkytojo be išankstinio konkretaus arba bendro rašytinio duomenų valdytojo leidimo. Bendro rašytinio leidimo atveju muitinės įstaiga informuoja duomenų valdytoją apie visus planuojamus pakeitimus, susijusius su kitų duomenų tvarkytojų pasitelkimu ar pakeitimu, ir tokiu būdu suteikia duomenų valdytojui galimybę nesutikti su tokiais pakeitimais.
34. Kai muitinės įstaigos konkrečiai duomenų tvarkymo veiklai duomenų valdytojo vardu atlikti pasitelkia kitą duomenų tvarkytoją, sutartimi ar kitu teisės aktu tam kitam duomenų tvarkytojui nustatomos tos pačios duomenų apsaugos prievolės, kaip ir prievolės, nustatytos muitinės įstaigoms teisės aktų bei duomenų valdytojo, visų pirma prievolė užtikrinti, kad tinkamos techninės ir organizacinės priemonės bus įgyvendintos tokiu būdu, kad duomenų tvarkymas atitiktų Bendrojo duomenų apsaugos reglamento reikalavimus.
35. Visais atvejais, be duomenų valdytojo nustatytų papildomų pareigų, muitinės įstaiga tvarkydama duomenis kaip duomenų tvarkytoja turi šias pareigas:
35.1. tvarkyti asmens duomenis tik pagal duomenų valdytojo dokumentais įformintus nurodymus, išskyrus atvejus, kai tai daryti reikalaujama pagal teisės aktų reikalavimus, kurie yra taikomi muitinės įstaigoms. Tokiu atveju muitinės įstaiga, prieš pradėdama tvarkyti duomenis, praneša apie tokį teisinį reikalavimą duomenų valdytojui, išskyrus atvejus, kai pagal tą teisę toks pranešimas yra draudžiamas dėl svarbių viešojo intereso priežasčių;
35.2. užtikrinti, kad asmens duomenis tvarkyti įgalioti asmenys būtų įsipareigoję užtikrinti konfidencialumą;
35.3. imtis visų techninių ir organizacinių priemonių, kad būtų užtikrintas tvarkomų duomenų saugumas;
35.5. atsižvelgdama į duomenų tvarkymo pobūdį, padėti duomenų valdytojui taikydama tinkamas technines ir organizacines priemones, kiek tai įmanoma, kad būtų įvykdyta duomenų valdytojo prievolė atsakyti į prašymus, susijusius su duomenų subjektų teisių įgyvendinimu;
35.6. padėti duomenų valdytojui įgyvendinti jo prievoles pranešti apie asmens duomenų saugumo pažeidimus bei atlikti poveikio duomenų apsaugai vertinimą, atsižvelgiant į duomenų tvarkymo pobūdį ir muitinės įstaigos turimą informaciją;
35.7. užbaigus teikti su duomenų tvarkymu susijusias paslaugas, ištrinti arba grąžinti duomenų valdytojui visus asmens duomenis ir ištrinti esamas jų kopijas, išskyrus atvejus, kai teisės aktai nustato reikalavimą asmens duomenis saugoti;
VI SKYRIUS
ASMENS DUOMENŲ PERDAVIMAS
37. Teisės aktų nustatytais atvejais ir tvarka muitinė teikia jos tvarkomus asmens duomenis valstybės registrų ir valstybės informacinių sistemų valdytojams ir (arba) tvarkytojams, valstybės ir savivaldybių institucijoms, įstaigoms, organizacijoms ir kitiems asmenims, kuriems asmens duomenis teikti muitinę įpareigoja įstatymai ar kiti teisės aktai arba kuriems muitinė, teisės aktų nustatyta tvarka vykdydama savo funkcijas, teikia asmens duomenis, taip pat pagal duomenų gavėjų prašymus (vienkartinio teikimo atveju) arba muitinės ir duomenų gavėjų sudarytas asmens duomenų teikimo sutartis (daugkartinio teikimo atveju). Sutartyje turi būti nurodytas asmens duomenų naudojimo tikslas, teikimo ir gavimo teisinis pagrindas, sąlygos, tvarka ir teikiamų asmens duomenų apimtis. Prašyme turi būti nurodytas asmens duomenų naudojimo tikslas, teikimo bei gavimo teisinis pagrindas ir prašomų pateikti asmens duomenų apimtis.
38. Muitinės įstaigos turi teisę sutarties pagrindu duomenų tvarkymo veiksmams atlikti pasitelkti duomenų tvarkytoją. Pasitelkiami tik tie duomenų tvarkytojai, kurie užtikrina, kad techninės ir organizacinės duomenų apsaugos priemonės bus įgyvendintos tokiu būdu, kad duomenų tvarkymas atitiktų Bendrojo duomenų apsaugos reglamento ir Taisyklių reikalavimus ir būtų užtikrinta duomenų subjekto teisių įgyvendinimas ir apsauga.
39. Šiame skyriuje išdėstytos taisyklės taikomos, kai asmens duomenys yra perduodami Europos ekonominės erdvės valstybėse.
40. Asmens duomenų perdavimą į trečiąją valstybę arba tarptautinę organizaciją nustato Bendrojo duomenų apsaugos reglamento nuostatos.
41. Kai asmens duomenys tvarkomi nusikalstamų veikų prevencijos, tyrimo, atskleidimo ar baudžiamojo persekiojimo už jas tikslais, jų perdavimas vykdomas vadovaujantis Asmens duomenų, tvarkomų nusikalstamų veikų prevencijos, tyrimo, atskleidimo ar baudžiamojo persekiojimo už jas, bausmių vykdymo arba nacionalinio saugumo ar gynybos tikslais, teisinės apsaugos įstatymo nuostatomis.
VII SKYRIUS
BAIGIAMOSIOS NUOSTATOS
42. Asmens duomenis tvarkantys muitinės darbuotojai pasirašo konfidencialumo pasižadėjimą (2 priedas). Konfidencialumo pasižadėjimų pasirašymą organizuoja duomenų apsaugos pareigūnas. Pasirašyti konfidencialumo pasižadėjimai saugomi muitinės darbuotojų asmens bylose.
43. Visi muitinės įstaigų dokumentai, bet kokia apimtimi susiję su asmens duomenų tvarkymu ir apsauga, turi būti peržiūrėti ir turi būti užtikrinta jų atitiktis Taisyklėms ir kitiems teisės aktams, nustatantiems asmens duomenų tvarkymo ir apsaugos reikalavimus, per dvejus metus nuo Taisyklių įsigaliojimo dienos. Už šį procesą yra atsakingi muitinės įstaigų vadovai arba jų įgalioti asmenys.
Asmens duomenų tvarkymo
Lietuvos Respublikos muitinėje taisyklių
1 priedas
TIPINIŲ ASMENS DUOMENŲ APSAUGOS PRIEMONIŲ SĄRAŠAS
1. Fizinė prieiga prie kompiuterinės įrangos:
2. Programinės įrangos naudotojai:
2.2. Prieigos prie asmens duomenų slaptažodžiai suteikiami, keičiami ir saugomi užtikrinant jų konfidencialumą.
3. Prieiga prie vidinio tinklo:
4. Atsarginių duomenų kopijų naudojimas:
5. Apsauga nuo vagystės:
5.1. Užtikrinamas patalpų, kuriose saugomi asmens duomenys, fizinis saugumas – ribojamas ir kontroliuojamas neįgaliotų asmenų patekimas į atitinkamas patalpas.
6. Programinės įrangos klaidos:
7. Apsauga nuo kenkėjiškos programinės įrangos
7.1. Užtikrinama kompiuterinės įrangos apsauga nuo kenksmingos programinės įrangos - tarnybinėse stotyse ir kompiuterinėse darbo vietose įdiegtos ir nuolatos atnaujinamos vidinio tinklo antivirusinės programos.
8. Programinės įrangos naudojimas:
8.2. Nuolat atliekama naudotojų kompiuterinėse darbo vietose naudojamos programinės įrangos kontrolė.
8.3. Darbuotojams nesuteiktos teisės patiems diegti programinę įrangą, nebent tai nustatyta pareigybės aprašymuose.
9. Apsauga nuo duomenų perdavimo tinklo įrangos gedimų:
10. Apsauga nuo kompiuterinės įrangos gedimų:
12. Apsauga nuo ugnies:
13. Apsauga nuo užliejimo:
14. Apsauga nuo temperatūros ir drėgmės svyravimų:
16. Apsauga nuo elektros srovės tiekimo sutrikimų:
Asmens duomenų tvarkymo
Lietuvos Respublikos muitinėje taisyklių
2 priedas
___________________________
(muitinės įstaigos pavadinimas)
KONFIDENCIALUMO PASIŽADĖJIMAS
_________
(data)
_____________
(vieta)
Aš suprantu:
- kad savo darbe tvarkysiu asmens duomenis, kurie negali būti atskleisti ar perduoti neįgaliotiems asmenims ar institucijoms;
- kad draudžiama perduoti neįgaliotiems asmenims slaptažodžius ir kitus duomenis, leidžiančius programinių ir techninių priemonių pagalba sužinoti asmens duomenis ar kitaip sudaryti sąlygas susipažinti su asmens duomenimis.
Aš įsipareigoju:
- saugoti asmens duomenų paslaptį;
- asmens duomenis tvarkyti tik teisėtais tikslais;
- asmens duomenis tvarkyti tiksliai ir, jeigu reikia, nuolat atnaujinti, ištaisyti ar papildyti netikslius ar neišsamius duomenis ir (ar) sustabdyti tokių asmens duomenų tvarkymą;
- asmens duomenis tvarkyti tik tokios apimties, kuri būtina jiems tvarkyti ir vykdomoms funkcijoms atlikti;
- asmens duomenis tvarkyti taip, kad duomenų subjektų tapatybę būtų galima nustatyti ne ilgiau negu to reikia tiems tikslams, dėl kurių šie duomenys buvo tvarkomi, ir vėliau šiuos duomenis sunaikinti teisės aktų nustatyta tvarka;
- įgyvendinti teisės aktų, reglamentuojančių asmens duomenų apsaugą, nuostatas, numatančias, kaip asmens duomenis apsaugoti nuo neteisėto tvarkymo ar atskleidimo;
- teisės aktų nustatyta tvarka užtikrinti duomenų subjekto teisių įgyvendinimą;
- neatskleisti, neperduoti ir nesudaryti sąlygų įvairiomis priemonėmis susipažinti su tvarkoma informacija nė vienam asmeniui, kuris nėra įgaliotas naudotis šia informacija tiek įstaigos viduje, tiek už jos ribų;
- pranešti savo vadovui ir asmens duomenų apsaugos pareigūnui apie bet kokią įtartiną situaciją, kuri gali kelti grėsmę asmens duomenų saugumui;
- saugoti ir tik įstatymų bei kitų teisės aktų nustatyta tvarka naudoti konfidencialią informaciją, kuri man taps žinoma atliekant savo darbo funkcijas;
- laikytis kitų teisės aktų, reglamentuojančių asmens duomenų tvarkymą ir apsaugą, nuostatų.
Aš žinau, kad:
- už šio pasižadėjimo nesilaikymą ir 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos Reglamento (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB, Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymo ir kitų Lietuvos Respublikos teisės aktų pažeidimus turėsiu atsakyti pagal galiojančius Lietuvos Respublikos įstatymus;
- asmuo, patyręs žalą dėl neteisėto asmens duomenų tvarkymo arba kitų duomenų valdytojo ar duomenų tvarkytojo veiksmų ar neveikimo, turi teisę reikalauti atlyginti jam padarytą turtinę ar neturtinę žalą;
- duomenų valdytojas, duomenų tvarkytojas arba kitas asmuo atlygina asmeniui padarytą žalą, patirtą nuostolį išsireikalauja įstatymų nustatyta tvarka iš asmens duomenis tvarkančio darbuotojo, dėl kurio kaltės atsirado ši žala;
- šis įsipareigojimas galios visą mano darbo laiką šioje įstaigoje, perėjus į kitas pareigas arba pasibaigus darbo santykiams.
Aš esu susipažinęs su:
- 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos Reglamentu (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas);
- Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymu;
- Asmens duomenų tvarkymo Lietuvos Respublikos muitinėje taisyklėmis ir kitais teisės
Aktais, reglamentuojančiais asmens duomenų apsaugą.
Susipažinau ___________________________________________________________________
(pareigos, vardas ir pavardė) (parašas)