VALSTYBINĖS DUOMENŲ APSAUGOS INSPEKCIJOS
DIREKTORIUS
ĮSAKYMAS
DĖL VAIZDO DUOMENŲ TVARKYMO PAVYZDINIŲ TAISYKLIŲ PATVIRTINIMO
2016 m. sausio 12 d. Nr. 1T-1(1.12.E)
Vilnius
Vadovaudamasis Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymo 40 straipsnio 13 punktu ir atsižvelgdamas į šio įstatymo 18 straipsnio 1 dalį bei 30 straipsnio 1 dalį,
PATVIRTINTA
Valstybinės duomenų apsaugos inspekcijos
direktoriaus 2016 m. sausio 12 d.
įsakymu Nr. 1T-1(1.12.E)
VAIZDO DUOMENŲ TVARKYMO PAVYZDINĖS TAISYKLĖS
I SKYRIUS
BENDROSIOS NUOSTATOS
1. Vaizdo duomenų tvarkymo taisyklių (toliau – Taisyklės) tikslas – reglamentuoti vaizdo stebėjimą[1], užtikrinant Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymo (toliau – ADTAĮ), kitų įstatymų bei teisės aktų, reglamentuojančių asmens duomenų tvarkymą ir apsaugą, laikymąsi ir įgyvendinimą.
2. Vykdant vaizdo stebėjimą vadovaujamasi ADTAĮ, Bendraisiais reikalavimais organizacinėms ir techninėms asmens duomenų saugumo priemonėms, patvirtintais Valstybinės duomenų apsaugos inspekcijos direktoriaus 2008 m. lapkričio 12 d. įsakymu Nr. 1T-71(1.12) „Dėl Bendrųjų reikalavimų organizacinėms ir techninėms asmens duomenų saugumo priemonėms patvirtinimo“, (toliau – Bendrieji reikalavimai) ir kitais teisės aktais, reglamentuojančiais asmens duomenų apsaugą.
3. Taisyklėse vartojamos sąvokos atitinka ADTAĮ vartojamas sąvokas. Taisyklių nuostatos negali plėsti ar siaurinti ADTAĮ taikymo srities bei prieštarauti ADTAĮ nustatytiems asmens duomenų tvarkymo reikalavimams ir kitiems asmens duomenų tvarkymą reglamentuojantiems teisės aktams.
4. Duomenų valdytojas – ____________________ (nurodomas duomenų valdytojo pavadinimas, kodas, adresas, fizinio asmens vardas ir pavardė, adresas, kuriuo vykdomas duomenų tvarkymas, jei duomenų valdytojas – fizinis asmuo).
II SKYRIUS
VAIZDO STEBĖJIMO TIKSLAS IR APIMTIS
6. Vaizdo stebėjimo tikslas – _____________________________ (nurodomas vienas ar keli vaizdo stebėjimo tikslai, atitinkantys ADTAĮ 16 ir 17 straipsniuose [3] numatytus vaizdo stebėjimo tikslus, kuriais gali būti vykdomas vaizdo stebėjimas).
7. Vaizdo stebėjimas vykdomas:
7.1. šioje teritorijoje ____________[4] __________________ (gali būti nurodomas ir kamerų skaičius), adresu _____________;
7.2. šiose patalpose: ____________,[5] adresu __________________.
8. Vaizdo stebėjimo kameros turi būti įrengiamos taip, kad vaizdo stebėjimas nebūtų vykdomas didesnėje duomenų valdytojo teritorijoje ar patalpoje nei yra nurodyta Taisyklių 7 punkte. [6]
III SKYRIUS
DUOMENŲ VALDYTOJO IR TVARKYTOJO FUNKCIJOS, TEISĖS IR PAREIGOS
10. Duomenų valdytojas turi šias teises:[7]
11. Duomenų valdytojas turi šias pareigas:
11.1. užtikrinti ADTAĮ ir kituose teisės aktuose, reglamentuojančiose asmens duomenų tvarkymą, nustatytus asmens duomenų tvarkymo reikalavimus;
11.3. užtikrinti asmens duomenų saugumą, įgyvendinant tinkamas organizacines ir technines asmens duomenų saugumo priemones;
11.4. parinkti tik tokį duomenų tvarkytoją, kuris garantuotų reikiamas technines ir organizacines asmens duomenų apsaugos priemones ir užtikrintų, kad tokių priemonių būtų laikomasi bei sudaryti sutartis su duomenų tvarkytojais. Duoti duomenų tvarkytojui nurodymus dėl vaizdo duomenų tvarkymo. Žinoti apie ketinamas sudaryti sutartis su pagalbiniais duomenų tvarkytojais bei duoti išankstinius rašytinius sutikimus dėl jų paskyrimo;
11.5. pranešti apie vykdomą vaizdo stebėjimą Valstybinei duomenų apsaugos inspekcijai (toliau – Inspekcija) Lietuvos Respublikos Vyriausybės (toliau – Vyriausybė) nustatyta tvarka;
11.6. gauti Inspekcijos leidimą atlikti asmens duomenų tvarkymo veiksmus ADTAĮ 33 straipsnio 1 dalyje numatytais atvejais.[8]
12. Duomenų valdytojas atlieka šias funkcijas:
12.4. analizuoja technologines, metodologines ir organizacines vaizdo duomenų tvarkymo problemas ir priima sprendimus, reikalingus tinkamam vaizdo stebėjimo vykdymui užtikrinti;
12.5. teikia metodinę pagalbą darbuotojams ir duomenų tvarkytojams vaizdo duomenų tvarkymo klausimais;
13. Duomenų tvarkytojas turi šias teises: __________________________.[9]
IV SKYRIUS
VAIZDO DUOMENŲ TEIKIMAS IR DUOMENŲ GAVĖJAI
16. Vaizdo duomenys tretiesiems asmenims teikiami tik esant ADTAĮ 5 straipsnyje nustatytam asmens duomenų teisėto tvarkymo kriterijui pagal asmens duomenų teikimo sutartį (daugkartinio teikimo atveju) arba pagal prašymą (vienkartinio teikimo atveju), atitinkantį ADTAĮ 6 straipsnio reikalavimus.
V SKYRIUS
TECHNINĖS IR ORGANIZACINĖS ASMENS DUOMENŲ SAUGUMO PRIEMONĖS
18. Užtikrinamas ________________ vaizdo duomenų saugumo lygis.[10]
19. Siekiant užtikrinti vaizdo duomenų saugumą įgyvendinamos šios organizacinės ir techninės asmens duomenų saugumo priemonės: _________________.[11]
20. Prieigos teisių ir įgaliojimų tvarkyti vaizdo duomenis suteikimo, naikinimo ir keitimo tvarka:
20.1. prieigos teisės ir įgaliojimai tvarkyti vaizdo duomenis suteikiami, naikinami ir keičiami ____________________ (nurodomas duomenų valdytojo pavadinimas) vadovo įsakymu;[12]
20.2. dėl prieigos prie vaizdo duomenų suteikimo kreipiasi duomenų valdytojo darbuotojo tiesioginis vadovas;
20.3. už įsakymo dėl prieigos prie vaizdo duomenų suteikimo ar naikinimo vykdymą atsakingas ___________________;[13]
20.4. prieigos teisės prie vaizdo duomenų naikinamos pasibaigus duomenų valdytojo ir jo darbuotojo darbo santykiams, pasikeitus darbo funkcijoms, kurioms vykdyti prieiga prie vaizdo duomenų nereikalinga, taip pat nutraukus asmens duomenų tvarkymo sutartį, sudarytą su asmens duomenų tvarkytoju, ar šiai sutarčiai nustojus galioti.
21. Vaizdo duomenys _____________________ (nurodoma, ar vaizdo duomenų kopijavimas daromas ar ne).[14]
22. Vaizdo duomenys įrašomi[15] ir saugomi __________,[16] pasibaigus šiam terminui yra sunaikinami. Jeigu vaizdo įrašų duomenys naudojami kaip įrodymai civilinėje, administracinėje ar baudžiamojoje byloje ar kitais įstatymų nustatytais atvejais, vaizdo duomenys gali būti saugomi tiek, kiek reikalinga šiems duomenų tvarkymo tikslams, ir sunaikinami nedelsiant, kai tampa nebereikalingi.
VI SKYRIUS
VAIZDO DUOMENŲ SAUGUMO PAŽEIDIMŲ VALDYMO IR REAGAVIMO Į ŠIUOS PAŽEIDIMUS TVARKA
23. Duomenų valdytojo ar duomenų tvarkytojo darbuotojai, turintys prieigos teisę prie vaizdo duomenų, pastebėję vaizdo duomenų saugumo pažeidimus (veiksmus ar neveikimą, galinčius sukelti ar sukeliančius grėsmę asmens duomenų saugumui) turi informuoti _______________[17].
VII SKYRIUS
DUOMENŲ SUBJEKTO TEISIŲ ĮGYVENDINIMO TVARKA
25. Duomenų subjektas turi šias teises:
26. Duomenų subjekto teisė žinoti apie savo asmens duomenų tvarkymą įgyvendinama šia tvarka:
26.1. asmenys, kurie nėra duomenų valdytojo darbuotojai ir kurių vaizdo duomenys tvarkomi, vykdant vaizdo stebėjimą, apie vykdomą vaizdo stebėjimą yra informuojami:
26.1.1. iškabinant informacines lenteles prieš patenkant į patalpas ar teritoriją, kurioje vykdomas vaizdo stebėjimas;
26.1.2. informacinėse lentelėse nurodant, kad yra vykdomas vaizdo stebėjimas, duomenų valdytojo juridinio asmens pavadinimą ir kodą, duomenų valdytojo fizinio asmens vardą ir pavardę, jų kontaktinę informaciją (adresą arba telefono ryšio numerį), kitą papildomą informaciją (pvz., vaizdo stebėjimo tikslą);[18]
26.2. duomenų valdytojų darbuotojai apie vaizdo stebėjimą darbo vietoje, duomenų valdytojo patalpose ar teritorijoje, kuriose dirba, turi būti informuojami:
26.2.1. prieš pradedant vykdyti vaizdo stebėjimą arba pirmąją darbuotojo darbo dieną, arba pirmąją darbo dieną po darbuotojo atostogų, nedarbingumo laikotarpio ir pan., jei vaizdo stebėjimas buvo pradėtas vykdyti šiuo laikotarpiu;
26.2.2. pasirašytinai suteikiant šią informaciją:[19]
26.2.2.1. vaizdo stebėjimą vykdo ir vaizdo duomenis tvarko ________________ (nurodoma duomenų valdytojo ir jo atstovo, jeigu jis yra, tapatybė ir nuolatinė gyvenamoji vieta (jeigu duomenų valdytojas ar jo atstovas yra fizinis asmuo) arba pavadinimas, juridinio asmens kodas ir buveinė (jeigu duomenų valdytojas ar jo atstovas yra juridinis asmuo);
26.2.2.3. vaizdo duomenys teikiami __________________________ (nurodomos duomenų gavėjų grupės (pavyzdžiui, teisėsaugos institucijos, teismai ir pan.) ar konkretūs duomenų gavėjai, jei tokie yra žinomi, ir nurodomi vaizdo duomenų teikimo tikslai);
27. Duomenų subjekto teisė susipažinti su savo vaizdo duomenimis įgyvendinama šia tvarka:
27.1. duomenų subjektas, pateikęs duomenų valdytojui ar duomenų tvarkytojui asmens tapatybę patvirtinantį dokumentą arba teisės aktų nustatyta tvarka ar elektroninių ryšių priemonėmis, kurios leidžia tinkamai identifikuoti asmenį, patvirtinęs savo asmens tapatybę, turi teisę gauti informaciją, iš kokių šaltinių ir kokie jo asmens duomenys surinkti, kokiu tikslu jie tvarkomi, kokiems duomenų gavėjams teikiami ir buvo teikti bent per paskutinius vienerius metus.
Jei prašymą duomenų subjektas siunčia paštu ar per pasiuntinį, prie prašymo turi būti pridėta notaro patvirtinta duomenų subjekto asmens tapatybę patvirtinančio dokumento kopija. Kai dėl informacijos apie asmenį kreipiasi jo atstovas, jis turi pateikti atstovavimą patvirtinantį dokumentą ir savo asmens tapatybę patvirtinantį dokumentą.
Tuo atveju, jeigu duomenų subjekto teisė susipažinti su savo vaizdo duomenimis, negali būti įgyvendinta per duomenų subjekto atstovą, nepateikus duomenų subjekto asmens tapatybę patvirtinančio dokumento ar jo patvirtintos kopijos[20], duomenų subjekto atstovas apie tai turi būti informuojamas ne vėliau kaip per 30 kalendorinių dienų nuo kreipimosi dienos. Jei duomenų subjekto atstovo prašymas išreikštas rašytine forma, duomenų valdytojas turi pateikti jam atsakymą raštu.
27.2. gavus duomenų subjekto paklausimą dėl jo asmens duomenų tvarkymo ir patikrinus duomenų subjekto tapatybę, duomenų subjektui suteikiama informacija, ar su juo susiję asmens duomenys yra tvarkomi ir pateikiami duomenų subjektui prašomi duomenys (sudaroma galimybė duomenų valdytojo patalpose peržiūrėti vaizdo įrašą, arba, duomenų subjekto prašymu, pateikiama vaizdo įrašo kopija išorinėje duomenų laikmenoje ar nuotrauka);
27.3. įgyvendinant duomenų subjekto teisę susipažinti su savo vaizdo duomenimis, užtikrinama trečiųjų asmenų teisė į privatų gyvenimą, t. y. duomenų subjektui susipažįstant su vaizdo įrašu, jeigu vaizdo įraše matomi kiti asmenys, kurių tapatybė gali būti nustatyta, ar kita informacija, kuri gali pažeisti trečiųjų asmenų privatumą (pavyzdžiui, transporto priemonės valstybinis numeris), šie vaizdai turi būti retušuoti ar kitais būtais panaikinama galimybė identifikuoti trečiuosius asmenis;
27.4. gavus duomenų subjekto prašymą susipažinti su savo vaizdo duomenimis, informacija, ar su juo susiję vaizdo duomenys yra tvarkomi, ir duomenų subjekto prašomi duomenys pateikiami ne vėliau kaip per 30 kalendorinių dienų nuo duomenų subjekto kreipimosi dienos. Duomenų subjekto prašymu tokie duomenys turi būti pateikiami raštu. Neatlygintinai tokius duomenis duomenų valdytojas teikia duomenų subjektui kartą per kalendorinius metus. Teikiant duomenis atlygintinai, atlyginimo dydis neturi viršyti duomenų teikimo sąnaudų. Duomenų teikimo atlyginimo dydį duomenų valdytojas nustato vadovaudamasis Duomenų teikimo duomenų subjektui atlyginimo tvarkos aprašu, patvirtintu Lietuvos Respublikos Vyriausybės 2001 m. vasario 28 d. nutarimu Nr. 228 „Dėl Duomenų teikimo duomenų subjektui atlyginimo tvarkos aprašo patvirtinimo“.
28. Duomenų subjekto teisė nesutikti su vaizdo duomenų tvarkymu įgyvendinimo šia tvarka:
28.1. duomenų subjekto teisė nesutikti su vaizdo duomenų tvarkymu įgyvendinama, kai vaizdo duomenys yra teikiami ar atliekamas kitas vaizdo duomenų tvarkymo veiksmas, pavyzdžiui, naudojimas, vadovaujantis ADTAĮ 5 straipsnio 1 dalies 5 ar 6 punktais;
28.2. duomenų subjekto teisė nesutikti su vaizdo duomenų teikimu įgyvendinama prieš atliekant vaizdo duomenų tvarkymo veiksmus Taisyklių 28.1 papunktyje nurodytais pagrindais, duomenų subjektą raštu informuojant: apie ketinamą atlikti vaizdo duomenų tvarkymo veiksmą (teikimą, naudojimą ir pan.); nurodant, jog duomenų subjektas turi teisę nesutikti su tokiu duomenų tvarkymu; paaiškinant, kad teisiškai pagrįstas nesutikimas turi būti išreiškiamas pateikiant rašytinį pranešimą, kuris duomenų valdytojui gali būti pateikiamas asmeniškai, paštu ar elektroninių ryšių priemonėmis; nustatant protingą terminą, per kurį duomenų subjektas turi teisę išreikšti savo valią;
28.3. jeigu duomenų subjektas per nustatytą terminą išreiškia teisiškai pagrįstą nesutikimą, duomenų valdytojas neatlieka vaizdo duomenų tvarkymo veiksmų ADTAĮ 5 straipsnio 1 dalies 5 ar 6 punktuose nustatytais atvejais ir duomenų subjekto prašymu praneša jam apie jo asmens duomenų tvarkymo veiksmų nutraukimą ar atsisakymą nutraukti duomenų tvarkymo veiksmus, nurodant atsisakymo motyvus.
29. Teisė reikalauti sunaikinti savo asmens duomenis arba sustabdyti, išskyrus saugojimą, savo asmens duomenų tvarkymo veiksmus, kai duomenys tvarkomi nesilaikant šio ir kitų įstatymų nuostatų įgyvendinama šia tvarka:
29.1. jeigu duomenų subjektas, susipažinęs su savo asmens duomenimis, nustato, kad jo asmens duomenys yra tvarkomi neteisėtai, nesąžiningai, ir pats ar jo įgaliotas atstovas kreipiasi į duomenų valdytoją, duomenų valdytojas nedelsdamas, ne vėliau kaip per 5 darbo dienas, neatlygintinai patikrina duomenų subjekto asmens duomenų tvarkymo teisėtumą, sąžiningumą ir nedelsdamas sunaikina neteisėtai ir nesąžiningai sukauptus asmens duomenis ar sustabdo tokių asmens duomenų tvarkymo veiksmus, išskyrus saugojimą;
29.2. duomenų valdytojas, duomenų subjekto ar jo įgalioto atstovo prašymu sustabdęs duomenų subjekto asmens duomenų tvarkymo veiksmus, asmens duomenis, kurių tvarkymo veiksmai sustabdyti, saugo tol, kol jie bus sunaikinti (duomenų subjekto prašymu arba pasibaigus duomenų saugojimo terminui). Kiti tvarkymo veiksmai su tokiais asmens duomenimis gali būti atliekami tik:
29.2.2. jei duomenų subjektas tiesiogiai ar per įgaliotą atstovą duoda sutikimą toliau tvarkyti savo asmens duomenis;
29.3. duomenų valdytojas nedelsdamas, ne vėliau kaip per 5 darbo dienas, praneša duomenų subjektui ar jo įgaliotam atstovui apie jo prašymu atliktą ar neatliktą duomenų subjekto asmens duomenų sunaikinimą ar asmens duomenų tvarkymo veiksmų sustabdymą;
29.4. duomenų subjekto asmens duomenys naikinami arba jų tvarkymo veiksmai sustabdomi pagal duomenų subjekto tapatybę ir jo asmens duomenis patvirtinančius dokumentus, gavus duomenų subjekto ar jo įgalioto atstovo prašymą;
29.5. duomenų valdytojas nedelsdamas, ne vėliau kaip per 5 darbo dienas, informuoja duomenų gavėjus apie duomenų subjekto ar jo įgalioto atstovo prašymu sunaikintus duomenų subjekto asmens duomenis, sustabdytus asmens duomenų tvarkymo veiksmus, išskyrus atvejus, kai pateikti tokią informaciją būtų neįmanoma arba pernelyg sunku (dėl didelio duomenų subjektų skaičiaus, duomenų laikotarpio, nepagrįstai didelių sąnaudų). Tokiu atveju turi būti nedelsiant pranešama Inspekcijai.
VIII SKYRIUS
BAIGIAMOSIOS NUOSTATOS
31. Darbuotojai, kurie yra įgalioti tvarkyti vaizdo duomenis arba eidami savo pareigas juos sužino, privalo laikytis šių Taisyklių, pagrindinių asmens duomenų tvarkymo reikalavimų bei konfidencialumo ir saugumo reikalavimų, įtvirtintų ADTAĮ ir šiose Taisyklėse. Darbuotojai pažeidę Taisykles ir (ar) ADTAĮ atsako teisės aktų nustatyta tvarka.
32. Patvirtinus Taisykles, darbuotojai su jomis supažindinami pasirašytinai. Priėmus naują darbuotoją, jis su Taisyklėmis privalo būti supažindintas pirmąją jo darbo dieną. Už supažindinimą su Taisyklėmis atsakingas __________________.