Jūsų teisės ir BDAR įgyvendinimas

1. BDAR taikymo sritis ir pagrindinės sąvokos

MB „Vaikų istorijos“ (Duomenų valdytojas) savo veikloje griežtai vadovaujasi BDAR reikalavimais, užtikrindama aukščiausią asmens duomenų teisinės apsaugos lygį. Norint suprasti savo teises, svarbu žinoti pagrindines BDAR sąvokas:

• Asmens duomenys: bet kokia informacija apie fizinį asmenį, kurio tapatybė nustatyta arba kurio tapatybę galima nustatyti (Duomenų subjektą), pavyzdžiui, vaiko vardas, pavardė, gimimo data, tėvų kontaktiniai duomenys, vaizdo įrašai.
• Specialiųjų kategorijų asmens duomenys: asmens duomenys, atskleidžiantys rasinę ar etninę kilmę, politines pažiūras, religinius įsitikinimus, taip pat sveikatos duomenys (pvz., vaiko medicininės pažymos, alergijos). Šiems duomenims taikomi griežtesni apsaugos reikalavimai pagal BDAR 9 straipsnį.
• Duomenų tvarkymas: bet kokia operacija, atliekama su asmens duomenimis (rinkimas, įrašymas, saugojimas, keitimas, susipažinimas, ištrynimas ir kt.).
• Duomenų valdytojas: MB „Vaikų istorijos“ – juridinis asmuo, kuris nustato asmens duomenų tvarkymo tikslus ir priemones.
• Duomenų tvarkytojas: fizinis arba juridinis asmuo, tvarkantis asmens duomenis Duomenų valdytojo (mūsų įstaigos) vardu (pvz., buhalterinių paslaugų įmonė, debesijos paslaugų tiekėjas).

2. Pagrindiniai asmens duomenų tvarkymo principai

Tvarkydami jūsų ir jūsų vaikų asmens duomenis, mes visada laikomės šių šešių pagrindinių BDAR principų:

1. Teisėtumo, sąžiningumo ir skaidrumo principas: duomenys tvarkomi tik esant teisėtam pagrindui (sutartis, sutikimas, teisinė prievolė ar teisėtas interesas). Visi duomenų subjektai aiškiai ir skaidriai informuojami apie duomenų tvarkymą.
2. Tikslo apribojimo principas: duomenys renkami nustatytais, aiškiai apibrėžtais bei teisėtais tikslais ir toliau netvarkomi su tais tikslais nesuderinamu būdu.
3. Duomenų kiekio mažinimo principas: tvarkome tik tuos asmens duomenis, kurie yra adekvatūs, tinkami ir tik tokie, kurių reikia siekiant nustatytų tikslų. Mes neprašome informacijos, kuri nėra būtina ugdymo procesui ar sutarties vykdymui.
4. Tikslumo principas: imamės visų pagrįstų priemonių užtikrinti, kad asmens duomenys būtų tikslūs ir, prireikus, atnaujinami. Netikslūs duomenys turi būti nedelsiant ištrinami arba ištaisomi.
5. Saugojimo trukmės apribojimo principas: duomenys laikomi tokia forma, kad jūsų tapatybę būtų galima nustatyti ne ilgiau, nei tai yra būtina tiems tikslams, kuriais asmens duomenys yra tvarkomi, arba tiek, kiek reikalauja Lietuvos Respublikos įstatymai (pvz., buhalteriniai dokumentai saugomi 10 metų).
6. Vientisumo ir konfidencialumo principas: duomenys tvarkomi tokiu būdu, kad taikant atitinkamas technines ar organizacines priemones būtų užtikrintas tinkamas asmens duomenų saugumas, įskaitant apsaugą nuo duomenų tvarkymo be leidimo arba neteisėto duomenų tvarkymo ir nuo netyčinio praradimo, sunaikinimo ar sugadinimo.

Taip pat įgyvendiname atskaitomybės principą – mes esame atsakingi už tai, kad galėtume įrodyti, jog laikomės aukščiau išvardintų principų.

3. Išsamus duomenų subjekto teisių sąrašas

Pagal BDAR, jūs, kaip duomenų subjektas (taip pat atstovaudami savo nepilnamečius vaikus), turite platų teisių katalogą. Žemiau detaliai paaiškinama kiekviena teisė ir jos ribos:

3.1. Teisė būti informuotam (13 ir 14 str.)

Jūs turite teisę gauti aiškią, skaidrią ir lengvai suprantamą informaciją apie tai, kaip mes naudojame jūsų asmens duomenis ir kokios yra jūsų teisės. Šią informaciją mes teikiame sutarčių pasirašymo metu, šioje BDAR skiltyje bei Privatumo politikoje. Jei duomenų tvarkymo tikslai pasikeičia, mes įsipareigojame jus informuoti prieš pradedant tvarkyti duomenis nauju tikslu.

3.2. Teisė susipažinti su duomenimis (15 str.)

Turite teisę gauti mūsų patvirtinimą, ar tvarkome su jumis ar jūsų vaiku susijusius asmens duomenis, o jei tokie asmens duomenys tvarkomi, turite teisę susipažinti su jais ir gauti šią informaciją:

• duomenų tvarkymo tikslus;
• atitinkamų asmens duomenų kategorijas;
• duomenų gavėjus, kuriems asmens duomenys buvo arba bus atskleisti;
• numatomą asmens duomenų saugojimo laikotarpį;
• informaciją apie asmens duomenų šaltinius, jei jie surinkti ne iš jūsų.

Mes nemokamai pateiksime tvarkomų asmens duomenų kopiją. Už bet kokias papildomas jūsų prašomas kopijas galime imti pagrįstą mokestį, pagrįstą administracinėmis išlaidomis.

3.3. Teisė reikalauti ištaisyti duomenis (16 str.)

Jūs turite teisę reikalauti, kad nepagrįstai delsiant ištaisytume netikslius ar papildytume neišsamius asmens duomenis. Pavyzdžiui, jei pasikeičia jūsų gyvenamoji vieta, telefono numeris arba vaiko sveikatos būklė (atsiranda nauja alergija) – jūs privalote mus informuoti, o mes privalome šiuos duomenis atnaujinti savo sistemose.

3.4. Teisė reikalauti ištrinti duomenis („Teisė būti pamirštam“) (17 str.)

Turite teisę reikalauti, kad mes ištrintume jūsų asmens duomenis, jei egzistuoja viena iš šių priežasčių:

• asmens duomenys nebėra reikalingi tiems tikslams, kuriais jie buvo renkami;
• jūs atšaukiate sutikimą (pvz., dėl vaizdo įrašų publikavimo) ir nėra jokio kito teisinio pagrindo tvarkyti duomenis;
• jūs nesutinkate su duomenų tvarkymu ir nėra viršesnių teisėtų priežasčių juos tvarkyti;
• asmens duomenys buvo tvarkomi neteisėtai.

Išimtis: Ši teisė nėra absoliuti. Mes negalėsime ištrinti duomenų, jei jų tvarkymas yra būtinas siekiant laikytis teisinės prievolės pagal ES ar nacionalinę teisę (pvz., buhalterinės apskaitos reikalavimai, privalomas dokumentų archyvavimas) arba siekiant pareikšti, vykdyti ar apginti teisinius reikalavimus.

3.5. Teisė apriboti duomenų tvarkymą (18 str.)

Tam tikrais atvejais galite prašyti „užšaldyti“ (apriboti) jūsų duomenų tvarkymą (išskyrus saugojimą). Tai taikoma, kai:

• užginčijate duomenų tikslumą (laikotarpiui, per kurį galime patikrinti tikslumą);
• duomenų tvarkymas yra neteisėtas, bet jūs nesutinkate, kad jie būtų ištrinti;
• mums asmens duomenų nebereikia, bet jų reikia jums, siekiant pareikšti ar apginti teisinius reikalavimus.

3.6. Teisė į duomenų perkeliamumą (20 str.)

Jūs turite teisę gauti su jumis susijusius asmens duomenis, kuriuos mums pateikėte, susistemintu, įprastai naudojamu ir kompiuterio skaitomu formatu (pvz., .CSV, .XML), ir turite teisę prašyti, kad persiųstume tuos duomenis kitam duomenų valdytojui (pvz., kitai ugdymo įstaigai), kai:

• duomenų tvarkymas yra pagrįstas sutikimu arba sutartimi; IR
• duomenys yra tvarkomi automatizuotomis priemonėmis.

3.7. Teisė nesutikti (21 str.)

Turite teisę dėl su jūsų konkrečiu atveju susijusių priežasčių bet kuriuo metu nesutikti, kad su jumis susiję asmens duomenys būtų tvarkomi, kai toks tvarkymas vykdomas mūsų teisėto intereso pagrindu. Gavę tokį prašymą, mes nebetvarkysime asmens duomenų, nebent įrodysime, kad duomenys tvarkomi dėl įtikinamų teisėtų priežasčių, kurios yra viršesnės už jūsų interesus, teises ir laisves.

4. Procedūra teisių įgyvendinimui (Kaip pateikti prašymą)

Siekiant užtikrinti sklandų jūsų teisių įgyvendinimą ir apsaugoti jūsų duomenis nuo neteisėto atskleidimo tretiesiems asmenims, mes nustatėme šią tvarką:

Prašymo pateikimas ir identifikacija

Prašymai įgyvendinti teises turi būti teikiami raštu (įskaitant elektroninį formatą). Reikalaujame, kad pateikiant prašymą būtų aiškiai patvirtinta jūsų tapatybė:

• Jei prašymas teikiamas elektroniniu paštu, jis turi būti siunčiamas iš to paties el. pašto adreso, kurį nurodėte sutartyje su MB „Vaikų istorijos“, arba dokumentas turi būti pasirašytas kvalifikuotu elektroniniu parašu (pvz., Smart-ID, M.Parašas).
• Jei prašymas teikiamas fiziškai (popierinis variantas), jis turi būti pasirašytas jūsų parašu, o įteikiant jį atsakingam darbuotojui, gali būti paprašyta pateikti asmens tapatybę patvirtinantį dokumentą.

Atsakymo terminai

Mes įsipareigojame nepagrįstai nedelsdami, bet kuriuo atveju ne vėliau kaip per vieną mėnesį nuo prašymo gavimo, pateikti jums informaciją apie veiksmus, kurių imtasi gavus prašymą. Tas laikotarpis prireikus gali būti pratęstas dar dviem mėnesiams, atsižvelgiant į prašymų sudėtingumą ir skaičių. Apie bet kokį tokį pratęsimą per vieną mėnesį nuo prašymo gavimo jus informuosime, nurodydami vėlavimo priežastis.

Atsisakymas tenkinti prašymą

Jei nuspręsime jūsų prašymo netenkinti (remiantis BDAR numatytomis išimtimis), mes ne vėliau kaip per vieną mėnesį nuo prašymo gavimo dienos jus informuosime apie atsisakymo priežastis, nurodydami teisinį pagrindą, bei informuosime apie galimybę pateikti skundą priežiūros institucijai (VDAI) ir pasinaudoti teisių gynimo teisme priemone.

5. Vaikų asmens duomenų tvarkymo specifika ir sutikimai

Pagal BDAR, vaikų asmens duomenims reikalinga ypatinga apsauga, nes jie gali būti mažiau susipažinę su atitinkama rizika, pasekmėmis, garantijomis ir savo teisėmis, susijusiomis su asmens duomenų tvarkymu. Todėl MB „Vaikų istorijos“:

• Visada reikalauja tėvų (globėjų) sutikimo: Visiems duomenų tvarkymo veiksmams, kurie nėra būtini sutarties vykdymui ar teisės aktų įgyvendinimui (pvz., vaikų fotografavimui švenčių metu, nuotraukų kėlimui į socialinius tinklus ar įstaigos internetinę svetainę), reikalaujame aiškaus rašytinio vieno iš tėvų ar teisėtų globėjų sutikimo.
• Sutikimo atšaukimas: Tėvai/globėjai turi teisę bet kada ir be jokių neigiamų pasekmių atšaukti duotą sutikimą dėl vaizdo duomenų (nuotraukų) tvarkymo. Tai galima padaryti tiesiog informuojant įstaigos administraciją el. paštu ar raštu. Atšaukus sutikimą, mes nedelsiant nustosime naudoti vaiko nuotraukas naujuose formatuose ir, esant techninėms galimybėms, pašalinsime ankstesnes (išskyrus spausdintus jau išleistus leidinius). Atšaukimas nedaro poveikio sutikimu pagrįsto duomenų tvarkymo, atlikto iki atšaukimo, teisėtumui.

6. Duomenų saugumo pažeidimų valdymas

Mes taikome pažangias organizacines ir technines saugumo priemones. Tačiau, įvykus asmens duomenų saugumo pažeidimui (pvz., neteisėtam prisijungimui prie sistemų, dokumentų praradimui), MB „Vaikų istorijos“ vadovaujasi patvirtintu Incidentų valdymo planu:

1. Nustačius asmens duomenų saugumo pažeidimą, mes nedelsdami ir ne vėliau kaip per 72 valandas nuo tada, kai apie jį sužinome, pranešame Valstybinei duomenų apsaugos inspekcijai (VDAI), nebent pažeidimas nekeltų pavojaus fizinių asmenų teisėms ir laisvėms.
2. Jei asmens duomenų saugumo pažeidimas gali sukelti didelį pavojų jūsų ar jūsų vaikų teisėms ir laisvėms (pvz., nuteka jautrūs sveikatos ar finansiniai duomenys), mes įsipareigojame nedelsiant informuoti jus asmeniškai, nurodydami pažeidimo pobūdį, galimas pasekmes ir priemones, kurių ėmėmės padariniams sušvelninti.

7. Poveikio duomenų apsaugai vertinimas (PDAV)

Nors ugdymo įstaigos tvarko vaikų asmens duomenis, pagal VDAI patvirtintus sąrašus ir mūsų įstaigos atliktą pirminį vertinimą, MB „Vaikų istorijos“ neatlieka didelio masto specialiųjų kategorijų duomenų sistemingo tvarkymo ar inovatyvių technologijų (pvz., biometrinių duomenų, veido atpažinimo kamerų) naudojimo, todėl formalus Poveikio duomenų apsaugai vertinimas (PDAV) įstaigai šiuo metu nėra privalomas. Nepaisant to, bet kokie nauji duomenų tvarkymo procesai visada vertinami per „pritaikytosios ir standartinės duomenų apsaugos“ (ang. Privacy by Design) prizmę.

8. Priežiūros institucija ir ginčų sprendimas

Mes tikimės, kad visus klausimus, susijusius su duomenų apsauga, galėsime išspręsti taikiai, bendradarbiaujant su jumis. Prašome kilus bet kokioms abejonėms pirmiausia kreiptis į mūsų įstaigos administraciją nurodytais kontaktais.

Jei vis dėlto manote, kad tvarkydami asmens duomenis pažeidžiame BDAR reikalavimus, jūs turite neginčijamą teisę pateikti skundą priežiūros institucijai – Valstybinei duomenų apsaugos inspekcijai:

• Adresas: L. Sapiegos g. 17, 10312 Vilnius
• Telefonas: (8 5) 271 2804
• El. paštas: ada@ada.lt
• Interneto svetainė: vdai.lrv.lt