PATVIRTINTA

BĮ Klaipėdos miesto globos namų direktoriaus

2024 m. liepos 15 d. įsakymu Nr. V-39

PRITARTA

Darbuotojų darbo tarybos

2024 m. liepos 12 d. protokolu Nr. V20-04

BIUDŽETINĖS ĮSTAIGOS KLAIPĖDOS MIESTO GLOBOS NAMŲ ASMENS DUOMENŲ TVARKYMO TAISYKLĖS

I Bendrosios nuostatos

1. Taisyklių tikslas – reglamentuoti asmens duomenų tvarkymą Biudžetinėje įstaigoje Klaipėdos miesto globos namai, užtikrinant, duomenų apsaugos įstatymų laikymąsi ir įgyvendinimą.
2. Taisyklių paskirtis – numatyti asmens duomenų tvarkymo, duomenų subjekto teisių įgyvendinimo pagrindinius principus, tvarką ir sąlygas, technines ir duomenų saugos organizacines priemones, užtikrinančias Įstaigoje tvarkomų asmens duomenų apsaugą nuo atsitiktinio neteisėto sunaikinimo, pakeitimo, atskleidimo, taip pat nuo bet kokio kito neteisėto tvarkymo.
3. Taisyklių privalo laikytis visi Įstaigoje dirbantys asmenys, kurie tvarko Įstaigoje esančius asmens duomenis arba eidami savo pareigas juos sužino.
4. Taisyklėse vartojamos sąvokos:

Atsakingas asmuo – Įstaigos darbuotojas, Įstaigos vadovo įsakymu paskirtas atsakingu už atitinkamų asmens duomenų tvarkymo organizavimą ir kontrolę. Kai Įstaigoje paskiriamas duomenų apsaugos pareigūnas, atsakingas asmuo padeda duomenų apsaugos pareigūnui įgyvendinti jo funkcijas;

Įstaiga – Biudžetinė įstaiga Klaipėdos miesto globos namai, įstaigos kodas 141954233, Žalgirio g. 3A, LT-93248, Klaipėda;

Duomenų apsaugos įstatymai – Reglamentas, Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymas ir kiti asmens duomenų tvarkymą reglamentuojantys teisės aktai;

Kandidatai – asmenys, kurie pretenduoja į darbo ar praktikos vietą/-as Įstaigoje, siekdami sudaryti darbo ar praktikos sutartį su Įstaiga.

Reglamentas – 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamento (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas);

Sutikimas – bet koks laisva valia duotas, konkretus ir nedviprasmiškas tinkamai informuoto duomenų subjekto valios išreiškimas pareiškimu arba vienareikšmiais veiksmais kuriais jis sutinka, kad būtų tvarkomi su juo susiję asmens duomenys;

Svetainė – interneto tinklalapis www.kgnamai.lt;

Taisyklės – reiškia šias asmens duomenų tvarkymo taisykles, kartu su visais priedais, vėlesniais pakeitimais ir (ar) papildymais;

Vidaus administravimas – veikla, kuria užtikrinamas Įstaigos savarankiškas funkcionavimas (struktūros tvarkymas, personalo valdymas, turimų materialinių ir finansinių išteklių valdymas ir naudojimas, raštvedybos tvarkymas);

Žurnalas – Įstaigos duomenų tvarkymo veiklos įrašų registras, kuris laikomas neatskiriama Taisyklių dalimi.

Kitos šiose Taisyklėse vartojamos sąvokos atitinka sąvokas, nustatytas duomenų apsaugos įstatymuose.

5. Taisyklės parengtos vadovaujantis duomenų apsaugos įstatymais. Taisyklių nuostatos negali plėsti ar siaurinti teisės aktų taikymo srities bei prieštarauti nustatytiems asmens duomenų tvarkymo principams, duomenų apsaugos įstatymams.

II Pagrindiniai asmens duomenų tvarkymo principai

6. Įstaigos darbuotojai atlikdami savo pareigas ir tvarkydami asmens duomenis, privalo laikytis šių asmens duomenų tvarkymo ir apsaugos principų:
   • asmens duomenys renkami apibrėžtais ir teisėtais tikslais, nustatytais teisės aktais, ir tvarkomi su šiais tikslais suderintais būdais ir nebetvarkomi su tais tikslais nesuderinamu būdu;
   • renkant ir tvarkant asmens duomenis laikomasi tikslingumo ir proporcingumo principų, nereikalaujama iš duomenų subjektų pateikti tų duomenų, kurie nėra reikalingi, nekaupiami ir netvarkomi pertekliniai duomenys (duomenų mažinimo principas);
   • asmens duomenys tvarkomi sąžiningai ir teisėtai, skaidriu būdu (teisėtumo, sąžiningumo ir skaidrumo principas);
   • asmens duomenys turi būti tikslūs ir, jei reikia dėl asmens duomenų tvarkymo, nuolat atnaujinami; netikslūs ar neišsamūs duomenys yra ištaisomi, papildomi, sunaikinami arba jų tvarkymas sustabdomas (tikslumo principas);
   • asmens duomenys saugomi tokia forma, kad duomenų subjektų tapatybę būtų galima nustatyti ne ilgiau negu to reikia tiems tikslams, dėl kurių šie duomenys buvo surinkti ir tvarkomi (saugojimo trukmės apribojimo principas);
   • tvarkomi tokiu būdu, kad būtų užtikrintas tinkamas asmens duomenų saugumas, įskaitant apsaugą nuo asmens duomenų tvarkymo be leidimo arba neteisėto asmens duomenų tvarkymo ir nuo netyčinio praradimo, sunaikinimo ar sugadinimo (vientisumo ir konfidencialumo principas).
7. Asmens duomenų tvarkymo ir apsaugos principų laikymąsi užtikrina Įstaigos vadovas ar jo paskirtas atsakingas asmuo, imdamasis atitinkamų organizacinių priemonių (įsakymai, nurodymai, rekomendacijos).

III. ASMENS DUOMENŲ TVARKYMO TIKSLAI, PAGRINDAS IR ASMENS DUOMENŲ KATEGORIJOS

8. Asmens duomenys Įstaigoje tvarkomi šiais tikslais (įskaitant, bet neapsiribojant atvejais, kai gaunamas atskiras duomenų subjekto sutikimas dėl duomenų tvarkymo):

Eil. nr.	Duomenų tvarkymo tikslas	Tvarkomi asmens duomenys	Duomenų tvarkymo pagrindas	Duomenų perdavimas trečiosioms šalims	Duomenų tvarkymo terminas
8.1.	Darbuotojų atranka į laisvas darbo vietas	Kandidato duomenys, pateikiami jo CV: vardas, pavardė, amžius / gimimo data, telefono numeris, el. pašto adresas, gyvenamosios vietos adresas, išsilavinimas, darbo patirtis, kvalifikacija.

Kandidatas savo nuožiūra gali pateikti ir kitų duomenų, pvz., savo atvaizdą, vaikų vardus ar nuorodas į savo socialinių tinklų paskyrasKandidato sutikimas (BDAR 6 str. 1 (a) p.); veiksmai siekiant sudaryti sutartį (BDAR 6 str. 1 (b) p.)Nevykdomas1 m. (po priėmimo procedūros termino pabaigos)8.2.Darbo sutarčių sudarymas ir keitimas įdarbinant, nutraukiant darbo santykiusDarbuotojo vardas, pavardė, telefono numeris, el. pašto adresas, asmens kodas, gimimo data, tapatybės kortelės ar paso dokumento duomenys, gyvenamosios vietos adresas, socialinio draudimo Nr., pilietybė, lytis, išsilavinimasSutarties vykdymas (BDAR 6 str. 1 (b) p.)Duomenys įrašomi į Personalo valdymo sistemą „Personalas“, pasiekiami programos administratoriams, Klaipėdos miesto savivaldybės administracijos atitinkamiems skyriams50 metų (pasibaigus sutarčiai)8.3.Darbo santykių administravimas (darbo užmokesčio apskaita ir  mokėjimas, su darbo santykiais susijusių mokesčių ir įmokų apskaita ir mokėjimas, atostogų ir laisvadienių suteikimas ir pan.)Darbuotojo vardas, pavardė, telefono numeris, el. pašto adresas, gimimo data, gyvenamosios vietos adresas, išsilavinimas, kvalifikacijos kėlimo duomenys, vaikų amžius, asmens bylos Nr., banko sąskaitos Nr.,  neįgalumo / darbingumo / spec. poreikių lygis, šeiminė padėtis, atostogų ir komandiruočių informacija, informacija apie sveikatos būklę ir pan., artimųjų duomenysSutarties vykdymas (BDAR 6 str. 1 (b) p.), Teisinės prievolės vykdymas (BDAR 6 str. 1 d. (c) p.).Sodra, VMI, komerciniai bankai, policija ar prokuratūra, Klaipėdos miesto savivaldybės administracijos apskaitos skyrius, gydymo įstaigosTeisės aktais nustatytus laikotarpius
Tinkamos komunikacijos su darbuotojais ne darbo metu palaikymasDarbuotojo vardas, pavardė, asmeninis telefono numeris, asmeninis el. pašto adresasTeisėtas valdytojo interesas užtikrinti Įstaigos įsipareigojimus paslaugų gavėjams (BDAR 6 str. 1 (f) p.)NevykdomasIki darbo santykių pabaigos8.4.Darbuotojų mobilizacijos duomenysDarbuotojo vardas, pavardė, asmens kodas, darbovietė ir einamos pareigos, kontaktinis telefono numeris, faktinės ir deklaruotos gyvenamosios vietos adresaiValdytojui taikoma teisinė prievolė (BDAR 6 str. 1 (c) p.)Klaipėdos m. savivaldybės administracija, Krašto apsaugos ministerijaTeisės aktais nustatytus laikotarpius8.5.Darbuotojų privačių interesų deklaravimas bei įsipareigojimai dėl konfidencialumoAsmens vardas, pavardė, asmens kodasTeisinės prievolės vykdymas (BDAR6 str. 1 d. (c) p.) Funkcijos vykdomos viešojo intereso labui arba viešosios valdžios pavedimu (BDAR 6 str. 1 (e) p.)Duomenys pateikiami viešųjų pirkimų valdymo sistemoje Ecocost, matomi sistemos administratoriui ir Klaipėdos miesto savivaldybės administracijos viešųjų pirkimų skyriuiTeisės aktais nustatytą laikotarpį8.6.Darbuotojų kvalifikacijos kėlimas ir kompetencijų vystymas trečiųjų šalių organizuojamuose mokymuose ir seminaruoseDarbuotojo vardas, pavardė, telefono numeris, darbo el. pašto adresas, pareigos, padalinysSutarties vykdymas (BDAR 6 str. 1 (b) p.)Mokymų organizatoriai10 m. (pasibaigus darbo santykiams)8.7.Darbuotojų įgaliojimai atstovauti įstaigą arba atlikti tam tikrą užduotįDarbuotojo vardas, pavardė, telefono numeris, asmens kodasTeisėtas valdytojo interesas palengvinti administravimo procesus (BDAR 6 str. 1 (f) p.)Suinteresuotoms šalims1 m. (pasibaigus įgaliojimui)8.8.Praktikos sutarčių sudarymas, keitimas bei nutraukimasPraktikanto vardas, pavardė, asmens kodas, asmeninis el. pašto adresas, gyvenamosios vietos adresas, telefono numeris, mokymosi įstaiga, praktikos atlikimo laikas, vietaSutarties vykdymas (BDAR 6 str. 1 (b) p.)SODRA, mokymo įstaiga, su kuria sudaryta sutartis3 m. (pasibaigus sutarčiai)8.9.Savanorystės sutarčių sudarymas, keitimas bei nutraukimasSavanorio vardas, pavardė, asmens kodas, asmeninis el. pašto adresas,  telefono numeris, savanoriškos veiklos atlikimo vieta ir laikas, išsilavinimą patvirtinantys dokumentai (renkami jeigu savanoriškos veiklos atlikimo vietai yra privaloma turėti išsilavinimą patvirtinantį dokumentą)Sutarties vykdymas (BDAR 6 str. 1 (b) p.)Suinteresuotoms šalims5 m. (po sutarties galiojimo pabaigos)8.10.Informaciniai pranešimai apie įvykdytą mažos vertės pirkimąPirkimą rengusio darbuotojo vardas, pavardė, telefono numeris, el. pašto adresas, pareigosValdytojui taikoma teisinė prievolė (BDAR 6 str. 1 (c) p.)Pirkime dalyvaujantys asmenysTeisės aktais nustatytą laikotarpį8.11.Potencialių tiekėjų duomenų tvarkymas viešųjų pirkimų pasiūlymuoseJuridinių asmenų atstovų vardas, pavardė, pareigos; fizinių asmenų vardas, pavardė, veiklos vykdymo adresas, veiklos vykdymo teisėtumą įrodančio dokumento identifikacinis numerisValdytojui taikoma teisinė prievolė (BDAR 6 str. 1 (c) p.)Duomenys pateikiami viešųjų pirkimų valdymo sistemoje CVP matomi sistemos administratoriui ir Klaipėdos miesto savivaldybės administracijos viešųjų pirkimų skyriuiTeisės aktais nustatytą laikotarpį8.12.Tiekėjų komerciniais pagrindais duomenų tvarkymasJuridinių asmenų atstovų vardas, pavardė, pareigos; fizinių asmenų vardas, pavardė, veiklos vykdymo adresas, veiklos vykdymo teisėtumą įrodančio dokumento identifikacinis numeris, banko sąskaitos numerisSutarties vykdymas (BDAR 6 str. 1 (b) p.)Duomenys pateikiami viešųjų pirkimų valdymo sistemoje CVP matomi sistemos administratoriui ir Klaipėdos miesto savivaldybės administracijos viešųjų pirkimų skyriui, raštu sudarytos sutartys viešinamos CVPIS10 metų8.13.Archyvo valdymasĮstaigos dokumentuose saugomi duomenys: vardas, pavardė, asmens kodas, gyvenamoji vieta, telefono Nr. Taip pat galimi ir kiti asmens duomenys, saugomi darbo sutartyse, sportinio rengimo paslaugos sutartyse, komercinėse sutartyse, įsakymų kopijose, Įstaigos vadovo nutarimuose, gyvenimo aprašymuose, atsiliepimuose ir pan.Valdytojui taikoma teisinė prievolė (BDAR 6 str. 1 (c) p.)-Iki 50 metų priklausomai nuo dokumento tipo, vadovaujantis nacionalinių teisės aktų nuostatomis8.14.Dokumentų valdymas ir saugojimasPopieriniu ir elektroniniu formatu gauta, siunčiama korespondencija, sutartys, sąskaitos, teisės aktai (įsakymai, potvarkiai, nutarimai), Įstaigos vidinio reguliavimo dokumentai.Valdytojui taikoma teisinė prievolė (BDAR 6 str. 1 (c) p.);

teisėtas valdytojo interesas teikti tinkamai valdyti savo dokumentus (BDAR 6 str. 1 (f) p.)Klaipėdos miesto savivaldybės administracija, paslaugų gavėjai, dokumentų valdymo sistemos „Avilys“ administratoriaiGauta ir siunčiama korespondencija – 5 metai;

darbo sutartys – 50 metų;

savanorystės sutartys – 5 metai; praktinio mokymo sutartys – 3 metai;

kitos sutartys – iki galiojimo pabaigos arba 10 metų; paslaugų teikimo sutarys – 10 metų;

sąskaitos – 10 metų;

įsakymai, nutarimai –50 arba 10 metų;

posėdžių protokolai – 5 metai;

sutikimai dėl asmens duomenų tvarkymo – 1 metai (pasibaigus asmens duomenų, dėl kurių tvarkymo buvo išduotas sutikimas , saugojimo laikotarpiui)8.15.Paslaugų gavėjų sutarčių sudarymas ir administravimas:

(i) Įstaigos paslaugas gauti pageidaujančių asmenų ir jų atstovų paraiškų tvarkymas ir atranka; (ii) paslaugų sutarčių sudarymas ir vykdymasPaslaugos gavėjo ir/arba jo teisinio atstovo vardas, pavardė, asmens kodas, asmens tapatybės dokumento Nr., gimimo data, lytis, asmens tapatybės dokumento duomenys, gyvenamosios vietos adresas, el. pašto adresas, telefono numeris, duomenys apie sveikatos būkles ir diagnozes, šeimos gaunamos pajamos.Sutarties vykdymas (BDAR 6 str. 1 (b) p.)Neįgalumo ir darbingumo nustatymo tarnyba prie SADM, kitos globos įstaigos, teisėsaugos institucijos, savivaldybių administracijos, auditoriai, mokesčių administratoriai, sveikatos priežiūros įstaigos, Klaipėdos m.  savivaldybės administracijos Finansų ir turto departamento, biudžetinių įstaigų centralizuotos apskaitos skyrius, Socialinės paramos šeimai informacinė sistema (SPIS), asmenys, turintys teisėtą pagrindą gauti asmens duomenis25 metai (užbaigus bylą)8.16.Paslaugų gavėjų ir darbuotojų dalyvavimo trečiųjų šalių renginiuose organizavimasPaslaugų gavėjo ir/ar darbuotojo vardas, pavardė, gimimo data, el. pašto adresas ir/arba telefono numerisSutarties vykdymas (BDAR 6 str. 1 (b) p.)Renginių organizatoriai5 metai8.17.Darbuotojų ir paslaugų gavėjų išvykų ir kelionių organizavimas (apgyvendinimo ir transporto rezervacijos, bilietų pirkimai – finansiniai dokumentai)Darbuotojų ir/ar paslaugų gavėjų vardas, pavardė, telefono numeris, el. pašto adresas, gimimo metai, pilietybėSutarties vykdymas (BDAR 6 str. 1 (b) p.)Kelionių organizatoriai10 metų8.18.Socialinės paramos (lengvatų), taikytinų paslaugų gavėjams administravimasPaslaugos gavėjo vardas, pavardė, el. pašto adresas,  finansinę / socialinę situaciją pagrindžiantys dokumentai (pvz., šeimos sudėtis (su asmens kodais), deklaruota vieta, medicininiai dokumentai, šeimos gaunamos pajamos, ir pan.)Sutarties vykdymas (BDAR 6 str. 1 (b) p.);

valdytojui taikoma teisinė prievolė (BDAR 6 str. 1 (c) p.)Klaipėdos miesto savivaldybės administracija10 metų8.19.Pranešėjų apsauga ir korupcijos prevencijaPranešėjo vardas, pavardė, asmens kodas, telefonas, el. paštas, gyvenamosios vietos adresas, darbovietėValdytojui taikoma teisinė prievolė (BDAR 6 str. 1 (c) p.);

funkcijos vykdomos viešojo intereso labui arba viešosios valdžios pavedimu (BDAR 6 str. 1 (e) p.)NevykdomasTeisės aktais nustatytą laikotarpį8.20.Darbuotojų, paslaugų gavėjų, kitų asmenų skundų, pareiškimų nagrinėjimas ir su tuo susiję dokumentaiSkundo teikėjo vardas ir pavardė, gyvenamosios vietos adresas, lytis, el. pašto adresas, telefono numeris, pareigos, bei kita jautri informacija apie asmenį, pvz., socialinė padėtis, įsitikinimai ar pažiūros, šeimyninė padėtis, ir pan. su skundo aplinkybėmis susijusi informacija, kurioje skundo teikėjas gali pateikti kitų asmens duomenųValdytojui taikoma teisinė prievolė (BDAR 6 str. 1 (c) p.)Nevykdomas5 metai8.21.Vardinis signalizacijos kodo priskyrimasDarbuotojo vardas, pavardė, priskirtas signalizacijos kodas, signalizacijos kodo suvedimo laikas ir data, vietaTeisėtas valdytojo interesas  apsaugoti Įstaigos turtą ir asmenis (BDAR 6 str. 1 d. (f) p.)Saugos tarnyba „Argus“14 dienų8.22.Vaizdo duomenų tvarkymas turto apsaugos tiksluDuomenų subjektų, patenkančių į vaizdo kamerų stebėjimo lauką, atvaizdų fiksavimasDuomenų subjekto sutikimas (BDAR 6 str. 1 (a) p.); Teisėtas valdytojo interesas apsaugoti Įstaigos turtą (BDAR 6 str. 1 d. (f) p.).Saugos tarnyba „Argus“14 dienų8.23.Duomenų tvarkymas įstaigos informacinėse sistemose ir tinklapiuoseDarbuotojo vardas, pavardė, pareigos, padalinys, el. pašto adresas; paslaugų gavėjo vardas, pavardė, pasiekimaiTeisėtas valdytojo interesas tinkamai teikti paslaugas (BDAR 6 str. 1 (f) p.)Informacinių sistemų tiekėjų pasirinktiems pagalbiniams tvarkytojamsDarbuotojams – iki darbo sutarties galiojimo pabaigos; paslaugų gavėjams – iki paslaugų sutarties galiojimo pabaigos.8.24.Gerųjų Įstaigos veiklos pavyzdžių, Įstaigos veiklos viešinimas ir visuomenės informavimasDarbuotojų, savanorių, paslaugų gavėjų, atvaizdai vaizdo įrašuose arba fotonuotraukose, darbuotojų ir savanorių vardai, pavardės, pareigos, vykdoma/viešinama veiklaTeisėtas valdytojo interesas didinti Įstaigos žinomumą ir informuoti apie teikiamas paslaugas (BDAR 6 str. 1 (f) p.)Visuomenės informavimo priemonės, socialiniai tinklaiNeribotai; duomenys sunaikinami per 5 d. nuo duomenų subjekto prašymo gavimo dienos8.25.Teikiamų socialinių paslaugų atitikties teisės aktų reikalavimams vertinimas (SPP auditas)
Išorės auditaiVardas, pavardė, pareigos.Duomenų valdytojui taikoma teisinė prievolė (BDAR 6 str. 1 d. c) p.)Socialinių paslaugų priežiūros departamentas prie Socialinės apsaugos ir darbo ministerijosIki darbo sutarties pabaigos8.26.Įstaigos darbuotojo prisijungimas prie paslaugų gavėjo e-sveikatos paskyros, vykdant darbines funkcijas tiksluYpatingieji paslaugų gavėjų duomenys (sveikatos priežiūros specialistų ir sveikatos priežiūros įstaigų pasirinkimai, ūgis, svoris, juosmens apimtis, kūno masės indeksas, kraujo grupė ir rezus faktorius, rizikos veiksniai, gyvenimo būdas (žalingi įpročiai), sveikatai kenksmingi ir pavojingi aplinkos veiksniai, neįgalumo lygis, darbingumo lygis, bendrieji pirminiai specialieji poreikiai, profilaktinių sveikatos patikrinimų duomenys, taikytų vakcinacijų duomenys, persirgtų ligų ar būklių pavadinimai ir kodai, alerginių reakcijų pavadinimai ir kodai, artimųjų giminaičių paveldimų arba genetinių ligų diagnozių kodai, paciento atvykimo į asmens sveikatos priežiūros įstaigą faktas, parengti elektroniniai medicininiai dokumentai (įskaitant juos sudarančius duomenis bei metaduomenis), elektroninės medicininės pažymos (įskaitant jas sudarančius duomenis bei metaduomenis), nusiskundimų ir anamnezių duomenys, suteiktos sveikatinimo paslaugos (statistinių apskaitos formų, naudojamų duomenims apie suteiktas sveikatinimo paslaugas rinkti, formatu), ambulatorinio gydymo suvestinės (apsilankymų statusas, dienynai, epikrizės, išrašai ir kita), diagnozuotų ligų ar būklių pavadinimai ir kodai, gydymo būdai, atliktos procedūros ir operacijos (intervencijos), ilgalaikio stebėjimo duomenys, gydymas vaistiniais preparatais, medicinos pagalbos priemonių taikymas, siuntimai konsultuoti, tirti, gydyti, paimti mėginiai, atlikti tyrimai, draustumo sveikatos draudimu požymis registravimo sveikatinimo paslaugoms gauti metu, išduoti elektroniniai nedarbingumo pažymėjimai bei elektroniniai nėštumo ir gimdymo atostogų pažymėjimai (asmens kodas, vardas (vardai), pavardė (pavardės), nedarbingumo priežastis, nedarbingumo, nėštumo ir gimdymo atostogų laikotarpis, gimdymo data), išduoti leidimai dėl nedarbingumo bei nėštumo ir gimdymo atostogų pažymėjimų išdavimo Elektroninių nedarbingumo pažymėjimų bei elektroninių nėštumo ir gimdymo atostogų pažymėjimų išdavimo taisyklių, patvirtintų Lietuvos Respublikos sveikatos apsaugos ministro ir Lietuvos Respublikos socialinės apsaugos ir darbo ministro 2005 m. birželio 30 d. įsakymu Nr. V-533/A1-189 „Dėl teisės aktų, susijusių su elektroniniais nedarbingumo pažymėjimais bei elektroniniais nėštumo ir gimdymo atostogų pažymėjimais, patvirtinimo“, nenumatytais atvejais (asmens kodas, vardas (vardai), pavardė (pavardės), sveikatinimo įstaiga, kuriai skirtas leidimas (asmens kodas, pavadinimas), nedarbingumo laikotarpis), išskyrus valstybės ar tarnybos paslaptį sudarančius duomenis (Žr. E-sveikatos tvarkos apraše).Sutarties sudarymas ir vykdymas (BDAR 6 str. 1 d. (b) p.) ir teisinės prievolės vykdymas ( BDAR 6 str. 1 d. (c) p.), Sutarties vykdymas – BDAR 9 str. 2 d., paslaugų gavėjo sutikimas – BDAR 9 str. 2 d. (a) punktas.
Iki darbo sutarties pabaigos8.27.Išlaidų, vykdant darbines funkcijas, fiksavimas (pvz. komandiruočių išlaidų fiksavimas)Valstybinis automobilis numeris (asmeniniai arba nuomuojami automobiliai)
renginio dalyvio vardas, pavardė, asmens kodas , data, komandiruotės išlaidų kvitaiDuomenų valdytojo teisėtas intereso pagrindas (BDAR 6 str. 1 d. (f) p.)Degalinių tinklas10 metų8.28.Darbuotojų gimtadienių viešinimasVardas, pavardė, gimimo dienaDuomenų subjekto sutikimas (BDAR 6 str. 1 d. a) p.)NeteikiamiIki darbo sutarties pabaigos8.29.Mobilaus ryšio limito kontrolėtelefono numeris, pareigybė, vardas, pavardėDuomenų valdytojo teisėtas intereso pagrindas (BDAR 6 str. 1 d. f) p.)UAB „Tele2“Iki darbo sutarties pabaigos8.30.Sveikatos paslaugų teikimas (įskaitant vaistų išrašymą)Medicininės komisijos išvados, gyventojų būklės ir antropometrinių duomenų įvertinimas, fizinės medicinos ir reabilitacijos procedūros, vaistų paskyrimo ir atidavimo planas, slaugos planas, neįgalumo pažymėjimas, sutikimas dėl medicininės apžiūros ir sutikimas su tyrimais, vaistais, paciento valios pareiškimas teikiant sveikatos priežiūros paslaugas, trečių asmenų, kuriems teikiama informacija, kontaktai. sutikimas vakcinacijaisutarties su DS vykdymas (BDAR 6 str. 1 d. a) p. ir BDAR 9 str. 2 d. a) p.)Šeimos gydytojasAsmens duomenų saugojimo terminai nustatyti dokumentacijos plane8.31.Darbuotojų sveikatos periodinis patikrinimo pažymaVardas, pavardė, sveikatos pažymos galiojimo terminasDuomenų valdytojui taikoma teisinė prievolė (BDAR 6 str. 1 d. c) p.).Neteikiami1 (vieneri) metai po sveikatos pažymėjimo galiojimo pabaigos8.32.IT infrastruktūros priežiūraVardas, pavardė, pareigos, prisijungimo vardas, slaptažodis,Teisėti DV ar trečios šalies interesai (BDAR 6 str. 1 d. f) p.)Klaipėdos miesto savivaldybės administracijaIki paslaugų teikimo galiojimo pabaigos

9. Jei Įstaigą tvarkyti asmens duomenis imperatyviai įpareigoja atitinkami teisės aktai, Įstaiga tokius duomenis tvarkys laikydamasi duomenų apsaugos įstatymų reikalavimų, net ir tuo atveju, jei tvarkomų asmens duomenų kategorijos, tikslai, duomenų subjektai neįvardinti Taisyklėse, Žurnale, apie tai informuodama duomenų subjektus.
10. Bet kuriuo tikslu surinkti ir tvarkomi asmens duomenys gali būti naudojami įtariamoms nusikalstamoms veikoms, administraciniams teisės pažeidimams atskleisti, Įstaigos darbuotojų, trečiųjų asmenų, Įstaigos turtui ar asmenų sveikatai, gyvybei padarytai žalai įrodyti, atskleisti. Vaizdo duomenys gali būti pateikti ikiteisminio tyrimo įstaigai, prokurorui ar teismui dėl jų žinioje esančių baudžiamųjų, administracinių, administracinių nusižengimų, civilinių bylų, kaip įrodymai ar kitais įstatymų nustatytais atvejais ir tvarka, bei kitiems asmenims įstatymų nustatytais atvejais ir tvarka.

IV. ASMENS DUOMENŲ TVARKYMAS SVETAINĖJE

11. Įstaigos svetainėje gali būti naudojami slapukai. Jei įstaigos svetainėje naudojami slapukai įstaiga pateikia informaciją apie slapukus (slapukų pagalba ketinamus rinkti asmens duomenis, tvarkymo tikslus, saugojimo terminą, informacija apie tai, kad naudotojas bet kada savo sutikimą dėl slapukų įrašymo gali atšaukti, kai slapukai įrašomi sutikimo pagrindu). Informacija dėl slapukų naudojimo turi būti suteikta ir sutikimas turi būti gautas prieš naudojant slapuką pirmą kartą (išankstinis naudotojo sutikimas dėl slapuko naudojimo). Tuo atveju, jei sutikimas buvo gautas, ateityje pakartotinai naudojant tą patį slapuką tuo pačiu tikslu sutikimo dar kartą gauti nereikia. Tai galioja ir trečiųjų šalių naudojamų slapukų atžvilgiu. Svetainės lankytojams sudaroma galimybė sutikti dėl slapukų įrašymo į svetainės lankytojo galinį įrenginį, kai įrašomi funkciniai, stebėjimo ir (ar) trečiosios šalies slapukai. Būtinieji slapukai naudojami teisėto intereso pagrindu.
12. Jei svetainėje yra naudojami slapukai būtina nurodyti slapuko pavadinimą, slapuko aprašymą, naudojimo tikslą ir trukmę.

V. ĮSTAIGOS SOCIALINĖS PASKYROS

13. Įstaiga yra sukūrusi ir valdo paskyrą socialinės žiniasklaidos priemonėje Facebook, tačiau informaciją, kurią duomenų subjektas pateikia socialinės žiniasklaidos priemonėmis (įskaitant pranešimus, laukelių „Like“ ir „Follow“ naudojimą, bei kitą komunikaciją) ar kuri gaunama duomenų subjektui aplankius Įstaigos Facebook paskyrą (įskaitant informaciją gaunamą socialinės žiniasklaidos priemonės naudojamų slapukų pagalba) ar skaitant Įstaigos įrašus socialinės žiniasklaidos tinkle, kontroliuoja socialinio tinklo valdytojas Facebook.
14. Kaip Facebook paskyros administratorius Įstaiga parenka atitinkamus nustatymus, atsižvelgdama į savo tikslinę auditoriją ir į veiklos valdymo ir skatinimo tikslus, tačiau socialinio tinklo valdytojas Įstaigai suteikdamas galimybę sukurti Įstaigos paskyrą socialiniame tinkle ir ją administruoti gali būti apribojęs galimybę keisti tam tikrus, esminius nustatymus. Dėl to Įstaiga negali įtakoti, kokią informaciją apie duomenų subjektą rinks socialinio tinklo valdytojas Įstaigai sukūrus paskyrą socialiniame tinkle.
15. Paprastai, socialinio tinklo valdytojas asmens duomenis (net ir tuos, kurie surinkti Įstaigai pasirinkus papildomus paskyros nustatymus), tvarko socialinio tinklo valdytojo nustatytais tikslais, remdamasis socialinio tinklo valdytojo privatumo politika. Todėl Įstaiga svetainėje skelbiamoje Įstaigos privatumo politikoje duomenų subjektus ragina susipažinti su socialinio tinklo valdytojo privatumo politika.
16. Įstaigos kaip paskyros administratoriaus gaunamų duomenų apimtis priklauso nuo Įstaigos parinktų paskyros nustatymų, susitarimų su socialinio tinklo valdytoju dėl papildomų paslaugų užsakymo, socialinio tinklo valdytojo nustatytų slapukų.

VI. KANDIDATŲ ASMENS DUOMENŲ TVARKYMAS

17. Gavusi kandidato asmens duomenis, Įstaiga informuoja kandidatą apie jo asmens duomenų tvarkymą Įstaigoje žodžiu arba elektroniniu paštu (išskyrus, jei kandidatas tokią informaciją jau yra gavęs). Kai asmuo kandidatuoja į konkrečią poziciją, kol vykdoma atranka jo asmens duomenys tvarkomi siekiant sudaryti sutartį su duomenų subjektu. Pasibaigus atrankai, jei kandidatas neatrenkamas ir nepateikia sutikimo dėl tolesnio asmens duomenų saugojimo, asmens duomenys ištrinami. Jei kandidatas savo duomenis pateikia ne konkrečiai skelbiamai pozicijai ir pateikia sutikimą ar pasibaigus atrankai sutinka, kad jo asmens duomenys būtų toliau tvarkomi Įstaigoje, asmens duomenys tvarkomi duomenų subjekto sutikimo pagrindu.

VII. ĮSTAIGOS DARBUOTOJŲ PRAĖJIMO KONTROLĖ

18. Įstaiga Žurnale nustatytais tikslais vykdo darbuotojų praėjimo kontrolę. Darbuotojų praėjimo kontrolė vykdoma darbuotojams naudojantis jiems priskirtu signalizacijos kodu, patenkant į Įstaigos patalpas, esančias adresu Žalgirio g. 3A, LT-93248, Klaipėda.
19. Atsakingų asmenų kontaktai perduodami apsaugos bendrovei, kad ji galėtų susisiekti su atsakingu asmeniu tik Žurnale nustatytais tikslais.

VIII. POSĖDŽIŲ GARSO ĮRAŠŲ DUOMENŲ TVARKYMAS

20. Įstaigos posėdžių garso įrašas daromas siekiant užfiksuoti posėdžių metu gautą informaciją ir remiantis pateikta informacija parengti išsamų Įstaigos posėdžio protokolą.
21. Posėdžių įrašų duomenys negali būti tvarkomi nesuderinamais su Taisyklėse ir Žurnale nustatytais duomenų tvarkymo tikslais.
22. Įstaigos posėdžių garso įrašai saugomi tol, kol surašomas posėdžio protokolas. Surašius posėdžio protokolą, posėdžio garso įrašas sunaikinamas.

IX. ASMENS DUOMENŲ SAUGOJIMO TERMINAI

23. Asmens duomenys turi būti saugomi ne ilgiau, nei to reikalauja duomenų tvarkymo tikslai, duomenų subjektai ir/ar teisės aktai.
24. Įstaiga asmens duomenis saugo laikydamasi terminų, nustatytų Įstaigos dokumentacijos plane, parengtame vadovaujantis Bendrųjų dokumentų saugojimo terminų rodyklės, patvirtintos Lietuvos vyriausiojo archyvaro 2011 m. kovo 9 d. įsakymu Nr. V-100 „Dėl bendrųjų dokumentų saugojimo terminų rodyklės patvirtinimo“ ir jo aktualiomis redakcijomis, jei jame yra nurodyti dokumentai, kuriuose yra asmens duomenų, taip pat terminų, nustatytų šiame ar kituose Taisyklių skyriuose.
25. Vaizdo stebėjimo medžiaga su asmens duomenimis saugoma 14 dienų nuo duomenų užfiksavimo/ gavimo dienos, o jeigu asmuo arba teisėsaugos institucijos dėl vaizdo įrašo peržiūrėjimo arba gavimo kreipiasi vaizdo duomenų saugojimo laikotarpiu, tai saugojimo terminas pratęsiamas iki 30 kalendorinių dienų.
26. Darbuotojų praėjimo kontrolės metu užfiksuoti asmens duomenys saugomi ir tvarkomi ne ilgiau kaip 14 dienų nuo duomenų užfiksavimo/ gavimo dienos, o jeigu asmuo arba teisėsaugos institucijos dėl duomenų peržiūrėjimo arba gavimo kreipiasi duomenų saugojimo laikotarpiu, tai saugojimo terminas pratęsiamas iki 30 kalendorinių dienų.
27. Duomenų subjektų užklausų administravimo tikslais surinkti asmens duomenys saugomi ir tvarkomi ne ilgai kaip 30 kalendorinių dienų nuo duomenų užfiksavimo/ gavimo dienos.
28. Kai asmens duomenys tvarkomi duomenų subjekto sutikimo pagrindu, suėjus sutikimo terminui duomenų subjektui atšaukus sutikimą, saugomi tik duomenų subjekto sutikimo davimo fakto duomenys 1 (vieneri) metai  nuo sutikimo termino pabaigos ar sutikimo atšaukimo siekiant pareikšti, vykdyti ar apginti teisinius Įstaigos reikalavimus.
29. Tuo atveju, jeigu būtų nustatyta, kad duomenų subjekto duomenimis pasinaudota vykdant neteisėtą veiką ar buvo įtariama, jog padarytas pažeidimas ar bet kokie neteisėti veiksmai, dėl kurio buvo ar bus atliekamas atitinkamų teisėsaugos institucijų tyrimas ar dėl kurių Įstaiga ar kiti asmenys ketina ginti savo teises civilinės teisės ar kitomis priemonėmis ar Įstaiga gavo skundų, susijusių su atitinkamu duomenų subjektu ar trečiuoju asmeniu, kurio vardu veikia duomenų subjektas, ar Įstaiga pastebi atitinkamo duomenų subjekto ar trečiojo asmens, kurio vardu veikia duomenų subjektas, padarytus pažeidimus, ar esant kitiems teisėtiems tikslams saugoti asmens duomenis ilgiau nei nurodyta Taisyklėse, asmens duomenys bus saugomi tiek, kiek pagrįstai būtina pažeidimams pašalinti ar atlikti tyrimą, Įstaigos darbuotojų, paslaugų teikėjų, trečiųjų asmenų, Įstaigos turtui ar asmenų sveikatai, gyvybei padarytai žalai įrodyti, atskleisti. Duomenys gali būti perduoti tik įstatymų nustatyta tvarka turintiems teisę gauti šiuos duomenis asmenims. Asmens duomenys bus sunaikinami gavus teisėtus teisėsaugos ar kitų įgaliotų institucijų nurodymus, ar Įstaigai nustačius, kad tolesnis duomenų saugojimas yra netikslingas.

ASMENS DUOMENŲ ŠALTINIAI IR GAVĖJAI

30. Asmens duomenys gaunami:
    • tiesiogiai iš duomenų subjekto, kai duomenų subjektas kreipiasi į Įstaigą dėl paslaugų, jas užsako sau ar savo atstovaujamam asmeniui, ar naudojasi Įstaigos paslaugomis, bendrauja su Įstaiga per socialinius tinklus, svetainę ar tiesiog stebi Įstaigos veiklą socialiniuose tinkluose, pateikia savo asmens duomenis kandidatuodamas į darbo/ praktikos vietą Įstaigoje, ar kitu būdu kreipiasi į Įstaigą;
    • Valstybės įmonių ir organizacijų;
    • Klaipėdos miesto savivaldybės administracijos ir jos skyrių;
    • Sveikatos priežiūros centrų;
    • duomenų tvarkytojų;
    • valstybinių registrų;
    • Socialinės paramos šeimai informacinės sistemos;
    • Užimtumo tarnybos prie Socialinės apsaugos ir darbo ministerijos;
    • kitų šaltinių.
31. Asmens duomenys teikiami:
    • ginčo atveju – teisines paslaugas Įstaigai teikiantiems asmenims;
    • auditoriams, kitiems konsultantams;
    • pasitelktiems duomenų tvarkytojams;
    • Klaipėdos miesto savivaldybės administracijai ir jos skyriams;
    • Sveikatos priežiūros centrams;
    • Į Socialinės paramos šeimai informacinę sistemą;
    • valstybės institucijoms, teisėsaugos įstaigoms bei kitiems asmenims Lietuvos Respublikos teisės aktų nustatyta tvarka.

ASMENS DUOMENŲ TVARKYMO ORGANIZACINIAI REIKALAVIMAI

32. Prieiga prie asmens duomenų gali būti suteikta tik tam Įstaigos darbuotojui, kuriam asmens duomenys yra reikalingi jo funkcijoms vykdyti. Darbuotojas netenka teisės tvarkyti asmens duomenis, kai pasibaigia sutarties galiojimo terminas arba sutartis nutraukiama, arba, kai jam pavedama vykdyti su duomenų tvarkymu nesusijusias funkcijas. Darbuotojui iš karto panaikinama prieiga prie asmens duomenų informacinėse sistemose. Darbuotojas privalo nedelsiant perduoti klientų asmens duomenis Įstaigai bei ištrinti visas kopijas jo asmeniniuose įrenginiuose.
33. Asmens duomenų tvarkymo funkcijas vykdantys ir su Įstaigos tvarkomais asmens duomenimis galintys susipažinti darbuotojai turi pasirašyti konfidencialumo pasižadėjimą, kuris saugomas darbuotojo byloje.
34. Įstaigos darbuotojai:
    • privalo asmens duomenis Įstaigoje rinkti ir toliau tvarkyti teisėtai, laikantis duomenų apsaugos įstatymų, Taisyklių ir atitinkamu Įstaigos vadovo įsakymu nustatytų sąlygų;
    • privalo laikytis konfidencialumo ir laikyti paslaptyje bet kokią su asmens duomenimis susijusią informaciją, su kuria jis susipažino vykdydamas savo funkcijas, nebent tokia informacija būtų vieša pagal teisės aktų nuostatas. Pareiga saugoti asmens duomenų paslaptį galioja ir perėjus dirbti į kitas pareigas ar pasibaigus darbo ar paslaugų teikimo santykiams su Įstaiga;
    • privalo užkirsti kelią atsitiktiniam ar neteisėtam asmens duomenų sunaikinimui, pakeitimui, atskleidimui, taip pat bet kokiam kitam neteisėtam tvarkymui, saugoti dokumentus tinkamai ir saugiai ir vengti nereikalingų kopijų darymo;
    • neturi teisės atskleisti, perduoti ar sudaryti sąlygų bet kokiomis priemonėmis susipažinti su asmens duomenimis asmeniui, kuris nėra įgaliotas tvarkyti asmens duomenis;
    • neturi teisės savavališkai rinkti, tvarkyti, perduoti, saugoti, naikinti ar kitaip naudoti asmens duomenis;
    • užtikrinti, kad asmens duomenys būtų saugiai sunaikinami ir ištrinami tuojau pat, kai tik baigiasi jų saugojimo laikas arba kai jų tvarkymas tampa netikslingas;
    • privalo nedelsiant pranešti Įstaigos vadovui apie bet kokią įtartiną situaciją, kuri gali kelti grėsmę Įstaigos tvarkomų asmens duomenų saugumui.

XII. DUOMENŲ TVARKYTOJAI. BENDRI DUOMENŲ VALDYTOJAI

35. Duomenų tvarkytojas pradeda tvarkyti Įstaigos valdomus asmens duomenis nuo sutarties, kurioje turi būti nustatytos duomenų tvarkymo sąlygos, pasirašymo dienos arba sutartyje nurodytos datos. Duomenų tvarkytojo ir Įstaigos pasirašytoje sutartyje nustatomi reikalavimai, duomenų tvarkytojo tvarkomiems asmens duomenims, detalizuojama organizacinių ir techninių asmens duomenų saugumo priemonių apimtis, aptariami duomenų tvarkytojo atsakomybės ir kiti klausimai.
36. Duomenų tvarkytojas netenka teisės tvarkyti asmens duomenis, kai pasibaigia sutarties galiojimo terminas arba sutartis nutraukiama. Sutartį nutraukus iš karto panaikinama prieiga prie asmens duomenų informacinėse sistemose, duomenų tvarkytojas privalo nedelsiant perduoti asmens duomenis Įstaigai bei ištrinti visas kopijas jo įrenginiuose, išskyrus, jei kitaip būtų nustatyta Įstaigos ir duomenų tvarkytojo pasirašytoje sutartyje.
37. Įstaigos pasitelkti duomenų tvarkytojai privalo:
    • laikytis pagrindinių asmens duomenų tvarkymo reikalavimų ir saugumo reikalavimų, įtvirtintų duomenų apsaugos įstatymuose, šiose Taisyklėse, kituose teisės aktuose;
    • 2. laikytis konfidencialumo ir laikyti paslaptyje bet kokią su asmens duomenimis susijusią informaciją, su kuria jis susipažino vykdydamas savo funkcijas, nebent tokia informacija būtų vieša pagal teisės aktų nuostatas. Pareiga saugoti asmens duomenų paslaptį galioja ir pasibaigus paslaugų teikimo santykiams su Įstaiga;
    • 3. laikytis šiose Taisyklėse nustatytų organizacinių ir techninių asmens duomenų saugumo priemonių, kad būtų užkirstas kelias atsitiktiniam ar neteisėtam asmens duomenų sunaikinimui, pakeitimui, atskleidimui, taip pat bet kokiam kitam neteisėtam tvarkymui, saugoti dokumentus, duomenų rinkmenas bei duomenų bazėse saugomus duomenis ir vengti nereikalingų kopijų darymo;
    • 4. neatskleisti, neperduoti ir nesudaryti sąlygų bet kokiomis priemonėmis susipažinti su asmens duomenimis nė vienam asmeniui, kuris nėra įgaliotas tvarkyti asmens duomenis;
    • 5. nedelsiant pranešti Įstaigai apie bet kokią įtartiną situaciją, kuri gali kelti grėsmę Įstaigos tvarkomų asmens duomenų saugumui.
38. Įstaiga gali gauti ir/ar teikti duomenis bendriems duomenų valdytojams su bendrais duomenų valdytojais sudarytų sutarčių vykdymo tikslais. Tokiu atveju turi būti sudarytas susitarimas tarp Įstaigos ir bendrų duomenų valdytojų. Susitarimu bendri duomenų valdytojai skaidriu būdu nustato savo atitinkamą atsakomybę už duomenų apsaugos įstatymuose nustatytų prievolių vykdymą. Susitarime apibrėžiamos atitinkamos faktinės bendrų duomenų valdytojų funkcijos bei santykiai duomenų subjektų atžvilgiu. Raštišku duomenų subjekto prašymu duomenų subjektui sudaroma galimybė susipažinti su esminėmis šio susitarimo nuostatomis. Duomenų subjektas gali naudotis savo teisėmis, nustatytomis duomenų apsaugos įstatymuose kiekvieno iš bendrų duomenų valdytojų atžvilgiu.

XIII. DUOMENŲ SUBJEKTO TEISĖS IR JŲ ĮGYVENDINIMO PRIEMONĖS

39. Žinoti apie savo asmens duomenų rinkimą. Įstaiga rinkdama asmens duomenis informuoja duomenų subjektą, kokius asmens duomenis duomenų subjektas turi pateikti, kokiu tikslu atitinkami duomenys yra renkami, kam ir kokiu tikslu jie gali būti teikiami ir kokios asmens duomenų nepateikimo pasekmės. Duomenų subjektas turi teisę susipažinti su savo asmens duomenimis, reikalauti ištaisyti, patikslinti ar papildyti neteisingus ar neišsamius jo asmens duomenis. Duomenų subjektas taip pat gali nesutikti, kad būtų tvarkomi tam tikri neprivalomi jo asmens duomenys. Kai asmens duomenys gaunami renkant juos tiesiogiai iš duomenų subjekto, duomenų subjektui pateikiama informacija (išskyrus atvejus, kai duomenų subjektas tokią informaciją jau turi) apie Įstaigą (pavadinimas, juridinio asmens kodas ir buveinė), kokiu tikslu tvarkomi asmens duomenys ir kam jie teikiami. Jeigu Įstaiga tvarkomus asmens duomenis gauna ne tiesiogiai iš duomenų subjekto, o iš trečiųjų asmenų, Įstaigai trečiasis asmuo turi pateikti informaciją, patvirtinančią, kad trečiasis asmuo informavo duomenų subjektą apie jo duomenų teikimą Įstaigai (toks trečiojo asmens įpareigojimas gali būti įtrauktas į duomenų teikimo sutartį ar kt.). Kitu atveju iki duomenų tvarkymo pradžios duomenų subjektui turi būti pateikiama šiame punkte nurodyta informacija.
40. Informacija apie asmens duomenų tvarkymą pateikiama asmens duomenų gavimo metu:
    • žodžiu asmens duomenų gavimo metu (jei su duomenų subjektu bendraujama tik žodžiu, pvz. telefonu);
    • raštu asmens duomenų gavimo metu, pateikiant išsamią informaciją apie asmens duomenų tvarkymą arba raštu pateikiant nuorodą į svetainėje skelbiamą Įstaigos privatumo politiką (laikoma, kad elektroniniu paštu siunčiama informacija yra teikiama raštu).
41. Kai asmens duomenys renkami ne tiesiogiai iš duomenų subjekto, apie asmens duomenų tvarkymą informuojama šiame punkte aukščiau paminėtu būdu (žodžiu ar raštu):
    • per pagrįstą laikotarpį nuo asmens duomenų gavimo, bet ne vėliau kaip per vieną mėnesį, atsižvelgiant į konkrečias asmens duomenų tvarkymo aplinkybes;
    • jeigu asmens duomenys bus naudojami ryšiams su duomenų subjektu palaikyti – ne vėliau kaip pirmą kartą susisiekiant su tuo duomenų subjektu;
    • jeigu numatoma asmens duomenis atskleisti kitam duomenų gavėjui – ne vėliau kaip atskleidžiant duomenis pirmą kartą, išskyrus, jei duomenų subjektui jau yra pateikta informacija apie tai, kad jo asmens duomenys bus pateikiami tokiam duomenų gavėjui.
42. Susipažinti su savo asmens duomenimis ir kaip jie yra tvarkomi. Duomenų subjektas turi teisę kreiptis į Įstaigą su prašymu pateikti informaciją apie tai, kokie ir kokiu tikslu jo asmens duomenys yra tvarkomi, bei gauti informaciją, iš kokių šaltinių ir kokie jo asmens duomenys surinkti, kokiems duomenų gavėjams teikiami ir buvo teikti. Įstaiga, gavusi duomenų subjekto prašymą, nedelsdama, tačiau ne vėliau kaip per vieną mėnesį nuo prašymo gavimo, patikrina, ar duomenų subjekto asmens duomenys yra tvarkomi Įstaigoje, ar ne. Jei Įstaiga tvarko duomenų subjektų asmens duomenis, Įstaiga pateikia duomenų subjektui informaciją, nurodytą Reglamento 15 straipsnyje, informaciją apie veiksmus, kurių imtasi gavus prašymą pagal Reglamento 15–22 straipsnius ir tvarkomų asmens duomenų kopiją elektroniniu formatu ar popierinėje laikmenoje. Šiame punkte nurodytas laikotarpis prireikus gali būti pratęstas dar dviem mėnesiams, atsižvelgiant į prašymų sudėtingumą ir skaičių. Įstaiga per vieną mėnesį nuo prašymo gavimo informuoja duomenų subjektą apie tokį pratęsimą, kartu pateikdama vėlavimo priežastis ir informuodama duomenų subjektą apie jo teisę pateikti skundą Valstybinei duomenų apsaugos inspekcijai. Kai duomenų subjektas prašymą pateikia elektroninės formos priemonėmis, informacija jam taip pat pateikiama, jei įmanoma, elektroninėmis priemonėmis, išskyrus atvejus, kai duomenų subjektas paprašo ją pateikti kitaip. Jei prašyme nenurodyta informacijos pateikimo forma, Įstaiga ją pateikia tokia pat forma, kokia gautas prašymas. Duomenų subjektui teikiama informacija ir visi pranešimai bei visi veiksmai pagal Reglamento 15–22 ir 34 straipsnius yra nemokami. Kai duomenų subjekto prašymai yra akivaizdžiai nepagrįsti arba neproporcingi, visų pirma dėl jų pasikartojančio turinio, arba, jei duomenų subjektas pageidauja tvarkomų asmens duomenų kopiją gauti kita forma nei Įstaigos parengta elektroninėje ar popierinėje formoje, Bendrovė gali arba: imti pagrįstą mokestį, atsižvelgdama į informacijos teikimo arba pranešimų ar veiksmų, kurių prašoma, administracines išlaidas; arba gali atsisakyti imtis veiksmų pagal prašymą. Informacija teikiama lietuvių kalba. Informacija duomenų subjektui, atsižvelgiant į jo prašymą, gali būti pateikiama žodžiu, leidžiant susipažinti su dokumentu, pateikiant pažymą, dokumento išrašą ar popierinę dokumento kopiją, elektroninę laikmeną, prieigą prie informacijos rinkmenos. Jei duomenų subjektas, susipažinęs su savo asmens duomenimis, nustato, kad jo asmens duomenys yra neteisingi, neišsamūs ar netikslūs, ir kreipiasi į Įstaigą, Įstaiga nedelsdama patikrina asmens duomenis ir duomenų subjekto rašytiniu prašymu, pateiktu asmeniškai, paštu ar elektroninių ryšių priemonėmis, nedelsdama ištaiso neteisingus, netikslius, papildo neišsamius Įstaigos tvarkomus asmens duomenis ir (ar) sustabdo tokių asmens duomenų tvarkymo veiksmus, išskyrus saugojimą, kol bus ištaisyti neteisingi, netikslūs, papildyti neišsamūs asmens duomenys ar asmens duomenys bus sunaikinti. Įstaiga nedelsdama praneša duomenų subjektui apie jo prašymu atliktą ar neatliktą asmens duomenų ištaisymą, sunaikinimą ar asmens duomenų tvarkymo veiksmų sustabdymą. Taip pat nedelsdama informuoja duomenų gavėjus apie duomenų subjekto prašymu ištaisytus ar sunaikintus asmens duomenis, sustabdytus asmens duomenų tvarkymo veiksmus, išskyrus atvejus, kai pateikti tokią informaciją būtų neįmanoma arba pernelyg sunku. Duomenų subjekto prašymu jam pateikiama informacija apie tokius duomenų gavėjus.
43. Reikalauti ištaisyti, sunaikinti savo asmens duomenis arba apriboti savo asmens domenų tvarkymą, tuo atveju, kai susipažinęs su savo asmens duomenimis, duomenų subjektas nustato, kad asmens duomenys yra tvarkomi neteisėtai arba nesąžiningai. Asmens duomenys, kurių tvarkymas apribotas, yra saugomi, o prieš tokio apribojimo panaikinimą duomenų subjektas elektroninių ryšių priemonėmis yra informuojamas. Jeigu asmens duomenys (kurių tvarkymas apribotas pagal duomenų subjekto prašymą) buvo perduoti duomenų gavėjams, Įstaiga šiuos duomenų gavėjus apie tai informuoja, nebent tai būtų neįmanoma ar pareikalautų neproporcingų pastangų. Duomenų subjekto prašymu jam pateikiama informacija apie tokius duomenų gavėjus.
44. Nesutikti, kad būtų tvarkomi jo asmens duomenys. Duomenų subjektas rašytinį pranešimą apie nesutikimą dėl asmens duomenų tvarkymo pateikia Įstaigai asmeniškai, paštu ar elektroninių ryšių priemonėmis. Bendrovė įvertina, ar duomenų subjekto nesutikimas yra teisiškai pagrįstas, ir, nesutikimui esant pagrįstam, neatlygintinai nutraukia asmens duomenų tvarkymo veiksmus, išskyrus įstatymų nustatytus atvejus, ir išskyrus saugojimą Taisyklėse nustatyta tvarka, ir informuoti duomenų gavėjus, jei duomenys buvo perduoti. Apie duomenų subjekto teisę nesutikti su asmens duomenų tvarkymu Įstaiga informuoja duomenų subjektą žodžiu (pvz., kai bendraujama tik telefonu) arba raštu, pateikdama išsamią informaciją apie teisės nesutikti įgyvendinimą arba raštu teikiamoje informacijoje pateikdama nuorodą į Įstaigos privatumo politiką, skelbiamą svetainėje. Duomenų subjektui išreiškus nesutikimą dėl asmens duomenų tvarkymo, tolesnis duomenų tvarkymas atliekamas tik tuo atveju, jeigu motyvuotai nusprendžiama, kad priežastys, dėl kurių atliekamas asmens duomenų tvarkymas, yra viršesnės už duomenų subjekto interesus, teises ir laisves, arba jeigu asmens duomenys yra reikalingi pareikšti, vykdyti ar apginti teisinius Įstaigos reikalavimus.
45. Teisė būti pamirštam. Duomenų subjektas turi teisę reikalauti, kad Įstaiga nepagrįstai nedelsdama ištrintų su juo susijusius asmens duomenis, esant Reglamento 17 straipsnyje nustatytoms aplinkybėms. Įstaiga turi teisę atsisakyti tenkinti duomenų subjekto prašymą teisės aktuose nustatytais atvejais, įskaitant bet neapsiribojant Reglamento 17 straipsnio 3 dalyje aptartais atvejais. Jeigu duomenų subjekto asmens duomenys (ištrinti pagal duomenų subjekto prašymą) buvo perduoti duomenų gavėjams, Įstaiga šiuos duomenų gavėjus apie tai informuoja, nebent tai būtų neįmanoma ar pareikalautų neproporcingų pastangų. Duomenų subjekto prašymu jam pateikiama informacija apie tokius duomenų gavėjus.
46. Teisė į duomenų perkeliamumą. Reglamente aptartomis sąlygomis duomenų subjektas turi teisę gauti su juo susijusius asmens duomenis, kuriuos jis pateikė duomenų valdytojui susistemintu, įprastai naudojamu ir kompiuterio skaitomu formatu. Jei Įstaiga šį duomenų subjekto prašymą tenkina, Įstaiga pateikia duomenų subjektui su juo susijusius, Įstaigos surinktus asmens duomenis, vienkartinio įrašymo kompaktiniame diske (jei duomenų subjektas to pageidauja), pateiktame duomenų subjekto, arba Įstaigos vienkartinio įrašymo kompaktiniame diske, duomenų subjektui kompensuojant Įstaigai šios laikmenos įsigijimo kainą. Duomenų subjektas teisės į duomenų perkeliamumą neturi tų asmens duomenų atžvilgiu, kurie tvarkomi neautomatiniu būdu susistemintose rinkmenose, pavyzdžiui, popierinėse bylose. Duomenų subjektas, kreipdamasis dėl teisės į duomenų perkeliamumą, turi nurodyti, ar pageidauja, kad jo asmens duomenys būtų persiųsti jam ar kitam duomenų valdytojui. Pagal duomenų subjekto prašymą perkelti jo asmens duomenys nėra automatiškai ištrinami. Jeigu duomenų subjektas to pageidauja, turi kreiptis į Įstaigą dėl teisės reikalauti ištrinti duomenis („teisės būti pamirštam“) įgyvendinimo.
47. Įstaigai vykdant automatizuotą duomenų tvarkymą, nesutikti, kad duomenų subjektui būtų taikomas tik automatizuotas duomenų tvarkymas, įskaitant profiliavimą. Teisę žinoti ir būti informuotas pagal kokią logiką asmens duomenys tvarkomi automatiškai ir kokios galėtų būti tokio asmens duomenų tvarkymo pasekmės, kai duomenų tvarkymas grindžiamas profiliavimu. Duomenų subjektui kreipusis dėl automatizuotu duomenų tvarkymu grindžiamo sprendimo peržiūros, Įstaiga atlieka išsamų visų svarbių duomenų, įskaitant ir duomenų subjekto pateiktos informacijos, vertinimą.
48. Atšaukti duotus sutikimus dėl duomenų tvarkymo. Kai asmens duomenys tvarkomi sutikimo pagrindu, duomenų subjektas turi teisę bet kuriuo metu kreiptis į Įstaigą ir atšaukti anksčiau duotą sutikimą. Įstaiga, gavusi tokį prašymą nedelsiant nutraukia asmens duomenų tvarkymą sutikimo pagrindu. Sutikimo atšaukimas nedaro poveikio sutikimu pagrįsto duomenų tvarkymo, atlikto iki sutikimo atšaukimo, teisėtumui.
49. Kreiptis dėl duomenų subjekto teisių įgyvendinimo duomenų subjektas turi teisę žodžiu arba raštu, pateikiant prašymą asmeniškai, paštu ar elektroninėmis priemonėmis. Jeigu dėl duomenų subjekto teisių įgyvendinimo kreipiamasi žodžiu ar prašymas pateiktas raštu asmeniškai, duomenų subjektas turi patvirtinti savo tapatybę pateikdamas asmens tapatybę patvirtinantį dokumentą. To nepadarius, duomenų subjekto teisės nėra įgyvendinamos. Ši nuostata netaikoma, jeigu duomenų subjektas kreipiasi dėl informavimo apie asmens duomenų tvarkymą pagal Reglamento 13 ir 14 straipsnius.
50. Jeigu dėl duomenų subjekto teisių įgyvendinimo kreipiamasi raštu, pateikiant prašymą paštu, tuomet kartu su prašymu turi būti pateikta notaro ar kita teisės aktuose nustatyta tvarka patvirtinta asmens tapatybę patvirtinančio dokumento kopija. Jeigu duomenų subjekto asmens duomenys, tokie kaip vardas, pavardė, yra pasikeitę, kartu pateikiamos dokumentų, patvirtinančių šių duomenų pasikeitimą, kopijos; jeigu jos siunčiamos paštu, tuomet turi būti patvirtintos notaro ar kita teisės aktų nustatyta tvarka. Teikiant prašymą elektroninėmis priemonėmis, prašymas turi būti pasirašytas kvalifikuotu elektroniniu parašu arba jis turi būti suformuotas elektroninėmis priemonėmis, kurios leidžia užtikrinti teksto vientisumą ir nepakeičiamumą. Ši nuostata netaikoma, jeigu duomenų subjektas kreipiasi dėl informavimo apie asmens duomenų tvarkymą pagal Reglamento 13 ir 14 straipsnius.
51. Prašymas įgyvendinti duomenų subjekto teises turi būti įskaitomas, asmens pasirašytas, jame turi būti nurodyti duomenų subjekto vardas, pavardė, adresas ir (ar) kiti kontaktiniai duomenys ryšiui palaikyti ar kuriais pageidaujama gauti atsakymą dėl duomenų subjekto teisių įgyvendinimo.
52. Savo teises duomenų subjektas gali įgyvendinti pats arba per atstovą. Atstovas prašyme turi nurodyti savo vardą, pavardę, adresą ir (ar) kitus kontaktinius duomenis ryšiui palaikyti, kuriais asmens atstovas pageidauja gauti atsakymą, taip pat atstovaujamo asmens vardą, pavardę ir nurodyti kitus duomenis, kurie reikalingi duomenų subjekto tinkamam identifikavimui bei pateikti atstovavimą patvirtinantį dokumentą ar jo kopiją. Esant abejonių dėl duomenų subjekto tapatybės, duomenų Įstaiga prašo papildomos informacijos, reikalingos ja įsitikinti.
53. Kai duomenų subjektas kreipiasi raštu dėl duomenų subjekto teisių įgyvendinimo, duomenų subjektui rekomenduojama užpildyti Taisyklių 1 priede nurodytos formos prašymą. Ši prašymo forma yra patalpinama svetainėje.
54. Visais klausimais, susijusiais su duomenų subjekto asmens duomenų tvarkymu ir naudojimusi savo teisėmis, duomenų subjektas turi teisę kreiptis į duomenų apsaugos pareigūną. Duomenų subjektui rekomenduojama kreipiantis į duomenų apsaugos pareigūną paštu ant voko užrašyti, kad korespondencija skirta duomenų apsaugos pareigūnui.
55. Jei duomenų subjekto kreipiasi nesilaikydamas šio skyriaus 10 – 14 punktuose nurodytos tvarkos, duomenų subjektas informuojamas apie trūkumus ne vėliau kaip per 7 kalendorines dienas nuo kreipimosi gavimo. Duomenų subjekto prašymas nenagrinėjamas, jei duomenų subjektas neištaiso nurodytų trūkumų ar neinformuoja Įstaigos apie priežastis, kodėl nurodyti trūkumai negali būti pašalinti. Esant objektyvioms aplinkybėms, dėl kurių duomenų subjektas negali pašalinti nurodytų trūkumų, Įstaiga jas įvertinusi, gali priimti duomenų subjekto prašymą ir jį nagrinėti. Jei duomenų subjektas kreipiasi raštu nesilaikydamas prašymo formos, nustatytos šių Taisyklių priede, tai nėra laikoma duomenų subjekto prašymo trūkumu.
56. Įstaigos veiksmai ar neveikimas, susiję su duomenų subjekto teisių įgyvendinimu, gali būti skundžiami Valstybinei duomenų apsaugos inspekcijai, taip pat kompetentingam teismui. Įstaigos veiksmus ar neveikimą įgyvendinant duomenų subjekto teises duomenų subjektas turi teisę skųsti pats arba duomenų subjekto atstovas, taip pat jo įgaliota ne pelno įstaiga, organizacija ar asociacija, atitinkanti Reglamento 80 straipsnio reikalavimus.
57. Valstybinės duomenų apsaugos inspekcijai pateikus paklausimą dėl Įstaigoje vykdomo asmens duomenų tvarkymo, įskaitant, bet neapsiribojant konkretaus duomenų subjekto teisių įgyvendinimo, Įstaiga privalo ne vėliau kaip Valstybinės duomenų apsaugos inspekcijos nustatytais terminais pateikti Valstybinei duomenų apsaugos inspekcijai atsakymą jos nustatyta tvarka.
58. Jei dėl duomenų subjektui ar Valstybinei duomenų apsaugos inspekcijai pateikiamo atsakymo Įstaigai gali kilti reputacijos pablogėjimo rizika ar galėtų būti pritaikytos sankcijos, atsakymą rengiantis Įstaigos darbuotojas atsakymą privalo suderinti su Įstaigos vadovu.
59. Visi duomenų subjektų prašymai registruojami duomenų subjektų prašymų registre. Duomenų subjektų prašymų registro forma pridedama prieš šių Taisyklių ir laikoma šių Taisyklių dalimi.

XIV. DUOMENŲ TVARKYMO VEIKLOS ĮRAŠAI

60. Įstaiga privalo turėti visuomet atnaujintus duomenų tvarkymo veiklos įrašus (Toliau – Žurnalus). Už įrašuose pateikiamos informacijos tikslumą ir išsamumą atsakingas Įstaigos vadovo įsakymu paskirtas darbuotojas.
61. Įstaigos duomenų tvarkymo veiklos įrašuose turėtų būti nurodyta ši minimali ir aktuali informacija:
    • duomenų tvarkymo tikslai ir duomenų tvarkymo teisinis pagrindas;
    • duomenų subjektų kategorijos ir tvarkomi asmens duomenys;
    • duomenų tvarkytojų ir gavėjų (trečiųjų šalių) tikslūs pavadinimai;
    • duomenų perdavimas už Europos Sąjungos ribų, nurodant duomenų gavėjo pavadinimą, valstybę ir tinkamų apsaugos priemonių dokumentus (jei toks duomenų perdavimas vykdomas);
    • asmens duomenų saugojimo ir laikymo vietos, ištrynimo ar sunaikinimo terminai ir / arba kriterijai, pagal kuriuos asmens duomenys yra saugomi Įstaigoje.
62. Asmens duomenų tvarkymo procesai, kuriuos Įstaiga vykdo kaip duomenų tvarkytojas, turi būti registruojami atskirai nuo duomenų valdytojo vykdomų procesų.
63. Įstaiga, gavusi priežiūros institucijos prašymą, nedelsdama pateikia duomenų tvarkymo veiklos įrašus.

XV. SPECIALIEJI ASMENS DUOMENŲ TVARKYMO REIKALAVIMAI. ASMENS DUOMENŲ SAUGUMO UŽTIKRINIMO PRIEMONĖS

64. Prieigos teisės prie asmens duomenų ir įgaliojimai tvarkyti asmens duomenis suteikiami, naikinami ir keičiami Įstaigos vadovo įsakymu.
65. Pasikeitus asmens duomenims ir duomenų subjektams apie tai raštu informavus Įstaigą, duomenys atnaujinami, ištrinant neaktualius asmens duomenis ir įrašant aktualius duomenis.
66. Pasibaigus asmens duomenų saugojimo terminui dokumentai su asmens duomenimis, asmens duomenys ir jų kopijos, įskaitant duomenis atsarginėse kopijose, naikinami be galimybės juos atkurti ar atpažinti jų turinį. Sunaikinus ar ištrynus asmens duomenis surašomas dokumentų ir duomenų naikinimo aktas. Šis reikalavimas taikomas ir nereikalingiems dokumentams ar jų kopijoms, kuriose nurodomi asmens duomenys.
67. Duomenų subjektų pateikti dokumentai ir jų kopijos, dokumentų bylos, kuriose yra asmens duomenų, saugomos rakinamose spintose arba patalpose. Dokumentai, kuriuose yra asmens duomenų, neturi būti laikomi visiems prieinamoje matomoje vietoje, kur neturintys teisės asmenys nekliudomai galėtų su jais susipažinti.
68. Dokumentai, jų kopijos ir bylos, kurie reikalingi darbui, turi būti saugomi kabinetuose esančiose rakinamose spintose, esančiose riboto priėjimo patalpose. Darbui nereikalingi, tačiau nustatytą laiką saugotini dokumentai ir bylos turi būti saugomi archyve. Saugotini dokumentai archyvuojami vadovaujantis Įstaigos dokumentacijos planu, parengtu vadovaujantis Bendrųjų dokumentų saugojimo terminų rodykle, patvirtinta Lietuvos vyriausiojo archyvaro 2011 m. kovo 9 d. įsakymu Nr. V-100 „Dėl bendrųjų dokumentų saugojimo terminų rodyklės patvirtinimo“, ir jo aktualiomis redakcijomis.
69. Duomenų subjektams siunčiami ar pateikiami pranešimai, kitokie dokumentai, kurių turinyje nurodomi asmens duomenys privalo būti pateikiami uždaru pavidalu, ant kurio gali būti tik pašto paslaugoms būtina informacija. Dokumentų turinys gali būti matomas tik duomenų subjektui (adresatui) ar jo sutikimu trečiajam asmeniui, atidarius pranešimą. Šios nuostatos netaikomos, jeigu dokumentai įteikiami asmeniškai ir konfidencialiai.
70. Įstaiga įgyvendina ir užtikrina tinkamas organizacines ir technines priemones, skirtas apsaugoti asmens duomenims nuo atsitiktinio ar neteisėto sunaikinimo, pakeitimo, atskleidimo, taip pat nuo bet kokio kito neteisėto tvarkymo. Įstaiga parenka tokį duomenų tvarkytoją, kuris garantuotų reikalingas technines ir organizacines duomenų apsaugos priemones ir užtikrintų tokių priemonių laikymąsi.
71. Įstaigoje su asmens duomenimis turi teisę susipažinti tik tie asmenys, kurie buvo įgalioti susipažinti su tokiais duomenimis, ir tik tuomet, kai tai yra būtina Taisyklėse numatytiems tikslams pasiekti.
72. Įstaiga užtikrina patalpų, kuriose laikomi asmens duomenys, saugumą, tinkamą techninės įrangos išdėstymą ir peržiūrą, priešgaisrinės saugos taisyklių laikymąsi, tinkamą kompiuterinio tinklo valdymą, informacinių sistemų priežiūrą bei kitų techninių priemonių, būtinų asmens duomenų apsaugai užtikrinti, įgyvendinimą.
73. Įstaiga imasi priemonių (pagrindinės IT srities: vartotojų autentifikavimas, duomenų šifravimas, prieigos teisių suteikimas/atėmimas, tinklo apsauga nuo išorės atakų naudojant ugniasienę, nutolę sistemos padaliniai prie vidinio tinklo jungiasi saugiai (VPN, skirtinėmis linijomis ir pan., kontroliuojamas darbuotojų prisijungimas prie vidinio tinklo; kontroliuojamas trečiųjų šalių vartotojų prisijungimas)), kad būtų užkirstas kelias atsitiktiniam ar neteisėtam asmens duomenų sunaikinimui, pakeitimui, atskleidimui, taip pat bet kokiam kitam neteisėtam tvarkymui, saugodama jai patikėtus dokumentus bei duomenų rinkmenas tinkamai ir saugiai.
74. Kabinetai ir spintos, kuriose laikoma informacija su asmens duomenimis, ne darbo metu arba paliekant darbo vietą be priežiūros, privalo būti rakinami.
75. Darbuotojai, norėdami naudotis įmonės patalpomis ne darbo valandomis ir ne darbo metu, privalo asmeniškai, telefonu arba elektroniniu paštu informuoti Įstaigos vadovą prieš vieną darbo dieną ir gauti Įstaigos vadovo leidimą.
76. Įstaigos darbuotojai turi imtis priemonių, kad būtų užkirstas kelias atsitiktiniam ar neteisėtam asmens duomenų sunaikinimui, pakeitimui, atskleidimui, taip pat bet kokiam kitam neteisėtam tvarkymui, saugodami dokumentus bei duomenų rinkmenas tinkamai, saugiai bei vengiant nereikalingų kopijų darymo. Jei darbuotojas ar kitas atsakingas asmuo abejoja įdiegtų saugumo priemonių patikimumu, jis turi kreiptis į tiesioginį savo vadovą, kad būtų įvertintos turimos saugumo priemonės ir, jei reikia, inicijuotas papildomų priemonių įsigijimas ir įdiegimas.
77. Įstaigoje kontroliuojama prieiga prie asmens duomenų tokiomis organizacinėmis ir techninėmis asmens duomenų saugumo priemonėmis, kurios fiksuoja ir kontroliuoja registravimosi bei teisių gavimo bandymus; leistinų nepavykusių prisijungimų prie duomenų bazių, programinės įrangos, kurios pagalba tvarkomi asmens duomenys, skaičius – 5; fiksuojami šie prisijungimų prie asmens duomenų įrašai: prisijungimo identifikatorius, data, laikas, trukmė, jungimosi rezultatas (sėkmingas, nesėkmingas), bylos, prie kurių buvo jungtasi, atlikti veiksmai su asmens duomenimis (įvedimas, peržiūra, keitimas, naikinimas, asmens duomenų kopijavimo, jei jis daromas, ir atkūrimo jų avarinio praradimo atveju veiksmai ir kiti asmens duomenų tvarkymo veiksmai). Šie įrašai saugomi 3 metus.
78. Darbuotojai ar kiti atsakingi asmenys, kurie automatiniu būdu tvarko asmens duomenis kompiuterinėse laikmenose, informacinėse sistemose, vietinio tinklo srityse, naudoja slaptažodžius, sudarytus, laikantis šių taisyklių: slaptažodį turi sudaryti ne mažiau kaip aštuoni simboliai, slaptažodis turi būti sudarytas iš raidžių, skaičių ir bent vienos didžiosios raidės.
79. Suteikiant prisijungimo vardą ir slaptažodį yra išduodama speciali pažyma, kurioje nurodomas tik vartotojo prisijungimo vardas prie vieno ar keleto tinklo servisų bei data, nuo kada asmuo gavo prisijungimus. Prieiga panaikinama asmeniui netekus teisės dirbti su asmens duomenimis, pažymoje pažymint panaikinimo datą.
80. Darbuotojas, dirbantis konkrečiu kompiuteriu, gali žinoti tik savo slaptažodį. Draudžiama prisijungimo duomenis, įskaitant slaptažodį patikėti kitiems asmenims. Suteiktus prisijungimo vardus ir slaptažodžius griežtai draudžiama saugoti kompiuteryje ar telefone atviru tekstu (Pavyzdžiui: tekstiniam dokumente ar telefono Notes programėlėje).
81. Slaptažodžiai yra keičiami periodiškai, ne rečiau kaip kartą per tris mėnesius, taip pat susidarius tam tikroms aplinkybėms (pvz.: iškilus įsilaužimo grėsmei, kilus įtarimui, kad slaptažodis tapo žinomas tretiesiems asmenims, ir pan.).
82. Kompiuteriuose įdiegtos priemonės, neleidžiančios arba ribojančios galimybę perkelti asmens duomenis į išorines duomenų laikmenas.
83. Įstaigoje naudojami saugūs protokolai ir (arba) slaptažodžiai, kai asmens duomenys perduodami išoriniais duomenų perdavimo tinklais.
84. Darbuotojai, kuriems išduodami išmanieji telefonai bei kurie telefonuose turi prieigą prie Įstaigos elektroninio pašto privalo naudoti telefono užrakinimo kodą.
85. Asmens duomenys, esantys išorinėse laikmenose ir elektroniniame pašte, privalo būti tinkamai apsaugoti bei po jų panaudojimo iš karto juos perkeliant į duomenų bazes.
86. Informacinių sistemų testavimas nevykdomas su realiais asmens duomenimis, išskyrus būtinus atvejus, kurių metu būtų naudojamos organizacinės ir techninės asmens duomenų saugumo priemonės, užtikrinančios realių asmens duomenų saugumą.
87. Kartą per metus patikrinama avarinio asmens duomenų atkūrimo tvarka atliekant praktinius bandymus.
88. Šifruojami aktyvioje (veikiančioje) duomenų bazėje saugomi specialių kategorijų asmens duomenys, duomenų subjektų nuotolinio identifikavimo duomenys.
89. Kontroliuojami duomenų bazes, tarnybines stotis ir informacinę sistemą administruojančių asmenų veiksmai.
90. Darbuotojai, kurie tvarko asmens duomenis automatiniu būdu naudojant lokalias kompiuterines rinkmenas, privalo su IT administratoriumi suderinti vieną kompiuteryje esantį katalogą, kurio kopijos daromos automatiškai kartą per mėnesį į įmonės duomenų saugyklą (duomenys užšifruojami ir IT administratorius elektroniniu paštu informuojamas apie sėkmingą kopijos sukūrimą.
91. Darbuotojai yra asmeniškai atsakingi už duomenų apsaugą jų naudojamuose asmeniniuose įrenginiuose. Draudžiama saugoti asmens duomenis planšetėse ir išmaniuosiuose telefonuose.
92. Įstaigos kompiuterinė įranga apsaugota nuo kenksmingos programinės įrangos (antivirusinių programų įdiegimas, atnaujinimas ir pan.). Kompiuterinėse darbo vietose daromos tvarkomų asmens duomenų rinkmenų atsarginės kopijos ne rečiau kaip kas 90 dienas. Praradus ar sugadinus asmens duomenis, atsakingas darbuotojas turi jas atstatyti ne vėliau kaip per 48 val. Atsarginės asmens duomenų kopijos saugomos kitoje patalpoje ar geografinėje vietoje negu aktyvi (veikianti) duomenų bazė.
93. Siekdama išvengti asmens duomenų vagystės, duomenų nutekėjimo Įstaiga taiko šias priemones: apribota fizinė prieiga prie tarnybinių stočių; darbo stotyse pagrindiniai duomenys nesaugomi; apribota programinė prieiga prie duomenų.
94. Nustatyti griežti tinklo maršrutai bei stebima duomenų perdavimo tinklo būklė siekiant išvengti asmens duomenų piktavališko panaudojimo duomenis perduodant tinklu.
95. Asmens duomenų saugumo pažeidimų dėl:
    • programinės įrangos klaidų prevencija vykdoma naudojant tik teisėtą, sertifikuotą programinę įrangą, kuri atnaujinama laikantis nustatytos tvarkos. Pakeista programinė įranga testuojama atskiroje tarnybinėje stotyje ar stotyse;
    • dėl piktavališkų programų prevencija vykdoma tarnybinėse stotyse įdiegiant antivirusines programas; darbuotojus supažindinant su tvarka, kaip elgtis piktavališkų programų antplūdžio atveju;
    • dėl neteisėtos programinės įrangos naudojimo prevencija vykdoma naudojant tik teisėtą programinę įrangą, nuolat atliekant darbo stotyse naudojamos programinės įrangos kontrolę, nesuteikiant teisių darbuotojams patiems diegti programinę įrangą, darbo stotis valdant centralizuotai;
    • dėl vartotojų klaidų prevencija vykdoma darbuotojus mokant dirbti su programine įranga, parengiant tikslias ir išsamias darbo instrukcijas;
    • dėl duomenų perdavimo tinklo, kompiuterinės įrangos gedimų prevencija vykdoma įrangą prižiūrint pagal gamintojo rekomendacijas; priežiūrą ir gedimų šalinimą atliekant kvalifikuotiems specialistams; dubliuojant didžiausią įtaką duomenų perdavimui turinčią kompiuterinę įranga; nuolat stebint duomenų perdavimo tinklo būklę;
    • dėl užliejimo vandeniu prevencija vykdoma tinkamai suplanuojant ir įrengiant svarbiausios kompiuterinės įrangos laikymo patalpas;
    • dėl ugnies prevencija vykdoma patalpose laikant veikiančius ugnies gesintuvus, pastato patalpose įrengiant dūmų ir karščio daviklius;
    • dėl temperatūros ir ugnies svyravimų vykdoma patalpose tarnybinių stočių patalpose įrengiant kondicionavimo sistemą ir ją prižiūrint pagal gamintojo reikalavimus; nuolat stebint temperatūros ir drėgmės svyravimus;
    • dėl elektros srovės tiekimo sutrikimų vykdoma svarbiausiai kompiuterinei įrangai skiriant nenutrūkstamo maitinimo šaltinius (UPS), nuolat stebint elektros srovės tiekimo būklę;
    • dėl maitinimo ir ryšio linijų gedimų vykdoma kabelius laikant izoliaciniuose vamzdžiuose; elektros ir duomenų kabelius saugiai atskiriant.
96. Reguliariai peržiūrima (ne rečiau kaip vieną kartą per metus) ir pagal peržiūros rezultatus atnaujinama informacijos saugumo politika.
97. Atliekamas poveikio asmens duomenų apsaugai vertinimas dėl Įstaigos vykdomo vaizdo įrašymo, darbuotojų praėjimo kontrolės. Jeigu poveikio duomenų apsaugai vertinime nurodyta, kad tvarkant duomenis kiltų didelis pavojus, jei Įstaiga nesiimtų priemonių pavojui sumažinti, Įstaiga konsultuojasi su priežiūros institucija.

XVI. ASMENS DUOMENŲ Tvarkymas automatinėmis priemonėmis

98. Duomenims tvarkyti automatiniu būdu Įstaiga gali naudoti ir kitas IT programas.
99. Asmens duomenys taip pat gali būti teikiami ir tvarkomi šiose valstybinių įstaigų IT sistemose: Sodros duomenų bazė, VMI elektroninio deklaravimo sistema, Sodros elektroninė draudėjų sistema, Elektroninė statistinė duomenų parengimo ir perdavimo sistema, VMI (deklaracijų duomenys), VMI (nelegalus darbas), Elektroninių valdžios vartų portalas, socialinės paramos šeimai informacinė sistema.

XVII. DUOMENŲ APSAUGOS PAREIGŪNAS

 

100. Įstaigoje dirbti pagal darbo sutartį ar kaip išorės paslaugų teikėjas skiriamas duomenų apsaugos pareigūnas. Duomenų apsaugos pareigūnas turi teises ir pareigas, numatytas duomenų apsaugos įstatymuose. Duomenų apsaugos pareigūnas savo funkcijas pradeda vykdyti nuo darbo ar paslaugų sutartyje nurodytos datos.

XIII. DARBUOTOJŲ INFORMAVIMO IR MOKYMO ORGANIZAVIMO TVARKA. RIZIKOS VERTINIMAS IR VALDYMAS. ASMENS DUOMENŲ SAUGUMO PAŽEIDIMAI

 

101. Duomenų apsaugos pareigūnas, dirbantis Įstaigoje pagal darbo sutartį, darbuotojai, kuriems pagal darbo funkcijas pavesta tvarkyti asmens duomenis, kvalifikacijos kėlimo kursų metu turi būti mokomi asmens duomenų tvarkymo principų. Darbuotojai, kuriems kvalifikacijos kėlimo kursai nerengiami, asmens duomenų tvarkymo principų mokosi savarankiškai ir (ar) konsultuojasi su duomenų apsaugos pareigūnu.
102. Duomenų apsaugos pareigūnas ne rečiau kaip kartą per dvejus metus organizuoja ir vykdo jo atsakomybės sričiai priskirtų asmens duomenų tvarkymo planinį rizikos vertinimą ir (ar) vidinį patikrinimą. Esant duomenų apie esamas grėsmes duomenų saugumui, Duomenų apsaugos pareigūnas po tokių grėsmių nustatymo ir pašalinimo privalo organizuoti ir atlikti neplaninį rizikos vertinimą ir (ar) auditą. Nustačius reikšmingų rizikų, grėsmių ir (ar) duomenų tvarkymo neatitikimų, rizikos vertinimo ir (ar) vidinio tikrinimo rezultatai įforminami rašytine ataskaita, kuri teikiama Įstaigos vadovui, kartu pateikiant trūkumų šalinimo ir rizikų valdymo planą.
103. Įstaigos darbuotojai, kurie pagal savo darbo funkcijas tvarko asmens duomenis, pagal savo kompetenciją nuolat stebi bei vertina galimas grėsmes asmens duomenų saugumui (pvz., kompiuterinės įrangos gedimą, programinės įrangos klaidas, vagystę ir pan.) ir tiesioginiams savo vadovams, duomenų apsaugos pareigūnui teikia pasiūlymus dėl tokių grėsmių sumažinimo ir (ar) pašalinimo.
104. Įstaigos darbuotojai, pastebėję asmens duomenų saugos pažeidimų ar galimas ir (ar) esamas grėsmes duomenų saugumui, nusikalstamos veikos požymių, neveikiančias duomenų saugos užtikrinimo priemones, privalo nedelsdami apie tai pranešti duomenų apsaugos pareigūnui raštu (elektroniniu paštu), o nesant galimybės pranešti raštu, nedelsiant informuoti duomenų apsaugos pareigūną telefonu apie pastebėtą asmens duomenų saugos pažeidimą.
105. Nustačius ar gavus informacijos apie galimą asmens duomenų saugumo pažeidimą vadovaujamasi Asmens duomenų saugumo pažeidimų reagavimo tvarka, kuri laikoma šių Taisyklių neatskiriamu priedu.

XIX. BAIGIAMOSIOS NUOSTATOS

 

106. Darbuotojai pažeidę Taisykles ir (ar) duomenų apsaugos įstatymus atsako teisės aktų nustatyta tvarka.
107. Taisyklės peržiūrimos ir atnaujinamos ne rečiau kaip kartą per metus arba pasikeitus duomenų apsaugos įstatymams, arba, jei poreikis atnaujinti Taisykles iškilo įvykus asmens duomenų saugos incidentui.
108. Darbuotojai su Taisyklėmis yra supažindinami pasirašytinai arba elektroninėmis priemonėmis ir privalo laikytis jose nustatytų įpareigojimų bei atlikdami savo darbo funkcijas vadovautis Taisyklėse nustatytais principais. Už darbuotojų supažindinimą su Taisyklėmis, jų pakeitimais ir kitais Įstaigos dokumentais, reglamentuojančiais asmens duomenų tvarkymą ir (ar) apsaugą, atsakingas Įstaigos vadovas ar jo paskirtas asmuo.
109. Įstaiga turi teisę iš dalies arba visiškai pakeisti Taisykles.
110. Taisyklės yra suderintos su Įstaigos darbo taryba ir patvirtintos Įstaigos darbo tarybos protokoliniu sprendimu.
111. Taisyklės reglamentuoja Įstaigos darbuotojų asmens duomenų tvarkymą, Taisyklėms įsigaliojus nustoja galioti BĮ Klaipėdos globos namai direktoriaus 2017 m. liepos 26 d. įsakymu Nr. V-77 patvirtinta Biudžetinės įstaigos Klaipėdos miesto globos namų darbuotojų asmens duomenų saugojimo politika.
112. Taisyklių sudėtinė dalis:
     • Žurnalas (veiklos įrašų registras);
     • Asmens duomenų saugumo pažeidimų reagavimo tvarkos aprašas su priedais;
     • Duomenų subjektų prašymų registras;
     • Duomenų subjektų teisių įgyvendinimo forma;
     • Duomenų subjektų sutikimų formos.

_____________________