Ką reikėtų žinoti tvarkant kliento-fizinio asmens duomenis

Dauguma, verslo subjektų paslaugas (pvz.: komunalines, telekomunikacijų, paskolų, lizingo, prekių ir paslaugų pardavimo) teikia fiziniams asmenims, kuriems ypatingą fizinių asmenų duomenų apsaugą garantuoja ne tik aibė teisės aktų, bet ir tiesiogiai taikomas aktas-Konstitucija. Nežiūrint į tai, kad dabartiniame LR Asmens duomenų apsaugos įstatyme (toliau - LR ADAĮ) draudžiama viešai skelbti kliento, kuris yra fizinis asmuo duomenis, naujasis LR Asmens duomenų apsaugos įstatymas (įst. Nr. X-1444. Valstybės žinios, 2008-02-23, Nr. 22-804 ), įsigaliosiantis nuo 2009 metų sausio 1 dienos, dar labiau įpareigos juridinius ir fizinius asmenis gerbti ir nepažeisti fizinių asmenų privataus gyvenimo neliečiamumo teisę, tvarkant asmens duomenis. Pavyzdžiui, LR ADAĮ draudžia vykdyti vaizdo stebėjimą patalpose, kuriose duomenų subjektas (fizinis asmuo) pagrįstai tikisi absoliučios privatumo apsaugos ir kur toks stebėjimas žemintų žmogaus orumą (Pvz. tualetuose, persirengimo kambariuose ir pan.).

LR ADAĮ taikomas šiems subjektams, kurie tvarko asmens duomenis, kai:

1) asmens duomenis savo veikloje tvarko duomenų valdytojas (juridinis ar fizinis asmuo, kuris vienas arba drauge su kitais nustato asmens duomenų tvarkymo tikslus ir priemones), įsteigtas ir veikiantis Lietuvos Respublikos teritorijoje. Kai asmens duomenis tvarko Europos Sąjungos valstybės narės ar kitos Europos ekonominės erdvės valstybės duomenų valdytojo filialas arba atstovybė, įsteigti ir veikiantys Lietuvos Respublikoje, jiems taikomos šio įstatymo nuostatos, skirtos duomenų valdytojui;

2) asmens duomenis tvarko duomenų valdytojas, įsteigtas ne Lietuvos Respublikos teritorijoje, kuriam taikomi Lietuvos Respublikos įstatymai pagal tarptautinę viešąją teisę (įskaitant diplomatines atstovybes, konsulines įstaigas);

3) asmens duomenis tvarko duomenų valdytojas, kuris yra įsteigtas ir veikia valstybėje, kuri nėra Europos Sąjungos valstybė narė ar kita Europos ekonominės erdvės valstybė (toliau - trečioji valstybė), bet naudoja Lietuvos Respublikoje esančias asmens duomenų tvarkymo priemones, išskyrus atvejus, kai tokios priemonės naudojamos tik duomenims persiųsti tranzitu per Lietuvos Respublikos, Europos Sąjungos ar kitos Europos ekonominės erdvės valstybės teritoriją. Šiame punkte nurodytu atveju duomenų valdytojas privalo turėti atstovą - įsteigtą filialą arba atstovybę Lietuvos Respublikoje, kuriam taikomos šio įstatymo nuostatos, skirtos duomenų valdytojui.

Pažymėtina, kad Asmens duomenų apsaugos įstatymas netaikomas, jeigu asmens duomenis tvarko fizinis asmuo ir tik asmeniniams poreikiams, nesusijusiems su verslu ar profesija, tenkinti.

Taigi, visiems asmenims, verslo tikslais tvarkantiems fizinių asmenų duomenis, nelaukiant įsigaliosiančio 2009 m. LR Asmens duomenų apsaugos įstatymo, patartina jau dabar įprasti tvarkyti fizinių asmenų duomenis pagal įsigaliosiančią tvarką. Taigi, apžvelkime svarbiausius įsigaliosiančio įstatymo momentus.

Svarbu apibrėžti, kas laikytina asmens duomenimis. Tai, bet kuri informacija, susijusi su fiziniu asmeniu - duomenų subjektu, kurio tapatybė yra žinoma arba gali būti tiesiogiai ar netiesiogiai nustatyta pasinaudojant tokiais duomenimis kaip asmens kodas, vienas arba keli asmeniui būdingi fizinio, fiziologinio, psichologinio, ekonominio, kultūrinio ar socialinio pobūdžio požymiai. Tai reiškia, kad šiuose išvardintuose požymiuose negali būti viešai prieinamų duomenų: ne tik asmens kodo, bet ir tokių, kaip fizinio asmens finansinė padėtis (pvz. įsiskolinimai), teistumas, sveikatos būklė ir kt.

Naudoti asmens kodą, kai tvarkomi asmens duomenys, galima tik gavus duomenų subjekto sutikimą, išskyrus atvejus, kai asmens kodą naudoti draudžiama, tai:

• - Draudžiama asmens kodą skelbti viešai;
• - Draudžiama rinkti ir naudoti asmens kodą tiesioginės rinkodaros tikslais (t.y. kai vykdoma veikla, skirta paštu, telefonu arba kitokiu tiesioginiu būdu siūlyti asmenims prekes ar paslaugas ir (arba) teirautis jų nuomonės dėl siūlomų prekių ar paslaugų).

Be duomenų subjekto sutikimo asmens kodą galima naudoti tik:

• - atliekant mokslinį arba statistinį tyrimą (su LR ADAĮ 12-13 str. numatytomis išimtimis);
• - juridiniams asmenims, kurių veikla susijusi su paskolų teikimu ir skolų išieškojimu, draudimu ar lizingo (finansinės nuomos) verslu, taip pat sveikatos apsaugos ir socialinio draudimo bei kitų socialinę paramą teikiančių ir administruojančių institucijų ir švietimo įstaigų, mokslo ir studijų institucijų veikloje. Šie nurodyti juridiniai asmenys asmens kodą gali naudoti tik tuo tikslu, kuriuo jis buvo gautas, ir tik tais atvejais, kai tai yra būtina teisėtam ir apibrėžtam asmens duomenų tvarkymo tikslui pasiekti.

Atkreiptinas dėmesys, kad bet kokiu būdu gauti ir tvarkomi fizinių asmenų duomenys gali būti naudojami tik gavus fizinio asmens sutikimą. Sutikimas turi būti suprantamas, kaip fizinio asmens (duomenų subjekto) savanoriškas valios pareiškimas tvarkyti jo asmens duomenis jam žinomu tikslu. Sutikimas tvarkyti ypatingus asmens duomenis turi būti išreikštas aiškiai - rašytine, jai prilyginta ar kita forma, neabejotinai įrodančia duomenų subjekto (fizinio asmens) valią. Duomenų subjektas visuomet gali atsisakyti, kad jo duomenys būtų naudojami tam tikriems tikslams (pvz. rinkodaros), prieš 30 dienų apie tai pranešdamas duomenų valdytojui.

Asmens duomenys gali būti tvarkomi tik šiais atvejais, jeigu:

1) duomenų subjektas duoda sutikimą;

2) sudaroma arba vykdoma sutartis, kai viena iš šalių yra duomenų subjektas;

3) pagal įstatymus duomenų valdytojas yra įpareigotas tvarkyti asmens duomenis;

4) siekiama apsaugoti duomenų subjekto esminius interesus;

5) įgyvendinami oficialūs įgaliojimai, įstatymais ir kitais teisės aktais suteikti valstybės bei savivaldybių institucijoms, įstaigoms ir įmonėms arba trečiajam asmeniui, kuriam teikiami asmens duomenys;

6) reikia tvarkyti dėl teisėto intereso, kurio siekia duomenų valdytojas arba trečiasis asmuo, kuriam teikiami asmens duomenys, ir jei duomenų subjekto interesai nėra svarbesni.

Asmens duomenys gali būti teikiami tik:

• - pagal duomenų valdytojo ir duomenų gavėjo (juridinio ar fizinio asmens, kuriam teikiami asmens duomenys) sudarytą asmens duomenų teikimo sutartį (daugkartinio teikimo atveju) arba,
• - pagal duomenų gavėjo prašymą (vienkartinio teikimo atveju).

Sutartyje turi būti nurodytas asmens duomenų naudojimo tikslas, teikimo ir gavimo teisinis pagrindas, sąlygos, tvarka ir teikiamų asmens duomenų apimtis. Pavyzdžiui, duomenų valdytojas turi teisę teikti ir tvarkyti skolininkų duomenis, turėdamas tikslą teikti tokius duomenis teisėtą interesą turintiems tretiesiems asmenims, kad šie galėtų įvertinti duomenų subjekto (fizinio asmens) mokumą ir valdyti įsiskolinimą. Tačiau, duomenų valdytojas gali teikti skolininkų duomenis tik tuo atveju, jeigu jis duomenų subjektui (skolininkui) raštu pateikė priminimą apie įsipareigojimų neįvykdymą ir per 30 kalendorinių dienų nuo tos dienos, kai duomenų valdytojas išsiuntė (pateikė) duomenų subjektui priminimą:

1) įsiskolinimas liko nepadengtas ir (arba) mokėjimo terminas nebuvo atidėtas arba

2) duomenų subjektas pagrįstai neginčijo įsiskolinimo.

Apibendrinant, reikėtų pasakyti, kad asmens duomenys, negali būti viešai skelbiami ir turi būti užtikrinamas jų konfidencialumas remiantis tokia tvarka: duomenų subjektams (fiziniams asmenims) siunčiami ar pateikiami spausdintiniai rašytiniai informacinio pobūdžio pranešimai apie duomenų subjektams (fiziniams asmenims) suteiktas paslaugas, duomenų subjektų (fizinių asmenų) prievoles, sutarčių su duomenų subjektais (fiziniais asmenimis) vykdymą, sąskaitos, darbdavio darbuotojui skirti atsiskaitymo lapeliai, individualūs komercinio pobūdžio pasiūlymai duomenų subjektams (fiziniams asmenims), kurių turinyje yra nurodomi duomenų subjektų (fizinių asmenų) asmens duomenys, įskaitant, tačiau neapsiribojant, duomenis apie asmens vardą ir pavardę, gyvenamąją vietą, sumokėtus ar nesumokėtus mokesčius, mokėtojo kodą ar numerį, atsiskaitomosios knygelės numerį, privalo būti pateikiami uždaru pavidalu, ant kurio gali būti tik pašto paslaugoms būtina informacija, ir tokių pranešimų turinys gali būti matomas tik duomenų subjektui (fiziniam asmeniui), kuriam adresuojamas pranešimas, ar jo sutikimu trečiajam asmeniui, atidarius ar išpakavus pateiktą pranešimą. Šios tvarkos galima nesilaikyti, jeigu minėti pranešimai įteikiami asmens duomenų subjektams (fiziniams asmenims) asmeniškai ir konfidencialiai.

Svarbu priminti, kad kaip vykdomas LR Asmens duomenų apsaugos įstatymas, prižiūri ir kontroliuoja Valstybinė duomenų apsaugos inspekcija, kuri prižiūri duomenų valdytojų veiklą tvarkant asmens duomenis, kontroliuoja asmens duomenų tvarkymo teisėtumą, užkirsdama kelią duomenų tvarkymo pažeidimams, užtikrina duomenų subjekto teisių apsaugą (nagrinėja fizinių asmenų skundus dėl duomenų valdytojo galimų asmens duomenų pažeidimų).

Viena iš prevencijos priemonių, apsisaugant nuo galimų asmens duomenų pažeidimų (ne tik jau veikiančioms, bet ir naujai įsisteigusioms įmonėms, kurios tvarko asmens duomenis ryšium su fiziniam asmeniui teikiamomis paslaugomis) yra kreiptis į Valstybinę duomenų apsaugos inspekciją, kuri teikia rekomendacijas ir nurodymus dėl asmens tvarkymo bei apsaugos.

Kadangi, nežinojimas neatleidžia nuo atsakomybės, todėl fiziniams ar juridiniams asmenims pažeidusiems LR ADAĮ, Valstybinė duomenų apsaugos inspekcija už šio įstatymo nesilaikymą gali surašyti administracinių teisės pažeidimų protokolą. O Asmuo, patyręs žalą dėl neteisėto asmens duomenų tvarkymo arba kitų duomenų valdytojo ar duomenų tvarkytojo, taip pat dėl kitų asmenų veiksmų (neveikimo), pažeidžiančių šio įstatymo nuostatas, turi teisę reikalauti atlyginti jam padarytą turtinę ir neturtinę žalą.

Teisininkė Renata Burbulienė © IĮ "Opinio iuris" vadovė.

Tel. 8656 77724, info@teisine-nuomone.lt, http://www.teisine-nuomone.lt/

Išdėstyta informacija, nuomonė ir motyvai negali būti vertinama kaip teisinė išvada ar konsultacija.