Teisėto asmens duomenų tvarkymo pagrindai pagal BDAR: 6 pagrindai ir praktiniai pavyzdžiai
Asmens duomenų tvarkymas turi būti grindžiamas bent vienu Bendrajame duomenų apsaugos reglamente (BDAR) nustatytu teisėtumo pagrindu. Organizacija negali vien todėl, kad jai reikia tam tikrų asmens duomenų, juos tvarkyti – prieš pradedant tvarkymą turi būti nustatyta, kokiu teisiniu pagrindu tai daroma.
Praktikoje tinkamo teisėtumo pagrindo pasirinkimas yra vienas svarbiausių asmens duomenų apsaugos aspektų. Nuo pasirinkto pagrindo gali priklausyti, kokios yra organizacijos pareigos, kokias teises turi duomenų subjektas ir kokių papildomų veiksmų reikia imtis.
Kas yra asmens duomenų tvarkymo teisėtumo pagrindas?
Teisėto asmens duomenų tvarkymo pagrindas – tai BDAR nustatyta sąlyga, kuriai esant organizacija gali teisėtai tvarkyti asmens duomenis. Prieš pradėdama tvarkyti asmens duomenis, organizacija turėtų nustatyti konkretų tvarkymo tikslą ir įvertinti, kuriuo BDAR 6 straipsnyje nustatytu pagrindu toks tvarkymas gali būti grindžiamas.
Pagal BDAR 6 straipsnio 1 dalį asmens duomenų tvarkymas yra teisėtas, jeigu taikoma bent viena iš joje nustatytų sąlygų. Skirtingiems duomenų tvarkymo tikslams toje pačioje organizacijoje gali būti taikomi skirtingi teisėtumo pagrindai, todėl svarbu vertinti kiekvieną duomenų tvarkymo veiklą atskirai.
Organizacija taip pat turėtų gebėti pagrįsti, kodėl konkrečiam duomenų tvarkymui pasirinktas būtent toks teisėtumo pagrindas.
6 asmens duomenų tvarkymo teisėtumo pagrindai pagal BDAR
1. Duomenų subjekto sutikimas
Sutikimas yra vienas iš BDAR numatytų asmens duomenų tvarkymo teisėtumo pagrindų. Kad sutikimas būtų tinkamas, jis turi būti duotas laisva valia, konkretus, informuotas ir nedviprasmiškas. Duomenų subjektas turi suprasti, dėl kokio duomenų tvarkymo jis sutinka.
Pavyzdžiui, įmonė gali prašyti kliento sutikimo gauti tiesioginės rinkodaros pranešimus el. paštu. Tačiau sutikimas neturėtų būti naudojamas tais atvejais, kai duomenų tvarkymas yra būtinas sutarčiai vykdyti arba organizacijai taikoma teisinė prievolė.
Duomenų subjektas turi teisę bet kuriuo metu atšaukti savo sutikimą. Sutikimo atšaukimas neturi įtakos iki jo atšaukimo atlikto duomenų tvarkymo teisėtumui.
2. Sutarties vykdymas
Asmens duomenys gali būti teisėtai tvarkomi, kai jų reikia sutarčiai su duomenų subjektu vykdyti arba veiksmams prieš sudarant sutartį atlikti, kai jie atliekami paties duomenų subjekto prašymu.
Pavyzdžiui, įmonė, teikdama paslaugas klientui, gali tvarkyti jo vardą, pavardę, kontaktinius duomenis ir kitą informaciją, kuri yra būtina sutarčiai sudaryti ar vykdyti.
Tačiau ne visi duomenys, kuriuos organizacija norėtų rinkti apie klientą, automatiškai tampa būtini sutarčiai vykdyti. Reikia įvertinti, ar konkretus duomenų tvarkymas iš tikrųjų yra būtinas sutarčiai įvykdyti.
3. Teisinės prievolės vykdymas
Asmens duomenų tvarkymas gali būti teisėtas, kai jis būtinas tam, kad duomenų valdytojas įvykdytų jam taikomą teisinę prievolę. Tokiu atveju duomenų tvarkymo pagrindas yra ne duomenų subjekto sutikimas, o konkreti organizacijai taikoma teisės aktuose nustatyta pareiga.
Pavyzdžiui, įmonė gali būti įpareigota tvarkyti tam tikrus darbuotojų, klientų ar kitų asmenų duomenis pagal mokesčių, apskaitos, darbo teisės ar kitų teisės sričių reikalavimus.
Organizacija turėtų galėti nustatyti, koks teisės aktas ir kokia konkreti teisinė prievolė lemia poreikį tvarkyti atitinkamus asmens duomenis.
4. Gyvybinių interesų apsauga
Asmens duomenys gali būti tvarkomi, kai tai būtina siekiant apsaugoti duomenų subjekto arba kito fizinio asmens gyvybinius interesus.
Šis teisėtumo pagrindas praktikoje taikomas gana retai ir pirmiausia aktualus situacijoms, kai būtina apsaugoti asmens gyvybę ar išvengti rimtos žalos. Pavyzdžiui, skubios medicinos pagalbos atveju gali būti būtina tvarkyti asmens duomenis, kai pats asmuo negali tinkamai išreikšti savo valios.
Gyvybinių interesų apsaugos pagrindas neturėtų būti naudojamas kaip bendras ar patogus pagrindas įprastinei organizacijos veiklai.
5. Viešasis interesas arba viešosios valdžios funkcijų vykdymas
Asmens duomenų tvarkymas gali būti teisėtas, kai jis būtinas atliekant užduotį, vykdomą dėl viešojo intereso arba vykdant duomenų valdytojui pavestas viešosios valdžios funkcijas.
Šis pagrindas dažniausiai aktualus viešojo sektoriaus institucijoms ir organizacijoms, vykdančioms teisės aktuose nustatytas funkcijas. Atitinkama užduotis ar funkcija turi būti pagrįsta Europos Sąjungos arba valstybės narės teise.
Privatus subjektas taip pat tam tikrais atvejais gali tvarkyti asmens duomenis šiuo pagrindu, tačiau tam turi egzistuoti atitinkamas teisinis pagrindas ir viešojo intereso elementas.
6. Teisėti interesai
Asmens duomenų tvarkymas gali būti grindžiamas teisėtais duomenų valdytojo arba trečiosios šalies interesais, jeigu toks tvarkymas yra būtinas siekiant teisėto intereso ir jo nenusveria duomenų subjekto interesai, teisės ir laisvės.
Praktikoje teisėti interesai gali būti aktualūs, pavyzdžiui, turto ar informacinių sistemų apsaugai, sukčiavimo prevencijai, tam tikrai tiesioginei rinkodarai, teisinių reikalavimų pareiškimui ar gynimui bei organizacijos IT sistemų saugumui užtikrinti.
Tačiau vien nurodyti, kad duomenys tvarkomi „teisėtais interesais“, nepakanka. Organizacija turėtų įvertinti, ar interesas yra teisėtas, ar duomenų tvarkymas yra būtinas ir ar organizacijos interesai nenusveriami duomenų subjekto teisėmis ir laisvėmis. Praktikoje toks vertinimas dažnai atliekamas pasitelkiant teisėtų interesų balanso testą.
Kaip pasirinkti tinkamą duomenų tvarkymo pagrindą?
Tinkamo teisėto asmens duomenų tvarkymo pagrindo pasirinkimas turėtų prasidėti nuo konkretaus duomenų tvarkymo tikslo nustatymo. Organizacija turėtų įvertinti, kokie asmens duomenys tvarkomi, kodėl jie reikalingi ir kokiomis aplinkybėmis vykdomas duomenų tvarkymas.
Praktikoje reikėtų nustatyti:
- kokie asmens duomenys yra tvarkomi;
- kokiu tikslu jie tvarkomi;
- ar duomenų tvarkymas yra būtinas;
- ar egzistuoja konkreti teisinė prievolė;
- ar duomenų tvarkymas susijęs su sutarties vykdymu;
- ar galima taikyti kitą BDAR 6 straipsnyje nustatytą pagrindą.
Teisėto asmens duomenų tvarkymo pagrindą svarbu pasirinkti prieš pradedant duomenų tvarkymą ir galėti pagrįsti, kodėl konkrečiam duomenų tvarkymui pasirinktas būtent toks pagrindas.
Sutikimas ir teisėti interesai – kuo jie skiriasi?
Sutikimas ir teisėti interesai yra du skirtingi teisėto asmens duomenų tvarkymo pagrindai. Sutikimu grindžiamas asmens duomenų tvarkymas priklauso nuo laisvai duoto duomenų subjekto sutikimo, o teisėtų interesų pagrindu organizacija gali tvarkyti duomenis be sutikimo, jeigu tenkinamos BDAR nustatytos sąlygos.
Sutikimas turi būti duotas laisva valia, konkretus, informuotas ir nedviprasmiškas, o duomenų subjektas turi turėti galimybę jį bet kada atšaukti. Tuo tarpu remiantis teisėtais interesais būtina įvertinti organizacijos interesą, asmens duomenų tvarkymo būtinybę ir duomenų subjekto interesų bei teisių pusiausvyrą.
Todėl vien dėl to, kad būtų paprasčiau gauti sutikimą, nereikėtų jo pasirinkti kaip teisėtumo pagrindo tais atvejais, kai duomenų tvarkymas iš tikrųjų grindžiamas kitu BDAR nustatytu pagrindu.
Ar galima pakeisti asmens duomenų tvarkymo pagrindą?
Teisėtumo pagrindas turi atitikti realų duomenų tvarkymo tikslą ir aplinkybes. Organizacija neturėtų savavališkai keisti vieno pagrindo kitu vien tam, kad išvengtų konkrečiam pagrindui taikomų reikalavimų.
Jeigu pasikeičia asmens duomenų tvarkymo tikslas, aplinkybės arba teisinis pagrindas, organizacija turėtų iš naujo įvertinti duomenų tvarkymo teisėtumą ir, kai taikoma, atnaujinti informaciją, teikiamą duomenų subjektams.
Todėl teisėto asmens duomenų tvarkymo pagrindas neturėtų būti vertinamas kaip vien formalus įrašas privatumo politikoje. Jis turi būti pagrįstas konkrečiomis duomenų tvarkymo aplinkybėmis ir atitikti faktinę organizacijos veiklą.
Dažniausios klaidos pasirenkant duomenų tvarkymo pagrindą
Praktikoje organizacijos dažniausiai susiduria su keliomis pasikartojančiomis klaidomis:
Sutikimas pasirenkamas automatiškai.
Kartais prašoma sutikimo net tada, kai duomenų tvarkymas yra būtinas sutarčiai vykdyti arba kyla iš teisinės prievolės.
Teisėti interesai nurodomi be tinkamo vertinimo.
Vien įrašyti „teisėti interesai“ privatumo politikoje nepakanka. Reikia įvertinti konkretų interesą, duomenų tvarkymo būtinybę ir duomenų subjekto interesų bei teisių pusiausvyrą.
Tvarkomi pertekliniai duomenys.
Net ir turint teisėtą pagrindą, organizacija neturėtų rinkti daugiau asmens duomenų, negu būtina nustatytam tikslui pasiekti.
Neatskiriami skirtingi duomenų tvarkymo tikslai.
Vienas teisėtumo pagrindas gali tikti vienam duomenų tvarkymo tikslui, tačiau netikti kitam.
Neįrodoma, kodėl pasirinktas konkretus pagrindas.
Organizacija turėtų gebėti pagrįsti savo pasirinkimą ir, kai reikia, jį dokumentuoti.
Ką daryti, jei organizacija nėra tikra dėl duomenų tvarkymo teisėtumo?
Jeigu nėra aišku, kokiu pagrindu organizacija gali teisėtai tvarkyti asmens duomenis, pirmiausia reikėtų įvertinti konkretų duomenų tvarkymo procesą, jo tikslą ir aplinkybes.
Reikėtų nustatyti, kokie duomenys tvarkomi, kodėl jie reikalingi, kam jie perduodami ir kokį BDAR 6 straipsnyje nustatytą teisėtumo pagrindą galima taikyti. Jeigu duomenų tvarkymas grindžiamas teisėtais interesais, gali būti reikalingas išsamesnis teisėtų interesų vertinimas.
Jeigu tvarkomi specialių kategorijų asmens duomenys, papildomai turi būti įvertintos ir BDAR 9 straipsnyje nustatytos sąlygos. Tinkamas teisėtumo pagrindo pasirinkimas turėtų būti integruotas į organizacijos duomenų apsaugos procesus ir dokumentaciją.
Reikia teisinės pagalbos dėl asmens duomenų tvarkymo?
Tinkamo asmens duomenų teisėto tvarkymo pagrindo pasirinkimas yra svarbi BDAR atitikties dalis. LEAGUS konsultuoja įmones ir organizacijas dėl asmens duomenų tvarkymo, teisėtumo pagrindų pasirinkimo, teisėtų interesų vertinimo ir kitų duomenų apsaugos klausimų.
Daugiau apie asmens duomenų apsaugos paslaugas →
Straipsnį parengė
Tadas Kuzminskas
Partneris, advokatas