Nustebino anketa

Į „Kauno dieną“ kreipėsi bendrovės „Viena sąskaita“ klientai. Jie pasipiktino, kad bendrovė reikalauja užpildyti kliento pažinimo anketą. Esą kitu atveju nebus galima naudotis paslaugomis ir keliais paspaudimais apmokėti visas sąskaitas.

Dienraščio skaitytojai svarstė, kam bendrovei reikia duomenų apie tai, kiek asmuo uždirba, ar priklauso kokiai politinei jėgai, ar neužima valstybės tarnautojo pareigų. Kitaip tariant, ar yra politiškai pažeidžiami. Negana to, anketoje prašoma atskleisti ir artimųjų vardus, pavardes, gimimo datas, jei jie dirba valstybės tarnyboje.

„Kam reikia bendrovei tokių duomenų? Čia juk ne bankas. Mes tiesiog sumokame oficialiems paslaugų teikėjams už jų suteiktas paslaugas. Mano krepšelyje yra kelios komunalinių paslaugų, vaikų būrelių sąskaitos ir sąskaita už telefoną ir internetą. Per „Vieną sąskaitą“ juk nepervesi pinigų teroristams. Tad reikalavimas atskleisti informaciją tiek apie save, tiek apie savo šeimos narius tikrai netikslingas.

Mano nuomone, „Viena sąskaita“, prašydama užpildyti kliento pažinimo anketą, renka perteklinius duomenis apie savo klientus. Bendrovei tikrai tiek daug duomenų apie žmonių, kuris tik apmoka sąskaitas, o ne daro kažkokias rimtus finansinius pervedimus, žinoti nereikia“, – „Kauno dienai“ dėstė „Vienos sąskaitos“ klientas Mindaugas.

Vyras svarstė, ar toks klausimynas nepažeidžia Bendrojo duomenų apsaugos reglamento (BDAR), nes kliento pažinimo anketoje yra ir labai jautrių klausimų, susijusių su šeimos pajamomis. Artimų žmonų vardo, pavardės ir gimimo datos atskleidimas tik tam, kad galėtum sumokėti sąskaitas, pasak kliento, yra nesuprantamas ir niekuo nepagrįstas.

Papiktino: gyventojai įsitikinę, kad „Vienos sąskaitos“ kliento pažinimo anketoje nebūtina nurodyti gaunamų pajamų ir ar jie neina valstybės tarnautojo pareigų. / „Kauno dienos“ skaitytojų nuotr.

Klausimynai gali skirtis

Mūsų šalyje finansinių įstaigų priežiūrą vykdo Lietuvos bankas. Jo atstovai „Kauno dienai“ patvirtino, kad „Viena sąskaita“ turi mokėjimo įstaigos licenciją, o pinigų plovimo ir teroristų finansavimo prevencijos reikalavimai, įskaitant kliento pažinimą, taikomi visiems mokėjimo paslaugų teikėjams.

Vis dėlto Lietuvos bankas pažymėjo, kad kiekviena finansų įstaiga pati sprendžia, kokius klausimus pateikti klientų pažinimo anketoje.

„Finansų rinkos dalyviai įstatymu įpareigoti tinkamai pažinti savo klientą ir stebėti dalykinius santykius (kliento atliekamas operacijas, sandorius). Teisės aktuose yra nurodyti tam tikri duomenys, kuriuos privalo gauti visi finansų rinkos dalyviai, užmegzdami dalykinius santykius su klientu (pvz., nustatyti kliento tapatybę, ar jis yra politiškai pažeidžiamas asmuo ir kt.), tačiau baigtinio šios informacijos sąrašo nėra.

Kokios informacijos prašyti klientų, sprendžia pačios riziką vertinančios finansų įstaigos. Dėl to informacijos kiekis ir pobūdis atskirais atvejais gali skirtis“, – teigė Lietuvos banko atstovas spaudai Giedrius Šniukas.

Jis nurodė, kad Lietuvos bankas yra atkreipęs finansų įstaigų dėmesį, kad finansų įstaigos turėtų prašyti tiek informacijos, kiek yra pakankama konkrečiu atveju valdyti pinigų plovimo, teroristų finansavimo riziką.

„Finansų įstaigoms svarbu užtikrinti, kad jų klientai finansų sistemos nenaudotų neteisėtais tikslais, tačiau jos neturėtų sudaryti kliūčių klientams naudotis paslaugomis. Duomenims, gautiems pinigų plovimo, teroristų finansavimo prevencijos tikslais, yra taikomi informacijos apsaugos reikalavimai, todėl finansų įstaigos negali gautos konfidencialios informacijos naudoti kitais tikslais. Finansų įstaigos turi teisę atskleisti šią informaciją tik teisės aktuose nustatytoms trečiosioms šalims ir tik juose numatytais atvejais ir tvarka“, – apie tai, kad įstaigos turi atsakingai elgtis su klientų duomenimis, komentavo G. Šniukas.

Duomenų apsauga

Valstybinė duomenų apsaugos inspekcijos (VDAI) Teisės skyriaus vyriausioji specialistė Karolina Grobovaitė „Kauno dienai“ taip pat pateikė išaiškinimą apie kliento pažinimo anketoje renkamus duomenis ir ar tokios informacijos rinkimas nepažeidžia BDAR.

„BDAR nedraudžia tvarkyti (taip pat ir rinkti) asmens duomenų, tačiau svarbiausia – laikytis su asmens duomenų tvarkymu susijusių principų, įtvirtintų BDAR 5 straipsnyje, ir kai toks asmens duomenų tvarkymas gali būti pagrįstas bent viena teisėto asmens duomenų tvarkymo sąlyga, numatyta BDAR 6 ir 9 straipsniuose, atsižvelgiant į tvarkomų asmens duomenų kategoriją“, – teigė specialistė.

Reikalavimas atskleisti tiek apie save, tiek apie savo šeimos narius tokią informaciją tikrai netikslingas.

Ji dėstė, kad BDAR 6 straipsnio 1 dalies punktas numato, kad duomenų tvarkymas yra teisėtas tuo atveju, jei tvarkyti duomenis būtina, kad būtų įvykdyta duomenų valdytojui taikoma teisinė prievolė, t. y. teisės aktuose numatytos pareigos. VDAI teisininkė pažymėjo, kad Pinigų plovimo ir teroristų finansavimo prevencijos įstatymas nustato subjektus, kuriems taikoma pareiga rinkti asmens duomenis šio įstatymo pagrindu: finansų įstaigos ir įpareigotieji subjektai. Lietuvos banko duomenimis, bendrovė „Viena sąskaita“ yra mokėjimų įstaiga, todėl jai yra taikomos įstatymo nuostatos.

„Pavyzdžiui, finansų įstaigos ir kiti įpareigotieji subjektai privalo nustatyti kliento ir naudos gavėjo tapatybę, vykdyti nuolatinę kliento dalykinių santykių stebėseną ir, siekiant užtikrinti, kad kliento ir naudos gavėjo tapatybės nustatymo metu pateikti dokumentai, duomenys ar informacija yra tinkami ir aktualūs, jie finansų įstaigų ir kitų įpareigotųjų subjektų privalo būti nuolat peržiūrimi ir atnaujinami.

Vadovaujantis šiuo įstatymu, finansų įstaigos ir kiti įpareigotieji subjektai privalo rinkti ne tik tokius kliento ir naudos gavėjo duomenis kaip vardas, pavardė, asmens kodas, bet ir kitą informaciją, kuri leistų nustatyti, pavyzdžiui, ar yra aplinkybių taikyti sustiprintą kliento tapatybės nustatymą. Visų šių pareigų tikslas – užtikrinti prevenciją, neleidžiančią pasinaudoti finansų sistema pinigų plovimo ir teroristų finansavimo tikslais.

Taigi, atsižvelgiant į išdėstyta, UAB „Viena sąskaita“ turi teisę prašyti pateikti savo klientų ir naudos gavėjų asmens duomenis tokios apimties, kiek reikalinga įstatyme nustatytoms prievolėms vykdyti“, – nurodė VDAI Teisės skyriaus vyriausioji specialistė K. Grobovaitė.

Tik būtina informacija?

Bendrovės „Viena sąskaita“ generalinė direktorė Aušra Čiuplienė dienraščiui teigė, kad tokių klausimų sulaukiama ne pirmą kartą, tačiau ji pažymėjo, kad renkami tik tie duomenys, kurie yra būtini finansų įstaigoms.

„Smagu matyti, kad visuomenė yra kritiška ir rūpinasi savo asmens duomenų saugumu. Tai stebėdami mes teikiame ypatingą dėmesį duomenų saugumui, jų užšifravimui, saugojimui ir galime atsakingai pasakyti, kad renkame tik tą informaciją, kuri yra būtina vykdant finansų įstaigai keliamus reikalavimus.

Noriu nuraminti, kad bet kuris prašymas pateikti asmens duomenis dar nereiškia, kad klientas yra kažkuo įtariamas. Klientų duomenis „Viena sąskaita“, kaip ir kitos finansų įstaigos, renka ne savo pačių iniciatyva, o todėl, kad yra įpareigota įstatymų. Tai įprastas procesas, taikomas visose finansų įstaigose, kurios privalo užtikrinti Pinigų plovimo ir teroristų finansavimo prevencijos įstatymo atitiktį. „Viena sąskaita“, veikdama kaip mokėjimo įstaiga, taip pat nėra išimtis“, – komentavo A. Čiuplienė.

Ji aiškino, kad net ir tuo atveju, kai klientas platformoje „Viena sąskaita“ gali apmokėti tik paslaugų teikėjų sąskaitas, laikydamasi teisės aktų reikalavimų bendrovė privalo vykdyti pinigų plovimo ir teroristų finansavimo prevenciją ir savo veikloje taikyti principą „Pažink savo klientą“.

Noriu nuraminti, kad bet kuris prašymas pateikti asmens duomenis dar nereiškia, kad klientas yra kažkuo įtariamas.

„Šis principas įpareigoja surinkti būtiną informaciją apie klientus (pvz., duomenis apie pajamų šaltinius, jų dydį), kad galėtume tinkamai reaguoti į neįprastą veiklą, susijusią su jų vykdomomis operacijomis. Minėtame įstatyme nurodyta, kad politiškai pažeidžiami (paveikiami) asmenys yra fiziniai asmenys, kuriems yra arba buvo patikėtos svarbios viešosios pareigos, taip pat jų artimi šeimos nariai arba artimi pagalbininkai.

Galiojantys teisės aktai mus, kaip finansų įstaigą, įpareigoja klausti informacijos apie politiškai pažeidžiamus (paveikiamus) asmenis, todėl siekiame nustatyti, ar klientas ir jo artimieji yra politiškai pažeidžiami asmenys (t. y. ar eina svarbias viešąsias pareigas). Jeigu nustatome, kad asmuo yra politiškai pažeidžiamas, turime laikytis kitų papildomų prievolių, kadangi tokie klientai pinigų plovimo kontekste laikomi padidintos rizikos. Visa tai daroma siekiant apriboti bet kokią galimybę padaryti mokėjimus kitu tikslu, nei yra skirta mūsų platforma“, – nurodė „Vienos sąskaitos“ vadovė.

Neįprastos operacijos

Pasak pašnekovės, visos finansų įstaigos, įskaitant ir „Vieną sąskaitą“, siekdamos užkirsti kelią pinigų plovimui, naudoja įvairias technines ir organizacines priemones, kad neįprastos operacijos būtų sustabdytos ir neįskaitytos.

„Pinigų įnešimas, jų išskaidymas ir legalizavimas – įprasti pinigų plovimo etapai, kurių metu nusikalstamai įgytos lėšos integruojamos į apyvartą, o bet kuri finansinė įstaiga gali tapti šio proceso dalyve, to net neįtardama. Natūralu, kad „Viena sąskaita“ imasi būtinų priemonių, kad netaptų tokios schemos dalimi.

Pateikta informacija yra užšifruojama ir išsaugoma mūsų sistemoje. Klientui, kaskart atliekant mokėjimus, šie turimi duomenys leidžia tinkamai atlikti kliento atliekamų operacijų stebėseną ir įvertinti, ar jos yra jam būdingos, ar mokėjimų suma yra panaši į tą, kurią asmuo nurodė anketoje, ar atitinka kita pateikta asmens informacija. Kilus įtarimų ar pastebėjus netikslumų su finansų įstaigos turimais duomenimis, „Viena sąskaita“ turi teisę pareikalauti pateikti ir išsamesnę informaciją, kad pinigai būtų įskaityti, todėl labai svarbu kliento pažinimo anketoje nurodyti aktualią ir tikslią informaciją“, – dėstė A. Čiuplienė.

Pasak jos, teisės aktai, įtvirtindami griežtus kliento pažinimo reikalavimus, taip pat numato ir poveikio priemones, kurias „Viena sąskaita“ gali taikyti, jeigu klientas vengia arba atsisako „Vienos sąskaitos“ prašymu ir nustatytais terminais pateikti užpildytą kliento pažinimo anketą.

„Jeigu klientas laiku neužpildo kliento pažinimo anketos, „Viena sąskaita“ gali atsisakyti teikti dalį ar visų paslaugų. Vėl naudotis paslaugomis klientas galės tuomet, kai pateiks užpildytą kliento pažinimo anketą. Šiuo metu neplanuojama renkamų duomenų apimtį siaurinti, kadangi renkami duomenys yra būtini, kad užtikrintume teisės aktais nustatytų pareigų laikymąsi“, – pažymėjo bendrovės „Viena sąskaita“ vadovė.

A. Čiuplienė pažymėjo, kad platforma „Viena sąskaita“ yra ne elektroninė parduotuvė, o finansų įstaiga, turinti mokėjimų licenciją ir prižiūrima Lietuvos banko. „Tad esame įpareigoti laikytis griežtų teisės aktų reikalavimų, o mūsų klientai gali jaustis saugūs, kad užtikrinsime sklandų įmokų surinkimo ir paskirstymo procesą“, – pridūrė pašnekovė.

Italijos duomenų apsaugos priežiūros tarnyba „informavo „OpenAI“ apie duomenų apsaugos įstatymo pažeidimus“, sakoma pirmadienį išplatintame šios institucijos pranešime.

Pernai reguliuotojas buvo kelioms savaitėms užblokavęs populiarųjį pokalbių robotą ir Italija tapo pirmąja tokį žingsnį žengusia Vakarų šalimi. Po laikino draudimo reguliuotojas priėjo prie išvados, kad „prieinami įrodymai liudija ES BDAR (Bendrojo duomenų apsaugos reglamento) nuostatų pažeidimus“. „OpenAI“ per 30 dienų gali pateikti priešieškinius dėl įtariamų pažeidimų“, – nurodė tarnyba.

Reguliuotojas pažymėjo, kad priimdamas galutinį sprendimą atsižvelgs į darbo grupės, kurią subūrė ES centrinė duomenų reguliavimo institucija, siekdama padėti šalims spręsti su „ChatGPT“ susijusius klausimus, atliekamą darbą.

Praėjusiais metais Italijos reguliuotojas pareiškė, kad „OpenAI“ neturi teisinio pagrindo masiniam asmens duomenų rinkimui ir kaupimui, kurie naudojami „ChatGPT“ algoritmų „treniravimui“.

Kaip antradienį pranešė teismas, viešoji įstaiga baudą gavo šių metų birželį už Bendrojo duomenų apsaugos reglamento (BDAR) nuostatų pažeidimus, po to, kai savo interneto svetainėje ir feisbuko paskyroje iniciavo tyrimą ir paskelbė apklausos formą apie skiepus.

Joje buvo klausiama, ar pasiskiepijusiam asmeniui gali atsirasti nepageidaujama reakcija į vakcinas, ar nepageidaujamos reakcijos gali būti sunkios; kokio amžiaus, lyties asmenims ir kokios nepageidaujamos reakcijos dažniausiai pasireiškia. Toje formoje buvo prašoma pateikti ir asmens kontaktinius duomenis.

Dėl šios apklausos VDAI gavo kelis skundus ir pradėjo tyrimą.

VDAI pripažino, kad buvo pažeisti BDAR nuostatai, reglamentuojantys asmens teisę atšaukti savo sutikimą tvarkyti asmens duomenis, bei apklausoje dalyvavusiems asmenims nebuvo tinkamai pateikta informacija apie duomenų rinkimą.

Teismas, išnagrinėjęs šią administracinę bylą, konstatavo, kad Sveikatos teisės institutas duomenis tvarkė nepakankamai laikydamasis BDAR reikalavimų, tačiau įvertinęs paskirtos nuobaudos pagrįstumą, proporcingumą, teismas sutiko su pareiškėjo argumentais, kad paskirta nuobauda yra per griežta.

„Teismas nusprendė, kad nagrinėjamu atveju atsakomybės už BDAR nuostatų nesilaikymą (atsižvelgiant į pažeidimo padarymo aplinkybes, mastą, pasekmių nebuvimą, trumpą pažeidimo laikotarpį) tikslai bus pasiekti pareiškėjui paskyrus papeikimą“, – informavo teismas.

Šis sprendimas per 30 dienų gali būti skundžiamas Lietuvos vyriausiajam administraciniam teismui.

Sveikatos teisės instituto atstovai nuo COVID-19 pandemijos pradžios kritikuoja valstybės veiksmus imantis jos valdymo. 

Kam bankui tokia informacija?

Kalėjimų departamento direktoriaus pavaduotoja, Kauno tarybos narė Ligita Valalytė socialiniame tinkle „Facebook“ pasidalijo nuomonę apie Seimo priimtas įstatymo pataisas, leidžiančias finansinėms įstaigoms rinkti specialius asmens duomenis.

„Tai priėmėm garsųjį BDAR (Bendrasis duomenų apsaugos reglamentas – red. past.), kad žmogaus duomenys būtų saugomi ir neprieinami, nors realiai telefonu paskambinus vienai ar kitai tarnybai ypač regione viskas ten greitai vyksta, bet šiandien ne apie tai, Seimas patvirtina Bankams reikalinga rinkti ir kaupti informaciją apie: kliento religines/ filosofines, bei politines pažiūras, etninius ir rasinius duomenis, priklausymą partijoms ir profsąjungoms, genetinę ir biometrinę tapatybę, sveikatą, lytinį gyvenimą ir lytinę orientaciją“, – dėstė L.Valalytė.

Pasak jos, nesuvokiama, kam bankui būtinai reikia žinoti apie kliento sveikatos būklę, kai net artimas žmogus be specialaus leidimo tokios informacijos gydymo įstaigoje negali laisvai gauti.

„Net artimiesiems be specialaus pasirašyto dokumento, kad sutinku savo sveikatos būklę komentuoti neleidžiama, absurdo istorijos kai greitoji nuveža į ligoninę žmogų, kuris nebegali pasakyti ir parašyti, kam iš artimųjų tą informaciją suteikti, artimieji iš proto eina negalėdami sužinoti kas ir kur yra ir kokia situacija, o čia bankams, prašau.

Jiems būtina apie sveikatą rinkti ir kaupti informaciją, kokiai čia paslaugai banko tokia informacija reikalinga? Ar priklausymas profesinėms sąjungoms ar dar įdomiau skamba lytinė orientacija ir lytinis gyvenimas? Apie ką čia? Bankui ataskaitas teiksim, kiek ir su kuo miegojom? Čia man jau kažkas tokio yra, žmogus apskritai nebetenka savo privatumo, tai kam tie BDAR reikalingi, kad nuo artimų žmonių mus apsaugotų?“ – pasipiktinimo neslėpė L.Valalytė.

Kritikos strėlės

Šis politikės įrašas sukėlė diskusijas. Vieni svarstė, kad sveikatos duomenys bankams gali būti reikalingi dėl draudimo įmokų. Taip pat buvo minčių, kad pagal tai gali būti vertinamos ir paskolos išdavimo sąlygos, esą, jei žmogus turi sveikatos problemų, tai didesnė rizika, kad neatiduos paskolos.

Bankui ataskaitas teiksim, kiek ir su kuo miegojom?

„Pačiai gyvenime buvo tokia situacija, kad artimasis buvo be sąmonės ir ligoninė be jo sutikimo nesuteikė informacijos, kas atrodė toje situacijoje nelogiška. Suveikė tik vienos iš darbuotojų žmogiškumas. Tokiu metu tikrai niekas apie kažkokius BDAR negalvoja, tuo labiau jei esi šeimos narys. Bankams reikalinga tokia informacija, kad kuo labiau save apsidraustų“, – nuomonę išsakė Agnė.

Žmonės diskutavo, kad tokie įstatymai reikalingi monopolistams, o ne piliečių teisėms ginti.

Teisės aktų pakeitimai

BNS skelbė, kad lapkričio 3 dieną Seimas finansų, mokėjimo įstaigoms bei sistemų operatoriams leido tvarkyti specialius asmens duomenis. Jie galės būti tvarkomi atliekant sukčiavimo prevenciją ar tyrimus užtikrinant svarbų viešąjį interesą.

Už Mokėjimo įstatymo pataisas, kurios turėtų įsigalioti nuo gruodžio, ketvirtadienį balsavo 75 Seimo nariai, prieš buvo 10, susilaikė 33.

Vyriausybė pataisas pasiūlė atsižvelgiant į Europos duomenų apsaugos valdybos paskelbtas gaires dėl gyventojų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo. Dokumente numatyta prievolė finansų įstaigoms tvarkyti specialių kategorijų asmens duomenis. Pabrėžiama, kad tokius duomenis tvarkyti galima tik esant aiškiam žmogaus sutikimui arba dėl svarbaus viešojo intereso.

„Tikslas yra sudaryti galimybę mokėjimui ir elektroninių pinigų įstaigoms apsaugoti klientų lėšas dar vienu būdu, tai yra leidžiant jas laikyti ne tik kredito įstaigose Lietuvoje, bet taip pat ir kredito įstaigos filiale kitoje valstybėje ir tuo pačiu įgyvendinti Europos Sąjungos reglamentą“, – rugsėjį Seimui pristatydama pataisas kalbėjo finansų ministrė Gintarė Skaistė.

Opozicijos pastabos

BNS nurodė, kad tuo metu socialdemokratas Gintautas Paluckas ketvirtadienį tikino, kad pakeitimai „labai stipriai“ pažeidžia asmens teisę į privatumą ir sudaro finansų įstaigoms ir bankams galimybę neterminuotą laiką iš esmės saugoti itin specifinius duomenis apie klientus.

„Tai yra duomenys, atskleidžiantys rasinę, etninę kilmę, politines pažiūras, religinius ar filosofinius įsitikinimus, narystę profsąjungose, taip pat genetiniai, biometriniai duomenys, kai jie tvarkomi konkrečiai nustatyti žmogaus tapatybę, sveikatos arba duomenys apie lytinį gyvenimą ir orientaciją. Nesuprantu, kodėl bankui reikėtų lįsti į mano miegamąjį ir aiškintis, ką aš ten darau, su kuo? Kodėl reikėtų aiškintis ir rinkti informaciją apie įvairias politines pažiūras? Ar bus atsakomas man paslaugų teikimas dėl to, jeigu aš būsiu dešinysis ar kairysis?“ – svarstė G. Paluckas.

Pasak jo, pataisos „stipriai išplečia“ bankų teises be jokio poreikio. Tuo metu žmogaus teisė prašyti tokią informaciją panaikinti, išbraukti ar nekaupti lieka reguliuoti tik bendruoju asmens duomenų apsaugos europiniu reglamentu.

„Mano galva, yra pažeistas balansas“, – teigė G. Paluckas.

Dabar įstatymas specialių kategorijų asmens duomenų tvarkymo aspektų neišskiria.

Praktika rodo, kad ir dalis Lietuvos įmonių kaupia perteklinę informaciją, duomenis tvarko neturėdamos tinkamo teisinio pagrindo, dažnai nesilaikydamos pareigos iš anksto informuoti darbuotojus apie duomenų tvarkymą.

„H&M“ neteisėto duomenų rinkimo istorija išaiškėjo, kai kompanija 2019 m. pastebėjo duomenų saugumo pažeidimą Niurnberge įsikūrusio paslaugų centro sistemoje. Bendrovė teigia nedelsiant informavusi Hamburge įsikūrusią duomenų apsaugos instituciją, o pastarajai pradėjus tyrimą paaiškėjo, kad Niurnbergo paslaugų centre dar nuo 2014 m. buvo kaupiama itin jautri asmeninė darbuotojų informacija.

„H&M“ paslaugų centre neformalių pokalbių metu buvo renkami įvairūs duomenys, leidę sukurti individualų kiekvieno darbuotojo profilį. Informaciją pasiekti galėjo kelios dešimtys vadybininkų, o remiantis šiais duomenimis buvo vertinami darbuotojų pasiekimai ir svarstomi su darbo santykiais susiję klausimai. Jei Niurnbergo paslaugų centro darbuotojas susirgdavo, sugrįžus jo ar jos laukdavo pokalbis su vadybininku, kurio metu teirautasi apie nustatytą diagnozę, bendrą sveikatos būklę. Po atostogų asmeniniuose ar grupiniuose pokalbiuose buvo dalijamasi atostogų įspūdžiais, o pokalbiai dažnai liesdavo net šeimyninių santykių ir religijos temas. Dalis informacijos buvo saugoma tiek vidiniuose bendrovės serveriuose, tiek išorinėse platformose.  Be to, buvo kaupiama informacija ne tik apie čia dirbančius žmones, bet ir apie jų šeimos narius.

Remiantis BDAR nuostatomis, darbdavys turi teisę tvarkyti darbuotojų asmens duomenis teisėtu, sąžiningu ir skaidriu būdu ir nustatytais, aiškiai apibrėžtais bei teisėtais tikslais. Šie tikslai turi būti aiškiai įvardinti ir žinomi darbuotojams, o darbdavys turi užtikrinti, kad duomenys nebus prieinami trečiosioms šalims. Tokių jautrių duomenų, kaip religija, rasė, filosofiniai bei politiniai įsitikinimai, sveikatos būklė ir kt., tvarkymas yra apskritai draudžiamas, išskyrus aiškiai apibrėžtas išimtis, pavyzdžiui, kai tai reikalinga viešajam interesui visuomenės sveikatos srityje užtikrinti ar siekiant darbdaviui pasinaudoti prievolėmis ar teisėmis darbo bei socialinės teisės srityse. Remiantis šiomis BDAR numatytomis išimtimis, darbdaviai renka informaciją, ar darbuotojas užsikrėtė COVID-19, nes tai susiję su visuomenės sveikatos interesais, taip pat darbdavys gali būti informuotas apie pavaldinio negalią, nes tai yra reikšminga aplinkybė darbuotojų socialinėms garantijoms. Vis tik jei išimtiniais atvejais duomenys apie sveikatą ir gali būti renkami, tokie duomenys negali būti naudojami kitais tikslais nei kad jie buvo renkami, tarkime, pateisinti atleidimą arba sumažinti darbo užmokestį.

Darbuotojo sutikimas galimas tik išimtiniais atvejais

Nors dėmesys duomenų apsaugai Lietuvoje didėja, dalis bendrovių vis dar nepaiso BDAR reikalavimų. Neretai darbdaviai nebūna tinkamai informavę darbuotojų apie jų duomenų tvarkymą, taip pat dažnai kaupia perteklinę informaciją, nebūtiną darbdavio funkcijoms atlikti. Vyrauja klaidingas įsitikinimas, kad darbuotojų duomenų tvarkymą geriausiai grįsti jų sutikimu, tačiau šis pagrindas yra tinkamas tik išimtiniais atvejais.

Savanoriško sutikimo taikymą apsunkina darbo santykiuose esantis disbalansas, mat darbdavio ir darbuotojo galios pozicijos nėra lygios. Nors BDAR numato pastarojo sutikimą kaip galimą duomenų tvarkymo teisinį pagrindą, jis tokiu gali būti laikomas tik tada, jei darbuotojui suteikiamas realus pasirinkimas leisti ar neleisti tvarkyti asmeninę informaciją. Kadangi darbuotojai retai gali savanoriškai laisva valia duoti sutikimą, darbdaviai juo turėtų remtis tik išimtiniais atvejais ir rasti kitą pagrindą asmens duomenų tvarkymui.

Dažniausiai darbuotojų asmens duomenų tvarkymas yra reikalingas vykdant darbo sutarties įsipareigojimus (pavyzdžiui, asmeninės banko sąskaitos numeris gali būti reikalingas atlyginimo išmokėjimui) arba teisines prievoles darbdaviui, kurių jis negali įvykdyti be darbuotojo asmens duomenų (pavyzdžiui, darbo laiko ir poilsio laiko apskaitos duomenys). Tačiau pavaldinio politinių pažiūrų arba lytinės orientacijos darbdaviui žinoti nereikia.  Nepriklausomai nuo to, kokiu teisėtu pagrindu darbdavys remsis, visais atvejais darbuotojas privalo būti informuotas, kokiais tikslais, kokie jo duomenys, kiek laiko tvarkomi ir kas turi prieigą prie jų.

Duomenų tvarkymas stebėsenos ar kontrolės tikslais

Dažnai darbdaviai pamiršta, kad vykdant asmens vaizdo ir (ar) garso duomenų tvarkymą darbo vietoje ar asmens duomenų, susijusių su darbuotojų stebėsena, tvarkymą, papildomai būtina atlikti poveikio duomenų apsaugai vertinimą. Tokios procedūros metu vertinami tvarkymo tikslai ir veiksmai, jų reikalingumas ir proporcingumas, galimos rizikos darbuotojų teisėms ir nustatomos priemonės tokioms rizikoms pašalinti. Jei atlikus vertinimą paaiškėja, kad darbdavys negali pakankamai sumažinti nustatyto pavojaus, prieš pradėdamas tvarkyti duomenis, jis turi konsultuotis su Valstybine duomenų apsaugos inspekcija.

Be to, darbdaviai turi įvertinti, ar darbuotojų informacijos neperduoda už Europos ekonominės erdvės ribų, pavyzdžiui, ar duomenys nėra saugomi išoriniuose serveriuose – vadinamosiose debesų kompiuterijos saugyklose, esančiose JAV. Prieš duomenų perdavimą, įmonės turi įsitikinti, ar ne EEE šalių garantuojamas apsaugos lygis nenusileidžia ES garantuojamai apsaugai, ir duomenų perdavimui taikyti tinkamas apsaugos priemones. Pažymėtina, kad ES Teisingumo Teismas 2020 m. liepos mėn. pripažino negaliojančiu ES ir JAV „privatumo skydą“, kuris leido asmens duomenis perduoti duomenų gavėjams JAV, priklausantiems šiam skydui, be papildomų formalumų.

BDAR kelia reikalavimus ne tik asmens duomenų rinkimui, bet ir jų saugojimui. Pažymėtina, kad ir šis plačiai nuskambėjęs „H&M“ atvejis išaiškėjo 2019 m. būtent saugumo pažeidimų bendrovės sistemose metu. Būtent tada bendrovė, laikydamasi BDAR reikalavimų, kreipėsi į duomenų apsaugos priežiūros instituciją ir taip atsitiktinai atskleidė neteisėtai tvarkomus duomenis. Darbdaviai visus duomenų pažeidimus turi registruoti, o apie keliančius pavojų darbuotojų teisėms ir laisvėms per 72 valandas pranešti Valstybinei duomenų apsaugos inspekcijai ir (tam tikrais atvejais) patiems darbuotojams.

„H&M“ atvejis parodo, kad ES valstybių narių institucijos linkusios rimtai vertinti asmens duomenų apsaugą ir darbuotojų interesus. Mūsų darbdaviams tai dar vienas priminimas, kad galima kaupti ir tvarkyti tik tuos darbuotojų duomenis, kurie būtini darbo santykiams vykdyti ir atitinka teisės aktų reikalavimus, iš anksto apibrėžtais teisėtais tikslais ir apie duomenų tvarkymą tinkamai informuojant darbuotojus. Neteisėtas asmens duomenų tvarkymas gali sukelti ne tik reputacinę žalą ir sumažinti pasitikėjimą klientų akyse – verslui taip pat gresia iki 20 mln. Eur, arba 4 proc. metinės bendros pasaulinės apyvartos siekiančios baudos.

„Pirkdami internetu, pildydami mokesčių deklaraciją ar naudodami socialinius tinklus galėsite būti daug ramesni dėl pateikiamos asmeninės informacijos. Pagal BDAR jums suteikiamos pagrindinės teisės, padedančios valdyti, kaip organizacijos naudoja jūsų asmens duomenis, ir užtikrinama, kad jos taikytų naujas procedūras duomenims apsaugoti“, - aiškinama EK pranešime.

Naujoji tvarka, anot EK, bus naudinga, jeigu atsibodo gauti nepageidaujamų gaminių ar paslaugų reklamą - galima paprašyti, kad jus pašalintų iš rinkodaros informacijos platinimo sąrašų.

Jeigu trikdo internete esantis turinys - tam tikrais atvejais galima pareikalauti, kad jis būtų pašalintas.

Jeigu norite pakeisti paslaugų teikėją - turite teisę gauti visus savo duomenis iš senojo teikėjo, kad būtų lengviau pradėti naudotis naujojo teikėjo paslaugomis.

Griežtesnės duomenų saugumo pažeidimų taisyklės taip pat reiškia, kad jūs turite būti informuoti, jei pažeidimas kelia grėsmę jūsų teisėms ir laisvėms.

Naujosios taisyklės galioja visoje ES, nesvarbu, kur tvarkomi duomenys ir kur įsikūrusi organizacija. Jos galioja net ne ES įmonėms, ieškančioms klientų ES. Taigi, nesvarbu, ar perkate vietos parduotuvėse, ar iš kitos šalies internetu - gaunate tas pačias teises ir apsaugą.

„Nuo šiandien BDAR suteikia ES gyventojams galimybę labiau valdyti savo asmens duomenis. Naujosios taisyklės užtikrina geresnę žmonių asmeninės informacijos apsaugą, nesvarbu, kur siunčiama, tvarkoma ar laikoma - net už ES ribų“, - pranešime teigia EK teisingumo, vartotojų ir lyčių lygybės komisarė Vera Jourova.

Pranešime pažymima, kad, nors BDAR nustatomos konkrečios individualių asmenų teisės, jūs patys turite jomis pasinaudoti. Jei manote, kad jūsų duomenų apsaugos teisės buvo pažeistos, galite susisiekti su jūsų duomenis saugančia organizacija. Ji turi atsakyti į jūsų užklausą pernelyg nedelsdama ir nereikalaudama užmokesčio. Taip pat turite teisę pateikti skundą Valstybinei duomenų apsaugos inspekcijai arba kreiptis į teismą.

BDAR pakeičia 1995 m. Duomenų apsaugos direktyvą, kuri buvo priimta prieš internetui ir debesų kompiuterijai suteikiant naujų asmens duomenų tvarkymo būdų.

„Kadangi dabar visiškai kitaip bendriname ir naudojame duomenis, ES duomenų apsaugos taisykles reikėjo modernizuoti“, - aiškina EK.

EK duomenimis, kiekvieną dieną daugiau nei 250 mln. europiečių naudojasi internetu bendrauti su šeimos nariais ar pirkti. Tai darydami, jie atskleidžia daug asmens duomenų, įskaitant vardą, namų adresą, asmens tapatybės kortelės numerį ir informaciją apie savo sveikatą. Pasak EK, atsiranda daug potencialių pavojų, pavyzdžiui, nesankcionuotas duomenų atskleidimas, tapatybės vagystė ar tvirkinimas internete.

Eurobarometro tyrimas atskleidė, kad Lietuvoje tik 22 proc. gyventojų jaučiasi visiškai kontroliuojantys savo asmeninę informaciją internete. Daugiau nei pusė (58 proc.) respondentų pripažįsta, kad jaučiasi tik iš dalies kontroliuojantys šią sritį, o 17 proc. atsakė manantys, jog visiškai nekontroliuoja savo asmeninės informacijos virtualioje erdvėje.

8 iš 10 Lietuvos gyventojų mano, kad neturi visiškos savo asmens duomenų kontrolės, o 4 iš 10 sako nepasitikintys prekybą internetu vykdančiomis įmonėmis. Tiek pat yra susirūpinusių dėl mobiliųjų programėlių, renkančių duomenis be naudotojų sutikimo, o 5 iš 10 respondentų nerimauja dėl to, kaip įmonės gali panaudoti jų pateiktą informaciją.

Asmens duomenų apsauga yra ne tik svarbus klausimas daugeliui europiečių, bet ir pagrindinė teisė, kurią reikia užtikrinti. ES BDAR, EK teigimu, patenkina šį poreikį.