I SKYRIUS
BENDROSIOS NUOSTATOS
1. Pranešimo apie asmens duomenų saugumo pažeidimą pateikimo tvarkos aprašas (toliau – Aprašas) nustato pranešimo apie asmens duomenų saugumo pažeidimo turinį, procedūrą, pateikimo duomenų subjektui ir Valstybinei duomenų apsaugos inspekcijai (toliau – Inspekcija) tvarką.
2. Šis Aprašas taikomas Lietuvos Respublikos kultūros ministerijai (toliau – Kultūros ministerija) tvarkant duomenų subjektų asmens duomenis ir juridiniams asmenims, veikiantiems kaip Kultūros ministerijos valdomų registrų ir valstybės informacinių sistemų duomenų tvarkytojai (toliau – duomenų tvarkytojai).
3. Šis Aprašas parengtas vadovaujantis 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamentu (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas) (OL 2016 L 119, p. 1–88) (toliau – Reglamentas (ES) 2016/679).
4. Apraše vartojamos sąvokos:
4.1. Asmens duomenys (toliau – duomenys) – bet kokia informacija arba jos visuma apie fizinį asmenį, pagal kurią galima nustatyti fizinio asmens tapatybę. Tokia informacija gali būti vardas ir pavardė, asmens kodas, buvimo vietos duomenys, elektroninis paštas, fizinės, fiziologinės, genetinės, psichinės, ekonominės, kultūrinės ar socialinės tapatybės duomenys.
4.2. Asmens duomenų saugumo pažeidimas – saugumo pažeidimas, dėl kurio netyčia arba neteisėtai sunaikinami, prarandami, pakeičiami, be leidimo atskleidžiami gauti, saugomi arba kitaip tvarkomi duomenys arba prie jų be leidimo gaunama prieiga.
4.3. Darbuotojas – Kultūros ministerijos valstybės tarnautojas arba darbuotojas, dirbantis pagal darbo sutartį.
4.4. Duomenų subjektas – fizinis asmuo, kurio duomenis tvarko Kultūros ministerija.
5. Kitos Apraše vartojamos sąvokos suprantamos taip, kaip jos apibrėžtos Reglamente (ES) 2016/679, Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatyme ir kituose teisės aktuose, reglamentuojančiuose asmens duomenų apsaugą.
II SKYRIUS
PRANEŠIMO APIE ASMENS DUOMENŲ SAUGUMO PAŽEIDIMĄ PROCEDŪRA
6. Kultūros ministerijos valstybės tarnautojas ar darbuotojas, dirbantis pagal darbo sutartį (toliau kartu – darbuotojai), sužinojęs, kad nebuvo užtikrintas asmens duomenų saugumas:
6.1. nedelsiant, bet ne vėliau kaip per 2 darbo valandas nuo asmens duomenų saugumo pažeidimo paaiškėjimo momento elektroniniu paštu, telefonu arba žodžiu informuoja savo tiesioginį vadovą ir Kultūros ministerijos duomenų apsaugos pareigūną;
6.2. imasi priemonių pašalinti asmens duomenų saugumo pažeidimą ir priemonių galimoms neigiamoms jo pasekmėms sumažinti;
6.3. užpildo šio Aprašo 1 priede nurodytos formos Pranešimą apie asmens duomenų saugumo pažeidimą ir nedelsiant perduoda jį Kultūros ministerijos duomenų apsaugos pareigūnui.
7. Duomenų tvarkytojai, sužinoję apie asmens duomenų saugumo pažeidimą, nedelsiant, bet ne vėliau kaip per 1 darbo dieną, apie tai praneša Kultūros ministerijos duomenų apsaugos pareigūnui, pateikdami pranešimą, numatytą Reglamento (ES) 2016/679 33 straipsnio 3 dalyje.
8. Kultūros ministerijos duomenų apsaugos pareigūnas, gavęs Kultūros ministerijos darbuotojo užpildytą pranešimą ar duomenų tvarkytojo pranešimą (toliau – kartu pranešimas):
8.1. nedelsdamas pradeda nagrinėti pranešime nurodytas aplinkybes;
8.2. prireikus pasitelkia Bendrųjų reikalų ir aptarnavimo skyriaus darbuotojus (asmens duomenų, tvarkomų Kultūros ministerijoje, saugumo pažeidimas) ar duomenų tvarkytojų saugos pareigūnus (asmens duomenų, tvarkomų Kultūros ministerijos valdomuose registruose ir valstybės informacinėse sistemose, saugumo pažeidimas), jei asmens duomenų saugumo pažeidimas yra susijęs su elektroninės informacijos saugos ir kibernetinio saugumo incidentu ar kitus kompetentingus darbuotojus;
8.3. įvertina, ar buvo padarytas asmens duomenų saugumo pažeidimas;
8.4. jei asmens duomenų saugumo pažeidimas padarytas, nustato asmens duomenų kategorijas, įskaitant specialių kategorijų asmens duomenis, kurios buvo susijusios su pažeidimu, pažeidimo priežastys, lėmusios asmens duomenų saugumo pažeidimą, apimtis (duomenų subjektų kategorijos ir skaičius), žala padaryta asmeniui;
8.5. nustato, kokių skubių ir tinkamų priemonių būtina imtis, kad būtų pašalintas asmens duomenų saugumo pažeidimas (pvz., naudoti atsargines kopijas, siekiant atkurti prarastus ar sugadintus duomenis);
8.6. nustato, ar būtina nedelsiant pranešti duomenų subjektui apie asmens duomenų saugumo pažeidimą.
8.7. nustato, ar būtina pranešti Inspekcijai apie asmens duomenų saugumo pažeidimą.
9. Duomenų tvarkytojai pateikia Kultūros ministerijai visą jos prašomą informaciją, susijusią su informavimu apie asmens duomenų saugumo pažeidimą ir jo tyrimu, per Kultūros ministerijos nurodytą terminą.
10. Kultūros ministerijos duomenų apsaugos pareigūnas, atlikęs asmens duomenų saugumo pažeidimo tyrimą, surašo šio Aprašo 2 priede nurodytos formos Asmens duomenų saugumo pažeidimo ataskaitą.
11. Asmens duomenų saugumo pažeidimo ataskaita yra pateikiama Kultūros ministerijos kancleriui.
12. Atsižvelgiant į Asmens duomenų saugumo pažeidimo ataskaitą, prireikus priemonių planą, kuriame numatomas būtinų techninių, organizacinių, administracinių ir kitų priemonių poreikis dėl asmens duomenų saugumo pažeidimo, tvirtina, atsakingus vykdytojus paskiria ir įgyvendinimo terminus nustato Kultūros ministerijos kancleris.
13. Tuo atveju, jei yra nustatoma, kad dėl įvykusio asmens duomenų saugumo pažeidimo duomenų tvarkytojas turi imtis papildomų veiksmų ar užtikrinti papildomas asmens duomenų saugumo priemones, Kultūros ministerijos kancleris duoda privalomus nurodymus duomenų tvarkytojui, jei asmens duomenų saugumo pažeidimas susijęs su duomenų tvarkytojo tvarkomais valstybės registrais ar informacinėmis sistemomis.
14. Kultūros ministerijos duomenų apsaugos pareigūnas nedelsiant ir, jei įmanoma, nepraėjus 72 valandoms nuo to laiko, kai buvo sužinota apie asmens duomenų saugumo pažeidimą, informuoja Inspekciją, pateikdamas užpildytą Pranešimo apie asmens duomenų saugumo pažeidimą rekomenduojamą formą, patvirtintą Valstybinės duomenų apsaugos inspekcijos direktoriaus 2018 m. gegužės 24 d. įsakymu Nr. 1T-53 (1.12) „Dėl pranešimo apie asmens duomenų saugumo pažeidimą rekomenduojamos formos patvirtinimo“.
15. Tuo atveju, kai Kultūros ministerijos duomenų apsaugos pareigūnas nustato, kad asmens duomenų saugumo pažeidimas nekelia pavojaus fizinių asmenų teisėms ir laisvėms, apie padarytą asmens duomenų saugumo pažeidimą Inspekcija nėra informuojama.
16. Kai apie padarytą asmens duomenų saugumo pažeidimą privaloma informuoti Inspekciją ir per 72 valandas yra neįmanoma ištirti padaryto asmens duomenų saugumo pažeidimo, pranešime Inspekcijai yra pateikiama tuo metu prieinama informacija, nurodyta nurodomos vėlavimo priežastys ir kada bus pateikta kita detalesnė informacija.
17. Kultūros ministerijos duomenų apsaugos pareigūnas nedelsiant ir, jei įmanoma, nepraėjus 72 valandoms nuo to laiko, kai buvo sužinota apie asmens duomenų saugumo pažeidimą, praneša apie asmens duomenų saugumo pažeidimą duomenų subjektui elektroniniu paštu, raštu ar kitu būdu, kai dėl asmens duomenų saugumo pažeidimo gali kilti didelis pavojus fizinių asmenų teisėms ir laisvėms, pranešime pateikdamas šią informaciją:
17.1. duomenų valdytojo pavadinimas, juridinio asmens kodas, buveinės adresas;
17.2. Kultūros ministerijos duomenų apsaugos pareigūno vardas, pavardė ir kontaktiniai duomenys;
17.3. pažeidimo pobūdžio ir tikėtinų pažeidimo pasekmių aprašymas;
17.4. priemonių, kurių ėmėsi arba pasiūlė imtis Kultūros ministerijai, kad būtų pašalintas pažeidimas įskaitant priemones galimoms neigiamoms pasekmėms sumažinti, aprašymą;
17.5. kitą reikšmingą informaciją, susijusią su pažeidimu, kuri, Kultūros ministerijos manymu, turėtų būti pateikta duomenų subjektui.
18. Atvejai, kada pranešimas duomenų subjektui apie pažeidimą nereikalingas:
18.1. Kultūros ministerija įgyvendino tinkamas technines ir organizacines apsaugos priemones ir tos priemonės taikytos duomenims, kuriems asmens duomenų saugumo pažeidimas turėjo poveikio, visų pirma tas priemones, kuriomis užtikrinamas, kad asmeniui, neturinčiam leidimo susipažinti su duomenimis, jie būtų nesuprantami, pavyzdžiui, šifravimo priemonės.
18.2. Kultūros ministerija ėmėsi priemonių, kuriomis užtikrinama, kad nekiltų didelis pavojus duomenų subjektų teisėms ir laisvėms;
18.3. pranešimas pareikalautų neproporcingai didelių pastangų. Tokiu atveju apie pažeidimą viešai paskelbiama Kultūros ministerijos interneto svetainėje arba taikoma panaši priemonė, kuria duomenų subjektai būtų informuojami taip pat efektyviai.
19. Jei Inspekcija, apsvarsčiusi tikimybę, kad dėl pažeidimo kils didelis pavojus, pareikalauja, kad Kultūros ministerija informuotų duomenų subjektą apie asmens duomenų saugumo pažeidimą, Kultūros ministerija nedelsdama praneša duomenų subjektui apie asmens duomenų saugumo pažeidimą.
20. Duomenų tvarkytojai suteikia Kultūros ministerijai pagalbą, kurios reikia, kad būtų tinkamai pranešta apie asmens duomenų saugumo pažeidimą duomenų subjektui.
21. Tuo atveju, kai yra įtariama, kad asmens duomenų saugumo pažeidimas turi nusikalstamos veikos požymių, informacija apie galimą nusikalstamą veiką pateikiama atitinkamoms valstybės institucijoms, įgaliotoms atlikti ikiteisminį tyrimą.
22. Kai padarytas asmens duomenų saugumo pažeidimas yra susijęs su kibernetiniu incidentu, informacija apie kibernetinį incidentą, susijusį su asmens duomenų saugumo pažeidimu, pateikiama Lietuvos Respublikos kibernetinio saugumo įstatyme nurodytoms valstybės institucijoms šio įstatymo nustatyta tvarka ir atvejais.
