Duomenų apsaugos tvarka įmonėse

Tai taip išeina jog įdarbinant darbuotojus ir visus jų duomenis tvarkant pagal įstatymus jokių sutikimų nereikia ir viskas daroma taip kaip ir įprastai?

Mūsų įmonės specialistas paaiškino paprastai,(kaip ir minėjo Niemand) jei įstatymo pagrindu reikalaujama asmens kodo, naudojate be rūpesčio. Pav. darbo sutartys, deklaracijos ir pan.

Ačiū už pagalbą

Sutikimų nereikia, bet darbuotojai, kaip ir visi likę fiziakai turėtų būti informuojami ir šviečiami pagal GDPR 13 str.

Kai iš duomenų subjekto renkami jo asmens duomenys, duomenų valdytojas asmens duomenų gavimo metu duomenų subjektui pateikia šią informaciją (glausta, skaidria, suprantama ir lengvai prieinama forma, aiškia ir paprasta kalba):
- duomenų valdytojo tapatybę ir kontaktinius duomenis, jei yra, duomenų apsaugos pareigūno, kontaktinius duomenis;
- duomenų tvarkymo tikslus, dėl kurių ketinama tvarkyti asmens duomenis, taip pat duomenų tvarkymo teisinį pagrindą;
- tai, ar asmens duomenų pateikimas yra teisės aktais arba sutartyje numatytas reikalavimas, ar reikalavimas, kurįbūtina įvykdyti norint sudaryti sutartį, taip pat tai, ar duomenų subjektas privalo pateikti asmens duomenis, irinformaciją apie galimas tokių duomenų nepateikimo pasekmes;
- teisėtus duomenų valdytojo interesus, kai duomenys tvarkomi šiuo pagrindu;
- jei yra, asmens duomenų gavėjus arba asmens duomenų gavėjų kategorijas;
- kai taikoma, apie duomenų valdytojo ketinimą asmens duomenis perduoti į trečiąją valstybę;
- tai, kad esama automatizuoto sprendimų priėmimo, įskaitant profiliavimą, ir, bent tais atvejais, prasmingą informaciją apie loginį jo pagrindimą, taip pat tokio duomenų tvarkymo reikšmę ir numatomas pasekmes duomenų subjektui.
- duomenų saugojimo laikotarpį arba, jei tai neįmanoma, kriterijus, taikomus tam laikotarpiui nustatyti.

Kai iš duomenų subjekto renkami jo asmens duomenys, duomenų valdytojas asmens duomenų gavimo metu duomenų subjektui papildomai informuoja duomenų subjektą apie jo teises („išaiškina teises“):
- teisę prašyti, kad duomenų valdytojas leistų susipažinti su duomenų subjekto asmens duomenimis;
- teisę prašyti, kad duomenų valdytojas duomenis ištaisytų arba ištrintų, arba apribotų duomenų tvarkymą,
- kai duomenų tvarkymas grindžiamas teisėtu interesu, teisę prieštarauti (angl. object), kad duomenys būtų tvarkomi,
- kai duomenų tvarkymas grindžiamas sutikimu, teisę bet kuriuo metu atšaukti sutikimą;
- teisę į duomenų perkeliamumą;
- teisę pateikti skundą priežiūros institucijai.

Praktiškai tai reiškia, kad turi egzistuoti dokumentacija, kurioje ši info pateikiama, ir darbuotojai su ja turi būti supažindinti. Dokumentacijos forma nesvarbi, tik turinys. Gali būti skyrius darbo tvarkos taisyklėse, atskira duomenų tvarkymo politika (aprašas, įrašai, procedūros ir t.t.) ar bet kokia kitokia organizaciškai patogi forma.

Sveiki brangieji, gal galite pasakyti, ar reikia sutikimu žmoniu, jei ateina fizinis asmuo ir perka prekes iš parduotuvės, ir prašo kad jo vardu išrašytu PVM sąskaitą, ir aišku, ten bus duomenys jo, asmens kodas, vardas pavardė, adresas, tvarkos patvirtintos, bet kaip dėl sutikimų labai įdomu...ačiū atsakiusiems

Sutikimu nereikia, nebent marketingui duomenis ketinat naudot, bet teoriškai reikia informavimo ir švietimo, kaip aukščiau nurodyta. Reglamentas švietimo aspektu niekam jokiu išimčiu nesuteikia.

Sveiki, ar teisingai suprantu:
1. Darbuotojų sutikimų nereikia, kai jų duomenys naudojami deklaracijoms teikti, DS koregavimui, banko pavedimuose ir pan.
2. Sutikimų nereikia, kai perka/parduoda prekes ir būtinas deklaravimas.
3. Sutikimų REIKIA, kai nori panaudoti duomenis analizei, straipsniui, pateikiant kažkokius privačius duomenis visuomenei ir pan.

Sutikimų nereikia ne tik dėl deklaravimo, bet ir kai duomenys reikalingi pačios sutarties plačiaja prasme įvykdymui, pvz., banko sąskaitos pavedimams, kontaktų, kad derinti kylančius klausimus, buto kapitalinio remonto projekto siekiant tą patį kapitalinį remontą atlikti rangovui ir t.t.
Analizei (business intelligence) bendru atveju nereikia, nebent analizės esmė yra parduoti duomenis google, kad šie analizuotų savo reikmėms, arba analizuoti duomenis kažkokiais keistais ne moksliniais tikslais, neturinčiais nieko bendro su įmonę ir fiziaką siejančius santykiais.
Bendras testas tvarkymo teisėtumui - "kam reikia tokių duomenų santykių su fiziaku kontekste?". Jei gali daugmaž argumentuotai atsakyti, reiškia tvarkai teisėtai, Yra išimčių (beje, neišsprendžiamų jokiais sutikimais, dėl sveikatos, teistumo ir stebėjimo/sekimo duomenų).
Sutikimas - išimtinis pagrindas duomenų tvarkymui, naudojamas labai retais atvejais. Pats savaime jis nieko neįteisina ir nuo nieko neapdraudžia.

Tai kaip supratau, realiai tų sutikimų ir nereikia.

Sutikimų reikia:
- Marketingui (reklama, naujienlaiškiai ir pan.), nors žadama keisti eprivacy direktyvą ir leisti bent dalinai be (opt out vietoje opt in);
- Duomenų pardavimui į šoną (google ir co) kai tai yra "papildomas uždarbis", o ne vartotojui teikiamų paslaugų apmokėjimo būdas (pvz., snukiaknygė vartotojui yra tarsi nemokama, bet realiai pardavinėja vartotojų duomenis, iš to uždirba ir tai yra jų pagrindinė veikla, kitaip tariant vartotojas atsiskaito už paslaugas savo asmens duomenimis);
- Egzotika, persidengianti su bendromis žmogaus teisėmis ir teise į atvaizdą (nuotraukos internete, statistai kine ir pan.).

Kitais atvejais, jei ne ypatingi duomenys ir ne teistumas, pakanka duomenų reikalingumo testo.

Ar geras toks punktas DARBUOTOJŲ ASMENS DUOMENŲ SAUGOJIMO POLITIKOJE?
UAB ........ tvarkomi tokie darbuotojų asmens duomenys: asmens vardas ir pavardė, gimimo data, asmens kodas, gyvenamoji vieta, šeimyninė padėtis, asmens tapatybę patvirtinančio dokumento numeris, socialinio draudimo pažymėjimo numeris, asmeninės banko sąskaitos numeris, informacija apie teistumą, neįgalumą, darbuotojo artimuosius (sutuoktinis, vaikai ir/ar kiti išlaikomi asmenys) ir pan.

Negeras, nes nenurodomi iš vis jokie pagal reglamentą reikalingi duomenys/nuostatos.
Vienu punktu neišsiversite.
Informacija apie teistumą negali būti tvarkoma nuolat, tik kai prireikia konkrečiu atveju, specialiai numatytu įstatymo (pvz., viešojo pirkimo metu). Negalima disponuoti teistumo, jei nėra konkretaus įstatymo leidžiančio tą daryti konkrečioje situacijoje. Kai nebelieka specialaus įstatyminio pagrindo turi būti grąžinama darbuotojui ir/ar sunaikinama.
Socialinio draudimo numeris jums absoliučiai niekam nereikalingas (nebent užsienietis darbuotojas), t.y. pažeidžia duomenų minimizavimo principą.
Šeiminė padėtis ir pan. išskirtina į atskirą kategoriją duomenų, kuriuos darbuotojas pats sprendžia - teikti ar ne.
Darbo užmokesčio, laiko, susirašinėjimo ir t.t. duomenų netvarkote?

Čia Pačiolio siūlomas politikos variantas, bet man kyla daug klausimų.
Jeigu darbuotojas nepateikia socialinio draudimo numerio įsidarbinant, vis tiek ji sužinai Sodros sistemoje. Jis įrašomas Sodrai teikiamose ataskaitose.

1. Tikėtina, pačiolis ruošė ją naujo DK, o ne GDPR kontekste. DK buvo rengiamas neatsižvelgiant į GDPR ir nėra suderintas, nors jame ir figuruoja terminai "asmens duomenys" ir "duomenų apsaugos politika".
2. SODRA nėra implementavusi GDPR ir toli gražu ne tik šiuo aspektu, bet tai ne įmonių bėda. Kažkur per metus situacija turėtų keistis, šiuo metu SODROS žmogeliukai dar tik intensyviai lanko kursus ir laužo galvą, nuo ko pradėti. (P.S. įmonėms irgi nepatarčiau panikuoti ir verstis per galvą)

o ką patarumėte sveikatos priežiūros įstaigai (geriausiai, kad pas mus niekas nieko nesiima šiuo klausimu daryti), o turbūt papuolame į itin jautrią zoną - vaikai, pacientai ir t.t.

Galim pasiūlyti savo paslaugas, turim nemažai klientu aspį
Iš tikro ten viskas santykinai paprasta, tik mediku instinktyviai bijoma.

Kaip pasielgti tokiu atveju. Darbuotojai išvažiuoja į ilgas keliones.Visad paršydavom artimųjų telefono nr. jei kas nutiktų. Kaip dabar pasilegti, nebegalima prašyti ?Reikia to darbuotojaus artimųjų sutikimo ar kaip?

Nereikia
Taip ir įsivaizduoju tokį sutikimą:
Duomenų tvarkymo tikslas - kad žinotumėm kam tavo lavonėlį priduoti
Paduodi tokį sutikimą pasirašyti ir taip išraiškingai į akis pasižiūri

Tai darbuotojas gali nurodyti artimojo telefono numerį ar ne anketoje? Sutikimo tai nereikia, rašėt . .Ir kaip tas sakinys turėtų skambėti ir dėl kokių priežasčių mes to telefono numerio prašome?

Jums jo objektyviai reikia, reiškia gali. Nereikia kvailysčių prisigalvoti.