Sutikimas - tai jūsų leidimas, kurį daugeliu atvejų privaloma gauti norint tvarkyti jūsų asmens duomenis. Davę sutikimą laisva valia, galite jį taip pat laisvai atšaukti. Yra keletas išimčių, kai jūsų sutikimas nereikalingas. Visas šias išimtis reglamentuoja įstatymai.
Teisėtumo principas ir sutikimo vieta teisiniuose pagrinduose
Straipsnyje apie asmens duomenų apsaugos tvarkymo principus buvo kalbama apie teisėtumo principą, kuris aiškinamas taip, kad asmens duomenys turi būti tvarkomi teisėtais pagrindais. Tam, kad asmens duomenų tvarkymas būtų teisėtas, jis turi būti atliekamas vienu iš nustatytų teisinių pagrindų. Duomenų valdytojas turi aiškiai nustatyti, kokiu teisiniu pagrindu jis tvarko asmens duomenis ir nesant konkrečių teisinių pagrindų, privalo gauti duomenų subjekto sutikimą bei įrodyti tokio sutikimo davimą.
Kas yra sutikimas ir kokie jam keliami reikalavimai
Vienas iš asmens duomenų teisėto tvarkymo pagrindų, kuriuo duomenų valdytojai dažnai remiasi, tvarkant asmens duomenis, yra duomenų subjekto sutikimas. Asmens sutikimas turi atitikti tam tikrus reikalavimus bei kriterijus, numatytus BDAR.
Laisva valia duotas sutikimas
Pirma, sutikimas turėtų būti duotas laisva valia, t.y. duomenų subjektas turėtų turėti galimybę pasirinkti duoti sutikimą ar jo neduoti. Duomenų apsaugos darbo grupės 2011 m. Nuomonėje dėl sutikimo sąvokos teigiama, kad „sutikimas galioja tik tuomet, jeigu duomenų subjektas gali iš tikrųjų pasirinkti, ir nesutikimo atveju nekyla apgaulės, bauginimo, prievartos ar reikšmingų neigiamų padarinių grėsmės. Jeigu sutikimo padariniai kenkia asmenų pasirinkimo laisvei, sutikimas nelaikomas savanorišku.“
Valstybinė duomenų apsaugos inspekcija (VDAI) iliustruodama ne laisva valia duotą sutikimą pateikė pavyzdį: darbdavys prašo darbuotojo patikimumo įvertinimo tikslui pateikti darbuotojo privačių interesų deklaraciją, kurioje būtų pateikta informacija apie jo ryšius su konkuruojančiomis bendrovėmis ir teistais asmenimis, šeimos narius, draugus, laisvalaikio pomėgius. Šiuo atveju darbuotojo sutikimas negali būti laikomas savanorišku, kadangi, nesutikus pateikti prašomos informacijos, jam gali kilti neigiamos pasekmės.
Taip pat skaitykite: Sužinokite apie Sodros numerį
Didžiosios Britanijos Informacijos komisaro biuras (ICO) pažymi, kad laisva valia duotas sutikimas nereiškia, jog negalima paskatinti asmens duoti sutikimą. Pavyzdžiui, sutikimas dalyvauti lojalumo programoje gali suteikti asmeniui nuolaidų. Tačiau reikalinga pusiausvyra ir negalima sąžiningai pabloginti nedavusių sutikimo asmenų padėties.
Nesavanoriško sutikimo pavyzdžiai
- neleidžiama duoti atskiro sutikimo atskiroms asmens duomenų tvarkymo operacijoms, nors tai ir tikslinga atskirais atvejais;
- jeigu sutarties vykdymas, įskaitant paslaugos teikimą, priklauso nuo sutikimo, nepaisant to, kad toks sutikimas nėra būtinas tokiam vykdymui;
- duomenų subjektas faktiškai neturi laisvo pasirinkimo ar negali atsisakyti sutikti arba sutikimo atšaukti, nepatirdamas žalos.
Aiškus ir konkretus pritarimas
Antra, duomenų subjektas turi aiškiai patvirtinti, kad sutinka su jo duomenų tvarkymu, t.y. jis turi akivaizdžiai išreikšti savo valią dėl jo asmens duomenų tvarkymo. Tyla, iš anksto pažymėti langeliai arba neveikimas neturėtų būti laikomi sutikimu.
Sutikimas gali būti raštiškas, įskaitant elektroninėmis priemonėmis, arba žodinis. BDAR nurodyta, kad sutikimas galėtų būti duodamas pažymint langelį interneto svetainėje arba kitu pareiškimu arba poelgiu, iš kurio aiškiai matyti tame kontekste, kad duomenų subjektas sutinka su siūlomu jo asmens duomenų tvarkymu.
Žemiau pateikiama daugiau sutikimo formų variantų: pasirašant pareiškimą dėl sutikimo; pažymint langelį (varnele) dėl sutikimo popierinėje ar elektroninėje formoje; paspaudžiant sutikimo nuorodą ar mygtuką internete; atsakius „taip“ į žodinį prašymą dėl sutikimo; elektroniniu laišku atsakius į elektroninį laišką su prašymu; savanoriškai pateikiant papildomą neprivalomą pateikti informaciją konkrečiam tikslui ir kt.
Informuotumas
Trečia, duomenų subjektas turi būti tinkamai ir visapusiškai informuotas bei turi suvokti, kad jis duoda sutikimą ir dėl ko jis jį duoda. Duomenų subjektas turi suvokti, dėl kokių asmens duomenų tvarkymo jo prašoma duoti sutikimą ir norėti tą sutikimą duoti. Sutikimas turėtų apimti visą duomenų tvarkymo veiklą, vykdomą tuo pačiu tikslu ar tais pačiais tikslais. Kai duomenys tvarkomi ne vienu tikslu, sutikimas turėtų būti duotas dėl visų duomenų tvarkymo tikslų.
Taip pat skaitykite: Pagalba netekusiems globos
Sutikimo tekstas turi būti suprantamas, konkretus, nedviprasmiškas ir glaustas. Duomenų valdytojo iš anksto suformuluotas sutikimo pareiškimas turėtų būti pateiktas suprantama ir lengvai prieinama forma, aiškia ir paprasta kalba, jame neturėtų būti nesąžiningų sąlygų. Jeigu duomenų subjekto sutikimo prašoma elektroniniu būdu, prašymas turi būti aiškus, glaustas ir bereikalingai nenutraukiantis naudojimosi paslauga, dėl kurios prašoma sutikimo. Kartu turi būti pateikta informacija apie teisę atsiimti savo sutikimą, o jį atšaukti turėtų būti taip pat lengva, kaip ir duoti.
Įrodymas apie sutikimo suteikimą
Ketvirta, duomenų valdytojas turėtų galėti įrodyti, kad duomenų subjektas sutiko su duomenų tvarkymo operacija, t.y. duomenų valdytojo sistemoje turi išlikti ir išsisaugoti duomenų subjekto duotas sutikimas kokia nors objektyvia forma.
Sutikimas ir vaikų duomenys
BDAR numato papildomus reikalavimus sutikimui tvarkyti vaiko asmens duomenis. Tai yra grindžiama tuo, kad vaikams reikia ypatingos jų asmens duomenų apsaugos, nes jie gali nepakankamai suvokti su asmens duomenų tvarkymu susijusius pavojus, pasekmes ar apsaugos priemones ir savo teises. Jei vaikas yra jaunesnis, toks tvarkymas yra teisėtas, jei tą sutikimą davė arba tvarkyti vaiko duomenis leido vaiko tėvų pareigų turėtojas. Tėvų pareigų turėtojo sutikimo neturėtų būti reikalaujama tiesiogiai vaikui teikiant prevencijos ar konsultavimo paslaugas.
Sutikimo galiojimo terminas ir peržiūra
BDAR nenumatytas konkretus sutikimo galiojimo laikas ir tai yra suprantama. Negalima pritaikyti vienodo sutikimo galiojimo termino absoliučiai visiems duomenų subjekto sutikimams skirtingose verslo srityse. Yra akivaizdu, kad su laiku pasikeitus aplinkybėms, atsiradus papildomoms sąlygoms arba reikalavimams, gali atsirasti ir būtinybė keisti, modifikuoti sutikimą, jis gali neapimti visų būtinų duomenų, todėl gali atsirasti būtinybė praplėsti duomenų subjekto duomenų sferą. Todėl duomenų valdytojai turi prižiūrėti ir kontroliuoti duoto sutikimo tinkamumą ir aktualumą bei užtikrinti, kad sutikimas būtų savalaikiai atnaujinamas.
Gairėse visgi pateiktas rekomendacinis sutikimo galiojimo terminas - dveji metai, tačiau atsižvelgiant į aktualijas ir konkrečias aplinkybes, šis terminas gali būti trumpesnis arba ilgesnis. Duomenų valdytojas turėtų atlikti savalaikę duotų sutikimų peržiūrą, vertinti jų tinkamumą ir aktualumą, o esant poreikiui dėl pasikeitusių aplinkybių - iš naujo kreiptis į duomenų subjektą dėl sutikimo davimo.
Taip pat skaitykite: Tarpusavio priklausomybės įtaka santykiams
Sutikimo santykis su kitais teisėtais duomenų tvarkymo pagrindais
Jeigu asmens duomenys gali būti tvarkomi kokiu nors kitu teisiniu pagrindu, sutikimo prašyti nereikia, kadangi tokiu atveju duomenų subjektas būtų klaidinamas dėl to, kad jis gali atsisakyti savo duomenų tvarkymo, atsiimdamas sutikimą. Taigi, jeigu duomenis iš pradžių būtų buvę galima tvarkyti naudojantis kitu pagrindu, asmens prašymas sutikti, kad duomenys būtų tvarkomi, gali būti laikomas klaidinančiu ir nesąžiningu.
Jeigu duomenų subjektui atsiėmus sutikimą, jo duomenys ir toliau tvarkomi remiantis kitu teisiniu pagrindu, gali kilti abejonių dėl sutikimo, kaip pirminio teisinio pagrindo, tinkamumo. Sutikimas reikalingas tada, kai negali būti taikomas joks kitas teisėto duomenų tvarkymo pagrindas dėl planuojamo duomenų tvarkymo specifikos ar teisės aktuose numatytų reikalavimų.
Tipiniai teisėti duomenų tvarkymo pagrindai, kai sutikimas nereikalingas
- Asmens duomenys yra būtini sutarties vykdymui. Tai pakankamai dažnai pasitaikantis asmens duomenų tvarkymo pagrindas, kadangi sudarant sutartis duomenų subjektas (klientas) neišvengiamai teikia duomenų valdytojui tam tikrus savo asmens duomenis. Atskiras duomenų subjekto sutikimas dėl šių duomenų tvarkymo nėra reikalaujamas.
- Duomenų valdytojui taikomos teisinės prievolės vykdymas. Tai yra teisės aktuose numatyta asmens duomenų valdytojo pareiga, susijusi su asmens duomenų operacijų atlikimu. Pavyzdžiui, Lietuvos Respublikos darbo kodeksas numato, kad darbdavys privalo pranešti Sodrai apie asmens darbo pradžią.
- Gyvybinių duomenų subjekto ar kito fizinio asmens interesų apsauga.
- Užduoties viešojo intereso labui įvykdymas.
- Siekiant teisėtų duomenų valdytojo arba trečiosios šalies interesų.
Kaip „Sodra“ tvarko asmens duomenis ir autentifikavimo praktika
Tvarkydama gyventojų duomenis ir teikdama asmeninę informaciją klientams, „Sodra“ taiko saugias tapatybės nustatymo būdas. Konfidenciali informacija telefonu ar kitais nuotoliniais kanalais teikiama tik įsitikinus, kad konsultuojamas būtent tas asmuo, kuriam ši informacija priklauso. „Sodros“ konsultacijos išmokų, įmokų, pensijų ir kitais socialinio draudimo klausimais teikiamos telefonu (+370) 5 250 0883. Pagrindinis kliento autentifikavimo būdas skambučio metu yra unikalus kliento identifikavimo kodas (KID).
KID kodą galima gauti prisijungus prie asmeninės „Sodros“ paskyros arba apsilankius bet kuriame „Sodros“ skyriuje su asmens tapatybę patvirtinančiu dokumentu. Kitas autentifikavimo būdas - užregistruotas telefono numeris, kurio pagrindu konsultacija gali būti teikiama, jei klientas anksčiau patvirtino sutikimą būti autentifikuojamas pagal nurodytą telefoną. Dar vienas alternatyvus būdas - klientui skirtas klausimynas. Šiuo atveju asmens kodas naudojamas tik pradinei klientų informacijos paieškai, tačiau konsultacija suteikiama tik po teisingų atsakymų į kelis su asmenine informacija susijusius klausimus.
„Sodra“ nesiunčia laiškų ar žinučių, kuriuose prašoma paspausti aktyvią nuorodą, suvesti banko ar elektroninio parašo duomenis ar pateikti kortelės informaciją. Oficialus „Sodros“ svetainės adresas baigiasi galūne .lt. Bet kuris autentiškas pranešimas, atsiųstas „Sodros“ vardu, visada bus matomas ir asmeninėje paskyroje. „Sodra“ ragina gyventojus saugoti savo asmens duomenis ir kritiškai vertinti visas gaunamas žinutes, skambučius bei elektroninius laiškus, siekiant apsisaugoti nuo sukčiavimo.
Ką daryti, jei jūsų duomenys naudojami be sutikimo
Jeigu jūsų asmens duomenys naudojami be jūsų sutikimo, turėtumėte patikrinti, ar šis atvejis yra priskirtas išimtiniems, kurie nurodyti Bendrajame duomenų apsaugos reglamente. Taip pat turite teisę prašyti, kad duomenų valdytojas leistų susipažinti su jūsų asmens duomenimis ir juos ištaisytų arba ištrintų, arba apribotų duomenų tvarkymą, arba pateikti skundą priežiūros institucijai.
Praktiniai patarimai gyventojams ir darbdaviams
- Visada prašykite aiškios informacijos, kam ir kokiu tikslu bus perduodami jūsų duomenys.
- Patikrinkite, ar sutikimas tikrai yra savanoriškas - ar nėra grėsmės neigiamomis pasekmėmis.
- Jei sutikimą davėte elektroniniu būdu, išsaugokite įrodymą apie jo suteikimą.
- Atminkite, kad tyla, iš anksto pažymėti langeliai arba neveikimas NĖRA sutikimas tvarkyti asmens duomenis.
- Jeigu darbdavys prašo duomenų, kurie nėra reikalingi jo funkcijoms vykdyti, reikalaukite paaiškinimo arba nesutikite suteikti perteklinių duomenų.
Lentelė: Dažniausiai taikomi duomenų tvarkymo teisės pagrindai
| Teisinis pagrindas | Trumpas paaiškinimas | Ar reikalingas sutikimas? |
|---|---|---|
| Sutarties vykdymas | Duomenys būtini sutarties sudarymui ar vykdymui | Ne |
| Teisinė prievolė | Duomenų valdytojas privalo tvarkyti pagal įstatymus (pvz., pranešimas Sodrai) | Ne |
| Sutikimas | Asmens laisva valia duotas leidimas tvarkyti duomenis | Taip (jei nėra kito pagrindo) |
| Gyvybiniai interesai / viešasis interesas / teisėti interesai | Skirtingoms situacijoms taikomi pagrindai (teisėti interesai - pvz., regresas po draudimo išmokos) | Ne (dažnai) |
Atminkite: sutikimas turi būti informuotas, laisvas, konkretus ir įrodytas. Jeigu kyla abejonių dėl to, ar jūsų duomenys perduodami teisėtai, kreipkitės į duomenų apsaugos instituciją arba pasitikrinkite informaciją per savo „Sodros“ paskyrą.