Kaip atlikti poveikio duomenų apsaugai vertinimą žingsnis po žingsnio?

Transporto ar paslaugų įmonė su 25 automobiliais nori įdiegti GPS sekimą. Tikslai – maršrutų planavimas, kuro sąnaudų kontrolė ir automobilių apsauga nuo vagystės. Automobiliais važiuoja darbuotojai.

Ar PDAV reikia? Taip. VDAI sąrašo, patvirtinto 2019-03-14 įsakymu Nr. 1T-35 (1.12.E), 10 punktas įtraukia duomenų, susijusių su darbuotojų vietos ar judėjimo stebėsena, tvarkymą. Kada PDAV reikia apskritai, paaiškinta atskirame atsakyme.

Svarbiausia taisyklė: PDAV atliekamas prieš pradedant tvarkyti duomenis (BDAR 35 str. 1 d.). GPS dar nejungiamas.

BDAR 35 str. 7 d. a p. Užrašykite taip, kad suprastų žmogus, kuris sistemos nematė:

BDAR 35 str. 7 d. b p. Šiame žingsnyje vertinimas gali pasikeisti. Paklauskite kiekvienam tikslui: ar galima pasiekti švelniau?

• Maršrutų planavimas – pakanka buvimo vietos darbo metu. Stebėti ne darbo metu nereikia.
• Kuro kontrolė – pakanka nuvažiuotų kilometrų ir kuro kortelės duomenų; tikslus maršrutas nebūtinas.
• Vagystė – buvimo vietos reikia tik įvykus vagystei, ne kasdien, bet vagystė dažniausiai įvyksta ne darbo metu.

Išvada pavyzdyje: darbo valandomis buvimo vieta rodoma logistikos vadovui; ne darbo metu ji nerodoma niekam, saugoma tik 72 valandas ir atveriama tik užregistravus vagystę – tai daro įmonės vadovas, o atvėrimas įrašomas į žurnalą; jei vagystės nėra, ne darbo metu surinkti duomenys ištrinami automatiškai; greičio duomenys nerenkami, nes jų nereikia nė vienam tikslui. Taip taikomas BDAR 5 str. 1 d. c p. – duomenų kiekio mažinimo – principas; ar to pakanka, vertinate savo atveju.

BDAR 35 str. 7 d. c p. Rizika vertinama žmogui, ne įmonei. Kiekvienai rizikai – tikimybė ir pasekmių dydis.

BDAR 35 str. 7 d. d p. Kiekviena priemonė susiejama su rizika iš lentelės:

BDAR 35 str. 9 d. reikalauja atitinkamais atvejais išsiaiškinti pačių žmonių ar jų atstovų nuomonę. Pavyzdyje tai paprasta: trumpas susitikimas su vairuotojais prieš diegiant sistemą ir jų pastabų įrašas.

Darbo taryba. Pavyzdinė įmonė turi 25 darbuotojus. Darbdavys, turintis vidutiniškai 20 ir daugiau darbuotojų, prieš tvirtindamas darbuotojų stebėsenos darbo vietoje tvarką privalo informuoti darbo tarybą ir su ja konsultuotis, o informuoti reikia prieš 10 darbo dienų (DK 206 str. 1 d. 5 p. ir 2 d.). Jei nėra nei darbo tarybos, nei jos funkcijas įgyvendinančio darbuotojų patikėtinio, informacija pateikiama darbdavio lygmeniu veikiančiai profesinei sąjungai, jei tokia yra (206 str. 4 d.).

Pakartokite rizikų lentelę su priemonėmis. Pavyzdyje 1 rizika tampa maža, nes ne darbo metu vietos niekas nemato be užregistruotos vagystės. 2, 3 ir 5 (po automatinio ištrynimo) – mažos, 4 lieka maža. Likusi rizika – maža.

Jei po priemonių rizika lieka didelė, BDAR 36 str. 1 d. reikalauja prieš pradedant tvarkymą konsultuotis su VDAI. Jei inspekcija mano, kad toks tvarkymas pažeistų BDAR, ji raštu pateikia rekomendacijas ne vėliau kaip per 8 savaites; sudėtingais atvejais terminas gali būti pratęstas dar 6 savaitėmis (36 str. 2 d.).

Vertinimo pabaigoje – vienas puslapis:

• Išvada: tvarkymas gali būti pradėtas su 4 žingsnio priemonėmis.
• Kas patvirtino ir kada.
• Kas atsakingas už kiekvieną priemonę.
• Peržiūros data. BDAR 35 str. 11 d.: prireikus vertinimas peržiūrimas, bent jau pasikeitus rizikai. Pavyzdyje: kai keičiasi tiekėjas ar sistemos funkcijos. Jei GPS norėtumėte naudoti darbuotojų vertinimui, tai jau naujas tikslas – reikia naujo vertinimo ir naujo pranešimo darbuotojams.

Tada įteikite informavimo pranešimą darbuotojams pasirašytinai ar kitu įrodančiu būdu, ir tik po to junkite GPS.

Tas pats šešių žingsnių karkasas tinka kitiems VDAI sąraše esantiems procesams: vaizdo stebėjimui darbo vietoje, pokalbių telefonu įrašymui, biometrinei prieigos kontrolei. Keičiasi tik lentelių turinys. Daugiausia dėmesio reikia 2 žingsniui, nes jame gali paaiškėti, kad dalies duomenų nereikia.

Užpildykite 1 žingsnio lentelę šiandien – pusę atsakymų žinote. Įrankyje nemokamai pamatysite, kurie jūsų procesai yra rizikingi ir gali reikalauti vertinimo. Poveikio vertinimą galima užsakyti ir kaip vienkartinę procedūrą: 95 € be PVM vienam procesui.

Kiek laiko trunka PDAV?
BDAR termino nenustato. Trukmė priklauso nuo proceso ir nuo to, kaip greitai surenkate informaciją; kiek tai trunka praktikoje, aprašyta dat.lt straipsnyje (nuoroda žemiau).

Ar vienas PDAV gali apimti kelis procesus?
Taip, jei tai panašios operacijos, keliančios panašius didelius pavojus (BDAR 35 str. 1 d.).

Ar PDAV reikia siųsti VDAI?
Ne, jei likusi rizika nėra didelė. Vertinimą laikote pas save ir pateikiate, jei paprašoma. VDAI konsultuojamasi tik kai lieka didelė rizika (BDAR 36 str. 1 d.).

Ar PDAV reikia, jei GPS jau įdiegtas?
Taip. Atlikite jį dabar, ir jei paaiškės, kad dalies duomenų nereikia, sumažinkite juos iškart.

• Kada reikia poveikio duomenų apsaugai vertinimo (DPIA)?
• Kaip atlikti teisėto intereso pusiausvyros testą?
• Darbuotojų informavimo pranešimas: kaip jį parengti

Teisė ir rizika: Poveikio duomenų apsaugai vertinimas: iš ko jis susideda, kiek trunka ir kiek darbo pareikalaus iš jūsų – dat.lt

• Vertinimas prieš pradedant tvarkyti; vienas vertinimas panašioms operacijoms, keliančioms panašius didelius pavojus – BDAR 35 str. 1 d.
• Privalomos keturios dalys – BDAR 35 str. 7 d. a–d p.
• Žmonių nuomonė – BDAR 35 str. 9 d.; peržiūra pasikeitus rizikai – 35 str. 11 d.
• Išankstinė konsultacija su VDAI ir terminai – BDAR 36 str. 1 ir 2 d.
• Duomenų kiekio mažinimas ir saugojimo apribojimas – BDAR 5 str. 1 d. c ir e p.
• Darbuotojų vietos ar judėjimo stebėsena sąraše – VDAI direktoriaus 2019-03-14 įsakymas Nr. 1T-35 (1.12.E), sąrašo 10 punktas.
• Informavimas pasirašytinai apie stebėseną darbo vietoje – ADTAĮ 5 str. 4 d.
• Darbo tarybos informavimas ir konsultavimas dėl stebėsenos tvarkos – DK 206 str. 1 d. 5 p., 2 ir 4 d.

BDAR skaitytas iš oficialaus lietuviško teksto (OL L 119, 2016-05-04). VDAI įsakymas – Teisės aktų registro tekstas, nekeistas nuo priėmimo. Darbo kodeksas – e-tar.lt suvestinė redakcija nuo 2026-06-07. ADTAĮ – Teisės aktų registro suvestinė redakcija nuo 2026-06-30. Tekstas yra bendro pobūdžio informacija ir neatstoja individualios teisinės konsultacijos.