Category Archives: Informacijos apsauga ir IT

Bendrasis duomenų apsaugos reglamentas, pradėtas tiesiogiai taikyti nuo 2018 m. gegužės 25 d., sukėlė tikrą privatumo politikų skelbimo bumą bendrovių tarpe. Baudų grėsmė pažadino anksčiau gana atsainiai į asmens duomenų apsaugą žiūrėjusį verslą, daugeliui teko nemenkai pavargti aiškinantis, kokius asmens duomenis ir kokiai tikslais bei teisiniais pagrindais tvarko.

Kalbant apie teisinį duomenų tvarkymo pagrindą, nelieka abejonės, kad vienas populiariausių tarp verslo subjektų yra asmens sutikimas. Susirinkote galybę sutikimų ir Jums ramu. Juk jeigu asmuo sutiko, kas gali būti negerai? Duomenų tvarkymas remiantis sutikimo pagrindu suteikia saugumo jausmą, o kai kalbame apie iki 20 milijonų eurų galinčias siekti baudas, mums norisi jaustis saugiai. Tačiau tam, kad gautas sutikimas galiotų, jis turi atitikti tam tikrus kriterijus, o vienas kurių – laisva asmens valia. Būtent laisvos valios elemento trūkumu dažnai pasireiškia bendrovių gautų sutikimų ydingumas, kas faktiškai reiškia, kad vykdomas tvarkymas nėra teisėtas. Taigi, kada bus laikoma, kad asmuo savo sutikimą dėl atitinkamo asmens duomenų tvarkymo Jums davė laisva valia?

Vadovaujantis Reglamento nuostatomis, laisva asmens valia pasireiškia realia galimybe nuspręsti – priimti sprendimą, ar jis pageidauja, kad jo asmens duomenys būtų tam tikru tikslu tvarkomi, ar ne, nepatiriant dėl to kažkokio spaudimo, neigiamos įtakos ir panašiai. Spendžiant, ar duodamas sutikimą asmuo turėjo realią sprendžiamąją galią, atsižvelgiama į (i) duomenų valdytojo ir duomenų subjekto padėties balansą, (ii) ar sutikimo davimas nebuvo sąlygotas tam tikrų aplinkybių, (iii) ar buvo galimybė duoti atskirą sutikimą dėl kiekvieno atskiro duomenų tvarkymo tikslo, (iv) ar atsisakymas duoti sutikimą nebuvo susijęs su kažkokių neigiamų pasekmių asmeniui kilimu.

(i) Padėties balansas. Sutikimas yra netinkamas teisinis pagrindas tvarkyti asmens duomenis, kuomet duomenų valdytojas yra galios pozicijoje, t.y., kai jis yra stipresnioji ir dėl to asmenį  įtakojanti šalis (pvz. valstybinė institucija, darbdavys). Duomenų valdytojui esant galios pozicijoje yra didelė tikimybė, kad asmuo savo sutikimą duos jausdamas tam tikrą spaudimą, o ne išreikšdamas savo tikrąją valią. Todėl gana neretai praktikoje pasitaikanti klaida yra remtis asmens sutikimu darbo santykiuose, kadangi darbuotojas visada bus silpnesnioji šalis, o darbdavys – duomenų valdytojas – stipresnioji, sąlygas diktuojanti šalis, nuo kurio valios darbuotojas priklauso ir kuriai paklūsta. Reikia paminėti, kad išimtiniais atvejais darbdavys gali remtis darbuotojo sutikimu tvarkyti jo asmens duomenis, tai visų pirma tokios situacijos, kuomet pats duomenų tvarkymas yra naudingas darbuotojui – pavyzdžiui, norint pritaikyti nuolaidas darbuotojui perkant bendrovės produkciją.

(ii) Sutikimo ne sąlygotumas. Bet koks spaudimas ar daroma įtaka asmeniui siekiant gauti jo sutikimą reikš laisvos valios trūkumą asmeniui tokį sutikimą duodant ir, atitinkamai, nulems, kad sutikimas nebus galiojantis. Tai visų pirma tokios situacijos, kuomet sutarties ar taisyklių/naudojimosi sąlygų tekste yra numatyta, jog pasirašydamas sutartį ar sutikdamas su taisyklėmis/naudojimosi sąlygomis asmuo kartu sutinka ir dėl tam tikro (objektyviai nebūtino norint vykdyti sutartį ar suteikti paslaugą) asmens duomenų tvarkymo. Arba duomenų valdytas nurodo, kad nedavus sutikimo dėl atitinkamo (nebūtino) duomenų tvarkymo paslauga asmeniui nebus suteikta ar sutartis nebus pasirašyta. Tokiais atvejais, norinčiam sudaryti sutartį, gauti paslaugą asmeniui yra užkertamas kelias išreikšti savo tikrąją valią dėl minėto duomenų tvarkymo.

(iii) Sutikimo atskirumas. Tvarkant duomenis gali būti siekiama skirtingų tikslų, tokiais atvejais, norint remtis asmens sutikimu, reikalinga gauti po atskirą sutikimą dėl kiekvieno iš jų. Sutikimas nebus laikomas duotas laisva valia, kuomet, pavyzdžiui, asmenims interneto svetainėje yra pateikiamas vienas langelis, skirtas pažymėti sutikimą dėl asmens duomenų tvarkymo tiesioginės rinkodaros tikslais ir asmens duomenų perdavimo bendrovės partneriams.

(iv) Neigiamų pasekmių grėsmės nebuvimas. Jeigu nedavus sutikimo dėl tam tikro duomenų tvarkymo asmeniui galėtų kilti kažkokių neigiamų pasekmių (finansiniai praradimai, žemesnė paslaugų kokybė, ilgesnis laukimo periodas), tokiomis aplinkybėmis gautas sutikimas nebūtų laikomas duotas laisva valia. Pavyzdžiui, asmens yra prašoma duoti sutikimą dėl duomenų dalinimosi su bendrovės partneriais, jo nedavus, asmeniui paslauga kainuos brangiau, nei tokį sutikimą davusiam.

Taigi, jeigu gaunant duomenų subjekto sutikimą yra tenkinamos aukščiau išvardytos sąlygos – Jūs esate teisingame kelyje. Tačiau reikia nepamiršti, kad be laisvos valios kriterijaus, sutikimas turi atitikti ir kitus Reglamento keliamus reikalavimus, kurie bus išsamiau aprašyti kitame straipsnyje.