Kaip vykdant žmonių registraciją išvengti baudų dėl duomenų apsaugos?

Vilniaus miesto savivaldybė bei mieste veikiančios maitinimo įstaigos sutarė dėl lankytojų registracijos prie įėjimo ar viduje, išsaugant kiekvieno lankytojo mobiliojo telefono numerį 21 dieną, o židinio atsiradimo atveju pateikiant visų tos paros lankytojų mobiliųjų telefonų numerių išklotinę Nacionaliniam visuomenės sveikatos centrui (NSVC).

Renginių organizatoriai tokią pareigą turi jau kurį laiką – be tokių tradicinių renginiams taikomų apribojimų kaip privalomas kaukių dėvėjimas bei tinkamo atstumo išlaikymas yra privaloma ir dalyvių registracija bei registracijos metu surinktų duomenų saugojimas bent 21 dieną.

Vykdyti šiuos NSVC reikalavimus yra privaloma, tik ar juos vykdant ir siekiant apsaugoti žmonių sveikatą nepamirštama kita vertybė – duomenų apsauga?

Reikia turėti vidinę duomenų apsaugos tvarką

Už padarytus duomenų apsaugos pažeidimus baudos gali siekti ir šimtus tūkstančių eurų, tad visiems barams, kavinėms ir renginių organizatoriams, įpareigotiems registruoti savo lankytojus, patariama pasitikrinti, ar vykdomos ar planuojamos vykdyti registracijos atitinka Bendrojo duomenų apsaugos reglamento (BDAR) reikalavimus ir ar tokia veikla yra aprašyta jų duomenų apsaugą reguliuojančiuose dokumentuose.

Tad ką privalo turėti ir daryti kiekviena organizacija, kuri registruoja dalyvius ir lankytojus?

Visų pirma, kiekviena bendrovė privalo turėti vidinius jos vykdomą asmens duomenų tvarkymo veiklą aprašančius dokumentus. Juose turi būti nustatyti tiek darbuotojų, tiek kitų asmenų duomenų tvarkymo procesai ir tvarka.

Rengiant šiuos dokumentus labai svarbu tiksliai nustatyti visus bendrovėje vykdomus procesus, kuriais surenkami ir tvarkomi asmenų duomenys. Šie procesai turi būti detalizuoti, galimi pavojai turi būti tinkamai įvertinti bei nustatyti atitinkami apsaugos mechanizmai.

COVID-19 registracija taip pat turėtų būti aprašyta

Antra, lankytojų ar dalyvių registracija atsirado dėl COVID-19 pasekmių ir anksčiau dažniausiai nebuvo vykdoma, tad net jei bendrovė ir turi vidinius duomenų apsaugos dokumentus, juose šis procesas tikriausiai nebus aprašytas ir tai yra BDAR reikalavimų pažeidimas.

Registruojant renginių dalyvius ar barų lankytojus surenkama daug svarbios ir jautrios asmenis identifikuojančios informacijos – vardai, pavardės, kontaktiniai duomenys, adresai, užfiksuojama jų tiksli buvimo vieta konkrečiu laiku.

Kiekvienas duomenų valdytojas, pradėjęs vykdyti dalyvių bei lankytojų registraciją, turėtų peržiūrėti savo duomenų apsaugos dokumentus ir tinkamai įvertinti, ar juose yra aprašyta tokia veikla. Jei ši procedūra nėra detaliai aprašyta, vertėtų tinkamai atnaujinti ir papildyti šiuos dokumentus.

Tad svarbu nepamiršti, kad siekiant apsaugoti visuomenės sveikatą bei saugiai vykdyti kasdienę veiklą, negalima pamiršti ir kitų vertybių — duomenų apsaugos, kurios pažeidimai gali atnešti milžiniškus nuostolius, nes BDAR reikalavimų galiojimo pandemijos metu niekas neatšaukė.

Savo įmonių vidiniuose duomenų apsaugos dokumentuose aprašant duomenų rinkimą ir saugojimą šiuo metu, galima numatyti ir blogesnius scenarijus, nes tikėtina, kad įvairūs apribojimai ir reikalavimai, daugėjant susirgimų, tik griežtės.

Komentaro autorė — Aurelija Rutkauskaitė, „Triniti Jurex“ partnerė