Valstybinė duomenų apsaugos inspekcija (toliau - VDAI) atnaujino savo skelbiamą informaciją dėl asmens duomenų perdavimo į Jungtinę Didžiosios Britanijos ir Šiaurės Airijos Karalystę (toliau - JK) šiai pasitraukus iš Europos Sąjungos.Lietuvos organizacijos ir kiti asmenys, siekdami ir toliau perduoti asmens duomenis į JK, turės būti pasiruošę asmens duomenų perdavimo mechanizmus, užtikrinančius asmens duomenų perdavimo į JK teisėtumą, kai nustos galioti pereinamojo laikotarpio (iki 2020 m. gruodžio 31 d.) nuostatos, įtvirtintos Susitarime dėl Jungtinės Didžiosios Britanijos ir Šiaurės Airijos Karalystės išstojimo iš Europos Sąjungos ir Europos atominės energijos bendrijos. Duomenų apsaugos pareigūnas Allaw® paaiškina, kaip turės būti vykdomas asmens duomenų perdavimas nuo naujųjų metų ir ko turėtų imtis kiekviena įmonė, siekianti perduoti duomenis į JK.
Asmens duomenų perdavimas į JK iki 2020 m. gruodžio 31 d.
2020 m. vasario 1 d. JK išstojus iš Europos Sąjungos įsigaliojo Susitarimas dėl JK išstojimo iš Europos Sąjungos ir Europos atominės energijos bendrijos (Susitarimas dėl išstojimo). Vadovaujantis minėtu susitarimu iki 2020 m. gruodžio 31 d. JK ir toliau taikoma Europos Sąjungos teisė, atitinkamai ir Bendrasis duomenų apsaugos relgamentas (toliau - BDAR) bei įsipareigojimai pagal tarptautinius susitarimus. Todėl JK "trečiąja valstybe" nelaikoma ir BDAR 44-49 str. duomenų perdavimui į JK netaikoma, duomenys perduodami pagal duomenų valdytojo ir tvarkytojo susitarimus, atitinkančius BDAR 28 str. bei remiantis BDAR principais ir kitomis nuostatomis.
Asmens duomenų perdavimas į JK nuo 2021 m. sausio 1 d.
Remiantis VDAI skelbiama informacija, nuo 2021 m. sausio 1 d., pasibaigus Susitarimo dėl išstojimo nurodytam pereinamajam laikotarpiu, JK taps „trečiąja valstybe“ ir duomenų perdavimas į JK bus vertinamas kaip perdavimas į „trečiąją valstybę“. Asmens duomenys ir toliau galės būti perduodami į JK, bet turės būti laikomąsi specialiųjų ES taisyklių ir apsaugos priemonių, susijusių su asmens duomenų perdavimu „trečiosioms valstybėms“, kaip tai nustatyta BDAR V skyriuje ar Lietuvos Respublikos asmens duomenų, tvarkomų nusikalstamų veikų prevencijos, tyrimo, atskleidimo ar baudžiamojo persekiojimo už jas, bausmių vykdymo arba nacionalinio saugumo ar gynybos tikslais, teisinės apsaugos įstatymo VII skyriuje.
Pavyzdžiui, jei šiuo metu Lietuvos įmonės darbuotojų darbo užmokestį apskaičiuoja (išmoka) JK įsteigtas duomenų tvarkytojas, tokia įmonė privalės užtikrinti tinkamą į JK perduodamų asmens duomenų teisinę apsaugą. Ta pati taisyklė galioja ir tuo atveju, jei Lietuvos įmonė ar valstybinė institucija naudojasi debesų infrastruktūra, kurią teikia JK įsteigtas teikėjas. Europos Komisijos interneto svetainėje yra išskirti teisiniai būdai, kurie gali būti naudojami, vykdant duomenų perdavimą iš ES valstybės narės į „trečiąją valstybę“. Europos Komisija kai kurių valstybių (tokių kaip Izraelis, Argentina ir kt.) duomenų apsaugos sistemą yra pripažinusi kaip tinkamą. Toks sprendimas dėl tinkamumo reiškia, kad asmens duomenų iš EEE į tokią „trečiąją valstybę“ judėjimas gali vykti be papildomų apsaugos priemonių sprendime nurodyta apimtimi. Valstybinės duomenų apsaugos inspekcijos duomenimis šiuo metu Europos Sąjunga atlieka JK vertinimą dėl sprendimo dėl tinkamumo priėmimo, ir, jei JK atitiks taikytinas sąlygas bei reikalavimus, sprendimas bus priimtas.
Asmens duomenų perdavimo į JK pokyčiai
Rekomenduojami veiksmai organizacijoms, siekiančioms ir toliau perduoti asmens duomenis į JK
Kiekviena organizacija, perduodanti duomenis į JK, siekdama perduoti asmens duomenis ir po 2020 m. gruodžio 31 d. turi:
nustatyti, kokie asmens duomenys yra perduodami į JK;
nustatyti kokiems duomenų tvarkytojams į JK perduodami duomenys;
dar iki 2021 m. sausio 1 d. įvertinti BDAR įtvirtintus skirtingus duomenų perdavimo į trečiąsias valstybes būdus ir nuspręsti, kuris iš jų labiausiai atitinka konkrečią situaciją, bei imtis pasirinkto būdo įgyvendinimo, pavyzdžiui, duomenis perduoti: pagal priimtą Europos Komisijos sprendimą dėl tinkamumo (jei toks sprendimas JK atžvilgiu būtų priimtas), taikant tinkamas apsaugos priemones (BDAR 46 str.), taikant VDAI patvirtintas įmonei privalomas taisykles (BDAR 47 str.), taikant nukrypti leidžiančias nuostatas (BDAR 49 str.).
Asmens duomenų perdavimas į Jungtinę Karalystę: kaip vykdyti nuo 2021 m.?
Valstybinė duomenų apsaugos inspekcija (toliau - VDAI) atnaujino savo skelbiamą informaciją dėl asmens duomenų perdavimo į Jungtinę Didžiosios Britanijos ir Šiaurės Airijos Karalystę (toliau - JK) šiai pasitraukus iš Europos Sąjungos. Lietuvos organizacijos ir kiti asmenys, siekdami ir toliau perduoti asmens duomenis į JK, turės būti pasiruošę asmens duomenų perdavimo mechanizmus, užtikrinančius asmens duomenų perdavimo į JK teisėtumą, kai nustos galioti pereinamojo laikotarpio (iki 2020 m. gruodžio 31 d.) nuostatos, įtvirtintos Susitarime dėl Jungtinės Didžiosios Britanijos ir Šiaurės Airijos Karalystės išstojimo iš Europos Sąjungos ir Europos atominės energijos bendrijos. Duomenų apsaugos pareigūnas Allaw® paaiškina, kaip turės būti vykdomas asmens duomenų perdavimas nuo naujųjų metų ir ko turėtų imtis kiekviena įmonė, siekianti perduoti duomenis į JK.
Asmens duomenų perdavimas į JK iki 2020 m. gruodžio 31 d.
2020 m. vasario 1 d. JK išstojus iš Europos Sąjungos įsigaliojo Susitarimas dėl JK išstojimo iš Europos Sąjungos ir Europos atominės energijos bendrijos (Susitarimas dėl išstojimo). Vadovaujantis minėtu susitarimu iki 2020 m. gruodžio 31 d. JK ir toliau taikoma Europos Sąjungos teisė, atitinkamai ir Bendrasis duomenų apsaugos relgamentas (toliau - BDAR) bei įsipareigojimai pagal tarptautinius susitarimus. Todėl JK "trečiąja valstybe" nelaikoma ir BDAR 44-49 str. duomenų perdavimui į JK netaikoma, duomenys perduodami pagal duomenų valdytojo ir tvarkytojo susitarimus, atitinkančius BDAR 28 str. bei remiantis BDAR principais ir kitomis nuostatomis.
Asmens duomenų perdavimas į JK nuo 2021 m. sausio 1 d.
Remiantis VDAI skelbiama informacija, nuo 2021 m. sausio 1 d., pasibaigus Susitarimo dėl išstojimo nurodytam pereinamajam laikotarpiu, JK taps „trečiąja valstybe“ ir duomenų perdavimas į JK bus vertinamas kaip
perdavimas į „trečiąją valstybę“. Asmens duomenys ir toliau galės būti perduodami į JK, bet turės būti laikomąsi specialiųjų ES taisyklių ir apsaugos priemonių, susijusių su asmens duomenų perdavimu „trečiosioms valstybėms“, kaip tai nustatyta BDAR V skyriuje ar Lietuvos Respublikos asmens duomenų, tvarkomų nusikalstamų veikų prevencijos, tyrimo, atskleidimo ar baudžiamojo persekiojimo už jas, bausmių vykdymo arba nacionalinio saugumo ar gynybos tikslais, teisinės apsaugos įstatymo VII skyriuje.
Pavyzdžiui, jei šiuo metu Lietuvos įmonės darbuotojų darbo užmokestį apskaičiuoja (išmoka) JK įsteigtas duomenų tvarkytojas, tokia įmonė privalės užtikrinti tinkamą į JK perduodamų asmens duomenų teisinę apsaugą. Ta pati taisyklė galioja ir tuo atveju, jei Lietuvos įmonė ar valstybinė institucija naudojasi debesų infrastruktūra, kurią teikia JK įsteigtas teikėjas. Europos Komisijos interneto svetainėje yra išskirti teisiniai būdai, kurie gali būti naudojami, vykdant duomenų perdavimą iš ES valstybės narės į „trečiąją valstybę“. Europos Komisija kai kurių valstybių (tokių kaip Izraelis, Argentina ir kt.) duomenų apsaugos sistemą yra pripažinusi kaip tinkamą. Toks sprendimas dėl tinkamumo reiškia, kad asmens duomenų iš EEE į tokią „trečiąją valstybę“ judėjimas gali vykti be papildomų apsaugos priemonių sprendime nurodyta apimtimi. Valstybinės duomenų apsaugos inspekcijos duomenimis šiuo metu Europos Sąjunga atlieka JK vertinimą dėl sprendimo dėl tinkamumo priėmimo, ir, jei JK atitiks taikytinas sąlygas bei reikalavimus, sprendimas bus priimtas.
Asmens duomenų perdavimo į JK pokyčiai
Rekomenduojami veiksmai organizacijoms, siekiančioms ir toliau perduoti asmens duomenis į JK
Kiekviena organizacija, perduodanti duomenis į JK, siekdama perduoti asmens duomenis ir po 2020 m. gruodžio 31 d. turi:
Apie įmonei privalomų taisyklių patvirtinimo procedūrą galite skaityti mūsų ankstesnėje publikcijoje čia: VDAI priėmė Įmonei privalomų taisyklių patvirtinimo tvarkos aprašą
Nuorodos
https://vdai.lrv.lt/lt/naujienos/atnaujinta-brexit-informacija-del-asmens-duomenu-tvarkymo