Valstybinė duomenų apsaugos inspekcija praneša kaip tvarkyti duomenis dėl COVID-19

Valstybinė duomenų apsaugos inspekcija praneša, kad tam tikrų asmens duomenų tvarkymas, susijęs su esama padėtimi dėl koronaviruso (COVID-19), yra suderinamas su Bendruoju duomenų apsaugos reglamentu (toliau – BDAR).

Kokius asmens duomenis galima tvarkyti?

Siekiant užtikrinti, kad asmens duomenų tvarkymas nepažeistų BDAR įtvirtinto duomenų kiekio mažinimo principo, būtų galima tvarkyti vidinius asmens duomenų rinkinius apie darbuotojus, mokinius ar pan., įtraukiant tokią informaciją:

• Ar asmuo buvo išvykęs į „rizikos valstybę“;
• Ar asmuo kontaktavo su asmeniu, išvykusiu į „rizikos valstybę“, ar sergančiu COVID-19;
• Ar asmuo yra namuose dėl karantino (nenurodant priežasties) ir karantino laikotarpis;
• Ar asmuo serga (nenurodant konkrečios ligos ar kitokios priežasties).

Pranešama, kad darbdavys ar kitas duomenų valdytojas turi teisę teirautis savo darbuotojų ar lankytojų apie tai, ar jiems yra pasireiškusių COVID-19 viruso simptomų, ar yra nustatyta COVID-19 diagnozė. Ši informacija yra svarbi darbdaviui vertinant, ar reikalinga imtis papildomų apsaugos priemonių – įpareigoti kartu dirbusius ar su sergančiu (turinčiu simptomus) asmeniu kontaktavusius darbuotojus laikytis karantino, sudaryti sąlygas nuotoliniam darbui ar sveikatos tikrinimui ir pan. Tačiau pabrėžtina, kad teisė gauti minėtą informaciją nereiškia, kad darbdaviai ar kiti duomenų valdytojai gali gautą informaciją dokumentuoti ar sudaryti atitinkamas duomenų rinkmenas.

Darbdaviai taip pat gali tvarkyti tokius su darbuotoju susijusius asmens duomenis kaip darbo nuotoliniu būdu pasirinkimo faktas ir kiti darbuotojo darbui taikomi apribojimai.

Ar tvarkomus sąrašus (kitus asmens duomenis) galima atskleisti valstybės įstaigoms visuomenės sveikatos užtikrinimo tikslu?

Net ir esant pandeminei situacijai asmens duomenų apsaugos nevertėtų pamiršti. Bet kokie darbdavių ar kitų duomenų valdytojų tvarkomi asmens duomenys valstybės institucijoms visuomenės sveikatos užtikrinimo tikslu turi būti teikiami laikantis BDAR reikalavimų.

Atkreipiame dėmesį, kad prašymai pateikti asmens duomenis turi būti vertinami kiekvienu konkrečiu atveju atskirai, pavyzdžiui, tais atvejais, kai prašoma pateikti statistiką, duomenų valdytojas (duomenų tvarkytojas) neturėtų teikti konkretų duomenų subjektą identifikuojančių duomenų.

Rekomenduojame kiekvieną asmens duomenų teikimo atvejį dokumentuoti, siekiant vėliau užtikrinti atskaitomybės principo įgyvendinimą.

Ar valstybės institucijų siunčiami pranešimai yra tiesioginė rinkodara?

Ne. Informacinių pranešimų ir priminimų apie galimas grėsmes, vengtinas zonas, būtinas apsaugos priemones ar kitus būtinus atlikti veiksmus siuntimas išvykusiems į užsienio valstybes, grįžtantiems ar neseniai grįžusiems ar kitiems asmenims, taip pat svarbių susijusių informacinių pranešimų siuntimas Lietuvos gyventojams ar joje besilankantiems asmenims nėra laikytinas tiesiogine rinkodara.

Kokių veiksmų reikėtų vengti?

Jei yra nustatytos visuotinės priemonės esamai padėčiai valdyti, pavyzdžiui, komandiruočių ir susitikimų ribojimas, renginių atšaukimas, tam tikrų higienos reikalavimų užtikrinimas, duomenų valdytojai neturėtų dėl to pažeisti savo darbuotojų ar kitų duomenų subjektų teisės į asmens duomenų apsaugą, pavyzdžiui, neturėtų reikalauti pateikti asmens duomenis, nebūtinus nustatytos tvarkos vykdymui užtikrinti.

Svarbu pabrėžti, kad duomenų valdytojai turėtų susilaikyti nuo darbuotojų ar lankytojų temperatūros rodmenų, medicininių pažymų ar kt. rinkimo. Tai negali būti laikoma darbdavio pareiga.

Duomenų valdytojas turėtų imtis aktyvių veiksmų, pranešant apie simptomus, galimas rizikas, jų valdymo būdus, taikytinas priemones, galimybes dirbti nuotoliniu būdu, darbuotojų pareigą informuoti apie pasireiškusius COVID-19 ar panašius simptomus ir kt.