2018 m. Duomenų apsaugos įstatymas (c 29) - tai 2018 m. Didžiosios Britanijos vyriausybės priimtas įstatymas, kuris pakeičia 1998 m. priimtą įstatymą.

Jame nustatytos taisyklės, taikomos asmenims, kurie naudoja arba saugo duomenis apie gyvus žmones, ir suteikiamos teisės tiems žmonėms, kurių duomenys buvo surinkti. Įstatymas taikomas duomenims, laikomiems kompiuteriuose ar bet kokiose saugojimo sistemose, net popieriniuose dokumentuose.

Įstatymas taikomas asmens duomenims, kurie yra tokie faktai kaip jūsų adresas, telefono numeris, el. pašto adresas, darbo istorija ir pan.

Informaciją naudojantys asmenys vadinami duomenų valdytojais. Žmonės, apie kuriuos duomenys yra saugomi, vadinami duomenų subjektais.

Ką apima šis įstatymas ir kam jis taikomas

2018 m. Duomenų apsaugos įstatymas reguliuoja asmens duomenų rinkimą, saugojimą, tvarkymą ir atskleidimą tiek viešajame, tiek privačiame sektoriuje. Jis taikomas organizacijoms ir asmenims, kurie tvarko asmens duomenis JK teritorijoje, taip pat gali būti taikomas užsienio subjektams, jei jų veikla tiksliai orientuota į JK gyventojus.

Duomenų tipai

  • Įprasti asmens duomenys: vardas, adresas, telefono numeris, el. paštas, darbo istorija ir kt.
  • Specialiosios (sąvokos „sensitive“/special categories) — sveikatos duomenys, rasė, religiniai įsitikinimai, politiniai įsitikinimai ir pan. Jų tvarkymas dažnai reikalauja griežtesnių apsaugos priemonių.
  • Duomenys apie baudžiamąją veiklą ar teisinio pobūdžio duomenys, kuriems taikomi papildomi saugumo reikalavimai.

Duomenų subjektų teisės

Žmonės, kurių duomenys tvarkomi, turi keletą svarbių teisių. Pagrindinės teisės:

  • Teisė susipažinti — gauti informaciją, ar ir kokie jūsų asmens duomenys tvarkomi.
  • Teisė taisyti netikslius arba neišsamius duomenis.
  • Teisė ištrinti (dar vadinama „teisė būti pamirštam“) tam tikromis aplinkybėmis.
  • Teisė riboti tvarkymą — reikalauti, kad duomenys nebūtų naudojami tam tikram laikui.
  • Teisė prieštarauti tam tikram duomenų tvarkymui, įskaitant tiesioginę rinkodarą.
  • Teisė į duomenų perkeliamumą — gauti savo duomenis struktūruotu, dažniausiai naudojamu formatu ir perkelti juos kitam valdytojui.

Valdytojų ir tvarkytojų pareigos

  • Užtikrinti, kad būtų nustatyti teisėti duomenų tvarkymo pagrindai (pvz., sutikimas, sutartis, teisinė pareiga, gyvybiniai interesai, viešasis uždavinys, teisėti interesai).
  • Įgyvendinti tinkamas technines ir organizacines saugos priemones, kad būtų apsaugoti duomenys nuo neteisėto prieigos, praradimo ar sunaikinimo.
  • Vesti tvarkymo veiklos įrašus ir, esant reikalui, atlikti poveikio duomenų apsaugai vertinimus (DPIA).
  • Laiku pranešti apie duomenų saugumo incidentus atitinkamoms priežiūros institucijoms ir, kai būtina, duomenų subjektams (pvz., pranešimas per 72 val. — kaip numatyta bendruosiuose duomenų apsaugos principuose).

Teisiniai pagrindai tvarkymui

Tvarkyti asmens duomenis galima tik turint teisėtą pagrindą. Dažniausi pagrindai:

  • sutikimas;
  • sutarties vykdymas;
  • teisėtvarkos ar teisinės prievolės vykdymas;
  • gyvybiniai interesai;
  • viešasis uždavinys ar viešasis interesas;
  • teisėti interesai (kai nepažeidžia duomenų subjekto teisių).

Tarptautiniai duomenų perdavimai

Perduodant asmens duomenis už JK ribų, būtina užtikrinti, kad gavėjų šalyse būtų pakankamas duomenų apsaugos lygis arba taikyti tinkamas apsaugos priemones (pvz., standartines sutarties sąlygas, papildomas garantijas). Po JK išstojimo iš ES taikomi specialūs mechanizmai tarp JK ir kitų šalių.

Kontrolė ir sankcijos

Duomenų apsaugos priežiūrą JK vykdo nepriklausoma institucija — Information Commissioner's Office (ICO). ICO gali tikrinti organizacijas, reikalauti pakeitimų, skirti baudų ir kitų sankcijų už įstatymo pažeidimus. Baudos gali būti reikšmingos, ypač už rimtus pažeidimus susijusius su asmens duomenų saugumu ar duomenų subjektų teisių pažeidimu.

Kaip duomenų subjektas galite veikti

  • Pateikti prašymą valdytojui dėl prieigos prie jūsų duomenų (angl. subject access request).
  • Reikalauti klaidų taisymo ar duomenų ištrynimo.
  • Jei jūsų teisės pažeistos, kreiptis į ICO arba, prireikus, į teismą.

Praktiniai patarimai organizacijoms

  • Peržiūrėkite ir atnaujinkite savo privatumo taisykles bei sutikimo mechanizmus.
  • Apribokite prieigą prie duomenų tik darbuotojams, kuriems ji būtina.
  • Reguliariai mokykite darbuotojus apie duomenų apsaugą ir saugaus elgesio taisykles.
  • Turėkite aiškius veiksmų planus duomenų pažeidimo atvejams.