ASMENS DUOMENŲ TEISINĖS APSAUGOS ĮSTATYMO KOMENTARAS

Transcription

1 ASMENS DUOMENŲ TEISINĖS APSAUGOS ĮSTATYMO KOMENTARAS Vilnius

2 ADTAĮ 1 straipsnis Komentaras yra paruoštas ir išleistas Phare programos Dvynių projekto Nr. LT02/IB-JH-02/-03 Asmens duomenų apsaugos administracinių ir techninių gebėjimų stiprinimas ir Europos Sąjungos lėšomis. Leidinio turinys atspindi autorių ir redaktorių nuomonę. Leidinio duomenims nėra suteikiama jokios garantijos. Nors rengiant komentarą buvo imtasi visų atsargumo priemonių, ES, ES Phare Programa dėl Asmens duomenų apsaugos administracinių ir techninių gebėjimų stiprinimo nei Lietuvos Respublikos Valstybinė duomenų apsaugos inspekcija neprisiima jokios atsakomybės dėl realių ir tariamų žalos ar nuostolių, kuriuos galėtų tiesiogiai ar netiesiogiai padaryti leidinyje esantys terminai ar bet kurie kiti duomenys. Autorinės teisės priklauso abiems Projekto Partneriams. Vilnius

3 Turinys Bendros pastabos Lietuvos Respublikos Asmens duomenų teisinės apsaugos įstatymui...4 PIRMASIS SKIRSNIS BENDROSIOS NUOSTATOS straipsnis Įstatymo tikslas, paskirtis ir taikymo sritis straipsnis Pagrindinės šio Įstatymo sąvokos...20 ANTRASIS SKIRSNIS ASMENS DUOMENŲ TVARKYMAS straipsnis Bendrieji duomenų tvarkymo principai straipsnis Asmens duomenų saugojimas ir sunaikinimas straipsnis Asmens duomenų teisėto tvarkymo kriterijai straipsnis Asmens duomenų teikimo būdai straipsnis Asmens kodo naudojimas straipsnis Asmens duomenų tvarkymas ir visuomenės informavimo laisvės derinimas straipsnis Asmens duomenų tvarkymas socialinio draudimo ir socialinės globos tikslais straipsnis Asmens duomenų tvarkymas sveikatos apsaugos tikslais straipsnis Asmens duomenų tvarkymas rinkimų, referendumo, piliečių įstatymų leidybos iniciatyvos tikslais straipsnis Asmens duomenų tvarkymas mokslinio tyrimo tikslais straipsnis Asmens duomenų tvarkymas statistikos tikslais straipsnis Asmens duomenų tvarkymas tiesioginės rinkodaros tikslais straipsnis Asmens duomenų tvarkymas telekomunikacijų srityje straipsnis Asmens duomenų tvarkymas asmens mokumui įvertinti ir įsiskolinimui valdyti TREČIASIS SKIRSNIS DUOMENŲ SUBJEKTO TEISĖS straipsnis Duomenų subjekto teisės straipsnis Duomenų subjekto informavimas apie jo duomenų tvarkymą straipsnis Duomenų subjekto teisė susipažinti su savo asmens duomenimis straipsnis Duomenų subjekto teisė reikalauti ištaisyti, sunaikinti ar sustabdyti savo asmens duomenų tvarkymo veiksmus straipsnis Duomenų subjekto teisė nesutikti, kad būtų tvarkomi jo asmens duomenys straipsnis Asmens savybių įvertinimas automatiniu būdu straipsnis Paslauga duomenų subjektui įgyvendinant duomenų subjekto teisę susipažinti su savo asmens duomenimis KETVIRTASIS SKIRSNIS DUOMENŲ SAUGUMAS straipsnis Duomenų saugumas PENKTASIS SKIRSNIS DUOMENŲ VALDYTOJŲ REGISTRAVIMAS straipsnis Pranešimas apie duomenų tvarkymą straipsnis Išankstinė patikra straipsnis Duomenų valdytojų registravimas ŠEŠTASIS SKIRSNIS ASMENS DUOMENŲ TEIKIMAS DUOMENŲ GAVĖJAMS, ESANTIEMS UŽSIENIO VALSTYBĖSE straipsnis Asmens duomenų teikimas duomenų gavėjams, esantiems užsienio valstybėse SEPTINTASIS SKIRSNIS ĮSTATYMO VYKDYMO PRIEŽIŪRA straipsnis Įstatymo vykdymo priežiūros institucija straipsnis Valstybinės duomenų apsaugos inspekcijos veiklos teisiniai pagrindai ir principai straipsnis Valstybinės duomenų apsaugos inspekcijos funkcijos straipsnis Valstybinės duomenų apsaugos inspekcijos teisės AŠTUNTASIS SKIRSNIS ATSAKOMYBĖ straipsnis Atsakomybė už šio Įstatymo pažeidimą straipsnis Turtinės ir neturtinės žalos atlyginimas Sutrumpinimų sąrašas

4 Bendros pastabos Bendros pastabos Lietuvos Respublikos Asmens duomenų teisinės apsaugos įstatymui 1. Šis komentaras buvo parengtas vykdant Phare programos Dvynių 1 projektą Nr. LT02/IB-JH- 02/-03 Asmens duomenų apsaugos administracinių ir techninių gebėjimų stiprinimas. Projektas buvo pradėtas 2004 m. balandžio mėn., pabaigtas 2005 m. liepos mėn. Jį sudarė keletas veiklų 2 ; viena išsamiausių ir svarbiausių šis komentaraas. Jis parengtas taip, kad taptų kasdiene kiekvieno asmens, susiduriančio su Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymo (ADTAĮ) aiškinimo klausimais, darbo priemone. 2. Pirmosios ADTAĮ redakcijos buvo priimtas 1996 m. birželio 11 d. Jį sudarė tik 14 straipsnių, nustatantys kai kuriuos bendruosius principus dėl duomenų tvarkymo operacijų atsakomybės ir nuostatus dėl duomenų subjektų teisių. Jame trūko teisėto tvarkymo kriterijų apibrėžimo ir sąžiningo tvarkymo principų. ADTAĮ iš esmės buvo peržiūrėtas 2000 m., ir naujos redakcijos įstatymas buvo priimtas 2000 liepos mėn. 17 d. Jis buvo praplėstas iki 29 straipsnių, o jo tikslas buvo įgyvendinti bendrąją Europos Bendrijų Duomenų apsaugos direktyvą (Nr. 95/46/EC) ir Europos Tarybos konvenciją Nr. ETS 108. Sąžiningo tvarkymo principai, įtvirtinti Europos Tarybos konvencijoje Nr. ETS 108 ir Direktyvoje 95/46/EB, buvo perkelti į ADTAĮ papildžius 3 straipsnį. Bendrųjų ir ypatingų asmens duomenų teisėto tvarkymo kriterijai, kuriuos numato Direktyvos 7 ir 8 straipsniai, buvo įtraukti į ADTAĮ 5 straipsnį. Be to, į šį įstatymą buvo įrašytos detalios nuostatos, reglamentuojančios priežiūros institucijos kompetenciją duomenų apsaugos srityje. 3. Komentarai parengtas remiantis 2003 m. sausio 21 d. ADTAĮ redakcija, o paskutinis įstatymo pakeitimas buvo priimtas 2004 m. balandžio 13 d. Ši pataisa buvo reikalinga ryšium su Lietuvos Respublikos stojimu į Europos Sąjungą 2004 m. gegužės mėn. Trečiosios redakcijos įstatyme yra tam tikri pakeitimai, kurie buvo priimti ekspertams atlikus įstatymo vertinimą dėl atitikimo Direktyvos 95/46/EB nuostatoms. Tokiu būdu įstatymas buvo papildytas detaliais išankstinės patikros nuostatais (22 straipsnis). Be to, nustatant priežiūros institucijos galias dabar tiesiogiai yra įvardijama Valstybinė duomenų apsaugos inspekcija (VDAI) kaip atsakinga institucija. Tuo pačiu buvo pakeistas teisinis VDAI statusas ji nebėra pavaldi Valdymo reformų ir savivaldybių reikalų ministerijai, o yra bendrai atskaitinga Vyriausybei. Į naujosios redakcijos ADTAĮ įtrauktos ir tik Lietuvai būdingos nuostatos. Pavyzdžiui, 16 straipsnis, reglamentuojantis asmens duomenų tvarkymą asmens mokumui įvertinti ir įsiskolinimui valdyti. 4. Komentarą parengė austrų ir vokiečių duomenų apsaugos ekspertai anglų kalba ir tada jis buvo išverstas į lietuvių kalbą. Rengdami komentarą ekspertai pažymėjo tam tikrus oficialaus ADTAĮ, kuris buvo jų darbo pagrindas, vertimo į anglų kalbą netikslumus. Abejonių kilo ne vien dėl specifinių terminų (dėl kurių galima visuomet diskutuoti). Vertime buvo padarytos 1 Daugiau bendros informacijos apie dvynių projektus skaitykite 2 Norėdami sužinoti daugiau informacijos apie šį projektą, teiraukitės pas Dvynių projekto partnerius: Lietuvos Respublikos Valstybinę duomenų apsaugos inspekciją ( ar Liudviko Bolcmano žmogaus teisių institutą Vienoje ( 4 Gundermann

5 Bendros pastabos akivaizdžios klaidos, kai, pavyzdžiui, skirtingi lietuviški terminai yra verčiami vienu anglišku terminu 3 ar tie patys lietuviški terminai skirtingu anglišku. Savaime suprantama, kad šios klaidos yra itin svarbios, atliekant teisinį aiškinimą. Šiuo tikslu vertimas buvo peržiūrėtas, o prireikus pakeistas. Pagrindinis tikslas buvo kuo tiksliau atsekti lietuviško įstatymo originalo formuluotę, net jeigu nuo to nukentėtų anglų kalbos vertimo stilius. 3 Pvz., 2 straipsnio 3 dalis: Disclosure of data - disclosure of personal data by, nors lietuviškame ADTAĮ tekste yra Duomenų teikimas asmens duomenų atskleidimas. Po pataisymo angliškas tekstas skamba Providing of data - disclosure of personal data by. Gundermann 5

6 ADTAĮ 1 straipsnis PIRMASIS SKIRSNIS BENDROSIOS NUOSTATOS 1 straipsnis Įstatymo tikslas, paskirtis ir taikymo sritis 1. Šio Įstatymo tikslas ginti žmogaus privataus gyvenimo neliečiamumo teisę ryšium su asmens duomenų tvarkymu. 2. Šis Įstatymas reglamentuoja santykius, kurie atsiranda tvarkant asmens duomenis automatiniu būdu, taip pat neautomatiniu būdu tvarkant asmens duomenų susistemintas rinkmenas: sąrašus, kartotekas, bylas, sąvadus ir kita. Įstatymas nustato fizinių asmenų kaip duomenų subjektų teises, šių teisių apsaugos tvarką, juridinių ir fizinių asmenų teises, pareigas ir atsakomybę tvarkant asmens duomenis. 3. Šis Įstatymas taikomas asmens duomenų tvarkymui, kai: 1) asmens duomenis savo veikloje tvarko duomenų valdytojas, įsteigtas ir veikiantis Lietuvos Respublikos teritorijoje; 2) asmens duomenis tvarko duomenų valdytojas, įsteigtas ne Lietuvos Respublikos teritorijoje, bet kuriam taikomi Lietuvos Respublikos įstatymai pagal tarptautinę viešąją teisę (įskaitant diplomatines atstovybes, konsulines įstaigas); 3) asmens duomenis tvarko duomenų valdytojas, kuris yra įsteigtas ir veikia valstybėje, kuri nėra Europos Sąjungos narė, bet naudoja Lietuvos Respublikoje įrengtas automatines asmens duomenų tvarkymo priemones, išskyrus atvejus, kai tokios priemonės naudojamos tik duomenims persiųsti tranzitu per Lietuvos Respublikos ir Europos Sąjungos teritoriją. Šiame punkte nurodytu atveju duomenų valdytojas privalo turėti atstovą įsteigtą filialą arba atstovybę Lietuvos Respublikoje kuriam taikomos šio Įstatymo nuostatos, skirtos duomenų valdytojui. 4. Šis Įstatymas netaikomas, jeigu asmens duomenis tvarko fizinis asmuo ir tik savo asmeniniams poreikiams, nesusijusiems su verslu ar profesija, tenkinti. 5. Tvarkant asmens duomenis valstybės saugumo, gynybos tikslais, šis Įstatymas taikomas tiek, kiek kiti įstatymai nenustato kitaip. 6. Šiuo Įstatymu nevaržomas ir nedraudžiamas laisvas asmens duomenų judėjimas vykdant Lietuvos Respublikos narystės Europos Sąjungoje įsipareigojimus. 7. Šiuo Įstatymu Lietuvos Respublikos asmens duomenų teisinės apsaugos reguliavimas suderinamas su Europos Sąjungos teisės aktais, nurodytais šio Įstatymo priede. 6 Gundermann/Tiaden

7 ADTAĮ 1 straipsnis Direktyva 95/46/EB I SKYRIUS - BENDROSIOS NUOSTATOS 1 straipsnis - Direktyvos paskirtis 1. Pagal šią direktyvą valstybės narės saugo fizinių asmenų pagrindines teises ir laisves, o ypač jų privatumo teisę tvarkant asmens duomenis. 2. Valstybės narės nevaržo ir nedraudžia laisvo asmens duomenų judėjimo tarp valstybių narių dėl priežasčių, susijusių su apsauga, skiriama pagal šio straipsnio 1 dalį. 3 straipsnis - Taikymo sritis 1. Ši direktyva taikoma automatiniais būdais tvarkant asmens duomenis ištisai arba dalimis ir neautomatiniais būdais tvarkant asmens duomenis, kai tie duomenys sudaro arba yra skirti sudaryti rinkmenų sistemos dalį. 2. Ši direktyva netaikoma tvarkant asmens duomenis: - kai yra užsiimama tokia veikla, kuri nepatenka į Bendrijos teisės taikymo sritį, kaip antai veikla, kuri numatyta Europos Sąjungos sutarties V ir VI dalyse, taip pat kai atliekamos tvarkymo operacijos, susijusios su visuomenės saugumu, gynyba, valstybės saugumu (taip pat ir valstybės ekonomine gerove, kai tvarkymo operacija susijusi su valstybės saugumo klausimais) ir su valstybės veiksmais baudžiamosios teisės srityje; - kai duomenis tvarko fizinis asmuo, užsiimdamas tik asmenine ar namų ūkio veikla. 4 straipsnis - Taikytina nacionalinė teisė 1. Kiekviena valstybė narė taiko nacionalines nuostatas, kurias ji priima pagal šią direktyvą, kai tvarkomi asmens duomenys, jeigu: (a) tvarkoma, duomenų valdytojo padaliniui veikiant valstybės narės teritorijoje; jeigu tas pats duomenų valdytojas steigiamas kelių valstybių narių teritorijoje, jis privalo imtis reikalingų priemonių, kad kiekvienas jo padalinys vykdytų taikytinų nacionalinių įstatymų nustatytas prievoles; (b) duomenų valdytojas įsikūręs ne valstybės narės teritorijoje, bet tokioje vietoje, kur jos nacionaliniai įstatymai galioja, remiantis tarptautine viešąja teise; (c) duomenų valdytojas įsisteigęs ne Bendrijos teritorijoje ir tvarkydamas asmens duomenis naudojasi automatine ar kitokia įranga, esančia minėtos valstybės narės teritorijoje, nebent tokia įranga būtų naudojama tiktai duomenis tranzitu persiunčiant per Bendrijos teritoriją. 2. Susiklosčius 1 dalies c punkte nurodytoms aplinkybėms, duomenų valdytojas privalo paskirti atstovą, įsteigtą minėtos valstybės narės teritorijoje, nepažeisdamas nuostatų dėl teisinių veiksmų, kurių gali būti imtasi prieš patį duomenų valdytoją. Įžanginės dalies punktai: (1) kadangi, be kitų Bendrijos tikslų, kaip išdėstyta Sutartyje su pakeitimais, padarytais Europos Sąjungos sutartimi, yra tikslas sukurti dar glaudesnę Europos tautų sąjungą, puoselėti glaudesnius Bendrijai priklausančių valstybių santykius, užtikrinti ekonominę ir socialinę pažangą, bendromis pastangomis pašalinti Europą skiriančius barjerus, skatinti Gundermann/Tiaden 7

8 ADTAĮ 1 straipsnis nuolatinį jos tautų gyvenimo sąlygų gerinimą, išsaugoti ir stiprinti taiką ir laisvę bei plėtoti demokratiją, remiantis valstybių narių konstitucijose ir teisės aktuose bei Europos žmogaus teisių ir pagrindinių laisvių apsaugos konvencijoje pripažintomis pagrindinėmis teisėmis; (2) kadangi duomenų tvarkymo sistemos skirtos tarnauti žmogui; kadangi nepriklausomai nuo fizinių asmenų tautybės ar gyvenamos vietos, duomenys turi būti tvarkomi gerbiant žmogaus teises ir laisves, ypač privatumo teisę, taip pat remiant ekonominę ir socialinę pažangą, prekybos plėtrą bei žmonių gerovę; (3) kadangi sukurti ir veikti vidaus rinkai, kurioje pagal Sutarties 7a straipsnį užtikrinamas laisvas prekių, žmonių, paslaugų ir kapitalo judėjimas, būtina ne tik galimybė asmens duomenims laisvai judėti iš vienos valstybės narės į kitą, bet taip pat ir asmens pagrindinių teisių apsauga; (4) kadangi įvairiose Bendrijos ekonominės ir socialinės veiklos srityse vis dažniau imamasi tvarkyti asmens duomenis; kadangi dėl informacinės technologijos pažangos yra kur kas lengviau tokius duomenis tvarkyti ir jais apsikeisti; (5) kadangi ekonominė ir socialinė integracija, vykstanti dėl to, kad vidaus rinka bus sukurta ir veiks pagal Sutarties 7a straipsnį, neišvengiamai sąlygos išaugusius asmens duomenų srautus iš vienos valstybės į kitą tarp visų valstybėse narėse esančių valstybinio ar privataus sektoriaus subjektų, dalyvaujančių ekonominėje ar socialinėje veikloje; kadangi keitimosi asmens duomenimis tarp įvairiose valstybėse narėse esančių įmonių mastai yra linkę augti; kadangi Bendrijos teisės aktai ragina įvairių valstybių narių nacionalines valdžios institucijas bendradarbiauti ir keistis asmens duomenimis, kad jos galėtų vykdyti savo pareigas arba atlikti užduotis kitoje valstybėje narėje esančios valdžios institucijos vardu, kaip turėtų būti vidaus sienų neskiriamoje erdvėje, kurią sudaro vidaus rinka; (6) kadangi, be to, vis plačiau bendradarbiaujant mokslinėje-techninėje srityje ir koordinuotai diegiant naujus telekomunikacijų tinklus Bendrijoje, atsiranda būtinybė ir galimybė asmens duomenims judėti iš vienos valstybės į kitą; (7) kadangi nevienodas asmenų teisių ir laisvių, ypač jų privatumo teisės, apsaugos lygis tvarkant asmens duomenis įvairiose valstybėse narėse gali trukdyti perduoti tokius duomenis iš vienos valstybės narės į kitą; kadangi šie skirtumai gali kliudyti užsiimti kai kuriomis ekonominės veiklos rūšimis Bendrijos lygiu, iškreipti konkurenciją ar trukdyti valdžios institucijoms vykdyti savo pareigas pagal Bendrijos teisę; kadangi šie apsaugos lygių skirtumai atsiranda dėl pernelyg didelės nacionalinių įstatymų ir kitų teisės aktų įvairovės; (8) kadangi, siekiant pašalinti kliūtis asmens duomenims judėti, asmenų teisių ir laisvių apsauga tvarkant tokius duomenis turi būti lygiavertė visose valstybėse narėse; kadangi šis tikslas yra gyvybiškai svarbus vidaus rinkai, tačiau valstybės narės nepasieks jo vienos, ypač žinant, kokie dideli taikytinų valstybių narių įstatymų skirtumai ir kaip būtina koordinuoti valstybių narių įstatymus, kad būtų užtikrinta, jog asmens duomenų judėjimas iš vienos valstybės į kitą reglamentuojamas nuosekliai, t. y. laikantis vidaus rinkos tikslų, kaip numatyta Sutarties 7a straipsnyje; kadangi dėl to Bendrija turi imtis veiksmų, kad minėti įstatymai būtų suderinti; 8 Gundermann/Tiaden

9 ADTAĮ 1 straipsnis (9) kadangi suderinus nacionalinius įstatymus bus pasiekta minėta lygiavertė apsauga ir valstybės narės nebegalės trukdyti asmens duomenims laisvai judėti iš vienos valstybės į kitą tuo pagrindu, kad yra saugomos asmenų teisės ir laisvės, ypač privatumo teisė; kadangi valstybėms narėms liks šiek tiek pasirinkimo laisvės, kuria, įgyvendinant šią direktyvą, galės pasinaudoti ir verslo bei socialiniai partneriai; kadangi valstybės narės galės savo nacionaliniuose įstatymuose apibrėžti bendrąsias sąlygas, reglamentuojančias duomenų tvarkymo teisėtumą; kadangi tai darydamos valstybės narės sieks gerinti galiojančių savo įstatymų numatytą apsaugą; kadangi netgi nepažeidus pasirinkimo laisvės ribų ir Bendrijos įstatymų nuostatų, įgyvendinant šią direktyvą, gali atsirasti skirtumų, turėsiančių įtakos duomenų judėjimui vienoje valstybėje narėje ar visoje Bendrijoje; (10) kadangi asmens duomenų tvarkymą reglamentuojančių nacionalinių įstatymų tikslas - apsaugoti pagrindines teises ir laisves, ypač privatumo teisę, ir tai pripažįstama Europos žmogaus teisių ir pagrindinių laisvių apsaugos konvencijos 8 straipsnyje, taip pat Bendrijos teisės aktų bendruosiuose principuose; kadangi dėl šios priežasties, suvienodinant tokius įstatymus, negali būti sumažinta juose numatyta apsauga, o priešingai - turi būti siekiama aukšto apsaugos lygio visoje Bendrijoje; (11) kadangi šioje direktyvoje apibrėžti asmens teisių ir laisvių, ypač privatumo teisės, apsaugos principai remia tuos principus, kurie pateikiami 1981 m. sausio 28 d. Europos Tarybos konvencijoje dėl asmenų apsaugos ryšium su asmens duomenų automatizuotu tvarkymu; (12) kadangi šie apsaugos principai, tvarkant asmens duomenis, turi būti taikomi bet kuriam asmeniui, kurio veiklą reglamentuoja Bendrijos teisės aktai; kadangi jie netaikomi asmens duomenis tvarkant tokiam fiziniam asmeniui, kuris užsiima tik asmeninio pobūdžio veikla, kaip susirašinėjimas ar adresų užrašų saugojimas; (13) kadangi Bendrijos teisė neapima Europos Sąjungos sutarties V ir VI antraštinėse dalyse dėl visuomenės saugumo, gynybos ir nacionalinio saugumo nurodytos veiklos bei valstybės veiklos baudžiamosios teisės srityje, nepažeidžiant pagal Europos bendrijos steigimo sutarties 56 straipsnio 2 dalį, 57 ar 100a straipsnius valstybėms narėms priklausančius įsipareigojimus; kadangi ši direktyva netaikoma, kai asmens duomenys tvarkomi, kad būtų užtikrinta valstybės ekonominė gerovė, jeigu šie duomenys yra susiję su valstybės saugumu; (14) kadangi, suvokiant vykstančių pokyčių svarbą, visuomenės informuotumo lygį ir būdus surinkti, persiųsti, manipuliuoti, įrašyti, saugoti ar perduoti su fiziniais asmenimis susijusius garsinius ir vaizdinius duomenis, ši direktyva turėtų būti taikoma tvarkant ir tokius duomenis; (15) kadangi, tvarkant minėtus duomenis, ši direktyva taikoma tiktai tuomet, jei tvarkoma automatiniu būdu, arba jei tvarkomi duomenys yra laikomi arba ketinama juos laikyti rinkmenų sistemoje, kuri sistemiškai išdėstyta pagal specifinius su asmenimis susijusius kriterijus, kad būtų lengviau gauti šiuos asmens duomenis; (16) kadangi ši direktyva neapima atvejų, kai tvarkomi garsiniai ar vaizdiniai duomenys, pavyzdžiui, vaizdinio sekimo metu, jeigu tvarkoma visuomenės saugumo, gynybos, Gundermann/Tiaden 9

10 ADTAĮ 1 straipsnis nacionalinio saugumo sumetimais arba vykdant valstybinę su baudžiamąja teise susijusią veiklą ar kitą Bendrijos teisės aktų neapimamą veiklą; (17) kadangi, tvarkant garsinius ar vaizdinius duomenis žurnalistiniais sumetimais arba literatūrinės ar meninės raiškos tikslais, ypač garsinėje-vaizdinėje srityje, šios direktyvos principai turi būti taikomi ribotai, laikantis 9 straipsnyje išdėstytų nuostatų; (18) kadangi, norint užtikrinti, kad asmenims suteikiama visa apsauga, kurią jiems numato ši direktyva, bet kokie asmens duomenys Bendrijoje turi būti tvarkomi laikantis vienos iš valstybių narių įstatymų; kadangi, jeigu atsakomybę už duomenų tvarkymą prisiima kurioje nors valstybėje narėje įsisteigęs duomenų valdytojas, tai turėtų reglamentuoti būtent tos valstybės įstatymai; (19) kadangi duomenų valdytojas, įsisteigęs kurioje nors valstybėje narėje, gali veiksmingai ir realiai užsiimti savo veikla pagal nusistovėjusią tvarką; kadangi įmonės teisinė forma nėra lemiamas veiksnys: tai gali būti paprastas skyrius ar dukterinė įmonė su juridinio asmens teisėmis; kadangi kai kelių valstybių narių teritorijoje steigiamas vienas duomenų valdytojas, ypač filialas, norėdamas išvengti bet kokio nacionalinių taisyklių apėjimo, jis privalo užtikrinti, kad kiekvienas įsteigtas padalinys vykdys nacionalinės teisės aktų nustatytas jo veiklai taikomas prievoles; (20) kadangi tai, kad duomenis tvarko trečiojoje šalyje įsisteigęs asmuo, neturėtų kliudyti šioje direktyvoje numatytai asmenų apsaugai; kadangi tokiais atvejais tvarkymą turėtų reglamentuoti tos valstybės narės, kurioje įrengtos duomenų tvarkymui naudojamos priemonės, priimti teisės aktai, ir turėtų būti garantijos, kurios užtikrintų, kad šioje direktyvoje numatytos teisės ir prievolės yra tikrai gerbiamos; (21) kadangi ši direktyva nepažeidžia teritoriškumo principų, taikomų baudžiamosios teisės srityje; (24) kadangi ši direktyva nedaro įtakos teisės aktams dėl juridinių asmenų apsaugos, tvarkant su jais susijusius duomenis; (27) kadangi asmenų apsaugos reikalavimai turi būti taikomi tvarkant duomenis ir automatiniu, ir rankiniu būdu; kadangi tokios apsaugos mastas iš esmės neturi priklausyti nuo naudojamo metodo, priešingu atveju iškiltų rimta įstatymų apėjimo grėsmė; kadangi tvarkant rankiniu būdu, ši direktyva taikoma tiktai rinkmenų sistemoms, tačiau negalioja nesistemintoms rinkmenoms; kadangi ypač svarbu, kad rinkmenų sistemos turinys turi būti sistemiškai išdėstytas pagal specifinius su asmenimis susijusius kriterijus, leidžiančius lengvai gauti asmens duomenų; kadangi pagal 2 straipsnio c dalyje pateiktą apibrėžimą kiekviena valstybė narė gali nustatyti kriterijus, pagal kuriuos nustatomos sisteminio asmens duomenų rinkinio sudėtinės dalys, bei kriterijus, reglamentuojančius, kaip galima gauti duomenų iš tokio rinkinio; kadangi bet kuriuo atveju ši direktyva netaikoma pagal specifinius kriterijus nesusistemintoms rinkmenoms ar rinkmenų rinkiniams, taip pat jų tituliniams lapams; (71) kadangi ši direktyva nekliudo valstybei narei reguliuoti prekybą, orientuotą į jos teritorijoje gyvenančius vartotojus, kol toks reguliavimas nėra susijęs su asmenų apsauga tvarkant asmens duomenis; 10 Gundermann/Tiaden

11 ADTAĮ 1 straipsnis ETS Nr. 108 I skyrius - Bendrosios nuostatos 1 straipsnis - Objektas ir tikslas Šia konvencija siekiama užtikrinti, kad, tvarkant asmens duomenis automatizuotai (toliau duomenų apsauga ), visų šalių teritorijose bus gerbiamos kiekvieno asmens, nepaisant jo tautybės ir gyvenamosios vietos, teisės ir pagrindinės laisvės, o svarbiausia, jo teisė į privatų gyvenimą. 3 straipsnis - Taikymo sritis 1. Šalys įsipareigoja šią konvenciją taikyti automatizuotoms asmens duomenų rinkmenoms ir valstybinio bei privataus sektoriaus asmens duomenims automatizuotai tvarkyti. 2. Tuo metu, kai kuri nors valstybė pasirašo ar atiduoda saugoti ratifikavimo, priėmimo, patvirtinimo ar prisijungimo dokumentą, arba vėliau ji gali informuoti Europos Tarybos generalinį sekretorių, nusiųsdama jam adresuotą pareiškimą, kad: (a) šios konvencijos netaikys tam tikroms automatizuotoms asmens duomenų rinkmenoms, kurių sąrašas bus atiduotas saugoti. Šiame sąraše nebus nurodytos automatizuotos duomenų rinkmenos, kurioms pagal nacionalinius teisės aktus taikomos duomenų apsaugos nuostatos. Jeigu pagal nacionalinius teisės aktus papildomoms automatizuotoms asmens duomenų rinkmenoms taikomos duomenų apsaugos nuostatos, valstybė šį sąrašą pataiso nauju pareiškimu; b) šią konvenciją taikys ir informacijai teikti apie asmenų grupes, asociacijas, fondus, bendroves, korporacijas ir kitas institucijas, kurios tiesiogiai ar netiesiogiai sudarytos iš fizinių asmenų, nepaisant to, ar šie asmenys turi juridinį statusą, ar ne; c) šią konvenciją taikys ir toms asmens duomenų rinkmenoms, kurios nėra tvarkomos automatizuotai. 3. Valstybė, išplėtusi šios konvencijos taikymo sritį anksčiau nurodytame 2 dalies b arba c papunktyje minimu pareiškimu, gali jame nurodyti, kad ši platesnė konvencijos taikymo sritis apima tik tam tikras asmens duomenų rinkmenas, kurių sąrašas bus atiduotas saugoti. 4. Šalis, kuri tam tikras automatizuotas asmens duomenų rinkmenas išbraukė iš sąrašo ir informavo apie tai pareiškimu, kuris buvo minimas anksčiau 2 dalies a papunktyje, negali reikalauti šią konvenciją taikyti toms rinkmenoms, kurių ji neišbraukė. 5. Taip pat ir šalis, kuri vienokiu ar kitokiu būdu neišplėtė konvencijos taikymo srities, kaip buvo nurodyta anksčiau 2 dalies b ir c papunkčiuose, negali reikalauti, kad šalis, kuri išplėtė šios konvencijos taikymo sritį, taikytų ją toms sritims. 6. Anksčiau šio straipsnio 2 dalyje minimi pareiškimai šaliai, kuri juos parengė, įsigalioja nuo šios konvencijos įsigaliojimo momento, jeigu tokie pareiškimai buvo parengti pasirašant ar atiduodant saugoti ratifikavimo, priėmimo, patvirtinimo ar prisijungimo dokumentą arba jeigu buvo parengti vėliau - praėjus trims mėnesiams po to, kai Europos Tarybos generalinis sekretorius juos gavo. Visi šie pareiškimai ar jų dalis gali būti panaikinti nusiunčiant Gundermann/Tiaden 11

12 ADTAĮ 1 straipsnis Europos Tarybos generaliniam sekretoriui skirtą pranešimą. Toks panaikinimas įsigalioja praėjus trims mėnesiams po pranešimo gavimo. PASTABOS DĖL DIREKTYVOS 95/46/EB STRAIPSNIŲ įgyvendintų 2003 m. ADTAĮ 1 straipsniu: Teisinės sąvokos: - rinkmenų sistemos sąvoka yra apibrėžta Direktyvos 95/46/EB 2 straipsnio c dalyje, komentaras pateiktas 34 puslapyje. Pastabos: 1. Teisės akto paskirtis ir tikslai Direktyva 95/46/EB buvo sukurta siekiant pašalinti kliūtis, trukdančias laisvai judėti asmens duomenims, ir tuo pačiu nenuslopinti pagrindinių žmogaus teisių ir laisvių apsaugos. Jos tikslas yra harmonizuoti asmens duomenų tvarkymą reglamentuojančius nacionalinius teisės aktus, užtikrinant aukštą apsaugos lygį. Visos valstybės narės turi suderinti savo nacionalinius teisės aktus su Direktyvos nuostatomis. Taigi, kai Lietuvos narystė Europos Sąjungoje tapo reali perspektyva, Direktyva 95/46/EB virto jos Asmens duomenų teisinės apsaugos įstatymo pagrindu. Vadovaujantis atitinkamomis Europos Tarybos Konvencijos ETS 108 nuostatomis, Direktyvos 1 straipsnio 1 ir 2 dalyse yra nustatyta, kad laisvas (asmens) duomenų judėjimas ES yra tarpusavyje susijęs su tinkama asmenų pagrindinių laisvių apsauga. Direktyvoje kalbama apie fizinių asmenų pagrindines teises ir laisves apskritai, o ne tik apie privatumo teisę tvarkant asmens duomenis pastaroji yra išskirta tik kaip tam tikra pagrindinė teisė. Taigi Direktyva pabrėžia, kad duomenų apsauga neapsiriboja tik privatumu siaurąja prasme (t.y. privati namų erdvė), turint omeny, kad duomenų apsaugos klausimai gali būti susiję ir su kitomis pagrindinėmis teisėmis m. ADTAĮ 1 straipsnio komentaras: Teisinės sąvokos: - susistemintos rinkmenos sąvoka yra apibrėžta ADTAĮ 2 straipsnio 10 dalyje, komentaras pateiktas 34 puslapyje. 1 Žr. Dammann/Simitis, 1 straipsnio 3 dalis. 12 Gundermann/Tiaden

13 ADTAĮ 1 straipsnis Komentaras 1 dalis. Įstatymo paskirtis Nors Direktyvos 1 straipsnio 1 dalies nuostatos yra perkeltos į ADTAĮ 1 straipsnio 1 dalį, pastaroji nemini jokių kitų pagrindinių teisių, išskyrus žmogaus privataus gyvenimo neliečiamumo teisę ryšium su asmens duomenų tvarkymu. Beje asmens teisę į privatų gyvenimą užtikrina Lietuvos Respublikos Konstitucijos 22 straipsnis 2. Šios pagrindinės teisės formuluotė yra labiau susijusi su Europos žmogaus teisių ir pagrindinių laisvių konvencijos 8 straipsniu nei modernesnėmis konstitucinėmis nuostatomis, kurios saugo ne tik asmens privataus gyvenimo neliečiamybę, bet ir asmens duomenis apskritai (kaip, pavyzdžiui, Europos Sąjungos pagrindinių teisių chartijos (2000/C 364/01) 8 straipsnis ir atitinkamai Europos Konstitucijos projekto II-68 straipsnis 3 ). Tokia ADTAĮ 1 straipsnio 1 dalyje minima asmens neliečiamumo teisės apsauga labiau primena siauresnę neliečiamumą sampratą, kurią gina LR Konstitucijos 22 straipsnis. Tačiau reikia turėti omeny, kad Direktyvos spektras yra platesnis: ji saugo visus asmens duomenis, nepriklausomai nuo to, ar jie yra susiję su siauresne privataus gyvenimo sritimi ar kita veikla, siejama su kitomis pagrindinėmis teisėmis. Iš tikrųjų, kaip matyti iš viso ADTAĮ teksto, Lietuvos įstatymo rengėjas turėjo omeny tą pačią sąvoką kaip nustatyta Direktyvoje. Taigi ir ADTAĮ 1 straipsnio 1 dalis turi būti aiškinama atsižvelgiant į Direktyvą plačiąja prasme ir neapsiriboti vien teisine neliečiamumo apsauga, kurią gina Lietuvos Respublikos Konstitucijos 22 straipsnis. 2 dalis. Taikymas tvarkant duomenis automatiniu ir neautomatiniu būdu Į ADTAĮ 1 straipsnio 2 dalį yra perkelta Direktyvos 3 straipsnio 1 dalis. Pastaroji Direktyvos nuostata apibrėžia jos taikymo sritį pozityviai, o apribojimai yra nustatyti tolesnėse dalyse. Vadovaujantis Direktyva, jos taikymo sritį sudaro du aspektai: asmens duomenų tvarkymas (iš dalies) automatiniais ir neautomatiniais būdais. Tvarkymas automatiniais būdais apima bet kokį asmens duomenų panaudojimą bet kokioje IT sistemoje, nepriklausomai nuo to, kaip duomenų gavyba yra organizuota. Taigi ši sąvoka apima, pavyzdžiui, ir nesuformatuotą tekstinę bylą, ir susistemintą duomenų bazę. Be to, nėra svarbu kokiu būdu daroma nuoroda į tam tikrą duomenų subjektą. Taigi ši sąvoka apima ne tik teksto nuorodas (pavyzdžiui, pavardę ar asmens identifikavimo kodą), bet taip pat ir garsinius bei vaizdinius asmens duomenis 4. Vadovaujantis Direktyvos 3 straipsnio 1 dalimi, nuostatos yra taikomos ir tuo atveju, jeigu tvarkymas yra tik iš dalies atliekamas automatiniais būdais. Norint gerai suprasti šią nuostatą, visų pirma reikia išsiaiškinti sąvokos tvarkymas reikšmę. Minėtąją nuostatą galima aiškinti teisingai tik tuomet, jeigu šiuo atveju tvarkymas yra suprantamas skirtingai negu Direktyvos 2 straipsnio b dalyje pateikta sąvoka, t.y. ne vienas iš žingsnių 2 Jis nustato: Žmogaus privatus gyvenimas neliečiamas. Asmens susirašinėjimas, pokalbiai telefonu, telegrafo pranešimai ir kitoks susižinojimas neliečiami. Informacija apie privatų asmens gyvenimą gali būti renkama tik motyvuotu teismo sprendimu ir tik pagal įstatymą. Įstatymas ir teismas saugo, kad niekas nepatirtų savavališko ar neteisėto kišimosi į jo asmeninį ir šeimyninį gyvenimą, kėsinimosi į jo garbę ir orumą. 3 Lietuva buvo pirmoji ES valstybė narė, kuri ratifikavo Konstituciją 2005 lapkričio 11 d. 4 Žr. 14 įžanginę dalį. Gundermann/Tiaden 13

14 ADTAĮ 1 straipsnis techninių procedūrų grandinėje, bet visa procedūra. Šia prasme tvarkymas yra suprantamas kaip visų žingsnių, susijusių su asmens duomenis, suma, atliekant vieną konkrečią užduotį 5. Nors dalis šios bendrosios procedūros veiksmų yra atliekama rankiniu būdu (pavyzdžiui, asmens duomenų rinkimas), visas tvarkymas turi būti laikomas kaip atliktas automatiniu būdu, ir tuomet Direktyva yra taikoma. Tas pat galiotų ir tuo atveju, jei duomenys būtų saugomi rankiniu būdu surinktose bylose, tačiau su jomis susipažinti būtų naudojama automatinė duomenų gavybos sistema. Direktyva yra taip pat taikoma tvarkant asmens duomenis neautomatiniais būdais, jeigu yra patenkinamas vienas papildomas reikalavimas: asmens duomenys turi būti rinkmenų sistemos (arba ADTAĮ vadinamos susistemintos rinkmenos 6 ) dalis arba jie yra skirti rinkmenų sistemai. Šios nuostatos tikslas yra užtikrinti, kad Direktyva nebūtų taikoma nesusistemintiems rankiniu būdu surinktiems asmens duomenims. Buvo nuspręsta, kad būtų neproporcinga taikyti Direktyvos nuostatas tiems asmenims, kurie kontroliuoja nesusistemintus rankiniu būdu surinktus asmens duomenis, nes didžiausias pavojus duomenų subjekto apsisprendimo teisei kyla tuomet, kai yra lengva susipažinti ir gauti susistemintus, o ypač automatiniu būdu sukauptus duomenis. Direktyvoje sąvoka rinkmenų sistema yra apibrėžta 2 straipsnio c dalyje kaip bet kuris susistemintas pagal specifinius kriterijus prieinamų asmens duomenų rinkinys. Vadovaujantis Direktyvos 27 įžangine dalimi, konkretų sąvokos apibrėžimą paliekama nustatyti pačioms valstybėms narėms, mat rinkmenų sistema gali priklausyti nuo skirtingų atskirose valstybėse narėse nustatytų reikalavimų. Pagrindinė ADTAĮ 1 straipsnio 2 dalies užduotis yra įgyvendinti Direktyvos 3 straipsnio 1 dalį. Taigi pirmame sakinyje yra minimos abi taikymo sritys: asmens duomenų tvarkymas automatiniais ir neautomatiniais būdais. Be to, ADTAĮ pateikia keletą automatiniu būdu renkamų duomenų pavyzdžių, tačiau, sprendžiant iš sakinio gale pateiktų žodžių ir kita, jų sąrašas nėra baigtinis. Kyla klausimas dėl to, ar duomenų rinkimo pavyzdžiai savaime atitinka taikymo sritį. Pati sąvoka rinkmenos yra labai plati, apimanti ir lengvai gaunamus surinktus duomenis, ir nesusistemintas bylas. Taigi pateikti pavyzdžiai negali būti savaime laikomi kaip atitinkantys taikymo sritį kiekvienu atveju reikia įvertinti, ar jie atitinka apibrėžtos sąvokos kriterijus. ADTAĮ 2 straipsnio 10 dalyje apibrėžta sąvoka susistemintos rinkmenos yra panaši į Direktyvos nustatytą rinkmenų sistemos apibrėžimą. Taigi ADTAĮ nustato, kad susisteminta rinkmena yra rinkmena asmens duomenų, sistemiškai išdėstytų pagal tam tikrus su asmeniu susijusius kriterijus, leidžiančius lengviau surasti asmens duomenis rinkmenoje. Šis apibrėžimas nenumatyto jokių papildomų sąlygų, išskyrus vieną aspektą lengvumą surasti asmens duomenis rinkmenoje kuris atitinka Direktyvos nuostatą. Be to, ADTAĮ 1 straipsnio 2 dalyje yra pateikta papildomos informacijos nuostata, kad įstatymas reglamentuoja santykius, kurie atsiranda tvarkant asmens duomenis. Jis nustato fizinių asmenų kaip duomenų subjektų teises, šių teisių apsaugos tvarką, juridinių ir fizinių 5 Žr. Dammann/Simitis, 3 straipsnio 4 dalis. 6 Žr. 2 straipsnio 10 dalyje apibrėžtos sąvokos komentarą. 14 Gundermann/Tiaden

15 ADTAĮ 1 straipsnis asmenų teises, pareigas ir atsakomybę tvarkant asmens duomenis. Dėl šio apibūdinimo svarbos gali kilti klausimas, nes pats teiginys yra labiau panašus į tam tikrą iš anksto numatytą ( užprogramuotą ) nuostatą. Jeigu ADTAĮ iš tiesų reglamentuotų minėtus klausimus, geriausia vieta tai padaryti būtų tie įstatymo straipsniai, kur šie klausimai yra gvildenami. Kadangi teisinės cituotų dalių pasekmės nėra aiškios, jos nebus toliau analizuojamos. 3 dalies 1 punktas. Taikymo sritis, apimanti Lietuvoje įsteigtą duomenų valdytoją iš kitos ES valstybės narės ADTAĮ 1 straipsnio 3 dalis atitinka Direktyvos 4 straipsnį, kuris nustato, kada yra taikomi nacionaliniai duomenų apsaugos įstatymai esant įvairioms aplinkybėms. Ši nuostata buvo parengta, atsižvelgiant į teritoriškumo principą, siekiant susieti atsakomybę už tvarkymą su duomenų tvarkymo vieta 7. Po to, kai šis požiūris pasirodė nepraktiškas ir ėmė susikirsti su reliais duomenų valdytojų poreikiaiss, buvo nuspręsta įsteigti duomenų valdymo organizaciją valstybės narės teritorijoje, kuri būtų pagrindinis jungiamasis veiksnys. Šis sprendimo rezultatai priartėja prie teritoriškumo principo, išvengiant tuo pačiu jo trūkumų. Vadovaujantis Direktyvos 4 straipsnio 1 dalies a punktu, valstybės narės taiko savo nacionalinius teisės aktus asmens duomenų tvarkymui, kai duomenų valdytojo padalinys veikia valstybės narės teritorijoje. 19 įžanginė dalis padeda išsiaiškinti sąvoką padalinys. Kad būtų laikomas padaliniu, asmuo turi veiksmingai ir realiai užsiimti savo veikla pagal nusistovėjusią tvarką. Vadovaujantis šia įžangine dalimi, teisinė tokio padalinio forma nėra svarbi. Taigi į Direktyvos taikymo sritį nepatenka užsienio fiktyvios bendrovės, kurios nevykdo realios veiklos, arba užsienio verslo keliautojai, neturintys biuro kurioje nors valstybėje narėje. Tokių asmenų duomenų tvarkymą reglamentuoja valstybės narės, iš kurios jie yra kilę, duomenų apsaugos įstatymai 8. Taigi Direktyva siekia paramos santykiuose tarp duomenų subjekto ir valdytojo, kurie yra labiau tiesioginiai ir realizuojami vietos lygiu, skatindama duomenų subjektą, įgyvendinantį savo teisę susipažinti su duomenimis, kreiptis į kitoje valstybėje narėje esančios bendrovės būstinę 9 ADTAĮ 1 straipsnio 3 dalies 1 punktas visiškai atitinka Direktyvos nuostatas. Taigi jam yra taikomos visos pastabos dėl Direktyvos 4 straipsnio 1 dalies a punkto. 3 dalies 2 punktas. Taikymas diplomatinėms misijoms ADTAĮ 1 straipsnio 3 dalies 2 punktas taip pat iš dalies įgyvendina Direktyvos 4 straipsnio 1 dalį. Pavyzdžiui, jos b punktą, pagal kurį valstybės narės privalo taikyti nacionalines duomenų apsaugos nuostatas duomenų valdytojo atžvilgiu, kuris yra įsikūręs ne valstybės narės teritorijoje, bet tokioje vietoje, kur jos nacionaliniai įstatymai galioja, remiantis tarptautine viešąja teise. Šiuo atveju nuoroda daroma į diplomatines ir konsulines atstovybes, kurioms netaikomi priimančiosios šalies įstatymai 10. Taigi ADTAĮ perima atitinkamą Direktyvos dalies 7 Žr. Brühann, in: Grabitz/Hilf, A30, Art. 4, Rn. 2 ff. 8 Tuo atveju, jeigu jie yra kilę iš trečiosios šalies, taikomas 4 straipsnio 1 dalies c punktas; žr. toliau. 9 Žr. Dammann/Simitis, 4 straipsnio 2 dalis. 10 Žr. Brühann, in: Grabitz/Hilf, A30, Art. 4, Rn. 16. Gundermann/Tiaden 15

16 ADTAĮ 1 straipsnis formuluotę ir papildo ją išimtinio atvejo pavyzdžiu 11. Tokiu būdu Lietuvos duomenų apsaugos režimas taip pat galioja Lietuvos diplomatinėse misijose. 3 dalies 3 punktas. Taikymas tvarkymui, kurį atlieka iš trečiosios šalies kilę duomenų valdytojai. ADTAĮ 1 straipsnio 3 dalies 3 punkte kalbama apie situacijas, kurios yra panašios į 1 dalyje nagrinėjamus atvejus, kai organizacija duomenų valdytojas yra už šalies ribų, tačiau ji tvarko asmens duomenis Lietuvos Respublikos teritorijoje. Skirtingai nuo 1 dalyje apibūdintos situacijos, šiuo atveju duomenų valdytojas yra įsteigtas trečiojoje šalyje. ADTAĮ, vadovaudamasis atitinkama Direktyvos 4 straipsnio 1 dalies c punkto nuostata, numato teisinę duomenų subjekto apsaugą su sąlyga, kad duomenų valdytojas naudoja Lietuvos Respublikoje įrengtas automatines asmens duomenų tvarkymo priemones. Akivaizdu, kad šis reikalavimas yra platesnis nei 1 straipsnio 3 dalies 1 punkte minimas padalinio įsteigimas. Ši nuostata taip pat reglamentuoja tuos atvejus, kai, pavyzdžiui, panaudojant Lietuvoje esančias, tačiau užsienio valdytojo valdomas kompiuterių sistemas duomenys yra surenkami ir toliau tvarkomi. Ne tik Direktyvos, bet ir ADTAĮ tikslas yra užkirsti kelią veikti duomenų valdytojams, kurie įsteigia savo centrinius padalinius už ES ribų, tačiau toliau tvarko duomenis jos teritorijoje 12. Vis dėlto ši nuostata netaikoma tuo atveju, kai tokios priemonės naudojamos tik duomenims persiųsti tranzitu per Lietuvos Respublikos ir Europos Sąjungos teritoriją. Į ją yra perkelta atitinkama Direktyvos dalis, neįtraukiant techninių sistemų ir telekomunikacijos tinklų. Paprastas bet kokių asmens duomenų tranzitas per ES teritoriją 13 nekelia jokio ypatingo pavojaus ES piliečių teisėms ir laisvėms 14. Verta paminėti vieną skirtumą tarp ADTAĮ ir Direktyvos. Nors Direktyva įpareigoja valstybes nares taikyti savo nacionalinius įstatymus duomenų valdytojui, kuris tvarkydamas asmens duomenis naudojasi automatine ir kitokia įranga, ADTAĮ apsiriboja tik automatiniu tvarkymu. Taigi ši Direktyva nebūtų taikoma tuo atveju, kai trečioje šalyje esantis valdytojas duomenis rinktų rankiniu būdu, pavyzdžiui, prašydamas Lietuvos gyventojus užpildyti anketas. Čia matyti tam tikras Direktyvos 95/46/EB įgyvendinimo trūkumas. 1 straipsnio 3 dalies 3 punkto antras sakinys nustato, kad trečiojoje šalyje esantis duomenų valdytojas, kuris naudoja Lietuvoje esančias automatines duomenų tvarkymo priemones, privalo turėti atstovą. Pagal ADTAĮ, tai filialas arba atstovybė Lietuvos Respublikoje, kuriam taikomos ADTAĮ nuostatos, skirtos duomenų valdytojui. Minėtoji nuostata didžiąja dalimi įgyvendina Direktyvos 4 straipsnio 2 dalį kiek tai susiję su pareiga paskirti atstovą. Tai yra neišvengiama, norint praktiškai įgyvendinti Direktyvos 4 straipsnio 1 dalies c punktą ir atitinkamai ADTAĮ 1 straipsnio 3 dalies 3 punkto antrame 11 įskaitant diplomatines atstovybes, konsulines įstaigas. 12 Dammann/Simitis, 4 straipsnio 6 dalis. 13 kuri po 2004 m. gegužės 1 d. taip pat apima ir Lietuvos teritoriją, tačiau ji buvo minima atskirai, nes įstatymas buvo priimtas prieš įstojant į ES. 14 Dammann/Simitis, 4 straipsnio 9 dalis. 16 Gundermann/Tiaden

17 ADTAĮ 1 straipsnis sakinyje esančią nuostatą 15. Tik tuo atveju, kai yra atsakingas asmuo už, pvz., pranešimą apie tvarkymą (ADTAĮ 25 straipsnis) arba kuris padeda įgyvendinti duomenų subjekto teises, realiai įsigalioja duomenų apsaugos nuostatai. Kyla klausimas dėl to, ar ADTAĮ pralenkia Direktyvą, nustatydamas įstatymo taikymą ne tik duomenų valdytojui, bet ir jo įsteigtam filialui ar atstovybei. Autorių nuomone, ši nuostatos dalis nėra reikalinga, nes ADTAĮ taikymą užsienio valdytojo duomenų tvarkymui įgyvendina pirmoji nuostatos dalis (1 straipsnio 3 dalies 3 punkto pirmas sakinys). Prievolė paskirti atsakingą asmenį išplaukia iš įstatymo taikymo. Taigi nėra būtinybės taikymą susieti su atstovo paskyrimu. 4 dalis. Išimtis asmeninei vieklai ADTAĮ 1 straipsnio 4 dalis atitinka Direktyvos 3 straipsnio 2 dalies antrą punktą. ADTAĮ nustato šio įstatymo taikymo išimtis: t.y. jis nėra taikomas, kai asmens duomenys yra tvarkomi savo asmeniniams poreikiams tenkinti. Ši nuostata atitinka Direktyvą, tačiau pastaroji taip pat aiškiai įvardija ir namų ūkių veiklą. Savo ruožtu ADTAĮ detalizuoja asmeninių poreikių sąvoką kaip veiklą, nesusijusią su verslu ar profesija. Direktyvos 3 straipsnio 2 dalies antrame punkte nurodyta išimtis yra paremta proporcingumo principu. Kitaip tariant, būtų neproporcinga kėsintis į asmens laisves, ypač kai jos yra susijusios su jo privačia veikla, juolab, kad asmens duomenų tvarkymas šioje srityje paprastai nekelia ypatingos rizikos 16. Ši išimtis apima veiklą, susijusią su susirašinėjimu ar adresų užrašų saugojimu 17. Savaime suprantama, kad profesinė ir komercinė veikla negali būti laikoma asmeninio pobūdžio veikla Direktyvos ir ADTAĮ nustatyta prasme. Tačiau dėl tam tikros veiklos asmeniškumo gali kilti tam tikrų abejonių. Visų pirma, ši išimtis nėra taikoma, kai asmens duomenis tvarko savo veiklą vykdanti asociacija 18, nors ji ir nesiekia jokių profesinių ar verslo tikslų ir išimtinai tarnauja asmeniniams savo narių poreikiams tenkinti. Tai taip pat reikia turėti omeny, aiškinant ADTAĮ. Kol kas kyla abejonių dėl papildomo ADTAĮ nuostatos detalizavimo 19 naudos, nes galima padaryti klaidingą išvadą, kad tik profesinė ir verslo veikla atitinka ADTAĮ taikymo sritį. Kita vertus, sprendimas neįtraukti namų ūkių veiklos gali būti klaidingai suprantamas, esą išimtis taikoma tik vieno asmens atliekamam tvarkymui. Vis dėlto Direktyvos rengėjas, vadovaudamasis proporcingumo principu, taip pat ketino pritaikyti išimtį ir šeimos gyvenimo veiklai 20, kuri taip pat priklauso asmens privataus gyvenimo neliečiamumo sferai, mat ją taip pat užtikrina ir Europos žmogaus teisių konvencijos 8 straipsnis. 15 Dammann/Simitis, 4 straipsnio 10 dalis. 16 Dammann/Simitis, 3 straipsnio 7 dalis. 17 Žr. 12 įžanginę dalį. 18 Dammann/Simitis, 3 straipsnio 7 dalis. Beje, tam tikros nuolaidos yra numatytos ir asociacijoms žr. Direktyvos 8 straipsnio 2 dalies d punktą. 19 veikla, nesusijusi su verslu ar profesija. 20 Tai ypač gerai matyti iš vokiečių kalba pateiktos Direktyvos nuostatos formuluotės: persönliche und familiäre Tätigkeiten. Gundermann/Tiaden 17

18 ADTAĮ 1 straipsnis Pagaliau milžiniškai augant internetui, kyla naujų klausimų. Prieš keletą metų Vokietijos federalinio ir atskirų žemių lygio duomenų apsaugos institucijos diskutavo, ar asmeninio tinklapio patalpinimui internete yra taikoma minėtoji išimtis. Galiausiai šį klausimą išaiškino Europos Teisingumo Teismas, priėmęs kertinį sprendimą dėl duomenų apsaugos ir Direktyvos Lindqvisto byloje 21. Pagal šią bylą Švedijos pilietis paskelbė tam tikrą informaciją apie trečius asmenis savo asmeniniame tinklapyje. Teismas turėjo nuspręsti, ar jo veiklai yra taikoma minėtoji išimtis. Sprendimo 47 dalyje rašoma: Išimtis gali būti taikoma tik ryšium su tokia veikla, kuri atliekama asmenų privačiame arba šeimyniniame gyvenime o tai akivaizdžiai nėra asmens duomenų tvarkymo veiksmai, atliekami publikuojant juos internete, kad su jais galėtų susipažinti neribotas žmonių skaičius. Iš čia aiškiai matyti, kad tokiu būdu publikuojami asmens duomenys negali būti laikomi privačia veikla atitinkamos nuostatos numatyta prasme. 5 dalis. Taikymo srities praplėtimas, apimant valstybės saugumo ir gynybos klausimus Ši nuostata numato, kad ADTAĮ yra taikomas tik toms sritims, kurių nereglamentuoja kiti įstatymai. Taigi ši nuostata praplečia ADTAĮ nuostatas, papildydama jas saugumo ir gynybos klausimais. Tai nėra akivaizdus dalykas, mat Direktyva galioja tik ES pirmojo ramsčio veiklos atžvilgiu, kuri apima bendrąją rinką ir laisvą asmenų, prekių bei kapitalo judėjimą. Atitinkamai Direktyvos 3 straipsnio 2 dalies pirmas punktas išaiškina, kad ši direktyva netaikoma tvarkant asmens duomenis, kai yra užsiimama tokia veikla, kuriai netaikomi Bendrijos įstatymai. Tačiau kadangi Bendrijos teisė nenustato jokių teisinių apribojimų, valstybės narės savo valia gali nuspręsti praplėsti nacionalinius duomenų apsaugos įstatymus kitomis sritimis pavyzdžiui, valstybės gynybos ir saugumo. Savaime suprantama, kad ADTAĮ taikomas tik tais atvejais, kai kiti specialieji įstatymai šių klausimų nereglamentuoja. Panašu, kad ADTAĮ 1 straipsnio 5 dalis primena apie galiojančius specialiuosius įstatymus, kurių visų pirma privalu laikytis. Pavyzdžiui, Specialiųjų tyrimų tarnybos ar Korupcijos prevencijos įstatymas. Kadangi jokių kitų išimčių nėra nustatyta, peršasi išvada, kad ADTAĮ taikymo sritis yra plati: jis apima privataus ir viešojo sektoriaus duomenų valdytojus, išskyrus įstatyme numatytus atvejus (žr. 8 straipsnį žemiau) ar atitinkamą konkrečių nuostatų reglamentuojamą sritį. 6 dalis. Laisvas asmens duomenų judėjimas ADTAĮ 1 straipsnio 6 dalis yra paremta Direktyvos 1 straipsnio 2 dalimi. Ši nuostata numato bendrosios Europos rinkos sukūrimą, siekiant laisvo asmens duomenų judėjimo ES teritorijoje 22. Direktyva apriboja valstybių narių galimybes drausti perduoti duomenis į kitą valstybę narę ES teritorijoje. Taigi Direktyvos nuostatos būtų pažeistos, jeigu viena valstybė narė neleistų perduoti duomenų į kitą valstybę narę dėl to, kad joje nėra užtikrinama pakankama duomenų apsauga. Kita vertus, duomenų perdavimui taikomi šalies apribojimai gali būti taip pat taikomi duomenis perduodant gavėjams kitose ES šalyse, kai apribojimo pagrindas nėra duomenų m. lapkričio 6 d. teismo sprendimas, bylos Nr. C-101/ Dammann/Simitis, 1 straipsnio 5 dalis. 18 Gundermann/Tiaden

19 ADTAĮ 1 straipsnis perdavimas ES teritorijoje, bet kitas faktas (pavyzdžiui, duomenys yra paimti iš tam tikrų šaltinių). Nors ADTAĮ 1 straipsnio 6 dalies formuluotė, ypač antroji sakinio dalis, nėra visiškai aiški, daroma prielaida, kad jos tikslas yra įgyvendinti Direktyvos 1 straipsnio 2 dalį. Tačiau atskiros dalies šiai Direktyvos nuostatai įgyvendinti nėra poreikio. Ji ir taip yra įgyvendinama, jeigu nacionaliniai duomenų apsaugos įstatymai nenustato apribojimų duomenų teikimui ES teritorijoje, remiantis tik tuo faktu, kad asmens duomenys yra atkartojami kitoje valstybėje narėje. Lietuvoje tokių neteisėtų apribojimų aptikta nebuvo. 7 dalis. Įgaliojimai įstatymų rengėjui Panašu, kad 7 dalis nustato tik įgaliojimus įstatymo rengėjui, kad šis suderintų duomenų apsaugos įstatymą su ES teisynu. ADTAĮ priedas nustato, kad įstatymas yra suderintas su 1995 m. spalio 24 d. Europos Parlamento ir Tarybos direktyva 95/46/EB dėl asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo. Lietuvai įstojus į ES, ši pareiga yra tiesiogiai susijusi su pačiu valstybės narės statusu. Taigi ši nuostata nebėra aktuali. Gundermann/Tiaden 19

20 ADTAĮ 2 straipsnis 2 straipsnis Pagrindinės šio Įstatymo sąvokos 1. Asmens duomenys bet kuri informacija, susijusi su fiziniu asmeniu duomenų subjektu, kurio tapatybė yra žinoma arba gali būti tiesiogiai ar netiesiogiai nustatyta pasinaudojant tokiais duomenimis kaip asmens kodas, vienas arba keli asmeniui būdingi fizinio, fiziologinio, psichologinio, ekonominio, kultūrinio ar socialinio pobūdžio požymiai. 2. Duomenų gavėjas juridinis ar fizinis asmuo, kuriam teikiami asmens duomenys. Šio Įstatymo vykdymo priežiūros institucijos, nurodytos 8 ir 29 straipsniuose, kitos valstybės ir savivaldybių institucijos ir įstaigos nėra duomenų gavėjai, kai šios institucijos ir įstaigos pagal konkretų paklausimą gauna asmens duomenis įstatymų nustatytoms kontrolės funkcijoms atlikti. 3.Duomenų teikimas asmens duomenų atskleidimas perduodant ar kitu būdu padarant juos prieinamus (išskyrus paskelbimą visuomenės informavimo priemonėse). 4. Duomenų tvarkymas bet kuris su asmens duomenimis atliekamas veiksmas: rinkimas, užrašymas, kaupimas, saugojimas, klasifikavimas, grupavimas, jungimas, keitimas (papildymas ar taisymas), teikimas, paskelbimas, naudojimas, loginės ir (ar) aritmetinės operacijos, paieška, skleidimas, naikinimas ar kitoks veiksmas arba veiksmų rinkinys. 5. Duomenų tvarkymas automatiniu būdu duomenų tvarkymo veiksmai, visiškai ar iš dalies atliekami automatinėmis priemonėmis. 6. Duomenų tvarkytojas juridinis ar fizinis (kuris nėra duomenų valdytojo darbuotojas) asmuo, duomenų valdytojo įgaliotas tvarkyti asmens duomenis.duomenų tvarkytojas ir (ar) jo skyrimo tvarka gali būti nustatyti įstatymuose ar kituose teisės aktuose. 7. Duomenų valdytojas juridinis ar fizinis asmuo, kuris vienas arba drauge su kitais nustato asmens duomenų tvarkymo tikslus ir priemones.jeigu duomenų tvarkymo tikslus nustato įstatymai ar kiti teisės aktai, tai duomenų valdytojas ir (ar) jo skyrimo tvarka gali būti nustatyti tuose įstatymuose ar kituose teisės aktuose. 8. Išankstinė patikra numatomų duomenų tvarkymo veiksmų patikrinimas prieš juos pradedant šiame Įstatyme nustatytais atvejais. 9. Ypatingi asmens duomenys duomenys, susiję su fizinio asmens rasine ar etnine kilme, politiniais, religiniais, filosofiniais ar kitais įsitikinimais, naryste profesinėse sąjungose, sveikata, lytiniu gyvenimu, taip pat informacija apie asmens teistumą. 10. Susisteminta rinkmena rinkmena asmens duomenų, sistemiškai išdėstytų pagal tam tikrus su asmeniu susijusius kriterijus, leidžiančius lengviau surasti asmens duomenis rinkmenoje. 20 Gundermann/Tiaden