Su asmens duomenimis ir jų tvarkymu susiduria bet kuri įmonė savo veikloje, nesvarbu, ar įmonė didelė, ar maža, veikia vietinėje ar pasaulinėje rinkoje. Asmenys vis geriau žino apie savo teisę į privatumą ir teisę į savo asmens duomenų apsaugą. Netinkamas asmens duomenų tvarkymas gali pakenkti organizacijos reputacijai ir sumažinti asmenų pasitikėjimą, kuris įgyjamas per ilgus metus. Advokatų profesinės bendrijos „NEWTON LAW“ advokatė Asta Kederytė atkreipia dėmesį, kad kiekviena įmonė privalo užtikrinti tvarkomų asmens duomenų saugumą nuo bet kokių galimų pažeidimų.
Bendrasis duomenų apsaugos reglamentas (BDAR) asmens duomenų saugumo pažeidimą apibrėžia taip „saugumo pažeidimas, dėl kurio netyčia arba neteisėtai sunaikinami, prarandami, pakeičiami, be leidimo atskleidžiami persiųsti, saugomi arba kitaip tvarkomi asmens duomenys arba prie jų be leidimo gaunama prieiga“. Pavyzdžiui, darbuotojas gali netyčia atskleisti jautrią informaciją arba tyčia pavogti įmonės duomenis ir perduoti juos trečiajai šaliai (arba juos parduoti). Taip pat gali įvykti kibernetinės atakos, kurių pasekmė – pavogta informacija iš įmonės duomenų bazės, kurioje saugomi jautrūs duomenys.
Asmens duomenų saugumo pažeidimai skirstomi į tris tipus:
1. konfidencialumo pažeidimą – be Klinikos leidimo ar neteisėtai tretiesiems asmenims atskleidžiami asmens duomenys arba suteikiama prieiga prie šių duomenų;
2. prieinamumo pažeidimą – dėl neatsargumo arba neteisėtai prarandama prieiga prie Klinikos ar jos duomenų tvarkytojų tvarkomų asmens duomenų arba pastarieji asmens duomenys dėl neatsargumo arba neteisėtai yra sunaikinami;
3. vientisumo pažeidimą – Klinikos ar jos duomenų tvarkytojų tvarkomi asmens duomenys be Klinikos leidimo, dėl neatsargumo ar neteisėtai yra pakeičiami.
Būna atvejų, kuomet vienas asmens duomenų saugumo pažeidimas gali atitikti ir kelis tipus.
Advokatų profesinės bendrijos „NEWTON LAW“ advokatė Asta Kederytė pažymi, kad kiekvienoje įmonėje turi būti parengta ir patvirtinta vidinė tvarka, kuri padėtų užtikrinti efektyvų reagavimą į galimą asmens duomenų saugumo pažeidimą, nustatyto pažeidimo valdymą ir operatyvų jo sukeltų padarinių šalinimą, siekiant kiek įmanoma sumažinti riziką įmonei bei duomenų subjektų teisėms ir laisvėms. Šioje tvarkoje turėtų būti nustatytos pareigos darbuotojams, pastebėjusiems ar sužinojusiems apie galimą pažeidimą, nedelsiant pranešti asmenims, atsakingiems už jų tyrimą, nustatymą ir valdymą bei sukeltų padarinių šalinimą. Tuomet atsakingas asmuo turėtų nedelsiant pradėti tyrimą dėl galimo asmens duomenų saugumo pažeidimo. Tyrimo metu yra įvertinama gauta informacija, jos pakankamumas, patikimumas ir teisingumas, o tyrimo pabaigoje surašoma išvada, kurioje pažymima, ar buvo nustatytas pažeidimas. Jei pažeidimas nebuvo nustatytas, tyrimas nutraukiamas. Jei pažeidimas nustatomas, tyrimą atlikęs asmuo privalo papildomai įvertinti sukeltos rizikos lygį.
BDAR numato įmonėms pareigą pranešti Valstybinei duomenų apsaugos inspekcijai (VDAI) bei duomenų subjektams apie įvykusį pažeidimą priklausomai nuo kilusio pavojaus lygio. Rizikos lygiai skirstomi į žemą, vidutinę ir didelę riziką. Vertinant, kokio lygio rizika kyla duomenų subjekto teisėms ir laisvėms, reikia vadovautis protingumo principu ir atsižvelgti į tai, kokie padariniai atsiranda dėl šio pažeidimo. Tinkamas pavojaus įvertinimas yra svarbus sprendžiant, ar apie pažeidimą būtina pranešti VDAI ir ar reikia informuoti duomenų subjektus.
Advokatė Asta Kederytė taip pat atkreipia dėmesį, kad įmonėms, neturint tvarkingai dokumentuotų procesų dėl reagavimo į asmens duomenų saugumo pažeidimus ar jų valdymo, tampa gan sudėtinga užtikrinti BDAR įtvirtintus reikalavimus, savalaikiai sureaguoti į juos, sumažinant galimas rizikas duomenų subjektams, kurių asmens duomenis įmonė tvarko, ar įvykdyti BDAR numatytą pareigą pranešti apie nustatytus pažeidimus.
