74 straipsnis. Duomenų tvarkymo saugumas

1. Viešųjų elektroninių ryšių paslaugų teikėjai privalo įgyvendinti tinkamas technines ir organizacines priemones savo teikiamų elektroninių ryšių paslaugų saugumui užtikrinti, o prireikus kartu su viešųjų elektroninių ryšių tinklų teikėjais imtis tokių pačių priemonių viešųjų elektroninių ryšių tinklų saugumui užtikrinti. Šios priemonės turi atitikti Reglamente (ES) 2016/679 nustatytus reikalavimus, užtikrinti saugumo lygį, atitinkantį iškilusią grėsmę, ir užtikrinti:

1) kad su asmens duomenimis galėtų susipažinti tik tokią teisę turintys viešųjų elektroninių ryšių tinklų ir (arba) viešųjų elektroninių ryšių paslaugų teikėjo įgalioti darbuotojai teisėtais tikslais;

2) tvarkomų asmens duomenų apsaugą nuo atsitiktinio arba neteisėto sunaikinimo, atsitiktinio praradimo ar pakeitimo ir neteisėto saugojimo, tvarkymo, susipažinimo ar atskleidimo, taip pat nuo bet kokio kito neteisėto tvarkymo;

3) kad būtų įgyvendinama asmens duomenų saugumo politika asmens duomenų tvarkymo srityje.

2. Valstybinė duomenų apsaugos inspekcija rengia metodines rekomendacijas dėl šio straipsnio 1 dalyje nurodytomis priemonėmis užtikrintino saugumo lygio ir jas viešai skelbia savo interneto svetainėje.

3. Neteko galios nuo 2024-10-18

4. Asmens duomenų saugumo pažeidimo atveju viešųjų elektroninių ryšių tinklų ir (arba) viešųjų elektroninių ryšių paslaugų teikėjas nedelsdamas privalo pranešti apie šį pažeidimą Valstybinei duomenų apsaugos inspekcijai. Tuo atveju, jeigu asmens duomenų saugumo pažeidimas gali turėti neigiamą poveikį abonento ar registruotojo viešųjų elektroninių ryšių paslaugų gavėjo arba kito asmens duomenų ar privatumo saugumui, viešųjų elektroninių ryšių tinklų ir (arba) viešųjų elektroninių ryšių paslaugų teikėjas taip pat privalo apie tai pranešti abonentui ar registruotajam viešųjų elektroninių ryšių paslaugų gavėjui arba kitam asmeniui, išskyrus atvejus, kai viešųjų elektroninių ryšių tinklų ir (arba) viešųjų elektroninių ryšių paslaugų teikėjas Valstybinei duomenų apsaugos inspekcijai įrodo, kad įgyvendino tinkamas technines priemones, kurios buvo taikomos saugumo pažeidimo paveiktiems asmens duomenims, ir jos užtikrina, kad tam neįgalioti asmenys negalėtų susipažinti su asmens duomenimis.

5. Valstybinė duomenų apsaugos inspekcija, įvertinusi asmens duomenų saugumo pažeidimo neigiamą poveikį, gali įpareigoti viešųjų elektroninių ryšių tinklų ir (arba) viešųjų elektroninių ryšių paslaugų teikėją pranešti apie asmens duomenų saugumo pažeidimą abonentui ar registruotajam viešųjų elektroninių ryšių paslaugų gavėjui arba kitam asmeniui, jeigu viešųjų elektroninių ryšių tinklų ir (arba) viešųjų elektroninių ryšių paslaugų teikėjas dar nėra to padaręs.

6. Šio straipsnio 4 ir 5 dalyse nurodytame pranešime viešųjų elektroninių ryšių tinklų ir (arba) viešųjų elektroninių ryšių paslaugų teikėjas apibūdina asmens duomenų saugumo pažeidimo pobūdį ir pateikia kontaktinius duomenis, kuriais galima gauti daugiau informacijos, ir nurodo rekomenduojamas priemones, skirtas asmens duomenų saugumo pažeidimo neigiamam poveikiui sumažinti. Pranešime Valstybinei duomenų apsaugos inspekcijai papildomai turi būti nurodyti asmens duomenų saugumo pažeidimo padariniai ir priemonės, kurias pasiūlė ar kurių ėmėsi viešųjų elektroninių ryšių tinklų ir (arba) viešųjų elektroninių ryšių paslaugų teikėjas asmens duomenų saugumo pažeidimui išaiškinti.

7. Šio straipsnio 4 ir 5 dalyse nurodyti pranešimai teikiami vadovaujantis Reglamentu (ES) Nr. 611/2013.

8. Viešųjų elektroninių ryšių tinklų ir (arba) viešųjų elektroninių ryšių paslaugų teikėjai registruoja asmens duomenų saugumo pažeidimų atvejus ir kaupia informaciją apie tokių pažeidimų priežastis, jų poveikį ir priemones, kurių buvo imtasi, ir kitokio pobūdžio informaciją, kuri leistų patikrinti, kaip buvo laikomasi šio straipsnio 4–7 dalių nuostatų.

9. Valstybinė duomenų apsaugos inspekcija įstatymų ir kitų teisės aktų nustatyta tvarka ir sąlygomis tikrina:

1) kaip viešųjų elektroninių ryšių tinklų ir (arba) viešųjų elektroninių ryšių paslaugų teikėjai įgyvendina šio straipsnio 1 dalyje nurodytas priemones;

2) ar viešųjų elektroninių ryšių tinklų ir (arba) viešųjų elektroninių ryšių paslaugų teikėjai tinkamai vykdo šio straipsnio 4–7 dalyse nurodytą pareigą pranešti apie asmens duomenų saugumo pažeidimus.