29 straipsnis. Pranešimas apie asmens duomenų saugumo pažeidimą Valstybinei duomenų apsaugos inspekcijai
Asmens duomenų, tvarkomų nusikalstamų veikų prevencijos, tyrimo, atskleidimo ar baudžiamojo persekiojimo už jas, bausmių vykdymo arba nacionalinio saugumo ar gynybos tikslais, teisinės apsaugos įstatymo 29 straipsnis
1. Duomenų valdytojas nedelsdamas ir, jei įmanoma, ne vėliau kaip per 72 valandas nuo sužinojimo apie asmens duomenų saugumo pažeidimą turi pranešti apie asmens duomenų saugumo pažeidimą Valstybinei duomenų apsaugos inspekcijai, nebent šis pažeidimas neturėtų kelti pavojaus žmogaus teisėms ir laisvėms. Jeigu pranešimas apie asmens duomenų saugumo pažeidimą Valstybinei duomenų apsaugos inspekcijai pateikiamas vėliau negu per 72 valandas, prie jo pridedama informacija apie vėlavimo priežastis.
2. Duomenų tvarkytojas, sužinojęs apie asmens duomenų saugumo pažeidimą, nedelsdamas apie tai praneša duomenų valdytojui.
3. Šio straipsnio 1 dalyje nurodytame pranešime turi būti:
1) aprašytas asmens duomenų saugumo pažeidimo pobūdis, įskaitant, jeigu įmanoma, duomenų subjektų kategorijas ir apytikslį jų skaičių, taip pat asmens duomenų įrašų kategorijas ir apytikslį jų skaičių;
2) nurodyta duomenų apsaugos pareigūno arba kito kontaktinio asmens, galinčio suteikti daugiau informacijos, vardas ir pavardė, kontaktiniai duomenys (adresas, telefono ryšio numeris ir (ar) elektroninio pašto adresas);
3) aprašyti tikėtini asmens duomenų saugumo pažeidimo padariniai;
4) aprašytos priemonės, kurių ėmėsi duomenų valdytojas arba kurių siūloma jam imtis, kad būtų pašalintas asmens duomenų saugumo pažeidimas, įskaitant, kai tinkama, galimų neigiamų šio pažeidimo padarinių mažinimo priemones;
5) pateikta kita reikšminga informacija duomenų valdytojo nuožiūra.
4. Jeigu šio straipsnio 3 dalyje nurodytos informacijos neįmanoma pateikti tuo pačiu metu, ši informacija toliau nedelsiant gali būti teikiama dalimis.
5. Duomenų valdytojas fiksuoja raštu, įskaitant elektroninę formą, visus šio straipsnio 1 dalyje nurodytus asmens duomenų saugumo pažeidimus, įskaitant su asmens duomenų saugumo pažeidimu susijusius faktus, šio pažeidimo poveikį ir taisomuosius veiksmus, kurių buvo imtasi. Remdamasi dokumentais, kuriuose užfiksuoti asmens duomenų saugumo pažeidimai, Valstybinė duomenų apsaugos inspekcija turi turėti galimybę patikrinti, ar laikomasi šio straipsnio nuostatų.
6. Kai asmens duomenų saugumo pažeidimas yra susijęs su asmens duomenimis, kuriuos persiuntė kitos Europos Sąjungos valstybės narės duomenų valdytojas arba kurie buvo persiųsti kitos Europos Sąjungos valstybės narės duomenų valdytojui, šio straipsnio 3 dalyje nurodyta informacija nedelsiant turi būti pateikta tos Europos Sąjungos valstybės narės duomenų valdytojui.
7. Šio straipsnio nuostatos netaikomos kompetentingoms institucijoms, kai jos asmens duomenis tvarko nacionalinio saugumo ar gynybos tikslais.
Kitos šio straipsnio redakcijos šiame tekste (1)
Redakcija
1. Duomenų valdytojas nedelsdamas ir, jei įmanoma, ne vėliau kaip per 72 valandas nuo sužinojimo apie asmens duomenų saugumo pažeidimą turi pranešti apie asmens duomenų saugumo pažeidimą Valstybinei duomenų apsaugos inspekcijai, nebent šis pažeidimas neturėtų kelti pavojaus žmogaus teisėms ir laisvėms. Jeigu pranešimas apie asmens duomenų saugumo pažeidimą Valstybinei duomenų apsaugos inspekcijai pateikiamas vėliau negu per 72 valandas, prie jo pridedama informacija apie vėlavimo priežastis.
2. Duomenų tvarkytojas, sužinojęs apie asmens duomenų saugumo pažeidimą, nedelsdamas apie tai praneša duomenų valdytojui.
3. Šio straipsnio 1 dalyje nurodytame pranešime turi būti:
1) aprašytas asmens duomenų saugumo pažeidimo pobūdis, įskaitant, jeigu įmanoma, duomenų subjektų kategorijas ir apytikslį jų skaičių, taip pat asmens duomenų įrašų kategorijas ir apytikslį jų skaičių;
2) nurodyta duomenų apsaugos pareigūno arba kito kontaktinio asmens, galinčio suteikti daugiau informacijos, vardas ir pavardė, kontaktiniai duomenys (adresas, telefono ryšio numeris ir (ar) elektroninio pašto adresas);
3) aprašyti tikėtini asmens duomenų saugumo pažeidimo padariniai;
4) aprašytos priemonės, kurių ėmėsi duomenų valdytojas arba kurių siūloma jam imtis, kad būtų pašalintas asmens duomenų saugumo pažeidimas, įskaitant, kai tinkama, galimų neigiamų šio pažeidimo padarinių mažinimo priemones;
5) pateikta kita reikšminga informacija duomenų valdytojo nuožiūra.
4. Jeigu šio straipsnio 3 dalyje nurodytos informacijos neįmanoma pateikti tuo pačiu metu, ši informacija toliau nedelsiant gali būti teikiama dalimis.
5. Duomenų valdytojas fiksuoja raštu, įskaitant elektroninę formą, visus šio straipsnio 1 dalyje nurodytus asmens duomenų saugumo pažeidimus, įskaitant su asmens duomenų saugumo pažeidimu susijusius faktus, šio pažeidimo poveikį ir taisomuosius veiksmus, kurių buvo imtasi. Remdamasi dokumentais, kuriuose užfiksuoti asmens duomenų saugumo pažeidimai, Valstybinė duomenų apsaugos inspekcija turi turėti galimybę patikrinti, ar laikomasi šio straipsnio nuostatų.
6. Kai asmens duomenų saugumo pažeidimas yra susijęs su asmens duomenimis, kuriuos persiuntė kitos Europos Sąjungos valstybės narės duomenų valdytojas arba kurie buvo persiųsti kitos Europos Sąjungos valstybės narės duomenų valdytojui, šio straipsnio 3 dalyje nurodyta informacija nedelsiant turi būti pateikta tos Europos Sąjungos valstybės narės duomenų valdytojui.
7. Šio straipsnio nuostatos netaikomos Lietuvos Respublikos valstybės institucijoms, kai jos asmens duomenis tvarko nacionalinio saugumo arba gynybos tikslais.