43 punktas

43. ŽIS valdytoja, ŽIS tvarkytoja ir kita ŽIS duomenų tvarkytoja turi Reglamente (ES) 2016/679 nurodytas teises ir pareigas. ŽIS tvarkytoja ir kita ŽIS duomenų tvarkytoja, veikiančios kaip ŽIS asmens duomenų tvarkytojos, atlieka ir šias funkcijas:

43.1. tvarko asmens duomenis vadovaudamosi Reglamentu (ES) 2016/679, Nuostatais ir laikydamosi ŽIS valdytojos raštu pateiktų nurodymų, įskaitant susijusius su asmens duomenų perdavimu trečiajai valstybei ar tarptautinei organizacijai, išskyrus atvejus, kai tai daryti reikalaujama pagal Europos Sąjungos arba Lietuvos Respublikos teisės aktus, kurie taikomi ŽIS tvarkytojai ir kitai ŽIS duomenų tvarkytojai; ŽIS tvarkytoja ir kita ŽIS duomenų tvarkytoja, prieš pradėdamos tvarkyti asmens duomenis, apie minėtą teisinį reikalavimą praneša ŽIS valdytojai, išskyrus atvejus, kai pagal Europos Sąjungos ar Lietuvos Respublikos teisės aktus tai pranešti draudžiama siekiant apsaugoti viešąjį interesą;

43.2. užtikrina, kad asmens duomenis tvarkyti ŽIS tvarkytojos ir kitos ŽIS duomenų tvarkytojos įgalioti asmenys būtų įsipareigoję užtikrinti konfidencialumą arba jiems būtų taikoma atitinkama teisės aktuose nustatyta konfidencialumo prievolė;

43.3. jeigu padaromas arba įtariama, kad buvo padarytas asmens duomenų saugumo pažeidimas, nedelsdamos, bet ne vėliau kaip per 24 valandas, imasi priemonių, kad būtų užkirstas kelias tolesnei žalai dėl asmens duomenų saugumo pažeidimo ir sumažinti šio pažeidimo padariniai. Apie įvykusį asmens duomenų saugumo pažeidimą nepagrįstai nedelsdamos, jei įmanoma, praėjus ne daugiau kaip 24 valandoms nuo asmens duomenų saugumo pažeidimo nustatymo, raštu ir (ar) elektroniniu paštu dap@am.lt informuoja ŽIS valdytoją ir pateikia Reglamento (ES) 2016/679 33 straipsnio 3 dalyje nurodytą informaciją. Jeigu visos informacijos neįmanoma pateikti vienu metu, informacija toliau nepagrįstai nedelsiant teikiama etapais;

43.4. imasi visų asmens duomenų saugos priemonių, kurių reikalaujama pagal Reglamento (ES) 2016/679 32 straipsnį – techninėmis ir organizacinėmis priemonėmis užtikrina duomenų saugą, tvarkomų asmens duomenų konfidencialumą, vientisumą ir prieinamumą, apsaugą nuo netyčinio arba neteisėto sunaikinimo, praradimo, pakeitimo, atskleidimo be leidimo ar neteisėtos prieigos prie jų ir nuo bet kokio kito neteisėto tvarkymo, taip pat saugų duomenų perdavimą elektroninių ryšių tinklais, ŽIS valdytojos prašymu per nurodytą terminą pateikia reikalingą informaciją, įrodančią, kad tokios priemonės taikytos;

43.5. gali pasitelkti kitą duomenų tvarkytoją tik turėdamos išankstinį ŽIS valdytojos leidimą, apie numatomą pasitelkimą raštu informuoja ŽIS valdytoją ne vėliau kaip prieš 30 dienų. Turėdamos ŽIS valdytojos rašytinį leidimą pasitelkti kitą tvarkytoją, ŽIS tvarkytoja ir kita ŽIS duomenų tvarkytoja kitam duomenų tvarkytojui sutartimi turi nustatyti tuos pačius asmens duomenų apsaugos įpareigojimus, kokie nustatyti Nuostatuose ŽIS tvarkytojai ir kitai ŽIS duomenų tvarkytojai, įskaitant įpareigojimą tinkamomis techninėmis ir organizacinėmis priemonėmis užtikrinti tvarkomų duomenų apsaugą, vadovaujantis Reglamentu (ES) 2016/679 ir kitais asmens duomenų tvarkymą reglamentuojančiais teisės aktais. ŽIS tvarkytoja ir kita ŽIS duomenų tvarkytoja atsako už kito duomenų tvarkytojo prievolių vykdymą;

43.6. padeda ŽIS valdytojai taikyti tinkamas technines ir organizacines priemones, kad būtų įvykdyta ŽIS valdytojos prievolė atsakyti į prašymus pasinaudoti Reglamento (ES) 2016/679 III skyriuje nustatytomis duomenų subjekto teisėmis. Jeigu ŽIS tvarkytoja ar kita ŽIS duomenų tvarkytoja gauna duomenų subjekto prašymą įgyvendinti Reglamente (ES) 2016/679 nustatytas duomenų subjekto teises, apie tai informuoja ŽIS valdytoją ir parengia atsakymą į jį, jei to padaryti negali (trūksta informacijos ir pan.), – duomenų subjekto prašymą per 5 dienas nuo gavimo persiunčia nagrinėti ir atsakyti ŽIS valdytojai;

43.7. atsižvelgdamos į duomenų tvarkymo pobūdį ir ŽIS tvarkytojos ar kitos ŽIS duomenų tvarkytojos turimą informaciją, padeda ŽIS valdytojai užtikrinti, kad būtų laikomasi Reglamento (ES) 2016/679 32–36 straipsniuose nustatytų prievolių;

43.8. ŽIS tvarkytoja ir kita ŽIS duomenų tvarkytoja, gavusios ŽIS valdytojos prašymą, per ŽIS valdytojos nurodytą terminą pateikia informaciją, kuri ŽIS valdytojai būtina atliekant poveikio duomenų apsaugai vertinimą vadovaujantis Reglamento (ES) 2016/679 35 straipsniu, įskaitant informacijos pateikimą, kai ŽIS valdytoja nusprendžia kreiptis į Valstybinę duomenų apsaugos inspekciją dėl išankstinių konsultacijų;

43.9. nustojusios vykdyti ŽIS tvarkytojos ir kitos ŽIS duomenų tvarkytojos funkcijas, ištrina visus asmens duomenis ir jų kopijas, išskyrus, kai pagal Europos Sąjungos ar Lietuvos Respublikos teisės aktus ŽIS tvarkytojai ir kitai ŽIS duomenų tvarkytojai nustatyta pareiga juos saugoti;

43.10. ŽIS valdytojai pareikalavus, pateikia jai visą informaciją apie Reglamento (ES) 2016/679 28 straipsnyje nustatytų prievolių vykdymą, sudaro sąlygas ir padeda ŽIS valdytojai arba kitam jos įgaliotam auditoriui atlikti auditą, įskaitant asmens duomenų saugos reikalavimų laikymosi patikrinimus. ŽIS tvarkytoja ir kita ŽIS duomenų tvarkytoja nedelsdamos raštu informuoja ŽIS valdytoją, jei, jų nuomone, ŽIS valdytojos nurodymas pateikti informaciją pažeidžia Reglamentą (ES) 2016/679 ar kitus duomenų apsaugos srities teisės aktus.