Vaizdo duomenų tvarkymo taisyklės – organizacijos vidaus dokumentas, kuris yra skirtas reglamentuoti organizacijos planuojamo vykdyti/vykdomo vaizdo stebėjimo metu gaunamų asmens duomenų tvarkymą, siekiant užtikrinti ir įrodyti Bendrojo asmens duomenų reglamento (toliau – BDAR), LR asmens duomenų teisinės apsaugos įstatymo (toliau – ADAĮ) bei kitų teisės aktų, reglamentuojančių asmens duomenų tvarkymą ir apsaugą, keliamų reikalavimų laikymąsi ir įgyvendinimą.

Reikalavimas  būti pasirengus ir pasitvirtinus galiojančias vaizdo duomenų tvarkymo taisykles

Reikalavimas būti pasirengus ir pasitvirtinus vaizdo duomenų tvarkymo taisykles, ar kitą analogišką dokumentą, pavyzdžiui, vaizdo duomenų apsaugos politiką yra taikomas, visais atvejais, kai organizacija vykdo ar planuoja vykdyti vaizdo stebėjimą. Šis reikalavimas netaikomas tik tais atvejais, kai vaizdo stebėjimą vykdo fizinis asmuo jam nuosavybės teise priklausančioje teritorijoje.^[1]

Vaizdo duomenų tvarkymo taisyklių turinys

Vaizdo duomenų tvarkymo taisyklės paprastai nustato:

1. Vaizdo stebėjimo tikslą;
2. Informaciją apie tai, kuri teritorijos dalis yra stebima, kuriuo metu yra stebima bei kiek laiko yra saugomi surinkti duomenys;
3. Kaip asmuo gali susipažinti su surinktais duomenimis apie jį;
4. Duomenų valdytojo funkcijas, teises ir pareigas;
5. Duomenų tvarkytojo funkcijas, teises ir pareigas;
6. Duomenų apsaugos pareigūno funkcijas;
7. Technines ir organizacines asmens domenų saugumo priemones;
8. Duomenų subjekto teisių įgyvendinimo tvarką;
9. Vaizdo duomenų saugumo pažeidimų valdymo ir reagavimo į šiuos pažeidimus tvarką;
10. Asmens duomenų tvarkymo sutartims keliamus reikalavimus.

BDAR nenumato specialių reikalavimų vaizdo stebėjimo reguliavimui, todėl organizacijų rengiamoms taisyklėms yra taikomi bendri reikalavimai dėl asmens duomenų tvarkymo. BDAR preambulės 39 punkte nustatyta, kad bet kuris asmens duomenų tvarkymas turėtų būti teisėtas ir sąžiningas. Taikant teisėtumo, sąžiningumo ir skaidrumo principą, fiziniams asmenims turėtų būti aišku, kaip su jais susiję asmens duomenys yra renkami, naudojami, su jais susipažįstama, taip pat kokiu mastu asmens duomenys yra ar bus tvarkomi.[2] Taigi organizacijos, vykdydamos vaizdo stebėjimą, turėtų parengti ir patvirtinti vaizdo duomenų tvarkymo taisykles, bei supažindinti su jomis savo darbuotojus ir taip užtikrinti BDAR įtvirtinto skaidrumo ir atskaitomybės principų įgyvendinimą.

Tam, kad būtų įgyvendintas teisėtumo, sąžiningumo ir skaidrumo principas, praktikoje yra įprasta prie vaizdo duomenų tvarkymo taisyklių pridėti ir šiuos priedus:

1. Informacinės lentelės (lipduko) apie vykdomą vaizdo stebėjimą pavyzdinė forma, kuria žymima stebima teritorija;
2. Teritorijų, kuriose vykdomas vaizdo stebėjimas sąrašas, kuriame nurodomos vaizdo stebėjimo vietos, kamerų tipai, skaičius bei fiksuojamo vaizdo aprašymas;
3. Darbuotojų supažindinimo su vaizdo duomenų tvarkymo taisyklėmis žurnalas arba kito dokumento, patvirtinančio darbuotojo informavimą, pavyzdinė forma;
4. Darbuotojo pasižadėjimas saugoti duomenų paslaptį;
5. Kiti priedai, kuriais bus naudojamasi, siekiant užtikrinti vaizdo stebėjimo taisyklių atitiktį teisės aktams, pavyzdžiui, vaizdo stebėjimo stacionaria vaizdo įranga duomenų rinkimo žurnalas.

Vaizdo duomenų tvarkymo taisyklių naudojimo pagrindinės sąlygos

1. Patvirtinus vaizdo duomenų tvarkymo taisykles visi darbuotojai turi būti pasirašytinai supažindinami su taisyklėmis;
2. Naujas darbuotojas, prieš pasirašant darbo sutartį, turi būti supažindintas su Vaizdo duomenų tvarkymo taisyklėmis. Pasirašydamas jis įsipareigoja, laikytis taisyklėse nurodytos tvarkos;
3. Organizacijos vaizdo duomenų tvarkymo taisyklių skaitmeninis variantas paprastai saugomas organizacijos serveryje;
4. Taisyklių egzempliorius, kuris saugomas įmonės archyve, turi būti surištas, surišimas antspauduotas įmonės antspaudu su direktoriaus parašu;
5. Esant poreikiui vaizdo duomenų tvarkymo taisyklės gali būti peržiūros ir keičiamos;
6. Jeigu vaizdo duomenų tvarkymo taisyklėse yra atliekami pakeitimai, visi darbuotojai su pakeitimais turi supažindinami pasirašytinai.

Vaizdo duomenų tvarkymo taisyklės: kokia jų vieta poveikio duomenų apsaugai vertinimo dokumentacijoje

Remiantis BDAR 35 str. 2 d. c) punktu bei VDAI direktoriaus 2019 m. kovo 14 d. įsakymu patvirtintu „Duomenų tvarkymo operacijų, kurioms taikomas reikalavimas atlikti poveikio duomenų apsaugai vertinimą, sąrašu“ prieš pradėdamos vykdyti vaizdo stebėjimą šiuose teisės aktuose nurodytais būdais organizacijos turi atlikti poveikio duomenų apsaugai vertinimą (PDAV). Atlikti PDAV, planuojant vykdyti vaizdo stebėjimą, yra privaloma, kai vaizdo stebėjimas vykdomas:

1. patalpose ir (ar) teritorijose, kurios nėra duomenų valdytojo valdomos nuosavybės ar kitais teisėtais pagrindais, kai vaizdo stebėjimas vykdomas laikantis BDAR 5 straipsnyje nustatytų su asmens duomenų tvarkymu susijusių principų, pvz., jeigu vaizdo stebėjimas apimtų viešąją erdvę;
2. sveikatos priežiūros, socialinės globos, įkalinimo įstaigose ir kitose įstaigose, kuriose paslaugos yra teikiamos pažeidžiamiems asmenims;
3. kartu su garso įrašymu;
4. sistemingai viešose vietose dideliu mastu.

BDAR 25 straipsnyje ir preambulės 78 konstatuojamoje dalyje nurodyta, kad tvarkant asmens duomenis reikia imtis tinkamų techninių ir organizacinių priemonių siekiant užtikrinti, kad būtų laikomasi BDAR reikalavimų. Kad galėtų įrodyti, jog laikosi BDAR, duomenų valdytojas turėtų priimti vidaus nuostatas ir įgyvendinti priemones, kuriomis visų pirma būtų paisoma pritaikytosios ir standartizuotosios duomenų apsaugos principų. Techninėmis ir organizacinėmis priemonėmis, pirmiausia, turėtų būti užtikrinama, kad: 1. siekiami tikslai aiškiai apibrėžti ir asmens duomenys toliau netvarkomi su tais tikslais nesuderinamu būdu (tikslo apribojimo principas). 2. asmens duomenys  adekvatūs, tinkami ir tik tokie, kurių reikia siekiant tikslų, dėl kurių jie tvarkomi (duomenų kiekio mažinimo principas) ir pan.

Būtent vaizdo duomenų tvarkymo taisyklės yra vienas iš tų dokumentų, kuriuose gali būti išdėstytos techninės ir organizacinės priemonės, jose taip pat nustatant vaizdo duomenų tvarkymo tikslus, teisėtumo sąlygas, rinkimo būdus, saugojimo vietą ir terminą, duomenų subjektų teisių įgyvendinimo tvarką ir kitas nuostatas pagal BDAR. Daugiau informacijos apie BDAR dokumentus, reikalingus vykdant vaizdo stebėjimą, pateikiama konsultacijoje „Kaip užtikrinti atitiktį norint pradėti naują asmens duomenų tvarkymą naudojant vaizdo prietaisą?”

Todėl suprantama, kad praktikoje organizacijos, atlikdamos poveikio duomenų apsaugai vertinimą, ir pildydamos jo dokumentaciją, paprastai rengia ir Vaizdo duomenų tvarkymo taisyklių projektą.

[1] https://vdai.lrv.lt/uploads/vdai/documents/files/Atmintine-vaizdo_stebejimo_reikalavimu_2019-05-10.pdf

[2]https://vdai.lrv.lt/uploads/vdai/documents/files/Rekomendacija_vaizdoduomenutvarkymo_20190425.pdf