6 priedas POVE IKIO DUOMENŲ APSAUGAI VERTINIMO APRAŠAS 1. Nustačius poreikį atlikti poveikio duomenų apsaugai vertinimą, Administracijos direktorius sprendžia, kam pavesti minėto vertinimo atlikimą. Jeigu Administracijos direktoriaus sprendimu, yra samdoma konsultacines paslaugas teikianti įmonė, Administracijos direktorius (ar duomenų apsaugos pareigūnas) bendradarbiauja su šia įmone teikdamas jai visą susijusių informaciją, reikalingą vertinimui atlikti. 2. Panašių didelį pavojų keliančių duomenų tvarkymo operacijų sekai išnagrinėti galima atlikti vieną vertinimą. 3. Jeigu Administracijos direktorius paveda duomenų apsaugos pareigūnui ar kitam Administracijos darbuotojui atlikti poveikio duomenų apsaugai vertinimą, pastarasis atlieka šiuos veiksmus: 3.1. Vertinamas būsimas duomenų tvarkymas, siekiant įsitikinti, ar jis atitiks visus Reglamente bei įstatymuose įtvirtintus asmens duomenų tvarkymo principus, ypatingai atidžiai atsižvelgiama į teisėtumo bei proporcingumo principų atitiktį. 3.2. Atliekamas numatytų duomenų tvarkymo operacijų aprašymas atskirai aprašant kiekvieną su asmens duomenimis atliekama veiksmą (įskaitant, bet neapsiribojant, surinkimas, saugojimas, perdavimas tvarkytojams, duomenų vertinimas ir kitos panašios asmens duomenų tvarkymo operacijos). 3.3. Atliekamas asmens duomenų tvarkymo tikslų aprašymas ir vertinimas. Vertinant asmens duomenų tvarkymo tikslus, be kita ko, atsižvelgiama ir į teisėtus interesus, kurių siekiant bus tvarkomi asmens duomenis. 3.4. Atliekamas duomenų tvarkymo operacijų reikalingumo ir proporcingumo, palyginant su tikslais, vertinimas. Atsižvelgiama į planuojamą duomenų tvarkymo sistemą, vertinimas vykdomas pradedant pirminiais veiksmais ir baigiant planuojamu asmens duomenų sunaikin imu. 3.5. Atliekamas duomenų tvarkymo operacijų reikalingumo ir proporcingumo, palyginimas su tikslais. Palyginant atsižvelgiama į proporcingumo, sąžiningumo ir saugumo principus. Konkrečiai į tai: - Ar numatomos operacijos tikrai yra būtinos siekiant pasiekti Duomenų valdytojo tikslus? - Ar numatomos operacijos nėra perteklinės? - Ar numatomos operacijos nekelia asmens duomenų paviešinimo ar nutekėjimo grėsmės? - Ar renkami asmens duomenys tikrai yra reikalingi Duomenų valdytojo tikslams pasiekti? 4. Atliekant vertinimą dėl asmens duomenų tvarkymo kylančio pavojaus asmens subjektų teisėms ir laisvėms, atsižvelgiama į duomenų tvarkymo: 4.1. Pobūdį. Vertinama, ar tikrai tie asmens duomenys yra svarbūs duomenų subjektų laisvėms ir teisėms. Ar asmens duomenų paviešinimas turėtų ypatingos reikšmės jų finansinei situacijai, socialinei padėčiai, paviešintų privataus gyvenimo detales ar kt. 4.2. Aprėptį. Vertinama, ar planuojama rinkti asmens duomenų apimtis yra proporcinga ir reikalinga siekiant pasiekti Duomenų valdytojo tikslams. Kiekvieno asmens duomens rinkimas turi būti pagrįstas ir atskirai aprašytas. 4.3. Kontekstą. Vertinamas asmens duomenų rinkimo kontekstas, kokiomis aplinkybėmis ir kaip surenkami asmens duomenys. Vertinama, ar asmens duomenų tvarkymo kontekstas gali lemti didesnį pavojų asmens duomenų saugumui; ar asmens duomenų subjekto teisės ir laisvės, tokios kaip privatumas, apsisprendimo laisvė ir pan. nebus pažeidžiamos atsižvelgiant į asmens duomenų tvarkymo kontekstą. 4.4. Tikslus. Vertinama, kokiems tikslams yra renkami asmens duomenys; ar asmens duomenų rinkimas gali turėti kokių nors neigiamų pasekmių duomenų subjektui. 5. Įvertinus kiekvieną atskirą saugumo lygį, vertinama bendro saugumo būklė, t. y., vertinama kokie išoriniai veiksmai gali pakenkti asmens duomenų subjekto teisėms ir laisvėms, pvz.