Kada darbuotojas tampa savarankišku duomenų valdytoju?

Pagal BDAR darbuotojas paprastai nelaikomas savarankišku duomenų valdytoju, kai duomenis tvarko darbdavio vardu ir tik jo nustatytais tikslais. Tai reiškia, kad darbuotojas gali naudotis tik tais duomenimis, kurie būtini jo pareigoms atlikti.

Situacija iš esmės keičiasi tada, kai prieiga panaudojama ne darbo reikmėms, o asmeniniams tikslams. Tokiais atvejais darbuotojas gali būti laikomas veikiančiu savarankiškai, nes duomenis tvarko jau ne darbdavio, o savo pasirinktais interesais.

Nekaltas smalsumas gali baigtis rimtomis pasekmėmis

Praktikoje pasitaiko atvejų, kai darbuotojai peržiūri informaciją vien iš smalsumo, dėl asmeninių santykių ar kitų žmonių prašymu. Tai gali atrodyti nereikšminga, tačiau teisinės pasekmės gali būti labai rimtos.

Advokatų kontoros „WIDEN“ partnerė, advokatė, duomenų apsaugos, intelektinės nuosavybės ir IT teisės praktikos vadovė Asta Macijauskienė atkreipia dėmesį, kad praktikoje buvo situacijų, kai darbuotojas socialiniuose tinkluose paskelbė pacientės nuotrauką, o valstybės institucijos darbuotojas kaimynės prašymu rinko informaciją apie jos sutuoktinį, planuojant ją panaudoti skyrybų byloje. Nors prieiga prie duomenų buvo suteikta dėl darbo funkcijų, jų naudojimo tikslas su darbu jau nebeturėjo nieko bendra.

Tokiais atvejais darbuotojui gali grėsti administracinė atsakomybė, civiliniai ieškiniai dėl žalos atlyginimo, o kai kuriais atvejais – ir baudžiamoji atsakomybė.

Kada atsakomybė tenka darbdaviui?

Vien darbuotojo pažeidimas dar nereiškia, kad automatiškai atsakinga ir organizacija. Vis dėlto darbdavio atsakomybė gali kilti tada, jei nebuvo užtikrintos tinkamos duomenų apsaugos priemonės.

Pasak A. Macijauskienės, darbdaviai turi ne tik parengti vidines taisykles, bet ir realiai mokyti darbuotojus, aiškiai informuoti apie jų atsakomybę, suteikiamas prieigas bei pasekmes pažeidus nustatytą tvarką.

BDAR taip pat įpareigoja organizacijas diegti technines ir organizacines priemones, kurios užkirstų kelią neteisėtam duomenų naudojimui. Viena svarbiausių priemonių – griežtas prieigos teisių valdymas, kai prie duomenų gali prisijungti tik tie darbuotojai, kuriems tai būtina darbui.

Didėjanti rizika verslui

Smalsūs darbuotojai darbdaviams kelia ne tik reputacinę, bet ir finansinę bei teisinę riziką. Todėl vien pasitikėjimo darbuotojų sąmoningumu nepakanka. Organizacijos turi aktyviai valdyti šią riziką: riboti prieigas, reguliariai mokyti darbuotojus, nustatyti aiškias taisykles ir užtikrinti jų laikymąsi.

Ekspertai pabrėžia, kad tinkama asmens duomenų apsauga prasideda ne vien nuo technologijų. Ji prasideda nuo vidinės kultūros, kurioje kiekvienas darbuotojas supranta, kad prieiga prie duomenų nėra teisė jais naudotis savo nuožiūra.