Atsakymas VDAI į paklausimą: paaiškinimų ir priedų byla

Gavus Valstybinės duomenų apsaugos inspekcijos paklausimą, pirmas darbas yra tiksliai susieti kiekvieną klausimą su faktu, atsakingu darbuotoju ir įrodymu. Vien bendras pareiškimas, kad organizacija laikosi BDAR, nepaaiškina, kas įvyko konkrečią dieną ir kokia sistema buvo naudojama. Tvarkingas atsakymas turi leisti VDAI suprasti aplinkybes, o organizacijai – patikrinti, kad jos paaiškinimas neprieštarauja pridedamiems dokumentams.

Toliau pateiktas darbo modelis skirtas Lietuvos organizacijai, kuri atsako į VDAI užklausą dėl galimo neleistino dokumento atskleidimo. Scenarijus ir jo datos yra hipotetiniai. Čia pateikiama bylos rengimo eiga, o konkretaus paklausimo apimtį, terminą ir pateikimo sąlygas reikia nustatyti iš gauto dokumento bei taikomos procedūros.

Patikrinkite, kokį procesinį dokumentą gavote

Užregistruokite VDAI rašto datą, numerį, gavimo laiką, adresatą, atsakymo terminą ir atsakingo pareigūno kontaktą. Atskirai pažymėkite, ar tai paklausimas nagrinėjant skundą, tyrimo ar patikrinimo dokumentas, ar kito pobūdžio kreipimasis. Šie procesai neturi būti automatiškai sutapatinami vien dėl to, kad siuntėjas yra ta pati institucija.

VDAI skelbia skundų nagrinėjimo informaciją ir susijusių teisės aktų nuorodas. Jos direktoriaus įsakymų sąraše skundų nagrinėjimo aprašas nurodytas su 2025 m. lapkričio 17 d. pakeitimais, o tyrimų ir patikrinimų taisyklės pateiktos atskirai. Prieš remdamiesi sena vidine atmintine patikrinkite taikomą aktualią redakciją. VDAI skundų nagrinėjimas, VDAI direktoriaus įsakymai.

BDAR 31 straipsnis numato bendradarbiavimą su priežiūros institucija, o 58 straipsnis suteikia jai tyrimo įgaliojimus, įskaitant reikalingos informacijos gavimą. Tai nereiškia, kad organizacija turi spėlioti neaiškaus klausimo prasmę. Jei prašomo laikotarpio ar sistemos ribos nesuprantamos, laiku pateikite konkretų patikslinimo klausimą ir kartu tęskite darbus dėl aiškios paklausimo dalies. BDAR oficialus tekstas.

Paskirkite vieną atsakymo koordinatorių

Koordinatorius valdo klausimų sąrašą, surenka atsakymus ir tikrina jų suderinamumą. IT komanda pateikia techninius faktus, proceso savininkas paaiškina veiklos eigą, teisininkas vertina teisinį argumentą, o duomenų apsaugos pareigūnas konsultuoja pagal savo užduotis. Vadovybės sprendimų ir organizacijos atsakomybės nereikia perkelti vien DAP.

Jeigu ta pati komanda pati priėmė ginčijamą sprendimą, naudinga numatyti papildomą faktų peržiūrą. Tai nėra kaltės prezumpcija: žmogus, kuris žino procesą, gali nepastebėti savo prielaidos. DAP nepriklausomumo patikra padeda išlaikyti konsultavimo ir esminių tvarkymo sprendimų ribas, kai pareigūnas dalyvauja atsakymo rengime.

Pradiniame susitarime užrašykite vidines rengimo datas, dokumentų saugojimo vietą ir kas gali bendrauti su VDAI organizacijos vardu. Vidinis terminas turi palikti laiko priedų ir parašo patikrai. Jei dalis įrodymų priklauso tiekėjui, jo prašymą siųskite anksti, nurodydami konkretų faktą, kurį reikia patvirtinti, o ne prašydami „visko apie incidentą“.

Išsaugokite originalius įrodymus ir jų kilmę

Gavus paklausimą įvertinkite, kuriuos su juo susijusius įrodymus būtina apsaugoti nuo įprasto automatinio pašalinimo. Sprendimas turi turėti aiškią apimtį: konkrečios sistemos įvykiai, laikotarpis, paskyra ar dokumento versija. Visos organizacijos duomenų saugojimo sustabdymas be atrankos paprastai nepadeda nei tyrimui, nei duomenų valdymui.

Originalų failą laikykite atskirai nuo darbo kopijos. Užrašykite, kas, kada ir iš kur jį gavo, kokia užklausa naudota eksportui ir ką eksportas apima. Jei laikas sistemoje įrašytas UTC, o laiške naudojamas Lietuvos vietos laikas, chronologijoje parodykite perskaičiavimą. Prieštaraujantys laikai dažnai atsiranda dėl skirtingų laiko juostų, todėl jų negalima tiesiog suvienodinti nepaliekant paaiškinimo.

Saugumo žurnalų politika padeda nustatyti įrodymų šaltinius, tačiau į VDAI bylą neturi automatiškai patekti visi žurnalai. Atrinkite su klausimu susijusią dalį ir paaiškinkite atrankos metodą. Jei reikalingų duomenų nebėra, užrašykite, kas patikrinta, kokia buvo taikoma saugojimo taisyklė ir kokie kiti šaltiniai gali patvirtinti aplinkybę.

Užpildyta klausimų ir įrodymų matrica

Hipotetiniame paklausime VDAI teiraujasi, kas turėjo prieigą prie kliento dokumento, ar jis parsisiųstas ir kokių veiksmų imtasi. Darbo lentelė gali atrodyti taip:

Lentelė neturi slėpti spragos. Jeigu P-01 rodo šiandienos, o ne įvykio dienos teises, tai nurodykite ir ieškokite istorinio šaltinio. Dabartinė ekrano kopija negali būti pateikta kaip neginčijamas ankstesnės būsenos įrodymas. Jei istorija nebuvo saugoma, atsakyme atskirkite patvirtintą faktą nuo darbuotojo paaiškinimo.

Kiekvienas VDAI klausimas turi turėti atsakymą net tada, kai atsakymas yra ribotas. Formuluotė „šiuo metu patvirtinome tik šias aplinkybes“ tikslesnė už absoliutų teiginį, kuriam trūksta įrodymų. Kartu nurodykite, kokį papildomą veiksmą atliekate ir kada tikitės gauti rezultatą, nesudarydami įspūdžio, kad institucija jau sutiko laukti.

Chronologija turi rodyti faktą ir žinojimo laiką

Atskirkite įvykio laiką nuo to momento, kada organizacija apie jį sužinojo. Pavyzdžiui, prieiga suteikta pirmadienį, dokumento peržiūra užregistruota antradienį, o netinkama grupės narystė pastebėta ketvirtadienį. Šios datos atsako į skirtingus klausimus. Neužtenka vienos eilutės „incidentas ketvirtadienį“.

Chronologijoje prie kiekvienos eilutės pridėkite šaltinį ir patikimumo ribą. Techninis įrašas gali rodyti sėkmingą parsisiuntimo užklausą, tačiau ne visada patvirtina, kad žmogus perskaitė visą failą ar jį persiuntė. Darbuotojo žodinis paaiškinimas gali papildyti istoriją, bet jo nereikia pristatyti kaip sistemos užregistruoto fakto.

Jeigu situacija gali būti asmens duomenų saugumo pažeidimas, atskirai vykdykite pažeidimų valdymo procedūrą. Atsakymo VDAI rengimas nepakeičia reikalingo pranešimo vertinimo ir neatideda kitų taikomų pareigų. Bylos chronologija gali padėti abiem procesams, tačiau jų dokumentų paskirtys turi likti aiškios.

Paaiškinimo tekstas: klausimas, atsakymas, įrodymas

Praktinis atsakymo fragmentas: „Į rašto 2 klausimą paaiškiname, kad dokumentą galėjo pasiekti palaikymo grupės nariai. Grupės narystę įvykio dieną patvirtina P-01. P-02 užfiksuota viena sėkminga parsisiuntimo užklausa iš paskyros A-17. Turimi žurnalai neleidžia patvirtinti, ar failas vėliau persiųstas. Nustačius perteklinę teisę ji pašalinta; pakeitimo ir kontrolinės patikros įrodymai pateikti P-04.“

Šis fragmentas nevertina tikro asmens veiksmų ir nėra VDAI išvada. Jis parodo, kaip rašyti tiksliai: aiškiai pasakyti, ką patvirtina įrodymai, ir neperžengti jų ribų. Teisinis argumentas pateikiamas po faktinio paaiškinimo, susiejant pasirinktą pagrindą ar priemonę su konkrečia aplinkybe.

Venkite masiškai pridėti politikų, kurios negaliojo įvykio metu. Jei procedūra atnaujinta po problemos, pridėkite ankstesnę versiją kaip istorinį šaltinį, o naują – kaip atliktos pataisos įrodymą. Naujo dokumento data neturi būti pakeista taip, kad susidarytų klaidingas ankstesnio taikymo įspūdis.

Konfidencialumas ir priedų atranka

Nustatykite, kuriuose prieduose yra kitų žmonių duomenų, saugumo detalių ar įstatymų saugomos paslapties. Taikomo skundų nagrinėjimo aprašo taisykles dėl tokių duomenų žymėjimo patikrinkite aktualiame dokumente. Vien bendras užrašas „konfidencialu“ ant visos bylos nepaaiškina, kuri konkreti informacija ir kodėl turi būti apsaugota. VDAI skundų nagrinėjimo aprašas.

Jeigu parengiate užtušuotą darbo ar perdavimo kopiją, išsaugokite originalą ir pažymėkite, kas pašalinta. Neužtušuokite VDAI prašomo esminio įrodymo nepaaiškinę priežasties ir nesuderinę tinkamo pateikimo būdo, kai to reikia. Tikslas – apsaugoti nesusijusią informaciją, išlaikant galimybę institucijai įvertinti nagrinėjamas aplinkybes.

Priedų indekse nurodykite numerį, pavadinimą, datą, versiją, failo formatą ir susijusį klausimą. Jei failas didelis, pridėkite reikalingų puslapių ar įrašų nuorodas paaiškinime. Tai padeda institucijai rasti įrodymą ir sumažina riziką, kad pati organizacija atsakydama remsis ne tuo eksportu.

Terminas, pasirašymas ir pateikimo įrodymas

Atsakymui į institucijos paklausimą automatiškai netaikykite BDAR 12 straipsnio vieno mėnesio termino, skirto tam tikriems duomenų subjektų prašymams. Vadovaukitės gautu raštu ir konkrečia procedūra. Jeigu objektyviai reikia daugiau laiko, kreipkitės prieš terminui pasibaigiant, nurodykite priežastį, atliktus veiksmus ir realią siūlomą datą. Prašymo pateikimas pats savaime nepatvirtina pratęsimo.

Prieš pateikdami patikrinkite įgaliotą pasirašantį asmenį ir kanalo reikalavimus. VDAI elektroninių paslaugų puslapyje nurodomi E. pristatymas, kvalifikuotu elektroniniu parašu pasirašytų dokumentų siuntimas el. paštu ir kiti pateikimo būdai. Konkrečiam paklausimui pirmiausia patikrinkite jame nurodytą tvarką. VDAI elektroninės paslaugos ir dokumentų pateikimas.

Galutinę siuntą atidarykite kaip gavėjas: patikrinkite parašą, priedų skaičių, failų skaitomumą ir tai, ar paaiškinimo nuorodos sutampa su priedais. Išsaugokite pateiktą galutinę versiją ir pristatymo patvirtinimą. Jeigu vėliau siunčiate papildymą, nurodykite ankstesnio atsakymo datą, naujus priedus ir aiškiai pasakykite, ką papildymas keičia.

Bylos uždarymas po pateikimo

Atsakymo išsiuntimas neuždaro vidinių pataisų. Paskirkite jų savininkus, patikrinkite rezultatą ir išsaugokite sprendimo istoriją atskaitomybės įrodymų aplanke. Jei VDAI pateikia papildomą klausimą, naują atsakymą susiekite su ta pačia chronologija, kad skirtinguose laiškuose nesusidarytų prieštaraujantys paaiškinimai.

Pasibaigus procesui peržiūrėkite specialaus įrodymų išsaugojimo poreikį ir tolesnį bylos saugojimą. Nereikia nei automatiškai ištrinti visko iškart gavus atsakymą, nei saugoti visų darbo kopijų be pabaigos. Dokumentų saugojimo rodyklės taikymo darbo lapas padeda atskirti privalomai saugomą bylą, pagrįstą įrodymų poreikį ir nebereikalingas technines kopijas.

Praktinė priedų patikra prieš vadovo parašą

Tarkime, galutinėje siuntoje yra paaiškinimas ir penki priedai. Koordinatorius atidaro P-02 ir pastebi, kad eksportas atrinktas pagal darbuotojo vardą, nors paklausime prašyta visų veiksmų su konkrečiu dokumentu. Tai materialus apimties skirtumas: kita paskyra galėjo atlikti tą patį veiksmą, tačiau jos įrašo išraše nėra. Eksportas parengiamas iš naujo pagal dokumento identifikatorių, o paaiškinime nurodomas tikras atrankos kriterijus. Ankstesnė darbo kopija nepervadinama galutine.

Kitame priede pateikta prieigos prašymo forma be patvirtinimo. Tokiu atveju organizacija negali rašyti, kad vadovas teisę patvirtino, vien dėl to, kad forma buvo sukurta. Reikia rasti patvirtinimo įrašą arba tiksliai paaiškinti, kokio įrodymo nėra. Jeigu darbuotojas patvirtina tai padaręs žodžiu, užrašykite jo paaiškinimo gavimo datą ir atskirkite jį nuo įvykio metu sudaryto dokumento. Tai padeda išvengti netyčinio vėlesnio paaiškinimo pateikimo kaip ankstesnio sprendimo kopijos.

Trečia patikra susijusi su gavėjais. Priedų rengėjas neturėtų persiųsti visos VDAI bylos bendrajam darbuotojų adresų sąrašui prašydamas patvirtinti faktus. Konkretus darbuotojas gauna jam reikalingą klausimą ir atitinkamą ištrauką. Atsakymo koordinatorius išsaugo jo patvirtinimą, o galutinė byla perduodama tik įgaliotiems rengėjams ir pasirašančiam asmeniui. Tai ypač svarbu, kai paklausime aptariama darbuotojo ar kliento jautri situacija.

Prieš pasirašant naudinga trumpa faktų tvirtinimo žyma: „Technines ištraukas patikrino sistemos savininkas; veiklos chronologiją patvirtino proceso vadovas; nepatvirtintos aplinkybės išvardytos atsakymo 4 dalyje; priedų numeriai sutikrinti.“ Ši vidinė žyma nėra VDAI nustatyta privaloma forma. Ji parodo, kokį peržiūros darbą organizacija atliko prieš pateikdama savo oficialų paaiškinimą, ir leidžia greitai rasti atsakingą asmenį gavus papildomą klausimą.