BDAR apžvalga: naujienos ir ekspertų patarimai, rugpjūtis 2026

Dirbtinio intelekto, slapukų ir duomenų saugumo srityse daugėja naujų priežiūros institucijų gairių ir praktikos formavimo pavyzdžių

Pastaruoju metu Europos duomenų apsaugos valdyba (EDPB) paskelbė naujus gairių projektus dėl anonimizavimo ir interneto duomenų naudojimo generatyvinio dirbtinio intelekto modelių mokymui. Šios iniciatyvos rodo didėjantį priežiūros institucijų dėmesį klausimams, susijusiems su anonimizuotų duomenų naudojimu, viešai prieinamų duomenų tvarkymu ir dirbtinio intelekto sprendinių diegimu.

Tuo pačiu metu priežiūros institucijos aktyviai vertina slapukų, sekimo technologijų ir sutikimo valdymo praktiką, o naujausia VDAI duomenų saugumo pažeidimų statistika primena apie nuolatinį organizacijų dėmesio poreikį duomenų apsaugos ir informacijos saugumo srityse.

Šiame leidinyje apžvelgiame svarbiausius pastarojo laikotarpio BDAR ir privatumo reguliavimo pokyčius bei praktinius veiksmus, kuriuos organizacijos turėtų įvertinti siekdamos užtikrinti atitiktį teisės aktų reikalavimams.

Europos duomenų apsaugos valdyba paskelbė naują anonimizavimo gairių projektą

Šaltinis: Europos duomenų apsaugos valdyba (EDPB)
Nuoroda

Europos duomenų apsaugos valdyba (EDPB) paskelbė Gairių Nr. 02/2026 projektą dėl anonimizavimo, kuriuo siekiama atnaujinti ir pakeisti ankstesnę 29 straipsnio darbo grupės nuomonę Nr. 05/2014. Gairėse remiamasi Europos Sąjungos Teisingumo Teismo praktika ir siūlomas vadinamasis santykinis požiūris į asmens identifikavimą.

Pagal šį požiūrį tas pats duomenų rinkinys vienam subjektui gali būti laikomas asmens duomenimis, o kitam jau anoniminiais duomenimis, priklausomai nuo realių galimybių identifikuoti konkretų asmenį. Šiai galimybei įvertinti gairėse siūlomas trijų kriterijų testas:

1. neįmanoma išskirti konkretaus įrašo (angl. no record isolation);
2. neįmanoma susieti su tuo pačiu asmeniu susijusių įrašų skirtinguose duomenų rinkiniuose (angl. no linkage);
3. neįmanoma iš turimų duomenų nustatyti naujos informacijos apie asmenį (angl. no inference).

Duomenys laikomi anoniminiais tik tuomet, kai tenkinami visi trys kriterijai. Toks aiškinimas gali turėti reikšmingą poveikį organizacijoms, kurios anonimizuoja duomenis mokslinių tyrimų, duomenų dalijimosi ar dirbtinio intelekto modelių mokymo tikslais.

Įmonėms, kurios naudoja duomenų rinkinius analitikai, moksliniams tyrimams, produktų kūrimui ar dirbtinio intelekto mokymui, svarbu iš naujo įvertinti, ar tokie duomenys iš tiesų yra anoniminiai, o ne tik pseudonimizuoti.

---

Europos duomenų apsaugos valdyba paskelbė gaires dėl asmens duomenų rinkimo generatyvinio dirbtinio intelekto mokymui

Šaltinis: Europos duomenų apsaugos valdyba (EDPB)
Nuoroda

Europos duomenų apsaugos valdyba paskelbė Gairių Nr. 03/2026 projektą dėl interneto duomenų rinkimo generatyvinio dirbtinio intelekto modelių mokymui. Gairėse pabrėžiama, kad naudojant asmens duomenis, surinktus iš viešų interneto šaltinių, taikomi visi Bendrojo duomenų apsaugos reglamento (BDAR) reikalavimai.

Valdyba pažymi, kad organizacijos privalo nustatyti tinkamą duomenų tvarkymo teisinį pagrindą, laikytis tikslo apribojimo principo ir užtikrinti skaidrų informavimą duomenų subjektams. Be to, būtina įvertinti, ar dirbtinio intelekto modelių mokymo tikslas yra suderinamas su pirminiu duomenų rinkimo tikslu.

Tai aktualu įmonėms: tiek technologijų bendrovėms, tiek rinkodaros, personalo valdymo, klientų aptarnavimo procesuose dirbtinį intelektą diegiančioms organizacijoms, kurios kuria ar naudoja generatyvinio dirbtinio intelekto sprendimus, apmokytus interneto duomenimis.

Organizacijoms rekomenduojama:

• Identifikuoti, iš kokių šaltinių yra renkami arba buvo surinkti dirbtinio intelekto mokymui naudojami duomenys;
• Nustatyti ir dokumentuoti kiekvieno duomenų rinkimo ar naudojimo atvejo teisinį pagrindą;
• Įvertinti, ar dirbtinio intelekto mokymo tikslas suderinamas su pirminiu duomenų rinkimo tikslu;
• Peržiūrėti arba atnaujinti privatumo pranešimus, kad jie aiškiai apimtų dirbtinio intelekto mokymo procesus.

---

Įsigaliojo „Skaitmeninis omnibusas”, atidedantis kai kuriuos Dirbtinio intelekto akto terminus

Šaltinis: Europos Komisija
Nuoroda

2026 m. liepos 24 d. Europos Sąjungos oficialiajame leidinyje paskelbtas Reglamentas (ES) 2026/1744, dar vadinamas dirbtinio intelekto „Skaitmeniniu omnibusu”, kuris iš dalies keičia Dirbtinio intelekto aktą (Reglamentą (ES) 2024/1689). Naujuoju reglamentu atidedami tik didelės rizikos dirbtinio intelekto sistemoms taikomų reikalavimų terminai: III priede nurodytų didelės rizikos sistemų atitikties terminas perkeltas iš 2026 m. rugpjūčio 2 d. į 2027 m. gruodžio 2 d., o I priede nurodytų įterptųjų didelės rizikos sistemų terminas nukeltas iki 2028 m. rugpjūčio 2 d.

Svarbu pažymėti, kad terminų atidėjimas netaikomas Dirbtinio intelekto akto skaidrumo reikalavimams: pareigos atskleisti pokalbių robotų naudojimą, žymėti dirbtinio intelekto sugeneruotą ir sintetinį („deepfake”) turinį, taip pat bendrosios paskirties dirbtinio intelekto (GPAI) teikėjams taikomi reikalavimai lieka galioti pagal anksčiau nustatytus terminus. Šie reikalavimai taikomi nuo 2026 m. rugpjūčio 2 d., taigi, terminų atidėjimas nereiškia, kad įmonės gali atidėti pasirengimą Dirbtinio intelekto akto reikalavimams, jis tik suteikia daugiau laiko didelės rizikos sistemų atitikčiai užtikrinti.

Organizacijoms rekomenduojama:

• Patikrinti, ar naudojami pokalbių robotai ir kitos DI priemonės tinkamai informuoja naudotojus, kad jie bendrauja su dirbtiniu intelektu;
• Užtikrinti dirbtinio intelekto sugeneruoto ir sintetinio („deepfake”) turinio žymėjimą;
• Jei įmonė yra bendrosios paskirties DI modelio teikėja, patikrinti atitiktį GPAI teikėjams taikomiems reikalavimams;
• Atnaujinti vidaus DI atitikties planą pagal naujus I ir III priedų terminus, nestabdant jau pradėtų pasirengimo darbų.

---

Europos duomenų apsaugos valdyba priėmė galutines gaires dėl blokų grandinės technologijų

Šaltinis: Europos duomenų apsaugos valdyba (EDPB)
Nuoroda

Europos duomenų apsaugos valdyba 2026 m. liepos 8 d. priėmė galutinę gairių dėl blokų grandinės technologijų versiją. Gairėse paaiškinama, kaip pagrindiniai BDAR principai, tokie kaip duomenų minimizavimas, saugojimo apribojimas bei teisė į duomenų ištaisymą ir ištrynimą, turi būti taikomi naudojant blokų grandinės sprendimus.

Valdyba atkreipia dėmesį, kad blokų grandinės technologijų savybės gali apsunkinti kai kurių duomenų subjektų teisių įgyvendinimą, todėl organizacijos turi iš anksto įvertinti atitinkamas rizikas ir duomenų apsaugos priemones.

Organizacijoms rekomenduojama, kai įmanoma, asmens duomenis saugoti už blokų grandinės ribų, taikyti duomenų minimizavimo ir pseudonimizavimo priemones bei reguliariai vertinti tokių sprendimų atitiktį BDAR reikalavimams. Projektuojant blokų grandinės (angl. blockchain) sprendimus, asmens duomenų tvarkymas turėtų būti įvertintas dar architektūros projektavimo etape, įvertinant, kokie duomenys apskritai turi būti įrašomi į blokų grandinę ir kokios alternatyvos galimos (pvz., duomenis saugant ne grandinėje, o joje įrašant tik nuorodas ar prieigos raktus).

---

Slapukų ir kitų sekimo technologijų naudojimas ir sutikimo valdymo praktika išlieka priežiūros institucijų dėmesio centre

Per pastarąjį mėnesį Europos ir nacionalinės priežiūros institucijos skyrė papildomą dėmesį slapukų, sekimo pikselių ir kitų sekimo technologijų naudojimui. Naujausi sprendimai ir rekomendacijos patvirtina, kad organizacijoms nebeužtenka vien pateikti slapukų informacinį pranešimą interneto svetainėje. Vis dažniau vertinama, ar naudotojų sutikimai gaunami tinkamai, ar sekimo technologijos nėra aktyvuojamos iki sutikimo gavimo ir ar organizacijos gali pagrįsti naudojamų sprendimų atitiktį BDAR bei Elektroninių ryšių įstatymo reikalavimams.

Lietuvoje VDAI dar kartą priminė, kad nebūtini slapukai, sekimo pikseliai ir kitos panašios technologijos gali būti naudojami tik gavus išankstinį naudotojo sutikimą. VDAI taip pat paskelbė slapukų naudojimo praktikos apibendrinimą bei rekomendacijas dėl sekimo pikselių, kuriose aptariamos dažniausiai pasitaikančios klaidos ir pateikiami gerosios praktikos pavyzdžiai.

Europos lygmeniu nagrinėjami ginčai dėl slapukų informacinių pranešimų ir sutikimo valdymo platformų rodo, kad priežiūros institucijos vis aktyviau vertina ne tik pačių slapukų naudojimą, bet ir tai, kaip organizacijos organizuoja sutikimų gavimo procesą bei paskirsto atsakomybę už su tuo susijusį asmens duomenų tvarkymą.

Trys naujausi pokyčiai išryškina šią tendenciją:

1. EDPB įpareigojo iš esmės nagrinėti skundą dėl slapukų informacinio pranešimo

Europos duomenų apsaugos valdyba nusprendė, kad Belgijos duomenų apsaugos institucija privalo iš esmės išnagrinėti organizacijos NOYB („None of Your Business”) pateiktą skundą dėl slapukų pranešimų, atmesdama argumentą, kad toks skundas galėtų būti laikomas piktnaudžiavimu teise. Šis sprendimas svarbus tuo, kad slapukų informacinis pranešimas (angl. cookie banner) nėra vien naudotojo patirties (angl. UX) ar marketingo funkcionalumas. Jo dizainas gali tiesiogiai paveikti sutikimo galiojimą pagal BDAR.

Nuoroda

2. „IAB Europe” skirta 250 000 Eur bauda dėl sutikimo valdymo sistemos

Belgijos duomenų apsaugos institucija, bendradarbiaudama su kitomis Europos Sąjungos duomenų apsaugos institucijomis, skyrė asociacijai „IAB Europe” 250 000 eurų baudą dėl jos naudojamos „Skaidrumo ir sutikimo sistemos” (angl. Transparency and Consent Framework, TCF). Institucija patvirtino, kad „IAB Europe” pati veikia kaip duomenų valdytojas ir yra atsakinga už sistemoje vykdomą asmens duomenų tvarkymą, o tyrimo metu nustatyta, kad organizacija neturėjo tinkamo teisinio pagrindo tam tikroms duomenų tvarkymo operacijoms, nebuvo paskyrusi duomenų apsaugos pareigūno, neatliko poveikio duomenų apsaugai vertinimo ir nevedė duomenų tvarkymo veiklos įrašų. Sprendimas dar gali būti ginčijamas teisme.

Nuoroda

3. VDAI Lietuvoje primena apie išankstinio sutikimo būtinybę

Lietuvoje Valstybinė duomenų apsaugos inspekcija (VDAI) dar kartą priminė, kad nebūtini slapukai, sekimo pikseliai ir kitos panašios technologijos gali būti naudojami tik gavus išankstinį svetainės lankytojo sutikimą, o teisėtas interesas nėra tinkamas teisinis pagrindas tokių technologijų naudojimui.

Nuoroda

Organizacijoms, naudojančioms slapukų informacinius pranešimus ar sutikimo valdymo platformas, rekomenduojama:

• įsitikinti, kad nebūtini slapukai ir sekimo pikseliai aktyvuojami tik gavus naudotojo sutikimą;
• peržiūrėti slapukų informacinio pranešimo dizainą ir užtikrinti, kad atsisakyti slapukų būtų taip pat paprasta kaip ir juos priimti;
• peržiūrėti naudojamus sekimo ir analitikos įrankius bei jų teisinį pagrindą;
• atnaujinti slapukų ir privatumo pranešimus pagal faktinę duomenų tvarkymo praktiką.

---

Europos duomenų apsaugos valdyba tęsia konsultacijas dėl bendro duomenų saugumo pažeidimų pranešimo šablono

Šaltinis: Europos duomenų apsaugos valdyba (EDPB)
Nuoroda

Europos duomenų apsaugos valdyba (EDPB) iki 2026 m. rugpjūčio 5 d. vykdė viešąsias konsultacijas dėl bendro asmens duomenų saugumo pažeidimų pranešimo šablono, skirto pranešimams pagal Bendrojo duomenų apsaugos reglamento (BDAR) 33 straipsnį. Šablono tikslas yra suvienodinti pranešimų teikimo praktiką Europos Sąjungoje ir Europos ekonominėje erdvėje bei palengvinti organizacijoms pareigų vykdymą incidentų atveju.

Šabloną sudaro septynios dalys ir apie 120 iš anksto apibrėžtų laukų, padedančių sistemingai surinkti informaciją apie incidentą ir jo poveikį. Nors nacionalinės priežiūros institucijos neprivalės jo taikyti, tikimasi, kad jis taps plačiai naudojamu standartu visoje Europoje.

Organizacijoms rekomenduojama atlikti testą ir taip patikrinti, ar per 72 valandas jos gali surinkti visą informaciją, reikalingą pranešimui pagal BDAR 33 straipsnį. Jei atsakymas nėra vienareikšmiškai teigiamas, verta iš anksto peržiūrėti incidentų registravimo ir reagavimo procesus bei pasirengti būsimo šablono diegimui.

---

VDAI: pirmąjį 2026 m. pusmetį duomenų saugumo pažeidimai paveikė daugiau kaip 1,6 mln. asmenų

Šaltinis: Valstybinė duomenų apsaugos inspekcija (VDAI)
Nuoroda

Valstybinė duomenų apsaugos inspekcija (VDAI) paskelbė 2026 m. pirmojo pusmečio duomenų saugumo pažeidimų statistiką. Per šį laikotarpį gauta 140 pranešimų apie asmens duomenų saugumo pažeidimus, kurie paveikė daugiau kaip 1,6 milijono duomenų subjektų.

Didžiausią dalį pažeidimų lėmė žmogiškosios klaidos ir kibernetiniai incidentai. Tarp dažniausiai pasitaikančių priežasčių nurodytas netinkamas elektroninių laiškų siuntimas, neteisingas duomenų atskleidimas, socialinės inžinerijos atakos ir išpirkos reikalaujančių programų incidentai. Ataskaitoje taip pat pabrėžiama, kad dauguma duomenų valdytojų apie pažeidimus pranešė laiku, laikydamiesi 72 valandų termino.

VDAI pateikti duomenys rodo, kad priežiūros institucija ir toliau daug dėmesio skiria praktiniam organizacijų pasirengimui valdyti kibernetines ir organizacines rizikas. Daug duomenų pažeidimų nėra vien kibernetinė problema – juos lemia paprastos organizacinės klaidos.

Organizacijoms rekomenduojama:

• Testuokite reagavimo į incidentus procesą ne tik techninės atakos, bet ir paprastos žmogiškosios klaidos atvejais, kai neteisingam gavėjui išsiųstas failas, viešai paskelbtas dokumentas ar pavogta paskyra.
• Reguliariai peržiūrėkite technines ir organizacines saugumo priemones.
• Stiprinkite darbuotojų sąmoningumą.
• Užtikrinkite veiksmingą pažeidimų registravimo bei pranešimo procesą.

---

NKSC įspėja apie daugėjančius bandymus perimti susirašinėjimo programų paskyras

Šaltinis: Nacionalinis kibernetinio saugumo centras (NKSC)
Nuoroda

Nacionalinis kibernetinio saugumo centras (NKSC) kartu su Antruoju operatyvinių tarnybų departamentu prie Krašto apsaugos ministerijos (AOTD) ir Valstybės saugumo departamentu (VSD) paskelbė rekomendacijas dėl saugaus susirašinėjimo programėlių naudojimo, reaguodamas į daugėjančias socialinės inžinerijos atakas (fišingo atakas), kuriomis siekiama perimti gyventojų ir valstybės institucijų darbuotojų naudojamų susirašinėjimo programėlių paskyras.

Institucijos pažymi, kad užpuolikai dažnai naudojasi apgaulės metodais siekdami išvilioti autentifikavimo kodus arba kitą prisijungimo informaciją. Tokios atakos gali sudaryti sąlygas neteisėtai prieigai prie konfidencialių pokalbių, kontaktų bei organizacijos informacijos.

Organizacijoms rekomenduojama:

• supažindinti darbuotojus su NKSC paskelbtomis rekomendacijomis ir į reguliarius informacijos saugumo mokymus įtraukti konkrečius NKSC nurodytus scenarijus: apsimetimą programėlės pagalbos tarnyba bei žinutes, tariamai atsiųstas pažįstamo asmens, kviečiančias prisijungti prie grupės, atverti nuorodą ar nuskenuoti QR kodą;
• įvertinti, kokioms verslo funkcijoms naudojamos susirašinėjimo programos ir ar jose taikomos pakankamos apsaugos priemonės;
• aktyvuoti papildomas paskyrų apsaugos priemones, įskaitant daugiafaktorį autentifikavimą.