BDAR apžvalga: naujienos ir ekspertų patarimai, spalis 2026

Asmens duomenų anonimiškumo vertinimas, vieningesnė baudų skyrimo praktika, duomenų subjektų teisių įgyvendinimas ir prie tinklo prijungtų produktų kibernetinis saugumas išlieka vienomis svarbiausių Europos priežiūros institucijų prioritetinių sričių.

Praėjusį mėnesį Airijos duomenų apsaugos komisija skyrė 403 mln. Eur baudą „Google“ už vietos duomenų tvarkymą, o Italijos duomenų apsaugos institucija – 7 mln. Eur baudą „IQVIA Solutions Italy“ už tariamai anoniminių sveikatos duomenų tvarkymą. Kartu Europos duomenų apsaugos valdyba (EDPB) priėmė gaires dėl administracinių baudų skyrimo, o nuo rugsėjo 11 d. pradėjo veikti Kibernetinio atsparumo akto pranešimų apie pažeidžiamumus ir incidentus pareigos.

Lietuvoje Nacionalinis kibernetinio saugumo centras (NKSC) priminė gamintojams apie naujas pareigas pagal Kibernetinio atsparumo aktą, o Valstybinė duomenų apsaugos inspekcija (VDAI) paskelbė 2025 m. aktualių teismų sprendimų apibendrinimą ir pateikė Lietuvos duomenų valdytojams EDPB gaires dėl administracinių baudų.

Šiame leidinyje apžvelgiame svarbiausius BDAR ir privatumo reguliavimo pokyčius bei praktinius veiksmus, kurių organizacijos turėtų imtis.

ESTT: viešas visų akcininkų duomenų skelbimas internete neproporcingas – byla C-798/24 „Jautiva“

Data: 2026 m. rugsėjo 3 d. | Šaltinis: Europos Sąjungos Teisingumo Teismas
Nuoroda

2026 m. rugsėjo 3 d. Europos Sąjungos Teisingumo Teismas (ESTT), nagrinėdamas Latvijos Konstitucinio Teismo prašymą priimti prejudicinį sprendimą byloje C-798/24 „Jautiva“, nusprendė, kad Direktyva (ES) 2017/1132 nereikalauja viešai atskleisti informacijos apie visus akcinių bendrovių akcininkus, įskaitant smulkiuosius akcininkus. Teismas pripažino, kad Latvijos taisyklė, pagal kurią akcininkų vardai ir pavardės, asmens kodai, adresai, elektroninio pašto adresai ir turimos akcijos skelbiami internete, gali būti atsisiunčiami dideliais kiekiais ir be jokių apribojimų, yra neproporcinga pagal BDAR ir ES pagrindinių teisių chartiją.

Teismas sutiko, kad verslo skaidrumas, pinigų plovimo ir teroristų finansavimo prevencija bei sankcijų įgyvendinimas yra teisėti tikslai, tačiau konstatavo, kad neribota viešoji prieiga sukelia didelę piktnaudžiavimo duomenimis riziką ir kad egzistuoja mažiau kišamųjų priemonių, pavyzdžiui, prieiga įrodžius teisėtą interesą. Sprendimas atitinka teismo praktikos dėl viešųjų tikrųjų naudos gavėjų registrų liniją.

Rekomenduojame organizacijoms

• bendrovėms, kurios gauna akcininkų duomenis iš viešųjų registrų, stebėti registrų prieigos taisyklių pokyčius ir dokumentuoti tokių duomenų gavimo ir naudojimo teisinį pagrindą bei tikslą;
• duomenų valdytojams, kurie asmens duomenis dėl skaidrumo tikslų skelbia internete, įvertinti, ar būtina neribota, dideliais kiekiais atsisiunčiama prieiga, ar to paties tikslo galima pasiekti nustatant prieigos kontrolę ir tikslo ribojimą.

---

Generalinis advokatas Szpunar: bendras ryšių duomenų saugojimas galimas tik užtikrinus tikrą duomenų kategorijų atskyrimą – byla C-661/24

Data: 2026 m. rugsėjo 3 d. | Šaltinis: Europos Sąjungos Teisingumo Teismas (generalinio advokato išvada)
Nuoroda

2026 m. rugsėjo 3 d. generalinis advokatas Szpunar pateikė išvadą byloje C-661/24 „Académie Fiscale ir kt.“, kuri kilo iš penkių Belgijos Konstitucinio Teismo nagrinėjamų ieškinių dėl 2022 m. Belgijos įstatymo, reglamentuojančio identifikavimo duomenų ir metaduomenų elektroninių ryšių srityje rinkimą bei saugojimą. Jis pakartojo, kad eismo ir vietos duomenų saugojimas kėsinasi į teises į privatumą ir asmens duomenų apsaugą ir yra leistinas tik tada, kai tai numatyta įstatyme, yra griežtai būtinas ir proporcingas.

Generalinis advokatas pasiūlė, kad bendras duomenų saugojimas gali būti suderinamas su Direktyva 2002/58/EB, jeigu techninėmis apsaugos priemonėmis užtikrinamas tikrai sandarus duomenų kategorijų atskyrimas, kad saugojimo laikotarpiu jų nebūtų galima sujungti. Vis dėlto jis padarė išvadą, kad Belgijos įstatymas šio testo neatitinka: jame numatytas pernelyg platus duomenų saugojimas be tokio atskyrimo, esminius saugojimo klausimus paliekama spręsti paslaugų teikėjams, o reglamentavimui trūksta aiškumo ir apsaugos priemonių.

Svarbu pažymėti, kad tai yra generalinio advokato išvada ir galutinį sprendimą byloje dar priims Teisingumo Teismas.

Rekomenduojame organizacijoms

• elektroninių ryšių paslaugų teikėjams ir įmonėms, kurios teikia žinučių ar kitas ryšio funkcijas, sekti bylos baigtį, nes reikalavimas techniškai atskirti saugomų duomenų kategorijas turėtų įtakos duomenų saugojimo architektūrai;
• įmonėms, atsakančioms į teisėsaugos institucijų duomenų prašymus, dokumentuoti duomenų saugojimo terminus ir kategorijas bei apriboti juos tuo, ko aiškiai reikalauja nacionalinė teisė.

---

CNIL skyrė 300 000 Eur baudą „EXTIA“ dėl teisės į duomenų ištrynimą nesilaikymo

Data: 2026 m. rugsėjo 9 d. | Šaltinis: CNIL (Prancūzijos duomenų apsaugos institucija)
Nuoroda

2026 m. rugsėjo 9 d. Prancūzijos duomenų apsaugos institucija (CNIL) paskelbė, kad skyrė IT ir inžinerinių paslaugų konsultacijų bendrovei „EXTIA“ 300 000 Eur baudą už teisės į duomenų ištrynimą nesilaikymą ir informavimo pareigų pagal BDAR 12 ir 17 straipsnius pažeidimą.

Auditas, atliktas 2025 m. balandį po gautų skundų ir įgyvendinant EDPB koordinuotų vykdymo užtikrinimo veiksmų dėl teisės į duomenų ištrynimą iniciatyvą, parodė, kad iš 2024 m. gautų 265 prašymų ištrinti duomenis, daugiausia iš kandidatų į darbo vietas ir buvusių darbuotojų, daugiau nei trys ketvirtadaliai nebuvo išnagrinėti arba buvo išnagrinėti netinkamai. Dvylika prašymų iš viso nebuvo nagrinėti, 166 asmenys nebuvo informuoti apie savo prašymo rezultatą, o 27 buvo informuoti pavėluotai, pasibaigus vieno mėnesio terminui. Bauda skirta atsižvelgiant į susijusių asmenų skaičių ir tai, kad bendrovei jau du kartus buvo primintos jos pareigos.

Rekomenduojame organizacijoms

• peržiūrėti, kaip registruojami, vykdomi ir atsakomi nesėkmingų kandidatų ir buvusių darbuotojų prašymai ištrinti duomenis (tai ypač aktualu darbdaviams), ir nustatyti įdarbinimo duomenų saugojimo terminus, kurie būtų taikomi automatiškai;
• užtikrinti, kad į kiekvieną duomenų subjekto prašymą būtų atsakyta raštu per vieną mėnesį, įskaitant atvejus, kai prašymas atmetamas arba tenkinamas iš dalies, ir saugoti atsakymo pateikimo įrodymus.

---

NKSC priminė gamintojams: nuo 2026 m. rugsėjo 11 d. taikomos Kibernetinio atsparumo akto pranešimų pareigos

Data: 2026 m. rugsėjo 14 d. | Šaltinis: Nacionalinis kibernetinio saugumo centras (NKSC)
Nuoroda

2026 m. rugsėjo 14 d. NKSC priminė gamintojams, kad nuo 2026 m. rugsėjo 11 d. taikomos Kibernetinio atsparumo akto (angl. Cyber Resilience Act, CRA; Reglamentas (ES) 2024/2847) pranešimų pareigos: ES rinkoje tiekiamų skaitmeninių elementų turinčių produktų, įskaitant programinę įrangą, pavyzdžiui, operacines sistemas ir mobiliąsias programėles, gamintojai privalo pranešti apie aktyviai išnaudojamus pažeidžiamumus ir sunkius incidentus, darančius poveikį jų produktų saugumui. Ankstyvasis įspėjimas turi būti pateiktas per 24 valandas nuo sužinojimo, pranešimas – per 72 valandas, o galutinė ataskaita – ne vėliau kaip per 14 dienų nuo taisomosios ar riziką mažinančios priemonės pateikimo (pažeidžiamumo atveju) arba per vieną mėnesį nuo pranešimo (sunkaus incidento atveju).

Pranešama vieną kartą per Europos Sąjungos kibernetinio saugumo agentūros (ENISA) valdomą ir 2026 m. rugsėjo 11 d. pradėjusią veikti CRA bendrąją pranešimų platformą (angl. Single Reporting Platform), kuri juos persiunčia kompetentingoms kompiuterių saugumo incidentų tyrimo grupėms (CSIRT); gamintojams, kurių pagrindinė buveinė yra Lietuvoje, koordinuojanti CSIRT yra NKSC. Išankstinė registracija platformoje nereikalinga – ją galima atlikti pateikiant pirmąjį ankstyvąjį įspėjimą.

Pareiga taikoma ir jau rinkoje esantiems produktams, tačiau apie iki 2026 m. rugsėjo 11 d. žinomą išnaudojimą pranešti nebūtina. Pagrindiniai CRA produktų reikalavimai taikomi nuo 2027 m. gruodžio 11 d.; tą pačią dieną pranešimo pareigos atsiranda ir atvirojo kodo programinės įrangos prižiūrėtojams (angl. open-source software stewards).

Rekomenduojame organizacijoms

• finansinių technologijų ir programinės įrangos įmonėms, kurios kuria savo programėles, programinės įrangos kūrimo rinkinius (SDK) ar platformas, nustatyti, ar jos pagal CRA laikomos „gamintojomis“, ir jei taip – įdiegti vidinį pažeidžiamumų valdymo ir incidentų procesą, leidžiantį laikytis 24 ir 72 valandų terminų;
• palyginti CRA pranešimo pareigą su pranešimo apie incidentus pareigomis pagal DORA, NIS2 ir BDAR, kad vienas įvykis sukeltų visus taikytinus pranešimus, ir paskirti asmenį, atsakingą už pranešimų teikimą ENISA platformoje;
• su trečiųjų šalių programinės įrangos tiekėjais, įrašytais į IRT registrą, išsiaiškinti, kaip jie vykdys savo CRA pranešimo pareigas ir perduos klientams informaciją apie išnaudojamus pažeidžiamumus.

---

Europos Komisija pateikė ES vaikų apsaugos socialiniuose tinkluose akto (EU KIDS Act) pasiūlymą

Data: 2026 m. rugsėjo 17 d. | Šaltinis: Europos Komisija
Nuoroda

2026 m. rugsėjo 17 d. Europos Komisija priėmė pasiūlymą dėl ES vaikų apsaugos socialiniuose tinkluose akto (angl. EU KIDS Act) – reglamento, ribojančio vaikų prieigą prie socialinės žiniasklaidos platformų. Pasiūlyme platformoms draudžiama suteikti prieigą jaunesniems nei 13 metų vaikams, o vieningas ES minimalus amžius savarankiškai atidaryti paskyrą nustatomas – 15 metų. Pareiga įrodyti, kad jų paslaugos yra tinkamos pagal amžių ir saugios jau projektavimo etapu, tenka platformoms.

Pasiūlymas grindžiamas Skaitmeninių paslaugų aktu (DSA) ir juo siekiama suteikti tėvams daugiau kontrolės vaikų veiklos internete atžvilgiu. Amžiaus patikrinimo metodai, vykdymo užtikrinimo terminai ir sankcijos bus nustatyti teisėkūros proceso metu.

Rekomenduojame organizacijoms

• vartotojams skirtų programėlių su socialinėmis ar bendruomenės funkcijomis teikėjams sekti pasiūlymą dėl įtraukiamų platformų apibrėžties ir amžiaus patikrinimo lūkesčių, kurie sąveikaus su Europos skaitmeninės tapatybės piniginės sprendimais;
• mokėjimo paslaugų teikėjams, siūlantiems produktus nepilnamečiams, stebėti, ar amžiaus patikrinimo standartai nebus perkelti ir į klientų priėmimą teikiant finansines paslaugas.

---

EDPB priėmė gaires dėl administracinių baudų skyrimo ir galutines DSA bei BDAR sąveikos gaires

Data: 2026 m. rugsėjo 17 d. | Šaltinis: Europos duomenų apsaugos valdyba (EDPB)
Nuoroda

2026 m. rugsėjo 17 d. plenariniame posėdyje EDPB priėmė gaires dėl įgaliojimo skirti administracines baudas taikymo santykyje su kitais BDAR numatytais korekciniais įgaliojimais ir galutinę gairių dėl Skaitmeninių paslaugų akto (DSA) ir BDAR sąveikos versiją. Baudų gairės pakeičia ankstesnes 29 straipsnio darbo grupės (WP29) gaires dėl administracinių baudų ir papildo 2023 m. gaires dėl baudų apskaičiavimo.

Duomenų apsaugos institucijos turi laikytis penkių žingsnių metodo: patikrinti, ar už pažeidimą pagal BDAR ar nacionalinę teisę gali būti skiriama bauda; nustatyti, ar tiriamas duomenų valdytojas ar tvarkytojas gali būti baudžiamas už pažeistą nuostatą; nustatyti tyčią ar neatsargumą; įvertinti sunkinančias ir lengvinančias aplinkybes (už nesunkius pažeidimus skiriant papeikimą, o kitais atvejais taikant stiprią baudos skyrimo prezumpciją); įvertinti, ar bauda būtų veiksminga, proporcinga ir atgrasanti.

Gairėse aprašomos kitos korekcinės priemonės (įspėjimai, papeikimai, nurodymai, tvarkymo apribojimai ir draudimai, sertifikavimo panaikinimas) ir pateikiama 14 praktinių pavyzdžių. Konsultacijos dėl gairių vyksta iki 2026 m. lapkričio 13 d. VDAI gaires Lietuvos duomenų valdytojams perdavė rugsėjo 24 d.

Rekomenduojame organizacijoms

Atsižvelgiant į galutines DSA ir BDAR sąveikos gaires:

• įvertinti, ar automatizuotas turinio šalinimas arba paskyrų blokavimas atitinka BDAR 22 straipsnio reikalavimus;
• jeigu bendrovė savo platformoje talpina naudotojų skelbimus, patikrinti galimą bendro duomenų valdytojo statusą ir įdiegti priemones, užkertančias kelią skelbti skelbimus, kuriuose yra specialių kategorijų duomenų.

---

Airijos duomenų apsaugos komisija skyrė 403 mln. Eur baudą „Google“ dėl vietos duomenų tvarkymo

Data: 2026 m. rugsėjo 21 d. | Šaltinis: Airijos duomenų apsaugos komisija (DPC)
Nuoroda

2026 m. rugsėjo 21 d. Airijos duomenų apsaugos komisija (DPC) paskelbė galutinį sprendimą savo iniciatyva pradėtame tyrime dėl „Google Ireland Limited“ vietos duomenų tvarkymo funkcijose „Web & App Activity“, „Location History“ ir „Location Accuracy“ 2018 m. gegužės 25 d. – 2020 m. vasario 4 d. laikotarpiu. Komisija skyrė administracines baudas, kurių bendra suma – 403 mln. Eur, ir įpareigojo „Google“ per šešis mėnesius suderinti duomenų tvarkymą su reikalavimais.

DPC nustatė teisėtumo ir sąžiningumo principų pažeidimus dėl „Web & App Activity“ ir „Location History“, atskaitomybės principo pažeidimą dėl „Location Accuracy“, skaidrumo pažeidimus dėl visų trijų funkcijų ir saugojimo apribojimo principo pažeidimą dėl pernelyg ilgo vietos duomenų saugojimo. Tyrimas pradėtas 2020 m. vasarį po vartotojų organizacijų, įskaitant BEUC, skundų, o sprendimas priimtas bendradarbiaujant su susijusiomis priežiūros institucijomis pagal vieno langelio mechanizmą.

Rekomenduojame organizacijoms

• duomenų valdytojams, kurie vietos duomenis naudoja personalizavimui ar reklamai, patvirtinti kiekvienos funkcijos teisinį pagrindą, pasirinkimo momentu pateikiamos informacijos aiškumą ir vietos duomenų istorijoms taikomą saugojimo terminą;
• daugiasluoksnius ar pagal numatytuosius nustatymus įjungtus nustatymus, lemiančius, kokie duomenys renkami, laikyti skaidrumo klausimu, todėl naudotojui renkantis privalo būti pateikiamas aiškus paaiškinimas paprasta kalba.

---

ENISA paskelbė 2026 m. grėsmių kibernetinėje erdvėje apžvalgą (Threat Landscape 2026)

Data: 2026 m. rugsėjo 22 d. | Šaltinis: ENISA
Nuoroda

2026 m. rugsėjo 22 d. ENISA paskelbė „Threat Landscape 2026“, apimančią incidentus nuo 2025 m. sausio 1 d. iki gruodžio 31 d. Didžiausią žalą toliau daro išpirkos reikalaujančios programos (angl. ransomware), kuriose derinamas šifravimas, duomenų vagystė ir turto prievartavimas; pagrindinis pradinio įsilaužimo kelias išlieka socialinė inžinerija, ypač sukčiavimas (angl. phishing), kuriam padeda sukčiavimo rinkiniai ir „ClickFix“ technika; o žinomų arba nulinės dienos pažeidžiamumų išnaudojimas sudarė 60 proc. neteisėtos prieigos incidentų. 2025 m. paskelbta daugiau nei 48 000 naujų pažeidžiamumų – 22 proc. daugiau nei prieš metus.

Daugiausia taikinių buvo viešojo administravimo sektoriuje (32 proc. incidentų, daugiausia ideologiškai motyvuotos DDoS atakos), toliau – verslo paslaugų, transporto, gamybos ir finansų bei bankininkystės (6 proc.) sektoriuose; 73 proc. atakų taikinių – organizacijos, patenkančios į NIS2 esminių ar svarbių subjektų apibrėžtis. Ataskaitoje pabrėžiama, kad didžiausių incidentų šaltinis yra tiekimo grandinės ir trečiųjų šalių priklausomybės, ir pažymima, kad vien internetinis investicinis sukčiavimas 2024 m. EEE kainavo apie 4 mlrd. Eur.

Rekomenduojame organizacijoms

• ataskaitą naudoti kaip išorinį grėsmių šaltinį atliekant kasmetinį IRT rizikos vertinimą ir rengiant grėsmėmis grįstus testavimo scenarijus, kurių reikalauja DORA ir NIS2, ypač daug dėmesio skiriant trečiųjų šalių ir tiekimo grandinės pažeidimams;
• atnaujinti darbuotojų mokymus apie sukčiavimą, įtraukiant „ClickFix“ tipo raginimus, ir peržiūrėti pataisų diegimo prioritetus ir terminus, pirmiausia atsižvelgiant į aktyviai išnaudojamus pažeidžiamumus ir prie interneto prijungtas sistemas.

---

Italijos duomenų apsaugos institucija skyrė 7 mln. Eur baudą „IQVIA“ už tariamai anoniminių sveikatos duomenų tvarkymą

Data: 2026 m. rugsėjo 23 d. | Šaltinis: Garante (Italijos duomenų apsaugos institucija)
Nuoroda

2026 m. rugsėjo 23 d. Italijos duomenų apsaugos institucija (Garante per la protezione dei dati personali, Garante) skyrė „IQVIA Solutions Italy S.r.l.“ 7 mln. Eur baudą už neteisėtą maždaug vieno milijono pacientų, besilankančių pas apie 800 šeimos gydytojų, sveikatos duomenų tvarkymą duomenų bazėje, naudotoje tyrimams, kuriuos, be kita ko, užsakė farmacijos bendrovės. Sprendimas paskelbtas 2026 m. spalio 2 d. Tyrimas pradėtas po 2025 m. balandį atliktų patikrinimų, o prie jo prisidėjo ir pačios bendrovės praneštas asmens duomenų saugumo pažeidimas.

Garante nusprendė, kad duomenys nebuvo anoniminiai: kiekvienam pacientui priskirtas kodas leido sekti asmenį laikui bėgant ir, kartu su labai išsamia informacija (gimimo metai, lytis, diagnozės, simptomai, receptai, tyrimai, skiepai ir vietos duomenys), leido išskirti atskirus pacientus ir pakartotinai juos identifikuoti pagrįstai tikėtinomis priemonėmis. „IQVIA“ pripažinta duomenų valdytoja nuo duomenų rinkimo gydytojų kabinetuose momento.

Garante taip pat nustatė, kad sveikatos duomenys buvo tvarkomi be tinkamo teisinio pagrindo ir nepakankamai informavus pacientus, nebuvo apibrėžti saugojimo terminai (duomenys siekė 2001 m.), neatliktas poveikio duomenų apsaugai vertinimas, o saugumo priemonės buvo nepakankamos. Duomenų bazėje taip pat buvo daugiau nei 3 300 pacientų identifikuojamųjų duomenų (vardų ir pavardžių, mokesčių mokėtojo kodų, adresų, kontaktinių duomenų), iš jų daugiau nei 3 000 – kartu su sveikatos duomenimis.

Jei „IQVIA“ nori tęsti veiklą, ji per 120 dienų privalo suderinti duomenų tvarkymą su Garante reikalavimais; kitu atveju duomenis savarankiškai turi anonimizuoti gydytojai, laikydamiesi Garante nurodytų apsaugos priemonių. Nustatydama baudos dydį, Garante atsižvelgė į pacientų skaičių, duomenų pobūdį, tai, kad gydytojai nuo 2023 m. nustojo siųsti duomenis, ir bendrovės bendradarbiavimą. „IQVIA“ pareiškė pasiliekanti teisę sprendimą apskųsti.

Rekomenduojame organizacijoms

• organizacijoms, kurios sveikatos, mokslinių tyrimų ar analitikos duomenų rinkinius vadina „anoniminiais“, patikrinti šį teiginį pagal išskyrimo ir susiejamumo laikui bėgant riziką, kai išlieka nuolatiniai pacientų kodai ar išsamūs klinikiniai požymiai, ir tokius duomenis laikyti asmens duomenimis, nebent pakartotinė identifikacija pagrįstai neįmanoma;
• nustatyti duomenų valdytojo ar tvarkytojo vaidmenį jau duomenų rinkimo momentu ir patikrinti teisinį pagrindą, pacientų informavimą, saugojimo terminus, poveikio duomenų apsaugai vertinimą ir saugumo priemones, kai iš sveikatos priežiūros paslaugų teikėjų, vaistinių ar programinės įrangos tiekėjų gauti sveikatos duomenys naudojami antriniais tikslais.

---

VDAI paskelbė 2025 m. aktualių teismų sprendimų apibendrinimą

Data: 2026 m. rugsėjo 30 d. | Šaltinis: Valstybinė duomenų apsaugos inspekcija (VDAI)
Nuoroda

2026 m. rugsėjo 30 d. Valstybinė duomenų apsaugos inspekcija (VDAI) paskelbė 2025 m. reikšmingų teismų sprendimų administracinėse bylose, kilusiose iš Inspekcijos nagrinėtų skundų, apibendrinimą, apimantį Lietuvos vyriausiojo administracinio teismo (LVAT) ir Regionų administracinio teismo sprendimus. Apibendrinime nagrinėjama Inspekcijos diskrecija renkantis korekcines priemones, vaizdo stebėjimo teisėtumas, asmens duomenų tvarkymas siekiant įvykdyti teisinę prievolę, asmens duomenų tvarkymas siekiant išieškoti mokesčius už paslaugas ir kiti pasikartojantys klausimai.

Apibendrinimas paskelbtas VDAI interneto svetainės skiltyje „Teismų sprendimai (pagal VDAI nagrinėtus skundus)“ ir yra tiesioginis rodiklis, kaip Lietuvos teismai skundžiant tikrina VDAI sprendimus ir baudas.

Rekomenduojame organizacijoms

• duomenų apsaugos pareigūnams perskaityti apibendrinimą ir palyginti jį su savo vaizdo stebėjimo, skolų išieškojimo ir teisinės prievolės vykdymo tikslais atliekamo duomenų tvarkymo įrašais, nes būtent šios sritys 2025 m. buvo ginčijamos, ir pakoreguoti pranešimus bei teisėtų interesų vertinimus, jei teismų argumentai skiriasi nuo dabartinės praktikos;
• teismų pozicijas dėl VDAI diskrecijos naudoti vertinant galimas korekcines priemones už konkretų pažeidimą ir tai, ar verta skųsti VDAI sprendimą.

---

Mūsų vertinimas

Prieš naudodamos iš viešųjų registrų ar kitų šaltinių gautus asmens duomenis, organizacijos turėtų patikrinti jų naudojimo teisinį pagrindą, asmenims pateiktą informaciją ir tolesnio naudojimo apribojimus. Jei duomenys įvardijami kaip anoniminiai, būtina įvertinti, ar iš jų, taip pat susiejus juos su kita prieinama informacija, negalima nustatyti konkretaus asmens.

„EXTIA“ skirta 300 000 Eur bauda parodo, kodėl verta patikrinti visą prašymų ištrinti duomenis nagrinėjimo procesą. Net ir automatiškai ištrynus duomenis, asmenį reikia informuoti apie jo prašymo rezultatą. Rekomenduojame atrinkti kelis prašymus ir patikrinti jų kelią nuo gavimo iki galutinio atsakymo, o nustačius trūkumus paskirti atsakingus asmenis ir jų pašalinimo terminus.

EDPB baudų skyrimo gairėse dėmesys skiriamas ir rizikoms, kurias organizacija turėjo pastebėti, bei pasikartojantiems pažeidimams. Todėl svarbu užfiksuoti nustatytus trūkumus, jų šalinimo veiksmus ir priemones, kuriomis siekiama išvengti pasikartojimo. Greitai pašalinti ir dokumentuoti trūkumai gali sumažinti korekcinių priemonių tikimybę arba jų griežtumą.

Organizacijoms, kurioms taikomos Kibernetinio atsparumo akto pranešimų pareigos, verta iš anksto išbandyti pranešimų teikimo procedūras. Teisės, kibernetinio saugumo ir produktų komandos turi žinoti, kas įvertina pažeidžiamumą ar incidentą, surenka informaciją iš tiekėjų ir laiku pateikia pranešimus. Teisėkūros pasiūlymus ir generalinių advokatų išvadas reikėtų stebėti, tačiau jų nelaikyti jau taikomais reikalavimais.

---

Kaip gali padėti ECOVIS ProventusLaw

• Duomenų subjektų teisių įgyvendinimas. Rengiame ir peržiūrime prašymų ištrinti duomenis bei susipažinti su jais nagrinėjimo procedūras, apimančias visą procesą nuo prašymo gavimo iki galutinio atsakymo.
• Duomenų anonimiškumo ir dalijimosi jais sąlygų vertinimas. Remdamiesi duomenų tvarkymo procesų ir taikomų techninių priemonių informacija, vertiname, ar duomenys gali būti laikomi anoniminiais pagal BDAR, ir nustatome duomenų valdytojų bei tvarkytojų vaidmenis. Rengiame susitarimus dėl dalijimosi duomenimis ir poveikio duomenų apsaugai vertinimus.
• Kibernetinio atsparumo akto reikalavimų vykdymas. Vertiname, ar šis aktas taikomas jūsų produktams. Rengiame pranešimų teikimo procedūras, skirtas laikytis 24 ir 72 valandų bei galutinių ataskaitų pateikimo terminų, ir deriname jas su taikytinomis pranešimų pareigomis pagal NIS2, DORA ir BDAR.
• BDAR atitikties patikra ir trūkumų šalinimas. Atliekame BDAR atitikties auditus, rengiame trūkumų šalinimo planus ir padedame dokumentuoti, kas ir kada buvo ištaisyta.
• Atstovavimas VDAI tyrimuose ir ginčuose. Atstovaujame klientams Valstybinės duomenų apsaugos inspekcijos tyrimuose ir skundžiant jos sprendimus Lietuvos administraciniams teismams.

Susisiekite su mūsų komanda, jei norite aptarti konkretų duomenų tvarkymo procesą, planuojamą duomenų naudojimą ar priežiūros institucijos nustatytus trūkumus.

---

Kodėl ECOVIS ProventusLaw

Mūsų technologijų teisės komanda konsultuoja duomenų apsaugos ir finansų sektoriaus skaitmeninės veiklos atsparumo reglamento (DORA) klausimais, įskaitant informacinių ir ryšių technologijų (IRT) rizikos valdymą, pranešimus apie incidentus, IRT paslaugų trečiųjų šalių riziką ir skaitmeninės veiklos atsparumo testavimą. Šias sritis apima viena komanda, todėl galime suderinti duomenų apsaugos ir veiklos atsparumo procedūras bei pranešimų teikimą.

IFLR1000 reitinguoja kontorą įmonių susijungimų ir įsigijimų, finansinių paslaugų reguliavimo bei bankininkystės ir finansų srityse. „The Legal 500“ reitinguoja kontorą technologijų, žiniasklaidos ir telekomunikacijų (TMT), mokesčių, nekilnojamojo turto ir statybos, finansinių technologijų, darbo teisės, ginčų sprendimo bei bankininkystės, finansų ir kapitalo rinkų srityse. Kontora taip pat reitinguojama „Chambers and Partners“ leidiniuose „FinTech“ ir „Europe“.

Duomenų apsauga ir IRT yra svarbi mūsų finansinių technologijų praktikos dalis. Konsultuojame kredito, mokėjimo ir elektroninių pinigų įstaigas bei kitas finansinių technologijų įmones BDAR ir joms taikomų DORA reikalavimų klausimais. Taip pat dirbame su telekomunikacijų, gynybos technologijų ir logistikos įmonėmis.

Rengiame procedūras, kuriomis darbuotojai gali naudotis kasdien, dokumentus, atitinkančius faktinį sistemų veikimą, ir padedame surinkti atitikties įrodymus, kuriuos galima pateikti priežiūros institucijai.

ECOVIS ProventusLaw veikia Lietuvoje, Latvijoje ir Estijoje bei priklauso ECOVIS International tinklui, veikiančiam daugiau kaip 90 pasaulio šalių. Tai leidžia padėti klientams spręsti tarpvalstybinio duomenų tvarkymo ir kelių jurisdikcijų reikalavimų taikymo klausimus.