Praėjusį mėnesį Airijos duomenų apsaugos komisija skyrė 403 mln. Eur baudą „Google“ už vietos duomenų tvarkymą, o Italijos duomenų apsaugos institucija – 7 mln. Eur baudą „IQVIA Solutions Italy“ už tariamai anoniminių sveikatos duomenų tvarkymą. Kartu Europos duomenų apsaugos valdyba (EDPB) priėmė gaires dėl administracinių baudų skyrimo, o nuo rugsėjo 11 d. pradėjo veikti Kibernetinio atsparumo akto pranešimų apie pažeidžiamumus ir incidentus pareigos.

Lietuvoje Nacionalinis kibernetinio saugumo centras (NKSC) priminė gamintojams apie naujas pareigas pagal Kibernetinio atsparumo aktą, o Valstybinė duomenų apsaugos inspekcija (VDAI) paskelbė 2025 m. aktualių teismų sprendimų apibendrinimą ir pateikė Lietuvos duomenų valdytojams EDPB gaires dėl administracinių baudų.

Šiame leidinyje apžvelgiame svarbiausius BDAR ir privatumo reguliavimo pokyčius bei praktinius veiksmus, kurių organizacijos turėtų imtis.

ESTT: viešas visų akcininkų duomenų skelbimas internete neproporcingas – byla C-798/24 „Jautiva“

Data: 2026 m. rugsėjo 3 d. | Šaltinis: Europos Sąjungos Teisingumo Teismas
Nuoroda

2026 m. rugsėjo 3 d. Europos Sąjungos Teisingumo Teismas (ESTT), nagrinėdamas Latvijos Konstitucinio Teismo prašymą priimti prejudicinį sprendimą byloje C-798/24 „Jautiva“, nusprendė, kad Direktyva (ES) 2017/1132 nereikalauja viešai atskleisti informacijos apie visus akcinių bendrovių akcininkus, įskaitant smulkiuosius akcininkus. Teismas pripažino, kad Latvijos taisyklė, pagal kurią akcininkų vardai ir pavardės, asmens kodai, adresai, elektroninio pašto adresai ir turimos akcijos skelbiami internete, gali būti atsisiunčiami dideliais kiekiais ir be jokių apribojimų, yra neproporcinga pagal BDAR ir ES pagrindinių teisių chartiją.

Teismas sutiko, kad verslo skaidrumas, pinigų plovimo ir teroristų finansavimo prevencija bei sankcijų įgyvendinimas yra teisėti tikslai, tačiau konstatavo, kad neribota viešoji prieiga sukelia didelę piktnaudžiavimo duomenimis riziką ir kad egzistuoja mažiau kišamųjų priemonių, pavyzdžiui, prieiga įrodžius teisėtą interesą. Sprendimas atitinka teismo praktikos dėl viešųjų tikrųjų naudos gavėjų registrų liniją.

Rekomenduojame organizacijoms

• bendrovėms, kurios gauna akcininkų duomenis iš viešųjų registrų, stebėti registrų prieigos taisyklių pokyčius ir dokumentuoti tokių duomenų gavimo ir naudojimo teisinį pagrindą bei tikslą;
• duomenų valdytojams, kurie asmens duomenis dėl skaidrumo tikslų skelbia internete, įvertinti, ar būtina neribota, dideliais kiekiais atsisiunčiama prieiga, ar to paties tikslo galima pasiekti nustatant prieigos kontrolę ir tikslo ribojimą.

Generalinis advokatas Szpunar: bendras ryšių duomenų saugojimas galimas tik užtikrinus tikrą duomenų kategorijų atskyrimą – byla C-661/24

Data: 2026 m. rugsėjo 3 d. | Šaltinis: Europos Sąjungos Teisingumo Teismas (generalinio advokato išvada)
Nuoroda

2026 m. rugsėjo 3 d. generalinis advokatas Szpunar pateikė išvadą byloje C-661/24 „Académie Fiscale ir kt.“, kuri kilo iš penkių Belgijos Konstitucinio Teismo nagrinėjamų ieškinių dėl 2022 m. Belgijos įstatymo, reglamentuojančio identifikavimo duomenų ir metaduomenų elektroninių ryšių srityje rinkimą bei saugojimą. Jis pakartojo, kad eismo ir vietos duomenų saugojimas kėsinasi į teises į privatumą ir asmens duomenų apsaugą ir yra leistinas tik tada, kai tai numatyta įstatyme, yra griežtai būtinas ir proporcingas.

Generalinis advokatas pasiūlė, kad bendras duomenų saugojimas gali būti suderinamas su Direktyva 2002/58/EB, jeigu techninėmis apsaugos priemonėmis užtikrinamas tikrai sandarus duomenų kategorijų atskyrimas, kad saugojimo laikotarpiu jų nebūtų galima sujungti. Vis dėlto jis padarė išvadą, kad Belgijos įstatymas šio testo neatitinka: jame numatytas pernelyg platus duomenų saugojimas be tokio atskyrimo, esminius saugojimo klausimus paliekama spręsti paslaugų teikėjams, o reglamentavimui trūksta aiškumo ir apsaugos priemonių.

Svarbu pažymėti, kad tai yra generalinio advokato išvada ir galutinį sprendimą byloje dar priims Teisingumo Teismas.

Rekomenduojame organizacijoms

• elektroninių ryšių paslaugų teikėjams ir įmonėms, kurios teikia žinučių ar kitas ryšio funkcijas, sekti bylos baigtį, nes reikalavimas techniškai atskirti saugomų duomenų kategorijas turėtų įtakos duomenų saugojimo architektūrai;
• įmonėms, atsakančioms į teisėsaugos institucijų duomenų prašymus, dokumentuoti duomenų saugojimo terminus ir kategorijas bei apriboti juos tuo, ko aiškiai reikalauja nacionalinė teisė.

CNIL skyrė 300 000 Eur baudą „EXTIA“ dėl teisės į duomenų ištrynimą nesilaikymo

Data: 2026 m. rugsėjo 9 d. | Šaltinis: CNIL (Prancūzijos duomenų apsaugos institucija)
Nuoroda

2026 m. rugsėjo 9 d. Prancūzijos duomenų apsaugos institucija (CNIL) paskelbė, kad skyrė IT ir inžinerinių paslaugų konsultacijų bendrovei „EXTIA“ 300 000 Eur baudą už teisės į duomenų ištrynimą nesilaikymą ir informavimo pareigų pagal BDAR 12 ir 17 straipsnius pažeidimą.

Auditas, atliktas 2025 m. balandį po gautų skundų ir įgyvendinant EDPB koordinuotų vykdymo užtikrinimo veiksmų dėl teisės į duomenų ištrynimą iniciatyvą, parodė, kad iš 2024 m. gautų 265 prašymų ištrinti duomenis, daugiausia iš kandidatų į darbo vietas ir buvusių darbuotojų, daugiau nei trys ketvirtadaliai nebuvo išnagrinėti arba buvo išnagrinėti netinkamai. Dvylika prašymų iš viso nebuvo nagrinėti, 166 asmenys nebuvo informuoti apie savo prašymo rezultatą, o 27 buvo informuoti pavėluotai, pasibaigus vieno mėnesio terminui. Bauda skirta atsižvelgiant į susijusių asmenų skaičių ir tai, kad bendrovei jau du kartus buvo primintos jos pareigos.

Rekomenduojame organizacijoms

• peržiūrėti, kaip registruojami, vykdomi ir atsakomi nesėkmingų kandidatų ir buvusių darbuotojų prašymai ištrinti duomenis (tai ypač aktualu darbdaviams), ir nustatyti įdarbinimo duomenų saugojimo terminus, kurie būtų taikomi automatiškai;
• užtikrinti, kad į kiekvieną duomenų subjekto prašymą būtų atsakyta raštu per vieną mėnesį, įskaitant atvejus, kai prašymas atmetamas arba tenkinamas iš dalies, ir saugoti atsakymo pateikimo įrodymus.

NKSC priminė gamintojams: nuo 2026 m. rugsėjo 11 d. taikomos Kibernetinio atsparumo akto pranešimų pareigos

Data: 2026 m. rugsėjo 14 d. | Šaltinis: Nacionalinis kibernetinio saugumo centras (NKSC)
Nuoroda

2026 m. rugsėjo 14 d. NKSC priminė gamintojams, kad nuo 2026 m. rugsėjo 11 d. taikomos Kibernetinio atsparumo akto (angl. Cyber Resilience Act, CRA; Reglamentas (ES) 2024/2847) pranešimų pareigos: ES rinkoje tiekiamų skaitmeninių elementų turinčių produktų, įskaitant programinę įrangą, pavyzdžiui, operacines sistemas ir mobiliąsias programėles, gamintojai privalo pranešti apie aktyviai išnaudojamus pažeidžiamumus ir sunkius incidentus, darančius poveikį jų produktų saugumui. Ankstyvasis įspėjimas turi būti pateiktas per 24 valandas nuo sužinojimo, pranešimas – per 72 valandas, o galutinė ataskaita – ne vėliau kaip per 14 dienų nuo taisomosios ar riziką mažinančios priemonės pateikimo (pažeidžiamumo atveju) arba per vieną mėnesį nuo pranešimo (sunkaus incidento atveju).

Pranešama vieną kartą per Europos Sąjungos kibernetinio saugumo agentūros (ENISA) valdomą ir 2026 m. rugsėjo 11 d. pradėjusią veikti CRA bendrąją pranešimų platformą (angl. Single Reporting Platform), kuri juos persiunčia kompetentingoms kompiuterių saugumo incidentų tyrimo grupėms (CSIRT); gamintojams, kurių pagrindinė buveinė yra Lietuvoje, koordinuojanti CSIRT yra NKSC. Išankstinė registracija platformoje nereikalinga – ją galima atlikti pateikiant pirmąjį ankstyvąjį įspėjimą.

Pareiga taikoma ir jau rinkoje esantiems produktams, tačiau apie iki 2026 m. rugsėjo 11 d. žinomą išnaudojimą pranešti nebūtina. Pagrindiniai CRA produktų reikalavimai taikomi nuo 2027 m. gruodžio 11 d.; tą pačią dieną pranešimo pareigos atsiranda ir atvirojo kodo programinės įrangos prižiūrėtojams (angl. open-source software stewards).

Rekomenduojame organizacijoms

• finansinių technologijų ir programinės įrangos įmonėms, kurios kuria savo programėles, programinės įrangos kūrimo rinkinius (SDK) ar platformas, nustatyti, ar jos pagal CRA laikomos „gamintojomis“, ir jei taip – įdiegti vidinį pažeidžiamumų valdymo ir incidentų procesą, leidžiantį laikytis 24 ir 72 valandų terminų;
• palyginti CRA pranešimo pareigą su pranešimo apie incidentus pareigomis pagal DORA, NIS2 ir BDAR, kad vienas įvykis sukeltų visus taikytinus pranešimus, ir paskirti asmenį, atsakingą už pranešimų teikimą ENISA platformoje;
• su trečiųjų šalių programinės įrangos tiekėjais, įrašytais į IRT registrą, išsiaiškinti, kaip jie vykdys savo CRA pranešimo pareigas ir perduos klientams informaciją apie išnaudojamus pažeidžiamumus.

Europos Komisija pateikė ES vaikų apsaugos socialiniuose tinkluose akto (EU KIDS Act) pasiūlymą

Data: 2026 m. rugsėjo 17 d. | Šaltinis: Europos Komisija
Nuoroda

2026 m. rugsėjo 17 d. Europos Komisija priėmė pasiūlymą dėl ES vaikų apsaugos socialiniuose tinkluose akto (angl. EU KIDS Act) – reglamento, ribojančio vaikų prieigą prie socialinės žiniasklaidos platformų. Pasiūlyme platformoms draudžiama suteikti prieigą jaunesniems nei 13 metų vaikams, o vieningas ES minimalus amžius savarankiškai atidaryti paskyrą nustatomas – 15 metų. Pareiga įrodyti, kad jų paslaugos yra tinkamos pagal amžių ir saugios jau projektavimo etapu, tenka platformoms.

Pasiūlymas grindžiamas Skaitmeninių paslaugų aktu (DSA) ir juo siekiama suteikti tėvams daugiau kontrolės vaikų veiklos internete atžvilgiu. Amžiaus patikrinimo metodai, vykdymo užtikrinimo terminai ir sankcijos bus nustatyti teisėkūros proceso metu.

Rekomenduojame organizacijoms

• vartotojams skirtų programėlių su socialinėmis ar bendruomenės funkcijomis teikėjams sekti pasiūlymą dėl įtraukiamų platformų apibrėžties ir amžiaus patikrinimo lūkesčių, kurie sąveikaus su Europos skaitmeninės tapatybės piniginės sprendimais;
• mokėjimo paslaugų teikėjams, siūlantiems produktus nepilnamečiams, stebėti, ar amžiaus patikrinimo standartai nebus perkelti ir į klientų priėmimą teikiant finansines paslaugas.

EDPB priėmė gaires dėl administracinių baudų skyrimo ir galutines DSA bei BDAR sąveikos gaires

Data: 2026 m. rugsėjo 17 d. | Šaltinis: Europos duomenų apsaugos valdyba (EDPB)
Nuoroda

2026 m. rugsėjo 17 d. plenariniame posėdyje EDPB priėmė gaires dėl įgaliojimo skirti administracines baudas taikymo santykyje su kitais BDAR numatytais korekciniais įgaliojimais ir galutinę gairių dėl Skaitmeninių paslaugų akto (DSA) ir BDAR sąveikos versiją. Baudų gairės pakeičia ankstesnes 29 straipsnio darbo grupės (WP29) gaires dėl administracinių baudų ir papildo 2023 m. gaires dėl baudų apskaičiavimo.

Duomenų apsaugos institucijos turi laikytis penkių žingsnių metodo: patikrinti, ar už pažeidimą pagal BDAR ar nacionalinę teisę gali būti skiriama bauda; nustatyti, ar tiriamas duomenų valdytojas ar tvarkytojas gali būti baudžiamas už pažeistą nuostatą; nustatyti tyčią ar neatsargumą; įvertinti sunkinančias ir lengvinančias aplinkybes (už nesunkius pažeidimus skiriant papeikimą, o kitais atvejais taikant stiprią baudos skyrimo prezumpciją); įvertinti, ar bauda būtų veiksminga, proporcinga ir atgrasanti.

Gairėse aprašomos kitos korekcinės priemonės (įspėjimai, papeikimai, nurodymai, tvarkymo apribojimai ir draudimai, sertifikavimo panaikinimas) ir pateikiama 14 praktinių pavyzdžių. Konsultacijos dėl gairių vyksta iki 2026 m. lapkričio 13 d. VDAI gaires Lietuvos duomenų valdytojams perdavė rugsėjo 24 d.

Rekomenduojame organizacijoms

Atsižvelgiant į galutines DSA ir BDAR sąveikos gaires:

• įvertinti, ar automatizuotas turinio šalinimas arba paskyrų blokavimas atitinka BDAR 22 straipsnio reikalavimus;
• jeigu bendrovė savo platformoje talpina naudotojų skelbimus, patikrinti galimą bendro duomenų valdytojo statusą ir įdiegti priemones, užkertančias kelią skelbti skelbimus, kuriuose yra specialių kategorijų duomenų.

Airijos duomenų apsaugos komisija skyrė 403 mln. Eur baudą „Google“ dėl vietos duomenų tvarkymo

Data: 2026 m. rugsėjo 21 d. | Šaltinis: Airijos duomenų apsaugos komisija (DPC)
Nuoroda

2026 m. rugsėjo 21 d. Airijos duomenų apsaugos komisija (DPC) paskelbė galutinį sprendimą savo iniciatyva pradėtame tyrime dėl „Google Ireland Limited“ vietos duomenų tvarkymo funkcijose „Web & App Activity“, „Location History“ ir „Location Accuracy“ 2018 m. gegužės 25 d. – 2020 m. vasario 4 d. laikotarpiu. Komisija skyrė administracines baudas, kurių bendra suma – 403 mln. Eur, ir įpareigojo „Google“ per šešis mėnesius suderinti duomenų tvarkymą su reikalavimais.

DPC nustatė teisėtumo ir sąžiningumo principų pažeidimus dėl „Web & App Activity“ ir „Location History“, atskaitomybės principo pažeidimą dėl „Location Accuracy“, skaidrumo pažeidimus dėl visų trijų funkcijų ir saugojimo apribojimo principo pažeidimą dėl pernelyg ilgo vietos duomenų saugojimo. Tyrimas pradėtas 2020 m. vasarį po vartotojų organizacijų, įskaitant BEUC, skundų, o sprendimas priimtas bendradarbiaujant su susijusiomis priežiūros institucijomis pagal vieno langelio mechanizmą.

Rekomenduojame organizacijoms

• duomenų valdytojams, kurie vietos duomenis naudoja personalizavimui ar reklamai, patvirtinti kiekvienos funkcijos teisinį pagrindą, pasirinkimo momentu pateikiamos informacijos aiškumą ir vietos duomenų istorijoms taikomą saugojimo terminą;
• daugiasluoksnius ar pagal numatytuosius nustatymus įjungtus nustatymus, lemiančius, kokie duomenys renkami, laikyti skaidrumo klausimu, todėl naudotojui renkantis privalo būti pateikiamas aiškus paaiškinimas paprasta kalba.

ENISA paskelbė 2026 m. grėsmių kibernetinėje erdvėje apžvalgą (Threat Landscape 2026)

Data: 2026 m. rugsėjo 22 d. | Šaltinis: ENISA
Nuoroda

2026 m. rugsėjo 22 d. ENISA paskelbė „Threat Landscape 2026“, apimančią incidentus nuo 2025 m. sausio 1 d. iki gruodžio 31 d. Didžiausią žalą toliau daro išpirkos reikalaujančios programos (angl. ransomware), kuriose derinamas šifravimas, duomenų vagystė ir turto prievartavimas; pagrindinis pradinio įsilaužimo kelias išlieka socialinė inžinerija, ypač sukčiavimas (angl. phishing), kuriam padeda sukčiavimo rinkiniai ir „ClickFix“ technika; o žinomų arba nulinės dienos pažeidžiamumų išnaudojimas sudarė 60 proc. neteisėtos prieigos incidentų. 2025 m. paskelbta daugiau nei 48 000 naujų pažeidžiamumų – 22 proc. daugiau nei prieš metus.

Daugiausia taikinių buvo viešojo administravimo sektoriuje (32 proc. incidentų, daugiausia ideologiškai motyvuotos DDoS atakos), toliau – verslo paslaugų, transporto, gamybos ir finansų bei bankininkystės (6 proc.) sektoriuose; 73 proc. atakų taikinių – organizacijos, patenkančios į NIS2 esminių ar svarbių subjektų apibrėžtis. Ataskaitoje pabrėžiama, kad didžiausių incidentų šaltinis yra tiekimo grandinės ir trečiųjų šalių priklausomybės, ir pažymima, kad vien internetinis investicinis sukčiavimas 2024 m. EEE kainavo apie 4 mlrd. Eur.

Rekomenduojame organizacijoms

• ataskaitą naudoti kaip išorinį grėsmių šaltinį atliekant kasmetinį IRT rizikos vertinimą ir rengiant grėsmėmis grįstus testavimo scenarijus, kurių reikalauja DORA ir NIS2, ypač daug dėmesio skiriant trečiųjų šalių ir tiekimo grandinės pažeidimams;
• atnaujinti darbuotojų mokymus apie sukčiavimą, įtraukiant „ClickFix“ tipo raginimus, ir peržiūrėti pataisų diegimo prioritetus ir terminus, pirmiausia atsižvelgiant į aktyviai išnaudojamus pažeidžiamumus ir prie interneto prijungtas sistemas.

Italijos duomenų apsaugos institucija skyrė 7 mln. Eur baudą „IQVIA“ už tariamai anoniminių sveikatos duomenų tvarkymą

Data: 2026 m. rugsėjo 23 d. | Šaltinis: Garante (Italijos duomenų apsaugos institucija)
Nuoroda

2026 m. rugsėjo 23 d. Italijos duomenų apsaugos institucija (Garante per la protezione dei dati personali, Garante) skyrė „IQVIA Solutions Italy S.r.l.“ 7 mln. Eur baudą už neteisėtą maždaug vieno milijono pacientų, besilankančių pas apie 800 šeimos gydytojų, sveikatos duomenų tvarkymą duomenų bazėje, naudotoje tyrimams, kuriuos, be kita ko, užsakė farmacijos bendrovės. Sprendimas paskelbtas 2026 m. spalio 2 d. Tyrimas pradėtas po 2025 m. balandį atliktų patikrinimų, o prie jo prisidėjo ir pačios bendrovės praneštas asmens duomenų saugumo pažeidimas.

Garante nusprendė, kad duomenys nebuvo anoniminiai: kiekvienam pacientui priskirtas kodas leido sekti asmenį laikui bėgant ir, kartu su labai išsamia informacija (gimimo metai, lytis, diagnozės, simptomai, receptai, tyrimai, skiepai ir vietos duomenys), leido išskirti atskirus pacientus ir pakartotinai juos identifikuoti pagrįstai tikėtinomis priemonėmis. „IQVIA“ pripažinta duomenų valdytoja nuo duomenų rinkimo gydytojų kabinetuose momento.

Garante taip pat nustatė, kad sveikatos duomenys buvo tvarkomi be tinkamo teisinio pagrindo ir nepakankamai informavus pacientus, nebuvo apibrėžti saugojimo terminai (duomenys siekė 2001 m.), neatliktas poveikio duomenų apsaugai vertinimas, o saugumo priemonės buvo nepakankamos. Duomenų bazėje taip pat buvo daugiau nei 3 300 pacientų identifikuojamųjų duomenų (vardų ir pavardžių, mokesčių mokėtojo kodų, adresų, kontaktinių duomenų), iš jų daugiau nei 3 000 – kartu su sveikatos duomenimis.

Jei „IQVIA“ nori tęsti veiklą, ji per 120 dienų privalo suderinti duomenų tvarkymą su Garante reikalavimais; kitu atveju duomenis savarankiškai turi anonimizuoti gydytojai, laikydamiesi Garante nurodytų apsaugos priemonių. Nustatydama baudos dydį, Garante atsižvelgė į pacientų skaičių, duomenų pobūdį, tai, kad gydytojai nuo 2023 m. nustojo siųsti duomenis, ir bendrovės bendradarbiavimą. „IQVIA“ pareiškė pasiliekanti teisę sprendimą apskųsti.

Rekomenduojame organizacijoms

• organizacijoms, kurios sveikatos, mokslinių tyrimų ar analitikos duomenų rinkinius vadina „anoniminiais“, patikrinti šį teiginį pagal išskyrimo ir susiejamumo laikui bėgant riziką, kai išlieka nuolatiniai pacientų kodai ar išsamūs klinikiniai požymiai, ir tokius duomenis laikyti asmens duomenimis, nebent pakartotinė identifikacija pagrįstai neįmanoma;
• nustatyti duomenų valdytojo ar tvarkytojo vaidmenį jau duomenų rinkimo momentu ir patikrinti teisinį pagrindą, pacientų informavimą, saugojimo terminus, poveikio duomenų apsaugai vertinimą ir saugumo priemones, kai iš sveikatos priežiūros paslaugų teikėjų, vaistinių ar programinės įrangos tiekėjų gauti sveikatos duomenys naudojami antriniais tikslais.

VDAI paskelbė 2025 m. aktualių teismų sprendimų apibendrinimą

Data: 2026 m. rugsėjo 30 d. | Šaltinis: Valstybinė duomenų apsaugos inspekcija (VDAI)
Nuoroda

2026 m. rugsėjo 30 d. Valstybinė duomenų apsaugos inspekcija (VDAI) paskelbė 2025 m. reikšmingų teismų sprendimų administracinėse bylose, kilusiose iš Inspekcijos nagrinėtų skundų, apibendrinimą, apimantį Lietuvos vyriausiojo administracinio teismo (LVAT) ir Regionų administracinio teismo sprendimus. Apibendrinime nagrinėjama Inspekcijos diskrecija renkantis korekcines priemones, vaizdo stebėjimo teisėtumas, asmens duomenų tvarkymas siekiant įvykdyti teisinę prievolę, asmens duomenų tvarkymas siekiant išieškoti mokesčius už paslaugas ir kiti pasikartojantys klausimai.

Apibendrinimas paskelbtas VDAI interneto svetainės skiltyje „Teismų sprendimai (pagal VDAI nagrinėtus skundus)“ ir yra tiesioginis rodiklis, kaip Lietuvos teismai skundžiant tikrina VDAI sprendimus ir baudas.

Rekomenduojame organizacijoms

• duomenų apsaugos pareigūnams perskaityti apibendrinimą ir palyginti jį su savo vaizdo stebėjimo, skolų išieškojimo ir teisinės prievolės vykdymo tikslais atliekamo duomenų tvarkymo įrašais, nes būtent šios sritys 2025 m. buvo ginčijamos, ir pakoreguoti pranešimus bei teisėtų interesų vertinimus, jei teismų argumentai skiriasi nuo dabartinės praktikos;
• teismų pozicijas dėl VDAI diskrecijos naudoti vertinant galimas korekcines priemones už konkretų pažeidimą ir tai, ar verta skųsti VDAI sprendimą.

Mūsų vertinimas

Prieš naudodamos iš viešųjų registrų ar kitų šaltinių gautus asmens duomenis, organizacijos turėtų patikrinti jų naudojimo teisinį pagrindą, asmenims pateiktą informaciją ir tolesnio naudojimo apribojimus. Jei duomenys įvardijami kaip anoniminiai, būtina įvertinti, ar iš jų, taip pat susiejus juos su kita prieinama informacija, negalima nustatyti konkretaus asmens.

„EXTIA“ skirta 300 000 Eur bauda parodo, kodėl verta patikrinti visą prašymų ištrinti duomenis nagrinėjimo procesą. Net ir automatiškai ištrynus duomenis, asmenį reikia informuoti apie jo prašymo rezultatą. Rekomenduojame atrinkti kelis prašymus ir patikrinti jų kelią nuo gavimo iki galutinio atsakymo, o nustačius trūkumus paskirti atsakingus asmenis ir jų pašalinimo terminus.

EDPB baudų skyrimo gairėse dėmesys skiriamas ir rizikoms, kurias organizacija turėjo pastebėti, bei pasikartojantiems pažeidimams. Todėl svarbu užfiksuoti nustatytus trūkumus, jų šalinimo veiksmus ir priemones, kuriomis siekiama išvengti pasikartojimo. Greitai pašalinti ir dokumentuoti trūkumai gali sumažinti korekcinių priemonių tikimybę arba jų griežtumą.

Organizacijoms, kurioms taikomos Kibernetinio atsparumo akto pranešimų pareigos, verta iš anksto išbandyti pranešimų teikimo procedūras. Teisės, kibernetinio saugumo ir produktų komandos turi žinoti, kas įvertina pažeidžiamumą ar incidentą, surenka informaciją iš tiekėjų ir laiku pateikia pranešimus. Teisėkūros pasiūlymus ir generalinių advokatų išvadas reikėtų stebėti, tačiau jų nelaikyti jau taikomais reikalavimais.

Kaip gali padėti ECOVIS ProventusLaw

• Duomenų subjektų teisių įgyvendinimas. Rengiame ir peržiūrime prašymų ištrinti duomenis bei susipažinti su jais nagrinėjimo procedūras, apimančias visą procesą nuo prašymo gavimo iki galutinio atsakymo.
• Duomenų anonimiškumo ir dalijimosi jais sąlygų vertinimas. Remdamiesi duomenų tvarkymo procesų ir taikomų techninių priemonių informacija, vertiname, ar duomenys gali būti laikomi anoniminiais pagal BDAR, ir nustatome duomenų valdytojų bei tvarkytojų vaidmenis. Rengiame susitarimus dėl dalijimosi duomenimis ir poveikio duomenų apsaugai vertinimus.
• Kibernetinio atsparumo akto reikalavimų vykdymas. Vertiname, ar šis aktas taikomas jūsų produktams. Rengiame pranešimų teikimo procedūras, skirtas laikytis 24 ir 72 valandų bei galutinių ataskaitų pateikimo terminų, ir deriname jas su taikytinomis pranešimų pareigomis pagal NIS2, DORA ir BDAR.
• BDAR atitikties patikra ir trūkumų šalinimas. Atliekame BDAR atitikties auditus, rengiame trūkumų šalinimo planus ir padedame dokumentuoti, kas ir kada buvo ištaisyta.
• Atstovavimas VDAI tyrimuose ir ginčuose. Atstovaujame klientams Valstybinės duomenų apsaugos inspekcijos tyrimuose ir skundžiant jos sprendimus Lietuvos administraciniams teismams.

Susisiekite su mūsų komanda, jei norite aptarti konkretų duomenų tvarkymo procesą, planuojamą duomenų naudojimą ar priežiūros institucijos nustatytus trūkumus.

Kodėl ECOVIS ProventusLaw

Mūsų technologijų teisės komanda konsultuoja duomenų apsaugos ir finansų sektoriaus skaitmeninės veiklos atsparumo reglamento (DORA) klausimais, įskaitant informacinių ir ryšių technologijų (IRT) rizikos valdymą, pranešimus apie incidentus, IRT paslaugų trečiųjų šalių riziką ir skaitmeninės veiklos atsparumo testavimą. Šias sritis apima viena komanda, todėl galime suderinti duomenų apsaugos ir veiklos atsparumo procedūras bei pranešimų teikimą.

IFLR1000 reitinguoja kontorą įmonių susijungimų ir įsigijimų, finansinių paslaugų reguliavimo bei bankininkystės ir finansų srityse. „The Legal 500“ reitinguoja kontorą technologijų, žiniasklaidos ir telekomunikacijų (TMT), mokesčių, nekilnojamojo turto ir statybos, finansinių technologijų, darbo teisės, ginčų sprendimo bei bankininkystės, finansų ir kapitalo rinkų srityse. Kontora taip pat reitinguojama „Chambers and Partners“ leidiniuose „FinTech“ ir „Europe“.

Duomenų apsauga ir IRT yra svarbi mūsų finansinių technologijų praktikos dalis. Konsultuojame kredito, mokėjimo ir elektroninių pinigų įstaigas bei kitas finansinių technologijų įmones BDAR ir joms taikomų DORA reikalavimų klausimais. Taip pat dirbame su telekomunikacijų, gynybos technologijų ir logistikos įmonėmis.

Rengiame procedūras, kuriomis darbuotojai gali naudotis kasdien, dokumentus, atitinkančius faktinį sistemų veikimą, ir padedame surinkti atitikties įrodymus, kuriuos galima pateikti priežiūros institucijai.

ECOVIS ProventusLaw veikia Lietuvoje, Latvijoje ir Estijoje bei priklauso ECOVIS International tinklui, veikiančiam daugiau kaip 90 pasaulio šalių. Tai leidžia padėti klientams spręsti tarpvalstybinio duomenų tvarkymo ir kelių jurisdikcijų reikalavimų taikymo klausimus.

The post BDAR apžvalga: naujienos ir ekspertų patarimai, spalis 2026 appeared first on ECOVIS ProventusLaw.

Praėjusį mėnesį Nyderlandų duomenų apsaugos institucija skyrė vieną didžiausių BDAR baudų istorijoje už visiškai automatizuotų sprendimų dėl asmenų priėmimą be prasmingo žmogaus įsitraukimo. Kartu organizacija „noyb“ pradėjo veiksmus prieš kredito informacijos agentūrą „SCHUFA“ dėl vadinamosios „šešėlinės duomenų bazės“ – asmens duomenų saugojimo ilgiau, nei numatyta pačios agentūros skelbiamuose saugojimo terminuose.

Lietuvoje Nacionalinis kibernetinio saugumo centras (NKSC) kartu su Antruoju operatyvinių tarnybų departamentu (AOTD) ir Valstybės saugumo departamentu (VSD) paskelbė rekomendacijas dėl vaizdo stebėjimo kamerų apsaugos, o Valstybinė duomenų apsaugos inspekcija (VDAI) tęsė duomenų apsaugos reikalavimų aiškinimą suprantama kalba.

Ir rugsėjį Europos duomenų apsaugos reguliavime netrūko reikšmingų pokyčių. Europos Sąjungos Teisingumo Teismo generalinis advokatas pateikė išvadą, kuri gali iš esmės pakeisti praktiką naudojant klientų duomenis tiesioginei rinkodarai, o Europos duomenų apsaugos valdyba (EDPB) priėmė galutines DSA ir BDAR sąveikos gaires bei paskelbė naujų baudų skyrimo gairių projektą.

Šiame leidinyje apžvelgiame svarbiausius BDAR ir privatumo reguliavimo pokyčius bei praktinius veiksmus, kurių organizacijos turėtų imtis.

Nyderlandų duomenų apsaugos institucija skyrė beveik 825 mln. Eur baudą „Uber“ dėl visiškai automatizuoto vairuotojų blokavimo.

Šaltinis: Nyderlandų duomenų apsaugos institucija (Autoriteit Persoonsgegevens, AP)
Nuoroda | Nuoroda

2026 m. rugpjūčio 21 d. Nyderlandų duomenų apsaugos institucija (Autoriteit Persoonsgegevens, AP) priėmė sprendimą dėl automatizuotų individualių sprendimų, priimamų „Uber“ vairuotojų atžvilgiu, ir skyrė bendrovei „Uber“ beveik 825 mln. Eur baudą už visiškai automatizuotą vairuotojų blokavimą (paskyrų deaktyvavimą). Tai viena didžiausių iki šiol paskirtų BDAR baudų.

Sprendimas grindžiamas BDAR 22 straipsniu: vairuotojų paskyros buvo deaktyvuojamos automatizuotu sprendimu be prasmingo žmogaus įsitraukimo ir netaikant apsaugos priemonių bei skaidrumo reikalavimų, kurių ši nuostata reikalauja sprendimams, sukeliantiems teisines pasekmes arba kitaip reikšmingai paveikiantiems duomenų subjektus.

Sprendimas aktualus visoms organizacijoms, kurios naudoja dirbtinio intelekto ar kitas algoritmines sprendimų priėmimo sistemas. Tai apima personalo valdymą, klientų priėmimą ir dalykinių santykių nutraukimą, sukčiavimo prevenciją, atitikties užtikrinimą, rizikos vertinimą (angl. scoring) ir paskyrų blokavimą. Jis taip pat patvirtina, kad priežiūros institucijos prasmingo žmogaus vertinimo nebuvimą laikys esminiu BDAR 22 straipsnio pažeidimu, o ne vien procedūriniu trūkumu.

Rekomenduojame organizacijoms:

• inventorizuoti visus sprendimus, kuriuos organizacija dėl asmenų priima be žmogaus įsitraukimo – pavyzdžiui, paskyros blokavimą, sutarties nutraukimą ar atsisakymą priimti klientą rizikos pagrindu – ir kiekvieną įvertinti pagal BDAR 22 straipsnį, ar jį leidžiama priimti visiškai automatizuotai;
• kai sprendimas automatizuotas, užtikrinti, kad žmogaus vertinimas būtų realus ir įrodomas: vertintojas turi matyti pirminius duomenis, turėti įgaliojimus pakeisti rezultatą ir palikti vertinimo įrašą. Vien formalus patvirtinimas BDAR 22 straipsnio reikalavimų neatitinka – tai buvo esminis trūkumas „Uber“ byloje;
• patikrinti, kad privatumo pranešimuose asmenys būtų informuojami, kada sprendimas dėl jų priimamas automatizuotai ir kokia logika taikoma, kad veiktų procedūra, pagal kurią jie gali tokį sprendimą ginčyti ir gauti žmogaus vertinimą, ir kad taikomos apsaugos priemonės būtų dokumentuotos raštu.

„noyb“ pateikė reikalavimą „SCHUFA“ dėl „šešėlinės duomenų bazės“ ir pradėjo rinkti dalyvius grupės ieškiniui.

Šaltinis: „noyb“ (Europos skaitmeninių teisių centras)
Nuoroda

2026 m. rugpjūčio 26 d. organizacija „noyb“ (Europos skaitmeninių teisių centras) išsiuntė Vokietijos kredito informacijos agentūrai „SCHUFA“ reikalavimą nutraukti pažeidimą (angl. cease-and-desist) dėl tariamos „šešėlinės duomenų bazės“ ir pradėjo rinkti suinteresuotų asmenų sąrašą galimam grupės ieškiniui.

„noyb“ reikalauja, kad „SCHUFA“ nustotų saugoti duomenis ilgiau, nei numatyta pačios agentūros skelbiamuose saugojimo terminuose, kad atsakydama į prašymus susipažinti su duomenimis pagal BDAR 15 straipsnį pateiktų asmenims ir jų istorinius duomenis ir kad užtikrintų savo duomenų tvarkymo praktikos skaidrumą. Ginčo esmė: duomenų saugojimas ir realus ištrynimas bei atsakymų į prašymus susipažinti su duomenimis išsamumas. Teigiama, kad įrašai, kurie turėjo būti ištrinti, yra tik paslėpti nuo vartotojų ir toliau naudojami, įskaitant kreditingumo vertinimo modelių kūrimą ir testavimą.

„SCHUFA“ reikalavimus atmetė, todėl „noyb“ patvirtino, kad kreipsis į teismą dėl įpareigojimo nutraukti pažeidimą, o galimam grupės ieškiniui dėl žalos atlyginimo pradėtas rinkti suinteresuotų asmenų sąrašas.

Rekomenduojame organizacijoms:

• sudaryti visų duomenų rinkinių, kuriuose organizacija saugo asmens duomenis, įskaitant archyvus, atsargines kopijas ir istorinius įrašus, sąrašą ir dėl kiekvieno iš jų įsitikinti, kad pačios organizacijos skelbiamas saugojimo terminas yra realiai taikomas – pasibaigus terminui duomenys turi būti iš tikrųjų ištrinami, o ne tik paslepiami nuo kasdienio naudojimo, liekant prieinami kitiems tikslams;
• užtikrinti, kad atsakymai į prašymus susipažinti su duomenimis pagal BDAR 15 straipsnį apimtų visus apie asmenį saugomus asmens duomenis, įskaitant archyvuotus ir istorinius įrašus, o ne tik tuos, kurie matomi aktyvioje sistemoje;
• privatumo pranešime nurodyti, kiek laiko ir kokiu pagrindu saugomi kiekvienos kategorijos duomenys, o kai istoriniai duomenys pakartotinai naudojami kitu tikslu, pavyzdžiui, kuriant ar testuojant vertinimo modelius – įsitikinti, kad toks tolesnis naudojimas turi savarankišką teisinį pagrindą ir yra atskleistas atitinkamiems asmenims.

NKSC, AOTD ir VSD: nuo privatumo iki nacionalinio saugumo – kodėl būtina apsaugoti vaizdo stebėjimo kameras.

Šaltinis: Nacionalinis kibernetinio saugumo centras (NKSC), Antrasis operatyvinių tarnybų departamentas prie Krašto apsaugos ministerijos (AOTD), Valstybės saugumo departamentas (VSD)
Nuoroda | Nuoroda

2026 m. rugpjūčio 26 d. Nacionalinis kibernetinio saugumo centras (NKSC), Antrasis operatyvinių tarnybų departamentas prie Krašto apsaugos ministerijos (AOTD) ir Valstybės saugumo departamentas (VSD) bendrai paskelbė pagrindines rekomendacijas dėl saugaus vaizdo stebėjimo kamerų naudojimo, klausimą įvardydami kaip apimantį „nuo privatumo iki nacionalinio saugumo“. Institucijos pabrėžia, kad net viena neapsaugota kamera gali būti ir vertingos informacijos šaltinis, ir prieigos taškas į visą namų, įmonės ar organizacijos tinklą.

Saugumo ir stebėjimo tikslais įrengtos kameros pačios yra patrauklus taikinys: prieigą gavę užpuolikai gali rinkti neskelbtiną informaciją nusikalstamais tikslais arba užsienio valstybių interesais. Todėl netinkamai sukonfigūruoti ar neatnaujinti įrenginiai kelia ir asmens duomenų, ir nacionalinio saugumo riziką. Institucijos remiasi 2026 m. liepos mėn. Nyderlandų žvalgybos tarnybų paskelbta informacija apie sistemingas Rusijos skaitmeninio šnipinėjimo operacijas, kuriose išnaudotos prie interneto prijungtos kameros Vakaruose ir Ukrainoje – perimti vaizdo srautai buvo naudojami karinės technikos judėjimo maršrutams, ginklų tiekimo keliams ir karių pozicijoms nustatyti.

Organizacijoms tai patenka į BDAR reikalaujamo duomenų tvarkymo saugumo ir IRT bei tinklų saugumo reikalavimų, taikomų prie tinklo prijungtiems įrenginiams, sankirtą. Tai taip pat rodo augantį viešųjų institucijų dėmesį tiekimo grandinės saugumo rizikoms, susijusioms su prie tinklo prijungtais įrenginiais ir stebėjimo technologijomis.

Organizacijoms, vadovaujantis institucijų paskelbtomis pagrindinėmis rekomendacijomis, rekomenduojama:

• kiekviename įrenginyje pakeisti gamyklinį administratoriaus slaptažodį stipriu ir unikaliu slaptažodžiu, kuris nenaudojamas kituose įrenginiuose, ir jį periodiškai keisti;
• reguliariai atnaujinti kamerų programinę įrangą ir programinę aparatinę įrangą (angl. firmware), nenaudoti gamintojo nebepalaikomų įrenginių – juos pakeisti naujesne patikimų gamintojų įranga;
• įsitikinti, kad prie tinklo nėra prijungtų apleistų ar nestebimų kamerų;
• nesant realaus poreikio, neleisti kameros pasiekti tiesiogiai iš interneto; nuotolinei prieigai naudoti tik gamintojo rekomenduojamą sprendimą arba VPN, o stebėjimo įrangą laikyti atskirame tinklo segmente;
• nediegti nepatikimų gamintojų stebėjimo įrangos ir į ją neatnaujinti, ypač įrenginių, pagamintų Kinijoje, Rusijoje ar Irane;
• naudoti tokias funkcijas kaip dalinis vaizdo užtušavimas (angl. blurring), kai vaizdas gali atskleisti neskelbtiną informaciją (pavyzdžiui, GPS vietą), ir apriboti kameros matymo lauką, kad nebūtų fiksuojama perteklinių (pavyzdžiui, tikslaus adreso) ar konfidencialių detalių (pavyzdžiui, didelės raiškos kameros užfiksuotų kompiuterių ekranų ar dokumentų);
• stebėti, ar organizacijos teritorijoje neatsirado jai nepriklausančių kamerų ir ar į ją nėra nukreiptos kitų asmenų kameros;
• vaizdo stebėjimo sistemas įtraukti į duomenų tvarkymo saugumo vertinimą pagal BDAR 32 straipsnį, o kai organizacijai taikomos IRT taisyklės, tokios kaip NIS2 ar DORA – ir į IRT rizikos valdymo bei incidentų pranešimo procesus.

VDAI toliau plėtoja praktines duomenų apsaugos gaires.

Šaltinis: Valstybinė duomenų apsaugos inspekcija (VDAI)
Nuoroda

2026 m. rugpjūčio 28 d. Valstybinė duomenų apsaugos inspekcija (VDAI) paskelbė medžiagą, kurioje duomenų apsaugos reikalavimai aiškinami paprasta ir suprantama kalba – tęsdama pastangas BDAR pareigas padaryti aiškesnes tiek duomenų valdytojams, tiek duomenų subjektams.

Medžiaga atskleidžia, kaip Inspekcija aiškina pagrindinius BDAR principus, todėl gali būti naudinga peržiūrint vidines politikas, darbuotojų mokymų medžiagą ir privatumo pranešimus.

Rekomenduojame organizacijoms:

• susipažinti su Inspekcijos medžiaga ir ją išplatinti asmens duomenis tvarkantiems darbuotojams – tai trumpa ir prieinama santrauka, kaip pati priežiūros institucija aiškina pagrindines BDAR pareigas;
• naudoti ją kaip vidinių privatumo pranešimų ir darbuotojų mokymų turinio patikros priemonę – jie turėtų būti ne mažiau suprantami savo auditorijai.

Rinkodarai nepakanka bendro sutikimo dėl duomenų naudojimo

Šaltinis: Europos Sąjungos Teisingumo Teismas
Nuoroda

2026 m. rugsėjo 17 d. Europos Sąjungos Teisingumo Teismo generalinis advokatas Dean Spielmann pateikė išvadą byloje C-317/25 „Groupe Canal +“, kurioje nagrinėjamas asmens duomenų naudojimas tiesioginės rinkodaros tikslais ir sutikimo reikalavimai pagal BDAR bei Direktyvą 2002/58/EB. Byla kilo, kai Prancūzijos duomenų apsaugos institucija (CNIL) skyrė „Groupe Canal+“ 600 000 Eur baudą už elektroninės tiesioginės rinkodaros kampaniją, vykdytą maždaug 3,9 mln. asmenų atžvilgiu. Duomenys kampanijai buvo gauti iš interneto paslaugų tiekėjų, kurių klientai buvo sutikę, kad jų duomenys rinkodaros tikslais būtų naudojami paslaugų tiekėjų „partnerių“, tačiau konkretūs partneriai sutikimo davimo metu nebuvo įvardyti.

Generalinis advokatas laikosi pozicijos, kad toks sutikimas nėra pakankamas. Kad sutikimas būtų laikomas laisvai duotu, pakankamai informuotu ir nedviprasmišku, asmuo turi galėti žinoti, kas yra duomenų valdytojas, kuris asmens duomenis naudos tiesioginės rinkodaros tikslais. Tad, vien sutikimas dėl duomenų naudojimo „partnerių“ rinkodarai nereiškia, kad asmuo sutiko gauti komercinius pranešimus iš bet kurios į šią kategoriją patenkančios įmonės. Jeigu konkretaus duomenų valdytojo tapatybė sutikimo davimo metu nebuvo žinoma, prieš pradedant rinkodaros veiksmus turi būti gautas naujas sutikimas iki pirmojo komercinio pranešimo išsiuntimo. Generalinio advokato vertinimu, net ir tuo atveju, jei būtų pripažinta, kad pakanka nurodyti gavėjų kategoriją, tai toji turėtų būti apibrėžta pakankamai tiksliai, kad asmuo galėtų pagrįstai tikėtis, kuri konkreti įmonė su juo susisieks.

Svarbu pažymėti, kad tai yra generalinio advokato išvada ir galutinį sprendimą byloje dar priims Teisingumo Teismas.

Rekomenduojame organizacijoms:

• ar tiesioginės rinkodaros sutikimuose konkrečiai nurodomi duomenų valdytojai, kuriems bus perduodami asmens duomenys;
• ar naudojamos gavėjų kategorijos yra pakankamai konkrečios.

Europos duomenų apsaugos valdyba priėmė galutines DSA-BDAR gaires

Šaltinis: Europos duomenų apsaugos valdyba (EDPB)
Nuoroda

DSA-BDAR gairės

Europos duomenų apsaugos tarnyba (EDPB) 2026 m. rugsėjo 17 d. priėmė galutinę Gairių Nr.3/2025 dėl Skaitmeninių paslaugų akto (DSA) ir BDAR sąveikos versiją, jau po viešųjų konsultacijų. Gairės skirtos tarpininkavimo paslaugų teikėjams: interneto paslaugų platformų, itin didelių interneto platformų (VLOP) ir itin didelių paieškos sistemų (VLOSE) tiekėjams, kuriems vienu metu taikomi tiek DSA, tiek BDAR reikalavimai.

Įmonėms itin aktuali gairių dalis, kurioje DSA reikalauja realaus laiko skaidrumo apie reklamos parametrus, o tai papildo BDAR numatytą informavimo pareigą. DSA draudžia rodyti reklamą, pagrįstą profiliavimu, naudojant BDAR 9 straipsnyje nurodytus specialių kategorijų duomenis (pvz., sveikatos), net jei tokiam profiliavimui būtų teisinis pagrindas pagal BDAR.

Gairėse taip pat aptariama rekomendacinių sistemų skaidrumo pareiga bei nepilnamečių apsauga – amžiaus patikrinimo priemonės neturėtų reikalauti papildomų asmens duomenų daugiau nei būtina.

Rekomenduojame organizacijoms:

• įvertinti, ar automatizuotas turinio šalinimas ar paskyrų stabdymas atitinka BDAR 22 straipsnio reikalavimus;
• jei įmonė talpina naudotojų reklamas savo platformoje, patikrinti galimą bendro duomenų valdytojo statusą ir įdiegti priemones, neleidžiančias publikuoti skelbimų su specialių kategorijų duomenimis.

Europos duomenų apsaugos valdyba priėmė gaires dėl baudų skyrimo projekto

Šaltinis: Europos duomenų apsaugos valdyba (EDPB)
Nuoroda

2026 m. rugsėjo 17 d. Europos duomenų apsaugos tarnyba (EDPB) paskelbė gairių dėl administracinių baudų skyrimo santykio su kitomis BDAR poveikio priemonėmis projektą viešai konsultacijai. Viešosios konsultacijos, suteikiant suinteresuotosioms šalims galimybę teikti pastabas ir atsiliepimus vyks iki 2026 m. lapkričio 13 d.

Gairėse nustatyta, kad Duomenų apsaugos institucijos (DPA), spręsdamos, ar skirti administracinę baudą, turėtų laikytis penkių etapų:

1. ar pažeidimas gali užtraukti baudą;
2. ar tiriamajai šaliai gali būti skirta bauda už atitinkamą pažeidimą (ar atsakomybė tenka duomenų valdytojui, ar duomenų tvarkytojui, priklauso nuo to, kam taikoma pažeista nuostata).
3. ar pažeidimas buvo padarytas tyčia ar dėl neatsargumo, nes kaltės buvimas yra būtina sąlyga baudai skirti.
4. įvertina galimas sunkinančias ir lengvinančias aplinkybes (jei pažeidimas yra nedidelis, paprastai bauda neskiriama, o vietoj to gali būti pateiktas papeikimas; jei pažeidimas nėra nedidelis, yra tvirta prielaida, kad bauda turėtų būti skirta).
5. ar administracinės baudos skyrimas būtų veiksmingas, proporcingas ir atgrasantis.

Šiose gairėse ypač aktualu verslui, kaip griežtai EDPB aiškina neatsargumo sąvoką. Kad pažeidimas būtų laikomas neatsargiu, nebūtina įrodyti, jog įmonė realiai suvokė pažeidžianti BDAR, pakanka nustatyti, kad ji negalėjo nežinoti apie tokią galimybę. Kitaip tariant, sprendžiama ne pagal tai, ką įmonė faktiškai žinojo, o pagal tai, ką ji, veikdama deramai rūpestingai, turėjo žinoti.

Kitas svarbus aspektas – dėl ankstesnių pažeidimų reikšmės. Bet koks anksčiau nustatytas pažeidimas, net ir kitokio pobūdžio, laikomas sunkinančia aplinkybe. Ypač pasakytina apie pasikartojančius tos pačios rūšies pažeidimus: net jei pavienis atvejis būtų vertinamas kaip „nedidelis“ (pvz., vienkartinis pavėluotas atsakymas į duomenų subjekto prašymą), tokių atvejų kartojimasis gali parodyti sisteminę problemą ir tapti pagrindu skirti baudą, nors atskirai kiekvienas incidentas ir atrodytų nereikšmingas.

Bei gairėse pabrėžiama, kad greitas ir savanoriškas reagavimas į pažeidimą gali lemti, jog priežiūros institucija apskritai neskirs jokios poveikio priemonės (nei baudos, nei papeikimo). Tokį poveikį turi, pavyzdžiui: nedelsiant pranešti priežiūros institucijai ir paveiktiems asmenims; kompensuoti jų patirtas išlaidas; įdiegti papildomas technines ar organizacines priemones.

The post BDAR apžvalga: naujienos ir ekspertų patarimai, rugsėjis 2026 appeared first on ECOVIS ProventusLaw.

Pastaruoju metu Europos duomenų apsaugos valdyba (EDPB) paskelbė naujus gairių projektus dėl anonimizavimo ir interneto duomenų naudojimo generatyvinio dirbtinio intelekto modelių mokymui. Šios iniciatyvos rodo didėjantį priežiūros institucijų dėmesį klausimams, susijusiems su anonimizuotų duomenų naudojimu, viešai prieinamų duomenų tvarkymu ir dirbtinio intelekto sprendinių diegimu.

Tuo pačiu metu priežiūros institucijos aktyviai vertina slapukų, sekimo technologijų ir sutikimo valdymo praktiką, o naujausia VDAI duomenų saugumo pažeidimų statistika primena apie nuolatinį organizacijų dėmesio poreikį duomenų apsaugos ir informacijos saugumo srityse.

Šiame leidinyje apžvelgiame svarbiausius pastarojo laikotarpio BDAR ir privatumo reguliavimo pokyčius bei praktinius veiksmus, kuriuos organizacijos turėtų įvertinti siekdamos užtikrinti atitiktį teisės aktų reikalavimams.

Europos duomenų apsaugos valdyba paskelbė naują anonimizavimo gairių projektą

Šaltinis: Europos duomenų apsaugos valdyba (EDPB)
Nuoroda

Europos duomenų apsaugos valdyba (EDPB) paskelbė Gairių Nr. 02/2026 projektą dėl anonimizavimo, kuriuo siekiama atnaujinti ir pakeisti ankstesnę 29 straipsnio darbo grupės nuomonę Nr. 05/2014. Gairėse remiamasi Europos Sąjungos Teisingumo Teismo praktika ir siūlomas vadinamasis santykinis požiūris į asmens identifikavimą.

Pagal šį požiūrį tas pats duomenų rinkinys vienam subjektui gali būti laikomas asmens duomenimis, o kitam jau anoniminiais duomenimis, priklausomai nuo realių galimybių identifikuoti konkretų asmenį. Šiai galimybei įvertinti gairėse siūlomas trijų sąlygų testas – duomenys laikomi anoniminiais tik tada, kai:

1. neįmanoma išskirti konkretaus įrašo (angl. no record isolation);
2. neįmanoma susieti su tuo pačiu asmeniu susijusių įrašų skirtinguose duomenų rinkiniuose (angl. no linkage);
3. neįmanoma iš turimų duomenų nustatyti naujos informacijos apie asmenį (angl. no inference).

Toks aiškinimas gali turėti reikšmingą poveikį organizacijoms, kurios anonimizuoja duomenis mokslinių tyrimų, duomenų dalijimosi ar dirbtinio intelekto modelių mokymo tikslais.

Įmonėms, kurios naudoja duomenų rinkinius analitikai, moksliniams tyrimams, produktų kūrimui ar dirbtinio intelekto mokymui, svarbu iš naujo įvertinti, ar tokie duomenys iš tiesų yra anoniminiai, o ne tik pseudonimizuoti.

Europos duomenų apsaugos valdyba paskelbė gaires dėl asmens duomenų rinkimo generatyvinio dirbtinio intelekto mokymui

Šaltinis: Europos duomenų apsaugos valdyba (EDPB)
Nuoroda

Europos duomenų apsaugos valdyba paskelbė Gairių Nr. 03/2026 projektą dėl interneto duomenų rinkimo generatyvinio dirbtinio intelekto modelių mokymui. Gairėse pabrėžiama, kad naudojant asmens duomenis, surinktus iš viešų interneto šaltinių, taikomi visi Bendrojo duomenų apsaugos reglamento (BDAR) reikalavimai.

Valdyba pažymi, kad organizacijos privalo nustatyti tinkamą duomenų tvarkymo teisinį pagrindą, laikytis tikslo apribojimo principo ir užtikrinti skaidrų informavimą duomenų subjektams. Be to, būtina įvertinti, ar dirbtinio intelekto modelių mokymo tikslas yra suderinamas su pirminiu duomenų rinkimo tikslu.

Tai aktualu įmonėms: tiek technologijų bendrovėms, tiek rinkodaros, personalo valdymo, klientų aptarnavimo procesuose dirbtinį intelektą diegiančioms organizacijoms, kurios kuria ar naudoja generatyvinio dirbtinio intelekto sprendimus, apmokytus interneto duomenimis.

Organizacijoms rekomenduojama:

• Identifikuoti, iš kokių šaltinių yra renkami arba buvo surinkti dirbtinio intelekto mokymui naudojami duomenys;
• Nustatyti ir dokumentuoti kiekvieno duomenų rinkimo ar naudojimo atvejo teisinį pagrindą;
• Įvertinti, ar dirbtinio intelekto mokymo tikslas suderinamas su pirminiu duomenų rinkimo tikslu;
• Peržiūrėti arba atnaujinti privatumo pranešimus, kad jie aiškiai apimtų dirbtinio intelekto mokymo procesus.

Įsigaliojo „Skaitmeninis omnibusas”, atidedantis kai kuriuos Dirbtinio intelekto akto terminus

Šaltinis: Europos Komisija
Nuoroda

2026 m. liepos 24 d. Europos Sąjungos oficialiajame leidinyje paskelbtas Reglamentas (ES) 2026/1744, dar vadinamas dirbtinio intelekto „Skaitmeniniu omnibusu”, kuris iš dalies keičia Dirbtinio intelekto aktą (Reglamentą (ES) 2024/1689). Naujuoju reglamentu atidedami tik didelės rizikos dirbtinio intelekto sistemoms taikomų reikalavimų terminai: III priede nurodytų didelės rizikos sistemų atitikties terminas perkeltas iš 2026 m. rugpjūčio 2 d. į 2027 m. gruodžio 2 d., o I priede nurodytų įterptųjų didelės rizikos sistemų terminas nukeltas iki 2028 m. rugpjūčio 2 d.

Svarbu pažymėti, kad terminų atidėjimas netaikomas Dirbtinio intelekto akto skaidrumo reikalavimams: pareigos atskleisti pokalbių robotų naudojimą, žymėti dirbtinio intelekto sugeneruotą ir sintetinį („deepfake”) turinį, taip pat bendrosios paskirties dirbtinio intelekto (GPAI) teikėjams taikomi reikalavimai lieka galioti pagal anksčiau nustatytus terminus. Šie reikalavimai taikomi nuo 2026 m. rugpjūčio 2 d., taigi, terminų atidėjimas nereiškia, kad įmonės gali atidėti pasirengimą Dirbtinio intelekto akto reikalavimams, jis tik suteikia daugiau laiko didelės rizikos sistemų atitikčiai užtikrinti.

Organizacijoms rekomenduojama:

• Patikrinti, ar naudojami pokalbių robotai ir kitos DI priemonės tinkamai informuoja naudotojus, kad jie bendrauja su dirbtiniu intelektu;
• Užtikrinti dirbtinio intelekto sugeneruoto ir sintetinio („deepfake”) turinio žymėjimą;
• Jei įmonė yra bendrosios paskirties DI modelio teikėja, patikrinti atitiktį GPAI teikėjams taikomiems reikalavimams;
• Atnaujinti vidaus DI atitikties planą pagal naujus I ir III priedų terminus, nestabdant jau pradėtų pasirengimo darbų.

Europos duomenų apsaugos valdyba priėmė galutines gaires dėl blokų grandinės technologijų

Šaltinis: Europos duomenų apsaugos valdyba (EDPB)
Nuoroda

Europos duomenų apsaugos valdyba 2026 m. liepos 8 d. priėmė galutinę gairių dėl blokų grandinės technologijų versiją. Gairėse paaiškinama, kaip pagrindiniai BDAR principai, tokie kaip duomenų minimizavimas, saugojimo apribojimas bei teisė į duomenų ištaisymą ir ištrynimą, turi būti taikomi naudojant blokų grandinės sprendimus.

Valdyba atkreipia dėmesį, kad blokų grandinės technologijų savybės gali apsunkinti kai kurių duomenų subjektų teisių įgyvendinimą, todėl organizacijos turi iš anksto įvertinti atitinkamas rizikas ir duomenų apsaugos priemones.

Organizacijoms rekomenduojama, kai įmanoma, asmens duomenis saugoti už blokų grandinės ribų, taikyti duomenų minimizavimo ir pseudonimizavimo priemones bei reguliariai vertinti tokių sprendimų atitiktį BDAR reikalavimams. Projektuojant blokų grandinės (angl. blockchain) sprendimus, asmens duomenų tvarkymas turėtų būti įvertintas dar architektūros projektavimo etape, įvertinant, kokie duomenys apskritai turi būti įrašomi į blokų grandinę ir kokios alternatyvos galimos (pvz., duomenis saugant ne grandinėje, o joje įrašant tik nuorodas ar prieigos raktus).

Slapukų ir kitų sekimo technologijų naudojimas ir sutikimo valdymo praktika išlieka priežiūros institucijų dėmesio centre

Per pastarąjį mėnesį Europos ir nacionalinės priežiūros institucijos skyrė papildomą dėmesį slapukų, sekimo pikselių ir kitų sekimo technologijų naudojimui. Naujausi sprendimai ir rekomendacijos patvirtina, kad organizacijoms nebeužtenka vien pateikti slapukų informacinį pranešimą interneto svetainėje. Vis dažniau vertinama, ar naudotojų sutikimai gaunami tinkamai, ar sekimo technologijos nėra aktyvuojamos iki sutikimo gavimo ir ar organizacijos gali pagrįsti naudojamų sprendimų atitiktį BDAR bei Elektroninių ryšių įstatymo reikalavimams.

Lietuvoje VDAI dar kartą priminė, kad nebūtini slapukai, sekimo pikseliai ir kitos panašios technologijos gali būti naudojami tik gavus išankstinį naudotojo sutikimą. VDAI taip pat paskelbė slapukų naudojimo praktikos apibendrinimą bei rekomendacijas dėl sekimo pikselių, kuriose aptariamos dažniausiai pasitaikančios klaidos ir pateikiami gerosios praktikos pavyzdžiai.

Europos lygmeniu nagrinėjami ginčai dėl slapukų informacinių pranešimų ir sutikimo valdymo platformų rodo, kad priežiūros institucijos vis aktyviau vertina ne tik pačių slapukų naudojimą, bet ir tai, kaip organizacijos organizuoja sutikimų gavimo procesą bei paskirsto atsakomybę už su tuo susijusį asmens duomenų tvarkymą.

Trys naujausi pokyčiai išryškina šią tendenciją:

1. EDPB įpareigojo iš esmės nagrinėti skundą dėl slapukų informacinio pranešimo

Europos duomenų apsaugos valdyba nusprendė, kad Belgijos duomenų apsaugos institucija privalo iš esmės išnagrinėti organizacijos NOYB („None of Your Business”) pateiktą skundą dėl slapukų pranešimų, atmesdama argumentą, kad toks skundas galėtų būti laikomas piktnaudžiavimu teise. Šis sprendimas svarbus tuo, kad slapukų informacinis pranešimas (angl. cookie banner) nėra vien naudotojo patirties (angl. UX) ar marketingo funkcionalumas. Jo dizainas gali tiesiogiai paveikti sutikimo galiojimą pagal BDAR.

Nuoroda

2. VDAI Lietuvoje primena apie išankstinio sutikimo būtinybę

Lietuvoje Valstybinė duomenų apsaugos inspekcija (VDAI) dar kartą priminė, kad nebūtini slapukai, sekimo pikseliai ir kitos panašios technologijos gali būti naudojami tik gavus išankstinį svetainės lankytojo sutikimą, o teisėtas interesas nėra tinkamas teisinis pagrindas tokių technologijų naudojimui.

Nuoroda

Organizacijoms, naudojančioms slapukų informacinius pranešimus ar sutikimo valdymo platformas, rekomenduojama:

• įsitikinti, kad nebūtini slapukai ir sekimo pikseliai aktyvuojami tik gavus naudotojo sutikimą;
• peržiūrėti slapukų informacinio pranešimo dizainą ir užtikrinti, kad atsisakyti slapukų būtų taip pat paprasta kaip ir juos priimti;
• peržiūrėti naudojamus sekimo ir analitikos įrankius bei jų teisinį pagrindą;
• atnaujinti slapukų ir privatumo pranešimus pagal faktinę duomenų tvarkymo praktiką.

Europos duomenų apsaugos valdyba tęsia konsultacijas dėl bendro duomenų saugumo pažeidimų pranešimo šablono

Šaltinis: Europos duomenų apsaugos valdyba (EDPB)
Nuoroda

Europos duomenų apsaugos valdyba (EDPB) iki 2026 m. rugpjūčio 5 d. vykdė viešąsias konsultacijas dėl bendro asmens duomenų saugumo pažeidimų pranešimo šablono, skirto pranešimams pagal Bendrojo duomenų apsaugos reglamento (BDAR) 33 straipsnį. Šablono tikslas yra suvienodinti pranešimų teikimo praktiką Europos Sąjungoje ir Europos ekonominėje erdvėje bei palengvinti organizacijoms pareigų vykdymą incidentų atveju.

Šabloną sudaro septynios dalys ir apie 120 iš anksto apibrėžtų laukų, padedančių sistemingai surinkti informaciją apie incidentą ir jo poveikį. Nors nacionalinės priežiūros institucijos neprivalės jo taikyti, tikimasi, kad jis taps plačiai naudojamu standartu visoje Europoje.

Organizacijoms rekomenduojama atlikti testą ir taip patikrinti, ar per 72 valandas jos gali surinkti visą informaciją, reikalingą pranešimui pagal BDAR 33 straipsnį. Jei atsakymas nėra vienareikšmiškai teigiamas, verta iš anksto peržiūrėti incidentų registravimo ir reagavimo procesus bei pasirengti būsimo šablono diegimui.

VDAI: pirmąjį 2026 m. pusmetį duomenų saugumo pažeidimai paveikė daugiau kaip 1,6 mln. asmenų

Šaltinis: Valstybinė duomenų apsaugos inspekcija (VDAI)
Nuoroda

Valstybinė duomenų apsaugos inspekcija (VDAI) paskelbė 2026 m. pirmojo pusmečio duomenų saugumo pažeidimų statistiką. Per šį laikotarpį gauta 140 pranešimų apie asmens duomenų saugumo pažeidimus, kurie paveikė daugiau kaip 1,6 milijono duomenų subjektų.

Didžiausią dalį pažeidimų lėmė žmogiškosios klaidos ir kibernetiniai incidentai. Tarp dažniausiai pasitaikančių priežasčių nurodytas netinkamas elektroninių laiškų siuntimas, neteisingas duomenų atskleidimas, socialinės inžinerijos atakos ir išpirkos reikalaujančių programų incidentai. Ataskaitoje taip pat pabrėžiama, kad dauguma duomenų valdytojų apie pažeidimus pranešė laiku, laikydamiesi 72 valandų termino.

VDAI pateikti duomenys rodo, kad priežiūros institucija ir toliau daug dėmesio skiria praktiniam organizacijų pasirengimui valdyti kibernetines ir organizacines rizikas. Daug duomenų pažeidimų nėra vien kibernetinė problema – juos lemia paprastos organizacinės klaidos.

Organizacijoms rekomenduojama:

• Testuokite reagavimo į incidentus procesą ne tik techninės atakos, bet ir paprastos žmogiškosios klaidos atvejais, kai neteisingam gavėjui išsiųstas failas, viešai paskelbtas dokumentas ar pavogta paskyra.
• Reguliariai peržiūrėkite technines ir organizacines saugumo priemones.
• Stiprinkite darbuotojų sąmoningumą.
• Užtikrinkite veiksmingą pažeidimų registravimo bei pranešimo procesą.

NKSC įspėja apie daugėjančius bandymus perimti susirašinėjimo programų paskyras

Šaltinis: Nacionalinis kibernetinio saugumo centras (NKSC)
Nuoroda

Nacionalinis kibernetinio saugumo centras (NKSC) kartu su Antruoju operatyvinių tarnybų departamentu prie Krašto apsaugos ministerijos (AOTD) ir Valstybės saugumo departamentu (VSD) paskelbė rekomendacijas dėl saugaus susirašinėjimo programėlių naudojimo, reaguodamas į daugėjančias socialinės inžinerijos atakas (fišingo atakas), kuriomis siekiama perimti gyventojų ir valstybės institucijų darbuotojų naudojamų susirašinėjimo programėlių paskyras.

Institucijos pažymi, kad užpuolikai dažnai naudojasi apgaulės metodais siekdami išvilioti autentifikavimo kodus arba kitą prisijungimo informaciją. Tokios atakos gali sudaryti sąlygas neteisėtai prieigai prie konfidencialių pokalbių, kontaktų bei organizacijos informacijos.

Organizacijoms rekomenduojama:

• supažindinti darbuotojus su NKSC paskelbtomis rekomendacijomis ir į reguliarius informacijos saugumo mokymus įtraukti konkrečius NKSC nurodytus scenarijus: apsimetimą programėlės pagalbos tarnyba bei žinutes, tariamai atsiųstas pažįstamo asmens, kviečiančias prisijungti prie grupės, atverti nuorodą ar nuskenuoti QR kodą;
• įvertinti, kokioms verslo funkcijoms naudojamos susirašinėjimo programos ir ar jose taikomos pakankamos apsaugos priemonės;
• aktyvuoti papildomas paskyrų apsaugos priemones, įskaitant daugiafaktorį autentifikavimą.

The post BDAR apžvalga: naujienos ir ekspertų patarimai, rugpjūtis 2026 appeared first on ECOVIS ProventusLaw.

Šio mėnesio apžvalgoje pristatome svarbiausius pokyčius ir priežiūros institucijų sprendimus: Europos duomenų apsaugos valdybos (EDAV) parengtą bendrą duomenų saugumo pažeidimų pranešimo šabloną, naujausią VDAI vykdymo užtikrinimo praktiką bei reikšmingus sprendimus dėl kibernetinio saugumo, slapukų, teisėto intereso taikymo ir asmens duomenų tvarkymo ribų.

Ypatingo dėmesio sulaukia 450 000 eurų VDAI bauda „InMedica“ už nepakankamas technines ir organizacines saugumo priemones, primenanti, kad organizacijos turi ne tik priimti vidines procedūras, bet ir užtikrinti realų jų veikimą praktikoje. Taip pat aptariame naujas rekomendacijas e. prekybos sektoriui bei aktualias įžvalgas dėl dirbtinio intelekto naudojimo, darbuotojų duomenų tvarkymo ir BDAR principų taikymo naujose technologinėse situacijose.

Šiame leidinyje rasite pagrindines reguliavimo tendencijas, praktines priežiūros institucijų įžvalgas ir rekomendacijas, padėsiančias organizacijoms stiprinti duomenų apsaugos programas, mažinti reguliacinę riziką ir pasirengti augantiems atitikties reikalavimams.

EDAV paskelbė bendrą pranešimo apie duomenų saugumo pažeidimą šabloną

Europos duomenų apsaugos valdyba (EDAV) parengė bendrą pranešimo apie asmens duomenų saugumo pažeidimą šabloną, skirtą suvienodinti pranešimų teikimo procesą visoje Europoje ir palengvinti organizacijoms BDAR reikalavimų vykdymą. Šablonas padės organizacijoms aiškiai, nuosekliai ir laiku informuoti duomenų apsaugos institucijas (DAI) apie įvykusius pažeidimus.

Šablone pateikiamos iš anksto parengtos parinktys ir išsamios gairės, kaip užpildyti kiekvieną skiltį, atsižvelgiant į BDAR 33 straipsnyje nustatytus informacijos reikalavimus. Tai ypač naudinga mažesnėms organizacijoms, neturinčioms atskiro teisės ar duomenų apsaugos padalinio. Viešosios konsultacijos dėl šablono vyks iki 2026 m. rugpjūčio 5 d., po kurių EDAV patvirtins galutinę versiją ir jos įgyvendinimo tvarkaraštį visoms ES DAI.

Organizacijoms rekomenduojama peržiūrėti ir atnaujinti savo duomenų saugumo pažeidimų valdymo procedūras, kad jos atitiktų EDAV siūlomą bendrą pranešimo šabloną. Verta nustatyti aiškius vidinius pranešimo procesus, tvarkyti tikslius saugumo incidentų įrašus ir užtikrinti, kad visa BDAR 33 straipsnyje reikalaujama informacija galėtų būti greitai surinkta.

Daugiau informacijos

„Meta“ dirbtinio intelekto mokymo programa renka Europos darbuotojų duomenis

„Meta“ vidinė programa „Model Capability Initiative“ (MCI), skirta rinkti duomenis iš darbuotojų darbo vietų JAV dirbtinio intelekto mokymui, kaip teigiama, renka daugiau Europos duomenų, nei kompanija viešai pripažino. Vidiniai dokumentai atskleidžia, kad programa fiksuoja el. laiškus ir pokalbius tarp JAV ir Europoje dirbančių kolegų, o tai kelia klausimų dėl atitikties BDAR.

Nors „Meta“ tvirtino, kad MCI veikia tik JAV darbo įrenginiuose ir nestebi Europos darbuotojų, vidiniai įrodymai rodo, kad bet koks JAV darbuotojų susirašinėjimas su Europos kolegomis ar klientais patenka į dirbtinio intelekto mokymui renkamus duomenis. Privatumo ekspertai teigia, kad tokia praktika prieštarauja BDAR tikslo apribojimo principui, kuris riboja asmens duomenų naudojimą tik tuo tikslu, kuriuo jie buvo iš pradžių surinkti.

Organizacijoms, kuriančioms ar diegiančioms dirbtinio intelekto sistemas, rekomenduojama atidžiai įvertinti, ar vienu tikslu surinkti asmens duomenys gali būti teisėtai pakartotinai naudojami DI mokymui. Prieš pakartotinai panaudojant darbuotojų ar klientų susirašinėjimą, reikėtų nustatyti tinkamą teisinį pagrindą pagal BDAR, įvertinti atitiktį tikslo apribojimo ir skaidrumo principams, o prireikus – atlikti poveikio duomenų apsaugai vertinimą (PDAV).

VDAI skyrė „InMedica“ 450 000 eurų baudą už BDAR saugumo pažeidimus

Valstybinė duomenų apsaugos inspekcija (VDAI) skyrė 450 000 eurų administracinę baudą sveikatos priežiūros paslaugų teikėjai „InMedica“ už BDAR pažeidimus, susijusius su netinkamomis saugumo priemonėmis, dėl kurių įvyko asmens duomenų saugumo pažeidimai. Sprendimas priimtas po dviejų atskirų tyrimų, kurie vėliau buvo sujungti į vieną bylą.

Pirmasis tyrimas pradėtas gavus informacijos apie galimą saugumo incidentą, kurio metu neteisėtas trečiasis asmuo gavo prieigą prie vidinės pacientų informacinės sistemos. Antrasis tyrimas pradėtas gavus „InMedica“ pranešimą apie duomenų saugumo pažeidimą, susijusį su išpirkos reikalaujančiu (angl. ransomware) kibernetiniu išpuoliu, kurio metu buvo užšifruotos keturios IT sistemos su pacientų ir darbuotojų asmens duomenimis.

VDAI nustatė, kad daugiafaktorė autentifikacija nebuvo taikoma darbuotojams ar privilegijuotiems naudotojams, prisijungiantiems nuotoliniu būdu internetu, prieiga prie sistemų nebuvo pakankamai apribota, o slaptažodžių reikalavimai neatitiko tinkamų sudėtingumo standartų. Nustatyti BDAR 24(1), 32(1)(b) ir 5(1)(f) straipsnių pažeidimai.

Sprendimas primena apie rizika grįstų techninių ir organizacinių saugumo priemonių svarbą pagal BDAR 24 ir 32 straipsnius. Organizacijoms rekomenduojama reguliariai peržiūrėti kibernetinio saugumo sistemas, užtikrinti daugiafaktorę autentifikaciją nuotolinei ir privilegijuotai prieigai, taikyti griežtą slaptažodžių ir prieigos valdymo politiką bei periodiškai vertinti, ar naudotojų prieigos teisės išlieka pagrįstos.

Daugiau informacijos

VDAI skyrė papeikimą dėl slapukų naudojimo reikalavimų nesilaikymo

VDAI priėmė sprendimą po pakartotinio patikrinimo dėl bendrovės atitikties ankstesniam nurodymui, susijusiam su slapukų naudojimo praktika jos interneto svetainėje. Nors bendrovė teigė atnaujinusi slapukų pranešimą ir naudojanti analitikos bei rinkodaros slapukus tik gavus vartotojo sutikimą, VDAI nustatė du likusius pažeidimus.

Pirma, VDAI nustatė, kad nebūtinas slapukas buvo saugomas vartotojų įrenginiuose dar prieš gaunant sutikimą – tai pažeidžia Lietuvos Respublikos elektroninių ryšių įstatymo 73 straipsnio 4 dalį. Antra, informacija apie slapukų paskirtį buvo pateikiama tik anglų kalba, nors svetainė orientuota į Lietuvos vartotojus – tai neatitinka BDAR skaidrumo principo.

VDAI skyrė papeikimą už ankstesnio nurodymo nesilaikymą ir įpareigojo bendrovę užtikrinti, kad nebūtini slapukai būtų aktyvuojami tik gavus galiojantį sutikimą, o informacija apie slapukus būtų teikiama lietuvių kalba. Organizacijoms rekomenduojama patikrinti, ar neesminiai slapukai nėra naudojami be sutikimo, ar slapukų pranešimai atitinka tikslinės auditorijos kalbą ir yra aiškūs, bei periodiškai techniškai tikrinti slapukų valdymo sprendimus.

Daugiau informacijos

VDAI: atsitiktinai sugeneruoti telefono numeriai vis tiek yra asmens duomenys

VDAI skyrė papeikimą bendrovei, kuri neteisėtai tvarkė asmens duomenis, skambindama atsitiktinai sugeneruotu telefono numeriu apklausos tikslu. Bendrovė teigė, kad numeris nebuvo gautas iš jokios duomenų bazės, o sugeneruotas programine įranga, ir kad duomenų tvarkymas grindžiamas teisėtu interesu (BDAR 6 str. 1 d. f p.).

VDAI šį argumentą atmetė, pažymėdama, kad telefono numerio gavimo būdas nėra lemiamas – kai atsitiktinai sugeneruotas numeris priklauso identifikuojamam asmeniui, jis laikomas asmens duomenimis pagal BDAR. Bendrovė taip pat nesugebėjo pagrįsti, kodėl teisėto intereso pagrindas buvo taikytinas, ir neatliko būtino interesų balansavimo testo.

VDAI konstatavo BDAR 5(1)(a) ir 6(1) straipsnių pažeidimus. Organizacijoms rekomenduojama prieš vykdant telefonines apklausas ar rinkodaros kampanijas atidžiai įvertinti teisinį pagrindą, remiantis teisėtu interesu – atlikti ir dokumentuoti teisėto intereso vertinimą (LIA), o taip pat periodiškai peržiūrėti tokios veiklos atitiktį BDAR reikalavimams.

Daugiau informacijos

VDAI paskelbė 2025 m. metinę asmens duomenų apsaugos priežiūros ataskaitą

VDAI paskelbė 2025 m. metinę ataskaitą, apžvelgiančią pagrindinius pokyčius, priežiūros veiklą ir vykdymo užtikrinimo tendencijas asmens duomenų apsaugos srityje Lietuvoje. Ataskaitoje pristatoma inspekcijos priežiūros ir vykdymo užtikrinimo veikla, įskaitant BDAR atitikties tyrimus, duomenų subjektų skundų nagrinėjimą, pranešimus apie duomenų saugumo pažeidimus, patikrinimus bei bendradarbiavimą su kitomis Europos duomenų apsaugos institucijomis.

Ataskaita pateikia naudingų įžvalgų apie sritis, kurios išlieka priežiūros institucijų dėmesio centre – duomenų saugumą, skaidrumą, duomenų subjektų teises, tiesioginę rinkodarą, slapukus ir kitus pagrindinius BDAR atitikties reikalavimus. Tai vertingas šaltinis organizacijoms, siekiančioms suprasti dabartinius priežiūros prioritetus ir stiprinti savo atitikties programas.

Ataskaita rodo, kad priežiūros institucijos toliau daugiausia dėmesio skiria praktiniam BDAR reikalavimų įgyvendinimui, o ne vien formaliai atitikčiai. Organizacijoms rekomenduojama reguliariai peržiūrėti savo duomenų apsaugos praktiką, užtikrinti tinkamas technines ir organizacines priemones, palaikyti veiksmingas duomenų subjektų prašymų ir saugumo pažeidimų valdymo procedūras.

Daugiau informacijos

VDAI rekomendacijos internetinių parduotuvių duomenų saugumui užtikrinti

VDAI paskelbė rekomendacijas, skirtas užtikrinti internetinių parduotuvių tvarkomų asmens duomenų saugumą. Gairės padės e. prekybos įmonėms ir kitiems duomenų valdytojams įvertinti ir įgyvendinti tinkamas organizacines bei technines priemones klientų asmens duomenims apsaugoti.

Internetinės parduotuvės tvarko įvairius asmens duomenis, įskaitant klientų vardus, pavardes, kontaktinius duomenis, pristatymo adresus, užsakymų ir mokėjimų informaciją, todėl svarbu užtikrinti tinkamas apsaugos priemones nuo neteisėtos prieigos, praradimo, pakeitimo ar atskleidimo.

VDAI rekomenduoja internetinės prekybos įmonėms reguliariai peržiūrėti naudotojų prieigos teises, taikyti daugiafaktorę autentifikaciją administratoriaus paskyroms, laiku diegti saugumo atnaujinimus bei užtikrinti saugias atsarginių kopijų ir duomenų atkūrimo procedūras. Įmonės taip pat turėtų periodiškai vertinti trečiųjų šalių paslaugų teikėjų (pvz., prieglobos ir mokėjimo paslaugų teikėjų) saugumą bei nustatyti aiškias duomenų saugumo pažeidimų aptikimo, pranešimo ir reagavimo procedūras.

Daugiau informacijos

The post BDAR apžvalga: naujienos ir ekspertų patarimai, liepa 2026 m. appeared first on ECOVIS ProventusLaw.

Kartu ryškėja naujos reguliavimo tendencijos. Europos duomenų apsaugos valdyba stiprina sertifikavimo mechanizmų vaidmenį tarptautinių duomenų perdavimų srityje, o priežiūros institucijos vis daugiau dėmesio skiria ne tik formaliai dokumentacijai, bet ir realiam organizacijų gebėjimui įrodyti BDAR atitiktį praktikoje. Tuo pačiu didėja dėmesys dirbtinio intelekto sistemų mokymui naudojamiems darbuotojų ir klientų duomenims, keliant naujus klausimus dėl skaidrumo, teisėto pagrindo ir tikslo apribojimo principų taikymo.

Šios naujienos primena, kad BDAR atitiktis šiandien apima ne tik vidaus procesų valdymą, bet ir nuolatinį duomenų srautų, technologinių sprendimų ir tarptautinių duomenų perdavimo grandinių vertinimą.

The post BDAR apžvalga: naujienos ir ekspertų patarimai, birželis 2026 m. appeared first on ECOVIS ProventusLaw.

Tiesioginės rinkodaros taisyklių pakeitimai Lietuvoje nuo 2026 m. liepos

2026 m. balandžio 16 d. Seimas priėmė Elektroninių ryšių įstatymo pataisas, konkrečiai patikslinančias 81 straipsnį, reglamentuojantį elektroninių ryšių naudojimą rinkodaros tikslais. Šie pakeitimai įsigalios nuo 2026 m. liepos 1 d.

Svarbu atkreipti dėmesį, kad šios pataisos taikomos tik tiesioginei rinkodarai, vykdomai elektroninių ryšių priemonėmis (pvz., el. paštu, SMS), ir neapima kitų rinkodaros formų.

B2B tiesioginė rinkodara: kas pasikeis?

Pagal naujas taisykles, tiesioginę rinkodarą juridiniams asmenims bus galima vykdyti be išankstinio sutikimo – remiantis atsisakymo (opt-out) modeliu. Tai reiškia, kad rinkodaros pranešimai gali būti siunčiami su sąlyga, kad gavėjams bet kada suteikiama aiški, nemokama ir paprasta galimybė atsisakyti tolesnių pranešimų. Tačiau pagrindinis reikalavimas yra tas, kad atsisakymo mechanizmas turi veikti praktiškai, o ne tik formaliai. Praktikoje tai reiškia:

• kiekviename pranešime turi būti aiški ir patogi atsisakymo galimybė (pvz., vieno paspaudimo nuoroda atsisakyti prenumeratos);
• atsisakymas neturi reikalauti papildomų veiksmų, pvz., prisijungimo ar formų pildymo;
• atsisakymo prašymai turi būti įvykdyti nedelsiant arba per protingą laikotarpį.

Pagrindinė atitikties rizika slypi ne pačiame pranešimų siuntimo faktas, o neveiksminguose atsisakymo mechanizmuose. Jei atsisakymo procesas yra tik formalus, pernelyg sudėtingas arba tinkamai neveikia, tai gali būti laikoma pažeidimu – ne tik pagal Elektroninių ryšių įstatymą, bet ir pagal BDAR (ypač skaidrumo, teisėtumo principus ir duomenų subjektų teises).

Fizinių asmenų kontaktiniai duomenys: sutikimas vis dar privalomas.

Fiziniams asmenims taisyklės nesikeičia – tiesioginei rinkodarai vis dar reikalingas išankstinis sutikimas. Sutikimas turi būti:

• laisvas;
• konkretus;
• informuotas;
• nedviprasmiškas.

Paprastai jis išreiškiamas aiškiu teigiamu veiksmu (pvz., nepažymėto langelio pažymėjimu). Asmenys taip pat turi būti tinkamai informuoti apie tai, kaip bus naudojami jų duomenys ir kokio tipo pranešimai bus siunčiami.

Išimtis ‘‘soft opt-in‘‘ esamiems klientams

Nors fiziniams asmenims skirtai rinkodarai paprastai reikalingas išankstinis sutikimas, įstatymas numato išimtį – vadinamąjį „soft opt-in” esamiems klientams. Sutikimas nereikalingas, jei įvykdomos visos šios sąlygos:

• kontaktiniai duomenys gauti teisėtai, prekių ar paslaugų pardavimo kontekste;
• rinkodara susijusi tik su panašiomis prekėmis ar paslaugomis;
• klientui duota aiški galimybė prieštarauti duomenų rinkimo metu;
• klientui suteikiama aiški galimybė atsisakyti kiekviename tolesniame pranešime.

Rekomendacijos rinkodaros atitikčiai:

Taikyti skirtingas taisykles B2B ir B2C klientams – tai paprastai įgyvendinama atsiskaitymo arba registracijos etape.

B2B (juridiniai asmenys):

• naujienlaiškiams ir rinkodaros el. laiškams sutikimas nereikalingas;
• rinkodara gali būti siunčiama bendriesiems verslo kontaktiniams duomenims;
• kiekviename pranešime turi būti aiški ir paprasta atsisakymo galimybė;
• informacija apie tiesioginę rinkodarą turi būti įtraukta į privatumo politiką;
• vengti pernelyg intensyvių ar įkyrių pranešimų.

B2C (fiziniai asmenys):

• naudoti du atskirus žymėjimo langelius: sutikimas gauti rinkodarą ir atsisakymas gauti rinkodarą;
• jei sutikimas duotas – rinkodara grindžiama BDAR sutikimu;
• jei pasirinktas atsisakymas – rinkodara negalima.

Esminiai atitikties reikalavimai:

• palaikyti aiškią privatumo politiką, apimančią tiesioginę rinkodarą ir teisinius pagrindus;
• užtikrinti techninę galimybę fiksuoti sutikimus ir atsisakymus;
• į kiekvieną el. laišką įtraukti aiškią prenumeratos atsisakymo galimybę;
• užtikrinti, kad vidinės sistemos tinkamai atspindėtų šias kategorijas.

Skaityti daugiau

EDPB poveikio duomenų apsaugai vertinimo (DAPV) šablonas

Europos duomenų apsaugos valdyba (EDPB) pristatė naują šabloną, skirtą organizacijoms padėti atlikti poveikio duomenų apsaugai vertinimus (PDAV). Šio šablono tikslas – supaprastinti BDAR atitiktį ir skatinti nuoseklumą visoje Europoje, pateikiant struktūrizuotą PDAV procesų ataskaitų formatą. Jis skirtas padėti organizacijoms aiškiai dokumentuoti, kaip jos vertina ir valdo su asmens duomenų tvarkymu susijusias rizikas.

Šiuo metu šablonas yra atviras viešoms konsultacijoms iki birželio 9 d., suteikiant suinteresuotosioms šalims galimybę teikti pastabas. Po šio laikotarpio Europos šalių duomenų apsaugos institucijos svarstys galimybę šabloną priimti kaip bendrą standartą arba kaip sistemą, suderintą su nacionaliniais reikalavimais. Organizacijoms rekomenduojama naudoti šabloną jau dabar ir dalintis savo patirtimi, kad padėtų tobulinti šią priemonę.

Organizacijos privalo atlikti PDAV, jei planuoja:

• vykdyti sisteminį ir išsamų fizinių asmenų asmeninių aspektų vertinimą, grindžiamą automatizuotu tvarkymu, įskaitant profiliavimą, ir kurio pagrindu priimami sprendimai, turintys teisinę galią ar panašaus reikšmingo poveikio;
• didelio masto specialių kategorijų asmens duomenis ar su baudžiamaisiais nuosprendžiais bei nusikalstamomis veikomis susijusius duomenis;
• sistemingai stebėti viešai prieinamas vietas dideliu mastu;
• tvarkyti biometrinius duomenis identifikavimo ar stebėjimo tikslais;
• įrašinėti telefoninius pokalbius;
• vykdyti vaizdo stebėjimą kartu su garso įrašymu;
• stebėti darbuotojus (pvz., sekti darbuotojų veiksmus ir elgesį elektroninėse sistemose);
• vykdyti kitą panašią tvarkymo veiklą.

PDAV privalo:

• aprašyti asmens duomenų tvarkymo pobūdį, apimtį, kontekstą ir tikslus;
• įvertinti tvarkymo operacijų būtinumą, proporcingumą ir atitiktį teisės aktams;
• nustatyti ir įvertinti rizikas duomenų subjektų teisėms ir laisvėms;
• apibrėžti rizikos mažinimo priemones ir papildomas apsaugos, saugumo ir duomenų apsaugos užtikrinimo priemones.

PDAV atlikimo nauda:

• patvirtina BDAR atitiktį;
• užtikrina, kad duomenų subjektai nebūtų veikiami jų teises pažeidžiančios rizikos;
• mažina veiklos sąnaudas optimizuojant duomenų srautus ir pašalinant nereikalingą duomenų rinkimą;
• mažina organizacijos duomenų saugumo rizikas;
• mažina duomenų apsaugos priemonių diegimo sąnaudas, jas integruojant projekto kūrimo pradiniame etape.

Rekomendacijos:

PDAV turėtų būti atliekamas, kai asmens duomenų tvarkymas gali sukelti didelę riziką asmenų teisėms ir laisvėms, ypač naudojant naujas technologijas, vykdant didelio masto tvarkymą ar sistemingą stebėjimą. DAPV atlikimas padeda anksti nustatyti ir sumažinti rizikas bei palaiko BDAR atitiktį. Rekomenduojame:

• įvertinti, ar BDAR reikalauja atlikti PDAV;
• į vertinimą įtraukti teisines, technines ir organizacines priemones;
• nustatyti vidines PDAV procedūras ir dokumentavimo procesus;
• reguliariai peržiūrėti PDAV keičiantis tvarkymo veikloms ar susijusioms rizikoms.

PDAV dažniausiai reikalingas biometrinių duomenų tvarkymui, darbuotojų stebėsenai, CRM sistemoms, didelio masto asmens duomenų tvarkymui, duomenų perdavimui į trečiąsias šalis ir kitai sudėtingai tvarkymo veiklai.

EDPB 2025 m. metinė ataskaita

Europos duomenų apsaugos valdyba (EDPB) paskelbė 2025 metu metine ataskaita, kurioje apžvelgiami svarbiausi duomenų apsaugos pokyčiai Europos Sąjungoje. Ataskaita pabrėžia nuolatinį BDAR vykdymą ir auganti tarpvalstybinių bylų skaičių, kurį nagrinėja EDPB. Tai atspindi augančiaą asmens duomenų  privatumo svarbą ir ES valdžios institucijų isipareigojimų ginti piliečiu teises sparčiai kintančioje skaitmeninėje aplinkoje.

2025 m. EDPB sutelkė dėmesį i bendradarbiavimo tarp nacionalinių duomenų apsaugos institucijų stiprinimą, siekdama užtikrinti nuoseklų BDAR taisyklių taikymą. Buvo apdorota daugiau nei 1 200 tarpvalstybinių bylų, demonstruojant patikimą mechanizmą sprendžiant sudėtingus duomenų apsaugos klausimus, paveikiančius kelias valstybes nares. Šis bendradarbiavimas padėjo patikslinti reguliavimo lūkesčius ES veikiančioms įmonėms, suteikiant didesnį teisinį tikruma ir skatinant atitiktį.

Ataskaita taip pat pabrėžia EDPB vaidmenį padedant organizacijoms spręsti naujų technologijų – dirbtinio intelekto ir didelių duomenų analizės – keliamus iššūkius. Leisdama gaires ir rekomendacijas, EDPB padeda įmonėms įgyvendinti duomenų apsaugą nuo projekto pradžios (privacy by design) ir pagal nutylėjimą (privacy by default), kas yra būtina pasitikėjimui palaikyti ir fizinių asmenų asmens duomenims saugoti. Šis išankstinis požiūris siekia išvengti pažeidimų ir sumažinti baudų riziką.

Finansine ataskaitos dalis pažymi, kad 2025 m. skirtos baudos už BDAR pažeidimus sudarė apie 300 mln. euru, patvirtindamos rimtas neatitikties pasekmes. EDPB ir toliau teikia prioritetą skaidrumui ir atskaitomybei, skatindama organizacijas taikyti geriausias praktikas ir gerbti duomenų subjektu pagrindines teises. Apibendrinant, 2025 m. metinė ataskaita atspindi tvirtą įsipareigojimšų saugoti privatumą ir puoselėti saugią skaitmeninę aplinka ES.

Lietuvos VDAI konstatavo neteisėtą tiesioginę rinkodarą dėl žmogiškosios klaidos

2025 m. birželio 3 d. Valstybinė duomenų apsaugos inspekcija (VDAI) gavo fizinio asmens skundą dėl neteisėtos tiesioginės rinkodaros veiklos, kurią vykdė UAB SMAGUS. Skundo pateikėjas nurodė, kad 2025 m. gegužės 27 d. gavo reklaminį el. laišką, nors tvirtino, kad jo el. pašto adresas yra privatus ir viešai neprieinamas. Pasak skundo pateikėjo, šis adresas naudojamas tik konkrečiam socialiniam tinklui ir nesidalijamas net su artimaisiais. Taip pat nurodyta, kad jis niekada nesilankė minėtoje įmonėje ir neturi vaikų, kurie lankytų įmonės valdomą parką.

Išnagrinėjusi skundą, VDAI nustatė, kad įmonė išsiuntė el. laišką, reklamuojantį šeimos pramogų renginius savo parke. Žinutė kvietė švęsti Tėvo dieną su kūrybinėmis dirbtuvėmis ir pramogomis vaikams. VDAI pripažino, kad šio turinio pranešimas atitinka tiesioginės rinkodaros apibrėžimą pagal taikytinus teisės aktus.

Paaiškinime, pateiktame 2025 m. liepos 25 d., įmonė nurodė, kad el. pašto adresai renkami per loterijos dalyvavimo formas, kurias lankytojai pildyto tiesiogiai įmonėje. Pasak įmonės, incidentas įvyko dėl žmogiškosios klaidos: arba lankytojas klaidingai nurodė neteisingą el. pašto adresą, arba darbuotojas padarė klaidą perkeliant adresą iš popierinės formos į sistemą. Įmonė pabrėžė, kad skundo pateikėjo el. pašto adresas negalėjo būti gautas iš viešai prieinamų šaltinių ir į sistemą pateko per klaidą. Taip pat patvirtino, kad el. pašto adresas ištrintas ir skundo pateikėjui atsiprašyta.

VDAI nustatė, kad įmonė išsiuntė tiesioginės rinkodaros el. laišką be išankstinio skundo pateikėjo sutikimo, tuo pažeisdama Elektroninių ryšių įstatymo 81 straipsnio 1 dalį. Skundas buvo pripažintas pagrįstu.

Atsižvelgdama į tai, kad pažeidimas atsirado dėl vienkartinės žmogiškosios klaidos, įmonė greitai ištaisė klaidą ir nenustatytos jokios reikšmingos neigiamos pasekmės, VDAI nusprendė, kad pažeidimo konstatavimas yra pakankama ir proporcinga priemonė. Jokie papildomi korekciniai veiksmai ar sankcijos nebuvo skirti.

Rekomendacijos:

Nuo 2026 m. liepos 1 d. įsigalioja Lietuvos Respublikos elektroninių ryšių įstatymo 81 straipsnio pakeitimai, nustatantys atnaujintus reikalavimus naudoti elektroninių ryšių paslaugas tiesioginės rinkodaros tikslais. Nuo tos datos tiesioginei rinkodarai elektroninių ryšių priemonėmis taikomi atnaujinti reikalavimai:

• B2B rinkodara (juridiniai asmenys) gali būti vykdoma be išankstinio sutikimo, jei kiekviename pranešime suteikiama aiški, nemokama ir lengvai įgyvendinama atsisakymo galimybė. Atsisakymo mechanizmas turi veikti ir būti patogus naudoti praktiškai.
• B2C rinkodara (fiziniai asmenys) ir toliau reikalauja išankstinio, aiškaus, informuoto ir nedviprasmiško sutikimo. „Minkštojo sutikimo” išimtis taikoma tik esamiems klientams ir tik griežtai apibrėžtomis sąlygomis.
• Visi rinkodaros pranešimai turi turėti aiškų atsisakymo mechanizmą, o atsisakymo prašymai turi būti vykdomi nedelsiant.

Organizacijos turėtų peržiūrėti ir dokumentuoti savo rinkodaros procesus bei atnaujinti procedūras ir dokumentaciją, kad tiesioginės rinkodaros veikla atitiktų BDAR ir Lietuvos Respublikos elektroninių ryšių įstatymo reikalavimus.

Vinted gavo VDAI įspėjimą dėl netinkamo duomenų subjektų prieigos prašymų nagrinėjimo

Valstybinė duomenų apsaugos inspekcija (VDAI) priėmė sprendimą byloje pagal Vokietijos priežiūros institucijos perduotą skundą dėl duomenų subjektų prieigos prašymų nagrinėjimo Vinted, UAB.

Skundo pateikėjo paskyra buvo užblokuota dėl tariamos nesąžiningos veiklos, kurią, kaip pranešama, lėmė automatizuotas sprendimų priėmimas. Asmuo vėliau pasinaudojo teise susipažinti su savo duomenimis pagal BDAR 15 straipsnį ir paprašė informacijos apie sprendimo logiką bei savo asmens duomenų gavėjus. Tačiau įmonė tinkamai neatsako į šį prašymą. Vietoj reikiamos informacijos skundo pateikėjas buvo nukreiptas į privatumo politiką. VDAI nustatė, kad prašymas greičiausiai nebuvo teisingai identifikuotas kaip BDAR prieigos prašymas, o tai rodo vidaus procesų trūkumus.

Antras prašymas taip pat buvo nagrinėjamas netinkamai. Nors įmonė bandė patikrinti asmens tapatybę, šis procesas stokojo skaidrumo, aiškių terminų ir tinkamo bendravimo dėl atsisakymo veikti. Svarbiausia tai, kad įmonė neinformavo asmens apie jo teisę pateikti skundą ar pasinaudoti teisinėmis gynybos priemonėmis.

VDAI padarė išvadą, kad:

• įmonė pažeidė BDAR 12(3) ir 15(1) straipsnius, neatsakydama į pradinį prieigos prašymą;
• antrojo prašymo nagrinėjimas neatitiko BDAR 12(1) ir 12(4) straipsnių dėl nepakankamo skaidrumo ir komunikacijos.

Nors vartotojo paskyra ir susiję duomenys jau buvo ištrinti, VDAI skyrė įspėjimą ir įpareigojo įmonę pateikti aiškų paaiškinimą skundo pateikėjui dėl antrojo prašymo.

Rekomendacijos:

1. Įdiegti aiškią duomenų subjektų prašymų (DSAR) procedūrą. Apibrėžti, kaip prašymai identifikuojami, registruojami ir nagrinėjami. Užtikrinti, kad visi kanalai (pvz., bendri el. pašto adresai) būtų aprėpti.

2. Mokyti darbuotojus atpažinti BDAR prašymus. Prašymai neprivalo aiškiai nurodyti BDAR. Bet koks prašymas dėl prieigos prie asmens duomenų turi būti nagrinėjamas atitinkamai.

3. Nustatyti aiškius terminus ir komunikacijos standartus. Visada atsakyti per 1 mėnesį. Jei reikia patikrinti tapatybę: paaiškinti kodėl; nustatyti aiškų terminą; prašymą laikyti atviru iki išsprendžiamas.

4. Užtikrinti skaidrumą atsisakant nagrinėti ar uždarant prašymus. Aiškiai paaiškinti: atsisakymo ar neveikimo priežastis; teisę pateikti skundą priežiūros institucijai; galimas teisines gynybos priemones.

5. Tvarkyti prašymų registrą. Sekti visus prašymus, atliktus veiksmus ir terminus. Tai būtina siekiant pagrįsti atskaitomybę (BDAR 5 str.).

6. Paskirti aiškią atsakomybę. Paskirti atsakingą asmenį ar komandą. Vengti situacijų, kai prašymai „guli” bendrame el. pašto adrese.

Lietuvos VDAI skyrė baudą už asmens duomenų saugumo pažeidimą

VDAI skyrė 4 500 eurų baudą UAB DELSKA Lithuania kaip UAB Rakreejus teisinei perėmėjai už su asmens duomenų saugumu susijusius pažeidimus. Tyrimas pradėtas 2025 m. kovo mėn. po pranešimų apie asmens duomenų pažeidimus, susijusius su kibernetinio saugumo incidentu, įvykusiu UAB Rakreejus naudotoje viešųjų debesijos paslaugų platformoje.

Baigusi tyrimą, VDAI nustatė, kad pažeidimas palietė didelį skaičių duomenų subjektų asmens duomenis – beveik 3 000 asmenų. Dalis duomenų negalėjo būti atkurta, o paslaugų teikimas, įskaitant finansines paslaugas, buvo laikinai sutrikdytas. Institucija pažeidimą klasifikavo kaip vidutinio sunkumo.

VDAI padarė išvadą, kad įmonė neįgyvendino tinkamų techninių ir organizacinių priemonių asmens duomenų saugumui užtikrinti, tuo pažeidžiant BDAR 32 straipsnio 1 dalies b punktą. Administracinė bauda skirta UAB DELSKA Lithuania kaip UAB Rakreejus perėmėjai, kuri buvo prijungta prie DELSKA vykstant tyrimui.

Rekomendacijos:

Organizacijos turi užtikrinti tinkamas technines ir organizacines apsaugos priemones, įskaitant prieigos kontrolę, šifravimą, reguliarius rizikos vertinimus ir saugias atsarginių kopijų sprendimus. Rekomenduojame:

• įvertinti debesijos paslaugų teikėjų saugumo standartus ir aiškiai paskirstyti atsakomybę duomenų tvarkymo sutartyse;
• įdiegti nuolatinę stebėseną, programinės įrangos atnaujinimų ir incidentų aptikimo mechanizmus;
• palaikyti patikimas atsarginių kopijų ir atkūrimo sistemas, siekiant užtikrinti veiklos tęstinumą ir išvengti duomenų praradimo;
• reguliariai mokyti darbuotojus ir nustatyti vidaus saugumo politikas, siekiant sumažinti su žmogiška klaida susijusias rizikas;
• nustatyti aiškias incidentų reagavimo procedūras, siekiant laiku identifikuoti, suvaldyti ir pranešti apie asmens duomenų pažeidimus pagal BDAR reikalavimus.

VDAI paskelbė D.U.K. apie tiesioginės rinkodaros pakeitimus juridinių asmenų atžvilgiu

Valstybinė duomenų apsaugos inspekcija paskelbė dažniausiai užduodamų klausimų (D.U.K.) sąrašą apie Lietuvos Respublikos elektroninių ryšių įstatymo (ERĮ) 81 straipsnio pakeitimus, susijusius su tiesiogine rinkodara juridinių asmenų atžvilgiu.

2026 m. balandžio 22 d. įsigaliojusiais pakeitimais buvo siekiama supaprastinti sąlygas vykdyti tiesioginę rinkodarą juridiniams asmenims, skatinti konkurencingumą bei sudaryti palankesnes sąlygas verslo komunikacijai.

D.U.K. aptariami praktiniai klausimai, susiję su rinkodaros pranešimų siuntimu juridiniams asmenims, taikomais reikalavimais, sutikimo poreikiu, gavėjų teisėmis bei rekomendacijomis, kaip užtikrinti atitiktį ERĮ ir BDAR reikalavimams. Organizacijoms rekomenduojame susipažinti su šiuo D.U.K. ir įvertinti, ar jų vykdoma tiesioginės rinkodaros praktika atitinka naujus reikalavimus.

Meta pralaimėjo teisme dėl galimų 430 mln. eurų BDAR baudų

Meta Platforms Ireland Ltd pralaimėjo svarbų teisinį ginčą prieš Airijos Duomenų apsaugos komisiją (DPC) dėl BDAR pažeidimo tyrimo. Byla kilo iš vieno 2018 m. „Facebook” vartotojo skundo dėl prieigos prie asmens duomenų, saugomų skaitmeninėje sistemoje „Hive”. Vartotojas teigė, kad be prieigos prie neapdorotų duomenų neįmanoma patikrinti, ar „Facebook” turi jautrių ar specialių kategorijų duomenų ir ar BDAR teisės yra tinkamai užtikrinamos. „Facebook” atsisakė pateikti šiuos duomenis, todėl DPC pradėjo oficialų tyrimą.

2025 m. spalio mėn. DPC preliminariame sprendimo projekte konstatavo, kad Meta pažeidė tris BDAR straipsnius. Komisija pasiūlė taisomąsias priemones: įspėjimą, pareigojimus pakeisti duomenų prieigos praktiką ir administracines baudas nuo 360 iki 430 mln. eurų. Šios priemonės atspindi reikšmingą duomenų tvarkymo praktikos poveikį milijonams „Facebook” vartotojų.

Meta ginčijo DPC teisę plėsti tyrimą už pradinio skundo ribų, teigdama, kad Komisija viršijo savo įgaliojimus, vesdama platesnį tyrimą dėl visų „Facebook” naudotojų. Tačiau teismas šį argumentą atmetė ir  nusprendė, kad skundo pagrindu pradėtas tyrimas gali teisėtai nagrinėti sistemines problemas ir taikyti sistemingas taisomąsias priemones, įskaitant baudas, jos nepriverčiant laikyti tyrimo savo iniciatyva.

Šis sprendimas patvirtina, kad DPC įgaliojimai vykdyti BDAR yra vienodi nepriklausomai nuo to, kaip pradėtas tyrimas. Komisija gali vertinti nustatytų pažeidimų platesnį poveikį ir atitinkamai taikyti taisomąsias priemones. Šis sprendimas sustiprina DPC vaidmenį užtikrinant veiksmingą BDAR vykdymą ir pabrėžia galimas pasekmes įmonėms, kurios nesilaiko duomenų apsaugos reikalavimų.

The post BDAR apžvalga: naujienos ir ekspertų patarimai, 2026 m. gegužės mėn. appeared first on ECOVIS ProventusLaw.

Naujausi sprendimai ir ataskaitos rodo, kad priežiūros institucijos vis aktyviau vertina, kaip organizacijos įgyvendina duomenų subjektų teises, valdo kibernetines rizikas ir pagrindžia pasirinktus duomenų tvarkymo sprendimus. Kartu stiprėja reikalavimai technologiniams sprendimams – ypač tais atvejais, kai naudojamos biometrinės ar dirbtinio intelekto technologijos, taip pat kai tvarkomi didelės apimties ar jautrūs duomenys.

Šioje apžvalgoje taip pat aptariamos svarbios teismo praktikos tendencijos, kurios primena proporcingumo, pagrįstumo ir tinkamo procesų dokumentavimo svarbą, skiriant sankcijas ar vertinant atitiktį. Be to, matyti aiškus ES siekis mažinti administracinę naštą organizacijoms, kartu stiprinant bendrą kibernetinį atsparumą.

Europos duomenų apsaugos valdyba paskelbia 2025 m. koordinuoto vykdymo veiksmų ataskaitą

Europos duomenų apsaugos valdyba (EDPB) paskelbė 2025 m. ataskaitą, kurioje daugiausia dėmesio skiriama teisei į ištrynimą pagal Bendrąjį duomenų apsaugos reglamentą (BDAR). Ši teisė, dažnai vadinama „teise būti pamirštam“, leidžia asmenims tam tikromis sąlygomis prašyti ištrinti jų asmens duomenis. Ataskaitoje pateikiama apžvalga, kaip ši teisė taikoma visoje Europos Sąjungoje, taip pat išskiriami pagrindiniai iššūkiai, su kuriais susiduria duomenų valdytojai ir tvarkytojai.

Ataskaita atskleidžia, kad nors daugelis organizacijų yra įsidiegusios procesus, skirtus ištrynimo prašymams nagrinėti, jų taikymas išlieka nenuoseklus. Kai kurie duomenų valdytojai susiduria su sunkumais derindami teisę į ištrynimą su kitais teisiniais įsipareigojimais, pavyzdžiui, duomenų saugojimo reikalavimais pagal mokesčių ar baudžiamąją teisę. EDPB pabrėžia aiškių gairių svarbą, siekiant užtikrinti, kad teisė į ištrynimą būtų įgyvendinama nepakenkiant kitiems teisėtiems interesams.

Be to, ataskaitoje išskiriamos dažniausios kliūtys, įskaitant sunkumus patikrinti prašymą pateikusio asmens tapatybę ir techninius iššūkius šalinant duomenis iš atsarginių kopijų ar trečiųjų šalių tvarkytojų sistemų. Organizacijos raginamos diegti tvirtas procedūras ir investuoti į technologijas, kurios padėtų efektyviai ir saugiai ištrinti duomenis. EDPB taip pat pabrėžia nuolatinio mokymo ir informuotumo svarbą, siekiant gerinti ištrynimo prašymų nagrinėjimą.

Apskritai EDPB 2025 m. ataskaita yra vertingas šaltinis duomenų apsaugos pareigūnams, teisininkams ir organizacijoms, siekiančioms laikytis BDAR reikalavimų. Spręsdama praktinius klausimus ir skatindama gerąją praktiką, ji prisideda prie veiksmingo teisės į ištrynimą įgyvendinimo ir stiprina asmenų kontrolę jų asmens duomenų atžvilgiu.

Europos Komisija reaguoja į kibernetinę ataką prieš Europa web platformą

Europos Komisija aptiko kibernetinę ataką, kuri paveikė jos debesijos infrastruktūrą, naudojamą Komisijos interneto svetainių talpinimui Europa.eu platformoje. Nedelsiant buvo imtasi veiksmų atakai suvaldyti. Greita Komisijos reakcija užtikrino, kad incidentas buvo lokalizuotas, o rizikos mažinimo priemonės buvo įgyvendintos siekiant apsaugoti paslaugas ir duomenis, nepažeidžiant Europa svetainių prieinamumo.

Pirminiai vykdomo tyrimo rezultatai rodo, kad iš šių svetainių galėjo būti pasisavinti duomenys. Komisija tinkamai informuoja Europos Sąjungos institucijas, kurios galėjo būti paveiktos šio incidento. Komisijos tarnybos vis dar tiria visą incidento poveikio mastą.

Komisijos vidinės sistemos nebuvo paveiktos šios kibernetinės atakos. Komisija toliau stebės situaciją ir imsis visų būtinų priemonių, kad užtikrintų savo vidinių sistemų ir duomenų saugumą. Taip pat bus atliekama incidento analizė, o jos rezultatai bus naudojami siekiant dar labiau sustiprinti kibernetinio saugumo pajėgumus.

Kadangi Europa susiduria su nuolatinėmis kibernetinėmis ir hibridinėmis atakomis, nukreiptomis prieš svarbiausias paslaugas ir demokratines institucijas, Komisija aktyviai dirba stiprindama Europos Sąjungos kibernetinį atsparumą.

Europos Parlamentas skelbia pažangą dėl vieno incidentų pranešimo taško (SEP)

Europos Parlamentas padarė pažangą kuriant vieną saugumo incidentų pranešimo tašką (Single Entry Point – SEP) visoje Europos Sąjungoje. Ši iniciatyva yra Europos Komisijos „Digital Omnibus“ teisėkūros paketo dalis, kuria siekiama supaprastinti procesą organizacijoms, kurios turi pranešti apie saugumo incidentus, įskaitant asmens duomenų saugumo pažeidimus, pagal įvairius ES teisės aktus.

SEP bus centralizuota skaitmeninė platforma, kurią valdys Europos Sąjungos kibernetinio saugumo agentūra ENISA. Ji leis organizacijoms pateikti incidentų pranešimus pagal kelis ES reglamentus, tokius kaip Bendrasis duomenų apsaugos reglamentas (BDAR), NIS2 direktyva, DORA ir Kibernetinio atsparumo aktas (CRA), naudojant vieną sąsają.

Šis sprendimas pakeis dabartinę sistemą, kai organizacijos turi teikti atskirus pranešimus skirtingoms nacionalinėms institucijoms, taip sumažinant administracinę naštą ir didinant efektyvumą.

Svarbu pažymėti, kad SEP nepakeis esamų taisyklių dėl to, kokie incidentai turi būti pranešami ar kokie yra pranešimo terminai, išskyrus vieną svarbų pakeitimą: pagal BDAR numatytas asmens duomenų saugumo pažeidimo pranešimo terminas bus pratęstas nuo 72 iki 96 valandų.

ENISA veiks kaip tarpinė institucija, perduodanti pranešimus atitinkamoms nacionalinėms ar ES institucijoms tolimesniems veiksmams Jei SEP platforma laikinai neveiktų, organizacijos vis tiek turės naudoti alternatyvius pranešimo kanalus.

Europos Parlamentas tikisi, kad SEP taps veikiantis per 18 mėnesių nuo tada, kai „Digital Omnibus“ paketas įsigalios, su galimybe pratęsti terminą dar iki dvejų metų, jei reikės papildomo laiko platformos saugumui ir funkcionalumui užtikrinti.

Organizacijos, kurioms taikomi ES duomenų apsaugos ir saugumo pranešimo reikalavimai, turėtų sekti šiuos pokyčius ir pasirengti galimam centralizuoto pranešimų teikimo poveikiui jų incidentų valdymo procedūroms.

Ispanijos duomenų apsaugos institucija skyrė 500 000 eurų baudą FC Barcelona klubui

Ispanijos duomenų apsaugos institucija (Agencia Española de Protección de Datos, AEPD) skyrė 500 000 eurų baudą futbolo klubui „FC Barcelona“ už tai, kad nebuvo atliktas teisės aktų reikalavimus atitinkantis poveikio duomenų apsaugai vertinimas (DPIA) prieš pradedant tvarkyti biometrinius duomenis.

Biometriniai duomenys apėmė veido atpažinimo technologiją ir balso įrašus, kurie buvo renkami 2023 m. skaitmeninio narių surašymo atnaujinimo kampanijos metu, nukreiptos į maždaug 143 000 klubo narių. AEPD nustatė, kad pateiktas DPIA neatitiko BDAR reikalavimų, nes jame trūko aiškaus biometrinių duomenų aprašymo, realaus mažiau invazinių alternatyvų vertinimo ir tinkamo rizikų įvertinimo.

Skaitmeninio surašymo metu nariai turėjo atlikti kelis veiksmus: nuskenuoti tapatybės dokumentus, pateikti veido atvaizdą su biometrikos patikra ir (pasirinktinai) įrašyti balso profilį. Biometriniai duomenys buvo tvarkomi naudojant „Veridas Digital Authentication Solutions S.L.“ programinę įrangą, o užšifruoti biometriniai šablonai laikinai saugoti serveriuose Europos ekonominėje erdvėje.

AEPD gavo skundų iš narių, kurie teigė, kad biometrinis procesas buvo privalomas be aiškaus sutikimo, todėl buvo pradėtas oficialus tyrimas ir klubas laikinai sustabdė biometrinę patikros sistemą.

Institucijos sprendime pabrėžiama, kad DPIA turėjo esminių trūkumų: nebuvo aiškiai identifikuoti veido biometriniai duomenys, nebuvo tinkamai įvertinta, ar biometrinė patikra yra mažiausiai privatumo pažeidžiantis sprendimas, ir buvo nepakankamai įvertintos rizikos, susijusios su jautrių biometrinių duomenų tvarkymu.

Nepaisant klubo argumentų dėl ankstesnių gairių, savanoriško sustabdymo ir bendradarbiavimo, institucija pabrėžė, kad pareiga atlikti išsamų DPIA egzistuoja nepriklausomai nuo gairių ir turi būti įvykdyta prieš pradedant duomenų tvarkymą.

Šis atvejis pabrėžia, kad organizacijos, naudojančios biometrines ar didelės rizikos technologijas, privalo rengti išsamius ir realiais vertinimais paremtus DPIA, kurie įvertina rizikas ir alternatyvas. Tai taip pat atspindi platesnę tendenciją Ispanijoje, kur duomenų apsaugos institucijos vis griežčiau vertina DPIA kokybę. Šis sprendimas rodo, kad formalus atitikimas nepakankamas – būtinas realus ir substancialus analizės procesas.

DLA Piper 2025 m. BDAR baudų ir duomenų saugumo pažeidimų ataskaita

Aštuntoji kasmetinė „DLA Piper“ BDAR baudų ir duomenų saugumo pažeidimų tyrimo ataskaita už 2025 m. atskleidžia stabilią priežiūros ir vykdymo aplinką Europoje. Priežiūros institucijos iš viso skyrė apie 1,2 mlrd. eurų baudų. Ši suma beveik nesiskiria nuo 2024 m. lygio, o tai rodo, kad reguliuotojai išlieka nuosekliai aktyvūs, nors bendras baudų kiekis metų bėgyje nedidėjo.

Nuo BDAR įsigaliojimo 2018 m. gegužės 25 d. bendras visose tirtose jurisdikcijose skirtų baudų dydis pasiekė 7,1 mlrd. eurų. Didžiausią dalį šių veiksmų vykdo Airija – Airijos duomenų apsaugos komisija (DPC) viena pati skyrė daugiau nei 4 mlrd. eurų baudų. Tarp jų – ir didžiausia 2025 m. bauda, siekianti 530 mln. eurų, skirta socialinių tinklų bendrovei už tarptautinių duomenų perdavimo taisyklių pažeidimus.

2025 m. taip pat išryškėjo svarbi tendencija – asmens duomenų saugumo pažeidimų pranešimų skaičius per dieną padidėjo 22 % ir pasiekė vidutiniškai 443 pranešimus per dieną. Tai pirmas kartas nuo BDAR taikymo pradžios, kai vidutinis dienos pranešimų skaičius viršijo 400. Šį augimą, tikėtina, lėmė geopolitinė įtampa, padidėję kibernetiniai išpuoliai, naujų technologijų panaudojimas kenkėjiškai veiklai bei besikeičiantys teisiniai reikalavimai, įskaitant pranešimo prievoles pagal tokius reglamentus kaip NIS2 ir DORA.

Priežiūros institucijos taip pat svarsto galimybę didinti slenkstį, nuo kurio privaloma pranešti apie duomenų saugumo pažeidimus, siekiant daugiau dėmesio skirti tik tiems incidentams, kurie kelia didelę riziką asmenims, ir taip efektyviau valdyti augantį pranešimų srautą.

Asmens duomenų saugumas išlieka viena pagrindinių priežiūros prioritetų sričių. Kelios reikšmingos 2025 m. baudos buvo skirtos už BDAR vientisumo ir konfidencialumo principo (5 straipsnio 1 dalies f punktas) bei saugumo reikalavimų (32 straipsnis) pažeidimus.

Pavyzdžiui, Jungtinės Karalystės Informacijos komisaro biuras (ICO) skyrė 16 mln. eurų baudą bendrovei „Capita“ už nepakankamas technines ir organizacines priemones, dėl kurių įvyko didelis duomenų saugumo pažeidimas, paveikęs milijonus žmonių. Taip pat Vokietijos federalinis duomenų apsaugos komisaras skyrė 45 mln. eurų baudų telekomunikacijų bendrovei už saugumo trūkumus ir nepakankamą duomenų tvarkytojų priežiūrą.

Šie atvejai rodo augantį reguliuotojų dėmesį tiekimo grandinės saugumui, kai duomenų tvarkytojai (procesoriai) tampa vis dažniau tiesiogiai atsakingi už saugumo pažeidimus.

Liuksemburgo vyriausiasis administracinis teismas panaikino 746 mln. eurų baudą „Amazon“

Liuksemburgo vyriausiasis administracinis teismas panaikino 746 mln. eurų baudą, kurią bendrovei „Amazon“ buvo skyrusi Liuksemburgo duomenų apsaugos institucija (CNPD) už neteisėtą asmens duomenų tvarkymą, susijusį su tikslinės reklamos veikla.

Teismas patvirtino, kad „Amazon“ pažeidė BDAR nuostatas, įskaitant galiojančio teisinio pagrindo nebuvimą pagal 6 straipsnio 1 dalies f punktą (teisėtas interesas) elgsenos reklamai, taip pat skaidrumo ir duomenų subjektų teisių pažeidimus. Tačiau teismas nustatė procesinius CNPD sprendimo trūkumus – visų pirma nebuvo įvertinta kaltė ir proporcingumas prieš skiriant baudą.

Byla kilo iš 2018 m. skundo, kurį pateikė Prancūzijos organizacija „La Quadrature du Net“, ginčijusi „Amazon“ sprendimą remtis teisėtu interesu kaip teisiniu pagrindu tvarkant asmens duomenis tikslinės reklamos tikslais. CNPD atliko tyrimą ir nustatė kelis BDAR pažeidimus, įskaitant teisės susipažinti su duomenimis, juos ištaisyti, ištrinti ir nesutikti su jų tvarkymu pažeidimus.

„Amazon“ apskundė CNPD sprendimą, tačiau tiek administracinis teismas, tiek vyriausiasis administracinis teismas patvirtino, kad BDAR pažeidimai buvo padaryti, tačiau nagrinėjo pačios sankcijos teisėtumą.

Vyriausiasis administracinis teismas pabrėžė, kad CNPD tinkamai neįvertino, ar „Amazon“ veikė tyčia ar dėl neatsargumo – tai reikalavimas, nustatytas naujesnėje Europos Sąjungos Teisingumo Teismo (ESTT) praktikoje. Taip pat institucija nepakankamai įvertino alternatyvias priemones ir proporcingumo principą skiriant baudą.

Dėl šių priežasčių teismas panaikino baudą ir grąžino bylą CNPD pakartotiniam nagrinėjimui, kad būtų iš naujo įvertinta kaltė ir proporcingumas prieš priimant naują sprendimą dėl sankcijų.

Teismas taip pat patvirtino, kad „Amazon“ nuo tyrimo pradžios atnaujino savo praktiką ir dabar remiasi vartotojų sutikimu pagal BDAR 6 straipsnio 1 dalies a punktą, kuris buvo pripažintas atitinkančiu reikalavimus. Todėl ankstesni įpareigojimai dėl atitikties ir baudos mokėjimo tapo nebeaktualūs.

Teismas atmetė reikalavimus dėl procesinės žalos atlyginimo ir paskirstė bylinėjimosi išlaidas lygiomis dalimis, dar kartą pabrėždamas, kad sankcijos turi būti pagrįstos, proporcingos ir priimtos laikantis nuodugnios teisinės analizės.

The post BDAR apžvalga: naujienos ir ekspertų patarimai, balandis 2026 appeared first on ECOVIS ProventusLaw.

„Kamera dėl tvarkos“ ≠ automatiškai teisėta

VDAI 2026 m. vasario 18 d. paskelbė sprendimą, kuriuo VšĮ Biržų ligoninė skirta 6 000 Eur bauda dėl netinkamai vykdyto vaizdo stebėjimo (įskaitant garso įrašymą) ir kitų BDAR pažeidimų. Kas šioje istorijoje svarbiausia praktikams, o ypač sveikatos sektoriui?

VDAI iš esmės pripažino, kad bendrose erdvėse (perimetras, įėjimai, koridoriai, fojė) vaizdo stebėjimas saugumo tikslu gali būti pateisinamas teisėtu interesu. Tačiau operacinėje, pacientų priėmimo / apžiūros kabinete ir Geriatrijos dienos stacionaro skyriuje stebėjimas buvo įvertintas kaip neproporcingas, nes į kadrą patenka pacientų apžiūros vietos ir darbuotojų nuolatinės darbo vietos, kas  neatitinka duomenų kiekio mažinimo ir teisėtumo, sąžiningumo, skaidrumo principų pagal BDAR.

Bendras „saugumo“ argumentas savaime nesukuria teisėto pagrindo asmens duomenų tvarkymui. Kiekvienu atveju organizacija turi gebėti pagrįsti, kad pasirinkta priemonė atitinka BDAR principus – teisėtumo, duomenų kiekio mažinimo, proporcingumo ir skaidrumo. Jei šio pagrindimo nėra, stebėjimas tampa ne prevencine priemone, o reguliacine rizika.

Garso įrašymas – beveik visada „raudona vėliava“

VDAI konstatavo, kad ligoninės patalpose vykdytas garso įrašymas nebuvo būtinas deklaruotiems tikslams (saugumas, psichologinio smurto prevencija, darbo organizavimas), t. y. neatitiko būtinybės ir proporcingumo logikos. Papildomai akcentuota, kad pokalbiuose gali atsirasti sveikatos duomenų (specialių kategorijų duomenys), todėl aktualus BDAR 9 str. ir dar griežtesnis pagrindimo standartas.

Didžiausia rizika – garso įrašymas

Nors vaizdo stebėjimas pats savaime jau reiškia intervenciją į asmens privatumą, garso įrašymas reikšmingai padidina šios intervencijos intensyvumą. Skirtingai nei vaizdas, garsas leidžia fiksuoti pokalbių turinį, nuomones, galbūt net jautrią informaciją. Tai iš esmės pakeičia rizikos lygį.

Ypač darbo ar klientų aptarnavimo erdvėse garso įrašymas gali būti vertinamas kaip perteklinis, jei nėra aiškiai identifikuotos ir dokumentuotos specifinės rizikos, kurios kitaip negalima suvaldyti. Vien siekis „išvengti ginčų“ ar „turėti įrodymų ateičiai“ dažniausiai nelaikomas pakankamu pagrindu tokiai priemonei. Todėl prieš diegiant garso įrašymą būtina atlikti poveikio duomenų apsaugai vertinimą (PDAV, angl. DPIA).

Saugojimo terminas ir prieigos kontrolė – ne „IT smulkmenos“, o BDAR principai

Sprendime pažymėta, kad saugojimo terminai buvo nustatyti netiksliai, o įrašai realiai saugoti akivaizdžiai per ilgai. Taip pat nustatyta, kad prieiga prie operacinėse vykdyto vaizdo / garso transliavimo nebuvo tinkamai suvaldyta, kas siejasi su BDAR 5 str. 1 d. f p. (vientisumas ir konfidencialumas) ir praktiniu saugumo priemonių įgyvendinimu pagal BDAR 32 str.

VDAI nurodė ir nebendradarbiavimo aspektą: nepateikta tyrimui svarbi informacija, kas įvardyta kaip pažeidimas ir siejama su VDAI įgaliojimais bei reikalavimu teikti informaciją.

Mūsų ekspertų patarimai vykdantiems vaizdo stebėjimą

Kokius „namų darbus“ vertėtų atlikti savo organizacijoje, jei taikomas vaizdo stebėjimas patalpose? Pirmiausia patikrinkite:

• ar turite aiškų tikslą kiekvienai kamerų zonai (ir ar tikslas pasiekiamas be garso?
• ar atliktas teisėto intereso vertinimas ir (jei taikytina) poveikio duomenų apsaugai vertinimas dėl sistemingo stebėjimo jautriose erdvėse?
• ar kamerų kampai sureguliuoti taip, kad nefiksuotų perteklinių zonų?
• ar saugojimo terminai apibrėžti konkrečiai ir techniškai įgyvendinti (automatinis trynimas)? Ar nėra „amžino archyvo“ problemos jūsų organizacijoje?
• ar prieiga prie įrašų/transliacijų valdoma „need-to-know“ principu ir audituojama?

Šis VDAI sprendimas dar kartą primena: vaizdo stebėjimas nėra vien fizinės saugos priemonė – tai pilnavertis BDAR projektas. Stebėjimo priemonės organizacijoje turi būti ne automatinis sprendimas, o  pagrįsta ir dokumentuota priemonė, pasirinkta įvertinus alternatyvas bei realią riziką. Jei organizacija negali aiškiai atsakyti į klausimą, kodėl pasirinkta konkreti stebėjimo apimtis yra būtina ir kodėl mažiau invazinės priemonės būtų nepakankamos, tikėtina, kad būtinumas ir proporcingumas yra nepagrįstas.

BDAR kontekste svarbu ne tai, ar kamera įrengta formaliai teisėtai, o ar organizacija gali pagrįsti kiekvieną savo sprendimą – nuo teisinio pagrindo iki saugojimo termino ir prieigos kontrolės. Būtent šis pagrindimas tampa esminiu atitikties rodikliu.

Praktikoje tai reiškia aiškiai atliktą ir įformintą teisėto intereso vertinimą (balanso testą), o didesnės rizikos atvejais – ir poveikio duomenų apsaugai vertinimą (PDAV). Tinkamai atlikti rizikos vertinimai ne tik sumažina reguliacinę atsakomybę, bet ir leidžia organizacijai pagrįstai apsiginti kilus ginčui ar patikrinimui.

Mūsų ekspertų komanda padeda organizacijoms struktūruotai įvertinti stebėjimo būtinybę, atlikti teisėto intereso balanso testus ir, kai reikalinga, poveikio duomenų apsaugai vertinimus, kad stebėjimo sprendimai būtų ne tik efektyvūs, bet ir atitiktų BDAR reikalavimus.

The post Vaizdo ir garso stebėjimas darbo ir paslaugų erdvėse: BDAR principų testas praktikoje appeared first on ECOVIS ProventusLaw.

Asmens duomenų saugumo pažeidimai Lietuvoje 2025 m. 

Valstybinė duomenų apsaugos inspekcija (toliau – VDAI) 2025 m. gavo 223 pranešimus apie asmens duomenų saugumo pažeidimus (ADSP), paveiktų duomenų subjektų skaičius Lietuvoje – 1 249 409.

Palyginti su ankstesnių metų duomenimis, 2025 m. VDAI gavo mažiau pranešimų apie ADSP negu 2024 m. (2024 m. VDAI gautų pranešimų apie ADSP – 273). Taip pat beveik 200 tūkst. sumažėjo Lietuvoje paveiktų duomenų subjektų skaičius (2024 m. Lietuvoje paveiktų duomenų subjektų skaičius – 1 467 368).

Pagal ADSP pobūdį Lietuvoje statistiškai vyrauja konfidencialumo pažeidimai, kurių skaičius per 2025 m. sudarė net 83 proc. visų atvejų, 6 proc. atvejų vientisumo pažeidimai, 10 proc. atvejų prieinamumo pažeidimai ir 1 proc. atvejų incidentas nebuvo laikomas ADSP (neatitiko sąvokos).

VDAI, išanalizavusi per 2025 m. gautus pranešimus apie ADSP, nustatė, kad 58 proc. ADSP įvyko dėl žmogiškosios klaidos (dėl žmogaus padaromų veiksmų, kurie pasireiškia neapdairumu, nežinojimu, kad veiksmai gali sukelti ADSP, taip pat dėl veiksmų, nuo kurių įprastai apsaugoti negali taikomos techninės ir organizacinės priemonės). ADSP, įvykę dėl kitų priežasčių, sudaro 13 proc. (įvairūs IT sistemų trikdžiai, kilę dėl IT sistemų klaidų, dėl kurių atnaujinti duomenys nebuvo laiku perduoti, todėl duomenų valdytojai negalėjo laiku suteikti paslaugų, taip pat nustatyta, kad netinkamai atlikti programavimo darbai arba neatliktas sistemų testavimas prieš jų paleidimą sudarė sąlygas situacijoms, kai asmens duomenys buvo prieinami asmenims, neturintiems teisės su jais susipažinti).

VDAI, išanalizavusi per 2025 m. gautus pranešimus apie ADSP, nustatė, kad 29 proc. ADSP įvyko dėl kibernetinių incidentų  (16 proc. – dėl duomenų užšifravimo ir išpirkos reikalavimo atakų, 45 proc. – dėl neteisėtai gautos prieigos prie IT sistemų, 26 proc. – dėl socialinės inžinerijos metodais paremtų, 7 proc. – dėl kredencialų brukimo kibernetinių atakų.  Po 3 proc. ADSP buvo pranešta dėl SQL injekcijų ir sistemų veiklos sutrikdymo atakų).

Svarbu paminėti, kad dėl kibernetinių incidentų buvo paveikti 57 proc., t. y. 713 644 (iš visų 2025 m. paveiktų duomenų subjektų) duomenų subjektų duomenys, dėl kitų priežasčių buvo paveikti 43 proc. (535 765) duomenų subjektų duomenys.

VDAI atkreipia dėmesį, kad nustatęs, jog ADSP įvyko ir kad dėl jo gali kilti pavojus fizinių asmenų teisėms ir laisvėms, duomenų valdytojas nedelsdamas, bet ne vėliau kaip per 72 val. nuo sužinojimo apie ADSP, turėtų pranešti apie tai VDAI, kaip tai numato BDAR. 2025 m. 63 proc. duomenų valdytojų apie įvykusį ADSP pranešė ne vėliau kaip per 72 val., 37 proc. – vėliau kaip per 72 val.

2025 m.  VDAI priėmė sprendimus viešosioms ir privačiosioms įstaigoms skirti 5  baudas (bendra suma 27 529 eurų) už nustatytus BDAR nuostatų pažeidimus. VDAI, įvertinusi gautus pranešimus apie ADSP ir nustačiusi, kad yra netinkamai užtikrinamas duomenų subjektų asmens duomenų saugumas, teikė 9 nurodymus duomenų valdytojams arba duomenų tvarkytojams suderinti duomenų tvarkymo operacijas su BDAR nuostatomis. Taip pat buvo pateiktos 22 rekomendacijos duomenų valdytojams, kurios padės užtikrinti, kad asmens duomenų tvarkymas atitiktų BDAR reikalavimus.

ESTT išaiškinimas: pseudonimizuoti duomenys gali būti laikomi asmens duomenimis

Ilgai trukusi byla tarp ES Bendro pertvarkymo valdybos (SRB) ir Europos duomenų apsaugos priežiūros pareigūno (EDPS) baigėsi be galutinio Bendrojo Teismo sprendimo, tačiau Europos Sąjungos Teisingumo Teismas (ESTT) pateikė reikšmingus išaiškinimus.

Teismas pabrėžė, kad:

• Asmens nuomonė gali būti laikoma asmens duomenimis;
• Reidentifikavimo rizika turi būti vertinama kiekvienu atveju atskirai;
• Pseudonimizuoti duomenys nėra automatiškai laikomi asmens duomenimis, jei realiai neįmanoma identifikuoti asmens.

Organizacijoms rekomenduojama:

• vertinti reidentifikavimo riziką kiekvienu konkrečiu atveju;
• jei egzistuoja galimybė susieti duomenis su asmeniu – taikyti BDAR reikalavimus;
• dokumentuoti vertinimo procesą;
• reguliariai atnaujinti rizikos vertinimus.

ESTT nagrinės FATCA duomenų perdavimo atitiktį BDAR

ESTT nagrinės, ar ES gyventojų bankiniai duomenys, perduodami JAV pagal FATCA susitarimus, atitinka BDAR reikalavimus.

Klausimai, kuriuos nagrinės teismas:

• Ar iki BDAR sudaryti tarptautiniai susitarimai gali būti toliau taikomi?
• Ar masinis finansinių duomenų perdavimas, nesant įtarimų dėl pažeidimų, atitinka duomenų minimizavimo principą?
• Ar tokie perdavimai suderinami su 2023 m. ES–JAV duomenų apsaugos sistema?

Sprendimas gali turėti reikšmingą įtaką visiems ES–JAV automatiniams mokestiniams duomenų mainams.

Rekomenduojame:

• peržiūrėti tarptautinių duomenų srautų žemėlapius;
• įvertinti taikomas perdavimo apsaugos priemones;
• atnaujinti vidaus politiką ir procedūras.

VDAI sprendimai: tiesioginė rinkodara – viena dažniausių BDAR pažeidimų sričių

Valstybinė duomenų apsaugos inspekcija (VDAI) išnagrinėjo skundą dėl galimai neteisėtos tiesioginės rinkodaros ir pripažino, kad bendrovė siuntė reklaminius el. laiškus be tinkamo teisinio pagrindo. Nors įmonė rėmėsi vadinamąja „soft opt-in“ išimtimi, Inspekcija konstatavo, kad ji buvo taikyta netinkamai.

Pareiškėjas nurodė, kad 2024-11-02 ir 2025-03-27 el. paštu gavo reklaminius pasiūlymus iš UAB „Topo grupė“, nors nebuvo davęs sutikimo gauti tiesioginę rinkodarą.

Bendrovė paaiškino, kad:

• el. pašto adresą gavo iš paties kliento užsakymo metu (2023-07-04);
• užsakymo formoje buvo pasirinkimo langelis „Nesutinku gauti individualizuotus pasiūlymus…“;
• klientas šio langelio nepažymėjo;
• kiekviename laiške buvo aktyvi atsisakymo nuoroda.

Įmonės vertinimu, to pakako laikyti, kad asmuo neprieštaravo rinkodarai.

Teisinis kontekstas: kada galima siųsti be atskiro sutikimo?

Pagal Elektroninių ryšių įstatymo (ERĮ) 81 straipsnio 1 dalį, tiesioginė rinkodara el. paštu galima tik gavus išankstinį sutikimą.

Tačiau ERĮ 81 straipsnio 2 dalis numato išimtį, kai sutikimo nereikia, jei tenkinamos visos šios sąlygos:

1. El. pašto adresas gautas iš paties kliento;
2. Duomenų rinkimo metu suteikta aiški ir nemokama galimybė nesutikti;
3. Naudojami tik elektroninio pašto kontaktiniai duomenys;
4. Siūlomos tik savo panašios prekės ar paslaugos;
5. Kiekviename laiške sudaryta aiški galimybė atsisakyti.

Tik esant visoms šioms sąlygoms, galima teisėtai siųsti rinkodarą be atskiro aktyvaus sutikimo.

VDAI nustatė du esminius trūkumus.

• Nepagrįstas „panašių prekių ar paslaugų“ kriterijus

Bendrovė neįrodė, kad siųsti pasiūlymai buvo susiję su kliento ankstesniu pirkimu ir atitiko „panašumo“ kriterijų.

Inspekcija pabrėžė, kad neužtenka deklaratyviai remtis ERĮ 81 straipsnio 2 dalimi – būtina konkrečiais duomenimis pagrįsti, jog reklamuojamos prekės iš tiesų yra panašios į tas, kurias klientas įsigijo.

Kadangi tokie įrodymai nebuvo pateikti, išimtis negalėjo būti taikoma.

• Netinkamai suprastas sutikimas

Papildomai VDAI įvertino ir sutikimo klausimą.

Bendrovė laikė, kad klientas sutiko gauti rinkodarą, nes nepažymėjo langelio „nesutinku“.

Tačiau pagal BDAR:

• sutikimas turi būti aktyvus,
• aiškus,
• nedviprasmiškas,
• duotas konkrečiu veiksmu.

Tyla, neveikimas ar iš anksto suformuluotas „opt-out“ modelis (kai reikia pažymėti „nesutinku“) nelaikomi galiojančiu sutikimu.

VDAI pabrėžė, kad duomenų valdytojui tenka pareiga įrodyti, jog sutikimas buvo gautas tinkamai. Šiuo atveju tokio įrodymo nebuvo.

Europos duomenų apsaugos valdyba (toliau – EDPB) priėmė rekomendacijas dėl patvirtinimo paraiškos ir dėl duomenų tvarkytojui privalomose įmonės taisyklėse (BCR-P) esančių elementų ir principų

Šiomis rekomendacijomis atnaujinamas esamas įmonei privalomų taisyklių-P orientacinis dokumentas, kuriame pateikiami įmonei privalomų taisyklių-P patvirtinimo kriterijai, ir jis sujungiamas su standartine įmonei privalomų taisyklių-P prašymo forma.

Įmonei privalomos taisyklės yra duomenų perdavimo priemonė, kurią įmonių grupė arba įmonės gali naudoti asmens duomenims perduoti už Europos ekonominės erdvės ribų tos pačios grupės duomenų tvarkytojams. Įmonei privalomomis taisyklėmis sukuriamos įgyvendinamos teisės ir nustatomi įsipareigojimai nustatyti tokį duomenų apsaugos lygį, kuris iš esmės būtų lygiavertis BDAR numatytam lygiui.

Naujosios rekomendacijos grindžiamos nuo BDAR taikymo pradžios pasiektais susitarimais ir patirtimi, kurią DAI įgijo vykdydamos konkrečių įmonei privalomų taisyklių taikymo patvirtinimo procedūras, taip pat darbu, atliktu įgyvendinant atnaujintas rekomendacijas dėl duomenų valdytojui privalomų įmonės taisyklių.

Rekomendacijose pateikiami aiškūs kriterijai ir paaiškinimai, kuriais siekiama užtikrinti, kad įmonių grupių arba įmonių parengtos įmonei privalomos taisyklės atitiktų BDAR. Rekomendacijose paaiškinama, kada galima taikyti įmonei privalomas taisykles, t. y. tik duomenų perdavimui grupės viduje tarp duomenų tvarkytojų, kai duomenų valdytojas nepriklauso grupei.

Be to, rekomendacijose paaiškinama, kad įmonei privalomos taisyklės parengtos taip, kad atitiktų BDAR 28 straipsnio 4 dalies reikalavimus. Tai reiškia, kad bet kuriam grupei priklausančiam duomenų tvarkytojui, naudojančiam įmonei privalomas taisykles (BCR-P), nereikia su kiekvienu grupės pagalbiniu duomenų tvarkytoju pasirašyti atskiro pagalbinio duomenų tvarkymo susitarimo. 

Dėl rekomendacijų viešos konsultacijos vyks iki 2026 m. kovo 2 d. 

EDPB ir Europos duomenų apsaugos priežiūros pareigūnas (toliau – EDPS): ES Dirbtinio intelekto akto (DI Aktas) supaprastinimas neturi silpninti pagrindinių teisių apsaugos

EDPB ir EDPS pritarė DI akto įgyvendinimo supaprastinimui, tačiau pabrėžė:

• Negalima silpninti atskaitomybės principo;
• Turi išlikti aukštos rizikos DI sistemų registravimo pareiga;
• Būtinas DPA įsitraukimas į DI „regulatory sandboxes“;
• Neturėtų būti atidėliojami pagrindiniai skaidrumo reikalavimai.

Finansų įstaigoms rekomenduojama jau dabar peržiūrėti DI valdymo ir rizikos valdymo sistemas.

Visuomenės pasitikėjimas duomenų apsauga Lietuvoje auga

2025 m. atlikta reprezentatyvi apklausa parodė:

• 85 % gyventojų yra girdėję apie BDAR;
• 34 % teigia esantys susipažinę su BDAR;
• 58 % pasitiki, kad organizacijos Lietuvoje užtikrina duomenų apsaugą;
• 62 % pasitiki savo darbdaviais duomenų apsaugos srityje.

Asmens duomenų apsaugos sąlygų indeksas (ADAS) 2025 m. siekia 63 % – rodiklis išlieka stabilus ir aukštas.

Vis dėlto praktinės žinios apie teises ir pareigas vis dar ribotos.

Siekiant stiprinti atitiktį, rekomenduojame reguliarius BDAR mokymus darbuotojams ir vadovybei.

Mes siūlome:

• Nuotolinius BDAR mokymus per mokymų platformą;
• Gyvus arba nuotolinius, organizacijos poreikiams pritaikytus mokymus;
• BDAR auditą ir atitikties vertinimą;
• Rinkodaros procesų peržiūrą ir rizikų mažinimo sprendimus.

Ką daro organizacijos, kurios TIS2 atitikties link juda teisinga kryptimi?

Dirbant su organizacijomis, kurioms taikomi TIS2 (NIS2) ir Kibernetinio saugumo įstatymo reikalavimai, ryškėja viena bendra tendencija: sėkmingas pasirengimas nėra apie „vieną sprendimą“ ar vien IT priemones. Organizacijos, kurios TIS2 atitikties link juda teisinga kryptimi, dažniausiai daro ne „daugiau dokumentų“, o teisingus sprendimus:

• 𝐏𝐫𝐚𝐝𝐞𝐝𝐚 𝐧𝐮𝐨 𝐫𝐢𝐳𝐢𝐤ų, 𝐧𝐞 𝐧𝐮𝐨 š𝐚𝐛𝐥𝐨𝐧ų. Identifikuoja kritines paslaugas, svarbiausius tiekėjus, realius „kas blogiausia gali nutikti“ scenarijus.
• 𝐀𝐢š𝐤𝐢𝐚𝐢 𝐩𝐚𝐬𝐤𝐢𝐫𝐢𝐚 𝐚𝐭𝐬𝐚𝐤𝐨𝐦𝐲𝐛𝐞𝐬. Valdyba/CEO įsitraukia, yra savininkai už rizikas, incidentus, tiekėjus, tęstinumą.
• 𝐒𝐮𝐭𝐯𝐚𝐫𝐤𝐨 𝐢𝐧𝐜𝐢𝐝𝐞𝐧𝐭ų 𝐯𝐚𝐥𝐝𝐲𝐦ą 𝐩𝐫𝐚𝐤𝐭𝐢š𝐤𝐚𝐢. Veikia eskalacija, kontaktų grandinė, pratybos, aiškūs playbook’ai (ne stalčiuje).
• 𝐕𝐚𝐥𝐝𝐨 𝐭𝐢𝐞𝐤𝐢𝐦𝐨 𝐠𝐫𝐚𝐧𝐝𝐢𝐧ę. Ne vien tik klausimynai – realūs reikalavimai sutartyse, minimalūs kontrolės standartai, kritinių tiekėjų peržiūra.
• 𝐌𝐚𝐭𝐮𝐨𝐣𝐚 𝐩𝐚ž𝐚𝐧𝐠ą. KPI/KRI, prioritetų sąrašas, aiškus planas „ką darom per 30/60/90 dienų“, o ne vienkartinis auditas.
• 𝐈𝐧𝐯𝐞𝐬𝐭𝐮𝐨𝐣𝐚 į 𝐛𝐚𝐳ę. 𝘈𝘴𝘴𝘦𝘵 𝘪𝘯𝘷𝘦𝘯𝘵𝘰𝘳𝘺, 𝘱𝘢𝘵𝘤𝘩𝘪𝘯𝘨, IAM/MFA, log’ų matomumas, atsarginės kopijos ir jų testavimas.

TIS2 kelias nėra sprintas. Bet jei organizacija turi aiškų prioritetų planą, valdymo modelį ir treniruotą reagavimą, ji jau lenkia daugumą.

Daugiau apie TIS2 direktyvos reikalavimus skaitykite čia.

ECOVIS TIS2 įrankis

The post BDAR 2026 m. vasario mėn.: pažeidimų statistika, teismų praktika ir naujausi atitikties iššūkiai appeared first on ECOVIS ProventusLaw.

Kas yra sekimo pikselis?

Sekimo pikselis – tai nematomas technologinis elementas, dažniausiai mažas vaizdo failas, įterptas į el. laišką, interneto svetainę ar reklamą. Jis leidžia sužinoti, ar laiškas buvo atidarytas, ar svetainė aplankyta, ir kokius veiksmus atliko naudotojas.

Sekimo pikseliai gali rinkti:

• techninius duomenis (IP adresą, naršyklę, įrenginio tipą, operacinę sistemą),
• naudojimo informaciją (apsilankymo laiką, dažnumą, elgesį svetainėje ar el. laiške),
• vietos duomenis (apytikslę geografinę buvimo vietą).

Kai kuriais atvejais, ypač persiunčiant el. laiškus, gali būti atskleistas ir el. pašto adresas.

Jo tikslas – rinkti informaciją apie naudotojų elgseną. Pikselio kodas kreipiasi į serverį, kai asmuo atidaro el. laišką arba aplanko svetainę. Serveris užfiksuoja kiekvieną tokį veiksmą žurnaliniuose įrašuose, taip tvarkydamas duomenis apie naudotojų elgseną.

Kaip apsisaugoti nuo sekimo pikselių?

Sekimo pikselius galima blokuoti tiek el. pašto programose, tiek naršyklėse. Dauguma populiarių platformų (Outlook, Gmail, Firefox, Safari, Edge) jau turi tam skirtus nustatymus arba papildinius. Išsamias instrukcijas rasite žemiau.

El. pašto programose:

Outlook (programa)

1. Atidarykite Outlook.

2. Nustatymai: Failas → Parinktys → Patikimumo centras → Patikimumo centro nustatymai → Automatinis atsisiuntimas

3. Pažymėkite: Nesiųsti automatiškai paveikslėlių HTML el. laiškuose arba RSS elementuose

4. Papildomai galite pažymėti: Įspėti prieš atsisiunčiant turinį redaguojant, persiunčiant arba atsakant į el. laišką

5. Išsaugokite pakeitimus (Gerai → Gerai)

Outlook Web App (naršyklė)

1. Prisijunkite prie Outlook.com

2. Nustatymai → Žiūrėti visus nustatymus → Paštas → Rašyti ir atsakyti

3. Slinkite iki skilties Žinutės formatas

4. Pažymėkite: Automatiškai nesiųsti paveikslėlių iš interneto

5. Išsaugokite pakeitimus

Gmail

1. Prisijunkite prie Gmail

2. Nustatymai → Žiūrėti visus nustatymus → Bendrieji → Vaizdai

3. Pažymėkite: Klausti prieš rodant išorinius vaizdus

4. Išsaugokite pakeitimus.

Naršyklėse

• Privatumo apsaugos plėtiniai: uBlock Origin, Privacy Badger, Ghostery, AdGuard

Naršyklių integruota apsauga:

• Firefox: Sustiprinta stebėjimo apsauga → režimas Griežtas
• Safari: Išmanioji stebėjimo prevencija (Intelligent Tracking Prevention)
• Microsoft Edge: Stebėjimo prevencija → režimas Griežtas

Šios priemonės leidžia blokuoti sekimo pikselius ir užtikrinti didesnį privatumo lygį el. pašto bei interneto naudojimo metu.

Ką tai reiškia organizacijoms?

Sekimo pikselių naudojimas dažnai laikomas asmens duomenų tvarkymu, todėl jam taikomi BDAR reikalavimai – teisėtas pagrindas, informavimas, skaidrumas ir, tam tikrais atvejais, sutikimas. VDAI rekomendacijos primena, kad rinkodaros ir komunikacijos sprendimai turi būti vertinami ne tik techniniu, bet ir teisiniu požiūriu.

Sekimo pikseliai – tai ne tik technologinis, bet ir duomenų apsaugos klausimas. Tiek vartotojams, tiek organizacijoms svarbu suprasti, kaip veikia sekimo priemonės ir kokios teisės bei pareigos kyla jas naudojant. Aiškios vidaus taisyklės ir atitiktis VDAI rekomendacijoms padeda išvengti rizikų ir užtikrinti atsakingą duomenų tvarkymą.

The post Sekimo pikseliai: kaip jie veikia ir kaip apsaugoti savo duomenis? appeared first on ECOVIS ProventusLaw.