1. Ilgesnis išbandymo laikotarpis didesnį darbo užmokestį gaunantiems darbuotojams

2. Daugiau lankstumo susitariant dėl darbo sąlygų

3. Naujas darbo sutarties nutraukimo pagrindas

4. Lankstesnė atsiskaitymo tvarka atleidžiant darbuotojus

5. Didesnės finansinės pasekmės už pavėluotą atsiskaitymą

Ką tai reiškia darbdaviams?

Dažniausiai užduodami klausimai apie 2026 m. Darbo kodekso pakeitimus

Ar išbandymo laikotarpis galės trukti ne 3, o 6 mėnesius?

Ar galima susitarti dėl vėlesnio atsiskaitymo atleidžiant darbuotoją?

Kada įsigalioja Darbo kodekso pakeitimai?

Kuriems darbuotojams bus taikomos platesnės galimybės susitarti dėl darbo sąlygų?

Ar darbdavys galės nutraukti darbo sutartį, jei darbuotojas nebeatitinka nepriekaištingos reputacijos reikalavimų?

Ar padidės darbdavių atsakomybė už pavėluotą atsiskaitymą su darbuotojais?

Ką darbdaviai turėtų padaryti prieš įsigaliojant Darbo kodekso pakeitimams?

• peržiūrėti darbo sutarčių šablonus;
• įvertinti, ar tam tikrų darbuotojų atžvilgiu galima pasinaudoti naujomis lankstumo galimybėmis;
• atnaujinti vidines personalo procedūras;
• įvertinti atsiskaitymo atleidžiant darbuotojus procesus.

Ar darbdaviai turėtų peržiūrėti darbo sutartis prieš įsigaliojant Darbo kodekso pakeitimams?

The post 2026 m. Darbo kodekso pakeitimai: kas keičiasi darbdaviams nuo lapkričio 1 d.? appeared first on ECOVIS ProventusLaw.

Šio mėnesio apžvalgoje pristatome svarbiausius pokyčius ir priežiūros institucijų sprendimus: Europos duomenų apsaugos valdybos (EDAV) parengtą bendrą duomenų saugumo pažeidimų pranešimo šabloną, naujausią VDAI vykdymo užtikrinimo praktiką bei reikšmingus sprendimus dėl kibernetinio saugumo, slapukų, teisėto intereso taikymo ir asmens duomenų tvarkymo ribų.

Ypatingo dėmesio sulaukia 450 000 eurų VDAI bauda „InMedica“ už nepakankamas technines ir organizacines saugumo priemones, primenanti, kad organizacijos turi ne tik priimti vidines procedūras, bet ir užtikrinti realų jų veikimą praktikoje. Taip pat aptariame naujas rekomendacijas e. prekybos sektoriui bei aktualias įžvalgas dėl dirbtinio intelekto naudojimo, darbuotojų duomenų tvarkymo ir BDAR principų taikymo naujose technologinėse situacijose.

Šiame leidinyje rasite pagrindines reguliavimo tendencijas, praktines priežiūros institucijų įžvalgas ir rekomendacijas, padėsiančias organizacijoms stiprinti duomenų apsaugos programas, mažinti reguliacinę riziką ir pasirengti augantiems atitikties reikalavimams.

EDAV paskelbė bendrą pranešimo apie duomenų saugumo pažeidimą šabloną

Europos duomenų apsaugos valdyba (EDAV) parengė bendrą pranešimo apie asmens duomenų saugumo pažeidimą šabloną, skirtą suvienodinti pranešimų teikimo procesą visoje Europoje ir palengvinti organizacijoms BDAR reikalavimų vykdymą. Šablonas padės organizacijoms aiškiai, nuosekliai ir laiku informuoti duomenų apsaugos institucijas (DAI) apie įvykusius pažeidimus.

Šablone pateikiamos iš anksto parengtos parinktys ir išsamios gairės, kaip užpildyti kiekvieną skiltį, atsižvelgiant į BDAR 33 straipsnyje nustatytus informacijos reikalavimus. Tai ypač naudinga mažesnėms organizacijoms, neturinčioms atskiro teisės ar duomenų apsaugos padalinio. Viešosios konsultacijos dėl šablono vyks iki 2026 m. rugpjūčio 5 d., po kurių EDAV patvirtins galutinę versiją ir jos įgyvendinimo tvarkaraštį visoms ES DAI.

Organizacijoms rekomenduojama peržiūrėti ir atnaujinti savo duomenų saugumo pažeidimų valdymo procedūras, kad jos atitiktų EDAV siūlomą bendrą pranešimo šabloną. Verta nustatyti aiškius vidinius pranešimo procesus, tvarkyti tikslius saugumo incidentų įrašus ir užtikrinti, kad visa BDAR 33 straipsnyje reikalaujama informacija galėtų būti greitai surinkta.

Daugiau informacijos

„Meta“ dirbtinio intelekto mokymo programa renka Europos darbuotojų duomenis

„Meta“ vidinė programa „Model Capability Initiative“ (MCI), skirta rinkti duomenis iš darbuotojų darbo vietų JAV dirbtinio intelekto mokymui, kaip teigiama, renka daugiau Europos duomenų, nei kompanija viešai pripažino. Vidiniai dokumentai atskleidžia, kad programa fiksuoja el. laiškus ir pokalbius tarp JAV ir Europoje dirbančių kolegų, o tai kelia klausimų dėl atitikties BDAR.

Nors „Meta“ tvirtino, kad MCI veikia tik JAV darbo įrenginiuose ir nestebi Europos darbuotojų, vidiniai įrodymai rodo, kad bet koks JAV darbuotojų susirašinėjimas su Europos kolegomis ar klientais patenka į dirbtinio intelekto mokymui renkamus duomenis. Privatumo ekspertai teigia, kad tokia praktika prieštarauja BDAR tikslo apribojimo principui, kuris riboja asmens duomenų naudojimą tik tuo tikslu, kuriuo jie buvo iš pradžių surinkti.

Organizacijoms, kuriančioms ar diegiančioms dirbtinio intelekto sistemas, rekomenduojama atidžiai įvertinti, ar vienu tikslu surinkti asmens duomenys gali būti teisėtai pakartotinai naudojami DI mokymui. Prieš pakartotinai panaudojant darbuotojų ar klientų susirašinėjimą, reikėtų nustatyti tinkamą teisinį pagrindą pagal BDAR, įvertinti atitiktį tikslo apribojimo ir skaidrumo principams, o prireikus – atlikti poveikio duomenų apsaugai vertinimą (PDAV).

VDAI skyrė „InMedica“ 450 000 eurų baudą už BDAR saugumo pažeidimus

Valstybinė duomenų apsaugos inspekcija (VDAI) skyrė 450 000 eurų administracinę baudą sveikatos priežiūros paslaugų teikėjai „InMedica“ už BDAR pažeidimus, susijusius su netinkamomis saugumo priemonėmis, dėl kurių įvyko asmens duomenų saugumo pažeidimai. Sprendimas priimtas po dviejų atskirų tyrimų, kurie vėliau buvo sujungti į vieną bylą.

Pirmasis tyrimas pradėtas gavus informacijos apie galimą saugumo incidentą, kurio metu neteisėtas trečiasis asmuo gavo prieigą prie vidinės pacientų informacinės sistemos. Antrasis tyrimas pradėtas gavus „InMedica“ pranešimą apie duomenų saugumo pažeidimą, susijusį su išpirkos reikalaujančiu (angl. ransomware) kibernetiniu išpuoliu, kurio metu buvo užšifruotos keturios IT sistemos su pacientų ir darbuotojų asmens duomenimis.

VDAI nustatė, kad daugiafaktorė autentifikacija nebuvo taikoma darbuotojams ar privilegijuotiems naudotojams, prisijungiantiems nuotoliniu būdu internetu, prieiga prie sistemų nebuvo pakankamai apribota, o slaptažodžių reikalavimai neatitiko tinkamų sudėtingumo standartų. Nustatyti BDAR 24(1), 32(1)(b) ir 5(1)(f) straipsnių pažeidimai.

Sprendimas primena apie rizika grįstų techninių ir organizacinių saugumo priemonių svarbą pagal BDAR 24 ir 32 straipsnius. Organizacijoms rekomenduojama reguliariai peržiūrėti kibernetinio saugumo sistemas, užtikrinti daugiafaktorę autentifikaciją nuotolinei ir privilegijuotai prieigai, taikyti griežtą slaptažodžių ir prieigos valdymo politiką bei periodiškai vertinti, ar naudotojų prieigos teisės išlieka pagrįstos.

Daugiau informacijos

VDAI skyrė papeikimą dėl slapukų naudojimo reikalavimų nesilaikymo

VDAI priėmė sprendimą po pakartotinio patikrinimo dėl bendrovės atitikties ankstesniam nurodymui, susijusiam su slapukų naudojimo praktika jos interneto svetainėje. Nors bendrovė teigė atnaujinusi slapukų pranešimą ir naudojanti analitikos bei rinkodaros slapukus tik gavus vartotojo sutikimą, VDAI nustatė du likusius pažeidimus.

Pirma, VDAI nustatė, kad nebūtinas slapukas buvo saugomas vartotojų įrenginiuose dar prieš gaunant sutikimą – tai pažeidžia Lietuvos Respublikos elektroninių ryšių įstatymo 73 straipsnio 4 dalį. Antra, informacija apie slapukų paskirtį buvo pateikiama tik anglų kalba, nors svetainė orientuota į Lietuvos vartotojus – tai neatitinka BDAR skaidrumo principo.

VDAI skyrė papeikimą už ankstesnio nurodymo nesilaikymą ir įpareigojo bendrovę užtikrinti, kad nebūtini slapukai būtų aktyvuojami tik gavus galiojantį sutikimą, o informacija apie slapukus būtų teikiama lietuvių kalba. Organizacijoms rekomenduojama patikrinti, ar neesminiai slapukai nėra naudojami be sutikimo, ar slapukų pranešimai atitinka tikslinės auditorijos kalbą ir yra aiškūs, bei periodiškai techniškai tikrinti slapukų valdymo sprendimus.

Daugiau informacijos

VDAI: atsitiktinai sugeneruoti telefono numeriai vis tiek yra asmens duomenys

VDAI skyrė papeikimą bendrovei, kuri neteisėtai tvarkė asmens duomenis, skambindama atsitiktinai sugeneruotu telefono numeriu apklausos tikslu. Bendrovė teigė, kad numeris nebuvo gautas iš jokios duomenų bazės, o sugeneruotas programine įranga, ir kad duomenų tvarkymas grindžiamas teisėtu interesu (BDAR 6 str. 1 d. f p.).

VDAI šį argumentą atmetė, pažymėdama, kad telefono numerio gavimo būdas nėra lemiamas – kai atsitiktinai sugeneruotas numeris priklauso identifikuojamam asmeniui, jis laikomas asmens duomenimis pagal BDAR. Bendrovė taip pat nesugebėjo pagrįsti, kodėl teisėto intereso pagrindas buvo taikytinas, ir neatliko būtino interesų balansavimo testo.

VDAI konstatavo BDAR 5(1)(a) ir 6(1) straipsnių pažeidimus. Organizacijoms rekomenduojama prieš vykdant telefonines apklausas ar rinkodaros kampanijas atidžiai įvertinti teisinį pagrindą, remiantis teisėtu interesu – atlikti ir dokumentuoti teisėto intereso vertinimą (LIA), o taip pat periodiškai peržiūrėti tokios veiklos atitiktį BDAR reikalavimams.

Daugiau informacijos

VDAI paskelbė 2025 m. metinę asmens duomenų apsaugos priežiūros ataskaitą

VDAI paskelbė 2025 m. metinę ataskaitą, apžvelgiančią pagrindinius pokyčius, priežiūros veiklą ir vykdymo užtikrinimo tendencijas asmens duomenų apsaugos srityje Lietuvoje. Ataskaitoje pristatoma inspekcijos priežiūros ir vykdymo užtikrinimo veikla, įskaitant BDAR atitikties tyrimus, duomenų subjektų skundų nagrinėjimą, pranešimus apie duomenų saugumo pažeidimus, patikrinimus bei bendradarbiavimą su kitomis Europos duomenų apsaugos institucijomis.

Ataskaita pateikia naudingų įžvalgų apie sritis, kurios išlieka priežiūros institucijų dėmesio centre – duomenų saugumą, skaidrumą, duomenų subjektų teises, tiesioginę rinkodarą, slapukus ir kitus pagrindinius BDAR atitikties reikalavimus. Tai vertingas šaltinis organizacijoms, siekiančioms suprasti dabartinius priežiūros prioritetus ir stiprinti savo atitikties programas.

Ataskaita rodo, kad priežiūros institucijos toliau daugiausia dėmesio skiria praktiniam BDAR reikalavimų įgyvendinimui, o ne vien formaliai atitikčiai. Organizacijoms rekomenduojama reguliariai peržiūrėti savo duomenų apsaugos praktiką, užtikrinti tinkamas technines ir organizacines priemones, palaikyti veiksmingas duomenų subjektų prašymų ir saugumo pažeidimų valdymo procedūras.

Daugiau informacijos

VDAI rekomendacijos internetinių parduotuvių duomenų saugumui užtikrinti

VDAI paskelbė rekomendacijas, skirtas užtikrinti internetinių parduotuvių tvarkomų asmens duomenų saugumą. Gairės padės e. prekybos įmonėms ir kitiems duomenų valdytojams įvertinti ir įgyvendinti tinkamas organizacines bei technines priemones klientų asmens duomenims apsaugoti.

Internetinės parduotuvės tvarko įvairius asmens duomenis, įskaitant klientų vardus, pavardes, kontaktinius duomenis, pristatymo adresus, užsakymų ir mokėjimų informaciją, todėl svarbu užtikrinti tinkamas apsaugos priemones nuo neteisėtos prieigos, praradimo, pakeitimo ar atskleidimo.

VDAI rekomenduoja internetinės prekybos įmonėms reguliariai peržiūrėti naudotojų prieigos teises, taikyti daugiafaktorę autentifikaciją administratoriaus paskyroms, laiku diegti saugumo atnaujinimus bei užtikrinti saugias atsarginių kopijų ir duomenų atkūrimo procedūras. Įmonės taip pat turėtų periodiškai vertinti trečiųjų šalių paslaugų teikėjų (pvz., prieglobos ir mokėjimo paslaugų teikėjų) saugumą bei nustatyti aiškias duomenų saugumo pažeidimų aptikimo, pranešimo ir reagavimo procedūras.

Daugiau informacijos

The post BDAR apžvalga: naujienos ir ekspertų patarimai, liepa 2026 m. appeared first on ECOVIS ProventusLaw.

Kartu ryškėja naujos reguliavimo tendencijos. Europos duomenų apsaugos valdyba stiprina sertifikavimo mechanizmų vaidmenį tarptautinių duomenų perdavimų srityje, o priežiūros institucijos vis daugiau dėmesio skiria ne tik formaliai dokumentacijai, bet ir realiam organizacijų gebėjimui įrodyti BDAR atitiktį praktikoje. Tuo pačiu didėja dėmesys dirbtinio intelekto sistemų mokymui naudojamiems darbuotojų ir klientų duomenims, keliant naujus klausimus dėl skaidrumo, teisėto pagrindo ir tikslo apribojimo principų taikymo.

Šios naujienos primena, kad BDAR atitiktis šiandien apima ne tik vidaus procesų valdymą, bet ir nuolatinį duomenų srautų, technologinių sprendimų ir tarptautinių duomenų perdavimo grandinių vertinimą.

The post BDAR apžvalga: naujienos ir ekspertų patarimai, birželis 2026 m. appeared first on ECOVIS ProventusLaw.

Tiesioginės rinkodaros taisyklių pakeitimai Lietuvoje nuo 2026 m. liepos

2026 m. balandžio 16 d. Seimas priėmė Elektroninių ryšių įstatymo pataisas, konkrečiai patikslinančias 81 straipsnį, reglamentuojantį elektroninių ryšių naudojimą rinkodaros tikslais. Šie pakeitimai įsigalios nuo 2026 m. liepos 1 d.

Svarbu atkreipti dėmesį, kad šios pataisos taikomos tik tiesioginei rinkodarai, vykdomai elektroninių ryšių priemonėmis (pvz., el. paštu, SMS), ir neapima kitų rinkodaros formų.

B2B tiesioginė rinkodara: kas pasikeis?

Pagal naujas taisykles, tiesioginę rinkodarą juridiniams asmenims bus galima vykdyti be išankstinio sutikimo – remiantis atsisakymo (opt-out) modeliu. Tai reiškia, kad rinkodaros pranešimai gali būti siunčiami su sąlyga, kad gavėjams bet kada suteikiama aiški, nemokama ir paprasta galimybė atsisakyti tolesnių pranešimų. Tačiau pagrindinis reikalavimas yra tas, kad atsisakymo mechanizmas turi veikti praktiškai, o ne tik formaliai. Praktikoje tai reiškia:

• kiekviename pranešime turi būti aiški ir patogi atsisakymo galimybė (pvz., vieno paspaudimo nuoroda atsisakyti prenumeratos);
• atsisakymas neturi reikalauti papildomų veiksmų, pvz., prisijungimo ar formų pildymo;
• atsisakymo prašymai turi būti įvykdyti nedelsiant arba per protingą laikotarpį.

Pagrindinė atitikties rizika slypi ne pačiame pranešimų siuntimo faktas, o neveiksminguose atsisakymo mechanizmuose. Jei atsisakymo procesas yra tik formalus, pernelyg sudėtingas arba tinkamai neveikia, tai gali būti laikoma pažeidimu – ne tik pagal Elektroninių ryšių įstatymą, bet ir pagal BDAR (ypač skaidrumo, teisėtumo principus ir duomenų subjektų teises).

Fizinių asmenų kontaktiniai duomenys: sutikimas vis dar privalomas.

Fiziniams asmenims taisyklės nesikeičia – tiesioginei rinkodarai vis dar reikalingas išankstinis sutikimas. Sutikimas turi būti:

• laisvas;
• konkretus;
• informuotas;
• nedviprasmiškas.

Paprastai jis išreiškiamas aiškiu teigiamu veiksmu (pvz., nepažymėto langelio pažymėjimu). Asmenys taip pat turi būti tinkamai informuoti apie tai, kaip bus naudojami jų duomenys ir kokio tipo pranešimai bus siunčiami.

Išimtis ‘‘soft opt-in‘‘ esamiems klientams

Nors fiziniams asmenims skirtai rinkodarai paprastai reikalingas išankstinis sutikimas, įstatymas numato išimtį – vadinamąjį „soft opt-in” esamiems klientams. Sutikimas nereikalingas, jei įvykdomos visos šios sąlygos:

• kontaktiniai duomenys gauti teisėtai, prekių ar paslaugų pardavimo kontekste;
• rinkodara susijusi tik su panašiomis prekėmis ar paslaugomis;
• klientui duota aiški galimybė prieštarauti duomenų rinkimo metu;
• klientui suteikiama aiški galimybė atsisakyti kiekviename tolesniame pranešime.

Rekomendacijos rinkodaros atitikčiai:

Taikyti skirtingas taisykles B2B ir B2C klientams – tai paprastai įgyvendinama atsiskaitymo arba registracijos etape.

B2B (juridiniai asmenys):

• naujienlaiškiams ir rinkodaros el. laiškams sutikimas nereikalingas;
• rinkodara gali būti siunčiama bendriesiems verslo kontaktiniams duomenims;
• kiekviename pranešime turi būti aiški ir paprasta atsisakymo galimybė;
• informacija apie tiesioginę rinkodarą turi būti įtraukta į privatumo politiką;
• vengti pernelyg intensyvių ar įkyrių pranešimų.

B2C (fiziniai asmenys):

• naudoti du atskirus žymėjimo langelius: sutikimas gauti rinkodarą ir atsisakymas gauti rinkodarą;
• jei sutikimas duotas – rinkodara grindžiama BDAR sutikimu;
• jei pasirinktas atsisakymas – rinkodara negalima.

Esminiai atitikties reikalavimai:

• palaikyti aiškią privatumo politiką, apimančią tiesioginę rinkodarą ir teisinius pagrindus;
• užtikrinti techninę galimybę fiksuoti sutikimus ir atsisakymus;
• į kiekvieną el. laišką įtraukti aiškią prenumeratos atsisakymo galimybę;
• užtikrinti, kad vidinės sistemos tinkamai atspindėtų šias kategorijas.

Skaityti daugiau

EDPB poveikio duomenų apsaugai vertinimo (DAPV) šablonas

Europos duomenų apsaugos valdyba (EDPB) pristatė naują šabloną, skirtą organizacijoms padėti atlikti poveikio duomenų apsaugai vertinimus (PDAV). Šio šablono tikslas – supaprastinti BDAR atitiktį ir skatinti nuoseklumą visoje Europoje, pateikiant struktūrizuotą PDAV procesų ataskaitų formatą. Jis skirtas padėti organizacijoms aiškiai dokumentuoti, kaip jos vertina ir valdo su asmens duomenų tvarkymu susijusias rizikas.

Šiuo metu šablonas yra atviras viešoms konsultacijoms iki birželio 9 d., suteikiant suinteresuotosioms šalims galimybę teikti pastabas. Po šio laikotarpio Europos šalių duomenų apsaugos institucijos svarstys galimybę šabloną priimti kaip bendrą standartą arba kaip sistemą, suderintą su nacionaliniais reikalavimais. Organizacijoms rekomenduojama naudoti šabloną jau dabar ir dalintis savo patirtimi, kad padėtų tobulinti šią priemonę.

Organizacijos privalo atlikti PDAV, jei planuoja:

• vykdyti sisteminį ir išsamų fizinių asmenų asmeninių aspektų vertinimą, grindžiamą automatizuotu tvarkymu, įskaitant profiliavimą, ir kurio pagrindu priimami sprendimai, turintys teisinę galią ar panašaus reikšmingo poveikio;
• didelio masto specialių kategorijų asmens duomenis ar su baudžiamaisiais nuosprendžiais bei nusikalstamomis veikomis susijusius duomenis;
• sistemingai stebėti viešai prieinamas vietas dideliu mastu;
• tvarkyti biometrinius duomenis identifikavimo ar stebėjimo tikslais;
• įrašinėti telefoninius pokalbius;
• vykdyti vaizdo stebėjimą kartu su garso įrašymu;
• stebėti darbuotojus (pvz., sekti darbuotojų veiksmus ir elgesį elektroninėse sistemose);
• vykdyti kitą panašią tvarkymo veiklą.

PDAV privalo:

• aprašyti asmens duomenų tvarkymo pobūdį, apimtį, kontekstą ir tikslus;
• įvertinti tvarkymo operacijų būtinumą, proporcingumą ir atitiktį teisės aktams;
• nustatyti ir įvertinti rizikas duomenų subjektų teisėms ir laisvėms;
• apibrėžti rizikos mažinimo priemones ir papildomas apsaugos, saugumo ir duomenų apsaugos užtikrinimo priemones.

PDAV atlikimo nauda:

• patvirtina BDAR atitiktį;
• užtikrina, kad duomenų subjektai nebūtų veikiami jų teises pažeidžiančios rizikos;
• mažina veiklos sąnaudas optimizuojant duomenų srautus ir pašalinant nereikalingą duomenų rinkimą;
• mažina organizacijos duomenų saugumo rizikas;
• mažina duomenų apsaugos priemonių diegimo sąnaudas, jas integruojant projekto kūrimo pradiniame etape.

Rekomendacijos:

PDAV turėtų būti atliekamas, kai asmens duomenų tvarkymas gali sukelti didelę riziką asmenų teisėms ir laisvėms, ypač naudojant naujas technologijas, vykdant didelio masto tvarkymą ar sistemingą stebėjimą. DAPV atlikimas padeda anksti nustatyti ir sumažinti rizikas bei palaiko BDAR atitiktį. Rekomenduojame:

• įvertinti, ar BDAR reikalauja atlikti PDAV;
• į vertinimą įtraukti teisines, technines ir organizacines priemones;
• nustatyti vidines PDAV procedūras ir dokumentavimo procesus;
• reguliariai peržiūrėti PDAV keičiantis tvarkymo veikloms ar susijusioms rizikoms.

PDAV dažniausiai reikalingas biometrinių duomenų tvarkymui, darbuotojų stebėsenai, CRM sistemoms, didelio masto asmens duomenų tvarkymui, duomenų perdavimui į trečiąsias šalis ir kitai sudėtingai tvarkymo veiklai.

EDPB 2025 m. metinė ataskaita

Europos duomenų apsaugos valdyba (EDPB) paskelbė 2025 metu metine ataskaita, kurioje apžvelgiami svarbiausi duomenų apsaugos pokyčiai Europos Sąjungoje. Ataskaita pabrėžia nuolatinį BDAR vykdymą ir auganti tarpvalstybinių bylų skaičių, kurį nagrinėja EDPB. Tai atspindi augančiaą asmens duomenų  privatumo svarbą ir ES valdžios institucijų isipareigojimų ginti piliečiu teises sparčiai kintančioje skaitmeninėje aplinkoje.

2025 m. EDPB sutelkė dėmesį i bendradarbiavimo tarp nacionalinių duomenų apsaugos institucijų stiprinimą, siekdama užtikrinti nuoseklų BDAR taisyklių taikymą. Buvo apdorota daugiau nei 1 200 tarpvalstybinių bylų, demonstruojant patikimą mechanizmą sprendžiant sudėtingus duomenų apsaugos klausimus, paveikiančius kelias valstybes nares. Šis bendradarbiavimas padėjo patikslinti reguliavimo lūkesčius ES veikiančioms įmonėms, suteikiant didesnį teisinį tikruma ir skatinant atitiktį.

Ataskaita taip pat pabrėžia EDPB vaidmenį padedant organizacijoms spręsti naujų technologijų – dirbtinio intelekto ir didelių duomenų analizės – keliamus iššūkius. Leisdama gaires ir rekomendacijas, EDPB padeda įmonėms įgyvendinti duomenų apsaugą nuo projekto pradžios (privacy by design) ir pagal nutylėjimą (privacy by default), kas yra būtina pasitikėjimui palaikyti ir fizinių asmenų asmens duomenims saugoti. Šis išankstinis požiūris siekia išvengti pažeidimų ir sumažinti baudų riziką.

Finansine ataskaitos dalis pažymi, kad 2025 m. skirtos baudos už BDAR pažeidimus sudarė apie 300 mln. euru, patvirtindamos rimtas neatitikties pasekmes. EDPB ir toliau teikia prioritetą skaidrumui ir atskaitomybei, skatindama organizacijas taikyti geriausias praktikas ir gerbti duomenų subjektu pagrindines teises. Apibendrinant, 2025 m. metinė ataskaita atspindi tvirtą įsipareigojimšų saugoti privatumą ir puoselėti saugią skaitmeninę aplinka ES.

Lietuvos VDAI konstatavo neteisėtą tiesioginę rinkodarą dėl žmogiškosios klaidos

2025 m. birželio 3 d. Valstybinė duomenų apsaugos inspekcija (VDAI) gavo fizinio asmens skundą dėl neteisėtos tiesioginės rinkodaros veiklos, kurią vykdė UAB SMAGUS. Skundo pateikėjas nurodė, kad 2025 m. gegužės 27 d. gavo reklaminį el. laišką, nors tvirtino, kad jo el. pašto adresas yra privatus ir viešai neprieinamas. Pasak skundo pateikėjo, šis adresas naudojamas tik konkrečiam socialiniam tinklui ir nesidalijamas net su artimaisiais. Taip pat nurodyta, kad jis niekada nesilankė minėtoje įmonėje ir neturi vaikų, kurie lankytų įmonės valdomą parką.

Išnagrinėjusi skundą, VDAI nustatė, kad įmonė išsiuntė el. laišką, reklamuojantį šeimos pramogų renginius savo parke. Žinutė kvietė švęsti Tėvo dieną su kūrybinėmis dirbtuvėmis ir pramogomis vaikams. VDAI pripažino, kad šio turinio pranešimas atitinka tiesioginės rinkodaros apibrėžimą pagal taikytinus teisės aktus.

Paaiškinime, pateiktame 2025 m. liepos 25 d., įmonė nurodė, kad el. pašto adresai renkami per loterijos dalyvavimo formas, kurias lankytojai pildyto tiesiogiai įmonėje. Pasak įmonės, incidentas įvyko dėl žmogiškosios klaidos: arba lankytojas klaidingai nurodė neteisingą el. pašto adresą, arba darbuotojas padarė klaidą perkeliant adresą iš popierinės formos į sistemą. Įmonė pabrėžė, kad skundo pateikėjo el. pašto adresas negalėjo būti gautas iš viešai prieinamų šaltinių ir į sistemą pateko per klaidą. Taip pat patvirtino, kad el. pašto adresas ištrintas ir skundo pateikėjui atsiprašyta.

VDAI nustatė, kad įmonė išsiuntė tiesioginės rinkodaros el. laišką be išankstinio skundo pateikėjo sutikimo, tuo pažeisdama Elektroninių ryšių įstatymo 81 straipsnio 1 dalį. Skundas buvo pripažintas pagrįstu.

Atsižvelgdama į tai, kad pažeidimas atsirado dėl vienkartinės žmogiškosios klaidos, įmonė greitai ištaisė klaidą ir nenustatytos jokios reikšmingos neigiamos pasekmės, VDAI nusprendė, kad pažeidimo konstatavimas yra pakankama ir proporcinga priemonė. Jokie papildomi korekciniai veiksmai ar sankcijos nebuvo skirti.

Rekomendacijos:

Nuo 2026 m. liepos 1 d. įsigalioja Lietuvos Respublikos elektroninių ryšių įstatymo 81 straipsnio pakeitimai, nustatantys atnaujintus reikalavimus naudoti elektroninių ryšių paslaugas tiesioginės rinkodaros tikslais. Nuo tos datos tiesioginei rinkodarai elektroninių ryšių priemonėmis taikomi atnaujinti reikalavimai:

• B2B rinkodara (juridiniai asmenys) gali būti vykdoma be išankstinio sutikimo, jei kiekviename pranešime suteikiama aiški, nemokama ir lengvai įgyvendinama atsisakymo galimybė. Atsisakymo mechanizmas turi veikti ir būti patogus naudoti praktiškai.
• B2C rinkodara (fiziniai asmenys) ir toliau reikalauja išankstinio, aiškaus, informuoto ir nedviprasmiško sutikimo. „Minkštojo sutikimo” išimtis taikoma tik esamiems klientams ir tik griežtai apibrėžtomis sąlygomis.
• Visi rinkodaros pranešimai turi turėti aiškų atsisakymo mechanizmą, o atsisakymo prašymai turi būti vykdomi nedelsiant.

Organizacijos turėtų peržiūrėti ir dokumentuoti savo rinkodaros procesus bei atnaujinti procedūras ir dokumentaciją, kad tiesioginės rinkodaros veikla atitiktų BDAR ir Lietuvos Respublikos elektroninių ryšių įstatymo reikalavimus.

Vinted gavo VDAI įspėjimą dėl netinkamo duomenų subjektų prieigos prašymų nagrinėjimo

Valstybinė duomenų apsaugos inspekcija (VDAI) priėmė sprendimą byloje pagal Vokietijos priežiūros institucijos perduotą skundą dėl duomenų subjektų prieigos prašymų nagrinėjimo Vinted, UAB.

Skundo pateikėjo paskyra buvo užblokuota dėl tariamos nesąžiningos veiklos, kurią, kaip pranešama, lėmė automatizuotas sprendimų priėmimas. Asmuo vėliau pasinaudojo teise susipažinti su savo duomenimis pagal BDAR 15 straipsnį ir paprašė informacijos apie sprendimo logiką bei savo asmens duomenų gavėjus. Tačiau įmonė tinkamai neatsako į šį prašymą. Vietoj reikiamos informacijos skundo pateikėjas buvo nukreiptas į privatumo politiką. VDAI nustatė, kad prašymas greičiausiai nebuvo teisingai identifikuotas kaip BDAR prieigos prašymas, o tai rodo vidaus procesų trūkumus.

Antras prašymas taip pat buvo nagrinėjamas netinkamai. Nors įmonė bandė patikrinti asmens tapatybę, šis procesas stokojo skaidrumo, aiškių terminų ir tinkamo bendravimo dėl atsisakymo veikti. Svarbiausia tai, kad įmonė neinformavo asmens apie jo teisę pateikti skundą ar pasinaudoti teisinėmis gynybos priemonėmis.

VDAI padarė išvadą, kad:

• įmonė pažeidė BDAR 12(3) ir 15(1) straipsnius, neatsakydama į pradinį prieigos prašymą;
• antrojo prašymo nagrinėjimas neatitiko BDAR 12(1) ir 12(4) straipsnių dėl nepakankamo skaidrumo ir komunikacijos.

Nors vartotojo paskyra ir susiję duomenys jau buvo ištrinti, VDAI skyrė įspėjimą ir įpareigojo įmonę pateikti aiškų paaiškinimą skundo pateikėjui dėl antrojo prašymo.

Rekomendacijos:

1. Įdiegti aiškią duomenų subjektų prašymų (DSAR) procedūrą. Apibrėžti, kaip prašymai identifikuojami, registruojami ir nagrinėjami. Užtikrinti, kad visi kanalai (pvz., bendri el. pašto adresai) būtų aprėpti.

2. Mokyti darbuotojus atpažinti BDAR prašymus. Prašymai neprivalo aiškiai nurodyti BDAR. Bet koks prašymas dėl prieigos prie asmens duomenų turi būti nagrinėjamas atitinkamai.

3. Nustatyti aiškius terminus ir komunikacijos standartus. Visada atsakyti per 1 mėnesį. Jei reikia patikrinti tapatybę: paaiškinti kodėl; nustatyti aiškų terminą; prašymą laikyti atviru iki išsprendžiamas.

4. Užtikrinti skaidrumą atsisakant nagrinėti ar uždarant prašymus. Aiškiai paaiškinti: atsisakymo ar neveikimo priežastis; teisę pateikti skundą priežiūros institucijai; galimas teisines gynybos priemones.

5. Tvarkyti prašymų registrą. Sekti visus prašymus, atliktus veiksmus ir terminus. Tai būtina siekiant pagrįsti atskaitomybę (BDAR 5 str.).

6. Paskirti aiškią atsakomybę. Paskirti atsakingą asmenį ar komandą. Vengti situacijų, kai prašymai „guli” bendrame el. pašto adrese.

Lietuvos VDAI skyrė baudą už asmens duomenų saugumo pažeidimą

VDAI skyrė 4 500 eurų baudą UAB DELSKA Lithuania kaip UAB Rakreejus teisinei perėmėjai už su asmens duomenų saugumu susijusius pažeidimus. Tyrimas pradėtas 2025 m. kovo mėn. po pranešimų apie asmens duomenų pažeidimus, susijusius su kibernetinio saugumo incidentu, įvykusiu UAB Rakreejus naudotoje viešųjų debesijos paslaugų platformoje.

Baigusi tyrimą, VDAI nustatė, kad pažeidimas palietė didelį skaičių duomenų subjektų asmens duomenis – beveik 3 000 asmenų. Dalis duomenų negalėjo būti atkurta, o paslaugų teikimas, įskaitant finansines paslaugas, buvo laikinai sutrikdytas. Institucija pažeidimą klasifikavo kaip vidutinio sunkumo.

VDAI padarė išvadą, kad įmonė neįgyvendino tinkamų techninių ir organizacinių priemonių asmens duomenų saugumui užtikrinti, tuo pažeidžiant BDAR 32 straipsnio 1 dalies b punktą. Administracinė bauda skirta UAB DELSKA Lithuania kaip UAB Rakreejus perėmėjai, kuri buvo prijungta prie DELSKA vykstant tyrimui.

Rekomendacijos:

Organizacijos turi užtikrinti tinkamas technines ir organizacines apsaugos priemones, įskaitant prieigos kontrolę, šifravimą, reguliarius rizikos vertinimus ir saugias atsarginių kopijų sprendimus. Rekomenduojame:

• įvertinti debesijos paslaugų teikėjų saugumo standartus ir aiškiai paskirstyti atsakomybę duomenų tvarkymo sutartyse;
• įdiegti nuolatinę stebėseną, programinės įrangos atnaujinimų ir incidentų aptikimo mechanizmus;
• palaikyti patikimas atsarginių kopijų ir atkūrimo sistemas, siekiant užtikrinti veiklos tęstinumą ir išvengti duomenų praradimo;
• reguliariai mokyti darbuotojus ir nustatyti vidaus saugumo politikas, siekiant sumažinti su žmogiška klaida susijusias rizikas;
• nustatyti aiškias incidentų reagavimo procedūras, siekiant laiku identifikuoti, suvaldyti ir pranešti apie asmens duomenų pažeidimus pagal BDAR reikalavimus.

VDAI paskelbė D.U.K. apie tiesioginės rinkodaros pakeitimus juridinių asmenų atžvilgiu

Valstybinė duomenų apsaugos inspekcija paskelbė dažniausiai užduodamų klausimų (D.U.K.) sąrašą apie Lietuvos Respublikos elektroninių ryšių įstatymo (ERĮ) 81 straipsnio pakeitimus, susijusius su tiesiogine rinkodara juridinių asmenų atžvilgiu.

2026 m. balandžio 22 d. įsigaliojusiais pakeitimais buvo siekiama supaprastinti sąlygas vykdyti tiesioginę rinkodarą juridiniams asmenims, skatinti konkurencingumą bei sudaryti palankesnes sąlygas verslo komunikacijai.

D.U.K. aptariami praktiniai klausimai, susiję su rinkodaros pranešimų siuntimu juridiniams asmenims, taikomais reikalavimais, sutikimo poreikiu, gavėjų teisėmis bei rekomendacijomis, kaip užtikrinti atitiktį ERĮ ir BDAR reikalavimams. Organizacijoms rekomenduojame susipažinti su šiuo D.U.K. ir įvertinti, ar jų vykdoma tiesioginės rinkodaros praktika atitinka naujus reikalavimus.

Meta pralaimėjo teisme dėl galimų 430 mln. eurų BDAR baudų

Meta Platforms Ireland Ltd pralaimėjo svarbų teisinį ginčą prieš Airijos Duomenų apsaugos komisiją (DPC) dėl BDAR pažeidimo tyrimo. Byla kilo iš vieno 2018 m. „Facebook” vartotojo skundo dėl prieigos prie asmens duomenų, saugomų skaitmeninėje sistemoje „Hive”. Vartotojas teigė, kad be prieigos prie neapdorotų duomenų neįmanoma patikrinti, ar „Facebook” turi jautrių ar specialių kategorijų duomenų ir ar BDAR teisės yra tinkamai užtikrinamos. „Facebook” atsisakė pateikti šiuos duomenis, todėl DPC pradėjo oficialų tyrimą.

2025 m. spalio mėn. DPC preliminariame sprendimo projekte konstatavo, kad Meta pažeidė tris BDAR straipsnius. Komisija pasiūlė taisomąsias priemones: įspėjimą, pareigojimus pakeisti duomenų prieigos praktiką ir administracines baudas nuo 360 iki 430 mln. eurų. Šios priemonės atspindi reikšmingą duomenų tvarkymo praktikos poveikį milijonams „Facebook” vartotojų.

Meta ginčijo DPC teisę plėsti tyrimą už pradinio skundo ribų, teigdama, kad Komisija viršijo savo įgaliojimus, vesdama platesnį tyrimą dėl visų „Facebook” naudotojų. Tačiau teismas šį argumentą atmetė ir  nusprendė, kad skundo pagrindu pradėtas tyrimas gali teisėtai nagrinėti sistemines problemas ir taikyti sistemingas taisomąsias priemones, įskaitant baudas, jos nepriverčiant laikyti tyrimo savo iniciatyva.

Šis sprendimas patvirtina, kad DPC įgaliojimai vykdyti BDAR yra vienodi nepriklausomai nuo to, kaip pradėtas tyrimas. Komisija gali vertinti nustatytų pažeidimų platesnį poveikį ir atitinkamai taikyti taisomąsias priemones. Šis sprendimas sustiprina DPC vaidmenį užtikrinant veiksmingą BDAR vykdymą ir pabrėžia galimas pasekmes įmonėms, kurios nesilaiko duomenų apsaugos reikalavimų.

The post BDAR apžvalga: naujienos ir ekspertų patarimai, 2026 m. gegužės mėn. appeared first on ECOVIS ProventusLaw.

Inga Karulaitytė yra pripažinta „FinTech“ ir finansų reguliavimo srities ekspertė Lietuvoje ir Baltijos šalyse, turinti daugiau nei 20 metų teisinės patirties. Ji specializuojasi „FinTech“ reguliavimo, pinigų plovimo prevencijos (AML/CTF), mokėjimų, atitikties ir tarptautinių finansinių paslaugų srityse.

„Legal Benchmarking Group“ (IFLR) organizuojami „Women in Business Law Awards“ apdovanojimai įvertina stipriausias Europos, Artimųjų Rytų ir Afrikos (EMEA) regiono teisininkes. Finalinis sąrašas sudaromas atsižvelgus į pretendenčių profesinius pasiekimus, klientų konsultavimo kokybę, lyderystę rinkoje bei indėlį į teisinių ir reguliacinių standartų vystymą.

2024 m. Inga Karulaitytė buvo įtraukta į „Financial Regulatory Lawyer of the Year – EMEA“ finalinį sąrašą, o „ECOVIS ProventusLaw“ kontora nominuota „Baltics Firm of the Year“ kategorijoje.

„ECOVIS ProventusLaw“ nuoširdžiai sveikina Ingą Karulaitytę ir kitas į finalinį sąrašą įtrauktas profesionales.

„ECOVIS ProventusLaw“ yra viena iš pirmaujančių verslo teisės kontorų, priklausanti tarptautiniam „ECOVIS International“ tinklui, veikiančiam daugiau nei 90 pasaulio šalių. Jos komandą sudaro Lietuvos, Latvijos ir Estijos teisininkai, kurie konsultuoja vietos ir tarptautinius klientus sudėtingais įmonių teisės, reguliavimo, „FinTech“, darbo teisės, ginčų sprendimo, mokesčių ir technologijų klausimais Baltijos regione.

Kontora yra žinoma dėl gebėjimo derinti aukšto lygio teisinę kompetenciją su praktiškomis, į verslą orientuotomis konsultacijomis.

The post „ECOVIS ProventusLaw“ partnerė įtraukta į „IFLR Women in Business Law Awards 2026“ finalinį sąrašą appeared first on ECOVIS ProventusLaw.

Veikdama kaip viena koordinuota komanda Baltijos regione, „ECOVIS ProventusLaw“ siekia klientams teikti efektyvią, nuoseklią ir į verslą orientuotą teisinę pagalbą, išvengiant paslaugų fragmentacijos tarp skirtingų jurisdikcijų.

Latvijoje įmonė bendradarbiauja su partneriais, veikdama integruotoje Lietuvos–Latvijos komandoje užtikrina sklandų, koordinuotą ir regiono specifika grįstą teisinių paslaugų teikimą Baltijos regione.

„Verslui vis dažniau reikia patikimų teisės partnerių, galinčių užtikrinti nuoseklų ir efektyvų atstovavimą keliose jurisdikcijose. Mūsų plėtra į Latviją leidžia teikti integruotas teisines paslaugas Baltijos mastu, sujungiant regioninę patirtį, plačias rinkos žinias ir verslo supratimą“, – sako „ECOVIS ProventusLaw“ partnerė, advokatė Loreta Andziulytė.

Advokatų kontora pasižymi ypač stipriomis kompetencijomis itin reguliuojamuose sektoriuose, įskaitant finansines paslaugas, finansines technologijas (fintech), mokėjimus, technologijų ir skaitmeninio verslo sritis.

„Jau kurį laiką matome nuolat augančią klientų paklausą koordinuotai tarptautinei teisinei pagalbai Baltijos šalyse, ypač fintech, reguliavimo atitikties, darbuotojų judumo, įmonių struktūrizavimo ir skaitmeninio reguliavimo srityse. Klientai vis labiau vertina konsultantus, kurie supranta tiek vietos rinkos specifiką, tiek platesnę regioninę reguliacinę aplinką“, – sako „ECOVIS ProventusLaw“ partnerė, advokatė Inga Karulaitytė-Kvainauskienė.

Turėdama gerai įsitvirtinusią ir tarptautiniu mastu pripažintą praktiką Lietuvoje, „ECOVIS ProventusLaw“ konsultuoja vietinius ir tarptautinius klientus reguliavimo, įmonių, darbo teisės, duomenų apsaugos, technologijų, pinigų plovimo prevencijos (angl. AML), sankcijų, ginčų sprendimo ir tarptautinių teisinių klausimų srityse. Kontora ir jos teisininkai yra įvertinti pirmaujančių teisės reitingų agentūrų, įskaitant „Chambers and Partners“, „The Legal 500“ ir „IFLR1000“.

„ECOVIS ProventusLaw“ advokatai I. Karulaitytė-Kvainauskienė, L. Andziulytė ir Kęstutis Kvainauskas teikia tarptautines teisines paslaugas Lietuvoje ir Latvijoje. Jie yra kvalifikuoti advokatai, priimti į Lietuvos advokatūrą, ir, kaip ES teisininkai, yra registruoti praktikuoti Latvijoje ir Lietuvoje. Tai suteikia jiems galimybę teikti teisines paslaugas Baltijos šalyse tarpvalstybiniu pagrindu, laikantis taikomų ES ir nacionalinių teisės aktų.

Apie „ECOVIS ProventusLaw“
„ECOVIS ProventusLaw“ yra viena iš pirmaujančių verslo teisės kontorų, kurios būstinė įsikūrusi Vilniuje, Lietuvoje, ir kuri priklauso „ECOVIS International“ tinklui, veikiančiam daugiau nei 90 pasaulio šalių.

Advokatų kontora konsultuoja Lietuvos ir tarptautinius klientus sudėtingais įmonių teisės, reguliavimo, finansinių technologijų (fintech), darbo teisės, ginčų sprendimo, mokesčių ir technologijų klausimais, veikdama tarpvalstybinių projektų srityje Baltijos regione.

„ECOVIS ProventusLaw“ ir jos teisininkai nuo 2019 metų kasmet yra pripažįstami pirmaujančių tarptautinių teisės reitingų agentūrų, įskaitant „Chambers and Partners“, „IFLR1000“ ir „The Legal 500“, ir vertinami tokiose srityse kaip finansinės technologijos (fintech), bankininkystė ir finansai, įmonių susijungimai ir įsigijimai (angl. M&A), darbo teisė, žiniasklaida ir telekomunikacijos (TMT), ginčų sprendimas ir mokesčiai.

Kontora yra žinoma dėl gebėjimo derinti aukšto lygio teisines kompetencijas su praktiškomis, į verslą orientuotomis konsultacijomis.

The post Advokatų kontora „ECOVIS ProventusLaw“ plečiasi į Latviją, stiprindama integruotas teisines paslaugas Baltijos šalyse appeared first on ECOVIS ProventusLaw.

2026 m. balandžio 16 d. Seimas priėmė Lietuvos Respublikos elektroninių ryšių įstatymo pakeitimus, kuriais verslui suteikiama daugiau lankstumo vykdant tiesioginę rinkodarą juridiniams asmenims. Šie pakeitimai  įsigalios 2026 m. liepos 1 d. ir bus taikomi tik tiesioginei rinkodarai, vykdomai elektroninių ryšių priemonėmis (pvz., el. paštu, SMS), bei neapims kitų rinkodaros formų. 

Tiesioginė rinkodara juridiniams asmenims, kas naujo? 

Nuo šiol tiesioginė rinkodara juridiniams asmenims gali būti vykdoma be išankstinio sutikimo, taikant „opt-out“ modelį. Tai reiškia, kad pranešimai gali būti siunčiami, jei gavėjui sudaroma aiški, nemokama ir lengvai įgyvendinama galimybė bet kada jų atsisakyti. 

Kalbant apie „opt-out“ modelį, svarbiausia – atsisakymo mechanizmas turi veikti realiai, o ne formaliai. Atsisakymas turi būti aiškus ir paprastas, turi būti užtikrinta, kad gavėjas galėtų be papildomų kliūčių atsisakyti tolesnių rinkodaros pranešimų. 

Praktikoje tai reiškia, kad kiekviename pranešime turi būti aiški ir lengvai naudojama atsisakymo galimybė, pavyzdžiui, aktyvi vieno veiksmo principo nuoroda „atsisakyti“ (angl. „unsubscribe“). Atsisakymas negali reikalauti papildomų veiksmų, tokių kaip prisijungimas ar formų pildymas, ir turi būti įgyvendinamas nedelsiant arba per protingą laikotarpį.  

Vis dėlto dalis klausimų vis dar išlieka problematiški. Pavyzdžiui, kaip žinoti, ar el.pašto adresas yra įmonės, ar fizinio asmens? Išlieka neaišku, kaip turi būti vertinami vardiniai įmonių darbuotojų el. pašto adresai (pvz., vardas.pavarde@imone.lt). Tokie adresai pagal BDAR yra fizinio asmens duomenys.

Fizinių asmenų kontaktai: sutikimas išlieka būtinas 

Fizinių asmenų atžvilgiu taisyklė nesikeičia – tiesioginė rinkodara galima tik gavus išankstinį sutikimą. 

Sutikimas turi būti laisvas, konkretus, informuotas ir nedviprasmiškas, paprastai išreiškiamas aktyviu veiksmu (pvz., pažymint ne iš anksto pažymėtą varnelę). Taip pat svarbu, kad asmuo būtų tinkamai informuotas apie tai, kokiais tikslais jo duomenys bus naudojami ir kokio pobūdžio pranešimus jis gaus. 

Išimtis: „soft opt-in“ esamiems klientams 

Nors fizinių asmenų atžvilgiu galioja bendroji taisyklė, kad tiesioginei rinkodarai būtinas išankstinis sutikimas, įstatymas numato išimtį – vadinamąjį „soft opt-in“ modelį, taikomą esamiems klientams. 

Ši išimtis leidžia verslui naudoti kliento elektroninio pašto kontaktinius duomenis be atskiro sutikimo, tačiau tik esant tam tikroms sąlygoms: 

• Duomenys turi būti gauti teisėtai –  klientui įsigyjant prekes ar paslaugas.
• Rinkodara gali būti vykdoma tik dėl panašių prekių ar paslaugų, susijusių su tuo, ką klientas jau yra įsigijęs. 
• Klientui turi būti sudaryta reali galimybė nesutikti su tokiu duomenų naudojimu duomenų rinkimo metu. 
• Klientui turi būti sudaryta reali galimybė nesutikti su tokiu duomenų naudojimu  kiekviename siunčiamame pranešime. 

Ką tai reiškia verslui?  

Sulig įstatymo pakeitimais,B2B rinkodara tampa lankstesnė – galima taikyti juridiniams asmenims „opt-out“ modelį be išankstinio sutikimo. Vis dėlto verslams ir tinkodaros specialistams derėtų žinoti, kad   B2C segmentas išlieka griežtai reguliuojamas – būtinas aiškus ir tinkamai dokumentuotas sutikimas. „Soft opt-in“ išimtis taikoma tik siaurai apibrėžtais atvejais ir negali būti plečiamai interpretuojama.

The post Tiesioginė rinkodara po pakeitimų: daugiau lankstumo, bet griežtesni praktiniai reikalavimai  appeared first on ECOVIS ProventusLaw.

Naujausi sprendimai ir ataskaitos rodo, kad priežiūros institucijos vis aktyviau vertina, kaip organizacijos įgyvendina duomenų subjektų teises, valdo kibernetines rizikas ir pagrindžia pasirinktus duomenų tvarkymo sprendimus. Kartu stiprėja reikalavimai technologiniams sprendimams – ypač tais atvejais, kai naudojamos biometrinės ar dirbtinio intelekto technologijos, taip pat kai tvarkomi didelės apimties ar jautrūs duomenys.

Šioje apžvalgoje taip pat aptariamos svarbios teismo praktikos tendencijos, kurios primena proporcingumo, pagrįstumo ir tinkamo procesų dokumentavimo svarbą, skiriant sankcijas ar vertinant atitiktį. Be to, matyti aiškus ES siekis mažinti administracinę naštą organizacijoms, kartu stiprinant bendrą kibernetinį atsparumą.

Europos duomenų apsaugos valdyba paskelbia 2025 m. koordinuoto vykdymo veiksmų ataskaitą

Europos duomenų apsaugos valdyba (EDPB) paskelbė 2025 m. ataskaitą, kurioje daugiausia dėmesio skiriama teisei į ištrynimą pagal Bendrąjį duomenų apsaugos reglamentą (BDAR). Ši teisė, dažnai vadinama „teise būti pamirštam“, leidžia asmenims tam tikromis sąlygomis prašyti ištrinti jų asmens duomenis. Ataskaitoje pateikiama apžvalga, kaip ši teisė taikoma visoje Europos Sąjungoje, taip pat išskiriami pagrindiniai iššūkiai, su kuriais susiduria duomenų valdytojai ir tvarkytojai.

Ataskaita atskleidžia, kad nors daugelis organizacijų yra įsidiegusios procesus, skirtus ištrynimo prašymams nagrinėti, jų taikymas išlieka nenuoseklus. Kai kurie duomenų valdytojai susiduria su sunkumais derindami teisę į ištrynimą su kitais teisiniais įsipareigojimais, pavyzdžiui, duomenų saugojimo reikalavimais pagal mokesčių ar baudžiamąją teisę. EDPB pabrėžia aiškių gairių svarbą, siekiant užtikrinti, kad teisė į ištrynimą būtų įgyvendinama nepakenkiant kitiems teisėtiems interesams.

Be to, ataskaitoje išskiriamos dažniausios kliūtys, įskaitant sunkumus patikrinti prašymą pateikusio asmens tapatybę ir techninius iššūkius šalinant duomenis iš atsarginių kopijų ar trečiųjų šalių tvarkytojų sistemų. Organizacijos raginamos diegti tvirtas procedūras ir investuoti į technologijas, kurios padėtų efektyviai ir saugiai ištrinti duomenis. EDPB taip pat pabrėžia nuolatinio mokymo ir informuotumo svarbą, siekiant gerinti ištrynimo prašymų nagrinėjimą.

Apskritai EDPB 2025 m. ataskaita yra vertingas šaltinis duomenų apsaugos pareigūnams, teisininkams ir organizacijoms, siekiančioms laikytis BDAR reikalavimų. Spręsdama praktinius klausimus ir skatindama gerąją praktiką, ji prisideda prie veiksmingo teisės į ištrynimą įgyvendinimo ir stiprina asmenų kontrolę jų asmens duomenų atžvilgiu.

Europos Komisija reaguoja į kibernetinę ataką prieš Europa web platformą

Europos Komisija aptiko kibernetinę ataką, kuri paveikė jos debesijos infrastruktūrą, naudojamą Komisijos interneto svetainių talpinimui Europa.eu platformoje. Nedelsiant buvo imtasi veiksmų atakai suvaldyti. Greita Komisijos reakcija užtikrino, kad incidentas buvo lokalizuotas, o rizikos mažinimo priemonės buvo įgyvendintos siekiant apsaugoti paslaugas ir duomenis, nepažeidžiant Europa svetainių prieinamumo.

Pirminiai vykdomo tyrimo rezultatai rodo, kad iš šių svetainių galėjo būti pasisavinti duomenys. Komisija tinkamai informuoja Europos Sąjungos institucijas, kurios galėjo būti paveiktos šio incidento. Komisijos tarnybos vis dar tiria visą incidento poveikio mastą.

Komisijos vidinės sistemos nebuvo paveiktos šios kibernetinės atakos. Komisija toliau stebės situaciją ir imsis visų būtinų priemonių, kad užtikrintų savo vidinių sistemų ir duomenų saugumą. Taip pat bus atliekama incidento analizė, o jos rezultatai bus naudojami siekiant dar labiau sustiprinti kibernetinio saugumo pajėgumus.

Kadangi Europa susiduria su nuolatinėmis kibernetinėmis ir hibridinėmis atakomis, nukreiptomis prieš svarbiausias paslaugas ir demokratines institucijas, Komisija aktyviai dirba stiprindama Europos Sąjungos kibernetinį atsparumą.

Europos Parlamentas skelbia pažangą dėl vieno incidentų pranešimo taško (SEP)

Europos Parlamentas padarė pažangą kuriant vieną saugumo incidentų pranešimo tašką (Single Entry Point – SEP) visoje Europos Sąjungoje. Ši iniciatyva yra Europos Komisijos „Digital Omnibus“ teisėkūros paketo dalis, kuria siekiama supaprastinti procesą organizacijoms, kurios turi pranešti apie saugumo incidentus, įskaitant asmens duomenų saugumo pažeidimus, pagal įvairius ES teisės aktus.

SEP bus centralizuota skaitmeninė platforma, kurią valdys Europos Sąjungos kibernetinio saugumo agentūra ENISA. Ji leis organizacijoms pateikti incidentų pranešimus pagal kelis ES reglamentus, tokius kaip Bendrasis duomenų apsaugos reglamentas (BDAR), NIS2 direktyva, DORA ir Kibernetinio atsparumo aktas (CRA), naudojant vieną sąsają.

Šis sprendimas pakeis dabartinę sistemą, kai organizacijos turi teikti atskirus pranešimus skirtingoms nacionalinėms institucijoms, taip sumažinant administracinę naštą ir didinant efektyvumą.

Svarbu pažymėti, kad SEP nepakeis esamų taisyklių dėl to, kokie incidentai turi būti pranešami ar kokie yra pranešimo terminai, išskyrus vieną svarbų pakeitimą: pagal BDAR numatytas asmens duomenų saugumo pažeidimo pranešimo terminas bus pratęstas nuo 72 iki 96 valandų.

ENISA veiks kaip tarpinė institucija, perduodanti pranešimus atitinkamoms nacionalinėms ar ES institucijoms tolimesniems veiksmams Jei SEP platforma laikinai neveiktų, organizacijos vis tiek turės naudoti alternatyvius pranešimo kanalus.

Europos Parlamentas tikisi, kad SEP taps veikiantis per 18 mėnesių nuo tada, kai „Digital Omnibus“ paketas įsigalios, su galimybe pratęsti terminą dar iki dvejų metų, jei reikės papildomo laiko platformos saugumui ir funkcionalumui užtikrinti.

Organizacijos, kurioms taikomi ES duomenų apsaugos ir saugumo pranešimo reikalavimai, turėtų sekti šiuos pokyčius ir pasirengti galimam centralizuoto pranešimų teikimo poveikiui jų incidentų valdymo procedūroms.

Ispanijos duomenų apsaugos institucija skyrė 500 000 eurų baudą FC Barcelona klubui

Ispanijos duomenų apsaugos institucija (Agencia Española de Protección de Datos, AEPD) skyrė 500 000 eurų baudą futbolo klubui „FC Barcelona“ už tai, kad nebuvo atliktas teisės aktų reikalavimus atitinkantis poveikio duomenų apsaugai vertinimas (DPIA) prieš pradedant tvarkyti biometrinius duomenis.

Biometriniai duomenys apėmė veido atpažinimo technologiją ir balso įrašus, kurie buvo renkami 2023 m. skaitmeninio narių surašymo atnaujinimo kampanijos metu, nukreiptos į maždaug 143 000 klubo narių. AEPD nustatė, kad pateiktas DPIA neatitiko BDAR reikalavimų, nes jame trūko aiškaus biometrinių duomenų aprašymo, realaus mažiau invazinių alternatyvų vertinimo ir tinkamo rizikų įvertinimo.

Skaitmeninio surašymo metu nariai turėjo atlikti kelis veiksmus: nuskenuoti tapatybės dokumentus, pateikti veido atvaizdą su biometrikos patikra ir (pasirinktinai) įrašyti balso profilį. Biometriniai duomenys buvo tvarkomi naudojant „Veridas Digital Authentication Solutions S.L.“ programinę įrangą, o užšifruoti biometriniai šablonai laikinai saugoti serveriuose Europos ekonominėje erdvėje.

AEPD gavo skundų iš narių, kurie teigė, kad biometrinis procesas buvo privalomas be aiškaus sutikimo, todėl buvo pradėtas oficialus tyrimas ir klubas laikinai sustabdė biometrinę patikros sistemą.

Institucijos sprendime pabrėžiama, kad DPIA turėjo esminių trūkumų: nebuvo aiškiai identifikuoti veido biometriniai duomenys, nebuvo tinkamai įvertinta, ar biometrinė patikra yra mažiausiai privatumo pažeidžiantis sprendimas, ir buvo nepakankamai įvertintos rizikos, susijusios su jautrių biometrinių duomenų tvarkymu.

Nepaisant klubo argumentų dėl ankstesnių gairių, savanoriško sustabdymo ir bendradarbiavimo, institucija pabrėžė, kad pareiga atlikti išsamų DPIA egzistuoja nepriklausomai nuo gairių ir turi būti įvykdyta prieš pradedant duomenų tvarkymą.

Šis atvejis pabrėžia, kad organizacijos, naudojančios biometrines ar didelės rizikos technologijas, privalo rengti išsamius ir realiais vertinimais paremtus DPIA, kurie įvertina rizikas ir alternatyvas. Tai taip pat atspindi platesnę tendenciją Ispanijoje, kur duomenų apsaugos institucijos vis griežčiau vertina DPIA kokybę. Šis sprendimas rodo, kad formalus atitikimas nepakankamas – būtinas realus ir substancialus analizės procesas.

DLA Piper 2025 m. BDAR baudų ir duomenų saugumo pažeidimų ataskaita

Aštuntoji kasmetinė „DLA Piper“ BDAR baudų ir duomenų saugumo pažeidimų tyrimo ataskaita už 2025 m. atskleidžia stabilią priežiūros ir vykdymo aplinką Europoje. Priežiūros institucijos iš viso skyrė apie 1,2 mlrd. eurų baudų. Ši suma beveik nesiskiria nuo 2024 m. lygio, o tai rodo, kad reguliuotojai išlieka nuosekliai aktyvūs, nors bendras baudų kiekis metų bėgyje nedidėjo.

Nuo BDAR įsigaliojimo 2018 m. gegužės 25 d. bendras visose tirtose jurisdikcijose skirtų baudų dydis pasiekė 7,1 mlrd. eurų. Didžiausią dalį šių veiksmų vykdo Airija – Airijos duomenų apsaugos komisija (DPC) viena pati skyrė daugiau nei 4 mlrd. eurų baudų. Tarp jų – ir didžiausia 2025 m. bauda, siekianti 530 mln. eurų, skirta socialinių tinklų bendrovei už tarptautinių duomenų perdavimo taisyklių pažeidimus.

2025 m. taip pat išryškėjo svarbi tendencija – asmens duomenų saugumo pažeidimų pranešimų skaičius per dieną padidėjo 22 % ir pasiekė vidutiniškai 443 pranešimus per dieną. Tai pirmas kartas nuo BDAR taikymo pradžios, kai vidutinis dienos pranešimų skaičius viršijo 400. Šį augimą, tikėtina, lėmė geopolitinė įtampa, padidėję kibernetiniai išpuoliai, naujų technologijų panaudojimas kenkėjiškai veiklai bei besikeičiantys teisiniai reikalavimai, įskaitant pranešimo prievoles pagal tokius reglamentus kaip NIS2 ir DORA.

Priežiūros institucijos taip pat svarsto galimybę didinti slenkstį, nuo kurio privaloma pranešti apie duomenų saugumo pažeidimus, siekiant daugiau dėmesio skirti tik tiems incidentams, kurie kelia didelę riziką asmenims, ir taip efektyviau valdyti augantį pranešimų srautą.

Asmens duomenų saugumas išlieka viena pagrindinių priežiūros prioritetų sričių. Kelios reikšmingos 2025 m. baudos buvo skirtos už BDAR vientisumo ir konfidencialumo principo (5 straipsnio 1 dalies f punktas) bei saugumo reikalavimų (32 straipsnis) pažeidimus.

Pavyzdžiui, Jungtinės Karalystės Informacijos komisaro biuras (ICO) skyrė 16 mln. eurų baudą bendrovei „Capita“ už nepakankamas technines ir organizacines priemones, dėl kurių įvyko didelis duomenų saugumo pažeidimas, paveikęs milijonus žmonių. Taip pat Vokietijos federalinis duomenų apsaugos komisaras skyrė 45 mln. eurų baudų telekomunikacijų bendrovei už saugumo trūkumus ir nepakankamą duomenų tvarkytojų priežiūrą.

Šie atvejai rodo augantį reguliuotojų dėmesį tiekimo grandinės saugumui, kai duomenų tvarkytojai (procesoriai) tampa vis dažniau tiesiogiai atsakingi už saugumo pažeidimus.

Liuksemburgo vyriausiasis administracinis teismas panaikino 746 mln. eurų baudą „Amazon“

Liuksemburgo vyriausiasis administracinis teismas panaikino 746 mln. eurų baudą, kurią bendrovei „Amazon“ buvo skyrusi Liuksemburgo duomenų apsaugos institucija (CNPD) už neteisėtą asmens duomenų tvarkymą, susijusį su tikslinės reklamos veikla.

Teismas patvirtino, kad „Amazon“ pažeidė BDAR nuostatas, įskaitant galiojančio teisinio pagrindo nebuvimą pagal 6 straipsnio 1 dalies f punktą (teisėtas interesas) elgsenos reklamai, taip pat skaidrumo ir duomenų subjektų teisių pažeidimus. Tačiau teismas nustatė procesinius CNPD sprendimo trūkumus – visų pirma nebuvo įvertinta kaltė ir proporcingumas prieš skiriant baudą.

Byla kilo iš 2018 m. skundo, kurį pateikė Prancūzijos organizacija „La Quadrature du Net“, ginčijusi „Amazon“ sprendimą remtis teisėtu interesu kaip teisiniu pagrindu tvarkant asmens duomenis tikslinės reklamos tikslais. CNPD atliko tyrimą ir nustatė kelis BDAR pažeidimus, įskaitant teisės susipažinti su duomenimis, juos ištaisyti, ištrinti ir nesutikti su jų tvarkymu pažeidimus.

„Amazon“ apskundė CNPD sprendimą, tačiau tiek administracinis teismas, tiek vyriausiasis administracinis teismas patvirtino, kad BDAR pažeidimai buvo padaryti, tačiau nagrinėjo pačios sankcijos teisėtumą.

Vyriausiasis administracinis teismas pabrėžė, kad CNPD tinkamai neįvertino, ar „Amazon“ veikė tyčia ar dėl neatsargumo – tai reikalavimas, nustatytas naujesnėje Europos Sąjungos Teisingumo Teismo (ESTT) praktikoje. Taip pat institucija nepakankamai įvertino alternatyvias priemones ir proporcingumo principą skiriant baudą.

Dėl šių priežasčių teismas panaikino baudą ir grąžino bylą CNPD pakartotiniam nagrinėjimui, kad būtų iš naujo įvertinta kaltė ir proporcingumas prieš priimant naują sprendimą dėl sankcijų.

Teismas taip pat patvirtino, kad „Amazon“ nuo tyrimo pradžios atnaujino savo praktiką ir dabar remiasi vartotojų sutikimu pagal BDAR 6 straipsnio 1 dalies a punktą, kuris buvo pripažintas atitinkančiu reikalavimus. Todėl ankstesni įpareigojimai dėl atitikties ir baudos mokėjimo tapo nebeaktualūs.

Teismas atmetė reikalavimus dėl procesinės žalos atlyginimo ir paskirstė bylinėjimosi išlaidas lygiomis dalimis, dar kartą pabrėždamas, kad sankcijos turi būti pagrįstos, proporcingos ir priimtos laikantis nuodugnios teisinės analizės.

The post BDAR apžvalga: naujienos ir ekspertų patarimai, balandis 2026 appeared first on ECOVIS ProventusLaw.

Teisės aktai įpareigoja lošimų organizatorius bent kartą per metus atlikti lošimų kontrolės sistemų vertinimą ir šalinti nustatytus trūkumus, todėl išorinis auditas tampa kritiniu įrankiu valdymo organams, siekiantiems suvaldyti reguliacines rizikas bei užtikrinti tinkamą įrodymų išsaugojimą. ECOVIS komanda gali įvertinti minėtų sistemų teisėtumą bei realų efektyvumą, užtikrindama, kad nustatytos procedūros nebūtų tik formalūs dokumentai, o veiktų kaip patikimas mechanizmas rizikoms valdyti.

Norint tinkamai organizuoti atsakingą lošimą, būtina turėti sistemą, kuri užtikrina nuolatinę lošėjų elgesio stebėseną, rizikos vertinimą ir savalaikį reagavimą į probleminio lošimo požymius. Tai apima ne tik bendrąsias priemones visiems klientams, bet ir individualius sprendimus konkrečioms grupėms, aiškiai aprašytas darbuotojų funkcijas bei atsakomybes, nustatant, kas stebi, vertina ir priima galutinius sprendimus. Svarbu, kad darbuotojai turėtų žinių apie lošimų psichologiją, rizikos veiksnius ir priklausomybės požymius, o jų kompetencijos būtų nuolat keliamos periodiniuose mokymuose, pritaikytuose skirtingoms rolėms.  Lietuvos Respublikos azartinių lošimų įstatymas lošimų organizatorius įpareigoja lošėjus aptarnaujantiems asmenims ne rečiau kaip kartą per metus suorganizuoti atsakingo lošimo organizavimo ir pinigų plovimo prevencijos mokymus.

Visa lošėjų rizikos vertinimo metodika, apimanti finansinius rodiklius bei psichologinius veiksnius, privalo būti ne tik aprašyta, bet ir integruota į realiai veikiančius algoritmus ar programinę įrangą. Ypatingas dėmesys turi būti skiriamas nuotolinių lošimų platformų techniniam išpildymui ir limitų valdymo logikai, kur lošėjai privalo patys nustatyti paros, savaitės ar mėnesio papildymo bei statymų limitus. Svarbu užtikrinti, kad padidinti limitai įsigaliotų ne anksčiau kaip po 48 valandų, o mažinama būtų nedelsiant, tačiau ne vėliau kaip per 15 minučių. Vartotojo sąsajoje privaloma nuolat rodyti sesijos trukmės laikrodį, likusį laiką bei 12 mėnesių laimėjimų ir pralaimėjimų balansą, o pasiekus nustatytą laiko limitą – užtikrinti automatinį atjungimą.

Identifikavę probleminio lošimo požymius, lošimų organizatoriai turi reaguoti nedelsdami: nuotolinių lošimų atveju lošimas privalo būti sustabdytas 48 valandoms per 30 minučių nuo įregistravimo platformoje.

ECOVIS padeda lošimų organizatoriams pasirengti atsakingo lošimo kontrolės priemones, pinigų plovimo ir teroristų finansavimo kontrolės priemones, veda atsakingo lošimo organizavimo ir pinigų plovimo prevencijos  mokymus, o taip pat atlieka atsakingo lošimo kontrolės priemonių bei pinigų plovimo ir teroristų finansavimo, sankcijų sričių auditus.  Auditas leidžia lošimų organizatoriams įsitikinti, kad visi šie sudėtingi procesai veikia tiksliai, skaidriai ir atitinka aukščiausius atsakingo verslo standartus.

The post Veiksminga atsakingo lošimo kontrolė: kaip užtikrinti sistemos atitiktį ir efektyvumą? appeared first on ECOVIS ProventusLaw.

The post Lietuvos banko sprendimą panaikinti „Majestic Financial UAB“ veiklos licenciją teismas pripažino neteisėtu: pritaikyta poveikio priemonė – per griežta ir neproporcinga appeared first on ECOVIS ProventusLaw.