Bendrasis duomenų apsaugos reglamentas (BDAR) taikomas ir mažai įmonei, net jei joje dirba vos du žmonės: pakanka to, kad tvarkote klientų, darbuotojų ar svetainės lankytojų asmens duomenis. Minimalų rinkinį paprastai sudaro privatumo pranešimai klientams ir darbuotojams, duomenų tvarkymo veiklos įrašai (dažnai privalomi ir mažoms įmonėms), sutartys su duomenų tvarkytojais ir aiški duomenų saugumo pažeidimų valdymo tvarka su pažeidimų registru.
Kodėl BDAR taikomas ir mažai įmonei
BDAR pareigos nesiejamos su įmonės dydžiu. Jos taikomos kiekvienam duomenų valdytojui, t. y. tam, kuris nustato, kokiais tikslais ir kaip tvarkomi asmens duomenys. Klientų sąrašas, užsakymų istorija, darbuotojų darbo užmokesčio duomenys, naujienlaiškio prenumeratoriai ar svetainės kontaktų forma – visa tai yra asmens duomenų tvarkymas.
BDAR preambulėje (13 konstatuojamojoje dalyje) nurodyta, kad atsižvelgiant į mažų ir vidutinių įmonių padėtį organizacijoms, kuriose dirba mažiau nei 250 darbuotojų, numatyta išimtis dėl veiklos įrašų (BDAR 30 str. 5 d.). Kaip matysite toliau, ši išimtis yra siauresnė, nei dažnai manoma. Priežiūrą Lietuvoje atlieka Valstybinė duomenų apsaugos inspekcija (VDAI).
1. Privatumo politika ir informavimas
Rinkdami duomenis iš asmens, privalote jį informuoti, kas esate, kokiais tikslais ir kokiu teisiniu pagrindu tvarkote duomenis, kiek laiko juos saugosite, kam juos teikiate ir kokias teises asmuo turi, įskaitant teisę pateikti skundą priežiūros institucijai (BDAR 13 str.). Praktikoje mažai įmonei paprastai reikia:
- privatumo politikos svetainėje klientams ir lankytojams;
- informacinio pranešimo darbuotojams (ir kandidatams į darbą) apie jų duomenų tvarkymą;
- slapukų informacijos, jei svetainėje naudojate analitikos ar rinkodaros slapukus.
Privatumo politika turi atitikti tai, ką iš tikrųjų darote. Iš kitos svetainės nukopijuotas tekstas, kuriame minimos Jūsų nenaudojamos sistemos ar netaikomi saugojimo terminai, nepadeda, o kartais net pakenkia.
Asmenys gali pasinaudoti savo teisėmis, pavyzdžiui, prašyti susipažinti su savo duomenimis ar juos ištrinti. Į tokį prašymą reikia atsakyti nepagrįstai nedelsiant ir ne vėliau kaip per vieną mėnesį nuo jo gavimo. Šį terminą prireikus galima pratęsti dar dviem mėnesiams, apie tai informavus asmenį per pirmąjį mėnesį (BDAR 12 str. 3 d.).
2. Duomenų tvarkymo veiklos įrašai: kada išimtis netaikoma
Veiklos įrašai – tai dokumentas, kuriame aprašyta, kokius duomenis, kokiais tikslais, apie kokius asmenis tvarkote, kam juos teikiate ir kiek laiko saugote (BDAR 30 str.). Įmonėms, kuriose dirba mažiau nei 250 darbuotojų, ši pareiga netaikoma, išskyrus atvejus, kai:
- duomenų tvarkymas gali kelti pavojų asmenų teisėms ir laisvėms;
- duomenų tvarkymas nėra nereguliarus, t. y. vyksta nuolat ar pasikartoja;
- tvarkomi specialių kategorijų duomenys (pavyzdžiui, sveikatos) arba duomenys apie teistumą (BDAR 30 str. 5 d.).
VDAI rekomendacijoje dėl duomenų tvarkymo veiklos įrašų (2024 m.) paaiškinta, kad įmonė, turinti mažiau nei 250 darbuotojų, vis tiek privalo turėti veiklos įrašus bent tų tvarkymo veiklų, kurioms taikomos minėtos aplinkybės. Kaip reguliaraus tvarkymo pavyzdžius VDAI nurodo darbuotojų duomenų tvarkymą skaičiuojant atostogas ir darbo užmokestį, slapukų naudojimą, vaizdo stebėjimą. Taigi beveik kiekviena įmonė, turinti darbuotojų ar nuolat aptarnaujanti klientus, bent dalį veiklos įrašų turėti turi.
3. Sutartys su duomenų tvarkytojais
Jei Jūsų vardu duomenis tvarko kita įmonė, ji yra duomenų tvarkytoja. Tipiniai pavyzdžiai: išorinė buhalterija, IT paslaugų teikėjas, CRM ar el. pašto rinkodaros platforma, debesijos paslaugos. Tokie santykiai turi būti įforminti sutartimi ar kitu teisės aktu, kuriame nustatomas duomenų tvarkymo dalykas ir trukmė, pobūdis ir tikslas, duomenų rūšys ir asmenų kategorijos (BDAR 28 str. 3 d.).
Sutartyje, be kita ko, turi būti numatyta, kad tvarkytojas tvarko duomenis tik pagal dokumentais įformintus Jūsų nurodymus, o baigęs teikti paslaugas, pagal Jūsų pasirinkimą duomenis ištrina arba grąžina. Kitą tvarkytoją (subtvarkytoją) jis gali pasitelkti tik turėdamas išankstinį konkretų arba bendrą rašytinį Jūsų leidimą (BDAR 28 str. 2 d.).
Didieji tiekėjai paprastai turi savo standartines duomenų tvarkymo sąlygas. Jas verta rasti, išsaugoti ir peržiūrėti, ar jos atitinka BDAR 28 straipsnį. Su mažesniais partneriais, pavyzdžiui, buhaltere ar IT specialistu, sutartį dažniausiai tenka parengti patiems.
4. Duomenų saugumo pažeidimai: 72 valandos ir registras
Pažeidimas – tai ne tik įsilaužimas. Juo gali būti ir pamestas nešiojamasis kompiuteris, klaidingu adresu išsiųstas laiškas su klientų duomenimis ar netyčia viešai paskelbtas failas.
| Situacija | Ką daryti | Terminas | Pagrindas |
|---|---|---|---|
| Bet koks pažeidimas | Dokumentuoti: faktai, poveikis, taisomieji veiksmai | Visada, net jei nepranešama | BDAR 33 str. 5 d. |
| Pažeidimas gali kelti pavojų asmenų teisėms ir laisvėms | Pranešti priežiūros institucijai (VDAI) | Nepagrįstai nedelsiant, jei įmanoma, ne vėliau kaip per 72 val. nuo sužinojimo | BDAR 33 str. 1 d. |
| Pažeidimas gali kelti didelį pavojų asmenų teisėms ir laisvėms | Pranešti ir patiems asmenims | Nepagrįstai nedelsiant | BDAR 34 str. 1 d. |
| Pažeidimą pastebėjo Jūsų duomenų tvarkytojas | Tvarkytojas praneša Jums | Nepagrįstai nedelsiant | BDAR 33 str. 2 d. |
Jei per 72 valandas pranešti nepavyksta, prie pranešimo reikia pridėti vėlavimo priežastis (BDAR 33 str. 1 d.). Kad nereikėtų improvizuoti, iš anksto nuspręskite, kas įmonėje atsakingas už pažeidimų vertinimą, ir susikurkite paprastą pažeidimų registrą.
5. Saugumo priemonės
BDAR 32 straipsnis reikalauja įgyvendinti technines ir organizacines priemones, kurios atitiktų duomenų tvarkymo keliamą pavojų. Mažai įmonei tai paprastai reiškia prieigų ribojimą pagal pareigas, stiprius slaptažodžius ir dviejų veiksnių autentifikavimą, atsargines kopijas, šifruotus įrenginius ir trumpą darbuotojų instruktažą.
Duomenų apsaugos pareigūno daugumai mažų įmonių skirti nereikia: ši pareiga kyla tik BDAR 37 straipsnyje nurodytais atvejais, pavyzdžiui, kai pagrindinė veikla apima reguliarų ir sistemingą asmenų stebėjimą dideliu mastu arba specialių kategorijų duomenų tvarkymą dideliu mastu.
Kontrolinis sąrašas: BDAR per vieną popietę
- Surašykite, kokius asmens duomenis tvarkote: klientų, darbuotojų, kandidatų, svetainės lankytojų.
- Kiekvienai grupei nurodykite tikslą, teisinį pagrindą ir saugojimo terminą.
- Atnaujinkite privatumo politiką svetainėje ir parenkite pranešimą darbuotojams.
- Įvertinkite, kurioms veikloms reikia veiklos įrašų, ir juos parenkite.
- Sudarykite tiekėjų, kurie tvarko duomenis Jūsų vardu, sąrašą ir patikrinkite, ar su visais yra duomenų tvarkymo sutartys.
- Patvirtinkite pažeidimų valdymo tvarką ir pradėkite vesti pažeidimų registrą.
- Nustatykite, kas ir kaip atsakys į asmenų prašymus per vieną mėnesį.
- Peržiūrėkite prieigas ir saugumo priemones.
Dažnos klaidos
- Manoma, kad BDAR taikomas tik didelėms įmonėms.
- Veiklos įrašų neturima, remiantis 250 darbuotojų išimtimi, nors duomenys tvarkomi nuolat.
- Privatumo politika nukopijuota ir neatitinka realios veiklos.
- Nėra sutarties su buhalterija ar IT tiekėju, nors jie turi prieigą prie duomenų.
- Pažeidimai „tyliai“ sutvarkomi ir niekur nefiksuojami.
Kada verta kreiptis į teisininkę
Pagalbos verta kreiptis, kai tvarkote sveikatos ar kitus jautrius duomenis, naudojate vaizdo stebėjimą, kai tiekėjas siūlo savo duomenų tvarkymo sąlygas, kurias sunku įvertinti, arba kai įvyko pažeidimas ir reikia greitai nuspręsti, ar apie jį pranešti. Galiu įvertinti, kas privaloma būtent Jūsų įmonei, ir parengti tik tuos dokumentus, kurių iš tikrųjų reikia. Taip pat galime susitarti dėl nuolatinės dokumentų priežiūros, kai keičiasi Jūsų veikla. Daugiau informacijos rasite skiltyje Paslaugos.
Dažniausi klausimai
Ar įmonei, kurioje dirba 5 žmonės, reikia duomenų tvarkymo veiklos įrašų?
Dažniausiai taip, bent dalies veiklų. Išimtis įmonėms iki 250 darbuotojų netaikoma, jei duomenys tvarkomi reguliariai, gali kilti pavojus asmenų teisėms arba tvarkomi specialių kategorijų ar teistumo duomenys (BDAR 30 str. 5 d.). VDAI reguliaraus tvarkymo pavyzdžiu nurodo ir darbuotojų atostogų ar darbo užmokesčio skaičiavimą.
Ar reikia sutarties su išorine buhaltere?
Jei buhalterė tvarko Jūsų darbuotojų ar klientų duomenis Jūsų vardu, ji paprastai yra duomenų tvarkytoja, ir tokie santykiai turi būti įforminti sutartimi pagal BDAR 28 straipsnį. Konkretų vaidmenį verta įvertinti pagal tai, kaip bendradarbiavimas vyksta iš tikrųjų.
Per kiek laiko reikia pranešti apie duomenų saugumo pažeidimą?
Priežiūros institucijai pranešama nepagrįstai nedelsiant ir, jei įmanoma, ne vėliau kaip per 72 valandas nuo sužinojimo, nebent pažeidimas neturėtų kelti pavojaus asmenų teisėms ir laisvėms (BDAR 33 str. 1 d.). Kiekvienas pažeidimas dokumentuojamas net tada, kai apie jį nepranešama.
BDAR dokumentai pagal Jūsų veiklą
Įvertinsiu, kas privaloma būtent Jūsų įmonei, ir parengsiu privatumo politiką, veiklos įrašus, duomenų tvarkymo sutartis ir pažeidimų valdymo tvarką.
Straipsnis yra informacinio pobūdžio ir nėra individuali teisinė konsultacija. Teisės aktai keičiasi — informacija aktuali 2026 m. spalio mėn.