Lietuvos duomenų privatumo įstatymai: BDAR, VDAI vykdymo užtikrinimas ir atitikties vadovas (2026 m.)

Lietuva užtikrina duomenų privatumo apsaugą taikydama ES Bendrąjį duomenų apsaugos reglamentą (BDAR) ir nacionalinį Asmens duomenų teisinės apsaugos įstatymą, pakeistą 2018 m. liepos 16 d. Valstybinė duomenų apsaugos inspekcija (VDAI) turi visus vykdymo užtikrinimo įgaliojimus, įskaitant teisę skirti iki 20 mln. eurų baudas, ir 2024 m. liepą skyrė rekordinę 2 385 276 eurų baudą bendrovei „Vinted“.

Lietuva yra Baltijos šalių technologijų ekonomikos ir ES duomenų apsaugos teisės sankirtoje. Vilnius yra didžiausias ES finansinių technologijų (fintech) centras, kuriame veikia daugiau nei 280 įmonių, aptarnaujančių 30 milijonų klientų visoje Europoje, todėl toks daug duomenų tvarkančių įmonių sutelktumas reiškia, kad Valstybinė duomenų apsaugos inspekcija (VDAI) veikia aukštos rizikos vykdymo užtikrinimo aplinkoje.

VDAI įrodė, kad yra pasirengusi veikti ryžtingai. 2024 m. skirta 2,4 mln. eurų bauda „Vinted“ buvo didžiausia institucijos istorijoje ir viena atidžiausiai stebimų BDAR vykdymo užtikrinimo priemonių Baltijos regione. Ji taip pat lėmė 15% skundų skaičiaus augimą per metus, o tai rodo, kad Lietuvos duomenų subjektai atidžiai stebi šią sritį.

Šiame vadove apžvelgiama visa Lietuvos duomenų apsaugos sistema: nuo konstitucinių ištakų iki nacionalinio įgyvendinimo įstatymo, priežiūros institucijos struktūros, duomenų subjektų teisių, tarpvalstybinio duomenų perdavimo taisyklių, ES dirbtinio intelekto akto sąsajų ir vykdymo užtikrinimo praktikos, suteikiančios visam tam praktinę reikšmę.

Trumpas atsakymas

Lietuvos duomenų apsaugos teisę sudaro ES Bendrasis duomenų apsaugos reglamentas (BDAR), tiesiogiai taikomas nuo 2018 m. gegužės 25 d., papildytas nacionaliniu Asmens duomenų teisinės apsaugos įstatymu (su 2018 m. liepos 16 d. pakeitimais). Įstatymo konstitucinis pagrindas yra Lietuvos Respublikos Konstitucijos 22 straipsnis. Priežiūros institucija yra VDAI. Didžiausia bauda Lietuvos vykdymo užtikrinimo istorijoje siekia 2 385 276 eurų („Vinted“, 2024 m.). Duomenų valdytojai privalo pranešti VDAI apie pažeidimus per 72 valandas. Skaitmeninio sutikimo amžius yra 14 metų. Lietuva taip pat buvo viena pirmųjų valstybių, įgyvendinusių ES dirbtinio intelekto akto valdymo reikalavimus, paskirdama Ryšių reguliavimo tarnybą (RRT) dirbtinio intelekto rinkos priežiūros institucija anksčiau nei 2025 m. rugpjūčio mėn. ES nustatytas terminas.

Konstitucinis pagrindas

1992 m. spalio 25 d. priimta Lietuvos Respublikos Konstitucija numato pagrindinį teisinį privatumo apsaugos pagrindą. 22 straipsnyje nustatyta, kad žmogaus privatus gyvenimas yra neliečiamas ir kad įstatymas bei teismas saugo žmogų nuo savavališko ar neteisėto kišimosi į jo asmeninį ir šeimyninį gyvenimą, nuo kėsinimosi į jo garbę ir orumą. Straipsnyje taip pat nurodyta, kad susirašinėjimas, telefoniniai pokalbiai, telegrafo pranešimai ir kitoks susižinojimas yra neliečiami.

22 straipsnis taip pat nustato, kada privatumas gali būti ribojamas: informacija apie žmogaus privatų gyvenimą gali būti renkama tik motyvuotu teismo sprendimu ir tik įstatymo nustatyta tvarka. Ši formuluotė atspindi Lietuvos posovietinę teisės tradiciją, kurioje konstituciniai valstybės vykdomo sekimo ribojimai buvo sąmoningas atsisakymas sovietmečio praktikų.

Konstitucinė apsauga apima ne tik valstybės institucijas. Lietuvos teismai 22 straipsnį aiškina kaip nustatantį pareigas, kurių privatūs subjektai taip pat privalo laikytis tvarkydami piliečių asmens duomenis, taip sukuriant teisėmis grįstą pagrindą, sustiprinantį įstatyminę BDAR sistemą.

Teisinė sistema: BDAR ir nacionalinis įgyvendinimo įstatymas

Lietuvos duomenų apsaugos sistema veikia dviem lygmenimis. BDAR, kaip ES teisės aktas, tiesiogiai taikomas visose valstybėse narėse. Žemesniu lygmeniu Asmens duomenų teisinės apsaugos įstatymas reglamentuoja sritis, kuriose BDAR leidžia arba reikalauja nacionalinių nuostatų.

Nacionalinis įstatymas buvo pakeistas 2018 m. liepos 16 d., siekiant suderinti jį su BDAR reikalavimais. Jis apima kelias sritis, kuriose Lietuva pasinaudojo BDAR valstybėms narėms suteikta veiksmų laisve:

Priežiūros institucijos struktūra. Įstatymas nustato VDAI organizacinę struktūrą, skyrimo tvarką, nepriklausomumo garantijas ir finansavimo mechanizmus.

Asmens kodas. Lietuvos asmens kodui nacionaliniame įstatyme taikomi specialūs apribojimai. Duomenų valdytojai gali jį tvarkyti tik tuomet, kai tai būtina nurodytam tikslui pasiekti ir yra teisėtas duomenų tvarkymo pagrindas. VDAI nuosekliai pabrėžia, kad įprastinio asmens kodo rinkimo reikėtų vengti, kai pakanka alternatyvių identifikavimo būdų.

Darbuotojų duomenys. Nacionalinis įstatymas papildo BDAR darbuotojų duomenų taisykles specifiniais Lietuvos darbo vietoms taikomais reikalavimais, įskaitant pareigą raštu informuoti darbuotojus apie jų stebėseną.

Žurnalistinės ir kūrybinės veiklos išimtys. Lietuva sukūrė unikalią dvigubą priežiūros struktūrą, siekdama suderinti duomenų apsaugą su saviraiškos laisve žurnalistinei, akademinei, meninei ir literatūrinei veiklai.

Teistumo duomenys. Nuo 2024 m. liepos 1 d. darbdaviai gali tvarkyti kandidatų ir darbuotojų teistumo duomenis ne tik tada, kai to reikalauja įstatymas, bet ir tada, kai tai būtina darbdavio teisėtiems interesams, jei šie interesai nenusveria asmens teisių. Darbdaviai privalo dokumentuoti teisėto intereso vertinimą ir paskelbti pareigybių, kurioms būtinas neteistumas, sąrašą.

Skaitmeninio sutikimo amžius. Lietuva nustatė 14 metų amžių, pasinaudodama BDAR suteikta galimybe sumažinti numatytąjį 16 metų amžių.

Teisėsaugos direktyva. Nacionalinis įstatymas taip pat perkelia Direktyvą 2016/680, reglamentuojančią kompetentingų institucijų vykdomą duomenų tvarkymą teisėsaugos tikslais, ir nustato lygiagrečią baudžiamosios justicijos duomenų tvarkymo sistemą.

VDAI: Lietuvos priežiūros institucija

Valstybinė duomenų apsaugos inspekcija (VDAI) yra Lietuvos nepriklausoma duomenų apsaugos priežiūros institucija, įsikūrusi Vilniuje. Jos direktorių skiria Seimas, ir šis struktūrinis sprendimas skirtas apsaugoti instituciją nuo vykdomosios valdžios įtakos.

VDAI prižiūri, kaip BDAR ir nacionalinio duomenų apsaugos įstatymo laikomasi tiek viešajame, tiek privačiame sektoriuje. Ji atstovauja Lietuvai Europos duomenų apsaugos valdyboje (EDAV), dalyvaudama ES bendradarbiavimo mechanizme, skirtame tarpvalstybinėms byloms.

Įgaliojimai ir funkcijos

VDAI turi visą BDAR numatytų priežiūros ir vykdymo užtikrinimo įgaliojimų spektrą. Tyrimo srityje ji gali priimti ir tirti skundus, savo iniciatyva atlikti patikrinimus, reikalauti informacijos iš duomenų valdytojų ir tvarkytojų bei gauti prieigą prie patalpų ir duomenų. Taisomųjų priemonių srityje ji gali teikti įspėjimus ir papeikimus, įpareigoti duomenų tvarkymo veiksmus suderinti su reikalavimais, nustatyti laikinus ar nuolatinius duomenų tvarkymo draudimus bei skirti administracines baudas.

VDAI skelbia savo sprendimus dėl vykdymo užtikrinimo, įskaitant baudų ir nurodymų motyvus, taip užtikrindama visuomenei skaidrumą dėl savo prioritetų. Institucija taip pat atlieka konsultacinę funkciją, rengia gaires ir teikia praktinius paaiškinimus, padedančius organizacijoms suprasti savo pareigas dar prieš tampant būtina taikyti vykdymo užtikrinimo priemones.

Dviguba priežiūros struktūra

Lietuvoje veikia unikalus modelis, pagal kurį tam tikras priežiūros funkcijas su VDAI dalijasi Žurnalistų etikos inspektorius. Kai asmens duomenys tvarkomi žurnalistiniais tikslais arba akademinei, meninei ar literatūrinei saviraiškai, Žurnalistų etikos inspektorius turi VDAI panašias teises ir pareigas bei bendradarbiauja su Inspekcija, siekdamas užtikrinti BDAR laikymąsi.

Ši dvigubos priežiūros struktūra atspindi sąmoningą politinį sprendimą pavesti su žiniasklaida susijusio duomenų tvarkymo priežiūrą institucijai, turinčiai specifinę spaudos laisvės srities patirtį, o ne reikalauti, kad VDAI savarankiškai kauptų tokią kompetenciją.

Teisėti duomenų tvarkymo pagrindai

Asmens duomenų tvarkymas Lietuvoje yra teisėtas tik tuo atveju, jei jis grindžiamas vienu iš šešių BDAR numatytų teisėtų pagrindų:

Sutikimas. Sutikimas turi būti laisva valia duotas, konkretus, informuotas ir nedviprasmiškas. Iš anksto pažymėti langeliai nelaikomi galiojančiu sutikimu. Sutikimas negali būti paslaugos gavimo sąlyga, jei duomenų tvarkymas nėra būtinas tai paslaugai teikti. Duomenų subjektai bet kada turi galėti atšaukti sutikimą, o jo atšaukimas turi būti toks pat paprastas kaip ir jo davimas.

Sutarties vykdymas. Duomenų tvarkymas yra teisėtas, kai jis būtinas sutarčiai su duomenų subjektu vykdyti arba veiksmams, kurių imamasi duomenų subjekto prašymu prieš sudarant sutartį.

Teisinė prievolė. Duomenų valdytojai, kuriems teisės aktai nustato pareigą tvarkyti tam tikrus duomenis, gali tvarkyti duomenis šiuo pagrindu.

Gyvybiniai interesai. Duomenų tvarkymas, būtinas duomenų subjekto ar kito asmens gyvybei apsaugoti, yra teisėtas, tačiau šis pagrindas taikomas tik tuomet, kai nėra galimybės remtis kitu pagrindu.

Viešoji užduotis. Šiuo pagrindu remiasi viešosios valdžios institucijos ir įstaigos, tvarkančios duomenis vykdydamos oficialius įgaliojimus; jam būtinas aiškus įstatyminis pagrindas.

Teisėtas interesas. Duomenų valdytojai gali tvarkyti duomenis, kai tai būtina jų pačių ar trečiosios šalies teisėtiems interesams, nebent šiuos interesus nusveria duomenų subjekto pagrindinės teisės ir laisvės. Tai lanksčiausias pagrindas, tačiau jam reikalingas dokumentuotas interesų pusiausvyros vertinimas. Duomenų valdytojai privalo informuoti duomenų subjektus apie konkretų siekiamą teisėtą interesą, o duomenų subjektai turi teisę nesutikti.

Specialių kategorijų duomenims (rasinei ar etninei kilmei, politinėms pažiūroms, religiniams įsitikinimams, naryste profesinėse sąjungose, genetiniams duomenims, biometriniams duomenims, sveikatos duomenims bei duomenims apie lytinį gyvenimą ar seksualinę orientaciją) tvarkyti reikalingas aiškiai išreikštas sutikimas arba vienas iš siauresnių BDAR 9 straipsnio 2 dalyje numatytų pagrindų.

Duomenų subjektų teisės

Lietuvos gyventojai turi visą BDAR numatytų teisių spektrą, kuriomis galima remtis tiek prieš viešąsias institucijas, tiek prieš privačias organizacijas:

Teisė susipažinti su duomenimis. Duomenų subjektai gali prašyti savo asmens duomenų kopijos ir informacijos apie jų tvarkymą. Duomenų valdytojai privalo atsakyti nemokamai, tačiau gali imti pagrįstą mokestį arba atsisakyti tenkinti akivaizdžiai nepagrįstus prašymus.

Teisė reikalauti ištaisyti duomenis. Netikslūs asmens duomenys turi būti ištaisomi nepagrįstai nedelsiant.

Teisė reikalauti ištrinti duomenis. Duomenų subjektai gali prašyti ištrinti duomenis, kai atšaukiamas sutikimas, kai duomenys nebėra būtini tikslui, dėl kurio buvo surinkti, kai jie nesutinka su duomenų tvarkymu ir nėra viršesnių teisėtų pagrindų, arba kai duomenys tvarkomi kitaip neteisėtai.

Teisė apriboti duomenų tvarkymą. Duomenų subjektai gali prašyti apriboti duomenų tvarkymą laikotarpiu, kol duomenų valdytojas tikrina duomenų tikslumą, kai duomenų tvarkymas yra neteisėtas, arba kai subjektas pareiškė nesutikimą ir laukiama, kol bus patikrinti duomenų valdytojo pagrindai.

Teisė į duomenų perkeliamumą. Kai duomenys tvarkomi sutikimo ar sutarties pagrindu automatizuotomis priemonėmis, duomenų subjektai gali gauti savo duomenis kompiuterio skaitomu formatu ir perduoti juos kitam duomenų valdytojui.

Teisė nesutikti. Duomenų subjektai bet kada gali nesutikti su duomenų tvarkymu, grindžiamu teisėtu interesu ar viešąja užduotimi, įskaitant profiliavimą. Jie taip pat gali bet kada be jokių apribojimų nesutikti su tiesioginės rinkodaros tikslais atliekamu duomenų tvarkymu.

Teisės, susijusios su automatizuotu sprendimų priėmimu. Asmenys gali reikalauti, kad jiems nebūtų taikomi sprendimai, priimami išimtinai automatizuotai ir sukeliantys teisines ar panašias reikšmingas pasekmes.

Teisė pateikti skundą. Duomenų subjektai gali pateikti skundus VDAI arba kreiptis į teismą. Lietuvos teisė taip pat leidžia duomenų subjektams įgalioti ne pelno organizacijas įgyvendinti šias teises jų vardu.

Duomenų valdytojai privalo atsakyti į duomenų subjektų prašymus per vieną mėnesį; šis terminas gali būti pratęstas iki trijų mėnesių sudėtingų ar gausių prašymų atveju, apie tai informavus duomenų subjektą.

Duomenų apsaugos pareigūnai

Pagal BDAR 37 straipsnį duomenų apsaugos pareigūną (DAP) privaloma skirti trimis atvejais: kai duomenų valdytojas yra viešosios valdžios institucija ar įstaiga; kai pagrindinė veikla apima reguliarų ir sistemingą didelio masto duomenų subjektų stebėjimą; arba kai pagrindinė veikla apima didelio masto specialių kategorijų duomenų tvarkymą.

Lietuva taiko BDAR 37 straipsnį be papildomų nacionalinių išplėtimų. Organizacijos gali savanoriškai skirti DAP, ir tokiu atveju joms taikoma visa BDAR DAP reguliavimo sistema, tarsi paskyrimas būtų privalomas.

DAP turi turėti ekspertinių duomenų apsaugos teisės ir praktikos žinių, jam turi būti suteikti užduotims atlikti reikalingi ištekliai, jis turi būti pasiekiamas duomenų subjektams ir atsiskaityti aukščiausio lygio vadovybei. DAP negali būti atleistas ar baudžiamas už savo, kaip pareigūno, funkcijų vykdymą.

Duomenų valdytojai ir tvarkytojai privalo pranešti VDAI DAP kontaktinius duomenis ir juos paskelbti, kad duomenų subjektai galėtų su DAP susisiekti tiesiogiai. VDAI yra skyrusi įspėjimus bylose, susijusiose su netinkamu DAP paskyrimu, ypač sveikatos priežiūros ir viešojo administravimo sektoriuose.

Sutikimas ir skaitmeninio sutikimo amžius

Lietuva nustatė 14 metų skaitmeninio sutikimo amžių, kuris yra žemesnis nei numatytasis BDAR 16 metų amžius. 14 metų ir vyresni vaikai gali savarankiškai duoti sutikimą informacinės visuomenės paslaugoms, tokioms kaip socialinių tinklų platformos, internetiniai žaidimai ir programėlės. Jaunesniems nei 14 metų vaikams reikalingas patikrinamas tėvų ar globėjų leidimas.

Sutikimui Lietuvoje taikomi griežti standartai, nepriklausomai nuo amžiaus. Duomenų valdytojai negali remtis sutikimu, kai egzistuoja aiškus jėgų disbalansas, pavyzdžiui, daugelyje darbo santykių, nes tokiu atveju sutikimas gali būti duotas ne visiškai laisva valia. VDAI gairėse yra nurodžiusi, kad darbo santykiuose sutikimu neturėtų būti remiamasi tvarkant duomenis, kurių tvarkymas nėra aiškiai naudingas darbuotojui arba iš tikrųjų neprivalomas.

Pranešimas apie pažeidimus

Taikomi standartiniai BDAR pranešimo apie pažeidimus reikalavimai. Duomenų valdytojai privalo pranešti VDAI per 72 valandas nuo tada, kai sužino apie asmens duomenų saugumo pažeidimą, keliantį riziką asmenų teisėms ir laisvėms. Jei pranešti per 72 valandas neįmanoma, pirminiame pranešime turi būti nurodytos vėlavimo priežastys.

Kai pažeidimas gali kelti didelę riziką duomenų subjektams, apie tai jiems turi būti pranešta tiesiogiai, nepagrįstai nedelsiant, aiškia ir paprasta kalba.

2025 m. VDAI paskelbė praktinius paaiškinimus, kas nelaikoma asmens duomenų saugumo pažeidimu, pateikdama tokius pavyzdžius kaip neatplėštas ne tam adresatui pristatytas laiškas ar mirusių asmenų duomenų įrašai. Šios gairės padeda organizacijoms išvengti nereikalingų pranešimų, tuo pačiu užtikrinant, kad tikri pažeidimai būtų tinkamai užfiksuoti.

2024 m. pažeidimų statistika

2024 m. VDAI gavo 273 pranešimus apie asmens duomenų saugumo pažeidimus, palyginti su 254 pranešimais 2023 m. Paveiktų duomenų subjektų skaičius beveik patrigubėjo: nuo 571 833 2023 m. iki 1 467 368 2024 m.

Konfidencialumo pažeidimai sudarė 87% visų atvejų. Vientisumo pažeidimai ir prieinamumo pažeidimai kiekvienas sudarė po 6%. Žmogiškoji klaida sukėlė 52% pažeidimų. Kibernetiniai incidentai buvo atsakingi už 49% paveiktų duomenų subjektų (712 881 asmuo), o kiti veiksniai paveikė 51% (754 487 asmenys).

Pranešimų pateikimo laiku problema išlieka aktuali: 2024 m. 79% duomenų valdytojų pranešė apie pažeidimus per 72 valandų terminą, o 21% pranešė pavėluotai.

Tarpvalstybinis duomenų perdavimas

Lietuva, kaip ES valstybė narė, priklauso Europos ekonominei erdvei (EEE). Duomenų perdavimui tarp Lietuvos ir kitų EEE šalių papildomų apsaugos priemonių nereikia. Visą duomenų perdavimą už EEE ribų reglamentuoja BDAR.

Duomenų perdavimas trečiosioms šalims yra teisėtas remiantis vienu iš trijų pagrindų:

Sprendimai dėl tinkamumo. Europos Komisija yra nustačiusi, kad tam tikros šalys, įskaitant Jungtinę Karalystę, Japoniją, Pietų Korėją, Šveicariją, Izraelį ir Kanadą (komercinėms organizacijoms), užtikrina tinkamą apsaugos lygį. Duomenys šioms šalims gali būti perduodami be papildomų apsaugos priemonių.

Tinkamos apsaugos priemonės. Kai sprendimo dėl tinkamumo nėra, duomenų valdytojai gali naudoti Europos Komisijos priimtas standartines sutarčių sąlygas, priežiūros institucijos patvirtintas įmonėms privalomas taisykles, patvirtintus elgesio kodeksus arba sertifikavimo mechanizmus.

Išimtys. Ribotais atvejais duomenys gali būti perduodami remiantis aiškiai išreikštu sutikimu, sutarties būtinybe, gyvybiniais interesais ar viešuoju interesu. Šios išimtys yra siauros ir negali būti naudojamos kaip įprastas nuolatinio duomenų perdavimo pagrindas.

Po Europos Sąjungos Teisingumo Teismo sprendimo byloje Schrems II, duomenų valdytojai taip pat privalo atlikti perdavimo poveikio vertinimus (PPV), siekdami įsitikinti, kad trečiosios šalies teisinė apsauga praktiškai nesumenkina standartinių sutarčių sąlygų ar kitų apsaugos priemonių veiksmingumo. VDAI peržiūri tam tikrus duomenų perdavimo susitarimus ir gali patvirtinti konkrečias išimtis per 20 darbo dienų nuo visos dokumentacijos gavimo.

ES dirbtinio intelekto akto sąsajos

ES dirbtinio intelekto aktas įsigaliojo 2024 m. rugpjūčio 1 d. ir palaipsniui pradedamas taikyti visose valstybėse narėse. Jis sukuria horizontalią dirbtinio intelekto sistemų reguliavimo sistemą, veikiančią kartu su BDAR, o ne vietoj jo. Šios dvi sistemos sąveikauja keliais aspektais.

Kai didelės rizikos dirbtinio intelekto sistema tvarko asmens duomenis, jos atitikties deklaracijoje pagal Dirbtinio intelekto akto 47 straipsnį turi būti nurodytas BDAR laikymosi patvirtinimas. Lietuvoje dirbtinio intelekto sistemos, naudojamos reikšmingiems sprendimams dėl asmenų priimti, pavyzdžiui, kredito rizikos vertinimui, kandidatų atrankai ar biometriniam identifikavimui, privalo vienu metu atitikti tiek Dirbtinio intelekto akto atitikties reikalavimus, tiek BDAR teisėtumo reikalavimus.

Lietuva buvo viena pirmųjų ES valstybių narių, užbaigusių Dirbtinio intelekto akto valdymo institucijų paskyrimą. Ryšių reguliavimo tarnyba (RRT) buvo paskirta ir nacionaline kompetentinga institucija, ir vieninteliu kontaktiniu punktu Dirbtinio intelekto akto tikslais, šį žingsnį atlikus anksčiau nei 2025 m. rugpjūčio mėn. ES nustatytas terminas. Lietuvos inovacijų agentūra taip pat kuria dirbtinio intelekto reguliacinę smėlio dėžę, kurioje įmonės gali gauti ekspertų konsultacijas dėl atitikties reikalavimų dar prieš pradedant produktą pardavinėti rinkoje.

VDAI išlaiko savo BDAR vykdymo užtikrinimo įgaliojimus. Dirbtinio intelekto sistemoms, tvarkančioms asmens duomenis, duomenų valdytojus prižiūri tiek RRT (produkto atitiktis Dirbtinio intelekto aktui), tiek VDAI (duomenų apsaugos atitiktis). Organizacijos, kuriančios ar diegiančios dirbtinį intelektą Lietuvoje, nuo pat pradžių turėtų įvertinti savo atitikties pareigas pagal abi šias sistemas.

Duomenų aktas (įsigaliosiantis 2025 m. rugsėjo 12 d.) ir Duomenų valdymo aktas prideda papildomus reguliavimo lygmenis tam tikrai duomenų dalijimosi ir duomenų tarpininkavimo veiklai. Lietuvos organizacijos, veikiančios šių teisės aktų taikymo srityje, turėtų įvertinti, kurie iš jų taikomi jų duomenų srautams.

Sankcijos ir vykdymo užtikrinimas

Lietuva taiko dvipakopę BDAR sankcijų sistemą. Žemesnysis lygmuo numato iki 10 mln. eurų arba 2% metinės pasaulinės apyvartos baudas už duomenų tvarkytojo pareigų pažeidimus, techninių reikalavimų nesilaikymą, pranešimo apie pažeidimus pareigos nevykdymą ir DAP reikalavimų pažeidimus. Aukštesnysis lygmuo numato iki 20 mln. eurų arba 4% metinės pasaulinės apyvartos baudas už pagrindinių duomenų tvarkymo principų, duomenų subjektų teisių ir teisėto pagrindo reikalavimų pažeidimus.

VDAI vykdymo užtikrinimo praktika

VDAI vykdymo užtikrinimo praktika per metus nuo BDAR taikymo pradžios gerokai pasikeitė. 2019-2021 m. laikotarpiu skirta apie 57 baudas, kurių dydis svyravo nuo 3 000 iki 61 500 eurų. 2023 m. institucija skyrė 13 baudų, iš viso siekiančių 64 060 eurų, taip pat pateikė 127 nurodymus dėl atitikties užtikrinimo ir 97 papeikimus.

2024 m. vykdymo užtikrinimo pobūdis smarkiai pasikeitė. VDAI skyrė 13 administracinių baudų, iš viso sudarančių 2 423 971 eurą. Didžiausia bauda siekė 2 385 276 eurus, o mažiausia - 231 eurą. Vien tik „Vinted“ bauda sudarė daugiau nei 98% visos tų metų baudų sumos.

„Vinted“ (2 385 276 EUR, 2024 m. liepa). Didžiausia VDAI bauda buvo skirta UAB „Vinted“, Lietuvos internetinei naudotų drabužių pardavimo platformai. Tyrimo metu nustatyti BDAR 5 straipsnio 1 dalies a punkto (teisėtumas, sąžiningumas ir skaidrumas), 5 straipsnio 2 dalies (atskaitomybė), 12 straipsnio 1 dalies (skaidri informacija ir komunikacija) ir 12 straipsnio 4 dalies (neveikimas gavus duomenų subjektų prašymus) pažeidimai. Byla buvo susijusi su „Vinted“ taikyta paslėpto blokavimo praktika: platforma sudarė įspūdį, kad tvarko prašymus ištrinti duomenis, nors iš tikrųjų toliau tvarkė naudotojo duomenis. VDAI nustatė, kad bendrovės skaidrumo informacija buvo netinkama, o atskaitomybės dokumentacija - nepakankama.

„CityBee“ (110 000 EUR, 2021 m. lapkritis). VDAI skyrė baudą UAB „Prime Leasing“, automobilių dalijimosi platformos „CityBee“ operatoriui, po 2021 m. vasario mėn. įvykio, kai klientų duomenys buvo aptikti CSV failuose išoriniame forume. Tyrimas atskleidė, kad duomenys buvo prieinami nuo 2018 m. vasario mėn. nešifruotame duomenų bazės atsarginės kopijos faile. Bauda skirta už BDAR 32 straipsnio 1 dalies a, b ir d punktų, reglamentuojančių duomenų tvarkymo saugumą, pažeidimus. Byla pareikalavo koordinuoti veiksmus su 18 kitų ES valstybių narių priežiūros institucijų, nes pažeidimas paveikė piliečius visoje ES.

Sporto klubo biometriniai duomenys (20 000 EUR, 2021 m.). Sporto klubui skirta bauda už neteisėtą klientų biometrinių duomenų tvarkymą be tinkamo teisėto pagrindo, o tai rodo, kad VDAI reikalauja laikytis biometrinių duomenų tvarkymo taisyklių nepriklausomai nuo organizacijos dydžio.

Internetinė naudotų prekių platforma (2025 m.). VDAI skyrė baudą įmonei, valdančiai internetinę naudotų prekių prekybos ir mainų platformą, už BDAR pažeidimus, tęsdama dėmesį elektroninės prekybos platformų atskaitomybei.

Skundų tendencijos

2024 m. VDAI gavo 1 408 skundus, palyginti su 1 230 skundų 2023 m. (apie 15% augimas). 2024 m. institucija taip pat atliko 16 patikrinimų ir 10 stebėsenos veiksmų privačiojo ir viešojo sektoriaus subjektuose.

Darbuotojų duomenų tvarkymas

Lietuvos nacionalinis įstatymas papildo BDAR specifinėmis darbuotojų duomenų nuostatomis. Darbdaviai visam darbuotojų asmens duomenų tvarkymui privalo turėti galiojantį BDAR pagrindą, o tvarkymo apimtis neturi viršyti to, kas būtina darbo santykiams.

Darbuotojų stebėsenai taikomi papildomi reikalavimai. Kai darbdaviai tvarko duomenis, susijusius su darbuotojų elgesio, buvimo vietos ar judėjimo stebėjimu, darbuotojai apie tai turi būti informuoti raštu ar kitu dokumentuotu būdu dar prieš pradedant stebėseną. Biometriniams duomenims, naudojamiems patekimo kontrolei ar darbo laiko apskaitai, taikomas griežtesnis pagrindimo standartas.

Sutikimas paprastai nėra patikimas pagrindas darbuotojų duomenims tvarkyti, kai tarp darbdavio ir darbuotojo egzistuoja reikšmingas jėgų disbalansas. VDAI yra nurodžiusi, kad rėmimasis sutikimu darbo santykiuose turi būti vertinamas atsargiai.

Nuo 2024 m. liepos 1 d. darbdaviai įgijo papildomą pagrindą tvarkyti teistumo duomenis: teisėtą interesą, su sąlyga, kad atliekamas dokumentuotas interesų pusiausvyros vertinimas ir paskelbiamas pareigybių, kurioms būtinas neteistumas, sąrašas.

Asmens kodas

Lietuvos asmens kodas veikia kaip universalus identifikatorius valstybės ir privačiojo sektoriaus sistemose. Nacionalinis duomenų apsaugos įstatymas jo tvarkymui taiko griežtesnius apribojimus nei įprastų asmens duomenų tvarkymui. Duomenų valdytojai gali jį tvarkyti tik tada, kai tai būtina nurodytam rinkimo tikslui pasiekti ir yra teisėtas pagrindas.

VDAI rekomenduoja organizacijoms vengti įprastinio asmens kodo rinkimo, kai pakanka mažiau į privatumą besikišančio identifikavimo metodo. Šių apribojimų nesilaikymas yra pasikartojanti VDAI nagrinėjamų skundų ir patikrinimų tema.

Naujausi pokyčiai (2024-2026 m.)

„Vinted“ bauda ir skaidrumo reikalavimų vykdymas (2024 m. liepa). 2,4 mln. eurų bauda „Vinted“ tapo lūžio tašku Lietuvos vykdymo užtikrinimo praktikoje, parodydama, kad institucija pasirengusi skirti dideles baudas ne tik už duomenų saugumo pažeidimus, bet ir už duomenų subjektų teisių bei skaidrumo pažeidimus.

Teistumo duomenų pakeitimas (2024 m. liepa). Asmens duomenų teisinės apsaugos įstatymas buvo pakeistas, leidžiant darbdaviams tvarkyti teistumo duomenis remiantis teisėtu interesu, pakeičiant ankstesnį požiūrį, pagal kurį toks tvarkymas buvo leidžiamas tik įstatymo nustatytais atvejais.

VDAI gairės dėl pažeidimų (2025 m.). VDAI paskelbė praktines gaires, kas nelaikoma asmens duomenų saugumo pažeidimu, taip padėdama organizacijoms atskirti praneštinus incidentus nuo įprastų duomenų tvarkymo klaidų.

ES dirbtinio intelekto akto valdymo institucijų paskyrimas (2024-2025 m.). Lietuva paskyrė Ryšių reguliavimo tarnybą (RRT) nacionaline kompetentinga institucija ir rinkos priežiūros institucija pagal Dirbtinio intelekto aktą, tapdama viena pirmųjų ES valstybių narių, užbaigusių šį žingsnį anksčiau nei 2025 m. rugpjūčio mėn. ES nustatytas terminas.

Skundų skaičiaus augimas (2024 m.). VDAI pateiktų skundų skaičius išaugo apie 15% ir 2024 m. pasiekė 1 408, iš dalies dėl padidėjusio visuomenės informuotumo po „Vinted“ bylos.

Duomenų aktas ir Duomenų valdymo aktas. Šiems ES teisės aktams įsigaliojant 2025 m. ir vėliau, Lietuvos organizacijos turi įvertinti, ar jų duomenų dalijimosi ir duomenų tarpininkavimo veikla patenka į šių aktų taikymo sritį.

Verslo atitikties aspektai

Organizacijoms, vykdančioms veiklą Lietuvoje arba tvarkančioms Lietuvos gyventojų asmens duomenis, tenka pareigos keliose srityse.

Techninės ir organizacinės priemonės. Duomenų valdytojai privalo įgyvendinti tvarkomų duomenų pobūdį ir jautrumą atitinkančias saugumo priemones. Šifravimas, prieigos kontrolė ir duomenų kiekio mažinimas laikomi būtiniausiais lūkesčiais. VDAI pažeidimų statistika rodo, kad žmogiškoji klaida išlieka pagrindine rizika: klaidingai išsiųsti el. laiškai, pamesti įrenginiai ir netinkamai apsaugoti failai sudaro didžiąją dalį praneštų pažeidimų.

Duomenų subjektų prašymų nagrinėjimas. „Vinted“ byla aiškiai parodo, kad VDAI netinkamą duomenų subjektų prašymų nagrinėjimą vertina kaip rimtą BDAR pažeidimą. Organizacijos turėtų įdiegti dokumentuotas procedūras, skirtas priimti, stebėti ir atsakyti į prašymus susipažinti su duomenimis, juos ištrinti, perkelti ar dėl jų tvarkymo nesutikti, per įstatymo nustatytą vieno mėnesio terminą.

Elektroninės prekybos ir platformų operatoriai. Technologijų įmonės ir platformos, veikiančios iš Lietuvos, yra prioritetinis vykdymo užtikrinimo tikslas. Privatumo pranešimai turi tiksliai apibūdinti duomenų tvarkymą, sutikimo mechanizmai turi atitikti BDAR standartus, o duomenų trynimo procesai turi realiai pašalinti duomenis, o ne paslėptai blokuoti prašymus.

Darbuotojų mokymai. Žmogiškoji klaida yra dažniausia Lietuvos duomenų saugumo pažeidimų priežastis. Sistemingas mokymas apie el. laiškų tvarkymą, įrenginių saugumą ir socialinės inžinerijos atpažinimą mažina pažeidimų dažnį ir parodo VDAI, kad organizacija laikosi aktyvios atitikties pozicijos.

DAP paskyrimas ir registracija. Viešosios valdžios institucijos ir organizacijos, atitinkančios 37 straipsnio kriterijus, privalo paskirti DAP ir įregistruoti kontaktinius duomenis VDAI. Organizacijoms, kurioms asmens duomenų tvarkymas yra reikšmingas veiklos elementas, savanoriškas DAP skyrimas yra skatinamas.

Tarptautinis duomenų perdavimas. Organizacijos, perduodančios duomenis už EEE ribų, privalo dokumentuoti savo naudojamus perdavimo mechanizmus. Vien tik standartinių sutarčių sąlygų po Schrems II sprendimo nepakanka; duomenų valdytojai privalo atlikti ir dokumentuoti perdavimo poveikio vertinimus.

Dirbtinio intelekto ir duomenų sąveika. Organizacijoms, kuriančioms ar diegiančioms dirbtinio intelekto sistemas, tvarkančias asmens duomenis, priežiūrą gali vykdyti tiek VDAI (BDAR), tiek RRT (Dirbtinio intelekto aktas). Atitikties programų, apimančių abi šias sistemas vienu metu, kūrimas mažina spragų riziką.

ES duomenų privatumo teisės aktų puslapyje aprašoma bendra BDAR sistema, kuria grindžiamas Lietuvos nacionalinis įgyvendinimas.

Atsakomybės apribojimas: Šiame straipsnyje pateikiama bendra teisinė informacija apie Lietuvos duomenų privatumo įstatymus, ir tai nėra teisinė konsultacija. Duomenų apsaugos teisė dažnai keičiasi. Dėl konkrečios situacijos kreipkitės į Lietuvoje licencijuotą kvalifikuotą teisininką.

Frequently Asked Questions

Koks yra pagrindinis Lietuvos duomenų apsaugos įstatymas?

Lietuvos duomenų apsaugos sistema remiasi dviem teisės aktais. ES Bendrasis duomenų apsaugos reglamentas (BDAR) taikomas tiesiogiai kaip ES teisė. Nacionalinis Asmens duomenų teisinės apsaugos įstatymas, pakeistas 2018 m. liepos 16 d., papildo BDAR nuostatomis dėl priežiūros institucijos, asmens kodo, darbuotojų duomenų, žurnalistinės veiklos išimčių ir 14 metų skaitmeninio sutikimo amžiaus.

Kas yra VDAI ir kokias funkcijas ji atlieka?

Valstybinė duomenų apsaugos inspekcija (VDAI) yra Lietuvos nepriklausoma duomenų apsaugos priežiūros institucija, įsikūrusi Vilniuje. VDAI tiria skundus, atlieka patikrinimus, rengia gaires ir skiria administracines baudas už BDAR pažeidimus. Ji taip pat atstovauja Lietuvai Europos duomenų apsaugos valdyboje. Jos direktorių skiria Lietuvos Respublikos Seimas.

Kokia buvo didžiausia BDAR bauda Lietuvoje?

Didžiausia BDAR bauda Lietuvoje siekė 2 385 276 eurus ir buvo skirta UAB „Vinted“ 2024 m. liepą. VDAI nustatė, kad „Vinted“ paslėptai blokavo naudotojus, pateikusius prašymus ištrinti duomenis, nors sudarė įspūdį, kad šiuos prašymus vykdo, o bendrovės skaidrumo informacija buvo nepakankama. Bauda skirta už BDAR 5 straipsnio 1 dalies a punkto, 5 straipsnio 2 dalies, 12 straipsnio 1 dalies ir 12 straipsnio 4 dalies pažeidimus.

Koks yra skaitmeninio sutikimo amžius Lietuvoje?

Lietuva nustatė 14 metų skaitmeninio sutikimo amžių. 14 metų ir vyresni vaikai gali savarankiškai duoti sutikimą informacinės visuomenės paslaugoms, tokioms kaip socialiniai tinklai ir programėlės. Jaunesniems nei 14 metų vaikams reikalingas patikrinamas tėvų ar globėjų leidimas. Tai yra žemiau numatytojo BDAR 16 metų amžiaus, kurį Lietuva sumažino pasinaudodama BDAR valstybėms narėms suteikta veiksmų laisve.

Kokie yra Lietuvos pranešimo apie duomenų saugumo pažeidimus reikalavimai?

Duomenų valdytojai privalo pranešti VDAI per 72 valandas nuo tada, kai sužino apie asmens duomenų saugumo pažeidimą, keliantį riziką asmenų teisėms ir laisvėms. Jei pažeidimas gali kelti didelę riziką duomenų subjektams, apie tai jiems taip pat turi būti pranešta tiesiogiai, nepagrįstai nedelsiant. 2024 m. VDAI gavo 273 pranešimus apie pažeidimus, o 21% duomenų valdytojų pranešė pavėluotai.

Ar Lietuvoje taikomos specialios taisyklės žurnalistinės veiklos duomenų tvarkymui?

Taip. Lietuva sukūrė dvigubą priežiūros struktūrą, kurioje Žurnalistų etikos inspektorius kartu su VDAI dalijasi priežiūros funkcijomis duomenų, tvarkomų žurnalistiniais, akademiniais, meniniais ar literatūriniais tikslais, atžvilgiu. Inspektorius bendradarbiauja su VDAI, siekdamas užtikrinti BDAR laikymąsi, kartu suteikdamas priežiūrai spaudos laisvės srities ekspertines žinias.

Kaip ES dirbtinio intelekto aktas sąveikauja su Lietuvos BDAR sistema?

ES dirbtinio intelekto aktas ir BDAR veikia kaip lygiagrečios reguliavimo sistemos. Dirbtinio intelekto sistemoms, tvarkančioms asmens duomenis, duomenų valdytojai privalo atitikti tiek Dirbtinio intelekto akto didelės rizikos sistemoms keliamus reikalavimus, tiek BDAR teisėtumo reikalavimus. Lietuva paskyrė Ryšių reguliavimo tarnybą (RRT) nacionaline kompetentinga institucija ir rinkos priežiūros institucija pagal Dirbtinio intelekto aktą. VDAI išlaiko savo BDAR vykdymo užtikrinimo įgaliojimus dirbtinio intelekto sistemose tvarkomų asmens duomenų atžvilgiu.

Kaip asmens duomenys gali būti perduodami iš Lietuvos į ES nepriklausančias šalis?

Duomenų perdavimui iš Lietuvos į trečiąsias šalis už EEE ribų reikalingas teisinis mechanizmas: ES sprendimas dėl paskirties šalies tinkamumo, standartinės sutarčių sąlygos, įmonėms privalomos taisyklės, patvirtinti elgesio kodeksai arba konkrečios išimtys. Po Schrems II sprendimo duomenų valdytojai taip pat privalo atlikti perdavimo poveikio vertinimus, siekdami įsitikinti, kad trečiosios šalies teisinė apsauga praktiškai nesumenkina apsaugos priemonių veiksmingumo.