Pagal 2026 m. spalio 6 d. galiojantį teisinį reguliavimą BDAR (Reglamentas (ES) 2016/679, toliau – Reglamentas) nenustato dokumentų šablonų ir tokių pavadinimų kaip „privatumo politika“, o nustato pareigas, kurioms įvykdyti ir įrodyti reikia dokumentų. Toliau – kiekvienas dokumentas atskirai: ką sako Reglamentas, ką tai reiškia 20–300 darbuotojų įmonei ir ką verta padaryti. Bendrą vaizdą rasite straipsnyje Kas yra BDAR ir kokių dokumentų reikia įmonei.

Ar BDAR nurodo konkrečius dokumentus?

Ne: BDAR nenustato dokumentų šablonų ir tokių pavadinimų kaip „privatumo politika“ ar „pažeidimų registras“, o nustato pareigas – informuoti žmones (12–14 str.), tvarkyti veiklos įrašus (30 str.), sudaryti sutartį su duomenų tvarkytoju (28 str.), dokumentuoti pažeidimus (33 str. 5 d.), atlikti poveikio vertinimą (35 str.) ir trimis atvejais paskirti duomenų apsaugos pareigūną (37 str.). Pareigų turėti dokumentus pagrindas – atskaitomybė: duomenų valdytojas turi sugebėti įrodyti, kad Reglamento laikomasi (5 str. 2 d.), o Valstybinė duomenų apsaugos inspekcija (VDAI) gali neatlygintinai gauti dokumentų kopijas (Asmens duomenų teisinės apsaugos įstatymas, ADTAĮ, 12 str. 2 d. 1 p.).

„Privatumo politika“, „privatumo pranešimas“, „pažeidimų registras“ ir „duomenų tvarkymo sutartis“ yra kasdieniai pavadinimai, o ne Reglamento terminai: jis kalba apie informaciją duomenų subjektui, „įrašus“, „sutartį ar kitą teisės aktą“ ir tai, kad valdytojas „dokumentuoja“ pažeidimus. Straipsnių numeriai be kito akto pavadinimo nurodo Reglamentą. Duomenų valdytojas – jūsų įmonė; duomenų tvarkytojas – kitas asmuo, tvarkantis duomenis jūsų vardu; duomenų subjektas – žmogus, kurio duomenys tvarkomi.

Vykdantiems individualią veiklą – pirmiausia straipsnis Klaida, kuri kainuoja: „Man BDAR negalioja, nes dirbu su individualia veikla“. Šio straipsnio santrauka:

Dokumentas BDAR straipsnis Kam reikalingas Ką turi apimti ar kada Bauda: viršutinė riba (taikoma didesnė iš dviejų sumų)
Privatumo pranešimas 12–14 str. Valdytojui, renkančiam asmens duomenis Duomenų gavimo metu (13 str.); jei duomenys gauti ne iš žmogaus – per pagrįstą laikotarpį, bet ne vėliau kaip per vieną mėnesį, o jei naudojami ryšiui palaikyti ar atskleidžiami kitam gavėjui – ne vėliau kaip pirmo susisiekimo ar pirmo atskleidimo metu (14 str. 3 d.) Iki 20 000 000 EUR arba 4 % apyvartos
Veiklos įrašai 30 str. Valdytojui (30 str. 1 d., septyni punktai) ir tvarkytojui (30 str. 2 d.); išimtis – 30 str. 5 d. Raštu, įskaitant elektronine forma; VDAI pateikiami gavus prašymą (30 str. 3 ir 4 d.) Iki 10 000 000 EUR arba 2 % apyvartos
Sutartis su tvarkytoju 28 str. Valdytojui ir tvarkytojui Aštuoni 28 str. 3 d. punktai; raštu, įskaitant elektronine forma Iki 10 000 000 EUR arba 2 % apyvartos
Pažeidimų dokumentavimas ir pranešimas 33–34 str. Valdytojui Dokumentuojamas kiekvienas pažeidimas (33 str. 5 d.); VDAI – nepagrįstai nedelsiant ir, jei įmanoma, per 72 val. nuo sužinojimo, nebent pažeidimas neturėtų kelti pavojaus; pavėlavus – su vėlavimo priežastimis; žmonėms – kai gali kilti didelis pavojus Iki 10 000 000 EUR arba 2 % apyvartos
Poveikio vertinimas 35–36 str. Valdytojui, kai gali kilti didelis pavojus Prieš pradedant tvarkyti; bent keturios turinio dalys (35 str. 7 d.) Iki 10 000 000 EUR arba 2 % apyvartos
Pareigūno paskyrimas 37 str. Trimis 37 str. 1 d. atvejais; kitais – savanoriškai arba kai to reikalauja ES ar valstybės narės teisė (37 str. 4 d.) Paskyrus – kontaktai skelbiami ir pranešami VDAI Iki 10 000 000 EUR arba 2 % apyvartos

Tai viršutinės ribos, o ne tipinės baudos: „apyvarta“ – įmonės ankstesnių finansinių metų bendra metinė pasaulinė apyvarta, o taikoma suma – „atsižvelgiant į tai, kuri suma yra didesnė“. Aukštesnė riba (83 str. 5 d.) taikoma 12–14 str. pažeidimui (taip pat 5 str. principų pažeidimui); žemesnė (83 str. 4 d.) – lentelėje nurodytų kitų straipsnių pažeidimui; bauda skiriama kiekvienu konkrečiu atveju ir turi būti veiksminga, proporcinga ir atgrasoma (83 str. 1 d.).

Ar reikia privatumo pranešimo (privatumo politikos)?

Taip: rinkdamas asmens duomenis, valdytojas turi suteikti žmogui 13 arba 14 straipsnyje nurodytą informaciją, o dokumentas, kuriame ji surašoma, paprastai vadinamas privatumo pranešimu ar privatumo politika. Šablono nėra: informacija teikiama glausta, skaidria, suprantama ir lengvai prieinama forma, aiškia ir paprasta kalba (12 str. 1 d.).

Kai duomenys renkami iš paties žmogaus, informacija pateikiama duomenų gavimo metu ir, be kita ko, apima (13 str. 1 ir 2 d.): valdytojo tapatybę ir kontaktus; tvarkymo tikslus ir teisinį pagrindą; gavėjus ar jų kategorijas, jei jų yra; saugojimo laikotarpį ar jo kriterijus; teisę skųstis priežiūros institucijai; informaciją, ar duomenų pateikimas privalomas pagal teisės aktus ar sutartį, ir kokios pasekmės, jei duomenų nepateikiama; teisę atšaukti sutikimą, kai tvarkoma jo pagrindu.

Kai duomenys gauti ne iš paties žmogaus, papildomai nurodomos duomenų kategorijos ir kilmės šaltinis, o informacija teikiama per pagrįstą laikotarpį, bet ne vėliau kaip per vieną mėnesį; jei duomenis ketinama naudoti ryšiui su žmogumi palaikyti arba atskleisti kitam gavėjui – ne vėliau kaip pirmo susisiekimo ar pirmo atskleidimo metu (14 str.). Pareiga netaikoma tiek, kiek žmogus informaciją jau turi (13 str. 4 d., 14 str. 5 d.).

Praktiškai įmonėje paprastai yra bent trys žmonių grupės: darbuotojai, kandidatai ir klientų ar tiekėjų kontaktai; pranešimą galima rengti bendrą arba kiekvienai grupei atskirą. Rizika: aukštesnė baudos riba (83 str. 5 d.).

Ką verta padaryti. Surašykite, kokius duomenis iš kokių žmonių renkate, ir išsaugokite įrodymą, kad kiekviena grupė pranešimą gavo.

Ar reikia vesti duomenų tvarkymo veiklos įrašus?

Taip: kiekvienas valdytojas tvarko savo duomenų tvarkymo veiklos įrašus (30 str. 1 d.), o išimtis įmonėms, kuriose dirba mažiau kaip 250 darbuotojų, netaikoma, jei yra bent viena iš trijų Reglamente nurodytų aplinkybių. Pagal 30 str. 5 d. išimties nėra, kai dėl tvarkymo gali kilti pavojus žmonių teisėms ir laisvėms, kai tvarkymas nėra nereguliarus arba apima specialių kategorijų duomenis (9 str. 1 d.) ar duomenis apie apkaltinamuosius nuosprendžius ir nusikalstamas veikas (10 str.). Specialių kategorijų duomenys – tai, be kita ko, sveikatos duomenys ir duomenys apie narystę profesinėse sąjungose.

29 straipsnio duomenų apsaugos darbo grupė (WP29) savo pozicijoje nurodė, kad trys aplinkybės yra alternatyvios, o maža organizacija greičiausiai reguliariai tvarko darbuotojų duomenis, todėl toks tvarkymas negali būti laikomas „nereguliariu“; tai gairės, o ne Reglamento tekstas. Praktiškai įrašus verta tvarkyti, nebent kiekviena jūsų veikla yra nereguliari, nekelia pavojaus ir neapima specialių kategorijų ar apkaltinamųjų nuosprendžių duomenų; 250 ar daugiau darbuotojų turinčiai įmonei išimtis netaikoma iš viso.

Įraše pateikiama (30 str. 1 d.):

  • valdytojo (ir, jei taikoma, bendro valdytojo, atstovo, pareigūno) vardas ir pavardė (pavadinimas) ir kontaktiniai duomenys;
  • tvarkymo tikslai;
  • subjektų ir duomenų kategorijų aprašymas;
  • gavėjų kategorijos (įskaitant gavėjus trečiosiose valstybėse ir tarptautines organizacijas);
  • kai taikoma, perdavimai į trečiąją valstybę ar tarptautinei organizacijai;
  • kai įmanoma, numatomi ištrynimo terminai;
  • kai įmanoma, bendras saugumo priemonių aprašymas.

Įrašai tvarkomi raštu, įskaitant elektronine forma, ir VDAI pateikiami gavus jos prašymą (30 str. 3 ir 4 d.).

Praktiškai įrašus patogu skirstyti pagal veiklos sritis – personalas, užmokestis, klientai, tiekėjai, kameros; šablono ar lentelės išdėstymo Reglamentas nenustato, todėl tinka lentelė. Rizika: pareiga pateikti įrašus VDAI gavus prašymą ir 83 str. 4 d. riba.

Ką verta padaryti. Užpildykite lentelę pagal tai, kas įmonėje vyksta iš tikrųjų, ir paskirkite atsakingą už atnaujinimą.

Ar reikia sutarties su duomenų tvarkytoju?

Taip: kai kitas asmuo tvarko duomenis jūsų, kaip valdytojo, vardu, jo atliekamą tvarkymą turi reglamentuoti sutartis ar kitas teisės aktas, sudaromas raštu, įskaitant elektronine forma (28 str. 3 ir 9 d.). Sutartyje nustatomi tvarkymo dalykas ir trukmė, pobūdis ir tikslas, duomenų rūšis, subjektų kategorijos, valdytojo prievolės ir teisės, o visų pirma – kad tvarkytojas (28 str. 3 d. a–h p.):

  • tvarko duomenis tik pagal dokumentais įformintus valdytojo nurodymus, įskaitant dėl perdavimo į trečiąją valstybę ar tarptautinei organizacijai, išskyrus atvejus, kai tai daryti reikalauja Sąjungos ar valstybės narės teisė;
  • užtikrina, kad tvarkyti įgalioti asmenys yra įsipareigoję užtikrinti konfidencialumą arba jiems taikoma įstatais nustatyta konfidencialumo prievolė;
  • imasi saugumo priemonių pagal 32 straipsnį;
  • kitą tvarkytoją pasitelkia tik su išankstiniu rašytiniu valdytojo leidimu (28 str. 2 ir 4 d.);
  • padeda atsakyti į duomenų subjektų prašymus;
  • padeda laikytis 32–36 straipsnių prievolių;
  • pasibaigus paslaugoms pagal valdytojo pasirinkimą ištrina arba grąžina visus duomenis ir ištrina esamas jų kopijas, nebent teisė reikalauja duomenis saugoti;
  • pateikia informaciją prievolėms įrodyti ir sudaro sąlygas auditui, įskaitant patikrinimus.

Šablono nėra: standartinės sutarčių sąlygos galimos, bet neprivalomos (28 str. 6 d.). Praktiškai sutartis reikia peržiūrėti su tiekėjais, kurie jūsų vardu tvarko darbuotojų ar klientų duomenis, pavyzdžiui, personalo ir užmokesčio programų ar IT priežiūros teikėjais; ar tiekėjas yra tvarkytojas, vertinama kiekvienu atveju.

Ką verta padaryti. Sudarykite tiekėjų, kurie jūsų vardu tvarko asmens duomenis, sąrašą ir pažymėkite, ar su kiekvienu yra rašytinė sutartis, apimanti 28 str. 3 d. įžangoje nurodytus dalykus ir visus aštuonis a–h punktus.

Ar reikia asmens duomenų saugumo pažeidimų registro?

Taip, bet Reglamentas jo taip nevadina: pagal 33 str. 5 d. valdytojas dokumentuoja visus asmens duomenų saugumo pažeidimus, įskaitant faktus, poveikį ir taisomuosius veiksmus, taip pat tuos, apie kuriuos VDAI nepranešama. Asmens duomenų saugumo pažeidimas – tai saugumo pažeidimas, dėl kurio netyčia ar neteisėtai sunaikinami, prarandami, pakeičiami, be leidimo atskleidžiami persiųsti, saugomi ar kitaip tvarkomi asmens duomenys, arba prie jų be leidimo gaunama prieiga (4 str. 12 p.). Pareigos yra trys:

  • Dokumentuoti kiekvieną pažeidimą (33 str. 5 d.) taip, kad VDAI galėtų patikrinti 33 straipsnio laikymąsi.
  • Pranešti VDAI nepagrįstai nedelsiant ir, jei įmanoma, per 72 valandas nuo tada, kai sužinote apie pažeidimą, nebent jis neturėtų kelti pavojaus žmonių teisėms ir laisvėms; pavėlavus, nurodomos vėlavimo priežastys (33 str. 1 d.).
  • Pranešti žmonėms tik kai gali kilti didelis pavojus jų teisėms ir laisvėms (34 str. 1 d.); nereikia, pavyzdžiui, kai valdytojas jau buvo įgyvendinęs apsaugos priemones (pvz., šifravimą), dėl kurių duomenys prieigos neturinčiam asmeniui nesuprantami (34 str. 3 d. a p.).

Pranešime VDAI turi būti bent: pažeidimo pobūdis (jei įmanoma, su žmonių ir įrašų kategorijomis bei apytiksliu skaičiumi), kontaktinis asmuo, tikėtinos pasekmės ir imtos ar siūlomos priemonės (33 str. 3 d.). Kaip teikti pranešimą, patikrinkite dabartinėje VDAI svetainėje; kasdienius pavyzdžius rasite straipsnyje Asmens duomenų saugumo pažeidimai: ką verta žinoti kiekvienam verslui šiandien.

Praktiškai registras – tai žurnalas ar lentelė (šablono Reglamentas nenustato): įvykio ir sužinojimo data; kas nutiko; kiek ir kokių žmonių duomenys paveikti; pasekmės; taisomieji veiksmai; sprendimas, ar pranešti VDAI ir žmonėms, ir jo priežastis – ji padeda vėliau pagrįsti sprendimą. Rizika: skiriant baudą vertinama, kaip VDAI sužinojo apie pažeidimą ir ar valdytojas pranešė (83 str. 2 d.).

Ką verta padaryti. Paskirkite, kas vertina įvykį ir kas rašo pranešimą, ir susitarkite, kad darbuotojai apie įtartiną įvykį praneštų nedelsdami.

Kada reikia poveikio duomenų apsaugai vertinimo?

Valdytojas poveikio duomenų apsaugai vertinimą atlieka prieš pradėdamas tvarkyti duomenis, kai dėl tvarkymo rūšies, pobūdžio, aprėpties, konteksto ir tikslų žmonių teisėms ir laisvėms gali kilti didelis pavojus (35 str. 1 d.). Pagal 35 str. 3 d. vertinimas visų pirma (sąrašas nebaigtinis) būtinas trimis atvejais:

  • sistemingas ir išsamus asmeninių aspektų vertinimas automatizuotu tvarkymu, įskaitant profiliavimą, kuriuo remiantis priimami sprendimai su teisiniu ar panašiu dideliu poveikiu žmogui;
  • specialių kategorijų ar apkaltinamųjų nuosprendžių duomenų tvarkymas dideliu mastu;
  • sistemingas viešos vietos stebėjimas dideliu mastu.

Pagal 35 str. 4 d. VDAI direktoriaus 2019 m. kovo 14 d. įsakymu Nr. 1T-35 patvirtintas operacijų, kurioms taikomas vertinimo reikalavimas, sąrašas, kurį pati inspekcija vadina nebaigtiniu; jame, be kita ko, yra biometrinių duomenų tvarkymas tapatybei nustatyti stebėsenos ar kontrolės tikslais ir pokalbių telefonu įrašymas. Patikrinkite VDAI svetainėje, ar nėra naujesnio sąrašo.

Vertinime pateikiama bent: operacijų ir tikslų aprašymas; reikalingumo ir proporcingumo vertinimas; pavojų žmonių teisėms ir laisvėms vertinimas; pavojams pašalinti numatytos priemonės (35 str. 7 d.). Jei vertinime nurodyta, kad be pavojų mažinančių priemonių kiltų didelis pavojus, prieš pradedant tvarkyti reikia konsultuotis su VDAI (36 str. 1 d.).

Praktiškai vertinimas nėra visuotinė pareiga: 35 straipsnis remiasi pavojumi, o ne įmonės dydžiu; šablono nėra. Rizika: 83 str. 4 d. riba.

Ką verta padaryti. Prieš diegdami sistemą, kuri stebi ar vertina žmones, užrašykite, ar ji patenka į 35 str. 3 d. ar VDAI sąrašo atvejus: jei taip – vertinimą atlikite iki paleidimo, jei ne – užrašykite, kodėl.

Ką reikia žinoti apie darbuotojų stebėseną ir vaizdo stebėjimą?

Kai darbo vietoje tvarkomi vaizdo ar garso duomenys arba stebimas darbuotojų elgesys, buvimo vieta ar judėjimas, ADTAĮ 5 str. 4 d. reikalauja darbuotojus informuoti pasirašytinai ar kitu informavimo faktą įrodančiu būdu, pateikiant BDAR 13 str. 1 ir 2 d. nurodytą informaciją. Ši taisyklė taikoma tik šiems atvejams ir dokumento pavadinimo (pavyzdžiui, „vaizdo stebėjimo politikos“) nenurodo.

  • VDAI poveikio vertinimo sąrašas. Jame nurodyta ir darbuotojų stebėsena ar kontrolė: vaizdo ir (ar) garso duomenys darbo vietoje ar patalpose, kuriose dirba darbuotojai, taip pat komunikacijos, elgesio, vietos ar judėjimo stebėsena.
  • Darbo kodeksas (DK). Darbdavys, įdarbinantis vidutiniškai dvidešimt ir daugiau darbuotojų, privalo informuoti darbo tarybą ir su ja konsultuotis priimdamas sprendimus dėl vietinių teisės aktų, nustatančių informacinių ir komunikacinių technologijų naudojimo bei darbuotojų stebėsenos ir kontrolės darbo vietoje tvarką, privatų gyvenimą galinčias pažeisti priemones ir darbuotojų asmens duomenų saugojimo politiką bei jos įgyvendinimo priemones (206 str. 1 d. 5–7 p.; redakcija iki 2026 m. spalio 31 d.). Kai darbo tarybos nėra, informacija teikiama darbdavio lygmeniu veikiančiai profesinei sąjungai (206 str. 4 d.). Tai pareiga informuoti ir konsultuotis priimant ar keičiant tokius aktus, o ne pareiga juos turėti.

Ką verta padaryti. Surašykite, kokia stebėsena įmonėje yra (kameros, vietos sekimas, el. pašto kontrolė), kiekvienai parenkite BDAR 13 straipsnio informaciją ir gaukite parašą ar kitą įrodymą (ADTAĮ 5 str. 4 d. tai reikalauja vaizdo ir (ar) garso duomenims bei elgesio, vietos ar judėjimo stebėsenai; kitais atvejais tai gera praktika); jei vidutiniškai dirba 20 ar daugiau darbuotojų, apie tvarką informuokite darbo tarybą (jei jos nėra – darbdavio lygmeniu veikiančią profesinę sąjungą) ir pasikonsultuokite.

Kada duomenų apsaugos pareigūną skirti privaloma?

Reglamento 37 str. 1 d. nustato tris atvejus, kai duomenų apsaugos pareigūną skirti privaloma, ir nė vienas iš jų nenustato darbuotojų skaičiaus ribos. Pareigūną skiria valdytojas ir tvarkytojas, kai:

  • duomenis tvarko valdžios institucija ar įstaiga (išskyrus teismus, vykdančius teismines funkcijas);
  • pagrindinė veikla yra tvarkymo operacijos, dėl kurių pobūdžio, aprėpties ir (arba) tikslų būtina reguliariai ir sistemingai dideliu mastu stebėti duomenų subjektus; arba
  • pagrindinė veikla yra specialių kategorijų duomenų (9 str.) arba duomenų apie apkaltinamuosius nuosprendžius ir nusikalstamas veikas (10 str.) tvarkymas dideliu mastu.

Privačiajame sektoriuje „pagrindinė veikla“ – susijusi su svarbiausia valdytojo veikla, o ne su duomenų tvarkymu kaip papildoma veikla (97 konstatuojamoji dalis). Ar jūsų įmonė patenka į antrą ar trečią punktą, vertina pati įmonė pagal savo veiklą; šiame straipsnyje nei teigiame, nei neigiame, kad konkreti įmonė pareigūną turi skirti. Kitais atvejais pareigūną galima skirti savanoriškai arba kai to reikalauja ES ar valstybės narės teisė (37 str. 4 d.).

Pareigūnas gali būti darbuotojas arba dirbti pagal paslaugų teikimo sutartį (37 str. 6 d.); jo kontaktai skelbiami ir pranešami VDAI (37 str. 7 d.).

Ką verta padaryti. Užrašykite trumpą vertinimą, ar jūsų pagrindinė veikla patenka į antrą ar trečią punktą, ir peržiūrėkite jį pasikeitus veiklai. Trumpesnė apžvalga – straipsnyje Kas yra BDAR ir kokių dokumentų reikia įmonei.

Ar kas nors keičiasi 2026–2027 m.?

Pagal 2026 m. spalio 6 d. galiojantį teisinį reguliavimą jokie pakeitimai, keičiantys šiame straipsnyje aptartas pareigas, neįsigaliojo: Reglamento tekstas nepakeistas, o ES lygmeniu aptariami pakeitimai yra tik pasiūlymai arba preliminarus susitarimas, o ne priimti teisės aktai, todėl taikomas dabartinis tekstas.

Pasiūlymas Statusas Pasiūlymo turinys
„Digital Omnibus“, COM(2025) 837 Komisija pateikė 2025 m. lapkričio 19 d.; Europos Parlamente svarstomas komitete; nepriimtas Siūloma keisti, be kita ko, 13, 33 ir 35 straipsnius (pavyzdžiui, pranešti apie didelį pavojų keliančius pažeidimus per 96 valandas); pareiga dokumentuoti pažeidimus (33 str. 5 d.) išliktų
COM(2025) 501 dėl 30 str. 5 d. Komisija pateikė 2025 m. gegužės 21 d.; 2026 m. pasiektas preliminarus susitarimas; nepriimtas Komisija siūlė 750 darbuotojų ribą, preliminariame susitarime – 1000 ir „didelio pavojaus“ kriterijų (abu skaičiai – ne galiojanti teisė)

Įmonei, kurioje dirba 20–300 darbuotojų, tai reiškia: dėl veiklos įrašų vadovaukitės galiojančiu 30 str. 5 d. tekstu, o ne 750 ar 1000 darbuotojų riba; galutinis tekstas dar gali keistis. Reglamentas (ES) 2025/2518 taikomas nuo 2027 m. balandžio 2 d., bet tik tarpvalstybinių bylų procedūrai.

Kaip per mėnesį sutvarkyti BDAR dokumentus?

Per mėnesį galima pereiti aštuonis žingsnius – nuo duomenų sąrašo iki peržiūros tvarkos. Terminai yra mūsų rekomendacija, o ne teisės aktų reikalavimas.

  1. 1 savaitė. Surašykite, kokių žmonių kokius duomenis renkate ir kam juos perduodate.
  2. 1–2 savaitė. Užpildykite veiklos įrašus; patikrinkite tris 30 str. 5 d. aplinkybes.
  3. 2 savaitė. Parenkite privatumo pranešimus ir jų pateikimo įrodymo tvarką.
  4. 2–3 savaitė. Patikrinkite sutartis su tvarkytojais pagal 28 str. 3 d. įžangą ir a–h punktus.
  5. 3 savaitė. Paskirkite, kas vertina pažeidimus ir rašo pranešimus; sukurkite registro formą.
  6. 3–4 savaitė. Informuokite darbuotojus apie stebėseną pasirašytinai ar kitu informavimo faktą įrodančiu būdu; jei vidutiniškai dirba 20 ar daugiau – ir pasikonsultuokite su darbo taryba (arba profesine sąjunga, jei tarybos nėra).
  7. 4 savaitė. Užrašykite sprendimus dėl poveikio vertinimo ir pareigūno.
  8. Toliau. Peržiūrėkite dokumentus pasikeitus programoms, kameroms, tiekėjams ar veiklai.

Kaip Mansauga padeda parengti BDAR dokumentus?

Mansauga siūlo vienkartinį BDAR dokumentų parengimą įmonėms visoje Lietuvoje. Paslaugos turinys aprašytas asmens duomenų apsaugos paslaugos puslapyje; nuolatinio duomenų apsaugos pareigūno paslaugos į pasiūlymą neįeina. Norėdami sužinoti, kurių dokumentų trūksta, susisiekite su mumis. Teisinio atstovavimo neteikiame, o šis tekstas yra praktinis gidas, ne teisinė konsultacija.

Teisės aktai

Oficialūs tekstai Teisės aktų registre ir EUR-Lex; nuorodos veda į aktualią redakciją, kai ji yra.

Dažniausiai užduodami klausimai

Ar privatumo politika yra privaloma?

Reglamentas nereikalauja dokumento, pavadinto „privatumo politika“, bet reikalauja duomenų gavimo metu pateikti 13 straipsnyje nurodytą informaciją (kai duomenys gauti ne iš paties žmogaus – 14 straipsnyje: per pagrįstą laikotarpį, bet ne vėliau kaip per vieną mėnesį, o naudojant ryšiui palaikyti ar atskleidžiant kitam gavėjui – ne vėliau kaip pirmo susisiekimo ar pirmo atskleidimo metu). Tai ne 24 str. 2 d. minima vidinė politika.

Ar įmonei, turinčiai mažiau nei 250 darbuotojų, reikia veiklos įrašų?

Paprastai taip: 30 str. 5 d. išimtis netaikoma, jei tvarkymas gali kelti pavojų žmonių teisėms ir laisvėms, nėra nereguliarus arba apima specialių kategorijų ar apkaltinamųjų nuosprendžių duomenis. Pagal WP29 gaires (ne Reglamento tekstą) maža organizacija greičiausiai reguliariai tvarko darbuotojų duomenis, todėl toks tvarkymas nėra „nereguliarus“ ir turi būti įrašuose.

Per kiek laiko reikia pranešti apie pažeidimą?

VDAI – nepagrįstai nedelsiant ir, jei įmanoma, per 72 valandas nuo tada, kai sužinojote apie pažeidimą, nebent jis neturėtų kelti pavojaus žmonių teisėms ir laisvėms (33 str. 1 d.). Žmonėms pranešama tik esant dideliam pavojui (34 str. 1 d.). Dokumentuoti reikia kiekvieną pažeidimą (33 str. 5 d.).

Ar poveikio vertinimas visada reikalingas, kai yra vaizdo kameros?

Ne visada: 35 straipsnis remiasi pavojumi, o ne pačių kamerų buvimu, tačiau 35 str. 3 d. c p. (sistemingas viešos vietos stebėjimas dideliu mastu) ir VDAI sąrašas kai kuriuos atvejus išvardija. VDAI sąraše nurodytas vaizdo ir (ar) garso duomenų tvarkymas darbo vietoje stebėsenos ar kontrolės tikslais, todėl darbuotojus stebinčias kameras verta pirmiausia patikrinti pagal šį nebaigtinį sąrašą ir užrašyti išvadą.

Ar įmonei reikia duomenų apsaugos pareigūno?

Reglamentas reikalauja skirti duomenų apsaugos pareigūną tik trimis 37 str. 1 d. atvejais: kai duomenis tvarko valdžios institucija ar įstaiga, taip pat kai pagrindinė veikla yra reguliarus ir sistemingas didelio masto žmonių stebėjimas arba didelio masto specialių kategorijų ar apkaltinamųjų nuosprendžių duomenų tvarkymas. 37 str. 1 d. darbuotojų skaičiaus ribos nenustato.

Ar jau galioja 2025 m. pasiūlyti BDAR pakeitimai?

Ne. Pagal 2026 m. spalio 6 d. galiojantį teisinį reguliavimą Reglamento tekstas nepakeistas: Komisijos 2025 m. pasiūlymai (COM(2025) 501 ir COM(2025) 837) nepriimti ir neįsigalioję, o dėl 30 straipsnio 5 dalies yra tik preliminarus susitarimas. Taikomas galiojantis tekstas, įskaitant 250 darbuotojų ribą.