BDAR (Bendrasis duomenų apsaugos reglamentas) — tai Europos Sąjungos reglamentas (ES) 2016/679, kuris Lietuvoje tiesiogiai taikomas nuo 2018 m. gegužės 25 d. ir nustato, kaip įmonės turi tvarkyti fizinių asmenų duomenis. Jis galioja kiekvienai įmonei, kuri tvarko fizinių asmenų duomenis (2 straipsnis) — praktiškai kiekvienai, turinčiai bent vieną darbuotoją, kandidatą ar klientą fizinį asmenį. Daugumai mažų ir vidutinių įmonių BDAR reikalavimų įvykdymas yra vienkartinis darbas: susitvarkyti dokumentus, apmokyti darbuotojus ir aiškiai žinoti, kas įmonėje už duomenis atsako. Nuolat samdomo duomenų apsaugos pareigūno joms nereikia — jį reglamentas nustato tik konkrečioms organizacijų grupėms.
Kas yra BDAR?
BDAR — tai Bendrasis duomenų apsaugos reglamentas (angl. GDPR), Europos Sąjungos teisės aktas, kuris vienodai visose valstybėse narėse nustato, kaip renkami, saugomi ir naudojami asmens duomenys. Lietuvoje jis taikomas nuo 2018 m. gegužės 25 d. ir įmonei galioja tiesiogiai, be atskiro perkėlimo į nacionalinį įstatymą.
Kelios sąvokos, be kurių toliau neapsieisime:
- Asmens duomenys (4 straipsnio 1 punktas) — tai bet kokia informacija apie fizinį asmenį, kurio tapatybė nustatyta arba gali būti nustatyta: vardas ir pavardė, asmens kodas, el. pašto adresas, telefono numeris, vaizdo įrašas, kuriame žmogus atpažįstamas.
- Duomenų tvarkymas (4 straipsnio 2 punktas) — tai bet kokia su tais duomenimis atliekama operacija: rinkimas, saugojimas, peržiūra, perdavimas kitai įmonei, ištrynimas.
- Duomenų valdytojas (4 straipsnio 7 punktas) — tai įmonė, kuri nustato, kokiu tikslu ir kokiomis priemonėmis duomenys tvarkomi. Jūsų įmonė yra savo darbuotojų ir klientų duomenų valdytoja.
- Duomenų tvarkytojas (4 straipsnio 8 punktas) — tai kita įmonė, kuri tvarko duomenis jūsų pavedimu: buhalterinės apskaitos paslaugų teikėjas, personalo programos tiekėjas, svetainės administratorius.
- Duomenų subjektas — tai žmogus, kurio duomenys tvarkomi: darbuotojas, kandidatas, klientas.
Kuo skiriasi BDAR reglamentas ir „BDAR įstatymas“?
„BDAR įstatymas“ Lietuvoje yra Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymas (ADTAĮ), kuris reglamento nepakeičia, o jį papildo, o pats BDAR yra tiesiogiai galiojantis Europos Sąjungos reglamentas. Paieškoje abu pavadinimai dažnai vartojami kaip sinonimai, tačiau tai du skirtingi teisės aktai, kurie įmonei galioja kartu.
| Teisės aktas | Kas tai | Ką reiškia įmonei |
|---|---|---|
| BDAR — Reglamentas (ES) 2016/679 | Europos Sąjungos reglamentas, Lietuvoje tiesiogiai taikomas nuo 2018 m. gegužės 25 d. | Iš jo kyla pagrindinės pareigos: tvarkyti duomenis teisėtai, vesti veiklos įrašus, pranešti apie pažeidimus, tam tikrais atvejais skirti pareigūną. |
| ADTAĮ — Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymas | Nacionalinis įstatymas, papildantis reglamentą ten, kur jis palieka sprendimą valstybėms narėms. | Patikslina, kaip reglamentas taikomas Lietuvoje; galioja kartu su BDAR, o ne vietoje jo. |
| VDAI — Valstybinė duomenų apsaugos inspekcija | Priežiūros institucija Lietuvoje. | Nagrinėja skundus, atlieka patikrinimus, priima pranešimus apie duomenų saugumo pažeidimus, skelbia išaiškinimus. |
Ar BDAR taikomas mano įmonei?
Taip — BDAR taikomas kiekvienai įmonei, kuri tvarko fizinių asmenų duomenis, o tai daro praktiškai kiekviena įmonė, turinti bent vieną darbuotoją, kandidatą ar klientą fizinį asmenį. Nei darbuotojų skaičius, nei veiklos sritis nuo reglamento neatleidžia: net įmonė, kurios klientai yra tik kitos įmonės, tvarko savo darbuotojų ir partnerių kontaktinių asmenų duomenis.
Įprastoje gamybos, prekybos ar paslaugų įmonėje asmens duomenys atsiranda šiose vietose:
- Personalas — darbo sutartys, darbuotojų bylos, atlyginimų duomenys, kandidatų gyvenimo aprašymai. Kaip su jais elgtis, nustato vidinės tvarkos — jų vietą tarp kitų įmonės dokumentų aprašėme straipsnyje apie darbo tvarkos taisykles ir darbų saugos dokumentus.
- Sveikatos duomenys — privalomų darbuotojų sveikatos patikrinimų išvados, nedarbingumo pažymėjimai, nelaimingų atsitikimų tyrimo medžiaga. Tai specialių kategorijų asmens duomenys, kuriems reglamentas kelia griežtesnius reikalavimus (9 straipsnis).
- Klientai ir partneriai — sutartys, sąskaitos, kontaktinių asmenų vardai ir el. pašto adresai, susirašinėjimas.
- Vaizdo stebėjimas — kameros teritorijoje, sandėlyje ar prie kasos fiksuoja atpažįstamus žmones, todėl vaizdo įrašai taip pat yra asmens duomenys.
- Svetainė ir rinkodara — užklausų formos, naujienlaiškių prenumeratos, slapukai ir kiti internetiniai identifikatoriai (kai pagal juos galima atpažinti asmenį), nuotraukos socialiniuose tinkluose.
- Paslaugų teikėjai — buhalteriai, personalo ir darbo užmokesčio programos, IT prižiūrėtojai, su kuriais reikia rašytinio susitarimo dėl duomenų tvarkymo (28 straipsnis).
Ką įmonė privalo turėti pagal BDAR?
Įprasta maža ar vidutinė įmonė pagal BDAR turi gebėti parodyti, kokius asmens duomenis tvarko ir kodėl, turėti tai patvirtinančius dokumentus, informuoti žmones apie jų duomenų tvarkymą ir žinoti, ką daryti įvykus pažeidimui. Reglamentas tiesiogiai įvardija tik vieną dokumentą — duomenų tvarkymo veiklos įrašus (30 straipsnis). Visa kita kyla iš pareigų, kurių laikymąsi įmonė turi gebėti įrodyti (atskaitomybės principas, 5 straipsnio 2 dalis ir 24 straipsnis), o dokumentai yra būdas tai padaryti. Praktikoje tos pareigos virsta gana pastoviu rinkiniu.
| Dokumentas | Kam jis skirtas | Pastaba |
|---|---|---|
| Duomenų tvarkymo veiklos įrašai | Pagrindinis dokumentas: kokie duomenys, kokiu tikslu, kokiu teisiniu pagrindu, kiek laiko saugomi, kam perduodami. | Reglamento 30 straipsnis; apie išimtį įmonėms iki 250 darbuotojų — žemiau. Nuo įrašų pradedama, nes jais remiasi visi kiti dokumentai. |
| Asmens duomenų tvarkymo taisyklės | Vidinė tvarka: kaip įmonėje elgiamasi su duomenimis, kas už ką atsako, kam suteikiama prieiga. | Rašoma pagal realią įmonės struktūrą, ne pagal šabloną. |
| Privatumo pranešimai darbuotojams, kandidatams ir klientams | Informuoja žmones, kokie jų duomenys tvarkomi, kodėl ir kiek laiko. | Informavimo pareigą nustato 13 ir 14 straipsniai; svetainės privatumo politika yra jos dalis, o slapukų sutikimą papildomai reglamentuoja elektroninių ryšių taisyklės. |
| Saugojimo terminų lentelė | Nurodo, kiek laiko laikomas kiekvienos rūšies dokumentas ir kada jis sunaikinamas. | Kyla iš saugojimo trukmės apribojimo principo (5 straipsnio 1 dalies e punktas). Dažnas trūkumas: duomenys saugomi neribotai. |
| Sutartys su duomenų tvarkytojais | Rašytiniai susitarimai su buhalteriais, programų tiekėjais, IT prižiūrėtojais. | Reikalauja 28 straipsnis. Dažnai yra tiekėjo sutarties priedas — reikia patikrinti. |
| Pažeidimų valdymo tvarka ir registras | Kas vertina įvykį, kaip ir kam pranešama, kur fiksuojama. | Reglamento 33 ir 34 straipsniai. |
| Vaizdo stebėjimo dokumentai | Aprašas, informaciniai ženklai, įrašų saugojimo terminas, prieigos taisyklės. | Tik jei įmonėje yra kameros. |
| Darbuotojų mokymų fiksavimas | Įrodymas, kad su duomenimis dirbantys žmonės supažindinti su taisyklėmis. | Reglamentas atskiro mokymų žurnalo nereikalauja — tai atskaitomybės praktika. Personalas, buhalterija, pardavimai, vadovai. |
Duomenų tvarkymo veiklos įrašai — tai reglamento 30 straipsnyje numatytas dokumentas, kuriame surašyta, kokius asmens duomenis įmonė tvarko, kokiu tikslu, kokiu teisiniu pagrindu, kam juos perduoda ir kiek laiko saugo. Be jų neįmanoma parengti nei privatumo pranešimų, nei saugojimo terminų lentelės.
Pagal 30 straipsnio 1 dalį įrašuose nurodomi valdytojo kontaktai, tvarkymo tikslai, duomenų subjektų ir duomenų kategorijos, gavėjų kategorijos, perdavimai į trečiąsias valstybes, numatomi ištrynimo terminai ir bendras saugumo priemonių aprašymas. Įrašai gali būti elektroniniai (3 dalis) ir priežiūros institucijai pateikiami jos prašymu (4 dalis). Reglamento 30 straipsnio 5 dalis numato išimtį įmonėms, kuriose dirba mažiau kaip 250 darbuotojų, tačiau ji netaikoma, jei tvarkymas nėra atsitiktinis arba apima specialių kategorijų duomenis. Darbuotojų duomenų tvarkymas yra nuolatinis, o sveikatos patikrinimų duomenys — specialios kategorijos, todėl praktikoje įrašus turi vesti ir maža įmonė.
Ką daryti įvykus asmens duomenų saugumo pažeidimui?
Įvykus asmens duomenų saugumo pažeidimui, įmonė turi jį įvertinti, užfiksuoti savo pažeidimų registre ir, kai to reikalauja reglamentas, pranešti Valstybinei duomenų apsaugos inspekcijai, o kai pažeidimas kelia didelį pavojų žmonėms — informuoti ir juos pačius. Pranešimą priežiūros institucijai numato reglamento 33 straipsnis, pranešimą patiems žmonėms — 34 straipsnis.
Asmens duomenų saugumo pažeidimas (4 straipsnio 12 punktas) — tai saugumo pažeidimas, dėl kurio asmens duomenys netyčia ar neteisėtai sunaikinami, prarandami, pakeičiami, atskleidžiami arba prie jų gauna prieigą tie, kurie neturėtų. Įmonėje tai dažniausiai atrodo ne kaip įsilaužimas, o kaip kasdienė klaida:
- laiškas su darbuotojų sąrašu išsiųstas ne tam adresatui;
- pamestas nešiojamasis kompiuteris ar telefonas su neužšifruotais duomenimis;
- buvęs darbuotojas vis dar turi prieigą prie personalo programos;
- pavogti svetainės klientų prisijungimo duomenys.
Apie pažeidimą priežiūros institucijai pranešama nepagrįstai nedelsiant ir, jei įmanoma, ne vėliau kaip per 72 valandas nuo tada, kai įmonė apie jį sužinojo, nebent pažeidimas nekelia pavojaus žmonių teisėms ir laisvėms (33 straipsnio 1 dalis). Pranešime nurodomas pažeidimo pobūdis, kontaktinis asmuo, tikėtinos pasekmės ir priemonės, kurių imtasi (33 straipsnio 3 dalis). Kai pažeidimas gali kelti didelį pavojų žmonėms, apie jį aiškia ir paprasta kalba informuojami ir jie patys (34 straipsnis) — išskyrus atvejus, kai duomenys buvo, pavyzdžiui, užšifruoti arba pavojus jau pašalintas. Todėl iš anksto turi būti aišku, kas vertina įvykį ir kas rašo pranešimą — tam ir reikalinga pažeidimų valdymo tvarka su paruošta pranešimo forma. Ne apie kiekvieną incidentą reikia pranešti inspekcijai, tačiau kiekvieną reikia užfiksuoti: valdytojas privalo dokumentuoti visus pažeidimus, jų pasekmes ir taisomuosius veiksmus (33 straipsnio 5 dalis).
Ar mano įmonei reikia duomenų apsaugos pareigūno?
Daugumai privačių mažų ir vidutinių įmonių duomenų apsaugos pareigūno skirti neprivaloma: reglamento 37 straipsnis jį reikalauja iš valdžios institucijų ir įstaigų bei iš organizacijų, kurių pagrindinė veikla yra reguliarus ir sistemingas didelio masto žmonių stebėjimas arba didelio masto specialių kategorijų duomenų tvarkymas. Įprasta gamybos, prekybos, statybos ar paslaugų įmonė, tvarkanti savo darbuotojų ir klientų duomenis, į šias grupes nepatenka.
Duomenų apsaugos pareigūnas — tai reglamente numatytas asmuo, kuris stebi, kaip organizacija laikosi BDAR, ją konsultuoja ir yra kontaktinis asmuo priežiūros institucijai bei duomenų subjektams (38 ir 39 straipsniai). Jis gali būti įmonės darbuotojas arba samdomas pagal paslaugų sutartį (37 straipsnio 6 dalis), o jo kontaktai skelbiami viešai ir pranešami priežiūros institucijai (7 dalis). Tai nėra tas pats, kas įmonės viduje paskirtas už duomenis atsakingas asmuo: tokio asmens reglamentas nereikalauja, bet praktikoje jį verta turėti kiekvienai įmonei, o pareigūnas privalomas tik kai kurioms.
| Situacija | Ar reikia duomenų apsaugos pareigūno |
|---|---|
| Valdžios institucija ar įstaiga (išskyrus teismus, vykdančius teisminę funkciją) | Taip, privaloma (37 straipsnio 1 dalies a punktas). |
| Pagrindinė veikla — reguliarus ir sistemingas didelio masto žmonių stebėjimas | Taip, privaloma (b punktas). |
| Pagrindinė veikla — didelio masto specialių kategorijų duomenų (pavyzdžiui, sveikatos) arba duomenų apie apkaltinamuosius nuosprendžius ir nusikalstamas veikas tvarkymas | Taip, privaloma (c punktas). |
| Gamybos, prekybos, statybos ar paslaugų įmonė, tvarkanti savo darbuotojų ir klientų duomenis | Ne. Reikia tvarkingų dokumentų ir įmonės viduje paskirto atsakingo asmens. |
Reglamento 37 straipsnio 4 dalis leidžia ES ar valstybės narės teisei numatyti pareigūną ir kitais atvejais, todėl specifinę veiklą vykdančiai įmonei verta pasitikrinti ir nacionalinius reikalavimus. Įprastai įmonei BDAR nėra nuolatinė paslauga, kurią reikia pirkti kas mėnesį. Tai vienkartinis sutvarkymas, po kurio įmonė pati žino, ką turi ir kada atnaujinti. Pareigūno ir nuolatinės išorinės priežiūros reikia tik toms organizacijoms, kurios patenka į 37 straipsnio sąlygas.
Kaip atrodo BDAR sutvarkymas mažai ar vidutinei įmonei?
BDAR sutvarkymas įprastai įmonei yra keturių žingsnių vienkartinis darbas: asmens duomenų auditas, dokumentų parengimas, darbuotojų mokymai ir perdavimas, po kurio įmonė toliau tvarkosi pati. Būtent taip veikia mūsų asmens duomenų apsaugos ir BDAR dokumentų paslauga, kurią teikiame visoje Lietuvoje — šiam darbui nuolatinių vizitų į įmonę nereikia.
- Auditas. Peržiūrimi realūs duomenų srautai: darbuotojų bylos, personalo ir apskaitos programos, kameros, svetainės formos, sutartys su paslaugų teikėjais. Rezultatas — trūkumų sąrašas paprastais žodžiais.
- Dokumentai. Parengiami duomenų tvarkymo veiklos įrašai, vidinės tvarkos, privatumo pranešimai, saugojimo terminų lentelė, pažeidimų valdymo tvarka, vaizdo stebėjimo dokumentai ir, kur trūksta, sutarčių su tvarkytojais priedai. Viskas rašoma pagal tai, kaip įmonė dirba iš tikrųjų.
- Mokymai. Apmokomi tie, kurie kasdien dirba su duomenimis: personalas, buhalterija, pardavimai, vadovai. Mokymai užfiksuojami, kad liktų įrodymas, jog darbuotojai su taisyklėmis supažindinti.
- Perdavimas. Įmonė gauna pasirašyti paruoštus dokumentus, paskiriamas atsakingas asmuo ir sutariama, kokiais atvejais dokumentus reikės peržiūrėti. Nuo tada įmonė tvarkosi savarankiškai.
Kada BDAR dokumentus reikia atnaujinti?
BDAR dokumentus reikia atnaujinti tada, kai pasikeičia tai, kaip įmonė tvarko duomenis: atsiranda nauja programa, naujos kameros, nauja duomenų rūšis, naujas paslaugų teikėjas ar nauja veikla. Reglamentas konkretaus periodinio peržiūros termino nenustato — dokumentai turi atitikti realią padėtį, o ne datą ant viršelio.
Praktikoje peržiūrą verta susieti su konkrečiais įvykiais:
- pradėta naudoti nauja personalo, apskaitos ar klientų valdymo programa;
- įrengtos ar perkeltos vaizdo stebėjimo kameros;
- pakeistas buhalterinės apskaitos ar IT paslaugų teikėjas;
- pradėta nauja veikla, kuriai renkami kitokie duomenys, pavyzdžiui, elektroninė parduotuvė.
Jeigu norite pasitikrinti, kiek iš šio sąrašo jūsų įmonėje jau yra, o ko trūksta, susisiekite su mumis — per pirmą pokalbį išsiaiškinsime darbų apimtį.
Dažniausiai užduodami klausimai
Kas yra BDAR trumpai?
BDAR — tai Bendrasis duomenų apsaugos reglamentas, Europos Sąjungos reglamentas (ES) 2016/679, kuris nustato, kaip įmonės ir įstaigos turi rinkti, saugoti ir naudoti fizinių asmenų duomenis. Lietuvoje jis tiesiogiai taikomas nuo 2018 m. gegužės 25 d. ir galioja kiekvienai įmonei, tvarkančiai darbuotojų, kandidatų ar klientų duomenis, nepriklausomai nuo jos dydžio.
Ar BDAR yra įstatymas?
Ne, BDAR yra Europos Sąjungos reglamentas, o ne Lietuvos įstatymas, tačiau Lietuvoje jis galioja tiesiogiai, be atskiro perkėlimo. Nacionalinis „BDAR įstatymas“ yra Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymas (ADTAĮ), kuris reglamentą papildo, o ne pakeičia. Įmonei galioja abu teisės aktai kartu, o pagrindinės pareigos kyla iš paties reglamento.
Ar BDAR taikomas mažai įmonei su keliais darbuotojais?
Taip, BDAR taikomas ir kelių darbuotojų įmonei, nes ji tvarko bent jau savo darbuotojų duomenis: darbo sutartis, atlyginimų informaciją, sveikatos patikrinimų išvadas. Darbuotojų skaičius nekeičia principo, kad duomenys turi būti tvarkomi teisėtai, o žmonės informuoti. Skiriasi tik dokumentų apimtis — mažai įmonei jų reikia mažiau ir jie paprastesni.
Kokių BDAR dokumentų reikia įmonei?
Įprastai įmonei reikia duomenų tvarkymo veiklos įrašų, vidinių asmens duomenų tvarkymo taisyklių, privatumo pranešimų darbuotojams, kandidatams ir klientams, saugojimo terminų lentelės, pažeidimų valdymo tvarkos ir rašytinių susitarimų su duomenų tvarkytojais. Jei įmonėje yra kameros, prisideda vaizdo stebėjimo dokumentai. Vienintelis reglamente tiesiogiai įvardytas dokumentas yra duomenų tvarkymo veiklos įrašai (30 straipsnis) — kiti dokumentai yra būdas įrodyti reglamento nustatytas pareigas.
Ar mano įmonei reikia duomenų apsaugos pareigūno?
Daugumai privačių mažų ir vidutinių įmonių — ne. Reglamento 37 straipsnis pareigūno reikalauja iš valdžios institucijų ir įstaigų bei iš organizacijų, kurių pagrindinė veikla yra reguliarus ir sistemingas didelio masto žmonių stebėjimas arba didelio masto specialių kategorijų duomenų ar duomenų apie apkaltinamuosius nuosprendžius tvarkymas (37 straipsnio 1 dalis). Įprastai gamybos, prekybos ar paslaugų įmonei užtenka tvarkingų dokumentų ir praktikoje paskirto atsakingo asmens.
Per kiek laiko reikia pranešti apie asmens duomenų saugumo pažeidimą?
Priežiūros institucijai — Valstybinei duomenų apsaugos inspekcijai — nepagrįstai nedelsiant ir, jei įmanoma, ne vėliau kaip per 72 valandas nuo tada, kai įmonė sužinojo apie pažeidimą, nebent jis nekelia pavojaus žmonių teisėms ir laisvėms (33 straipsnio 1 dalis). Jei pažeidimas gali kelti didelį pavojų žmonėms, apie jį nedelsiant informuojami ir jie patys (34 straipsnis). Nepriklausomai nuo to, ar pranešama, kiekvienas pažeidimas turi būti užfiksuotas (33 straipsnio 5 dalis).
Ar BDAR sutvarkymas yra vienkartinis darbas?
Įprastai mažai ar vidutinei įmonei — taip. Atlikus auditą, parengus dokumentus ir apmokius darbuotojus, įmonė toliau tvarkosi savarankiškai ir dokumentus atnaujina tik tada, kai pasikeičia veikla, programos ar paslaugų teikėjai. Nuolatinės išorinės priežiūros ar samdomo pareigūno reikia tik toms organizacijoms, kurioms reglamentas pareigūną nustato privalomai.
