Asmens duomenų saugumo pažeidimas: ką daryti per pirmas 72 valandas
Asmens duomenų saugumo pažeidimai gali sugadinti reputaciją ir pakenkti verslui. Sužinokite, kaip efektyviai reaguoti ir apsaugoti savo duomenis nuo tolimesnių grėsmių.
Apie Veriva UAB
Dauguma Lietuvos verslų neturi BDAR problemos — jie turi neaiškumo problemą. Veriva UAB sujungia teisinę ir IT kompetenciją vienoje komandoje, kad atitiktis būtų ne popierius stalčiuje, o realiai veikianti sistema.
Neteikiame bendrų rekomendacijų ar skaidrių. Atliekame auditus, rengiame dokumentus ir prižiūrime atitiktį realiose įmonės sistemose — nuo duomenų tvarkymo registro iki incidentų valdymo. Jei dokumentas neatitinka realios praktikos, jis nepadeda per VDAI patikrinimą.
Kiekviena paslauga baigiasi konkrečiu, naudojamu rezultatu — audito ataskaita, pasirašyta sutartimi ar paskirtu pareigūnu. Rankinis atitikties valdymas nespėja su reglamentų pokyčiais; mūsų sistema tai daro nuosekliai.
- BDAR atitiktis — auditas, RoPA, privatumo politikos, DPA sutartys
- DPO funkcija — išorinis duomenų apsaugos pareigūnas, mėnesinė stebėsena
- Kibernetinis saugumas — IT auditas, NIS2 atitiktis, phishing mokymai
Kas iš tiesų yra asmens duomenų saugumo pažeidimas
Viena pavojingiausių iliuzijų versle yra mintis, kad duomenų pažeidimas — tai tik didelės atakos arba tik garsios naujienos apie milžiniškus nutekėjimus. Realybė daug žemiškesnė. Asmens duomenų saugumo pažeidimas gali būti ir neteisingam gavėjui išsiųstas el. laiškas, ir netinkamai sukonfigūruota sistema, ir atviras failas serveryje, ir prarastas nešiojamas kompiuteris, ir klaida eksportuojant duomenis iš CRM.
Europos duomenų apsaugos valdyba (EDPB) apibrėžia asmens duomenų pažeidimą kaip saugumo incidentą, dėl kurio asmens duomenys netyčia ar neteisėtai sunaikinami, prarandami, pakeičiami, atskleidžiami be leidimo arba prie jų gaunama neteisėta prieiga. Tai plati apibrėžtis, apimanti tiek konfidencialumo, tiek vientisumo, tiek prieinamumo pažeidimus — ne tik įsilaužimus.
Ką rodo Lietuvos statistika
Lietuvos statistika rodo, kad ši tema nėra nišinė. VDAI skelbia, kad 2024 m. gavo 273 pranešimus apie asmens duomenų saugumo pažeidimus, o jie paveikė 1 467 368 duomenų subjektus. 87 proc. atvejų buvo susiję su konfidencialumo pažeidimais, o 52 proc. pažeidimų kilo dėl žmogiškosios klaidos.
Šie skaičiai verslui sako labai paprastą dalyką: didelė dalis rizikos kyla ne iš sudėtingų kibernetinių scenarijų, o iš įprasto darbo aplinkos — siuntimų, prieigų, netvarkingų procesų, nepakankamo darbuotojų apmokymo ir nepakankamų organizacinių bei techninių priemonių.
Pirmas žingsnis: sustabdyti žalą ir įvertinti, kas įvyko
Kai pažeidimas įvyksta, pirmas žingsnis — ne panikuoti, o sustabdyti žalą ir tiksliai suprasti, kas įvyko. Reikia kuo greičiau atsakyti bent į penkis klausimus: kokie duomenys paveikti, kiek asmenų paveikta, kaip incidentas įvyko, ar jis vis dar tęsiasi, kokia tikėtina rizika žmonių teisėms ir laisvėms.
EDPB pabrėžia, kad organizacija laikoma sužinojusia apie pažeidimą tada, kai turi pagrįstą tikrumą, jog įvyko saugumo incidentas ir kad jis paveikė asmens duomenis. Būtent nuo to momento pradedamas skaičiuoti laikas. Jei pažeidimas tikėtina kelia riziką asmenims, apie jį reikia pranešti priežiūros institucijai nepagrįstai nedelsiant ir, jei įmanoma, ne vėliau kaip per 72 valandas.
Antras žingsnis: dokumentavimas — net kai pranešti nereikia
Čia verslai klysta dažniau, nei norėtų pripažinti. Net jei po rizikos įvertinimo nusprendžiama, kad pranešti VDAI nereikia, pagal BDAR vis tiek būtina užfiksuoti pagrindines pažeidimo aplinkybes, vertinimą, pasekmes ir veiksmus, kurių imtasi reaguojant.
EDPB smulkiajam verslui skirtame vadove tai išskiria labai aiškiai: dokumentuoti reikia visus pažeidimus, net ir tuos, kurie nepranešami priežiūros institucijai, nes vėliau turite gebėti pagrįsti savo sprendimą. Tai labai svarbi vieta, kur atsiskiria „spėjome užgesinti gaisrą“ ir „turime incidentų valdymo sistemą“.
Trečias žingsnis: kada informuoti pačius žmones
Jei pažeidimas tikėtina kelia didelę riziką asmenų teisėms ir laisvėms, informuoti reikia ir duomenų subjektus, nedelsiant ir aiškia kalba. Tai nėra tik formalumas. Informavimo tikslas — suteikti žmogui galimybę imtis apsauginių veiksmų: pakeisti slaptažodžius, stebėti mokėjimus, būti atidesniam sukčiavimo bandymams ir panašiai.
Praktikoje ši dalis dažnai būna jautriausia reputacijos prasme, bet būtent ji ir parodo, ar organizacija sugeba veikti atsakingai, o ne tik tvarkyti dokumentus.
Realus pavyzdys: kai žmogiška klaida kainuoja
Lietuvoje turime ir labai konkretų priminimą, kuo baigiasi netvarkingas požiūris. 2025 m. VDAI skyrė 9 000 eurų baudą Užimtumo tarnybai dėl asmens duomenų saugumo pažeidimo, kuris kilo dėl žmogiškosios klaidos — kartu su laišku buvo išsiųstas Excel failas su klientų duomenimis.
VDAI konstatavo, kad techninės ir organizacinės priemonės buvo nepakankamos, nebuvo tinkamai įvertinta rizika ir darbuotoja nebuvo tinkamai įtraukta į saugumo priemonių testavimą bei informavimą. Šis atvejis labai aiškiai rodo, kad problema dažnai būna ne vien žmogaus klaida, o sistemos klaida, kuri žmogaus klaidos neapsaugojo.
Kas turi būti paruošta iki incidento, ne po jo
Geras puslapis apie asmens duomenų saugumo pažeidimą turi duoti ne tik teisinį apibrėžimą, bet ir veiksmų logiką. Kas įmonėje priima sprendimą? Kur fiksuojamas incidentas? Kas vertina riziką? Kaip renkami faktai? Kas kontaktuoja su IT? Kas ruošia pranešimą VDAI? Kas sprendžia dėl komunikacijos duomenų subjektams?
Jei įmonė neturi atsakymų į šiuos klausimus iki incidento, realaus pažeidimo metu viskas vyks lėčiau, chaotiškiau ir brangiau. Aiškus incidentų valdymo procesas — su paskirtais atsakingais asmenimis, žingsnių seka ir šablonu VDAI pranešimui — yra tai, kas skiria organizaciją, kuri kontroliuoja situaciją, nuo tos, kuri ją tik stebi iš šalies.
Kaip Veriva padeda paruošti incidentų valdymo procesą
Veriva padeda verslams susitvarkyti šią sritį prieš incidentą, ne po jo: parengti incidentų valdymo procedūrą, aiškiai priskirti atsakomybes, paruošti VDAI pranešimo šabloną ir rizikos vertinimo metodiką, kuri atitinka BDAR 33–34 straipsnių reikalavimus.
Tai tiesiogiai susiję su kitomis Veriva paslaugomis — BDAR auditu, duomenų apsaugos pareigūno funkcija ir kibernetinio saugumo peržiūra — nes incidentų valdymas veikia gerai tik tada, kai remiasi jau sutvarkyta duomenų tvarkymo ir saugumo baze, o ne kuriamas nuo nulio incidento metu.
Jaučiatės įklimpę į kasdienę rutiną?
Nuolat traukiami į operatyvinius darbus, nors žinote, kad reikia dirbti SU verslu kaip savininkas. Metas turėti komandą, kuri padengs rutiną.
Gauti pilną BDAR auditą nemokamai →
Sustabdykite žalą
Laiku sustabdytas pažeidimas gali sumažinti galimus nuostolius ir apsaugoti jūsų duomenis. Greitas reagavimas yra pirmasis žingsnis siekiant atkurti saugumą.
Įvykio analizė
Net jei pranešimas nereikalingas, išsamus dokumentavimas padeda suprasti pažeidimo mastą ir užtikrina, kad panašios klaidos nepasikartotų ateityje.
Informuokite klientus
Žmonių informavimas apie jų duomenų pažeidimą stiprina pasitikėjimą ir parodo jūsų įsipareigojimą saugumui. Tai svarbus žingsnis atkuriant pasitikėjimą.
Mūsų paslaugos
Dešimt paslaugų, apimančių BDAR atitiktį, duomenų apsaugą ir kibernetinį saugumą. Kiekviena orientuota į rezultatą — audito ataskaitą, paruoštą dokumentą arba VDAI patikrai atlaikyti gebančią sistemą.
BDAR atitikties auditas
BDAR atitikties auditas patikrina, kaip jūsų įmonė tvarko asmens duomenis, ir palygina esamą praktiką su BDAR reikalavimais. Aprėpiama visa organizacija — nuo svetainės slapukų iki personalo duomenų ir tvarkytojų sutarčių, kiekviena sritis įvertinama pagal rizikos lygį.
Rezultatas — prioritetizuotas veiksmų planas, ne abstraktus sąrašas. Žinote tiksliai, ką taisyti pirma prieš VDAI patikrinimą, o ne veikiate nuojauta.
Kiek laiko trunka BDAR auditas?
Pilnas auditas paprastai trunka 2-4 savaites, priklausomai nuo įmonės dydžio ir duomenų tvarkymo procesų skaičiaus.
Ką tikrina BDAR auditas?
8-12 sričių: teisinį pagrindą, sutikimus, subjektų teises, saugumo priemones, tvarkytojų sutartis ir dokumentaciją (RoPA).
DPO funkcijos perdavimas
Duomenų apsaugos pareigūno (DPO) funkciją atlieka išorinis ekspertas pagal BDAR 37 str., o ne etatinis darbuotojas. Nepriklausomas pareigūnas be interesų konflikto stebi atitiktį, konsultuoja ir palaiko ryšį su VDAI.
Paslauga apima nuolatinę stebėseną, darbuotojų mokymus ir reagavimą į duomenų subjektų užklausas — už dalį etatinio DPO kainos.
Kada įmonei privalomas DPO?
Viešojo sektoriaus subjektams ir organizacijoms, dideliu mastu tvarkančioms specialių kategorijų duomenis ar vykdančioms sistemingą stebėseną (BDAR 37 str.).
Kiek kainuoja išorinis DPO?
Mėnesinis principas, gerokai pigiau nei etatinis specialistas. Tikslią kainą pateikiame per 24 val.
Kibernetinio saugumo auditas
IT infrastruktūros auditas įvertina kibernetines rizikas ir parengia saugumo politikos dokumentus jūsų verslui. Auditas apima phishing simuliacijas, incidentų reagavimo planą ir, jei reikia, pen-testavimą.
Rezultatas — konkretus rizikų sumažinimo planas, ne bendros rekomendacijos. Tęstinis mėnesinis monitoringas užtikrina, kad apsauga liktų aktuali.
Kiek trunka kibernetinio saugumo auditas?
Pats auditas — 2-3 savaitės, tęstinis monitoringas vyksta mėnesiniu principu.
Ar auditas apima phishing mokymus?
Taip. Phishing simuliacijos ir mokymai darbuotojams yra standartinė audito dalis, nes žmogiškasis faktorius yra dažniausia pažeidimų priežastis.
NIS2/TIS2 atitikties konsultacija
NIS2 atitikties konsultacija paruošia jūsų įmonę pagal LT TIS2 perkėlimą (nuo 2025-10-17). Atliekame atotrūkio analizę, registruojame įmonę NKSC ir parengiame 10 priemonių įgyvendinimo planą.
Apima incidentų pranešimo procedūras ir tiekimo grandinės saugumo vertinimą — pilnas pasiruošimas per 3-6 mėnesius.
Kam taikoma NIS2 Lietuvoje?
18 sektorių sąrašas, apimantis energetiką, sveikatos apsaugą, skaitmenines paslaugas ir kitus — atotrūkio analizė nustato, ar jūsų įmonė patenka į sąrašą.
Kiek trunka pilnas NIS2 pasiruošimas?
3-6 mėnesiai, priklausomai nuo pradinės atitikties būklės ir įmonės technologinės infrastruktūros sudėtingumo.
Duomenų tvarkymo registras
Duomenų tvarkymo veiklos įrašai (RoPA) pagal BDAR 30 str. fiksuoja, kokius duomenis tvarkote, kokiu tikslu ir kokiu teisiniu pagrindu. Tai pirmas dokumentas, kurio VDAI paprašo per patikrinimą.
Rengiame registrą per interviu su jūsų komanda, ne kaip tuščią šabloną — rezultatas atspindi realius duomenų srautus jūsų sistemose.
Kas privalo turėti duomenų tvarkymo registrą?
Beveik visi valdytojai ir tvarkytojai pagal BDAR 30 str. — mažiau nei 250 darbuotojų išimtis praktiškai netaikoma reguliariam tvarkymui.
Kuo RoPA skiriasi nuo privatumo politikos?
Privatumo politika yra išorinis dokumentas subjektams; RoPA yra vidinis, detalesnis registras priežiūros institucijai.
Poveikio duomenų apsaugai vertinimas
PDAV pagal BDAR 35 str. įvertina, kaip planuojamas duomenų tvarkymas paveiks fizinių asmenų teises — privalomas, kai tvarkymas kelia didelę riziką (stebėsena, specialių kategorijų duomenys, naujos technologijos).
Vertiname ir teisinį pagrindą, ir realią techninę architektūrą, todėl rezultatas yra naudojamas dokumentas, ne formalumas dėl varnelės.
Kada PDAV yra privalomas?
Kai tvarkymas kelia didelę riziką — sistemingai stebint, dideliu mastu tvarkant specialių kategorijų duomenis ar naudojant naujas technologijas (BDAR 35 str.).
Kiek laiko užtrunka poveikio vertinimas?
Paprastai 1-3 savaitės, priklausomai nuo sistemos sudėtingumo ir duomenų srautų apimties.
Privatumo politika svetainei
Privatumo politika pagal BDAR 13-14 str. informuoja lankytojus, kaip tvarkomi jų duomenys. Dažniausia klaida — nukopijuota svetimo verslo politika, kuri neatitinka realių procesų ir tampa įrodymu prieš jus.
Rengiame tekstą, suderintą su jūsų duomenų tvarkymo registru — aiškia kalba, atitinkantį BDAR 12 str. skaidrumo principą.
Ar galiu nukopijuoti kitos įmonės privatumo politiką?
Ne. Nukopijuota politika beveik niekada neatitinka jūsų realių procesų ir tampa įrodymu prieš jus per VDAI patikrinimą.
Ką privaloma nurodyti privatumo politikoje?
Valdytojo tapatybę, tvarkymo tikslus ir pagrindą, gavėjus, saugojimo terminus ir duomenų subjekto teises (BDAR 13-14 str.).
Duomenų tvarkytojo sutartis
Duomenų tvarkytojo sutartis (DPA) pagal BDAR 28 str. privaloma kaskart, kai perduodate duomenis IT tiekėjui, debesijos platformai ar buhalterijos biurui. Sutarties nebuvimas yra savarankiškas pažeidimas, net jei nutekėjimo neįvyko.
Rengiame sutartis, atitinkančias BDAR 28 str., ir tikriname jau gautas tiekėjų sutartis, kurios dažnai neapsaugo valdytojo.
Kada privaloma tvarkytojo sutartis?
Kaskart, kai perduodate asmens duomenis kitam subjektui, kuris juos tvarko jūsų vardu — IT paslaugoms, debesijai, buhalterijai.
Kas nutinka be DPA sutarties?
Tai savarankiškas BDAR 28 str. pažeidimas — VDAI patikrinimo metu reikalauja pateikti visas tvarkytojo sutartis.
Duomenų pažeidimo valdymas
Duomenų pažeidimo (data breach) reagavimo planas apibrėžia žingsnius, kai įvyksta saugumo incidentas — nuo aptikimo iki pranešimo VDAI per 72 val. (BDAR 33 str.) ir, jei reikia, duomenų subjektams.
Paruoštas planas sumažina reagavimo laiką ir riziką, kad pavėluotas ar netinkamas pranešimas taps papildomu pažeidimu.
Per kiek laiko reikia pranešti apie duomenų pažeidimą?
VDAI turi būti informuota per 72 valandas nuo sužinojimo apie pažeidimą, jei jis kelia riziką asmenų teisėms (BDAR 33 str.).
Ar visada reikia informuoti duomenų subjektus?
Tik kai pažeidimas kelia didelę riziką jų teisėms ir laisvėms (BDAR 34 str.) — planas nustato, kada šis slenkstis pasiektas.
BDAR mokymai darbuotojams
Darbuotojų BDAR ir kibernetinio saugumo mokymai sumažina dažniausią pažeidimų priežastį — žmogiškąjį faktorių. Apima phishing simuliacijas, duomenų tvarkymo praktikos apžvalgą ir incidentų atpažinimą.
Mokymai pritaikomi jūsų komandos realioms situacijoms, ne bendroms skaidrėms — darbuotojai išeina žinodami, ką konkrečiai daryti.
Kaip dažnai reikia atnaujinti BDAR mokymus?
Rekomenduojama bent kartą per metus, papildomai — įdiegus naują procesą ar po incidento.
Ar mokymai apima phishing simuliacijas?
Taip, tai standartinė dalis — realistiškos simuliacijos parodo, kiek darbuotojų atpažįsta grėsmę praktikoje, ne tik teorijoje.
Mūsų sertifikatai
Mūsų komanda sujungia teisininkus ir IT specialistus, kurie kasdien dirba su BDAR, NIS2 ir kibernetinio saugumo reikalavimais. Bet kokiu klausimu galite paklausti tiesiogiai konsultacijos metu.
Norite pasitikrinti savo atitiktį?
Tiesiogiai užsisakykite konsultaciją mygtuku žemiau. Turite klausimų? Užpildykite formą — komandos narys susisieks per 24 val.
Susisiekite
DUK
Ar kiekvienas pažeidimas turi būti praneštas VDAI?
Ne. Pranešti reikia tada, kai pažeidimas tikėtina kelia riziką asmenų teisėms ir laisvėms. Tačiau dokumentuoti reikia visus pažeidimus, net ir tuos, kurie nepranešami.
Nuo kada skaičiuojamos 72 valandos?
Nuo momento, kai organizacija turi pagrįstą tikrumą, kad įvyko saugumo incidentas ir jis paveikė asmens duomenis — ne nuo momento, kai incidentas techniškai prasidėjo.
Kada reikia informuoti pačius žmones, ne tik VDAI?
Kai pažeidimas tikėtina kelia didelę riziką jų teisėms ir laisvėms. Tada komunikacija duomenų subjektams turi būti aiški ir nedelsiama, ne tik formali.
Kas Lietuvoje dažniausiai lemia pažeidimus?
VDAI duomenimis, 52 proc. 2024 m. pažeidimų kilo dėl žmogiškosios klaidos, o ne sudėtingų kibernetinių atakų.
Ar neteisingai išsiųstas el. laiškas gali būti asmens duomenų pažeidimas?
Taip, ir tokie atvejai yra visiškai realūs. VDAI 2025 m. skirta bauda Užimtumo tarnybai kilo būtent dėl klaidingai išsiųsto laiško su Excel failu, kuriame buvo klientų duomenys.
Ar reikia pranešti, jei pažeidimą pastebėjome ir ištaisėme labai greitai?
Greitas ištaisymas nepanaikina pareigos įvertinti riziką. Sprendimas dėl pranešimo priklauso nuo to, ar pažeidimas tikėtina kelia riziką asmenų teisėms, o ne nuo to, kaip greitai jis buvo pastebėtas.
Kas atsakingas įmonėje už pranešimą VDAI?
Tai turi būti aiškiai priskirta iš anksto — dažniausiai duomenų apsaugos pareigūnas arba už atitiktį atsakingas vadovas, bendradarbiaudamas su IT ir teise. Be aiškaus atsakingo asmens reagavimas vėluoja.
Ar mažai įmonei taip pat reikia incidentų valdymo proceso?
Taip. Pareiga vertinti ir dokumentuoti pažeidimus galioja nepriklausomai nuo įmonės dydžio — VDAI statistika rodo, kad žmogiškos klaidos vienodai paveikia ir mažas, ir dideles organizacijas.
Kaip Veriva padeda pasiruošti incidentui iš anksto?
Veriva parengia incidentų valdymo procedūrą, atsakomybių žemėlapį, VDAI pranešimo šabloną ir rizikos vertinimo metodiką — kad realaus incidento metu įmonė žinotų tiksliai, ką daryti, o ne improvizuotų.
Kuo skiriasi duomenų pažeidimas nuo kibernetinio incidento?
Kibernetinis incidentas yra platesnė sąvoka — jis gali paveikti sistemų veikimą, nebūtinai asmens duomenis. Asmens duomenų saugumo pažeidimas yra siauresnė kategorija, apimanti tik atvejus, kai paveikiami konkretūs asmens duomenys.
Šaltiniai
- European Data Protection Board. EDPB duomenų pažeidimų apibrėžtis (2026). edpb.europa.eu (aplankyta July 2026)
- European Data Protection Board. EDPB smulkiojo verslo vadovas dėl duomenų pažeidimų (2026). edpb.europa.eu (aplankyta July 2026)
- Valstybinė duomenų apsaugos inspekcija. VDAI 2024 m. asmens duomenų saugumo pažeidimų statistika (2026). vdai.lrv.lt (aplankyta July 2026)
- Valstybinė duomenų apsaugos inspekcija. VDAI bauda Užimtumo tarnybai (2025). vdai.lrv.lt (aplankyta July 2026)