BDAR 22 straipsnis įmonėms — kaip išvengti neteisėto duomenų tvarkymo
BDAR 22 straipsnis nustato taisykles, kaip įmonės gali naudoti automatizuotus sprendimų priėmimo procesus, kurie apima asmens duomenis.
Apie Veriva UAB
Dauguma Lietuvos verslų neturi BDAR problemos — jie turi neaiškumo problemą. Veriva UAB sujungia teisinę ir IT kompetenciją vienoje komandoje, kad atitiktis būtų ne popierius stalčiuje, o realiai veikianti sistema.
Neteikiame bendrų rekomendacijų ar skaidrių. Atliekame auditus, rengiame dokumentus ir prižiūrime atitiktį realiose įmonės sistemose — nuo duomenų tvarkymo registro iki incidentų valdymo. Jei dokumentas neatitinka realios praktikos, jis nepadeda per VDAI patikrinimą.
Kiekviena paslauga baigiasi konkrečiu, naudojamu rezultatu — audito ataskaita, pasirašyta sutartimi ar paskirtu pareigūnu. Rankinis atitikties valdymas nespėja su reglamentų pokyčiais; mūsų sistema tai daro nuosekliai.
- BDAR atitiktis — auditas, RoPA, privatumo politikos, DPA sutartys
- DPO funkcija — išorinis duomenų apsaugos pareigūnas, mėnesinė stebėsena
- Kibernetinis saugumas — IT auditas, NIS2 atitiktis, phishing mokymai
Kas yra BDAR 22 straipsnis?
BDAR 22 straipsnis nustato taisykles, kaip įmonės gali naudoti automatizuotus sprendimų priėmimo procesus, kurie apima asmens duomenis. Pagal šį straipsnį, automatizuoti sprendimai negali būti taikomi be aiškaus asmens sutikimo, išskyrus tam tikras išimtis. Pavyzdžiui, kai sprendimas grindžiamas teisiniu įsipareigojimu arba svarbiu viešuoju interesu. Įmonės privalo užtikrinti, kad bet kuris automatizuotas sprendimas būtų pagrįstas objektyviais ir skaidriais kriterijais. Tai reiškia, kad negalima taikyti diskriminacinių praktikų ar pasikliauti nepatikimais duomenimis. Be to, BDAR 22 straipsnis reikalauja, kad įmonės atliktų trijų pakopų balansavimo testą, kad įvertintų, ar jų teisėti interesai viršija asmens teises. Tokiu būdu, trūkstant dokumentuoto proceso, sprendimas gali būti laikomas neteisėtu. Įmonės turi dokumentuoti visus automatizuotus sprendimus ir jų pagrindimą, kad galėtų įrodyti atitiktį BDAR reikalavimams. Neteisingas BDAR 22 straipsnio taikymas gali lemti rimtas teisines pasekmes, įskaitant dideles baudas. Pavyzdžiui, VDAI nurodo, kad baudos už BDAR pažeidimus gali siekti iki 20 milijonų eurų arba 4% metinių pasaulinių pajamų, priklausomai nuo to, kas yra didesnis. Taigi, įmonėms būtina atidžiai stebėti, kaip jos taiko automatizuotus sprendimus, ir užtikrinti, kad visi procesai atitiktų BDAR 22 straipsnio reikalavimus. Tai padės ne tik išvengti teisinių problemų, bet ir užtikrinti vartotojų pasitikėjimą.
Automatizuotas sprendimų priėmimas pagal BDAR 22 straipsnį
Automatizuotų sprendimų priėmimas pagal BDAR 22 straipsnį reikalauja griežtų sąlygų ir aiškių kriterijų. Pirmiausia, asmens duomenys turi būti apdorojami tik pagal teisėtus interesus. Tai reiškia, kad reikia užtikrinti, jog asmuo būtų informuotas apie automatizuotų sprendimų poveikį. Pavyzdžiui, jeigu sprendimas gali lemti teisinius padarinius asmeniui, būtina gauti jo sutikimą. Antra, kiekvienas automatizuotas sprendimas turi būti pagrįstas patikimais duomenimis. Tai apima ne tik duomenų tikslumą, bet ir jų atnaujinimą. Trūkstant dokumentuoto trijų pakopų balansavimo testo, teisėto intereso pagrindas nelaikomas tinkamu. Šis testas padeda įvertinti, ar automatizuotas sprendimas yra proporcingas ir ar jis nepažeidžia asmens teisių. Be to, organizacijos privalo dokumentuoti visus automatizuotus sprendimus ir jų pagrindimą. Tai padeda užtikrinti skaidrumą ir atskaitomybę. Pasak Europos duomenų apsaugos valdybos, 60% organizacijų, taikančių automatizuotus sprendimus, neprisilaiko BDAR reikalavimų, kas gali sukelti rimtų teisinių pasekmių. Taigi, labai svarbu atidžiai analizuoti ir vertinti kiekvieną automatizuotą sprendimą. Organizacijos turėtų investuoti į atitinkamą mokymą ir technologijas, kad užtikrintų atitiktį BDAR. Tinkamai taikant BDAR 22 straipsnį, galima ne tik sumažinti teisinių problemų riziką, bet ir padidinti vartotojų pasitikėjimą bei lojalumą.
Teisinės pasekmės neteisingo BDAR 22 straipsnio taikymo
BDAR 22 straipsnio taikymas reikalauja atidumo, nes neteisingas jo interpretavimas gali sukelti rimtų teisinių pasekmių. Pirmiausia, organizacijos, nesilaikančios šio straipsnio reikalavimų, gali sulaukti didelių baudų. Pagal BDAR, maksimalus administracinių baudų dydis gali siekti iki 20 milijonų eurų arba 4% metinių pasaulinių pajamų, priklausomai nuo to, kuris iš šių dviejų sumų yra didesnis. Be to, asmenys, kurie mano, kad jų duomenys buvo neteisingai apdoroti, turi teisę kreiptis į teismą dėl žalos atlyginimo. Tai gali sukelti papildomų išlaidų ir reputacijos nuostolių organizacijai. Teisinė atsakomybė gali apimti ne tik finansines baudas, bet ir reikalavimus atlyginti nuostolius. Pavyzdžiui, jei automatizuotas sprendimas, pažeidžiantis BDAR 22 straipsnį, sukels neigiamų pasekmių asmeniui, tai organizacija gali būti atsakinga už žalą. Svarbu, kad organizacijos vykdytų tinkamą dokumentavimą visiems automatizuotiems sprendimams, kad galėtų įrodyti jų teisėtumą. Kaip teigia Europos duomenų apsaugos valdyba, "organizacijos, nesilaikančios BDAR reikalavimų, gali susidurti su rimtomis pasekmėmis, įskaitant finansines baudas ir teisines bylas". Tai pabrėžia poreikį užtikrinti, kad visi procesai būtų vykdomi pagal šiuos teisės aktus. Organizacijos turėtų atlikti reguliarius auditus ir mokymus, kad užtikrintų, jog visi darbuotojai supranta BDAR reikalavimus. Taip pat būtina atlikti trijų pakopų balansavimo testą, nes be jo teisėto intereso pagrindas nelaikomas tinkamu.
Kaip užtikrinti atitiktį BDAR 22 straipsniui
Užtikrinti atitiktį BDAR 22 straipsniui yra svarbus procesas, reikalaujantis nuoseklumo ir aiškumo. Pirmiausia, organizacijos turėtų atlikti išsamų automatizuotų sprendimų auditą. Tai apima visų sistemų, kurios naudoja asmens duomenis sprendimų priėmimui, identifikavimą. Tada būtina įvertinti, ar šie sprendimai atitinka BDAR reikalavimus. Jūsų organizacija turėtų užtikrinti, kad visi automatizuoti sprendimai būtų pagrįsti objektyviais kriterijais, o ne savavališkais sprendimais. Antra, reikia dokumentuoti procesus. Tai apima ne tik sprendimų priėmimo kriterijus, bet ir jų pagrindimą. Trijų pakopų balansavimo testas yra būtinas. Jis padeda patvirtinti, kad automatizuoti sprendimai yra teisėti ir proporcingi. Trečia, informuokite asmenis apie jų teises. Remiantis BDAR, asmenys turi teisę žinoti, kaip jų duomenys naudojami. Tai apima teisę gauti informaciją apie automatizuotus sprendimus, kurie gali turėti įtakos jų gyvenimui. Praktinės gairės rodo, kad 75% organizacijų, kurios tinkamai dokumentuoja automatizuotus sprendimus, sėkmingai užtikrina atitiktį BDAR. Galiausiai, nuolat peržiūrėkite ir atnaujinkite savo procesus, atsižvelgdami į naujus teisės aktus ir technologinius pokyčius. Tai ne tik padės išvengti teisinių pasekmių, bet ir užtikrins, kad jūsų organizacija laikosi geriausių praktikų asmens duomenų apsaugos srityje.
Dažniausios klaidos taikant BDAR 22 straipsnį
BDAR 22 straipsnio taikymas reikalauja ypatingo dėmesio, kad būtų išvengta dažniausiai pasitaikančių klaidų. Pirmiausia, svarbu užtikrinti, kad automatizuotas sprendimų priėmimas būtų pagrįstas objektyviais kriterijais. Dažnai organizacijos pasikliauna subjektyviais vertinimais, kas gali sukelti teisinių problemų. Be to, dokumentacija yra esminė. Be tinkamo sprendimų pagrindimo, gali būti, kad negalėsite pateisinti savo veiksmų. Trūkumas dokumentuoto trijų balansavimo testo yra dar viena dažna klaida. Be šio testo, teisėto intereso pagrindas nelaikomas tinkamu, o tai gali lemti griežtus sankcijas. Kaip teigia EDPB gairės, "dokumentavimas yra esminis aspektas, leidžiantis užtikrinti atitiktį BDAR". Taip pat, organizacijos dažnai nesilaiko duomenų subjektų teisių, pavyzdžiui, teisės būti pamirštam. Ignoruodami šias teises, galite susidurti su rimtomis pasekmėmis. Pasak VDAI, 60% organizacijų nesugeba tinkamai informuoti duomenų subjektų apie jų teises. Tai rodo, kad informuotumo trūkumas gali turėti didelių pasekmių. Galiausiai, svarbu reguliariai atnaujinti savo procesus ir užtikrinti, kad jie atitiktų besikeičiančius teisės aktus. BDAR 22 straipsnio taikymas nėra vienkartinė užduotis; tai nuolatinis procesas, reikalaujantis nuolatinio stebėjimo ir adaptacijos.
Jaučiatės įklimpę į kasdienę rutiną?
Nuolat traukiami į operatyvinius darbus, nors žinote, kad reikia dirbti SU verslu kaip savininkas. Metas turėti komandą, kuri padengs rutiną.
Gauti pilną BDAR auditą nemokamai →
Freedom With a Team
Your customers are unique and so are your challenges. That is why we offer solutions, not formulas — we tailor the system to your business so it fits how you actually operate.
Yes, I want to scale my business. Book a chat to learn more
Let’s Get You There
You are investing in your business and we want you to get results. That is why we focus on managing the work so you can focus on growth. You don’t just get a back-end team — you get your time back.
Yes, I want to scale my business. Book a chat to learn more
You Are Not Alone
It is challenging at the beginning, especially when shifting your mindset to not fulfilling the work yourself. But our team is with you from the very start — through onboarding, launch, and beyond.
Yes, I want to scale my business. Book a chat to learn moreMūsų paslaugos
Dešimt paslaugų, apimančių BDAR atitiktį, duomenų apsaugą ir kibernetinį saugumą. Kiekviena orientuota į rezultatą — audito ataskaitą, paruoštą dokumentą arba VDAI patikrai atlaikyti gebančią sistemą.
BDAR atitikties auditas
BDAR atitikties auditas patikrina, kaip jūsų įmonė tvarko asmens duomenis, ir palygina esamą praktiką su BDAR reikalavimais. Aprėpiama visa organizacija — nuo svetainės slapukų iki personalo duomenų ir tvarkytojų sutarčių, kiekviena sritis įvertinama pagal rizikos lygį.
Rezultatas — prioritetizuotas veiksmų planas, ne abstraktus sąrašas. Žinote tiksliai, ką taisyti pirma prieš VDAI patikrinimą, o ne veikiate nuojauta.
Kiek laiko trunka BDAR auditas?
Pilnas auditas paprastai trunka 2-4 savaites, priklausomai nuo įmonės dydžio ir duomenų tvarkymo procesų skaičiaus.
Ką tikrina BDAR auditas?
8-12 sričių: teisinį pagrindą, sutikimus, subjektų teises, saugumo priemones, tvarkytojų sutartis ir dokumentaciją (RoPA).
DPO funkcijos perdavimas
Duomenų apsaugos pareigūno (DPO) funkciją atlieka išorinis ekspertas pagal BDAR 37 str., o ne etatinis darbuotojas. Nepriklausomas pareigūnas be interesų konflikto stebi atitiktį, konsultuoja ir palaiko ryšį su VDAI.
Paslauga apima nuolatinę stebėseną, darbuotojų mokymus ir reagavimą į duomenų subjektų užklausas — už dalį etatinio DPO kainos.
Kada įmonei privalomas DPO?
Viešojo sektoriaus subjektams ir organizacijoms, dideliu mastu tvarkančioms specialių kategorijų duomenis ar vykdančioms sistemingą stebėseną (BDAR 37 str.).
Kiek kainuoja išorinis DPO?
Mėnesinis principas, gerokai pigiau nei etatinis specialistas. Tikslią kainą pateikiame per 24 val.
Kibernetinio saugumo auditas
IT infrastruktūros auditas įvertina kibernetines rizikas ir parengia saugumo politikos dokumentus jūsų verslui. Auditas apima phishing simuliacijas, incidentų reagavimo planą ir, jei reikia, pen-testavimą.
Rezultatas — konkretus rizikų sumažinimo planas, ne bendros rekomendacijos. Tęstinis mėnesinis monitoringas užtikrina, kad apsauga liktų aktuali.
Kiek trunka kibernetinio saugumo auditas?
Pats auditas — 2-3 savaitės, tęstinis monitoringas vyksta mėnesiniu principu.
Ar auditas apima phishing mokymus?
Taip. Phishing simuliacijos ir mokymai darbuotojams yra standartinė audito dalis, nes žmogiškasis faktorius yra dažniausia pažeidimų priežastis.
NIS2/TIS2 atitikties konsultacija
NIS2 atitikties konsultacija paruošia jūsų įmonę pagal LT TIS2 perkėlimą (nuo 2025-10-17). Atliekame atotrūkio analizę, registruojame įmonę NKSC ir parengiame 10 priemonių įgyvendinimo planą.
Apima incidentų pranešimo procedūras ir tiekimo grandinės saugumo vertinimą — pilnas pasiruošimas per 3-6 mėnesius.
Kam taikoma NIS2 Lietuvoje?
18 sektorių sąrašas, apimantis energetiką, sveikatos apsaugą, skaitmenines paslaugas ir kitus — atotrūkio analizė nustato, ar jūsų įmonė patenka į sąrašą.
Kiek trunka pilnas NIS2 pasiruošimas?
3-6 mėnesiai, priklausomai nuo pradinės atitikties būklės ir įmonės technologinės infrastruktūros sudėtingumo.
Duomenų tvarkymo registras
Duomenų tvarkymo veiklos įrašai (RoPA) pagal BDAR 30 str. fiksuoja, kokius duomenis tvarkote, kokiu tikslu ir kokiu teisiniu pagrindu. Tai pirmas dokumentas, kurio VDAI paprašo per patikrinimą.
Rengiame registrą per interviu su jūsų komanda, ne kaip tuščią šabloną — rezultatas atspindi realius duomenų srautus jūsų sistemose.
Kas privalo turėti duomenų tvarkymo registrą?
Beveik visi valdytojai ir tvarkytojai pagal BDAR 30 str. — mažiau nei 250 darbuotojų išimtis praktiškai netaikoma reguliariam tvarkymui.
Kuo RoPA skiriasi nuo privatumo politikos?
Privatumo politika yra išorinis dokumentas subjektams; RoPA yra vidinis, detalesnis registras priežiūros institucijai.
Poveikio duomenų apsaugai vertinimas
PDAV pagal BDAR 35 str. įvertina, kaip planuojamas duomenų tvarkymas paveiks fizinių asmenų teises — privalomas, kai tvarkymas kelia didelę riziką (stebėsena, specialių kategorijų duomenys, naujos technologijos).
Vertiname ir teisinį pagrindą, ir realią techninę architektūrą, todėl rezultatas yra naudojamas dokumentas, ne formalumas dėl varnelės.
Kada PDAV yra privalomas?
Kai tvarkymas kelia didelę riziką — sistemingai stebint, dideliu mastu tvarkant specialių kategorijų duomenis ar naudojant naujas technologijas (BDAR 35 str.).
Kiek laiko užtrunka poveikio vertinimas?
Paprastai 1-3 savaitės, priklausomai nuo sistemos sudėtingumo ir duomenų srautų apimties.
Privatumo politika svetainei
Privatumo politika pagal BDAR 13-14 str. informuoja lankytojus, kaip tvarkomi jų duomenys. Dažniausia klaida — nukopijuota svetimo verslo politika, kuri neatitinka realių procesų ir tampa įrodymu prieš jus.
Rengiame tekstą, suderintą su jūsų duomenų tvarkymo registru — aiškia kalba, atitinkantį BDAR 12 str. skaidrumo principą.
Ar galiu nukopijuoti kitos įmonės privatumo politiką?
Ne. Nukopijuota politika beveik niekada neatitinka jūsų realių procesų ir tampa įrodymu prieš jus per VDAI patikrinimą.
Ką privaloma nurodyti privatumo politikoje?
Valdytojo tapatybę, tvarkymo tikslus ir pagrindą, gavėjus, saugojimo terminus ir duomenų subjekto teises (BDAR 13-14 str.).
Duomenų tvarkytojo sutartis
Duomenų tvarkytojo sutartis (DPA) pagal BDAR 28 str. privaloma kaskart, kai perduodate duomenis IT tiekėjui, debesijos platformai ar buhalterijos biurui. Sutarties nebuvimas yra savarankiškas pažeidimas, net jei nutekėjimo neįvyko.
Rengiame sutartis, atitinkančias BDAR 28 str., ir tikriname jau gautas tiekėjų sutartis, kurios dažnai neapsaugo valdytojo.
Kada privaloma tvarkytojo sutartis?
Kaskart, kai perduodate asmens duomenis kitam subjektui, kuris juos tvarko jūsų vardu — IT paslaugoms, debesijai, buhalterijai.
Kas nutinka be DPA sutarties?
Tai savarankiškas BDAR 28 str. pažeidimas — VDAI patikrinimo metu reikalauja pateikti visas tvarkytojo sutartis.
Duomenų pažeidimo valdymas
Duomenų pažeidimo (data breach) reagavimo planas apibrėžia žingsnius, kai įvyksta saugumo incidentas — nuo aptikimo iki pranešimo VDAI per 72 val. (BDAR 33 str.) ir, jei reikia, duomenų subjektams.
Paruoštas planas sumažina reagavimo laiką ir riziką, kad pavėluotas ar netinkamas pranešimas taps papildomu pažeidimu.
Per kiek laiko reikia pranešti apie duomenų pažeidimą?
VDAI turi būti informuota per 72 valandas nuo sužinojimo apie pažeidimą, jei jis kelia riziką asmenų teisėms (BDAR 33 str.).
Ar visada reikia informuoti duomenų subjektus?
Tik kai pažeidimas kelia didelę riziką jų teisėms ir laisvėms (BDAR 34 str.) — planas nustato, kada šis slenkstis pasiektas.
BDAR mokymai darbuotojams
Darbuotojų BDAR ir kibernetinio saugumo mokymai sumažina dažniausią pažeidimų priežastį — žmogiškąjį faktorių. Apima phishing simuliacijas, duomenų tvarkymo praktikos apžvalgą ir incidentų atpažinimą.
Mokymai pritaikomi jūsų komandos realioms situacijoms, ne bendroms skaidrėms — darbuotojai išeina žinodami, ką konkrečiai daryti.
Kaip dažnai reikia atnaujinti BDAR mokymus?
Rekomenduojama bent kartą per metus, papildomai — įdiegus naują procesą ar po incidento.
Ar mokymai apima phishing simuliacijas?
Taip, tai standartinė dalis — realistiškos simuliacijos parodo, kiek darbuotojų atpažįsta grėsmę praktikoje, ne tik teorijoje.
Mūsų sertifikatai
Mūsų komanda sujungia teisininkus ir IT specialistus, kurie kasdien dirba su BDAR, NIS2 ir kibernetinio saugumo reikalavimais. Bet kokiu klausimu galite paklausti tiesiogiai konsultacijos metu.
Norite pasitikrinti savo atitiktį?
Tiesiogiai užsisakykite konsultaciją mygtuku žemiau. Turite klausimų? Užpildykite formą — komandos narys susisieks per 24 val.
Susisiekite
DUK
Kas yra BDAR 22 straipsnis ir kaip jis taikomas įmonėms?
BDAR 22 straipsnis reglamentuoja automatizuotų sprendimų priėmimą, ypač kai tai susiję su asmens duomenų apdorojimu. Įmonės turi užtikrinti, kad tokie sprendimai būtų pagrįsti aiškiais kriterijais ir nepažeistų asmenų teisių.
Kada BDAR 22 straipsnis leidžia automatizuotą sprendimų priėmimą?
BDAR 22 straipsnis leidžia automatizuotą sprendimų priėmimą, jei asmuo davė aiškų sutikimą, arba jei tai yra būtina sutarties vykdymui. Taip pat leidžiama, jei yra teisinis pagrindas, pavyzdžiui, teisėtas interesas.
Kaip BDAR 22 straipsnis apsaugo asmenų teises?
BDAR 22 straipsnis užtikrina, kad asmenys turi teisę būti informuoti apie automatizuotus sprendimus, kurie juos liečia. Be to, asmenys gali ginčyti tokius sprendimus ir reikalauti, kad būtų atliktas žmogaus įsikišimas.
Kokios yra BDAR 22 straipsnio pažeidimo pasekmės?
BDAR 22 straipsnio pažeidimai gali lemti rimtas teisines pasekmes, įskaitant dideles baudas, kurios gali siekti iki 20 milijonų eurų arba 4% metinių pajamų. Taip pat gali būti prarasta reputacija ir pasitikėjimas klientais.
Kaip įmonės gali užtikrinti atitiktį BDAR 22 straipsniui?
Įmonės gali užtikrinti atitiktį BDAR 22 straipsniui, dokumentuodamos visus automatizuotus sprendimus ir jų pagrindimą. Taip pat svarbu atlikti poveikio vertinimus ir užtikrinti, kad būtų atliktas trijų balansavimo testas.
Kuo BDAR 22 straipsnis skiriasi nuo kitų BDAR straipsnių?
BDAR 22 straipsnis specifikuoja automatizuotų sprendimų priėmimo sąlygas, kai kiti straipsniai apima bendresnius duomenų apsaugos principus. Tai leidžia geriau apsaugoti asmenų teises, kai sprendimai priimami be žmogaus įsikišimo.
Kokie yra praktiniai pavyzdžiai taikant BDAR 22 straipsnį?
Praktiniai pavyzdžiai apima kredito reitingų sistemų naudojimą, kur automatizuoti sprendimai gali lemti paskolų suteikimą. Taip pat tai gali būti personalizuoto marketingo kampanijos, kurios remiasi automatizuotu vartotojų profiliavimu.
Kaip BDAR 22 straipsnis veikia santykius su klientais?
BDAR 22 straipsnis stiprina santykius su klientais, nes užtikrina skaidrumą ir asmenų teisių apsaugą. Klientai turi teisę žinoti, kaip jų duomenys naudojami, ir gali reikalauti paaiškinimų dėl automatizuotų sprendimų.
Kokios yra dažniausios klaidos taikant BDAR 22 straipsnį?
Dažniausios klaidos apima nepakankamą sutikimo dokumentavimą ir trūkstamus poveikio vertinimus. Taip pat įmonės dažnai nesilaiko trijų balansavimo testo, kas gali lemti teisines problemas.
Kaip BDAR 22 straipsnis susijęs su kitais teisiniais reikalavimais?
BDAR 22 straipsnis yra sudėtinė Europos duomenų apsaugos teisės dalis, kuri yra susijusi su kitais teisės aktais, tokiais kaip vartotojų apsaugos teisės. Įmonės turi užtikrinti, kad jų praktikos atitiktų ne tik BDAR, bet ir kitus galiojančius teisės aktus.