Bdar straipsniu pazeidimai
Dažniausi BDAR pažeidimai įmonėse apima kelias kritines sritis. Pirmiausia, tai sutikimo trūkumas.
Apie Veriva UAB
Dauguma Lietuvos verslų neturi BDAR problemos — jie turi neaiškumo problemą. Veriva UAB sujungia teisinę ir IT kompetenciją vienoje komandoje, kad atitiktis būtų ne popierius stalčiuje, o realiai veikianti sistema.
Neteikiame bendrų rekomendacijų ar skaidrių. Atliekame auditus, rengiame dokumentus ir prižiūrime atitiktį realiose įmonės sistemose — nuo duomenų tvarkymo registro iki incidentų valdymo. Jei dokumentas neatitinka realios praktikos, jis nepadeda per VDAI patikrinimą.
Kiekviena paslauga baigiasi konkrečiu, naudojamu rezultatu — audito ataskaita, pasirašyta sutartimi ar paskirtu pareigūnu. Rankinis atitikties valdymas nespėja su reglamentų pokyčiais; mūsų sistema tai daro nuosekliai.
- BDAR atitiktis — auditas, RoPA, privatumo politikos, DPA sutartys
- DPO funkcija — išorinis duomenų apsaugos pareigūnas, mėnesinė stebėsena
- Kibernetinis saugumas — IT auditas, NIS2 atitiktis, phishing mokymai
Dažniausi BDAR straipsnių pažeidimai
Dažniausi BDAR pažeidimai įmonėse apima kelias kritines sritis. Pirmiausia, tai sutikimo trūkumas. Įmonės dažnai nesilaiko reikalavimo gauti aiškų ir nedviprasmišką sutikimą iš asmenų, kurių duomenys yra tvarkomi. Pasak Europos duomenų apsaugos valdybos, 58% BDAR pažeidimų yra susiję su netinkamu sutikimo rinkimu. Antra, duomenų tvarkymo pagrindo trūkumas. Įmonės turi užtikrinti, kad kiekvienas duomenų tvarkymo veiksmas būtų teisėtas, o tai dažnai pamirštama. Trečia, dokumentacijos trūkumas. Nepakankama dokumentacija apie duomenų tvarkymą gali lemti rimtas sankcijas. Pavyzdžiui, Valstybinė duomenų apsaugos inspekcija (VDAI) nurodo, kad netinkama dokumentacija buvo viena iš dažniausiai pasitaikančių pažeidimų priežasčių. Be to, duomenų saugumo pažeidimai, tokie kaip nesaugus duomenų saugojimas ar netinkamas prieigos valdymas, taip pat yra dažni. Įmonės turi investuoti į tinkamas technologijas ir procedūras, kad apsaugotų asmens duomenis nuo neautorizuoto priėjimo. Galiausiai, asmens duomenų perdavimas į trečiąsias šalis be tinkamo pagrindo ir sutikimo yra dar vienas dažnas pažeidimas. Įmonės, kurios nesilaiko BDAR reikalavimų, gali susidurti su didelėmis finansinėmis baudomis, kurios gali siekti iki 20 milijonų eurų arba 4% metinių pasaulinių pajamų, priklausomai nuo to, kas yra didesnis. Tokie pažeidimai gali turėti ilgalaikių pasekmių, todėl svarbu laikytis BDAR nuostatų.
Teisėto intereso pagrindo klaidos
Teisėto intereso pagrindo taikymas yra sudėtingas procesas, reikalaujantis kruopštaus dėmesio. Dažnai daromos klaidos, susijusios su šiuo pagrindu, gali sukelti rimtų teisinių pasekmių. Pirmiausia, būtina užtikrinti, kad būtų atliktas tinkamas balanso testas tarp interesų. Tai reiškia, kad organizacijos turi aiškiai dokumentuoti, kodėl jų interesai viršija duomenų subjekto teises. Nepakankamas dokumentacijos lygis gali lemti sankcijas. Pavyzdžiui, 2022 m . Europos duomenų apsaugos institucijos skyrė 50% daugiau baudų už BDAR pažeidimus, susijusius su teisėto intereso trūkumu. Taip pat svarbu atkreipti dėmesį į tai, kad teisėto intereso taikymas neturi būti automatizuotas. Kiekvienas atvejis turi būti vertinamas individualiai, atsižvelgiant į aplinkybes. Pavyzdžiui, rinkodaros veikloje gali būti sunku įrodyti, kad įmonės interesai viršija vartotojo privatumą. Tokiu atveju, geriausia būtų gauti aiškų sutikimą. Be to, organizacijos dažnai neįvertina, kad teisėto intereso pagrindas neturi būti naudojamas kaip lengvas sprendimas, kai kitos BDAR nuostatos gali būti tinkamesnės. Teisėto intereso taikymas reikalauja nuolatinio stebėjimo ir atnaujinimo, taip pat darbuotojų mokymo. Nepaisant šių reikalavimų, daugelis organizacijų vis dar patiria sunkumų. Tikėtina, kad ateityje teisėto intereso taikymo praktika dar labiau griežtės, todėl svarbu išlikti informuotiems apie naujausias gaires ir rekomendacijas.
Sutikimo rinkimo problemos
Netinkamai vykdomas sutikimo rinkimas gali sukelti rimtų teisinių pasekmių. Pirmiausia, sutikimai turi būti aiškūs ir nedviprasmiški. Jei asmuo nesupranta, kam jo duomenys bus naudojami, tai gali būti laikoma BDAR pažeidimu. Antra, dokumentacijos trūkumas gali lemti sankcijas, įskaitant dideles baudas. Pavyzdžiui, už BDAR nesilaikymą gali būti skiriama bauda iki 20 milijonų eurų arba 4% metinių pajamų, priklausomai nuo to, kuri suma yra didesnė. Sutikimo rinkimo procesas turi būti atidžiai dokumentuojamas. Tai apima visus gautus sutikimus, jų galiojimo laiką bei bet kokius pakeitimus. Be to, sutikimas turi būti laisvai duodamas, o ne privalomas. Šiuo atveju, netinkamai surinkti sutikimai gali sukelti neigiamas pasekmes tiek duomenų subjektui, tiek organizacijai. Taip pat svarbu žinoti, kad sutikimų atšaukimas turi būti toks pat lengvas kaip ir jų suteikimas. Tinkamai vykdant šiuos reikalavimus, galima sumažinti BDAR pažeidimų riziką. Teisėto intereso pagrindas reikalauja dokumentuoto balanso tarp organizacijos interesų ir duomenų subjekto teisių. Sutikimai turi būti atnaujinami reguliariai, kad būtų užtikrintas jų galiojimas. Pasak EDPB, 70% organizacijų nesilaiko BDAR reikalavimų dėl sutikimų, todėl būtina atidžiai stebėti šią sritį.
Dokumentavimo trūkumas
Duomenų tvarkymo dokumentacija yra esminis aspektas, užtikrinantis atitiktį BDAR reikalavimams. Jos trūkumas gali sukelti ne tik teisines problemas, bet ir didelių finansinių nuostolių. Pavyzdžiui, įmonės, kurios nesugeba pateikti tinkamos dokumentacijos, gali susidurti su baudomis, siekiančiomis iki 4% metinių pajamų arba 20 milijonų eurų, priklausomai nuo to, kuri suma yra didesnė. Dokumentacija padeda nustatyti, kaip ir kodėl renkami asmens duomenys, taip pat užtikrina, kad būtų laikomasi teisėtų interesų ir sutikimo reikalavimų. Be to, tinkamas dokumentavimas leidžia efektyviau valdyti duomenų tvarkymo procesus, sumažinant riziką susidurti su BDAR pažeidimais.
Pavyzdžiui, jei įmonė neturi aiškaus sutikimo dokumentavimo, tai gali sukelti problemų, kai vartotojai reikalauja, kad jų duomenys būtų ištrinti. Taip pat, trūkstant dokumentacijos, gali būti sunku pateikti įrodymus, kad įmonė laikosi BDAR reikalavimų. Tai gali neigiamai paveikti reputaciją.
Įmonės turėtų investuoti į tinkamą duomenų tvarkymo dokumentaciją, kad sumažintų galimų pažeidimų tikimybę. Dėl to, kad dokumentacija yra gyvybiškai svarbi, BDAR reikalauja, kad organizacijos reguliariai peržiūrėtų ir atnaujintų savo dokumentus, kad jie atitiktų nuolat kintančią teisės aktų aplinką.
Atitikties užtikrinimas ir tinkama dokumentacija gali padėti išvengti ne tik baudų, bet ir prarastų klientų pasitikėjimo. Taigi, yra būtina, kad kiekviena organizacija, tvarkanti asmens duomenis, turėtų aiškius ir išsamius įrašus apie visus duomenų tvarkymo veiksmus.
BDAR pažeidimų pasekmės
BDAR pažeidimai gali sukelti rimtų pasekmių, įskaitant finansines baudas, reputacijos praradimą ir teisines problemas. Įmonės, nesilaikančios BDAR reikalavimų, gali būti nubaustos iki 20 milijonų eurų arba 4% metinių pasaulinių pajamų, priklausomai nuo to, kuri suma yra didesnė. Šios baudos gali turėti didelį poveikį mažoms ir vidutinėms įmonėms, kurios dažnai neturi pakankamai išteklių, kad galėtų atlaikyti tokias finansines naštas. Be to, BDAR pažeidimai gali lemti teisines bylas prieš įmonę, kurios gali užtrukti ilgai ir reikalauti didelių išlaidų teisinėms paslaugoms. Reputacijos praradimas yra dar viena svarbi pasekmė: vartotojai gali prarasti pasitikėjimą įmone, o tai gali sumažinti klientų skaičių ir pardavimus. Pasak EDPB, 60% vartotojų teigia, kad jie nesinaudoja paslaugomis įmonių, kurios buvo nubaustos už BDAR pažeidimus. Įmonės, siekdamos išvengti tokių pasekmių, turėtų investuoti į atitikties programas, reguliariai atlikti auditą ir užtikrinti, kad visi darbuotojai būtų tinkamai apmokyti dėl duomenų apsaugos. Efektyvi duomenų apsaugos strategija gali padėti ne tik išvengti baudų, bet ir sustiprinti vartotojų pasitikėjimą. Taigi, laikydamiesi BDAR reikalavimų, įmonės gali apsisaugoti nuo rimtų pasekmių ir užtikrinti savo ilgalaikį veiklos tvarumą.
Jaučiatės įklimpę į kasdienę rutiną?
Nuolat traukiami į operatyvinius darbus, nors žinote, kad reikia dirbti SU verslu kaip savininkas. Metas turėti komandą, kuri padengs rutiną.
Gauti pilną BDAR auditą nemokamai →
Freedom With a Team
Your customers are unique and so are your challenges. That is why we offer solutions, not formulas — we tailor the system to your business so it fits how you actually operate.
Yes, I want to scale my business. Book a chat to learn more
Let’s Get You There
You are investing in your business and we want you to get results. That is why we focus on managing the work so you can focus on growth. You don’t just get a back-end team — you get your time back.
Yes, I want to scale my business. Book a chat to learn more
You Are Not Alone
It is challenging at the beginning, especially when shifting your mindset to not fulfilling the work yourself. But our team is with you from the very start — through onboarding, launch, and beyond.
Yes, I want to scale my business. Book a chat to learn moreMūsų paslaugos
Dešimt paslaugų, apimančių BDAR atitiktį, duomenų apsaugą ir kibernetinį saugumą. Kiekviena orientuota į rezultatą — audito ataskaitą, paruoštą dokumentą arba VDAI patikrai atlaikyti gebančią sistemą.
BDAR atitikties auditas
BDAR atitikties auditas patikrina, kaip jūsų įmonė tvarko asmens duomenis, ir palygina esamą praktiką su BDAR reikalavimais. Aprėpiama visa organizacija — nuo svetainės slapukų iki personalo duomenų ir tvarkytojų sutarčių, kiekviena sritis įvertinama pagal rizikos lygį.
Rezultatas — prioritetizuotas veiksmų planas, ne abstraktus sąrašas. Žinote tiksliai, ką taisyti pirma prieš VDAI patikrinimą, o ne veikiate nuojauta.
Kiek laiko trunka BDAR auditas?
Pilnas auditas paprastai trunka 2-4 savaites, priklausomai nuo įmonės dydžio ir duomenų tvarkymo procesų skaičiaus.
Ką tikrina BDAR auditas?
8-12 sričių: teisinį pagrindą, sutikimus, subjektų teises, saugumo priemones, tvarkytojų sutartis ir dokumentaciją (RoPA).
DPO funkcijos perdavimas
Duomenų apsaugos pareigūno (DPO) funkciją atlieka išorinis ekspertas pagal BDAR 37 str., o ne etatinis darbuotojas. Nepriklausomas pareigūnas be interesų konflikto stebi atitiktį, konsultuoja ir palaiko ryšį su VDAI.
Paslauga apima nuolatinę stebėseną, darbuotojų mokymus ir reagavimą į duomenų subjektų užklausas — už dalį etatinio DPO kainos.
Kada įmonei privalomas DPO?
Viešojo sektoriaus subjektams ir organizacijoms, dideliu mastu tvarkančioms specialių kategorijų duomenis ar vykdančioms sistemingą stebėseną (BDAR 37 str.).
Kiek kainuoja išorinis DPO?
Mėnesinis principas, gerokai pigiau nei etatinis specialistas. Tikslią kainą pateikiame per 24 val.
Kibernetinio saugumo auditas
IT infrastruktūros auditas įvertina kibernetines rizikas ir parengia saugumo politikos dokumentus jūsų verslui. Auditas apima phishing simuliacijas, incidentų reagavimo planą ir, jei reikia, pen-testavimą.
Rezultatas — konkretus rizikų sumažinimo planas, ne bendros rekomendacijos. Tęstinis mėnesinis monitoringas užtikrina, kad apsauga liktų aktuali.
Kiek trunka kibernetinio saugumo auditas?
Pats auditas — 2-3 savaitės, tęstinis monitoringas vyksta mėnesiniu principu.
Ar auditas apima phishing mokymus?
Taip. Phishing simuliacijos ir mokymai darbuotojams yra standartinė audito dalis, nes žmogiškasis faktorius yra dažniausia pažeidimų priežastis.
NIS2/TIS2 atitikties konsultacija
NIS2 atitikties konsultacija paruošia jūsų įmonę pagal LT TIS2 perkėlimą (nuo 2025-10-17). Atliekame atotrūkio analizę, registruojame įmonę NKSC ir parengiame 10 priemonių įgyvendinimo planą.
Apima incidentų pranešimo procedūras ir tiekimo grandinės saugumo vertinimą — pilnas pasiruošimas per 3-6 mėnesius.
Kam taikoma NIS2 Lietuvoje?
18 sektorių sąrašas, apimantis energetiką, sveikatos apsaugą, skaitmenines paslaugas ir kitus — atotrūkio analizė nustato, ar jūsų įmonė patenka į sąrašą.
Kiek trunka pilnas NIS2 pasiruošimas?
3-6 mėnesiai, priklausomai nuo pradinės atitikties būklės ir įmonės technologinės infrastruktūros sudėtingumo.
Duomenų tvarkymo registras
Duomenų tvarkymo veiklos įrašai (RoPA) pagal BDAR 30 str. fiksuoja, kokius duomenis tvarkote, kokiu tikslu ir kokiu teisiniu pagrindu. Tai pirmas dokumentas, kurio VDAI paprašo per patikrinimą.
Rengiame registrą per interviu su jūsų komanda, ne kaip tuščią šabloną — rezultatas atspindi realius duomenų srautus jūsų sistemose.
Kas privalo turėti duomenų tvarkymo registrą?
Beveik visi valdytojai ir tvarkytojai pagal BDAR 30 str. — mažiau nei 250 darbuotojų išimtis praktiškai netaikoma reguliariam tvarkymui.
Kuo RoPA skiriasi nuo privatumo politikos?
Privatumo politika yra išorinis dokumentas subjektams; RoPA yra vidinis, detalesnis registras priežiūros institucijai.
Poveikio duomenų apsaugai vertinimas
PDAV pagal BDAR 35 str. įvertina, kaip planuojamas duomenų tvarkymas paveiks fizinių asmenų teises — privalomas, kai tvarkymas kelia didelę riziką (stebėsena, specialių kategorijų duomenys, naujos technologijos).
Vertiname ir teisinį pagrindą, ir realią techninę architektūrą, todėl rezultatas yra naudojamas dokumentas, ne formalumas dėl varnelės.
Kada PDAV yra privalomas?
Kai tvarkymas kelia didelę riziką — sistemingai stebint, dideliu mastu tvarkant specialių kategorijų duomenis ar naudojant naujas technologijas (BDAR 35 str.).
Kiek laiko užtrunka poveikio vertinimas?
Paprastai 1-3 savaitės, priklausomai nuo sistemos sudėtingumo ir duomenų srautų apimties.
Privatumo politika svetainei
Privatumo politika pagal BDAR 13-14 str. informuoja lankytojus, kaip tvarkomi jų duomenys. Dažniausia klaida — nukopijuota svetimo verslo politika, kuri neatitinka realių procesų ir tampa įrodymu prieš jus.
Rengiame tekstą, suderintą su jūsų duomenų tvarkymo registru — aiškia kalba, atitinkantį BDAR 12 str. skaidrumo principą.
Ar galiu nukopijuoti kitos įmonės privatumo politiką?
Ne. Nukopijuota politika beveik niekada neatitinka jūsų realių procesų ir tampa įrodymu prieš jus per VDAI patikrinimą.
Ką privaloma nurodyti privatumo politikoje?
Valdytojo tapatybę, tvarkymo tikslus ir pagrindą, gavėjus, saugojimo terminus ir duomenų subjekto teises (BDAR 13-14 str.).
Duomenų tvarkytojo sutartis
Duomenų tvarkytojo sutartis (DPA) pagal BDAR 28 str. privaloma kaskart, kai perduodate duomenis IT tiekėjui, debesijos platformai ar buhalterijos biurui. Sutarties nebuvimas yra savarankiškas pažeidimas, net jei nutekėjimo neįvyko.
Rengiame sutartis, atitinkančias BDAR 28 str., ir tikriname jau gautas tiekėjų sutartis, kurios dažnai neapsaugo valdytojo.
Kada privaloma tvarkytojo sutartis?
Kaskart, kai perduodate asmens duomenis kitam subjektui, kuris juos tvarko jūsų vardu — IT paslaugoms, debesijai, buhalterijai.
Kas nutinka be DPA sutarties?
Tai savarankiškas BDAR 28 str. pažeidimas — VDAI patikrinimo metu reikalauja pateikti visas tvarkytojo sutartis.
Duomenų pažeidimo valdymas
Duomenų pažeidimo (data breach) reagavimo planas apibrėžia žingsnius, kai įvyksta saugumo incidentas — nuo aptikimo iki pranešimo VDAI per 72 val. (BDAR 33 str.) ir, jei reikia, duomenų subjektams.
Paruoštas planas sumažina reagavimo laiką ir riziką, kad pavėluotas ar netinkamas pranešimas taps papildomu pažeidimu.
Per kiek laiko reikia pranešti apie duomenų pažeidimą?
VDAI turi būti informuota per 72 valandas nuo sužinojimo apie pažeidimą, jei jis kelia riziką asmenų teisėms (BDAR 33 str.).
Ar visada reikia informuoti duomenų subjektus?
Tik kai pažeidimas kelia didelę riziką jų teisėms ir laisvėms (BDAR 34 str.) — planas nustato, kada šis slenkstis pasiektas.
BDAR mokymai darbuotojams
Darbuotojų BDAR ir kibernetinio saugumo mokymai sumažina dažniausią pažeidimų priežastį — žmogiškąjį faktorių. Apima phishing simuliacijas, duomenų tvarkymo praktikos apžvalgą ir incidentų atpažinimą.
Mokymai pritaikomi jūsų komandos realioms situacijoms, ne bendroms skaidrėms — darbuotojai išeina žinodami, ką konkrečiai daryti.
Kaip dažnai reikia atnaujinti BDAR mokymus?
Rekomenduojama bent kartą per metus, papildomai — įdiegus naują procesą ar po incidento.
Ar mokymai apima phishing simuliacijas?
Taip, tai standartinė dalis — realistiškos simuliacijos parodo, kiek darbuotojų atpažįsta grėsmę praktikoje, ne tik teorijoje.
Mūsų sertifikatai
Mūsų komanda sujungia teisininkus ir IT specialistus, kurie kasdien dirba su BDAR, NIS2 ir kibernetinio saugumo reikalavimais. Bet kokiu klausimu galite paklausti tiesiogiai konsultacijos metu.
Norite pasitikrinti savo atitiktį?
Tiesiogiai užsisakykite konsultaciją mygtuku žemiau. Turite klausimų? Užpildykite formą — komandos narys susisieks per 24 val.
Susisiekite
DUK
Kas yra BDAR pažeidimas ir kaip jis gali paveikti įmonę?
BDAR pažeidimas yra bet koks asmens duomenų tvarkymo taisyklių pažeidimas. Tokie pažeidimai gali sukelti finansines baudas, siekiančias iki 20 milijonų eurų arba 4% metinių pajamų, priklausomai nuo pažeidimo pobūdžio.
Kada įmonė turi atlikti trijų pakopų balansavimo testą?
Įmonė turi atlikti trijų pakopų balansavimo testą, kai planuoja tvarkyti asmens duomenis, remdamasi teisėtu interesu. Testas būtinas, jei duomenų tvarkymas gali turėti didelį poveikį asmenų teisėms ir laisvėms.
Kaip BDAR straipsniai apibrėžia teisėtą interesą?
BDAR straipsniai apibrėžia teisėtą interesą kaip pagrindą tvarkyti asmens duomenis, kai tai yra būtina įmonės interesams. Tačiau šis interesas turi būti subalansuotas su asmenų teisėmis ir laisvėmis.
Kodėl sutikimo rinkimas yra svarbus pagal BDAR?
Sutikimo rinkimas yra svarbus, nes tai užtikrina, kad asmenys aiškiai supranta, kaip bus naudojami jų duomenys. Sutikimas turi būti laisvas, konkretus ir nedviprasmiškas, kitaip gali būti laikomas neteisėtu.
Kaip įmonės gali išvengti BDAR pažeidimų?
Įmonės gali išvengti BDAR pažeidimų laikydamosi reikalavimų ir nuolat atnaujindamos savo duomenų tvarkymo politiką. Taip pat svarbu apmokyti darbuotojus ir užtikrinti tinkamą dokumentaciją.
Kokie yra dažniausi BDAR straipsnių pažeidimai Lietuvoje?
Dažniausi BDAR straipsnių pažeidimai Lietuvoje apima neteisėtą duomenų tvarkymą, sutikimo trūkumą ir nepakankamą informavimą apie duomenų tvarkymą. Šie pažeidimai gali sukelti rimtų teisinius ir finansinius padarinius.
Kuo skiriasi pre-checked checkboxes ir explicit consent?
Pre-checked checkboxes yra iš anksto pažymėti laukeliai, kurie gali sukelti neteisėtą sutikimą. Tuo tarpu explicit consent reikalauja, kad asmuo aiškiai ir aktyviai patvirtintų savo sutikimą, kas yra BDAR reikalavimas.
Kaip VDAI sprendimai veikia įmonių BDAR atitiktį?
VDAI sprendimai padeda įmonėms užtikrinti BDAR atitiktį, teikdami išsamius įrankius ir metodikas duomenų tvarkymui. Tai apima rizikos vertinimą, dokumentacijos rengimą ir darbuotojų mokymus.
Kada įmonė gali naudoti teisėto intereso pagrindą?
Įmonė gali naudoti teisėto intereso pagrindą, kai duomenų tvarkymas yra būtinas jos veiklos interesams. Tačiau būtina atlikti balanso testą, kad būtų užtikrinta, jog asmenų teisės nėra pažeidžiamos.
Kaip dokumentacijos trūkumas gali sukelti BDAR pažeidimus?
Dokumentacijos trūkumas gali sukelti BDAR pažeidimus, nes įmonė negalės įrodyti, kad laikosi reikalavimų. Tai gali lemti sankcijas ir nuostolius, todėl svarbu turėti tvarkingą ir išsamią dokumentaciją.