Kada privalomas DPO: išsamus vadovas įmonėms
BDAR, arba Bendrasis duomenų apsaugos reglamentas, nustato konkrečius reikalavimus dėl duomenų apsaugos pareigūno (DPO) paskyrimo.
Apie Veriva UAB
Dauguma Lietuvos verslų neturi BDAR problemos — jie turi neaiškumo problemą. Veriva UAB sujungia teisinę ir IT kompetenciją vienoje komandoje, kad atitiktis būtų ne popierius stalčiuje, o realiai veikianti sistema.
Neteikiame bendrų rekomendacijų ar skaidrių. Atliekame auditus, rengiame dokumentus ir prižiūrime atitiktį realiose įmonės sistemose — nuo duomenų tvarkymo registro iki incidentų valdymo. Jei dokumentas neatitinka realios praktikos, jis nepadeda per VDAI patikrinimą.
Kiekviena paslauga baigiasi konkrečiu, naudojamu rezultatu — audito ataskaita, pasirašyta sutartimi ar paskirtu pareigūnu. Rankinis atitikties valdymas nespėja su reglamentų pokyčiais; mūsų sistema tai daro nuosekliai.
- BDAR atitiktis — auditas, RoPA, privatumo politikos, DPA sutartys
- DPO funkcija — išorinis duomenų apsaugos pareigūnas, mėnesinė stebėsena
- Kibernetinis saugumas — IT auditas, NIS2 atitiktis, phishing mokymai
BDAR reikalavimai dėl DPO paskyrimo
BDAR, arba Bendrasis duomenų apsaugos reglamentas, nustato konkrečius reikalavimus dėl duomenų apsaugos pareigūno (DPO) paskyrimo. Pagal BDAR 37 straipsnį, DPO turi būti paskirtas, jei organizacija vykdo reguliarias ir sistemingas duomenų subjektų stebėsenas arba apdoroja didelius asmens duomenų kiekius. Tai apima įmones, kurios tvarko duomenis apie daugiau nei 5,000 asmenų per metus. Pavyzdžiui, medicinos įstaigos, didelės prekybos įmonės ar finansų institucijos privalo turėti DPO, kad užtikrintų tinkamą asmens duomenų tvarkymą. DPO paskyrimas ne tik padeda užtikrinti atitiktį BDAR, bet ir sumažina organizacijos riziką. Teisingai paskirtas DPO gali padėti sumažinti duomenų pažeidimų skaičių iki 30% . Įmonės, kurios ignoruoja DPO paskyrimo reikalavimus, gali susidurti su didelėmis baudomis, kurios gali siekti iki 4% metinių pajamų arba 20 milijonų eurų, atsižvelgiant į tai, kuris yra didesnis. DPO atsakomybės apima ne tik teisinį atitikties užtikrinimą, bet ir darbuotojų mokymą apie duomenų apsaugą. Be to, DPO konsultuoja organizaciją dėl duomenų valdymo praktikų ir padeda kurti politiką, atitinkančią BDAR reikalavimus. DPO taip pat atsako už ryšius su priežiūros institucijomis ir duomenų subjektais, todėl jų vaidmuo yra esminis duomenų saugumo strategijoje. Kiekviena organizacija turi įvertinti savo veiklos pobūdį ir nustatyti, ar DPO paskyrimas yra būtinas. Tinkamas DPO pasirinkimas gali turėti didelės įtakos organizacijos gebėjimui tvarkyti asmens duomenis saugiai ir teisėtai.
Kada DPO tampa privalomas įmonėje
DPO (Duomenų apsaugos pareigūnas) privalomas tam tikrose situacijose ir sektoriuose. Pirmiausia, DPO reikia įmonėms, kurios vykdo reguliarias ir sistemingas asmens duomenų stebėsenas dideliu mastu. Tai gali būti, pavyzdžiui, bankininkystės sektorius, kuriame nuolat analizuojami klientų duomenys. Antra, DPO būtinas organizacijoms, kurios dirba su dideliu jautrių duomenų kiekiu, kaip tai daro sveikatos priežiūros įstaigos. Šios įmonės tvarko asmens duomenis, kurie gali turėti didelį poveikį asmenų privatumui. Trečia, DPO yra privalomas viešojo sektoriaus institucijoms, nepriklausomai nuo to, ar jos tvarko duomenis dideliu mastu. Pagal BDAR 37 straipsnį, DPO paskyrimas yra būtinas, kai įmonė atitinka bent vieną iš šių kriterijų. DPO vaidmuo yra užtikrinti, kad organizacija laikytųsi duomenų apsaugos teisės aktų ir būtų pasiruošusi atsakyti į galimus pažeidimus. Įmonės be DPO rizikuoja didelėmis baudomis, kurios gali siekti iki 4% metinių pajamų. Be to, DPO padeda kurti vidinius procesus, kad būtų užtikrintas atitikties reikalavimų laikymasis. Vis daugiau organizacijų supranta DPO svarbą. Pavyzdžiui, įmonės, kurios įdiegia DPO, praneša apie 30% mažesnį duomenų pažeidimų skaičių. Tai rodo, kad tinkamai paskirtas DPO gali žymiai pagerinti duomenų saugumą ir sumažinti teisinius rizikos veiksnius. Todėl kiekvienas verslas turėtų įvertinti savo situaciją ir nuspręsti, ar DPO paskyrimas yra būtinas.
DPO funkcijos ir atsakomybės
DPO, arba duomenų apsaugos pareigūnas, atlieka esminį vaidmenį organizacijose, kurios tvarko asmens duomenis. Pagrindinės DPO funkcijos apima stebėti, ar organizacija laikosi BDAR reikalavimų, teikti konsultacijas dėl duomenų apsaugos ir atlikti mokymus darbuotojams. DPO taip pat atsako už duomenų apsaugos politikos kūrimą ir įgyvendinimą. Jis turi teisę bendrauti su priežiūros institucijomis, kad užtikrintų, jog organizacija tinkamai reaguoja į bet kokius duomenų pažeidimus. Pagal BDAR 37 straipsnį, DPO paskyrimas yra privalomas, jei organizacija reguliariai ir sistemingai stebi asmenis. Taip pat DPO būtinas, jei organizacija tvarko didelį jautrių duomenų kiekį, pavyzdžiui, sveikatos ar biometrinių duomenų. DPO užtikrina, kad organizacija ne tik atitiktų teisinius reikalavimus, bet ir gerbtų klientų privatumą. Organizacijos, kurios neturi paskirto DPO, gali susidurti su rimtomis pasekmėmis. Baudų dydis gali siekti iki 4% metinės pasaulinės apyvartos arba 20 milijonų eurų, priklausomai nuo to, kuris skaičius yra didesnis. DPO vaidmuo yra ne tik teisinis, bet ir strateginis. Jis gali padėti organizacijoms užtikrinti efektyvų duomenų valdymą ir sumažinti riziką. Be to, DPO gali prisidėti prie organizacijos reputacijos gerinimo. Teisingai vykdydami duomenų apsaugos politiką, įmonės gali padidinti klientų pasitikėjimą. DPO, kaip nepriklausomas objektyvus asmuo, gali suteikti vertingų įžvalgų apie asmens duomenų tvarkymą ir padėti organizacijoms išvengti galimų pažeidimų, kurie gali pakenkti tiek finansinėms, tiek reputacijos sąnaudoms.
DPO paskyrimo procesas
DPO (Duomenų Apsaugos Pareigūnas) paskyrimo procesas yra esminis žingsnis užtikrinant, kad įmonė atitiktų BDAR reikalavimus. Pirmiausia, reikia nustatyti, ar DPO yra privalomas. BDAR 37 straipsnis nurodo, kad DPO yra būtinas, jei organizacija atlieka reguliarias ir sistemines duomenų subjektų stebėsenas arba tvarko didelius asmens duomenų kiekius. Taip pat, DPO turi būti paskirtas, kai organizacija tvarko specialias kategorijas duomenų, kaip rasinė ar etninė kilmė, politinės nuostatos, religija ar sveikatos informacija. DPO paskyrimas padeda užtikrinti, kad organizacija laikytųsi visų duomenų apsaugos reikalavimų. Teisingai paskirtas DPO užtikrina BDAR laikymąsi, o tai sumažina riziką susidurti su didelėmis baudomis. Įmonės be DPO rizikuoja ne tik finansinėmis sankcijomis, bet ir reputacijos praradimu. DPO vaidmuo yra kritiškai svarbus duomenų saugumui. DPO turi turėti pakankamai išsilavinimo ir patirties duomenų apsaugos srityje. Jis privalo būti nepriklausomas, nesusijęs su kasdieniu duomenų tvarkymo procesu, kad galėtų objektyviai vertinti situaciją. DPO turėtų būti paskirtas raštiškai, nurodant jo atsakomybes ir pareigas. Paskyrus DPO, būtina užtikrinti, kad jis turėtų tiesioginę prieigą prie aukščiausio lygio vadovybės. Taip pat, jis turi būti tinkamai apmokytas ir informuotas apie naujausius teisės aktus bei gerąsias praktikas. DPO turėtų reguliariai teikti ataskaitas vadovybei apie duomenų apsaugos politikos įgyvendinimą. Tinkamai veikiantis DPO gali padėti sumažinti duomenų pažeidimų skaičių iki 30% , gerinant organizacijos duomenų apsaugos strategiją.
DPO nauda įmonei
Duomenų apsaugos pareigūno (DPO) yra esminis žingsnis, siekiant išvengti BDAR pažeidimų. DPO užtikrina, kad įmonės veikla atitiktų duomenų apsaugos reikalavimus ir padeda identifikuoti galimas rizikas. Remiantis 37 straipsniu, DPO būtinas, kai įmonė vykdo reguliarias ir sistemingas duomenų subjektų stebėsenas. Be DPO, įmonės gali susidurti su didelėmis baudomis, kurios siekia iki 20 milijonų eurų arba 4 % metinių pasaulinių pajamų, priklausomai nuo to, kuri suma yra didesnė. DPO vaidmuo apima ne tik teisinių reikalavimų laikymąsi, bet ir darbuotojų mokymą apie duomenų apsaugą. Kuo daugiau darbuotojų žinos apie BDAR reikalavimus, tuo mažesnė tikimybė, kad įvyks pažeidimai. DPO taip pat gali padėti įmonėms įgyvendinti tinkamas duomenų tvarkymo politikos ir procedūras, kurios sumažina riziką. Pavyzdžiui, įmonės, turinčios DPO, praneša apie 30 % mažesnį duomenų pažeidimų skaičių. Be to, DPO atlieka auditą, kuris padeda nustatyti silpnąsias vietas duomenų apsaugos procesuose. Tai leidžia įmonėms imtis veiksmų prieš atsirandant problemoms. DPO gali būti ne tik vidinis darbuotojas, bet ir išorinis konsultantas, priklausomai nuo įmonės dydžio ir poreikių. DPO yra strateginė investicija, padedanti išvengti neigiamų pasekmių, susijusių su duomenų apsaugos pažeidimais.
Jaučiatės įklimpę į kasdienę rutiną?
Nuolat traukiami į operatyvinius darbus, nors žinote, kad reikia dirbti SU verslu kaip savininkas. Metas turėti komandą, kuri padengs rutiną.
Gauti pilną BDAR auditą nemokamai →
Freedom With a Team
Your customers are unique and so are your challenges. That is why we offer solutions, not formulas — we tailor the system to your business so it fits how you actually operate.
Yes, I want to scale my business. Book a chat to learn more
Let’s Get You There
You are investing in your business and we want you to get results. That is why we focus on managing the work so you can focus on growth. You don’t just get a back-end team — you get your time back.
Yes, I want to scale my business. Book a chat to learn more
You Are Not Alone
It is challenging at the beginning, especially when shifting your mindset to not fulfilling the work yourself. But our team is with you from the very start — through onboarding, launch, and beyond.
Yes, I want to scale my business. Book a chat to learn moreMūsų paslaugos
Dešimt paslaugų, apimančių BDAR atitiktį, duomenų apsaugą ir kibernetinį saugumą. Kiekviena orientuota į rezultatą — audito ataskaitą, paruoštą dokumentą arba VDAI patikrai atlaikyti gebančią sistemą.
BDAR atitikties auditas
BDAR atitikties auditas patikrina, kaip jūsų įmonė tvarko asmens duomenis, ir palygina esamą praktiką su BDAR reikalavimais. Aprėpiama visa organizacija — nuo svetainės slapukų iki personalo duomenų ir tvarkytojų sutarčių, kiekviena sritis įvertinama pagal rizikos lygį.
Rezultatas — prioritetizuotas veiksmų planas, ne abstraktus sąrašas. Žinote tiksliai, ką taisyti pirma prieš VDAI patikrinimą, o ne veikiate nuojauta.
Kiek laiko trunka BDAR auditas?
Pilnas auditas paprastai trunka 2-4 savaites, priklausomai nuo įmonės dydžio ir duomenų tvarkymo procesų skaičiaus.
Ką tikrina BDAR auditas?
8-12 sričių: teisinį pagrindą, sutikimus, subjektų teises, saugumo priemones, tvarkytojų sutartis ir dokumentaciją (RoPA).
DPO funkcijos perdavimas
Duomenų apsaugos pareigūno (DPO) funkciją atlieka išorinis ekspertas pagal BDAR 37 str., o ne etatinis darbuotojas. Nepriklausomas pareigūnas be interesų konflikto stebi atitiktį, konsultuoja ir palaiko ryšį su VDAI.
Paslauga apima nuolatinę stebėseną, darbuotojų mokymus ir reagavimą į duomenų subjektų užklausas — už dalį etatinio DPO kainos.
Kada įmonei privalomas DPO?
Viešojo sektoriaus subjektams ir organizacijoms, dideliu mastu tvarkančioms specialių kategorijų duomenis ar vykdančioms sistemingą stebėseną (BDAR 37 str.).
Kiek kainuoja išorinis DPO?
Mėnesinis principas, gerokai pigiau nei etatinis specialistas. Tikslią kainą pateikiame per 24 val.
Kibernetinio saugumo auditas
IT infrastruktūros auditas įvertina kibernetines rizikas ir parengia saugumo politikos dokumentus jūsų verslui. Auditas apima phishing simuliacijas, incidentų reagavimo planą ir, jei reikia, pen-testavimą.
Rezultatas — konkretus rizikų sumažinimo planas, ne bendros rekomendacijos. Tęstinis mėnesinis monitoringas užtikrina, kad apsauga liktų aktuali.
Kiek trunka kibernetinio saugumo auditas?
Pats auditas — 2-3 savaitės, tęstinis monitoringas vyksta mėnesiniu principu.
Ar auditas apima phishing mokymus?
Taip. Phishing simuliacijos ir mokymai darbuotojams yra standartinė audito dalis, nes žmogiškasis faktorius yra dažniausia pažeidimų priežastis.
NIS2/TIS2 atitikties konsultacija
NIS2 atitikties konsultacija paruošia jūsų įmonę pagal LT TIS2 perkėlimą (nuo 2025-10-17). Atliekame atotrūkio analizę, registruojame įmonę NKSC ir parengiame 10 priemonių įgyvendinimo planą.
Apima incidentų pranešimo procedūras ir tiekimo grandinės saugumo vertinimą — pilnas pasiruošimas per 3-6 mėnesius.
Kam taikoma NIS2 Lietuvoje?
18 sektorių sąrašas, apimantis energetiką, sveikatos apsaugą, skaitmenines paslaugas ir kitus — atotrūkio analizė nustato, ar jūsų įmonė patenka į sąrašą.
Kiek trunka pilnas NIS2 pasiruošimas?
3-6 mėnesiai, priklausomai nuo pradinės atitikties būklės ir įmonės technologinės infrastruktūros sudėtingumo.
Duomenų tvarkymo registras
Duomenų tvarkymo veiklos įrašai (RoPA) pagal BDAR 30 str. fiksuoja, kokius duomenis tvarkote, kokiu tikslu ir kokiu teisiniu pagrindu. Tai pirmas dokumentas, kurio VDAI paprašo per patikrinimą.
Rengiame registrą per interviu su jūsų komanda, ne kaip tuščią šabloną — rezultatas atspindi realius duomenų srautus jūsų sistemose.
Kas privalo turėti duomenų tvarkymo registrą?
Beveik visi valdytojai ir tvarkytojai pagal BDAR 30 str. — mažiau nei 250 darbuotojų išimtis praktiškai netaikoma reguliariam tvarkymui.
Kuo RoPA skiriasi nuo privatumo politikos?
Privatumo politika yra išorinis dokumentas subjektams; RoPA yra vidinis, detalesnis registras priežiūros institucijai.
Poveikio duomenų apsaugai vertinimas
PDAV pagal BDAR 35 str. įvertina, kaip planuojamas duomenų tvarkymas paveiks fizinių asmenų teises — privalomas, kai tvarkymas kelia didelę riziką (stebėsena, specialių kategorijų duomenys, naujos technologijos).
Vertiname ir teisinį pagrindą, ir realią techninę architektūrą, todėl rezultatas yra naudojamas dokumentas, ne formalumas dėl varnelės.
Kada PDAV yra privalomas?
Kai tvarkymas kelia didelę riziką — sistemingai stebint, dideliu mastu tvarkant specialių kategorijų duomenis ar naudojant naujas technologijas (BDAR 35 str.).
Kiek laiko užtrunka poveikio vertinimas?
Paprastai 1-3 savaitės, priklausomai nuo sistemos sudėtingumo ir duomenų srautų apimties.
Privatumo politika svetainei
Privatumo politika pagal BDAR 13-14 str. informuoja lankytojus, kaip tvarkomi jų duomenys. Dažniausia klaida — nukopijuota svetimo verslo politika, kuri neatitinka realių procesų ir tampa įrodymu prieš jus.
Rengiame tekstą, suderintą su jūsų duomenų tvarkymo registru — aiškia kalba, atitinkantį BDAR 12 str. skaidrumo principą.
Ar galiu nukopijuoti kitos įmonės privatumo politiką?
Ne. Nukopijuota politika beveik niekada neatitinka jūsų realių procesų ir tampa įrodymu prieš jus per VDAI patikrinimą.
Ką privaloma nurodyti privatumo politikoje?
Valdytojo tapatybę, tvarkymo tikslus ir pagrindą, gavėjus, saugojimo terminus ir duomenų subjekto teises (BDAR 13-14 str.).
Duomenų tvarkytojo sutartis
Duomenų tvarkytojo sutartis (DPA) pagal BDAR 28 str. privaloma kaskart, kai perduodate duomenis IT tiekėjui, debesijos platformai ar buhalterijos biurui. Sutarties nebuvimas yra savarankiškas pažeidimas, net jei nutekėjimo neįvyko.
Rengiame sutartis, atitinkančias BDAR 28 str., ir tikriname jau gautas tiekėjų sutartis, kurios dažnai neapsaugo valdytojo.
Kada privaloma tvarkytojo sutartis?
Kaskart, kai perduodate asmens duomenis kitam subjektui, kuris juos tvarko jūsų vardu — IT paslaugoms, debesijai, buhalterijai.
Kas nutinka be DPA sutarties?
Tai savarankiškas BDAR 28 str. pažeidimas — VDAI patikrinimo metu reikalauja pateikti visas tvarkytojo sutartis.
Duomenų pažeidimo valdymas
Duomenų pažeidimo (data breach) reagavimo planas apibrėžia žingsnius, kai įvyksta saugumo incidentas — nuo aptikimo iki pranešimo VDAI per 72 val. (BDAR 33 str.) ir, jei reikia, duomenų subjektams.
Paruoštas planas sumažina reagavimo laiką ir riziką, kad pavėluotas ar netinkamas pranešimas taps papildomu pažeidimu.
Per kiek laiko reikia pranešti apie duomenų pažeidimą?
VDAI turi būti informuota per 72 valandas nuo sužinojimo apie pažeidimą, jei jis kelia riziką asmenų teisėms (BDAR 33 str.).
Ar visada reikia informuoti duomenų subjektus?
Tik kai pažeidimas kelia didelę riziką jų teisėms ir laisvėms (BDAR 34 str.) — planas nustato, kada šis slenkstis pasiektas.
BDAR mokymai darbuotojams
Darbuotojų BDAR ir kibernetinio saugumo mokymai sumažina dažniausią pažeidimų priežastį — žmogiškąjį faktorių. Apima phishing simuliacijas, duomenų tvarkymo praktikos apžvalgą ir incidentų atpažinimą.
Mokymai pritaikomi jūsų komandos realioms situacijoms, ne bendroms skaidrėms — darbuotojai išeina žinodami, ką konkrečiai daryti.
Kaip dažnai reikia atnaujinti BDAR mokymus?
Rekomenduojama bent kartą per metus, papildomai — įdiegus naują procesą ar po incidento.
Ar mokymai apima phishing simuliacijas?
Taip, tai standartinė dalis — realistiškos simuliacijos parodo, kiek darbuotojų atpažįsta grėsmę praktikoje, ne tik teorijoje.
Mūsų sertifikatai
Mūsų komanda sujungia teisininkus ir IT specialistus, kurie kasdien dirba su BDAR, NIS2 ir kibernetinio saugumo reikalavimais. Bet kokiu klausimu galite paklausti tiesiogiai konsultacijos metu.
Norite pasitikrinti savo atitiktį?
Tiesiogiai užsisakykite konsultaciją mygtuku žemiau. Turite klausimų? Užpildykite formą — komandos narys susisieks per 24 val.
Susisiekite
DUK
Kas yra DPO ir kada įmonei jo reikia?
DPO, arba duomenų apsaugos pareigūnas, yra asmuo, atsakingas už asmens duomenų apsaugą įmonėje. DPO privalomas, jei įmonė reguliariai ir sistemingai stebi asmenis arba tvarko didelį asmens duomenų kiekį.
Kaip nustatyti, ar DPO privalomas mūsų įmonei?
Norint nustatyti, ar DPO privalomas, reikia įvertinti duomenų tvarkymo pobūdį ir apimtį. Jei įmonė tvarko specialių kategorijų duomenis, tokius kaip sveikatos ar rasiniai duomenys, DPO yra būtinas.
Kokie yra pagrindiniai DPO atsakomybės aspektai?
DPO atsakomybės apima duomenų apsaugos politikos kūrimą, darbuotojų mokymą ir konsultavimą. Taip pat jis stebi, kaip įmonė laikosi BDAR reikalavimų ir bendradarbiauja su priežiūros institucijomis.
Kuo DPO skiriasi nuo kitų duomenų apsaugos specialistų?
DPO turi specifines teises ir pareigas, nustatytas BDAR, ir yra nepriklausomas nuo įmonės valdymo. Kiti duomenų apsaugos specialistai gali būti atsakingi už konkrečius projektus, o DPO turi platesnę atsakomybę visiems duomenų apsaugos aspektams.
Kokios yra DPO paskyrimo pasekmės įmonei?
DPO paskyrimas gali pagerinti įmonės reputaciją ir pasitikėjimą klientais. Be to, jis padeda sumažinti duomenų apsaugos pažeidimų riziką ir galimas baudas.
Kaip DPO padeda laikytis BDAR reikalavimų?
DPO konsultuoja įmonę dėl BDAR reikalavimų ir padeda sukurti atitinkamas procedūras. Jo buvimas užtikrina, kad įmonė būtų informuota apie naujoves ir galimus rizikos veiksnius.
Kokie yra dažniausi DPO paskyrimo iššūkiai?
Dažniausi iššūkiai yra tinkamo kandidato pasirinkimas ir išteklių skyrimas DPO veiklai. Taip pat, įmonės gali susidurti su darbuotojų pasipriešinimu pokyčiams, susijusiems su duomenų apsauga.
Kaip pasirinkti tinkamą DPO kandidatą?
Pasirinkdami DPO kandidatą, atkreipkite dėmesį į jo patirtį duomenų apsaugos srityje ir žinias apie BDAR. Taip pat svarbu, kad kandidatas turėtų gerus komunikacijos įgūdžius ir gebėtų dirbti su įvairiomis komandomis.
Kokios sankcijos laukia įmonės be DPO?
Įmonės, neturinčios DPO, gali su didelėmis baudomis, kurios gali siekti iki 20 milijonų eurų arba 4% metinių pajamų. Taip pat gali kilti reputacijos nuostolių ir klientų pasitikėjimo praradimo.
Kaip DPO gali pagerinti įmonės duomenų saugumą?
DPO gali pagerinti duomenų saugumą, įgyvendindamas saugumo politiką ir procedūras, skirtas duomenų apsaugai. Be to, jis organizuoja mokymus darbuotojams, kad jie geriau suprastų duomenų saugos reikalavimus.