Trumpas atsakymas
Valstybinė duomenų apsaugos inspekcija (VDAI) gali įsikišti, kai asmens duomenų tvarkymas neatitinka Bendrojo duomenų apsaugos reglamento (BDAR), Asmens duomenų teisinės apsaugos įstatymo (ADTAĮ) ar Elektroninių ryšių įstatymo privatumo taisyklių. Ji gali pareikalauti informacijos ir prieigos, atlikti tyrimą, įspėti, pareikšti papeikimą, įpareigoti įgyvendinti asmens teises, ištaisyti ar ištrinti duomenis, laikinai arba visam laikui apriboti ar uždrausti tvarkymą, sustabdyti duomenų srautus į trečiąją valstybę ir skirti baudą.
Apribojimas tikėtinas, kai nėra konkretaus teisėto pagrindo, tikslas miglotas, renkama daugiau duomenų nei būtina, stebėsena neproporcinga, sutikimas nėra laisvas, trūksta skaidrumo, neįvertinta didelė rizika ar neužtikrintas saugumas. Darbuotojų nuolatinė vaizdo, garso, vietos ar komunikacijos kontrolė ir tapatybei nustatyti naudojama biometrija yra ypač rizikingos. Rinkodaros el. laiškams ir žinutėms paprastai reikia išankstinio sutikimo, išskyrus siaurą esamo kliento panašių prekių ar paslaugų išimtį.
VDAI kompetencija nėra neribota. Kai duomenys tvarkomi žurnalistikos, akademinės, meninės ar literatūrinės saviraiškos tikslais, priežiūrą vykdo Žurnalistų etikos inspektorius. Tarpvalstybinio tvarkymo Europos ekonominėje erdvėje atveju pagrindinį sprendimą gali priimti kitos valstybės vadovaujanti priežiūros institucija, VDAI dalyvaujant kaip susijusiai institucijai. Tačiau tai neatleidžia Lietuvoje veikiančio valdytojo nuo pareigos nedelsiant stabdyti akivaizdžiai neteisėtą tvarkymą.
Kokias priemones turi priežiūros institucija?
suteikia VDAI tyrimo, taisomuosius, leidimų išdavimo ir konsultavimo įgaliojimus. Priemonė parenkama pagal pažeidimo pobūdį, trukmę, mastą, tyčią ar aplaidumą, žalą, ankstesnius pažeidimus, bendradarbiavimą ir duomenų kategorijas. Bauda nėra vienintelis ar automatinis rezultatas: nurodymas nutraukti operaciją arba ištrinti neteisėtai sukauptą duomenų bazę verslui gali būti svarbesnis už piniginę sankciją.
Priežiūros institucija gali nustatyti „laikiną arba galutinį duomenų tvarkymo apribojimą, įskaitant draudimą“.
—
VDAI gali veikti gavusi skundą, pranešimą apie saugumo pažeidimą, kitos institucijos informaciją arba savo iniciatyva. Duomenų subjektas pirmiausia gali kreiptis į valdytoją dėl prieigos, ištaisymo, ištrynimo, apribojimo, prieštaravimo ar sprendimo peržiūros. Tačiau išankstinis kreipimasis ne visada yra VDAI tyrimo sąlyga. ES Teisingumo Teismas byloje C-46/23 patvirtino, kad priežiūros institucija gali savo iniciatyva nurodyti ištrinti neteisėtai tvarkomus duomenis net ir be asmens prašymo pagal BDAR 17 straipsnį.
Darbuotojų stebėsena
Darbdavio nuosavybė įrangai nesuteikia neribotos teisės stebėti ją naudojantį žmogų. Kiekvienai priemonei – kameroms, garso įrašymui, ekrano fiksavimui, klavišų registravimui, GPS, el. pašto ar naršymo analizei – reikia aiškaus tikslo ir BDAR 6 straipsnio pagrindo. Dažniausiai remiamasi teisėtu interesu ar teisine prievole, bet darbdavys turi įrodyti būtinumą ir darbuotojo teisių pusiausvyrą. Dėl darbo santykių galios nelygybės darbuotojo sutikimas retai yra patikimas pagrindas.
Prieš pradedant stebėseną darbuotojai turi gauti konkrečią informaciją apie tikslą, apimtį, priemones, prieigą, saugojimo laiką ir teises. Slaptas stebėjimas gali būti pateisinamas tik išimtinėmis, siaurai apibrėžtomis aplinkybėmis; bendras įtarimas ar noras didinti našumą nepakanka. Negalima kameromis stebėti poilsio, persirengimo ar kitų didelio privatumo lūkesčio vietų, o garso įrašymas paprastai yra invazyvesnis už vaizdą.
apima darbuotojų vaizdo ar garso duomenų tvarkymą darbo vietoje ir komunikacijos, elgesio, vietos ar judėjimo stebėseną. Todėl prieš tokį sistemingą projektą paprastai atliekamas poveikio duomenų apsaugai vertinimas (PDAV). Jei ir po priemonių lieka didelė rizika, prieš tvarkymą būtina konsultuotis su VDAI pagal BDAR 36 straipsnį. Inspekcija gali pareikalauti siaurinti kameros lauką, išjungti garsą, trumpinti saugojimą, riboti prieigą ar visiškai nutraukti kontrolę.
Biometriniai duomenys
Piršto atspaudo, veido ar balso šablonas yra biometrinis duomuo, kai specialiomis techninėmis priemonėmis naudojamas asmeniui vienareikšmiškai nustatyti. Tada taikomas ne tik BDAR 6 straipsnis, bet ir bendras specialių kategorijų duomenų tvarkymo draudimas pagal 9 straipsnį. Valdytojas turi įrodyti atskirą 9 straipsnio 2 dalies išimtį, o ne vien patogumą.
Bendrovė „neįrodė darbuotojų pirštų atspaudų tvarkymo būtinumo ir proporcingumo“.
—
Toje byloje VDAI nustatė teisėtumo, duomenų kiekio mažinimo, informavimo, veiklos įrašų ir PDAV pažeidimus. Darbuotojų sutikimas nebuvo laisvas, o alternatyvios patekimo ar apskaitos priemonės nebuvo tinkamai pasiūlytos. Praktinė taisyklė griežta: jeigu tą patį tikslą galima pasiekti kortele, kodu ar organizacine kontrole, centralizuotas biometrinis šablonas greičiausiai nebus būtinas. Net turint išimtį reikia PDAV, trumpo saugojimo, atskyrimo, šifravimo, ribotos prieigos ir incidentų plano.
Tiesioginė rinkodara
yra specialioji taisyklė el. paštu, SMS, automatinio skambinimo ir kitomis elektroninių ryšių priemonėmis siunčiamiems pasiūlymams. Paprastai reikia išankstinio gavėjo sutikimo. Sutikimą turi įrodyti siuntėjas; iš anksto pažymėtas langelis, paslėpta sutarties sąlyga ar neaiškus partnerių sąrašas jo nesukuria.
Siaura esamo kliento išimtis leidžia naudojant pardavimo metu gautus kontaktus reklamuoti savo panašias prekes ar paslaugas, jeigu klientui renkant duomenis ir kiekviename pranešime aiškiai, nemokamai ir lengvai suteikiama galimybė atsisakyti. Įsigytas kontaktų sąrašas, viešai internete rastas el. paštas ar „teisėtas interesas“ savaime nepakeičia 81 straipsnio. Gavėjui paprieštaravus, tiesioginė rinkodara turi būti sustabdyta, o minimalus slopinimo įrašas gali būti saugomas tam, kad atsisakymas nebūtų pamirštas.
2026 m. VDAI sprendimų registre nurodyti keli nustatyti 81 straipsnio pažeidimai, įskaitant UAB „Topo grupė“, MB „Anonsera“, UAB „AHK Service“ ir UAB „Electronic Trade“. VDAI gali nurodyti nutraukti kampaniją, sutvarkyti sutikimų įrodymus, ištrinti neteisėtą sąrašą ir skirti sankciją; atskiro laiško mažas mastas savaime nepanaikina pažeidimo.
Kreditingumas ir kredito informacija
Bankai ir kredito davėjai privalo vertinti kreditingumą, tačiau pareiga vertinti nereiškia teisės rinkti bet kokią informaciją ar tikrinti žmogų nesant realaus finansinio santykio. Reikia BDAR 6 straipsnio pagrindo, konkretaus tikslo, duomenų kiekio mažinimo, tikslumo, saugojimo termino ir skaidraus paaiškinimo apie šaltinius bei gavėjus. Kredito biuras ir duomenis užklausęs klientas kiekvienas turi nustatyti savo vaidmenį bei atsakomybę.
Neteisingas skolos įrašas turi būti operatyviai patikrintas, pažymėtas kaip ginčijamas, ištaisytas ar apribotas. Duomenų subjektas turi prieigos teisę, įskaitant duomenų kategorijas, šaltinius, gavėjus ir saugojimą. 2025 ir 2026 m. VDAI nustatė UAB „Creditinfo Lietuva“ prieigos teisės pažeidimų, o 2026 m. sprendime dėl „Luminor Bank“ – teisėtumo, duomenų kiekio mažinimo ir atskaitomybės priemonių pažeidimų.
Kai balas ar atsisakymas suteikti kreditą grindžiamas tik automatizuotu sprendimu, turinčiu teisinį ar panašiai reikšmingą poveikį, taikomas BDAR 22 straipsnis. Reikia leidžiamos išimties ir apsaugų, įskaitant galimybę gauti žmogaus įsikišimą, išdėstyti poziciją ir ginčyti sprendimą. VDAI gali apriboti konkrečius duomenų šaltinius, reikalauti ištaisymo, uždrausti neteisėtą profiliavimą ar nurodyti įgyvendinti prieigos bei peržiūros teises.
Viešas paskelbimas ir pakartotinis naudojimas
Duomenų buvimas registre ar kitoje svetainėje nereiškia, kad juos galima neribotai kopijuoti, jungti, indeksuoti ar perskelbti. Kiekvienam naujam tvarkymui reikia atskiro tikslo, pagrindo ir suderinamumo vertinimo. Viešumas padidina žalą, nes duomenys tampa prieinami neapibrėžtam ratui, kopijuojami ir sunkiai pašalinami.
2022 m. VDAI pripažino skundą iš dalies pagrįstu, kai valstybės institucija kartu paskelbė asmens vardą, pavardę ir tikslų gyvenamosios vietos adresą. Net teisės akte numačius leidimo duomenų skelbimą, institucija neįrodė, kodėl būtinas konkretus adresas, o ne bendresnis teritorijos apibūdinimas. Taikomas ne tik teisėtumas, bet ir tikslo apribojimas, duomenų kiekio mažinimas, tikslumas, saugojimo terminas bei saugumas.
VDAI gali nurodyti pašalinti informaciją, užkirsti kelią paieškos indeksavimui, sumažinti skelbiamų laukų kiekį ar įgyvendinti prieštaravimo ir ištrynimo teises. Tačiau kai paskelbimo tikslas yra žurnalistika, akademinė, meninė ar literatūrinė saviraiška, pagal ADTAĮ 7 straipsnį kompetentingas Žurnalistų etikos inspektorius. Tada teisė į duomenų apsaugą derinama su saviraiškos ir informacijos laisve; vien tai, kad tekstas yra internete ar jį paskelbė ne tradicinė redakcija, savaime neatsako, kuri institucija kompetentinga.
Tarpvalstybinis tvarkymas ir perdavimas už EEE ribų
Reikia skirti dvi situacijas. Kai valdytojas turi padalinių keliose EEE valstybėse arba vienoje valstybėje priimamas sprendimas daro didelį poveikį žmonėms kitur, taikomas vieno langelio mechanizmas. Vadovaujančią instituciją lemia pagrindinė buveinė ir reali sprendimų priėmimo vieta, ne patogiausias registracijos adresas. VDAI gali būti vadovaujanti arba susijusi institucija, keistis sprendimo projektu su kitomis institucijomis ir dalyvauti EDAV ginčų sprendime. Vietinis skundas todėl nedingsta, bet galutinis sprendimas gali būti koordinuotas.
Perdavimui už EEE ribų papildomai taikomas BDAR V skyrius. Reikia Europos Komisijos tinkamumo sprendimo arba tinkamų apsaugos priemonių, pavyzdžiui, Komisijos standartinių sutarčių sąlygų ar patvirtintų įmonei privalomų taisyklių. 28 straipsnio duomenų tvarkymo sutartis nėra perdavimo mechanizmas. Naudojant standartines sąlygas reikia įvertinti gavėjo valstybės teisę ir praktiką, faktinę prieigą bei papildomas technines, organizacines ar sutartines priemones. Jei iš esmės lygiavertės apsaugos užtikrinti negalima, perdavimas turi būti sustabdytas.
VDAI gali uždrausti konkretų srautą, nurodyti taikyti papildomas priemones arba sustabdyti perdavimą. Užsienio institucijos prašymas pats savaime nėra teisėtas pagrindas: BDAR 48 straipsnis reikalauja tarptautinio susitarimo ar kito ES teisę atitinkančio pagrindo. Siauros 49 straipsnio nukrypti leidžiančios nuostatos nėra skirtos nuolatiniam sisteminiam perdavimui.
Kaip sumažinti apribojimo riziką
Organizacija turėtų kiekvienai operacijai turėti trumpą įrodymų paketą: konkretų tikslą, 6 ir prireikus 9 straipsnio pagrindą, būtinumo bei proporcingumo analizę, privatumo pranešimą, saugojimo terminą, gavėjų ir perdavimų žemėlapį, tvarkytojų sutartis, prieigos kontrolę ir asmens teisių procesą. Didelės rizikos stebėsenai, biometrijai, profiliavimui ar naujai technologijai reikia PDAV; neišsprendus didelės rizikos – išankstinės konsultacijos su VDAI.
Asmuo skunde turėtų pateikti pranešimą ar ekrano kopiją, datą, valdytojo atsakymą, rinkodaros atsisakymą, kredito ataskaitą arba stebėsenos požymius ir aiškiai nurodyti prašomą rezultatą. VDAI sprendimą galima skųsti administraciniam teismui, o žalos atlyginimo pagal BDAR 82 straipsnį paprastai prašoma teisme – VDAI bauda pati savaime nukentėjusiajam neišmokama.
Išvada
VDAI riboja ne konkrečias technologijas vien dėl jų pavadinimo, o neįrodytą, neskaidrų, perteklinį ar nesaugų jų naudojimą. Darbo stebėsenai ir biometrijai būtinybės kartelė ypač aukšta; rinkodarai galioja specialus išankstinio sutikimo režimas; kredito duomenys turi būti tikslūs ir susieti su realiu tikslu; viešas šaltinis nėra laisva duomenų bazė; tarptautinis debesis nėra perdavimo pagrindas. Kai atitikties dokumentai neparodo, kodėl tvarkymas būtinas ir kaip apsaugomos teisės, VDAI gali jį ne tik nubausti, bet ir sustabdyti.
Šaltiniai
This article provides general legal information, not advice for a specific matter. Laws, facts and procedural deadlines may change the result. Follow the linked primary sources and obtain local advice before acting.