BDAR programinė įranga mažoms ir vidutinėms įmonėms (MVĮ) automatizuoja pagrindines duomenų apsaugos pareigas – duomenų tvarkymo veiklos įrašus, duomenų subjektų prašymus ir tvarkytojų valdymą – nesamdant etatinio duomenų apsaugos pareigūno. Lietuvos MVĮ realistiškas biudžetas yra 2 000–12 000 eurų per metus (79–349 €/mėn. pradinio lygio platformoms plius diegimas), o svarbiausi pasirinkimo veiksniai yra ES talpinimas, ROPA automatizavimo gylis ir suderinamumas su VDAI patikrinimų lūkesčiais. Skirtingai nuo įmonių sprendimų, MVĮ nereikia visos daugiafunkcės platformos – reikia įrankio, kuris greitai pasiekia atitiktį ir palaiko ją be nuolatinio rankinio darbo. Šis vadovas paaiškina, ko konkrečiai reikia MVĮ ir kaip rinktis.
Ko iš tikrųjų reikia MVĮ?
Daugelis MVĮ perka per daug funkcijų. VDAI per patikrinimą pirmiausia prašo duomenų tvarkymo veiklos įrašų (ROPA) ir įrodymo, kad duomenų subjektų prašymai tvarkomi per vieno mėnesio terminą. Todėl mažai įmonei būtinos šios funkcijos:
- ROPA generavimas ir atnaujinimas – kertinis dokumentas per patikrinimą.
- Duomenų subjektų prašymų darbo eiga – termino stebėsena, kad būtų išvengta praleistų terminų (dažniausias baudų pagrindas Lietuvoje).
- Duomenų tvarkymo sutarčių (DPA) valdymas – tvarkytojų sekimas pagal 28 straipsnį.
- Pranešimo apie pažeidimą procedūra – 72 valandų darbo eiga.
- Privatumo pranešimų šablonai – skaidrumo pareiga pagal 12–14 straipsnius.
Retai reikalingos MVĮ: sudėtingos tiekėjų rizikos platformos, ESG moduliai ar daugiafunkcis SOC 2 / ISO 27001 valdymas.
Kokios dažniausios MVĮ atitikties spragos?
Lietuvos mažose ir vidutinėse įmonėse pasikartoja kelios tipinės atitikties spragos, kurias VDAI aptinka per patikrinimą:
- Nėra arba pasenęs ROPA – dažniausia spraga, nes rankinis registras nustoja atitikti realią veiklą.
- Neapibrėžti saugojimo terminai – duomenys laikomi neribotai, be politikos.
- Trūksta duomenų tvarkymo sutarčių su tiekėjais – naudojami debesijos ar rinkodaros įrankiai be 28 straipsnio sutarčių.
- Neveikiantis duomenų subjektų prašymų procesas – prašymai tvarkomi ad hoc, praleidžiami terminai.
- Netinkamas slapukų sutikimas – svetainėje įrašomi rinkodaros slapukai be tinkamo sutikimo.
Programinė įranga sistemiškai uždaro būtent šias spragas, nes klausimynas priverčia užpildyti trūkstamą informaciją, o automatinis atnaujinimas neleidžia dokumentacijai pasenti. Tai efektyviau nei bandyti spragas šalinti po vieną prieš patikrinimą.
Kiek kainuoja BDAR programinė įranga MVĮ?
Pradinio lygio platformos kainuoja 79–349 €/mėn. Detalią sąnaudų analizę rasite BDAR programinės įrangos kainos vadove.
Kodėl MVĮ negali pasikliauti skaičiuoklėmis?
Skaičiuoklėmis grįstas ROPA pasensta per kelias savaites – kiekvienas naujas įrankis, tiekėjas ar tvarkymo tikslas turi būti įrašytas rankiniu būdu, o praktikoje to nedaroma. Rezultatas – dokumentacija, kuri neatitinka realios veiklos ir neatlaiko VDAI patikrinimo. Rankinis palaikymas taip pat reikalauja 600–1 800 valandų per metus, o tai daugumai MVĮ neįmanoma be atskiro etato. Būtent šie trūkumai lėmė didžiausias Lietuvos baudas – kontekstą rasite VDAI baudų apžvalgoje.
Ar MVĮ reikia duomenų apsaugos pareigūno?
Daugumai smulkių įmonių DAP nėra privalomas – jis reikalingas tik viešojo sektoriaus subjektams, didelio masto stebėseną vykdančioms bendrovėms ar tiems, kurie dideliu mastu tvarko specialių kategorijų duomenis. Tačiau atitikties pareigos galioja nepriklausomai nuo DAP. Programinė įranga leidžia MVĮ pasiekti atitiktį be etatinio pareigūno – dažniausiai šias funkcijas prisiima vadovas, teisininkas ar išorės konsultantas, o platforma automatizuoja dokumentaciją.
Kurių sektorių MVĮ rizikuoja labiausiai?
Nors atitikties pareigos vienodos, praktinė rizika skiriasi pagal sektorių. Lietuvos verifikuotos baudos rodo tris rizikingiausius profilius, aktualius ir mažoms įmonėms:
- E. prekyba ir platformos – didžiausia rizika kyla iš duomenų subjektų prašymų tvarkymo. „Vinted" bauda (2 385 276 €) skirta būtent už netinkamą ištrynimo prašymų valdymą, ir ta pati logika taikoma bet kokio dydžio internetinei parduotuvei.
- Sveikatos ir grožio paslaugos – tvarkomi specialių kategorijų duomenys, todėl saugumo priemonės (MFA, prieigos kontrolė) yra būtinas minimumas. „InMedica" bauda (450 000 €) parodė, kad saugumo spragos brangiai kainuoja.
- Fintech ir mokėjimai – Lietuvos tankus fintech sektorius jungia BDAR su DORA, todėl mažai fintech įmonei reikia platformos, apimančios abu reguliavimus.
Tinkama MVĮ programinė įranga turi stiprinti būtent tą sritį, kuri jūsų sektoriuje rizikingiausia. Verifikuotų baudų sąrašą rasite VDAI baudų apžvalgoje, o pačios inspekcijos gaires – oficialioje svetainėje.
Kaip vyksta diegimas mažoje įmonėje?
MVĮ diegimas iš esmės skiriasi nuo įmonių projektų. Vietoje 3–6 mėnesių konsultacijų, MVĮ platforma leidžia pradėti iš karto: importuojami esami duomenys, per klausimyną struktūrizuojamas ROPA, ir per kelias dienas pasiekiama pagrindinė atitiktis. Tai svarbu mažai įmonei, kuri neturi atskiro atitikties etato ir negali skirti mėnesių diegimui.
Praktikoje pirmoji savaitė skiriama tvarkymo veiklos kartografavimui, antroji – teisinių pagrindų ir saugojimo terminų nustatymui, o toliau platforma palaiko dokumentaciją aktualią automatiškai. Šį darbą galima suderinti su BDAR 30 straipsnio reikalavimais, kuriuos galima pasitikrinti EUR-Lex tekste.
Kaip MVĮ turėtų rinktis platformą?
Renkantis MVĮ turėtų vadovautis penkiais klausimais:
- Ar duomenys talpinami ES? Tai išvengia duomenų perdavimo į trečiąsias šalis vertinimų.
- Kiek trunka pasiekti atitiktį? DI pagrįstos platformos generuoja ROPA per minutes, o ne savaites.
- Kiek rankinio darbo lieka? Tikrasis vertės matas – ne funkcijų skaičius, o sutaupytas laikas.
- Ar kaina auga staigiai? Patikrinkite pakopinę kainodarą pagal naudotojus.
- Ar yra lietuviški ir angliški šablonai? Svarbu tiek vidiniam naudojimui, tiek VDAI patikrinimui.
Įrankių palyginimą pagal šiuos kriterijus rasite geriausios BDAR programinės įrangos apžvalgoje ir BDAR programinės įrangos palyginime.
Kaip suderinti programinę įrangą su išorės konsultantu?
Daugelis Lietuvos MVĮ neturi vidinio duomenų apsaugos specialisto ir naudojasi išorės konsultanto ar advokato paslaugomis. Programinė įranga ir konsultantas nėra alternatyvos – jie geriausiai veikia kartu. Platforma automatizuoja dokumentaciją (ROPA, prašymų registrą, priemonių įrašus) ir suteikia audito seką, o konsultantas sutelkia dėmesį į vertinimą ir strategiją, o ne į rankinį dokumentų pildymą.
Toks derinys sumažina konsultanto valandų poreikį, nes didžioji dalis darbo, už kurį anksčiau buvo mokama, tampa automatizuota. Praktikoje tai reiškia mažesnes bendras atitikties sąnaudas: platforma padengia pasikartojantį darbą, o brangesnis specialisto laikas skiriamas tik sudėtingiems klausimams, tokiems kaip poveikio duomenų apsaugai vertinimas ar sudėtingi tarptautiniai perdavimai.
Kaip programinė įranga auga kartu su įmone?
MVĮ retai lieka statiška – ji auga, plečiasi į naujas rinkas ar pradeda naują veiklą, o kartu keičiasi ir atitikties poreikiai. Gera platforma turi šį augimą palaikyti: leisti pridėti naujų tvarkymo operacijų, naujų tvarkytojų ir naujų reguliavimų (pvz., NIS2 ar DORA) neperkeliant visko į kitą sistemą. Būtent todėl verta rinktis platformą, kuri padengia ne tik dabartinį, bet ir tikėtiną būsimą poreikį.
Praktinis pranašumas – atitikties dokumentacija auga inkrementiškai. Kai įmonė prideda naują įrankį ar procesą, jis įtraukiamas į esamą ROPA, o ne pradedamas iš naujo. Tai reiškia, kad ankstyva investicija į struktūrizuotą platformą atsiperka ilgainiui, nes išvengiama brangaus perėjimo augant.
Dažnai užduodami klausimai (FAQ)
Kiek MVĮ turėtų mokėti už BDAR programinę įrangą?
Lietuvos MVĮ realistiškas biudžetas yra 2 000–12 000 €/metus priklausomai nuo dydžio. Labai mažai įmonei pakanka 1 000–3 000 €/metus, vidutinei – iki 12 000 €/metus. Pradinio lygio platformos kainuoja 79–349 €/mėn., paprastai be atskiro diegimo mokesčio.
Ar mažai įmonei tikrai reikia BDAR programinės įrangos?
Taip, jei ji tvarko darbuotojų duomenis, turi svetainę su analitika ar klientų duomenų bazę. 30 straipsnio 5 dalies išimtis įmonėms iki 250 darbuotojų praktiškai netaikoma šiais atvejais. Rankinis palaikymas reikalauja 600–1 800 valandų per metus – tai daugumai MVĮ neįmanoma be programinės įrangos.
Kokia BDAR programinė įranga geriausia MVĮ?
Ar labai mažai įmonei (iki 10 darbuotojų) reikia mokamos platformos?
Jei įmonė tvarko klientų ar darbuotojų duomenis, mokama platforma paprastai atsiperka net ir mažiausiame versle, nes rankinis palaikymas atima laiką, kurio maža komanda neturi. Tokiu atveju verta rinktis pigiausią pradinį planą (nuo 79–99 €/mėn.), apimantį ROPA ir duomenų subjektų prašymus, ir plėsti funkcijas įmonei augant.
Ar MVĮ gali pati įsidiegti platformą be konsultanto?
Taip. MVĮ skirtos platformos sukurtos taip, kad jas galėtų įsidiegti ne specialistas – klausimynai veda naudotoją per tvarkymo veiklos kartografavimą, teisinių pagrindų nustatymą ir dokumentacijos generavimą. Konsultanto pagalba naudinga sudėtingesniais klausimais (pvz., tarptautiniai perdavimai ar didelės rizikos vertinimai), bet baziniam diegimui ji nebūtina. Būtent tuo MVĮ platformos skiriasi nuo įmonių sprendimų, reikalaujančių projektinio diegimo su išorės konsultantais.
Išvada
MVĮ nereikia daugiafunkcės įmonių platformos – reikia įrankio, kuris greitai pasiekia atitiktį ir palaiko ją be nuolatinio rankinio darbo. Lietuvos mažai ir vidutinei įmonei tai reiškia ES talpinamą, DI pagrįstą platformą, automatizuojančią ROPA ir duomenų subjektų prašymus, už 2 000–12 000 €/metus. Tokia investicija atsiperka jau pirmaisiais metais tiek sutaupytu laiku, tiek sumažinta baudų rizika. Svarbiausia neatidėlioti pradžios: atitiktis kuriama nuosekliai, o ne skubotai prieš VDAI patikrinimą, ir tinkama platforma šį darbą paverčia valdomu procesu, o ne našta, atimančia laiką iš pagrindinės veiklos.