Lietuvos įmonėms tinkamos BDAR programinės įrangos pasirinkimas nebėra pasirinktinis. VDAI 2024 m. gavo 1 408 skundus – beveik 15 % daugiau nei ankstesniais metais – o didžiausia bauda pasiekė 2 385 276 eurų. Kartu su NIS2 ir DORA reikalavimais tai reiškia, kad rankinis atitikties palaikymas skaičiuoklėse tampa nebeperspektyvus.
Kaip vertinome kiekvieną BDAR programinę įrangą?
Kiekvieną platformą vertinome pagal aštuonis MVĮ svarbiausius kriterijus:
- ROPA valdymas – ar galima sukurti ir palaikyti atitinkantį duomenų tvarkymo veiklos įrašų registrą be atskiro DAP?
- DPA audito galimybė – ar įrankis padeda peržiūrėti duomenų tvarkymo sutartis?
- PDAV automatizavimas – kiek poveikio duomenų apsaugai vertinimo proceso automatizuota?
- Pažeidimų valdymas – ar palaikoma 72 valandų pranešimo apie pažeidimą darbo eiga?
- Duomenų subjektų prašymų tvarkymas – ar galima valdyti prašymus per teisės aktų terminą?
- ES talpinimas – ar duomenys tvarkomi ir saugomi ES?
- Dirbtinio intelekto pagalba – ar įrankis naudoja DI rankiniam darbui mažinti?
- Kaina – ar ji realistiška MVĮ biudžetui?
2. OneTrust – geriausia didelėms įmonėms
Kaina: nuo 500+ €/mėn. (individualūs pasiūlymai) | Kam tinka: įmonėms su 500+ darbuotojų ir atskiromis privatumo komandomis
Privalumai: išsamiausias funkcijų rinkinys; stipri integracijų ekosistema; pripažinta reguliuotojų. Trūkumai: kaina prasideda gerokai virš 500 €/mėn.; diegimas trunka 3–6 mėn.; sąsaja sudėtinga; perteklinė mažoms organizacijoms.
3. Dastra – geriausia Prancūzijos MVĮ
Kaina: 79–349 €/mėn. | Kam tinka: Prancūzijos MVĮ, kurioms reikia CNIL suderinamumo
Dastra – prancūziška platforma su gilia CNIL gairių atitiktimi. Privalumai: sukurta pagal Prancūzijos reguliavimo kontekstą; konkurencinga kaina; ES talpinimas. Trūkumai: ribota tarptautinė aprėptis; anglų kalbos dokumentacija menkesnė; ribotos DI galimybės.
4. TrustArc – geriausia JAV bendrovėms su ES veikla
Kaina: individuali (paprastai 400+ €/mėn.) | Kam tinka: JAV būstinę turinčioms bendrovėms, kurioms reikia CCPA ir BDAR
Privalumai: brandi platforma; stipri CCPA + BDAR aprėptis. Trūkumai: JAV orientuota filosofija; neskaidri kainodara; ES funkcijos atsilieka; sąsaja nemodernizuota.
5. Vanta – geriausia SaaS bendrovėms, kurioms reikia SOC 2 + BDAR
Kaina: nuo 300+ €/mėn. | Kam tinka: SaaS bendrovėms, siekiančioms SOC 2
Privalumai: puikus automatinis įrodymų rinkimas iš debesijos; sklandi SOC 2 + BDAR eiga; modernus dizainas. Trūkumai: BDAR yra antrinis modulis; DSAR valdymas bazinis; nepalaiko DPA sąlygų audito.
6. Sprinto – geriausia startuolių atitikčiai
Kaina: nuo 200+ €/mėn. | Kam tinka: ankstyvos stadijos startuoliams, kuriems reikia įrodyti atitiktį pardavimams
Privalumai: greitas paleidimas; įperkama pradžios kaina. Trūkumai: ribotas BDAR gylis; ROPA valdymas šablonais grįstas; nėra DPA audito.
Kaip šie BDAR įrankiai palyginami?
Kuris įrankis tinka Lietuvos MVĮ?
Lietuvos įmonei svarbiausi kriterijai yra ES talpinimas (išvengiama duomenų perdavimo į trečiąsias šalis vertinimų), lietuviškų ir angliškų šablonų prieinamumas bei suderinamumas su VDAI lūkesčiais per patikrinimus. Kadangi VDAI pirmiausia tikrina ROPA ir duomenų subjektų prašymų tvarkymą, praktinis pasirinkimo veiksnys yra šių dviejų sričių automatizavimo gylis.
Įmonėms, veikiančioms keliose ES šalyse, platforma, sukurta remiantis EDAV lygio gairėmis (o ne vienos nacionalinės institucijos šablonais), leidžia išvengti lygiagrečių dokumentacijos rinkinių. Daugiau kriterijų – BDAR programinės įrangos MVĮ vadove, o kainodara – BDAR programinės įrangos kainos apžvalgoje.
Kokios yra rankinės atitikties sąnaudos?
Palyginimas nebūtų pilnas be alternatyvos – rankinio atitikties palaikymo – įvertinimo. Pramonės vertinimais, BDAR pareigų palaikymas be specializuotos programinės įrangos reikalauja 600–1 800 valandų per metus: skaičiuoklėmis grįsto ROPA atnaujinimo, ad hoc duomenų subjektų prašymų stebėsenos ir rankinių poveikio vertinimų. Lietuvoje, kur specialisto valandos įkainis siekia 25–45 eurus, tai atitinka 15 000–80 000 eurų vidinių sąnaudų per metus – daug daugiau nei bet kurios šioje apžvalgoje aptartos MVĮ platformos kaina.
Todėl teisingas palyginimas yra ne „programinė įranga prieš nemokamą alternatyvą", o „programinė įranga prieš brangų ir klaidoms linkusį rankinį darbą". Būtent rankinio proceso trūkumai – pasenęs registras, praleisti terminai – lėmė didžiausias Lietuvos baudas; kontekstą rasite VDAI baudų apžvalgoje.
Kaip vertinti bendrą nuosavybės kainą?
Skelbiama mėnesinė kaina yra tik dalis bendros nuosavybės kainos. Vertinant įrankius, būtina įtraukti diegimo mokestį (įmonių platformose – 10 000–20 000 €), mokymus, integracijas ir vidinį laiką. Įmonių sprendimai, tokie kaip OneTrust, prie prenumeratos prideda projektinį 3–6 mėnesių diegimą, o MVĮ platformos paprastai jo neturi. Detalią sąnaudų struktūrą rasite BDAR programinės įrangos kainos vadove.
Teisinį pagrindą, pagal kurį vertinamos šios pareigos – pavyzdžiui, 30 straipsnio reikalavimą vesti tvarkymo veiklos įrašus – galima pasitikrinti EUR-Lex BDAR tekste, o VDAI metodinę medžiagą – oficialioje inspekcijos svetainėje.
Nuo ko pradėti diegimą?
Pasirinkus platformą, sklandžiausią pradžią užtikrina nuoseklūs žingsniai. Pirma – kartografuokite tvarkymo veiklą, kad platforma turėtų iš ko generuoti ROPA. Antra – nustatykite kiekvienos veiklos teisinį pagrindą ir saugojimo terminus. Trečia – įtraukite tiekėjus ir suraskite trūkstamas duomenų tvarkymo sutartis. Ketvirta – įdiekite duomenų subjektų prašymų procesą. Penkta – parenkite pranešimo apie pažeidimą procedūrą.
MVĮ platformos šiuos žingsnius leidžia atlikti per kelias dienas, o ne mėnesius, todėl atitiktis pasiekiama greitai. Svarbiausia neatidėlioti tvarkymo veiklos kartografavimo – tai pamatas, ant kurio statoma visa likusi dokumentacija.
Dažnai užduodami klausimai (FAQ)
Kiek kainuoja BDAR programinė įranga?
Ar MVĮ tikrai reikia BDAR programinės įrangos?
Taip. 30 straipsnio 5 dalies išimtis įmonėms iki 250 darbuotojų praktiškai netaikoma bet kuriai bendrovei, tvarkančiai darbuotojų duomenis, turinčiai svetainę su analitika ar klientų duomenų bazę. Rankinis atitikties palaikymas paprastai reikalauja 600–1 800 valandų per metus – programinė įranga jį sumažina 70–90 %.
Ar BDAR programinė įranga gali pakeisti duomenų apsaugos pareigūną?
Ne. Ji nepakeičia teisinės pareigos paskirti DAP, kai to reikalauja 37 straipsnis. Tačiau ji ženkliai sumažina DAP ar išorės konsultanto darbo krūvį ir suteikia audito seką, kurios reikalauja VDAI.
Ar programinė įranga apima ir NIS2 bei DORA?
Kai kurios integruotos platformos apima. Kadangi NIS2 ir DORA saugumo bei incidentų pareigos persidengia su BDAR 32 ir 33 straipsniais, integruotas įrankis leidžia tas pačias priemones dokumentuoti vieną kartą. Tai ypač aktualu finansų ir kritinės infrastruktūros subjektams Lietuvoje.
Kuris įrankis geriausias apskritai?
Išvada
Dauguma Lietuvos MVĮ prioritetu turėtų laikyti greitį iki atitikties, BDAR specifikos gylį, ES talpinimą ir realistišką kainą. Šie prioritetai paprastai nukreipia į specializuotą BDAR platformą, o ne į daugiafunkcį įrankį, kuriame BDAR yra antrinis modulis.