Duomenų pažeidimų valdymo procedūra – tai iš anksto parengta veiksmų seka, pagal kurią organizacija aptinka asmens duomenų saugumo pažeidimą, jį įvertina, per 72 valandas praneša Valstybinei duomenų apsaugos inspekcijai (VDAI), kai reikia – informuoja subjektus, ir dokumentuoja incidentą pažeidimų registre. Procedūra būtina todėl, kad Bendrojo duomenų apsaugos reglamento (BDAR) 33 straipsnio 72 valandų terminas skaičiuojamas nuo sužinojimo, o ne nuo pasirengimo pradžios – todėl improvizuoti nėra kada. Be to, 33 straipsnio 5 dalis reikalauja dokumentuoti visus pažeidimus, net ir tuos, apie kuriuos VDAI nepranešta.
Šiame straipsnyje pateikiu žingsnis po žingsnio procedūrą ir pilną pažeidimų registro šabloną, tada paaiškinu, kaip juos pritaikyti ir kokių klaidų vengti. Teisinį pagrindą aptariu atskirame pažeidimo pranešimo (33–34 str.) gide.
Procedūra žingsnis po žingsnio
1 žingsnis. Aptikimas ir pranešimas viduje. Bet kuris darbuotojas ar tvarkytojas, pastebėjęs galimą incidentą (prarasta įranga, klaidingai išsiųstas laiškas, įtartina prieiga), nedelsdamas praneša atsakingam asmeniui arba duomenų apsaugos pareigūnui nustatytu kanalu. Užfiksuojamas sužinojimo laikas – nuo jo skaičiuojamos 72 valandos.
2 žingsnis. Įvertinimas. Per kelias valandas nustatoma: ar tai tikrai asmens duomenų saugumo pažeidimas (BDAR 4 str. 12 p.); kokių duomenų ir subjektų kategorijų jis apima; koks pažeidimo pobūdis (konfidencialumo, vientisumo ar prieinamumo); kokia rizika subjektų teisėms ir laisvėms.
3 žingsnis. Rizikos vertinimas. Įvertinama rizikos tikimybė ir sunkumas. Trys galimi rezultatai lemia tolesnius veiksmus:
- Rizikos nėra ar ji nedidelė → VDAI nepranešama, bet incidentas įrašomas į registrą.
- Yra rizika → pranešama VDAI per 72 valandas.
- Didelė rizika → pranešama ir VDAI, ir patiems subjektams.
4 žingsnis. Pranešimas VDAI. Jei yra rizika, per 72 valandas nuo sužinojimo pateikiamas pranešimas VDAI su BDAR 33 str. 3 d. informacija: pobūdis, DAP kontaktai, tikėtinos pasekmės, priemonės. Jei visos informacijos iškart nėra, ji teikiama etapais.
5 žingsnis. Pranešimas subjektams. Esant didelei rizikai, subjektai informuojami nedelsiant aiškia kalba (34 str.), nebent taikoma išimtis (šifruoti duomenys, priemonės, mažinančios riziką, arba neproporcingos pastangos su viešu pranešimu).
6 žingsnis. Priemonės ir dokumentavimas. Imamasi priemonių pažeidimui pašalinti ir pasikartojimui išvengti, o visas incidentas įrašomas į pažeidimų registrą.
Vaidmenys
Procedūroje aiškiai paskirstomi vaidmenys: kas priima vidinius pranešimus, kas vertina riziką, kas teikia pranešimą VDAI, kas informuoja subjektus. Aiškūs vaidmenys yra kritiniai, nes 72 valandų terminas apima ir savaitgalius bei šventes.
Pažeidimų registro šablonas
BDAR 33 str. 5 d. reikalauja registruoti visus pažeidimus. Registro laukai:
| Nr. | Laukas | Paaiškinimas |
|---|---|---|
| 1 | Incidento Nr. | Unikalus numeris |
| 2 | Sužinojimo data ir laikas | 72 val. termino pradžia |
| 3 | Aptikimo aplinkybės | Kaip pastebėta |
| 4 | Pažeidimo pobūdis | Konfidencialumo / vientisumo / prieinamumo |
| 5 | Paveiktų subjektų kategorijos ir skaičius | Apytiksliai |
| 6 | Paveiktų duomenų kategorijos | Kokie duomenys |
| 7 | Tikėtinos pasekmės | Rizikos aprašymas |
| 8 | Rizikos vertinimas | Nėra / yra / didelė |
| 9 | Ar pranešta VDAI | Taip/ne + data + priežastis, jei ne |
| 10 | Ar pranešta subjektams | Taip/ne + data + būdas |
| 11 | Priemonės | Ką padaryta ir kada |
| 12 | Atsakingas asmuo | Kas tvarkė incidentą |
Užpildyto registro pavyzdys
Incidento Nr.: 2026-014 Sužinota: 2026-05-12 09:15 Aplinkybės: Darbuotojas klaidingai išsiuntė klientų sąrašą ne tam adresatui Pobūdis: Konfidencialumo pažeidimas Subjektai: 42 klientai Duomenys: Vardas, pavardė, el. paštas, sutarties numeris Pasekmės: Ribota – gavėjas patvirtino ištrynęs laišką Rizikos vertinimas: Yra rizika (ne didelė) Pranešta VDAI: Taip, 2026-05-13 Pranešta subjektams: Ne (rizika ne didelė) Priemonės: Gavėjo patvirtinimas, papildomi mokymai, DLP taisyklė Atsakingas: DAP
Kaip pritaikyti procedūrą
Nustatykite aiškų vidinį kanalą. Darbuotojai turi žinoti, kam ir kaip pranešti apie incidentą per kelias minutes. Kanalas turi veikti ir ne darbo metu.
Sutartyse su tvarkytojais nustatykite trumpą terminą. Kad spėtumėte per 72 valandas, tvarkytojo pranešimo terminą sutartyje nustatykite 24 ar 48 valandas.
Iš anksto paruoškite pranešimo VDAI šabloną. Turėkite užpildomą formą su 33 str. 3 d. laukais, kad krizės metu netektų jos kurti iš naujo.
Dažnos klaidos
- Procedūros nebuvimas iki incidento. 72 valandų termino metu improvizuoti nėra kada – procedūra turi būti parengta iš anksto.
- „Mažų" incidentų neregistravimas. Visi pažeidimai dokumentuojami, net jei VDAI nepranešta (33 str. 5 d.).
- Termino skaičiavimas nuo tyrimo pabaigos. 72 valandos skaičiuojamos nuo sužinojimo.
- Subjektų neinformavimas esant didelei rizikai. 34 straipsnis reikalauja pranešti asmenims aiškia kalba.
- Tvarkytojo termino nenustatymas. Be trumpo sutartinio termino valdytojas sužino per vėlai.
Pasirengimas iš anksto
Procedūra veikia tik tada, kai darbuotojai ją žino. Todėl pasirengimas apima ne vien dokumentą, bet ir žmones. Reguliarūs mokymai turėtų paaiškinti, kaip atpažinti galimą incidentą (klaidingai išsiųstas laiškas, prarasta įranga, įtartina prieiga, sukčiavimo laiškas) ir kam apie jį nedelsiant pranešti. Kadangi dauguma pažeidimų kyla dėl žmogaus klaidų, informuotumas yra viena efektyviausių prevencijos priemonių ir tiesiogiai susijęs su pritaikytąja duomenų apsauga.
Naudinga bent kartą atlikti stalo imitaciją – įsivaizduojamą incidentą, kurio metu komanda išbando visą seką: kas priima pranešimą, kaip vertinama rizika, kas rengia pranešimą VDAI, kas informuoja subjektus. Imitacija dažnai atskleidžia praktines spragas: neaiškų atsakingą asmenį, per lėtą sprendimų grandinę arba tai, kad ne darbo metu pranešimą priimti nėra kam.
Kaip vertinti riziką praktiškai
Trečiasis procedūros žingsnis – rizikos vertinimas – dažnai yra silpniausia grandis, nes jį reikia atlikti per kelias valandas, turint dalinę informaciją. Naudinga iš anksto susitarti dėl kelių orientyrų. Konfidencialumo pažeidimas, apimantis specialių kategorijų duomenis (sveikatos, biometrinius) arba finansinius duomenis, beveik visada reiškia bent „yra rizika", o dažnai – „didelė rizika". Priešingai, klaidingai išsiųstas laiškas vienam gavėjui, kuris patvirtina jį ištrynęs, paprastai lieka ties „yra rizika, bet ne didelė".
Vertinant sunkumą svarbu ne tik duomenų pobūdis, bet ir paveiktų subjektų pažeidžiamumas bei galimų pasekmių mastas – tapatybės vagystė, finansinė žala, diskriminacija ar reputacijos praradimas. Šį vertinimą reikia užfiksuoti registre, nes VDAI būtent jo pagrindu tikrina, ar sprendimas pranešti arba nepranešti buvo pagrįstas.
Procedūros sąsaja su kitais dokumentais
Pažeidimų procedūra neveikia atskirai. Ji remiasi tvarkymo veiklos įrašais, iš kurių matyti, kokie duomenys ir subjektai galėjo būti paveikti, ir tvarkytojų sutartimis, kuriose nustatyti jų pranešimo terminai. Ji taip pat maitina poveikio vertinimą: pasikartojantys incidentai rodo, kur rizika didesnė nei manyta. Susieti šiuos dokumentus reiškia, kad kilus incidentui organizacija ne ieško informacijos, o iškart ją turi – o tai dažnai lemia, ar pavyks laikytis 72 valandų termino.
Dažnai užduodami klausimai
Ar reikia registruoti pažeidimą, apie kurį nepranešta VDAI?
Taip. BDAR 33 str. 5 d. reikalauja dokumentuoti visus pažeidimus, įskaitant sprendimą nepranešti ir jo priežastis. Registras leidžia VDAI patikrinti, ar prievolės laikomasi.
Nuo kada skaičiuojamos 72 valandos?
Nuo momento, kai organizacija pagrįstai įsitikina, kad įvyko pažeidimas. Trumpas patikrinimas leidžiamas, bet terminas nepradedamas skaičiuoti nuo viso tyrimo pabaigos.
Kas turi būti atsakingas už procedūros vykdymą?
Aiškiai paskirtas asmuo arba duomenų apsaugos pareigūnas, turintis įgaliojimus greitai vertinti riziką ir teikti pranešimą. Vaidmenys turi veikti ir ne darbo metu.
Ką daryti, jei pažeidimą sukėlė tvarkytojas?
Tvarkytojas nedelsdamas praneša valdytojui (33 str. 2 d.), o valdytojas informuoja VDAI ir subjektus. Todėl sutartyje būtina nustatyti trumpą tvarkytojo pranešimo terminą.
Kiek laiko saugoti pažeidimų registro įrašus?
BDAR konkretaus termino nenustato, tačiau įrašus reikia saugoti tiek, kad VDAI galėtų patikrinti atitiktį – praktiškai bent kelerius metus. Registras yra atskaitomybės įrodymas, todėl jį verta saugoti ne trumpiau nei kitus atitikties dokumentus, pavyzdžiui, tvarkymo veiklos įrašus. Pasenusius įrašus galima archyvuoti, tačiau visiškai jų naikinti neverta, kol nesuėjęs pagrįstas patikros laikotarpis.
Išvada
Duomenų pažeidimų valdymo procedūra ir registras yra iš anksto parengti dokumentai, be kurių 72 valandų termino praktiškai neįmanoma laikytis. Procedūra apima aptikimą, vertinimą, rizikos analizę, pranešimą VDAI ir subjektams bei dokumentavimą; registras fiksuoja visus pažeidimus, net nepraneštuosius. Lietuvos „InMedica" (450 000 eurų) ir „MisterTango" (61 500 eurų) bylos rodo, kad ir saugumo trūkumai, ir vėlavimas pranešti kainuoja brangiai. Parenkite procedūrą, nustatykite aiškius vaidmenis ir trumpus tvarkytojų terminus, ir incidento atveju veiksite tvarkingai, o ne chaotiškai.
Teisinė informacija: BDAR 33–34 straipsniai (EUR-Lex) · Asmens duomenų teisinės apsaugos įstatymas (e-seimas) · VDAI.
Šis šablonas yra bendro pobūdžio informacija ir nėra teisinė konsultacija.