Kaip paskirti darbuotoją, atsakingą už duomenų apsaugą, ir ką įrašyti į jo pareigas?
Trumpas atsakymas
Už duomenų apsaugą atsako pati įmonė kaip duomenų valdytojas: ji įgyvendina priemones ir turi galėti įrodyti, kad laikosi BDAR (BDAR 5 str. 2 d., 24 str. 1 d.). BDAR nereikalauja skirti vidaus atsakingo darbuotojo, bet kai kurios pareigos turi terminus: į žmogaus prašymą atsakoma nepagrįstai nedelsiant ir ne vėliau kaip per mėnesį (12 str. 3 d.), o apie pažeidimą, kuris gali kelti pavojų žmonių teisėms ir laisvėms, VDAI pranešama nepagrįstai nedelsiant ir, jei įmanoma, per 72 valandas nuo sužinojimo (33 str. 1 d.). Todėl mūsų rekomendacija: paskirkite vieną žmogų ir pavaduotoją įsakymu, surašykite konkrečias užduotis ir suplanuokite metų darbus. Žemiau – paruoštas tekstas.
Kas šiame puslapyje
1.Ar tokį darbuotoją skirti privaloma?
Ne. BDAR tokios pareigybės nemini. Jis nustato, ką turi padaryti įmonė, bet ne kas įmonėje tai daro. Kaip paskirstyti darbą, sprendžiate patys.
Be paskirto žmogaus šis darbas gali likti neatliktas: prašymas atkeliauja į bendrą paštą, niekas neskaičiuoja mėnesio, o apie pažeidimą vadovas sužino po savaitės. Paskyrimas kainuoja vieną įsakymą.
Ar jūsų įmonei taikoma BDAR 37 straipsnio pareiga, yra atskiras klausimas. Jį aptaria partnerio straipsnis dat.lt, nuoroda apačioje.
2.Ką įrašyti į pareigas?
Žemiau – blokas, kurį galite įkelti į pareigybės aprašymą arba įsakymo priedą. Prie kiekvienos užduoties nurodyta, kurią BDAR pareigą ji padeda įvykdyti.
| Užduotis | Kodėl |
|---|---|
| Tvarko ir atnaujina tvarkymo veiklų registrą, kai keičiasi veikla, sistemos ar tiekėjai | Jei jums netaikoma BDAR 30 str. 5 d. išimtis, registras privalomas; jis tvarkomas raštu, įskaitant elektronine forma (30 str. 1 ir 3 d.), ir pateikiamas VDAI paprašius (30 str. 4 d.) |
| Priima žmonių prašymus (susipažinti, ištaisyti, ištrinti ir kt.), registruoja gavimo datą ir stebi terminą | Atsakoma nepagrįstai nedelsiant, bet ne vėliau kaip per mėnesį; prireikus, atsižvelgiant į prašymų sudėtingumą ir skaičių, terminas gali būti pratęstas dar dviem mėnesiais – apie pratęsimą ir vėlavimo priežastis žmogui pranešama per pirmąjį mėnesį (BDAR 12 str. 3 d.) |
| Surenka faktus apie pažeidimą, pildo pažeidimų žurnalą, parengia pranešimo VDAI projektą ir yra jame nurodomas kontaktinis asmuo | Nepagrįstai nedelsiant ir, jei įmanoma, per 72 valandas nuo sužinojimo, nebent pažeidimas neturėtų kelti pavojaus žmonių teisėms ir laisvėms (BDAR 33 str. 1 d.); kontaktinis asmuo (33 str. 3 d. b p.); visų pažeidimų dokumentavimas (33 str. 5 d.) |
| Veda tiekėjų, tvarkančių duomenis įmonės vardu, sąrašą ir tikrina, ar su kiekvienu yra duomenų tvarkymo sutartis | BDAR 28 str. 1 ir 3 d. |
| Atnaujina informavimo pranešimus: privatumo politiką, pranešimus darbuotojams ir kandidatams | Informacija žmonėms, kai duomenys gaunami iš jų pačių (BDAR 13 str.) ir kai gaunami iš kitų šaltinių, pvz., kandidato CV per darbo skelbimų portalą (BDAR 14 str.) |
| Prieš pradedant naują tvarkymą patikrina, ar nereikia poveikio vertinimo, ir apie tai praneša vadovui | Kai tvarkymas gali kelti didelį pavojų žmonių teisėms ir laisvėms, vertinimas atliekamas prieš pradedant tvarkyti (BDAR 35 str. 1 d.) |
| Paruošia darbuotojams trumpas instrukcijas ir organizuoja mokymus | Valdytojas imasi priemonių, kad darbuotojai duomenis tvarkytų tik pagal jo nurodymus (BDAR 32 str. 4 d.) |
| Rengia atsakymų į VDAI paklausimus projektus | Bendradarbiavimas su priežiūros institucija (BDAR 31 str.) |
| Kartą per metus pateikia vadovui trumpą ataskaitą: kas padaryta, kas liko, kokie pažeidimai buvo | Priemonės prireikus peržiūrimos ir atnaujinamos (BDAR 24 str. 1 d.) |
Sprendimus – ar pranešti VDAI, ar pradėti naują tvarkymą, ar pasirašyti sutartį – mūsų siūlomame tekste priima vadovas. Atsakingas darbuotojas paruošia, vadovas nusprendžia.
3.Kaip atrodo paskyrimo įsakymas?
Mūsų siūlomas tekstas:
ĮSAKYMAS dėl asmens duomenų apsaugos užduočių koordinatoriaus paskyrimo
[Data], Nr. [ ]
1. Skiriu [vardas, pavardė, pareigos] atsakingu už asmens duomenų apsaugos užduočių koordinavimą (toliau – koordinatorius).
2. Pavedu koordinatoriui atlikti priede išvardytas užduotis.
3. Koordinatoriaus nesant, jo užduotis atlieka [vardas, pavardė, pareigos].
4. Šioms užduotims koordinatorius skiria iki [ ] valandų per mėnesį.
5. Visi darbuotojai žmonių prašymus dėl jų duomenų ir informaciją apie galimus pažeidimus nedelsdami perduoda koordinatoriui adresu [bendras el. paštas].
6. Sprendimus dėl pranešimų VDAI ir duomenų subjektams, naujų duomenų tvarkymo veiklų ir sutarčių su duomenų tvarkytojais priima [vadovas].[Vadovo vardas, pavardė, parašas]
Keturi dalykai, kurie šiame tekste svarbiausi:
- Pavaduotojas. Mėnesio ir 72 valandų terminai atostogų metu nesustoja.
- Laikas. Be valandų, skirtų šiam darbui, užduotys atidedamos vis kitam mėnesiui.
- Bendras el. pašto adresas. Jis lieka, kai žmogus išeina; asmeninis adresas – ne.
- Pavadinimas. Rinkitės aprašomąjį pavadinimą, pvz., koordinatorius. Kodėl tai svarbu, aiškinama partnerio straipsnyje dat.lt.
4.Ko šis darbuotojas neperima?
Duomenų valdytojo pareigų ir atsakomybės pagal BDAR. Duomenų valdytojas yra įmonė, nustatanti duomenų tvarkymo tikslus ir priemones (BDAR 4 str. 7 p.), ir būtent ji turi įgyvendinti priemones ir galėti įrodyti atitiktį (24 str. 1 d.). Paskyrus darbuotoją ši pareiga lieka įmonei.
Todėl nerašykite įsakyme, kad koordinatorius „atsako už BDAR laikymąsi“. Rašykite, ką jis daro.
5.Metų darbų kalendorius
Nuolatiniai darbai – prašymai ir pažeidimai – vyksta tada, kai atsiranda. Visa kita tinka suplanuoti. Mūsų siūlomas ritmas:
| Kada | Darbas |
|---|---|
| Nuolat | Prašymų registravimas ir terminų stebėjimas; pažeidimų fiksavimas žurnale |
| Sausis | Registro peržiūra: ar yra naujų procesų, sistemų, tiekėjų |
| Kovas | Tiekėjų sąrašas ir duomenų tvarkymo sutarčių patikra |
| Gegužė | Privatumo politikos ir informavimo pranešimų peržiūra |
| Rugsėjis | Darbuotojų mokymai ir instrukcijų atnaujinimas; naujokų supažindinimas |
| Spalis | Pažeidimo pratybos: ar visi žino, kam pranešti, ar veikia šablonai |
| Lapkritis | Naikinimo kalendoriaus patikra: ar kiekvieno proceso duomenys naikinami tokiu dažnumu, kokį nustatėte (kaip sudaryti naikinimo kalendorių) |
| Gruodis | Metų ataskaita vadovui |
Mėnesius pasirinkite pagal savo darbo ritmą. Svarbu, kad kiekvienas darbas turėtų datą kalendoriuje, o ne tik vietą sąraše.
6.Kas nutinka, kai darbuotojas išeina?
Perdavimą suplanuokite iš anksto. Prieš išeidamas darbuotojas perduoda pavaduotojui:
- atvirus prašymus ir jų terminus;
- pažeidimų žurnalą ir neužbaigtus įrašus;
- registro ir sutarčių vietą;
- prisijungimus prie bendro el. pašto.
Mūsų rekomendacija: naują koordinatorių paskirkite nauju įsakymu ne vėliau kaip tą dieną, kai ankstesnis išeina.
7.Ką daryti toliau
Pirmoji atsakingo darbuotojo užduotis gali būti registras. Įrankyje nemokamai sužinosite, ar jums privalomas tvarkymo veiklų registras, kuriuo BDAR straipsniu tai grindžiama ir kurie jūsų procesai yra rizikingi. Registrą galima užsakyti ir kaip vienkartinę procedūrą – 95 € be PVM.
8.Dažni klausimai
Ar šias užduotis galima pavesti išorės įmonei?
Taip. Jei išorės įmonė dirbdama prieis prie jūsų tvarkomų asmens duomenų, ji paprastai veiks kaip duomenų tvarkytojas, ir su ja reikia sutarties pagal BDAR 28 str. 3 d. Atsakomybė vis tiek lieka jums.
Ar privatumo politikoje reikia nurodyti šio darbuotojo vardą?
Ne. BDAR 13 str. 1 d. a p. reikalauja nurodyti duomenų valdytojo tapatybę ir kontaktinius duomenis. Mūsų rekomendacija – nurodyti bendrą el. pašto adresą, o ne asmeninį.
Mes – penkių žmonių įmonė. Ar to reikia ir mums?
Terminai galioja nepriklausomai nuo dydžio. Mažoje įmonėje tai gali būti viena eilutė esamo darbuotojo pareigose ir pavaduotojo vardas, bet ne tuščia vieta.
Ar atsakingam darbuotojui reikia teisinio išsilavinimo?
BDAR tokio reikalavimo šiam darbuotojui nenustato. Svarbiau, kad jis pažinotų įmonės procesus ir žinotų, kur kreiptis, kai klausimas sudėtingesnis.
9.Susiję klausimai
- BDAR mokymai darbuotojams: kaip juos surengti ir įforminti per vieną valandą
- Pažeidimų žurnalas: ką įrašyti apie kiekvieną duomenų saugumo pažeidimą
- Pranešimas žmonėms apie duomenų saugumo pažeidimą: šablonas ir penki žingsniai
- Ar mums reikia tvarkymo veiklų registro ir nuo ko pradėti?
Teisė ir rizika: Duomenų apsaugos koordinatorius ir pareigūnas: kuo jie skiriasi – dat.lt
10.Teisės aktai
- Duomenų valdytojo sąvoka – BDAR 4 str. 7 p.
- Atskaitomybė – BDAR 5 str. 2 d.; valdytojo atsakomybė ir peržiūra – 24 str. 1 d.
- Atsakymo į prašymą terminas – BDAR 12 str. 3 d.
- Informacija žmonėms – BDAR 13 ir 14 str.; valdytojo tapatybė ir kontaktai – 13 str. 1 d. a p.
- Duomenų tvarkytojai ir sutartis – BDAR 28 str. 1 ir 3 d.
- Registras – BDAR 30 str. 1 d.; raštu – 30 str. 3 d.; pateikimas VDAI – 30 str. 4 d.; išimtis mažesnėms nei 250 darbuotojų organizacijoms ir jos sąlygos – 30 str. 5 d.
- Bendradarbiavimas su VDAI – BDAR 31 str.
- Priemonės, kad darbuotojai tvarkytų tik pagal nurodymus – BDAR 32 str. 4 d.
- Pažeidimai – BDAR 33 str. 1 d.; kontaktinis asmuo – 33 str. 3 d. b p.; dokumentavimas – 33 str. 5 d.
- Poveikio vertinimas prieš tvarkymą, kai gali kilti didelis pavojus – BDAR 35 str. 1 d.
Teisės aktai patikrinti 2026-09-25: BDAR – oficialus lietuviškas tekstas (OL L 119, 2016-05-04) su klaidų ištaisymais. Tekstas yra bendro pobūdžio informacija ir neatstoja individualios teisinės konsultacijos.
Oficialus teisės akto tekstas
Reglamento nuostatų čia neperpasakojame. Oficialus BDAR tekstas lietuvių kalba yra vienoje vietoje ir yra tikslesnis už bet kokį atpasakojimą.
BDAR tekstas lietuvių kalba (EUR-Lex)