Kaip pranešti žmonėms apie duomenų saugumo pažeidimą ir ką parašyti laiške?

Pranešimas VDAI ir pranešimas žmonėms turi skirtingas ribas:

Todėl dažnai būna taip: VDAI pranešti reikia, o žmonėms – ne. Atvirkščiai teisiškai būti negali: jei rizika didelė, pareiga pranešti VDAI yra visada.

Kad įvertintumėte, ar pavojus didelis, užduokite sau klausimą, kas blogo gali nutikti žmogui. BDAR 85 konstatuojamoji dalis vardija galimą žalą: tapatybės vagystę ar suklastojimą, finansinius nuostolius, diskriminaciją, pakenktą reputaciją, profesine paslaptimi saugomų duomenų konfidencialumo praradimą. Kuo jautresni duomenys, kuo daugiau žmonių ir kuo lengviau juos atpažinti, tuo didesnė rizika (EDPB gairių Nr. 9/2022 IV skyrius).

Kada pranešti nereikia?

BDAR 34 str. 3 d. numato tris išimtis:

1. Duomenys buvo nesuprantami pašaliniam – pvz., užšifruoti patikimu šifravimu dar prieš pažeidimą, šifravimas taikytas būtent paliestiems duomenims, o raktas nepateko kartu su jais (a p.; EDPB gairių Nr. 9/2022 78 ir 97 punktai).
2. Jūs jau pašalinote didelį pavojų – po pažeidimo ėmėtės priemonių, dėl kurių jis nebegali kilti (b p.).
3. Asmeniškai pranešti būtų neproporcingai sunku – tada vietoj asmeninių laiškų skelbiate viešai arba naudojate kitą tokią pat veiksmingą priemonę (c p.).

Jei remiatės išimtimi, užrašykite kuria ir kodėl. Visus pažeidimus, jų faktus, poveikį ir taisomuosius veiksmus privaloma dokumentuoti (BDAR 33 str. 5 d.), o jei dar nepranešėte, VDAI, įvertinusi, ar gali kilti didelis pavojus, gali pareikalauti pranešti žmonėms arba nuspręsti, kad išimtis taikoma (34 str. 4 d.).

BDAR 34 str. 2 d. nurodo pažeidimo pobūdį ir bent 33 str. 3 d. b, c ir d punktų informaciją. Praktiškai tai keturi blokai:

EDPB gairių Nr. 9/2022 87 punktas pateikia pavyzdį, kokį patarimą verta duoti: jei paliesti prisijungimo duomenys – pasikeisti slaptažodį. Galite pridėti ir daugiau informacijos, nei privaloma.

Pranešimas žmogui yra nemokamas (BDAR 12 str. 5 d.), o jo forma turi būti glausta, suprantama ir lengvai prieinama (12 str. 1 d.).

Mūsų siūlomas tekstas; laužtinius skliaustus pakeiskite savo duomenimis.

Tema: Svarbu: [įmonės pavadinimas] duomenų saugumo pažeidimas, palietęs jūsų duomenis

Laba diena, [vardas],

[data] nustatėme, kad [kas nutiko – pvz., neteisėtas asmuo prisijungė prie mūsų klientų paskyrų sistemos]. Paliesti šie jūsų duomenys: [duomenų sąrašas]. [Duomenys, kurie NEBUVO paliesti, jei tai svarbu – pvz., mokėjimo kortelių duomenų sistemoje nėra.]

Kas gali nutikti. [Tikėtinos pasekmės – pvz., galite gauti apgaulingų laiškų mūsų vardu, kuriuose prašoma prisijungimo duomenų.]

Ką padarėme. [Priemonės – pvz., užblokavome prieigą, pakeitėme slaptažodžius, apie pažeidimą pranešėme Valstybinei duomenų apsaugos inspekcijai.]

Ką rekomenduojame jums. [Konkretūs žingsniai – pvz., pasikeiskite slaptažodį; jei tą patį slaptažodį naudojate kitur, pakeiskite ir ten; neatsakykite į laiškus, prašančius prisijungimo duomenų.]

Į ką kreiptis. [Vardas, pavardė], [el. paštas], [telefonas].

Atsiprašome už nepatogumus.
[Vadovo vardas, pavardė, pareigos]

Nerašykite teiginių, kurių dar nepatikrinote, pvz., kad duomenys „niekur nepaskelbti“. Jei faktai paaiškės vėliau, geriau išsiųsti antrą laišką.

Terminas. BDAR nenustato valandų skaičiaus – tik „nepagrįstai nedelsdamas“. BDAR 86 konstatuojamoji dalis paaiškina: pavyzdžiui, kai reikia sumažinti tiesioginį žalos pavojų, žmonėms reikėtų pranešti nedelsiant, o ilgesnį terminą gali pateisinti būtinybė įgyvendinti priemones prieš besikartojančius ar panašius pažeidimus. Pranešimas turėtų būti pateiktas bendradarbiaujant su priežiūros institucija. Jei policija paprašo palaukti, kad nebūtų pakenkta tyrimui, atidėti galima, bet po to žmonės vis tiek informuojami greitai (BDAR 88 konstatuojamoji dalis; EDPB gairių 95 punktas).

Kanalas. EDPB gairių Nr. 9/2022 89–92 punktai:

• siųskite atskirą pranešimą – ne kartu su naujienlaiškiu ar įprastu pranešimu;
• tinka el. laiškas, SMS, žinutė paskyroje, paštas, gerai matomas pranešimas svetainėje;
• vien pranešimo spaudai ar įrašo tinklaraštyje nepakanka;
• jei vienu kanalu pasieksite ne visus, naudokite kelis;
• rašykite ta kalba, kuria su žmogumi bendraujate įprastai;
• būkite atsargūs su kanalu, kurį paveikė pažeidimas – juo gali pasinaudoti apsimetėliai; jei įmanoma, rinkitės kitą.

Kai asmeniškai pasiekti per sunku. Pavyzdžiui, kontaktai dingo dėl paties pažeidimo arba jų niekada neturėjote (EDPB gairių Nr. 9/2022 97 punktas). Mūsų vertinimu, vien tai, kad žmonių daug, dar nėra neproporcingos pastangos, jei turite jų el. pašto adresus ar telefonų numerius. Tada BDAR 34 str. 3 d. c p. leidžia paskelbti viešai arba taikyti kitą priemonę, kuri žmones informuotų taip pat veiksmingai.

Prie pažeidimo įrašo pažeidimų žurnale pridėkite:

• išsiųsto laiško kopiją ir datą;
• kanalą ir gavėjų skaičių;
• kiek laiškų negrįžo ar nepasiekė adresato ir ką darėte su šiais žmonėmis;
• jei nepranešėte – kuria 34 str. 3 d. išimtimi remiatės ir kodėl.

Tai padės įrodyti, kad pareigą įvykdėte (BDAR 5 str. 2 d. ir 33 str. 5 d.; EDPB gairių Nr. 9/2022 125 ir 127 punktai).

Parenkite šį šabloną dabar, kol nieko neįvyko, ir iš anksto nuspręskite, kas jį pasirašo ir kas siunčia. Įrankyje nemokamai sužinosite, ar jums privalomas tvarkymo veiklų registras ir kurie jūsų procesai yra rizikingi – tokių procesų pažeidimai labiau tikėtina gali kelti didelį pavojų žmonėms.

Ar pranešimas žmonėms pakeičia pranešimą VDAI?
Ne. Tai dvi atskiros pareigos: VDAI – pagal BDAR 33 str., žmonėms – pagal 34 str. Esant didelei rizikai reikia abiejų, nebent žmonėms pranešti nereikia dėl vienos iš 34 str. 3 d. išimčių.

Ar galima pranešti telefonu?
BDAR 12 str. 1 d. numato informaciją raštu arba kitomis priemonėmis, įskaitant elektronines, o žodžiu – kai to prašo pats žmogus. Mūsų rekomendacija – net paskambinus išsiųsti ir rašytinį pranešimą, nes jį lengviau įrodyti.

Pažeidimas įvyko pas mūsų IT tiekėją. Kas praneša žmonėms?
Jūs, kaip duomenų valdytojas. Tiekėjas, kaip duomenų tvarkytojas, turi nepagrįstai nedelsdamas pranešti jums (BDAR 33 str. 2 d.).

Ar galima palaukti, kol baigsis tyrimas?
Tik jei tam yra pagrindas, pvz., teisėsaugos prašymas netrukdyti tyrimui (BDAR 88 konstatuojamoji dalis). Jei žmonės patys gali apsisaugoti, pvz., pasikeisti slaptažodį, delsti nėra ko.

• Ką daryti įvykus duomenų saugumo pažeidimui?
• Išsiuntėme duomenis ne tam žmogui – ar reikia pranešti?
• Pažeidimų žurnalas: ką įrašyti apie kiekvieną duomenų saugumo pažeidimą
• Kas įmonėje atsakingas už duomenų apsaugą: pareigos, įsakymas ir metų kalendorius

Teisė ir rizika: Duomenų saugumo pažeidimas: kada pranešti VDAI ir žmonėms – dat.lt

• Pareiga pranešti žmonėms – BDAR 34 str. 1 d.; turinys – 34 str. 2 d. ir 33 str. 3 d. b, c ir d p.; išimtys – 34 str. 3 d. a, b ir c p.; VDAI teisė pareikalauti – 34 str. 4 d.
• Pranešimas VDAI – BDAR 33 str. 1 d.; tvarkytojo pareiga pranešti valdytojui – 33 str. 2 d.; dokumentavimas – 33 str. 5 d.
• Forma ir nemokamumas – BDAR 12 str. 1 ir 5 d.
• Galima žala, terminas ir teisėsaugos interesai – BDAR 85, 86 ir 88 konstatuojamosios dalys
• Kanalas, kalba, atskiras pranešimas – EDPB gairės Nr. 9/2022, 87–92 ir 95 punktai; šifravimas ir neproporcingos pastangos – 78 ir 97 punktai; išimties ir pranešimo įrodymai – 125 ir 127 punktai
• Atskaitomybė – BDAR 5 str. 2 d.

Teisės aktai patikrinti 2026-09-25: BDAR – oficialus lietuviškas tekstas (OL L 119, 2016-05-04) su klaidų ištaisymais; EDPB gairės Nr. 9/2022, 2.0 versija. Tekstas yra bendro pobūdžio informacija ir neatstoja individualios teisinės konsultacijos.