Duomenų tvarkymo veiklos įrašai pagal BDAR 30 straipsnį parodo, kokiais tikslais organizacija tvarko asmens duomenis, kokių žmonių ir duomenų kategorijas tai apima, kam duomenys atskleidžiami ir kada jie nebereikalingi. Tai vidinis atskaitomybės dokumentas, kurį priežiūros institucijai reikia pateikti paprašius. Jis nėra nei privatumo pranešimas žmogui, nei vien programų sąrašas. Šiame vadove aiškinama, kada įrašų reikia ir kaip sudaryti naudingą valdytojo arba tvarkytojo įrašą. Atskirame veiklos įrašų šablone pateikiama pildymo struktūra, o ROPA programinės įrangos vertinime aptariamas įrankio pasirinkimas.
Pirmiausia nustatykite, kokį vaidmenį atliekate
Organizacija yra duomenų valdytoja, kai nustato tvarkymo tikslus ir esmines priemones. Ji gali būti tvarkytoja, kai kito valdytojo vardu ir pagal jo nurodymus teikia paslaugą. Ta pati bendrovė savo darbuotojų apskaitai gali būti valdytoja, o klientų sistemos priežiūrai – tvarkytoja. BDAR 30 straipsnio 1 dalis skirta valdytojo įrašams, 2 dalis – tvarkytojo įrašams. Viena lentele abu vaidmenis galima valdyti tik tada, jei joje aiškiai atskirta, kuris įrašas kam priklauso.
Pavyzdžiui, debesijos paslaugų teikėjas sprendžia, kaip samdo darbuotojus ir tvarko jų atlyginimus. Tų veiklų įrašai yra valdytojo. Teikdamas duomenų saugyklą klientams jis gali apdoroti klientų naudotojų duomenis jų vardu; tokios paslaugos kategorijos patenka į tvarkytojo įrašą. Vien paslaugų teikėjo pavadinimas dar neįrodo jo vaidmens: peržiūrėkite faktinius sprendimus ir 28 straipsnio sutartį arba kitą privalomą teisinį aktą.
Ką iš tikrųjų reiškia mažiau kaip 250 darbuotojų išimtis
BDAR 30 straipsnio 5 dalis numato ribotą išimtį įmonėms ir įstaigoms, kuriose dirba mažiau kaip 250 darbuotojų. Ji netaikoma, kai atitinkamas tvarkymas gali kelti riziką asmenų teisėms ir laisvėms, nėra atsitiktinis arba apima BDAR 9 straipsnio specialių kategorijų ar 10 straipsnio duomenis. Šiuos požymius reikia vertinti pagal konkrečią veiklą. VDAI atnaujintoje rekomendacijoje dėl veiklos įrašų aiškina ir pareigos apimtį: mažesnei organizacijai gali reikėti įrašų bent dėl 30 straipsnio 5 dalies kriterijus atitinkančių veiklų, o ne automatiškai dėl kiekvienos įmanomos operacijos.
Parduotuvės nuolatinė klientų užsakymų ir darbuotojų apskaita nėra vienkartinis, atsitiktinis tvarkymas. Trumpas vienkartinis renginys gali būti vertinamas kitaip, jei nėra kitų išimtį panaikinančių aplinkybių. Toks vertinimas turi turėti faktus: kas tvarkoma, kaip dažnai, kokie duomenys ir kokia rizika. Neteisingos abi kraštutinės formulės „mažai įmonei įrašų nereikia“ ir „visiems be išimties būtinas kiekvienos veiklos registras“. Jeigu veiklai įrašas pagal 30 straipsnį neprivalomas, tikslo ir saugojimo sprendimus vis tiek gali reikėti dokumentuoti pagal bendrą atskaitomybės principą. Mažesnė organizacija gali pirmiausia patikrinti, ar esama skaičiuoklė ir pakeitimų tvirtinimo eiga leidžia palaikyti reikalingus įrašus; BDAR programinės įrangos MVĮ vadovas padeda palyginti įrankio pasirinkimo kriterijus, tačiau programos pirkimas nėra 30 straipsnio pareiga.
Valdytojo įrašo turinys pagal 30 straipsnio 1 dalį
Valdytojo įraše nurodomas valdytojo ir, jei aktualu, bendro valdytojo, atstovo bei duomenų apsaugos pareigūno vardas, pavardė arba pavadinimas ir kontaktai. Kiekvienai veiklai aprašomi tikslai, duomenų subjektų ir asmens duomenų kategorijos, gavėjų kategorijos, įskaitant gavėjus trečiosiose valstybėse. Jei duomenys perduodami į trečiąją valstybę ar tarptautinę organizaciją, fiksuojama reikalaujama informacija apie perdavimą ir, tam tikrais atvejais, apsaugos priemones. Kiek įmanoma, nurodomi numatyti skirtingų duomenų kategorijų ištrynimo terminai ir bendras techninių bei organizacinių saugumo priemonių aprašymas.
Teisinis pagrindas nėra atskiras privalomas 30 straipsnio 1 dalies laukelis. Vis dėlto jį dažnai naudinga pridėti kaip organizacijos pasirinktą atskaitomybės lauką: taip galima patikrinti, ar privatumo pranešime, sutikimo įrodyme ir įraše kalbama apie tą patį tikslą. Taip pat naudinga žymėti veiklos savininką, paskutinį peržiūros laiką ir susietus tiekėjus. Aiškiai skirkite privalomą straipsnio turinį nuo papildomų vidaus valdymo laukų, kad įrankio forma nebūtų klaidingai pristatyta kaip teisės aktas.
Pavyzdinė eilutė „klientų užsakymų vykdymas“ gali apimti pirkėjus, kontaktus, pristatymo duomenis, mokėjimo būdo žymą, gavėjus siuntų pristatymui ir apskaitai bei atskiras saugojimo taisykles. Jeigu tas pats el. pašto adresas naudojamas rinkodarai, tai kitas tikslas: atskirai įvertinkite jo pagrindą ir gavėjus. Skirtingi tikslai neturėtų dingti vienoje eilutėje „klientų duomenys“, nes tuomet neaišku, kokios teisės ir terminai taikomi.
Tvarkytojo įrašas nėra sutrumpinta valdytojo kopija
Pagal 30 straipsnio 2 dalį tvarkytojas fiksuoja savo ir kiekvieno valdytojo, kurio vardu veikia, duomenis, prireikus jų atstovus bei pareigūnus, kiekvieno valdytojo vardu vykdomų tvarkymo kategorijas, atitinkamus perdavimus už EEE ribų ir, kai įmanoma, bendrą saugumo priemonių aprašymą. Tvarkytojas neturi savo valia priskirti kliento veiklai tikslo ar teisinio pagrindo, kurio nenustatė valdytojas. Vis dėlto jis turi žinoti, kokią paslaugą teikia ir kam, kad galėtų vykdyti savo pareigas.
Įmonė, aptarnaujanti penkis klientus, gali turėti vienodą techninę paslaugą, bet skirtingas sutartines ribas ir gavėjus. Įraše turi būti aišku, kurioms valdytojų veikloms priskiriama kategorija ir kur yra atitinkamas dokumentas. Jei klientas pakeičia saugojimo ar subrangovo sąlygas, peržiūrėkite ne tik sutartį, bet ir tvarkytojo įrašą. 28 straipsnio sutartis ar kitas privalomas teisinis aktas ir 30 straipsnio įrašas yra skirtingi dokumentai: vienas nustato santykį, kitas aprašo faktiškai vykdomą tvarkymą.
Kaip suskirstyti veiklas, kad įrašas būtų naudingas
Pradėkite nuo proceso, ne nuo programos pavadinimo. Viena programa gali aptarnauti darbo užmokestį ir kandidatų atranką, tačiau jų tikslai, duomenų kategorijos ir saugojimo taisyklės skiriasi. Vienas procesas gali naudoti kelias programas: užsakymas prasideda parduotuvėje, perduodamas apskaitai ir siuntų tarnybai. Įrašas turi parodyti tokį kelią neversdamas kiekvieno paspaudimo atskira eilute. Greta registro gali būti informacinių sistemų žemėlapis, kuris padeda rasti duomenų vietas.
Praktiškas pokalbis su veiklos savininku prasideda nuo trijų klausimų: kokį rezultatą siekiate gauti, kokie žmonės ir duomenys būtini, kas gauna duomenis? Tuomet klauskite, kada tikslas pasibaigia ir ar lieka teisinė saugojimo priežastis. Jei atsakymas „viską saugome neribotai“, reikia atskiro darbo su saugojimo ribojimu. Jei duomenys pradėti naudoti naujam tikslui, atlikite tikslo keitimo patikrą, o ne tyliai pervadinkite esamą eilutę.
Ribinis atvejis yra bendras klientų aptarnavimo pašto dėžutės archyvas. Jame gali būti užsakymo klausimų, skundų, sveikatos informacijos, kurią žmogus pats netikėtai atsiuntė, ir rinkodaros atsisakymų. Viskas nėra vienodas „paštas“. Aprašykite pagrindines tvarkymo veiklas, paskirkite prieigą ir nuspręskite, kaip išskiriamas netikėtai gautas jautrus turinys. Įrašas turi padėti darbuotojui priimti sprendimą, o ne vien užpildyti laukus.
Ryšys su kitais BDAR dokumentais
Įrašas yra vidinis. Privatumo pranešimas skirtas žmonėms ir turi atitikti faktinius tikslus bei gavėjus, bet jo turinys ir teisinis pagrindas nustatomi pagal 12–14 straipsnius. Duomenų apsaugos poveikio vertinimas reikalingas tada, kai numatomas didelis pavojus; kiekvienam įrašui jo nereikia. Atskaitomybės įrodymų aplankas gali susieti įrašą su sprendimais, sutartimis ir priemonių patikra, tačiau nėra savarankiška BDAR forma.
Įrašas padeda ir atsakyti į prašymą susipažinti, nes jame matomi galimi sistemos ir gavėjų tipai. Jis paprastai neparodo, ar konkretaus žmogaus duomenys yra konkrečiame įraše; tam reikia paieškos atitinkamose sistemose. Duomenų incidento metu registro kategorijos gali padėti įvertinti poveikį, bet pažeidimo faktų ir rizikos sprendimas turi būti priimamas pagal realiai paveiktus duomenis, ne vien pagal schemą.
Atnaujinimo ritmą siekite su pokyčiais
BDAR nenustato universalaus „kartą per metus“ įrašo atnaujinimo termino. Įrašas turi atitikti vykdomą veiklą, todėl pokyčio metu jį reikia peržiūrėti: naujas tikslas, duomenų kategorija, gavėjas, perdavimo šalis, sistema, saugojimo taisyklė ar saugumo modelis. Metinė peržiūra gali būti naudinga vidaus kontrolė, tačiau ji nepakeičia atnaujinimo prieš naują veiklą. Įtraukite registro savininką į pirkimo, sistemos diegimo ir paslaugos nutraukimo eigą.
Pavyzdžiui, pardavimų komanda įsigyja naują pranešimų įrankį. Prieš įjungiant importą patikrinama, ar tai tik esamo tikslo priemonė, ar atsiranda naujas profilavimas; kas bus gavėjas, kur dirbs palaikymas, ar yra 28 straipsnio santykis ir ar keičiasi saugojimas. Įrašo savininkas gauna tik patvirtintus faktus, o ne spėjamą „viskas atitinka“. Jei sprendimas lieka atviras, pažymėkite jo savininką ir terminą.
Ką parodyti VDAI paprašius
30 straipsnio 3 dalis leidžia rašytinę, įskaitant elektroninę, formą; 4 dalis numato pateikimą priežiūros institucijai paprašius. Nėra pareigos iš anksto siųsti kiekvieną pakeitimą VDAI. Pasirinkite tokį formatą, kurį galima perskaityti ir išsaugoti neįsigijus jūsų naudojamos programos. Patikrinkite vieną eksportą: ar matyti valdytojo ir tvarkytojo vaidmenys, visi privalomi laukai, naujausios versijos data ir ar neatskleidžiama nereikalingų asmens duomenų iš vidinių pastabų?
VDAI rekomendacija ir atnaujintos formos yra naudinga lietuviška atrama. Ji nepaverčia konkrečios skaičiuoklės ar komercinės sistemos vienintele leidžiama forma. Jei veikla nedidelė ir savininkas nuosekliai ją prižiūri, gerai valdoma skaičiuoklė gali būti pakankama. Jei yra keli padaliniai ir dažni pokyčiai, gali reikėti aiškesnio patvirtinimo bei versijų valdymo. Sprendimas priklauso nuo darbo eigos, ne nuo pažado „automatiškai užtikrinti atitiktį“.
Patikrinkite vieną eilutę nuo šaltinio iki ištrynimo
Įrašo kokybę geriausia vertinti ne pagal eilučių skaičių, o pagal vieną visą duomenų kelią. Tarkime, užsakovas internetinėje formoje pateikia vardą, telefono numerį ir užklausą. Patikrinkite, kur šie duomenys atsiduria: svetainės serveryje, el. pašte, klientų valdymo sistemoje ir atsarginėje kopijoje. Įraše turi būti aiškiai aprašytas tvarkymo tikslas ir gavėjų kategorijos, tačiau nereikia apsimesti, kad vienas registras yra visų fizinių duomenų kopijų katalogas. Susiekite jį su sistemų žemėlapiu ir su realia prieigų tvarka.
Tuomet sekite užklausą iki jos pabaigos. Jei sutartis nesudaroma, kokia informacija dar reikalinga, kiek laiko ir dėl kokios priežasties? Jei sudaroma, dalis duomenų gali persikelti į užsakymo ir apskaitos procesus, kuriems galioja kiti tikslai ir terminai. Įrašo saugojimo laukelis „pagal poreikį“ čia nieko neišsprendžia. Nurodykite bent taisyklę, pagal kurią nustatoma ištrynimo data, ir žmogų, kuris ją peržiūri pasikeitus teisės aktui ar sutarties pobūdžiui. Jeigu taisyklės dar nėra, pažymėkite spragą, o ne išgalvokite terminą.
Atskirai išnagrinėkite bendrą valdymą ir gavėjus
Vienos organizacijos duomenis gali gauti ne tik jos tvarkytojai. Bankas, valstybinė įstaiga ar savarankišką profesinį sprendimą priimantis paslaugų teikėjas gali būti atskiras valdytojas. Kartu su partneriu nustatant duomenų naudojimo tikslus ir esmines priemones gali kilti bendro valdymo klausimas pagal 26 straipsnį. Registro gavėjų laukas neturėtų visų šių santykių suplakti į „tvarkytojus“. Priskirkite vaidmenį kiekvienam reikšmingam duomenų perdavimui, o ginčytiną atvejį pažymėkite sprendimui.
Pavyzdžiui, renginio organizatorius siunčia dalyvių sąrašą renginio vietai. Ar vieta tvarko sąrašą vien organizatoriaus nurodymu, ar savarankiškai sprendžia dėl įėjimo saugos ir savo pareigų? Atsakymas priklauso nuo sutarties ir faktinės veiklos. Įraše užfiksuokite gavėjo kategoriją ir duomenų srautą, o vaidmens analizę saugokite kaip susietą sprendimą. Taip nereikės kas kartą iš naujo spėlioti, kodėl buvo ar nebuvo sudaryta 28 straipsnio sutartis.
Saugumo aprašymas turi būti patikrinamas
30 straipsnis reikalauja bendro techninių ir organizacinių priemonių aprašymo, kiek tai įmanoma. Vien frazė „taikome tinkamas priemones“ neleidžia suprasti, ar veiklai taikomi prieigos apribojimai, atsarginės kopijos, šifravimas, veiksmų registravimas ar darbuotojų instrukcijos. Kita vertus, įrašas neturi atskleisti slaptų prisijungimo duomenų arba tapti išsamiu techninės konfigūracijos vadovu. Nurodykite priemonių grupes ir susietą saugumo dokumentą, kurį atsakingi žmonės gali patikrinti. Jei priemonė tik planuojama, nevadinkite jos jau veikiančia.
Jei klientų aptarnavimo duomenys saugomi debesyje, paklauskite, ar prieigą turi tik aptarnavimo komanda, kaip ji panaikinama darbuotojui išėjus ir ar atkūrimas iš kopijos buvo išbandytas. Registro eilutėje pakanka nuorodos į galiojančią tvarką ir atsakingą asmenį; pats bandymo įrodymas gali būti kitur. Toks atskyrimas išlaiko registrą skaitomą, bet neslepia svarbių spragų.
Keturių akių kokybės patikra
Užbaigę pirmą versiją pasirinkite kelias skirtingas veiklas: klientų aptarnavimą, personalą, rinkodarą ir paslaugą, teikiamą kito valdytojo vardu. Paprašykite kiekvienos veiklos savininko patvirtinti tikslą ir duomenų srautą, o kito žmogaus – patikrinti, ar įrašas atitinka privatumo pranešimą, tiekėjų sąrašą ir faktinę sistemą. Nesutarimus dokumentuokite: galbūt rinkodaros sistema saugo duomenis ilgiau nei buvo manoma, o gal privatumo pranešime liko senas gavėjas.
Po patikros nurodykite, kada įrašas patvirtintas ir koks būsimas pokytis jį vėl atvers. Vienas bendras „atnaujinta 2026 m.“ datos laukas neparodo, kuri veikla buvo peržiūrėta. Jei įrašą veda duomenų apsaugos pareigūnas, faktinius verslo procesus vis tiek turi patvirtinti už juos atsakingi asmenys. Pareigūno vaidmuo yra padėti ir prižiūrėti, o ne iš nežinojimo sukurti klientų bei personalo veiklos aprašą.
Ką daryti, kai trūksta faktų apie tiekėją
Pasitaiko, kad padalinys gali nurodyti naudojamą paslaugą, bet negali pasakyti, kur tiekėjas laiko atsargines kopijas arba ar prie duomenų jungiasi subrangovai. Įraše nekurkite spėjamo atsakymo. Pažymėkite žinomą gavėjo kategoriją, atvirą klausimą, atsakingą asmenį ir terminą, per kurį bus gautas sutarties ar tiekėjo paaiškinimas. Jei nėra aišku, ar vyksta perdavimas į trečiąją valstybę, tai svarbi rizikos ir skaidrumo spraga; ją reikia spręsti prieš tęsiant naują duomenų perdavimą. Veiklos įrašas tokią spragą gali parodyti, bet pats jos neištaiso.
Panašiai elkitės su saugojimo terminais. Jei verslo padalinys teigia „laikome tiek, kiek reikia“, paprašykite nurodyti, kada poreikis baigiasi ir kas apie tai informuoja IT. Jei teisinė prievolė taikoma tik sąskaitai, nereiškia, kad tokį pat laiką galima saugoti visus kontaktinius, rinkodaros ir techninius žurnalus. Užfiksuokite atskirą taisyklę kiekvienai reikšmingai kategorijai. Toks darbas padaro įrašą naudojamą ir ištrynimo sprendimams.
Dažniausi sprendimo klausimai
Ar vieno darbuotojo įmonei reikia įrašų?
Įvertinkite konkrečias veiklas ir 30 straipsnio 5 dalies sąlygas. Nuolatinė klientų ar personalo duomenų tvarkymo veikla dažnai nėra atsitiktinė; tokioms veikloms įrašų gali reikėti ir mažai įmonei. Vien dydis nėra nei pareigos, nei išimties atsakymas.
Ar reikia įrašyti teisinį pagrindą?
30 straipsnio privalomų laukų sąraše jis atskirai nenurodytas, tačiau kaip papildomas vidaus laukas padeda patikrinti teisėtumą ir sutikimų bei privatumo pranešimų nuoseklumą. Nepristatykite savo pasirinkto lauko kaip pažodinio reglamento reikalavimo.
Ar įrašas yra viešas?
Paprastai tai vidinis dokumentas, pateikiamas priežiūros institucijai jai paprašius. Duomenų subjektams turi būti pateikta informacija pagal 12–14 straipsnius ir įgyvendinamos jų teisės; tai nėra tas pats, kas perduoti jiems visą vidinę lentelę.
Ar tvarkytojas gali naudoti tą pačią lentelę kaip valdytojas?
Gali naudoti tą patį įrankį, tačiau 30 straipsnio 1 ir 2 dalių įrašų turinys skiriasi. Atskirkite vaidmenis, valdytojus, kurių vardu veikiama, ir tvarkymo kategorijas. Paslaugų sutartis pati įrašo nepakeičia.
Ar registro turėjimas reiškia, kad veikla teisėta?
Ne. Įrašas aprašo faktus ir padeda juos tikrinti. Net tiksliai įrašytas perteklinis duomenų rinkimas, netinkamas teisinis pagrindas ar nepakankamas saugumas išlieka atskira problema. Kiekvienam tokiam radiniui paskirkite atsakingą žmogų ir taisymo veiksmą.
Šaltiniai, peržiūrėti 2026 m. rugsėjo 27 d.: BDAR 30 straipsnis ir susijusios nuostatos, VDAI rekomendacija dėl veiklos įrašų ir formų.