Duomenų tvarkymo veiklos įrašų šablonas (ROPA): pilnas 2026

Ieškote duomenų tvarkymo veiklos įrašų (angl. records of processing activities, ROPA) šablono pagal Bendrojo duomenų apsaugos reglamento (BDAR) 30 straipsnį? Štai jis – pilna laukų lentelė ir užpildytas pavyzdys, paruošti pritaikyti. Duomenų tvarkymo veiklos įrašai yra dokumentas, kuriame surašomos visos organizacijos asmens duomenų tvarkymo operacijos, ir juos privalo turėti dauguma Lietuvos organizacijų, nepriklausomai nuo dydžio. Tai pirmasis dokumentas, kurio prašo Valstybinė duomenų apsaugos inspekcija (VDAI) per patikrinimą. Teisinį pagrindą – kam privalomi ir kokie laukai būtini – aptariu atskirame tvarkymo veiklos įrašų (30 str.) gide.

Šiame straipsnyje pateikiu pilną šabloną, tada paaiškinu, kaip jį užpildyti ir kokių klaidų vengti.

Duomenų tvarkymo veiklos įrašų šablonas (valdytojo įrašas)

Kiekvienas tvarkymo tikslas – atskira eilutė. Šablono stulpeliai atitinka BDAR 30 str. 1 dalies reikalavimus:

Nr.	Laukas	Paaiškinimas
1	Valdytojo duomenys	Pavadinimas, kodas, buveinė, atstovas
2	DAP kontaktai	Jei paskirtas
3	Tvarkymo tikslas	Pvz., personalo administravimas
4	Teisinis pagrindas	BDAR 6 str. (ir 9 str., jei specialūs)
5	Duomenų subjektų kategorijos	Darbuotojai, klientai, kandidatai
6	Asmens duomenų kategorijos	Tapatybės, kontaktiniai, finansiniai
7	Gavėjų kategorijos	Įskaitant tvarkytojus
8	Perdavimai už ES	Šalis ir apsaugos priemonės (46 str.)
9	Saugojimo terminas	Konkretus terminas ar kriterijus
10	Saugumo priemonės	Bendras 32 str. priemonių aprašymas

Užpildyto įrašo pavyzdys

Tikslas: Darbuotojų darbo užmokesčio administravimas Teisinis pagrindas: Sutartis (BDAR 6 str. 1 d. b p.) ir teisinė prievolė (6 str. 1 d. c p. – mokesčių, socialinio draudimo) Subjektų kategorijos: Įmonės darbuotojai Duomenų kategorijos: Vardas, pavardė, asmens kodas, banko sąskaita, darbo užmokestis, išskaitos Gavėjai: Buhalterinės apskaitos paslaugų tvarkytojas, VMI, „Sodra", bankas Perdavimai už ES: Nėra Saugojimo terminas: Teisės aktų nustatytas apskaitos dokumentų saugojimo terminas Saugumo priemonės: Prieigos ribojimas pagal „būtina žinoti", šifravimas, žurnalai, MFA

Kiekvienam gavėjui, kuris yra tvarkytojas, turi būti sudaryta 28 straipsnio sutartis. Įrašą naudinga susieti su sutarties šablonu ir saugojimo terminų politika.

Tvarkytojo įrašo šablonas (30 str. 2 d.)

Jei jūsų organizacija tvarko duomenis kitų subjektų vardu (pavyzdžiui, esate IT ar buhalterinių paslaugų teikėjas), reikalingas atskiras, siauresnis tvarkytojo įrašas:

Nr.	Laukas	Paaiškinimas
1	Tvarkytojo ir DAP duomenys	Pavadinimas, kontaktai
2	Valdytojai, kurių vardu tvarkoma	Klientų sąrašas
3	Tvarkymo kategorijos	Kokios operacijos atliekamos
4	Perdavimai už ES	Šalis ir apsaugos priemonės
5	Saugumo priemonės	Bendras 32 str. aprašymas

Kaip pritaikyti šabloną

Grupuokite pagal tikslą, ne pagal sistemą. Viena eilutė = vienas tvarkymo tikslas. Viena IT sistema gali aptarnauti kelis tikslus, o vienas tikslas – kelias sistemas. Neverskite įrašo sistemų sąrašu.

Kiekvienai eilutei priskirkite teisinį pagrindą. Nors 30 straipsnis to tiesiogiai nereikalauja, teisinis pagrindas yra atskaitomybės pamatas ir leidžia greitai atsakyti į subjektų prašymus.

Nurodykite konkretų saugojimo terminą. Frazė „saugoma, kol reikia" netenkina 30 str. 1 d. f p. Nurodykite terminą arba jo apskaičiavimo kriterijų pagal saugojimo ribojimą.

Susiekite gavėjus su sutartimis. Kiekvienas tvarkytojas įraše turi turėti atitinkamą 28 str. sutartį. Tai palengvina auditą ir patikrą.

Įrašus patogu vesti struktūrizuotai. Tokia platforma kaip Legiscope leidžia įrašus automatiškai susieti su sutartimis, saugojimo terminais ir poveikio vertinimais, kad atnaujinimai nebūtų pamiršti.

Dažnos klaidos

• Registro sutapatinimas su sistemų sąrašu. Grupuokite pagal tvarkymo tikslą.
• Saugojimo terminų nenurodymas. Kiekvienai eilutei reikia termino arba kriterijaus.
• Tvarkytojų neįtraukimas. Kiekvienas gavėjas, tvarkantis duomenis jūsų vardu, turi būti įraše ir turėti sutartį.
• Teisinio pagrindo praleidimas. Be jo įrašas neatlaiko atskaitomybės patikros.
• Registro „užšaldymas". Atnaujinkite įrašą kaskart pradėdami naują tvarkymą; peržiūrėkite bent kartą per metus.

Kaip pradėti pildyti nuo nulio

Jei įrašų dar nėra, pradėkite ne nuo tuščio šablono, o nuo duomenų srautų inventorizacijos. Apklauskite kiekvieną padalinį paprastais klausimais: kokius asmens duomenis renkate, iš ko, kokiu tikslu, kokiomis sistemomis naudojatės, kam duomenis perduodate ir kiek laiko saugote. Šie atsakymai tiesiogiai virsta įrašo eilutėmis. Paprastai net mažoje įmonėje susidaro 10–20 tvarkymo tikslų: personalo administravimas, darbo užmokestis, atranka, klientų sutartys, tiekėjų valdymas, tiesioginė rinkodara, svetainės analitika, vaizdo stebėjimas, užklausų nagrinėjimas.

Kiekvienam tikslui iškart priskirkite teisinį pagrindą. Dažniausiai tai bus sutartis (klientai, darbuotojai), teisinė prievolė (apskaita, mokesčiai), teisėtas interesas (saugumas, kai kuri rinkodara) arba sutikimas (naujienlaiškis, neprivalomi slapukai). Jei tikslui sunku priskirti pagrindą, tai signalas, kad tvarkymo teisėtumą reikia peržiūrėti. Pradedantiesiems dažnai kyla klausimas, kaip smulkiai skaidyti tikslus. Praktinė taisyklė: jei dviem veikloms taikomas skirtingas teisinis pagrindas, skirtingi gavėjai arba skirtingi saugojimo terminai, tai atskiros eilutės; jei visa sutampa, jas galima sujungti.

Įrašų peržiūra ir susiejimas

Užpildytas įrašas turi būti gyvas dokumentas. Nustatykite atsakingą asmenį (dažnai duomenų apsaugos pareigūną arba administracijos vadovą) ir peržiūros ritmą – bent kartą per metus ir kaskart pradedant naują tvarkymą. Peržiūros metu tikrinama, ar visi tvarkytojai turi sutartis, ar saugojimo terminai realūs, ar teisiniai pagrindai tebegalioja.

Didžiausią vertę įrašai duoda tada, kai susieti su kitais dokumentais. Iš įrašo turėtų būti matoma, kuri operacija susijusi su kuria sutartimi, kuriam tikslui atliktas poveikio vertinimas ir koks saugojimo terminas taikomas. Toks susietas registras leidžia per minutes atsakyti į VDAI paklausimą ir greitai rasti, kur tvarkomi konkretaus asmens duomenys nagrinėjant subjekto prašymą.

Kodėl VDAI įrašo prašo pirmiausia

Praktikoje tvarkymo veiklos įrašas yra ne formalus dokumentas, o pradinis priežiūros įrankis. Per patikrinimą VDAI paprastai pirmiausia prašo pateikti būtent įrašą, nes iš jo iškart matyti visas organizacijos tvarkymo vaizdas: kokie tikslai, kokiais teisiniais pagrindais, kokie duomenys ir kam perduodami. Neužpildytas, pasenęs arba akivaizdžiai nukopijuotas įrašas dažnai tampa pirmuoju atskaitomybės (BDAR 5 str. 2 d.) trūkumo signalu ir nulemia tolesnę patikrinimo eigą.

Todėl įrašą verta vertinti ne kaip „popierių dėl VDAI", o kaip valdymo priemonę. Gerai užpildytas įrašas leidžia per minutes atsakyti į subjekto prašymą, greitai įvertinti pažeidimo mastą ir pamatyti, kur trūksta tvarkytojų sutarčių ar saugojimo terminų. Būtent šia prasme įrašas yra pirmoji – ne paskutinė – atitikties priemonė.

Dažnai užduodami klausimai

Ar įrašą galima vesti paprastoje skaičiuoklėje?

Taip. BDAR 30 str. 3 d. leidžia bet kokią rašytinę, įskaitant elektroninę, formą. Skaičiuoklė tinka mažai organizacijai, tačiau augant operacijų skaičiui specializuota priemonė palengvina susiejimą su sutartimis ir atnaujinimą.

Ar reikia ir valdytojo, ir tvarkytojo įrašo?

Jei organizacija veikia abiem vaidmenimis – tvarko savo duomenis (valdytojas) ir klientų duomenis jų vardu (tvarkytojas) – reikalingi abu įrašai. Vaidmenis būtina atskirti prieš pildant.

Ar įrašą reikia siųsti VDAI?

Ne. Įrašas nesiunčiamas iš anksto, o laikomas organizacijoje ir pateikiamas tik VDAI pareikalavus (30 str. 4 d.). Tačiau jis turi būti parengtas iš anksto.

Kiek dažnai atnaujinti įrašą?

Kaskart pradedant naują tvarkymą, keičiant tvarkytoją, sistemą ar tikslą. Papildomai rekomenduojama bendra peržiūra bent kartą per metus.

Ar reikia atskirų įrašų kiekvienam padaliniui?

Ne. Įrašas yra vienas visai organizacijai (juridiniam asmeniui), tačiau jį patogu pildyti renkant informaciją iš kiekvieno padalinio. Įmonių grupėje kiekvienas juridinis asmuo paprastai turi savo įrašą, nes yra atskiras valdytojas. Vidinis skaidymas pagal padalinius yra tik patogumo priemonė, ne teisinis reikalavimas.

Kiek išsamiai aprašyti saugumo priemones?

Pakanka bendro, bet konkretaus 32 straipsnio priemonių aprašymo – pavyzdžiui, prieigos valdymas, šifravimas, žurnalai, atsarginės kopijos. Detalias technines specifikacijas galima laikyti atskirai; įraše svarbu, kad priemonės būtų realios ir patikrinamos, o ne bendra frazė „atitinka gerąją praktiką", kuri netenkina reikalavimo.

Ar galima naudoti VDAI ar EDPB pateiktus įrašų pavyzdžius?

Taip. Priežiūros institucijų ir Europos duomenų apsaugos valdybos skelbiami pavyzdžiai yra geras atspirties taškas, tačiau juos reikia pritaikyti savo realiam tvarkymui. Nukopijuotas ir nepritaikytas pavyzdys neatspindi tikrovės, todėl per patikrą iškart matomas kaip formalus. Pavyzdys naudingas struktūrai, o ne turiniui – turinį lemia jūsų tikrieji duomenų srautai.

Išvada

Duomenų tvarkymo veiklos įrašų šablonas – tai lentelė, kurioje kiekvienam tvarkymo tikslui nurodomas teisinis pagrindas, duomenų ir subjektų kategorijos, gavėjai, perdavimai, saugojimo terminas ir saugumo priemonės. Pildykite grupuodami pagal tikslą, kiekvienai eilutei priskirkite teisinį pagrindą ir saugojimo terminą, o gavėjus susiekite su sutartimis. Reguliariai atnaujinamas įrašas yra ne formalumas, o pirmoji atitikties priemonė ir pirmasis dokumentas, kurio prašo VDAI.

Teisinė informacija: BDAR 30 straipsnis (EUR-Lex) · Asmens duomenų teisinės apsaugos įstatymas (e-seimas) · VDAI.

Šis šablonas yra bendro pobūdžio informacija ir nėra teisinė konsultacija.