Valstybinė duomenų apsaugos inspekcija (VDAI) yra Lietuvos nepriklausoma priežiūros institucija, atsakinga už BDAR ir Asmens duomenų teisinės apsaugos įstatymo (ADTAĮ) laikymosi priežiūrą. Pagal BDAR 51 straipsnyje nustatytą priežiūros institucijų sistemą veikianti Vilniuje, VDAI nagrinėja duomenų subjektų skundus, atlieka patikrinimus, konsultuoja, gauna paskirtų duomenų apsaugos pareigūnų kontaktinius duomenis ir taiko korekcinius įgaliojimus – nuo įspėjimų iki administracinių baudų iki 20 mln. eurų arba 4 % pasaulinės apyvartos pagal BDAR 83 straipsnį. Šis vadovas paaiškina VDAI vaidmenį, įgaliojimus, kaip vyksta tyrimas ir ką organizacijai reiškia patekti į jos akiratį.
Kas yra VDAI ir koks jos statusas?
VDAI yra viena iš dviejų Lietuvos priežiūros institucijų duomenų apsaugos srityje. VDAI prižiūri privačiojo sektoriaus ir daugumos viešojo sektoriaus subjektų vykdomą asmens duomenų tvarkymą, o Žurnalistų etikos inspektoriaus tarnyba pagal ADTAĮ kompetenciją prižiūri tvarkymą žurnalistikos, akademinės, meninės ir literatūrinės saviraiškos tikslais. VDAI yra nepriklausoma – ji nepriima nurodymų iš kitų valstybės institucijų vykdydama savo funkcijas, kaip reikalauja BDAR 52 straipsnis.
Institucijai vadovauja direktorius. VDAI veikla finansuojama iš valstybės biudžeto, o jos sprendimus galima skųsti administraciniams teismams – tuo pasinaudojo, pavyzdžiui, „Vinted“. VDAI 2025 m. gegužės pranešime nurodyta, kad Regionų administracinis teismas atmetė bendrovės skundą, tačiau pats teismo sprendimas dar galėjo būti skundžiamas. Be patikrintų vėlesnės instancijos duomenų jo negalima vadinti galutiniu.
Kokios yra VDAI funkcijos ir įgaliojimai?
BDAR 57 ir 58 straipsniai apibrėžia priežiūros institucijos užduotis ir įgaliojimus. VDAI atveju tai apima:
- Skundų nagrinėjimą – bet kuris asmuo gali pateikti skundą dėl savo teisių pažeidimo.
- Tyrimus ir patikrinimus – tiek planinius, tiek pagal skundus ar pranešimus apie pažeidimus.
- Konsultacijas – gaires ir nuomones valdytojams bei tvarkytojams.
- Duomenų apsaugos pareigūnų kontaktų gavimą – apie paskirtą DAP pateikiamas pranešimas su organizacijos ir pareigūno kontaktais.
- Korekcinius įgaliojimus – įspėjimus, papeikimus, nurodymus, laikinus ar galutinius tvarkymo apribojimus ir administracines baudas.
Platesnį BDAR sistemos kontekstą Lietuvoje rasite duomenų apsaugos Lietuvoje vadove.
Duomenų apsaugos pareigūnas ir kontaktų paskelbimas
BDAR 37 straipsnio 7 dalis reikalauja paskelbti paskirto duomenų apsaugos pareigūno kontaktinius duomenis ir pranešti juos priežiūros institucijai. Tai nėra VDAI atliekamas pareigūno kvalifikacijos patvirtinimas ar išankstinis organizacijos atitikties įvertinimas. Jei pareigūnas pasikeičia, atnaujinkite viešai skelbiamus kontaktus ir pranešimą, kad asmenys bei inspekcija galėtų susisiekti su tinkamu žmogumi. DAP pranešimo parengimo vadovas padeda patikrinti, kokia informacija perduodama. Už tvarkymo teisėtumą atsakingas valdytojas ar tvarkytojas; DAP pataria ir stebi, bet negali už juos priimti kiekvieno sprendimo.
Kaip susisiekti su VDAI?
VDAI yra prieinama tiek duomenų subjektams, tiek valdytojams. Institucija priima skundus ir paklausimus raštu, elektroniniu paštu bei per elektroninius kanalus, o aktuali kontaktinė informacija ir formos skelbiamos jos oficialioje svetainėje. Valdytojams svarbu žinoti, kad į VDAI galima kreiptis ne tik reaguojant į problemą, bet ir prevenciškai – konsultacijos ar išankstinės konsultacijos pagal 36 straipsnį tikslais.
Duomenų subjektui dažnai praktiška pirmiausia kreiptis į valdytoją ar jo duomenų apsaugos pareigūną ir išsaugoti atsakymą. Tačiau BDAR 77 straipsnyje numatyta teisė pateikti skundą priežiūros institucijai nepriklauso nuo privalomo išankstinio kreipimosi į valdytoją. Patikrinkite VDAI skundo atmintinę dėl kompetencijos, formos ir pateikimo būdo.
Kaip vyksta VDAI tyrimas?
Tyrimas paprastai prasideda vienu iš trijų būdų: gavus duomenų subjekto skundą, gavus pranešimą apie duomenų saugumo pažeidimą arba VDAI iniciatyva (planinis patikrinimas). Tipinė eiga:
- Inicijavimas – VDAI gauna skundą ar pranešimą arba nusprendžia atlikti patikrinimą.
- Informacijos rinkimas – institucija prašo valdytojo pateikti dokumentus; gali būti prašoma duomenų tvarkymo veiklos įrašų, prašymų istorijos, saugumo ar kitų konkrečiam klausimui svarbių įrodymų.
- Vertinimas – analizuojama, ar tvarkymas atitinka BDAR ir ADTAĮ.
- Sprendimas – priimamas sprendimas su korekcinėmis priemonėmis ar bauda.
- Apskundimas – sprendimą galima skųsti administraciniam teismui.
Praktinė pamoka: pateikite būtent prašytą informaciją, jos versiją ir laikotarpį. Aktualus veiklos įrašas svarbus, bet skirtingų tyrimų įrodymai skiriasi.
Kokie VDAI įgaliojimai skirti baudas?
VDAI gali skirti administracines baudas pagal BDAR 83 straipsnį. Teorinės ribos yra iki 20 mln. eurų arba 4 % pasaulinės metinės apyvartos (kas didesnė) sunkiausiems pažeidimams, ir iki 10 mln. eurų arba 2 % lengvesniems. Konkreti suma priklauso nuo individualaus pažeidimo vertinimo.
Bauda nėra automatinis skundo ar patikrinimo rezultatas. Pagal BDAR 83 straipsnį vertinami pažeidimo pobūdis, trukmė, paveikti asmenys, atsakomybė, mažinimo veiksmai ir kitos aplinkybės. VDAI taip pat gali duoti nurodymą, papeikimą arba apriboti tvarkymą pagal 58 straipsnį. Lietuvos viešojo sektoriaus baudų taikymo ypatumus reikia tikrinti pagal konkrečiu metu galiojančią nacionalinę teisę; bendrų ES viršutinių ribų negalima paversti prognoze konkrečiai įstaigai. Paskelbtus sprendimus ir jų pagrindus rasite VDAI sprendimų apžvalgoje ir oficialiame institucijos sąraše.
„Vinted“ atvejis parodo apskundimo reikšmę: VDAI pranešė apie 2024 m. skirtą 2,385 mln. eurų baudą, o 2025 m. gegužę – apie Regionų administracinio teismo sprendimą atmesti skundą. Tame pačiame pranešime aiškiai nurodyta, kad teismo sprendimas gali būti skundžiamas. Todėl šį etapą galima vadinti pirmosios instancijos sprendimu, bet ne galutine teismų išvada ar šiandieniniu baudų reitingu. Naujų sprendimų ir galimų apeliacinių procesų būklę reikia tikrinti atskirai.
Kaip VDAI bendradarbiauja su kitomis institucijomis?
VDAI veikia ne izoliuotai, o kaip Europos duomenų apsaugos institucijų tinklo dalis. Tarpvalstybinio tvarkymo atvejais taikomas BDAR vieno langelio (angl. one-stop-shop) mechanizmas: pagrindinė priežiūros institucija nustatoma pagal pagrindinės buveinės vietą, o kitos suinteresuotos institucijos dalyvauja kaip susijusios. VDAI gali būti pagrindinė institucija tik tada, kai to konkretaus tarpvalstybinio tvarkymo pagrindinė buveinė nustatoma Lietuvoje; vien Lietuvos klientų ar įmonės registracijos nepakanka be atitinkamos sprendimų priėmimo vietos analizės.
VDAI taip pat dalyvauja Europos duomenų apsaugos valdyboje (EDAV), kuri užtikrina nuoseklų BDAR taikymą visose valstybėse narėse ir priima gaires bei nuoseklumo sprendimus. EDAV veiklą galima sekti jos oficialioje svetainėje. Praktinė reikšmė įmonei: VDAI sprendimai remiasi ne tik nacionaline, bet ir europine praktika, todėl atitiktis turi būti kuriama pagal EDAV lygio gaires, o ne vien vietinį kontekstą.
Kokias gaires ir konsultacijas teikia VDAI?
VDAI atlieka ne tik priežiūros, bet ir prevencinį vaidmenį – rengia gaires, rekomendacijas ir konsultuoja valdytojus bei tvarkytojus. Institucija skelbia metodinę medžiagą dažniausiais klausimais: sutikimo, saugumo priemonių, duomenų subjektų teisių įgyvendinimo, pranešimo apie pažeidimus. Tam tikrais atvejais, kai tvarkymas kelia didelę riziką ir jos negalima sumažinti, valdytojas privalo iš anksto konsultuotis su VDAI pagal BDAR 36 straipsnį – dar prieš pradedant tvarkymą.
Įmonei praktiška naudotis šiomis gairėmis, nes jos atspindi VDAI lūkesčius, pagal kuriuos vėliau vertinama atitiktis. Aktualiausią metodinę medžiagą VDAI skelbia savo svetainėje. Bendrą pareigų sistemą apibendrina mūsų duomenų apsaugos Lietuvoje vadovas.
Skundas: ką parengti duomenų subjektui
Jei manote, kad valdytojas pažeidė jūsų teises, pirmiausia susirašykite įvykių seką: kada prašėte susipažinti su duomenimis, juos ištaisyti ar ištrinti, kam kreipėtės ir kokį atsakymą gavote. Pridėkite tik su skundu susijusius dokumentus, pavyzdžiui, laiško kopiją, atsakymą ir ekrano vaizdą su data. Venkite siųsti visą paskyros eksportą, jeigu užtenka vieno įrašo. VDAI atmintinė skundą teikiantiems asmenims padeda pasirinkti tinkamą kanalą ir patikrinti, ar klausimas priklauso šiai institucijai. Jei ginčas dėl žurnalistinės publikacijos, patikrinkite Žurnalistų etikos inspektoriaus kompetenciją.
Prašymas valdytojui ir skundas VDAI nėra tas pats procesas. Pagal BDAR 12 straipsnio 3 dalį valdytojas apie priemones dėl teisės prašymo paprastai praneša per vieną mėnesį, galimas motyvuotas pratęsimas. Jei priemonių nesiima, 12 straipsnio 4 dalis reikalauja nurodyti priežastis ir galimybę pateikti skundą bei kreiptis į teismą. VDAI skundo nagrinėjimo trukmė priklauso nuo bylos ir nacionalinės procedūros; netaikykite valdytojo vieno mėnesio termino pačiai inspekcijai. Teisės susipažinti vadovas paaiškina, kokį atsakymą turėtų pateikti valdytojas.
Gavote VDAI raštą: kaip atsakyti organizacijai
Pirmiausia užregistruokite raštą ir jo pateikimo terminą, nurodykite atsakingą koordinatorių. Sudarykite klausimų sąrašą: kokio tvarkymo, laikotarpio ir subjektų jis liečia? Išsaugokite to laikotarpio dokumentų versijas; dabartinė politika neįrodo, kokia taisyklė galiojo prieš metus. Paprašykite IT, teisininkų, verslo savininko ir, jei paskirtas, DAP patikrinti faktus pagal savo kompetenciją. Atskirai pažymėkite, ko dar nežinote ir kada informaciją pateiksite. Atsakymas turėtų atskirti faktą, vertinimą ir planuojamą taisymą.
Jei VDAI klausia apie incidentą, pateikite aptikimo laiką, paveiktus duomenis, rizikos vertinimą, pranešimo sprendimą ir taikytas priemones. BDAR 33 straipsnis reikalauja pranešti be nepagrįsto delsimo ir, jei įmanoma, per 72 valandas nuo sužinojimo, nebent rizika asmenų teisėms ir laisvėms mažai tikėtina; 34 straipsnyje numatytas atskiras pranešimas asmenims, kai rizika didelė. Incidentų valdymo procedūra padeda užfiksuoti šią chronologiją. Jei klausimas apie teisių prašymus, svarbiausi prašymo ir atsakymo faktai, tapatybės tikrinimo pagrindas, sprendimo motyvai bei perdavimas vykdytojams.
Patikrinimas nėra vien dokumentų sąrašas
VDAI gali tikrinti realų priemonių veikimą. 2026 m. paskelbtame plane institucija numatė patikrinimus ir saugumo priemonių stebėseną, įskaitant prieigos valdymą, atsargines kopijas ir įvykių žurnalus. Tai rodo, kodėl saugumo politika be konfigūracijos ar bandymo įrodymų gali būti nepakankama. Pasiruoškite parodyti, kas turi prieigą, kaip ji patvirtinama ir atšaukiama, ar atkūrimas buvo išbandytas, kaip vertinami žurnalai. Naudinga saugumo audito įrodymų užduotis ir BDAR atskaitomybės aplankas, jei juose saugomi tikri, datuoti įrodymai.
Organizacija privalo bendradarbiauti su institucija ir vykdyti teisėtus nurodymus. VDAI 2026 m. plano pranešime atskirai primena, kad kliudymas suteikti prieigą ar nuslėpti dokumentus gali turėti savarankiškų teisinių pasekmių. Tačiau bendradarbiavimas nereiškia spėlionių pateikimo kaip fakto. Jei įrodymo nėra, tai aiškiai nurodykite, paaiškinkite patikrinimo apimtį ir suplanuokite pataisymą. Svarbius veiksmus fiksuokite taip, kad institucija ir vėliau teismas galėtų atsekti, kas buvo padaryta ir kada.
Kur baigiasi VDAI kompetencija
Lietuvoje veikia dvi BDAR priežiūros institucijos pagal jų kompetenciją. VDAI nagrinėja didžiąją dalį įprasto viešojo ir privataus sektoriaus tvarkymo, o Žurnalistų etikos inspektorius turi atskirą kompetenciją, kai duomenys tvarkomi žurnalistikos, akademinės, meninės ar literatūrinės saviraiškos tikslais. Jei skundas susijęs su naujienų portalo publikacija, vien tai, kad duomenys pasirodė internete, dar neatsako į klausimą, kuri institucija kompetentinga: reikia vertinti tvarkymo tikslą. VDAI atmintinėje aprašyti atvejai, kada skundas persiunčiamas kitai institucijai.
Tarpvalstybinėje byloje taip pat svarbu nustatyti, kur iš tikrųjų priimami sprendimai dėl atitinkamo tvarkymo. Vien tai, kad asmuo gyvena Lietuvoje, nereiškia, jog VDAI bus pagrindinė institucija visai bendrovei. BDAR vieno langelio mechanizmas leidžia institucijoms bendradarbiauti, tačiau asmeniui išlieka teisė pateikti skundą kompetentingai priežiūros institucijai. Organizacijai svarbu įvardyti konkretų tvarkymą, pagrindinę buveinę ir atsakingus valdytojus, užuot apibūdinus visas ES operacijas viena eilute.
Kaip pasiruošti VDAI patikrinimui?
Geriausias pasiruošimas yra nuolatinis, o ne skubotas prieš patikrinimą. Praktiniai žingsniai:
- Kai taikomas BDAR 30 straipsnis, turėkite aktualius tvarkymo veiklos įrašus. Mažesnių organizacijų 30 straipsnio 5 dalies išimtis netaikoma, jei tvarkymas nėra atsitiktinis, kelia riziką arba apima 9 ar 10 straipsnio duomenis; vertinkite sąlygas, o ne vien darbuotojų skaičių.
- Užtikrinkite veikiantį duomenų subjektų prašymų procesą su termino stebėsena.
- Dokumentuokite technines ir organizacines saugumo priemones (32 str.).
- Turėkite pranešimo apie pažeidimą procedūrą (33–34 str.).
Paskirkite atsakingus asmenis, kurie gali surasti tuo metu galiojusius įrašus ir paaiškinti, kokiais faktais remtasi priimant sprendimą. Tvarkinga įrodymų istorija naudinga ir be specialios programinės įrangos.
Sprendimas dėl taisymo po patikrinimo
VDAI nurodymas yra konkretus įpareigojimas, todėl gavusi jį organizacija turi išskaidyti į vykdomus darbus. Užrašykite, kuri tvarkymo veikla ir kuris pažeidimas aptartas, kas atsako už priemonę, kada ji turi būti įgyvendinta ir kaip bus patikrintas rezultatas. Jei nurodoma apriboti neteisėtą tvarkymą, vien naujos politikos patvirtinimas neparodo, kad senoji praktika sustabdyta. Reikia faktinių prieigos, ištrynimo, informavimo ar kitų nurodytų veiksmų įrodymų. Pateikdami atsakymą VDAI atskirkite jau įvykdytus veiksmus nuo būsimų pažadų ir nurodykite jų datas.
Sprendimo apskundimas ir nurodymo vykdymas yra skirtingi klausimai. Teisininkai turi įvertinti procesinius terminus ir konkretaus sprendimo galiojimą, o veiklos komanda – ką reikia daryti su asmens duomenimis dabar. Nepateikite nepagrįstos prielaidos, kad skundas teismui savaime panaikina visas organizacijos pareigas. Jei institucija prašo papildomos informacijos, paskirkite vieną atsakingą asmenį atsakymui, tačiau išsaugokite faktų šaltinius. VDAI paaiškinimų ir įrodymų rinkinio struktūra gali padėti sekti versijas ir priedus.
Skundų tendencijas naudinga analizuoti be nepagrįstų išvadų apie baudų dydžius. Jei keli asmenys negali suprasti privatumo pranešimo, patikrinkite informavimo procesą. Jei teisės prašymai vėluoja, peržiūrėkite perdavimą tarp klientų aptarnavimo ir duomenų savininko. Jei incidento dokumentuose trūksta sužinojimo laiko, pratybose patikrinkite eskalavimo grandinę. Taip priežiūros patirtis tampa konkrečiu proceso taisymu, o ne vien dokumentų kaupimu būsimo patikrinimo baimei.
Ką reiškia patekti į VDAI akiratį
Organizacijai patekti į VDAI akiratį galima trimis būdais, ir kiekvienas reikalauja skirtingo pasirengimo. Dažniausias – duomenų subjekto skundas: nepatenkintas naudotojas, kandidatas ar buvęs klientas kreipiasi į inspekciją dėl netinkamai įvykdyto prašymo ar neaiškaus informavimo. Antras – privalomas pranešimas apie duomenų saugumo pažeidimą, kuris pats savaime gali inicijuoti tyrimą dėl saugumo priemonių. Trečias – planinis ar teminis patikrinimas VDAI iniciatyva konkrečiame sektoriuje.
Praktinis pirmas žingsnis priklauso nuo VDAI rašto: nustatykite, kokį klausimą institucija tiria, kokius dokumentus ji iš tikrųjų prašo pateikti ir kokiam laikotarpiui. Todėl geriausia pasirengimo strategija nėra reaguoti į konkretų raštą, o nuolat turėti aktualią dokumentaciją – įrašą, prašymų žurnalą ir saugumo priemonių aprašą – paruoštą pateikti per kelias dienas. Skubotas dokumentų kūrimas jau prasidėjus tyrimui paprastai matomas iš karto. Gavus konkretų raštą, atsakymo VDAI paaiškinimų ir priedų byla padeda susieti kiekvieną klausimą su istoriniu faktu, jo šaltiniu ir tinkama priedo versija.
Dažnai užduodami klausimai (FAQ)
Kaip pateikti skundą VDAI?
Skundą gali pateikti bet kuris asmuo, manantis, kad jo asmens duomenys tvarkomi pažeidžiant BDAR. Skundas teikiamas VDAI raštu, nurodant, koks valdytojas ir kokiu būdu, jūsų manymu, pažeidė teises. VDAI privalo išnagrinėti skundą ir informuoti apie eigą. Aktualias formas ir kontaktus institucija skelbia savo svetainėje. Elektroninės rinkodaros atveju prie skundo parenkite laiško ir pasirinkimo įrodymų rinkinį, kuriame atskiriama įvykio data, gavėjo statusas ir atsisakymo istorija.
Ar VDAI konsultuoja įmones prieš pradedant tvarkymą?
Taip. VDAI atlieka ne tik priežiūros, bet ir prevencinį vaidmenį – teikia gaires ir konsultacijas. Kai tvarkymas kelia didelę riziką, kurios negalima sumažinti, valdytojas privalo iš anksto konsultuotis su VDAI pagal BDAR 36 straipsnį dar prieš pradedant tvarkymą. Toks išankstinis kreipimasis padeda išvengti vėlesnių pažeidimų ir baudų.
Kokias baudas gali skirti VDAI?
VDAI gali skirti administracines baudas iki 20 mln. eurų arba 4 % pasaulinės apyvartos sunkiausiems pažeidimams. Tai viršutinės ribos, o ne tipinis dydis. „Vinted“ 2,385 mln. eurų atvejis buvo nagrinėtas pirmosios instancijos teisme; 2025 m. VDAI pranešimas nurodė galimybę tą sprendimą skųsti. Viešojo sektoriaus ypatumus vertinkite pagal galiojančią ADTAĮ redakciją.
Ar reikia pranešti VDAI apie duomenų apsaugos pareigūną?
Taip. Paskyrus DAP, valdytojas ar tvarkytojas privalo pranešti VDAI jo kontaktinius duomenis ir juos paskelbti. Tai leidžia institucijai ir duomenų subjektams tiesiogiai kreiptis į DAP.
Kiek laiko VDAI nagrinėja skundą?
Konkretus terminas priklauso nuo bylos sudėtingumo, tačiau VDAI privalo informuoti pareiškėją apie skundo nagrinėjimo eigą, o paprastai – ir apie rezultatą per pagrįstą laiką. Sudėtingi tarpvalstybiniai atvejai, kuriuose taikomas vieno langelio mechanizmas, gali užtrukti ilgiau dėl institucijų bendradarbiavimo. Svarbu, kad pareiškėjas turi teisę gauti informaciją apie eigą.
Ar VDAI sprendimą galima apskųsti?
Taip. VDAI sprendimus galima skųsti administraciniams teismams. Praktinis pavyzdys – „Vinted“ byla: 2025 m. VDAI pranešė, kad Regionų administracinis teismas atmetė bendrovės skundą, tačiau taip pat nurodė galimybę teismo sprendimą skųsti. Apskundimo galimybė yra svarbi procesinė garantija tiek valdytojams, tiek duomenų subjektams.
Išvada
VDAI yra Lietuvos duomenų apsaugos priežiūros institucija su plačiais tyrimo ir korekciniais įgaliojimais. VDAI taiko įvairius tyrimo ir korekcinius įgaliojimus. Ruošdamiesi konkrečiam klausimui, laikykite aktualius įrodymus apie tvarkymo tikslus, teises, saugumą ir įvykusius sprendimus; jų svarba priklauso nuo tyrimo dalyko.
Šaltiniai: VDAI oficiali svetainė, BDAR 51–59 str. (EUR-Lex), ADTAĮ (Teisės aktų registras).