RGPD-Express
Struktūrizuokite savo BDAR atitiktį
Pagrindiniai BDAR straipsniai
BDAR (Reglamentas (ES) 2016/679) struktūrizuoja RGPD-Express procesą
30 str. - Duomenų tvarkymo veiklos registras
Pareiga tvarkyti registrą tiek duomenų valdytojo, tiek tvarkytojo pusėje. 30.5 straipsnyje numatyta išimtis mažiau nei 250 darbuotojų struktūroms taikoma tik atsitiktiniam duomenų tvarkymui.
28 str. - Duomenų tvarkytojas
Sutartinis kiekvieno duomenis jūsų vardu tvarkančio subjekto reguliavimas: pakankamos garantijos, privalomos sąlygos, tolesnė subranga leidžiama tik gavus išankstinį rašytinį sutikimą.
32 str. - Duomenų tvarkymo saugumas
Rizikai proporcingos techninės ir organizacinės priemonės: pseudonimizavimas, šifravimas, konfidencialumą ir prieinamumą užtikrinančios priemonės, reguliarus testavimas ir vertinimas.
35 str. - Poveikio vertinimas (PDAV)
Privalomas tik tada, kai duomenų tvarkymas gali kelti didelę riziką: sisteminis vertinimas su teisiniu poveikiu, didelio masto jautrūs duomenys arba sistemingas viešai prieinamos zonos stebėjimas.
Teisės aktų stebėsena - oficialūs šaltiniai
Ką iš tikrųjų sako teisės aktas, išversta paprasta kalba. Kiekvienas punktas nurodo oficialų dokumentą.
Kas iš tikrųjų yra BDAR?
Tai Europos teisės aktas, reguliuojantis asmens duomenų (klientų, darbuotojų, potencialių klientų...) rinkimą ir naudojimą. Jis priimtas 2016 m. balandžio 27 d. ir paskelbtas Europos Sąjungos oficialiajame leidinyje 2016 m. gegužės 4 d.
Nuo kada jis taikomas
Reglamentas įsigaliojo dvidešimt dienų po jo paskelbimo, tačiau faktiškai jis taikomas tik nuo 2018 m. gegužės 25 d. Ši data yra svarbi jūsų konkrečioms pareigoms.
Duomenų tvarkymo registras: pagrindinis dokumentas
Privalote turėti sąrašą, ką darote su asmens duomenimis: kokiu tikslu, su kuo, kiek laiko juos saugote, kaip juos apsaugote. Yra išimtis mažiau nei 250 darbuotojų struktūroms, tačiau tik jei duomenų tvarkymas yra atsitiktinis - reguliari komercinė veikla šia išimtimi nesinaudoja.
Ar reikia skirti duomenų apsaugos pareigūną (DAP)?
Tai privaloma tik trimis konkrečiais atvejais: esate viešoji institucija, arba jūsų pagrindinė veikla yra reguliarus ir didelio masto asmenų stebėjimas, arba didelio masto jautrių duomenų tvarkymas. Kitais atvejais DAP skyrimas lieka neprivalomas.
Duomenų nutekėjimo atveju: 72 valandos pranešti institucijai
Jei asmens duomenys prarandami, pavagiami ar atskleidžiami, privalote apie tai pranešti CNIL (ar kompetentingai institucijai) ne vėliau kaip per 72 valandas nuo sužinojimo, nebent rizika asmenims yra nežymi. Taip pat privalote saugoti rašytinį kiekvieno incidento įrašą.
Jei rizika didelė, taip pat turi būti informuoti jūsų klientai ar darbuotojai
Kai duomenų nutekėjimas kelia didelę riziką duomenų subjektams, privalote juos tiesiogiai informuoti aiškia ir paprasta kalba. Galite būti atleisti nuo šio pranešimo, jei duomenys buvo šifruoti arba jei jau neutralizavote riziką.
Sankcijos paprastai
Pažeidimo atveju bauda gali siekti iki 10 milijonų eurų (arba 2% įmonės pasaulinės apyvartos) už dažniausius pažeidimus, ir iki 20 milijonų eurų (arba 4% pasaulinės apyvartos) už rimčiausius asmenų teisių pažeidimus - visada taikoma didesnė suma. Faktinis dydis priklauso nuo pažeidimo sunkumo, tyčinio ar neatsargaus pažeidimo pobūdžio ir bendradarbiavimo su institucija.
Kam taikomas BDAR?
Dažniausiai užduodamas klausimas: „Ar tai tikrai taikoma man, mažai įmonei?" Trumpas ir pagrįstas atsakymas: taip, beveik visada.
Tikrasis kriterijus: asmens duomenų tvarkymas
BDAR taikomas, kai organizacija tvarko, net iš dalies automatizuotai arba struktūruotoje byloje, informaciją, susijusią su identifikuotu ar identifikuojamu asmeniu: vardą, el. paštą, telefoną, IP adresą, buvimo vietos duomenis...
Konkrečiai tai apima klientų bylą, darbuotojų atlyginimus, gautus CV, vaizdo stebėjimo kamerą, naujienlaiškį, CRM sistemą ar auditorijos matavimo slapukus.
Retos išimtys
BDAR netaikomas keturiais konkrečiais atvejais:
- išimtinai asmeniniam ar namų ūkio naudojimui (pvz., jūsų privatus adresų sąrašas)
- veiklai, nepatenkančiai į Europos Sąjungos teisės taikymo sritį
- valstybių narių veiklai, susijusiai su bendra užsienio politika
- institucijų vykdomam duomenų tvarkymui nusikalstamų veikų prevencijos tikslais (atskira tvarka)
Nesvarbu, kur esate įsikūrę
BDAR taikomas, kai jūsų įmonė turi buveinę Europos Sąjungoje, arba kai siekiate pasiekti joje esančius asmenis: siūlydami prekes ar paslaugas (net nemokamas), arba stebėdami jų elgesį (profiliavimas, sekimo slapukai).
CNIL pateikia du iškalbingus pavyzdžius: Prancūzijos įmonė, eksportuojanti tik į Maroką, ir toliau turi laikytis BDAR, kai tik tvarko ES esančių asmenų duomenis; Kinijos elektroninės prekybos svetainė, pristatanti prekes į Prancūziją, taip pat privalo jį taikyti.
Dvi galimos funkcijos, du pareigų lygiai
Duomenų valdytojas: organizacija, sprendžianti, kodėl ir kaip naudojami duomenys (jūsų įmonė, savivaldybė, asociacija). Paprastai tai esate jūs.
Duomenų tvarkytojas: paslaugų teikėjas, tvarkantis šiuos duomenis pagal jūsų nurodymus (talpinimo paslaugų teikėjas, atlyginimų skaičiavimo programa, rinkodaros agentūra...). Jis taip pat turi savo, nuo jūsų atskiras, pareigas.
Privačios įmonės
nuo labai mažos įmonės iki didelės grupės, nuo pat pirmos klientų bylos ar pirmo atlyginimo lapelio
Viešasis sektorius
savivaldybės, savivaldos institucijos, administracijos, sveikatos priežiūros įstaigos
Asociacijos, amatininkai, savarankiškai dirbantys asmenys
laisvosios profesijos, prekybininkai, startuoliai: jokios išimties dėl statuso
Klausimai, kuriuos vadovas iš tikrųjų užduoda
Jokio teisinio žargono: 7 dažniausiai užduodami klausimai, paprastas atsakymas ir oficialus tekstas, kuriuo grindžiamas kiekvienas atsakymas.
Spustelėkite klausimą, kad pamatytumėte atsakymą ir jo šaltinį.
Ne. Sutikimas yra tik viena iš šešių galimybių. BDAR (6 straipsnis) taip pat leidžia duomenų tvarkymą, kai jis būtinas sutarties vykdymui, teisinės prievolės laikymuisi, gyvybiniams interesams apsaugoti, viešojo intereso užduočiai vykdyti arba teisėtam jūsų įmonės interesui (pvz., santykių su esamu klientu palaikymui), jei tik asmens teisės neturi viršenybės.
Tai priklauso nuo to, į ką kreipiatės:
- Privatūs asmenys (B2C): būtinas išankstinis sutikimas (varnelė, niekada iš anksto pažymėta), išskyrus atvejus, kai siūlomas panašus produktas jau esamam klientui.
- Verslo subjektai (B2B): galima be išankstinio sutikimo, jei žinutė susijusi su jų veikla, su sąlyga, kad jie buvo informuoti ir jiems paliktas paprastas būdas atsisakyti.
Bet kuriuo atveju: siuntėjas turi būti identifikuojamas, o atsisakymo nuoroda - lengvai pasiekiama.
Paprastai taip, ypač jei duomenys nebėra reikalingi, jei asmuo atšaukia savo sutikimą arba jei jis tam prieštarauja be jūsų teisėto priešingo pagrindo. Tačiau galite atsisakyti, jei privalote saugoti šiuos duomenis dėl teisinės prievolės, pavyzdžiui, sąskaitą faktūrą, kurią pagal apskaitos reikalavimus reikia saugoti 10 metų, arba jei jie reikalingi jūsų gynybai teisme.
1 mėnesį nuo prašymo gavimo. Šis terminas gali būti pratęstas 2 mėnesiais, jei prašymas sudėtingas arba jei gaunate daug tokių prašymų, tačiau privalote apie šį pratęsimą informuoti asmenį per pirminį mėnesį.
Taip, bet ne be atsargumo priemonių. Galimi trys atvejai: šalis turi oficialų Europos Komisijos sprendimą, pripažįstantį tinkamą apsaugos lygį; jei tokio sprendimo nėra, jūsų paslaugų teikėjas turi suteikti tinkamas garantijas (dažniausiai - standartines sutarčių sąlygas); arba, tik pavieniais atvejais, taikoma konkreti išimtis (aiškus sutikimas, sutarties vykdymas...).
Taip. Daugumai slapukų (personalizuota reklama, socialinių tinklų mygtukai...) reikalingas išankstinis lankytojo sutikimas, duotas laisva valia ir tiek pat lengvai atšaukiamas, kiek ir duodamas. Bendrųjų sąlygų priėmimas nelaikomas galiojančiu sutikimu. Kai kurie techniniai slapukai (pirkinių krepšelis, autentifikavimas, kalbos nustatymas) nuo šio reikalavimo atleidžiami.
CNIL paprastai pradeda nuo patikrinimo (vietoje arba nuotoliniu būdu), o vėliau pateikia oficialų reikalavimą (mise en demeure) per nustatytą terminą užtikrinti atitiktį. Finansinės sankcijos egzistuoja, tačiau jos proporcingos struktūros dydžiui: pavyzdžiui, CNIL skyrė mažoms įmonėms baudas nuo 2 000 iki 20 000 eurų už saugumo, slapukų ar prieigos teisės pažeidimus - toli gražu ne maksimalias ribas (iki 20 milijonų eurų arba 4% pasaulinės apyvartos už rimčiausius pažeidimus).
BDAR kalendorius aiškiai
BDAR neatsirado 2018 metais ir nuo tada nesustojo keistis. Štai, chronologine tvarka, kas jau įvyko (ir kas šiandien tebėra galiojanti taisyklė) bei kas dar svarstoma Briuselyje - kiekvienam etapui nurodant tai patvirtinantį oficialų dokumentą.
Jau galioja šiandien
- BDAR visa apimtimi taikomas nuo 2018 m. gegužės 25 d. - tai YRA data, svarbi jūsų pareigoms.
- Prancūzijos „Informatique et Libertés" įstatymas buvo atitinkamai atnaujintas (2018 m.).
- Naujos standartinės sutarčių sąlygos duomenų perdavimui už ES ribų galioja nuo 2022 m. pabaigos.
- Duomenų perdavimo į Jungtines Amerikos Valstijas sistema (Data Privacy Framework) galioja nuo 2023 m. liepos mėn.
Vis dar svarstoma, dar neprivaloma
- Komisijos 2025 m. gegužės mėn. pasiūlytas duomenų tvarkymo registro (30 str.) supaprastinimas mažiau nei 750 darbuotojų turinčioms struktūroms - dar negaliojantis teisės aktas.
- Reglamentas, skirtas suderinti nacionalinių priežiūros institucijų procedūras tarpvalstybinių tyrimų metu - politinis susitarimas pasiektas 2025 m. birželio mėn., oficialus priėmimas kol kas nepatvirtintas.
- Nesivadovaukite šiais pranešimais atidėdami savo atitikties užtikrinimą: 2018 m. pagrindas lieka galiojanti taisyklė, kol niekas nepaskelbta oficialiajame leidinyje.
Tekstas priimamas
Europos Parlamentas ir Taryba priima Reglamentą (ES) 2016/679, t. y. BDAR. šaltinis EUR-Lex ↗
Oficialus paskelbimas
Tekstas paskelbiamas Europos Sąjungos oficialiajame leidinyje (OL L 119, 1-88 psl.). šaltinis EUR-Lex ↗
Teisinis įsigaliojimas
Reglamentas „įsigalioja dvidešimtą dieną po jo paskelbimo" (99 str.). Jis teisiškai egzistuoja, tačiau jo faktinis taikymas įmonėms dar atidedamas dvejiems metams - kad būtų laiko pasiruošti. šaltinis CNIL, 99 str. ↗
BDAR pradeda galioti visa apimtimi
Nuo šios datos visos organizacijos, tvarkančios Europos gyventojų asmens duomenis, privalo užtikrinti realią, o ne tik „popierinę" atitiktį. Tai data, kurią reikia įsiminti. šaltinis CNIL, 99 str. ↗
Prancūzijos įstatymas atnaujinamas
Įstatymas Nr. 2018-493 pritaiko Prancūzijos teisę prie BDAR ir perkelia direktyvą „policija-teisingumas" (2016/680), remdamasis 1978 m. „Informatique et Libertés" įstatymu. šaltinis Légifrance ↗
1978 m. įstatymas iš esmės perrašomas
Įsakas (ordonnance) Nr. 2018-1125 užbaigia „Informatique et Libertés" įstatymo suderinimą su BDAR ir direktyva 2016/680. šaltinis Légifrance ↗
Pirmasis Europos Komisijos vertinimas
Praėjus dvejiems metams nuo taikymo pradžios, Komisija paskelbia pirmąją ataskaitą: BDAR pasiekia savo tikslus, tačiau reikalingi patobulinimai (suderinimas tarp šalių, institucijų bendradarbiavimas). šaltinis EUR-Lex (COM 2020) ↗
Sprendimas byloje „Schrems II"
Europos Sąjungos Teisingumo Teismas pripažįsta negaliojančiu „Privacy Shield" susitarimą, kuris reguliavo duomenų perdavimą į Jungtines Amerikos Valstijas: JAV garantijos dėl valstybės institucijų prieigos prie duomenų pripažįstamos nepakankamomis. šaltinis EUR-Lex ↗
Naujos standartinės sutarčių sąlygos
Įsigalioja nauji sutarčių sąlygų pavyzdžiai duomenų perdavimui už ES ribų reguliuoti, numatant 15 mėnesių pereinamąjį laikotarpį jau pasirašytoms senoms sutartims pakeisti. šaltinis EUR-Lex (2021/914) ↗
Nauja ES ir JAV sistema
Komisija priima tinkamumo sprendimą „EU-US Data Privacy Framework", kuris pakeičia 2020 m. negaliojančiu pripažintą Privacy Shield ir vėl užtikrina saugų duomenų perdavimą JAV įmonėms. šaltinis EUR-Lex (2023/1795) ↗
Antrasis Europos Komisijos vertinimas
Pastebimai išaugusios sankcijos didelėms technologijų įmonėms, tačiau tarp nacionalinių institucijų išlieka skirtumų. Komisija rekomenduoja geriau padėti MVĮ. šaltinis EUR-Lex (COM 2024) ↗
Pasiūlymas supaprastinti reikalavimus MVĮ
Savo bendrosios rinkos supaprastinimo pakete Komisija siūlo išplėsti iki 750 darbuotojų (vietoj 250) išimtį dėl viso duomenų tvarkymo registro (30 str.) pildymo, apribojant ją „didelės rizikos" duomenų tvarkymu. Tai pasiūlymas, o ne jau galiojantis teisės aktas. šaltinis Europos Komisija ↗
Susitarimas dėl bendrų procedūrinių taisyklių
Taryba ir Europos Parlamentas politiškai susitaria dėl papildomų procedūrinių taisyklių, skirtų suderinti, kaip nacionalinės priežiūros institucijos bendradarbiauja tarpvalstybinių tyrimų metu. Oficialus priėmimas ir paskelbimas oficialiajame leidinyje dar turi būti patvirtinti. šaltinis Europos Komisija ↗
Kalendorius parengtas remiantis oficialiais šaltiniais (EUR-Lex, CNIL, Légifrance, Europos Komisija), su kuriais susipažinta 2026 m. liepos 18 d. Du paskutiniai etapai yra vykstantys pasiūlymai ar politiniai susitarimai. Tai edukacinė santrauka, o ne teisinė konsultacija.
BDAR sankcijos aiškiai
Baimę keliantis skaičius - „20 milijonų eurų" - minimas visur, tačiau jis nepaaiškina, kaip iš tikrųjų viskas veikia. Štai, remiantis oficialiais šaltiniais, kas skiria sankcijas, kaip ir kokiomis realiomis sumomis.
arba iki 2 % įmonės metinės pasaulinės apyvartos (taikoma didesnė iš šių dviejų sumų).
Šis lygis taikomas „įprastiems" pažeidimams: duomenų tvarkymo registras, duomenų saugumas, duomenų tvarkytojo pareigos, poveikio vertinimo trūkumas...
arba iki 4 % metinės pasaulinės apyvartos (taip pat taikoma didesnė iš šių dviejų sumų).
Šis lygis taikomas rimčiausiems pažeidimams: teisinio pagrindo nebuvimas, asmenų teisių pažeidimas, neteisėtas duomenų perdavimas už ES ribų...
Kas priima sprendimą? CNIL ribotos sudėties kolegija
Sankcijas skiria ne „bendroji" CNIL, o atskiras ir nepriklausomas organas: ribotos sudėties kolegija (formation restreinte), sudaryta iš 5 narių ir pirmininko, kuris skiriasi nuo CNIL pirmininko. Tik ji nagrinėja bylas ir skiria sankcijas. Svarbiausi sprendimai skelbiami viešai.
Kas lemia realios sumos dydį
BDAR 83 straipsnis įpareigoja CNIL prieš nustatant baudą atsižvelgti į keletą kriterijų, tarp jų:
- pažeidimo sunkumą, pobūdį ir trukmę
- ar pažeidimas tyčinis, ar tik dėl aplaidumo
- jau priimtas priemones žalai sumažinti
- bendradarbiavimą su CNIL ir ankstesnius pažeidimus
- susijusių duomenų kategorijas
Prieš baudą: laipsniškas atsakas (BDAR 58 straipsnis)
- Įspėjimas
- Priminimas dėl tvarkos
- Oficialus reikalavimas (mise en demeure)
- Nurodymas užtikrinti atitiktį
- Administracinė bauda (83 str.)
| Data | Organizacija | Suma | Pagrindas |
|---|---|---|---|
| 21/01/2019 | Google LLC | 50 M € | Skaidrumo trūkumas, galiojančio sutikimo dėl personalizuotos reklamos nebuvimas |
| 07/12/2020 | Amazon Europe Core | 35 M € | Slapukai įdiegti be išankstinio sutikimo |
| 31/12/2021 | Google LLC / Google Ireland | 150 M € | Slapukų atsisakymas sudėtingesnis nei jų priėmimas |
| 31/12/2021 | Facebook Ireland (Meta) | 60 M € | Tas pats pagrindas: slapukų atsisakymas padarytas pernelyg sudėtingas |
| 17/10/2022 | Clearview AI | 20 M € | Veido atpažinimas be teisinio pagrindo, atsisakymas bendradarbiauti |
| 10/11/2022 | Discord Inc. | 800 000 € | Per ilgas duomenų saugojimas, nepakankamas saugumas ir informavimas |
| 15/06/2023 | Criteo | 40 M € | Sutikimo dėl slapukų ir asmenų teisių pažeidimai |
O kaip su kuklesne struktūra? Proporcingos sumos
CNIL taip pat skiria sankcijas mažoms ir vidutinėms struktūroms, tačiau sumos yra nepalyginamai mažesnės nei tarptautinėms grupėms. Vien 2025 m. gruodžio mėn. sprendimuose galima rasti, pavyzdžiui: 5 000 € viešbučių valdymo bendrovei (netinkamas vaizdo stebėjimas), 7 000 € ir 5 000 € dviem laikraščių leidybos bendrovėms (negaliojantys slapukai), 10 000 € oro uosto krovinių bendrovei (neteisėtas vaizdo stebėjimas), arba 20 000 € universitetui (nesilaikyta tikslų). Kitame skalės gale to paties mėnesio metu bendrovei iš paslaugų sektoriaus buvo skirta 3,5 mln. € bauda už kelių rimtų pažeidimų (saugumo, skaidrumo, slapukų) sankaupą. Suma priklauso nuo sunkumo ir dydžio, o ne atvirkščiai.
Jūsų priežiūros institucija, priklausomai nuo šalies
Europoje kiekviena šalis turi savo institucijas. Žemiau pateikiama, visoms 30 Europos ekonominės erdvės šalių, duomenų apsaugos institucija (jūsų BDAR partneris) ir nacionalinė kibernetinio saugumo institucija. Kiekvienas pavadinimas nukreipia į oficialią svetainę.
Šaltiniai: institucijų oficialios svetainės ir EDPB narių sąrašas (edpb.europa.eu), su kuriais susipažinta 2026 m. liepos 18 d. Patvirtintos duomenų apsaugos institucijos: 30/30. Patvirtintos kibernetinio saugumo institucijos: 28/30. Žymos „à confirmer" lentelėje nurodo oficialų šaltinį, kuris šiuo metu dar nėra galutinai patvirtintas.