BDAR (Bendrasis duomenų apsaugos reglamentas): tvarkymo pagrindai, sutikimas, asmens teisės, duomenų apsaugos pareigūnas ir baudos

Duomenų tvarkymas yra teisėtas tik tuo atveju, jeigu taikoma bent viena iš šių sąlygų, ir tik tokiu mastu, kokiu ji yra taikoma
Šaltinis: eur-lex.europa.eu

Už pagrindinių tvarkymo principų, sutikimo sąlygų ir duomenų subjekto teisių pažeidimus gali būti skiriama iki 20 000 000 eurų bauda, o įmonei iki 4 % ankstesnių finansinių metų pasaulinės metinės apyvartos, atsižvelgiant į tai, kuri suma didesnė (BDAR 83 straipsnio 5 dalis).

Trumpai

Kada tvarkyti teisėta: tik esant bent vienam iš šešių pagrindų: sutikimas, sutartis, teisinė prievolė, gyvybiniai interesai, viešasis interesas ar viešosios valdžios funkcijos, teisėtas interesas (BDAR 6 straipsnio 1 dalis).
Sutikimas: duomenų valdytojas turi galėti jį įrodyti, o atšaukti sutikimą turi būti taip pat lengva kaip jį duoti (7 straipsnis). Lietuvoje informacinės visuomenės paslaugų atveju vaikas sutikimą gali duoti nuo 14 metų (ADTAĮ 6 straipsnis).
Asmens teisės: susipažinti, ištaisyti, ištrinti, apriboti tvarkymą, perkelti duomenis, nesutikti ir nebūti vertinamam vien automatiškai (15–22 straipsniai). Atsakyti reikia ne vėliau kaip per mėnesį, sudėtingais atvejais pratęsiant dar dviem mėnesiais (12 straipsnio 3 dalis).
Duomenų apsaugos pareigūnas: privalomas valdžios institucijoms ir organizacijoms, kurių pagrindinė veikla yra didelio masto stebėsena ar specialių kategorijų duomenų tvarkymas (37 straipsnio 1 dalis).
Baudos: dvi pakopos pagal pažeidimo rūšį (83 straipsnio 4 ir 5 dalys); Lietuvos valdžios institucijoms nustatytos mažesnės ribos (ADTAĮ 33 straipsnis).

Šį darbą Avokata atlieka jūsų DI asistente: prijunkite Claude ar ChatGPT ir paklauskite apie savo duomenų tvarkymą. Paruošta užklausa.

Kokie tekstai taikomi?

BDAR: 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamentas (ES) 2016/679. Puslapis remiasi EUR-Lex konsoliduotu tekstu, kurio versija pažymėta 2016 m. gegužės 4 d. (02016R0679-20160504); Avokata saugo vieną šio reglamento redakciją, straipsniai perskaityti 2026 m. lapkričio 3 d. Reglamentas įsigaliojo dvidešimtą dieną po paskelbimo ir taikomas nuo 2018 m. gegužės 25 d. (99 straipsnis). Jį sudaro 11 skyrių ir 99 straipsniai.
ADTAĮ: Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymas Nr. I-1374. Dabar galioja redakcija nuo 2026 m. birželio 30 d. (įstatymas Nr. XV-904), naujesnės registre nėra. Tą dieną pasikeitė tik 35 straipsnis (sprendimo dėl administracinės baudos skyrimo vykdymas): įrašyta, kad vykdomasis dokumentas vykdomas ir Mokesčių administravimo įstatyme nustatyta tvarka, o sakinys, kad jį pateikti vykdyti galima ne vėliau kaip per 3 metus nuo priėmimo, išbrauktas.

Priežiūrą Lietuvoje vykdo Valstybinė duomenų apsaugos inspekcija, o kai duomenys tvarkomi žurnalistikos ar akademinės, meninės ar literatūrinės saviraiškos tikslais, žurnalistų etikos inspektorius (ADTAĮ 7 straipsnio 1 ir 2 dalys).

Kada asmens duomenis galima tvarkyti (6 straipsnis)?

1. Duomenų tvarkymas yra teisėtas tik tuo atveju, jeigu taikoma bent viena iš šių sąlygų, ir tik tokiu mastu, kokiu ji yra taikoma:
a) duomenų subjektas davė sutikimą, kad jo asmens duomenys būtų tvarkomi vienu ar keliais konkrečiais tikslais;
b) tvarkyti duomenis būtina siekiant įvykdyti sutartį, kurios šalis yra duomenų subjektas, arba siekiant imtis veiksmų duomenų subjekto prašymu prieš sudarant sutartį;
c) tvarkyti duomenis būtina, kad būtų įvykdyta duomenų valdytojui taikoma teisinė prievolė;
d) tvarkyti duomenis būtina siekiant apsaugoti gyvybinius duomenų subjekto ar kito fizinio asmens interesus;
e) tvarkyti duomenis būtina siekiant atlikti užduotį, vykdomą viešojo intereso labui arba vykdant duomenų valdytojui pavestas viešosios valdžios funkcijas;
f) tvarkyti duomenis būtina siekiant teisėtų duomenų valdytojo arba trečiosios šalies interesų, išskyrus atvejus, kai tokie duomenų subjekto interesai arba pagrindinės teisės ir laisvės, dėl kurių būtina užtikrinti asmens duomenų apsaugą, yra už juos viršesni, ypač kai duomenų subjektas yra vaikas.
BDAR 6 straipsnio 1 dalis, EUR-Lex konsoliduotas tekstas 02016R0679-20160504

Teisėto intereso pagrindo (f punkto) valdžios institucijos negali taikyti tvarkymui, kurį atlieka vykdydamos savo užduotis. Teisinės prievolės ir viešojo intereso pagrindai (c ir e punktai) turi būti nustatyti Sąjungos arba valstybės narės teisėje (6 straipsnio 3 dalis). Lietuvoje asmens kodą galima tvarkyti tik esant vienam iš šių pagrindų, jo negalima skelbti viešai ir tvarkyti tiesioginės rinkodaros tikslais (ADTAĮ 3 straipsnis).

Kokios sąlygos taikomos sutikimui?

Įrodymas: kai duomenys tvarkomi remiantis sutikimu, duomenų valdytojas turi galėti įrodyti, kad sutikimas duotas (BDAR 7 straipsnio 1 dalis).
Atskirai nuo kitų klausimų: jei sutikimas duodamas rašytiniu pareiškimu, susijusiu ir su kitais klausimais, prašymas turi būti aiškiai atskirtas, suprantamas ir parašytas aiškia ir paprasta kalba (2 dalis).
Atšaukimas: sutikimą galima atšaukti bet kuriuo metu, ir tai turi būti taip pat lengva kaip jį duoti; iki atšaukimo atliktas tvarkymas lieka teisėtas (3 dalis).
Laisva valia: vertinama, ar sutarties vykdymas nebuvo susietas su sutikimu tvarkyti duomenis, kurie tai sutarčiai nebūtini (4 dalis).
Vaikai: kai vaikui tiesiogiai siūlomos informacinės visuomenės paslaugos, jo duomenų tvarkymas sutikimo pagrindu teisėtas, jei sutikimą duoda ne jaunesnis negu 14 metų vaikas (ADTAĮ 6 straipsnis).

Kokias teises turi duomenų subjektas?

Straipsnis	Teisė	Svarbiausia
15	Susipažinti su duomenimis	patvirtinimas, ar duomenys tvarkomi, tikslai, gavėjai, saugojimo laikotarpis; pirmoji kopija nemokama
16	Ištaisyti	netikslūs duomenys ištaisomi nepagrįstai nedelsiant
17	Ištrinti („teisė būti pamirštam“)	kai duomenys nebereikalingi, atšauktas sutikimas, tvarkyta neteisėtai ir kitais 1 dalies atvejais; išimtys, pavyzdžiui, teisinė prievolė ar teisiniai reikalavimai (3 dalis)
18	Apriboti tvarkymą	kol tikrinamas tikslumas, kai tvarkymas neteisėtas, bet asmuo nenori trynimo, ir kitais atvejais
20	Perkelti duomenis	kai tvarkoma sutikimo ar sutarties pagrindu automatizuotomis priemonėmis
21	Nesutikti	su tvarkymu pagal 6 straipsnio 1 dalies e ar f punktą; su tiesiogine rinkodara bet kuriuo metu, ir tada duomenys tam nebetvarkomi
22	Nebūti vertinamam vien automatiškai	išimtys: sutartis, teisės aktas ar aiškus sutikimas; sutarties ir sutikimo atvejais asmuo gali reikalauti žmogaus įsikišimo (3 dalis)

Šaltinis: BDAR 15–22 straipsniai. 19 straipsnis įpareigoja pranešti duomenų gavėjams apie ištaisymą, ištrynimą ar apribojimą.

Terminas ir mokestis. Į prašymą atsakoma nepagrįstai nedelsiant, bet ne vėliau kaip per vieną mėnesį; sudėtingais atvejais terminą galima pratęsti dar dviem mėnesiais, apie tai per pirmąjį mėnesį pranešus ir nurodžius priežastis (12 straipsnio 3 dalis). Informacija ir veiksmai nemokami, tačiau dėl akivaizdžiai nepagrįstų ar neproporcingų prašymų galima imti pagrįstą mokestį arba atsisakyti imtis veiksmų; tai įrodyti tenka duomenų valdytojui (12 straipsnio 5 dalis).

Kada reikia duomenų apsaugos pareigūno?

Duomenų valdytojas ir duomenų tvarkytojas paskiria duomenų apsaugos pareigūną, kai (37 straipsnio 1 dalis):

duomenis tvarko valdžios institucija ar įstaiga, išskyrus teismus, kai jie vykdo teismines funkcijas;
pagrindinė veikla yra duomenų tvarkymo operacijos, dėl kurių reikia reguliariai ir sistemingai dideliu mastu stebėti duomenų subjektus;
pagrindinė veikla yra specialių kategorijų duomenų arba duomenų apie apkaltinamuosius nuosprendžius ir nusikalstamas veikas tvarkymas dideliu mastu.

Įmonių grupė gali paskirti vieną pareigūną, jei su juo lengva susisiekti iš kiekvienos buveinės (2 dalis). Pareigūnas negauna nurodymų dėl savo užduočių, jo negalima atleisti ar bausti už jų atlikimą, jis atsiskaito aukščiausio lygio vadovybei, o kitos jo pareigos neturi kelti interesų konflikto (38 straipsnis). Jo užduotys: informuoti ir konsultuoti, stebėti, kaip laikomasi reikalavimų, konsultuoti dėl poveikio duomenų apsaugai vertinimo, bendradarbiauti su priežiūros institucija ir būti jos kontaktiniu asmeniu (39 straipsnis).

Valstybinė duomenų apsaugos inspekcija yra paskelbusi 2025 m. balandžio 15 d. Rekomendaciją dėl duomenų apsaugos pareigūnų. Tai priežiūros institucijos požiūris, ne teisės aktas; ji aiškina, kada privalu skirti pareigūną, kokių kompetencijų iš jo tikimasi ir ar juo gali būti darbuotojas ar paslaugų teikėjas.

Kokios gresia baudos?

Pažeidimas	Didžiausia bauda	Šaltinis
Duomenų valdytojo ir tvarkytojo prievolės (8, 11, 25–39, 42 ir 43 straipsniai), sertifikavimo ir stebėsenos įstaigų prievolės	10 000 000 eurų arba įmonei 2 % ankstesnių metų pasaulinės metinės apyvartos, kuri suma didesnė	83 straipsnio 4 dalis
Pagrindiniai principai ir sutikimas (5, 6, 7 ir 9 straipsniai), asmens teisės (12–22), perdavimas į trečiąsias valstybes (44–49), priežiūros institucijos nurodymai	20 000 000 eurų arba įmonei 4 % apyvartos, kuri suma didesnė	83 straipsnio 5 ir 6 dalys
Lietuvos valdžios institucija ar įstaiga, pažeidusi 83 straipsnio 4 dalies a–c punktus	iki 0,5 % biudžeto ir pajamų, bet ne daugiau kaip 30 000 eurų	ADTAĮ 33 straipsnio 1 dalis
Lietuvos valdžios institucija ar įstaiga, pažeidusi 83 straipsnio 5 dalį ar 6 dalį	iki 1 % biudžeto ir pajamų, bet ne daugiau kaip 60 000 eurų	ADTAĮ 33 straipsnio 2 dalis

Skirdama baudą priežiūros institucija atsižvelgia į pažeidimo pobūdį, sunkumą ir trukmę, tyčią ar aplaidumą, veiksmus žalai sumažinti, ankstesnius pažeidimus, bendradarbiavimą ir kitas aplinkybes; bauda turi būti veiksminga, proporcinga ir atgrasoma (83 straipsnio 1 ir 2 dalys). Lietuvoje baudas skiria Valstybinės duomenų apsaugos inspekcijos direktorius arba žurnalistų etikos inspektorius ar jų įgaliotas asmuo, o sprendimas gali būti priimtas, jei nuo pažeidimo praėjo ne daugiau kaip 3 metai; trunkamojo pažeidimo atveju terminas skaičiuojamas nuo jo paaiškėjimo (ADTAĮ 32 straipsnio 3 ir 4 dalys). Valdžios institucijai, kuri vykdo ūkinę komercinę veiklą, gali būti skiriamos visos BDAR baudos (ADTAĮ 33 straipsnio 3 dalis).

Ką dar nustato Lietuvos įstatymas apie darbuotojus?

Teistumo duomenys: kandidato ir darbuotojo duomenis apie apkaltinamuosius nuosprendžius ir nusikalstamas veikas galima tvarkyti tik tada, kai to reikia įstatymuose nustatytiems reikalavimams patikrinti arba teisėtiems darbdavio interesams; pastaruoju atveju darbdavys raštu įvertina savo interesą, paskelbia pareigų sąrašą, o duomenis pateikia pats asmuo (ADTAĮ 5 straipsnio 1 ir 2 dalys).
Rekomendacijos: duomenis apie kandidato kvalifikaciją iš buvusio darbdavio galima rinkti apie tai informavus kandidatą, o iš esamo darbdavio tik su kandidato sutikimu (5 straipsnio 3 dalis).
Vaizdo stebėjimas ir stebėsena darbe: darbuotojai apie vaizdo ir garso duomenų tvarkymą darbo vietoje, elgesio, buvimo vietos ar judėjimo stebėseną informuojami pasirašytinai ar kitu informavimo faktą įrodančiu būdu, pateikiant BDAR 13 straipsnio 1 ir 2 dalyse nurodytą informaciją (5 straipsnio 4 dalis).

Ką sako teismai?

Avokata citavimų duomenimis (užklausa 2026 m. lapkričio 3 d.), Asmens duomenų teisinės apsaugos įstatymą cituoja ne mažiau kaip 89 teismų aktai, tarp naujausių daugiausia administracinių teismų. Naujausias jų yra Lietuvos vyriausiojo administracinio teismo 2026 m. gegužės 13 d. aktas byloje Nr. eA-316-525/2026, cituojantis 31 straipsnio 1 dalį (priežiūros institucijos sprendimai išnagrinėjus skundą). BDAR citavimų skaičiaus šis puslapis nepateikia. Citavimas nereiškia, kad teismas nuostatai pritarė: jis rodo, kur nuostata buvo taikyta ar aiškinta.

Ką tai reiškia praktiškai?

Ar galime tvarkyti klientų duomenis be sutikimo? Taip, jei taikomas kitas 6 straipsnio 1 dalies pagrindas, pavyzdžiui, sutarties vykdymas ar teisinė prievolė. Sutikimas yra tik vienas iš šešių pagrindų.

Klientas prašo ištrinti jo duomenis. Per kiek laiko atsakyti? Ne vėliau kaip per mėnesį (12 straipsnio 3 dalis). Ištrinti privaloma 17 straipsnio 1 dalies atvejais, bet ne tada, kai duomenis tvarkyti būtina, pavyzdžiui, teisinei prievolei įvykdyti ar teisiniams reikalavimams apginti (17 straipsnio 3 dalis).

Ar mūsų įmonei reikia duomenų apsaugos pareigūno? Tik 37 straipsnio 1 dalies atvejais; jei nesate valdžios institucija, lemia tai, ar jūsų pagrindinė veikla yra didelio masto stebėsena ar specialių kategorijų duomenų tvarkymas.

Ar galime viešai skelbti asmens kodą, pavyzdžiui, laimėtojų sąraše? Ne, Lietuvoje asmens kodą skelbti viešai draudžiama (ADTAĮ 3 straipsnio 2 dalis).

Norime įrengti vaizdo kameras darbo vietoje. Ką privalome padaryti? Be teisinio pagrindo, darbuotojus reikia informuoti pasirašytinai ar kitu įrodomu būdu, pateikiant BDAR 13 straipsnio informaciją (ADTAĮ 5 straipsnio 4 dalis).

Apie darbuotojų duomenis ir darbo santykius plačiau rašome puslapyje Darbo kodeksas. Kokią informaciją pagal BDAR 13 ir 14 straipsnius reikia pateikti žmonėms ir kaip ją surašyti į privatumo politiką, rašome puslapyje Asmens duomenų apsaugos politika: ką privaloma nurodyti pagal BDAR 13 ir 14 straipsnius.

Kaip šis puslapis buvo surinktas

Įrašyti Avokata atsakymai, 2026-11-03

check_validity ir get_document BDAR (EUR-Lex 02016R0679-20160504) ir ADTAĮ (redakcija nuo 2026-06-30), compare_provision_versions ADTAĮ nuo 2025-01-01 iki 2027-06-30.
read_paragraphs BDAR 6, 7, 12, 15–22, 37–39, 83 ir 99 straipsniams: cituojamas tik visas grąžintas straipsnių tekstas; 6 ir 83 straipsniai grąžinti dviem dalimis, abi perskaitytos. Nepilni atsakymai nenaudoti.
read_paragraphs ADTAĮ 3, 5, 6, 7, 32 ir 33 straipsniams; cited_by ADTAĮ.
search_practice dėl BDAR 6 straipsnio ir baudų ir verify_citation: rasti Lietuvos vyriausiojo administracinio teismo išaiškinimai necituojami, nes jų teismo balsas dar nepatvirtintas.

Kaip tą patį paklausti savo asistento

Nukopijuokite į Claude ar ChatGPT, kai Avokata prijungta

Esame [įmonė / įstaiga], tvarkome [kokius duomenis] [kokiu tikslu]. Kuriuo BDAR
6 straipsnio 1 dalies pagrindu galime remtis, ar mums privalomas duomenų apsaugos
pareigūnas pagal 37 straipsnį ir ką papildomai nustato Asmens duomenų teisinės
apsaugos įstatymas (redakcija šiandien)? Cituok straipsnius ir dalis.

Prijungimas: prijungimo puslapis.

Ribos

Tai šaltiniai, ne asmens duomenų apsaugos konsultacija. Puslapis neaptaria duomenų apsaugos principų (5 straipsnis), specialių kategorijų duomenų (9 straipsnis), pranešimų apie duomenų saugumo pažeidimus (33 ir 34 straipsniai), poveikio duomenų apsaugai vertinimo (35 straipsnis), duomenų perdavimo už ES ribų (44–49 straipsniai), Europos duomenų apsaugos valdybos gairių ir Valstybinės duomenų apsaugos inspekcijos sprendimų. Inspekcijos rekomendacija minima kaip nuoroda, ne kaip teisės šaltinis.

Profesijai: Įmonių vadovams · Valstybės tarnautojams · Duomenų apsaugos pareigūnams · Įmonių teisininkams · NVO vadovams · Žurnalistams · Draudimo specialistams · Atitikties specialistams · Mokyklų vadovams · Socialiniams darbuotojams · Intelektinės nuosavybės specialistams · Kibernetinio saugumo specialistams