BDAR ir ADTAĮ talpinant duomenis ES serveriuose: VDAI reikalavimai

Praktinis gidas Lietuvos įmonėms, kurios talpina svetainę, internetinę parduotuvę ar SaaS programą ir nori suprasti, ką reikalauja BDAR ir ADTAĮ. Informacija galioja 2026-09-30 dienai.

Trumpas atsakymas

  1. 1Asmens duomenų apsaugą Lietuvoje reguliuoja Bendrasis duomenų apsaugos reglamentas (ES) 2016/679 ir Asmens duomenų teisinės apsaugos įstatymas (ADTAĮ), kurio naujos redakcijos pakeitimo įstatymas Nr. XIII-1426 priimtas 2018-06-30 ir įsigaliojo 2018-07-16.
  2. 2Priežiūros institucija yra Valstybinė duomenų apsaugos inspekcija (VDAI). Jos statusą ir veiklos principus nustato ADTAĮ.
  3. 3Jei jūsų svetainė ar programa tvarko asmens duomenis, o talpinimo paslaugų teikėjas juos tvarko jūsų vardu, su teikėju reikia duomenų tvarkymo sutarties pagal BDAR 28 straipsnį.
  4. 4Serveriai ES viduje nereiškia, kad atsakomybė perkeliama teikėjui: duomenų valdytojas lieka atsakingas už teisėtą tvarkymą, saugumą ir pranešimus apie pažeidimus.

Teisinis pagrindas: BDAR ir ADTAĮ

BDAR yra tiesiogiai taikomas reglamentas, todėl pagrindinės pareigos (teisėtumas, skaidrumas, saugumas, duomenų subjektų teisės) nustatytos jame. ADTAĮ papildo reglamentą nacionaliniu lygmeniu: pagal įstatymo tekstą 7 straipsnis reglamentuoja BDAR ir įstatymo taikymo priežiūrą, o 8 straipsnis nustato Valstybinės duomenų apsaugos inspekcijos statusą ir veiklos principus.

Įstatymo 15 straipsnis skirtas leidimams perduoti asmens duomenis į trečiąsias valstybes arba tarptautinėms organizacijoms pagal BDAR 46 straipsnio 3 dalį. Jei duomenys lieka ES serveriuose, tai paprastai nėra jūsų pagrindinis klausimas, tačiau verta patikrinti, ar prie duomenų gali prieiti paslaugų teikėjai už ES ribų. Tada taikomas BDAR V skyrius (44–46 straipsniai).

Duomenų tvarkymo sutartis su talpinimo teikėju

Kai talpinimo paslaugų teikėjas saugo ar kitaip tvarko asmens duomenis jūsų vardu, BDAR 28 straipsnis reikalauja sutarties ar kito teisinio akto. Jame apibrėžiama tvarkymo trukmė, pobūdis, tikslas, duomenų rūšys ir tvarkytojo pareigos: tvarkyti duomenis tik pagal jūsų dokumentuotus nurodymus, užtikrinti konfidencialumą, taikyti saugumo priemones, padėti atsakyti duomenų subjektams ir ištrinti ar grąžinti duomenis sutarčiai pasibaigus.

Jei tvarkytojas pasitelkia kitą tvarkytoją, reikalingas jūsų leidimas, o antrinis tvarkytojas turi laikytis tų pačių pareigų. Todėl prašykite teikėjo sąrašo, kur laikomi duomenys ir atsarginės kopijos.

Pažeidimai ir pranešimai VDAI

BDAR 33 straipsnis nustato, kad valdytojas apie asmens duomenų saugumo pažeidimą be nepagrįsto delsimo ir, jei įmanoma, per 72 valandas nuo sužinojimo praneša priežiūros institucijai, nebent pažeidimas nekelia pavojaus asmenų teisėms ir laisvėms. Tvarkytojas apie pažeidimą pranešti valdytojui privalo be nepagrįsto delsimo. Todėl prieš incidentą sutartyje aptarkite, kas ir kokiu kontaktu jums praneša.

Trys pavyzdžiai

Vilniaus internetinė parduotuvė

Parduotuvė kaupia klientų vardus, adresus ir užsakymų istoriją VPS serveryje. Įmonė yra duomenų valdytoja, talpinimo teikėjas – duomenų tvarkytojas. Reikia sudaryti duomenų tvarkymo sutartį, aprašyti atsarginių kopijų tvarką ir žinoti, kam pranešti, jei serveris būtų pažeistas.

Kauno SaaS įmonė su klientų duomenimis

Kai įmonė teikia programą savo klientams, dažnai ji pati yra tvarkytoja, o jos klientai – valdytojai. Tada talpinimo teikėjas tampa antriniu tvarkytoju, o įmonė privalo užtikrinti, kad jam taikomi tie patys duomenų apsaugos įsipareigojimai. Sutartyse tai aiškiai aprašoma.

Klaipėdos agentūra, valdanti kelių klientų svetaines

Agentūra talpina klientų svetaines viename cPanel paskyrų rinkinyje. Kiekvienam klientui verta aiškiai nurodyti, kas yra valdytojas, kas tvarkytojas ir kur laikomos atsarginės kopijos, o teikėjų sąrašą įtraukti į sutartis su klientais.

Dažniausios klaidos

  • Manyti, kad „serveris ES, vadinasi, viskas tvarkoma“. BDAR pareigos priklauso valdytojui, o ne vien serverio vietai.
  • Nesudaryti rašytinės duomenų tvarkymo sutarties su talpinimo teikėju, nors jis tvarko asmens duomenis jūsų vardu.
  • Neparengti pranešimo apie pažeidimą plano: BDAR 33 straipsnis valdytojui nustato 72 valandų terminą pranešti priežiūros institucijai, kai tai taikoma.
  • Nežinoti, kur fiziškai laikomos atsarginės kopijos ir kas turi prieigą prie serverio.
  • Painioti BDAR su kibernetinio saugumo reikalavimais: tai skirtingi teisės aktai su skirtingomis pareigomis.

Kuo jums padeda 4hosting

  • Infrastruktūra ES duomenų centruose (Frankfurtas). Duomenų centro Lietuvoje nėra.
  • Duomenų tvarkymo sutartis (DPA) pagal BDAR 28 straipsnį ir standartinės sutarčių sąlygos (SCC) perdavimams, kai jų reikia.
  • Suderinimas su ISO 27001 (tai nėra ISO 27001 sertifikatas), DDoS apsauga L3/L4 iki 1,5 Tbps ir atsarginės kopijos pagal jūsų planą.
  • DevOps ir kibernetinio saugumo paslaugos jūsų plano valandomis: Hardening & Compliance, WAF & DDoS, SIEM & Incident Response.
  • 4hosting nėra BDAR ar kitų standartų sertifikavimo institucija, neperima jūsų teisinės atsakomybės ir nepasirašo teisinės atitikties už jus. Pagalba teikiama anglų ir rumunų kalbomis.

Dažniausiai užduodami klausimai

Ar BDAR taikomas Lietuvos svetainei, kurios serveris Vokietijoje?

BDAR taikomas pagal tai, kaip ir kieno asmens duomenys tvarkomi, o ne pagal serverio vietą. Lietuvos įmonei, tvarkančiai asmens duomenis, reglamentas taikomas, nepriklausomai nuo serverio vietos.

Ar 4hosting sudaro duomenų tvarkymo sutartį?

Taip, 4hosting siūlo duomenų tvarkymo sutartį (DPA) pagal BDAR 28 straipsnį. Dėl sutarties rašykite per kontaktų puslapį.

Ar 4hosting užtikrina mano atitiktį BDAR?

Ne. 4hosting teikia infrastruktūrą, sutartį ir DevOps bei kibernetinio saugumo paslaugas. Atitiktis išlieka jūsų, kaip valdytojo, atsakomybė; dėl teisinių klausimų kreipkitės į teisininką.

Taip pat skaitykite