VDAI bauda ar papeikimas: ką sako naujos EDAV gairės 04/2026

Ne kiekvienas Bendrojo duomenų apsaugos reglamento (toliau – BDAR) pažeidimas baigiasi bauda. Priežiūros institucija gali pareikšti papeikimą, duoti nurodymą, apriboti ar uždrausti duomenų tvarkymą (BDAR 58 str. 2 d.). Baudą ji skiria kartu su šiomis priemonėmis arba vietoj jų, atsižvelgdama į konkretaus atvejo aplinkybes (BDAR 58 str. 2 d. i p.; BDAR 83 str. 2 d.). Nedidelio pažeidimo atveju vietoj baudos gali būti pareikštas papeikimas (BDAR 148 konstatuojamoji dalis).

2026 m. rugsėjo 17 d. Europos duomenų apsaugos valdyba (toliau – EDAV) priėmė gaires 04/2026, kuriose aprašyta, kaip priežiūros institucija turėtų spręsti, ar skirti baudą. Tai 1.0 versija, priimta viešajai konsultacijai: pastabas galima teikti iki 2026 m. lapkričio 13 d. (EDAV viešosios konsultacijos puslapis), todėl galutinis tekstas gali keistis. Valstybinė duomenų apsaugos inspekcija (toliau – VDAI) apie jas paskelbė 2026 m. rugsėjo 24 d. Gairės nėra teisės aktas. Konsultacijai pateiktame tekste nurodyta, kad jos pakeis ankstesnes 29 straipsnio darbo grupės gaires WP253 (EDAV gairių 04/2026 8 punktas).

Kokias priemones VDAI gali taikyti

VDAI turi visus BDAR nustatytus priežiūros institucijos įgaliojimus (Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymo (toliau – ADTAĮ) 12 str. 1 d.). Baigusi tyrimą ar išnagrinėjusi pagrįstą skundą, ji gali teikti nurodymus, rekomendacijas ar taikyti kitas BDAR 58 str. 2 d. priemones (ADTAĮ 22 str. 1 d. 2 p.; ADTAĮ 31 str. 2 d. 1 p.). Papeikimas reiškiamas, kai pažeidimas jau padarytas (BDAR 58 str. 2 d. b p.). Nurodymu galima reikalauti patenkinti žmogaus prašymą, suderinti tvarkymą su BDAR ar ištrinti duomenis (BDAR 58 str. 2 d. c, d ir g p.). Įspėjimas skirtas tik numatomoms operacijoms (BDAR 58 str. 2 d. a p.), todėl, pagal gaires, kartu su juo už tą patį elgesį bauda skirti negalima (EDAV gairių 04/2026 23 punktas). Net jei bauda skiriama be nurodymo, pareiga suderinti tvarkymą su BDAR išlieka (EDAV gairių 04/2026 30 punktas).

Penki žingsniai: kaip gairės siūlo spręsti dėl baudos

1. Ar už šį pažeidimą apskritai galima bauda. Baudos skiriamos už pažeidimus, išvardytus BDAR 83 str. 4–6 d.

2. Kas atsako. Atsako tas, kam taikoma pažeista pareiga (EDAV gairių 04/2026 40 punktas). Juridiniam asmeniui nubausti nereikia, kad veiktų ar net žinotų jo valdymo organas (Europos Sąjungos Teisingumo Teismo (toliau – ESTT) 2023 m. gruodžio 5 d. sprendimas byloje C‑683/21, 82 punktas). Valdytojui bauda gali būti skirta ir už jo vardu veikusio tvarkytojo neteisėtus veiksmus (ESTT 2023 m. gruodžio 5 d. sprendimas byloje C‑683/21, 84 punktas), nebent tvarkytojas duomenis tvarkė savo tikslais arba ne pagal valdytojo nustatytą tvarką (ESTT 2023 m. gruodžio 5 d. sprendimas byloje C‑683/21, 85 punktas). Pagal gaires, darbuotojo nurodymų nesilaikymas atsakomybės nebūtinai pašalina (EDAV gairių 04/2026 41 punktas).

3. Tyčia ar aplaidumas. Bauda negali būti skirta, jei neįrodyta, kad pažeidimas padarytas tyčia ar dėl aplaidumo (ESTT 2023 m. gruodžio 5 d. sprendimas byloje C‑683/21, 80 punktas). Užtenka, kad valdytojas negalėjo nežinoti apie savo elgesio neteisėtumą, net jei nesuvokė, kad pažeidžia BDAR (ESTT 2023 m. gruodžio 5 d. sprendimas byloje C‑683/21, 81 punktas). Gairėse pažymima, kad aplaidumo slenkstis labai žemas (EDAV gairių 04/2026 49 punktas), o jei EDAV gairės klausimu jau yra, klaida visada laikoma išvengiama (EDAV gairių 04/2026 50 punktas).

4. Ar pažeidimas nedidelis. Institucija vertina BDAR 83 str. 2 d. a–k p. veiksnius (BDAR 83 str. 2 d.). Pagal gaires, institucija gali pripažinti pažeidimą nedideliu, jei jis nekelia didelės rizikos žmonių teisėms ir nepaveikia pareigos esmės. Tada kaip bendra taisyklė bauda neskiriama, o gali būti pareikštas papeikimas (EDAV gairių 04/2026 56 punktas). Jei pažeidimas nėra nedidelis, gairėse kalbama apie stiprią prezumpciją skirti baudą (EDAV gairių 04/2026 57 punktas).

5. Ar bauda būtų veiksminga, proporcinga ir atgrasoma. To reikalauja BDAR 83 str. 1 d. BDAR leidžia vietoj baudos pareikšti papeikimą ir tada, kai bauda sudarytų neproporcingą naštą fiziniam asmeniui (BDAR 148 konstatuojamoji dalis). Pagal gaires, institucija gali taip pasielgti ir tada, kai našta būtų neproporcinga juridiniam asmeniui (EDAV gairių 04/2026 26 punktas). Kai pažeidimas nedidelis, ji, atsižvelgdama į atvejo aplinkybes, gali netaikyti jokios priemonės, jei valdytojas, vos sužinojęs apie pažeidimą, ėmėsi tinkamų ir būtinų priemonių jam nutraukti ir kad jis nesikartotų (EDAV gairių 04/2026 117 punktas). Kai pažeidimas nėra nedidelis, gairės to neatmeta tik išimtiniais atvejais, bet numato, kad tada institucija kaip taisyklė pareikštų papeikimą, o ne atsisakytų bet kokios priemonės (EDAV gairių 04/2026 121 punktas).

Ką BDAR 83 straipsnis vertina Jūsų elgesyje

• Veiksmai žalai sumažinti (BDAR 83 str. 2 d. c p.). Pagal gaires, savo iniciatyva įdiegtos priemonės, kol apie tyrimą nežinota, labiau tikėtina bus laikomos švelninančiomis (EDAV gairių 04/2026 74 punktas).
• Atsakomybės dydis pagal 25 ir 32 straipsnių priemones (BDAR 83 str. 2 d. d p.). Pagal gaires, privalomos priemonės savaime nešvelnina; institucija gali jas laikyti švelninančia aplinkybe tik išimtiniais atvejais, kai padaryta daugiau, nei privaloma (EDAV gairių 04/2026 77 punktas). Institucija turėtų atsižvelgti į dokumentus, rodančius, kada ir kaip priemonės įdiegtos (EDAV gairių 04/2026 78 punktas).
• Ankstesni pažeidimai (BDAR 83 str. 2 d. e p.). Pagal gaires, svarbūs gali būti ir kitokio pobūdžio pažeidimai, o jų nebuvimas savaime nešvelnina, nes BDAR laikymasis yra norma (EDAV gairių 04/2026 80 ir 88 punktai).
• Bendradarbiavimas (BDAR 83 str. 2 d. f p.). Gavus prašymą, bendradarbiauti su priežiūros institucija privaloma (BDAR 31 str.; ADTAĮ 14 str.). Todėl, pasak gairių, įprastas bendradarbiavimas nešvelnina, o švelninančia aplinkybe gali būti tik išimtinis bendradarbiavimas, kuris viršija pareigą ir sumažino neigiamas pasekmes žmonėms (EDAV gairių 04/2026 90 ir 91 punktai). Kaip atsakyti į VDAI paklausimą, rašome straipsnyje Gavote VDAI raštą ar paklausimą: ką jis reiškia ir ką daryti.
• Kaip institucija sužinojo (BDAR 83 str. 2 d. h p.). Pagal gaires, privalomas pranešimas apie asmens duomenų saugumo pažeidimą pagal BDAR 33 straipsnį yra neutralus, o skundas kaip taisyklė taip pat neutralus. Švelninantis gali būti pranešimas savo iniciatyva, kai jo nereikalavo speciali pareiga ir kai VDAI apie pažeidimą dar nežinojo (EDAV gairių 04/2026 95 ir 96 punktai). Kas vyksta po žmogaus skundo, aprašėme straipsnyje Skundas VDAI.
• Finansinė nauda (BDAR 83 str. 2 d. k p.). Pagal gaires, gauta nauda gali būti stiprus požymis, kad pažeidimas nėra nedidelis ir kad bauda turėtų būti skirta (EDAV gairių 04/2026 106 punktas).

Mūsų vertinimu, mažai organizacijai labiausiai valdomi yra c ir d punktų veiksniai, o kaip jie bus įvertinti, lemia dokumentai (EDAV gairių 04/2026 78 punktas): valdytojas turi sugebėti įrodyti, kad laikosi principų (BDAR 5 str. 2 d.), ir dokumentuoti kiekvieną asmens duomenų saugumo pažeidimą bei taisomuosius veiksmus (BDAR 33 str. 5 d.).

Kas gali nutikti

Bauda. Už valdytojo ir tvarkytojo prievolių pagal 8, 11, 25–39, 42 ir 43 straipsnius pažeidimą – iki dešimties milijonų eurų arba, įmonės atveju, iki dviejų procentų ankstesnių finansinių metų bendros metinės pasaulinės apyvartos, taikoma didesnė suma (BDAR 83 str. 4 d. a p.). Už principų ir žmonių teisių pažeidimą – iki dvidešimties milijonų eurų arba, įmonės atveju, iki keturių procentų apyvartos, taikoma didesnė suma (BDAR 83 str. 5 d. a ir b p.). Valdžios institucijoms ir įstaigoms ADTAĮ nustato mažesnes ribas (ADTAĮ 33 str. 1 ir 2 d.), išskyrus vykdančias ūkinę komercinę veiklą (ADTAĮ 33 str. 3 d.). Plačiau – straipsnyje Kokios baudos gresia įstaigai už BDAR pažeidimą.

Nevykdytas nurodymas. Už VDAI nurodymo nevykdymą bauda gali siekti iki dvidešimties milijonų eurų arba, įmonės atveju, iki keturių procentų apyvartos, taikoma didesnė suma (BDAR 83 str. 6 d.). Nurodymas todėl nėra pabaiga: jis sukuria naują pareigą. Papeikimas nieko neįpareigoja (BDAR 58 str. 2 d. b p.), bet pažeidimas, už kurį jis pareikštas, vėliau gali būti vertinamas kaip ankstesnis pažeidimas (BDAR 83 str. 2 d. e p.).

Viešas sprendimas. VDAI sprendimus, priimtus atlikus tyrimą ar išnagrinėjus skundą, per penkias darbo dienas skelbia savo svetainėje, saugodama asmens duomenis ir įstatymų saugomas paslaptis. Jei pažeidimų nenustatyta, valdytojo tapatybė neatskleidžiama (ADTAĮ 14¹ str. 1 d.). Sprendimai skelbiami dešimt metų (ADTAĮ 14¹ str. 2 d.).

Senatis. Sprendimas dėl baudos gali būti priimtas, jei nuo pažeidimo praėjo ne daugiau kaip 3 metai, o kai pažeidimas trunkamasis – nuo jo paaiškėjimo (ADTAĮ 32 str. 4 d.).

Kada kreiptis į teisininką

• kai gavote siūlymą skirti baudą ir turite ne trumpesnį kaip 10 darbo dienų terminą paaiškinimams (ADTAĮ 34 str. 1 d.);
• kai reikia parodyti, kad pažeidimas nedidelis, ir surinkti dokumentus apie priemones bei jų įdiegimo laiką (BDAR 83 str. 2 d. c ir d p.);
• kai gavote sprendimą ir svarstote jį skųsti teismui (ADTAĮ 22 str. 3 d.; ADTAĮ 31 str. 5 d.; ADTAĮ 34 str. 11 d.).