BDAR mokymai darbuotojams: ar jie privalomi ir ką turi apimti

Nė vienas Bendrojo duomenų apsaugos reglamento (toliau – BDAR) straipsnis nesako „mokykite darbuotojus“. Tačiau keli straipsniai kartu reikalauja priemonių, kurių be mokymų sunku įvykdyti ir įrodyti. Duomenų valdytojas atsako už tai, kad būtų laikomasi duomenų tvarkymo principų, ir turi sugebėti tai įrodyti (BDAR 5 str. 2 d.). Jis įgyvendina tinkamas organizacines priemones, kad galėtų įrodyti, jog duomenys tvarkomi pagal reglamentą (BDAR 24 str. 1 d.). Be to, jis turi imtis priemonių, kad darbuotojai duomenis tvarkytų tik pagal jo nurodymus (BDAR 32 str. 4 d.). Mūsų vertinimu, mokymai yra aiškiausias, bet ne vienintelis būdas šias pareigas įvykdyti ir parodyti.

Nuo 2025 m. vasario 2 d. prie to prisideda ir dirbtinio intelekto (DI) aktas (DI akto 4 str., 113 str. a p.). Iki 2026 m. liepos jis reikalavo užtikrinti darbuotojų raštingumą DI srityje, dabar – imtis priemonių jam ugdyti. Čia – ką tiksliai sako teisės aktai, kas iš jų išplaukia mokymų turiniui ir kas gresia, kai suklysta darbuotojas, o organizacija negali parodyti, kokių priemonių ėmėsi.

Kokios BDAR pareigos lemia, kad darbuotojus reikia mokyti

Atskaitomybė. Neužtenka laikytis principų. Valdytojas turi sugebėti įrodyti, kad jų laikosi (BDAR 5 str. 2 d.). Priemones jis parenka pagal duomenų tvarkymo pobūdį, aprėptį, kontekstą ir tikslus bei pagal pavojus žmonių teisėms. Tos priemonės prireikus peržiūrimos ir atnaujinamos (BDAR 24 str. 1 d.). BDAR mokymus mini tiesiogiai tik dviejose vietose. Įmonių grupių privalomos taisyklės turi numatyti atitinkamus mokymus darbuotojams, kurie nuolat ar reguliariai susipažįsta su asmens duomenimis (BDAR 47 str. 2 d. n p.). O duomenų apsaugos pareigūnas stebi darbuotojų mokymą (BDAR 39 str. 1 d. b p.).

Darbuotojas veikia pagal nurodymus. Kiekvienas valdytojui pavaldus asmuo, galintis susipažinti su asmens duomenimis, gali juos tvarkyti tik pagal valdytojo nurodymus, nebent to reikalauja teisė (BDAR 29 str.). Valdytojas ir duomenų tvarkytojas privalo imtis priemonių, siekdami užtikrinti, kad taip ir būtų (BDAR 32 str. 4 d.). Mūsų vertinimu, nurodymas, apie kurį darbuotojas nežino, šios pareigos neįvykdo.

Duomenų tvarkytojas. Jei Jūs tvarkote duomenis kito vardu, sutartis su valdytoju turi numatyti, kad Jūs užtikrinate, jog duomenis tvarkyti įgalioti asmenys būtų įsipareigoję užtikrinti konfidencialumą arba jiems būtų taikoma įstatymo nustatyta konfidencialumo prievolė (BDAR 28 str. 3 d. b p.). Saugumo pareiga tvarkytojui taikoma tiesiogiai (BDAR 32 str. 1 d.).

Duomenų apsaugos pareigūnas. Jei pareigūnas paskirtas, jis informuoja duomenis tvarkančius darbuotojus apie jų prievoles ir juos konsultuoja (BDAR 39 str. 1 d. a p.). Jis taip pat stebi, kaip laikomasi duomenų apsaugos reikalavimų, įskaitant darbuotojų informuotumo didinimą ir mokymą (BDAR 39 str. 1 d. b p.). Pareigūnas mokymus stebi, bet pareiga įgyvendinti priemones lieka valdytojui (BDAR 24 str. 1 d.). Kada pareigūnas privalomas, rašome straipsnyje Ar mūsų organizacijai privalomas duomenų apsaugos pareigūnas.

Ką dabar reikalauja DI aktas

Reglamentas (ES) 2024/1689 (toliau – DI aktas) diegėju vadina kiekvieną asmenį ar organizaciją, kuri naudoja DI sistemą pagal savo įgaliojimus, išskyrus asmeninę neprofesinę veiklą (DI akto 3 str. 4 p.). Tai apima ir įmonę, kurios darbuotojai DI įrankius darbe naudoja jos vardu ar jai leidus.

Nuo 2026 m. liepos 27 d. galioja nauja DI akto 4 straipsnio redakcija, nustatyta Reglamentu (ES) 2026/1744 (1 str. 5 p.). Pagal ją DI sistemų tiekėjai ir diegėjai imasi priemonių, kad padėtų ugdyti savo darbuotojų ir kitų asmenų, dirbančių su DI sistemomis jų vardu, raštingumą DI srityje. Priemonės parenkamos atsižvelgiant į šių žmonių technines žinias, patirtį, išsilavinimą ir pasirengimą, kontekstą, kuriame sistemas numatoma naudoti, ir į žmones, kurių atžvilgiu jas numatoma naudoti. Konkretaus raštingumo lygio garantuoti neprivaloma (DI akto 4 str. 1 d.).

Pakeičiančio reglamento konstatuojamojoje dalyje nurodyta, kad ankstesnė redakcija nustatė pareigą užtikrinti darbuotojų raštingumą DI srityje, o griežta pareiga užtikrinti pakankamą lygį tiko ne visiems ir kūrė papildomą naštą, visų pirma mažesnėms įmonėms (Reglamento (ES) 2026/1744 8 konstatuojamoji dalis). Komisija ir valstybės narės turi remti tiekėjų ir diegėjų, visų pirma mažųjų ir vidutinių įmonių (MVĮ), pastangas, o Komisija skelbia praktinius pavyzdžius (DI akto 4 str. 2 d.). Pati pareiga taikoma nuo 2025 m. vasario 2 d. (DI akto 113 str. a p.).

Taigi pareiga išliko, pasikeitė jos turinys: reglamentas reikalauja veiksmų, o ne rezultato.

Ką mokymai turi apimti: kas išplaukia iš teisės aktų

BDAR mokymų programos nenustato. Tačiau iš to, ką darbuotojas daro kasdien, galima išvesti, ko jis negali nežinoti. Toliau – ne teisės aktų sąrašas, o išvada iš jų.

• Principai. Duomenys tvarkomi teisėtai, sąžiningai ir skaidriai, tik nustatytais tikslais, tik tiek, kiek reikia, tikslūs, ne ilgiau nei būtina ir saugiai (BDAR 5 str. 1 d.).
• Teisinis pagrindas. Tvarkymas teisėtas tik tada, kai taikoma bent viena iš BDAR 6 str. 1 d. sąlygų. Sveikatos duomenų, biometrinių duomenų, kai jie tvarkomi siekiant konkrečiai nustatyti asmens tapatybę, ir kitų specialių kategorijų duomenų tvarkyti draudžiama, nebent taikoma išimtis (BDAR 9 str. 1 ir 2 d.). Darbuotojas turi žinoti, kad „man reikia“ nėra pagrindas.
• Žmonių teisės. Žmogus gali prašyti susipažinti su savo duomenimis, juos ištaisyti, ištrinti ir pasinaudoti kitomis teisėmis (BDAR 15–22 str.). Į tokį prašymą atsakoma nepagrįstai nedelsiant, bet ne vėliau kaip per vieną mėnesį nuo jo gavimo. Prireikus terminą galima pratęsti dar dviem mėnesiais, apie tai per pirmąjį mėnesį pranešus žmogui (BDAR 12 str. 3 d.). Kadangi terminas eina nuo gavimo, darbuotojas, gavęs prašymą, turi žinoti, kam jį perduoti.
• Pažeidimo atpažinimas. Pažeidimas – tai ne tik įsilaužimas. Tai ir netyčinis duomenų praradimas, pakeitimas ar atskleidimas be leidimo (BDAR 4 str. 12 p.). Apie pažeidimą Valstybinei duomenų apsaugos inspekcijai (toliau – VDAI) pranešama nepagrįstai nedelsiant ir, jei įmanoma, ne vėliau kaip per 72 valandas nuo tada, kai valdytojas apie jį sužino, nebent pažeidimas neturėtų kelti pavojaus žmonių teisėms ir laisvėms (BDAR 33 str. 1 d.). Visi pažeidimai, ir tie, apie kuriuos nepranešama, dokumentuojami (BDAR 33 str. 5 d.). Kada pranešti ir žmonėms, rašome straipsnyje Duomenų saugumo pažeidimas: kada pranešti VDAI ir žmonėms.
• Saugumas ir vidaus taisyklės. Kas gali matyti kokius duomenis, kaip juos siųsti, kur laikyti, ką daryti praradus įrenginį (BDAR 32 str. 1 ir 4 d.). Ko reikalauja 32 straipsnis, aprašėme straipsnyje BDAR saugumo priemonės.
• DI įrankiai. Jei jie naudojami: kokių asmens duomenų į juos įkelti negalima (BDAR 5 str. 1 d., 32 str. 4 d.) ir kokią riziką bei žalą gali sukelti DI, kad darbuotojas jų rezultatus vertintų kritiškai (DI akto 3 str. 56 p., 4 str. 1 d.).

Apimtį lemia rizika. Darbuotojui, kuris tvarko pacientų ar vaikų duomenis, reikia daugiau nei tam, kuris mato tik kolegų vardus (BDAR 24 str. 1 d., 32 str. 1 d.).

Kas gali nutikti, kai darbuotojai nemokyti

Pirma rizika – pažeidimas, kurio niekas neatpažino. Darbuotojas išsiunčia failą ne tam adresatui arba pameta nešiojamąjį kompiuterį ir niekam nesako. 72 valandų terminas pranešti VDAI skaičiuojamas nuo tada, kai valdytojas sužino apie pažeidimą. Jei pranešama vėliau, reikia nurodyti vėlavimo priežastis (BDAR 33 str. 1 d.). Darbuotojo tylėjimas valdytojo neapsaugo. Kai pažeidimas paaiškėja, VDAI vertina, kokių priemonių valdytojas ėmėsi pagal 32 straipsnį (BDAR 83 str. 2 d. d p.), o nedokumentuotas pažeidimas arba pažeidimas, apie kurį privalėta, bet nepranešta, pats yra BDAR 33 straipsnio pažeidimas (BDAR 83 str. 4 d. a p.).

Antra rizika – neįrodytos priemonės. Spręsdama dėl baudos, VDAI atsižvelgia į tai, ar pažeidimas padarytas tyčia ar dėl aplaidumo (BDAR 83 str. 2 d. b p.), ir į valdytojo atsakomybę, vertindama jo pagal 25 ir 32 straipsnius įgyvendintas priemones (BDAR 83 str. 2 d. d p.). Mūsų vertinimu, organizacija, kuri negali parodyti, kad darbuotojams davė nurodymus, sunkiai įrodys pagal 32 straipsnį įgyvendintas priemones (BDAR 24 str. 1 d., 32 str. 4 d.).

Už valdytojo ir tvarkytojo prievolių pagal 25–39 straipsnius pažeidimą, įskaitant saugumo ir pranešimo apie pažeidimą pareigas, bauda gali siekti iki dešimties milijonų eurų arba, jei tai įmonė, iki dviejų procentų visos jos ankstesnių finansinių metų pasaulinės metinės apyvartos, atsižvelgiant į tai, kuri suma didesnė (BDAR 83 str. 4 d. a p.). Jei pažeisti patys principai, ribos dvigubai didesnės: iki dvidešimties milijonų eurų arba iki keturių procentų apyvartos (BDAR 83 str. 5 d. a p.).

Valdžios institucijoms ir įstaigoms Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymas (toliau – ADTAĮ) nustato mažesnes ribas. Už BDAR 83 straipsnio 4 dalies a–c punktų pažeidimus – iki pusės procento biudžeto ir kitų pajamų, bet ne daugiau kaip trisdešimt tūkstančių eurų (ADTAĮ 33 str. 1 d.). Už principų ir kitų 83 straipsnio 5 dalies pažeidimus – iki vieno procento, bet ne daugiau kaip šešiasdešimt tūkstančių eurų (ADTAĮ 33 str. 2 d.). Jei institucija ar įstaiga vykdo ūkinę komercinę veiklą, šios ribos netaikomos, o taikomos bendrosios BDAR baudos (ADTAĮ 33 str. 3 d.). Plačiau – straipsnyje Kokios baudos gresia įstaigai už BDAR pažeidimą.

Trečia rizika – žala. Kiekvienas žmogus, patyręs materialinę ar nematerialinę žalą dėl pažeidimo, turi teisę gauti kompensaciją iš valdytojo arba tvarkytojo (BDAR 82 str. 1 d.). Tai, kad klaidą padarė darbuotojas, atsakomybės savaime nenuima. Valdytojas atleidžiamas nuo atsakomybės tik įrodęs, kad jokiu būdu nėra atsakingas už įvykį, dėl kurio patirta žala (BDAR 82 str. 3 d.). O būtent valdytojas turėjo imtis priemonių, kad darbuotojas tvarkytų duomenis tik pagal nurodymus (BDAR 32 str. 4 d.). Jei tokių priemonių nebuvo, įrodyti, kad jis jokiu būdu nėra atsakingas, bus sunku.

Kada kreiptis į teisininką

• kai darbuotojas išsiuntė, paskelbė ar prarado asmens duomenis ir per 72 valandas reikia nuspręsti, ar pranešti VDAI;
• kai VDAI prašo parodyti, kokių organizacinių priemonių ėmėtės;
• kai darbuotojai tvarko sveikatos, vaikų ar kitus jautrius duomenis, o rašytinių nurodymų nėra;
• kai organizacija pradeda naudoti DI įrankius ir reikia nuspręsti, ko imtis pagal DI akto 4 straipsnį;
• kai klientas ar partneris sutartyje reikalauja įrodyti darbuotojų mokymą ar konfidencialumo įsipareigojimus.