E. parduotuvės duomenų saugumas: ko reikalauja BDAR ir ką rekomenduoja VDAI

E. parduotuvė tvarko pirkėjų vardus, adresus, telefono numerius, užsakymų ir mokėjimų informaciją. Bendrasis duomenų apsaugos reglamentas (toliau – BDAR) reikalauja, kad šie duomenys būtų apsaugoti nuo tvarkymo be leidimo, praradimo ir sugadinimo (BDAR 5 str. 1 d. f p.). Atsakomybė tenka tam, kas nustato, kokiais tikslais ir priemonėmis tvarkomi duomenys, t. y. duomenų valdytojui (BDAR 4 str. 7 p., 24 str. 1 d.), net jei svetainę sukūrė ir prižiūri kiti.

2026 m. liepos 8 d. Valstybinė duomenų apsaugos inspekcija (toliau – VDAI) paskelbė rekomendaciją „Asmens duomenų saugumo užtikrinimo aspektai elektroninės prekybos svetainėse“, datuotą 2026 m. liepos 3 d. Pagal Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymą (toliau – ADTAĮ) VDAI prižiūri, kaip Lietuvoje taikomas BDAR, ir atlieka BDAR nustatytas priežiūros institucijos užduotis (ADTAĮ 7 str. 1 d., 11 str. 1 d.). Tai viena iš metodinių rekomendacijų, kurias VDAI rengia ir skelbia pagal ADTAĮ 11 str. 2 d. 1 p. Mūsų vertinimu, ji naujų pareigų nenustato: pareigos kyla iš BDAR 32 straipsnio, kuriuo rekomendacija ir remiasi. Čia – ko reikalauja pats BDAR, ką prie to prideda VDAI ir kas gresia, jei pirkėjų duomenys nuteka.

Ko reikalauja BDAR

Saugumas pagal riziką. Valdytojas ir tvarkytojas įgyvendina tinkamas technines ir organizacines priemones, kad saugumas atitiktų pavojų. Prireikus tai apima šifravimą, gebėjimą užtikrinti sistemų konfidencialumą, vientisumą ir prieinamumą, gebėjimą laiku atkurti galimybę naudotis duomenimis po fizinio ar techninio incidento ir reguliarų priemonių tikrinimą (BDAR 32 str. 1 d.). Ką šis straipsnis reiškia apskritai, aptarėme straipsnyje BDAR saugumo priemonės: ko iš tikrųjų reikalauja 32 straipsnis.

Tik būtini duomenys. Valdytojas turi užtikrinti, kad standartizuotai būtų tvarkomi tik tie duomenys, kurie būtini konkrečiam tikslui (BDAR 25 str. 2 d.). Mūsų vertinimu, tai taikoma ir užsakymo formai: laukai, kurių nereikia užsakymui įvykdyti, neturėtų būti privalomi.

Darbuotojai veikia pagal nurodymus. Valdytojas ir tvarkytojas imasi priemonių, kad jiems pavaldus asmuo, galintis susipažinti su duomenimis, jų netvarkytų be valdytojo nurodymų (BDAR 32 str. 4 d.).

Tiekėjai. Kas tvarko asmens duomenis valdytojo vardu, yra duomenų tvarkytojas (BDAR 4 str. 8 p.). Valdytojas gali pasitelkti tik tokius tvarkytojus, kurie pakankamai užtikrina tinkamas priemones (BDAR 28 str. 1 d.). Sutartis su tvarkytoju turi numatyti, kad jis imasi visų 32 straipsnyje reikalaujamų priemonių (BDAR 28 str. 3 d. c p.). Kuris tiekėjas yra tvarkytojas, priklauso nuo to, kas nustato duomenų tvarkymo tikslus ir priemones (BDAR 4 str. 7 p.). Mūsų vertinimu, svetainės talpinimo ar e. parduotuvės platformos teikėjas, kuris saugo pirkėjų duomenis Jūsų vardu, atitinka tvarkytojo apibrėžimą. Mokėjimų paslaugų teikėjo ar papildinio kūrėjo vaidmenį reikia vertinti atskirai, pagal tai, ką jis daro su duomenimis. Kada reikia rašytinės sutarties ir ką ji turi numatyti, rašome straipsnyje Duomenų tvarkymo sutartis: kada privaloma ir kas gresia be jos.

Ką VDAI rekomenduoja e. parduotuvėms

Rekomendacija remiasi BDAR 32 straipsniu ir išskiria kelias rizikas, būdingas būtent elektroninei prekybai.

Trečiųjų šalių scenarijai ir papildiniai. VDAI įspėja apie „Magecart“ atakas, „kurios į atsiskaitymo puslapius įterpia kenkėjišką programinį kodą per trečiųjų šalių scenarijus“. VDAI rekomenduoja, kad rizikos mažinimo strategijos apimtų „tiekėjų rizikos valdymą, saugumo (įsiskverbimo) testavimą ir nuolatinį išorinių jungčių stebėjimą“. Ar scenarijams, kurie įrašo slapukus, reikia lankytojo sutikimo, aptariame straipsnyje Slapukai ir sutikimo juosta: ko reikalauja ERĮ ir BDAR.

Ne tik svetainė. VDAI pažymi, kad net jei e. parduotuvė gerai apsaugota, piktavaliai gali „pasinaudoti silpniau apsaugota mobiliąja programėle ar API sąsaja ir taip pasiekti asmens duomenis“. Todėl, pasak VDAI, įmonėms reikia „suderintų ir visapusiškų apsaugos priemonių, kurios saugo kliento duomenis visuose sąlyčio taškuose“.

Paskyros ir prieiga. VDAI rekomenduoja kelių veiksnių autentifikavimą diegti palaipsniui, pradedant nuo rizikingesnių operacijų, „tokių kaip administratorių prisijungimai, mokėjimų tvirtinimas ar prieiga prie klientų duomenų“. Pasak VDAI, prieigos teisių valdymas užtikrina, kad naudotojams būtų suteikiamos „tik jų pareigoms vykdyti būtinos teisės“.

Šifravimas. Pagal rekomendaciją duomenų šifravimas visuose etapuose reiškia, kad „net jei kas nors gautų prieigą prie duomenų, matytųsi tik nesuprantamas simbolių rinkinys“. Šifravimą kaip galimą priemonę mini ir pats BDAR (BDAR 32 str. 1 d. a p.).

Atnaujinimai ir auditai. VDAI rašo, kad „reguliarūs saugumo auditai, personalo mokymai ir technologijų atnaujinimai yra būtini elektroninės prekybos sistemoms“. BDAR tarp galimų saugumo priemonių, taikomų „jei reikia“, nurodo reguliaraus priemonių tikrinimo ir veiksmingumo vertinimo procesą (BDAR 32 str. 1 d. d p.), o valdytojo priemonės prireikus peržiūrimos ir atnaujinamos (BDAR 24 str. 1 d.).

Debesija. VDAI pažymi, kad reikia suprasti, „už kokius saugumo užtikrinimo aspektus atsako debesijos tiekėjas, o už kokius lieka atsakinga pati organizacija“. Pagal rekomendacijoje aprašytą modelį organizacijai paprastai tenka tai, „kas vyksta debesijoje patalpintose ir organizacijos valdomose sistemose“.

Kas gali nutikti

Jei pirkėjų duomenys nuteka, valdytojas apie pažeidimą praneša VDAI nepagrįstai nedelsdamas ir, jei įmanoma, ne vėliau kaip per 72 valandas nuo sužinojimo, nebent pažeidimas neturėtų kelti pavojaus žmonių teisėms ir laisvėms (BDAR 33 str. 1 d.). Priežiūros institucija turi kompetenciją savo valstybės teritorijoje (BDAR 55 str. 1 d.), todėl, jei parduotuvė įsisteigusi tik Lietuvoje, kompetentinga priežiūros institucija yra VDAI (ADTAĮ 11 str. 1 d.). Tvarkytojas, sužinojęs apie pažeidimą, nedelsdamas praneša valdytojui (BDAR 33 str. 2 d.). Kai pavojus didelis, reikia pranešti ir patiems pirkėjams (BDAR 34 str. 1 d.). To nereikia, jei duomenys buvo apsaugoti priemonėmis, dėl kurių jie nesuprantami neturinčiam leidimo asmeniui, pavyzdžiui, šifravimu (BDAR 34 str. 3 d. a p.). Kiekvieną pažeidimą valdytojas privalo dokumentuoti, net jei apie jį nepranešama (BDAR 33 str. 5 d.). VDAI rekomendacija čia priduria: „Svarbu nepamiršti dokumentuoti priimtus sprendimus, atliktus tyrimus ir ataskaitas.“ Kada ir kaip pranešti, plačiau rašome straipsnyje Duomenų saugumo pažeidimas: kada pranešti VDAI ir žmonėms.

Antra rizika – bauda. Už 25–39 straipsnių pareigų, įskaitant saugumo ir pranešimo apie pažeidimą pareigas, pažeidimą bauda gali siekti iki dešimties milijonų eurų arba, jei tai įmonė, iki dviejų procentų visos ankstesnių finansinių metų pasaulinės metinės apyvartos, atsižvelgiant į tai, kuri suma didesnė (BDAR 83 str. 4 d. a p.). Baudas skiria priežiūros institucija (ADTAĮ 32 str. 1 d.). Spręsdama dėl baudos, ji deramai atsižvelgia ir į pagal 25 ir 32 straipsnius įgyvendintas priemones (BDAR 83 str. 2 d. d p.).

Trečia rizika – žala pirkėjams. Kiekvienas, patyręs materialinę ar nematerialinę žalą dėl BDAR pažeidimo, turi teisę gauti kompensaciją iš valdytojo arba tvarkytojo (BDAR 82 str. 1 d.). Valdytojas atleidžiamas nuo atsakomybės, tik jei įrodo, kad jokiu būdu nėra atsakingas už įvykį, dėl kurio patirta žala (BDAR 82 str. 3 d.). Mūsų vertinimu, kai kenkėjiškas kodas pateko per papildinį, kurio niekas neatnaujino ir netikrino, tai įrodyti bus sunku: valdytojas turi įgyvendinti riziką atitinkančias priemones ir galėti tai įrodyti, o priemonės prireikus peržiūrimos ir atnaujinamos (BDAR 24 str. 1 d.). Tarp tokių priemonių BDAR nurodo ir reguliarų jų tikrinimą (BDAR 32 str. 1 d. d p.).

Kada kreiptis į teisininką

• kai įtariate, kad atsiskaitymo puslapyje veikė svetimas kodas, ir reikia nuspręsti, ar per 72 valandas pranešti VDAI ir ar nedelsiant pranešti pirkėjams;
• kai platformos, talpinimo ar papildinio tiekėjas praneša apie incidentą pas save;
• kai su tiekėjais nėra sutarčių arba neaišku, kuris jų yra duomenų tvarkytojas;
• kai VDAI prašo parodyti, kokias saugumo priemones taikote;
• kai pirkėjas reikalauja kompensacijos dėl nutekėjusių duomenų.