Įvykus asmens duomenų saugumo pažeidimui, svarbu ne tik sustabdyti incidentą, bet ir laiku informuoti priežiūros instituciją bei, kai būtina, nukentėjusius žmones. Registrų centro atvejis primena: pavėluotas pranešimas gali tapti papildomu BDAR pažeidimu.
Kas nutiko ir kaip paskirstyta atsakomybė?
2026 m. spalio 16 d. Valstybinė duomenų apsaugos inspekcija (VDAI) paskelbė tyrimų rezultatus dėl neteisėtos prieigos prie Nekilnojamojo turto ir Juridinių asmenų registrų. Tretieji asmenys prieigą įgijo pasinaudoję dviejų Migracijos departamento darbuotojų kompromituotomis elektroninio pašto paskyromis.
VDAI kiekvienos institucijos atsakomybę vertino atskirai:
- Informatikos ir ryšių departamentas (IRD) neužtikrino tinkamos elektroninio pašto sistemos prieigos kontrolės: netaikė kelių faktorių autentifikavimo ir kitų reikiamų apsaugos priemonių. Jam pradėta administracinės baudos skyrimo procedūra.
- Migracijos departamentas (MD), prašydamas suteikti darbuotojams prieigą prie registrų, nenurodė konkrečių išorinių IP adresų. VDAI nustatė, kad šis trūkumas savaime nesudarė galimybės neteisėtai prieigai. Departamentui skirtas papeikimas.
- Registrų centras (RC) neužtikrino tinkamos prieigos prie registrų kontrolės. Be to, laiku nepranešė apie pažeidimą VDAI ir duomenų subjektams. Jam pradėta administracinės baudos skyrimo procedūra.
Taigi IRD ir MD atsakomybės neišvengė. Poveikio priemonės skyrėsi įvertinus nustatytų pažeidimų pobūdį, reikšmę incidentui ir kitas aplinkybes. Konkrečios RC bei IRD baudų sumos šiame VDAI pranešime dar nepaskelbtos.
Kiek užtruko pranešimas?
Pagal VDAI informaciją, pateiktą portalui „15min“, pirmąją informaciją apie incidentą iš kitos institucijos inspekcija gavo 2026 m. balandžio 3 d. Registrų centras pirminę informaciją pateikė balandžio 13 d., o pranešimą apie asmens duomenų saugumo pažeidimą – gegužės 7 d.
Vadinasi, nuo RC pirminės informacijos iki pranešimo apie ADSP praėjo 24 kalendorinės dienos. Tai laikotarpis tarp dviejų kreipimųsi, o ne tikslus teisinio pavėlavimo dienų skaičius: jam nustatyti būtina žinoti, kada RC sužinojo apie pažeidimą, ir įvertinti pirminės informacijos turinį.
Kodėl delsimas pranešti yra svarbus?
RC atveju VDAI nustatė ne tik duomenų saugumo trūkumus, bet ir BDAR 33 straipsnio 1 dalies bei 34 straipsnio 1 dalies pažeidimus – dėl pavėluoto pranešimo VDAI ir duomenų subjektams.
Pagal BDAR duomenų valdytojas apie pažeidimą VDAI turi pranešti nepagrįstai nedelsdamas ir, jei įmanoma, per 72 valandas nuo sužinojimo, nebent pažeidimas neturėtų kelti pavojaus žmonių teisėms ir laisvėms. Pavėlavus būtina nurodyti vėlavimo priežastis.
Kai dėl pažeidimo gali kilti didelis pavojus žmonių teisėms ir laisvėms, nepagrįstai nedelsiant informuojami ir paveikti asmenys, išskyrus BDAR numatytas išimtis.
Laukti tyrimo pabaigos nereikia. Jeigu visos informacijos iš karto pateikti neįmanoma, BDAR leidžia ją teikti etapais, nepagrįstai nedelsiant. Pranešimas suteikia galimybę laiku įvertinti pavojų, o nukentėjusiems žmonėms – imtis apsaugos priemonių.
Ką tai reiškia mūsų įstaigos darbuotojams?
Pastebėję galimą pacientų ar darbuotojų duomenų atskleidimą, prarastą dokumentą, klaidingam gavėjui išsiųstą laišką, įtartiną prisijungimą ar kitą galimą pažeidimą, nedelsdami informuokite atsakingus asmenis pagal įstaigos nustatytą tvarką ir duomenų apsaugos pareigūną.
Nelaukite, kol patys išsiaiškinsite visas aplinkybes ar įsitikinsite, kad žala tikrai padaryta. Praneškite tai, ką žinote: kas nutiko, kada pastebėjote, kokie duomenys galėjo būti paveikti ir kokių veiksmų jau imtasi.
72 valandų terminas skirtas įstaigos pareigai įvykdyti. Todėl darbuotojo pranešimas įstaigos viduje turi būti kuo skubesnis – kad liktų laiko situacijai įvertinti, pažeidimui suvaldyti ir sprendimams dėl informavimo priimti.
Šaltiniai
Oficialūs šaltiniai: (DI)
- VDAI 2026 m. spalio 16 d. pranešimas apie tyrimų rezultatus ir pradėtas administracinių baudų skyrimo procedūras.
- VDAI 2026 m. sprendimų sąrašas – nurodytas 2026 m. spalio 15 d. sprendimas Nr. 3R-1815 (2.13-1.E).
- Bendrasis duomenų apsaugos reglamentas – 33 ir 34 straipsniai.
Papildomas šaltinis pranešimų datoms:
- „15min“, 2026 m. gegužės 26 d.: „Duomenų inspekcija atskleidė, kada pranešta apie incidentą: pirma informacija – ne iš Registrų centro“ – pateiktas VDAI komentaras apie balandžio 3 d., balandžio 13 d. ir gegužės 7 d. kreipimusis.