Sveikatos duomenys yra viena jautriausių asmens duomenų kategorijų. Jų atskleidimas, neteisėta peržiūra ar neprieinamumas gali žmogui sukelti ne tik nepatogumų, bet ir psichologinę įtampą, pažeminimą, reputacinę ar kitą žalą. Todėl sveikatos priežiūros ir socialinės globos įstaigoms taikomas aukštas atidumo bei saugumo standartas.

Šioje apžvalgoje išanalizuoti aštuoni 2026 m. Valstybinės duomenų apsaugos inspekcijos (VDAI) sprendimai. Juose nagrinėtas vaizdo ir garso stebėjimas, darbuotojų prieigos prie pacientų duomenų, informacijos atskleidimas artimiesiems, kontaktinių duomenų tikslumas, incidentų valdymas ir informacinių sistemų saugumas.

Svarbiausi VDAI sprendimų rezultatai iki 2026 m. 01-08

6 000 Eur bauda ligoninei už vaizdo ir garso stebėjimo pažeidimus.
450 000 Eur bauda sveikatos paslaugų bendrovei už nepakankamas technines ir organizacines saugumo priemones.
Papeikimai dėl perteklinių prieigų, sveikatos duomenų atskleidimo ir netikslių kontaktų.
Nurodymai sustiprinti prieigų kontrolę, apibrėžti darbuotojų vaidmenis ir užtikrinti tinkamą informavimą.

1. Vaizdo stebėjimas ligoninėje negali tapti neribotu stebėjimu

2026 m. vasario 13 d. sprendime Nr. 3R-252 VDAI vertino Biržų ligoninėje vykdytą vaizdo stebėjimą ir garso įrašymą, įskaitant stebėjimą operacinėse. Sprendime konstatuoti BDAR teisėtumo, saugojimo trukmės apribojimo ir konfidencialumo principų, taip pat teisėto pagrindo bei specialių kategorijų duomenų tvarkymo reikalavimų pažeidimai. Atskirai įvertintas ir netinkamas bendradarbiavimas su VDAI, nepateikiant prašomos informacijos. Ligoninei skirta 6 000 Eur bauda.

Šis sprendimas primena, kad vien pacientų ar turto saugumo tikslas savaime nepateisina bet kokios apimties stebėjimo. Ypač didelės rizikos kyla ten, kur kameros gali fiksuoti medicinines procedūras, pacientų kūną, pokalbius ar kitą informaciją apie sveikatą. Reikia atskirai pagrįsti kiekvienos kameros būtinumą, jos stebėjimo lauką, garso funkciją, saugojimo terminą ir prieigos gavėjus.

Praktinė išvada. Kamerų sąrašas ir bendro pobūdžio taisyklės nėra pakankami. Reikia realaus kamerų laukų audito, proporcingumo vertinimo, aiškių saugojimo terminų, prieigų kontrolės ir, kai būtina, poveikio duomenų apsaugai vertinimo.

2. Darbuotojo prisijungimas dar nereiškia teisėtos prieigos

Dviejuose sprendimuose VDAI nagrinėjo darbuotojų prieigą prie sveikatos duomenų. 2026 m. kovo 24 d. sprendime Nr. 3R-500 socialinės globos įstaigos darbuotoja peržiūrėjo asmens duomenis ESPBI IS ne sveikatos priežiūros paslaugos teikimo tikslu. Net ir pačiam asmeniui paprašius surasti medicininį dokumentą, įstaigos prieiga turėjo būti naudojama tik sutartyje ir teisės aktuose nustatytais tikslais. Įvykis kvalifikuotas kaip asmens duomenų saugumo pažeidimas. Įstaiga atliko tyrimą ir informavo Registrų centrą, tačiau neinformavo ESPBI IS valdytojo – Sveikatos apsaugos ministerijos. VDAI pažymėjo, kad viešai nepaskelbta pranešimo tvarka neatleidžia nuo pareigos informuoti valdytoją.

2026 m. balandžio 8 d. sprendime Nr. 3R-592 nustatyta, kad darbuotojams suteiktos prieigos leido matyti sveikatos duomenis, nors tokių duomenų peržiūra nebuvo būtina jų funkcijoms. VDAI pareiškė papeikimą ir nurodė apibrėžti vaidmenis, atsakomybes bei prieigų valdymo politiką, taip pat užtikrinti, kad prieiga būtų suteikta tik tiems darbuotojams, kuriems ji būtina.

Prieigos turi būti grindžiamos konkrečiomis pareigomis, o ne vien darbu įstaigoje.
Darbuotojų rolių matrica turi sutapti su faktinėmis informacinės sistemos teisėmis.
Būtina periodiškai peržiūrėti prieigas ir analizuoti prisijungimų žurnalus.
Darbuotojo prašymas ar patogumas negali pakeisti teisėto duomenų naudojimo tikslo.

3. Informacija sutuoktiniui nėra savaime teisėta

2026 m. birželio 11 d. sprendime Nr. 3R-1065 klinikos darbuotojas, ieškodamas paciento sutikimo teikti informaciją sutuoktinei, atliko paiešką pagal vardą ir pasirinko kito panašios pavardės paciento duomenis. Dėl žmogiškosios klaidos sveikatos informacija buvo atskleista neįgaliotam asmeniui.

VDAI pabrėžė, kad paieška pagal paciento vardą nėra tinkama saugumo priemonė, kai tvarkomi sveikatos duomenys. Klinika incidentą pripažino, dokumentavo ir informavo pacientą, tačiau nusprendė nepranešti VDAI. Inspekcija įvertino, kad pavojus paciento teisėms ir laisvėms kilo, todėl turėjo būti pateiktas pranešimas pagal BDAR 33 straipsnį. Klinikai pareikštas papeikimas.

Svarbu. Sutuoktinis, šeimos narys ar kitas artimas asmuo nėra automatiškai įgaliotas gauti paciento sveikatos informaciją. Prieš ją atskleidžiant turi būti patikimai nustatyta tiek paciento, tiek gavėjo tapatybė ir patikrintas galiojantis teisinis pagrindas arba paciento valia.

4. Netikslus telefono numeris gali tapti BDAR pažeidimu

2026 m. rugpjūčio 19 d. sprendime Nr. 3R-1485 klinikos sistemoje po sinchronizacijos atsirado du paciento telefono numeriai. Nors pacientas savo sutikime buvo aiškiai nurodęs, kuriuo numeriu jam teikti informaciją apie sveikatą, klinika skambino kitu – iš SVEIDRA sistemos gautu numeriu. VDAI konstatavo duomenų tikslumo principo pažeidimą ir pareiškė papeikimą.

Duomenų integracijos ir automatinė sinchronizacija nepanaikina duomenų valdytojo atsakomybės. Kai skirtingose sistemose saugomi nesutampantys kontaktai, turi būti nustatyta, kuris šaltinis laikomas aktualiu, kaip sprendžiami neatitikimai ir kaip užtikrinama, kad jautri informacija nebūtų siunčiama netinkamu adresu ar telefono numeriu.

5. Garso įrašymas reikalauja atskiro skaidrumo

2026 m. gegužės 5 d. sprendime Nr. 3R-793 VDAI vertino socialinės globos įstaigos vaizdo ir garso įrašą, panaudotą tiriant galimą smurtą prieš įstaigos gyventoją. Įrašo panaudojimą darbuotojos pareigų pažeidimui tirti VDAI pripažino teisėtu, nes jis atitiko įstaigos taisyklėse nurodytą gyventojų saugumo tikslą ir teisėtą interesą. Tačiau skundo dalis dėl informavimo apie garso įrašymą pripažinta pagrįsta: darbuotojai nebuvo tinkamai informuoti, kad kartu su vaizdu įrašomas ir garsas.

Tai svarbi riba: teisėtas vaizdo įrašo panaudojimas konkrečiam incidentui tirti nepanaikina pareigos iš anksto skaidriai informuoti apie visas duomenų tvarkymo funkcijas. Ženklas apie vaizdo stebėjimą nebūtinai reiškia tinkamą informavimą apie garso įrašymą.

6. Kibernetinis saugumas yra BDAR atitikties dalis

Didžiausio finansinio poveikio sulaukė 2026 m. birželio 19 d. sprendimas Nr. 3R-1143. VDAI įvertino du UAB „InMedica“ ir jos teisių pirmtakės incidentus. Vienu atveju trečiasis asmuo, pasinaudojęs darbuotojos prisijungimo duomenimis, galėjo prisijungti prie pacientų duomenis tvarkančios sistemos. Kitu atveju per RDP paslaugą ir privilegijuotą paskyrą įvykdyta išpirkos reikalaujanti ataka paveikė keturias sistemas. Sprendime nurodyta, kad buvo paveikti maždaug 10 tūkst. darbuotojų ir 383 tūkst. pacientų duomenys.

VDAI akcentavo kelių veiksnių autentifikavimo (MFA), IP adresų filtravimo, tinkamos slaptažodžių politikos ir privilegijuotų prieigų kontrolės trūkumus. Tai, kad duomenys nebuvo akivaizdžiai išnešti iš sistemų, nereiškė, kad konfidencialumas nebuvo pažeistas: neįgaliotas asmuo gavo prieigą prie duomenų. Kadangi sistemos buvo užšifruotos ir laikinai neprieinamos, buvo paveiktas ir prieinamumas. Už BDAR 24 straipsnio 1 dalies, 32 straipsnio 1 dalies b punkto ir 5 straipsnio 1 dalies f punkto pažeidimus skirta 450 000 Eur bauda.

Esminė žinutė vadovams. MFA ir nuotolinės prieigos ribojimas sveikatos sektoriuje nebėra pasirenkamas „IT patobulinimas“. Tai riziką atitinkančios organizacinės ir techninės priemonės, kurių nebuvimas gali būti vertinamas kaip BDAR pažeidimas.

7. Kartais problema slypi pačiame teisiniame reguliavime

2026 m. balandžio 14 d. sprendime Nr. 3R-647 VDAI vertino motinos ir vaiko duomenų sąsają ESPBI IS. Inspekcija pripažino, kad pagal galiojantį reguliavimą duomenų sąsaja iš esmės buvo teisėta ir teisė ištrinti duomenis netaikoma, kai tvarkyti duomenis būtina vykdant teisinę prievolę. Vis dėlto VDAI nustatė reguliavimo spragą tais atvejais, kai būtina užtikrinti įvaikinimo konfidencialumą ar nebaudžiamai palikto vaiko motinos duomenų atsiejimą. Sveikatos apsaugos ministerijai nurodyta inicijuoti teisės aktų pakeitimus.

Šis sprendimas rodo, kad atitikties vertinimas negali apsiriboti mechaniniu galiojančių normų taikymu. Duomenų valdytojas turi pastebėti ir išskirtines situacijas, kuriose įprastas duomenų susiejimas gali neproporcingai paveikti žmogaus privatų gyvenimą.

Ką sveikatos priežiūros įstaigai verta pasitikrinti dabar?

Ar visos vaizdo kameros ir garso funkcijos turi aiškų, dokumentuotą tikslą ir teisėtą pagrindą?
Ar kamerų stebėjimo laukai, saugojimo terminai ir prieigos prie įrašų praktiškai atitinka patvirtintas taisykles?
Ar darbuotojų prieigos suteikiamos pagal būtinumą žinoti ir reguliariai peržiūrimos?
Ar prieš atskleidžiant sveikatos informaciją patikimai nustatoma asmens ir gavėjo tapatybė?
Ar aišku, kaip sprendžiami skirtingose sistemose nesutampantys paciento kontaktai?
Ar incidento vertinime atskirai įvertinama pareiga informuoti VDAI, duomenų subjektą, duomenų valdytoją ir pagrindinį tvarkytoją?
Ar darbuotojai mokomi ne tik teoriškai, bet ir pagal realias situacijas: skambučius artimiesiems, paiešką sistemoje, dokumentų išdavimą ir incidentų eskalavimą?
Ar poveikio duomenų apsaugai vertinimai, rizikų vertinimai ir vidaus taisyklės atnaujinami pasikeitus procesams ar sistemoms?

Išvada

2026 m. VDAI praktika siunčia nuoseklią žinią: sveikatos sektoriaus organizacijai neužtenka turėti BDAR dokumentų rinkinį. Ji turi gebėti įrodyti, kad dokumentuose aprašyti reikalavimai veikia kasdienėje praktikoje – nuo registratūros skambučio ir darbuotojo paieškos sistemoje iki vaizdo kamerų, incidentų registravimo ir nuotolinių administratoriaus prieigų.

Didžiausią vertę sukuria ne formalus taisyklių skaičius, o reguliarus procesų auditas: faktinių prieigų patikrinimas, incidentų pratybos, darbuotojų mokymai, duomenų srautų ir sistemų integracijų peržiūra. Būtent tokie veiksmai leidžia pažeidimus aptikti iki skundo, incidento ar VDAI patikrinimo.

Reikia pagalbos? Galiu įvertinti vaizdo stebėjimą, prieigų ir incidentų valdymą, peržiūrėti dokumentus bei parengti praktiškai pritaikomas rekomendacijas. Daugiau informacijos: www.bdaratitiktis.lt

Analizuoti VDAI sprendimai

2026-02-13 sprendimas Nr. 3R-252 (2.13-1.E)
2026-03-24 sprendimas Nr. 3R-500 (2.13-1.E)
2026-04-08 sprendimas Nr. 3R-592 (2.13-1.E)
2026-04-14 sprendimas Nr. 3R-647 (2.13-1.E)
2026-05-05 sprendimas Nr. 3R-793 (2.13-1.E)
2026-06-11 sprendimas Nr. 3R-1065 (2.13-1.E)
2026-06-19 sprendimas Nr. 3R-1143 (2.13-1.E)
2026-08-19 sprendimas Nr. 3R-1485 (2.13-1.E)