BDAR pokyčiai 2025-iesiems: nauja realybė Lietuvos verslui
Praėjus daugiau nei penkeriems metams nuo Bendrojo duomenų apsaugos reglamento (BDAR) įsigaliojimo, 2025-ieji žada tapti dar vienu lūžio tašku duomenų apsaugos srityje. Europos Komisija, atsižvelgdama į technologijų vystymąsi ir nuolat kylančias naujas grėsmes, patvirtino reikšmingus BDAR įgyvendinimo pakeitimus, kurie įsigalios nuo 2025 m. sausio 1 d. Šie pokyčiai ypač aktualūs Lietuvos svetainių valdytojams – nuo smulkių elektroninių parduotuvių iki didžiųjų korporacinių tinklapių.
Nauji reikalavimai atspindi augantį susirūpinimą dėl vartotojų privatumo, dirbtinio intelekto plėtros ir didėjančių kibernetinių grėsmių. Statistika rodo, kad vien per 2023 metus Valstybinė duomenų apsaugos inspekcija Lietuvoje užfiksavo 32% daugiau pranešimų apie duomenų saugumo pažeidimus nei ankstesniais metais. Įdomu tai, kad beveik 40% šių pažeidimų buvo susiję su netinkamu svetainių saugumo užtikrinimu.
Šiame straipsnyje apžvelgsime svarbiausius 2025 m. įsigaliosiančius BDAR reikalavimus, kurie tiesiogiai palies Lietuvos svetainių valdytojus, ir pateiksime praktinių patarimų, kaip tinkamai pasiruošti šiems pokyčiams.
Griežtesni slapukų (cookies) valdymo reikalavimai
Vienas ryškiausių 2025 m. pokyčių – iš esmės atnaujinti reikalavimai slapukų naudojimui. Europos Duomenų apsaugos valdyba patvirtino naujas gaires, kurios reikalauja radikaliai peržiūrėti dabartines slapukų juostas ir sutikimo mechanizmus.
Nuo 2025 m. svetainių valdytojai privalės:
- Užtikrinti, kad atsisakymas naudoti slapukus būtų lygiai toks pat paprastas kaip ir sutikimas – vieno mygtuko paspaudimu;
- Pateikti išsamų ir lengvai suprantamą slapukų klasifikavimą pagal jų paskirtį;
- Atsisakyti „tamsiųjų modelių” (dark patterns) – manipuliacinių dizaino sprendimų, skatinančių vartotojus sutikti su slapukais;
- Įdiegti slapukų galiojimo terminą – ne ilgesnį kaip 6 mėnesiai būtiniesiems ir 3 mėnesiai analitiniams bei rinkodaros slapukams;
- Užtikrinti, kad slapukų nustatymai būtų išsaugomi bent 12 mėnesių.
Ypač svarbu atkreipti dėmesį į tai, kad naujosios gairės reikalauja, jog vartotojai galėtų lengvai atšaukti savo sutikimą bet kuriuo metu. Tai reiškia, kad svetainėse turės būti įdiegtas pastovus ir lengvai pasiekiamas mechanizmas slapukų nustatymams keisti.
Praktinis patarimas: jau dabar peržiūrėkite savo svetainės slapukų juostą ir įsitikinkite, kad ji atitinka naujus reikalavimus. Apsvarstykite galimybę įdiegti slapukų valdymo platformą, kuri automatiškai atnaujinama pagal naujausius reikalavimus.
Privatumo politikos atnaujinimas ir skaidrumo principas
2025 m. įsigalios nauji reikalavimai privatumo politikos dokumentams. Pagrindinis pokytis – perėjimas nuo ilgų, teisiniais terminais perpildytų tekstų prie aiškių, suprantamų ir vizualiai patrauklių dokumentų.
Naujieji reikalavimai numato:
- Privatumo politika turi būti pateikiama sluoksniuotu formatu – pradedant nuo trumpos santraukos ir pereinant prie išsamesnės informacijos;
- Privaloma įtraukti vizualinius elementus (diagramas, piktogramas), padedančius vartotojams suprasti duomenų tvarkymo procesus;
- Aiškiai nurodyti konkretų duomenų saugojimo laikotarpį (nebegali būti naudojamos abstrakčios formuluotės kaip „kiek būtina tikslui pasiekti”);
- Pateikti išsamų trečiųjų šalių, gaunančių prieigą prie duomenų, sąrašą, nurodant jų vaidmenį ir lokaciją;
- Nurodyti konkretų asmenį arba padalinį, atsakingą už duomenų apsaugą organizacijoje.
Valstybinė duomenų apsaugos inspekcija jau paskelbė, kad 2025 m. pradžioje vykdys tikslinius patikrinimus, kurių metu bus vertinama, ar svetainių privatumo politikos atitinka naujuosius reikalavimus.
Praktinė rekomendacija: sukurkite darbo grupę, atsakingą už privatumo politikos atnaujinimą. Įtraukite ne tik teisininkus, bet ir UX/UI specialistus, kurie padėtų sukurti vartotojui draugišką dokumentą. Nepamirškite, kad privatumo politika turi būti prieinama lietuvių kalba, net jei svetainė veikia keliomis kalbomis.
Duomenų subjektų teisių įgyvendinimo automatizavimas
Vienas ambicingiausių 2025 m. reikalavimų – automatizuoti duomenų subjektų teisių įgyvendinimo mechanizmai. Šis pokytis atspindi Europos Komisijos siekį palengvinti asmenims naudojimąsi savo teisėmis pagal BDAR.
Nuo 2025 m. svetainių valdytojai turės:
- Įdiegti automatizuotą sistemą, leidžiančią vartotojams pateikti prašymus dėl prieigos prie duomenų, jų ištrynimo, perkėlimo ir kitų BDAR numatytų teisių;
- Užtikrinti, kad atsakymas į tokius prašymus būtų pateikiamas ne vėliau kaip per 15 kalendorinių dienų (vietoj dabartinių 30 dienų);
- Sukurti vartotojui patogią sąsają, leidžiančią sekti prašymo vykdymo eigą;
- Įgyvendinti „teisės būti pamirštam” funkciją vieno mygtuko paspaudimu;
- Sukurti automatizuotą duomenų perkėlimo mechanizmą, leidžiantį perkelti duomenis tarp skirtingų paslaugų teikėjų.
Šie reikalavimai ypač aktualūs e-komercijos svetainėms, socialiniams tinklams ir kitoms platformoms, renkančioms didelį kiekį asmens duomenų.
Praktinis patarimas: apsvarstykite galimybę įdiegti specializuotą duomenų subjektų teisių valdymo platformą (DSAR management platform). Tokios platformos ne tik automatizuoja prašymų valdymą, bet ir padeda dokumentuoti visą procesą, kas ypač svarbu audito atveju.
Privalomas poveikio duomenų apsaugai vertinimas (PDAV)
Nors poveikio duomenų apsaugai vertinimas (PDAV) jau yra BDAR dalis, nuo 2025 m. jo taikymo sritis bus gerokai išplėsta. Naujieji reikalavimai numato, kad PDAV taps privalomu beveik visoms svetainėms, nepriklausomai nuo jų dydžio ar tvarkomų duomenų kiekio.
Pagrindiniai pokyčiai:
- PDAV tampa privalomu visoms svetainėms, kurios naudoja bet kokius analitinius įrankius (įskaitant Google Analytics);
- Vertinimas turi būti atnaujinamas kasmet arba po kiekvieno reikšmingo svetainės funkcionalumo pakeitimo;
- PDAV rezultatai turi būti viešai prieinami svetainės lankytojams (supaprastinta forma);
- Vertinime turi būti įtraukta ir rizikos analizė, susijusi su dirbtinio intelekto naudojimu (jei taikoma);
- Mažoms įmonėms (iki 50 darbuotojų) bus sukurta supaprastinta PDAV metodika.
Valstybinė duomenų apsaugos inspekcija jau pradėjo rengti mokymus ir metodinę medžiagą, padėsiančią svetainių valdytojams atlikti PDAV pagal naujuosius reikalavimus.
Praktinė rekomendacija: nepalikite PDAV paskutinei minutei. Pradėkite nuo duomenų srautų žemėlapio (data flow mapping) sudarymo – dokumentuokite, kokie asmens duomenys yra renkami, kur jie saugomi ir kam perduodami. Tai bus puikus pagrindas išsamiam PDAV atlikti.
Dirbtinio intelekto sistemų reguliavimas
2025 metai bus ypatingi tuo, kad įsigalios ne tik BDAR pakeitimai, bet ir naujasis ES Dirbtinio intelekto aktas (AI Act). Šie du teisės aktai bus glaudžiai susiję, ypač kalbant apie svetaines, kurios naudoja dirbtinio intelekto sprendimus.
Svetainių valdytojai, naudojantys DI sprendimus, turės:
- Aiškiai informuoti vartotojus apie dirbtinio intelekto naudojimą (pvz., chatbotus, rekomendacijų sistemas, turinio generavimą);
- Užtikrinti, kad DI sistemų sprendimai būtų paaiškinami ir skaidrūs;
- Suteikti vartotojams galimybę atsisakyti DI sistemų naudojimo;
- Dokumentuoti DI sistemų mokymui naudojamus duomenis ir užtikrinti, kad jie būtų naudojami teisėtai;
- Atlikti specialų poveikio duomenų apsaugai vertinimą, skirtą DI sistemoms.
Ypač griežti reikalavimai bus taikomi svetainėms, naudojančioms biometrinius duomenis (pvz., veido atpažinimo technologijas) arba vykdančioms automatizuotą sprendimų priėmimą, galintį turėti reikšmingą poveikį asmenims.
Praktinis patarimas: jei jūsų svetainėje naudojami DI sprendimai, sukurkite atskirą dokumentą, aprašantį šių sistemų veikimą, naudojamus duomenis ir poveikį vartotojams. Šis dokumentas turėtų būti lengvai prieinamas vartotojams ir reguliariai atnaujinamas.
Tarptautinių duomenų perdavimų nauji iššūkiai
Po Europos Teisingumo Teismo sprendimų Schrems II ir Schrems III bylose, tarptautinių duomenų perdavimų reguliavimas tapo viena sudėtingiausių BDAR sričių. 2025 m. įsigalios nauji reikalavimai, kurie dar labiau komplikuos duomenų perdavimą už ES ribų.
Pagrindiniai pokyčiai:
- Svetainių valdytojai privalės atlikti išsamią trečiųjų šalių, į kurias perduodami duomenys, teisinės sistemos analizę;
- Bus reikalaujama įdiegti papildomas technines priemones (pvz., šifravimą, pseudonimizaciją), net jei duomenys perduodami pagal standartines sutarčių sąlygas;
- Svetainės turės viešai skelbti informaciją apie duomenų perdavimus už ES ribų, įskaitant konkrečias šalis ir taikomas apsaugos priemones;
- Nauji reikalavimai bus taikomi ir „netiesioginiam” duomenų perdavimui (pvz., kai naudojami trečiųjų šalių analitikos įrankiai);
- Duomenų perdavimas į JAV pagal naująjį „Data Privacy Framework” susitarimą bus leidžiamas tik po papildomos rizikos analizės.
Šie pokyčiai ypač aktualūs svetainėms, kurios naudoja JAV įsikūrusių kompanijų paslaugas (pvz., Google, Facebook, Amazon Web Services).
Praktinė rekomendacija: atlikite savo svetainės „tarptautinių duomenų perdavimų auditą” – nustatykite visus atvejus, kai duomenys keliauja už ES ribų. Apsvarstykite galimybę pereiti prie ES įsikūrusių paslaugų teikėjų, ypač jei tvarkote didelį kiekį jautrių asmens duomenų.
Nauji horizontai: kaip pasiruošti ir išlikti konkurencingiems
Naujieji BDAR reikalavimai 2025 metams neabejotinai sukels nemažai iššūkių Lietuvos svetainių valdytojams. Tačiau verta į šiuos pokyčius žiūrėti ne tik kaip į papildomą reguliacinę naštą, bet ir kaip į galimybę sustiprinti vartotojų pasitikėjimą.
Tyrimai rodo, kad 78% Europos vartotojų teikia pirmenybę įmonėms, kurios aiškiai ir skaidriai tvarko jų asmens duomenis. Todėl investicijos į duomenų apsaugą gali tapti reikšmingu konkurenciniu pranašumu.
Ruošiantis 2025 metams, verta apsvarstyti šiuos praktinius žingsnius:
- Sudarykite detalų veiksmų planą su aiškiais terminais ir atsakingais asmenimis;
- Investuokite į darbuotojų mokymą – duomenų apsauga yra ne tik IT ar teisės skyriaus, bet visos organizacijos atsakomybė;
- Bendradarbiaukite su kitomis jūsų sektoriaus įmonėmis – dalijimasis patirtimi gali padėti efektyviau įgyvendinti naujus reikalavimus;
- Konsultuokitės su duomenų apsaugos ekspertais – investicija į profesionalią konsultaciją dabar gali padėti išvengti didelių baudų ateityje;
- Nuolat sekite reguliavimo pokyčius – BDAR įgyvendinimo gairės nuolat atnaujinamos, todėl svarbu būti informuotiems apie naujausius pakeitimus.
Galiausiai, nepamirškite, kad duomenų apsauga yra ne vienkartinis projektas, o nuolatinis procesas. Kurdami sistemas ir procesus, orientuokitės ne tik į 2025 metų reikalavimus, bet ir į ilgalaikę perspektyvą – duomenų apsaugos svarba tik augs.
Tinkamai pasiruošę būsimiems pokyčiams, ne tik išvengsite galimų baudų (kurios, primenu, gali siekti iki 20 milijonų eurų arba 4% metinės apyvartos), bet ir sukursite tvirtą pagrindą tvariam verslo augimui skaitmeniniame amžiuje.