BDAR.
Teisėtai tvarkykite asmens duomenis, saugokite teises ir atsekamai įrodykite įgyvendinimą.
- Reglamentas (ES) 2016/679 · BDSG
- Autorius: Derya Altinay
- Aktualu: 2026-10-22
- Skaitymo trukmė: 7 min.
Trumpas atsakymas.
BDAR reguliuoja asmens duomenų tvarkymą Europos taikymo srityje. Įmonėms reikia tinkamų teisinių pagrindų, skaidrios informacijos, duomenų subjektų teisių procedūrų ir riziką atitinkančių apsaugos priemonių. Pagal BDAR 5 straipsnį duomenų valdytojams taikomas atskaitomybės principas: jie turi gebėti įrodyti principų laikymąsi. Duomenų tvarkytojai turi savas pareigas ir padeda valdytojui vykdyti jo pareigas.
BDAR: duomenų apsauga apima daugiau nei IT saugumą.
Bendrasis duomenų apsaugos reglamentas yra tiesiogiai taikoma ES teisė, sauganti fizinius asmenis tvarkant jų asmens duomenis. Reglamentas (ES) 2016/679 taikomas nuo 2018 m. gegužės 25 d.; GDPR yra jo angliškas trumpinys. Vokietijoje Europos sistemą pirmiausia papildo Federalinis duomenų apsaugos įstatymas ir konkrečių sričių nuostatos.
BDAR pirmiausia klausia, ar ir kokiu tikslu duomenis leidžiama tvarkyti. Saugi duomenų bazė dar neatsako, ar renkama informacija būtina ir kiek laiko ją galima saugoti. BDAR 5 ir 6 straipsniai susieja principus ir teisinius pagrindus; 32 straipsnis šioje sistemoje skirtas duomenų tvarkymo saugumui.
Duomenų apsauga lieka nuolatinė užduotis, nes keičiasi tikslai, duomenų srautai ir naudojamos paslaugos. Pagal BDAR 24 straipsnį valdytojas turi imtis tinkamų priemonių, tikrinti jų tinkamumą ir prireikus atnaujinti. Vieną kartą užpildytas dokumentas nepakeičia nuolatinio vertinimo.
Kurioms įmonėms taikomas BDAR.
Pagal 2 straipsnį BDAR taikomas jame apibrėžtam asmens duomenų tvarkymui nepriklausomai nuo to, ar įmonė didelė, ar maža. Tai apima, pavyzdžiui, klientų duomenis, kandidatų dokumentus ar asmeninę informaciją pagalbos užklausose. Pseudonimizuoti duomenys taip pat lieka asmens duomenimis, jei pasitelkus papildomą informaciją galima nustatyti asmens tapatybę; iš tikrųjų anoniminė informacija klasifikuojama kitaip.
Teritorinė taikymo sritis nustatyta BDAR 3 straipsnyje. Be duomenų tvarkymo ES padalinio veikloje, gali būti apimami tam tikri už ES ribų esančių įmonių pasiūlymai asmenims ES ar jų elgesio stebėjimas. Vien serverio vieta ar svetainės pasiekiamumas to nenulemia.
Vaidmuo nustatomas konkrečiai veiklai: valdytojai sprendžia dėl tikslų ir priemonių, tvarkytojai duomenis tvarko jų vardu. Organizacija skirtingose veiklose gali turėti skirtingus vaidmenis. BDAR 26 ir 28 straipsniai reikalauja tinkamų susitarimų bendro valdymo arba duomenų tvarkymo atveju; vien sutarties pavadinimas tikrojo vaidmens nenustato.
BDAR reikalavimai įmonėms.
BDAR reikalavimai susieja teisinius sprendimus su faktiniu duomenų tvarkymu. Septynios darbo sritys padeda orientuotis; papildomos specialios pareigos priklauso nuo vaidmens, duomenų, veiklos ir rizikos atitinkamiems žmonėms.
Nustatykite principus ir teisinius pagrindus.
BDAR 5 ir 6 straipsniai reikalauja teisėto, konkrečiu tikslu ir atsekamai vykdomo duomenų tvarkymo. Ribokite duomenis ir saugojimo trukmę iki būtino kiekio bei užtikrinkite informacijos tikslumą. Sutikimas yra vienas galimų teisinių pagrindų; jo sąlygų negalima praleisti, kaip ir kitų teisinių pagrindų sąlygų.
Užtikrinkite skaidrumą ir duomenų subjektų teises.
BDAR 12–22 straipsniai skirti suprantamai informacijai ir tokioms teisėms kaip prieiga, ištaisymas ar ištrynimas. Teisės turi skirtingas sąlygas ir išimtis. Atsakomybės, duomenų paieška, tapatybės tikrinimas ir saugus atsakymas turi derėti tarpusavyje; vien privatumo pranešimas prašymo dar neišnagrinėja.
Organizuokite atsakomybę ir paslaugų teikėjus.
BDAR 24–30 straipsniai nustato organizacines pareigas, duomenų apsaugą užtikrinantį projektavimą, vaidmenis ir registrus. Duomenų tvarkymas pagal 28 straipsnį, be tinkamo sutartinio pagrindo, reikalauja pakankamų paslaugų teikėjo garantijų. Vertinant reikia atsižvelgti į faktiškai naudojamus subtvarkytojus ir duomenų kelius, ne vien į bendrąsias sutarties sąlygas.
Paverskite BDAR 32 straipsnį veiksmingomis priemonėmis.
Techninės ir organizacinės priemonės turi užtikrinti riziką atitinkantį saugumo lygį. BDAR 32 straipsnis atsižvelgia į tvarkymo aplinkybes, technologijų išsivystymo lygį, sąnaudas ir galimų pasekmių žmonėms tikimybę bei sunkumą. Pagal riziką tai apima prieigos apsaugą, šifravimą, atkuriamumą ir reguliarų veiksmingumo tikrinimą; fiksuoto universalaus sąrašo nepakanka.
Patikrinkite ypatingą riziką ir konsultavimą.
Poveikio duomenų apsaugai vertinimas pagal BDAR 35 straipsnį būtinas prieš tvarkymą, jei jis tikėtinai kelia didelę riziką teisėms ir laisvėms. Taip pat patikrinkite duomenų apsaugos pareigūno skyrimo sąlygas pagal 37 straipsnį ir papildomai § 38 BDSG. Konsultavimo funkcija nepakeičia atsakomybės už duomenų tvarkymą.
Vertinkite duomenų saugumo pažeidimus ir praneškite.
BDAR 33 straipsnis iš esmės reikalauja pranešti kompetentingai priežiūros institucijai, išskyrus atvejus, kai pažeidimas neturėtų kelti rizikos teisėms ir laisvėms. 34 straipsnis atskirai reguliuoja atitinkamų asmenų informavimą, kai tikėtina didelė rizika. Tvarkytojai nedelsdami informuoja valdytoją; incidento dokumentavimas lieka atskira pareiga.
Atskirai apsaugokite perdavimą į trečiąsias valstybes.
BDAR V skyrius nustato papildomus perdavimo į trečiąsias valstybes reikalavimus. Patikrinkite tikruosius gavėjus, prieigas ir taikomą perdavimo mechanizmą. Leidžiamas perdavimas nepakeičia nei tvarkymo teisinio pagrindo, nei kitų duomenų apsaugos pareigų; net ES priegloba neatsako į visus išorinių prieigų klausimus.
BDAR įgyvendinimas kaip nuolatinis procesas.
Apibrėžkite tvarkymo veiklas ir vaidmenis.
Pradėkite užfiksuodami konkrečios veiklos tikslus, duomenų subjektus, duomenis, sistemas ir gavėjus bei nustatykite, kas atsako už kiekvieną sprendimą.
Patikrinkite teisėtumą ir informavimą.
Įvertinkite teisinius pagrindus, būtinumą ir saugojimą bei palyginkite faktinį tvarkymą su duomenų subjektams pateikiama informacija.
Įvertinkite riziką ir specialias pareigas.
Prieš pradėdami ar iš esmės pakeisdami tvarkymą, patikrinkite riziką žmonėms ir poveikio duomenų apsaugai vertinimo, pareigūno, tvarkymo pavedimo bei perdavimo į trečiąsias valstybes sąlygas.
Įgyvendinkite ir tikrinkite priemones.
Susiekite teisinius ir organizacinius sprendimus su tinkamomis techninėmis priemonėmis bei patikrinkite, ar nagrinėjamoje paslaugoje veikia, pavyzdžiui, prieigos taisyklės, ištrynimas ir atkūrimas.
Praktiškai pasirenkite teisėms ir incidentams.
Išbandykite, kaip atpažįstami, eskaluojami, vertinami ir laiku tvarkomi prašymai bei duomenų saugumo pažeidimai, įskaitant perdavimus tarp įmonių ir paslaugų teikėjų.
Atnaujinkite dokumentaciją kartu su pokyčiais.
Pasikeitus tikslams, gavėjams ar rizikai atnaujinkite sprendimus ir įrodymus bei nustatykite, kas stebi nebaigtas priemones ir inicijuoja kitą peržiūrą.
BDAR įrodymai ir savanoriškas sertifikavimas.
Pagal BDAR 5 straipsnio 2 dalį atskaitomybė reiškia gebėjimą paaiškinti ir įrodyti principų laikymąsi. Tinkami dokumentai gali apimti tvarkymo veiklos įrašus, pagrįstus teisinius pagrindus, sutartis, privatumo informaciją, poveikio vertinimus ir apsaugos priemonių patikras. Svarbu, ar jie atspindi tikrąjį tvarkymą ir parodo, koks sprendimas kokiu pagrindu priimtas.
Duomenų apsaugos priežiūros institucija turi tyrimo ir taisomųjų įgaliojimų pagal BDAR 58 straipsnį. Todėl dokumentacija turi būti lengvai randama, suprantama ir aktuali. Reglamentas nenustato bendros pareigos turėti sertifikatą, kuriuo įmonė galėtų galutinai užbaigti visą duomenų apsaugos darbą; atsakomybė lieka valdytojui ir kitiems atitinkamai įpareigotiems dalyviams.
Sertifikavimas pagal BDAR 42 straipsnį yra savanoriškas ir taikomas tvarkymo operacijoms pagal patvirtintus kriterijus. Pagal 4 dalį jis nesumažina teisinės atsakomybės; 7 dalis riboja jo galiojimą iki trejų metų su galimybe pratęsti. Informacijos saugumo sertifikatas nėra automatiškai toks duomenų apsaugos sertifikavimas.
Sprendimą pranešti apie duomenų saugumo pažeidimą reikia pagrįsti atskirai. 33 straipsnis numato pranešimą nedelsiant ir, jei įmanoma, per 72 valandas nuo sužinojimo, jei netaikoma rizikos išimtis. Dokumentacija pagal 5 dalį apima ir nepraneštus pažeidimus; informavimui pagal 34 straipsnį taikomas savas rizikos slenkstis ir jame nustatytos išimtys.
Skaitykite tinklaraštyje.
- BDAR ir saugumasSusiekite duomenų tvarkymą, teisinį vertinimą ir apsaugos priemones veikloje.
- Duomenų tvarkymo pavedimo patikraPalyginkite sutartinius įsipareigojimus su tikraisiais paslaugų teikėjo duomenų keliais.
- Pranešimas apie duomenų saugumo pažeidimąIšsamiau pasirenkite incidento vertinimui, sprendimui pranešti ir dokumentavimui.
- Prašymų susipažinti su duomenimis tvarkymasOrganizuokite paiešką, patikrą ir saugų atsakymo perdavimą.
BDAR ir kitos sistemos.
ISO 27001 padeda organizuoti informacijos saugumą, tačiau nepakeičia teisinių pagrindų ir duomenų subjektų teisių vertinimo. NIS2 turi savus adresatus ir pranešimo pareigas; vienam incidentui gali reikėti atskirų vertinimų pagal abi teisines sistemas. ES DI aktas papildo tam tikrų DI sistemų reikalavimus, nepakeisdamas asmens duomenų tvarkymo duomenų apsaugos vertinimo.
„Secani“ sistemoje.
„Secani“ siūlo duomenų apsaugos profilį vaidmenims, tvarkymo aplinkybėms ir perdavimams bei redakcinį BDAR vertinimo katalogą. Profilyje fiksuojami įmonės duomenys ir padedama struktūruotai inventorizuoti veiklą. Kompetentingas tikrojo tvarkymo ir jo teisėtumo vertinimas lieka atskira užduotimi; profilis nėra institucijos leidimas ar automatinė teisinė patikra.
Kitas žingsnis.
Pradėkite nuo aiškiai apibrėžtos tvarkymo veiklos, pavyzdžiui, pagalbos užklausų nagrinėjimo. Aprašykite tikslą, duomenis, duomenų subjektus, dalyvaujančias paslaugas ir gavėjus bei kartu su atsakingais specialistais patikrinkite tinkamą teisinį pagrindą. Tada užfiksuokite, kokių apsaugos priemonių ir teisių bei incidentų procedūrų iš tikrųjų reikia.
Šaltiniai.
- Reglamentas (ES) 2016/679: Bendrasis duomenų apsaugos reglamentas
- BfDI: BDAR – BDSG, Info 1, 2026 m. kovo redakcija
- Europos Komisija: BDAR taikymo sritis ir vaidmenys
- Europos Komisija: duomenų tvarkymo principai
- Europos Komisija: įmonių pareigos
- EDAV: asmens duomenų saugumas
- EDAV: duomenų saugumo pažeidimai
- EDAV: duomenų subjektų teisės
- § 38 BDSG: neviešųjų subjektų duomenų apsaugos pareigūnai
Dažniausi klausimai.
Ne. BDAR 6 straipsnis numato skirtingus teisinius pagrindus su savomis sąlygomis. Tinkamas pagrindas priklauso nuo konkretaus tikslo ir aplinkybių; papildomus reikalavimus, pavyzdžiui, specialių kategorijų duomenims, reikia tikrinti atskirai.
Ne. Pagal BDAR 33 straipsnį galima nepranešti priežiūros institucijai, jei pažeidimas neturėtų kelti rizikos teisėms ir laisvėms. Vis tiek būtina dokumentuoti pažeidimą; duomenų subjektų informavimą pagal 34 straipsnį reikia vertinti atskirai.
Ne. ISMS gali padėti užtikrinti tvarkymo saugumą, tačiau automatiškai neatsako į teisinio pagrindo, skaidrumo ar duomenų subjektų teisių klausimus. Jos taikymo sritį ir tikrąjį duomenų tvarkymą reikia tikrinti atskirai.
Taip, jei jų duomenų tvarkymas patenka į materialinę ir teritorinę taikymo sritį. Vien įmonės dydis nesukuria bendros išimties; atskiros pareigos priklauso nuo papildomų sąlygų.
Atsekamai organizuokite duomenų apsaugos darbą.
Susipažinkite su duomenų apsaugos profiliu ir redakciniu BDAR katalogu „Secani“ sistemoje.
Šiame puslapyje pateikiama bendra apžvalga, kuri nepakeičia individualaus atvejo teisinio vertinimo. Lemiamą reikšmę turi galiojančios teisės nuostatos ir konkretus duomenų tvarkymas.