Bendrasis duomenų apsaugos reglamentas

Kas yra BDAR?

ES Bendrasis duomenų apsaugos reglamentas (BDAR) yra griežčiausias duomenų privatumą ir saugumą reguliuojantis teisės aktas pasaulyje.

Šiuo reglamentu atnaujinti ir modernizuoti 1995 m. Duomenų apsaugos direktyvos principai. Jis buvo priimtas 2016 m. ir pradėtas taikyti 2018 m. gegužės 25 d.

BDAR apibrėžiama:

• fizinių asmenų pagrindinės teisės skaitmeniniame amžiuje,
• duomenis tvarkančių subjektų pareigos,
• metodai, kuriais užtikrinamas taisyklių laikymasis,
• sankcijos taisykles pažeidusiems subjektams.

Fizinių asmenų teisės

Reglamente išvardijamos duomenų subjekto teisės, t. y. fizinio asmens, kurio asmens duomenys tvarkomi, teisės. Šiomis sustiprintomis teisėmis asmenims suteikiama daugiau galimybių kontroliuoti savo asmens duomenis, be kita ko, užtikrinant:

• būtinybę gauti aiškų fizinio asmens sutikimą tvarkyti jo ar jos asmens duomenis,
• lengvesnę duomenų subjekto prieigą prie savo asmens duomenų,
• teisę reikalauti ištaisyti, ištrinti duomenis ir teisę „būti pamirštam“,
• teisę nesutikti, be kita ko, kad asmens duomenys būtų tvarkomi profiliavimo tikslais,
• teisę į duomenų perkeliamumą iš vieno paslaugų teikėjo kitam.

Duomenų apsaugos reglamente nustatomos fizinių asmenų teisės ir duomenų tvarkytojų bei už duomenų tvarkymą atsakingų asmenų pareigos.

Įmonių ir organizacijų pareigos

BDAR nustatomos duomenų valdytojų ir jų vardu asmens duomenis tvarkančių subjektų (duomenų tvarkytojų) bendrosios pareigos.

Be kita ko, tai pareiga įgyvendinti tinkamas saugumo priemones, atsižvelgiant į riziką, susijusią su jų atliekamomis duomenų tvarkymo operacijomis.

Tam tikrais atvejais duomenų valdytojai taip pat privalo pranešti apie asmens duomenų saugumo pažeidimus. Visos valdžios institucijos ir įmonės, kurios atlieka tam tikras rizikingas duomenų tvarkymo operacijas, taip pat turės paskirti duomenų apsaugos pareigūną.

Duomenų apsaugos taisyklių taikymas

Reglamentu patvirtinama dabartinė valstybių narių pareiga nacionaliniu lygmeniu įsteigti nepriklausomą priežiūros instituciją ir sukuriamas mechanizmas, kuriuo visoje ES užtikrinamas duomenų apsaugos teisės aktų taikymo nuoseklumas.

BDAR nustatyta, kad tarpvalstybiniais atvejais, kai dalyvauja kelios nacionalinės priežiūros institucijos, priimamas vienas priežiūros sprendimas. Šis principas, žinomas kaip vieno langelio principas, reiškia, kad bendrovė, turinti patronuojamųjų bendrovių keliose valstybėse narėse, turės dirbti tik su valstybės narės, kurioje yra jos pagrindinė buveinė, duomenų apsaugos institucija.

Europos duomenų apsaugos valdyba užtikrina, kad BDAR būtų taikomas visapusiškai ir nuosekliai. Šią valdybą sudaro visų 27 nepriklausomų priežiūros institucijų atstovai.

2025 m. lapkričio 17 d. Taryba priėmė ES teisės aktą, kuris turėtų įsigalioti 2026 m. Šiuo teisės aktu užtikrinamas greitesnis ir veiksmingesnis nacionalinių duomenų apsaugos institucijų bendradarbiavimas nagrinėjant tarpvalstybinius skundus dėl BDAR pažeidimų, susijusius su keliomis ES šalimis. Taisyklėmis supaprastinamos administracinės procedūros ir siekiama užtikrinti:

• greitą tarpvalstybinių skundų nagrinėjimą ir geresnį bendradarbiavimą,
• tyrimą dėl skundą pateikusių asmenų ir bylos šalių teisių.

Pagal BDAR numatytos griežtos sankcijos duomenų apsaugos taisykles pažeidusiems duomenų valdytojams arba duomenų tvarkytojams. Duomenų valdytojams gali būti skiriamos baudos, siekiančios iki 20 mln. € arba 4 % jų bendros metinės apyvartos.

Be to, fiziniai asmenys gali pateikti skundą priežiūros institucijai ir turi teisę imtis teisminių teisių gynimo priemonių ir gauti kompensaciją. Jie turi teisę reikalauti, kad jų šalies duomenų apsaugos institucijos sprendimą peržiūrėtų jų šalies nacionalinis teismas, nepriklausomai nuo to, kurioje valstybėje narėje yra įsisteigęs atitinkamas duomenų valdytojas.

• Europos duomenų apsaugos valdyba
• Taryba priėmė naują teisės aktą, kuriuo siekiama paspartinti tarpvalstybinių skundų dėl duomenų apsaugos nagrinėjimą (pranešimas spaudai, 2025 m. lapkričio 17 d.)
• Duomenų apsauga: Taryba susitarė dėl pozicijos dėl BDAR vykdymo užtikrinimo taisyklių (pranešimas spaudai, 2024 m. birželio 13 d.)

Perdavimas ES nepriklausančioms šalims

BDAR taip pat apima asmens duomenų perdavimą ES nepriklausančioms šalims ir tarptautinėms organizacijoms. Už ES nepriklausančios šalies teritorijoje arba duomenų tvarkymo sektoriuje numatyto apsaugos lygio įvertinimą yra atsakinga Europos Komisija.

Jei Komisija nėra priėmusi sprendimo dėl teritorijos ar sektoriaus tinkamumo, tam tikrais atvejais arba, kai yra nustatytos tinkamos apsaugos priemonės, asmens duomenis vis tiek galima perduoti.