Duomenų apsaugos pareigūnas (DPO): kada jo reikia ir kaip pasirinkti

Duomenų apsaugos pareigūnas (DPO) yra nepriklausomas BDAR atitikties prižiūrėtojas, paskirtas pagal Bendrąjį duomenų apsaugos reglamentą (37 straipsnis). DPO privalomas viešojo sektoriaus įstaigoms, įmonėms sistemingai stebinčioms asmenis ir tvarkančioms specialiųjų kategorijų duomenis dideliu mastu. Pareiga įsigaliojo 2018 m. gegužės 25 d.

Atlikite BDAR rizikos testą per 60 sek. — sužinosite, ar jūsų įmonei reikalingas DPO.

Duomenų apsaugos pareigūnas (DPO) nėra naujovė — pareiga įsigaliojo kartu su BDAR 2018 m. gegužės 25 d. Tačiau 2026 m. VDAI vis dažniau tikrina, ar įmonės teisingai įvertino DPO privalomumą ir ar paskirtas asmuo atitinka BDAR reikalavimus. DPO neskyrimas — pirmosios pakopos pažeidimas su sankcija iki 10 mln. EUR arba 2% pasaulinės apyvartos pagal BDAR 83 straipsnio 4 dalį.

Šis vadovas paaiškina, kokiems atvejams DPO privalomas Lietuvoje, kokia jo atsakomybė pagal BDAR 39 straipsnį, kuo skiriasi vidinis DPO nuo outsourcing modelio ir kaip pasirinkti tinkamą asmenį per 5 žingsnius. Visos sumos ir nuorodos paremtos BDAR tekstu, EDPB gairėmis ir 120+ Veriva atliktų BDAR auditų patirtimi.

Kas yra duomenų apsaugos pareigūnas (DPO) ir kada jis reikalingas

Duomenų apsaugos pareigūnas yra asmuo (vidinis darbuotojas arba išorinis paslaugų teikėjas), paskirtas duomenų valdytojo ar duomenų tvarkytojo prižiūrėti BDAR atitiktį. DPO veikia nepriklausomai, atskaitomas tiesiogiai aukščiausiam valdymo organui ir negali būti baudžiamas už savo užduočių vykdymą (BDAR 38 str. 3 d.).

Svarbu skirti DPO nuo kitų vaidmenų. BDAR konsultantas teikia projektines paslaugas — auditą, dokumentacijos parengimą, mokymus. IT saugumo specialistas atsako už technines kibernetinio saugumo priemones. DPO funkcija — tęstinė, nepriklausoma ir privaloma pagal įstatymą tam tikrais atvejais.

DPO Lietuvoje pareiga taikoma visoms organizacijoms, kurios atitinka BDAR 37 straipsnio 1 dalies kriterijus — nepriklausomai nuo dydžio ar darbuotojų skaičiaus. Praktikoje tai apima viešojo sektoriaus įstaigas, sveikatos įstaigas, draudimo bendroves, biometrijos sprendimų valdytojus ir didelio masto reklamos platformas. Asmens duomenys tvarkomi pagal duomenų valdytojo nustatytas sąlygas — DPO yra šių sąlygų teisėtumo garantas.

Trys atvejai kada DPO privalomas pagal BDAR 37 str.

BDAR 37 straipsnio 1 dalis nustato tris savarankiškus DPO skyrimo atvejus. Pakanka, kad taikomas vienas iš jų — pareiga atsiranda iškart. Įmonės dažnai klysta vertindamos antrąjį ir trečiąjį kriterijų — sąvoka „pagrindinė veikla" ir „didelis mastas" reikalauja konkretaus konteksto.

1. Viešojo sektoriaus institucija — visos valstybės ir savivaldybių įstaigos, ministerijos, agentūros, valstybės įmonės. Vienintelė išimtis — teismai, vykdantys teisingumo funkcijas (BDAR 37 str. 1 d. a punktas).
2. Sistemingas didelio masto stebėjimas — pagrindinė veikla apima reguliarų ir nuolatinį asmenų stebėjimą. Tai apima CCTV tinklus su veido atpažinimu, biometrijos sistemas, lojalumo programas su elgsenos sekimu, online behavioral advertising platformas (BDAR 37 str. 1 d. b punktas).
3. Specialiųjų kategorijų duomenys dideliu mastu — pagrindinė veikla apima sveikatos, biometrijos, religinių įsitikinimų, etninės kilmės arba nuosprendžių duomenų tvarkymą. Apima sveikatos įstaigas, laboratorijas, draudimo bendroves su sveikatos draudimu, religines organizacijas, advokatų kontoras su nuolatine kriminalinių bylų praktika (BDAR 37 str. 1 d. c punktas).

DPO užduotys ir atsakomybė (BDAR 39 str.)

BDAR 39 straipsnis išsamiai apibrėžia DPO užduotis. Tai ne dekoratyvi pozicija — pareigūnas vykdo konkrečias, dokumentuotas funkcijas, kurios privalo būti pagrįstos ataskaitomis valdymo organui. Kiekviena užduotis turi konkretų atskaitos tašką BDAR tekste.

1. Informavimas ir konsultavimas — DPO informuoja duomenų valdytoją, tvarkytoją ir darbuotojus apie BDAR įsipareigojimus. Tai apima reguliarius vidaus pranešimus, naujienlaiškius, individualų patarimą sprendimų metu.
2. Atitikties stebėjimas — DPO stebi BDAR, kitų ES ir LT duomenų apsaugos teisės aktų laikymąsi. Tai apima dokumentacijos auditą, procesų vertinimą, sutikimo mechanizmų patikrinimą.
3. DPIA konsultavimas — DPO konsultuoja dėl poveikio duomenų apsaugai vertinimo (DPIA) ir stebi jo vykdymą pagal BDAR 35 straipsnį. Naujoms IT sistemoms ir aukšto rizikos lygio procesams DPIA — privalomas.
4. Bendradarbiavimas su VDAI — DPO bendradarbiauja su priežiūros institucija patikrinimų, tyrimų ir konsultacijų metu. Tai apima atsakymus į VDAI klausimus per nustatytus terminus.
5. Kontaktinis asmuo — DPO veikia kaip kontaktinis asmuo VDAI ir duomenų subjektams pagal BDAR 38 straipsnio 4 dalį. Kontaktai privalo būti viešai prieinami privatumo politikoje.

„Duomenų apsaugos pareigūnas yra paskirtas atsižvelgiant į profesines savybes, ypač į ekspertines žinias apie duomenų apsaugos teisę ir praktiką bei į gebėjimą vykdyti 39 straipsnyje nurodytas užduotis." — BDAR 37 str. 5 d.

Kas yra DPO atsakomybėje ir kas — ne

DPO funkcija — patariamoji ir kontrolinė, ne sprendžiamoji. Tai svarbu, nes nepriklausomumas yra esminis BDAR reikalavimas (38 str. 3 d.). Atskirtis tarp atsakomybės ir sprendimų priėmimo:

DPO atsakomybėje YRA	DPO atsakomybėje NĖRA
Patarti dėl BDAR atitikties	Priimti sprendimus dėl duomenų tvarkymo
Stebėti dokumentaciją	Pati ją parengti (gali konsultuoti)
Vykdyti vidaus auditą	Diegti technines saugumo priemones
Ataskaita valdymo organui	Atstovauti įmonę teisme
Vertinti DPIA rezultatus	Patvirtinti DPIA (tai valdytojo pareiga)

DPO kvalifikaciniai reikalavimai (BDAR 37 str. 5 d.)

BDAR konkrečių diplomų ar sertifikatų nereikalauja. Tačiau 37 straipsnio 5 dalis nustato tris kvalifikacijos kriterijus, kurie patikrinami VDAI patikrinimų metu.

Profesinė kvalifikacija

DPO privalo turėti ekspertines žinias apie duomenų apsaugos teisę ir praktiką. Praktikoje tai apima BDAR tekstą, LT asmens duomenų teisinės apsaugos įstatymą (ADTAĮ), EDPB gaires, ES Teisingumo Teismo praktiką. Sektoriaus žinios (sveikatos, finansų, IT) — papildomas privalumas, bet ne formalus reikalavimas.

Gebėjimas vykdyti 39 str. užduotis

Vertinama, ar asmuo praktiškai gali atlikti BDAR 39 straipsnyje nurodytas funkcijas. Tai apima audito patirtį, dokumentacijos parengimą, bendravimą su VDAI, krizių valdymą duomenų pažeidimo atveju. Pradedantysis specialistas be patirties — nepakanka didelei organizacijai.

Nepriklausomumas

DPO negali turėti interesų konflikto su BDAR atitikties vertinimu. Tai reiškia, kad generalinis direktorius, HR vadovas, IT vadovas, finansų direktorius, rinkodaros vadovas — netinka DPO pozicijai. Jie patys priima sprendimus dėl asmens duomenų tvarkymo, todėl negali atlikti savęs auditų. BDAR 38 straipsnio 6 dalis šį draudimą formuluoja vienareikšmiškai.

Sertifikatai — rekomenduojami, ne privalomi

Rinkoje populiariausi DPO sertifikatai: ECPC-B DPO (Maastricht University), EXIN ISO 27001, CIPP/E (IAPP), CIPM (IAPP). Šie sertifikatai padidina patikimumą rinkoje ir VDAI akivaizdoje, bet pagal BDAR juridinės pareigos juos turėti nėra. Vertinama reali kompetencija, ne formali pažyma.

Ar buhalterė ar HR vadovė gali būti DPO?

Ne. Buhalterė tvarko darbuotojų atlyginimų, mokesčių, banko sąskaitų duomenis. HR vadovė priima sprendimus dėl personalo dokumentų, darbo sutarčių, atostogų. Abi pozicijos priima sprendimus dėl asmens duomenų tvarkymo, todėl pagal BDAR 38 straipsnio 6 dalį negali atlikti savęs auditų. Tas pats principas taikomas IT vadovui ir generaliniam direktoriui.

DPO vidinis vs outsourcing — kuo skiriasi

BDAR 37 straipsnio 6 dalis aiškiai leidžia abu modelius. Vidinis DPO yra įmonės darbuotojas pilnu arba daliniu etatu. Išorinis DPO (outsourcing) — paslaugų teikėjas pagal sutartį, dažniausiai su teisės ir IT specialistų komanda. Funkcija pagal BDAR 39 straipsnį identiška. Skiriasi kaina, pasiekiamumas, nepriklausomumas ir specializacijos lygis.

Kriterijus	Vidinis DPO	Outsourcing DPO
Kaina per metus	35 000–60 000 €	6 000–18 000 €
Patirtis	Vienos įmonės kontekstas	Dešimtys klientų, sektorių
Nepriklausomumas	Galimas interesų konfliktas	Be vidinio interesų konflikto
Pasiekiamumas	Darbo valandomis 5 d./sav.	Pagal SLA + emergency kontaktas
Atsakomybė	Darbo kodekso ribose	Paslaugų sutartis su draudimu
Rinkos žinios	Sektoriaus, vienos įmonės	Cross-sector, VDAI praktika
Idealu kam	200+ darbuotojų, fiksuoti procesai	10–199 darbuotojai, kintami poreikiai

Kada apsimoka vidinis DPO

Vidinis DPO etatas tinka didelėms organizacijoms su 200+ darbuotojų, dideliais tracking masteliais ir fiksuotais compliance procesais. Tipiniai pavyzdžiai: bankai, telekomunikacijų operatoriai, didelės sveikatos įstaigos, valstybės įmonės. Šiose organizacijose DPO darbo krūvis pakankamas pilnam etatui — auditai, mokymai, incidentų valdymas, DPIA naujoms sistemoms.

Kada apsimoka outsourcing

Išorinė DPO funkcija tinka 10–199 darbuotojų įmonėms su kintamais poreikiais arba sezonine veikla. Tipiniai pavyzdžiai: vidutinės draudimo bendrovės, medicinos klinikos, e-komercijos platformos, IT paslaugų bendrovės. Paslauga apima teisės ir IT specialistų komandą, kuri kainuoja 5–10 kartų mažiau nei etatinis pareigūnas.

Kaip pasirinkti DPO — 5 žingsnių vadovas

DPO pasirinkimas — strateginis sprendimas su ilgalaikėmis pasekmėmis. Šis 5 žingsnių vadovas paremtas EDPB gairėmis ir 120+ Veriva projektų patirtimi. Pasiruošimas trunka 2 savaites, sutarties pasirašymas ir VDAI pranešimas — dar 30 dienų.

1 žingsnis. Įvertinkite ar DPO privalomas

Patikrinkite tris BDAR 37 straipsnio 1 dalies kriterijus. Jei vienas taikomas — DPO privalomas. Praktikoje 70% LT smulkaus verslo pareigos neturi, bet 100% turi paskirti atsakingą asmenį už BDAR atitiktį. Vertinkite ne darbuotojų skaičių, o veiklos pobūdį. Šiame etape naudinga konsultacija su BDAR ekspertu.

2 žingsnis. Apibrėžkite DPO funkcijos apimtį

Nustatykite konkrečius parametrus: valandos per savaitę (vidutiniškai 4–20 val. outsourcing modeliui), audito periodiškumas (kasmet pilnas, ketvirtinis monitoringas), ataskaitų formatas (mėnesinė santrauka, ketvirtinė detali analizė), eskalavimo procedūra (incidentai per 24 val.). Konkretūs deliverable'ai — privalomas sutarties elementas.

3 žingsnis. Patikrinkite kvalifikaciją

Įvertinkite kandidato BDAR žinias, LT teisės aktų supratimą, sektoriaus patirtį. Paprašykite referencijų iš ankstesnių klientų — bent 3 panašaus dydžio organizacijos. Outsourcing tiekėjų atveju patikrinkite komandos sudėtį (teisės + IT), draudimo limitą, klientų portfelį. Sertifikatai (ECPC-B DPO, CIPP/E, CIPM) — papildomas signalas, bet ne pagrindinis kriterijus.

4 žingsnis. Patikrinkite nepriklausomumą

Vidinis kandidatas — patikrinkite, ar nėra interesų konflikto su BDAR 38 str. 6 d. Kandidatas negali būti IT, HR, finansų, rinkodaros vadovas arba generalinis direktorius. Outsourcing kandidatas — patikrinkite kitų klientų portfelį (negali būti konkurentai), atstovavimo modelį VDAI, atsakomybės ribas paslaugų sutartyje.

5 žingsnis. Pasirašykite sutartį ir registruokite VDAI

Pasirašykite paslaugų sutartį (outsourcing) arba darbo sutartį (vidinis). Pateikite DPO duomenis VDAI per ePaslaugos sistemą (vdai.lrv.lt) pagal BDAR 37 straipsnio 7 dalį. Atnaujinkite privatumo politiką — DPO kontaktai privalo būti viešai prieinami. Atnaujinkite veiklos įrašų registrą (BDAR 30 str.) — DPO paskyrimas yra dokumentuojamas faktas.

Dažniausios klaidos renkantis DPO

VDAI 2024–2025 m. patikrinimų praktika atskleidžia pasikartojančias klaidas. Dauguma jų atskleidžiamos per pirmąjį patikrinimą — todėl prevencija pigesnė nei taisymas. Septynios dažniausios klaidos pagal Veriva 120+ auditų patirtį:

1. Skiriamas IT vadovas DPO funkcijai — automatinis BDAR 38 str. 6 d. interesų konflikto pažeidimas. IT vadovas priima sprendimus dėl techninių apsaugos priemonių, todėl negali atlikti savęs auditų.
2. DPO turi tik teisinę kvalifikaciją be IT supratimo — arba atvirkščiai, tik IT žinias be teisės. Modernios duomenų apsaugos klausimai (CCTV, biometrija, cloud) reikalauja abiejų sričių supratimo.
3. Outsourcing sutartis su valandinė kaina be SLA — nepasinaudoja paslaugos privalumais. Sutartis privalo turėti konkrečius deliverable'us, atsakymo terminus, krizių valdymo procedūrą.
4. DPO neturi prieigos prie valdymo organo — BDAR 38 str. 3 d. pažeidimas. DPO privalo atsiskaityti tiesiogiai aukščiausiam valdymo organui, ne per tarpinius vadovus.
5. DPO duomenys nepublikuojami svetainėje — BDAR 13 ir 37 straipsnių pažeidimas. Kontaktai privalo būti prieinami privatumo politikoje arba atskirame puslapyje.
6. Nepranešama VDAI apie DPO paskyrimą — BDAR 37 str. 7 d. pažeidimas. Pranešimas teikiamas per VDAI ePaslaugos sistemą per 30 dienų nuo paskyrimo.
7. DPO vykdo BDAR mokymus, bet nestebi jų efektyvumo — formali, ne reali atitiktis. EDPB gairės reikalauja matuojamų rezultatų: dalyvių skaičius, žinių testai, simuliacijos.

Baudų rizika ir DPO atsakomybė

DPO neskyrimas, netinkamas paskyrimas arba interesų konfliktas — BDAR pažeidimai su konkrečiomis sankcijomis. Tai pirmosios pakopos pažeidimai pagal BDAR 83 straipsnio 4 dalį.

DPO neskyrimas — iki 10 mln. EUR arba 2% apyvartos

BDAR 83 straipsnio 4 dalis numato pirmąją baudų pakopą už DPO funkcijos pažeidimus. Riba — iki 10 milijonų eurų arba iki 2% bendros pasaulinės metinės apyvartos. Taikoma didesnė suma. Praktikoje VDAI dažnai pradeda nuo įspėjimo arba nedidelės baudos, bet pakartotinis pažeidimas — sunkinanti aplinkybė. BDAR baudos Lietuvoje 2026 straipsnyje detaliau aprašytas baudų skaičiavimo modelis ir konkretūs LT precedentai.

DPO asmeninė atsakomybė

Pagal BDAR DPO asmeninės atsakomybės už pažeidimus neturi. Atsakomybė tenka duomenų valdytojui ir duomenų tvarkytojui (BDAR 24, 28 str.). Tačiau pagal LT Civilinį kodeksą ir Darbo kodeksą DPO gali atsakyti darbdaviui už tyčinį arba didelio neatsargumo padarytą žalą. Outsourcing DPO atsakomybė fiksuojama paslaugų sutartyje — dažniausiai su konkrečiu profesinės atsakomybės draudimo limitu.

DPO ir NIS2 — dvigubas reguliavimo režimas

Nuo 2025 m. spalio Lietuvoje įgyvendinta NIS2 direktyva. Įmonės, kurios patenka į NIS2 reguliavimo sritį, turi paskirti ne tik DPO (BDAR), bet ir už kibernetinį saugumą atsakingą asmenį (NIS2). Praktikoje 80% reikalavimų persidengia — todėl integruota BDAR ir NIS2 funkcija ekonomiškesnė. Veriva DPO outsourcing paslauga apima abu reguliavimo režimus.

Iki Veriva turėjome IT vadovą paskirtą DPO funkcijai — nežinojom, kad tai BDAR pažeidimas. Veriva DPO outsourcing paslauga apima teisės ir IT komandą už 5 kartus mažesnę kainą nei etatinis pareigūnas. VDAI patikrinime — nei vieno nurodymo.

VDAI patikrinimo praktika

VDAI dažnai tikrina DPO paskyrimą per kompleksinius patikrinimus. Tipiniai patikrinimo klausimai: ar DPO paskyrimas dokumentuotas, ar pranešta VDAI, ar kontaktai viešai prieinami, ar nėra interesų konflikto, ar DPO turi prieigą prie valdymo organo. Visi šie elementai turi būti paruošti prieš patikrinimą — ne jo metu.

---

Šaltiniai: BDAR EUR-Lex · VDAI — duomenų apsaugos pareigūnas · EDPB DPO gairės