Duomenų apsaugos pareigūno įtraukimas į procesus: kaip atitikti VDAI reikalavimus?

Šis reikalavimas įpareigoja organizacijas turėti ne tik teorinį procesų aprašymą, bet ir neginčijamus įrodymus. Priežiūros institucijai neužtenka žodinio patvirtinimo – reikia nurodyti konkrečius būdus, kuriais fiksuojamas pareigūno dalyvavimas priimant sprendimus.

Metodai DAP įtraukimui dokumentuoti

1. Reglamentuotas dalyvavimas vadovybės lygmeniu: DAP kviečiamas į strateginius posėdžius, kuriuose aptariami nauji projektai, technologijų diegimas ar rinkodaros kampanijos. Tai fiksuojama posėdžių protokoluose.
2. Poveikio vertinimo (PDAV) procedūros: BDAR 35 str. 2 d. tiesiogiai reikalauja konsultuotis su DAP atliekant PDAV. Ši konsultacija turi būti dokumentuota kaip neatsiejama projekto patvirtinimo dalis.
3. Technologiniai įrodomumo įrankiai: Viena efektyviausių šiuolaikinių praktikų – specializuotų savitarnos portalų naudojimas. Pavyzdžiui, naudojant tokias sistemas kaip eDAP, visos užklausos, konsultacijos ir jų terminai fiksuojami automatiškai. Tai leidžia organizacijai bet kuriuo metu sugeneruoti objektyvią ataskaitą, kurioje matyti realus DAP įtraukimo laikas ir pobūdis.

Kada DAP įtraukimas yra būtinas?

• AI sprendimų diegimas: vertinant algoritmų skaidrumą, duomenų tvarkymo teisėtumą ir nuo 2026-08-02 taikomus DI akto 50 straipsnio skaidrumo reikalavimus – dar iki tiekėjo pasirinkimo (žr. pavyzdį žemiau).
• Kibernetinio saugumo incidentai: Užtikrinant greitą reagavimą pagal NIS2 ar BDAR standartus.
• Tiesioginė rinkodara: Analizuojant naujas duomenų rinkimo formas skaitmeninėje erdvėje.

Praktinis pavyzdys: pokalbių robotas svetainėje – kada DPO jau turėjo sėdėti prie stalo

Kaip atrodo „įtraukimas tinkamai ir laiku” realybėje, geriausiai parodo tipinė situacija iš 2026 m. praktikos. Įmonė svetainėje turi pokalbių langą, kuriame lankytojams šiuo metu atsakinėja gyvi darbuotojai. Planuojamas žingsnis pirmyn – dirbtiniu intelektu paremtas pokalbių robotas, kuris atsakymus generuotų pats, remdamasis svetainėje esančia medžiaga. Vyksta susitikimai su tiekėjais, lyginami pasiūlymai, artėja sprendimas.

Dažniausia klaida – DPO apie projektą sužino jau po sutarties pasirašymo, kai paprašoma „peržiūrėti dokumentus”. Tuo metu esminiai duomenų apsaugos sprendimai jau priimti už jį: kokia platforma, kur saugomi pokalbių įrašai, ar lankytojų užklausos naudojamos DI modeliui mokyti. Pareigūnui belieka konstatuoti trūkumus, kurių ištaisymas po sutarties pasirašymo kainuoja daugiausiai.

Teisingas momentas yra gerokai anksčiau – iki tiekėjo pasirinkimo ir techninės specifikacijos patvirtinimo. Tam yra bent trys priežastys:

Pirma, DI akto skaidrumo reikalavimai. Nuo 2026 m. rugpjūčio 2 d. taikomas DI akto 50 straipsnis reikalauja, kad su žmonėmis sąveikaujantis pokalbių robotas būtų suprojektuotas taip, jog asmuo būtų informuotas bendraująs su DI. Ši projektavimo pareiga tenka sistemos tiekėjui – vadinasi, organizacija ją gali užsitikrinti tik viename dokumente: techninėje specifikacijoje ir sutartyje. Po pasirašymo derėtis dėl to, kas turėjo būti pirkimo sąlyga, jau vėlu. Už 50 straipsnio pažeidimus numatytos baudos siekia iki 15 mln. Eur arba 3 proc. bendros pasaulinės metinės apyvartos, o priežiūrą Lietuvoje vykdo Ryšių reguliavimo tarnyba.

Antra, BDAR klausimai lemia patį sprendimo pasirinkimą. Per pokalbių robotą tekės lankytojų užklausos, kuriose neišvengiamai atsiras asmens duomenų. Todėl dar prieš renkantis tiekėją reikia atsakyti: koks teisinis pagrindas, ar reikalingas poveikio duomenų apsaugai vertinimas, kokia duomenų tvarkymo sutartis pagal BDAR 28 straipsnį, ar įvestys nenaudojamos modeliui mokyti, kur ir kiek laiko saugomi pokalbiai. Atsakymai į šiuos klausimus atmeta dalį rinkoje siūlomų sprendimų – bet tik tada, jei jų paklausiama laiku.

Trečia, to tiesiogiai reikalauja priežiūros institucijos pozicija. VDAI rekomendacijoje dėl duomenų apsaugos pareigūnų (2025-04-16) nurodoma, kad DAP įtraukimas yra pritaikytosios duomenų apsaugos dalis ir „turėtų būti užtikrinama kuo ankstesniame šių klausimų nagrinėjimo etape”, o svarstant naują technologiją DAP turėtų galėti iš anksto susirinkti informaciją apie jos duomenų tvarkymo ir saugumo standartus. Jei patikrinimo metu VDAI pagal kontrolinio klausimyno 7 punktą paprašys parodyti, kaip pareigūnas buvo įtrauktas būtent į šį projektą, organizacija turės pateikti įrodymus: užklausą DAP prieš tiekėjo pasirinkimą, dokumentuotą pareigūno nuomonę, jos atspindį pirkimo dokumentuose. Atsakymas „pareigūnas peržiūrėjo jau įdiegtą sprendimą” priežiūros institucijai pasako tik viena – DAP funkcija organizacijoje yra izoliuota.

Ši logika galioja ne tik pokalbių robotams: bet koks DI sprendimo diegimas – nuo atrankos įrankių iki turinio generavimo – yra būtent tas atvejis, kai DAP užklausa turi būti pirmas, o ne paskutinis projekto dokumentas.

Išvados ir rekomendacijos

• Dokumentuoti kiekvieną kreipimąsi į DAP ir gautą rekomendaciją.
• Įtraukti DAP į naujų technologijų (ypač DI sprendimų) projektus iki tiekėjo pasirinkimo ir specifikacijos patvirtinimo – vėlesnis įtraukimas VDAI akyse yra formalus, o ne realus.
• Naudoti centralizuotas užklausų valdymo sistemas, kurios užtikrina skaidrią audito seką (angl. audit trail).
• Reguliariai peržiūrėti vidines gaires, kad darbuotojai žinotų, kada kreiptis į pareigūną.