BDAR el. parduotuvei

Kas yra BDAR ir kam jis taikomas

BDAR (Bendrasis duomenų apsaugos reglamentas, angl. GDPR – General Data Protection Regulation) – tai ES Reglamentas (ES) 2016/679, nustatantis, kaip įmonės gali rinkti, naudoti, saugoti ir perduoti fizinių asmenų duomenis. Jis taikomas nuo 2018-05-25 tiesiogiai visose ES šalyse, o Lietuvoje jo laikymąsi prižiūri Valstybinė duomenų apsaugos inspekcija (VDAI).

El. parduotuvė BDAR prasme beveik visada yra duomenų valdytoja: ji nusprendžia, kokius pirkėjų duomenis renka ir kam. Įmonės dydis nesvarbu – reglamentas galioja ir individualią veiklą vykdančiam pardavėjui su 20 užsakymų per mėnesį. Šalia BDAR el. parduotuvei svarbus Lietuvos Elektroninių ryšių įstatymas (ERĮ): jo 73 straipsnio 4 dalis reguliuoja slapukus, o 81 straipsnis – tiesioginę rinkodarą el. paštu ir SMS.

Šis įrašas apima el. parduotuvės kampą: slapukus, sutikimus, privatumo politiką, sutartis su paslaugų teikėjais ir tai, ką VDAI tikrina praktikoje. Duomenų saugumo techniką aprašome atskirai. Tai nėra teisinė konsultacija – rizikingais atvejais (sveikatos duomenys, vaikų prekės, didelės apimties profiliavimas) verta pasitarti su duomenų apsaugos teisininku.

Kokie asmens duomenys tvarkomi el. parduotuvėje ir kokiu pagrindu

Kiekvienam tikslui reikia vieno iš BDAR 6 straipsnio 1 dalyje išvardytų teisinių pagrindų. Dažniausia klaida – visam kam rinkti „sutikimą“ arba, atvirkščiai, viską grįsti „teisėtu interesu“.

Tikslas	Duomenys	Teisinis pagrindas	Kam perduodama
Užsakymo vykdymas ir pristatymas	Vardas, adresas, telefonas, el. paštas, prekės	Sutarties vykdymas – 6 str. 1 d. b p.	Kurjeriui, paštomatų tinklui
Mokėjimas	Mokėjimo būsena, operacijos ID	Sutarties vykdymas	Mokėjimų teikėjui (jis kortelių duomenis tvarko pats)
Sąskaitos ir apskaita	Pirkėjo rekvizitai, sumos	Teisinė prievolė – 6 str. 1 d. c p.	Buhalterijai
Grąžinimai ir garantija	Užsakymo duomenys, korespondencija	Sutarties vykdymas, teisinė prievolė	–
Naujienlaiškis	El. paštas	Sutikimas arba „soft opt-in“ esamiems klientams (ERĮ 81 str. 2 d.)	El. laiškų platformai
Analitika, reklamos pikseliai	Slapukai, įrenginio ID, IP	Tik sutikimas (ERĮ 73 str. 4 d., BDAR 7 str.)	Analitikos ir reklamos platformoms
Apsauga nuo sukčiavimo	IP, užsakymų požymiai	Teisėtas interesas – 6 str. 1 d. f p. (su įvertinimu)	Mokėjimų teikėjui

Duomenų kiekio mažinimo principas (BDAR 5 str. 1 d. c p.) reiškia: jei prekei pristatyti nereikia gimimo datos ar asmens kodo, jų neprašykite. Kuo mažiau laukų, tuo mažesnė žala nutekėjimo atveju ir tuo geresnė krepšelio konversija.

Slapukai ir sutikimai: ką reikalauja VDAI

ERĮ 73 straipsnio 4 dalis (perkelia E. privatumo direktyvos 2002/58/EB 5 str. 3 d.) leidžia be sutikimo naudoti tik tuos slapukus, kurie būtini informacijai perduoti tinklu arba vartotojo užsakytai paslaugai teikti – pavyzdžiui, krepšelio, prisijungimo sesijos ar apsaugos slapukai. Visiems kitiems – analitikos, reklamos, „Facebook“ ar „TikTok“ pikseliams, šilumos žemėlapiams – reikia išankstinio sutikimo, atitinkančio BDAR 7 straipsnio sąlygas.

VDAI 2025-04-02 paskelbtame Slapukų naudojimo praktikos apibendrinime (pagal 2024 m. svetainių stebėseną) išvardyti pagrindiniai reikalavimai:

• sutikimas duodamas aktyviu veiksmu – iš anksto pažymėti langeliai netinkami;
• mygtukai „Sutinku“ ir „Nesutinku“ turi būti vienodai lengvai prieinami pirmame slapukų juostos lygyje;
• pažeidimu laikoma, kai vienintelė alternatyva sutikimui – „Nesutinku“ nuoroda, paslėpta tekste ar už juostos ribų, arba neįskaitomas mygtukas;
• nebūtiniesiems slapukams negalima remtis teisėtu interesu;
• informacija teikiama lygmenimis: pirmame – kokie slapukai ir kokiais tikslais, antrame – visa kita (teisinis pagrindas, gavėjai, saugojimo terminai).

Praktinis patikrinimas užtrunka 5 minutes: atidarykite parduotuvę naujame naršyklės lange, prieš paspausdami bet ką peržiūrėkite naršyklės kūrėjo įrankių skirtuką „Application → Cookies“ ir „Network“. Jei matote _ga, _fbp ar užklausas į reklamos domenus dar prieš sutikimą – juosta tik dekoratyvi.

VDAI yra parengusi ir atskirą rekomendaciją dėl sekimo pikselių. Jei naudojate Google Analytics 4 ar Google Ads, sutikimo pasirinkimai perduodami per sutikimo režimą (Consent Mode), kad be sutikimo nebūtų įrašomi reklamos ir analitikos slapukai.

Tiesioginė rinkodara el. paštu: sutikimas, „soft opt-in“ ir B2B pakeitimas

ERĮ 81 straipsnis skiria tris situacijas:

1. Fiziniai asmenys (B2C) – rinkodaros laiškus ir SMS galima siųsti tik gavus išankstinį sutikimą. Prašyti sutikimo pačiu rinkodaros laišku negalima.
2. Esami klientai („soft opt-in“, 81 str. 2 d.) – jei el. paštą gavote iš kliento parduodami prekę, galite siūlyti savo panašias prekes be atskiro sutikimo, kai renkant kontaktą ir kiekviename laiške sudaryta aiški, nemokama ir lengva galimybė atsisakyti.
3. Juridiniai asmenys (B2B) – nuo 2026-04-22 įsigaliojus ERĮ 81 straipsnio pakeitimui, juridiniams asmenims rinkodarą galima siųsti be išankstinio sutikimo, jei kiekviename pranešime yra paprasta atsisakymo galimybė. VDAI 2026-05-19 paskelbė šio pakeitimo DUK. Vardinis darbuotojo el. pašto adresas (su vardu ir pavarde) vis tiek yra asmens duomenys, todėl BDAR reikalavimai išlieka.

Sutikimo varnelė užsakymo formoje negali būti iš anksto pažymėta ir negali būti būtina užsakymui pateikti. Sutikimo faktą (laiką, formą, tekstą) saugokite – atskaitomybės principas (BDAR 5 str. 2 d.) reikalauja jį įrodyti.

Privatumo politika: ką ji turi apimti

BDAR 13 straipsnis nurodo, ką reikia pranešti, kai duomenys renkami iš paties žmogaus. El. parduotuvės privatumo politikoje turi būti:

• valdytojo pavadinimas, kodas, kontaktai ir duomenų apsaugos pareigūno kontaktai, jei jis paskirtas;
• kiekvienas tikslas su teisiniu pagrindu (kaip lentelėje aukščiau), o teisėto intereso atveju – koks tas interesas;
• gavėjai ar jų kategorijos: kurjeriai, mokėjimų teikėjai, platforma, el. laiškų sistema, reklamos platformos;
• perdavimas už ES ribų ir jo pagrindas (pvz. Komisijos sprendimas dėl tinkamumo ar standartinės sutarčių sąlygos);
• saugojimo terminai arba kriterijai, kaip jie nustatomi;
• žmogaus teisės: susipažinti, ištaisyti, ištrinti, apriboti, perkelti, prieštarauti, atšaukti sutikimą ir teisė skųstis VDAI.

Politika turi būti lietuvių kalba, jei parduodate Lietuvos pirkėjams. VDAI 2026-06-25 sprendime vienai interjero prekių el. parduotuvei nurodė pateikti slapukų paskirtį lietuviškai, nes informacija tik anglų kalba neatitinka skaidrumo principo. Kopijuoti kito saito politiką pavojinga: joje bus ne jūsų tiekėjai, ne jūsų terminai ir ne jūsų slapukai.

Duomenų tvarkymo sutartys su paslaugų teikėjais

Kai paslaugų teikėjas tvarko pirkėjų duomenis jūsų vardu, jis yra duomenų tvarkytojas, ir su juo reikia rašytinės (gali būti elektroninės) sutarties pagal BDAR 28 straipsnį. Didieji teikėjai tokią sutartį (DPA, angl. Data Processing Agreement) skelbia savo sąlygose – ją reikia surasti, priimti ir išsaugoti. Tipinis el. parduotuvės sąrašas:

Teikėjas	Vaidmuo	Ką patikrinti
Platforma (Shopify, WooCommerce priegloba)	Tvarkytojas	DPA, serverių vieta, perdavimas už ES
Serveris, CDN	Tvarkytojas	DPA, atsarginių kopijų vieta
El. laiškų platforma	Tvarkytojas	DPA, sutikimų žurnalas, atsisakymo nuoroda
Kurjeris, paštomatai	Dažniausiai savarankiškas valdytojas	Kokie duomenys perduodami, ar būtini
Mokėjimų teikėjas	Dažniausiai savarankiškas valdytojas	Sąlygos, informacija politikoje
Buhalterija (išorinė)	Tvarkytojas	Atskira sutartis ar sutarties priedas
CRM, pokalbių valdiklis, DI asistentas	Tvarkytojas	DPA, ar duomenys naudojami modelių mokymui

Paskutinė eilutė vis svarbesnė: diegiant DI pokalbių asistentą, pirkėjų užklausos keliauja kalbos modelio teikėjui. Verslo API sąlygose dažniausiai nurodoma, kad duomenys modeliams mokyti nenaudojami, tačiau tai reikia patikrinti konkrečiose sąlygose ir aprašyti privatumo politikoje.

Kokios baudos gresia: VDAI sprendimai su datomis

BDAR 83 straipsnio 5 dalis numato baudas iki 20 mln. € arba iki 4 % pasaulinės metinės apyvartos (taikoma didesnė suma), 4 dalis – iki 10 mln. € arba 2 %. VDAI praktikoje el. prekybai aktualūs šie sprendimai:

Data	Kas	Pažeidimas	Pasekmė
2024-07-02	Vinted, UAB (dėvėtų drabužių platforma)	Netinkamai nagrinėti prašymai ištrinti duomenis ir susipažinti su jais, „šešėlinis blokavimas“; BDAR 5 str. 1 d. a p., 5 str. 2 d., 12 str. 1 ir 4 d.	2 385 276 € bauda
2025 m. (sprendimas Nr. 3R-1537, paskelbtas 2025-11-03)	Automobilių remonto ir prekybos bendrovė su el. parduotuve	Įsilaužta į el. parduotuvės duomenų bazę (incidentas 2023-11-04), paveikta ne mažiau kaip 39 794 asmenų; nutekinti administratorių prisijungimai, neapribota prieiga prie DB administravimo įrankio; BDAR 5 str. 1 d. f p., 32 str.	6 000 € bauda
2026-06-25	Interjero prekių el. parduotuvė	Nebūtinas „pageidavimų sąrašo“ slapukas įrašomas be sutikimo, slapukų informacija tik anglų kalba; ERĮ 73 str. 4 d., BDAR 5 str. 1 d. a p., ankstesnio nurodymo neįvykdymas	Papeikimas ir nurodymai ištaisyti iki 2026-07-25

Išvada iš šių sprendimų: VDAI nebaudžia tik didelių platformų. Mažesnėms parduotuvėms dažniausiai pirmiausia skiriamas nurodymas su terminu, o jo neįvykdžius – papeikimas ar bauda. Didžiausia rizika – duomenų nutekėjimas per neatnaujintą sistemą ir pavogtus administratoriaus slaptažodžius.

Pažeidimas įvyko: 72 valandos

Jei nutekėjo, buvo prarasti ar neteisėtai pakeisti pirkėjų duomenys, BDAR 33 straipsnis įpareigoja pranešti VDAI ne vėliau kaip per 72 valandas nuo sužinojimo, jei pažeidimas gali kelti pavojų žmonių teisėms. Kai rizika didelė (pvz. nutekėjo slaptažodžiai ar asmens kodai), pagal 34 straipsnį reikia informuoti ir pačius pirkėjus. Pažeidimus, net ir nepraneštus, reikia registruoti vidiniame žurnale.

BDAR reikalavimai el. parduotuvei: kontrolinis sąrašas

1. Duomenų žemėlapis: kokie duomenys, kokiu tikslu, pagrindu, kiek saugomi, kam perduodami.
2. Slapukų juosta su lygiaverčiais „Sutinku“ ir „Nesutinku“ mygtukais, nebūtini skriptai blokuojami iki sutikimo.
3. Privatumo ir slapukų politika lietuvių kalba, atitinkanti realų slapukų sąrašą.
4. Naujienlaiškio sutikimo varnelė be išankstinio žymėjimo, sutikimų žurnalas, veikianti atsisakymo nuoroda.
5. DPA su kiekvienu tvarkytoju, išsaugotos kopijos.
6. Prašymų procedūra: į prašymą susipažinti ar ištrinti duomenis atsakoma per 1 mėnesį (BDAR 12 str. 3 d.).
7. Prieigos kontrolė: dviejų veiksnių autentifikacija administratoriams, atnaujinta platforma ir įskiepiai.
8. Senų duomenų trynimas: neaktyvios paskyros ir pasenę užsakymų duomenys, kurių nebereikia apskaitai.

Įrašų apie duomenų tvarkymo veiklą (BDAR 30 str.) įmonėms iki 250 darbuotojų nereikia, tačiau ši išimtis netaikoma, jei tvarkymas nėra atsitiktinis – nuolatinis užsakymų tvarkymas paprastai toks ir yra. Todėl duomenų žemėlapis iš 1 punkto praktiškai tampa privalomu dokumentu.

Lietuvoje BDAR priežiūrą vykdo Valstybinė duomenų apsaugos inspekcija (VDAI); jos sprendimai (baudos, nurodymai, papeikimai) skelbiami vdai.lrv.lt skiltyje „VDAI sprendimai“, o skundžiami – Regionų administraciniam teismui. Lietuvos teisėje BDAR papildo Asmens duomenų teisinės apsaugos įstatymas (ADTAĮ), pagal kurį VDAI teikia nurodymus, ir Elektroninių ryšių įstatymas: 73 str. – slapukai, 81 str. – tiesioginė rinkodara (su 2026-04-22 įsigaliojusiu B2B pakeitimu).

Lietuvos įmonėms, kurių pagrindinė buveinė Lietuvoje, VDAI yra vadovaujanti institucija ir tarpvalstybiniuose skunduose – Vinted byla prasidėjo nuo Prancūzijos ir Lenkijos institucijų persiųstų skundų. Todėl parduodant į kitas ES šalis skundai iš ten vis tiek ateis į VDAI. Mokesčių ir apskaitos dokumentų saugojimo klausimai aiškinami acs.lt žinyne, o vartotojų teisių (grąžinimų) – mūsų prekių grąžinimo įraše.