29/05/2026
Registrų centro duomenų nutekėjimas: ar tikrai aišku, kas atsakingas?
Viešojoje erdvėje daug diskutuojama apie Registrų centro atsakomybę dėl neseniai paaiškėjusio duomenų nutekėjimo. Tačiau skaitant komentarus ir tam tikras publikacijas susidaro įspūdis, kad kartais suplakamos dvi skirtingos sąvokos – duomenų valdytojas ir duomenų tvarkytojas. O kartu kartais painiojamos ir pareigos, kurios pagal BDAR tenka kiekvienam iš jų.
Teisiškai tai nėra tas pats.
Nuo to, kokį vaidmenį konkretus subjektas atlieka duomenų tvarkymo procese, priklauso ir jam tenkančios pareigos bei galima atsakomybė.
Viešai skelbiama, kad apie galimą duomenų nutekėjimą Registrų centrui tapo žinoma balandžio mėnesį, o apie incidentą visuomenė informuota gegužę. Todėl prieš atsakant į klausimą, kas galėtų būti atsakingas dėl šio incidento, pirmiausia verta pasižiūrėti, kas pagal teisės aktus yra duomenų valdytojas, o kas – duomenų tvarkytojas.
Nekilnojamojo turto registro informacinės sistemos nuostatai numato, kad duomenų valdytoja yra Lietuvos Respublikos teisingumo ministerija, o duomenų tvarkytoja – valstybės įmonė Registrų centras.
Kodėl tai svarbu?
Todėl, kad šių subjektų pareigos nėra tapačios.
Pavyzdžiui, BDAR aiškiai numato, kad duomenų tvarkytojas, sužinojęs apie asmens duomenų saugumo pažeidimą, nepagrįstai nedelsdamas apie tai praneša duomenų valdytojui.
Tuo tarpu pareiga vertinti, ar dėl pažeidimo kyla didelis pavojus fizinių asmenų teisėms ir laisvėms, bei spręsti dėl duomenų subjektų informavimo pirmiausia tenka duomenų valdytojui, o ne tvarkytojui.
BDAR taip pat numato, kad duomenų tvarkytojas privalo padėti duomenų valdytojui vykdyti jo pareigas, susijusias su asmens duomenų saugumo pažeidimais.
Dar daugiau – Nekilnojamojo turto registro informacinės sistemos nuostatuose papildomai numatyta, kad Registrų centras turi padėti Teisingumo ministerijai vykdyti BDAR 33 ir 34 straipsniuose nustatytas pareigas bei atlikti kitas asmens duomenų saugumo pažeidimų valdymo procedūras.
Todėl vien aplinkybė, kad Registrų centras šiuo atveju veikė kaip duomenų tvarkytojas, savaime nereiškia, kad jam negali kilti atsakomybė. Tai patvirtina ir teismų praktika – LVAT yra pripažinęs pagrįsta Registrų centrui skirtą baudą už duomenų tvarkytojui tenkančių pareigų pažeidimą.
Būtent todėl atsakymas į klausimą „kas atsakingas?“ nėra toks paprastas, kaip gali pasirodyti iš pirmo žvilgsnio.
Šiuo metu Valstybinė duomenų apsaugos inspekcija jau yra pradėjusi tyrimą. Jo metu turės būti vertinama, kokios konkrečios pareigos teko subjektui, kaip jos buvo vykdomos ir ar buvo padaryti pažeidimai, galintys lemti teisinę atsakomybę.
Todėl galutines išvadas apie atsakomybę daryti dar anksti. Į šį klausimą pirmiausia turės atsakyti Valstybinės duomenų apsaugos inspekcijos atliekamas tyrimas.
