Kaip institucijos tarnauja žmonėms: ką atskleidė „ekspertai.eu“ tyrimas dėl Registrų centro duomenų nutekinimo(3)

„Ekspertai.eu“ primena didžiulio masto Registrų centro duomenų saugumo incidentą, kurio metu galėjo būti neteisėtai nutekinta daugiau kaip 600 tūkst. Nekilnojamojo turto registro išrašų.

Daugelis šią istoriją gal jau spėjo pamiršti. Lietuvoje taip dažnai nutinka: paaiškėja šokiruojančių faktų, kelias savaites verda intensyvios diskusijos, kaltųjų niekas garsiai neįvardija, tada atsiranda nauja tema, ir gyvename toliau.

Ramiai gyventi lengva tol, kol pavogti duomenys nėra tavo ir jais nepasinaudojo sukčiai. O jeigu atsiras finansinių ar kitokių pasekmių, kas atsakys ir kas atlygins žalą?

„Ekspertai.eu“ taip pat ėmėsi tyrimo: kreipėsi į Registrų centrą, Valstybinę duomenų apsaugos inspekciją (VDAI), Vyriausybės kanceliariją bei Ekonomikos ir inovacijų ministeriją, siekdami išsiaiškinti, kada institucijos sužinojo apie incidentą ir kodėl žmonės informuoti tik 2026 m. gegužės pabaigoje.

Sistema, be abejo, dirba žmogui. Tiesiog žmogus apie savo nutekintus duomenis sužino paskutinis.

Registrų centras nurodė apie galimą neteisėtą prieigą sužinojęs 2026 m. balandžio pradžioje. Tuo pat metu, pasak įmonės, jau nustatyta, kad incidentas gali būti susijęs su dideliu duomenų subjektų ar registro įrašų skaičiumi.

Bendrojo duomenų apsaugos reglamento (BDAR) 33 straipsnis nustato: kai pažeidimas gali kelti riziką žmonių teisėms ir laisvėms, duomenų valdytojas turi be nepagrįsto delsimo ir, jei įmanoma, per 72 valandas nuo sužinojimo pranešti priežiūros institucijai. Lietuvoje tokia institucija yra VDAI.

Registrų centras redakcijai nurodė, kad minėtas incidentas kvalifikuotas asmens duomenų saugumo pažeidimu tik 2026 m. gegužės 7 d. Tą pačią dieną ši institucija pateikė oficialų pranešimą ir VDAI. Centras taip pat aiškina terminą išlaikęs, nes pranešė „per 72 val. nuo to momento, kai įvykis buvo kvalifikuotas kaip asmens duomenų apsaugos pažeidimas“.

Tačiau BDAR kalba ne apie „kvalifikavimo“ datą, o apie sužinojimą. Europos duomenų apsaugos valdybos gairės patikslina: valdytojas laikomas sužinojusiu, kai turi pagrįstą tikrumą, kad incidentas įvyko, ir asmens duomenys buvo pažeisti. Ar gegužės 7-oji buvo tinkama atskaitos data, tiria VDAI.

Inspekcija redakcijai nurodė, kad tyrimą turi atlikti per keturis mėnesius, terminą galima pratęsti dar dviem. Teisiškai laiko dar yra. VDAI tyrimas, matyt, itin kruopštus – po daugiau nei trijų mėnesių tyrimo rezultatų vis dar nėra.

Kitas klausimas, kuriuo domėjosi redakcija, – kada informuoti pačius nukentėjusius žmones, BDAR vadinamus duomenų subjektais. Registrų centras pripažino nustatęs „didelį pavojų fizinių asmenų teisėms ir laisvėms“. Tokiu atveju BDAR numato žmones informuoti be nepagrįsto delsimo.

Tačiau vėlesnį visuomenės informavimą kai kurios institucijos susiejo ir su ikiteisminiu tyrimu. Europos duomenų apsaugos valdyba pripažįsta, kad pagrįstais atvejais, teisėsaugai rekomendavus, informavimą galima atidėti, jeigu ankstyvas viešinimas pakenktų tyrimui. Tačiau tai nėra automatinis leidimas tylėti.

Būtent dėl šios priežasties „ekspertai.eu“ teiravosi Vyriausybės kanceliarijos: „Kokia konkrečia teisės norma grindžiamas viešas paaiškinimas, kad visuomenė ir galimai nukentėję asmenys nebuvo informuoti anksčiau dėl vykstančio ikiteisminio tyrimo?“ Kanceliarijos atsakymas buvo lakoniškas: „Ikiteisminio tyrimo organizavimą ir kontrolę reglamentuoja Baudžiamojo proceso kodeksas.“

Konkretus straipsnis ar sprendimas redakcijai nebuvo nurodytas. Konkretus straipsnis ar sprendimas nenurodytas. Suinteresuotiems piliečiams, matyt, belieka atsakymo Baudžiamojo proceso kodekse ieškoti patiems.

Dar vienas klausimas, vertas atskiros analizės: kas apskritai nusprendė visuomenės iš karto neinformuoti? Juk kažkas vis dėlto turėjo priimti tokį sprendimą? Kas?

Registrų centras informavo, kad šis sprendimas „buvo derinamas kartu su Valstybine duomenų apsaugos inspekcija“, o jį ir priėmė pati VDAI.

VDAI apie tokį derinimą, regis, žino mažiau. Į klausimą, ar Inspekcija pritarė informavimo atidėjimui, atsakė kategoriškai: „Tokie sprendimai su Inspekcija nederinami.“

Jeigu abi institucijos kalba apie tą patį procesą, joms dar teks išsiaiškinti, ką jos tarpusavyje derino.

Iš kitų redakcijai pateiktų atsakymų susidaro įspūdis, kad Registrų centras ir VDAI savo paaiškinimų suderinti tikrai nespėjo. Pasiteiravus Registrų centro, ar jis turėjo rašytinį nurodymą neinformuoti žmonių dėl ikiteisminio tyrimo, įmonė nurodė turėjusi gegužės 20 d. VDAI raštą. Tuo tarpu pati VDAI teigia, kad gegužės 20 d. Registrų centrui davė nurodymą informuoti žmones, kurių duomenys galėjo būti paveikti.

Ar tai du skirtingi tos pačios dienos dokumentai, nustatyti negalime: nei kopijų, nei numerių redakcijai nepateikta. Gerai, kad bent dėl datos institucijos draugiškai susitarė.

Kai „ekspertai.eu“ tuo pačiu klausimu kreipėsi į Vyriausybės kanceliariją, atsirado dar vienas paaiškinimas – jau trečiasis. Ji nurodė, kad visuomenės informavimo klausimas svarstytas Nacionalinio saugumo komisijoje, „gavus Generalinės prokuratūros pritarimą“.

Paprašius konkretizuoti paaiškėjo, kad „atskiro formalaus sprendimo Vyriausybės kanceliarija nefiksavo“, o dokumento, kuriame būtų užfiksuotas prokuratūros pritarimas, neturi.

Paprastai sakant, susirinko, pasitarė, pritarė, nusprendė. Dokumento nėra. Suprantama – taupomas laikas ir popierius.

Kas apskritai nusprendė visuomenės iš karto neinformuoti? Juk kažkas vis dėlto turėjo priimti tokį sprendimą? Kas?

Redakcija klausimų pateikė ir Ekonomikos ir inovacijų ministerijai. Juk ji įgyvendina Registrų centro savininko teises ir pareigas, todėl, manytina, turėtų žinoti atsakymus į svarbiausius klausimus. Tačiau ministerija į vatą nevyniojo: sprendžiant, kada informuoti žmones, ji nedalyvavo, o kas priėmė sprendimą jų anksčiau neinformuoti – „nežinoma“.

Balandžio 3 d. ministerijai buvo žinoma tik apie dviejų fizinių asmenų nutekintus duomenis. Apie kelis šimtus tūkstančių galimai nukopijuotų duomenų ji teigia sužinojusi balandžio 21 d.

Primename: Registrų centras redakcijai nurodė didelį incidento mastą nustatęs jau 2026 m. balandžio pradžioje.

Sistema, be abejo, dirba žmogui. Tiesiog žmogus apie savo nutekintus duomenis sužino paskutinis.

Naujausi

Snarky Puppy, Metropole Orkest ir Jules Buckley – „Recurrent“Muzika · 2026-08-15Po kelerių metų nuima saulės modulius ir pamato, kas darosi su stoguGamta ir mokslas · 2026-08-15Inga Ruginienė neslepia ambicijų dėl šalies lyderio pozicijosPolitika · 2026-08-15„Homann Holzwerkstoffe“ mažina gamybą Lietuvoje – nuostolius tikisi sumažinti 5–6 mln. eurųPolitika · 2026-08-15