VDAI baigė tyrimus dėl neteisėtos prieigos prie registrų duomenų – nuspręsta pradėti administracinių baudų skyrimo procedūrą

Valstybinė duomenų apsaugos inspekcija (VDAI) baigė tyrimus dėl asmens duomenų saugumo pažeidimo (ADSP), kurio metu tretieji asmenys, neteisėtai prisijungę prie dviejų Migracijos departamento darbuotojų elektroninio pašto paskyrų, įgijo prieigą prie Nekilnojamojo turto registro (NTR) ir Juridinių asmenų registro (JAR). Pažeidimo metu paveikti 678 976 NTR išrašai, susiję su 538 226 asmenimis, ir 33 JAR išrašai, susiję su 66 asmenimis.

2026 m. balandį gavusi informaciją apie pažeidimą VDAI pradėjo tyrimus dėl Migracijos departamento ir Registrų centro. Įvertinus Nacionalinio kibernetinio saugumo centro pateiktus duomenis, tyrimas pradėtas ir dėl Informatikos ir ryšių departamento.

VDAI nustatė, kad:

Informatikos ir ryšių departamentas neužtikrino tinkamos elektroninio pašto sistemos prieigos kontrolės: nebuvo taikomas kelių faktorių autentifikavimas (MFA), neįdiegtos papildomos prieigos kontrolės priemonės ir netinkamai įvertinta paskyrų kompromitavimo rizika. VDAI nustatė BDAR 5straipsnio 1dalies f punkto ir 32 straipsnio 1 dalies b punkto pažeidimus.

Migracijos departamentas, prašydamas suteikti darbuotojams prieigą prie registrų, nenurodė Registrų centrui konkrečių išorinių IP adresų, iš kurių bus jungiamasi prie NTR ir JAR, ir tokiu būdu neišnaudojo visų neteisėtos prieigos prie sistemų riziką mažinančiųpriemonių. Nors tai savaime nesudarė galimybės neteisėtai prieigai, VDAI nustatė BDAR 24 straipsnio 1 dalies pažeidimą.

Registrų centras neužtikrino tinkamos prieigos prie NTR ir JAR valdymo kontrolės. Nebuvo taikomas MFA,IP adresų filtravimas, o slaptažodžių kontrolė ir naudotojų užklausų stebėsena – nepakankami.Be to, apie incidentą laiku nepranešta VDAI ir duomenų subjektams. Nustatyti BDAR 5 straipsnio 1dalies f punkto, 32 straipsnio 1 dalies b punkto, 33 straipsnio 1 dalies ir 34 straipsnio 1 dalies pažeidimai.

Atsižvelgusi į nustatytų pažeidimų pobūdį, jų reikšmę ADSP kilimui ir kitas tyrimo metu nustatytas aplinkybes, VDAI nusprendė pradėti administracinių baudų skyrimo procedūrą Informatikos ir ryšių departamento bei Registrų centro atžvilgiu, o Migracijos departamentui skirta poveikio priemonė – papeikimas.

VDAI sprendimą Nr. 3R-1815 (2.13-1.E) galite rasti rubrikoje „VDAI sprendimai (baudos, nurodymai ir kt.) 2026 m.“

Sprendimas gali būti skundžiamas teismui teisės aktų nustatyta tvarka.

Atnaujinimo data: 2026-10-16

Taip pat skaitykite:

EDAV paskelbė pareiškimą dėl duomenų apsaugos iššūkių, kuriuos kelia išmanieji akiniai

Dėl klientų aptarnavimo spalio 6 dieną

Paskelbtas 2025 metų aktualių teismų sprendimų apibendrinimas

Seminaro „Asmens duomenų apsaugos ir kibernetinio saugumo aktualijos 2026“ medžiaga

Baltijos šalių duomenų apsaugos priežiūros institucijos susitiko Taline aptarti bendrų iššūkių