VDAI gairės DI skambučių įrašams: ką privalo žinoti Lietuvos verslas 2026

DI balso asistentas, atsiliepiantis į kliento skambutį, įrašantis pokalbį ir saugantis transkripciją, Lietuvoje yra teisėtas — bet tik tada, kai prieš pokalbį asmuo aiškiai informuojamas apie įrašymą, DI dalyvavimą ir duomenų tvarkymo tikslą. Tai jungtinis Bendrojo duomenų apsaugos reglamento (BDAR), Valstybinės duomenų apsaugos inspekcijos (VDAI) gairių ir Reglamento (ES) 2024/1689 50 straipsnio reikalavimas.

Šis straipsnis paaiškina, ko konkrečiai reikalauja Lietuvos ir ES reguliavimas iš smulkaus verslo, naudojančio DI registratorę, ir kaip ATSILIEPSIU.LT „Agnė" yra suprojektuota atitikti šiuos reikalavimus iš dėžutės. Trumpą produkto saugumo aprašą rasite atskirame puslapyje Saugumas ir BDAR.

Ar VDAI reikalauja įspėjimo apie skambučio įrašymą?

Taip. VDAI (Valstybinė duomenų apsaugos inspekcija — Lietuvos priežiūros institucija pagal BDAR) nuosekliai laikosi pozicijos, kad skambučio įrašymas yra asmens duomenų tvarkymas, ir jam taikomi visi BDAR reikalavimai — pirmiausia 13 straipsnio informavimo pareiga.

Praktiškai tai reiškia, kad prieš pradedant įrašyti skambinantis asmuo turi gauti šią informaciją:

• kas yra duomenų valdytojas (Jūsų įmonė);
• kad pokalbis bus įrašomas ir kokiu tikslu;
• teisinis pagrindas pagal BDAR 6 str.;
• įrašo saugojimo trukmė;
• kokios yra asmens teisės (susipažinti, ištrinti, apriboti, pateikti skundą VDAI).

Tipinė atitinkamos pradžios frazė lietuviškai: „Sveiki, atsiliepia DI asistentė Agnė. Pokalbis bus įrašomas paslaugų kokybei užtikrinti. Jei nesutinkate, prašome padėti ragelį arba paprašyti perduoti darbuotojui."

Šis informavimas turi įvykti pirmosiomis pokalbio sekundėmis, dar prieš asmeniui pateikiant esmę. Pavėluotas pranešimas pažeidžia BDAR 13 str. ir gali tapti VDAI tyrimo pagrindu.

Kuriais BDAR pagrindais galima įrašinėti skambučius?

Bendrojo duomenų apsaugos reglamento (ES) 2016/679 (BDAR) 6 straipsnis numato šešis teisėtus tvarkymo pagrindus. Skambučių su DI asistentu kontekste praktikoje naudojami trys:

• 6(1)(a) sutikimas — asmuo, gavęs aiškią informaciją, savo veiksmu (toliau bendrauja, o ne padeda ragelį) išreiškia sutikimą. EDPB Gairėse 05/2020 dėl sutikimo pabrėžiama, kad sutikimas turi būti laisvas, konkretus, informuotas ir nedviprasmiškas.
• 6(1)(b) sutartis — jei klientas skambina, kad sudarytų sutartį (užsirezervuoja vizitą, perkanima paslaugą), pokalbio įrašymas gali būti pagrįstas kaip būtinas sutarties vykdymui ar parengiamosioms priemonėms.
• 6(1)(f) teisėtas interesas — paslaugų kokybės užtikrinimas, ginčų sprendimo įrodymai, mokymai. Šis pagrindas reikalauja atlikti balansavimo testą ir jį dokumentuoti.

Sveikatos klausimams (klinikai, kineziterapeutui, psichologui) papildomai įsigalioja BDAR 9 straipsnis — specialių kategorijų asmens duomenims taikomi griežtesni reikalavimai. Apie tai detaliai rašome atskirame sveikatos sektoriaus BDAR atitikties straipsnyje.

Kaip turi prisistatyti DI asistentas pagal ES DI aktą?

Reglamento (ES) 2024/1689 (ES DI akto) 50 straipsnis nustato skaidrumo pareigas dirbtinio intelekto sistemų tiekėjams ir diegėjams. Pagrindinis reikalavimas:

DI sistemų, skirtų tiesiogiai sąveikauti su fiziniais asmenimis, tiekėjai užtikrina, kad atitinkami fiziniai asmenys būtų informuoti apie tai, kad jie sąveikauja su DI sistema, nebent tai akivaizdu iš aplinkybių.

Telefono skambučiui ši išimtis neveikia — paskambinęs žmogus pagrįstai tikisi išgirsti administratorę, todėl prielaida apie DI nėra akivaizdi. Vadinasi:

• DI asistentas privalo prisistatyti — pvz., „atsiliepia DI registratorė Agnė";
• prisistatymas turi įvykti per pirmą sąveikos akimirką;
• pareiga taikoma nuo 2026 m. rugpjūčio 2 d. — tai pagrindinė data, kurią Lietuvos verslas turi pasižymėti.

Įmonės, naudojančios „neutralų" balsą be aiškaus DI atskleidimo, po šios datos rizikuoja ne tik VDAI tyrimu pagal BDAR 5(1)(a) sąžiningumo principą, bet ir atskira ES DI akto priežiūros institucijos sankcija.

Kiek laiko galima saugoti skambučių įrašus?

BDAR 5(1)(e) straipsnis — saugojimo trukmės ribojimas — sako, kad duomenys saugomi ne ilgiau, nei būtina tikslui. „Saugosime, kol prireiks" nėra teisėtas terminas.

Realios praktikos pavyzdžiai, kuriuos VDAI vertintų kaip pagrįstus:

• Paslaugų kokybė ir personalo mokymai — 30–90 dienų;
• Įrodymai dėl sutarties / ginčų — iki sutarties senaties termino (paprastai 3 m.);
• Skundų sprendimas — 1 metai nuo skundo užbaigimo;
• Sveikatos kontekstas (BDAR 9 str.) — atskira lentelė; griežčiau ribojama, dažnai trumpiau.

Pasirinktas terminas turi būti aprašytas privatumo pranešime ir, suėjus laikui, įrašai automatiškai ištrinami. ATSILIEPSIU.LT valdymo skydelyje saugojimo terminas konfigūruojamas vienu lauku — tai paprasčiausias būdas neatsidurti VDAI prieš metus už „pamirštus" 4 metų senumo įrašus.

Kokius dokumentus turi turėti Lietuvos verslas, įdiegęs DI registratorę?

Pagal BDAR atskaitomybės principą (5(2) str.) Jūsų įmonė turi gebėti įrodyti atitiktį. Minimalus dokumentų paketas:

1. Privatumo pranešimas svetainėje, kuriame aiškiai aprašyta, kad skambučiai įrašomi, kokiu pagrindu, kiek laiko saugomi ir kokios asmens teisės. BDAR 13 str.
2. Tvarkymo veiklos įrašai (BDAR 30 str.) — registras, kuriame nurodyta „klientų skambučių įrašymas" kaip atskira veikla, su tikslu, pagrindu, saugojimo terminu, gavėjais.
3. Teisėto intereso balansavimo testas — jei naudojate 6(1)(f) pagrindą.
4. Duomenų tvarkymo sutartis su DI paslaugos teikėju (BDAR 28 str.) — ATSILIEPSIU.LT DPA gairės pateikiamos paklausimu.
5. Įvadinė skambučio frazė — patvirtinta raštu kaip standartinė asistento konfigūracijos dalis.

Jei VDAI atlieka patikrinimą, šių penkių dokumentų paprastai pakanka įrodyti, kad veikiate sąžiningai. Jų nebuvimas — automatinis pažeidimo požymis.

Kaip BDAR 28 str. paveikia santykius su DI paslaugos teikėju?

Jei naudojate išorinį DI asistentą, Jūsų įmonė lieka duomenų valdytoju, o DI paslaugos teikėjas tampa duomenų tvarkytoju pagal BDAR 4 str. Šis santykis privalo būti įformintas raštu — duomenų tvarkymo sutartimi (DPA) pagal BDAR 28 straipsnį.

Minimalus DPA turinys:

• tvarkymo dalykas, trukmė, pobūdis ir tikslas;
• tvarkomų duomenų kategorijos ir subjektų kategorijos;
• tvarkytojo pareigos: konfidencialumas, saugumo priemonės (BDAR 32 str.), pagalba valdytojui įgyvendinant subjektų teises, pranešimas apie pažeidimus;
• subtvarkytojų sąrašas ir taisyklės;
• duomenų grąžinimas arba sunaikinimas pasibaigus paslaugai;
• auditavimo teisė.

VDAI tyrimo metu pirmas klausimas yra paprastas: „Parodykite DPA su DI paslaugos teikėju." Jei jos nėra arba ji yra bendrojo paslaugų teikimo sutartyje, kuri tvarkymo specifikos neaprašo, jau yra BDAR 28 str. pažeidimas. ATSILIEPSIU.LT DPA gaires galime pateikti pagal poreikį — tinka tiek Lietuvos individualioms įmonėms, tiek UAB.

Kokios baudos numatytos pažeidus BDAR?

BDAR 83 straipsnis numato dvi sankcijų pakopas: iki 10 mln. EUR arba 2 % metinės pasaulinės apyvartos (organizacinių pareigų pažeidimai) ir iki 20 mln. EUR arba 4 % metinės apyvartos (pagrindinių principų pažeidimai, neteisėtas tvarkymas). Konkrečios baudos Lietuvoje skelbiamos VDAI tinklalapyje — naudoju jį kaip pirminį šaltinį, nesiremiu antrinėmis suvestinėmis. Smulkiam verslui realistiškas scenarijus dažniau yra įspėjimas arba ribota administracinė bauda, bet ji vis tiek auga, kai pažeidimas tęstinis arba apima daug skambučių per metus.

Kaip pradėti BDAR-atitinkamą DI asistentą per 1 dieną?

Praktiškiausias atsakymas — pasirinkti DI registratorę, kurioje atitiktis jau įdiegta architektūroje, o ne pridėta kaip vėliau prikabintas „pleistras".

ATSILIEPSIU.LT „Agnė" duoda iš dėžutės:

• standartinę BDAR įvadinę frazę (DI prisistato + įrašymo pranešimas) pirmosiomis pokalbio sekundėmis — atitinka ES DI akto 50 str. ir BDAR 13 str.;
• ES serveriuose laikomus įrašus (ne JAV — niekada nevyksta perdavimas pagal BDAR 44 str.);
• saugojimo terminą, kurį Jūs nustatote pats valdymo skydelyje, su automatiniu ištrynimu;
• DPA gaires pagal BDAR 28 str. (pateikiame paklausimu);
• lietuvišką numerį +370 — duomenys nepalieka ES, jokios papildomos tarptautinio perdavimo dokumentacijos;
• integraciją su kalendoriumi ir CRM be JAV tarpinių paslaugų.

Konfigūravimas užima 1–2 darbo dienas (LT numeris užsakomas rankiniu būdu). Įmonės teisininkas gauna paruoštus dokumentus, IT komanda — jokio savo serverio, klientai — aiškų DI prisistatymą jau pirmame skambutyje. Praktinis žingsnių sąrašas — kaip iškeisti skambučius į DI asistentą.

Užsisakykite arba išbandykite

Demo skambutis (24/7): +370 5 200 2566 — paskambinkite ir patys patikrinkite, kaip „Agnė" prisistato pagal BDAR ir ES DI aktą.

Užsisakymas: atsiliepsiu.lt/signup — 49 €/mėn už 75 minutes, LT numeris, ES serveriai, BDAR atitiktis.

Dažnai užduodami klausimai