Projektas
LIETUVOS RESPUBLIKOS SEIMAS
NUTARIMAS
DĖL LIETUVOS RESPUBLIKOS SEIMO LAIKINOSIOS TYRIMO KOMISIJOS VALSTYBĖS REGISTRŲ DUOMENŲ SAUGUMO IR PRIEIGŲ PRIE VALSTYBĖS REGISTRŲ KONTROLĖS KLAUSIMAMS IŠTIRTI SUDARYMO
2026 m. d. Nr.
Vilnius
atsižvelgdamas į viešai paskelbtą informaciją apie galimą didelio masto asmens duomenų saugumo pažeidimą valstybės įmonės Registrų centro tvarkomuose valstybės registruose, kai, viešai skelbtais duomenimis, galėjo būti neteisėtai gauta prieiga prie maždaug 600 tūkst. registrų įrašų, o informacija apie galimą pažeidimą atsakingoms institucijoms, valstybės vadovams ir visuomenei galėjo būti perduota nepateisinamai delsiant po jo nustatymo;
įvertinęs tai, kad, Generalinės prokuratūros paskelbtais duomenimis, galimi neteisėti prisijungimai prie valstybės įmonės Registrų centro tvarkomų registrų galėjo būti vykdyti iš užsienio valstybės ir per kitų institucijų administruojamas sistemas, o Valstybinė duomenų apsaugos inspekcija yra pradėjusi tyrimus dėl asmens duomenų saugumo pažeidimų valstybės įmonėje Registrų centre ir Migracijos departamente prie Lietuvos Respublikos vidaus reikalų ministerijos;
atkreipdamas dėmesį į tai, kad Lietuvoje galioja Bendrasis duomenų apsaugos reglamentas, numatantis asmens duomenų apsaugą, kaip vieną iš pagrindinių žmogaus teisių, ir iš jos pažeidimo kylančias pasekmes;
pažymėdamas, kad valstybės įsipareigojimas užtikrinti aukštą žmogaus teisių apsaugos lygį lemia, kad valstybės registrų duomenų saugumas, duomenų naudotojų paskyrų ir prieigų prie valstybės registrų kontrolė, taip pat reagavimas į asmens duomenų saugumo pažeidimus yra valstybinės svarbos klausimai, turintys reikšmės visuomenės pasitikėjimui valstybe ir jos institucijomis;
siekdamas surinkti Seimui reikalingą informaciją valstybės registrų duomenų saugumo, prieigų prie valstybės registrų kontrolės ir teisinio reguliavimo tobulinimo klausimams spręsti;
vadovaudamasis Lietuvos Respublikos Seimo statuto 71, 72 ir 73 straipsniais,
n u t a r i a:
1 straipsnis.
2 straipsnis.
4 straipsnis.
1. Ar valstybės įmonėje Registrų centre esanti valstybės registrų ir informacinių sistemų architektūra, prieigų modelis ir institucijų duomenų keitimosi tvarka, taikytos prieigų prie valstybės registrų valdymo, duomenų užklausų stebėsenos, audito ir techninės kontrolės priemonės buvo pakankamos laiku nustatyti, sustabdyti ir užkardyti didelės apimties, neįprastą, perteklinį ar su institucijų funkcijomis nesusijusį valstybės registrų duomenų gavimą, ir dėl kokių priežasčių šios priemonės galėjo nesuveikti arba nebuvo panaudotos laiku? Ar Nacionalinis kibernetinio saugumo centras tinkamai vykdė valstybės informacinių išteklių kibernetinės saugos priežiūrą, incidentų valdymą ir koordinavimą, ar buvo laiku identifikuotos sisteminės rizikos bei pateiktos rekomendacijos atsakingoms institucijoms? Ar į rekomendacijas buvo atsižvelgta?
2. Ar Registrų centras, sudarydamas duomenų teikimo sutartis su viešojo sektoriaus institucijomis, atlieka individualų teisinį institucijos funkcijų ir įgaliojimų vertinimą bei nustato duomenų teikimo apimtį pagal teisės aktuose įtvirtintą poreikį. Jei taip, kokia tvarka dokumentuojamas šis vertinimas ir kaip užtikrinama, kad duomenų teikimas neviršytų institucijos kompetencijai įgyvendinti būtinų ribų? Ar viešojo sektoriaus institucijos taip pat vertina savo gautinų duomenų poreikį?
3. Ar po kibernetinio incidento buvo atliktas išsamus visų institucijų ir kitų subjektų, turinčių sąsajas su Registrų centro registrais ir informacinėmis sistemomis, saugumo auditas? Ar šio audito metu buvo nustatyta kitų pažeidžiamumų, galėjusių sudaryti sąlygas neteisėtai prieigai prie duomenų, ir kaip buvo užtikrintas jų pašalinimas bei pakartotinis saugumo įvertinimas? Kokios rekomendacijos buvo pateiktos ir kaip jos buvo įgyvendintos?
4. Ar Vidaus reikalų ministerijoje ir Migracijos departamente prie Lietuvos Respublikos vidaus reikalų ministerijos buvo pagrįstas ir realiai kontroliuojamas prieigų prie valstybės įmonės Registrų centro tvarkomų registrų naudojimas, įskaitant didelės apimties Nekilnojamojo turto registro duomenų gavimą, duomenų gavimą ne darbo dienomis ir prieigų naudojimą pagal šioms institucijoms priskirtas funkcijas. Kodėl Migracijos departamentui buvo reikalingi tokie duomenys, kurie buvo pasisavinti iš Registrų centro, koks tokių duomenų prašymo pagrindas?
5. Pagal Bendrąjį duomenų apsaugos reglamentą turi būti įgyvendinamos tinkamos techninės ir organizacinės priemonės, siekiant užtikrinti pavojų atitinkančio lygio saugumą. Ar, sužinojus apie asmens duomenų saugumo pažeidimą, buvo išpildyta ši reglamento nuostata ir taikytos proporcingos saugumo priemonės? Kokia buvo galimo valstybės registrų duomenų saugumo pažeidimo nustatymo ir taikytų priemonių chronologija, kokių veiksmų ėmėsi valstybės įmonė Registrų centras, Vidaus reikalų ministerija, Teisingumo ministerija, Ekonomikos ir inovacijų ministerija, Migracijos departamentas prie Lietuvos Respublikos vidaus reikalų ministerijos ir kitos atsakingos institucijos, įskaitant duomenų naudotojų paskyrų ribojimą, slaptažodžių keitimą, prieigų sustabdymą ir vidaus patikrinimus, ir ar po šių priemonių taikymo galimas neteisėtas duomenų gavimas tęsėsi. Ar atsakingų institucijų, įskaitant valstybės įmonės Registrų centrą, Migracijos departamentą prie Lietuvos Respublikos vidaus reikalų ministerijos ir Vidaus reikalų ministeriją, veiksmai buvo savalaikiai ir pakankami, ar pagal įvykių eigą nėra požymių dėl atsakingų asmenų aplaidumo, taip pat ar institucijų reakcija, įvertinus tai, kad galimi pažeidimai galėjo tęstis ilgesnį laiką, nėra susijusi su atsakingų asmenų neveikimu ar galimu bendradarbiavimu su pažeidimą įvykdžiusiais asmenimis.
6. Ar gavus pirmąją informaciją apie galimą valstybės registrų duomenų saugumo pažeidimą buvo inicijuotas tarpinstitucinis koordinavimas Vyriausybės lygmeniu? Kada įvyko pirmasis toks pasitarimas, kas jame dalyvavo, kokie sprendimai buvo priimti ir kaip buvo kontroliuojamas jų įgyvendinimas? Kuris pareigūnas/institucija yra šios krizinės situacijos vadovas/koordinatorius?
7. Ar atsakingų institucijų, įskaitant valstybės įmonės Registrų centrą, Migracijos departamentą prie Lietuvos Respublikos vidaus reikalų ministerijos, Vidaus reikalų ministeriją, Ekonomikos ir inovacijų ministeriją, Teisingumo ministeriją ir Valstybinę duomenų apsaugos inspekciją, veiksmai buvo savalaikiai ir pakankami, ar pagal įvykių eigą nėra požymių dėl atsakingų asmenų aplaidumo, taip pat ar institucijų reakcija, įvertinus tai, kad galimi pažeidimai galėjo tęstis ilgesnį laiką, nekelia pagrįstų abejonių dėl galimo atsakingų asmenų neveikimo.
8. Kada ir kokia apimtimi apie galimą didelio masto asmens duomenų saugumo pažeidimą buvo informuoti Nekilnojamo turto registro ir asmens duomenų valdytoja Teisingumo ministerija, Ekonomikos ir inovacijų ministerija, Nacionalinis kibernetinio saugumo centras, Valstybinė duomenų apsaugos inspekcija, kitos kompetentingos institucijos, valstybės vadovai, Seimas? Kas lėmė sprendimus dėl aukščiau nurodytų subjektų informavimo ar neinformavimo, kas buvo sprendimą priimantys ar priėmę asmenys, koks tų sprendimų teisinis pagrindas?
9. Kuri institucija ir kada turėjo įvykdyti duomenų subjektų informavimo apie jų asmens duomenų saugumo pažeidimą pareigą pagal Bendrąjį duomenų apsaugos reglamentą? Kas ir dėl kokių priežasčių priėmė sprendimus apie asmens duomenų saugumo pažeidimą informuoti vėliau, nei per 72 valandas, kaip kad yra nustatyta Bendrajame duomenų apsaugos reglamente? Koks tokio sprendimo teisinis pagrindas? Dėl kokių realių priežasčių buvo nutarta neinformuoti visuomenės apie šį įvykį, jei 2026 m. birželio 2 d. vykusiame plenariniame Seimo posėdyje generalinė prokurorė paneigė informaciją, kad nebuvo leista informuoti visuomenės apie galimai neteisėtai rinktus asmens duomenis?
10. Ar po galimo asmens duomenų saugumo pažeidimo nustatymo buvo atliktas formalus rizikos vertinimas dėl galimos žalos duomenų subjektams, valstybės institucijoms ir nacionaliniam saugumui? Kam buvo pateiktos šio vertinimo išvados ir kokie sprendimai buvo priimti jų pagrindu?
11. Ar buvo svarstytos alternatyvios priemonės įspėti galimai nukentėjusius asmenis apie padidėjusią sukčiavimo, tapatybės pasisavinimo ar kitų nusikalstamų veikų riziką neatskleidžiant ikiteisminio tyrimo duomenų? Jeigu tokios priemonės buvo svarstytos, kokiais argumentais remiantis jų atsisakyta?
12. Kada pirmą kartą buvo svarstytas klausimas dėl valstybės įmonės Registrų centro vadovybės ir kitų atsakingų pareigūnų atsakomybės? Kokie argumentai lėmė sprendimus dėl pareigų tęstinumo skirtingais incidento valdymo etapais?
13. Ar buvo priimtas formalus ar neformalus sprendimas atidėti duomenų subjektų ir visuomenės informavimą apie galimą asmens duomenų saugumo pažeidimą? Kas dalyvavo priimant šį sprendimą, kokie argumentai buvo pateikti ir kokiu teisiniu bei faktiniu pagrindu buvo remtasi?
14. Ar buvo svarstyta informuoti Seimą, jo komitetus ar kitas parlamentinės kontrolės institucijas apie galimą didelio masto valstybės registrų duomenų saugumo pažeidimą iki šios informacijos paviešinimo? Jeigu ne, dėl kokių priežasčių?
15. Ar sprendimai dėl informacijos apie incidentą viešinimo laiko, apimties ir formos buvo grindžiami tik teisėsaugos, kibernetinio saugumo ir duomenų apsaugos argumentais, ar buvo vertinamos ir galimos reputacinės, politinės bei komunikacinės pasekmės valstybės institucijoms ir jų vadovams?
16. Ar po galimo neteisėto duomenų gavimo nustatymo ir techninių bei organizacinių priemonių taikymo buvo vertinama aplinkybė, kad asmenys, vykdę ar organizavę neteisėtą duomenų gavimą, galėjo suprasti, jog jų veikla buvo aptikta, tuo tarpu duomenų subjektai apie galimą jų duomenų saugumo pažeidimą nebuvo informuoti ir negalėjo imtis priemonių savo interesams apsaugoti? Kokios išvados buvo padarytos ir kaip jos paveikė sprendimus dėl visuomenės informavimo?
17. Ar Vidaus reikalų ministerija, Migracijos departamentas prie Lietuvos Respublikos vidaus reikalų ministerijos, Teisingumo ministerija, Ekonomikos ir inovacijų ministerija, valstybės įmonė Registrų centras ir kitos susijusios institucijos laiku, išsamiai ir objektyviai įvertino savo, pavaldžių ar valdymo sričiai priskirtų subjektų veiksmus, sprendimus ar neveikimą, susijusius su valstybės registrų duomenų saugumo užtikrinimu, prieigų prie valstybės registrų valdymu, galimo asmens duomenų saugumo pažeidimo valdymu ir informacijos apie jį pateikimu, taip pat ar sprendimai dėl šių institucijų vadovų bei atsakingų asmenų atsakomybės, pareigų tęstinumo, nušalinimo ar atsistatydinimo buvo priimti laiku.
18. Ar buvo tinkamai įvertintos galimo valstybės registrų duomenų nutekėjimo keliamos grėsmės nacionaliniam saugumui, įskaitant rizikas dėl galimo neteisėtai gautų duomenų perdavimo ar panaudojimo užsienio valstybių, jų žvalgybos ar kitų tarnybų interesais, taip pat dėl duomenų apie valstybės politikus, pareigūnus, karius, žvalgybos, teisėsaugos ir kitus jautrias valstybės funkcijas atliekančius asmenis galimo panaudojimo darant žalą valstybės saugumui, jos institucijų veiklai ar šių asmenų saugumui.
5 straipsnis.
1. Komisija turi teisę įstatymų nustatyta tvarka gauti šio nutarimo 4 straipsnyje nurodytiems uždaviniams įgyvendinti reikalingą informaciją ir dokumentus.
2. Komisija turi teisę prireikus pasitelkti asmens duomenų apsaugos, kibernetinio saugumo, valstybės informacinių išteklių valdymo ir kitų sričių specialistus.