Sutikimas pagal BDAR (7 str.): sąlygos ir pavyzdžiai 2026

Sutikimas pagal Bendrąjį duomenų apsaugos reglamentą (BDAR) – tai laisva valia duotas, konkretus, informuotas ir nedviprasmiškas duomenų subjekto valios išreiškimas, kuriuo jis pareiškimu arba aiškiu veiksmu sutinka, kad būtų tvarkomi jo asmens duomenys (BDAR 4 str. 11 p.). Kad sutikimas būtų galiojantis, turi būti tenkinamos visos keturios sąlygos, o valdytojas privalo gebėti įrodyti, kad subjektas sutiko (7 str. 1 d.). Sutikimas yra tik vienas iš šešių teisinių tvarkymo pagrindų (6 str.) – jį reikia rinktis tik tada, kai netinka kitas pagrindas, nes sutikimą subjektas gali bet kada atšaukti.

Praktikoje daugiausiai klaidų kyla dėl iš anksto pažymėtų langelių, susieto sutikimo ir neaiškių formuluočių. Šiame straipsnyje pateikiu keturias galiojimo sąlygas, teisingų ir neteisingų formuluočių pavyzdžius bei atšaukimo taisykles.

Keturios sutikimo galiojimo sąlygos

1. Laisva valia. Subjektas turi turėti realų pasirinkimą. Sutikimas nelaikomas laisvu, jei jis susietas su paslaugos teikimu, nors nėra būtinas jai teikti (7 str. 4 d.), arba jei tarp šalių yra aiškus disbalansas (pavyzdžiui, darbdavys–darbuotojas).
2. Konkretumas. Sutikimas duodamas konkrečiam tikslui. Vienas bendras sutikimas keliems skirtingiems tikslams negalioja – kiekvienam tikslui reikia atskiro sutikimo (BDAR 32 konstatuojamoji dalis).
3. Informuotumas. Prieš duodamas sutikimą subjektas turi žinoti valdytojo tapatybę, tvarkymo tikslus, duomenų rūšis ir teisę atšaukti sutikimą.
4. Nedviprasmiškumas. Sutikimas išreiškiamas aiškiu patvirtinamuoju veiksmu. Tyla, iš anksto pažymėti langeliai ar neveikimas nėra sutikimas (BDAR 32 konstatuojamoji dalis).

Specialių kategorijų duomenims (BDAR 9 str.) reikalingas aiškus (explicit) sutikimas – dar aukštesnis standartas, paprastai reiškiantis raštišką ar aiškiai patvirtintą pareiškimą.

Sutikimas turi būti atskirtas

7 straipsnio 2 dalis reikalauja, kad prašymas duoti sutikimą būtų aiškiai atskirtas nuo kitų klausimų, pateiktas suprantama ir aiškia kalba. Sutikimas, „paslėptas" bendrose paslaugų teikimo sąlygose, negalioja. Todėl privatumo politikoje sutikimas paprastai neprašomas – ji tik informuoja; sutikimas renkamas atskiru veiksmu.

Teisingų ir neteisingų formuluočių pavyzdžiai

Neteisinga (iš anksto pažymėtas, susietas, neaiškus):

☑ Sutinku su privatumo politika ir sutinku gauti rinkodaros pranešimus bei kad mano duomenys būtų perduoti partneriams.

Ši formuluotė netinka, nes: langelis pažymėtas iš anksto, sujungti keli tikslai (politika, rinkodara, perdavimas), o partneriai neįvardyti.

Teisinga (atskira, konkreti, aktyvus veiksmas):

☐ Sutinku gauti [Įmonės pavadinimas] naujienlaiškį el. paštu apie produktus ir akcijas. Sutikimą galiu bet kada atšaukti paspaudęs nuorodą laiške arba parašęs adresu privatumas@imone.lt.

Kitas teisingas pavyzdys – atskiras sutikimas slapukams:

☐ Statistikos slapukai (padeda suprasti, kaip naudojatės svetaine) ☐ Rinkodaros slapukai (rodo jums pritaikytą reklamą). Būtinieji slapukai veikia visada. Pasirinkimą galite keisti bet kada.

Rinkodaros sutikimą svarbu susieti su saugojimo ribojimu: duomenys tvarkomi iki sutikimo atšaukimo, o atšaukus – ištrinami, jei nėra kito pagrindo. Verta atsiminti, kad sutikimu grįstas automatizuotas tvarkymas patenka ir į teisės į duomenų perkeliamumą apimtį.

Sutikimo atšaukimas

7 straipsnio 3 dalis nustato, kad subjektas turi teisę bet kada atšaukti sutikimą, ir tai turi būti taip pat lengva, kaip ir jį duoti. Atšaukimas negalioja atgaline data – iki jo atliktas tvarkymas lieka teisėtas. Prieš duodamas sutikimą subjektas turi būti informuotas apie atšaukimo teisę. Praktiškai tai reiškia, kad naujienlaiškyje turi būti atsisakymo nuoroda, o slapukų nustatymus turi būti galima pakeisti taip pat lengvai, kaip ir juos priimti.

Kada nesirinkti sutikimo

Sutikimas nėra „numatytasis" pagrindas. Jei tvarkymas būtinas sutarčiai vykdyti, teisinei prievolei ar teisėtam interesui, tinkamiau remtis atitinkamu pagrindu (6 str.), nes sutikimą galima atšaukti, ir tvarkymas taptų neteisėtas. Pavyzdžiui, darbuotojų duomenų tvarkymas darbo santykiams grindžiamas sutartimi ir teisine prievole, o ne sutikimu.

VDAI ir sutikimo kontekstas

Sutikimo galiojimas glaudžiai susijęs su skaidrumu ir atskaitomybe. 2024 m. VDAI 2 385 276 eurų byloje prieš UAB „Vinted" konstatavo, be kita ko, skaidrumo ir teisėtumo principų (BDAR 5 str. 1 d. a p.) bei atskaitomybės (5 str. 2 d.) pažeidimus. Nors byla tiesiogiai nesusijusi tik su sutikimu, ji rodo bendrą principą: valdytojas turi ne tik surinkti teisinį pagrindą, bet ir gebėti jį įrodyti. Sutikimo atveju tai reiškia saugoti įrašą, kada, kaip ir dėl ko subjektas sutiko.

Dažnos klaidos

• Iš anksto pažymėti langeliai. Sutikimas turi būti aktyvus veiksmas; pažymėtas langelis negalioja.
• Susietas sutikimas. Vienas langelis keliems tikslams (politika + rinkodara + perdavimas) neatitinka konkretumo reikalavimo.
• Sutikimo naudojimas ten, kur tinka kitas pagrindas. Sutartinėms ar teisinėms prievolėms remkitės atitinkamu 6 str. pagrindu, ne sutikimu.
• Įrodymo nesaugojimas. Reikia dokumentuoti, kada ir kaip gautas sutikimas (7 str. 1 d.).

Sutikimas slapukams ir vaiko sutikimas

Dažniausias sutikimo taikymo atvejis praktikoje – slapukai ir tiesioginė rinkodara. Neprivalomiems slapukams (statistikos, rinkodaros) reikia išankstinio sutikimo prieš juos įrašant; būtinieji slapukai, be kurių svetainė neveiktų, sutikimo nereikalauja. Slapukų juosta turi leisti taip pat lengvai atsisakyti, kaip ir sutikti – „Priimti visus" mygtukas be lygiaverčio „Atmesti visus" neatitinka laisvos valios reikalavimo. Tiesioginėje el. rinkodaroje sutikimas paprastai renkamas atskiru langeliu, o kiekviename laiške turi būti aiški atsisakymo nuoroda.

Lietuvoje svarbi ir vaiko sutikimo taisyklė. BDAR 8 straipsnis leidžia valstybėms narėms nustatyti amžiaus ribą tarp 13 ir 16 metų, kada vaikas gali pats duoti sutikimą informacinės visuomenės paslaugoms. Asmens duomenų teisinės apsaugos įstatymas šią ribą Lietuvoje nustato ties 14 metų: jaunesniam vaikui sutikimą turi duoti arba patvirtinti tėvų pareigų turėtojas. Tai aktualu paslaugoms, orientuotoms į nepilnamečius.

Praktinis patarimas – atskirti sutikimo rinkimą nuo paslaugos teikimo taip, kad atsisakymas nekliudytų naudotis pagrindine paslauga. Jei prieiga prie turinio sąlygojama sutikimu tvarkyti duomenis rinkodaros tikslais, kurie nėra būtini paslaugai, toks sutikimas nelaikomas laisvu (7 str. 4 d.). Ši „susietumo" problema ypač aktuali svetainėse su slapukų sienomis.

Sutikimo dokumentavimas

7 straipsnio 1 dalis reikalauja gebėti įrodyti sutikimą, todėl kiekvieno sutikimo įrašas turėtų fiksuoti: kas sutiko, kada, dėl ko (konkretus tikslas ir formuluotė, kurią matė subjektas) ir kokiu būdu. Skaitmeninėje aplinkoje tai gali būti žurnalo įrašas su laiko žyma ir sutikimo formuluotės versija. Kai sutikimo formuluotė keičiama, seni sutikimai gali tapti nebegaliojantys – todėl versijas svarbu saugoti. Šis įrašas yra ir atskaitomybės dalis: be jo net teisingai gautas sutikimas neatlaiko patikros.

Dažnai užduodami klausimai

Ar iš anksto pažymėtas langelis yra galiojantis sutikimas?

Ne. Sutikimas turi būti išreikštas aiškiu patvirtinamuoju veiksmu. Iš anksto pažymėtas langelis, tyla ar neveikimas nelaikomi sutikimu (BDAR 32 konstatuojamoji dalis, ESTT praktika).

Ar galima vienu langeliu paprašyti sutikimo keliems tikslams?

Ne. Sutikimas turi būti konkretus kiekvienam tikslui. Skirtingiems tikslams (pavyzdžiui, naujienlaiškiui ir duomenų perdavimui partneriams) reikia atskirų sutikimų.

Ar sutikimą galima atšaukti?

Taip, bet kada, ir tai turi būti taip pat lengva, kaip ir jį duoti (7 str. 3 d.). Atšaukimas negalioja atgaline data – iki jo atliktas tvarkymas lieka teisėtas.

Kada geriau nesiremti sutikimu?

Kai tinka kitas teisinis pagrindas – sutartis, teisinė prievolė ar teisėtas interesas. Sutikimą subjektas gali atšaukti, todėl juo grįstas būtinas tvarkymas taptų neįmanomas.

Ar galioja anksčiau, pagal ankstesnę tvarką, gautas sutikimas?

Tik jei jis atitinka BDAR reikalavimus – buvo laisvas, konkretus, informuotas ir nedviprasmiškas, ir tai galima įrodyti. Sutikimai, gauti iš anksto pažymėtais langeliais arba be aiškaus tikslo, negalioja ir turi būti renkami iš naujo. Todėl senus sutikimų rinkinius, sukauptus dar iki BDAR, verta peržiūrėti ir, jei reikia, atnaujinti.

Išvada

Galiojantis sutikimas turi būti laisvas, konkretus, informuotas ir nedviprasmiškas, o valdytojas – gebėti jį įrodyti. Vengti iš anksto pažymėtų langelių, susieto sutikimo ir neaiškių formuluočių; sutikimą atskirti nuo kitų sąlygų ir suteikti lengvą atšaukimo galimybę. Svarbiausia – rinktis sutikimą tik tada, kai netinka kitas pagrindas, ir kiekvieną sutikimą dokumentuoti. Teisingai suformuluotas sutikimas apsaugo tiek subjekto teisę pasirinkti, tiek organizaciją nuo pažeidimo.

Teisinė informacija: BDAR 7 straipsnis (EUR-Lex) · Asmens duomenų teisinės apsaugos įstatymas (e-seimas) · VDAI.

Šis straipsnis yra bendro pobūdžio informacija ir nėra teisinė konsultacija. Platformos, tokios kaip Legiscope, padeda dokumentuoti sutikimus ir teisinius pagrindus.