Teisė būti pamirštam (BDAR 17 str.): ištrynimas ir išimtys 2026

Teisė būti pamirštam (teisė reikalauti ištrinti duomenis, angl. right to erasure) – tai duomenų subjekto teisė reikalauti, kad duomenų valdytojas nedelsdamas ištrintų su juo susijusius asmens duomenis, kai yra bent vienas Bendrojo duomenų apsaugos reglamento (BDAR) 17 straipsnio 1 dalyje nurodytas pagrindas. Ši teisė nėra absoliuti: valdytojas privalo ištrinti duomenis tik esant konkrečiam pagrindui ir jei netaikoma nė viena 17 straipsnio 3 dalies išimtis. Į prašymą reikia atsakyti per vieną mėnesį nuo jo gavimo, o atsisakymą – pagrįsti.

Praktikoje ši teisė dažnai suprantama neteisingai iš abiejų pusių: subjektai mano, kad gali reikalauti ištrinti bet kokius duomenis, o organizacijos – kad gali atsisakyti be pagrindo. Šiame straipsnyje paaiškinu, kada duomenis privaloma ištrinti, kada galima atsisakyti ir kaip prašymus tvarkyti, kad išvengtumėte VDAI baudos. Prašymus naudinga susieti su tvarkymo veiklos įrašais, kad matytumėte visas vietas, kur duomenys saugomi.

Kada duomenis privaloma ištrinti

17 straipsnio 1 dalis numato šešis pagrindus, kai duomenys turi būti ištrinti:

1. Duomenys nebereikalingi tikslams, kuriems buvo surinkti ar tvarkomi.
2. Subjektas atšaukia sutikimą, kuriuo grįstas tvarkymas, ir nėra kito teisinio pagrindo.
3. Subjektas nesutinka su tvarkymu (21 str.) ir nėra viršesnių teisėtų priežasčių tvarkyti.
4. Duomenys tvarkyti neteisėtai.
5. Duomenis reikia ištrinti vykdant teisinę prievolę.
6. Duomenys surinkti teikiant informacinės visuomenės paslaugas vaikui.

Jei duomenys buvo paskelbti viešai, valdytojas, atsižvelgdamas į technines galimybes ir sąnaudas, privalo imtis pagrįstų priemonių informuoti kitus valdytojus, tvarkančius tuos duomenis, apie prašymą juos ištrinti (17 str. 2 d.).

Ištrynimas apima ir tvarkytojus

Ištrynimo prievolė galioja visose duomenų saugojimo vietose, įskaitant tvarkytojų sistemas ir atsargines kopijas. Praktikoje tai reikalauja, kad valdytojas žinotų visas vietas, kur duomenys tvarkomi – todėl tikslūs tvarkymo veiklos įrašai yra būtina sąlyga. Tvarkytojui apie ištrynimą pranešama pagal duomenų tvarkymo sutartį.

Kada galima atsisakyti ištrinti

17 straipsnio 3 dalis numato išimtis, kai ištrinti nereikia, jei tvarkymas būtinas:

1. Saviraiškos ir informacijos laisvei įgyvendinti.
2. Teisinei prievolei vykdyti arba viešojo intereso užduočiai atlikti.
3. Visuomenės sveikatos srities viešojo intereso tikslais.
4. Archyvavimui viešojo intereso, mokslinių ar istorinių tyrimų arba statistikos tikslais.
5. Teisiniams reikalavimams pareikšti, vykdyti ar apginti.

Praktiškai dažniausia teisėto atsisakymo priežastis – teisinė prievolė saugoti duomenis (pavyzdžiui, buhalterinės apskaitos ar mokesčių dokumentus). Tokiu atveju vietoj ištrynimo galima taikyti tvarkymo apribojimą. Svarbu: atsisakymas turi būti konkrečiai pagrįstas nurodant išimtį, o ne pareikštas bendrai.

Kodėl formalus atsisakymas rizikingas

Būtent netinkamas prašymų ištrinti duomenis vykdymas lėmė didžiausią Lietuvos baudą šioje srityje. 2024 m. VDAI skyrė 2 385 276 eurų baudą UAB „Vinted". VDAI, be kita ko, nustatė, kad bendrovė, atsakydama į prašymus ištrinti duomenis, teigdavo prašymo nevykdysianti, nes subjektas nenurodė konkretaus 17 str. 1 d. pagrindo, ir nenurodydavo visų tikslų, dėl kurių duomenys tvarkomi toliau. VDAI tai įvertino kaip neteisėtą ir neskaidrų prašymų nagrinėjimą (BDAR 5 str. 1 d. a p., 12 str.). Byloje taip pat buvo konstatuotas „šešėlinis blokavimas". Ši byla rodo, kad reikalauti iš subjekto nurodyti pagrindą ir formaliai atmesti prašymą yra rizikinga – pareiga įvertinti pagrindus tenka valdytojui.

Dažnos klaidos

• Reikalavimas iš subjekto nurodyti teisinį pagrindą. Subjektui neprivalu cituoti straipsnio – valdytojas pats vertina, ar taikomas 17 str. 1 d. pagrindas.
• Ištrynimas tik pagrindinėje sistemoje. Duomenis reikia ištrinti visur, įskaitant tvarkytojų sistemas ir atsargines kopijas.
• Bendras atsisakymas be pagrindo. Kiekvienas atsisakymas grindžiamas konkrečia 17 str. 3 d. išimtimi.
• Sutikimo atšaukimo ignoravimas. Atšaukus sutikimą ir nesant kito pagrindo, duomenis reikia ištrinti.

Ištrynimo įgyvendinimas praktiškai

Priėmus sprendimą ištrinti, kyla techninis klausimas – kaip užtikrinti, kad duomenys pašalinami visur. Tai reikalauja žinoti visą duomenų „geografiją": pagrindines sistemas, tvarkytojų platformas, atsargines kopijas, eksportuotus failus, žurnalus. Būtent todėl tikslūs tvarkymo veiklos įrašai yra būtina ištrynimo sąlyga – be jų neįmanoma įrodyti, kad duomenų niekur nebeliko.

Atsarginės kopijos yra dažniausias praktinis klausimas. Nereikalaujama iškart „iškirpti" konkretaus asmens duomenų iš visų archyvų – tai techniškai dažnai neįmanoma. Priimtinas sprendimas: pagrindinėse sistemose duomenys ištrinami nedelsiant, o atsarginėse kopijose jie pašalinami natūraliai pasibaigus kopijos saugojimo ciklui, tuo tarpu užtikrinant, kad iš kopijų duomenys nebūtų atkurti į veikiančias sistemas. Šį sprendimą reikia dokumentuoti.

Ištrynimas ir kitos teisės

Teisė būti pamirštam glaudžiai susijusi su kitomis prievolėmis. Atšaukus sutikimą, duomenis reikia ištrinti, jei nėra kito pagrindo (17 str. 1 d. b p.). Taikant saugojimo ribojimą, dalis duomenų ištrinami savaime pasibaigus terminui – tai sumažina prašymų skaičių. O kai duomenų negalima ištrinti dėl teisinės prievolės, vietoj ištrynimo taikomas tvarkymo apribojimas (BDAR 18 str.): duomenys saugomi, bet nebenaudojami, kol pasibaigs privalomas saugojimo laikas.

Praktikoje verta turėti standartinius sprendimų šablonus trims scenarijams: ištrynimas įvykdytas; ištrynimas atmestas dėl konkrečios išimties (su nuoroda į normą); tvarkymas apribotas iki privalomo saugojimo termino pabaigos. Kiekvienas šablonas turi paaiškinti subjektui priežastis ir jo teisę skųstis VDAI bei kreiptis į teismą. Toks standartizavimas ne tik pagreitina atsakymus, bet ir sumažina riziką, kad skirtingi darbuotojai atsakys nenuosekliai – o nenuoseklumas ir atsakymų kokybė buvo vienos aplinkybių, dėl kurių „Vinted" atveju konstatuotas atskaitomybės pažeidimas.

Terminai ir tapatybės patikra

Prašymą ištrinti duomenis reikia įvykdyti nedelsiant ir ne vėliau kaip per vieną mėnesį nuo gavimo (BDAR 12 str. 3 d.). Sudėtingais atvejais arba esant daug prašymų terminą galima pratęsti dar dviem mėnesiais, per pirmąjį mėnesį informavus subjektą apie pratęsimą ir jo priežastis. Svarbu: net atsisakymas ištrinti turi būti pateiktas per tą patį mėnesio terminą, nurodant konkrečią 17 str. 3 d. išimtį ir teisę skųstis VDAI.

Prieš ištrinant duomenis pagrįstų abejonių atveju galima patikrinti prašančiojo tapatybę (12 str. 6 d.) – kitaip kyla rizika ištrinti duomenis pagal apsimetėlio prašymą. Tačiau tapatybės patikra negali tapti dirbtine kliūtimi ar būdu vilkinti terminą: papildomos informacijos galima prašyti tik tada, kai abejonės realios, o ne rutiniškai iš kiekvieno prašančiojo. Šią pusiausvyrą būtina užfiksuoti prašymų procedūroje.

Dažnai užduodami klausimai

Ar teisė būti pamirštam yra absoliuti?

Ne. Duomenis privaloma ištrinti tik esant bent vienam 17 str. 1 d. pagrindui ir jei netaikoma nė viena 17 str. 3 d. išimtis. Dažniausia teisėto atsisakymo priežastis – teisinė prievolė saugoti duomenis.

Ar subjektas privalo nurodyti, kodėl nori ištrinti duomenis?

Ne. Reikalauti, kad subjektas nurodytų teisinį pagrindą, negalima – tai buvo viena „Vinted" bylos aplinkybių. Valdytojas pats įvertina, ar yra ištrynimo pagrindas.

Ką daryti, jei duomenis privaloma saugoti pagal įstatymą?

Tuomet taikoma 17 str. 3 d. b punkto išimtis: duomenų ištrinti nereikia, tačiau apie tai reikia informuoti subjektą ir, kur tinka, apriboti tolesnį tvarkymą iki privalomo saugojimo termino pabaigos.

Per kiek laiko reikia įvykdyti prašymą?

Per vieną mėnesį nuo prašymo gavimo (12 str. 3 d.). Sudėtingais atvejais terminą galima pratęsti dar dviem mėnesiais, informavus subjektą. Atsisakymą taip pat reikia pagrįsti per mėnesį.

Ar galiu iškart ištrinti duomenis, jei asmuo to prašo el. paštu?

Prieš ištrinant reikia įsitikinti, kad yra ištrynimo pagrindas ir netaikoma išimtis (pavyzdžiui, teisinė prievolė saugoti). Taip pat verta patikrinti prašančiojo tapatybę, jei kyla pagrįstų abejonių. Nustačius, kad ištrinti privaloma, tai atliekama per vieną mėnesį visose sistemose, įskaitant tvarkytojų platformas.

Ką daryti, jei tas pats asmuo prašo ir ištrinti, ir susipažinti su duomenimis?

Abu prašymus reikia įvykdyti. Paprastai pirmiausia pateikiama susipažinimo informacija ir duomenų kopija, o tada, jei nėra kliūčių, duomenys ištrinami. Svarbu, kad ištrynimas nesutrukdytų įvykdyti kitų teisėtų prašymų ar prievolių, todėl veiksmų eilę verta suplanuoti iš anksto.

Ar teisė būti pamirštam taikoma paieškos sistemoms?

Taip. Europos Sąjungos Teisingumo Teismas (byla C-131/12, „Google Spain") patvirtino, kad asmuo tam tikromis sąlygomis gali reikalauti pašalinti nuorodas į su juo susijusią informaciją iš paieškos rezultatų. Tai atskira nuo tvarkymo pas patį valdytoją situacija, tačiau remiasi ta pačia teise. Sprendimą dėl kiekvieno prašymo priima valdytojas, įvertinęs viešojo intereso ir asmens teisių pusiausvyrą.

Išvada

Teisė būti pamirštam nėra absoliuti, tačiau esant bent vienam iš šešių 17 str. 1 d. pagrindų ir nesant išimties, duomenis privaloma ištrinti per vieną mėnesį – visose sistemose, įskaitant tvarkytojų. „Vinted" byla su 2 385 276 eurų bauda parodė, kad formaliai atmesti prašymą, reikalaujant iš subjekto nurodyti pagrindą, yra rizikinga. Pasirenkite: turėkite aiškią prašymų procedūrą, susietą su tvarkymo veiklos įrašais, kiekvieną sprendimą pagrįskite konkrečia norma ir dokumentuokite atsakymą.

Teisinė informacija: BDAR 17 straipsnis (EUR-Lex) · Asmens duomenų teisinės apsaugos įstatymas (e-seimas) · VDAI.

Šis straipsnis yra bendro pobūdžio informacija ir nėra teisinė konsultacija. Platformos, tokios kaip Legiscope, padeda valdyti duomenų subjektų prašymus ir juos dokumentuoti.