Teisė į duomenų perkeliamumą pagal BDAR 20 straipsnį leidžia žmogui gauti jo pateiktus asmens duomenis susistemintu, įprastai naudojamu ir kompiuterio skaitomu formatu bei persiųsti juos kitam duomenų valdytojui be kliūčių. Ši teisė nėra bendras prašymas gauti visą bylą: ji taikoma tik tvarkymui, pagrįstam sutikimu arba sutartimi ir atliekamam automatizuotomis priemonėmis. Toliau pateikiamas sprendimo ir eksporto kelias organizacijai, gavusiai tokį prašymą. Platesnė teisė susipažinti su duomenimis ir duomenų subjekto prašymų valdymas turi kitą apimtį.
1. Atpažinkite tikrąjį prašymą
Žmogui nebūtina pacituoti 20 straipsnio. Prašymas „noriu savo treniruočių istoriją perkelti į kitą programą“ gali reikšti perkeliamumą; prašymas „kokius duomenis apie mane turite ir kodėl?“ dažniau apima 15 straipsnio teisę susipažinti. Kartais asmuo prašo abiejų. Užregistruokite jo tikslą ir pagal turimą informaciją patikslinkite, kokie duomenys bei paslauga domina, neužkraudami pareigos naudoti specialią formą. Duomenų valdytojas privalo palengvinti teisių įgyvendinimą pagal 12 straipsnį.
Pavyzdžiui, klientas nori parsisiųsti savo muzikos grojaraščius ir klausymo istoriją. Tai gali būti perkeliamumo objektas, jei atitinkamas tvarkymas grindžiamas sutartimi ar sutikimu ir atliekamas automatizuotai. Jo prašymas sužinoti, kodėl paskyra buvo pažymėta kaip sukčiavimo rizika, gali apimti teisę susipažinti, bet ne būtinai teisę perkelti įmonės sukurtą rizikos vertinimą. Prieš atsakydami nustatykite kiekvieno duomenų rinkinio paskirtį ir pagrindą, o ne spręskite vien iš paskyros pavadinimo.
2. Patikrinkite tris taikymo sąlygas
Pirma, duomenys turi būti susiję su prašančiu asmeniu ir jo pateikti valdytojui. Antra, konkretaus tvarkymo teisinis pagrindas turi būti sutikimas pagal 6 straipsnio 1 dalies a punktą ar 9 straipsnio 2 dalies a punktą arba sutartis pagal 6 straipsnio 1 dalies b punktą. Trečia, tvarkymas turi būti automatizuotas. Visos sąlygos vertinamos kartu. VDAI 2025 m. sprendime dėl perkeliamumo atmetė šios teisės dalį, kai nagrinėtas tvarkymas buvo grindžiamas teisėtu interesu; tai konkretus taikymo ribos pavyzdys, ne visų prašymų taisyklė.
Sutikimo sąlygas tikrinkite pagal konkretų tikslą. Jei dalis paskyros duomenų tvarkoma sutarčiai vykdyti, o mokesčių dokumentai saugomi pagal teisinę prievolę, prašymo nereikia atmesti viso. Atskirai parenkite perkeliamą dalį ir paaiškinkite, kodėl kita nepatenka į 20 straipsnį. Popierinė byla be automatizuoto tvarkymo šiai teisei nepriklauso, nors jai gali būti taikomos kitos BDAR teisės. Pagrindų atskyrimą padeda atlikti tvarkymo veiklos įrašai; jie nėra galutinis įrodymas, jei faktinis tvarkymas skiriasi nuo aprašo.
3. „Pateikti duomenys“ apima daugiau nei anketos laukus
Europos duomenų apsaugos valdybos patvirtintos perkeliamumo gairės skiria aktyviai pateiktus duomenis nuo stebėtų ir išvestinių. Aktyviai pateikti – vardas, kontaktas, pasirinkimai ar įkeltas turinys. Stebėti gali būti žmogaus naudojimosi paslauga istorija, pavyzdžiui, atlikti sandoriai arba išmaniojo prietaiso matavimai, jei kitos sąlygos tenkinamos. Jie gali patekti į perkeliamumą, nors asmuo jų nesuvedė klaviatūra. Duomenys, kuriuos pati organizacija sukūrė analizuodama elgesį – įvertinimas, profilis ar prognozė – į šią teisę paprastai nepatenka.
Ribą verta tikrinti lauko lygmeniu. Pavyzdžiui, sandorio data ir suma gali būti stebėti vartotojo veiklos duomenys, o algoritminis „tikėtino atsisakymo“ balas – įmonės išvestinis vertinimas. Tas pats eksporto failas neturėtų besąlygiškai įtraukti visų vidinių žymų. Kita vertus, neteisinga atsisakyti perduoti visą istoriją vien todėl, kad vienas stulpelis yra išvestinis. Parenkite pagrįstą laukų sąrašą, pažymėkite išimtis ir, jei žmogus kartu prašo susipažinti, atskirai įvertinkite platesnę 15 straipsnio apimtį.
4. Saugokite kitų žmonių teises
20 straipsnio 4 dalis nurodo, kad perkeliamumas negali neigiamai paveikti kitų asmenų teisių ir laisvių. Susirašinėjimo, bendrų nuotraukų ar kontaktų sąraše gali būti ne vien prašančiojo duomenų. Tai nėra automatinis pagrindas atsisakyti viso eksporto. Nustatykite, kurie laukai būtini prašančiajam naudotis teise, kokie identifikuoja kitus asmenis ir kokia būtų perdavimo rizika. Kur įmanoma, atskirkite perteklinę trečiųjų asmenų informaciją arba pasirinkite saugesnį pateikimo būdą.
Jeigu žmogus prašo tiesiogiai perduoti bendrą pokalbių istoriją naujai paslaugai, būtina įvertinti ir kito valdytojo gaunamus duomenis. Naujas valdytojas turi savarankiškai nustatyti savo tolesnio tvarkymo pagrindą; ankstesnis valdytojas neturėtų žadėti, kad vien perkeliamumo prašymas pateisina bet kokį vėlesnį naudojimą. Praktikoje naudinga atskirti asmeniui pateikiamą kopiją nuo tiesioginio perdavimo kitam subjektui.
5. Parinkite naudojamą formatą, ne vien failo plėtinį
BDAR nenurodo vieno privalomo formato. CSV, JSON ar XML gali būti tinkami, jei duomenys yra susisteminti, įprastai naudojami ir kompiuterio skaitomi. Dokumentuokite laukų reikšmes, datas, koduotes ir ryšius: CSV su nepaaiškintais kodais gali būti beveik nenaudojamas, nors techniškai yra skaitomas. Nuotraukų ar kitų failų atveju galima pateikti įprastą pradinį formatą kartu su struktūrizuotais metaduomenimis. Vien skenuotas PDF paprastai neleidžia lengvai pakartotinai naudoti duomenų, tačiau PDF neturėtų būti vertinamas vien pagal plėtinį be turinio pobūdžio.
Prieš įdiegiant eksporto mygtuką išbandykite jį su skirtingais atvejais: paskyra be veiklos istorijos, seniai naudojama paskyra, kelių paslaugų naudotojas ir paskyra su bendru turiniu. Patikrinkite, ar datos turi laiko juostą, ar specialieji lietuviški rašmenys išlieka, ar failas atsidaro įprastomis priemonėmis. Nepamirškite, kad struktūrizuotas failas gali būti ypač jautrus: vienu kartu jame gali būti daugiau duomenų nei įprastame ekrane. Nustatykite saugų perdavimo kanalą ir ribotą atsisiuntimo laiką pagal riziką.
6. Tiesioginis perdavimas tik kai techniškai įmanomas
20 straipsnio 2 dalis suteikia teisę reikalauti, kad duomenys būtų perduoti tiesiogiai kitam valdytojui, kai tai techniškai įmanoma. Tai nėra pareiga abiem tiekėjams sukurti vienodus duomenų modelius ar pritaikyti sistemas viena prie kitos. Jei saugus tiesioginis perdavimas neįmanomas, duomenis galima pateikti žmogui naudotinu mašininiu formatu. Priežastį paaiškinkite konkrečiai: pavyzdžiui, nėra patikimo gavėjo kanalo ar gavėjas negali priimti tokio formato. Neužtenka pasakyti „mūsų sistema to nedaro“, jei paprastas eksportas iš tiesų įmanomas.
Tiesioginio perdavimo prašymas taip pat reikalauja patikrinti, kam iš tikrųjų duomenys siunčiami. Patvirtinkite gavėjo tapatybę ir saugų adresą, ypač jei duomenys apima finansinius ar sveikatos įrašus. Paprašyti žmogaus patikslinti neaiškų gavėją galima, tačiau neribotai atidėlioti prašymo vien dėl patogumo negalima. Išsaugokite užklausą, pasirinktą kanalą ir perdavimo patvirtinimą.
7. Valdykite terminą ir atsisakymo paaiškinimą
Pagal 12 straipsnio 3 dalį atsakykite nepagrįstai nedelsdami ir ne vėliau kaip per vieną mėnesį nuo prašymo gavimo. Sudėtingumo ar prašymų skaičiaus atveju terminą galima pratęsti dar dviem mėnesiais, bet apie pratęsimą ir jo priežastis reikia informuoti per pirmą mėnesį. Tai kalendorinis mėnuo, ne automatiškos trisdešimt dienų. Jei kyla pagrįstų abejonių dėl tapatybės, pagal 12 straipsnio 6 dalį galima paprašyti papildomos informacijos, tačiau pasirinkite mažiausiai perteklinį būdą.
Jeigu dėl viso prašymo ar jo dalies nesiimama veiksmų, 12 straipsnio 4 dalis reikalauja nepagrįstai nedelsiant, vėliausiai per vieną mėnesį nuo gavimo, pranešti priežastis ir galimybę pateikti skundą priežiūros institucijai bei pasinaudoti teismine gynyba. Užregistruokite, kurie duomenys pateikti, kurie atmesti ir kodėl. „Netaikoma“ be pagrindimo nėra pakankamas atsakymas žmogui. Atskirai įvertinkite akivaizdžiai nepagrįsto ar neproporcingo prašymo taisykles pagal 12 straipsnio 5 dalį; valdytojui tenka pareiga įrodyti jų sąlygas.
8. Perkeliamumas nėra ištrynimas
Duomenų perdavimas kitam paslaugos teikėjui savaime nereiškia, kad ankstesnis valdytojas turi viską ištrinti. Tai atskira teisė į duomenų ištrynimą, kuriai taikomos jos sąlygos ir išimtys. Žmogus gali prašyti perkelti grojaraščius ir toliau naudotis sena paslauga. Jis gali paprašyti paskyrą uždaryti, bet sąskaitas vis tiek gali tekti saugoti pagal teisinę prievolę. Aiškiai atskirkite šiuos sprendimus atsakyme ir sistemos darbo eigoje.
Perkeliamumas taip pat neperduoda jūsų verslo paslapčių ar algoritmų vien todėl, kad jų rezultatai buvo naudojami paskyroje. Tačiau komercinis interesas negali tapti priedanga nuslėpti asmens pateiktus duomenis. Jei ginčijama tam tikra lauko grupė, aprašykite jos kilmę, paskirtį ir kodėl ji įtraukiama arba ne. Pagrįstas sprendimas lengviau patikrinamas nei visiškas eksportas be atrankos.
Darbo pavyzdys: sveikatingumo programėlė
Įsivaizduokite programėlę, kurioje vartotojas įveda ūgį, treniruotes ir mitybos tikslus, o laikrodis automatiškai siunčia pulso matavimus. Programėlė taip pat apskaičiuoja asmeninį „atsistatymo balą“. Prieš eksportą nustatykite, kuri kiekvienos grupės tvarkymo dalis grindžiama sutikimu ar sutartimi, ar ji automatizuota ir ar duomenys pateikti arba stebėti iš vartotojo veiklos. Ūgis, įvestos treniruotės ir matavimai gali patekti į perkeliamumą; įmonės apskaičiuotas balas paprastai yra išvestinis. Sveikatos duomenims gali būti reikalinga atskira 9 straipsnio sąlyga, todėl vien 20 straipsnio analizės nepakanka visam tvarkymui pagrįsti.
Parenkite failą su aiškiais laukų pavadinimais ir matavimo vienetais. Jei jame yra kito asmens įrašas, vertinkite to asmens teises. Atsiųskite failą saugiu būdu, ne kaip atvirą el. laiško priedą be papildomos apsaugos, jei rizika didelė. Jeigu žmogus kartu prašė paaiškinti atsistatymo balą, nukreipkite šią dalį į susipažinimo teisės nagrinėjimą, užuot klaidingai laikę visą prašymą neįvykdomu.
Kilmės ir pagrindo lentelė sumažina ginčus
Prieš automatizuodami eksportą sukurkite laukų žemėlapį. Kiekvienam laukui užrašykite, iš kurios sistemos jis ateina, ar jį žmogus aktyviai pateikė, ar jis stebėtas naudojantis paslauga, ar jį sukūrė valdytojas. Asmens duomenų atpažinimo lentelė padeda nustatyti netiesiogiai identifikuojančius laukus, kuriuos eksporte lengva praleisti. Greta nurodykite konkretų tvarkymo tikslą ir 6 straipsnio pagrindą. Vienos paskyros duomenys gali būti tvarkomi keliais pagrindais: adresas naudojamas paslaugai teikti, sąskaita saugoma dėl teisinės prievolės, pasirinkti pasiūlymai siunčiami gavus sutikimą. Žemėlapis turi sekti tikslą, o ne pridėti vieną etiketę visai duomenų bazei.
Pavyzdžiui, platforma turi naudotojo įkeltas nuotraukas, įrašo sukūrimo datą ir automatiškai apskaičiuotą turinio patrauklumo indeksą. Nuotraukos bei naudojimo istorija gali būti perkeliamumo apimtyje, jei tenkinamos kitos sąlygos; indeksą organizacija sukūrė pati. Jei tikslas buvo pakeistas po pirminio surinkimo, patikrinkite, ar pasikeitė ir pagrindas. Negalima vien duomenų kilmės taisykle automatiškai išspręsti visų atvejų. Naudinga išsaugoti trumpą motyvą dėl ribinių laukų, kad kitas darbuotojas kitą prašymą vertintų nuosekliai.
Saugaus perdavimo bandymas prieš pirmą prašymą
Eksportas sudeda daugybę duomenų į vieną vietą, todėl jis gali padidinti nutekėjimo poveikį. Iš anksto nustatykite, kas gali pradėti eksportą, kas patvirtina gavėją ir kaip failas apsaugomas perduodant. Patikrinkite, ar atsisiuntimo nuoroda nustoja veikti pasibaigus nustatytam laikui, ar failai nelieka viešai pasiekiamame kataloge ir ar pagalbos darbuotojai nemato daugiau duomenų, nei reikia. Tai yra saugumo projektavimo klausimai pagal BDAR 25 ir 32 straipsnius, o ne papildomos teisės į perkeliamumą taikymo sąlygos.
Nuspręskite ir dėl nesėkmingo perdavimo. Jei kito valdytojo adresas neteisingas, ar sistema užfiksuoja klaidą ir nepažymi prašymo įvykdytu? Jei failas išsiųstas ne tam gavėjui, tai gali tapti asmens duomenų saugumo pažeidimu, kuriam reikia atskiros rizikos ir pranešimo patikros. Darbuotojai turi žinoti, kur pranešti apie klaidą, o ne tyliai pakartoti eksportą. Bandomajame faile naudokite fiktyvius duomenis ir patikrinkite visą grandinę.
Kodėl formatas turi turėti paaiškinimą
Dvi paslaugos gali naudoti tą pačią CSV failo galūnę, bet skirtingai suprasti laukus. Vienoje data „2026-09-27“ reiškia operacijos dieną Vilniuje, kitoje – UTC sistemos laiką. Vienas kodas „A“ gali reikšti aktyvią narystę, kitas – archyvuotą įrašą. Pridėkite laukų aprašą, vienetus, datos formatą ir, jei reikia, ryšį tarp kelių failų. Taip asmuo galės realiai naudoti gautus duomenis, o naujas valdytojas galės įvertinti importą. BDAR nereikalauja, kad gavėjas privalėtų duomenis priimti ar įdiegti atitinkamą schemą.
Kai eksportas apima kelias paslaugas, nebandykite skirtingos struktūros duomenų sujungti į vieną failą vien dėl to, kad būtų tik vienas failas. Atskiros aiškiai pažymėtos dalys kartais geriau išsaugo prasmę. Jei vaizdo ar garso duomenys perduodami pradiniu formatu, pateikite pakankamą informaciją, kad būtų aišku, kam jie priklauso ir kaip susiję su prašymu. Šiuos sprendimus patikrinkite su paprastu naudotoju: ar jis supranta, ką gavo, neieškodamas vidinių sistemos kodų aprašo?
Konfliktas tarp prašymų ir atsakymo apimties
Žmogus viename laiške gali parašyti „atsiųskite visus mano duomenis ir ištrinkite paskyrą“. Toks prašymas sujungia susipažinimą, galimą perkeliamumą ir ištrynimą. Atsakykite į kiekvieną dalį pagal jos sąlygas, o ne pasirinkite lengviausią. Jei žmogus nori duomenis perkelti, jų negrįžtamai neištrinkite prieš saugiai parengdami eksportą; tačiau neišlaikykite jų neribotai vien todėl, kad prašymas buvo neaiškus. Jei dalį reikia saugoti dėl įstatymo, konkrečiai paaiškinkite, kas ir kodėl lieka.
Įvykdę prašymą patikrinkite atsakymo turinį: ar paaiškinta, kokie duomenys pateikti perkeliamumui, kokie suteikti tik kaip susipažinimo kopija ir kokie neperduoti su priežastimis? Ar nurodyta, ką asmuo gali daryti, jei nesutinka su sprendimu? Kokybiškas atsakymas padeda išvengti antro prašymo vien dėl to, kad pirmajame nebuvo aiškios ribos.
Perduotų duomenų priėmimo pusė
Jeigu jūsų organizacija yra naujas valdytojas ir gauna kito teikėjo eksportą, 20 straipsnis savaime nesuteikia teisės neribotai panaudoti visų duomenų. Patikrinkite, ko žmogus prašė, kokiam naujam tikslui duomenų reikia ir koks jūsų teisinis pagrindas. Jei faile yra trečiųjų asmenų kontaktų arba daugiau istorinių duomenų, nei reikia naujai paslaugai, atskirkite juos. „Gavome per perkeliamumą“ nėra atskira 6 straipsnio teisėtumo sąlyga. Duomenų sumažinimas naujoje sistemoje taip pat svarbus kaip saugus perdavimas iš senosios.
Importo testas turi tikrinti ne tik tai, ar failas atsidaro. Įsitikinkite, kad laukai neperkeičiami klaidingai, datos ir matavimo vienetai suprantami, o neaiškūs kodai nėra automatiškai paverčiami nauju profiliu. Jei dalies failo neįmanoma panaudoti, paaiškinkite žmogui galimybių ribas, užuot žadėję, kad visos senos paslaugos funkcijos bus atkurtos. Perkeliamumo teisė palengvina duomenų judėjimą, bet nesukuria pareigos naujam paslaugų teikėjui pasiūlyti tą pačią paslaugą.
Dažnai užduodami klausimai
Ar galiu reikalauti visų duomenų viename faile?
Galite paprašyti perkeliamų duomenų, bet teisės apimtį lemia pagrindas, automatizavimas ir duomenų kilmė. Įmonės sukurtas vertinimas ar teisės aktų pagrindu saugomas dokumentas gali nepatekti į 20 straipsnį. Platesnei informacijai naudokite ir 15 straipsnio teisę susipažinti.
Ar valdytojas turi nusipirkti suderinamą sistemą?
Ne. Tiesioginis perdavimas kitam valdytojui būtinas tik jei techniškai įmanomas. Vis tiek reikia pateikti tinkamą struktūrizuotą, įprastai naudojamą ir kompiuterio skaitomą duomenų formatą, jei kitos teisės sąlygos tenkinamos.
Ar galima reikalauti asmens dokumento kopijos?
Tik esant pagrįstų abejonių dėl tapatybės galima prašyti papildomos informacijos, proporcingos abejonėms. Ne kiekvienam eksporto prašymui būtina rinkti visą dokumento kopiją; saugesnė paskyros patvirtinimo priemonė gali pakakti.
Ar duomenys ištrinami po perdavimo?
Ne automatiškai. Ištrynimas turi atskirą 17 straipsnio vertinimą; sutartis ar teisės aktas gali pagrįsti tolesnį kai kurių duomenų saugojimą. Perkėlimo patvirtinimas pats nesukuria nei visuotinio trynimo, nei neriboto saugojimo teisės.
Ką daryti, jei perkeliamumas netaikomas?
Nurodykite konkrečias priežastis be nepagrįsto delsimo, vėliausiai per mėnesį nuo prašymo gavimo, ir informuokite apie skundą VDAI bei teisminę gynybą. Jei dalis duomenų patenka į teisės apimtį, ją pateikite; kartu įvertinkite, ar prašymas apima ir kitą teisę.
Šaltiniai, peržiūrėti 2026 m. rugsėjo 27 d.: BDAR 12, 15 ir 20 straipsniai, EDAV patvirtintos perkeliamumo gairės, VDAI 2025 m. sprendimo pavyzdys.