Teisė susipažinti su duomenimis pagal BDAR 15 straipsnį leidžia sužinoti, ar organizacija tvarko jūsų asmens duomenis, gauti pačius duomenis ir konkrečią informaciją apie jų tvarkymą. Vien nuorodos į bendrą privatumo politiką paprastai nepakanka. Atsakymas turi parodyti, kas iš tikrųjų vyksta su prašymą pateikusio žmogaus duomenimis, ir leisti suprasti pateiktų įrašų reikšmę.
Duomenų valdytojas turi veikti nepagrįstai nedelsdamas ir ne vėliau kaip per vieną mėnesį nuo prašymo gavimo. Pirmoji kopija paprastai pateikiama nemokamai; pratęsimas, mokestis ar atsisakymas galimi tik laikantis atitinkamų sąlygų. Toliau aptariama, kaip pateikti prašymą ir kaip organizacijai surasti duomenis, parengti suprantamą kopiją, apsaugoti kitų asmenų teises bei išsaugoti proporcingus įvykdymo įrodymus.
Kokią informaciją apima teisė susipažinti
Pirmiausia asmuo turi teisę gauti patvirtinimą, ar su juo susiję duomenys apskritai tvarkomi. Jei taip, atsakymas apima tvarkymo tikslus, atitinkamas duomenų kategorijas, gavėjus ir numatomą saugojimo laikotarpį arba jo nustatymo kriterijus. Šios žinios turi būti susietos su konkrečiu asmeniu. Organizacijos tvarkomų visų įmanomų duomenų kategorijų sąrašas gali klaidinti, jeigu dalis jų su pareiškėju neturi jokio ryšio.
Taip pat pateikiama informacija apie teisę prašyti ištaisyti ar ištrinti duomenis, apriboti jų tvarkymą, nesutikti su tvarkymu ir pateikti skundą priežiūros institucijai. Kai duomenys surinkti ne iš paties žmogaus, reikia pateikti visą turimą informaciją apie jų šaltinį. Jei jie perduodami trečiajai valstybei ar tarptautinei organizacijai, 15 straipsnio 2 dalis suteikia teisę žinoti apie tinkamas perdavimo apsaugos priemones pagal 46 straipsnį.
Informacija apie saugojimą neturi apsiriboti sakiniu, kad duomenys laikomi tiek, kiek leidžia įstatymas. Nurodykite atitinkamą laikotarpį, jo pradžią arba kriterijus, leidžiančius suprasti, kada saugojimas baigsis. Sąskaitoms ir reklaminėms nuostatoms gali galioti skirtingi sprendimai. Saugojimo ribojimo principas padeda atskirti šias kategorijas ir paaiškinti, kodėl ne visas kliento profilis saugomas vienodai.
Atsakymą papildanti duomenų kopija yra savarankiškai svarbi. Informacija, kad organizacija tvarko adresą, nepakeičia paties tvarkomo adreso pateikimo. Žmogus turi galėti patikrinti, ar adresas teisingas, kokie kiti duomenys su juo siejami ir ar nėra klaidingų vertinimų. Toks pat skirtumas galioja sandorių istorijai, susirašinėjimui ir paskyrai priskirtiems požymiams.
Prašymo turinys ir tinkamas pateikimo kanalas
Asmeniui nereikia cituoti tikslaus straipsnio ar aiškinti, kodėl jis nori susipažinti su duomenimis. Pakanka suprantamai nurodyti, ko prašoma. Galima prašyti visų tvarkomų savo duomenų arba aiškiai pasirinkti dalį, pavyzdžiui, konkretaus laikotarpio susirašinėjimą. Neaiškų prašymą verta patikslinti, tačiau organizacija neturėtų laikyti bendro prašymo vien duomenų kategorijų sąrašo pageidavimu.
VDAI 2025 m. gruodžio 15 d. paaiškinime aptariamas prašymo pateikimas, kopija ir atsakymo terminai. Praktiniu požiūriu naudinga išsaugoti siuntimo įrodymą bei pateikti identifikatorius, kuriuos organizacija jau naudoja. Ieškant vaizdo įrašo padeda data, apytikslis laikas ir vieta; ieškant paskyros duomenų gali padėti anksčiau naudotas el. pašto adresas.
BDAR nenustato vienintelės privalomos prašymo formos. Organizacijos pasiūlytas portalas gali palengvinti procesą, bet paprastai negalima atmesti prašymo vien todėl, kad žmogus pasirinko kitą jos nurodytą bendravimo kanalą. Pavyzdžiui, bendruoju klientų aptarnavimo adresu gautas aiškus prašymas turi būti perduotas atsakingiems darbuotojams. Vidinis persiuntimas netampa nauja prašymo gavimo data.
Vis dėlto tai nereiškia pareigos stebėti bet kurį atsitiktinį adresą ar darbuotojo privatų socialinio tinklo profilį. Europos duomenų apsaugos valdybos gairės skiria tinkamai pateiktą prašymą nuo kreipimosi akivaizdžiai netinkamu kanalu, kai tinkamas kanalas aiškiai suteiktas. Įprastas klientui paskirtas konsultantas nėra atsitiktinis kontaktas. Organizacija turėtų iš anksto paaiškinti darbuotojams, kaip atpažinti ir persiųsti tokius kreipimusis.
Tapatybės tikrinimas turi būti proporcingas
Papildomos informacijos tapatybei patvirtinti galima prašyti, kai kyla pagrįstų abejonių dėl prašančio asmens tapatybės. Tai nėra automatinis reikalavimas kiekvienam atsiųsti visą asmens dokumento kopiją. Pirmiausia įvertinkite turimus autentifikavimo būdus, paskyros informaciją ir galimos klaidingo atskleidimo žalos pobūdį. Prisijungimas prie tinkamai apsaugotos paskyros gali suteikti kitokį patikimumą nei žinutė iš anksčiau nematyto adreso.
Pasirinkite mažiausiai papildomų duomenų reikalaujantį pakankamą būdą. Jei prašymas susijęs su internetiniu identifikatoriumi, tapatybės dokumentas gali visai nepadėti rasti tinkamo įrašo. Reikšmingesnis gali būti paskyros ar kitas jau naudojamas identifikatorius. Paaiškinkite, kokios informacijos trūksta ir kam jos reikia, užuot siuntę bendrą reikalavimą pateikti visus įmanomus dokumentus.
Kai kreipiasi atstovas, patikrinkite tiek jo tapatybę, tiek įgaliojimo apimtį. Ne kiekvienas šeimos narys turi teisę gauti kito asmens duomenis. Kartu formalumai neturi tapti dirbtine kliūtimi teisėtam atstovavimui. Įvertinimą dokumentuokite proporcingai: saugoti perteklinę dokumentų kopiją vien todėl, kad ji buvo trumpai parodyta patikrai, nebūtinai yra būtina.
Vienas mėnuo nėra automatinis leidimas laukti
Vieno mėnesio terminas yra bendroji išorinė riba, o ne tikslas kiekvieną paprastą prašymą atidėti iki paskutinės dienos. Skaičiuojamas kalendorinis mėnuo, ne savavališkai pasirinktos trisdešimt darbo dienų. Organizacijai naudinga turėti ankstesnį vidinį terminą paieškai ir teisinei peržiūrai, kad liktų laiko ištaisyti nepilną atsakymą arba saugiai perduoti didesnį duomenų rinkinį.
BDAR 12 straipsnio 3 dalis leidžia prireikus pratęsti terminą dar dviem mėnesiais, atsižvelgiant į prašymų sudėtingumą ir skaičių. Per pirmą mėnesį reikia pranešti apie pratęsimą ir jo priežastis. Vien tai, kad organizacija neturi patogaus eksporto mygtuko, nepaaiškina kiekvieno ilgesnio nagrinėjimo. Pratęsimo motyvai turi atitikti konkretaus prašymo situaciją, o ne būti automatiškai siunčiama frazė.
Jei atsisakoma imtis veiksmų, priežastys pateikiamos nepagrįstai nedelsiant ir ne vėliau kaip per vieną mėnesį. Atsakyme nurodoma galimybė skųstis priežiūros institucijai ir naudotis teismine teisių gynimo priemone. Tylėjimas nėra teisėtas atsisakymo būdas. Prašymą gavusi organizacija taip pat neturėtų laikyti jo įvykdytu vien todėl, kad išsiuntė pranešimą apie gavimą.
Paieška turi apimti tikrąjį duomenų tvarkymą
Duomenų tvarkymo veiklos įrašai padeda nustatyti procesus ir atsakingus žmones, tačiau nepakeičia paieškos sistemose. Asmens duomenų gali būti klientų duomenų bazėje, aptarnavimo platformoje, el. pašte, dokumentų archyve, skambučių įrašuose ir vertinimo sistemose. Vien paskyros pagrindinių laukų eksportas gali nepateikti reikšmingos informacijos, kuri naudojama sprendžiant dėl to paties kliento.
Paieškai naudokite susijusius identifikatorius ir tikrinkite jų ryšį. Pavyzdžiui, senas kliento numeris po sistemų migracijos gali skirtis nuo dabartinio, nors įrašai priklauso tam pačiam žmogui. Atskirai įvertinkite duomenis, kuriuose asmuo minimas ne kaip pagrindinis klientas, bet kaip gavėjas, kontaktinis asmuo ar pareiškėjas. Kartu reikia išvengti kito bendravardžio duomenų prijungimo prie atsakymo.
Asmens duomenys gali apimti ir nuomones, pastabas ar išvestinius vertinimus, kai jie pagal turinį, tikslą ar poveikį susiję su identifikuojamu žmogumi. Vidinio naudojimo žyma savaime nepanaikina šios savybės. Tačiau ne kiekvienas organizacijos dokumentas tampa prašymo objektu vien todėl, kad žmogus norėtų jį pamatyti. Reikia nustatyti, kur dokumente yra su juo susiję duomenys ir kokio konteksto būtina pateikti.
Jeigu informacija teisėtai ištrinta iki prašymo gavimo ir jos organizacija nebetvarko, BDAR nesukuria pareigos iš naujo surinkti nebeturimus duomenis. Vis dėlto negalima naudoti įprasto valymo proceso tam, kad būtų išvengta gauto prašymo įvykdymo. Paieškos ir išsaugojimo veiksmus koordinuokite su atsakingais darbuotojais, dokumentuodami aktualų momentą bei nustatytus ribojimus.
Duomenų kopija, dokumentų išrašai ir suprantamas kontekstas
ESTT byloje C-487/21 išaiškino, kad kopija turi tiksliai ir suprantamai atkurti tvarkomus asmens duomenis. Bendras aprašymas, kokių tipų informaciją organizacija renka, nėra toks atkūrimas. Kai be konteksto žmogus negalėtų veiksmingai pasinaudoti savo teisėmis, gali reikėti dokumentų išrašų, viso dokumento ar duomenų bazės išrašo.
Tai nesuteikia automatinės teisės gauti visų organizacijos bylų kopijas. Klausimas yra, kokios formos reikia konkretiems asmens duomenims suprasti. Pavyzdžiui, izoliuotas skaičius be paaiškinimo, kad tai kliento rizikos įvertinimas, gali būti nesuprantamas. Susirašinėjimo ištrauka gali būti tinkama, jei išsaugo prasmingą kontekstą; išbraukus visą aplinkinį tekstą kartais prarandama ir paties asmens duomenų reikšmė.
Techninius kodus paaiškinkite, o duomenų rinkinius suskirstykite taip, kad būtų galima juose orientuotis. Tūkstančiai nepaaiškintų eilučių nėra savaime skaidrus atsakymas. Kartu nereikia kurti naujos nuomonės ar išvados, kurios organizacija netvarko. Užduotis yra suprantamai pateikti esamą informaciją, atskirti skirtingas jos kategorijas ir paaiškinti naudojamus žymenis.
Kitų asmenų teisės: vertinimas vietoje visuotinio užtušavimo
BDAR 15 straipsnio 4 dalis reikalauja atsižvelgti į kitų asmenų teises ir laisves. Tačiau dokumente esantis kito žmogaus vardas savaime nereiškia, kad visą dokumentą reikia atmesti arba visus kitus asmenis besąlygiškai paslėpti. Vienas įrašas gali būti kelių žmonių asmens duomenys. Reikia įvertinti tikrąjį neigiamą poveikį, kontekstą ir galimus švelnesnius pateikimo būdus.
Praktinės priemonės gali būti nereikalingų kontaktinių duomenų pašalinimas, atskiro išrašo parengimas arba konkretaus jautraus fragmento uždengimas. Pasirinktas būdas neturi padaryti likusios informacijos beprasmės. Bendro pobūdžio nuoroda į komercinę paslaptį, autorių teises ar dokumento vidinį statusą nepakeičia konkretaus vertinimo. Reikia nustatyti, ką būtina apsaugoti ir kodėl negalima pateikti platesnės kopijos.
Prieš siunčiant redaguotą failą patikrinkite, ar uždengtas tekstas neliko atkuriamas, ar neatskleidžiami komentarai, ankstesnės versijos ir paslėpti lapai. Tai praktinė saugumo kontrolė, o ne atskiras privalomas vienos programos naudojimo reikalavimas. Jei dalis informacijos nepateikiama, atsakymas turi paaiškinti taikytą ribojimą tiek, kiek tai leidžia jį pagrindžianti teisės norma.
Gavėjai ir automatizuoti sprendimai
Formuluotė „gavėjai arba gavėjų kategorijos“ nesuteikia valdytojui neribotos teisės visada pasirinkti abstrakčias kategorijas. Pagal ESTT C-154/21 ir galutines Europos duomenų apsaugos valdybos gaires paprastai nurodomi konkretūs gavėjai, jei asmuo nepasirinko kitaip. Kategorijomis galima apsiriboti, kai gavėjų nustatyti neįmanoma arba valdytojas įrodo akivaizdžiai nepagrįstą ar perteklinį prašymo pobūdį pagal 12 straipsnio 5 dalį.
Pavyzdžiui, privatumo pranešime iš anksto gali būti nurodyta, kad komandiruotės duomenys perduodami viešbučiams. Tačiau po konkrečios kelionės darbuotojui prašant susipažinti paprastai turi būti galima įvardyti viešbutį, kuris gavo jo duomenis. Organizacijos apskaita ir sutartiniai srautai turėtų padėti tai nustatyti. Jei teisėtai pateikiamos tik kategorijos, jos vis tiek turi būti pakankamai konkrečios, o ne apimti beveik visas paslaugų teikėjų rūšis.
15 straipsnio 1 dalies h punktas taip pat apima informaciją apie 22 straipsnio 1 ir 4 dalyse nurodytą automatizuotą sprendimų priėmimą, įskaitant profiliavimą, prasmingą informaciją apie loginį pagrindimą, reikšmę ir numatomas pasekmes. Automatizuotų sprendimų patikra padeda nustatyti šios pareigos taikymą. Vien algoritmo pavadinimas žmogui paprastai nepaaiškina, kaip jo duomenys susiję su jam reikšmingu rezultatu.
Mokestis ir pertekliniai prašymai
Pirmoji duomenų kopija teikiama nemokamai, atsižvelgiant į 12 straipsnio 5 dalies išimtis. Už asmens prašomas papildomas kopijas galima imti pagrįstą mokestį pagal administracines išlaidas. Tačiau naujas prašymas po duomenų pasikeitimo nėra automatiškai tik papildoma senojo rinkinio kopija. Reikia vertinti prašymo turinį, laiką ir tai, ar ankstesnis atsakymas buvo išsamus.
Akivaizdžiai nepagrįstą arba perteklinį pobūdį turi įrodyti valdytojas. Vien didelis duomenų kiekis ar nemalonus pareiškėjo tonas to neįrodo. Pakartotinis kreipimasis gali būti pagrįstas, jeigu anksčiau nepateikta dalis informacijos arba organizacija toliau aktyviai tvarko naujus duomenis. Sprendimas dėl mokesčio neturi tapti automatiniu būdu perkelti įprastą atitikties darbą klientui.
Tvarkytojai, saugus pateikimas ir įvykdymo įrodymai
Kai duomenis valdytojo vardu tvarko paslaugų teikėjas, pareigų negalima palikti neaptartų iki pirmo sudėtingo prašymo. Duomenų tvarkymo sutartis pagal 28 straipsnį turi padėti praktiškai gauti reikalingą pagalbą. Tvarkytojo pagalba įgyvendinant teises siejama su tvarkymo pobūdžiu, tinkamomis techninėmis ir organizacinėmis priemonėmis bei tuo, kiek tai įmanoma. Už atsakymo organizavimą atsakingas valdytojas.
Susitarkite, kas ieško įrašų, kokiu formatu juos pateikia ir kaip nurodo paieškos ribas. Paslaugų teikėjas gali grąžinti tik savo sistemos duomenis; tai neįrodo, kad visos organizacijos paieška baigta. Gavę kelis rinkinius, patikrinkite jų suderinamumą ir trūkstamus laikotarpius. Vienodą identifikatorių skirtingos sistemos gali naudoti nevienodai, todėl mechaninis failų sujungimas kelia klaidos riziką.
Duomenis perduokite tinkamai apsaugotu būdu, patikrinę gavėją ir jo pasirinktą pateikimo formą. Elektroniniu būdu pateikus prašymą paprastai taikomas plačiai naudojamas elektroninis formatas, nebent asmuo pageidauja kitaip. Prieiga portale neturėtų būti tokia trumpa ar techniškai sudėtinga, kad žmogus faktiškai negalėtų pasiimti kopijos. Saugumas turi padėti įgyvendinti teisę, o ne padaryti ją nepasiekiamą.
Prašymo istorijoje išsaugokite gavimo datą, paieškos apimtį, sprendimą, taikytus ribojimus ir išsiųstą atsakymą ar tinkamą jo įrodymą. Šiems įrodymams taip pat reikia saugojimo pagrindo, laikotarpio ir prieigos kontrolės. Duomenų subjektų prašymų programinės įrangos vertinimas gali padėti patikrinti darbo eigą, tačiau įrankis pats nenusprendžia, kokius duomenis žmogui priklauso gauti.
Kaip patikrinti atsakymą prieš jį išsiunčiant
Įsivaizduokite klientą, kuris prašo informacijos apie užblokuotą paskyrą. Pagrindiniame eksporte yra jo vardas ir užsakymų sąrašas, tačiau atskiroje aptarnavimo sistemoje saugomos su jo veikla susijusios pastabos. Už prašymą atsakingas darbuotojas turėtų patikrinti ir šią sistemą, o ne laikyti pagrindinės duomenų bazės išrašą visos paieškos rezultatu. Jei pastabos yra asmens duomenys, įvertinamas jų pateikimas, būtinas kontekstas ir konkretūs kitų asmenų teisių ribojimai.
Kitas darbuotojas, nedalyvavęs eksporto rengime, gali peržiūrėti rinkinio suprantamumą: ar aiškūs laukų pavadinimai, ar sutampa laikotarpiai, ar atsakymas nepamini priedo, kurio nėra. Tokia papildoma peržiūra yra praktinis kokybės užtikrinimo pasirinkimas, o ne visoms organizacijoms nustatytas vienodas privalomas patvirtinimų skaičius. Ji ypač naudinga, kai duomenys gaunami iš kelių sistemų arba atsakymas apima jautrią informaciją.
Patikrinkite ir išsiuntimo veiksmą. Teisingas dokumentas, nusiųstas netinkamam adresatui, neįgyvendina prašymo saugiai. Prieš siųsdami palyginkite adresą su patvirtintu kontaktu ir įsitikinkite, kad nuoroda suteikia prieigą tik numatytam gavėjui. Išsaugotas išsiuntimo įrašas turi leisti suprasti, kokia atsakymo versija ir kada buvo pateikta, nedubliuojant viso duomenų rinkinio daugybėje nekontroliuojamų vietų.
Lietuvos praktika ir tolesni asmens veiksmai
VDAI 2024 m. liepos 2 d. sprendimu bendrovei „Vinted“ skyrė 2 385 276 eurų baudą; apie ją pranešė liepos 3 d. Institucijos išvados apėmė ir teisių įgyvendinimo bei atskaitomybės klausimus. 2025 m. gegužės 23 d. pranešime apie regioninio teismo sprendimą aiškiai nurodyta, kad jis gali būti skundžiamas. Šio istorinio pranešimo negalima pateikti kaip įrodymo, kad visi ginčai galutinai išspręsti.
Atskirai LVAT 2025 m. lapkričio 13 d. paskelbė apie lapkričio 12 d. kreipimąsi į ESTT modelinėje byloje, susijusioje su 54 individualiomis bylomis. Tarp klausimų yra atskaitomybė ir informacijos saugojimas nagrinėjant skundą. Kreipimasis dėl teisės išaiškinimo nėra galutinis atsakymas į šiuos klausimus ir neturi būti sutapatintas su galutiniu sprendimu dėl ankstesnės baudos.
Gavęs atsakymą žmogus gali patikrinti, ar pateiktos pačios reikšmės, gavėjai, saugojimo kriterijai ir paaiškinti ribojimai. Jei trūksta informacijos, naudinga konkrečiai nurodyti spragą ir išsaugoti susirašinėjimą. Duomenų apsaugos Lietuvoje gidas paaiškina platesnį priežiūros kontekstą; galimybė skųstis VDAI ar kreiptis į teismą nepriklauso nuo to, ar organizacija sutinka su pareiškėjo vertinimu.
Nustačius klaidą, duomenų tikslinimo procedūra padeda suformuluoti atskirą prašymą. Ištrynimo teisė ir duomenų perkeliamumas turi savas sąlygas. Kai keli prašymai pateikiami kartu, suplanuokite veiksmus taip, kad duomenys nebūtų sunaikinti dar neįvertinus prašymo pateikti jų kopiją ar juos perkelti. Aiški veiksmų seka saugo ir asmens interesą, ir atsakymo patikimumą.