Teisė susipažinti su duomenimis (BDAR 15 str.): gidas 2026

Teisė susipažinti su asmens duomenimis (angl. right of access) – tai duomenų subjekto teisė gauti iš duomenų valdytojo patvirtinimą, ar jo asmens duomenys tvarkomi, ir, jei taip, susipažinti su tais duomenimis bei gauti nustatytą informaciją apie tvarkymą. Pagal Bendrojo duomenų apsaugos reglamento (BDAR) 15 straipsnį valdytojas privalo į prašymą atsakyti nedelsdamas ir ne vėliau kaip per vieną mėnesį nuo jo gavimo, o pirmą duomenų kopiją pateikti nemokamai. Ši teisė yra visų kitų duomenų subjekto teisių pagrindas – be jos asmuo negalėtų sužinoti, ką ir kaip organizacija apie jį tvarko.

Praktiškai tai viena dažniausiai įgyvendinamų ir dažniausiai netinkamai vykdomų teisių. Šiame straipsnyje paaiškinu, ką tiksliai reikia pateikti, per kokį terminą, kokios išimtys taikomos ir kaip pasirengti prašymams. Prašymus svarbu susieti su tvarkymo veiklos įrašais, kad greitai rastumėte, kur konkretaus asmens duomenys tvarkomi.

Ką valdytojas privalo pateikti

15 straipsnio 1 dalis numato, kad subjektas turi teisę sužinoti:

1. Tvarkymo tikslus.
2. Atitinkamų asmens duomenų kategorijas.
3. Gavėjus arba gavėjų kategorijas, ypač gavėjus trečiosiose valstybėse.
4. Numatomą saugojimo laikotarpį arba jo nustatymo kriterijus pagal saugojimo ribojimą.
5. Teisę reikalauti ištaisyti, ištrinti duomenis ar apriboti tvarkymą ir teisę nesutikti.
6. Teisę pateikti skundą VDAI.
7. Informaciją apie duomenų šaltinį, jei duomenys gauti ne iš subjekto.
8. Informaciją apie automatizuotą sprendimų priėmimą, įskaitant profiliavimą, ir jo logiką bei reikšmę.

Be šios informacijos, valdytojas privalo pateikti tvarkomų asmens duomenų kopiją (15 str. 3 d.). Pirmoji kopija nemokama; už papildomas kopijas galima imti pagrįstą mokestį, pagrįstą administracinėmis išlaidomis.

Kaip pateikti duomenų kopiją

Kopija pateikiama subjektui suprantama forma. Jei prašymas pateiktas elektroninėmis priemonėmis, informacija paprastai teikiama plačiai naudojamu elektroniniu formatu, nebent subjektas prašo kitaip (15 str. 3 d.). Svarbu, kad kopijoje nebūtų atskleisti kitų asmenų duomenys – tokiais atvejais duomenys pašalinami arba užtušuojami, tačiau tai negali tapti pretekstu atsisakyti pateikti visą subjekto informaciją.

Terminai ir jų pratęsimas

Atsakyti reikia per vieną mėnesį nuo prašymo gavimo (BDAR 12 str. 3 d.). Sudėtingais atvejais arba esant daug prašymų terminą galima pratęsti dar dviem mėnesiais, apie tai per pirmąjį mėnesį informuojant subjektą ir nurodant vėlavimo priežastis. Jei valdytojas neketina tenkinti prašymo, jis vis tiek privalo per mėnesį informuoti subjektą apie priežastis ir teisę pateikti skundą VDAI bei kreiptis į teismą.

Prašymo forma nėra reglamentuota – subjektas gali kreiptis raštu, elektroniniu paštu ar net žodžiu. Valdytojas gali paprašyti papildomos informacijos tapatybei patvirtinti, jei kyla pagrįstų abejonių (12 str. 6 d.), tačiau tai neturi tapti dirbtine kliūtimi.

Kada galima atsisakyti

Prašymą galima atmesti arba imti mokestį tik jei jis akivaizdžiai nepagrįstas arba perteklinis, ypač dėl pasikartojimo (12 str. 5 d.); tokiu atveju įrodinėjimo našta tenka valdytojui. 15 straipsnio 4 dalis taip pat numato, kad teisė gauti kopiją neturi daryti neigiamo poveikio kitų asmenų teisėms ir laisvėms. Nacionalinė teisė gali numatyti tam tikrus apribojimus (BDAR 23 str.), tačiau bendra atsisakymo priežastis turi būti aiškiai pagrįsta.

Kodėl tinkamas vykdymas kritiškai svarbus

Lietuvos praktika rodo, kad netinkamas duomenų subjektų teisių įgyvendinimas gali kainuoti brangiai. 2024 m. VDAI skyrė 2 385 276 eurų baudą UAB „Vinted" – tai viena didžiausių baudų Lietuvoje. Byla kilo iš skundų dėl netinkamai vykdytų prašymų susipažinti ir ištrinti duomenis: VDAI nustatė, kad bendrovė neįrodė tinkamai atsakiusi į prašymus, teikė nepakankamai kokybišką informaciją ir netinkamai vykdė atskaitomybės principą (BDAR 5 str. 2 d., 12 str.). Byla parodo, kad svarbu ne tik atsakyti, bet ir įrodyti, jog atsakyta tinkamai.

Dažnos klaidos

• Termino praleidimas. Vieno mėnesio terminas skaičiuojamas nuo prašymo gavimo, ne nuo tapatybės patvirtinimo pabaigos, jei abejonių dėl tapatybės nekyla.
• Perteklinio tapatybės tikrinimo naudojimas kaip kliūties. Papildomų dokumentų galima prašyti tik esant pagrįstų abejonių.
• Atsakymo nedokumentavimas. „Vinted" byla parodė, kad valdytojas turi įrodyti tinkamai atsakęs – todėl kiekvieną prašymą ir atsakymą reikia registruoti.
• Kitų asmenų duomenų atskleidimas kopijoje. Prieš pateikiant kopiją būtina pašalinti trečiųjų asmenų duomenis.

Prašymo nagrinėjimo eiga

Kad prašymai būtų vykdomi laiku ir tinkamai, naudinga turėti aiškią vidinę seką. Pirma, prašymo gavimas ir registravimas: bet kokia forma gautas prašymas iškart įrašomas, fiksuojant gavimo datą, nuo kurios skaičiuojamas vieno mėnesio terminas. Antra, tapatybės patikra: jei kyla pagrįstų abejonių dėl prašančiojo tapatybės, galima paprašyti papildomos informacijos (BDAR 12 str. 6 d.), tačiau tai neturi tapti dirbtine kliūtimi ir nestabdo termino, jei abejonių nekyla.

Trečia, duomenų paieška: naudojant tvarkymo veiklos įrašus nustatoma, kuriose sistemose ir pas kuriuos tvarkytojus yra asmens duomenų. Ketvirta, trečiųjų asmenų duomenų pašalinimas: iš kopijos pašalinami kitų asmenų duomenys, bet ne pati subjekto informacija. Penkta, atsakymo parengimas: pateikiama 15 straipsnio informacija ir duomenų kopija suprantama forma. Šešta, dokumentavimas: išsaugomas įrašas, kad į prašymą atsakyta laiku ir tinkamai.

Ši seka svarbi dėl įrodinėjimo naštos. „Vinted" byloje VDAI kritikavo ne tik atsakymų turinį, bet ir tai, kad bendrovė neįrodė tinkamai atsakiusi. Todėl kiekvieno prašymo istorija – gavimas, veiksmai, atsakymo turinys ir data – turi būti atsekama. Organizacijoms, gaunančioms daug prašymų, verta turėti standartinius atsakymų šablonus ir bendrą prašymų žurnalą, apimantį visas subjektų teises – susipažinimą, ištrynimą, perkeliamumą.

Ypatingas 15 straipsnio elementas – informacija apie automatizuotą sprendimų priėmimą ir profiliavimą (15 str. 1 d. h p.). Jei organizacija priima subjektui reikšmingus sprendimus automatizuotai, ji privalo atskleisti tokio tvarkymo logiką, reikšmę ir numatomas pasekmes. Tai vis aktualiau plečiantis algoritminiams sprendimams kredito, draudimo ar įdarbinimo srityse, todėl į atsakymo šabloną verta iš karto įtraukti ir šį punktą.

Teisė susipažinti ir kitos teisės

Susipažinimo teisė yra praktinis kitų teisių atspirties taškas: tik sužinojęs, ką ir kaip organizacija apie jį tvarko, subjektas gali pasinaudoti teise reikalauti ištaisyti, ištrinti duomenis ar apriboti tvarkymą. Todėl į susipažinimo prašymą pateikta informacija turi būti pakankamai konkreti – vien bendra frazė „tvarkome jūsų duomenis paslaugų teikimo tikslu" netenkina 15 straipsnio, jei ji neleidžia subjektui suprasti realaus tvarkymo masto.

Praktiškai vienas asmuo dažnai pateikia kelias teises kartu – pavyzdžiui, prašo ir susipažinti, ir ištrinti, ir perkelti duomenis. Tokiu atveju kiekvieną prašymą reikia įvertinti atskirai pagal jam taikomą pagrindą, bet atsakyti nuosekliai ir per bendrą vieno mėnesio terminą. Bendras prašymų žurnalas, apimantis visas teises, padeda išvengti nenuoseklių atsakymų – būtent nenuoseklumas ir buvo viena „Vinted" byloje kritikuotų aplinkybių.

Dažnai užduodami klausimai

Per kiek laiko reikia atsakyti į prašymą susipažinti?

Per vieną mėnesį nuo prašymo gavimo. Sudėtingais atvejais terminą galima pratęsti dar dviem mėnesiais, per pirmąjį mėnesį informavus subjektą apie pratęsimą ir jo priežastis.

Ar už duomenų kopiją galima imti mokestį?

Pirmoji kopija pateikiama nemokamai. Už papildomas kopijas galima imti pagrįstą, administracinėmis išlaidomis grįstą mokestį. Mokestį galima imti ir tuomet, kai prašymas akivaizdžiai nepagrįstas arba perteklinis.

Ką daryti, jei duomenyse yra kito asmens informacijos?

Kopijoje pašalinami arba užtušuojami trečiųjų asmenų duomenys. Tai negali būti pretekstas atsisakyti pateikti visą subjekto informaciją – pašalinama tik tai, kas atskleistų kitų asmenų duomenis.

Ar prašymas turi būti pateiktas raštu?

Ne. Prašymą galima pateikti bet kokia forma, įskaitant žodžiu. Tačiau naudinga turėti procedūrą, leidžiančią prašymą registruoti ir atsakymą dokumentuoti.

Ar reikia atsakyti į prašymą, gautą per socialinį tinklą ar žodžiu?

Taip. 15 straipsnio teisė nesiejama su konkrečia forma – prašymas galioja, kad ir kaip pateiktas. Svarbu turėti procedūrą, leidžiančią tokį prašymą atpažinti, registruoti ir laiku įvykdyti, nepriklausomai nuo kanalo. Jei prašymas gautas neįprastu kanalu, galima paprašyti patvirtinti tapatybę, bet ne atmesti jį vien dėl formos.

Ar galima atsisakyti pateikti vidinius dokumentus, kuriuose minimas asmuo?

Teisė susipažinti apima asmens duomenis, o ne būtinai visus dokumentus. Pateikiami duomenys apie asmenį, bet ne, pavyzdžiui, vidinės teisinės analizės ar trečiųjų asmenų duomenys. Vis dėlto negalima remtis vien „vidiniu" dokumento pobūdžiu, kad būtų atsisakyta pateikti pačius asmens duomenis – tokį atsisakymą reikia pagrįsti konkrečia norma.

Išvada

Teisė susipažinti reiškia patvirtinimą apie tvarkymą, nustatytą informaciją ir asmens duomenų kopiją, pateikiamą per vieną mėnesį, o pirmą kopiją – nemokamai. „Vinted" byla su 2 385 276 eurų bauda parodė, kad valdytojas turi ne tik atsakyti, bet ir įrodyti tinkamą atsakymą. Pasirenkite iš anksto: susiekite prašymus su tvarkymo veiklos įrašais, turėkite aiškią procedūrą, dokumentuokite kiekvieną atsakymą ir vykdykite terminus. Tai apsaugo tiek subjekto teises, tiek organizaciją nuo baudų.

Teisinė informacija: BDAR 15 straipsnis (EUR-Lex) · Asmens duomenų teisinės apsaugos įstatymas (e-seimas) · VDAI.

Šis straipsnis yra bendro pobūdžio informacija ir nėra teisinė konsultacija. Platformos, tokios kaip Legiscope, padeda registruoti ir vykdyti duomenų subjektų prašymus.