Tiesības tikt aizmirstam (GDPR 17. pants): datu dzēšana 2026

Tiesības tikt aizmirstam — pareizāk sauktas par tiesībām uz dzēšanu — pēc Vispārīgās datu aizsardzības regulas (VDAR) 17. panta dod datu subjektam tiesības panākt, ka pārzinis bez nepamatotas kavēšanās dzēš viņa personas datus, ja iestājas viens no sešiem likumā noteiktajiem pamatiem. Tās nav absolūtas tiesības: dzēšanu var atteikt, ja iestājas kāds no 17. panta 3. punkta izņēmumiem, piemēram, juridisks pienākums glabāt datus vai tiesisku prasību aizstāvība. Pārzinim pieprasījums jāizpilda viena mēneša laikā, un, ja dati bijuši izpausti citiem, tam jāinformē saņēmēji (19. pants) un — publiskotu datu gadījumā — jāveic saprātīgi pasākumi, lai informētu arī citus pārziņus (17. panta 2. punkts). Šajā rakstā izklāstīti visi dzēšanas pamati, izņēmumi un praktiskais izpildes process Latvijā.

Kad iestājas tiesības uz dzēšanu (17. panta 1. punkts)

VDAR 17. panta 1. punktā uzskaitīti seši pamati, kuru iestāšanās gadījumā pārzinim dati jādzēš:

• a) personas dati vairs nav nepieciešami nolūkiem, kuriem tie tika vākti vai apstrādāti;
• b) datu subjekts atsauc piekrišanu, uz kuras balstīta apstrāde, un citas tiesiskā pamata nav;
• c) datu subjekts iebilst pret apstrādi (21. pants) un nepastāv nepārkāpjoši leģitīmi apstrādes iemesli, vai iebilst pret apstrādi tiešā mārketinga nolūkos;
• d) personas dati apstrādāti nelikumīgi;
• e) dati jādzēš, lai izpildītu juridisku pienākumu, kas pārzinim noteikts ES vai dalībvalsts tiesībās;
• f) dati vākti saistībā ar informācijas sabiedrības pakalpojumu piedāvāšanu bērnam (8. panta 1. punkts).

Pietiek ar viena pamata iestāšanos. Praksē visbiežāk sastopamie ir pirmais (dati kļuvuši lieki) un otrais (piekrišanas atsaukšana) — tāpēc dzēšanas tiesības ir cieši saistītas ar glabāšanas ierobežojumu (5. pants) un piekrišanu (7. pants).

Piemērs no Latvijas prakses: Lursoft

DVI lieta pret SIA “Lursoft IT” (65 000 EUR sods, lēmums 2020. gadā, publiskots 2021. gada februārī) labi ilustrē saikni starp dzēšanu un glabāšanas ierobežojumu. Uzņēmums cita starpā glabāja maksātnespējas datus ilgāk, nekā atļauts — pieci gadi tur, kur pieļaujams bija tikai viens gads —, kā arī publicēja Uzņēmumu reģistra nepubliskās daļas datus bez tiesiska pamata. Kad dati vairs nebija nepieciešami sākotnējiem nolūkiem un tika glabāti pretlikumīgi, iestājās gan 17. panta 1. punkta a) un d) apakšpunkts. Šis piemērs rāda, ka novēlota dzēšana nav tikai formāls pārkāpums, bet var izraisīt būtisku sodu.

Izņēmumi: kad dzēšanu drīkst atteikt (17. panta 3. punkts)

Tiesības uz dzēšanu nepiemēro, ciktāl apstrāde nepieciešama:

• vārda un informācijas brīvības īstenošanai;
• lai izpildītu juridisku pienākumu vai veiktu uzdevumu sabiedrības interesēs vai īstenojot pārzinim piešķirtās oficiālās pilnvaras;
• sabiedrības veselības jomā (9. panta 2. punkta h) un i) apakšpunkts un 3. punkts);
• arhivēšanai sabiedrības interesēs, zinātniskās vai vēstures pētniecības nolūkos vai statistikas nolūkos (89. panta 1. punkts);
• tiesisku prasību celšanai, īstenošanai vai aizstāvībai.

Praktiski nozīmīgākais izņēmums Latvijas uzņēmumiem ir juridiskais pienākums glabāt datus — piemēram, grāmatvedības dokumenti, nodokļu un darba tiesību dati, kurus likums prasa saglabāt noteiktu periodu. Šādā gadījumā pārzinis nedzēš datus, bet ierobežo to apstrādi līdz glabāšanas termiņa beigām un pēc tam dzēš. Svarīgi neizmantot izņēmumus pārāk plaši: atsauce uz “iespējamu nākotnes strīdu” bez reāla pamata nav pietiekama.

Kā izpildīt dzēšanas pieprasījumu

Termiņš un identitāte

Tāpat kā piekļuves gadījumā, pieprasījums jāizpilda viena mēneša laikā (12. panta 3. punkts), ar iespēju pagarināt par diviem mēnešiem sarežģītos gadījumos. Pirms dzēšanas jāpārbauda pieprasītāja identitāte (12. panta 6. punkts) — neatgriezeniska dzēšana, pamatojoties uz svešu pieprasījumu, pati var būt pārkāpums.

Pienākums informēt saņēmējus (19. pants)

Ja personas dati bijuši izpausti citiem saņēmējiem, pārzinim par dzēšanu jāpaziņo katram no tiem, izņemot gadījumus, kad tas nav iespējams vai prasa nesamērīgas pūles. Pēc datu subjekta lūguma pārzinim jāinformē datu subjekts par šiem saņēmējiem. Tieši šeit noder apstrādes darbību reģistrs (ROPA, 30. pants), kurā fiksēti visi saņēmēji.

Publiskoto datu gadījums (17. panta 2. punkts)

Ja pārzinis datus ir publiskojis un tam jādzēš, tam, ņemot vērā pieejamo tehnoloģiju un īstenošanas izmaksas, jāveic saprātīgi pasākumi, tostarp tehniski, lai informētu citus pārziņus, kas apstrādā šos datus, ka datu subjekts pieprasa dzēst saites uz šiem datiem vai to kopijas. Šī norma ir tā, kas piešķīra jēdzienu “tiesības tikt aizmirstam” — tā izriet no Google Spain lietas un attiecas jo īpaši uz meklētājprogrammu rezultātiem.

Dzēšana, glabāšanas termiņi un citas tiesības

Dzēšanas tiesības nedarbojas izolēti. Ja pārzinis konsekventi ievēro glabāšanas ierobežojumu (5. pants) un uztur dzēšanas grafikus, daudzi dzēšanas pieprasījumi kļūst lieki — dati jau ir izdzēsti termiņā. Bieži dzēšanas pieprasījumam priekšā iet piekļuves pieprasījums (15. pants): datu subjekts vispirms noskaidro, kādi dati tiek glabāti, un tad lūdz tos dzēst. Publiskajā privātuma politikā jābūt skaidri aprakstītām gan dzēšanas tiesībām, gan to izmantošanas kārtībai. Ja apstrādes pamats bija piekrišana, tās atsaukšanai jābūt tikpat vienkāršai kā sniegšanai (7. panta 3. punkts), un pēc atsaukšanas iestājas dzēšanas pienākums, ja nav cita tiesiskā pamata.

Dzēšana un apstrādes ierobežošana: kad tās nošķirt

Dzēšana nav vienīgā atbilde uz nevēlamu apstrādi. Ja datu subjekts apstrīd datu precizitāti, iebilst pret apstrādi vai apstrāde ir nelikumīga, bet persona nevēlas dzēšanu, piemēro apstrādes ierobežošanu (18. pants) — dati tiek “iesaldēti” un tikai glabāti, bet netiek citādi apstrādāti. Praksē tas ir lietderīgi pārejas situācijās: kamēr pārzinis pārbauda dzēšanas pamatu vai izvērtē izņēmumu, dati tiek ierobežoti, nevis uzreiz izdzēsti vai brīvi izmantoti. Tāpat, ja iestājas juridisks glabāšanas pienākums, dati netiek dzēsti, bet gan ierobežoti līdz termiņa beigām un tikai pēc tam neatgriezeniski dzēsti.

Svarīgi arī nošķirt dzēšanu no anonimizācijas. Ja pārzinis datus neatgriezeniski anonimizē tā, ka persona vairs nav identificējama, dzēšanas mērķis ir sasniegts — uz anonimizētiem datiem VDAR vairs neattiecas. Tas ļauj saglabāt datu analītisko vērtību (piemēram, statistikai), vienlaikus izpildot dzēšanas pieprasījumu. Pseidonimizācija šim nolūkam nav pietiekama, jo pseidonimizēti dati joprojām ir personas dati un uz tiem attiecas dzēšanas pienākums.

Ko vērtē DVI

Datu valsts inspekcija dzēšanas lietās pārbauda, vai iestājies dzēšanas pamats, vai pārzinis pamatoti atsaucies uz izņēmumu un vai ievērots termiņš. DVI lēmumi rāda, ka novēlota vai pārmērīga datu glabāšana tiek vērtēta stingri, jo īpaši, ja tā skar sensitīvus datus vai lielu personu skaitu. Maksimālais sods par datu subjekta tiesību pārkāpumiem sasniedz 20 miljonus EUR vai 4 % no gada apgrozījuma (83. panta 5. punkts). Sīkāku Latvijas regulējumu, tostarp nacionālos ierobežojumus, nosaka Fizisko personu datu apstrādes likums.

Biežāk uzdotie jautājumi

Vai tiesības tikt aizmirstam ir absolūtas?

Nē. Dzēšanu var atteikt, ja iestājas kāds no 17. panta 3. punkta izņēmumiem — vārda brīvība, juridisks pienākums, sabiedrības intereses, arhivēšana vai tiesisku prasību aizstāvība. Katrs atteikums jāpamato ar konkrētu izņēmumu, nevis vispārīgu atsauci.

Cik ilgā laikā jāizdzēš dati?

Viena mēneša laikā no pieprasījuma saņemšanas. Sarežģītos gadījumos termiņu var pagarināt par diviem mēnešiem, informējot datu subjektu par pagarinājumu un tā iemesliem pirmā mēneša laikā.

Kas jādara, ja dati nodoti citiem uzņēmumiem?

Pārzinim par dzēšanu jāpaziņo katram saņēmējam, kam dati izpausti (19. pants), ja vien tas nav neiespējami vai neprasa nesamērīgas pūles. Ja dati bijuši publiskoti, papildus jāveic saprātīgi tehniski pasākumi, lai informētu citus pārziņus par dzēšanas pieprasījumu.

Vai grāmatvedības datus var pieprasīt dzēst?

Parasti nē, kamēr ir spēkā likumā noteiktais glabāšanas pienākums. Šādā gadījumā piemēro 17. panta 3. punkta izņēmumu par juridisku pienākumu, un dati jādzēš tikai pēc glabāšanas termiņa beigām.

Secinājums

Tiesības tikt aizmirstam pēc VDAR 17. panta ir spēcīgs, bet nosacīts instruments: dzēšana obligāta, ja iestājas kāds no sešiem pamatiem, un atsakāma tikai konkrētu izņēmumu ietvaros. Lursoft lieta rāda, ka novēlota vai pretlikumīga datu glabāšana Latvijā izmaksā reālu naudu — 65 000 EUR. Praktiski labākā aizsardzība ir nevis reaģēt uz katru pieprasījumu atsevišķi, bet uzturēt dzīvu apstrādes reģistru ar glabāšanas termiņiem un automatizētiem dzēšanas grafikiem. Platforma Legiscope palīdz uzturēt šos termiņus un reģistrēt datu subjektu pieprasījumus ES infrastruktūrā. Sāciet ar glabāšanas termiņu kartēšanu — tā vairums dzēšanas pieprasījumu tiek atrisināti, pirms tie vispār rodas.