Anonimizuoti duomenys: kada BDAR nebetaikomas

Organizacija ketina „anonimizuoti“ duomenis, kad galėtų juos naudoti statistikai, perduoti partneriui, saugoti pasibaigus terminui ar įkelti į dirbtinio intelekto (DI) įrankį. Bendrasis duomenų apsaugos reglamentas (toliau – BDAR) taikomas asmens duomenų tvarkymui (BDAR 2 str. 1 d.), bet ne anoniminei informacijai (BDAR 26 konstatuojamoji dalis). Jei žmogaus tapatybę galima nustatyti priemonėmis, kurias pagrįstai tikėtina naudoti, tai vis dar asmens duomenys, ir jiems taikomas BDAR (BDAR 4 str. 1 p., BDAR 26 konstatuojamoji dalis).

2026 m. liepos 7 d. Europos duomenų apsaugos valdyba (toliau – EDAV) priėmė Gaires 02/2026 dėl anonimizavimo. Tai versija viešajai konsultacijai: pastabas galima teikti iki 2026 m. spalio 30 d., todėl galutinis tekstas gali keistis. Valstybinė duomenų apsaugos inspekcija (toliau – VDAI) apie jas pranešė 2026 m. liepos 9 d. Gairės nėra privalomas teisės aktas: BDAR jas numato kaip priemonę, skirtą paskatinti BDAR taikyti nuosekliai (BDAR 70 str. 1 d. e p.).

Kas yra anoniminiai duomenys pagal BDAR

Asmens duomenys – bet kokia informacija apie fizinį asmenį, kurio tapatybė nustatyta arba kurio tapatybę galima nustatyti (BDAR 4 str. 1 p.). Vertinamos visos priemonės, kurias, pagrįstai tikėtina, galėtų naudoti duomenų valdytojas ar kitas asmuo, ir objektyvūs veiksniai: sąnaudos, laikas, technologijos (BDAR 26 konstatuojamoji dalis).

Pseudonimų suteikimas – ne anonimizavimas. Tai tvarkymas taip, kad duomenų nebūtų galima priskirti konkrečiam žmogui be atskirai saugomos papildomos informacijos (BDAR 4 str. 5 p.). Duomenys, kuriems suteikti pseudonimai ir kuriuos galima priskirti žmogui pasinaudojus papildoma informacija, laikomi informacija apie asmenį, kurio tapatybę galima nustatyti (BDAR 26 konstatuojamoji dalis). Pavyzdžiui, jei vardus pakeitėte kodais, bet kodų lentelę pasilikote, Jums tai tebėra asmens duomenys.

Gairėse duomenys laikomi anoniminiais, jei informacija nesusijusi su žmogumi arba jo tapatybė nenustatyta ir negali būti nustatyta (EDAV gairių 02/2026 6 punktas). Tikimybė nustatyti tapatybę neprivalo būti lygi nuliui, bet turi būti iš tikrųjų nereikšminga (EDAV gairių 02/2026 22 punktas).

Anoniminiai kam? Kiekvieno subjekto požiūris

Europos Sąjungos Teisingumo Teismas (toliau – ESTT) 2025 m. rugsėjo 4 d. sprendimu byloje C‑413/23 P aiškino ne BDAR, o Reglamentą (ES) 2018/1725. Tai BDAR „dvynys“, taikomas ES institucijoms, organams, tarnyboms ir agentūroms (ESTT 2025 m. rugsėjo 4 d. sprendimas byloje C‑413/23 P, 2 punktas). Asmens duomenų sąvoka abiejuose reglamentuose aiškinama vienodai (ESTT 2025 m. rugsėjo 4 d. sprendimas byloje C‑413/23 P, 52 punktas). Teismas išaiškino:

• valdytojui, turinčiam papildomos informacijos (byloje – Bendrai pertvarkymo valdybai), duomenys su pseudonimais išlieka asmens duomenys (ESTT 2025 m. rugsėjo 4 d. sprendimas byloje C‑413/23 P, 76 punktas);
• gavėjui jie gali nebūti asmens duomenys, jei pseudonimų suteikimas veiksmingai neleidžia jam nustatyti tapatybės (ESTT 2025 m. rugsėjo 4 d. sprendimas byloje C‑413/23 P, 86 punktas), taip pat ir sutikrinant su kitais duomenimis, ir jei pats gavėjas negali panaikinti pseudonimų suteikimo priemonių, kai duomenys tvarkomi jo kontrolėje (ESTT 2025 m. rugsėjo 4 d. sprendimas byloje C‑413/23 P, 77 punktas);
• jei negalima atmesti, kad trečiosios šalys, kurioms duomenys perduodami, turi priemonių, pagrįstai leidžiančių priskirti duomenis žmogui, žmogus laikomas asmeniu, kurio tapatybę galima nustatyti, tiek dėl šio perdavimo, tiek dėl tolesnio tų trečiųjų šalių atliekamo tvarkymo (ESTT 2025 m. rugsėjo 4 d. sprendimas byloje C‑413/23 P, 85 punktas);
• taikant pareigą informuoti apie duomenų gavėjus (Reglamento (ES) 2018/1725 15 straipsnio 1 dalies d punktas), tapatybės nustatymo galimybė vertinama duomenų rinkimo metu ir valdytojo požiūriu. Todėl pareiga taikoma dar prieš perduodant duomenis, nesvarbu, ar gavėjui jie po pseudonimų suteikimo bus asmens duomenys (ESTT 2025 m. rugsėjo 4 d. sprendimas byloje C‑413/23 P, 111 ir 112 punktai).

Mūsų vertinimu, tas pats taikytina ir BDAR. BDAR, kaip ir aiškinta nuostata, reikalauja informaciją pateikti asmens duomenų gavimo metu (BDAR 13 str. 1 d.; ESTT 2025 m. rugsėjo 4 d. sprendimas byloje C‑413/23 P, 102 punktas). Todėl renkant duomenis reikia nurodyti gavėjus (BDAR 13 str. 1 d. e p.), net jei prieš perduodant duomenims bus suteikti pseudonimai. Gairės šį sprendimą pateikia kaip BDAR pareigų taikymo pavyzdį (EDAV gairių 02/2026 14 punktas).

Gairės siūlo klausti, kam duomenys turi būti anoniminiai, ir vertinti kiekvieno tokio subjekto požiūriu. Siekis – kad duomenys būtų anoniminiai visiems atitinkamiems subjektams, o perduotus duomenis vertinti tų, kurie juos gaus, požiūriu (EDAV gairių 02/2026 11 ir 12 punktai). Jei gavėjas duomenis tvarko Jūsų vardu, vertinama iš Jūsų požiūrio: jei Jums tai asmens duomenys, jie tokie ir jam, o jis yra duomenų tvarkytojas (EDAV gairių 02/2026 15 punktas).

Keturios situacijos, kuriose „anonimizuota“ gali nereikšti anoniminio

Statistika ir ataskaitos. Suvestiniai duomenys irgi gali būti susiję su konkrečiais žmonėmis (EDAV gairių 02/2026 17 punktas). Gairių pavyzdys: iš dviejų darbo užmokesčio suvestinių ir inžinierių skaičiaus galima apskaičiuoti vieno inžinieriaus atlyginimą (EDAV gairių 02/2026 76 punktas).

Duomenys partneriui. Gairėse nurodyta, kad partnerio priemonės apima ir kito subjekto priemones, kuriomis jis gali pasinaudoti, pavyzdžiui, pasamdęs trečiąją šalį (EDAV gairių 02/2026 28 punktas). Kaip nustatyti partnerio vaidmenį, rašome straipsnyje Duomenų teikimas partneriui: valdytojas, tvarkytojas ar bendri.

Pasibaigus saugojimo terminui. Duomenys laikomi tokia forma, kad tapatybę būtų galima nustatyti ne ilgiau, nei būtina tikslams (BDAR 5 str. 1 d. e p.). Gairių teigimu, anonimizavimas, kai originalūs duomenys neištrinami, saugojimo trukmės apribojimui neprisideda (EDAV gairių 02/2026 10 punktas). Mūsų vertinimu, jei pasilikote originalą ar kodų lentelę, „anonimizuota“ kopija Jums tebėra asmens duomenys, nes Jūs pats turite priemonių tapatybei nustatyti (BDAR 4 str. 5 p., BDAR 26 konstatuojamoji dalis). Kaip nustatyti terminą, rašome straipsnyje Kiek laiko saugoti asmens duomenis.

Duomenys DI įrankiui. Jei tiekėjas duomenis tvarko Jūsų vardu, vertinama iš Jūsų požiūrio (EDAV gairių 02/2026 15 punktas). Todėl, mūsų vertinimu, išbraukti vardai nepadeda, jei Jūs pats galite atpažinti žmogų (BDAR 4 str. 1 p., BDAR 26 konstatuojamoji dalis). Gairės įspėja, kad informaciją apie konkretų žmogų galima išgauti ir iš DI modelio, pateikus jam užklausų (EDAV gairių 02/2026 82 punktas). Plačiau – straipsnyje DI įrankiai ir asmens duomenys darbe.

Anonimizavimas pats yra duomenų tvarkymas

Duomenų tvarkymas apima bet kokią operaciją su asmens duomenimis, įskaitant adaptavimą ar keitimą (BDAR 4 str. 2 p.). Gairių teigimu, principai taikomi ir operacijoms, kuriomis siekiama gauti anoniminę informaciją. Todėl anonimizavimui reikia teisinio pagrindo pagal BDAR 6 straipsnį, o jei yra specialių kategorijų duomenų – ir BDAR 9 straipsnio 2 dalies išimties. Preziumuojama, kad jie sutampa su ankstesnio tvarkymo pagrindu ir išimtimi, jei anonimizavimas yra tos pačios veiklos dalis ir tikslai tie patys (EDAV gairių 02/2026 38 punktas). Mūsų vertinimu, teisinio pagrindo reikalauja ir pats BDAR, nes anonimizavimas yra tvarkymas (BDAR 4 str. 2 p., BDAR 6 str. 1 d.).

Gairės siūlo nevadinti duomenų „anoniminiais“, jei tapatybę vis dar galima nustatyti (EDAV gairių 02/2026 40 punktas), o procesą ir jo bandymus dokumentuoti (EDAV gairių 02/2026 41 punktas).

Gairės siūlo du vertinimo būdus. Kontekstinis atsižvelgia į kiekvieno subjekto galimybes (EDAV gairių 02/2026 45 punktas). Supaprastintas jų neskiria; tai ne kitas teisinis standartas, o savanoriškas atsargesnis pasirinkimas (EDAV gairių 02/2026 48 punktas). Abiem būdais tikrinama, ar negalima išskirti vieno žmogaus įrašo, susieti duomenų su kitais šaltiniais ir padaryti išvadų apie konkretų žmogų (EDAV gairių 02/2026 52 punktas).

Kas gali nutikti, kai „anoniminiai“ duomenys yra asmens duomenys

Tada taikomos BDAR pareigos, pavyzdžiui:

• reikia teisinio pagrindo (BDAR 6 str. 1 d.);
• reikia informuoti žmones, įskaitant apie gavėjus (BDAR 13 str. 1 d. e p., BDAR 14 str. 1 d. e p.);
• reikia tinkamų saugumo priemonių (BDAR 32 str. 1 d.);
• perduodant duomenis už Europos ekonominės erdvės (EEE) ribų, taikomos perdavimo taisyklės (BDAR 44 str.);
• apie saugumo pažeidimą priežiūros institucijai pranešama nepagrįstai nedelsiant ir, jei įmanoma, ne vėliau kaip per 72 valandas, nebent jis neturėtų kelti pavojaus žmonių teisėms ir laisvėms (BDAR 33 str. 1 d.).

Gairių teigimu, saugumo incidentas gali reikšti, kad anonimiškumą reikia vertinti iš naujo (EDAV gairių 02/2026 42 punktas). Tapatybės nustatymo tikimybė laikui bėgant gali didėti; tapusi nebe nereikšminga, ji vėl daro duomenis asmens duomenimis, už kurių tvarkymą atsako valdytojas (EDAV gairių 02/2026 35 punktas).

Už principų ir teisinio pagrindo pažeidimą gali būti skirta bauda iki dvidešimties milijonų eurų arba, įmonės atveju, iki keturių procentų ankstesnių finansinių metų bendros metinės pasaulinės apyvartos, taikant didesnę sumą (BDAR 83 str. 5 d. a p.). Tos pačios ribos taikomos už duomenų subjekto teisių ir tarptautinio perdavimo taisyklių pažeidimą (BDAR 83 str. 5 d. b ir c p.). Už saugumo pareigų pažeidimą – iki dešimties milijonų eurų arba iki dviejų procentų tokios apyvartos, taikant didesnę sumą (BDAR 83 str. 4 d. a p.). Patyręs materialinę ar nematerialinę žalą žmogus turi teisę į kompensaciją (BDAR 82 str. 1 d.).

Kada kreiptis į teisininką

• kai ketinate perduoti „anonimizuotus“ duomenis partneriui, tyrėjams ar viešai juos skelbti;
• kai norite pasilikti duomenis pasibaigus saugojimo terminui ir vietoje ištrynimo juos anonimizuoti;
• kai darbuotojai į DI įrankius įkelia duomenis, iš kurių išbraukti tik vardai;
• kai skelbiate statistiką apie mažas žmonių grupes;
• kai įvyko incidentas, o nutekėję duomenys laikyti anoniminiais.