Prašymas susipažinti su duomenimis: terminas ir atsakymas

Į prašymą susipažinti su asmens duomenimis reikia atsakyti nepagrįstai nedelsiant, bet ne vėliau kaip per vieną mėnesį nuo jo gavimo (BDAR 12 str. 3 d.). Atsakymą sudaro trys dalys: patvirtinimas, ar žmogaus duomenys tvarkomi, jų kopija ir informacija apie tvarkymą (BDAR 15 str. 1 d., BDAR 15 str. 3 d.). Pirmoji kopija pateikiama be jokio mokesčio. Mokestį galima imti tik už papildomas kopijas arba kai prašymas akivaizdžiai nepagrįstas ar neproporcingas, ir tai įrodyti turi valdytojas (BDAR 12 str. 5 d., BDAR 15 str. 3 d.). Papildomos informacijos tapatybei patvirtinti galima prašyti tik turint pagrįstų abejonių (BDAR 12 str. 6 d.).

Čia rašome apie prašymus susipažinti su duomenimis. Jeigu žmogus reikalauja duomenis ištrinti, žr. straipsnį asmens duomenys paskelbti be sutikimo: ką daryti. Kai prašoma vaizdo įrašo, taikomos ir papildomos taisyklės dėl kitų kadre esančių žmonių. Kada prašymą ištrinti duomenis privaloma įvykdyti ir kada galima atsisakyti, rašome straipsnyje Prašymas ištrinti duomenis: kada privaloma, o kada galima atsisakyti.

Ką turi apimti atsakymas

BDAR 15 str. 1 d. išvardija, ką žmogus turi teisę sužinoti: tvarkymo tikslus, duomenų kategorijas, gavėjus, saugojimo laikotarpį ar jo kriterijus, savo teises, teisę pateikti skundą, duomenų šaltinį, jei duomenys gauti ne iš jo, ir automatizuotus sprendimus. Jeigu duomenys perduodami į trečiąją valstybę, žmogus turi teisę žinoti ir apie apsaugos priemones (BDAR 15 str. 2 d.). Vien nuoroda į privatumo politiką šios pareigos paprastai neįvykdo: ji nepateikia duomenų kopijos, o bendrą informaciją gali tekti pritaikyti būtent tam asmeniui.

Europos duomenų apsaugos valdyba (EDPB) gairėse 01/2022 dėl teisės susipažinti su duomenimis (2.1 versija, priimta 2023 m. kovo 28 d.) išaiškina kelis dalykus, dėl kurių galima suklysti:

• valdytojas turi ieškoti duomenų visose IT sistemose ir popieriniuose rinkiniuose, o ne vienoje duomenų bazėje;
• teisė neturi būti aiškinama pernelyg siaurai ir gali apimti duomenis, kurie susiję ir su kitais asmenimis, pavyzdžiui, susirašinėjimą;
• žmogus neprivalo nurodyti, kodėl prašo;
• vertinama padėtis prašymo gavimo dieną, ir pateikti reikia net neteisingus ar neteisėtai tvarkomus duomenis.

Kai prašymas pateiktas elektroninėmis priemonėmis, informacija pateikiama įprastai naudojama elektronine forma, nebent žmogus paprašo kitaip (BDAR 15 str. 3 d.).

Terminas: nuo kada skaičiuojamas ir kada jį galima pratęsti

Mėnuo skaičiuojamas nuo prašymo gavimo. EDPB nurodo, kad terminas prasideda, kai prašymas pasiekia valdytoją vienu iš jo oficialių kanalų, ir nebūtina, kad valdytojas iš tikrųjų apie jį žinotų (01/2022, 159 p.). Prašymas, atėjęs į bendrą organizacijos el. paštą, kuris nurodytas kaip kontaktas, bet per atostogas niekas jo neskaito, terminą jau pradėjo. EDPB pavyzdys (32 pavyzdys): prašymas gautas kovo 5 d., atsakyti reikia ne vėliau kaip iki balandžio 5 d. Jeigu paskutinė diena yra savaitgalis ar šventė, atsakoma iki kitos darbo dienos (161 p.).

Terminą galima pratęsti dar dviem mėnesiais, jeigu to reikia dėl prašymų sudėtingumo ir skaičiaus. Apie pratęsimą ir jo priežastis žmogus informuojamas per pirmąjį mėnesį (BDAR 12 str. 3 d.). EDPB pabrėžia, kad tai išimtis (162 p.), o vien didelės pastangos prašymo sudėtingu nepadaro (164 p.).

Jeigu nusprendžiate prašymo netenkinti, per tą patį mėnesį turite nurodyti priežastis ir galimybę pateikti skundą priežiūros institucijai bei pasinaudoti teisių gynimo priemone (kreiptis į teismą) (BDAR 12 str. 4 d.).

Viena organizacija sulaukė pakartotinių buvusios darbuotojos klausimų ir paprašė padėti parengti oficialų atsakymą. Pirmiausia verta patikrinti, ar organizacija turi bent vieną dokumentą, kuriame nustatyta, per kiek laiko atsakoma duomenų subjektui. Tokio dokumento nebuvo. Tokiu atveju terminas nežinomas ne tik prašymą pateikusiam asmeniui, bet ir pačiai organizacijai.

Tapatybės patikrinimas

Jeigu valdytojas turi pagrįstų abejonių dėl prašymą pateikusio asmens tapatybės, jis gali paprašyti papildomos informacijos (BDAR 12 str. 6 d.). Tai galimybė, o ne kiekvieno prašymo pirmas žingsnis. EDPB nurodo, kad prašoma informacija turi būti proporcinga tvarkomų duomenų rūšiai ir galimai žalai (01/2022, 70 p.). Jeigu žmogus jau identifikuotas, pavyzdžiui, prisijungęs prie savo paskyros, reikalauti asmens dokumento kopijos yra neproporcinga (73 p.). Apskritai asmens dokumento kopija paprastai neturėtų būti laikoma tinkama tapatybės patvirtinimo priemone (74–75 p.). Jei dokumentą vis dėlto patikrinote, EDPB siūlo jo nekopijuoti, o pasižymėti „patikrinta asmens tapatybės kortelė“ (79 p.).

Jeigu papildomos informacijos paprašyta nedelsiant, prašymo vykdymas gali būti laikinai sustabdytas, kol ji gaunama (01/2022, 159 p.). Jeigu tapatybė lieka nepatvirtinta ir valdytojas prašymo nevykdo, jis per mėnesį nurodo priežastis ir galimybę pateikti skundą priežiūros institucijai bei kreiptis į teismą (BDAR 12 str. 4 d.).

Kitų žmonių duomenys ir kiti apribojimai

Teisė gauti kopiją negali daryti neigiamo poveikio kitų teisėms ir laisvėms (BDAR 15 str. 4 d.). Tačiau tai nėra pagrindas atmesti prašymą visiškai. EDPB nurodo, kad turėtų būti pašalinamos arba padaromos neįskaitomos tik tos dalys, kurios gali pakenkti kitiems, o valdytojas turi gebėti tą žalą įrodyti. Ši išimtis netaikoma informacijai apie tvarkymą pagal BDAR 15 str. 1 d.

Viena įstaiga susirinkimus įrašinėjo garso įrašu. Darbuotojui, paprašiusiam įrašo, ji pasiūlė tik jo paties pasisakymus. Toks atsakymas gali būti per siauras. Duomenimis apie asmenį gali būti ir tai, kas kalbėta apie jį ar jam atsakant. Su juo nesusijusių dalių pateikti nereikia, tačiau jo duomenis turinčias dalis slėpti galima tik tiek, kiek valdytojas gali įrodyti konkrečią žalą kitiems (BDAR 15 str. 4 d.; EDPB 01/2022, santrauka). Kam ir ką privaloma pateikti, kai prašoma vaizdo įrašo, rašome straipsnyje Vaizdo įrašo prašymas: kam ir ką privaloma pateikti.

Kitus apribojimus gali nustatyti tik Sąjungos ar valstybės narės teisė pagal BDAR 23 str. 1 d. Jie turi būti nustatyti teisėkūros priemone (teisės akte), o ne valdytojo vidaus tvarkoje.

Mokestis ir akivaizdžiai nepagrįsti prašymai

Pagal BDAR 12 str. 5 d. valdytojas gali imti pagrįstą mokestį arba atsisakyti veikti, kai prašymai akivaizdžiai nepagrįsti arba neproporcingi, visų pirma dėl pasikartojančio turinio. Be to, už papildomas kopijas galima imti pagrįstą mokestį pagal administracines išlaidas (BDAR 15 str. 3 d.).

EDPB šias išimtis prašo aiškinti siaurai. Prašymas nėra perteklinis vien todėl, kad žmogus nenurodo priežasčių, vartoja nemandagią kalbą ar ketina duomenis naudoti pretenzijoms prieš valdytoją (01/2022, 189 p.). Perteklinis jis gali būti, kai žmogus siūlo prašymą atsiimti mainais už naudą arba kai prašymais sistemingai, pavyzdžiui, kas savaitę, siekiama sutrikdyti valdytojo veiklą (190 p.).

Vienu atveju prašymas susipažinti su duomenimis atkeliavo kartu su kaltinimais ir grasinimais skųstis kelioms institucijoms. Tai nepadaro prašymo nepagrįstu. Į jį reikėjo atsakyti iš esmės ir laiku, o tapatybės patvirtinimo prašyti tik tiek, kiek iš tiesų reikėjo abejonei pašalinti.

Kas nutinka, kai atsakoma ne laiku ar ne iki galo

Praėjus mėnesiui be tinkamo atsakymo, žmogus gali skųstis Valstybinei duomenų apsaugos inspekcijai. Skundo dėl teisių įgyvendinimo, pateikto nepraėjus mėnesiui, VDAI nenagrinėja (ADTAĮ 27 str. 2 d. 3 p.). Kaip toks skundas nagrinėjamas, aprašėme straipsnyje skundas VDAI: kiek trunka ir kas būna toliau.

Duomenų subjekto teisių pažeidimams (BDAR 83 str. 5 d. b p.) taikoma griežčiausia baudų grupė: iki dvidešimties milijonų eurų arba, jei tai įmonė, iki 4 % visos jos ankstesnių finansinių metų pasaulinės metinės apyvartos, atsižvelgiant į tai, kuri suma didesnė (BDAR 83 str. 5 d.). Žmogus, patyręs žalą, gali reikalauti kompensacijos (BDAR 82 str. 1 d.).

Klaidos, kurių reikia vengti:

• vietoj duomenų kopijos išsiunčiama nuoroda į privatumo politiką;
• terminas skaičiuojamas nuo tada, kai prašymą pamatė atsakingas asmuo;
• atsisakant nenurodoma teisė skųstis ir kreiptis į teismą;
• iš kiekvieno reikalaujama asmens dokumento kopijos;
• prašymas atmetamas, nes žmogus su organizacija ginčijasi;
• gavus prašymą ištrinami duomenys, kurie tą dieną dar buvo.

Kada kreiptis į teisininką

• kai prašo (buvęs) darbuotojas, klientas ar kita ginčo šalis;
• kai prašymas apima el. laiškus, pokalbių įrašus ar didelį duomenų kiekį;
• kai atsakyme būtų kitų žmonių duomenų ar komercinių paslapčių;
• kai svarstote prašymą atmesti kaip akivaizdžiai nepagrįstą ar perteklinį;
• kai VDAI jau paprašė paaiškinimų.