Asmens kodas ir dokumento kopija: ko galima prašyti kliento

Kliento asmens kodą galima tvarkyti tik tada, kai tam yra vienas iš BDAR 6 straipsnyje nurodytų pagrindų (ADTAĮ 3 str. 1 d.). Asmens kodo negalima skelbti viešai (ADTAĮ 3 str. 2 d.) ir negalima naudoti tiesioginei rinkodarai (ADTAĮ 3 str. 3 d.). Net ir turint pagrindą, kodo prašoma tik tada, kai jo tikrai reikia konkrečiam tikslui (BDAR 5 str. 1 d. c p.). Asmens dokumento kopija klientų atveju paprastai nereikalinga: dažniausiai užtenka dokumentą pamatyti ir pasižymėti, kad jis patikrintas.

Kas galioja darbuotojams ir kandidatams, rašėme straipsnyje Kandidatų CV ir dokumentų kopijos: ką darbdavys gali laikyti. Čia – apie klientus: pirkėjus, nuomininkus, klubų narius, paslaugų gavėjus.

Ką nustato įstatymas

BDAR 87 str. leidžia valstybėms narėms tiksliau apibrėžti, kokiomis sąlygomis tvarkomas nacionalinis asmens identifikavimo numeris. Lietuvoje asmens kodo tvarkymo ypatumus nustato ADTAĮ 3 straipsnis. Jame yra trys taisyklės:

• kodas tvarkomas tik esant bent vienam BDAR 6 str. 1 d. pagrindui;
• kodo negalima skelbti viešai;
• kodo negalima tvarkyti tiesioginės rinkodaros tikslais.

Kitą darbą atlieka bendrieji BDAR principai. Duomenys turi būti adekvatūs, tinkami ir tik tokie, kurių reikia tikslui (BDAR 5 str. 1 d. c p.). Valdytojas pagal nutylėjimą turi tvarkyti tik tuos duomenis, kurie būtini kiekvienam konkrečiam tikslui (BDAR 25 str. 2 d.). Todėl klausimas visada tas pats: kam tiksliai šis kodas reikalingas ir ar be jo tikslo pasiekti neįmanoma.

Kokiu pagrindu prašoma kodo

Sutartis. Kodas gali būti būtinas sutarčiai sudaryti ar vykdyti (BDAR 6 str. 1 d. b p.). Bet tik tada, kai jis sutarčiai tikrai reikalingas, o ne todėl, kad „taip visada darome“.

Teisinė prievolė. Kai kodą nurodyti reikalauja įstatymas, pagrindas yra teisinė prievolė (BDAR 6 str. 1 d. c p.). Tada renkama tik tai, ką nustato tas įstatymas.

Teisėtas interesas. Pavyzdžiui, kliento mokumo vertinimas. EDPB gairėse 1/2024 (viešai konsultacijai skirta versija) jis nurodomas tarp interesų, kurie gali būti pripažinti teisėtais (16 punktas). Tačiau tada reikia įvertinti, ar kliento interesai nėra viršesni (BDAR 6 str. 1 d. f p.), ir šį vertinimą užrašyti, nes valdytojas turi gebėti įrodyti atitiktį (BDAR 5 str. 2 d.).

Sutikimas čia beveik netinka. Jei paslauga teikiama tik su sąlyga, kad žmogus sutiks su kodo tvarkymu, nors sutarčiai kodas nebūtinas, laikoma, kad sutikimas nėra laisvas (BDAR 7 str. 4 d., 43 konstatuojamoji dalis). O jei kodas sutarčiai tikrai būtinas, pagrindas yra sutartis, ne sutikimas. Viena nuomos įmonė prašė klientų sutikimo, kad galėtų patikrinti jų mokumą. Mūsų advokatas pasiūlė sutikimo prašyti tik rinkodarai, o mokumą vertinti teisėto intereso pagrindu. Priežastis paprasta: jei klientas sutikimo neduoda, jis negali dėl to nukentėti. O remiantis teisėtu interesu, atsisakymas leisti patikrinti mokumą gali būti teisėta priežastis paslaugos neteikti.

Parduotuvė, nuoma, klubas: kada galima, kada ne

Pirkimas ir sąskaita. Finansinės apskaitos įstatymas nustato, kokia informacija privaloma apskaitos dokumente. Fizinio asmens atveju nurodomas vardas ir pavardė. Kodas įvardytas tik juridiniam asmeniui (FAĮ 7 str. 1 d.). Mokesčių teisės aktai gali nustatyti papildomų reikalavimų, todėl juos verta patikrinti. Tačiau vien „sąskaitai išrašyti“ vartotojo asmens kodo prašyti paprastai nėra pagrindo.

Užklausa, dar ne sutartis. Žmogus klausė, ar paslaugų teikėjas galėjo paprašyti jo asmens kodo, kai jis tik teiravosi apie paslaugą. Mūsų vertinimu, kodo gali prireikti sutarčiai sudaryti, bet jo prašyti dar tik teiraujantis yra perteklinis rinkimas.

Daugiau, nei reikia. Kitas žmogus perkant prekę buvo paprašytas ir asmens kodo, ir asmens dokumento numerio. Mūsų vertinimu, dokumento numerio tam tikslui nereikėjo. Kiekvienas papildomas laukas turi turėti savo tikslą.

Lojalumo programa ir klubai. Nariui atpažinti paprastai užtenka vardo, kontakto ar nario numerio. Asmens kodo naudoti tiesioginei rinkodarai negalima jokiu pagrindu (ADTAĮ 3 str. 3 d.).

Nuoma ir kreditas. Kai klientui patikima brangi įranga ar suteikiamas atidėtas mokėjimas, kodas gali būti reikalingas mokumui patikrinti. Tai turi būti pagrįsta ir užrašyta, kaip aprašyta aukščiau.

Dokumento kopija

Dokumento kopijoje yra daug daugiau, nei reikia patikrinti tapatybei: nuotrauka, parašas, dokumento numeris, galiojimo data, kartais ir kodas. EDPB gairėse dėl teisės susipažinti su duomenimis nurodo, kad nacionaliniai įstatymai gali riboti asmens tapatybės kortelių skenavimą ar kopijavimą ir asmens kodų tvarkymą, be kita ko, pagal BDAR 87 str. (01/2022, 78 punktas). Toliau saugoti tapatybės dokumento kopiją gali reikšti tikslo ir saugojimo apribojimo principų pažeidimą (BDAR 5 str. 1 d. b ir e p.). EDPB rekomenduoja dokumentą patikrinti ir pasižymėti, pavyzdžiui, „patikrinta asmens tapatybės kortelė“, o ne kopijuoti (79 punktas).

Šios gairės skirtos tapatybės tikrinimui, kai žmogus prašo savo duomenų. Mūsų vertinimu, ta pati logika taikoma ir klientams: jei tikslas tik įsitikinti, kas yra žmogus, užtenka dokumentą pamatyti. Kada tapatybės patvirtinimo galima prašyti gavus prašymą susipažinti su duomenimis, rašėme straipsnyje Prašymas susipažinti su duomenimis: terminas ir atsakymas.

Kopija pateisinama tada, kai ją daryti ar saugoti įpareigoja ar leidžia konkretus įstatymas. Jei įstatymas reikalauja tik nustatyti tapatybę, paprastai užtenka dokumentą patikrinti. Tada daroma tik tai, ką įstatymas nustato, ir saugoma tik tiek, kiek jis leidžia.

Kas dažniausiai nutinka ne taip

Kopijos „dėl viso pikto“. Pasų nuotraukos laiškuose, pokalbių programėlėse, bendruose aplankuose. Niekas nežino, kiek jų yra ir kas prie jų prieina. EDPB nurodo, kad tapatybės dokumentų saugumo pažeidimas, ypač kartu su kitais duomenimis, gali padėti pavogti tapatybę (gairių 9/2022 108 punktas). Kada toks pažeidimas turi būti pranešamas, rašėme straipsnyje apie duomenų saugumo pažeidimus.

Kodas įrašytas nepatikrinus. Vienoje įmonėje, registruojant klientą, buvo įrašytas kito žmogaus asmens kodas. Įrašas atsidūrė svetimo žmogaus duomenyse, ir tas žmogus paklausė, iš kur įmonė turi jo kodą. Duomenys turi būti tikslūs (BDAR 5 str. 1 d. d p.). Taisymas paprastas: sutikrinti įvestus duomenis su pateiktu dokumentu, o ne jį kopijuoti.

Kodas paskelbtas. Laimėtojų sąrašai, skolininkų sąrašai, dokumentai svetainėje. ADTAĮ 3 str. 2 d. draudžia asmens kodą skelbti viešai.

Kodas rinkodaros duomenų bazėje. Net jei jis surinktas teisėtai sutarčiai, tiesioginei rinkodarai jo naudoti negalima (ADTAĮ 3 str. 3 d.).

Pasekmės pirmiausia teisinės. Žmogus gali pateikti skundą Valstybinei duomenų apsaugos inspekcijai (BDAR 77 str. 1 d.). Už pagrindinių principų ir tvarkymo teisėtumo pažeidimą taikoma griežčiausia baudų grupė: iki dvidešimties milijonų eurų arba, jei tai įmonė, iki 4 % visos jos ankstesnių finansinių metų pasaulinės metinės apyvartos, atsižvelgiant į tai, kuri suma didesnė (BDAR 83 str. 5 d. a p.). Tokia pati riba numatyta ir už prievolių pagal valstybės narės teisės aktus, priimtus pagal BDAR IX skyrių, nevykdymą (BDAR 83 str. 5 d. d p.). Šiam skyriui priklauso ir BDAR 87 str. dėl nacionalinio identifikavimo numerio. Už ADTAĮ pažeidimus VDAI baudas skiria vadovaudamasi BDAR ir ADTAĮ (ADTAĮ 32 str. 1 d.); valdžios institucijoms ir įstaigoms, kurios nevykdo ūkinės komercinės veiklos, taikomos mažesnės ribos (ADTAĮ 33 str.). Žmogus, patyręs žalą, turi teisę į kompensaciją (BDAR 82 str. 1 d.).

Kada kreiptis į teisininką

• kai rengiate sutarties, registracijos ar užsakymo formą ir norite joje prašyti asmens kodo;
• kai vertinate klientų mokumą ir reikia teisėto intereso vertinimo;
• kai tvarkote klientų dokumentų kopijas ir nežinote, kurias galima saugoti;
• kai kodas ar kopija pateko ne tam asmeniui arba buvo paskelbti;
• kai klientas paklausė, kodėl prašote jo kodo, arba pateikė skundą.