Prašymas ištrinti duomenis: kada privaloma, o kada galima atsisakyti

Duomenis ištrinti privaloma, kai žmogus to prašo ir yra bent viena BDAR 17 str. 1 d. nurodyta priežastis, dažniausiai: duomenų nebereikia tikslui, žmogus atšaukė sutikimą ir kito pagrindo nėra, jis nesutinka su tvarkymu, o Jūsų priežastys nėra viršesnės arba tai tiesioginė rinkodara, arba duomenys tvarkomi neteisėtai. Atsisakyti galima tiek, kiek duomenis tvarkyti vis dar būtina, pavyzdžiui, kad būtų įvykdyta įstatymo nustatyta prievolė arba apginti teisiniai reikalavimai (BDAR 17 str. 3 d. b ir e p.). Atsakyti reikia nepagrįstai nedelsiant, ne vėliau kaip per vieną mėnesį. Sudėtingais atvejais terminą galima pratęsti dar dviem mėnesiais, per pirmąjį mėnesį pranešus žmogui apie pratęsimą ir jo priežastis (BDAR 12 str. 3 d.).

Praktikoje prašymas beveik niekada nėra „viskas arba nieko“. Dažniausiai teisingas atsakymas yra dalinis: paskyra, rinkodaros sąrašas ir susirašinėjimas ištrinami, o pirkimo apskaitos dokumentai paliekami iki termino pabaigos. Čia – kaip atskirti, ką trinti ir ką palikti, ir ką tai reiškia atsarginėms kopijoms, tvarkytojams ir gavėjams.

Kada ištrinti privaloma

BDAR 17 str. 1 d. išvardija šešias priežastis. Įprastai organizacijai aktualios keturios:

• Duomenų nebereikia tikslui, dėl kurio jie buvo surinkti (a p.). Pavyzdžiui, paskyra uždaryta, sutartis seniai įvykdyta, o Jūsų nustatytas saugojimo terminas baigėsi.
• Atšauktas sutikimas, kai nėra jokio kito teisinio pagrindo (b p.). Kas lieka teisėta po atšaukimo, rašėme straipsnyje apie sutikimą pagal BDAR.
• Žmogus nesutinka su tvarkymu (c p.). Kai duomenys tvarkomi teisėto intereso pagrindu, reikia vertinti, ar Jūsų priežastys viršesnės. Kai jie tvarkomi tiesioginės rinkodaros tikslais, vertinti nėra ko: tokiais tikslais duomenys nebetvarkomi (BDAR 21 str. 3 d.).
• Duomenys tvarkomi neteisėtai (d p.).

Prašymai ateina bet kokia forma: vienu sakiniu el. laiške, per svetainės formą, kartais į bendrą ar net ne tą pašto dėžutę, dažnai be jokių straipsnių nuorodų. Bet ir platus prašymas „ištrinkite viską“ nereiškia, kad trinti reikia viską. Ištrinama tiek, kiek taikoma kuri nors iš šių priežasčių.

Kai duomenys buvo paskelbti internete, taikomos papildomos taisyklės. Apie jas rašėme straipsnyje Asmens duomenys paskelbti be sutikimo: ką daryti.

Kada galima atsisakyti

Teisė reikalauti ištrinti netaikoma, jeigu tvarkyti duomenis būtina, be kita ko:

• kad būtų įvykdyta organizacijai taikoma teisinė prievolė, kuria reikalaujama tvarkyti duomenis (BDAR 17 str. 3 d. b p.);
• kad būtų pareikšti, vykdomi arba apginti teisiniai reikalavimai (BDAR 17 str. 3 d. e p.).

Svarbiausias žodis čia yra „būtina“. Išimtis apima tik tuos duomenis, kurių reikia prievolei įvykdyti ar reikalavimui apginti, ir tik tol, kol jų reikia. Duomenys negali būti laikomi ilgiau, nei būtina tikslams, kuriais jie tvarkomi (BDAR 5 str. 1 d. e p.).

Teisinių reikalavimų išimtis nėra leidimas saugoti visko „dėl visa ko“. Ją pagrindžia kilęs ginčas, gauta pretenzija, neapmokėta skola arba iš anksto nustatytas terminas, susietas su ieškinio senatimi. Bendrasis ieškinio senaties terminas yra dešimt metų (CK 1.125 str. 1 d.), tačiau daugeliui reikalavimų įstatymai nustato trumpesnius (CK 1.125 str. 2 d.). Todėl terminą verta susieti su konkrečiu reikalavimu, o ne automatiškai su ilgiausiu.

Apskaitos dokumentai ir „ištrinkite viską“

Viena įmonė gavo pirkėjo laišką su reikalavimu nedelsiant ištrinti visus su juo susijusius duomenis. Laiške jau buvo nurodyta, kad jokia BDAR 17 str. 3 d. išimtis netaikoma, ir reikalauta pranešti visiems gavėjams. Patikrinus paaiškėjo, kad apie žmogų įmonė turi vieno pirkimo duomenis. Mūsų teisininkas atsakė, kad pirkimo duomenys yra apskaitos dokumentų dalis. Jie tvarkomi vykdant teisinę prievolę (BDAR 6 str. 1 d. c p.), todėl iki saugojimo termino pabaigos jų ištrinti negalima, o pasibaigus terminui jie bus ištrinti. Atsakyme nurodyta ir teisė kreiptis į Valstybinę duomenų apsaugos inspekciją (VDAI).

Ką sako įstatymas:

• ūkinės operacijos pagrindžiamos apskaitos dokumentais (FAĮ 3 str. 1 d.);
• apskaitos dokumentai ir apskaitos registrai saugomi subjekto vadovo nustatyta tvarka, vadovaujantis Dokumentų ir archyvų įstatymu (FAĮ 10 str. 1 d.);
• konkrečių terminų FAĮ nenustato: jie nustatomi vadovaujantis įstatymais ir kitais teisės aktais (DAĮ 13 str. 1 d.), o privalomai rengiamų vidaus administravimo dokumentų saugojimo terminų rodykles tvirtina Lietuvos vyriausiasis archyvaras (DAĮ 13 str. 2 d.);
• iki termino pabaigos dokumentus privaloma išsaugoti (DAĮ 12 str. 1 d. 2 p.), o naikinti juos galima atlikus vertės ekspertizę, kai pasibaigia teisės aktų nustatyti terminai (DAĮ 14 str. 1 d.);
• apskaitos dokumentus, kuriais pagrindžiamos pinigais atliekamos ūkinės operacijos, taisyti draudžiama. Padarius klaidą, rengiamas naujas dokumentas, o klaidingasis saugomas kartu su kitais to laikotarpio dokumentais (FAĮ 7 str. 5 d.). Mūsų vertinimu, todėl pirkėjo vardo iš jau išrašytos sąskaitos pašalinti negalima.

Ko ši išimtis neapima. Prievolė saugoti apima tik tai, kas pagrindžia ūkinę operaciją. Ji neapima rinkodaros sutikimų, naujienlaiškio sąrašo, lojalumo paskyros, naršymo ar susirašinėjimo istorijos. Šie duomenys trinami įprasta tvarka. Be to, apskaitos dokumente pirkėjo vardas ir pavardė nurodomi ne visada: jų nereikia, kai tokios informacijos nereikalauja mokesčių įstatymai (FAĮ 7 str. 1 d. 6 p.). Tada pirkėjo tapatybė apskaitoje gali būti visai neužfiksuota, ir teiginys „saugome dėl apskaitos“ netinka tam, ko apskaitoje nėra.

Palikti duomenys nėra paslėpti nuo žmogaus. EDPB gairėse 01/2022 nurodoma, kad duomenys, kuriuos valdytojas saugo tik vykdydamas teisinę prievolę, pateikiami žmogui, jei jis paprašo su jais susipažinti (18 pavyzdys, 109 punktas). Kaip atsakyti į tokį prašymą, rašėme straipsnyje apie prašymą susipažinti su duomenimis.

Atsarginės kopijos, tvarkytojai ir gavėjai

Atsarginės kopijos. EDPB, aiškindama teisę susipažinti su duomenimis, pažymi, kad kai kuriais atvejais tiesioginėje sistemoje ištrinti duomenys atsarginių duomenų rinkinyje užfiksuojami tik vėlesnio atsarginės kopijos kūrimo metu, o jei žmogus tuo metu paprašo susipažinti su duomenimis, valdytojas turi atvirai pranešti apie šią padėtį (gairių 01/2022 110 punktas). Mūsų vertinimu, to užtenka, jei kopijos persirašo per nustatytą laiką, iš jų ištrinti duomenys neatkuriami į veikiančią sistemą, o žmogui atsakyme sąžiningai pasakoma, per kiek laiko jie išnyks ir iš kopijų.

Tvarkytojai. IT paslaugų teikėjas, CRM ar pardavimo sistemos tiekėjas tvarko duomenis tik pagal Jūsų dokumentais įformintus nurodymus (BDAR 28 str. 3 d. a p.) ir padeda Jums atsakyti į žmonių prašymus (BDAR 28 str. 3 d. e p.). Aprašytu atveju duomenys tiekėjo sistemoje buvo ištrinti dar iki teisinio vertinimo. Dėl tos dalies, kurios saugoti nereikia, tai gali būti teisinga. Bet sprendimą, ką trinti, turi priimti valdytojas, įvertinęs visą prašymą, ne tiekėjas atskirai.

Gavėjai. Ištrynus duomenis pagal 17 str. 1 d., apie tai reikia pranešti kiekvienam gavėjui, kuriam jie buvo atskleisti, nebent tai neįmanoma arba pareikalautų neproporcingų pastangų. Žmogui paprašius, jam nurodomi tie gavėjai (BDAR 19 str.).

Kas nutinka, kai suklystama

Ištrinta per daug. Apskaitos dokumento neliko, o jis buvo privalomas. Finansinę apskaitą reglamentuojančių teisės aktų reikalavimų pažeidimas užtraukia įspėjimą arba baudą nuo keturiasdešimt iki vieno šimto keturiasdešimt eurų (ANK 205 str. 1 d.). Kilus ginčui, trūksta įrodymų, kurių būtų prireikę Jūsų pačių pozicijai ginti.

Ištrinta per mažai. Atsakyta, kad duomenys ištrinti, bet jie liko rinkodaros sistemoje, pas tiekėją ar kolegos pašto dėžutėje. Arba atsisakyta visiškai, nors išimtis dengė tik dalį duomenų. Už duomenų subjekto teisių pagal 12–22 str. pažeidimą gresia baudos iki dvidešimties milijonų eurų arba, jei tai įmonė, iki 4 % visos jos ankstesnių finansinių metų pasaulinės metinės apyvartos, atsižvelgiant į tai, kuri suma didesnė (BDAR 83 str. 5 d. b p.). Žalą patyręs asmuo turi teisę į kompensaciją (BDAR 82 str. 1 d.).

Atsisakyta be paaiškinimo. Jei prašymo nevykdote, per mėnesį reikia nurodyti priežastis ir galimybę pateikti skundą priežiūros institucijai bei pasinaudoti teisių gynimo priemone (BDAR 12 str. 4 d.). Atsakymas „negalime“ be priežasčių šios pareigos neįvykdo.

Atsakyta neteisingais faktais. Aprašytu atveju pirkimo data vėliau buvo patikslinta. Prieš rašydami, ką ir kodėl paliekate, patikrinkite, ką apie žmogų iš tiesų turite ir kur.

Kada kreiptis į teisininką

• kai prašymas platus, su straipsnių nuorodomis ir grasinimu skųstis;
• kai norite dalį duomenų palikti ir reikia pagrįsti, kurią ir kiek laiko;
• kai su žmogumi yra ar gali kilti ginčas, skola ar pretenzija;
• kai duomenys yra pas kelis tiekėjus arba buvo perduoti kitiems gavėjams;
• kai prašymą gavote pavėluotai arba ne ten, kur turėjote.