2026-08-24 Valstybinė duomenų apsaugos inspekcija (toliau – VDAI) priėmė sprendimą, kuriame įvertino asmens tapatybės kortelės kopijos saugojimo po darbo santykių pabaigos teisėtumą.
VDAI konkrečioje situacijoje konstatavo, kad asmens tapatybės kortelės kopijos saugojimas po darbo santykių pabaigos nebuvo pakankamai pagrįstas. Vien aplinkybė, kad vidiniame dokumente ar dokumentacijos plane buvo nustatytas konkretus saugojimo terminas, savaime nesuteikia teisėto pagrindo asmens duomenis saugoti visą nustatytą laikotarpį. Duomenų valdytojas turi gebėti pagrįsti, kodėl konkrečių asmens duomenų saugojimas yra būtinas, kokiam tikslui jie saugomi ir kodėl juos būtina saugoti būtent tokį laikotarpį.
Situacija trumpai. Buvęs darbuotojas kreipėsi į darbdavį, prašydamas ištrinti jo asmens duomenis pagal BDAR 17 straipsnį. Darbdavys prašymą tenkino iš dalies - asmens tapatybės kortelės kopijos sunaikinti nesutiko ir nurodė, kad ji bus saugoma dar 3 metus po darbo santykių pabaigos, remiantis organizacijos dokumentacijos planu. Pareiškėjas su tokiu sprendimu nesutiko ir kreipėsi į VDAI, prašydamas įvertinti, ar toks asmens dokumento kopijos saugojimas yra teisėtas.
Ką nustatė VDAI?
VDAI nustatė BDAR 5 straipsnio 1 dalies c ir e punktuose įtvirtintų duomenų kiekio mažinimo ir saugojimo trukmės apribojimo principų pažeidimą.
Svarbiausi aspektai:
Vidinis dokumentacijos planas nėra savarankiškas pagrindas saugoti asmens duomenis. Tai, kad organizacijos dokumentacijos plane, vidaus taisyklėse ar kitame vidiniame dokumente nustatytas tam tikras dokumento saugojimo terminas, dar nereiškia, kad visi dokumente esantys asmens duomenys turi būti saugomi visą šį laikotarpį. Prieš nustatant ar taikant saugojimo terminą, būtina įvertinti, ar konkrečių asmens duomenų saugojimas yra būtinas konkrečiam tikslui pasiekti ir ar nėra galimybės jų sunaikinti anksčiau.
Asmens dokumento kopija nėra informacija, kurią galima saugoti neribotai. Asmens tapatybės kortelės ar paso kopijoje yra reikšmingas kiekis asmens duomenų. Todėl organizacija turėtų įvertinti, ar jai iš tikrųjų reikalinga visa dokumento kopija, ar konkrečiam tikslui pakaktų mažesnio duomenų kiekio arba kito būdo asmens tapatybei patvirtinti. Jeigu dokumento kopija buvo surinkta konkrečiam tikslui, pasibaigus tam tikslui turi būti iš naujo įvertinta, ar jos saugojimas vis dar reikalingas.
Duomenų saugojimo terminas turi būti pagrįstas, o ne formalus. BDAR reikalauja, kad asmens duomenys nebūtų saugomi ilgiau, negu būtina jų tvarkymo tikslams. Todėl organizacijoms rekomenduotina periodiškai peržiūrėti saugomus asmens duomenis ir įvertinti:
- koks buvo duomenų surinkimo tikslas;
- ar šis tikslas vis dar aktualus;
- ar duomenys vis dar reikalingi;
- ar egzistuoja teisinė prievolė juos saugoti;
- ar pakanka dalies duomenų;
- kada duomenys turi būti ištrinti arba sunaikinti.
Teisė į duomenų ištrynimą. Gavus prašymą ištrinti asmens duomenis, neužtenka nurodyti organizacijos vidaus taisykles ar nustatytą dokumentų saugojimo terminą. Būtina individualiai įvertinti, ar egzistuoja BDAR 17 straipsnyje numatytos aplinkybės, dėl kurių duomenų ištrinti negalima. Jeigu duomenų valdytojas nusprendžia duomenų neištrinti, sprendimas turi būti pagrįstas konkrečiu teisiniu pagrindu ir aplinkybėmis.
Atskaitomybės principas. Organizacija turi ne tik laikytis duomenų apsaugos reikalavimų, bet ir gebėti įrodyti, kad jų laikosi.
Todėl praktikoje svarbu turėti dokumentuotą informaciją apie:
□ asmens duomenų tvarkymo tikslus;
□ teisinius pagrindus;
□ saugojimo terminus ir jų nustatymo motyvus;
□ duomenų saugojimo būtinybės vertinimą;
□ duomenų ištrynimo ir sunaikinimo procesus;
□ veiksmus, atliktus gavus duomenų subjekto prašymą.
Į ką rekomenduojame atkreipti dėmesį organizacijoms?
VDAI sprendimas yra gera proga peržiūrėti organizacijoje taikomą asmens dokumentų saugojimo praktiką.
Rekomenduojame įsivertinti, ar:
□ asmens dokumentų kopijos apskritai yra būtinos;
□ surenkamas tik būtinas duomenų kiekis;
□ nustatyti duomenų saugojimo terminai yra pagrįsti konkrečiais tikslais ir teisiniais reikalavimais;
□ pasibaigus saugojimo terminui duomenys faktiškai ištrinami ar sunaikinami;
□ gavus prašymą ištrinti duomenis atliekamas individualus BDAR 17 straipsnio reikalavimų vertinimas;
□ sprendimai dėl duomenų saugojimo ir ištrynimo yra tinkamai dokumentuojami.
Esminė žinutė organizacijoms: vidaus dokumentuose nustatytas asmens duomenų saugojimo terminas savaime nereiškia, kad asmens duomenis galima saugoti visą šį laikotarpį. Kiekvienu atveju turi būti įvertintas duomenų tvarkymo konkretus tikslas, būtinybė, saugojimo laikotarpis ir taikomi BDAR reikalavimai.
Dėl individualių konsultacijų pranešime nurodytais klausimais prašome kreiptis į advokatų kontoros „Blaškevičius LEGAL“ kontoros profesionalus:
Susisiekime
Kreipkitės į asmens duomenų apsaugos ekspertę Agnę Kraujalytę, tel. +370 5 238 5240, el. p. info@blaskevicius.lt.
Taip pat į:
- Vadovaujantį partnerį, advokatą Gediminą Blaškevičių, tel. +370 682 99029, el. p. info@blaskevicius.lt.
- Asocijuotą partnerę, advokatę Ligitą Račkauskienę, tel. +370 628 01835, el. p. info@blaskevicius.lt.
- Vyresniąją teisininkę, advokato padėjėją Ugnę Norvilę, tel. +370 695 42409, el. p. info@blaskevicius.lt.