Straipsnis
Klientas prašo ištrinti savo duomenis: per kiek laiko atsakyti ir ko trinti nereikia
Laiškas „ištrinkite mano duomenis“ smulkų verslą dažniausiai užklumpa nepasiruošusį. Šiame tekste surašyta, kada klientas turi teisę reikalauti ištrinti duomenis, per kiek laiko reikia atsakyti, kaip patikrinti, kad prašo tas pats žmogus, ir ko trinti negalima. Atskirai aptariame atsargines kopijas, nes apie jas Valstybinė duomenų apsaugos inspekcija 2026 m. gegužę paskelbė atskirą išaiškinimą.
Teisė būti pamirštam: kada ji galioja
Teisė būti pamirštam įtvirtinta Bendrojo duomenų apsaugos reglamento (toliau BDAR) 17 straipsnyje. Žmogus gali reikalauti, kad jo duomenys būtų ištrinti „nepagrįstai nedelsiant“, bet tik esant vienai iš šešių priežasčių. Smulkiam verslui dažniausiai aktualios trys:
- Duomenų nebereikia. Jie „nebėra reikalingi, kad būtų pasiekti tikslai, kuriais jie buvo renkami“. Pavyzdžiui, žmogus paklausė kainos per formą, bet paslaugos neužsakė.
- Atšauktas sutikimas. Duomenys tvarkyti tik sutikimo pagrindu, pavyzdžiui, naujienlaiškiui, ir kito teisinio pagrindo nėra.
- Prieštaravimas. Žmogus nesutinka su duomenų tvarkymu tiesioginės rinkodaros tikslais arba su tvarkymu pagal teisėtą interesą, ir viršesnių priežasčių jį tęsti nėra.
Likusios trys priežastys yra neteisėtas tvarkymas, įstatymo reikalavimas duomenis ištrinti ir vaiko duomenys, surinkti teikiant internetines paslaugas.
VDAI pabrėžia, kad ši teisė „nėra absoliuti“: ji gali būti neįgyvendinta, jei yra bent viena BDAR 17 straipsnio 3 dalies išimtis. Smulkiam verslui svarbios dvi: kai duomenis saugoti liepia įstatymas ir kai jų reikia „pareikšti, vykdyti arba apginti teisinius reikalavimus“. Jos aptartos 04 skyriuje.
Šaltiniai: BDAR (Reglamentas (ES) 2016/679), 17 straipsnio 1 ir 3 dalys, perskaityta EUR-Lex lietuviška redakcija; VDAI DUK „Kaip įgyvendinti teisę būti pamirštam, kai asmens duomenys tvarkomi atsarginėse kopijose?“, 2026-05-07, perskaityta visa. Patikrinta 2026-10-07.
Duomenų subjekto teisės turi terminą: vienas mėnuo
BDAR 12 straipsnis nustato terminus visoms duomenų subjekto teisėms: susipažinti su duomenimis, juos ištaisyti, ištrinti ir kitoms. Duomenų subjektas yra žmogus, apie kurį duomenys tvarkomi, šiuo atveju jūsų klientas.
- 1Atsakyti per vieną mėnesį nuo prašymo gavimoBDAR 12 straipsnio 3 dalis: „nepagrįstai nedelsdamas, tačiau bet kuriuo atveju ne vėliau kaip per vieną mėnesį“. Mėnuo yra viršutinė riba, o ne laukimo laikas.
- 2Pratęsti galima dar dviem mėnesiamsTik dėl prašymų sudėtingumo ir skaičiaus, ir apie pratęsimą su priežastimis reikia pranešti per pirmąjį mėnesį.
- 3Atsisakymas irgi turi terminąJei prašymo nevykdote, per mėnesį turite paaiškinti kodėl ir nurodyti, kad žmogus gali skųstis priežiūros institucijai. Lietuvoje tai yra VDAI (12 straipsnio 4 dalis).
- 4NemokamaiMokestį imti arba atsisakyti galima tik tada, kai prašymai „akivaizdžiai nepagrįsti arba neproporcingi“, pavyzdžiui, kartojasi. Įrodyti tai turi verslas (12 straipsnio 5 dalis).
- 5Atsakyti tuo pačiu būduJei prašymas atėjo el. paštu ar per svetainės formą, atsakymas, jei įmanoma, irgi siunčiamas elektroniniu būdu.
Kiek iš tikrųjų užtrunka, rodo VDAI patikrinimai. Įmonė, kuri 2024 m. gavo daugiau kaip 500 prašymų ištrinti duomenis, VDAI nurodė, kad visas procesas praktikoje trunka 1-3 darbo dienas. Kita įmonė nurodė, kad nė karto nepratęsė vieno mėnesio termino. Abiem atvejais VDAI pažeidimų nenustatė.
Šaltiniai: BDAR, 12 straipsnio 3, 4 ir 5 dalys; VDAI 2026-04-30 sprendimas Nr. 3R-777 ir 2026-04-30 sprendimas Nr. 3R-781, abu perskaityti visi. Patikrinta 2026-10-07.
Kaip patikrinti, kad prašo tas pats žmogus
Ištrinti svetimus duomenis pagal netikro žmogaus prašymą yra tokia pati klaida, kaip ir jų neištrinti. BDAR 12 straipsnio 6 dalis leidžia paprašyti papildomos informacijos, bet tik tada, kai turite „pagrįstų abejonių“ dėl prašančiojo tapatybės.
- Paprasčiausias atvejis. Prašymas atėjo iš to paties el. pašto adreso, iš kurio žmogus jums rašė anksčiau. Mūsų aiškinimu, papildomų dokumentų tada paprastai nereikia.
- Kai adresas kitas. Paprašykite to, ką žinote tik jūs abu: užsakymo datos, sąskaitos numerio ar telefono numerio, kuriuo susisiekėte. Mūsų aiškinimu, asmens dokumento kopijos prašyti neverta, nes tai būtų naujų duomenų, kurių jums nereikia, rinkimas.
- Patikrinimas yra proceso dalis. Įmonė, kurią VDAI tikrino 2026 m., aprašė eiliškumą: prašymas užregistruojamas, patikrinama tapatybė, surandamos visos vietos, kuriose duomenys gali būti, įvertinamos išimtys, tada trinama. VDAI šioje dalyje pažeidimų nenustatė.
Sprendime Nr. 3R-777 VDAI pažymėjo, kad toks prašymas „savaime nelaikytinas prieštaringu“. Remdamasi Europos duomenų apsaugos valdybos 2026-02-10 ataskaita, VDAI kaip gerąją praktiką nurodė galimybę pirmiausia leisti susipažinti su duomenimis, kad žmogus žinotų, kas bus ištrinta. Jei neaišku, ko prašoma, reikia paklausti.
Šaltiniai: BDAR, 12 straipsnio 6 dalis; VDAI 2026-04-30 sprendimas Nr. 3R-777, II ir IV dalys. Patikrinta 2026-10-07.
Ko trinti nereikia: sąskaitos ir galimi ginčai
Jei klientas pas jus pirko, jo vardas yra sąskaitoje. Tos sąskaitos ištrinti negalima, nes saugoti ją liepia kitas teisės aktas. Tai yra BDAR 17 straipsnio 3 dalies b punkto išimtis.
- Individuali veikla: ne trumpiau kaip 10 metų. Gyventojų, besiverčiančių individualia veikla, buhalterinės apskaitos taisyklių 7 punktas: apskaitos dokumentai saugomi teisės aktų nustatytą laiką, „tačiau trumpiausias saugojimo terminas neturi būti trumpesnis negu 10 metų“.
- Įmonės: terminą nustato dokumentų saugojimo taisyklės. Finansinės apskaitos įstatymo 10 straipsnis: apskaitos dokumentai saugomi „vadovaujantis Dokumentų ir archyvų įstatymu“. Konkretų terminą jūsų dokumentų rūšiai pasakys buhalteris.
- Galimas ginčas. Duomenis galima saugoti, kiek jų reikia apginti teisinius reikalavimus (17 straipsnio 3 dalies e punktas). Pavyzdžiui, jei dėl paslaugos yra pretenzija, susirašinėjimas saugomas, kol ji išspręsta.
2026 m. rugpjūčio 17 d. sprendimu Nr. 3R-1466 VDAI atmetė žmogaus skundą prieš įmonę, į kurią jis tris kartus kreipėsi dėl duomenų ištrynimo. Įmonė ištrynė dalį duomenų, pavyzdžiui, savitarnos paskyrą ir medicininius dokumentus, o kitų neištrynė: apskaitos dokumentus saugojo pagal įstatymą, su sutartimi ir žalomis susijusius duomenis dėl galimų teisinių reikalavimų.
Žmogus skundėsi ir tuo, kad atsakymas buvo nekonkretus. VDAI su tuo nesutiko, nes įmonė nurodė, kurie duomenys ištrinti, kurie saugomi, kokiu teisiniu pagrindu ir kokį laiką. Kiekvieną kartą įmonė atsakė per mėnesį. Kaip toks atsakymas atrodo, rašome 07 skyriuje.
Šiam straipsniui atidarėme Finansinės apskaitos įstatymą ir individualios veiklos apskaitos taisykles, bet ne dokumentų saugojimo terminų rodyklę, kurioje nustatyti įmonių dokumentų terminai. Todėl įmonėms konkretaus skaičiaus nerašome.
Šaltiniai: Finansų ministro įsakymas Nr. 1K-040, Gyventojų, besiverčiančių individualia veikla, buhalterinės apskaitos taisyklės, suvestinė redakcija nuo 2022-05-11, 7 punktas; Finansinės apskaitos įstatymas Nr. IX-574, suvestinė redakcija nuo 2025-05-01, 10 straipsnis; BDAR, 17 straipsnio 3 dalis; VDAI 2026-08-17 sprendimas Nr. 3R-1466, perskaitytas visas. Patikrinta 2026-10-07.
Atsarginės kopijos: ką sako VDAI
Jūsų svetainės, el. pašto ar buhalterinės programos atsarginėse kopijose kliento duomenys lieka ir po to, kai juos ištrinate. 2026 m. gegužės 7 d. VDAI paskelbė, kad teisė būti pamirštam „taikoma ir darant atsargines kopijas“, bet pripažino, kad ne visada techniškai įmanoma iš jų iš karto pašalinti vieno žmogaus duomenis.
VDAI nurodo, ką tokiu atveju daryti:
- 1Ištrinti iš aktyvių sistemų„Kiek įmanoma greičiau“ pašalinti duomenis iš to, kuo dirbate kasdien.
- 2Užsirašyti prašymąRegistruoti ištrynimo prašymus, kad būtų žinoma, ką trinti iš naujo.
- 3Atkūrus kopiją, ištrinti dar kartąUžtikrinti, kad atstačius duomenis iš atsarginės kopijos prašymai „būtų įgyvendinti“.
- 4Nustatyti kopijų saugojimo terminąKonkrečius terminus, kuriems suėjus atsarginės kopijos ištrinamos automatiškai.
2026 m. balandžio 30 d. sprendime Nr. 3R-781 VDAI vertino įmonę, kuri iš atsarginių kopijų pavienių duomenų netrina: jie išnyksta, kai pagal nustatytą terminą ištrinama visa kopija. VDAI padarė išvadą, kad vien tai „nėra pagrindas konstatuoti netinkamo BDAR 17 straipsnio 1 dalies įgyvendinimo“.
Tačiau įmonė negalėjo parodyti, kas nutiktų, jei sistema būtų atkurta iš kopijos. VDAI pateikė rekomendaciją imtis priemonių, kad ištrynimo prašymai būtų įvykdyti ir atkūrimo atveju. Kitaip tariant, sąrašas, ką ištrynėte, yra tokia pat svarbi dalis, kaip ir pats ištrynimas.
Smulkiam verslui tai reiškia du klausimus savo talpinimo ar el. pašto paslaugos teikėjui: kiek laiko saugomos atsarginės kopijos ir ar jos ištrinamos automatiškai. Atsakymą verta įrašyti ten pat, kur registruojate prašymus.
Šaltiniai: VDAI DUK dėl teisės būti pamirštam ir atsarginių kopijų, 2026-05-07; VDAI 2026-04-30 sprendimas Nr. 3R-781, VII dalis. Patikrinta 2026-10-07.
Vienas kliento įrašas penkiose vietose
Tipiškas atvejis: žmogus užpildė užklausos formą svetainėje, gavo pasiūlymą, užsisakė, sumokėjo ir buvo įtrauktas į naujienlaiškį. Po metų jis rašo: „ištrinkite mano duomenis“. Žemiau eilutė po eilutės, ką daryti kiekvienoje vietoje. Tai mūsų aiškinimas, paremtas BDAR ir šaltiniuose nurodytais VDAI dokumentais, o ne VDAI išvada apie jūsų atvejį.
- 1Formos laiškas pašto dėžutėjeTrinti, jei užsakymas įvykdytas, pretenzijų nėra, o laiške nėra nieko, ko reikia sąskaitai pagrįsti. Pagrindas: duomenų nebereikia (17 straipsnio 1 dalies a punktas). Nepamirškite aplanko „Išsiųsti“ ir šiukšlinės.
- 2Užklausų lentelė ar klientų sąrašasTrinti eilutę arba pakeisti vardą ir kontaktus neatpažįstamais simboliais, jei skaičiai reikalingi statistikai. Pakeitimą neatpažįstamais simboliais VDAI DUK mini kaip gerąją praktiką.
- 3Sąskaita faktūraNetrinti. Saugoma pagal apskaitos taisykles (04 skyrius), ir tai reikia parašyti atsakyme kartu su terminu.
- 4Naujienlaiškio sąrašasIšbraukti iš karto. Kai duomenys tvarkomi tik sutikimo pagrindu, atšaukus sutikimą ir nesant kito pagrindo, juos laikyti nebėra pagrindo. Kaip veikia atsisakymas, rašėme straipsnyje apie naujienlaiškį ir sutikimą.
- 5Atsarginė kopijaNetrinti rankomis, bet užsirašyti. Įrašykite prašymą į registrą ir sužinokite, kada kopija išsitrins pati (05 skyrius). Jei kopiją kada nors atkursite, šį žmogų ištrinkite dar kartą.
Jei duomenis už jus laiko kita įmonė, pavyzdžiui, formos paslauga, užsakymų sistema ar naujienlaiškių platforma, ji yra duomenų tvarkytojas ir turi padėti įvykdyti prašymą. Kas tai per įmonės ir ką su jomis sutarti, surašyta straipsnyje „Kas mato jūsų klientų duomenis“. BDAR 19 straipsnis taip pat reikalauja pranešti apie ištrynimą tiems, kam duomenis perdavėte, nebent tai neįmanoma ar pareikalautų neproporcingų pastangų.
Šaltiniai: BDAR, 17 straipsnio 1 dalis, 19 straipsnis (cituotas VDAI sprendimuose Nr. 3R-777 ir Nr. 3R-781); VDAI DUK, 2026-05-07, skyrius „Kokios praktikos laikomos tinkamomis?“. Patikrinta 2026-10-07.
Ką parašyti atsakyme
Sprendime Nr. 3R-1466 VDAI įvertino atsakymą kaip pakankamą, nes jame buvo keturi dalykai. Juos verta laikyti atsakymo šablonu:
- 1Kas ištrintaPavyzdžiui: užklausos laiškai, įrašas klientų lentelėje, el. pašto adresas naujienlaiškių sąraše.
- 2Kas saugomaPavyzdžiui: sąskaita faktūra Nr. ir data.
- 3Kokiu teisiniu pagrinduPavyzdžiui: apskaitos dokumentų saugojimo pareiga, nurodant teisės aktą.
- 4Iki kadaData arba aiškus skaičiavimas, kada saugomi duomenys bus ištrinti.
Jei atsisakote ištrinti viską, BDAR 12 straipsnio 4 dalis prideda penktą dalyką: nurodyti, kad žmogus gali pateikti skundą VDAI. Jei atsarginės kopijos išsitrina vėliau, verta parašyti ir tai, iki kada.
Kas gresia
- Žmogus gali skųstis VDAI. Sprendime Nr. 3R-1466 skundas pateiktas per Lietuvos banką, kuris jį persiuntė VDAI. VDAI nurodė įmonei pateikti informaciją, ir įmonė turėjo parodyti, ką ir kodėl padarė.
- VDAI tikrina ir be skundo. Sprendimai Nr. 3R-777 ir Nr. 3R-781 priimti po planinių patikrinimų, kuriuos VDAI vykdė kartu su Europos duomenų apsaugos valdyba. Įmonės pildė klausimyną apie tai, kaip vykdo ištrynimo prašymus.
- Įrodyti tenka jums. BDAR atskaitomybės principas reikalauja, kad duomenų valdytojas „turi sugebėti įrodyti“, jog laikosi reikalavimų. Užrašytas prašymas, data ir išsiųstas atsakymas yra tas įrodymas.
Baudos sumos nerašome. Visuose trijuose perskaitytuose 2026 m. VDAI sprendimuose pažeidimų nenustatyta. Sprendimo, kuriame smulkiam verslui būtų skirta bauda būtent už neįvykdytą prašymą ištrinti duomenis, šiam straipsniui neradome.
Šaltiniai: BDAR 5 straipsnio 2 dalis, cituojama VDAI sprendime Nr. 3R-781; VDAI 2026-08-17 sprendimas Nr. 3R-1466; VDAI 2026-04-30 sprendimas Nr. 3R-777; VDAI 2026-04-30 sprendimas Nr. 3R-781; visi perskaityti visi. Patikrinta 2026-10-07.
Kontrolinis sąrašas
Septyni klausimai, kuriuos verta išspręsti prieš ateinant pirmajam prašymui.
- 1Ar žinote, kur yra kliento duomenysPašto dėžutė, lentelė, buhalterinė programa, naujienlaiškių platforma, svetainės formos paslauga, atsarginės kopijos.
- 2Ar turite vietą prašymams užrašytiUžtenka paprastos lentelės: data, kas prašė, ką ištrynėte, ką palikote, kada atsakėte.
- 3Ar žinote mėnesio terminąIr kad pratęsimą reikia pranešti per tą patį mėnesį.
- 4Ar žinote, kaip patikrinsite tapatybęBe asmens dokumento kopijų, nebent abejonės tikrai pagrįstos.
- 5Ar žinote, kiek saugomos sąskaitosIndividualiai veiklai ne trumpiau kaip 10 metų, įmonėms paklauskite buhalterio.
- 6Ar žinote, kiek saugomos atsarginės kopijosPaklauskite talpinimo ir el. pašto paslaugų teikėjo.
- 7Ar privatumo politikoje parašyta, kaip prašyti ištrintiKur rašyti ir kokie saugojimo terminai. Kaip tai suformuluoti, rašėme straipsnyje apie privatumo politiką.
Darbuotojo nuotraukos pašalinimas iš svetainės, kai jis išeina, aptartas straipsnyje „Žmonės nuotraukose: darbuotojo ir kliento sutikimas“. Paieškos sistemų rezultatų šalinimo, kuris irgi vadinamas teise būti pamirštam, čia neaptariame, nes tai paieškos sistemos, o ne jūsų verslo pareiga.
Mes kuriame svetaines su užklausų formomis, todėl žinome, kur iš jų patenka kliento duomenys. Prieš paleisdami svetainę surašome tas vietas klientui.
Nesame teisininkai, ir tai nėra teisinė konsultacija. Šis tekstas surinktas iš pirminių šaltinių: BDAR lietuviškos redakcijos, VDAI 2026 m. gegužės išaiškinimo, trijų VDAI sprendimų, perskaitytų visų, ir galiojančių apskaitos teisės aktų, o ne iš kitų straipsnių šia tema. Ten, kur atsakymo neradome, taip ir parašėme.
VDAI praktika šia tema 2026 m. sparčiai pildosi. Jei skaitote tai vėliau, spauskite nuorodas ir pasitikrinkite. Būtent todėl datos čia ir yra.
Norite žinoti, kur jūsų svetainėje lieka kliento duomenys
Atsiųskite svetainės adresą. Surašysime, kur keliauja formos užklausos ir ką reikėtų patikrinti, kai ateis prašymas ištrinti. Nemokamai ir be įpareigojimų, net jei svetainės pas mus nedarysite.
Parašyti užklausą labas@arbitas.lt