Asmens duomenų apsaugos politika: ką privaloma nurodyti pagal BDAR 13 ir 14 straipsnius, kada ir kokia forma

Kai iš duomenų subjekto renkami jo asmens duomenys, duomenų valdytojas asmens duomenų gavimo metu duomenų subjektui pateikia visą šią informaciją:

Šaltinis: eur-lex.europa.eu

Kai asmens duomenys gauti ne iš paties žmogaus, informacija jam pateikiama per pagrįstą laikotarpį, bet ne vėliau kaip per vieną mėnesį nuo duomenų gavimo; jei duomenys naudojami ryšiams su juo palaikyti ar bus atskleisti kitam gavėjui, ne vėliau kaip pirmą kartą susisiekiant ar atskleidžiant duomenis (BDAR 14 straipsnio 3 dalis).

Šį darbą Avokata atlieka jūsų DI asistente: prijunkite Claude ar ChatGPT ir paprašykite patikrinti savo privatumo politikos projektą. Paruošta užklausa.

Kokie BDAR straipsniai lemia privatumo politikos turinį?

Reglamento (ES) 2016/679 (BDAR) 12, 13 ir 14 straipsniuose žodžių „privatumo politika“ nėra. Juose nustatyta, kokią informaciją apie duomenų tvarkymą duomenų valdytojas pateikia duomenų subjektui ir kokia forma. Jei ši informacija pateikiama privatumo politikoje (asmens duomenų apsaugos politikoje), jos turinį lemia 13 straipsnis, kai duomenys renkami iš paties žmogaus, ir 14 straipsnis, kai jie gauti iš kitur. Formą nustato 12 straipsnis, o apie teisę nesutikti papildomai 21 straipsnio 4 dalis.

Tekstas cituojamas iš EUR-Lex konsoliduotos versijos 02016R0679-20160504, pažymėtos 2016 m. gegužės 4 d. Avokata saugo vieną šio reglamento konsoliduotą versiją. EUR-Lex galėjo paskelbti ir kitų, jų sąrašas yra EUR-Lex versijų puslapyje. Straipsniai perskaityti 2026 m. lapkričio 4 d.; registro būsena tą dieną: galioja.

Ką nurodyti, kai duomenys renkami iš paties žmogaus?

1. Kai iš duomenų subjekto renkami jo asmens duomenys, duomenų valdytojas asmens duomenų gavimo metu duomenų subjektui pateikia visą šią informaciją:

a) duomenų valdytojo ir, jeigu taikoma, duomenų valdytojo atstovo tapatybę ir kontaktinius duomenis;

b) duomenų apsaugos pareigūno, jeigu taikoma, kontaktinius duomenis;

c) duomenų tvarkymo tikslus, dėl kurių ketinama tvarkyti asmens duomenis, taip pat duomenų tvarkymo teisinį pagrindą;

d) kai duomenų tvarkymas atliekamas pagal 6 straipsnio 1 dalies f punktą, teisėtus duomenų valdytojo arba trečiosios šalies interesus;

e) jei yra, asmens duomenų gavėjus arba asmens duomenų gavėjų kategorijas;

f) kai taikoma, apie duomenų valdytojo ketinimą asmens duomenis perduoti į trečiąją valstybę arba tarptautinei organizacijai ir Komisijos sprendimo dėl tinkamumo buvimą ar nebuvimą, arba 46 ar 47 straipsniuose arba 49 straipsnio 1 dalies antroje pastraipoje nurodytų perdavimų atveju – tinkamas arba pritaikytas apsaugos priemones ir būdus, kaip gauti jų kopiją arba kur suteikiama galimybė su jais susipažinti.

2. Be 1 dalyje nurodytos informacijos, duomenų valdytojas asmens duomenų gavimo metu duomenų subjektui pateikia toliau nurodytą kitą informaciją, būtiną duomenų tvarkymo sąžiningumui ir skaidrumui užtikrinti:

a) asmens duomenų saugojimo laikotarpį arba, jei tai neįmanoma, kriterijus, taikomus tam laikotarpiui nustatyti;

b) teisę prašyti, kad duomenų valdytojas leistų susipažinti su duomenų subjekto asmens duomenimis ir juos ištaisytų arba ištrintų, arba apribotų duomenų tvarkymą, arba teisę nesutikti, kad duomenys būtų tvarkomi, taip pat teisę į duomenų perkeliamumą;

c) kai duomenų tvarkymas grindžiamas 6 straipsnio 1 dalies a punktu arba 9 straipsnio 2 dalies a punktu, teisę bet kuriuo metu atšaukti sutikimą, nedarant poveikio sutikimu grindžiamo duomenų tvarkymo iki sutikimo atšaukimo teisėtumui;

d) teisę pateikti skundą priežiūros institucijai;

e) tai, ar asmens duomenų pateikimas yra teisės aktais arba sutartyje numatytas reikalavimas, ar reikalavimas, kurį būtina įvykdyti norint sudaryti sutartį, taip pat tai, ar duomenų subjektas privalo pateikti asmens duomenis, ir informaciją apie galimas tokių duomenų nepateikimo pasekmes;

f) tai, kad esama 22 straipsnio 1 ir 4 dalyse nurodyto automatizuoto sprendimų priėmimo, įskaitant profiliavimą, ir, bent tais atvejais, prasmingą informaciją apie loginį jo pagrindimą, taip pat tokio duomenų tvarkymo reikšmę ir numatomas pasekmes duomenų subjektui.

BDAR 13 straipsnio 1 ir 2 dalys, EUR-Lex konsoliduotas tekstas 02016R0679-20160504

13 straipsnis informaciją sieja su asmens duomenų gavimo metu. Jei duomenų valdytojas ketina duomenis toliau tvarkyti kitu tikslu nei tas, kuriuo jie buvo surinkti, prieš tai jis pateikia informaciją apie tą kitą tikslą ir visą kitą atitinkamą 2 dalyje nurodytą informaciją (13 straipsnio 3 dalis).

Ką nurodyti, kai duomenys gauti ne iš paties žmogaus?

Tada taikomas 14 straipsnis. Jo 1 ir 2 dalių sąrašas beveik sutampa su 13 straipsnio, bet turi tris skirtumus:

1. reikia nurodyti atitinkamų asmens duomenų kategorijas (14 straipsnio 1 dalies d punktas);
2. reikia nurodyti, koks yra asmens duomenų kilmės šaltinis, ir, jei taikoma, ar duomenys gauti iš viešai prieinamų šaltinių (2 dalies f punktas);
3. punkto apie tai, ar žmogus privalo pateikti duomenis ir kokios būtų nepateikimo pasekmės (13 straipsnio 2 dalies e punktas), 14 straipsnyje nėra.

Teisėti interesai, kai tvarkoma pagal 6 straipsnio 1 dalies f punktą, 14 straipsnyje išvardyti 2 dalyje (b punktas), o ne 1 dalyje, kaip 13 straipsnyje.

Kada pateikti informaciją, nustato 14 straipsnio 3 dalis:

3. Duomenų valdytojas 1 ir 2 dalyse nurodytą informaciją pateikia:

a) per pagrįstą laikotarpį nuo asmens duomenų gavimo, bet ne vėliau kaip per vieną mėnesį, atsižvelgiant į konkrečias asmens duomenų tvarkymo aplinkybes;

b) jeigu asmens duomenys bus naudojami ryšiams su duomenų subjektu palaikyti – ne vėliau kaip pirmą kartą susisiekiant su tuo duomenų subjektu; arba

c) jeigu numatoma asmens duomenis atskleisti kitam duomenų gavėjui – ne vėliau kaip atskleidžiant duomenis pirmą kartą.

BDAR 14 straipsnio 3 dalis, EUR-Lex

Ir čia, prieš tvarkant duomenis kitu tikslu nei tas, kuriuo jie buvo gauti, žmogui pateikiama informacija apie tą tikslą ir visa papildoma atitinkama 2 dalyje nurodyta informacija (14 straipsnio 4 dalis).

Kontrolinis sąrašas: 13 ir 14 straipsniai greta

Šaltinis: BDAR 13 ir 14 straipsniai, EUR-Lex konsoliduotas tekstas 02016R0679-20160504, perskaityta 2026-11-04.

Kada informacijos teikti nereikia?

Kai duomenys renkami iš paties žmogaus, 13 straipsnyje numatyta viena išimtis:

4. 1, 2 ir 3 dalys netaikomos, jeigu duomenų subjektas jau turi informaciją, ir tiek, kiek tos informacijos jis turi.

Ji atleidžia tik nuo tos informacijos, kurią žmogus jau turi. Kai duomenys gauti iš kitur, 14 straipsnio 5 dalis numato keturis atvejus:

5. 1–4 dalys netaikomos, jeigu ir tiek, kiek:

a) duomenų subjektas jau turi informacijos;

b) tokios informacijos pateikimas yra neįmanomas arba tam reikėtų neproporcingų pastangų, visų pirma kai duomenys tvarkomi archyvavimo tikslais viešojo intereso labui, mokslinių ar istorinių tyrimų tikslais arba statistiniais tikslais laikantis 89 straipsnio 1 dalyje nurodytų sąlygų ir apsaugos priemonių arba jeigu dėl šio straipsnio 1 dalyje nurodytos pareigos gali tapti neįmanoma arba ji gali labai sukliudyti pasiekti to tvarkymo tikslus. Tokiais atvejais duomenų valdytojas imasi tinkamų priemonių duomenų subjekto teisėms ir laisvėms ir teisėtiems interesams apsaugoti, įskaitant viešą informacijos paskelbimą;

c) duomenų gavimas ar atskleidimas aiškiai nustatytas Sąjungos arba valstybės narės teisėje, ir kurie taikomi duomenų valdytojui ir kuriuose nustatytos tinkamos teisėtų duomenų subjekto interesų apsaugos priemonės; arba

d) kai asmens duomenys privalo išlikti konfidencialūs laikantis Sąjungos ar valstybės narės teise reglamentuojamos profesinės paslapties prievolės, įskaitant įstatais nustatytą prievolę saugoti paslaptį.

BDAR 13 straipsnio 4 dalis ir 14 straipsnio 5 dalis, EUR-Lex

Abi nuostatos taikomos tik „tiek, kiek“ išimties sąlyga įvykdyta. Pasirėmęs b punktu, duomenų valdytojas vis tiek imasi tinkamų priemonių žmogaus teisėms, laisvėms ir teisėtiems interesams apsaugoti, įskaitant viešą informacijos paskelbimą.

Kokia forma pateikti informaciją?

1. Duomenų valdytojas imasi tinkamų priemonių, kad visą 13 ir 14 straipsniuose nurodytą informaciją ir visus pranešimus pagal 15–22 ir 34 straipsnius, susijusius su duomenų tvarkymu, duomenų subjektui pateiktų glausta, skaidria, suprantama ir lengvai prieinama forma, aiškia ir paprasta kalba, ypač jei informacija yra konkrečiai skirta vaikui. Informacija pateikiama raštu arba kitomis priemonėmis, įskaitant, prireikus, elektronine forma. Duomenų subjekto prašymu informacija gali būti suteikta žodžiu, jeigu duomenų subjekto tapatybė įrodoma kitomis priemonėmis.

BDAR 12 straipsnio 1 dalis, EUR-Lex

Dar dvi 12 straipsnio taisyklės:

• Nemokamai: pagal 13 ir 14 straipsnius teikiama informacija yra nemokama (5 dalis). Toje pačioje dalyje numatyta, kad dėl akivaizdžiai nepagrįstų ar neproporcingų duomenų subjekto prašymų duomenų valdytojas gali imti pagrįstą mokestį arba atsisakyti imtis veiksmų, o įrodyti tai tenka jam pačiam; tai susiję su prašymais, ne su pačia politika.
• Piktogramos: 13 ir 14 straipsnių informacija gali būti teikiama su standartizuotomis piktogramomis, kad numatomas tvarkymas būtų apibendrintas lengvai matomu, suprantamu ir aiškiai įskaitomu būdu; elektronine forma pateiktos piktogramos turi būti kompiuterio skaitomos (7 dalis). Pagal 8 dalį Komisijai suteikti įgaliojimai deleguotaisiais aktais nustatyti, kokia informacija pateikiama piktogramomis, ir jų pateikimo procedūras; ar tokie aktai priimti, šis puslapis netikrino.

Kaip nurodyti teisę nesutikti?

13 straipsnio 2 dalies b punktas ir 14 straipsnio 2 dalies c punktas teisę nesutikti įtraukia į bendrą teisių sąrašą. 21 straipsnis prideda atskirą reikalavimą. Žmogus turi teisę dėl su jo konkrečiu atveju susijusių priežasčių bet kuriuo metu nesutikti, kad jo duomenys būtų tvarkomi pagal 6 straipsnio 1 dalies e arba f punktus, įskaitant profiliavimą; tada duomenų valdytojas duomenų nebetvarko, išskyrus atvejus, kai jis įrodo, kad duomenys tvarkomi dėl įtikinamų teisėtų priežasčių, viršesnių už žmogaus interesus, teises ir laisves, arba siekiant pareikšti, vykdyti ar apginti teisinius reikalavimus (21 straipsnio 1 dalis). Be to, žmogus bet kuriuo metu gali nesutikti, kad jo duomenys būtų tvarkomi tiesioginės rinkodaros tikslais, įskaitant su ja susijusį profiliavimą (2 dalis), ir tada jie tokiais tikslais nebetvarkomi (3 dalis).

4. Duomenų subjektas apie 1 ir 2 dalyse nurodytą teisę aiškiai informuojamas ne vėliau kaip pirmą kartą susisiekiant su duomenų subjektu, ir ši informacija pateikiama aiškiai ir atskirai nuo visos kitos informacijos.

BDAR 21 straipsnio 4 dalis, EUR-Lex

Jei organizacija tvarko duomenis pagal 6 straipsnio 1 dalies e ar f punktą arba tiesioginės rinkodaros tikslais, verta patikrinti, ar politikoje ir pirmajame pranešime žmogui teisė nesutikti išskirta atskirai, o ne tik paminėta tarp kitų teisių.

Ar yra teismų ir priežiūros institucijos praktikos?

Avokata citavimų duomenyse 2026 m. lapkričio 4 d. nebuvo Lietuvos teismų aktų, cituojančių BDAR 13 ar 14 straipsnį. Tai apibūdina tik Avokata turimus duomenis.

Valstybinės duomenų apsaugos inspekcijos sprendimų ir išaiškinimų Avokata prie šių straipsnių susieja daugiau: prie 12 straipsnio 143, prie 13 straipsnio 65, prie 14 straipsnio 28, prie 21 straipsnio 46. Pavyzdžiui, 2026 m. spalio 21 d. sprendime Nr. 3R-1851 nurodyta 13 straipsnio 1 dalis, o tos pačios dienos sprendime Nr. 3R-1852 nurodyta 14 straipsnio 5 dalis. Tai priežiūros institucijos sprendimai konkrečiose bylose, ne teisės aktai, ir jie galėjo būti apskųsti administraciniam teismui. Jų turinio šis puslapis neperpasakoja.

Ką tai reiškia praktiškai?

Klientų darbuotojų kontaktus gauname iš pačių klientų. Ar turime šiuos žmones informuoti? Taip, tai 14 straipsnio atvejis, nebent taikoma viena iš 5 dalies išimčių. Informacija pateikiama per pagrįstą laikotarpį, bet ne vėliau kaip per vieną mėnesį, o jei kontaktus naudojate ryšiams su žmogumi palaikyti, ne vėliau kaip pirmą kartą su juo susisiekiant (14 straipsnio 3 dalis).

Negalime nurodyti tikslaus saugojimo termino. Ką rašyti? Jei laikotarpio nurodyti neįmanoma, nurodomi kriterijai, taikomi jam nustatyti (13 straipsnio 2 dalies a punktas, 14 straipsnio 2 dalies a punktas).

Ar politikoje reikia išvardyti, kokius duomenis tvarkome? Kai duomenys gauti ne iš paties žmogaus, taip: nurodomos asmens duomenų kategorijos (14 straipsnio 1 dalies d punktas). 13 straipsnyje tokio punkto nėra.

Ar užtenka politiką paskelbti svetainėje? Informacija pateikiama raštu arba kitomis priemonėmis, įskaitant, prireikus, elektronine forma (12 straipsnio 1 dalis). Kai duomenys renkami iš paties žmogaus, ji pateikiama duomenų gavimo metu (13 straipsnio 1 dalis), todėl praktiškai patogu nuorodą į politiką pateikti ten, kur duomenys renkami, pavyzdžiui, formoje.

Duomenis pradedame naudoti naujam tikslui. Ar reikia atnaujinti politiką? Prieš pradėdamas tvarkyti duomenis kitu tikslu, duomenų valdytojas pateikia informaciją apie tą tikslą ir kitą atitinkamą 2 dalies informaciją (13 straipsnio 3 dalis, 14 straipsnio 4 dalis).

Apie tvarkymo pagrindus, sutikimą, duomenų subjekto teises ir baudas rašome puslapyje BDAR (Bendrasis duomenų apsaugos reglamentas).

Susiję puslapiai

• BDAR (Bendrasis duomenų apsaugos reglamentas): tvarkymo pagrindai, sutikimas, asmens teisės, duomenų apsaugos pareigūnas ir baudos
• BDAR ir ADTAĮ duomenų apsaugos pareigūnams

Kaip šis puslapis buvo surinktas

Kaip tą patį paklausti savo asistento