Ar galime prašyti kliento ar darbuotojo asmens kodo?

Asmens kodas yra asmens duomenys. BDAR 4 str. 1 p. tarp identifikatorių atskirai mini asmens identifikavimo numerį. Kodas paprastai lieka tas pats visą gyvenimą. Iš įprasto kodo matyti gimimo data ir lytis. Jei kodas patenka ne į tas rankas, juo lengviau apsimesti kitu žmogumi.

BDAR 87 str. leidžia valstybėms narėms nustatyti konkrečias nacionalinio identifikavimo numerio tvarkymo sąlygas. Lietuva tai padarė ADTAĮ 3 straipsnyje. Jame yra trys taisyklės:

1. Kodą galima tvarkyti, kai yra bent viena BDAR 6 str. 1 d. teisėtumo sąlyga.
2. Kodo negalima skelbti viešai.
3. Kodo negalima tvarkyti tiesioginės rinkodaros tikslais.

Asmens kodas nėra specialių kategorijų duomenys. BDAR 9 str. 1 d. sąraše jo nėra. Tačiau dėl jo jautrumo verta jį saugoti taip pat atidžiai.

Įstatymas to reikalauja (BDAR 6 str. 1 d. c p.). Pavyzdys: finansų įstaigos ir kiti įpareigotieji subjektai, nustatydami kliento (fizinio asmens) tapatybę jam dalyvaujant fiziškai, reikalauja tapatybės dokumento, kuriame yra asmens kodas, o užsieniečio atveju gimimo data (PPTFPĮ 10 str. 1 d. 3 p.). Darbdavys darbuotojo asmens kodą turi nurodyti Sodrai. Prieš darbuotojui pradedant dirbti jis teikia 1-SD pranešimą, kuriame įrašomas asmens kodas, o jei kodas nesuteiktas, gimimo data (Valstybinio socialinio draudimo įstatymo 17 str. 3 d.; Sodros duomenų pateikimo taisyklių 14.2 ir 18.1.1 p.). Visada užsirašykite, kuris įstatymas ir kuris straipsnis to reikalauja.

Be kodo neįmanoma sudaryti ar įvykdyti sutarties (BDAR 6 str. 1 d. b p.). Svarbus žodis yra „būtina". Paklauskite savęs: ar sutartį tikrai galima įvykdyti tik su kodu? Jei užtenka vardo, pavardės, gimimo datos ar kliento numerio, kodo nereikia.

Teisėtas interesas (BDAR 6 str. 1 d. f p.). Pavyzdys: suteikiate paslaugą su atidėtu mokėjimu ir turėsite patikimai nustatyti skolininką, jei jis nesumokės. Čia reikia pusiausvyros testo. Žmogus gali nesutikti su tokiu tvarkymu dėl savo konkrečių priežasčių (BDAR 21 str. 1 d.). Tada kodo nebetvarkote, nebent įrodote įtikinamas teisėtas priežastis, kurios yra viršesnės už žmogaus interesus, arba kodo reikia teisiniams reikalavimams pareikšti, vykdyti ar apginti.

Sutikimas tinka retai. Jei be kodo paslaugos neteiksite, nors kodas paslaugai nebūtinas, sutikimas greičiausiai nebus laisvas (BDAR 7 str. 4 d.). BDAR 43 konstatuojamoji dalis sako, kad sutikimas nelaikomas duotu laisva valia, jei sutarties vykdymas priklauso nuo sutikimo, nors jis tam vykdymui nebūtinas.

BDAR 5 str. 1 d. c p. reikalauja rinkti tik tuos duomenis, kurių reikia tikslui. Todėl asmens kodo paprastai nereikia:

• e. parduotuvės užsakymui ir prekių pristatymui;
• registracijai į renginį ar mokymus;
• naujienlaiškiui ar lojalumo programai (rinkodarai kodą tvarkyti draudžiama, ADTAĮ 3 str. 3 d.);
• užklausos formai svetainėje;
• tapatybei patikrinti, kai užtenka dokumentą pamatyti, o ne nukopijuoti.

1. Užrašykite tikslą vienu sakiniu. Pavyzdžiui: „Kodas reikalingas, kad nustatytume kliento tapatybę pagal įstatymą."
2. Raskite pagrindą. Tai turi būti konkretus įstatymo straipsnis, sutarties sąlyga arba atliktas pusiausvyros testas.
3. Patikrinkite, ar yra švelnesnis būdas. Gimimo data, kliento numeris ar dokumento patikra akimis dažnai pakanka.
4. Informuokite žmogų. BDAR 13 str. 2 d. e p. reikalauja pasakyti, ar duomenis pateikti privaloma pagal teisės aktus ar sutartį, ir kas bus, jei jų nepateiks.
5. Apsaugokite kodą. Duomenys turi būti saugomi nuo neteisėto tvarkymo (BDAR 5 str. 1 d. f p.). Leiskite matyti kodą tik tiems darbuotojams, kuriems jo reikia. Nerodykite viso kodo ekranuose ir dokumentuose, kur jo nereikia. Nesiųskite kodų sąrašų atviru el. paštu. Nustatykite saugojimo terminą (BDAR 5 str. 1 d. e p.).

Asmens kodo prašome, nes [įstatymas ir straipsnis / sutarties sąlyga]. Jį pateikti [privalote / nebūtina]. Jei kodo nepateiksite, [negalėsime sudaryti sutarties / paslaugą suteiksime be jo]. Kodą saugome [terminas], jį mato tik [pareigybės].

Jei kodas nebūtinas, lauką išimkite. Neprivalomą lauką palikite tik tada, kai kodas padeda konkrečiam tikslui ir tam turite pagrindą.

• Kodas viešame dokumente. Laimėtojų sąrašas, posėdžio protokolas svetainėje ar dokumentas viešame aplanke. Tai draudžiama (ADTAĮ 3 str. 2 d.).
• Kodas rinkodaros sistemoje. Klientų skirstymas į grupes pagal amžių iš kodo, kai tai daroma pasiūlymams siųsti, yra kodo tvarkymas tiesioginės rinkodaros tikslais (ADTAĮ 3 str. 3 d.).
• Laukas „dėl viso pikto". Kodas renkamas visur, nes „gal prireiks". Tai pažeidžia duomenų kiekio mažinimo principą.
• Dokumento kopija, kai įstatymas jos nereikalauja. Kopijoje yra daugiau duomenų nei kodas: nuotrauka, parašas, dokumento numeris. Išimtis: įpareigotieji subjektai kopiją daryti privalo (PPTFPĮ 10 str. 6 d. 5 p.).

Peržiūrėkite visas formas, sutarčių šablonus ir sistemas, kur renkate asmens kodą. Prie kiekvieno proceso tvarkymo veiklų registre įrašykite pagrindą ir saugojimo terminą. Įrankyje sužinosite, ar jums privalomas tvarkymo veiklų registras.

Ar galime prašyti tik paskutinių kodo skaitmenų?
Jei tikslui to užtenka, taip. Tai atitinka duomenų kiekio mažinimą. Bet ir kodo dalis kartu su vardu yra asmens duomenys, todėl jai taikomas BDAR.

Klientas atsisako nurodyti kodą. Ką daryti?
Jei kodas privalomas pagal įstatymą, paaiškinkite tai ir nurodykite pasekmes. Jei neprivalomas, pasiūlykite kitą būdą, pavyzdžiui, gimimo datą.

Ar asmens kodą galima siųsti el. paštu?
Bendro draudimo nėra, bet turite užtikrinti saugumą (BDAR 5 str. 1 d. f p.). Saugiau naudoti šifruotą failą ar sistemą su prieigos teisėmis.

Ar galime iš kodo apskaičiuoti amžių ir siųsti pasiūlymus pagal jį?
Ne. Tai būtų kodo tvarkymas tiesioginės rinkodaros tikslais (ADTAĮ 3 str. 3 d.). Jei amžius reikalingas, paklauskite gimimo metų atskirai.

• Teisėto intereso pusiausvyros testas: kaip jį atlikti
• Ar mums privalomas tvarkymo veiklų registras?
• Kaip nustatyti saugojimo terminą, kai jo nenurodo įstatymas?
• Kandidatų atrankos duomenys praktiškai

Teisė ir rizika: Asmens kodas ir dokumento kopija: ko galima prašyti kliento (dat.lt)

• Asmens kodo tvarkymo sąlygos: ADTAĮ 3 str. 1 d.; draudimas skelbti viešai: 3 str. 2 d.; draudimas naudoti rinkodarai: 3 str. 3 d.
• Valstybės gali nustatyti asmens identifikavimo numerio sąlygas: BDAR 87 str.
• Asmens duomenų sąvoka: BDAR 4 str. 1 p.
• Tvarkymo pagrindai: BDAR 6 str. 1 d. b, c ir f p.; sutikimas kaip sutarties sąlyga: BDAR 7 str. 4 d. ir 43 konstatuojamoji dalis.
• Principai: duomenų kiekio mažinimas: BDAR 5 str. 1 d. c p.; saugojimo trukmė: 5 str. 1 d. e p.; saugumas: 5 str. 1 d. f p.
• Informavimas apie privalomumą ir pasekmes: BDAR 13 str. 2 d. e p.
• Teisė nesutikti: BDAR 21 str. 1 d.
• Specialių kategorijų duomenys: BDAR 9 str. 1 d.
• Kliento tapatybės nustatymas: PPTFPĮ 10 str. 1 d. 3 p.; dokumento kopija: 10 str. 6 d. 5 p.
• Darbdavio duomenys Sodrai: Valstybinio socialinio draudimo įstatymo 17 str. 3 d.; Duomenų apie apdraustuosius ir draudėjus pateikimo ir tikslinimo taisyklių (Fondo valdybos direktoriaus 2010-06-04 įsakymas Nr. V-243) 14.2 ir 18.1.1 p.

BDAR skaitytas iš oficialaus lietuviško teksto (OL L 119, 2016-05-04). ADTAĮ, PPTFPĮ, Valstybinio socialinio draudimo įstatymas ir Sodros taisyklės skaityti iš galiojančių suvestinių redakcijų. Tekstas yra bendro pobūdžio informacija ir neatstoja individualios teisinės konsultacijos.