Datu regula

Daži aspekti Vispārīgās datu aizsardzības regulas (Regula) kontekstā

Īsi pirms Regulas piemērošanas uzsākšanas 2018.gada 25.maijā Tiesībsarga birojs veica divas aptaujas, lai noskaidrotu, cik Latvijas iedzīvotāji jūtas zinoši par Regulu. Tiesībsargam ir svarīgi noskaidrot, vai Satversmes 90.panta kontekstā iedzīvotāji ir informēti par savām tiesībām.

Tika veikta SKDS interneta aptauja par Latvijas iedzīvotāju informētību par Regulu, lūdzot sniegt savu zināšanu pašvērtējumu. Lai arī publiskajā telpā, tīmeklī, medijos šobrīd atrodama plaša informācija un skaidrojumi latviešu valodā par Regulas saturu un ietekmi, aptaujas rezultāti uzrādīja pavisam citu ainu.

Iedzīvotāju aptaujas rezultāti parādīja, ka no aptaujas respondentiem:

Vienlaikus tika aptaujāti arī žurnālisti. Jāatzīmē, ka 73% no aptaujātajiem žurnālistiem, nejūtas zinoši par datu Regulas prasībām.

Tādējādi sniedzam nelielu Tiesībsarga biroja ieskatu par dažiem jauniem aspektiem Regulas kontekstā, uzsvaru liekot tieši uz datu subjekta tiesībām.

Regula atspoguļo lielākās izmaiņas datu aizsardzībā pēdējos divdesmit gados, pielāgojoties mūsdienu izaicinājumiem. Daudzi Regulas aspekti datu aizsardzībā mums jau ir bijuši zināmi, taču ir arī jauni.

Regula skaidro, ka “personas datu apstrāde būtu jāveido tā, lai tā kalpotu cilvēkam.”[1] Tā uzsver, ka “fiziskām personām būtu jāspēj kontrolēt savus personas datus.”[2]

* prasot no atsevišķām organizācijām pārskatīt piekrišanas sniegšanu, uz kuru viņi līdz šim ir balstījušies.

Regula neizdala valsts un privāto sektoru. Katrai organizācijai būs noteikti jāpārskata sava līdzšinējā politika, prakse, līgumi, lai nodrošinātu datu apstrādes atbilstību Regulas prasībām.

Vispirms organizācijām būtu jāsaprot, kā tās ir apstrādājušas personas datus līdz šim. Ieteicams būtu nodrošināt darbiniekiem apmācību par Regulas ietekmi. Tā kā Regulā ir daudz jaunu aspektu salīdzinājumā ar iepriekšējo regulējumu, organizācijai būtu ieteicams iecelt zinošu datu aizsardzības speciālistu pat tādos gadījumos, kad Regula to neprasa.

Ir atsevišķas organizācijas un iestādes, kam datu aizsardzības speciālists būs jānorīko obligāti. Tās ir visas valsts institūcijas, kā arī institūcijas, kas veic plaša mēroga regulāru un sistemātisku datu apstrādi vai īpašas kategorijas datu apstrādi. Datu aizsardzības speciālists, iepazīstoties ar organizācijas specifiku, ieteiks labākos risinājumus, lai saskaņotu personas datu apstrādi uzņēmumā ar Regulas prasībām (datu apstrādes apjomu, glābšanas termiņus, utt.). Ja apstrāde pamatojas uz datu subjekta piekrišanu, pārzinim būs jāspēj uzskatāmi parādīt, ka datu subjekts devis piekrišanu apstrādes darbībai. Datu aizsardzības speciālists būs tā persona, pie kā varēs vērsties datu subjekti visos jautājumos, kas saistīti ar viņu datu apstrādi. Speciālists arī sadarbosies ar uzraudzības iestādi, tātad Datu valsts inspekciju.

Personas dati un to veidi

Personas dati ir jebkāda informācija, kas attiecas uz identificētu vai identificējamu fizisku personu. Personas dati ir identifikators plus informācija.

Izplatītākie identifikatori:

Jauni datu veidi:

Salīdzinājumā ar iepriekšējo normatīvo regulējumu datu Regulā precīzāk ir definēti veselības dati – tie ir personas dati, kas saistīti ar fiziskas personas fizisko vai garīgo veselību, tostarp veselības aprūpes pakalpojumu sniegšanu, un kas atspoguļo informāciju par tās veselības stāvokli.

Regula ievieš jaunu jēdzienu līdzšinējo sensitīvo datu vietā – īpašas kategorijas personas dati. Tie ir ģenētiskie dati, biometriskie dati, kā arī dati, kas atklāj rases, etnisko piederību, politiskos uzskatus, reliģisko, filozofisko pārliecību, dalību arodbiedrībās, veselības dati, dati par fiziskas personas dzimumdzīvi vai seksuālo orientāciju. Īpašas kategorijas personas datu apstrāde ir aizliegta, taču ir atsevišķi izņēmumi, kad to apstrāde ir pieļaujam. Šie izņēmumi ietverti Regulas 9.panta otrajā daļā. Tātad šo datu apstrāde ir pieļaujama tikai tad, ja apstrādei ir tiesisks pamats, turklāt personai, kas šos datus apstrādā, jāievēro dienesta noslēpums.

Datu apstrādes pamatprincipi

Datu apstrādes pamatprincipi nemainās. Dati jāvāc konkrētiem, skaidriem un leģitīmiem nolūkiem, un to turpmāko apstrādi nevar veikt ar minētajiem nolūkiem nesavietojamā veidā. Turpmākā datu apstrāde arhivēšanai, zinātnes un vēstures pētniecībai, statistikai nav nesavietojama ar sākotnējo mērķi.

Datiem jābūt atbilstīgiem un adekvātiem; datu vākšanā un uzglabāšanā jāievēro minimālisma princips.

Datiem jābūt precīziem un atjauninātiem. Bez kavēšanās jāveic datu atjaunināšana, precizēšana un dzēšana, ja nepieciešams.

Ja dati tiek glabāti veidā, kas pieļauj identifikāciju, tad jānodrošina, lai tos neglabā ilgāk, nekā nepieciešams sākotnējiem nolūkiem.

Personas datu apstrādes pamatprincipu ievērošana nodrošinās datu apstrādes atbilstību Vispārīgās datu aizsardzības regulas prasībām un ļaus izvairīties no iespējamiem sodiem.

Personas datu apstrādes tiesiskie pamati

Viens no izplatītākajiem datu apstrādes tiesiskajiem pamatiem ir datu subjekta piekrišana (piemēram, persona atļauj sevi fotografēt). Tāpat datu apstrāde ir arī likumīga, ja:

• pārzinim tā vajadzīga līguma noslēgšanai, kur viena no pusēm ir datu subjekts (piemēram, pārzinim nepieciešami personas dati, lai noslēgtu ar viņu uzņēmuma vai cita veida līgumu);
• lai izpildītu uz pārzini attiecināmu juridisku pienākumu (tie ir likumos ietvertie pārzinim noteiktie pienākumi; kā skaidrots Regulas 41.apsvērumā, tad tas obligāti nenozīmē, ka vajadzīgs parlamenta pieņemts leģislatīvs akts, tomēr šādam juridiskam pamatam vai leģislatīvam pasākumam vajadzētu būt skaidram un precīzam un personām, uz kurām tas attiecas, vajadzētu spēt paredzēt tā piemērošanu);
• lai aizsargātu datu subjekta vai citas fiziskas personas vitālas intereses (datu apstrāde būs nepieciešama ārkārtas situācijās, piemēram, dabas katastrofu gadījumos);
• lai izpildītu uzdevumu, ko veic sabiedrības interesēs (tie, piemēram, būs gadījumi, kad mediji atainos kādu tiesvedību, kuras norisi sabiedrībai ir svarīgi zināt);
• kā arī trešās personas leģitīmo interešu ievērošanai (piemēram, lai iesniegtu tiesā civilprasību, prasītājam būs nepieciešams zināt atbildētāja adresi).

Tomēr arī šeit var būt izņēmumi. Pārziņa vai trešās personas leģitīmās intereses var būt apstrādes juridiskais pamats ar noteikumu, ka datu subjekta intereses vai pamattiesības un pamatbrīvības nav svarīgākas. Šādos gadījumos katra individuālā situācija būs rūpīgi jāizvērtē (Regulas 47.apsvērums).

Datu subjekta tiesības

Datu subjektam piekrišana savu datu apstrādei jādod tieši, nepiespiesti, ar skaidri apstiprinošu darbību.

Pārzinim jāspēj uzskatāmi pierādīt, ka datu subjekts piekritis savu personas datu apstrādei. Piekrišanai obligāti nav jābūt rakstiskai. Tomēr būs gadījumi, kad būs obligāti nepieciešama rakstiska piekrišana. Rakstiskas piekrišanas gadījumā skaidri jānošķir piekrišana personas datu apstrādei no cita veida piekrišanām. Lūgumu dot piekrišanu norāda tā, lai to varētu skaidri atšķirt no citiem jautājumiem, izmantojot skaidru un vienkāršu valodu. Jāuzsver, ka piekrišana būs jādod katrai darbībai atsevišķi, nav spēkā tādas vispārīgas piekrišanas, kā bija agrāk.

Vērtējot piekrišanas brīvību, jāvērtē, vai pakalpojumu sniegšana ir atkarīga no piekrišanas tādai personas datu apstrādei, kura nav nepieciešama minētā līguma izpildei. Datu subjektam ir tiesības atsaukt savu piekrišanu.

Datu subjektam ir tiesības saņemt no pārziņa apstiprinājumu par to, vai attiecībā uz datu subjektu tiek vai netiek apstrādāti personas dati, un, ja tiek, datu subjektam piekļūt attiecīgajiem datiem un saņemt šādu informāciju:

• Apstrādes nolūki;
• Personas datu kategorijas;
• Personas datu saņēmēji vai saņēmēju kategorijas, kam dati izpausti;
• Laikposms, cik ilgi dati tiks uzglabāti (ja iespējams);
• Tas, ka pastāv tiesības pieprasīt datu labošanu vai dzēšanu, vai iebilst pret apstrādi;
• Tiesības iesniegt sūdzību uzraudzības iestādei (Latvijā tā ir Datu valsts inspekcija);
• Visa pieejamā informācija par datu avotu (ja dati netiek vākti no datu subjekta);
• Tas, ka pastāv automatizēta lēmumu pieņemšana (tostarp profilēšana).

Ja datu subjekts uzskata, ka viņa tiesības saskaņā ar Regulu ir pārkāptas, viņam ir tiesības prasīt kompensāciju. Regula min, ka katrai fiziskai un juridiskai personai jāparedz efektīvi tiesību aizsardzības līdzekļi, tiesības vērsties tiesā par uzraudzības iestādes lēmumu, kas rada tiesiskas sekas (nevar vērsties tiesā par uz uzraudzības iestādes juridiski nesaistošiem pasākumiem, piemēram, atzinumiem vai padomiem).

Būtu norādāms, ka arī pašam datu subjektam noteikti aktīvāk jāizrāda sava piekrišana vai aizliegums datu apstrādei. Piemēram, tas attiecas uz fotografēšanos daļēji publiskos pasākumos (konferencēs, slēgtos pasākumos).

Tāpat ikvienam cilvēkam ir jāpiedalās savu datu aizsardzībā. Šobrīd uzņēmumi (mobilo sakaru operatori, lielveikali) cenšas noskaidrot indivīdu vēlmi datu apstrādē.

Lai atvieglotu Regulas ieviešanu, aicinu ilvienu aktīvāk izteikt savu gribu vai, tieši pretēji – aizliegumu savu datu apstrādei.

Bērnu tiesības Regulas tvērumā

Regulā ir atsauce uz informācijas sabiedrības pakalpojumiem, tie ir, piemēram, sociālie tīkli. Bērns drīkstēs dot piekrišanu savu datu apstrādei informācijas sabiedrības pakalpojumiem tikai tad, ja būs sasniedzis 13 gadu vecumu.

Mācību iestādēm noteikti kādā no mācību priekšmetiem vajadzētu iekļaut arī skolēnu izglītošanu par personas datu aizsardzību, kā arī mazākajās klasēs iesaistīt šajā diskusijā vecākus.

Profilēšana

Šis ir jauns jēdziens, kas ietverts Regulā.

proti, analizēt viņa sniegumu darbā, ekonomisko situāciju, veselību, vēlmes, intereses, uzvedību. Izmantojot pieejamos datus par personu, var tikt prognozēta viņa uzvedība un vēlmes nākotnē. Ļoti izplatīta profilēšana ir mārketinga jomā. Savā ziņā var uzskatīt, ka ar profilēšanas palīdzību tiek domāts cilvēka vietā un viņam tiek sniegti konkrēti piedāvājumi.

Pārzinim noteikti jāinformē datu subjekts, ka tiek veikta profilēšana. Datu subjektam ir tiesības no profilēšanas atteikties.

Ir atsevišķi gadījumi, kad Regula pieļauj profilēšanu, proti, nodokļu nemaksāšanas uzraudzībai un novēršanai, nodokļu krāpšanas jomā un, ja tas atrunāts likumā.

Nekādā gadījumā nav pieļaujama cilvēku diskriminācija ar profilēšanas palīdzību.

Radošo profesiju pārstāvji

Regula skaidro, ka datu aizsardzība nav absolūta prerogatīva. Tiesības uz personas datu aizsardzību jālīdzsvaro ar citām pamattiesībām saskaņā ar proporcionalitātes principu.

Regula noteic, ka dalībvalstu tiesību aktos jāsaglabā līdzsvars starp vārda un informācijas brīvību (tostarp žurnālistu izteiksmes, mākslinieciskās vai literārās izpausmes brīvību), un tiesībām uz personas datu aizsardzību. Īstenojot žurnālistu, mākslinieciskās izteiksmes brīvību, būs piemērojamas atkāpes vai izņēmumi no atsevišķiem Regulas noteikumiem.

Tas ir nepieciešams, lai panāktu līdzsvaru starp tiesībām saņemt un sniegt informāciju, kā tas ietverts Eiropas Savienības Pamattiesību hartas 11. pantā. Šie noteikumi īpaši jāpiemēro datu apstrādei audiovizuālajā jomā, ziņu arhīvos, preses bibliotēkās.

Regula noteic, ka dalībvalstīm jāpieņem tādi normatīvie akti, kuros noteikti izņēmumi, lai nodrošinātu minētās pamattiesības. Attiecībā uz medijiem Latvijai šis ir piemērots brīdis, kad, izstrādājot jaunu mediju vides tiesisko regulējumu, kas ar laiku aizstātu likumu “Par presi un citiem masu informācijas līdzekļiem” un Elektronisko plašsaziņas līdzekļu likumu, varētu iekļaut konkrētākus nosacījumus par personas datu publiskošanu. 

Lai veicinātu zinātnisko un vēstures pētniecību, personas datus šiem nolūkiem (zinātniskās pētniecības nolūki jāinterpretē plaši) drīkst apstrādāt, vienlaikus ievērojot atbilstošas garantijas, kas paredzētas tiesību aktos. Šādas garantijas nozīmē, piemēram, minimālisma principa ievērošanu datu vākšanā un glabāšanā.

Tāpat jānorāda, ka Regula netiek piemērota mirušām personām.

Lai vārda brīvības īpaši svarīgā loma būtu pietiekami ņemta vērā, Regula uzsver, ka jēdziens “žurnālistika” ir jāinterpretē plaši.

Savukārt tiesību piemērotāja uzdevums būs veikt rūpīgu pamattiesību izvērtējumu atbilstoši individuālam gadījumam, lai panāktu taisnīgu līdzsvaru starp personas datu aizsardzību un žurnālistu tiesībām uz vārda brīvību. Šādam izvērtējumam noteikti noderēs Eiropas Cilvēktiesību tiesas (ECT) praksē izstrādātie kritēriji.  

ECT, izvērtējot lietas, kurā saduras vārda brīvība un tiesības uz privāto dzīvi, tostarp datu aizsardzību, ņem vērā:

• Publikācijas un tai pievienoto attēlu pienesumu diskusijai par sabiedriski nozīmīgiem notikumiem[4].

ECT ir uzsvērusi, ka sabiedrības interese var pastāvēt arī lietās, kas nav vienīgi saistītas ar politiskiem notikumiem vai noziedzīgiem nodarījumiem, bet arī attiecībā uz dažādiem notikumiem sportā vai informāciju par slavenībām[5]. Vienlaikus uzsverams, ka lai gan sabiedrībai ir tiesības tikt informētai, tomēr ziņas par atpazīstamu personu privātās dzīves detaļām netiek uzskatītas par informāciju, kurai piemīt sabiedriskā nozīme[6]. Tāpat personas tiesības uz datu aizsardzību prevalēs pār medija komerciālu interesi veidot publikāciju par personas privātās dzīves detaļām.

• Publikācijas mērķi un saturu;
• Personas atpazīstamību sabiedrībā, iepriekš veiktās darbības un rīcību pirms publikācijas atspoguļošanas presē;
• Informācijas iegūšanas metodes un atspoguļotās informācijas patiesumu;
• Publikācijas formu un sekas, kas personai ir iestājušās pēc raksta publicēšanas.

Žurnālistam, atspoguļojot kādu notikumu, piemēram, demonstrācijas vai mītiņa norisi, būs nepieciešams vērtēt, vai konkrēta cilvēka attēla publicēšana ir nepieciešama, lai atspoguļotu konkrēto notikumu, piemēram, personas filmēšana būtu pieļaujama, lai informētu sabiedrību, ka pasākumā ir piedalījies kāds konkrēts cilvēks, par kuru ir īpaša interese. Vienlaikus personām pašām ir jāapzinās, ka, apmeklējot sabiedriski nozīmīgus publiskus pasākumus, var notikt personas datu apstrāde.

Jāatzīmē, ka situācijā, kad pastāv konflikts, personai ir tiesības vērsties Datu valsts inspekcijā.

Tiesības uz datu dzēšanu jeb “tiesības tikt aizmirstam”

Regulā izmantotais apzīmējums “tiesības tikt aizmirstam” ir attiecināms uz personas datu apstrādi interneta tiešsaistes vidē. Kā novitāte būtu atzīmējama, ka “tiesības tikt aizmirstam” vairs neattieksies vienīgi uz meklētājprogrammu (piemēram, Google reģionālo lapu) rezultātu atspoguļošanu[3], bet uz daudz plašāku tiesību apjomu, nosakot, ka personai ir tiesības vērsties pie jebkura datu apstrādes pārziņa, pieprasot dzēst savus personas datus.

Personas pieteikums par datu dzēšanu un pierādīšanas pienākums

Regulas preambulas ceturtajā apsvērumā ir nostiprināts, ka personas datu apstrāde ir jāveido tā, lai tā kalpotu cilvēkam. Ņemot vērā, ka Regula ir primāri vērsta uz personas datu aizsardzību, personai ir jāvērš datu pārziņa uzmanība uz nepamatotu savu datu apstrādi. Regula nenosaka specifiskas prasības attiecībā uz personas iesnieguma formu, tādējādi iesniegumu datu pārzinim persona drīkst rakstīt brīvā formā. Savukārt datu pārzinim ir pienākums pierādīt, ka pastāv pamats personas datu apstrādes turpināšanai. Piemēram, datu pārzinis var norādīt, ka publikācija par personas izdarītu noziedzīgu nodarījumu netiks dzēsta, jo sabiedrības tiesības uz informāciju prevalēs pār personas datu aizsardzību.

Nodrošinot personas datu aizsardzību, Regulas preambulas 65.apsvērums noteic, ka personai ir tiesības uz savu datu dzēšanu, un apstrādes neturpināšanu, ja persona piekrišanu datu apstrādei ir devusi kā bērns, pilnībā neapzinoties ar apstrādi saistītos riskus it sevišķi interneta vidē. Tādējādi datu subjektam būtu jāvar īstenot minētās tiesības, neraugoties uz to, ka persona vairs nav bērns.

Pamati personas datu dzēšanai un “tiesību tikt aizmirstam” īstenošanai

Datu pārziņa pienākums nodrošinot personas datu dzēšanu

Regulā ir nostiprināts pārziņa pienākums veikt saprātīgus pasākumus, lai informētu citus pārziņus, kas veic personas datu apstrādi, par datu subjekta pieprasījumu dzēst visus personas datus, kas atrodas viņu rīcībā. No minētā ir iespējams secināt, ka pārziņa pienākums ir ne tikai dzēst informāciju par personu, kas atrodas pārziņa rīcībā, bet arī informēt pārējos datu pārziņus, kuriem ir tālāk nodota personas informācija, par nepieciešamību neatgriezeniski dzēst visus personas datus (visas saites uz minētajiem personas datiem vai personas datu kopijas vai atveidojumi).

Piemēram, esat lūdzis kādam uzņēmumam dzēst Jūsu norādīto telefona numuru saziņai ar Jums. Savukārt uzņēmums ir nodevis Jūsu telefona numuru savam meitas uzņēmumam vai kādai reklāmas aģentūrai. Situācijā, kādā datu pārzinis pieņem lēmumu dzēst Jūsu datus, pārzinim ir pienākums arī informēt savu meitas uzņēmumu vai reklāmas aģentūru, ka esat izteicis vēlēšanos datu dzēšanai un tiem ir pienākums neatgriezeniski dzēst Jūsu personas datus. Tāpat Jums ir tiesības lūgt datu pārzinim sniegt informāciju par minētajiem datu saņēmējiem.

Diskutējams ir jautājums par sociālo tīklu pienākumu atbildību “tiesību tikt aizmirstam” realizēšanā. Piemēram, situācijā, kad cita persona savā sociālā tīkla lietotāja profilā ir ievietojusi par Jums informāciju, Jums ir tiesības vērsties pie sociālā tīkla administrācijas ar lūgumu dzēst šo informāciju. Taču jautājums pastāv, vai sociālā tīkla administrācijai ir pienākums informēt personu, kura ir izvietojusi informāciju, par personas datu dzēšanas pieprasījumu.  

Izņēmumi personas datu dzēšanai un “tiesību tikt aizmirstam” īstenošanai

Jāatzīmē, ka personas tiesības uz savu personas datu dzēšanu, kā arī “tiesības tikt aizmirstam” nav absolūtas tiesības. Vienlaikus datu aizsardzībai Regulā ir uzsvērta arī nepieciešamība aizsargāt citas personas tiesības – domu, pārliecības un ticības brīvību, vārda un informācijas brīvību, darījumu brīvību, tiesības uz efektīvu tiesību aizsardzību un taisnīgu tiesu, kā arī kultūru, reliģiju un valodu daudzveidību. Lai nodrošinātu minēto tiesību ievērošanas mijiedarbību, Regulā ir iekļauti vairāki izņēmumi, kādos tiesības uz datu dzēšanu un “tiesības tikt aizmirstam” netiek piemērotas. Tāpat personai jāatceras, ka realizējot savas tiesības “tikt aizmirstam” interneta vidē, datu pārzinis izvērtē vairākus kritērijus pirms pieņem lēmumu par datu dzēšanu.

---

[1] Regulas 4.apsvērums

[2] Regulas 7.apsvērums

[3] Kā tas ir nostiprināts Eiropas Savienības tiesas Virspalātas spriedumā lietā C-131/12 Google Spain

[4] Eiropas Cilvēktiesību tiesas Lielās palātas 2012. gada 7.februāra spriedums lietā “Von Hannover v. Germany (no. 2)”. Nr. 40660/08 un 60641/08, 109.punkts, Eiropas Cilvēktiesību tiesas Lielās palātas spriedums lietā “Axel Springer AG v. Germany” Nr.39954/08, 90.punkts.

[5] Eiropas Cilvēktiesību tiesas Lielās palātas 2017. gada 27.jūnija spriedums lietā “Satakunnan Markkinaporssi Oy and Satamedia Oy v. Finland”, Nr.931/13, 168.punkts, Eiropas Cilvēktiesību tiesas Lielās palātas 2012.gada 7.februāra spriedums lietā “Von Hannover v. Germany (no. 2)”. Nr. 40660/08 un 60641/08, 109.punkts

[6] Eiropas Cilvēktiesību tiesas Lielās palātas 2012. gada 7. februāra spriedums lietā “Von Hannover v. Germany (No. 2)”. Nr. 40660/08 un 60641/08, 97.punkts