No šī mēneša sākam jaunu rakstu sēriju, kurā aplūkosim dažādu valsts iestāžu pilnvaras, ierodoties pārbaudēs pie uzņēmumu un iestāžu vadītājiem. Šoreiz par Datu valsts inspekciju un tās kompetencē esošajiem jautājumiem.

Pagājis vairāk nekā gads, kopš Latvijas uzņēmumiem, organizācijām, kā arī valsts un pašvaldību iestādēm jānodrošina darbības atbilstība Eiropas Parlamenta un Padomes regulas 2016/679 par fizisku personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti un ar ko atceļ Direktīvu 95/46/EK jeb Vispārīgās datu aizsardzības regulas (Regula) prasībām. Uzraudzības iestādes apliecinājušas, ka gatavas pildīt tām ar Regulu uzticētos uzdevumus un pilnā apjomā īstenot piešķirtās pilnvaras, nebaidoties piemērot iespaidīgus sodus par Regulas pārkāpumiem.

Sodi ir bargi

"Bailes" no Datu valsts inspekcijas (DVI) kļuvušas reālas, īpaši šobrīd, kad DVI paziņojusi par tās pieņemto lēmumu, piemērojot komersantam, kas sniedz pakalpojumus internetveikalā, 7000 eiro naudas sodu par datu subjekta tiesību neievērošanu un nesadarbošanos ar DVI. Piemērotais sods var šķist "niecīgs", tomēr jāņem vērā, ka pārkāpumā iesaistīts tikai viens datu subjekts un tas nav radījis būtisku kaitējumu datu subjekta tiesībām un brīvībām.

Jāpiemin arī Polijas uzraudzības iestādes piemērotais naudas sods 645 tūkst. eiro apmērā internetveikalam, kura izmantotie tehniskie un organizatoriskie pasākumi nebija atbilstoši riskam, ko rada personas datu apstrāde. Uzraudzības iestāde secināja, ka pārkāpums bija pietiekami nopietns un tajā iesaistīts liels datu subjektu skaits.

Arī mūsu kaimiņvalstī Lietuvā uzraugošā institūcija par personas datu drošības pārkāpumiem kādai elektronisko maksājumu iestādei piemēroja administratīvo naudas sodu 61 500 eiro apmērā. Kā lēmumā norādījusi uzraudzības iestāde, tā uzskata, ka naudas soda piemērošanai saskaņā ar Regulu jābūt nozīmīgam signālam citiem uzņēmumiem, kas tiesību akta noteikumus ievēro tikai deklaratīvi. Lietā konstatēts, ka uzņēmums nebija uzraudzības iestādei ziņojis par datu aizsardzības pārkāpumu, lai gan šāds pienākums paredzēts Regulā.

Lai gan lielai daļai uzņēmumu Regulas pirmais gads pagājis, ieviešot tās prasības dzīvē un saprotot, kas jāmaina un jāuzlabo, lai tās nepārkāptu, diemžēl joprojām ir uzņēmumi, kas uzskata, ka datu aizsardzība ir tikai formalitāte, ko, ja nepieciešams, var izpildīt, ieviešot uzņēmumā procedūru, kas eksistē tikai "uz papīra", to arī uzrādot DVI un tādējādi novēršot iespēju, ka varētu konstatēt datu aizsardzības pārkāpumu. Šis raksts noderīgs gan tiem, kas saprot, ko reāli nozīmē uzņēmumā ieviest ar Regulu noteiktās prasības, gan arī tiem, kas joprojām uzskata, ka Regulā noteiktās prasības ir tikai formalitāte un iespējamie administratīvie naudas sodi par to pārkāpumiem neattiecas uz viņiem.

Regula paplašināja pilnvaras

Ar Regulas piemērošanu ievērojami paplašinātas arī DVI pilnvaras. Ar Fizisko personu datu apstrādes likumā noteikto nacionālo regulējumu stiprināta DVI neatkarība, precizētas tās funkcijas, kā arī kārtība, kādā ieceļ DVI vadību.

DVI uzrauga un īsteno Regulas piemērošanu un veicina sabiedrības informētību un izpratni par datu apstrādes riskiem, noteikumiem un tiesībām. Tāpat DVI atbilstoši savai kompetencei konsultē valdību u.c. iestādes un struktūras par likumdošanas un administratīvajiem pasākumiem saistībā ar fizisku personu tiesību un brīvību aizsardzību, kas attiecināma uz datu apstrādi.

Lai veicinātu Regulā noteikto prasību izpildi, izvērtējot datu aizsardzības pārkāpuma smagumu, DVI piemēro "konsultē vispirms" principu, lai nodrošinātu, ka uzņēmējiem skaidri saprotamas Regulas prasības.

Regulā DVI paredzēta iespēja naudas soda vietā, ja tas fiziskai personai radītu nesamērīgu slogu, izteikt rājienu. Arī administratīvā atbildība par Regulas pārkāpumiem noteikta Regulā un nav iekļauta nacionālajā regulējumā.

Personas datu apstrādes atbilstības

Saskaņā ar Regulā noteiktajiem uzdevumiem DVI izvērtē datu subjektu, struktūras, organizācijas vai apvienības iesniegtās sūdzības un atbilstošā apjomā tās izmeklē, saprātīgā termiņā informējot sūdzības iesniedzēju par lietas virzību un izmeklēšanas rezultātiem, īpaši, ja nepieciešama papildu izmeklēšana vai koordinācija ar citu uzraudzības iestādi.

Regulas kontekstā DVI savā darbībā ir neatkarīga institūcija. Tā pārstāv Latviju un aktīvi darbojas Eiropas Datu aizsardzības kolēģijā (European Data Protection Board), kas ir neatkarīga Eiropas Savienības (ES) struktūra, kura nodrošina Regulas konsekventu piemērošanu Eiropā un no tās tieši izrietošo tiesisko pienākumu realizāciju.

DVI Regulas 58.pantā regulētos lēmumus par tiesiskajiem pienākumiem var pieņemt Administratīvā procesa likumā noteiktajā kārtībā. Savukārt administratīvos sodus iespējams piemērot kārtībā, kas paredzēta administratīvo pārkāpumu lietvedību (procesu) regulējošos normatīvajos aktos.

Ja noticis ļaunākais un DVI pieņēmusi lēmumu, kas uzņēmumam var būt jāapstrīd, inspekcijas amatpersonas lēmums vispirms pārsūdzams tās direktorei. Savukārt DVI direktores pieņemtais lēmums jāpārsūdz tiesā. Jāņem vērā, ka DVI pieņemtā lēmuma apstrīdēšana un pārsūdzēšana neaptur tā darbību, izņemot tad, ja lēmums apturēts ar iesnieguma vai pieteikuma izskatītāja lēmumu.

Sodi līdz pat 20 milj. eiro

Regulas 83.pantā noteikto nav iespējams ignorēt nevienam, kas apstrādā, plāno apstrādāt datus vai tikai domā sākt savu uzņēmējdarbību, jo normā noteiktie naudas sodi var sasniegt pat 20 milj. eiro vai – uzņēmuma gadījumā – līdz 4% no uzņēmuma kopējā visā pasaulē iepriekšējā finanšu gadā gūtā apgrozījuma atkarībā no tā, kura summa ir lielāka.

Uzraudzības iestādei (Latvijā tā ir DVI) jānodrošina, ka par Regulas 83.panta 4., 5. un 6.punktā noteiktajiem pārkāpumiem piemērotie administratīvie naudas sodi katrā konkrētajā gadījumā ir iedarbīgi, samērīgi un atturoši. Tāpat administratīvais naudas sods piemērojams vienlaikus ar tiesiskajiem pienākumiem vai to vietā.

Lemjot piemērot administratīvo naudas sodu, DVI jāizvērtē pārkāpuma būtība, smagums un ilgums, ņemot vērā datu apstrādes veidu, apmēru vai nolūku, kā arī ietekmēto datu subjektu skaitu un tiem nodarīto kaitējumu. Vērtējot pārkāpuma smagumu, būtiski, vai tas izdarīts tīši vai aiz neuzmanības. Pārkāpuma veidu (nozīmīgs vai nebūtisks pārkāpums) nosaka, ņemot vērā pārkāpuma raksturu – pārkāpuma rezultātā neatbilstoši apstrādāto personas datu apjomu, veidu, aizskarto datu subjektu skaitu, personu skaitu, kas saņēmušas personas datus neatbilstoši Regulai veiktās apstrādes rezultātā, pārkāpuma sekas, ilgumu u.c. pārkāpuma raksturu ietekmējošos apstākļus.

Tāpat jāņem vērā, ka jebkura rīcība, kas mazina kaitējumu fiziskajai personai (datu subjektam), kā arī atbilstoši tehniskie un organizatoriskie pasākumi, kuri liecina, ka uzņēmums nodrošinājis atbilstošu aizsardzības līmeni un izturējies atbildīgi pret tā rīcībā esošajiem personas datiem, ir pamats, lai DVI, izvērtējot piemērojamo naudas soda apmēru, to samazinātu, ievērojot konstatētos apstākļus.

Lai gan brīdī, kad, iespējams, noticis būtisks datu aizsardzības pārkāpums, par ko varētu piemērot Regulas 83.pantā noteikto naudas sodu, pēdējais, par ko uzņēmums domā, ir pienākums vērsties DVI un ziņot par notikušo incidentu uzņēmumā, tomēr tā ir viena no būtiskākajām darbībām šādā situācijā. Īpaši svarīgi sniegt DVI iespējami vairāk informācijas par pārkāpumu.

Sniegt pilnvērtīgu informāciju par pārkāpumu uzņēmums var tikai tad, ja nodrošinājis Regulā noteikto pasākumu izpildi un ievērojis DVI u.c. uzraudzības iestāžu sniegto informāciju par tehniskajiem un organizatoriskajiem pasākumiem, kas jāievieš, lai veikto personas datu apstrādi varētu uzskatīt par likumīgu un uzņēmums būtu izpildījis pienākumu nodrošināt personas datu apstrādes procesu, kas ļauj pierādīt, ka uzņēmuma veiktā apstrāde ir atbilstoša datu aizsardzības normatīvā regulējuma prasībām.

Pirms Regulas tiešas piemērošanas sākuma DVI noteica personas datu apstrādes riska jomas, izvērtējot ar personas datu apstrādi saistītos riskus, pārkāpumu skaitu noteiktās personas datu apstrādes jomās, kā arī ārvalstu pieredzi un sniegto informāciju par konkrētu jomu būtiskajiem riskiem. Šobrīd, ņemot vērā uzraudzības iestāžu konstatētos pārkāpumus un piemērotos naudas sodus, secināms, ka riska jomas noteiktas pareizi. Lai uzņēmums varētu nodrošināties, ka veicis visus pasākumus konstatēto un iespējamo risku novēršanai un īstenojis atbilstošus tehniskos un organizatoriskos pasākumus, lai pasargātu sevi no naudas soda piemērošanas, uzņēmumiem būtiski sagatavot ietekmes uz datu aizsardzību novērtējumu. Novērtējums palīdzēs novērst ar datu apstrādi saistītos riskus un uzskatāmi pierādīt Regulā noteikto datu apstrādes principu ievērošanu.

Regulas otrais gads

DVI direktore Daiga Avdejanova norādījusi, ka pirmais gads pēc Regulas ieviešanas aizvadīts bez būtiskiem satricinājumiem. Tomēr vienlaikus direktore norādījusi, ka tas izdevies, pateicoties sadarbībai ar partneriem un DVI darbam, nodrošinot konsultācijas un informāciju iedzīvotājiem un organizācijām. Tāpat DVI direktore apliecinājusi, ka turpināsies darbi, lai veicinātu visu iesaistīto pušu vienotu izpratni par fizisku personu datu drošību, apstrādi un izmantošanu un nepieļautu atšķirīgu Regulas normu interpretāciju. Tā noteikti ir laba ziņa, jo vismaz pirmšķietami rodas iespaids, ka DVI joprojām plāno ievērot "konsultē vispirms" principu. Tomēr, ņemot vērā citu uzraudzības iestāžu pieņemto lēmumu regularitāti, uz to nav ieteicams paļauties.

Kā jau minēts, DVI, piemērojot Regulu Latvijā, ievēro "konsultē vispirms" principu, t.i., primāri konsultē klientus un sniedz tiem atbalstu, jo inspekcijai svarīgi būt uzticamam uzņēmumu un fizisku personu palīgam un partnerim, īstenojot Regulā noteiktās prasības par tiesisku personas datu apstrādi un aizsardzību un veidojot vidi, kurā cilvēks spēj kontrolēt savu datu apstrādi un efektīvi īstenot savas tiesības.

Oficiālā statistika liecina, ka pirmajā Regulas darbības gadā principu "konsultē vispirms" DVI izmantoja 107 pārkāpumos, aicinot datu pārzini novērst nepilnības personas datu apstrādē un aizsardzībā, nevis piemērojot sodus. Sankcijas piemērotas tikai 31 pārkāpumam (no 333 konstatētajiem).

Apstrādājot personas datus, svarīgi atcerēties, ka savlaikus sakārtot procesus ir ieguldījums sekmīgā ilgtermiņa darbībā. Tehnoloģiju attīstība notiek nemitīgi, tāpēc datu aizsardzība vienmēr ir process, nevis padarīts darbs, par ko varētu aizmirst. Datu aizsardzība un drošība ir arī sabiedrības un uzņēmumu tiesiskuma un reputācijas priekšnosacījums gan Latvijā, gan ES kopumā.