Īsā atbilde
(DVI) var pārbaudīt apstrādi un izmantot 58. panta līdzekļus: pieprasīt informāciju, izteikt brīdinājumu vai rājienu, uzdot izpildīt personas tiesības, labot vai dzēst datus, ierobežot vai aizliegt apstrādi, apturēt datu plūsmu un piemērot sodu. Izvēlētais līdzeklis nav automātisks; tam jāatbilst pārkāpuma raksturam, riskam, vainai, ilgumam, sadarbībai un citiem 83. panta apstākļiem.
Ierobežojums kļūst iespējams, ja nav konkrēta tiesiska pamata vai īpašo kategoriju izņēmuma, nolūks ir neskaidrs, dati ir pārmērīgi vai neprecīzi, glabāšana ir pārāk ilga, cilvēki nav informēti, nav ievērotas viņu tiesības vai drošība neatbilst riskam. Publiska pieejamība, darba devēja īpašums, mārketinga interese vai kredītspējas pārbaude nav neierobežotas atļaujas. DVI lēmumu var pārsūdzēt, taču pārsūdzība pati par sevi neaptur DVI direktora administratīvo aktu.
Personai iespējama gan sūdzība DVI, gan tiesas aizsardzība pret pārzini vai apstrādātāju; soda nauda pati par sevi nav cietušajam izmaksājama kompensācija.
Kopīgais tests visiem apstrādes veidiem
Vispirms jānosauc konkrēts nolūks un Regulas 6. panta tiesiskais pamats. Tad jāievēro godprātība, pārredzamība, nolūka ierobežojums, datu minimizēšana, precizitāte, glabāšanas termiņš, drošība un pārskatatbildība. Ja tas pats datu kopums tiek izmantots jaunam nolūkam, vajadzīgs savietojamības izvērtējums vai jauns pamats.
„Datu apstrāde ir atļauta, ja ir vismaz viens no datu regulas 6. panta 1. punktā noteiktajiem pamatiem.“
—
Biometriskiem datiem unikālai identifikācijai, veselības datiem, arodbiedrības dalībai un citām īpašām kategorijām vajadzīgi divi slāņi: 6. panta pamats un 9. panta otrās daļas izņēmums. Piekrišana nav drošs noklusējums. Tai jābūt brīvai, konkrētai, informētai un atsaucamai; darba attiecībās var nebūt reālas izvēles.
Augsta riska apstrādei pirms sākšanas vajadzīgs ietekmes uz datu aizsardzību novērtējums. Tas īpaši aktuāli sistemātiskai darbinieku novērošanai, lielapjoma sensitīviem datiem, biometrijai vai jaunai tehnoloģijai. Ja pēc aizsardzības pasākumiem saglabājas augsts risks, pirms apstrādes jākonsultējas ar DVI.
Darbinieku uzraudzība
Darba devējs var aizsargāt sistēmas, mantu, drošību un darba organizāciju, bet tas nenozīmē tiesības nepārtraukti lasīt saziņu, klausīties skaņu, izsekot atrašanās vietai vai mērīt katru klikšķi. Katram kanālam atsevišķi jāparāda nolūks, pamats, nepieciešamība, samērīgums, piekļuves loks un glabāšanas termiņš. Privāts darba devējs var atsaukties uz leģitīmu interesi tikai pēc interešu līdzsvarošanas; publiska iestāde to nevar izmantot, pildot savus publiskos uzdevumus.
Regulas 88. pants pats nav atļauja. Tas ļauj dalībvalsts likumam vai koplīgumam noteikt konkrētākus nodarbinātības noteikumus ar īpašām garantijām. ES Tiesa lietā noteica, ka šādam regulējumam tiešām jābūt specifiskam un jāatbilst 88. panta aizsargprasībām; pretējā gadījumā apstrāde jāpārbauda pēc cita 6. panta pamata.
Pirms uzraudzības darbiniekam saprotami jāizskaidro, ko vāc, kāpēc, kad uzrauga, vai notiek automatizēta vērtēšana, kas redz datus un cik ilgi tos glabā. Mazāk ierobežojošs līdzeklis — piekļuves žurnāls, izlases pārbaude vai agregēti drošības dati — var padarīt nepārtrauktu personisku uzraudzību nevajadzīgu. Slepena novērošana iespējama tikai ļoti šauros, pierādāmos apstākļos, nevis vispārīgai produktivitātes kontrolei.
Publisks reģistrs nav brīvi izmantojama datubāze
Likums var prasīt konkrētu datu publiskošanu, tomēr jānošķir reģistra uzdevums, oficiāla publikācija, dokumenta izsniegšana un komerciāla atkalizmantošana. Senāts lietā Nr. SKA-148/2019 par Uzņēmumu reģistru atzina: pienākums nodrošināt publisku ticamību neattiecas uz ikvienu dokumentu vai personas detaļu, kas nonākusi iestādes rīcībā. Cietušo personas dati lēmuma pamatojumā nebija nepieciešami reģistrētā apgrūtinājuma atklāšanai, un līgums, ar kuru atkalizmantotājs sola ievērot datu aizsardzību, neaizstāj paša reģistra pienākumu atlasīt un aizklāt datus.
„Inspekcija var pieņemt lēmumu par oficiālajā izdevumā publicēto datu dzēšanu, ja datu subjekta tiesību uz privāto dzīvi aizskārums ir lielāks nekā sabiedrības ieguvums no oficiālās publikācijas nemainīguma.“
—
ES Tiesa Latvijas lietā noraidīja kā nesamērīgu ceļu satiksmes pārkāpumu uzskaites punktu pieejamību jebkuram sabiedrības loceklim bez īpašas intereses un nodošanu komersantiem atkalizmantošanai. Līdzīgu robežu Tiesa noteica apvienotajās lietās C-37/20 un C-601/20 par neierobežotu patieso labuma guvēju reģistra pieejamību. Valsts pārredzamības mērķis jāsasniedz ar stingri nepieciešamu datu loku un piekļuves modeli.
Tiešais mārketings
9. pants fiziskām personām paredz speciālu režīmu. Automātiskiem zvaniem, e-pastam, faksam un citai aptvertai elektroniskai saziņai parasti vajadzīga iepriekšēja brīva un nepārprotama piekrišana. GDPR leģitīma interese viena pati neatceļ šo speciālo prasību.
„Katra aizliegta komerciāla paziņojuma sūtīšana ir atsevišķs pārkāpums.“
—
Šaurais esoša klienta izņēmums ļauj izmantot darījuma laikā iegūtu e-pasta adresi tikai paša sūtītāja līdzīgām precēm vai pakalpojumiem, ja klients sākotnēji neiebilda un katrā vēstulē bez maksas var skaidri atteikties. Publiski atrodama adrese vai nopirkts saraksts nav šis izņēmums. Nedrīkst slēpt sūtītāju, izmantot nederīgu atteikuma adresi vai ignorēt iebildumu. ES Tiesa lietā atzina, ka arī reklāma, kas tehniski ievietota e-pasta iesūtnē, var būt elektroniskais pasts tiešā mārketinga izpratnē.
Likums uzliek uzraudzības iestādei pienākumu veikt pārbaudi, ja viens adresāts gada laikā no viena sūtītāja saņēmis vismaz desmit paziņojumus un iesniedz sūdzību. Tas nav noteikums, ka pirmās deviņas vēstules ir likumīgas; pārkāpumu var vērtēt arī pēc GDPR un citām uzraudzības pilnvarām.
Biometrija
Pirksta nospieduma vai sejas veidne, ko tehniski apstrādā unikālai identifikācijai, ir īpašas kategorijas personas dati. Pirms ieejas vai darba laika sistēmas ieviešanas jāpierāda gan 6. panta pamats, gan konkrēts 9. panta izņēmums. Frāzes „drošībai“ vai „ērtībai“ nav pietiekamas. Jāsalīdzina karte, PIN kods, fiziska kontrole vai cits mazāk iejaucošs līdzeklis, jāveic riska novērtējums un parasti arī ietekmes novērtējums.
Ja biometriska pazīme netiek izmantota unikālai identifikācijai, tā var neietilpt 9. panta biometrisko datu kategorijā, bet joprojām ir personas dati, kam piemēro 5. un 6. pantu. Savukārt sensitīvu secinājumu var iegūt arī netieši: ES Tiesa lietā C-184/20 norādīja, ka publicēti dati, no kuriem iespējams izsecināt seksuālo orientāciju, var būt īpašas kategorijas dati.
Kredītinformācija
atļauj licencētai sistēmai apstrādāt datus kredītspējas novērtēšanai un kredītriska pārvaldībai, nevis jebkuram atlases vai mārketinga nolūkam. Ziņas par parādu var iekļaut, piemēram, pēc spēkā stājušās nolēmuma vai kad nokavējums sasniedzis 60 dienas un pagājušas vismaz 30 dienas pēc īpaša brīdinājuma. Iebildums jāatzīmē un jāpārbauda; neprecīzi vai nelikumīgi dati jālabo vai jādzēš.
Samaksāta vai citādi izbeigta parāda ziņas glabā piecus gadus pēc attiecīgā notikuma, bet ne ilgāk kā desmit gadus no pirmā kavējuma; nesamaksāta parāda ziņas — desmit gadus no pirmā kavējuma. Pieprasījumu žurnālus parasti glabā gadu. Publiska reģistra datus drīkst glabāt tikai tik ilgi, cik nepieciešams kredītinformācijas mērķim, un ne ilgāk par pieejamību avota reģistrā.
Kredītinformācijas saņemšanai var būt piekrišana, klienta līguma pilnvarojums vai cits GDPR pamats; piekrišana nav vienīgais ceļš. Toties katram pieprasījumam vajag tiesisku pamatu un likumā noteikto mērķi. Persona var bez maksas tiešsaistē vai klātienē saņemt savus datus un informāciju par noteiktiem pieprasītājiem. DVI licencē un uzrauga birojus, veic auditus un var prasīt nepareizu vai nelikumīgu ziņu labošanu vai dzēšanu.
Personas datu aizsardzības pārkāpums
Pēc konfidencialitātes, pieejamības vai integritātes incidenta pārzinim tas jāierobežo, jāizmeklē un jādokumentē. DVI jāpaziņo bez nepamatotas kavēšanās un, ja iespējams, 72 stundās pēc uzzināšanas, ja vien maz ticams risks personu tiesībām un brīvībām. Augsta riska gadījumā saprotami jāinformē arī skartās personas, ja vien dati ar efektīvu aizsardzību nav nesaprotami, vēlākie pasākumi risku nav novērsuši vai individuāla saziņa neprasa nesamērīgas pūles un tiek izmantots līdzvērtīgs publisks paziņojums.
ES Tiesa lietā precizēja, ka uzbrucēja piekļuve pati par sevi vēl nepierāda neatbilstošus drošības pasākumus. Tomēr pārzinim jāpierāda to atbilstība riskam, un tiesa pasākumus vērtē konkrēti. Pierādītas bailes no datu ļaunprātīgas izmantošanas var būt morāls kaitējums; automātiska atbildība vai kompensācija nepastāv. Šis drošības vērtējums neatceļ pienākumu atsevišķi veikt 33. un 34. panta riska analīzi.
Ko DVI var darīt un kā lēmumu pārbauda?
DVI var sākt pārbaudi pēc sūdzības, ziņojuma, citas iestādes informācijas vai savas iniciatīvas. Tā var pieprasīt arī ierobežotas pieejamības dokumentus, piekļūt reģistriem un sistēmām, pārbaudīt apstrādes vietu un uzdot konkrētu termiņu pārkāpuma novēršanai.
Senāts lietā Nr. SKA-734/2022 atzina, ka DVI ir rīcības brīvība izvēlēties samērīgu Regulas 58. panta līdzekli. Nelielam pārkāpumam rājiens var būt pietiekams preventīvs pasākums; ne katrs pārkāpums automātiski nozīmē naudas sodu vai aizliegumu. Taču arī sūdzības noraidīšana ir pārbaudāma. Lietā Nr. SKA-353/2025 Senāts noteica, ka tiesa pilnībā vērtē, vai DVI rīkojusies saprātīgā termiņā, rūpīgi un pietiekamā apjomā, un var uzdot lietu pārskatīt ar piemērotākiem izmeklēšanas līdzekļiem.
DVI nav augstāka apelācijas iestāde pār citas valsts iestādes pamatlēmumu. Tā uzrauga datu apstrādes tiesiskumu. Persona var sūdzēties DVI vai izmantot GDPR 79. panta tiesas aizsardzību pret pārzini vai apstrādātāju; DVI-first nav universāls priekšnoteikums. DVI amatpersonas aktu vispirms apstrīd direktoram, bet direktora aktu pārsūdz administratīvajā tiesā. Kompensāciju saskaņā ar GDPR 82. pantu piešķir tiesa, nevis DVI soda nauda sūdzības iesniedzējam.
Praktiska atbilstības pārbaude
Pirms apstrādes vai pēc sūdzības dokumentējiet:
- precīzu nolūku, 6. panta pamatu un, ja vajag, 9. panta izņēmumu;
- datu avotu, lauku minimumu, saņēmējus, jaunu nolūku un glabāšanas termiņu;
- mazāk iejaucošas alternatīvas un interešu līdzsvaru;
- darbinieku, klientu vai sabiedrības informēšanu un tiesību pieprasījumu izpildi;
- piekļuves, šifrēšanas, žurnālu, incidentu un dzēšanas kontroli;
- ietekmes novērtējumu un, ja vajag, iepriekšēju konsultāciju;
- pārkāpuma faktus, risku, 72 stundu aprēķinu un lēmumu informēt vai neinformēt personas.
Secinājums
DVI ierobežo nevis tehnoloģiju nosaukumus, bet nepamatotu vai nesamērīgu apstrādi. Darbinieku uzraudzībai vajag konkrētu pamatu un reālu nepieciešamību; publiskam reģistram — stingru saikni ar likuma mērķi; mārketingam — speciālās piekrišanas un atteikuma garantijas; biometrijai — vēl arī 9. panta izņēmumu; kredītinformācijai — licencētu, precīzu un mērķim ierobežotu sistēmu; incidentam — dokumentētu drošības un paziņošanas riska izvērtējumu. Pārkāpuma gadījumā DVI izvēlas samērīgu līdzekli, un gan bezdarbību, gan aktīvu lēmumu var pārbaudīt tiesa.
Avoti
This article provides general legal information, not advice for a specific matter. Laws, facts and procedural deadlines may change the result. Follow the linked primary sources and obtain local advice before acting.