Personas datu apstrāde. Vispārīgā datu aizsardzības regula II

Jebkura ar personas datiem veikta darbība

Vispārīgā datu aizsardzības regula1 (VDAR) sniedz definīciju, ka personas datu apstrāde ir jebkura ar personas datiem vai personas datu kopumiem veikta darbība vai darbību kopums, ko veic ar vai bez automatizētiem līdzekļiem. Piemēram, personas datu vākšana, reģistrācija, organizēšana, strukturēšana, glabāšana, pielāgošana vai pārveidošana, atgūšana, aplūkošana, izmantošana, izpaušana, nosūtot, izplatot vai citādi darot tos pieejamus, saskaņošana vai kombinēšana, ierobežošana, dzēšana vai iznīcināšana.

Vispārīgā datu aizsardzības regula aizsargā personas datus neatkarīgi no izmantotās tehnoloģijas. Tā ir "tehnoloģiski neitrāla" un attiecas gan uz automatizētu, gan manuālu apstrādi, ja vien dati ir strukturēti saskaņā ar kādiem iepriekš noteiktiem kritērijiem (piemēram, sakārtoti alfabētiskā secībā).

Neatkarīgi no datu uzglabāšanas veida – vai tie apkopoti datorizētā sistēmā, papīra kartotēkā, izmantojot videonovērošanu, – visos gadījumos personas datiem piemēro Vispārīgās datu aizsardzības regulas noteiktās aizsardzības prasības.

Taču regula neattiecas uz tādu datu apstrādi, kas skar juridiskas personas datus, piemēram, informāciju par uzņēmuma nosaukumu, uzņēmējdarbības formu un kontaktinformāciju. Tāpat regulas noteikumi neattiecas uz mirušu personu datiem. Tomēr ir iespējami izņēmuma gadījumi, kad mirušās personas dati var kļūt par dzīvas personas datiem. Piemēram, ja mirusī persona sirgusi ar pārmantojamu slimību, tad šāda rakstura informācija var tikt uzskatīta par mirušās personas pēcnācēju personas datiem, uz ko attiecas datu aizsardzības prasības. Vienlaikus regula paredz, ka dalībvalsts var paredzēt stingrākus papildu noteikumus par mirušu personu datu apstrādi. Piemēram, Latvijā Pacientu tiesību likums aizliedz izpaust jebkādu informāciju, kas attiecas uz pacientu, arī pēc viņa nāves.

Personas datu apstrādes piemēri

Personas datu apstrādes piemēru uzskaitījums regulā nav izsmeļošs. Katrs no mums ikdienā saskaras ar savu vai citu personu datu apstrādi visdažādākajās situācijās. Piemēram, kā norāda Datu valsts inspekcijas Eiropas Savienības un starptautiskās sadarbības nodaļas vadītājs Lauris Linabergs, strādājot kādā iestādē vai privātā uzņēmumā, ir iespējams, ka saskarsieties ar šādu personas datu apstrādi:

• personālvadība (piem., darbinieka personas lietas izveidošana un glabāšana);
• videonovērošanas veikšana;
• darbinieka e-pasta caurlūkošana, interneta izmantošanas kontrole;
• atsauksmju par darbinieku sniegšana telefoniski;
• informācijas iegūšana no Iedzīvotāju reģistra par personas dzīvesvietu;
• informācijas sniegšana Valsts ieņēmumu dienestam par darbiniekiem;
• valdes locekļu reģistrēšana Uzņēmumu reģistrā;
• dokumentu, kas satur personas datus, iznīcināšana, glabāšana.2

Tikmēr Eiropas Komisijas skaidrojumā3 izceltas citas vispārējas personas datu apstrādes iespējas, ar kurām saskaramies ikdienā, piemēram, lietojot internetu, interneta banku vai iepērkoties veikalā, izmantojot klienta karti:

• reklāmas e-pasta ziņojumu/īsziņu sūtīšana;
• personas fotoattēla izlikšana/publicēšana tīmekļvietnē;
• IP adrešu vai MAC adrešu glabāšana u. c.

Datu apstrāde personiskām vajadzībām

Vispārīgās datu aizsardzības regulas noteikumus nepiemēro tādai personas datu apstrādei, kuru fiziska persona veic tikai personiskām vai mājsaimniecības vajadzībām, ar nosacījumu, ka tā nav saistīta ar profesionālu vai komerciālu darbību. Tiklīdz fiziska persona attiecīgos personas datus izmanto ārpus personīgās dzīves robežām, piemēram, sociālām, kultūras vai finanšu darbībām, ir jāievēro Vispārīgās datu aizsardzības regulas prasības.

"Katrai personai mājās ir ļoti daudz citu cilvēku datu, piemēram, telefons, kur ierakstīti draugu un paziņu kontakti, bilžu albums, kur atrodamas draugu fotogrāfijas, adrešu grāmatiņa, kurā pierakstītas draugu dzīvesvietas adreses, mājas kāpņu telpu ieejas kodi u. tml. informācija. Arī tie ir dati, ko apstrādājat. Taču, ja jūs kā fiziska persona tos apstrādājat tikai savām vajadzībām, tad uz jums regula neattiecas," intervijā LV portālam skaidroja Iekšlietu ministrijas padomniece datu jautājumos Moldovas Republikā Jekaterina Macuka. "Taču, ja nolemsiet veidot savu kaimiņu kartotēku, aprakstīt viņu dzīvi un to visu publicēt internetā, tādā gadījumā regula uz jums attieksies."

Vienlaikus Vispārīgo datu aizsardzības regulu piemēro pārziņiem un apstrādātājiem, kas piedāvā līdzekļus [platformas] personas datu apstrādei personiskām vai mājsaimniecības vajadzībām (VDAR 18. apsvērums). Piemēram, tas attiecas uz sociālo tīklu uzturētājiem, dažādu mobilo aplikāciju, mākoņdatošanas un tamlīdzīga veida tīmekļa pakalpojumu sniedzējiem.

Svarīgi atcerēties!  Jebkurai datu apstrādei ir jābūt likumīgai un godprātīgai. Plašāk par tēmu, kādi ir iespējamie personas datu apstrādes tiesiskie pamati un regulā noteiktie datu apstrādes pamatprincipi, skaidrojuma turpinājumā.

Publikācijā izmantoti Datu valsts inspekcijas un Eiropas Komisijas sagatavotie materiāli.

1Eiropas Parlamenta un Padomes Regula (ES) 2016/679 (2016. gada 27. aprīlis) par fizisku personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti, ar ko atceļ Direktīvu 95/46/EK (Vispārīgā datu aizsardzības regula)

2Latvijas Pašvaldību savienības un Datu valsts inspekcijas rīkotā videokonference par personu datu aizsardzības jautājumiem. 1.daļa.

3Eiropas komisija. 2018. gada ES datu aizsardzības noteikumu reforma