Apkopoti ieteikumi finanšu iestādēm fizisko personu datu apstrādē

Sadaļa veidota kopā ar Datu valsts inspekciju un Finanšu nozares asociāciju.

Latvija ir pirmā valsts Eiropas Savienībā, kurā kompetentās institūcijas finanšu sektora tirgus dalībniekiem ir izstrādājušas šādu skaidrojošo informāciju, norāda FKTK.

Ieteikumi kā atsevišķa – septītā – nodaļa iekļauti FKTK 2021. gada 21. decembra ieteikumos Nr. 169 “Ieteikumi noziedzīgi iegūtu līdzekļu legalizācijas un terorisma un proliferācijas finansēšanas novēršanas un sankciju riska pārvaldīšanas iekšējās kontroles sistēmas izveidei un klientu izpētei”.

Uzsākot darbu pie ieteikumu izstrādes, tika apkopoti problēmjautājumi, ar kuriem finanšu iestādes saskaras ikdienas darbā, skaidro FKTK. Ieteikumos sagatavoti skaidrojumi un iespējamie risinājumi, lai finanšu iestādes varētu vienlaikus izpildīt gan NILLTPFN likuma, gan Vispārīgās datu aizsardzības regulas (Datu regulas) prasības.

FKTK rokasgrāmatā norāda, ka, apstrādājot fizisko personu datus NILLTPFN likumā noteikto mērķu sasniegšanai, jāievēro uz risku balstīta pieeja un proporcionalitātes princips. Iestādei savā darbībā jāpanāk līdzsvars starp nepieciešamajiem pasākumiem, lai īstenotu vispārējās klienta intereses un NILLTPFN mērķus, kā arī privātuma un citu personas pamattiesību ievērošanu. Atbilstība NILLTPFN prasībām jānodrošina, ievērojot Datu regulas noteikumus un citas datu aizsardzības prasības.

Kontekstā ar NILLTPFN likuma, Starptautisko un Latvijas Republikas nacionālo sankciju likuma un citu saistīto Latvijas un ES tiesību aktu ievērošanu šo tiesību aktu subjektu klientu (arī potenciālo klientu) personas datu apstrāde ir likumīga tikai tādā apmērā un tikai tad, ja ir piemērojams kāds no šādiem tiesiskajiem pamatiem:

juridiskais pienākums;
sabiedrības intereses;
leģitīmās intereses;
piekrišana.

Ieteikumi fizisko personu datu apstrādei NILLTPFN un sankciju ievērošanas jomā ir veidoti kā praktiska rokasgrāmatas sadaļa finanšu iestādēm, veicot klientu izpēti un iekšējās kontroles sistēmu pilnveidošanu finanšu noziegumu novēršanai. Tajā ir iekļauti piemēri, lai dokuments būtu praktiski lietojams un izprotams.

Ieteikumos skaidroti un sniegti piemēri šādās jomās:

fizisko personu datu apstrādes pamatprincipi un tiesiskie pamati NILLTPFN likuma, Starptautisko un Latvijas Republikas nacionālo sankciju likuma un citu saistīto tiesību aktu un Datu regulas kontekstā;
īpašu kategoriju personas datu apstrāde;
personas datu apstrāde par sodāmību un pārkāpumiem;
Datu regulā noteikto iekšējo procesu atbilstības nodrošināšana;
datu subjektu tiesību īstenošana;
fizisko personu datu apstrāde sadarbībā ar citiem NILLTPFN likuma subjektiem (nacionālā un starptautiskā līmenī);
automatizēta lēmuma pieņemšana;
datu glabāšana;
darbinieku apmācība;
datu nodošana ārpus ES vai Eiropas Ekonomikas zonas;
Datu valsts inspekcijas un FKTK kompetence;
datu aizsardzības speciālists.

Piemēram, sadaļā “Īpašu kategoriju personas datu apstrāde” īpaši ir akcentēta biometrijas datu apstrāde. Rokasgrāmatā norādīts, ka biometrijas datu apstrāde ir gadījums, kad NILLTPFN likuma subjekts, lai izpildītu NILLTPFN likuma prasības klienta identifikācijai, apstrādā biometrijas datus ar tehniskajiem līdzekļiem, lai unikāli identificētu konkrēto klientu. Visbiežāk tas tiek darīts, izmantojot veidnes, ko izveido, izgūstot būtiskākās iezīmes no biometrijas izejas datiem, piemēram, sejas mērījumus no attēla (šādu veidni sauc par biometrisko matrici). Konkrētajā gadījumā identifikācija var nebūt personas vārda, uzvārda vai personas koda noteikšana, bet personas unikāla nošķiršana no citām personām un iespēja personu atpazīt atkārtotā saskarsmē.

Savukārt, ja informācijas apstrādes nolūks ir vienas datu kategorijas nodalīšana no citas, taču unikāla fiziskas personas identifikācija ar tehniskajiem līdzekļiem šajā procesā netiek veikta, piemēram, gadījumos, kad kredītiestādes darbinieks vizuāli salīdzina iesūtītu klienta pašportreta fotouzņēmumu ar iesūtīto personu apliecinošā dokumenta personas attēlu, to neuzskata par biometrijas datu apstrādi.