Personas datu apstrādes tiesiskie pamati
Eiropas Savienībā (ES) ir spēkā Vispārīgā datu aizsardzības regula, kuras 6. pantā ir noteikti seši vispārīgi tiesiskie pamati. Lai personas datu apstrāde būtu likumīga, tai jāatbilst vismaz vienam no tiem:
- Piekrišana
Persona (datu subjekts) ir devusi piekrišanu savu personas datu apstrādei vienam vai vairākiem konkrētiem nolūkiem.
Piemēram, veikalā tiek piedāvāts noformēt klienta karti, kurā norādi savu e-pasta adresi un dzimšanas datus, piekrītot, ka tev tiks sagatavoti un nosūtīti personalizēti pakalpojumu piedāvājumi, īpašas atlaides dzimšanas dienā u. tml.
- Līguma izpilde
Datu apstrāde izriet no uzņēmuma līgumsaistībām ar klientu vai, ievērojot personas pieprasījumu, ir nepieciešama, lai attiecīgu līgumu noslēgtu.
Piemēram, persona vēlas iegādāties mājokli un noslēgt hipotekārā kredīta līgumu ar banku. Pirms līguma noslēgšanas kredītdevējs ar klienta piekrišanu apstrādā noteiktus personas datus, lai novērtētu viņa materiālo stāvokli un maksātspēju.
- Juridisks pienākums
Personas datu apstrāde ir vajadzīga pārzinim, lai izpildītu nacionālā vai ES tiesību aktā noteiktu pienākumu.
Pieņemot darbā cilvēkus, darba devējam ir jāievēro vairākos normatīvajos aktos noteiktās prasības. Piemēram, lai darbiniekiem tiktu nodrošinātas sociālās garantijas, darba devējam ir jāsniedz personas dati Valsts ieņēmumu dienestam.
Ja pircējs vēlas saņemt rēķinu par preces iegādi interneta veikalā, tad atbilstoši likuma “Par grāmatvedību” prasībām pārdevējam jāapstrādā ne tikai pircēja vārds, uzvārds, piegādes adrese un kontaktinformācija, bet arī personas kods.
- Sabiedrības intereses
Datu apstrāde nepieciešama, lai izpildītu sabiedrības interesēs īstenojamu uzdevumu vai īstenotu oficiālas pilnvaras, kas noteiktas nacionālajā vai ES tiesību aktā.
- Vitālo interešu aizsardzība
Personas datu apstrāde vajadzīga, lai aizsargātu fiziskās personas vitāli svarīgas intereses, tai skaitā dzīvību un veselību.
Piemēram, ja pēc satiksmes negadījuma slimnīcā tiek nogādāts cilvēks bezsamaņā, tad ārsts bez piekrišanas drīkst uzmeklēt cietušā dokumentus, lai pārbaudītu viņa identitāti un datubāzē pieejamās ziņas par slimību vēsturi, kā arī lai sazinātos ar pacienta tuviniekiem.
- Pārziņa vai trešās personas leģitīmo interešu ievērošana
Piemēram, lai iesniegtu tiesā civilprasību, prasītājam būs nepieciešams zināt atbildētāja adresi.
Piemēram, uzņēmums/organizācija uzrauga, kā tās darbinieki lieto informācijas tehnoloģiju ierīces, lai nodrošinātu iekšējā tīkla drošību.
Šāds personas datu apstrādes pamats ir pieļaujams tikai tad, ja ir pārbaudīts, ka tādējādi netiek būtiski ietekmētas personas, kuras dati tiek apstrādāti, intereses vai pamattiesības un pamatbrīvības, jo īpaši, ja datu subjekts ir bērns. Šo punktu nepiemēro personas datu apstrādei, ko veic valsts un pašvaldības iestādes, pildot savus uzdevumus.
|
|
Izplatītas situācijas, kurās piekrišana datu apstrādei nav vajadzīga
Vispārīgā datu aizsardzības regula ir spēkā jau vairāk nekā astoņus gadus, tomēr Datu valsts inspekcijas (DVI) pieredze liecina – daudzi joprojām uzskata, ka piekrišana ir vienīgais leģitīmais pamats datu apstrādei.
Pēc LV portāla lūguma DVI apkopoja izplatītākās situācijas, kādās cilvēki maldīgi uzskata, ka viņu datu apstrāde pieļaujama tikai, ja saņemta piekrišana.
- Maksas autostāvvietas
“Viena no izplatītākajām situācijām ir automašīnas novietošana stāvvietā,” stāsta DVI sabiedrisko attiecību speciāliste Ginta Gailuma.
Piemēram, cilvēks nesamaksā par stāvvietu, saņem paziņojumu no stāvvietas pārvaldītāja vai parādu atgūšanas pakalpojuma sniedzēja par sodu un iebilst, ka nav piekritis savu personas datu apstrādei. Taču šādā gadījumā piekrišana nav vajadzīga, jo datu apstrādei ir cits tiesiskais pamats – līguma izpilde (novietojot automašīnu stāvvietā, uz cilvēku attiecas stāvvietas lietošanas noteikumi) vai pārziņa leģitīmās intereses, skaidro DVI.
- Publiski pasākumi
Vēl bieži vien daudzi uzskata, ka ir aizliegts publicēt foto vai video no publiskiem pasākumiem. Piemēram, cilvēks apmeklē Neatkarības dienas svinības, festivālu, koncertu vai sportistu sagaidīšanu Rīgas lidostā un vēlāk norāda, ka nav piekritis fotografēšanai, filmēšanai un sava attēla publicēšanai sociālajos medijos.
“Arī šādos gadījumos piekrišana nav vienīgais iespējamais tiesiskais pamats. Atkarībā no konkrētās situācijas datu apstrādi var pamatot, piemēram, ar organizatora leģitīmajām interesēm (vienlaikus pirms pasākuma tā dalībnieki ir jāinformē par fotografēšanu un pirms publikācijas jāizvērtē konkrētās fotogrāfijas ietekme uz cilvēka tiesībām). Tāpat pamatojums var būt sabiedrības intereses. Piemēram, ja Valsts prezidents apmeklē jaunas skolas atklāšanu un šis pasākums tiek filmēts un fotografēts,” skaidro DVI.
- E-veselība
Cilvēki nereti iebilst arī pret savu datu ievadīšanu E-veselības sistēmā, zina teikt G. Gailuma. Tomēr šādā gadījumā pacienta piekrišana nav vajadzīga, jo ārstniecības iestādei ir likumā noteikts pienākums apstrādāt un nodot pacienta datus (tiesiskais pamats – likums).
- Parādu piedziņa
Bieži vien valda priekšstats, ka situācijās, kad izveidojas parāds pakalpojuma sniedzējam vai kredīta devējam, personas datu nodošana parādu piedziņai ir iespējama tikai ar parādnieka piekrišanu. “Tā nav taisnība. Šādas tiesības tam, kurš nav laikus saņēmis samaksu par pakalpojumu vai kredīta maksājumu, ir paredzētas jau sākotnēji noslēgtajā līgumā (tiesiskais pamats – līgums). Savukārt no datu aizsardzības viedokļa datu apstrāde, nododot personas datus parāda atgūšanai, būtu balstīta uz leģitīmajām interesēm, nevis parādnieka piekrišanu (tiesiskais pamats – leģitīmās intereses),” skaidro DVI.
Īpaši jāuzmanās, dodot piekļuvi saviem datiem lietotnēs
Ja personas datu apstrādei nav cita tiesiska pamata un tiek lūgta personas piekrišana, vienmēr jābūt piesardzīgiem.
Lai pasargātu sevi no dažādiem riskiem (piemēram, krāpniecības), ir vērts saprast, ar ko mēs dalāmies, kādi dati tiek prasīti, kādam nolūkam tie tiks izmantoti un kam tie būs pieejami.
“Primāri ir jāsaprot, kam dodam datus un vai skaidri zinām, kas tas ir – uzņēmums, privātpersona, valsts iestāde, nevalstiskā organizācija, vai tā atrodas Latvijā vai ne,” iesaka DVI speciālisti.
Piemēram, šķirstot “TikTok” vai “Instagram”, cilvēks ierauga reklāmu ar kliedzošu uzrakstu, kas vēsta par kādām neticamām atlaidēm vai piedāvājumiem, kuri ir spēkā tikai īsu laiku. Pēc uzklikšķināšanas uz šīs reklāmas tiek prasīts autorizēties, ierakstot savus datus vai pat iesniedzot personas dokumentu kopiju. Pirms šī lūguma izpildes jānoskaidro, kurš šos datus prasa un kāpēc.
Vērts paturēt prātā, ka paša ievadītos datus vietnēs, kas ir reģistrētas ārpus Eiropas Savienības vai pēc tam tiek dzēstas, nav iespējas ne atgūt, ne arī atrast to personu, kura šos datus ieguvusi.
Tāpat būtu jāpadomā par to, vai visi prasītie dati konkrētajam mērķim vispār ir vajadzīgi.
“Īpaši jāuzmanās, ja runa ir par ļoti privātu informāciju vai tādiem datiem, kuru nonākšana citu rīcībā vēlāk var radīt cilvēkam nelabvēlīgas sekas. Piemēram, iepazīstoties internetā, nevajadzētu vieglprātīgi dalīties ar ļoti privātām fotogrāfijām vai citu personisku informāciju. DVI praksē ir bijuši gadījumi, kad pēc attiecību izjukšanas šāda informācija tiek publiskota vai izmantota, lai otram cilvēkam kaitētu,” stāsta G. Gailuma.
DVI aicina rūpīgi izvērtēt, kādiem datiem ļaujam piekļūt dažādām lietotnēm. Piemēram, ja veselības vai fizisko aktivitāšu lietotnei konkrētas funkcijas nodrošināšanai vajag informāciju par pulsu vai fiziskajām aktivitātēm, tad jājautā, kāpēc tā papildus prasa piekļuvi, piemēram, mūsu kontaktiem vai fotokamerai.
Informācija par veselību, miegu, atrašanās vietu un ikdienas paradumiem var atklāt par cilvēku ļoti daudz.
“Pēc būtības ir tā – jo privātāka informācija un jo nopietnākas varētu būt sekas, ja tā nonāktu pie cilvēkiem, kuriem mēs to negribētu atklāt, jo rūpīgāk jāizvērtē, vai un kam šos datus nodot. Un vienmēr ir vērts sev pajautāt, vai šie dati tiešām ir nepieciešami tam, ko es šobrīd vēlos saņemt vai izdarīt,” iesaka DVI.
