Kā rīkoties, ja ir saņemti vai atrasti kļūdaini nosūtīti personas dati, kā neapdraudēt personu, kuras dati ir tikuši izpausti un kā pašam šo situāciju nepadarīt vēl sliktāku, skaidrojam kārtējā #DVIskaidro rakstā.
Ievērojot to, ka kļūdaini nosūtītas informācijas saņēmējs var būt gan iedzīvotājs, gan arī organizācija, šajā skaidrojumā norādītais būs attiecināms, gan uz tādiem informācijas saņēmējiem, kas ir fiziskas personas (iedzīvotājs), gan arī dažādām organizācijām.
Tāpat vēršam uzmanību, ka minētais skaidrojums attiecināms tikai uz personas datu apstrādes aspektu analīzi. Skaidrojumā apzināti netiek skarti uz korespondences konfidencialitātes nodrošināšanu un, piemēram, uz pasta likuma prasību ievērošanu attiecināmie jautājumi.
Skaidrojums ir attiecināms tai skaitā uz gadījumiem, kad:
- Savā pasta kastītē atrasta vēstule, kas adresēta nepazīstamai personai no kādas organizācijas. Uz aploksnes norādīts saņēmēja vārds, uzvārds un pasta adrese, kā arī sūtītāja informācija;
- Organizācijas lietvedība atver sūtījumu, maldīgi pieņemot, ka sūtījums adresēts organizācijai un konstatē, ka tajā ir personas dati;
- Pie atkritumu tvertnes netālu no kāda uzņēmuma atrasti dokumenti, kuri satur fizisku personu datus. Visticamāk, šiem dokumentiem bija jābūt iznīcinātiem, tomēr to glabātājs nav pārliecinājies, ka tie pirms izmešanas atkritumos, tiktu arī sasmalcināti, tādā veidā novēršot, ka privāta informācija nonāk trešo personu rokās;
- Organizācijas vai personīgajā elektroniskā pasta kastītē saņemts sūtījums, kuram pievienots rēķins apmaksai, lai tiktu uzsākta pasūtījuma apstrāde un komplektēšana. Rēķins satur citas personas vārdu, uzvārdu, elektroniskā pasta adresi, pasta adresi un ziņas par pirkumu;
- Persona savā mobilajā telefonā saņem SMS, kurā sūtīts atgādinājums, ka konkrētai personai (norādot vārdu un uzvārdu) nākamajā dienā jāierodas ārstniecības iestādē, lai apmeklētu kardiologu;
- Klients, kurš grib iesūtīt bojāta produkta attēlu, netīšām nosūta savu brīvdienu attēlus;
- Ofisa apmeklētājs netīšām aizmirst savus personīgos dokumentus vai atmiņas nesēju.
Ko darīt?
- Saņemot vai atrodot informāciju, kas satur cita iedzīvotāja personas datus un kura nav adresēta personai, kura to saņēma, ir jārīkojas ievērojot cieņu pret citu personu, tās datiem un tiesībām uz tās datu aizsardzību. Jāņem talkā veselais saprāts, nedarot citai personai to, ko negribam, lai dara mums pašiem.
- Nepieciešams identificēt, kas ir informācijas sūtītājs – kurš vai kā vārdā ir izpaudis personas datus.
- Jāiegūst šīs organizācijas vai personas kontaktinformācija, piemēram, atrodot to tīmeklī vai, iespējams, tā ir norādīta jau pašā saņemtajā informācijā.
- Nepieciešams informēt organizāciju par notikušo atgadījumu un ievērot tās noteikto instrukciju rīcībai šādos gadījumos, tai skaitā, ja nepieciešams – atgriezt informāciju vai dzēst to no savām ierīcēm vai kā citādi neatgriezeniski iznīcināt. Ja personas datus ir izpaudusi pati persona, informēt par to un dzēst kļūdaini saņemtos datus.
Ko nedarīt?
- Neapskati un neatver sev neadresētus sūtījumus, izmanto minimālu izpēti vien lai identificētu nosūtītāju, kurš jāinformē par radušos situāciju, ja tas ir iespējams.
- Necenties atrast īsto informācijas adresātu – ļauj nosūtītājam šo situāciju atrisināt pašam.
- Nepublicē saņemto informāciju, tā pasargājot sevi (no Datu regulas [1] pārkāpuma) un iedzīvotāju, par kuru informācija ietverta sūtījumā (no viņa personas datu nelikumīgas un nekontrolētas apstrādes) no nevēlamām sekām.
Iespējamās sekas
Ja saņemtā informācija tiek izpausta trešajām personām (publicēta sociālajos tīklos, pārsūtīta vai citādi apstrādāta), iedzīvotājs pats var kļūt par datu apstrādes pārzini [2], un ja šādai datu apstrādei nebūs piemērojams atbilstošs tiesiskais pamats [3], tas pārkāps datu regulas prasības. Datu regulas prasību pārkāpums būs smagāks, ja informācija satur īpašu kategoriju datus. [4] Gadījumā, ja iedzīvotājs pastāvīgi rīkojas ar kļūdaini saņemto informāciju, nevar izslēgt arī iespējamu pret viņu vērstu civilprasību, gan no iedzīvotāja kura dati tiek apstrādāti, gan arī no organizācijas kura kļūdaini nosūtījusi datus puses.
Organizācijām tas praktiski nozīmē, ka savās personas datu apstrādes iekšējās kārtībās ir nepieciešams paredzēt rīcību ar to pārziņā nejauši/kļūdas pēc nonākušiem personas datiem. Tai skaitā paredzot par informācijas tālāku apstrādi atbildīgo, kā arī šādas informācijas atgriešanas un/vai uzglabāšanas procedūru.
