Personām, kuru dati tiek apstrādāti, tos, piemēram, glabājot, ievācot vai nosūtot pienākas Datu regulā [1] noteiktās tiesības uz informāciju (būt informētam), piekļūt saviem datiem, labot, dzēst, ierobežot, pārnest savus datus no vienas organizācijas uz citu (noteiktos gadījumos), tiesības iebilst un tiesības, lai attiecībā uz viņu netiek pieņemts lēmums, kura pamatā ir tikai automatizēta apstrāde.
Šajā skaidrojumā pievērsīsimies personu tiesībām uz datu dzēšanu, informējot kad dati ir dzēšami bez nepamatotas kavēšanās, gan arī skaidrojot apstākļus, kad personas lūgums datus dzēst nav izpildāms.
Saskaņā ar Datu regulu, pārzinim (turpmāk – organizācija) ir jāveic personas datu dzēšana un personai ir tiesības pieprasīt, lai organizācija dzēš tās rīcībā esošos personas datus, šādos gadījumos:
- ja tie ir apstrādāti nelikumīgi;
- ja persona atsauc savu iepriekš sniegto piekrišanu datu apstrādei;
- personas dati vairs nav nepieciešami atbilstoši sākotnēji izvirzītajam datu apstrādes nolūkam;
- ja persona ir iebildusi pret esošo datu apstrādi un organizācijas rīcībā nav cita svarīgāka tiesiska pamatojuma, lai tos turpinātu apstrādāt;
- ja tiesību akti nosaka datu dzēšanu, tādā veidā īstenojot organizācijai uzliktu juridisku pienākumu. [2]
Piemērs: Atsaucoties uz sabiedrisko aptauju un pētījumu veikšanas kompānijas izteikto piedāvājumu, persona ir sniegusi savu vārdu, uzvārdu un vecumu, lai tā saņemtu e-pastus par dalību dažādās sabiedriskās domas aptaujās. Persona nolemj, ka aptaujās vairs nav vēlmes piedalīties un vēršas pie kompānijas, lai tā dzēstu tās rīcībā esošos un sākotnēji sniegtos personas datus. Kompānija ne vēlāk, kā viena mēneša laikā dzēš persona datus, jo datu subjekts ir atsaucis savu agrāk doto piekrišanu.
Kad personas datus organizācijai nav pienākums dzēst?
Saskaņā ar Datu regulu, organizācijai nav pienākums dzēst personas datus, ja to tālāka apstrāde nepieciešama:
- lai īstenotu tiesības uz vārda brīvību un informāciju;
- lai izpildītu juridisku pienākumu, kas noteikts normatīvā aktā, kuri ir piemērojami organizācijai, vai, lai izpildītu uzdevumu, ko veic sabiedrības interesēs, vai saistībā ar organizācijai likumīgi piešķirtām oficiālām pilnvarām;
- pamatojoties uz sabiedrības interesēm sabiedrības veselības jomā;
- arhivēšanas nolūkos sabiedrības interesēs, zinātniskās vai vēstures pētniecības nolūkos, vai statistikas nolūkos;
- lai celtu, īstenotu vai aizstāvētu likumīgas prasības. [3]
Piemērs: persona izbeigusi darba tiesiskās attiecības ar organizāciju. Iestājoties darbā jaunā uzņēmumā, tā lūdz bijušajam darba devējam iznīcināt darba līgumu, kurš satur personas datus, tai skaitā adresi, vārdu, uzvārdu un personas kodu. Organizācijai ir tiesības šādu pieprasījumu neizpildīt un atteikt datu dzēšanu, jo saskaņā ar normatīvo aktu prasībām darbinieka darba līgums ir jāsaglabā 90 gadus kopš līgumā minētās personas dzimšanas. [4]
Kā īstenot manu datu dzēšanu?
Nav viena noteikta kārtība, kā īstenot savas tiesības, tomēr, lai efektīvi tās realizētu, aicinām sākotnēji noskaidrot, kādus saziņas veidus un kanālus ir noteikusi konkrētā organizācija, piemēram, autentificēties konkrētā portālā, izmantot elektroniskos sakarus vai pasta pakalpojumus.
No saziņas veida un kanāla arī izriet, kādā formātā Jūs varat pieprasīt dzēst savus personas datus, kas ir konkrētās organizācijas rīcībā.
Atgādinām, ka svarīgi sevi identificēt, norādot savu vārdu un uzvārdu, ja tie ir konkrētās organizācijas rīcībā, un papildus informāciju, kas palīdzētu Jūs nošķirt no citām personām, kuru dati var būt pieejami šai pašai organizācijai.
Pieprasījumā ir skaidri jānorāda, kādi dati un kāda iemesla dēļ ir dzēšami.
Plašāka informācija par vēršanos pie pārziņa, lai īstenotu savas Datu regulā noteiktās tiesības, atrodama mūsu skaidrojumā “Kā īstenot datu subjekta tiesības vēršoties pie pārziņa?”.
Kā organizācijai īstenot datu dzēšanu?
Organizācijai, ievērojot Datu regulā noteiktos pienākumus, ir jābūt izveidotai kārtībai, kā izvērtēt datu subjektu pieprasījumus datu dzēšanai un arī tehniski nodrošināt datu dzēšanu.
Organizācijai pēc personas pieprasījuma dzēst datus saņemšanas ir jāpārliecinās par apstrādes sākotnējo nolūku un tiesisko pamatu datu apstrādei, pēc iesniegumā sniegtās informācijas pārbaudes var izdarīt secinājumus, vai iesniegumā norādītie dati ir dzēšami. Lēmums attiecībā uz datu tālāku apstrādi jāpieņem bez nepamatotas kavēšanās, bet ne vēlāk kā mēneša laikā. Nepieciešams informēt pieprasījuma sūtītāju (datu subjektu) par veiktajām darbībām – dati tiek dzēsti vai nē, un, ja datu dzēšana nav iespējama vai nav tiesiska, pamatot organizācijas viedokli.
Papildus uzdevums organizācijai datu dzēšanas gadījumā, ir informēt trešās personas, kurām šie dati nodoti, ka tie ir dzēšami un t tālāka apstrāde nebūs likumīga. [5]
Skaidrojumu par personas tiesībām un to īstenošanu varat noskatīties Datu valsts inspekcijas Youtube kanālā: https://www.youtube.com/watch?v=Aw7rcoZWX4c (tiesības uz datu dzēšanu sākot no 22:48 min.)
[1] Eiropas Parlamenta un Padomes Regula (ES) 2016/679 (2016.gada 27.aprīlis) par fizisku personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti un ar ko atceļ Direktīvu 95/46/EK (Vispārīgā datu aizsardzības regula)
[2] Datu regulas 17.panta 1.punkts.
[3] Datu regulas 17.panta 3.punkts
[4] Ministru kabineta 2018.gada 13.novembra noteikumu Nr. 690 “Noteikumi par personas darba vai dienesta gaitu un izglītību apliecinošiem dokumentiem, kuriem ir arhīviska vērtība, un to glabāšanas termiņiem” 6.4.1. apakšpunkts.
[5] Datu regulas 17.panta 2.punkts