Personas kods ir daļa no katra Latvijas iedzīvotāja identitātes. Tas tiek piešķirts, lai atšķirtu vienu personu no citas, piemēram, ja ir vienādi vārdi un uzvārdi. Personas kods nepieciešams, lai uzturētu Fizisko personu reģistru [1] un ļautu dažādām valsts un arī privātām institūcijām viennozīmīgi jūs identificēt.
Datu valsts inspekcijā bieži saņemam jautājumus no iedzīvotājiem, kuri ir norūpējušies par sava personas koda drošību dažādās situācijās. Piemēram, kad tas tiek pieprasīts, veidojot jaunas tiesiskās attiecības (piemēram, slēdzot līgumu), vai arī, kad pastāv bažas, ka tas kļuvis zināms trešajām personām. Lielākoties iedzīvotāju bažas saistītas ar iespējamo krāpniecību, kad negodprātīgas personas varētu izmantot iegūto personas kodu ne tiem labākajiem mērķiem.
Atgādinām, ka personas kods, tāpat kā jūsu vārds un uzvārds, ir personas dati Datu regulas izpratnē [2]. Tādējādi to var apstrādāt, ja ir atbilstošs mērķis un tiesiskais pamats.
Situācija Nr. 1: Jānis ir nosūtījis savu CV uz kādu uzņēmumu, kurā vēlas kļūt par darbinieku, bet potenciālais darba devējs lūdz nosūtīt arī personas apliecinošu dokumentu, kurā redzams arī personas kods. Saprotot, ka potenciālajam darba devējam šis dokuments un personas kods darbinieku atlases procesā nav nepieciešams, Jānis ir satraukts, ka uzņēmums šo informāciju var izmantot kādā nelikumīgā veidā.
- Pirmkārt, esam jau agrāk skaidrojuši par personu apliecinoša dokumenta kopijas sūtīšanu e-pastā un identitātes pierādīšanu. Tāpat skaidrojām, ka gadījumi, kad personu apliecinošs dokuments ir jākopē, būs norādīti vien normatīvajos aktos, un vienkārši e-pastā sūtītai pases vai ID kartes kopijai nav juridiskā spēka. [3] Tādējādi situācijā Nr. 1 norādītais gadījums nebūs uzskatāms par atbilstošu datu apstrādi.
- Otrkārt, personai jāvēršas pie uzņēmuma un jālūdz informāciju dzēst [4], savukārt uzņēmumam šis lūgums ir jāizpilda bez liekas kavēšanās, bet ne vēlāk kā viena mēneša laikā no pieprasījuma saņemšanas [5].
- Treškārt, ja lūgums netiek izpildīts un uzņēmums nekādi nereāģē, persona ar sūdzību, tai pievienojot pierādījumus par notikušo, var vērsties Datu valsts inspekcijā [6].
Situācija Nr. 2: Uzņēmuma valdes loceklis Raitis pamanījis, ka viņa personas kods publicēts Uzņēmumu reģistra Komercreģistrā. Viņš nav ar to apmierināts.
Uzņēmuma reģistrs personas datus, tai skaitā personas kodu, Komercreģistrā publicē atbilstoši normatīvajiem aktiem. [7] Tādējādi Uzņēmumu reģistram šāda datu apstrāde - informāciju apkopot un publicēt- ir noteikta likumā kā pienākums. Tādēļ persona šajā gadījumā nevar lūgt informāciju no reģistra dzēst, bet labot, ja ir radusies šāda nepieciešamība [8]. Vairāk par personas datu publicēšanu Komercreģistrā skaidrots šeit: https://www.dvi.gov.lv/lv/jaunums/par-datu-publiskosanu-uznemumu-registra.
Situācija Nr. 3: Dāvis, saņemot vēstuli no Dzīvokļu īpašnieku biedrības par izmaiņām norēķinu kārtībā par komunālajiem pakalpojumiem, pamanījis, ka adresātu sarakstā pie katra īpašnieka vārda un uzvārda pievienoti arī personas kodi. Dāvis ir neapmierināts par šādu nelikumīgu datu apstrādi.
Līdzīgi kā situācijā ar potenciālo darba devēju persona var vērsties pie dzīvokļu īpašnieku biedrības, lai tā skaidrotu radušos situāciju - kādēļ (mans) personas kods tika iekļauts vēstulē. Tāpat kā personai ir tiesības pieprasīt šādu informāciju, tāpat arī tai ir tiesības saņemt atbildi uz uzdoto jautājumu. Tomēr jāņem vērā, ka šādā gadījumā lūgums dzēst personas datus gan var netikt īstenots, jo nosūtītas papīra vēstules nebūs iespējams atsaukt. Tāpat persona var vērsties ar sūdzību Datu valsts inspekcijā, lai informētu par šādu biedrības praksi.
Papildus vēršam uzmanību arī uz vēstules saņēmēju atbildību - kaut arī viņu rīcībā ir šie personas kodi, tie nav izmantojami saviem nolūkiem, nepastāvot atbilstošam pamatam.
Arī, ja personas kods publicēts kādā tīmekļa vietnē, personai ir tiesības vērsties pie informācijas publicētāja vai tīmekļa vietnes administrācijas un lūgt datus dzēst, ja šādai datu apstrādei nav atbilstoša pamatojuma.
Situācija Nr. 4: Sabīne saņēma zvanu no bankas darbinieka, kurš lūdzis sniegt dažādus personas datus, tostarp personas kodu. Tuvojoties sarunas beigām, Sabīne sapratusi, ka zvanītājs ir krāpnieks un tas mērķtiecīgi cenšas iegūt arī informāciju par piekļuvi viņas bankas kontam. Kaut arī informāciju par bankas kontu Sabīne nesniedza, viņa jau bija nosaukusi krāpniekam savu personas kodu. Tagad viņa uztraucas, ka ar iegūto personas kodu krāpnieks nelikumīgi iegūs līdzekļus no “ātro kredītu” devējiem.
Par šādu krāpniecības mēģinājumu personai noteikti jāinformē Valsts policija [9], tāpat par notikušo vēlams informēt banku, kuras vārdā krāpnieks zvanījis (vai citu institūciju citā līdzīgā situācijā). Vēlams arī noskaidrot, kādas darbības veicamas, lai šobrīd vai nākotnē savus datus pasargātu pēc notikušā.
Tāpat šādas informācijas sniegšana Valsts policijai un organizācijai, kuras vārdā krāpnieks zvanījis, palīdz ātrāk atklāt šādus noziegumus nākotnē un brīdināt pārējos iedzīvotājus.
Pēc Datu valsts inspekcijas rīcībā esošās informācijas, Latvijā “ātros kredītus” nav iespējams saņemt vien ar vārdu, uzvārdu un personas kodu. Šāda naudas līdzekļu saņemšana ir veicama, izmantojot tādus drošus autentifikācijas līdzekļus kā E-paraksts un Smart-ID [10]
Lai arī personas kods ir personas dati, kuri ir aizsargājami, tomēr mīts, ka personas kods nav izsniedzams nevienai organizācijai, bet, piemēram, tikai valsts pārvaldes iestādēm, nav patiess. Pienākums vai tiesības apstrādāt (pieprasīt) personas kodu var būt noteikts normatīvajos aktos arī citām organizācijām (piemēram, slēdzot līgumu ar jauno darbinieku). Tāpat arī, piemēram, noslēdzot līgumu ar komersantu par mobilo sakaru pakalpojumu saņemšanu vai saņemot ārstniecības pakalpojumu, personas kods būs jānorāda, lai komersants varētu nepārprotami identificēt fizisko personu. Papildus atkārtoti kliedējams arī mīts, ka personas kods ir sensitīvi jeb īpašu kategoriju personas dati, kurus apstrādāt ir aizliegts. Personas kods nav sensitīvi personas dati, un tos apstrādāt ir atļauts, ja pastāv likumisks pamats, kuru skaidrot ir pienākums organizācijai, kas plāno apstrādāt datus. Savukārt, ja citā situācijā tiek apstrādāti īpašu kategoriju dati, piemēram, par veselību, tad jāpastāv vismaz vienam no Datu regulā noteiktajiem izņēmumiem, kad šos datus apstrādāt drīkst [11].
Būsim pateicīgi, ja skaidrojuma kvalitātes novērtēšanas nolūkos aizpildīsiet šo aptauju - https://www.visidati.lv/aptauja/2103231148/.
Informatīvās atsauces:
[1] Fizisko personu reģistra likuma 6. panta pirmajā daļā noteikts, ka iekļaujot Reģistrā ziņas par personu, Pilsonības un migrācijas lietu pārvalde tai piešķir automātiski ģenerētu individuālu personas kodu.
[2] Eiropas Parlamenta un Padomes 2016. gada 27. aprīļa regulas (ES) 2016/679 par fizisku personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti un ar ko atceļ direktīvu 95/46/EK (Vispārīgā datu aizsardzības regula; tekstā – Datu regula) 4. panta 1. punktā noteikts, ka “personas dati” ir jebkura informācija, kas attiecas uz identificētu vai identificējamu fizisku personu (“datu subjekts”); identificējama fiziska persona ir tāda, kuru var tieši vai netieši identificēt, jo īpaši atsaucoties uz identifikatoru, piemēram, minētās personas vārdu, uzvārdu, identifikācijas numuru, atrašanās vietas datiem, tiešsaistes identifikatoru vai vienu vai vairākiem minētajai fiziskajai personai raksturīgiem fiziskās, fizioloģiskās, ģenētiskās, garīgās, ekonomiskās, kultūras vai sociālās identitātes faktoriem.
[3] Skaidrojums pieejams: https://www.dvi.gov.lv/lv/jaunums/dviskaidro-17112022
[4] Saskaņā ar Datu regulas 17. panta 1. punktu
[5] Saskaņā ar Datu regulas 12. panta 4. punktu
[6] Saskaņā ar Datu regulas 77. panta 1. punktu. Informācija par sūdzību iesniegšanu pieejama - https://www.dvi.gov.lv/lv/iesniegumu-paraugi
[7] Saskaņā ar likuma Par Latvijas Republikas Uzņēmumu reģistru 2.7 pantu un Komerclikuma 8. pantu
[8] Saskaņā ar Datu regulas 16. pantu
[9] https://www.vp.gov.lv/lv/ka-zinot-policijai
[10] Par “ātro kredītu” saņemšanu skaidrots arī LV portālā - https://lvportals.lv/e-konsultacijas/32431-ka-kreditizsniedzeji-parliecinas-par-personas-identitati-2024
[11] Datu regulas 9. panta 2. punktā noteikti īpašu kategoriju datu apstrādes izņēmumi.