Nereti, apvienojoties kopīgos projektos, piemēram, komerciālu vai zinātnisku mērķu sasniegšanai, vairākas organizācijas vienlaikus kļūst arī par kopīgiem pārziņiem personas datu apstrādei. Tāpēc šoreiz skaidrosim, kas ir kopīgie pārziņi, kā arī kādi ir to pienākumi gan savā starpā, gan attiecībā uz datu subjektiem.
Piemērs. Trenažieru zāles īpašnieks Jānis Datiņš, lai rosinātu jauniešus iesaistītes fiziskās aktivitātēs, ir uzrunājis vietējo universitāti sadarbotiesveikt pētījumu par fiziskās aktivitātes ietekmi uz studentu mācību sasniegumiem. Šī pētījuma ietvaros trenažieru zāle piedāvā bezmaksas abonementus studentiem, kuri piedalās pētījumā. Sadarbības mērķis ir gan veicināt veselīgu dzīvesveidu, gan iegūt vērtīgus datus par studentu fiziskās aktivitātes un mācību rezultātu saistību.
Pētījumā piedalās arī universitātes medicīnas fakultātes pētnieki, kuri apkopo datus par studentu veselības stāvokli un fiziskās aktivitātes paradumiem. Lai veiktu pētījumu, nepieciešams apstrādāt dažādus personas datus, piemēram, studentu vārdus, vecumus, fiziskās aktivitātes datus (no trenažieru zāles), veselības datus (tai skaitā, vai pastāv kādi ierobežojumi attiecībā uz fiziskajām aktivitātēm, piemēram, muguras problēmu dēļ students nevar cilāt smagus svarus u.c. ), kā arī mācību rezultātus (no universitātes). Jānis atkal vērsās pie sava datu aizsardzības speciālista un uzdeva vairākus jautājumus par kopīgajiem pārziņiem.
Ko tad nozīmē “kopīgie pārziņi”?
Atšķirībā no apstrādātāja un pārziņa attiecībām, kur apstrādātājs veic datu apstrādi, taču dara to tikai pārziņa uzdevumā un pats nenosaka apstrādes nolūkus, par kopīgiem pārziņiem atzīstamas tādas divas vai vairākas personas, kuras kopīgi nosaka datu apstrādes mērķus un veidus – kāpēc un kā dati tiks apstrādāti.
Universitāte un Jānis Datiņš kopīgi nosaka savākto datu apjomu, metodoloģiju un izmantošanu, līdz ar to ir uzskatāmi par kopīgiem pārziņiem attiecībā uz datu apstrādi projekta ietvaros.
Kopīgi pārziņi ir tad, ja abas puses kopīgi līdzdarbojas gan apstrādes nolūku, gan līdzekļu noteikšanā, un katrai no šiem dalībniekiem ir izšķiroša nozīme šo aspektu noteikšanā.
- Datu apstrādes nolūks
Šajā gadījumā Jāņa un universitātes kopējais apstrādes nolūks ir izpētīt fiziskās aktivitātes ietekmi uz studentu mācību sasniegumiem. Tomēr attiecībā uz kopīgu nolūku noteikšanu ne visos gadījumos ir obligāti jābūt vienam un tam pašam nolūkam personas datu apstrādei. Galvenais, lai nolūki ir cieši saistīti vai papildina viens otru, taču tiem ir jābūt kopīgi definētiem. Piemēram, katrai no iesaistītajām pusēm kopīgā apstrāde var nest kādu citu rezultātu (labumu), taču svarīgi konstatēt, ka puses kopīgi vienojušās par šo rezultātu sasniegšanu un vienojušās, ar kādiem līdzekļiem tas tiks sasniegts.
- Kopīgi līdzekļi
Attiecībā uz kopīgu līdzekļu noteikšanu jāņem vērā, ka ne vienmēr tas nozīmē, ka pārziņi tos nosaka vienādā apjomā. Piemēram, universitāte ir izstrādājusi datu apstrādes sistēmu, kas savāc un analizē attiecīgos personas datus. Šī sistēma tiek nodrošināta arī Jānim Datiņam, ļaujot viņam piekļūt un izmantot šos datus.. Tādējādi universitāte un Jānis Datiņš ir kopīgi noteikuši līdzekļus, lai veiktu šo datu apstrādi un analīzi.
Ņem vērā! Ne vienmēr tas, ka divas vai vairākas personas datu apstrādei izmanto vienu un to pašu sistēmu, nozīmēs, ka tie ir kopīgi pārziņi, ja katrs no tiem to dara atšķirīgiem un nesaistītiem nolūkiem, neatkarīgi viens no otra. Piemēram, SIA A un SIA B, kuri ir savstarpēji nesaistīti uzņēmumi un darbojas dažādās nozarēs, izmanto pakalpojuma sniedzēja SIA C izstrādāto grāmatvedības sistēmu.
Jāatceras, ka par kopīgiem pārziņiem personas vai organizācijas ir uzskatāmas tikai tiktāl, cik tās veic apstrādi kopīgi noteiktajos nolūkos.
Situācijā, kad dati sākotnēji tiks ievākti kādam konkrētam mērķim, par ko pārziņi vienojušies, savukārt kāds no pārziņiem ievāktos datus papildus izmantos citiem nolūkiem, ko pārējie pārziņi nav noteikuši kā datu apstrādes nolūku, attiecībā uz šīm darbībām tie vairs nebūs atzīstami par kopīgiem pārziņiem.
Piemēram, ja Jānis, izmantojot iegūtos datus, nolemtu izveidot jaunu treniņu programmu un piedāvāt to konkrētam studentam (pamatojoties uz pētījuma ietvaros iegūtajiem datiem), tad dati jau tiktu izmantoti citam nolūkam. Par šo viņš nav iepriekš vienojies ar universitāti, un universitātes pētnieki nav iesaistīti šajā papildu datu izmantošanā. Tādējādi Jānis vairs nebūs viens no kopīgajiem pārziņiem, un viņš pats ir atbildīgs par šo datu apstrādi saskaņā ar Datu regulas prasībām.
Vai ir jāslēdz vienošanās un kāpēc?
Jānim un universitātei pārredzamā veidā ir jānosaka katra dalībnieka pienākumi to organizētajā datu apstrādē. Datu regula nenosaka, kā jābūt dokumentētai šai norunai, taču šādu vienošanos būtu ieteicams noformēt līguma formā, lai nodrošinātu gan noteiktību studentu kā datu subjektu aizsardzības nolūkā, gan tāpēc, lai nodrošinātu katra pārziņa aizsardzību gadījumā, ja apstrādes laikā rodas strīdi par katras iesaistītās puses pienākumiem un būtu iespējams prasīt atbildību par noteiktu pienākumu izpildi. Dažās situācijās kopīgu pārziņu pienākumu sadalījumu daļēji var regulēt arī normatīvajos aktos noteiktais.
Kā nodrošināt datu subjektu tiesības?
Abiem pārziņiem jo īpaši jāvienojas par to, kurš no viņiem būs atbildīgs par studentu kā datu subjektu tiesību nodrošināšanu, atbildot uz viņu pieprasījumiem, kā arī kurš nodrošinās informācijas sniegšanu par datu apstrādi.[1] Pārziņi var vienoties un datu subjektus informēt arī par kontaktpunktu, tas ir, norādīt vienotu veidu, kā studenti sasniegt gan universitāti, gan Jāni Datiņu, lai īstenotu savas tiesības saistībā ar datu apstrādi.[2] Tomēr, neatkarīgi no pārziņu starpā pastāvošas vienošanās par to, kurš ir atbildīgs par datu subjektu tiesību nodrošināšanu, datu subjektiem šāda vienošanās nav saistoša, līdz ar to savu tiesību īstenošanas nolūkā tie var vērsties pie jebkura no kopīgajiem pārziņiem[3]. Pat gadījumos, ja ir norādīts vienots kontaktpunkts, datu subjekti ir tiesīgi vērsties pie kāda no pārziņiem pēc savas izvēles.
Kādi ir citi pienākumi?
Papildu datu subjektu tiesību īstenošanas nodrošināšanai universitātei un Jānim Datiņam ir jāvienojas arī par citu normatīvajos aktos noteikto pienākumu īstenošanu, piemēram, atsevišķu datu apstrādes drošības pasākumu veikšanu, saziņu ar uzraudzības iestādi un citiem. Veicot pienākumu sadali, ieteicams dokumentēt apsvērumus, kāpēc konkrētajam pārzinim uzticēta attiecīgo pienākumu izpildes nodrošināšana, piemēram, norādot uz pārziņa kompetenci šajā jautājumā, tā nodrošinot pārskatatbildības principa ievērošanu. Vienlaikus ne visi pienākumi var būt sadalāmi un daļa no tiem vienādi būs jānodrošina abiem, piemēram, lai nodrošinātu datu apstrādes principu ievērošanu.
Ar kuru sazināsies Datu valsts inspekcija?
Abu kopīgo pārziņu vienošanās noteikumi nav saistoši arī uzraudzības iestādei (Latvijā - Datu valsts inspekcijai), tādēļ uzraudzības pasākumu ietvaros iestāde var sazināties ar gan ar universitāti, gan Jāni Datiņu, lai īstenotu savas pilnvaras[4].
Vienlaikus abiem būtu jāvienojas, kurš būs atbildīgs par saziņu ar Datu valsts inspekciju gadījumos, ja konstatēts personas datu aizsardzības pārkāpums vai nepieciešama konsultēšanās par datu aizsardzības jautājumiem.
Vairāk informācijas par pārziņa un apstrādātāja lomu noteikšanu un sadali – Eiropas datu aizsardzības kolēģijas vadlīnijās Nr. 07/2020 par pārziņa un apstrādātāja jēdzieniem VDAR.
Būsim pateicīgi, ja skaidrojuma kvalitātes novērtēšanas nolūkos aizpildīsiet šo aptauju - https://www.visidati.lv/aptauja/2103231148/.
[1] Datu regulas 13. un 14. pants
[2] Datu regulas 26. panta 1. punkts
[3] Datu regulas 26. panta 3. punkts
[4] Datu regulas 58. pants
