Vispārīgā datu aizsardzības regula uzliek gana daudz saistības personas datu apstrādes pārziņiem, tomēr Datu valsts inspekcija nereti saskaras ar gadījumiem, kad personas datu apstrādes pārzinis nemaz neapzinās savu lomu personas datu apstrādē, jo nav aizdomājies, ka par pārzini pie noteiktiem nosacījumiem var kļūt ikviens no mums.
Iepazīstoties ar Vispārīgās datu aizsardzības regulā sniegtā jēdziena pārzinis definīciju, var secināt, ka nepastāv viens konkrēts un universāls pārziņu vai apstrādes situāciju uzskaitījums, proti, personas datu apstrādes pārzinis ir jebkura fiziska vai juridiska persona, publiska iestāde, aģentūra vai cita struktūra, kas viena pati vai kopīgi ar citām nosaka personas datu apstrādes nolūkus un līdzekļus[1], tādejādi katrā konkrētā personas datu apstrādes gadījumā vērtējams, kurš/kas ir noteicis personas datu apstrādes nolūku un līdzekļus. Lai veicinātu izpratni un iedzīvinātu pārziņa jēdzienu, pievērsīsimies vairākiem praktiskiem piemēriem.
Piemērs 1
Lienes augšējā stāva kaimiņš ir appludinājis viņas dzīvokli, bet atsakās atmaksāt radītos zaudējumus, lai Liene varētu veikt remontdarbus. Liene secina, ka nekas cits neatliks, kā tiesāties ar savu kaimiņu, tāpēc aplūko informāciju par kaimiņu (dzīvokļa īpašnieku) zemesgrāmatā nolūkā sagatavot prasības pieteikumu par zaudējumu atlīdzību, t.i., Liene kaimiņa (dzīvokļa īpašnieka) personas datus[2] atspoguļos prasības pieteikumā, tādejādi nododot tos tiesai.
Neskatoties uz to, ka sākotnēji Lienes kaimiņa (dzīvokļa īpašnieka) personas datu apstrādei zemesgrāmatā bija cits apstrādes pārzinis, nolūks un līdzekļi, Liene kļuva par (vēl vienu) personas datu apstrādes pārzini konkrētajai informācijai (personas datiem) ar brīdi, kad savu leģitīmo interešu ievērošanai veica jaunu personas datu apstrādi, nosakot atšķirīgu (no zemesgrāmatas) personas datu apstrādes nolūku un līdzekļus.
Piemērs 2
Dārta devās uz sava bērna dārziņa izlaidumu, kurā uzņēma vairākas fotogrāfijas. Fotogrāfijās redzami arī citu vecāku bērni. Dārta ievieto bildes savā mājas fotoalbumā, t.i., bildes uzņemtas tikai Dārtas mājsaimniecības vajadzībām.
Lai arī attiecīgajā gadījumā Dārta noteica personas datu apstrādes nolūku un līdzekļus, viņa netiks vērtēta kā personas datu apstrādes pārzinis, jo uz personas datu apstrādi tikai mājsaimniecības vajadzībām neattiecas Vispārīgās datu aizsardzības regulas noteikumi[3].
Dārta pēc pāris dienām tomēr izdomā publicēt dārziņa izlaiduma attēlus sociālajos tīklos, kur tos var aplūkot citas personas, jo grib parādīt saviem draugiem, cik skaisti bija saposts viņas bērns svinīgajā izlaiduma dienā.
Dārta kļūst par personas datu apstrādes pārzini, jo ar šādu rīcību nosaka sava un citu vecāku bērnu personas datu apstrādes nolūku un līdzekļus, attiecīgi uz Dārtas veikto personas datu apstrādi attiecināmi Vispārīgās datu aizsardzības regulas noteikumi, no kuriem kā pirmais vērtējams jautājums par tiesisko pamatu personas datu apstrādei, t.i., vai Dārtas rīcība, publicējot citu vecāku bērnu personas datus, ir tiesiska.
Dārtas draudzenes sociālajos tīklos aplūko[4] iepriekš minētās fotogrāfijas no dārziņa izlaiduma un atzīmē “patīk” tām, t.i., Dārtas draudzenes veic attēlos redzamo personu datu apstrādi aplūkošanas veidā.
Lai arī Dārtas draudzenes veica personas datu apstrādi aplūkošanas veidā, viņas nenoteica apstrādes nolūku un līdzekļus, līdz ar to nav vērtējamas kā personas datu apstrādes pārziņi. Jāpiebilst, ka situācija varētu mainīties, ja Dārtas draudzenes izvēlētos dalīties ar viņas fotogrāfijām – tādā gadījumā būtu vērtējami vairāki aspekti, lai varētu izdarīt secinājumus par atbilstību pārziņa jēdzienam.
Piemērs 3
Uzņēmuma vadītājs personāldaļas speciālistam Pēterim uzdod ar sludinājuma starpniecību interneta vietnē sameklēt atbilstošu kandidātu vakantajai mārketinga daļas vadītāja vietai. Pēteris, izskatot iesūtītos CV, sazinās ar kandidātiem, izmantojot to norādīto kontaktinformāciju.
Uzņēmuma vadītājs noteica personas datu apstrādes nolūku un līdzekļus, bet Pēteris tika pilnvarots veikt apstrādi noteiktajā nolūkā un līdzekļos, t.i., darbojās uzņēmuma vadītāja vārdā. Lai arī uzņēmuma vadītājs pats neveica personas datu apstrādi, tieši viņš noteica nolūku un līdzekļus. Uzņēmuma vadītājs pārstāv uzņēmuma intereses, tādejādi attiecīgajā apstrādes gadījumā uzņēmums (juridiska persona) uzskatāms par personas datu apstrādes pārzini.
Ar minētajiem piemēriem Datu valsts inspekcija vēlas paskaidrot, ka:
- vieniem un tiem pašiem personas datiem vienlaicīgi var būt vairāki pārziņi;
- par pārzini uzskatāma tikai tā persona, kas pieņem lēmumu par nolūku, datu apstrādi un veidu, kādā tos apstrādāt;
- pārzinis var pats neveikt personas datu apstrādi, bet deleģēt to kādam citam;
- Vispārīgā datu aizsardzības regula paredz vairākus izņēmumus, uz kuriem nav attiecināmi Vispārīgās datu aizsardzības regulas noteikumi.
[1] Vispārīgās datu aizsardzības regulas 4.panta 7.punkts
[2] Ja dzīvoklis pieder fiziskai personai
[3] Izņēmums no Vispārīgās datu aizsardzības regulas, skatīt 2.panta 2.punkta “c” apakšpunktu
[4] Aplūkošana arī ir personas datu apstrādes darbība, skatīt Vispārīgās datu aizsardzības regulas 4.panta 2.punktu