Bieži vien tieši pa tālruni mēs varam ātrāk un ērtāk saņemt un iegūt nepieciešamo informāciju. Tomēr, kad runājam par datu apstrādi vai kādas personiskas informācijas sniegšanu telefona sarunas laikā, ir problemātiski pārliecināties par zvanītāja vai sazvanītās personas identitāti. Ierastākais veids, kā identificēt personu klātienē, ir personas apliecinoša dokumenta (pase, personas apliecība) uzrādīšana. Taču kā personu identificēt telefoniski? Kādus datus man drīkst prasīt komersants, lai pārliecinātos, ka klausules otrā galā tiešām esmu es? Atbildes uz šiem jautājumiem atradīsiet šajā skaidrojumā.
Piemērs Nr. 1: Ilze ir piezvanījusi savam mājas interneta pakalpojumu sniedzējam SIA “Sakaru tīkls”, lai noskaidrotu, cik ilgi vēl jāveic ikmēneša maksājums par rūteri. SIA pārstāvis, pirms informācijas sniegšanas, Ilzei lūdz nosaukt pilnu vārdu un uzvārdu un līguma numuru. Tomēr Ilze ir neapmierināta ar to, ka tādas vienkāršas informācijas saņemšanai nepieciešams tik liels datu apjoms. Turklāt viņa nav pārliecināta, vai vispār ir pamats šādus datus sniegt.
Tātad – informācijas (personas datu) nodošana telefoniski ir personas datu apstrāde, un līgumā iekļautie dati nav publiska informācija, kuru būtu jāzina ikvienam bez pastāvoša pamata. SIA ir jābūt maksimāli drošai, ka izmantots pietiekams datu apjoms, lai pārliecinātos par Ilzes identitāti. Šāds pienākums SIA arī izriet no Datu regulā[1] iekļautā pārskatatbildības principa[2], kas vispārīgi uzliek uzdevumu pārzinim pierādīt, ka datu apstrāde ir likumīga un atbilst Datu regulā noteiktajiem principiem[3].
Raugoties no otras puses, tas, ka SIA rūpīgi pārliecinās par Ilzes identitāti, novērš iespēju, ka kāds cits var iegūt informāciju, ja zina viņas vārdu un uzvārdu. Tādējādi piemērā Nr. 1 pieprasītais datu apjoms nav uzskatāms par pārmērīgu, bet ir pietiekams, lai SIA identificētu savu klientu.
Nav tāda normatīvā akta vai kādu ārēju noteikumu, kas pateiktu, ka visos gadījumos telefoniski būtu jāpieprasa konkrētu kategoriju dati. Katram, kas apstrādā datus, pašam ir jāizvērtē, kādu datu apjomu no personas pieprasīs konkrētā situācijā, lai pārliecinātos, ka zvanītājs ir tas, par ko uzdodas.
Lai telefoniski identificētu cilvēku, var izmantot tikai paroli vai atslēgvārdu, kas ir zināms abām pusēm. Tomēr visizplatītākais veids, kā organizācija izvēlas identificēt iedzīvotāju telefoniski, ir lūdzot tam nosaukt vairākus savus personas datus, tādus kā vārdu, uzvārdu, e-pasta adresi, lietotājvārdu, līguma numuru, personas kodu un/vai adresi. Šajā gadījumā – jo vairāk datu lūdz sniegt, jo lielāka iespēja būs precīzi identificēt personu telefona zvana otrajā pusē, vienlaikus tā arī tiek veikta lielāka iejaukšanās personas privātumā. Līdz ar to organizācijai ir jāievēro samērīgums savā darbībā.
Tālāk apskatīsim labās prakses piemēru, kā izmantot paroli, par kuru iepriekš abas puses bija vienojušās (klients izvēlējies).
Piemērs Nr. 2: Elektronisko sakaru komersants aizpildāmajā līguma formā ir iekļāvis sadaļu “parole”, kurā norādīts, ka to var izmantot savstarpējai saziņai un nevar nodot citām personām. Lai iegūtu sīkāku informāciju par saņemto pakalpojuma rēķinu, klients zvana komersantam. Pēc klienta uzdotā jautājuma, komersants personai lūdz nosaukt vārdu, uzvārdu un līguma paroli. Pēc šīs informācijas saņemšanas komersanta pārstāvis atklāj konkrētu informāciju, tai skaitā par rēķinu, jo ir pārliecinājies par personas identitāti.
Tāpat informācija ir jāpieprasa, balstoties uz veselo saprātu. Organizācija nevar pieprasīt personai tādus datus, kuri nemaz nav organizācijas rīcībā, tādējādi nav arī pamata tādu informāciju apstrādāt. Piemēram, telefoniskai klienta identifikācijai komersants nevar pieprasīt klienta personas kodu, ja pirkuma pieteikumā tāds nemaz netika pieprasīts, līdz ar to tas nav komersanta rīcībā, lai varētu salīdzināt mutiski teikto ar pieteikumā ievadīto.
Lai izvairītos no domstarpībām, organizācijai ir skaidri jāpastāsta, kādēļ šos datus nepieciešams nosaukt un ka bez to sniegšanas persona nesaņems pakalpojumu, kas pieejams tikai personām ar noteiktām piekļuves tiesībām.
Atsevišķos gadījumos organizācijas izmanto autentifikācijas līdzekļus tādus kā Smart ID vai drošu elektronisko parakstu, lai identificētu klientu, kas piezvanījis un vēlas, lai organizācija apskata informāciju tā klienta profilā. Piemēram, Valsts ieņēmumu dienests identificē cilvēku, kas pieslēdzies Elektroniskās deklarēšanās sistēmā, ja viņš nosauc ekrānā redzamo kodu, tādējādi droši var nokomentēt personas nodokļu kontā esošo informāciju.
Piemērs Nr. 3: Diāna interneta veikalā iegādājās dāvanu savam vīram Sandrim. Pamanot, ka pasūtījumā, iespējams, ieviesusies kļūda un vienas smaržu pudelītes vietā pirkuma grozā ir ievietotas desmit, interneta veikala pārstāvis nolēma zvanīt Diānai uz pasūtījumā norādīto telefona numuru, lai pārliecinātos, vai pasūtījums tik tiešām noformēts korekti. Nepievērošot uzmanību klienta kontaktinformācijai, tostarp tam, ka klausuli būtu jāpaceļ sievietei, un nenoskaidrojot zvana saņēmēja vārdu, komersanta pārstāvis steigā jau izklāstīja situāciju telefoniski. Tomēr tā kā Diāna zvana laikā atradās dārzā, bet telefons bija palicis virtuvē, kur tikmēr atradās Sandris, viņš uzzināja (nojauta), ka sieva viņam iegādājusies šādu dāvanu.
Šāda situācija ir tikai viens no iespējamiem variantiem, kurā nepamatoti tika izsniegta informācija trešajai personai. Sekas šādai neuzmanībai var būt arī netīši izpausta sensitīva informācija vai, piemēram, informācija par personas parādsaistībām. Komersanta pārstāvim būtu jāpārliecinās, ka uz telefona zvanu atbild konkrētais datu subjekts, kaut arī zvans tika veikts uz pasūtījumā norādīto tālruņa numuru.
Kādu informāciju vajadzētu pieprasīt, lai identificētu zvanītāja saistību ar citu personu?
Piemērs Nr. 4: Aija uzzināja no kaimiņiem, ka viņas brālis Māris nonācis ārstniecības iestādē, un nekavējoties zvanīja uz šo iestādi, lai noskaidrotu kāds ir Māra veselības stāvoklis. Slimnīcas reģistratūras darbiniece, kura atbildēja uz zvanu, Aijai lūdza nosaukt vārdu un uzvārdu, piederību slimniekam, kā arī pacienta personas kodu, lai varētu sniegt plašāku informāciju par notikušo un ārstniecības gaitu.
Slimnīcai (tās darbiniekiem) kā pārzinim būtu jākoncentrējas uz zvanītāja identitātes noskaidrošanu līdzīgi kā iepriekš skaidrotajos piemēros. Tāpat šeit, ja tas praktiski ir iespējams, jau iepriekš būtu jābūt iegūtai informācijai no pacienta par to, kādām personām tas ir piekritis sniegt informāciju par savu veselības stāvokli. Attiecīgi, ja Māris nav savā piekrišanas veidlapā (ja tāda ir) norādījis, ka piekrīt, ka slimnīca izpaudīs informāciju pacienta māsai, tad slimnīca nav tiesīga Aijai šo informāciju sniegt[4]. Slimnīcai nav jācenšas noskaidrot Aijas piederība Mārim un nav jāiegūst pacienta personas dati, bet ir jānoskaidro pašas zvanītājas identitāte, lai pārliecinātos, ka informācijas sniegšana Aijai neaizskartu Māra tiesības.
Būsim pateicīgi, ja skaidrojuma kvalitātes novērtēšanas nolūkos aizpildīsiet šo aptauju - https://www.visidati.lv/aptauja/2103231148/
[1] Eiropas Parlamenta un Padomes 2016. gada 27. aprīļa Regula Nr.2016/679 par fizisku personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti un ar ko atceļ Direktīvu 95/46/EK (Vispārīgā datu aizsardzības regula)
[2] Datu regulas 5. panta 2. punkts
[3] Datu regulas 5. panta 1. punkts
[4] Saskaņā ar Pacientu tiesību likuma 10. panta otro daļu informāciju par pacientu drīkst izpaust tikai ar viņa rakstveida piekrišanu vai gadījumos, kas noteikti šajā likumā.