Datu regulā [1] ir noteiktas dažādas tiesības fiziskai personai (datu subjektam) pārvaldīt savus datus, tai skaitā tiesības uz informāciju, datu dzēšanu, labošanu. Šo tiesību īstenošanu esam skaidrojuši iepriekšējos #DVIskaidro rakstos, bet šajā skaidrojumā pievērsīsimies personas tiesībām uz piekļuvi saviem datiem.
Kādu informāciju par savu datu apstrādi es varu pieprasīt organizācijai?
Ikvienai fiziskai personai ir tiesības iegūt precīzu informāciju par saviem datiem, kas atrodas kādas organizācijas/iestādes/uzņēmuma rīcībā. Persona var īstenot savas tiesības un vērsties pie organizācijas, kas konkrētās personas datus apstrādā. Savukārt, organizācijai pēc pieprasījuma ir jāsniedz fiziskai personai šāda informācija:
- vai organizācijas rīcībā ir šīs personas dati;
- ja tādi ir - tad ir jāsniedz informācija par personas datu apstrādes nolūku (mērķi);
- personas datu kategorijām, kādas ir organizācijas rīcībā;
- organizācijām vai fiziskām personām, kam personas dati ir izpausti vai kam tos izpaudīs;
- datu glabāšanas ilgumu vai, ja nav iespējams, informācija par kritērijiem, kurus izmanto glabāšanas ilguma noteikšanai;
- pastāvošām tiesībām pieprasīt no organizācijas personas datu labošanu vai dzēšanu, personas datu apstrādes ierobežošanu vai tiesības iebilst pret konkrētu datu apstrādi;
- tiesībām iesniegt sūdzību uzraudzības iestādei – Datu valsts inspekcijai;
- datu avotu, ja personas dati nav ievākti no pašas personas;
- pastāvošu automatizētu lēmumu pieņemšanu, tostarp profilēšanu – jāsniedz jēgpilna informācija par tajā ietverto loģiku, kā arī šādas apstrādes nozīmīgumu un paredzamajām sekām attiecībā uz personu. [2]
Piemērs: Persona piedalījās darba intervijā uzņēmumā. Konkurss uz izsludināto vakanto vietu ir noslēdzies, bet persona pretendentu atlases kārtas nav izturējusi, attiecīgi arī piedāvājums uzsākt darba tiesiskās attiecības ar uzņēmumu nav izteikts. Lai noskaidrotu, vai uzņēmuma rīcībā ir vai nav saglabāti personas dati, tai skaitā iepriekš iesūtītais dzīvesgaitas apraksts, persona var vērsties pie uzņēmuma un lūgt sniegt informāciju, vai tā rīcībā ir kādi šīs personas dati, un ja ir, tad lūgt sniegt skaidrojumu, kādam mērķim tie tiek apstrādāti.
Kā praktiski īstenot tiesības uz piekļuvi saviem datiem?
Personai vispirms jāvēršas pie organizācijas, izmantojot privātuma politikā norādītos komunikācijas kanālus vai saziņas veidus, un jālūdz sniegt informāciju par saviem datiem. Pieprasījumā nepieciešams iekļaut:
- pieprasījuma iesniedzēju identificējošu informāciju;
- norādi, vai informāciju vēlas saņemt par visiem datiem vai par konkrētu gadījumu;
- norādi par laika posmu, par kuru informācija sniedzama;
- precīzu lūgumu, atsaucoties uz visiem vai kādu no augstāk norādītajiem jautājumiem (1.-9.).
Pieprasījumam ir jābūt pēc iespējas skaidri un kodolīgi noformulētam, lai organizācija, netērējot nesamērīgi lielus resursus, varētu pēc iespējas ātrāk sniegt atbildi uz to.
Persona var lūgt organizācijai izsniegt arī personas datu kopiju, informāciju par visiem organizācijas rīcībā esošiem konkrētās personas datiem. Ja organizācija var pamatot kāpēc šāds pieprasījums uzskatāms par pārmērīgu vai nepamatotu, piemēram, ja tas veikts atkārtoti/regulāri, organizācija var pieprasīt saprātīgu samaksu, pamatojot to ar administratīvajām izmaksām. [3]
Organizācijai ir pienākums šādu pieprasījumu izskatīt bez nepamatotas kavēšanās, bet ne vēlāk kā mēneša laikā no pieprasījuma saņemšanas. Ja organizācija secina, ka pieprasījuma apstrādei būs nepieciešamas ilgāks laiks kā viens mēnesis, pieprasījuma izpildi var pagarināt vēl par diviem mēnešiem, par to informējot personu mēneša laikā no pieprasījuma saņemšanas. [4] Ja organizācija informāciju nesniedz mēneša laikā vai mēneša laikā uz pieprasījumu nereaģē, personai ir tiesības par šādu organizācijas rīcību iesniegt sūdzību Datu valsts inspekcijā.
Ja persona saskata datu apstrādes pārkāpumu un informāciju vēlas iegūt ar nolūku, lai vēlāk varētu ar sūdzību vērsties Datu valsts inspekcijā vai citā iestādē, informāciju vēlams pieprasīt rakstveidā, lai šāda sarakste būtu pierādāma.
Ja tīmekļa vietnē nav norādīti komunikācijas kanāli, caur kuriem var vērsties pie organizācijas, tad var izmantot organizācijas juridisko adresi vai kontaktus, kas norādīti citur tīmekļa vietnē.
Persona var konsultēties arī ar organizācijā iecelto datu aizsardzības speciālistu, ja tāds ir norīkots. Datu aizsardzības speciālista kontaktinformācijai jābūt pieejamai organizācijas tīmekļa vietnē.
Informācijas pieprasījuma veidlapas paraugs
Datu valsts inspekcija ir sagatavojusi vispārīgu informācijas pieprasījuma veidlapu, kas atvieglos jautājumu noformulēšanu: “Datu subjekta informācijas pieprasījums”.
Kādos gadījumos organizācija var atteikt izsniegt informāciju?
- Ja pieprasījums nav noformulēts saprotami;
- ja persona nav identificējama;
- ja uz šādu pieprasījumu atbilde jau ir sniegta;
- ja pieprasītās informācijas apjoms ir nesamērīgs (piemēram, par ilgu laika posmu);
- ja pieprasījums ir nepamatots; [5]
- ja normatīvajos aktos noteikts, ka šāda informācija netiek sniegta.
Piemērs: Bankai nav pienākums sniegt personai informāciju, ja tā tika apstrādāta Noziedzīgi iegūtu līdzekļu legalizācijas un terorisma un proliferācijas finansēšanas novēršanas likuma ietvaros. [6]
Šādos gadījumos organizācijas uzdevums ir pamatot, kādēļ lūguma izpilde tiek atteikta un informēt personu par iespēju iesniegt sūdzību Datu valsts inspekcijai un vērsties tiesā. [5]
Personas identifikācija, iesniedzot pieprasījumu var tikt veikta atbilstoši konkrētās organizācijas noteiktajai politikai. Taču tā var atšķirties gadījumos, kad persona iesniedz pieteikumu, izmantojot savu klienta vai lietotāja profilu, kur nepieciešami noteikti dati, lai identificētu klientu un pielaistu to savam lietotāja kontam, kā arī, ja personu citos gadījumos ir nepieciešams atšķirt no sitām personām jeb datu subjektiem, piemēram, ja nepieciešams iegūt izgriezumu no videomateriāla, kurā redzama persona, kura iesniegusi pieprasījumu.
Ja organizācija personu nespēj identificēt, tā var pieprasīt papildus personas identifikatoru norādīšanu, lai personas identificēšana varētu notikt nekļūdīgi. [7]
! Skaidrojums attiecināms arī uz gadījumiem, kad personas datus apstrādā cita fiziska persona (pārzinis), kas nav personas tuvinieks, ar kuru savstarpējās attiecības ir personiska rakstura vai noris vienas mājsaimniecības ietvaros.
!! Pirms īstenot tiesības uz piekļuvi saviem datiem, ir ieteicams apskatīt organizācijas privātuma politiku, kurā bieži atrodamas atbildes uz bažām par datu apstrādes pamatotību. Par to, kas ir privātuma politika, lasīt Datu valsts inspekcijas skaidrojumā “Kas ir privātuma politika?”
Par to, kā praktiski īstenot arī citas datu subjekta tiesības, tai skaitā piekļūt saviem datiem, aicinām iepazīties Datu valsts inspekcijas 2022. gada Datu dienas semināra ierakstā “Datu subjekta tiesības. Vai tu zini savas tiesības?”.
Informatīvās atsauces:
[1] Eiropas Parlamenta un Padomes Regulas (ES) 2016/679 (2016.gada 27.aprīlis) par fizisku personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti un ar ko atceļ Direktīvu 95/46/EK (Vispārīgā datu aizsardzības regula). Pieejama tiešsaistē: https://www.dvi.gov.lv/sites/dvi/files/es_regula_2016_6791.pdf
[2] Datu regulas 15. panta 1. punkts
[3] Datu regulas 15. panta 3. punkts
[4] Datu regulas 12. panta 3. punkts
[5] Datu regulas 12. panta 4. un 5. punkts
[6] Noziedzīgi iegūtu līdzekļu legalizācijas un terorisma un proliferācijas finansēšanas novēršanas likuma 5.2 panta otrā daļa.
[7] Datu regulas 12. panta 6. punkts
