Anotācija (ex-ante)

Šobrīd pakalpojuma izpilde notiek decentralizēti, fiziskai personai pieprasot informāciju no katras iestādes atsevišķi, turklāt informācija bieži vien pakalpojuma pieprasītājam tiek nogādāta uz tā elektroniskā pasta adresi. Nodrošinot informācijas apmaiņu, izmantojot oficiālo elektronisko adresi, tiktu nodrošināta droša, uzticama un ērta saziņa, t.sk. informācijas piegāde adresātam. Ievērojot minēto, Ministru kabineta noteikumi "Personas datu pārlūkošanas pakalpojuma noteikumi" ir nepieciešami, lai mazinātu riskus attiecībā uz personas datu apstrādi.

Ar noteikumu projekta 2. punktā noteikto tiek paredzēts, ka pakalpojuma tehniskā risinājuma pārzinis ir Valsts reģionālās attīstības aģentūra (turpmāk – Aģentūra).
Noteikumu projekta 3. un 4. punkts noteic, ka Aģentūra ir personas datu apstrādes pārzinis elektroniskās autentifikācijas procesam piekļuvei pie pakalpojuma, kā arī valsts pārvaldes pakalpojumu portālā (turpmāk – Portāls) pakalpojuma ietvaros izveidotajiem auditācijas pierakstiem un pēc personas jeb datu subjekta pieprasījuma saņemto datu attēlošanai šim konkrētajam datu subjektam. Proti, Aģentūra kā portāla pārzinis neuzkrāj personas datus un nekļūst par personas datu pārzini, kad datu subjekts šo informāciju pieprasījis. Aģentūra tikai atspoguļo valsts informācijas sistēmās esošos datus, kā arī pēc datu subjekta pieprasījuma šo informāciju šifrētā (aizsargātā) veidā nosūta uz informācijas pieprasītāja oficiālo elektronisko adresi. Atspoguļotie dati portālā netiek saglabāti. Proti, tie, saskaņā ar Noteikumu projekta 10.punktā noteikto, pēc atspoguļošanas portālā tiek dzēsti. Līdz ar to Aģentūra ir personas datu apstrādes pārzinis attēlošanas procesam un attiecīgi Aģentūrai ir pienākums ievērot Eiropas Parlamenta un Padomes Regulu (ES) 2016/679 (2016. gada 27. aprīlis) par fizisku personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti un ar ko atceļ Direktīvu 95/46/EK (Vispārīgā datu aizsardzības regula) (turpmāk - Regula) 14.pantā (informācija, kas jāsniedz, ja personas dati nav iegūti no datu subjekta) noteikto pienākumu - sniegt Regulas 14.panta 1-4.punktā norādīto informāciju personai jeb datu subjektam.
Aģentūra pēc datu attēlošanas personai nodrošina datu dzēšanu portālā. Tāpat Aģentūra nepieņem lēmumus attiecībā uz pieprasīto informāciju, bet tikai rīkojas pēc datu subjekta norādēm. Aģentūra ir personas datu pārzinis attiecībā uz tiem personas datiem, kas nepieciešami, lai nodrošinātu piekļuvi portāla darbības organizēšanai atbilstoši normatīvajiem aktiem. Savukārt personas datu apstrādes pārzinis attiecībā uz tiem personas datiem, kas iegūti no valsts informācijas sistēmām, ir tā valsts institūcija, kura ir atbildīga par personas datu apstrādi attiecīgajā valsts informācijas sistēmā, kas izgūta no Datu izplatīšanas un pārvaldības platformas (turpmāk – DAGR).
Portāls ir paaugstinātas drošības valsts informācijas sistēma un tās pārzinis ir Aģentūra. Pakalpojuma ietvaros plānots, ka fiziskā persona varēs pieprasīt šo pakalpojumu no tām valsts iestādēm, kas būs integrējušas savas valsts informācijas sistēmas ar DAGR. DAGR ir plānota kā viena no valsts platformām, kuras mērķis ir informācijas aprites un sadarbspējas uzlabošana valsts pārvaldē, nodrošinot vairāku institūciju informācijas aprites un apstrādes funkciju un uzdevumu izpildi. Valsts pārvaldei tiks nodrošinātas iespējas apkopot potenciāli visu valsts iestāžu datus vienotā datu izplatīšanas platformā, kuru datu saņēmēji varēs izmantot, lai izgūtu reāla laika datus no datu devēju informācijas sistēmām. DAGR nodrošinās datu apriti ne tikai starp valsts informācijas sistēmām, bet arī starp institūciju informācijas sistēmām, kā arī privāto tiesību juridisko personu informācijas sistēmām, kas ir iesaistītas valsts pārvaldes uzdevumu īstenošanā. Līdz ar to fiziskajām personām tiks nodrošināta iespēja iegūt informāciju par, piemēram, savā īpašumā esošajiem transportlīdzekļiem, pensiju līmeni u.c. informāciju, kas uzkrāta valsts informācijas sistēmās.
Ar vārdiem "personas dati" saprotama jebkura informācija, kas attiecas uz identificētu vai identificējamu fizisku personu saskaņā ar Regulas 4. panta 1. punktu. Pakalpojuma ietvaros tiks izgūta informācija par personu, tajā skaitā personas dati. Tāpat pakalpojums nodrošinās iespēju izgūt datus no valsts informācijas sistēmām par informācijas pieprasītāju un personām, kuru likumiskais pārstāvis tas ir, un aizsargātā veidā minētos datus saņemt oficiālajā elektroniskajā adresē, kā arī lejuplādēt.
Lai mazinātu administratīvo slogu katru reizi grozot Ministru kabineta noteikumus gadījumos, kad personai pieejamais datu apjoms tiek palielināts, "Personas datu pārlūkošanas pakalpojuma noteikumi", noteikumu projekta 5. punktā tiek paredzēts, ka pakalpojuma nodrošināšanai nepieciešamais datu apjoms, tai skaitā personai pieejamais datu apjoms, un institūciju, kas nodrošina personas datu sniegšanu pakalpojuma nodrošināšanai, uzskaitījums tiek publicēts DAGR pašapkalpošanās portālā. Vienlaikus norādāms, ka personas datu pārlūkošanas pakalpojuma funkcionalitāte tiks ieviesta pakāpeniski, nodrošinot informācijas piekļuves apjomu, kāds ir izvietots DAGR. Pakāpeniski, īstenojot digitālās transformācijas attīstības projektus (ārvalstu vai nacionālā finansējuma projektus), DAGR pieejamais informācijas apjoms tiks paplašināts vairāku gadu garumā, attiecīgi palielināsies arī personas datu pārlūkošanas pakalpojumā pieejamās informācijas apjoms.
Noteikumu projekta 6. punkts noteic, ka piekļuve pakalpojumam tiek nodrošināta Portālā elektroniski identificētiem lietotājiem.
Saskaņā ar noteikumu projekta 7. punktā noteikto, persona, uzsākot pakalpojuma pieprasīšanu, tiek informēta par pakalpojuma lietošanas noteikumiem. Proti, jebkurš datu subjekts pirms pakalpojuma pieprasīšanas portālā tiek informēts par pakalpojuma lietošanas noteikumiem, kuros iekļauta informācija, kas izriet no Regulas 13.panta (informācija, kas jāsniedz, ja personas dati ir iegūti no datu subjekta). Persona portālā izdara atzīmi par to, ka ir iepazīstināta ar minētajiem noteikumiem.
Noteikumu projekta 8. punktā noteikti personas identifikācijas nosacījumi. Pakalpojums ir publisks risinājums, kurā tiek nodrošināts autentifikācijas risinājums, lai persona piekļūtu datiem. Autentifikācija pakalpojuma pieprasīšanai tiek veikta, izmantojot vai nu kvalificētus elektroniskās identifikācijas līdzekļus, vai kvalificētus paaugstinātas drošības elektroniskās identifikācijas līdzekļus, kas izriet no Ministru kabineta 2017. gada 4. jūlija noteikumu Nr. 402 "Valsts pārvaldes e-pakalpojumu noteikumi" 13.8. apakšpunkta, kurā noteikts, ka valsts pārvaldes pakalpojumu turētājs nosaka e-pakalpojumam nepieciešamo personas elektroniskās identifikācijas līdzekli atbilstoši šo noteikumu pielikumā ietvertajai kārtībai. Saskaņā ar Ministru kabineta 2017. gada 4. jūlija noteikumu Nr. 402 "Valsts pārvaldes e-pakalpojumu noteikumi" pielikuma "E-pakalpojumam nepieciešamā personas elektroniskās identifikācijas līdzekļa noteikšanas kārtība" (turpmāk – Pielikums) 4. punktā noteikto un, izvērtējot pakalpojuma pieprasīšanai apstrādātos personas datus, ir secināms, ka pakalpojuma pieprasīšanai atbilstošākais personas elektroniskās identifikācijas līdzeklis ir ietverts Pielikuma 4.3. un 4.4. apakšpunktā. Proti, saskaņā ar Pielikuma 4.3. apakšpunktā noteikto kvalificētus vai kvalificētus paaugstinātas drošības elektroniskās identifikācijas līdzekļus izmanto, ja attiecībā uz e-pakalpojumu konstatēts vismaz viens no šādiem apstākļiem: 1) apstrādā ierobežotas pieejamības informāciju, kuras izpaušana var būtiski nelabvēlīgi ietekmēt personas tiesības vai brīvības, vai ar likumu aizsargātās intereses, kā arī var izmainīt īpašuma tiesības vai lietu tiesības; 2) datus iespējams apskatīt, labot, papildināt vai dzēst par e-pakalpojuma saņēmēju, e-pakalpojuma saņēmēja ģimenes locekļiem vai aizbilstamajiem vai citām fiziskām vai juridiskām personām; 3) kļūdaina autentifikācija e-pakalpojuma saņēmējam vai pakalpojuma turētājam var radīt zaudējumus vai kaitējumu, kas pārsniedz desmit Latvijas Republikā noteiktās minimālās mēnešalgas; 4) kļūdaina autentifikācija var radīt drošības riskus, ietekmēt personas veselību vai dzīvību; 5) kļūdaina autentifikācija var radīt nopietnas, ilgstošas neērtības pakalpojuma saņemšanai, nopietnu kaitējumu kādas puses reputācijai, tā ietekmē daudzus cilvēkus. Savukārt Pielikuma 4.4. apakšpunkts noteic, ka kvalificētus paaugstinātas drošības elektroniskās identifikācijas līdzekļus izmanto tādu e-pakalpojumu saņemšanai, kuri ietekmē nacionālo drošību vai kuros iespējams piekļūt īpašu kategoriju personas datiem, tai skaitā piekļūt personas datiem par sodāmību un pārkāpumiem, kā arī lai autentificētos informācijas tehnoloģiju kritiskās infrastruktūras sistēmās. Ministru kabineta 2017. gada 19. septembra noteikumu Nr. 560 "Noteikumi par kvalificēta un kvalificēta paaugstinātas drošības elektroniskās identifikācijas pakalpojuma sniedzēja un tā sniegtā pakalpojuma tehniskajām un organizatoriskajām prasībām", kas izdoti saskaņā ar Fizisko personu elektroniskās identifikācijas likuma 13. pantu, 6. punktā noteiktas kvalificēta un kvalificēta paaugstinātas drošības elektroniskās identifikācijas pakalpojuma sniedzēja autentifikācijas prasības, savukārt 7. punktā noteiktas kvalificēta un kvalificēta paaugstinātas drošības elektroniskās identifikācijas pakalpojuma sniedzēja elektroniskās identifikācijas līdzekļa prasības un 8. punkts norāda papildu prasības elektroniskās identifikācijas līdzeklim, ja tas klasificēts kā kvalificēts paaugstinātas drošības elektroniskās identifikācijas līdzeklis. Šīm prasībām šobrīd atbilst tādi elektroniskās identifikācijas līdzekļi kā eParaksts eID un eParaksts mobile.
Saskaņā ar noteikumu projekta 9.punktā noteikto pakalpojuma nodrošināšanai nepieciešamo informāciju nodrošina un izsniedz valsts informācijas sistēmas pārzinis, kas normatīvajos aktos (Valsts informācijas sistēmas likums, Ministru kabineta noteikumu projekts “Datu izplatīšanas un pārvaldības platformas noteikumi” (22-TA-2640), kas šobrīd Vienotajā tiesību aktu projektu izstrādes un saskaņošanas portālā (TAP portāls) ir saskaņošanas stadijā, speciālie normatīvie akti, kas noteic konkrētas informācijas vai datu izmantošanu) noteiktajā kārtībā informāciju no savā pārziņā esošās valsts informācijas sistēmas izvieto izplatīšanai DAGR. 
Saskaņā ar noteikumu projekta 10., 11. un 12. punktā noteikto Aģentūra, pamatojoties uz identificētas personas pieprasījumu Portālā atspoguļo datus no DAGR, kas pēc to atspoguļošanas portālā tiek dzēsti. Gadījumā, ja persona pakalpojuma izpildes ietvaros konstatē neatbilstību datos, persona, izmantojot Aģentūras nodrošināto tehnisko risinājumu, kas pieejams lietotāja darba vietā, par minēto informē institūciju, kuras pārziņā esošās valsts informācijas sistēmas datos ir konstatēta neatbilstība. Institūcija, kas saņēmusi informāciju par neatbilstību datos, atbildi personai sniedz normatīvajos aktos noteiktajā kārtībā.
Pakalpojuma nodrošināšanas ietvaros dati gan izgūšanas, gan nosūtīšanas procesā būs šifrētā veidā, līdz ar to arī nosūtīšanas brīdī Aģentūra kā portāla pārzinis vai kāds cits tiesību subjekts, izņemot informācijas pieprasītāju, tos apskatīt nevarēs. Sūtījums un tā nodošanas veids būs šifrēts. Aģentūra pārsūtīs informācijas pieprasītājam fiziskās personas pieprasīto un izgūto informāciju uz oficiālo elektronisko adresi (to informāciju, ko iepriekš būs apskatījis pats informācijas pieprasītājs).
Noteikumu projekta 13. punkts noteic, ka Aģentūra izstrādā pakalpojuma lietošanas noteikumus, kuros noteikta iestādes sadarbība ar Aģentūru kā pakalpojuma pārzini. Aģentūra lietošanas noteikumus publicē Portālā un aktualizē tos pēc nepieciešamības.
Noteikumu projekta 14. punktā noteikts auditācijas pierakstu glabāšanas ilgums un pakalpojuma rezultātu glabāšana, kā arī pieejamība pēc tā sniegšanas. Proti, pakalpojuma rezultātu glabāšana un pieejamība pēc tā sniegšanas Portāla gala lietotājam tiek nodrošināta Portāla gala lietotāja darba vietā. Ar “Portāla gala lietotājs” ir jāsaprot fiziska persona (iedzīvotājs), kurai tiek nodrošināts pakalpojums. Auditācijas pierakstus glabā auditācijas rīkā 36 mēnešus no ieraksta izdarīšanas brīža. Saskaņā ar Fizisko personu datu apstrādes likuma 37. panta pirmo daļu, auditācijas pieraksti ir analīzei pieejami reģistrēti dati par noteiktiem notikumiem informācijas sistēmā. Atbilstoši Ministru kabineta 2015. gada 28. jūlija noteikumu Nr. 442 "Kārtība, kādā tiek nodrošināta informācijas un komunikācijas tehnoloģiju sistēmu atbilstība minimālajām drošības prasībām" 15.10. apakšpunktam, auditācijas pierakstos ietver informāciju par pieslēgšanos vai atslēgšanos no sistēmas, datu atlasi, kā arī konta izveidi, grozīšanu vai dzēšanu, fiksējot notikuma laiku, kas sakrīt ar faktiskā notikuma koordinēto pasaules laiku (UTC), interneta protokola adresi, no kuras veikta darbība, aprakstu, kā arī informāciju par darbības iniciatoru – identifikatoru, pieslēguma metadatus. Minēto noteikumu 24.8. apakšpunktā noteiktais paredz, ka auditācijas pierakstu uzraudzība un analīze nodrošina iespēju konstatēt incidentus, tādējādi sekmējot sistēmu drošību. Auditācijas pierakstu glabāšanas rezultātā tiek apstrādāti personas dati. Ņemot vērā, ka portāls ir paaugstinātas drošības valsts informācijas sistēma, tad saskaņā ar Ministru kabineta 2015. gada 28. jūlija noteikumu Nr. 442 "Kārtība, kādā tiek nodrošināta informācijas un komunikācijas tehnoloģiju sistēmu atbilstība minimālajām drošības prasībām" 24.6.  apakšpunktu, izstrādājot sistēmas drošības politiku paaugstinātas drošības sistēmām ir jāparedz auditācijas pierakstu uzglabāšana vismaz 18 mēnešus pēc ieraksta izdarīšanas.