Anotācija (ex-ante)

Līdz šim valsts pārvaldes iestādes pārsvarā strādā ar savā rīcībā esošajiem datiem, savukārt informācijas apmaiņa starp dažādu resoru iestādēm bieži ir sarežģīta, laikietilpīga vai ierobežota. Tas apgrūtina dažādu institūciju datu savietošanu un kopīgu analīzi, kas nepieciešama uz pierādījumiem balstītu lēmumu pieņemšanai, efektīvākai politikas plānošanai un publisko pakalpojumu pilnveidošanai.

Nepastāvot vienotai un detalizētai kārtībai, nav skaidri noteikts:
1. informācijas apstrādes pieprasījumu iesniegšanas, izvērtēšanas un saskaņošanas process;
2.piekļuves piešķiršanas nosacījumi un informācijas apstrādes kārtība drošajā informācijas apstrādes vidē;
3. datu sniedzēja pienākumi un informācijas nodošanas tehniskie un organizatoriskie aspekti;
4. personas datu apstrādes uzraudzības mehānisms un institucionālā sadarbība ar Datu valsts inspekciju.
Šāda situācija var radīt atšķirīgu praksi starp iestādēm, kavēt efektīvu datu izmantošanu valsts pārvaldes funkciju īstenošanai, kā arī palielināt tiesiskos un datu aizsardzības riskus.

1. Drošās informācijas apstrādes vides mērķis un vispārīgs apraksts

Pārvalde uztur vienotu un drošu informācijas apstrādes vidi, kurā institūcijas analizē savietotus datus. Šādā vidē iestādēm vairs nav nepieciešams savstarpēji pieprasīt datus individuālā kārtībā. Tas ļauj efektīvāk plānot politiku valsts, reģionālajā un vietējā līmenī, identificēt un analizēt nozares riskus, kā arī pilnveidot publiskos pakalpojumus.
Lai nodrošinātu VPIL 54. panta septītās daļas izpildi un vienotu tiesisko regulējumu, ar noteikumu projektu tiek noteikta kārtība, kādā:
1.1. Pārvalde konsultē iestādes un pieņem informācijas apstrādes pieprasījumus;
1.2. tiek piešķirta piekļuve un organizēta informācijas apstrāde drošajā informācijas apstrādes vidē;
1.3. datu sniedzēji sniedz drošajā informācijas apstrādes vidē iekļaujamo informāciju;
1.4. Pārvalde saņemto informāciju apstrādā, tai skaitā veic datu pseidonimizāciju vai anonimizāciju, kā arī apvieno to ar citu informāciju, un sagatavo iekļaušanai drošajā informācijas apstrādes vidē;
1.5. Datu valsts inspekcija uzrauga personas datu apstrādi drošajā informācijas apstrādes vidē.
Noteikumu pieņemšana nodrošinās tiesisko skaidrību, vienotu piemērošanu, pārskatāmu piekļuves un uzraudzības mehānismu, kā arī atbilstošu personas datu aizsardzības prasību ievērošanu.

2. Terminu skaidrojums

2.1. Termini „iestāde" un „institūcija"
Noteikumos tiek lietoti divi termini, kas pārņemti no VPIL 54. panta septītās daļas:
2.1.1. termins „iestāde" lietots VPIL 1. panta 3. punkta izpratnē — institūcija, kura darbojas publiskas personas vārdā un kurai ar normatīvo aktu noteikta kompetence valsts pārvaldē, piešķirti finanšu līdzekļi tās darbības īstenošanai un ir savs personāls;
2.1.2. termins „institūcija" lietots tikai vārdkopā „institūciju informācijas sistēmas" atbilstoši Valsts informācijas sistēmu likuma 1. pantā ietvertajai terminoloģijai.

2.2. Jēdziens „apstrādes ierobežojumi"
Noteikumu projekta 2.1. apakšpunktā lietotais jēdziens „apstrādes ierobežojumi" aptver šādas kategorijas:
2.2.1. juridiskie ierobežojumi – datu apstrādes aizliegumi vai ierobežojumi, kas izriet no normatīvajiem aktiem, tai skaitā speciālo likumu un to izpildei izdoto Ministru kabineta noteikumiem;
2.2.2. Pārvaldes tehniskie ierobežojumi – ierobežojumi, kas saistīti ar drošās informācijas apstrādes vides tehniskajām iespējām;
2.2.3. datu sniedzēja tehniskie ierobežojumi – gadījumi, kad datu sniedzēja informācijas sistēmā nav tehnisku risinājumu attiecīgo datu atlasei, strukturēšanai vai nodošanai Pārvaldei pieprasītajā apjomā un formātā.

3. Drošās informācijas apstrādes vides raksturojums

Drošā informācijas apstrādes vide ir Pārvaldes jau izveidota un uzturēta integrēta tehnoloģiska un organizatoriska sistēma, kas darbojas Pārvaldes informācijas un komunikācijas tehnoloģiju infrastruktūras ietvaros un ir nošķirta no Pārvaldes statistikas pamatdarbības sistēmām ar atsevišķiem procesiem, piekļuves mehānismiem un drošības režīmu. Drošā informācijas apstrādes vide netiek veidota no jauna — šie noteikumi reglamentē tās izmantošanas kārtību iestāžu vajadzībām atbilstoši VPIL 54. panta septītajai daļai.
Drošā informācijas apstrādes vide atbilst Eiropas Parlamenta un padomes 2022. gada 30. maija Regulā (ES) 2022/868 par Eiropas datu pārvaldību un ar ko groza Regulu (ES) 2018/1724 (Datu pārvaldības akts) noteiktajai drošas apstrādes vides definīcijai.
Drošā informācijas apstrādes vide ietver fiziskus un virtuālus tehniskos līdzekļus un organizatoriskos pasākumus, kas nodrošina personas datu apstrādes atbilstību VDAR prasībām, jo īpaši attiecībā uz datu subjektu tiesībām, kā arī datu konfidencialitāti, integritāti un kontrolētu piekļuvi. Pārvalde kā vides nodrošinātājs nosaka un uzrauga visas datu apstrādes darbības drošajā informācijas apstrādes vidē.
Drošā informācijas apstrādes vide tiek uzturēta atbilstoši Ministru kabineta 2025. gada 25. jūnija noteikumiem Nr. 397 „Minimālās kiberdrošības prasības" un Pārvaldes informācijas drošības vadības sistēma ir sertificēta atbilstoši ISO/IEC 27001:2022 standartam.

4. Pieprasījuma izvērtēšana un piekļuves piešķiršana

4.1. Piekļuves piešķiršanas tvērums un izvērtējuma saturs
Ar piekļuves piešķiršanu drošajai informācijas apstrādes videi saprotams ne tikai tehniskas piekļuves nodrošināšana sistēmai, bet arī Pārvaldes veiktais izvērtējums par pieprasītās informācijas apstrādes tiesisko pamatu saskaņā ar VPIL 54. panta septīto daļu, mērķi un nepieciešamo informācijas apjomu. Iestādei pieprasījumā ir pienākums norādīt informācijas apstrādes tiesisko pamatu, mērķi, sasniedzamo rezultātu, nepieciešamo informāciju, kā arī sniegt aprakstu par personas datu apstrādes minimizācijas principa ievērošanu. Pārvalde, izvērtējot pieprasījumu, pārbauda šīs informācijas atbilstību un nepieciešamību, kā arī nosaka drošajā informācijas apstrādes vidē pieejamo informācijas detalizācijas pakāpi.

4.2. Speciālā regulējuma ierobežojumu izvērtēšana
VPIL 54. panta septītā daļa nosaka iestādei (datu sniedzējam) pienākumu pēc Pārvaldes lūguma nodot drošajā informācijas apstrādes vidē iekļaujamo informāciju. Likums datu sniedzējam nepiešķir tiesības pēc saviem ieskatiem atteikt šādu sniegšanu, bet to ierobežo: saskaņā ar VPIL 54. panta otro daļu sadarbību, tostarp informācijas sniegšanu, iestāde var atteikt VPIL 56. pantā noteiktajos gadījumos. Papildus atteikuma iemesls var būt arī VPIL 54. panta sestā daļa. VPIL 54. panta sestās daļas un 56. panta vienīgais tiesiskais gadījums, kad iestāde pieprasīto informāciju neizsniedz, ir tad, ja tās izsniegšanu vai nodošanu aizliedz vai ierobežo speciāls normatīvais akts.
Šādā gadījumā informācija netiek izsniegta nevis kā iestādes izvēle, bet kā speciālajā likumā noteikta aizlieguma izpilde — pilnībā, ja aizliegums attiecas uz visu pieprasīto informāciju, vai daļēji, ja tikai uz tās daļu.
Noteikumu projekts un Valsts pārvaldes iekārtas likuma 54. pants ir vispārīgais regulējums, kas speciālo informācijas aprites regulējumu neaizstāj un negroza. Tādēļ, ja kādam no 54. panta septītajā daļā noteiktajiem mērķiem nepieciešams izmantot informāciju, kuras izsniegšanu vai izmantošanu attiecīgajam mērķim speciāls normatīvais akts neatļauj, šādas informācijas iekļaušana drošajā informācijas apstrādes vidē ir iespējama tikai pēc tam, kad izdarīti attiecīgi grozījumi šajā speciālajā normatīvajā aktā. Vispārīgais regulējums šādu piekļuvi pats par sevi nerada.
Ja speciāla izsniegšanas aizlieguma nav, iestādei ir pienākums informāciju sniegt, un atteikšanās nav pieļaujama. Šaubu gadījumā par speciāla ierobežojuma piemērojamību, datu sniedzējs ar Pārvaldi sadarbības veidā vienojas par informācijas nodošanas iespējamību un apjomu.
Pārvalde arī patstāvīgi, ne tikai paļaujoties uz datu sniedzēju, izvērtē speciālajos normatīvajos aktos noteiktos informācijas izmantošanas un nodošanas ierobežojumus, kas var attiekties gan uz personas datiem, gan citu informāciju. Ja speciālais regulējums nosaka ierobežojumus vai aizliegumu konkrētas informācijas apstrādei vai nodošanai citai institūcijai, Pārvalde saskaņā ar noteikumu projekta 7. punktu, VPIL 54. panta otro daļu, sesto daļu, var atteikt piekļuvi attiecīgajai informācijai vai noteikt tās izmantošanas ierobežojumus drošajā informācijas apstrādes vidē.
Tādējādi lēmums par piekļuvi drošajai informācijas apstrādes videi praksē ietver gan piekļuvi pašai videi, gan lēmumu par piekļuvi informācijai un to apjomu konkrētā apstrādes mērķa sasniegšanai.
Speciālais regulējums šo noteikumu izpratnē ir tādas normatīvā akta normas, kas tieši nosaka informācijas izmantošanas, nodošanas vai izsniegšanas ierobežojumus vai aizliegumus, vai paredz īpašu informācijas pieprasīšanas un sniegšanas kārtību, vai nosaka konkrētus subjektus, kam ir tiesības saņemt informāciju.
Speciālais regulējums attiecas, piemēram, uz šādām informācijas kategorijām:
— valsts drošības interesēs aizsargājamā informācija (Valsts drošības iestāžu likuma 17. un 19. pants, Ministru kabineta 2004. gada 26. oktobra noteikumi Nr. 887);
— valsts noslēpuma objekti un informācija, kas klasificēta atbilstoši likumam „Par valsts noslēpumu";
— veselības dati un to sekundārā izmantošana (Eiropas Parlamenta un Padomes 2025. gada 11. februāra Regula (ES) 2025/327 par Eiropas veselības datu telpu, Pacientu tiesību likums, Ārstniecības likums);
— īpašas kategorijas personas dati VDAR 9. panta izpratnē (dati par rasi vai etnisko izcelsmi, politiskajiem uzskatiem, reliģisko vai filozofisko pārliecību, dalību arodbiedrībās, ģenētiskie dati, biometriskie dati personas unikālai identificēšanai, veselības dati, dati par dzimumdzīvi vai seksuālo orientāciju);
— kredītiestāžu klientu un darījumu informācija, uz kuru attiecas neizpaužamu ziņu (komercnoslēpuma) režīms saskaņā ar Kredītiestāžu likuma 63. pantu;
— adopcijas un aizgādnības lietu informācija (Bērnu tiesību aizsardzības likums, Civillikums);
— operatīvās darbības informācija un izmeklēšanas datu konfidencialitāte (Operatīvās darbības likums, Kriminālprocesa likums)
— jebkāda (visa) informācija par nodokļu maksātāju saskaņā ar likuma “Par nodokļiem un nodevām” 22.panta pirmo daļu, izņemot likumā noteiktos gadījumus.

4.3. Pārvaldes konsultatīvās funkcijas tvērums
Pārvaldes konsultatīvā funkcija aptver tikai vispārīgu informāciju par drošajā informācijas apstrādes vidē iekļaujamo datu kategorijām, izmantošanas iespējām, datu apvienošanas iespējām un apstrādes vispārīgajiem ierobežojumiem. Konsultācijas saturs atbilst Pārvaldes kā drošās informācijas apstrādes vides nodrošinātāja kompetencei un nepārsniedz to.
Datu sniedzēja metodiskā vadība attiecībā uz konkrētās informācijas sistēmas darbību un datu apstrādes specifiskajiem noteikumiem saglabājas attiecīgo datu sniedzēja kompetencē saskaņā ar normatīvajiem aktiem, kas reglamentē šo informācijas sistēmu darbību. Pārvalde šajā kompetences jomā neiejaucas.
Pārvalde konsultatīvajā funkcijā balstās uz publiski pieejamu informāciju par valsts informācijas sistēmām un to saturu, kā arī uz iestādes pieprasījumā norādīto. Ja iestādei rodas detalizēti jautājumi par konkrētas informācijas sistēmas datu saturu, struktūru, kvalitāti vai izsniegšanas kārtību, Pārvalde iestādi novirza uz attiecīgo datu sniedzēju vai uzdod personīgi tam jautājumus.
Noteikumu projekts neparedz datu sniedzēju pienākumu sniegt Pārvaldei detalizētu metodisko informāciju vai apmācības par to pārziņā esošo informācijas sistēmu darbību, datu apstrādes noteikumiem vai izsniegšanas kārtību. Pārvaldei nepieciešamās tehniskās ziņas par konkrētajā pieprasījumā nepieciešamajiem datiem tiek precizētas tikai pēc konkrēta pieprasījuma saņemšanas un attiecas uz konkrētajā gadījumā nepieciešamo informāciju, nevis uz vispārīgu apmācību par sistēmas darbību. Tādējādi noteikumu projekts neparedz Pārvaldes un datu sniedzēju kompetenču pārklāšanos, neuzliek datu sniedzējam papildu metodiskās vadības pienākumu un nerada papildu administratīvo slogu datu sniedzējam.

4.4. Papildu pieprasījumu izvērtēšana saderības principa kontekstā
Noteikumu projekta 10. punkts paredz, ka iestādes papildu informācijas pieprasījums viena pieprasījuma ietvaros tiek vērtēts saderības principa kontekstā. Ja papildu apstrāde ir saderīga ar sākotnēji izvērtēto informācijas apstrādes mērķi un atbilst iepriekš veiktajam tiesiskā pamata izvērtējumam, atkārtota izvērtēšana nav nepieciešama. Ja papildu pieprasījums maina apstrādes mērķi vai citādi pārsniedz sākotnējā tiesiskā pamata izvērtējuma tvērumu, Pārvalde veic atkārtotu pieprasījuma izvērtēšanu Noteikumu 5. punktā noteiktajā kārtībā.
Saderības izvērtējums ir tiesiska procedūra, kuras ietvaros Pārvalde pārbauda papildu pieprasījuma satura sakritību ar sākotnējo apstrādes mērķi. Šāda diferencēta pieeja nodrošina samērīgu administratīvo slogu un vienlaikus garantē, ka katra apstrādes paplašināšana ārpus sākotnējā mērķa tiek pakļauta atkārtotai juridiskai pārbaudei.

5. Informācijas saņemšana no datu sniedzējiem

Datu sniedzējs informāciju nodod Pārvaldei, izmantojot tā informācijas sistēmā jau esošos datu apstrādes un nodošanas risinājumus. Datu sniedzējam nav pienākuma izveidot jaunus tehniskus risinājumus, ja datu sniedzēja informācijas sistēmas tehniskās iespējas tādu izveidi nepieļauj vai tas radītu nesamērīgu administratīvo un finansiālo slogu. Šādos gadījumos Pārvalde un datu sniedzējs vienojas par iespējām izmantot alternatīvu informācijas nodošanas veidu sadarbības ietvaros saskaņā ar VPIL VII. nodaļu, ja tehniski to ir iespējams izdarīt un ir īstenojams piešķirtā budžeta ietvaros.
Datu saņemšanai no datu sniedzēja tiks izmantota Datu izplatīšanas un pārvaldības platforma, iepriekš izvērtējot tās izmantošanas lietderīgumu.

6. Piekļuves piešķiršana drošajai informācijas apstrādes videi

Pārvalde, piešķirot piekļuvi drošajai informācijas apstrādes videi, nosaka darbības organizatoriskos un drošības aspektus, tostarp piekļuves tiesību piešķiršanas kārtību, lietotāju atbildību, informācijas izmantošanas nosacījumus un rezultātu izneses kontroli drošajā informācijas apstrādes vidē.
Strīdi par Pārvaldes pieņemto lēmumu par piekļuves atteikumu drošajai informācijas apstrādes videi tiek risināti VPIL noteiktajā kārtībā, kā arī piemērojot VPIL VII. nodaļā noteikto par iestāžu savstarpējo sadarbību.

7. Iestādes pienākumi, apstrādājot informāciju drošajā informācijas apstrādes vidē

Iestādei, apstrādājot informāciju drošajā informācijas apstrādes vidē, jāievēro:
(1) Noteikumos paredzētie apstrādes nosacījumi;
(2) spēkā esošajos normatīvajos aktos noteiktās informācijas un personas datu apstrādes drošības prasības, tostarp VDAR, Nacionālo kiberdrošības likumu un Ministru kabineta 2025. gada 25. jūnija noteikumu Nr. 397 „Minimālās kiberdrošības prasības" prasības;
(3) Pārvaldes noteiktās tehniskās lietošanas un drošības prasības, kas nepieciešamas, lai Pārvalde varētu izpildīt savus pienākumus saskaņā ar šiem noteikumiem, tostarp:
— nodrošināt informācijas apstrādes rezultātu izneses kontroli (piemēram, izneses pieprasījumu noformēšanas kārtība, anonimizēšanas pārbaudes nosacījumi);
— uzraudzīt iestādes piekļuves tiesību izmantošanu un piekļuves žurnālu uzturēšanu;
— novērst tehniskus vai organizatoriskus pārkāpumus;
— nodrošināt drošās informācijas apstrādes vides integritāti un visu lietotāju datu konfidencialitāti.

8. Maksas pakalpojumu apmērs

Informācijas sagatavošana un konsultācijas par informācijas apstrādes iespējām drošajā informācijas apstrādes vidē iestādēm tiek nodrošinātas bez maksas. Noteikumu 12. punktā noteiktā maksa attiecas tikai uz drošās informācijas apstrādes vides tehnisko resursu (serveru jaudas, datu apstrādes resursu, tīkla resursu) izmantošanu. Līdzīgi kā jau šobrīd drošās informācijas apstrādes vidi var izmantot Statistikas likumā noteiktajā kārtībā un maksa ir noteikta Pārvaldes maksas pakalpojumu cenrādī (Ministru kabineta 2022. gada 10. maija noteikumi Nr. 274 „Centrālās statistikas pārvaldes maksas pakalpojumu cenrādis", https://likumi.lv/ta/id/332257).
Ņemot vērā, ka Pārvaldei ir paredzēta datu centra migrācija pie atsevišķa tehnisko resursu uzturētāja, noteikumu projektā paredzētā maksa ir noteikta atbilstoši tehnisko resursu nodrošinātāja noteiktajām izmaksām.
Tādējādi pieprasījuma iesniedzējam, plānojot drošās informācijas apstrādes vides izmantošanu, jāizvērtē pieprasāmās informācijas apjoma un apstrādes ilguma faktiskā nepieciešamība, vienlaikus ievērojot personas datu apstrādes minimizācijas principu un samērojot pieprasījuma apjomu ar tehnisko resursu izmantošanas izmaksām, lai nodrošinātu valsts budžeta līdzekļu lietderīgu izlietojumu Publiskas personas finanšu līdzekļu un mantas izšķērdēšanas novēršanas likuma izpratnē.