Anotācija (ex-ante)

Nepieciešams noteikt juridiski pienākumu augstākā līmeņa domēnu reģistru uzturētājiem un domēnu vārdu reģistrācijas pakalpojumu sniedzējiem, lai iegūtu pilnīgu un precīzu reģistrācijas datu kopumu, nodrošinot savākto datu integritāti un pieejamību. 

Lai sasniegtu mērķi, NIS2 direktīva paredz, ka augstākā līmeņa domēnu reģistru uzturētājiem un domēnu vārdu reģistrācijas pakalpojumu sniedzējiem:

- ir jābūt juridiskam pienākumam domēnu nosaukumu reģistrācijas datubāzē ietvert informāciju par:
a) domēna vārdu;
b) domēna vārda reģistrācijas datumu;
c) domēna vārda lietotāja vārdu un uzvārdu, e-pasta adresi un tālruņa numuru;
d) domēna vārda lietotāju kontaktpersonu e-pasta adresi un tālruņa numuru, ja tie atšķiras no domēna vārda lietotāja e-pasta adreses un tālruņa numura,
lai nodrošinātu domēna vārdu lietotāju un tā kontaktpersonu identificēšanu un saziņu ar tiem. Reģistrā uzkrātās informācijas kopums ir ierobežotas pieejamības informācija, kas sastāv no noteiktā veidā publiski pieejamiem datiem un nepubliskiem datiem. Prasības iekļautas grozījumu 6. prim 1. un 6. prim 2. punktā, vienlaikus nosakot, ka norādītie dati ir minimālais datu kopums, tādējādi neierobežojot cita veida datu vākšanu, kas nepieciešami personu identificēšanai un verificēšanai, piemēram, personas kods, reģistrācijas numurs, pasta adrese u.c. Tā kā domēna vārdu nozarē juridisko personu e-pasta adreses un tālruņa numuri, kas būtu nodalīti no administratīvo kontaktpersonu e-pasta adresēm un tālruņa numuriem, domēna vārdu reģistrācijas pieteikumos šobrīd nav iekļauti kā atsevišķi datu lauki, šādi dati nav pieejami.

-  jāizstrādā, jāievieš un jāpublisko rīcībpolitikas un procedūras precīzu un pilnīgu domēnu vārdu reģistrācijas datu vākšanai un uzturēšanai, kā arī neprecīzu reģistrācijas datu novēršanai un izlabošanai saskaņā ar datu aizsardzības tiesību aktiem, pēc iespējas ņemot vērā standartus, ko starptautiskā līmenī izstrādājušas daudzpusējās ieinteresēto personu pārvaldības struktūras. Prasības iekļautas grozījumu Prasības iekļautas grozījumu 9 prim 5. un 9  prim 8. punktā.

- iepriekš norādītajās rīcībpolitikās un procedūrās jānosaka samērīgas domēnu vārdu reģistrācijas datu verifikācijas procedūras (izmantojot uz risku izvērtēšanu balstītu pieeju, lai atlasītu tos domēna vārdu lietotājus, kuru datus jāverificē), kas var tikt veiktas domēna vārda reģistrācijas laikā vai pēc tā reģistrācijas, verificējot vismaz vienu no domēna vārda lietotāja saziņas līdzekļiem.  Verifikācijas procedūra var būt balstīta uz domēna vārdu nozarei raksturīgo praksi un pēc iespējas elektroniskās identifikācijas jomā panākto progresu, kas iekļauj e-pasta adrešu un telefona numuru pārbaudi, izmantojot sintaktisko metodi, lai pārbaudītu atbilstību RFC 5322 un ITU-T E 164 standartiem, un darbības pārbaudi.  Identitātes verifikācijas metodēm jāaptver gan fizisko, gan juridisko personu pārbaude, izmantojot trešo pušu, pašu vai jauktas verifikācijas metodes. Elektroniskai identifikācijai ir jādod priekšroka gadījumos, kad tā ir pieejama attiecīgajā valstī un attiecīgo domēna vārdu lietotāju kategorijai. Prasības iekļautas grozījumu 9 prim 5. un 9  prim 8. punktā.
 

Regulējums paredz, ka augstākā līmeņa domēnu reģistru uzturētājiem un domēnu vārdu reģistrācijas pakalpojumu sniedzējiem ir būtiski nodrošināt noteiktiem datu pieprasītājiem savlaicīgu piekļuvi domēna vārdu reģistrācijas datiem, lai novērstu un apkarotu DNS ļaunprātīgu izmantošanu (angļu valodā nozarē tiek lietots termins DNS Abuse), novērstu, atklātu kiberincidentus un reaģētu uz tiem, paredzot:
- pienākumu darīt publiski pieejamu daļu no domēnu vārdu reģistrācijas datiem (šāds pienākums jau noteikts augstākā līmeņa domēna ".lv" reģistra uzturētājam Ministru kabineta noteikumos Nr. 553),
- kārtību, kādā iespējams pieprasīt nepubliskos domēna vārdu reģistrācijas datus,
- jaunu prasību atbildēt uz piekļuves pieprasījumiem 72 stundu laikā.

NIS2 direktīva ar leģitīmiem piekļuves pieprasītājiem fiziskas vai juridiskas personas, kas iesniedz pieprasījumu, ievērojot Eiropas Savienības vai valsts tiesību aktus. To vidū var būt kompetentās iestādes, kas novērš, izmeklē, atklāj noziedzīgus nodarījumus vai veic kriminālvajāšanu, kā arī kiberincidentu novēršanas institūcijas. NIS Sadarbības grupa NIS2 direktīvas 28. panta ieviešanas ieteikumos, norāda, ka valstis var norādīt arī citas valsts iestādes, kam ir tiesības pieprasīt informāciju. Šobrīd pamatojoties uz normatīvajos aktos noteiktajām tiesībām no augstākā līmeņa domēna .lv reģistra  informāciju pieprasa tādas Latvijas valsts pārvaldes iestādes kā tiesa, Datu valsts inspekcija, Valsts ieņēmumu dienests, Patērētāju tiesību aizsardzības centrs, Veselības inspekcija, Izložu un azartspēļu inspekcija, valsts drošības iestādes. NIS Sadarbības grupa ieteikumos norāda, ka datu izsniegšana iespējams noteikt tādos pamatotos gadījumos, kas saistīti ar cita veida domēna vārdu sistēmas (DNS) pārkāpumiem privāto tiesību jomā, piemēram, intelektuālā īpašuma tiesībām.

Atbilstoši Ministru kabineta noteikumu Nr. 553 7.4.apakšpunktam reģistra uzturētājs, uzturot reģistru, nodrošina, lai tiktu ievērotas datu aizsardzības prasības, kādas Elektronisko sakaru likumā noteiktas elektronisko sakaru komersantam. Attiecīgi uz augstākā līmeņa domēnu reģistru uzturētājiem attiecas Elektronisko sakaru likuma XV nodaļā "Datu aizsardzība elektronisko sakaru nozarē" 94.pantā noteiktais pienākums bez galalietotāja piekrišanas neizpaust ziņas par galalietotāju, izņemot gadījumus, kad šī informācija ir nepieciešama šajā likumā noteiktajām institūcijām un iestādēm normatīvajos aktos noteikto funkciju veikšanai un likumā noteiktajiem mērķiem.

Augstākā līmeņa domēna ".lv" reģistra uzturētājs, regulāri saņem pieprasījumus sniegt informāciju par “.lv” reģistrēto domēna vārdu lietotājiem fiziskām personām ne tikai no kompetentajām valsts pārvaldes iestādēm, bet arī fiziskām un juridiskām personām, kas atsaucas uz leģitīmo interesi (Vispārējās datu aizsardzības regulas (ES) 2016/679 6.panta pirmās daļas f) punkts) kā datu izsniegšanas pamatu. Tā kā augstākā līmeņa domēna ".lv" reģistra uzturētājs, Latvijas Universitātes Matemātikas un informātikas institūts, ir valsts pārvaldes iestāde atbilstoši Datu valsts inspekcijas 2019.gada rakstveida konsultācijai, Latvijas Universitātes Matemātikas un informātikas institūtam būtu personas datu apstrādi jāpamato uz Vispārējās datu aizsardzības regulas (ES) 2016/679 prasības 6.panta pirmās daļas e) punktu: “apstrāde ir vajadzīga, lai izpildītu uzdevumu, ko veic sabiedrības interesēs vai īstenojot pārzinim likumīgi piešķirtās oficiālās pilnvaras.”, nevis 6.panta pirmās daļas f) punktu.

Šobrīd Ministru kabineta noteikumos Nr. 553 augstākā līmeņa domēna ".lv" reģistra uzturētājam nav noteikts atbilstošs personas datu izsniegšanas pamats.
 

Lai sasniegtu mērķi, NIS2 direktīva paredz, ka augstākā līmeņa domēnu reģistru uzturētājiem un domēnu vārdu reģistrācijas pakalpojumu sniedzējiem:

- jānosaka prasība darīt publiski pieejamus domēnu vārdu reģistrācijas datus, uz kuriem neattiecas Eiropas Savienības datu aizsardzības tiesību akti, piemēram, par juridiskām personām būtu jādara publiski pieejami vismaz to nosaukums un kontakttālruņa numurs. Būtu jāpublicē arī saziņas e-pasta adrese ar noteikumu, ka tā nesatur persondatus, piemēram, e-pasta pseidonīmu vai funkcionālo kontu gadījumā. Šobrīd pienākums noteikts augstākā līmeņa domēna ".lv" reģistra uzturētājam Ministru kabineta noteikumu Nr.553 8.3.1 un 8.3.2.apakšpunktā, vienlaikus tādu pašu pienākumu nosakot domēnu vārdu reģistrācijas pakalpojumu sniedzējiem grozījumu 12. prim un 13.punktā.

- ir jānodrošina leģitīmiem piekļuves prasītājiem iespēja pieprasīt domēnu vārdu reģistrācijas nepublisko datu (tai skaitā fizisko personu datu) izsniegšanu, kas vajadzīgi prasītās piekļuves mērķiem un atbilst Eiropas Savienības un valsts tiesību aktiem. Leģitīmu piekļuves prasītāju pieprasījumam būtu jāpievieno pamatojums, pēc kā var novērtēt nepieciešamību piekļūt datiem. Prasība iekļauta grozījumu 7.5.  apakšpunktā, vienlaikus svītrojot 7.4. punktu, kas ierobežoja datu izsniegšanu tādiem leģitīmiem piekļuves pieprasītājiem, kas nav kompetentās valsts pārvaldes iestādes.

- bez nepamatotas kavēšanās un jebkurā gadījumā 72 stundu laikā pēc jebkādu piekļuves pieprasījumu saņemšanas jāatbild uz piekļuves pieprasījumiem. Prasība iekļauta grozījumu 7.5.  punktā. NIS Sadarbības grupa ieteikumos norāda, ka par jebkuriem pieprasījumiem atklāt nepubliskos domēna vārdu reģistrācijas datus 72 stundu laikā būtu jāatbild par to, vai piekļuve pieprasītajiem datiem tiks piešķirta, un informācijas saņemšanas termiņu, atteikuma gadījumā ieteicams norādīt iemeslus. Ņemot vērā, ka var rasties situācijas, kad augstākā līmeņa domēna “.lv” reģistra uzturētājs vai domēnu vārdu reģistrācijas pakalpojumu sniedzēji objektīvi pamatotu iemeslu dēļ nevar sniegt atbildi 72 stundu laikā (pamatota kavēšanās), papildus nosakot, ka, ja termiņš izbeidzas nedēļas atpūtas dienā (sestdienā, svētdienā) vai svētku dienā, par termiņa pēdējo dienu atzīstamas nākamās darbdienas beigas.

- ir jāizstrādā un jāpublisko rīcībpolitikas un procedūras reģistrācijas datu publicēšanai un izpaušanai, pēc iespējas ņemot vērā norādījumus un standartus, ko starptautiskā līmenī izstrādājušas daudzpusējās ieinteresēto personu pārvaldības struktūras (piemēram, Interneta vārdu un numuru piešķires korporācija). Piekļuve domēna vārdu reģistrācijas datiem jānodrošina bez maksas. Piekļuves procedūra var ietvert saskarnes, portāla vai citu tehnisku rīku izmantošanu nolūkā nodrošināt efektīvu sistēmu reģistrācijas datu pieprasīšanai un piekļūšanai tiem. Šajā jomā, lai veicinātu saskaņotu praksi visā iekšējā tirgū, Eiropas Komisijai ir tiesības sniegt pamatnostādnes. Prasības iekļautas grozījumu 9. prim 5. un 9. prim 8.apakšpunktā.
 

Lai iegūtu pilnīgu un precīzu reģistrācijas datu kopumu, augstākā līmeņa domēnu reģistru uzturētājiem un domēnu vārdu reģistrācijas pakalpojumu sniedzējiem nevajadzētu vienus un tos pašus datus vākt divreiz/divkārši/vairākas reizes.

NIS2 direktīva nosaka regulējumu augstākā līmeņa domēnu reģistra uzturētājiem un un domēnu vārdu reģistrācijas pakalpojumu sniedzējiem, savukārt  Ministru kabineta noteikumi Nr. 553 nosaka prasības tikai augstākā līmeņa domēna ".lv" reģistra uzturētājam un pastarpināti reģistratūrām, kas ir viens no domēnu vārdu reģistrācijas pakalpojumu sniedzēju veidiem NIS2 direktīvas izpratnē. Gadījumā, ja Latvijas jurisdikcijā nākotnē būtu vēl kāds augstākā līmeņa domēna reģistra uzturētājs, būs jāplāno plašāki grozījumi Elektronisko sakaru likumā un šajos noteikumos.

Lai sasniegtu mērķi, NIS2 direktīva paredz, ka augstākā līmeņa domēnu reģistru uzturētājiem un domēnu vārdu reģistrācijas pakalpojumu sniedzējiem ir savstarpēji jāsadarbojas, lai divreiz nevāktu datus.

Ar grozījumu 4.1 punktu tiek ieviests jauns tiesību subjektu veids - domēnu vārdu reģistrācijas pakalpojumu sniedzējs, tajā pašā laikā paredzot, ka primāri augstākā līmeņa domēna ".lv" reģistra uzturētājs sadarbojas ar reģistratūrām, savukārt ar citiem domēna vārdu reģistrācijas pakalpojumu sniedzējiem sadarbība notiek ar reģistratūru starpniecību. Līdztekus tiek precizēts 4.punkts, nosakot, ka reģistratūras ir juridiskas personas.

Esošā Ministru kabineta noteikumu Nr.553 struktūra primāri nosaka prasības augstākā līmeņa domēna ".lv" reģistra uzturētājam, tādēļ, lai saglabātu noteikumu struktūru, bet vienlaikus iekļautu pienākumus, kas caur sadarbības līgumu ietvaru attiecas uz domēnu vārdu reģistrācijas pakalpojumu sniedzējiem, grozījumos iekļauti jauni punkti 9. prim un 12. prim un grozīts 13.punkts.