Atzinums

Datu valsts inspekcija uztur iepriekš izteikto iebildumu par Noteikumu projekta 43. punktu. Noteikumu projekts paredz, ka ziņojošais kriptoaktīvu pakalpojumu sniedzējs nosaka konkrēto glabāšanas termiņu 5, bet ne vairāk kā 10 gadus, balstoties uz “objektīviem kritērijiem”. Šāds risinājums neatbilst Datu regulas 5. panta 1. unkta e) apakšpunktam un 6. pnta 1. punkta c) un e) apakšpunktiem, jo glabāšanas termiņš kā būtisks datu apstrādes elements ir jānosaka normatīvajā aktā, nevis jādeleģē privātam pakalpojumu sniedzējam. Anotācijas papildinājums (kurā minēts, ka termiņa pagarinājums balstāms uz VID vai citas iestādes pieprasījumu) šo problēmu nenovērš, jo faktisko glabāšanas termiņu noteiks valsts iestāžu darbības, bet formālā atbildība par glabāšanas ierobežojuma principu joprojām tiktu uzlikta komersantam. Tas neatbilst tiesiskās noteiktības principam un nenodrošina skaidru pārziņu atbildības sadalījumu.
Līdz ar to Inspekcija lūdz precizēt 43. punkta redakciju, paredzot konkrētu maksimālo glabāšanas termiņu, kas atbilst datu apstrādes nolūkam, piemēram, reģistrs ir pieejams piecus gadus, bet uz valsts pārvaldes iestādes pamatota pieprasījuma pamata glabājams līdz desmit gadiem pēc attiecīgā pārskata perioda beigām.

-

Datu valsts inspekcija ņem vērā Finanšu ministrijas pamatojumu, tomēr norāda, ka OECD CARF standarts un DAC8 21. apsvērumā minētie drošības mehānismi neaizstāj Datu regulas V nodaļā noteikto prasību par aizsardzības līmeņa pietiekamības izvērtējumu trešajās valstīs.
Tādējādi Inspekcija iesaka Finanšu ministrijai, slēdzot nolīgumus ar trešajām valstīm, pēc nepieciešamības konsultēties ar Eiropas Komisiju, jo atbildība par iespējamām neatbilstībām Datu regulas prasībām būs jāuzņemas pārzinim.

-