Atzinums

Noteikumu projekta 23.punktā ir definēti platformā iekļaujamie personas dati. Vērtējot šo punktu sasaistē ar16.2. apakšpunktu, nav saprotams, vai tiek nodrošināta integrācija ar informācijas sistēmām vai dati tiek uzglabāti platformā. Ja dati tiek uzglabāti platformā, nav saprotams ne šo datu apjoms, ne nodošanas nosacījumi datu saņēmējiem. Tāpat, ievērojot Datu regulas 5. panta pirmā punktā “a” apakšpunktā noteikto personas datu apstrādes principu, kurš nosaka, ka personas dati tiek apstrādāti likumīgi, godprātīgi un datu subjektam pārredzamā veidā, ja dati tiek uzkrāti platformā, nav pieļaujams termina "vismaz" lietojums tiesību normā.
Ievērojot minēto, lūdzam papildināt noteikumu projekta anotācija, saprotamā veidā skaidrojot, vai platformā paredzēta patstāvīga personas datu apstrāde, kas nav atkarīga no datu pieprasītāja rīcības. Tāpat, ja platformā paredzēts uzkrāt datus, lūdzam precizēt 23.punktu, svītrojot no tā vārdu "vismaz".

 

-

Saskaņā ar noteikumu projekta 24.punktu platformas izmantotājs par datu apjomu vienojas ar datu devēju. Lai neradītu pārpratumus attiecībā uz datu apstrādi, lūdzam papildināt noteikumu projekta anotācijas 8.13.punktu, norādot, ka noteikumu projekts neparedz jaunu tiesisko pamatu personas datu apstrādei, un izmantotājs personas datus varēs saņemt un izmantot tikai gadījumā, ja tas izriet no konkrētajai personas datu apstrādei piemērojamajiem ārējiem normatīvajiem aktiem. 

-

Anotācijā ir skaidrots, ka "Institūcija, kas ir pieņēmusi lēmumu veikt mērķa finansējuma izlietojuma pārvaldību, izmantojot MAP platformu, par datu aprites apjomu vienosies VARAM pārziņā esošajā Valsts informācijas resursu, sistēmu un sadarbspējas informācijas sistēmā (turpmāk – VIRSIS), izmantojot VIRSIS pieejamo funkcionalitāti. Minētā funkcionalitātes ietvarā paredzēta standartizēta vienošanās starp datu devēju un datu saņēmēju. Ņemot vērā, ka minētā VIRSIS funkcionalitāte vēl tiek izstrādāta, kā arī tiek izstrādāti grozījumi Ministru kabineta 2019. gada 5.novembra noteikumos Nr. 523 “Valsts informācijas resursu, sistēmu un sadarbspējas informācijas sistēmas noteikumi”, minētā norma stāsies spēkā 2023. gada 31.decembrī. Līdz tam vienošanās kārtību noteiks slēdzot savstarpēju vienošanos ar datu dēvēju." Inspekcija norāda, ka apstrādāto personas datu apjoms ir būtisks aspekts samērīguma vērtēšanā, likumā būtu nosakāmas vismaz apstrādājamo datu kategorijas, vienlaikus būtu pieļaujams, ka likumdevējs deleģē Ministru kabinetam tiesības noteikt konkrētus apstrādājamos personas datus. No noteikuma projektā netiek minēts kādi personas dati tiks apstrādāti, līdz ar to nav saprotams, kā varēs izvērtēt samērīgumu, lai noteiktu vai pamattiesību robežas netiek pārkāptas. Nav pieļaujams noteikt apstrādājamo personas datu apjomu ar savstarpējām vienošanām, kuras nav pieejamas datu subjektiem.
Lūgums papildināt Noteikumu projektu un attiecīgi Anotāciju.

-

Anotācijā ir skaidrots, ka personas dati, kuri tiek apstrādāti ar mērķi nodrošināt identifikāciju un autorizāciju MAP platformā, tiek uzglabāti līdz brīdim, kad par izmaiņām attiecīgo personas datu izmantošanā nav saņemts rakstisks paziņojums. Inspekcija sākotnēji norāda, ka personas datu glabāšanas termiņam ir jābūt notektam pašā Noteikumu projektā. Vienlaikus Ministru kabineta noteikumu projekta anotācijā ir jāietver argumentācija par to, ka noteiktais personas datu apstrādes (glabāšanas) termiņš ir minimāli nepieciešamais, lai sasniegtu likumdevēja noteikto personas datu apstrādes nolūku. Atbilstoši Datu regulas 5.panta 1.punkta “e” apakšpunktā ietvertais glabāšanas ierobežojuma princips nosaka, ka personas dati tiek glabāti veidā, kas pieļauj datu subjekta identifikāciju, ne ilgāk kā nepieciešams nolūkiem, kādos attiecīgos personas datus apstrādā, proti, termiņam ir jābūt konkrēti noteiktam un personas datus nedrīkst glabāt ilgāk, kā tas ir nepieciešams. Šajā gadījumā MAP platformas pārzinis personas datus apstrādās ar mērķi nodrošināt identifikāciju un autorizāciju, tad ņemto vērā,ka šobrīd noteikuma projekts vispār nenosaka glabāšanas termiņu, Inspekcija norāda, kā labu piemēru, uz Ministru kabineta noteikumiem Nr. 217 "E-lietas platformas datu apstrādes noteikumi" 7.punktu, kurš nosaka, ka platformas auditācijas pierakstus glabā auditācijas rīkā 24 mēnešus no ieraksta izdarīšanas brīža.
Ņemot vērā minēto lūgums papildināt Noteikumu projektu ar attiecīgu tiesību normu un atbilstoši papildināt Anotāciju.

-

Noteikumu projekta 7. punkts nosaka, ka MAP platformas pārzinis ir personas datu pārzinis attiecībā uz tiem personas datiem, kas nepieciešami, lai nodrošinātu piekļuvi MAP platformas darbības organizēšanai. Par tiem personas datiem, kas nepieciešami, lai nodrošinātu piekļuvi MAP Instances darbības organizēšanai atbild MAP instances pārzinis. Savukārt datu devējs ir atbildīgs par tiem personas datiem, kas saņemti no citām informācijas sistēmām.
Lai nodrošinātu tiesisko skaidrību par katras iesaistītās personas lomu datu apstrādes procesā saskaņā ar Datu regulas 4.panta 7.punktu, lūdzam papildināt anotāciju, skaidri norādot, attiecībā uz kādu darbību, kura persona būs uzskatāma par personas datu pārzini.
Šobrīd piemēram, nav saprotams, kāpēc par pārzini tiek uzskatīts datu devējs, nevis saņēmējs, ņemot vērā to, ka personas dati tiek nodoti saņēmēja iepriekš definētam nolūkam. Tāpat anotācijā ir minēts, ka MAP platformas izstrādes mērķis ir nodrošināt valsts pārvaldes iestādēm atbalstu procesos, kuros tiek īstenota mērķa finansējuma izlietojuma pārvaldība, līdz ar to nav skaidri saprotams vai šo pārvaldību organizē katrs MAP instances pārzinis atsevišķi, vai tomēr no MAP platformas pārziņa puses arī tiek veiktas kādas uzraudzības darbības vai tikai tiek nodrošināta tehniskas iespējas institūcijām.
 

-