Atzinums

No noteikumu projekta “Integrētās riska informācijas sistēmas noteikumi” (turpmāk – noteikumu projekts) 2. punkta izriet, ka personu datu apstrāde Integrētajā riska informācijas sistēmā (turpmāk – Informācijas sistēma) tiks veikta vairākos atšķirīgos nolūkos – gan Valsts ieņēmumu dienesta muitas policijas darbību nodrošināšanai kriminālizlūkošanā, operatīvajā darbībā un kriminālprocesā, lai atklātu noziedzīgus nodarījumus ieņēmumu un muitas lietu jomā, gan muitas kontroles veikšanai un starptautisko saistību prasību izpildei. Abi minētie datu apstrādes nolūki ir ļoti vispārīgi un plaši un no tiem nav izsecināms skaidrs apstrādājamo datu apjoms, kas būtu nepieciešams nolūku sasniegšanai.

Nolūku sasniegšanai paredzētais un apstrādājamais personu datu apjoms ir noteikts noteikumu projekta 3. punktā, un, kā noprotams, 4.11. un 11.3. apakšpunktos. No minētajiem punktiem noteikumu projekta 3. punktā ir norādīts plašs apstrādājamo datu uzskaitījums, taču vienlaikus 3.18. apakšpunktā ir norādīts, ka apstrādājama ir arī “cita identificējoša informācija”.

Datu valsts inspekcija (turpmāk - Inspekcija) norāda, ka 3.18. punkts ir pretrunā uzskaitīšanas būtībai, jo faktiski rada situāciju, kurā iespējams apstrādāt jebkādus datus. Tāpat norādāms, ka nevienā no minētajiem punktiem nav norādīta informācija pēc kuras būtu noprotams, kāds datu apjoms ir apstrādājams katram no 2. punktā minētajiem nolūkiem - nav nodalīts apstrādājamo datu apjoms atkarībā no konkrēta apstrādes nolūka.

Inspekcija paskaidro, ka gadījumā, ja datu apstrāde tiek veikta vairākos atšķirīgos nolūkos, arī apstrādājamie dati šo nolūku sasniegšanai var atšķirties. Situācijā, kur abi nolūki ir definēti vispārīgi un no tiem pašiem par sevi nav izsecināms apstrādājamo datu apjoms katram nolūkam, pastāv riski patvaļīgai un pārmērīgai personu datu apstrādei. Turklāt noteikumu projekta 3. punktā veiktais datu uzskaitījums būtībā nemaz neuzskaita konkrētus datus, bet principā paredz, ka apstrādāt var jebko.

No minētā izriet, ka no noteikumu projekta 2. un 3. punkta kopsakarā nav saprotams paredzētās personu datu apstrādes apjoms, kas potenciāli var radīt Policijas direktīvas 4. panta 1. punkta a) apakšpunktā nostiprinātā godprātības principa pārkāpumu. Tāpat arī minētais trūkums rada riskus patvaļīgai un pārmērīgai personu datu apstrādei, kas radītu Policijas direktīvas 4. panta 1. punkta b) apakšpunktā nostiprinātā nolūka ierobežojuma principa pārkāpumu, kā arī c) apakšpunktā nostiprinātā datu minimizēšanas principa pārkāpumus.

Ņemot vērā minēto, Inspekcija aicina noteikumu projekta 3. punktu labot, izsmeļoši, skaidri un konkrēti norādot apstrādājamos datus katram atsevišķam datu apstrādes nolūkam. Ja tas nav iespējams, īss skaidrojums par to norādāms noteikumu projekta anotācijā un 3.18. punkts būtu jāpapildina ar precizējošu norādi par nolūku, kādā “cita identificējoša informācija” ir apstrādājama, kā arī papildinot punktu ar konkretizējošu norādi, ka šī “cita informācija” ir apstrādājama tikai ja to paredz citi ārējie normatīvie akti, tajos noteiktajā apjomā.

-

Noteikumu projekta 23. punkts paredz Informācijas sistēmā apstrādātās informācijas (tostarp, kā noprotams, arī personu datu) nodošanu kompetentajām iestādēm noziedzīgu nodarījumu atklāšanai un novēršanai vai tiešo funkciju izpildei.

Noteikumu projekta 23. punktā nav norādīts, kādus personu datus paredzēts nodot citām institūcijām, turklāt datu nodošanas nolūks “noziedzīgu nodarījumu atklāšanai un novēršanai vai tiešo funkciju izpildei” ir tik vispārīgs un plašs, ka arī no tā nav iespējams izsecināt nododamos datus.

Ņemot vērā, ka noteikumu projekta 3. punktā nav norādīts izsmeļošs apstrādājamo datu uzskaitījums konkrētiem nolūkiem un ņemot vērā, ka arī 23. punktā norādītais datu nodošanas nolūks ir pārāk vispārīgs, Inspekcija norāda, ka noteikumu projekta 23. punkts būtu jāpapildina ar precizējošu norādi par nododamajiem datiem, bet ja tas nav iespējams 23. punktā būtu jānorāda precizējoša informācija par to, ka personu dati citām kompetentajām iestādēm ir nododami tikai iestāžu kompetences ietvaros un citos ārējos normatīvajos aktos, kas paredz datu saņemšanu, noteiktajā apjomā.

-

Noteikumu projekta 27. punkts nosaka, ka Informācijas sistēmā uzkrāto informāciju glabā ilglaicīgi, bet ne ilgāk kā 15 gadus, ja normatīvajos aktos nav noteikts citādāk. No minētā punkta izriet, ka arī personu dati tiek glabāti ilglaicīgi – līdz 15 gadiem.

Attiecībā uz noteikumu projekta 27. punktā norādīto personu datu glabāšanas termiņu Inspekcija norāda, sekojošo:
Pirmkārt, nav saprotams personu datu glabāšanas nolūks. Nav saprotams, vai dati tiek glabāti noteikumu projekta 2. punktā norādītajiem nolūkiem (vienam vai abiem), jeb kādiem citiem nolūkiem.
Otrkārt, ja datu glabāšana paredzēta vairākiem nolūkiem, nav saprotams, vai datu ilglaicīga glabāšana ir patiešām nepieciešama visiem nolūkiem, jo katram atsevišķam nolūkam var atšķirties tas vai vispār dati ir jāglabā un cik ilgi.
Inspekcija norāda, ka Policijas direktīvas 4. panta 1. punkta e) apakšpunktā nostiprinātais datu glabāšanas ierobežojuma princips nosaka, ka dati tiek glabāti veidā, kas pieļauj datu subjektu identifikāciju, ne ilgāk kā nepieciešams nolūkiem, kādos attiecīgos personas datus apstrādā, proti, datu glabāšana ir saistīta un atkarīga no skaidri definēta nolūka, kam datu glabāšana ir nepieciešama.
Treškārt nav saprotams, pēc kāda kritērija nosakāms termiņš datu glabāšanai, jo patreiz tas ir nekonkrēts.
Inspekcija vēlas norādīt, ka jau no noteikumu projekta anotācijā norādītās informācijas par datu glabāšanu vienam konkrētam nolūkam - VID muitas policijas veikto noziedzīgo nodarījumu izmeklēšanai un atklāšanai, izriet, ka termiņš datu glabāšanai var atšķirties  atkarībā no katra konkrētā noziedzīgā nodarījuma noilguma termiņa.

Ievērojot minēto, noteikumu projekta 27. punktā būtu jāprecizē datu glabāšanas nolūks, kā arī būtu jāietver skaida norāde, ka datu glabāšanas termiņš ir nosakāms atkarībā no konkrētā noziedzīgā nodarījuma noilguma termiņa, jeb kāds cits kritērijs, pēc kura ir skaidrs, kā noteikt konkrētu termiņu glabāšanai.
 

-