Projekta ID
21-TA-1295Atzinuma sniedzējs
Datu valsts inspekcija
Atzinums iesniegts
23.12.2021.
Saskaņošanas rezultāts
Nesaskaņots
Iebildumi / Priekšlikumi
Nr.p.k.
Projekta redakcija
Iebildums / Priekšlikums
1.
Likumprojekts (grozījumi)
Iebildums
Eiropas Parlamenta un Padomes Regulas (ES) 2016/679 (2016. gada 27. aprīlis) par fizisku personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti un ar ko atceļ Direktīvu 95/46/EK (Vispārīgā datu aizsardzības regula, turpmāk – Datu regula) 5.panta 1.punkta “a” apakšpunkts paredz, ka personas dati tiek apstrādāti likumīgi, godprātīgi un datu subjektam pārredzamā veidā. Atbilstoši Datu regulas 39.apsvērumam [..] fiziskām personām vajadzētu būt pārredzamam tam, ka viņu personas datus vāc, izmanto, aplūko vai citādi apstrādā, un tam, kādā apjomā personas dati tiek vai tiks apstrādāti. Pārredzamības principa pamatā ir prasība, ka visa informācija un saziņa, kas saistīta ar minēto personas datu apstrādi, ir viegli pieejama, saprotama un ka ir jāizmanto skaidra un vienkārša valoda. Minētais princips jo īpaši attiecas uz informāciju datu subjektiem par pārziņa identitāti un apstrādes nolūkiem [..].
Ievērojot, ka personas datu apstrādes pamats noteikts ar tiesību aktu[1], bet tiesību akta projekts "grozījumi likumā "Par Valsts ieņēmumu dienestu"" (turpmāk - likumprojekts) paskaidro nolūkus, kādu īstenošanai Valsts ieņēmumu dienests (turpmāk - nodokļu administrācija) veic personas datu apstrādi, uz to attiecināma prasība par skaidru un vienkāršu valodu. Datu valsts inspekcijas (turpmāk – inspekcija) ieskatā, nodokļu administrācijas piedāvātā likumprojekta redakcija neatbilst pārredzamības principam.
Ievērojot minēto, lūdzam strukturēt likumprojektā paredzētā likuma “Par Valsts ieņēmumu dienestu” (turpmāk – likums) 4.3 panta pirmo daļu tādā veidā, lai no tās nepārprotami izrietētu personas datu apstrādes nolūks un uzdevums, kura īstenošanai personas dati tiek apstrādāti katrā no valsts informācijas sistēmām.
Tāpat atbilstoši Datu regulas 6.panta 3.punktam personas datu apstrādes juridiskajā pamatā jānosaka apstrādāto datu veidus, datu subjektus, kurus skar attiecīgā personas datu apstrāde, vienības, kurām personas dati var tikt izpausti un mērķi, kādiem tie var tikt izpausti. Ievērojot minēto, lūdzam papildināt likumprojekta sākotnējās ietekmes novērtējuma ziņojumu, norādot juridisko pamatu (likumu), kurā ietverta attiecīgā informācija.
Saistībā ar likumprojekta 1.pantā ietvertajā likuma 4.3 panta trešo daļu inspekcija atzīmē, ka 2015.gada 28.jūlija Ministru kabineta noteikumos Nr.442 "Kārtība, kādā tiek nodrošināta informācijas un komunikācijas tehnoloģiju sistēmu atbilstība minimālajām drošības prasībām" jau regulēts jautājums par auditācijas pierakstiem, tomēr minētie noteikumi nenosaka vienotu auditācijas pierakstu glabāšanas termiņu visām valsts informācijas sistēmām, tāpēc, ievērojot Fizisko personu datu apstrādes likuma 37.panta otrās daļas noteikumus, katrai valsts informācijas sistēmai auditācijas pierakstu glabāšanas termiņš jāparedz attiecīgajos sistēmas noteikumos.
Attiecībā uz personas datu apstrādi statistikas nolūkos inspekcija cita starpā norāda, ka saskaņā ar Datu regulas 5.panta 1.punkta “b” apakšpunktu personas dati tiek vākti konkrētos, skaidros un leģitīmos nolūkos, un to turpmāku apstrādi neveic ar minētajiem nolūkiem nesavietojamā veidā; turpmāka apstrāde arhivēšanas nolūkos sabiedrības interesēs, zinātniskās vai vēstures pētniecības nolūkos, vai statistikas nolūkos saskaņā ar 89.panta 1.punktu nav uzskatāma par nesavietojamu ar sākotnējiem nolūkiem (“nolūka ierobežojumi”). Atbilstoši Datu regulas 162.apsvērumam [..] statistikas nolūks nozīmē, ka statistikas nolūkos veiktas apstrādes rezultāts nav personas dati, bet gan apkopoti dati un ka šo rezultātu vai personas datus neizmanto, lai pamatotu pasākumus vai lēmumus, kuri attiecas uz kādu konkrētu personu. Ja nodokļu administrācija uzkrāj statistikas datus par muitas darījumiem (likumprojekta 1.pantā ietvertā likuma 4.3 panta pirmās daļas 2.punkts), nevis personas datus statistikas nolūkiem, un šie dati neļauj identificēt datu subjektus, no Datu regulas viedokļa minēto apstrādi nav nepieciešams reglamentēt tiesību aktā, tai skaitā Ministru kabineta noteikumos. Savukārt, ja nodokļu administrācija uzkrāj personas datus statistikas nolūkiem, uz datu apstrādi attiecināmi Datu regulas noteikumi, jo īpaši Datu regulas 5.panta 1.punkta “c” apakšpunktā noteiktais datu minimizēšanas princips.
[1] atbilstoši Datu regulas 6.panta 3.punktam
Ievērojot, ka personas datu apstrādes pamats noteikts ar tiesību aktu[1], bet tiesību akta projekts "grozījumi likumā "Par Valsts ieņēmumu dienestu"" (turpmāk - likumprojekts) paskaidro nolūkus, kādu īstenošanai Valsts ieņēmumu dienests (turpmāk - nodokļu administrācija) veic personas datu apstrādi, uz to attiecināma prasība par skaidru un vienkāršu valodu. Datu valsts inspekcijas (turpmāk – inspekcija) ieskatā, nodokļu administrācijas piedāvātā likumprojekta redakcija neatbilst pārredzamības principam.
Ievērojot minēto, lūdzam strukturēt likumprojektā paredzētā likuma “Par Valsts ieņēmumu dienestu” (turpmāk – likums) 4.3 panta pirmo daļu tādā veidā, lai no tās nepārprotami izrietētu personas datu apstrādes nolūks un uzdevums, kura īstenošanai personas dati tiek apstrādāti katrā no valsts informācijas sistēmām.
Tāpat atbilstoši Datu regulas 6.panta 3.punktam personas datu apstrādes juridiskajā pamatā jānosaka apstrādāto datu veidus, datu subjektus, kurus skar attiecīgā personas datu apstrāde, vienības, kurām personas dati var tikt izpausti un mērķi, kādiem tie var tikt izpausti. Ievērojot minēto, lūdzam papildināt likumprojekta sākotnējās ietekmes novērtējuma ziņojumu, norādot juridisko pamatu (likumu), kurā ietverta attiecīgā informācija.
Saistībā ar likumprojekta 1.pantā ietvertajā likuma 4.3 panta trešo daļu inspekcija atzīmē, ka 2015.gada 28.jūlija Ministru kabineta noteikumos Nr.442 "Kārtība, kādā tiek nodrošināta informācijas un komunikācijas tehnoloģiju sistēmu atbilstība minimālajām drošības prasībām" jau regulēts jautājums par auditācijas pierakstiem, tomēr minētie noteikumi nenosaka vienotu auditācijas pierakstu glabāšanas termiņu visām valsts informācijas sistēmām, tāpēc, ievērojot Fizisko personu datu apstrādes likuma 37.panta otrās daļas noteikumus, katrai valsts informācijas sistēmai auditācijas pierakstu glabāšanas termiņš jāparedz attiecīgajos sistēmas noteikumos.
Attiecībā uz personas datu apstrādi statistikas nolūkos inspekcija cita starpā norāda, ka saskaņā ar Datu regulas 5.panta 1.punkta “b” apakšpunktu personas dati tiek vākti konkrētos, skaidros un leģitīmos nolūkos, un to turpmāku apstrādi neveic ar minētajiem nolūkiem nesavietojamā veidā; turpmāka apstrāde arhivēšanas nolūkos sabiedrības interesēs, zinātniskās vai vēstures pētniecības nolūkos, vai statistikas nolūkos saskaņā ar 89.panta 1.punktu nav uzskatāma par nesavietojamu ar sākotnējiem nolūkiem (“nolūka ierobežojumi”). Atbilstoši Datu regulas 162.apsvērumam [..] statistikas nolūks nozīmē, ka statistikas nolūkos veiktas apstrādes rezultāts nav personas dati, bet gan apkopoti dati un ka šo rezultātu vai personas datus neizmanto, lai pamatotu pasākumus vai lēmumus, kuri attiecas uz kādu konkrētu personu. Ja nodokļu administrācija uzkrāj statistikas datus par muitas darījumiem (likumprojekta 1.pantā ietvertā likuma 4.3 panta pirmās daļas 2.punkts), nevis personas datus statistikas nolūkiem, un šie dati neļauj identificēt datu subjektus, no Datu regulas viedokļa minēto apstrādi nav nepieciešams reglamentēt tiesību aktā, tai skaitā Ministru kabineta noteikumos. Savukārt, ja nodokļu administrācija uzkrāj personas datus statistikas nolūkiem, uz datu apstrādi attiecināmi Datu regulas noteikumi, jo īpaši Datu regulas 5.panta 1.punkta “c” apakšpunktā noteiktais datu minimizēšanas princips.
[1] atbilstoši Datu regulas 6.panta 3.punktam
Piedāvātā redakcija
-