Atzinums

Lūdzam papildināt Ministru kabineta noteikumu projektu "Grozījumi Ministru kabineta 2014. gada 11. marta noteikumos Nr. 134 "Noteikumi par vienoto veselības nozares elektronisko informācijas sistēmu"" (turpmāk – projekts) kopumā, paredzot piemērotas garantijas datu subjekta pamattiesībām un interesēm. Atbilstoši Datu regulas[1] 9. panta 2. punkta “h” apakšpunktā noteiktajam veselības datu apstrāde ir pieļaujama, ja apstrāde cita starpā ir vajadzīga medicīniskas diagnozes, veselības vai sociālās aprūpes vai ārstēšanas vai veselības vai sociālās aprūpes sistēmu un pakalpojumu pārvaldības nodrošināšanas nolūkos, pamatojoties uz tiesību aktiem un ievērojot 3.  punktā minētos nosacījumus un garantijas. Tādu personas datu apstrāde, kas attiecas uz veselību, Datu regulas izpratnē uzskatāma par īpašu kategoriju personas datu apstrādi. Personas datiem, kas pēc savas būtības ir īpaši sensitīvi saistībā ar pamattiesībām, pienākas īpaša aizsardzība, jo to apstrādes konteksts varētu radīt nopietnu risku datu subjekta tiesībām un tiesiskajām interesēm. Līdz ar to šādu datu apstrādei jo īpaši jāparedz atbilstošas garantijas personas datu un citu pamattiesību aizsardzībai, minēto paredz arī Datu regulas 9. pants. Jānorāda, ka īpašu kategoriju datu apstrāde vienmēr rada risku, ka datu subjekts varētu tikt diskriminēts, pārkāpjot Eiropas Savienības Pamattiesību hartas 21. pantu, vai ka varētu rasties cita būtiska nelabvēlīga ietekme attiecībā uz viņa tiesībām un brīvībām. Novērtējot ļaunprātīgas izmantošanas un diskriminācijas risku, ir jāņem vērā paredzētās garantijas. Garantijas ir atbilstošas, ja tās ir pietiekamas, lai aizsargātu personu pret minētajiem riskiem. Piemēram, tiesiskās garantijas var nodrošināt, nosakot ierobežojumus attiecībā uz apstrādes nolūkiem, nosakot stingrus noteikumus par personu piekļuvi datiem. Ņemot vērā minēto, lūdzam papildināt projektu kopumā, nosakot atbilstošas garantijas.


[1] Eiropas Parlamenta un Padomes 2016. gada 27. aprīļa regula (ES) 2016/679 par fizisku personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti un ar ko atceļ Direktīvu 95/46/EK (Vispārīgā datu aizsardzības regula) (turpmāk – Datu regula).
 

-

Lūdzam precizēt projektu, norādot kādiem konkrētiem mērķiem apstrādājami personas dati. Norādām, ka atbilstoši Datu regulas 5. panta 1. punktā noteiktajiem personas datu apstrādes principiem, personas dati jāapstrādā likumīgi, godprātīgi un datu subjektam pārredzamā veidā, tie tiek vākti konkrētos, skaidros un leģitīmos nolūkos, un to turpmāku apstrādi neveic ar minētajiem nolūkiem nesavietojamā veidā. Vēršam uzmanību, ka projekts paredz personas datu apstrādi arī “citiem datu apstrādes mērķiem”, kas var radīt riskus nesamērīgai un Datu regulas principiem neatbilstošai personas datu apstrādei. Norādām, ka nav pieļaujams personas datu apstrādi balstīt uz tādām tiesību normām, no kurām nav noprotams un paredzams, kā un kādiem nolūkiem tiks apstrādāti personas dati. Ņemot vērā minēto, projekts ir papildināms, skaidri norādot, kādiem mērķiem ir apstrādājami personas dati.
 

-

Lūdzam papildināt projekta sākotnējās ietekmes (ex-ante) novērtējuma ziņojumu (turpmāk – anotācija), detalizētāk aprakstot, kādam mērķim noteiktajiem subjektiem nepieciešams apstrādāt attiecīgos personas datus un vai tas ir samērīgi. Paskaidrojam, ka personas datu apstrāde ir uzskatāma par personas pamattiesību aizskārumu, tādēļ plānojot personas datu apstrādi, vērtējams šāda ierobežojuma samērīgums[1] ar sasniedzamo mērķi. Netiek apšaubīts, ka projektā minētā informācija ir nepieciešama attiecīgu uzdevumu veikšanai, taču, lai būtu izprotams attiecīgās informācijas (tostarp personas datu) apstrādes tiesiskais pamats, lūdzam to detalizētāk aprakstīt anotācijā, norādot, kādam mērķim nepieciešams apstrādāt attiecīgos personas datus un, vai šāda personas datu apstrāde ir samērīga. Datu apstrādes, tajā skaitā nodošanas, nolūks ir formulējams tā, lai no tā būtu pietiekami skaidri saprotams, kādēļ ir nepieciešama datu apstrāde un, ka bez šīs apstrādes nolūku nav iespējas sasniegt. Turklāt nolūks ir nodefinējams tā, lai datu subjektam būtu skaidrs, kādēļ tā dati tiks apstrādāti tieši tādā apjomā un tieši tādā noteiktā veidā.


[1] Lai izvērtētu personas pamattiesību ierobežojuma samērīgumu, jānoskaidro: 1) vai izraudzītie līdzekļi ir piemēroti leģitīmā mērķa sasniegšanai; 2) vai nepastāv personu pamattiesības mazāk ierobežojoši (saudzējošāki) līdzekļi; 3) vai labums, ko iegūs sabiedrība, ir lielāks par indivīda tiesībām un likumiskajām interesēm nodarīto zaudējumu (skatīt, piemēram, Satversmes tiesas 2011. gada 30. marta sprieduma lietā Nr. 2010-60-01 23. punktu).
 

-

Saskaņā ar Datu regulas 5. panta 1. punkta c) apakšpunktā noteikto datu minimizēšanas principu personas datiem jābūt adekvātiem, atbilstošiem un  ietver tikai to, kas nepieciešams to apstrādes nolūkos. Vienlaikus no Latvijas Republikas Satversmes 96. panta izriet pienākums pamatot personas tiesību uz privātās dzīves neaizskaramību ierobežojuma nepieciešamību un samērīgumu. Anotācijā ir norādīts datu apstrādes mērķis un vispārīgi aprakstīts paredzētais datu apmaiņas modelis, tomēr nav sniegts pietiekams izvērtējums par paredzētās personas datu apstrādes nepieciešamību un samērīgumu. Anotācijā nav skaidrots, kādi konkrēti bērna personas datu veidi un kādā apjomā tiks nodoti, kā arī nav pamatots, kādēļ katrs no šiem datu veidiem ir nepieciešams attiecīgā mērķa sasniegšanai. Tāpat nav izvērtēts, vai minēto mērķi nav iespējams sasniegt ar mazāku personas datu apjomu vai citiem datu subjekta privātumu mazāk ierobežojošiem līdzekļiem. Ņemot vērā, ka grozījumi skar bērnu veselības datu, proti, īpašu kategoriju personas datu, apstrādi, anotācija papildināma ar detalizētu samērīguma izvērtējumu un skaidrojumu, kā tiek nodrošināta personas datu apstrādes minimizācijas principa ievērošana - pamatojot apstrādei nepieciešamo paredzētos datu veidus, apjomu, nepieciešamību to nodošanai un izvēlētā risinājuma atbilstību datu aizsardzības prasībām.
 

-

No anotācijas 1.3. apakšsadaļā ietvertās informācijas izriet, ka Ministru kabineta 2014. gada 11. marta noteikumi Nr. 134 "Noteikumi par vienoto veselības nozares elektronisko informācijas sistēmu" (turpmāk – noteikumi) tiek papildināti ar jaunu regulējumu, kas izriet, no izstrādātajiem grozījumiem Bērnu tiesību aizsardzības likumā un Pacientu tiesību likumā, kas vēl nav pieņemti.
Ievērojot minēto, attiecīgos grozījumus noteikumos nevar izdot pirms nav pieņemti attiecīgie grozījumi Bērnu tiesību aizsardzības likumā un Pacientu tiesību likumā. Līdz ar to lūdzam izslēgt projektā paredzētos attiecīgos grozījumus noteikumos vai virzīt tos pēc tam, kad būs pieņemti grozījumi Bērnu tiesību aizsardzības likumā un Pacientu tiesību likumā.
 

-

Lūdzam precizēt projektu, norādot kādiem konkrētiem mērķiem apstrādājami personas dati. Norādām, ka atbilstoši Datu regulas 5. panta 1. punktā noteiktajiem personas datu apstrādes principiem, personas dati jāapstrādā likumīgi, godprātīgi un datu subjektam pārredzamā veidā, tie tiek vākti konkrētos, skaidros un leģitīmos nolūkos, un to turpmāku apstrādi neveic ar minētajiem nolūkiem nesavietojamā veidā. Vēršam uzmanību, ka projekts paredz personas datu apstrādi arī “citiem datu apstrādes mērķiem”, kas var radīt riskus nesamērīgai un Datu regulas principiem neatbilstošai personas datu apstrādei. Norādām, ka nav pieļaujams personas datu apstrādi balstīt uz tādām tiesību normām, no kurām nav noprotams un paredzams, kā un kādiem nolūkiem tiks apstrādāti personas dati. Ņemot vērā minēto, projekts ir papildināms, skaidri norādot, kādiem mērķiem ir apstrādājami personas dati.
 

-

Projektā ietvertais noteikumu 33.⁸ punkts paredz, ka tiek nodoti ārstniecības personas autentifikācijas un autorizācijas sesijas dati, kā arī attiecīgā bērna identifikācijas dati. Vēršam uzmanību, ka no projekta un anotācijas nav skaidri saprotams, kādam konkrētam nolūkam minētie dati tiek nodoti, kādi tieši datu veidi tiks nodoti un kādēļ tie ir nepieciešami attiecīgā mērķa sasniegšanai. Tāpat nav skaidrs, kuras personas šiem datiem piekļūs, kādam nolūkam tie tiks izmantoti, kā arī vai un kādā apmērā nodotie dati būs pieejami ārpus ārstniecības procesa iesaistītajām personām. Ņemot vērā, ka regulējums skar bērnu personas datus, kā arī veselības datus, kas ir īpašu kategoriju personas dati, lūdzam anotāciju papildināt ar detalizētu skaidrojumu par nododamo datu veidiem un apjomu, datu saņēmējiem, to piekļuves tiesībām, lai būtu iespējams izvērtēt paredzētās datu apstrādes atbilstību datu minimizācijas un samērīguma principiem.
 

-

Atbilstoši Ministru kabineta 2021. gada 7. septembra noteikumu Nr. 606 “Ministru kabineta kārtības rullis” 52.2.6.¹ apakšpunktam lūdzam projektu saskaņot ar Datu valsts inspekciju.
 

-

Lūdzam precizēt projekta 2. punktu, norādot konkrētu noteikumu 1.3. apakšpunkta spēkā stāšanās termiņu vai papildināt noteikumus ar jaunu pārejas noteikumu.
 

-

Lūdzam norādīt anotācijā informāciju, vai attiecībā uz plānoto veselības datu apstrādi ir veikts novērtējums par ietekmi uz personas datu aizsardzību (turpmāk - NIDA), kā arī lūdzam anotācijā norādīt Datu regulas 35. panta 7. punkta b), c) un d) apakšpunktā norādīto informāciju no NIDA. Paskaidrojam, ka no Datu regulas 35. panta 1., 3. un 4. punkta, kā arī Datu valsts inspekcijas 2018. gada 18. decembra rīkojuma Nr. 1-2.1/125 "Apstrādes darbību veidi, attiecībā uz kuriem ir jāveic datu aizsardzības ietekmes novērtējums saskaņā ar VDAR 35. panta 4. punktu" 4. punkta izriet prasība pārzinim veikt NIDA par īpašu kategoriju personas datu apstrādi. Savukārt VDAR 35. panta 7. punkta b), c) un d) apakšpunktā minētās informācijas no NIDA norādīšana anotācijā nodrošinās risku minimizēšanu, ko varētu radīt personas datu par veselību apstrāde. 
 

-

Lūdzam precizēt un papildināt kopumā anotācijas 8.1.13. sadaļu, lai nodrošinātu pilnvērtīgu un strukturētu projekta ietekmes izvērtējumu par ietekmi uz personas datu aizsardzību. Vēršam uzmanību, ka anotācijai ir ne tikai informatīva, bet arī metodoloģiska funkcija, nodrošinot pilnvērtīgu un strukturētu projekta ietekmes izvērtējumu. Tā ir sagatavojama, ņemot vērā Valsts kancelejas sagatavotās vadlīnijas, izvērtējot plānotās personas datu apstrādes, kas ir uzskatāma par personas pamattiesību aizskārumu, ierobežojuma samērīgumu ar sasniedzamo mērķi. Norādām, ka anotācijas 8.1.13. sadaļā ir iekļaujama informācija par tiesisko pamatojumu personu datu apstrādei, skaidrojums par paredzēto personu datu apstrādi – kādu datu subjektu un kādu kategoriju datus vai veidus paredz apstrādāt projekts, kādos konkrētos nolūkos.
 

-

Ievērojot, ka noteikumi stājušies spēkā 2014. gada 1. aprīlī, lūdzam precizēt projektā paredzēto noteikumu 63. punktu.

-