Projekta ID
22-TA-1450Atzinuma sniedzējs
Datu valsts inspekcija
Atzinums iesniegts
08.06.2022.
Saskaņošanas rezultāts
Nesaskaņots
Iebildumi / Priekšlikumi
Nr.p.k.
Projekta redakcija
Iebildums / Priekšlikums
1.
Noteikumu konsolidētā versija
Iebildums
Norādām, ka Datu valsts inspekcijas iebildums, kas atspoguļots izziņas 6.punktā nav uzskatāms par ņemtu vērā. Datu valsts inspekcija atkārtoti norāda, ka saskaņā ar Datu regulas 5. panta 1.punkta "b" apakšpunktā ietverto nolūka ierobežojuma principu personas dati tiek vākti konkrētos, skaidros un leģitīmos nolūkos, un to turpmāku apstrādi neveic ar minētajiem nolūkiem nesavienojamā veidā. Proti, pirms jebkuras datu apstrādes uzsākšanas visupirms ir nosakāms nolūks, kādam personas datu apstrāde ir veikta. Tikai vadoties no šī iepriekš definētā nolūka, ir iespējams noteikt gan datu apjomu, gan to glabāšanas termiņu, gan citus aspektus, kas saistīti ar personas datu apstrādes tiesiskuma nodrošināšanu. Datu valsts inspekcija jau Augstskolu likuma grozījumu izstrādes laikā norādīja, ka šāda nolūka definēšana ir būtiski nepieciešama, taču tās viedoklis netika ņemts vērā. Arī šobrīd noteikumu projektā nav norādīts neviens personas datu apstrādes nolūks, kā arī anotācijā nav sniegtas norādes par to, kur šāds nolūks varētu būt atrodams un vai tas vispār ticis noteikts. Jautājums par korekta personas datu apstrādes nolūka norādīšanu ir īpaši aktuāls, veidojot jaunu informācijas sistēmu regulējumu, kurā tiek uzkrāti vai apstrādāti liela apjoma personas dati, vai gadījumā, ja sistēma veic automatizētu lēmumu pieņemšanu.
Ievērojot minēto, Datu valsts inspekcija pēc būtības nevar izvērtēt citu noteikumu projektā ietverto tiesību normu atbilstību Datu regulas prasībām.
Tāpat atkārtoti norādām, ka Datu regulas 6. panta 3. punkta “b” apakšpunktā noteikts, ka šā panta 1. punkta “c” un “e” apakšpunktā minēto apstrādes pamatu un nolūku nosaka ar dalībvalsts tiesību aktiem, kas piemērojami pārzinim. Turklāt likumā ietvertais uzdevums nedrīkst būt tik vispārīgs, ka neļauj izdarīt pašsaprotamu pieņēmumu, ka šāda uzdevuma izpildei ir nepieciešama personas datu apstrāde, un atbilstoša informācija nav ietverta arī likumprojekta anotācijā. Proti, formāla atsaukšanās uz likumā noteiktu publiskas iestādes funkciju nebūtu pieļaujama. Norādām, ka ne noteikumu projektā, ne likumos uz kuru pamata plānots izdot noteikumus, nav atrodams konkrēts pārvaldes uzdevums, kura veikšanai personas datu apstrāde nepieciešama.
Vēršam uzmanību, ka tiesības uz personas datu aizsardzību ir nostiprinātas Eiropas Savienības Pamattiesību hartas 8. pantā, tā pirmajā daļā paredzot ikvienas personas tiesības uz savu personas datu aizsardzību. Savukārt minētā panta otrā daļa noteic, ka personas dati ir jāapstrādā godprātīgi, noteiktiem mērķiem un ar attiecīgās personas piekrišanu vai ar citu likumīgu pamatojumu, kas paredzēts tiesību aktos. Minētā Eiropas Savienības Pamattiesību hartas 8. panta kontekstā būtiski ir ne tikai tas, ka tiesības uz personas datu aizsardzību pirmo reizi ir atzītas par atsevišķām, no tiesībām uz privāto dzīvi nodalāmām konstitucionālām tiesībām, bet arī tas, ka atšķirībā no tiesību uz privāto dzīvi lakoniskā regulējuma, pamattiesību rangs tiek piešķirts arī tādām tiesību uz datu aizsardzību garantijām kā godprātības princips un nolūka ierobežojuma princips un tiesiskā pamata esamība. Ievērojot minēto, tiesiskajam pamatam un personas datu apstrādes nolūkam būtu jātiek noteiktam ar likumdevēja pieņemtu normatīvo aktu, kas konkrētajā gadījumā nav izdarīts. Turklāt ne nolūks, ne tiesiskais pamats nav ietverts arī noteikumu projektā.
Ievērojot minēto, Datu valsts inspekcija pēc būtības nevar izvērtēt citu noteikumu projektā ietverto tiesību normu atbilstību Datu regulas prasībām.
Tāpat atkārtoti norādām, ka Datu regulas 6. panta 3. punkta “b” apakšpunktā noteikts, ka šā panta 1. punkta “c” un “e” apakšpunktā minēto apstrādes pamatu un nolūku nosaka ar dalībvalsts tiesību aktiem, kas piemērojami pārzinim. Turklāt likumā ietvertais uzdevums nedrīkst būt tik vispārīgs, ka neļauj izdarīt pašsaprotamu pieņēmumu, ka šāda uzdevuma izpildei ir nepieciešama personas datu apstrāde, un atbilstoša informācija nav ietverta arī likumprojekta anotācijā. Proti, formāla atsaukšanās uz likumā noteiktu publiskas iestādes funkciju nebūtu pieļaujama. Norādām, ka ne noteikumu projektā, ne likumos uz kuru pamata plānots izdot noteikumus, nav atrodams konkrēts pārvaldes uzdevums, kura veikšanai personas datu apstrāde nepieciešama.
Vēršam uzmanību, ka tiesības uz personas datu aizsardzību ir nostiprinātas Eiropas Savienības Pamattiesību hartas 8. pantā, tā pirmajā daļā paredzot ikvienas personas tiesības uz savu personas datu aizsardzību. Savukārt minētā panta otrā daļa noteic, ka personas dati ir jāapstrādā godprātīgi, noteiktiem mērķiem un ar attiecīgās personas piekrišanu vai ar citu likumīgu pamatojumu, kas paredzēts tiesību aktos. Minētā Eiropas Savienības Pamattiesību hartas 8. panta kontekstā būtiski ir ne tikai tas, ka tiesības uz personas datu aizsardzību pirmo reizi ir atzītas par atsevišķām, no tiesībām uz privāto dzīvi nodalāmām konstitucionālām tiesībām, bet arī tas, ka atšķirībā no tiesību uz privāto dzīvi lakoniskā regulējuma, pamattiesību rangs tiek piešķirts arī tādām tiesību uz datu aizsardzību garantijām kā godprātības princips un nolūka ierobežojuma princips un tiesiskā pamata esamība. Ievērojot minēto, tiesiskajam pamatam un personas datu apstrādes nolūkam būtu jātiek noteiktam ar likumdevēja pieņemtu normatīvo aktu, kas konkrētajā gadījumā nav izdarīts. Turklāt ne nolūks, ne tiesiskais pamats nav ietverts arī noteikumu projektā.
Piedāvātā redakcija
-
2.
Noteikumu konsolidētā versija
Iebildums
Noteikumu projekta anotācijā norādīts, ka tiek veikts tehnisks labojums normatīvajos aktos par Akadēmiskā personāla reģistru, pārceļot to no Augstskolu likuma regulējuma uz Ministru kabineta līmeņa regulējumu. Vēršam uzmanību, ka šāda rīcība nav uzskatāma par tehnisku labojumu. Kā jau Datu valsts inspekcija ir norādījusi tiesības uz personas datu aizsardzību ir konstitucionālas tiesības, kas nostiprinātas arī Eiropas Cilvēktiesību hartā. Tādējādi jebkura personas datu apstrāde ir uzskatāma par pamattiesību ierobežojumu, kas pamatā ir nosakāms ar Saeimas pieņemtu likumu. Proti, likumā būtu nosakāms vismaz personas datu apstrādes nolūks, tiesiskais pamats un apstrādājamo personas datu kategorijas, paredzot Ministru kabinetam tiesības noteikt konkrētus apstrādājamos personas datus šo kategoriju ietvaros. Pārceļot tiesisko regulējumu no likuma uz Ministru kabineta noteikumiem tiek samazinātas personas tiesību aizsardzības garantijas, un pamattiesību ierobežojums tiek noteikts ar zemāka līmeņa tiesību aktu. Ievērojot minēto, lūdzam precizēt noteikumu projekta anotāciju, svītrojot no tā tekstu, ka labojumi ir tehniski, korekti atspoguļojot, ka tiesību normu izstrādātājs ir izvēlējies samazināt datu subjektam noteiktās aizsardzības garantijas, pārceļot datu apstrādes regulējumu uz Ministru kabineta noteikumiem, vienlaikus saglabājot apstrādājamo personas datu apjomu.
Piedāvātā redakcija
-
3.
Noteikumu konsolidētā versija
Iebildums
Datu valsts inspekcija norāda, ka, balstoties uz saņemtajiem iebildumiem par noteikumu projektu, noteikumu projekts ir papildināts ar datu apstrādes nepieciešamības skaidrojumu, kas citastarp rada maldīgu priekšstatu par datu apstrādes nosacījumiem un mākslīgi savieto dažādas datu apstrādes darbības, cenšoties pierādīt to tiesiskumu. Pirmkārt, jānorāda, ka noteikumu projekta izstrādes gaitā nav apšaubīts tas, ka monitoringa veikšanai varētu būt nepieciešams apstrādāt datu subjektu kontaktinformāciju. Ievērojot minēto, šāds sarežģīts izklāsts anotācijā ir lieks. Otrkārt, tas, kas ir ticis apšaubīts, ir tas, ka šāda informācija tiek iegūta no Valsts ieņēmumu dienesta Elektroniskās deklarēšanas sistēmas, kurā šī kontaktinformācija tiek apstrādāta pilnīgi citiem mērķiem. Tādējādi tiek pārkāpts Datu regulas 6. panta 4. punkts, atbilstoši kuram personas datu apstrāde, ja vien nepastāv Datu regulas 23. pantā noteiktie izņēmumi, ir pieļaujama tikai tad, ja starp sākotnējo nolūku un turpmāko nolūku pastāv saikne. Konkrētajā gadījumā nepastāv ne 23.pantā noteiktie izņēmumi, ne konstatējama jebkāda saikne starp datu subjekta pienākumiem nodokļa jomā un izglītības monitoringu. Anotācijā norādītā atsauce uz Valsts pārvaldes iekārtas likuma 54. pantu ir nepamatota, jo valsts pārvaldes iestāžu sadarbības pienākums nenozīmē to, ka var tikt ignorētas citas, speciālās tiesību normas. Vienlaikus, ievērojot to, ka par minēto jautājumu jau ir lēmis likumdevējs, pretēji Datu valsts inspekcijas paustajam viedoklim, ietverot Augstskolu likumā atbilstošu regulējumu, lūdzam anotāciju korekti precizēt, pamatojot noteikumu projektā paredzēto datu apstrādi ar Augstskolu likumā ietvertajām tiesību normām, atturoties no datu apstrādes tiesiskuma analīzes.
Piedāvātā redakcija
-
4.
Noteikumu konsolidētā versija
Iebildums
Datu valsts inspekcija norāda, ka tās izteiktais un izziņas 20.punktā atspoguļotais iebildums ir ņemts vērā tikai daļēji. Šobrīd noteikumu projekta 55. punkts paredz, ka uz arhīva datubāzi datus mēneša laikā kopš no personas attiecīgā statusa termiņa beigām pagājuši divi gadi. Atkārtoti vēršam uzmanību, ka saskaņā ar Datu regulas 5. panta 1. punkta "e" apakšpunktā ietverto glabāšanas ierobežojuma principu personas datus glabā tikai tik ilgi, kamēr tie ir nepieciešami nolūkiem, kuros to apstrādā. Pirmkārt, jānorāda, ka, ņemot vērā to, ka normatīvajos aktos vispār nav atspoguļots datu apstrādes nolūks, Datu valsts inspekcija arī nevar izvērtēt normatīvā regulējuma atbilstību datu glabāšanas ierobežojuma principam. Otrkārt, noteikumu projekta anotācijā nav norādīts, kādēļ vēl divus gadus pēc tam, kad izbeidzies personas statuss, šie dati ir nepieciešami nolūkam, kam tie sākotnēji tika vākti. Vēršam uzmanību, ka noteikumu projekta anotācijā norādītais pamatojums, ka datu uzglabāšana ir nepieciešama, jo tiek saņemti iesniegumi par personas datu apstrādi, nav attaisnojums datu glabāšanai, jo, ja personas dati vairs netiek apstrādāti, nevar būt aktuāli arī jautājumi par personas datu apstrādi. Kā jau minēts, datu glabāšana ir pieļaujama tikai tik ilgi, cik tā ir nepieciešama sākotnēji noteiktajam mērķim. Arī apstāklis, ka pārzinis bieži pamana neprecizitātes tikai pēc nolūka sasniegšanas, nav pamats datu glabāšanai, bet gan rada šaubas par to, vai pārzinis ievēro Datu regulas 5. panta 1. punkta "d" apakšpunktā minēto datu precizitātes principu. Ja Izglītības un zinātnes ministrija vēlas uzkrāt personas datus milzīgā apjomā praktiski par visiem Latvijas iedzīvotājiem, tad tai ir jāuzņemas atbildība par to, lai, apstrādājot šos datus, tiktu ievēroti datu apstrādes principi, un nav pieļaujams, ka, apzinoties to, ka tiek apstrādāti neprecīzi dati, tas tiek turpināts darīts un ar to vēl tiek pamatots personas datu glabāšanas termiņš. Ievērojot minēto, lūdzam, norādīt anotācijā korektu pamatojumu tam, kādēļ personas dati tiek glabāti divus gadus pēc statusa izbeigšanās.
Papildus vēršam uzmanību, ka personas datu glabāšana arhīvā arī ir personas datu apstrāde ar noteiktu mērķi - saglabāt datus arhīviskām vajadzībām. Līdz ar to uz arhīvu ir pārvietojami tikai tie dati, kam ir arhīviska vērtība. Arī šos datus ir nepieciešams dzēst tiklīdz tiek konstatēts, ka tiem vairs nav arhīviskas vērtības.
Papildus vēršam uzmanību, ka personas datu glabāšana arhīvā arī ir personas datu apstrāde ar noteiktu mērķi - saglabāt datus arhīviskām vajadzībām. Līdz ar to uz arhīvu ir pārvietojami tikai tie dati, kam ir arhīviska vērtība. Arī šos datus ir nepieciešams dzēst tiklīdz tiek konstatēts, ka tiem vairs nav arhīviskas vērtības.
Piedāvātā redakcija
-