Atzinums

Noteikumu projektā lietotie termini “monitorings”, “monitoringa dati” un “monitoringa pakalpojums” nav pietiekami skaidri un var tikt interpretēti kā datu versiju kontroles metadati vai datu izmaiņu žurnālfaili.
Šādi dati būtu jāglabā atbilstoši tās informācijas sistēmas drošības klasei, kas ir iniciators šādu datu radīšanai.
Šajā kontekstā “monitoringa pakalpojums” pēc būtības, atbilstoši Valsts informācijas sistēmu likuma 6. un 8. pantam (par valsts informācijas sistēmu darbības principiem un pārziņa funkcijām), ir informācijas sistēmas pārziņa atbildība, un dati ir jāreģistrē "tikai vienu reizi atbilstošajā reģistrā".
Aicinām aizstāt terminus “monitorings”, “monitoringa dati” un “monitoringa pakalpojums” ar jēdzienu, kas neradītu nevēlamas interpretācijas, un būtu skaidrs, kurā informācijas sistēmā tie glabājami un uz kuru piemērojamas datu apstrādes un drošības prasības.
Aicinām izvērtēt vai būtu jānosaka, ka “monitoringa dati” tiek apstrādāti tikai tehniski, kā notikumu fiksējoši dati, datu apmaiņas apjoma optimizācijas nolūkos.

-

Noteikumu (grozījumu) projekta noteikumu 3. punkta redakcjā lietotais formulējums “piemērota datu (tai skaitā personas datu) izplatīšanai un glabāšanai” ir pretrunā ar Valsts informācijas sistēmu likuma (VISL) 6. panta otrajā un trešajā daļā noteikto datu vienreizējas reģistrācijas un datu nedublēšanas principu.
VISL 6. panta 2. un 3. daļa nosaka, ka valsts informācijas sistēmā nedrīkst ievadīt datus, kas jau ir pieejami integrētā valsts informācijas sistēmā, kā arī informācija par datu subjektu reģistrējama tikai vienu reizi atbilstošajā reģistrā.
DAGR, kā valsts platforma VISL izpratnē, ir paredzēta datu (orģināldatu) izplatīšanai, nevis kā primāra datu glabāšanas sistēma vai datu kopiju uzturēšanas risinājums.
Noteikumu (grozījumu) projekta noteikumu 3. punkta pašreizējais formulējums var radīt interpretāciju, ka DAGR funkcionē kā neatkarīga datu glabāšanas sistēma, kas satur pastāvīgas datu kopijas, kas neatbilst VISL regulējumam un var tikt uzskatīts par datu dublēšanu ārpus to primārās informācijas sistēmas.

Rosinām noteikumu (grozījumu) projektā noteikumu 3. punkta redakciju precizēt, svītrojot atsauci uz “glabāšanu” vai aizstājot to ar jēdzienu, kas raksturo tehnisku, īslaicīgu datu apstrādi, kas nepieciešama datu izplatīšanas procesa nodrošināšanai, piemēram:
“... piemērota datu (tai skaitā personas datu) elektroniskai apstrādei un izplatīšanai”,
vai:
“... piemērota datu (tai skaitā personas datu) izplatīšanai un īslaicīgai tehniskai saglabāšanai datu apstrādes procesa nodrošināšanai”.
 

-

Noteikumu (grozījumu) projekta 8. punktā lietotais termins “drošības audits” nav definēts MK noteikumos Nr. 397 “Minimālās kiberdrošības prasības”, kā arī neatbilst MK 397 terminoloģijai. Kiberdrošības regulējums lieto citus, terminus: "atbilstības audits", "ielaušanās testi", "drošības skenēšana".
Termina “drošības audits” izmantošana var radīt neskaidrību par to, kāda veida pārbaude ir jāveic.
Ja VARAM iecere ir noteikt stingrāku prasību (regulārus papildu auditus), tad tas ir jāformulē tā, lai tas būtu nodalīts no MK 397 obligātajām prasībām.
Piedāvātā redakcija
8. Papildināt ar 7.3 punktu šādā redakcijā:
"7.3 Pārzinis nodrošina ikgadēju drošības pasākumu (tajā skaitā attiecībā uz personas datu apstrādi) izvērtējumu, kas papildina normatīvajos aktos par minimālajām kiberdrošības prasībām noteiktās pārbaudes."
 

-

Noteikumu (grozījumu) projektā lietotais termins “paaugstinātas drošības sistēma” nav definēts ārējos normatīvajos aktos un nav terminoloģiski saskaņots ar MK noteikumu Nr. 397 “Minimālās kiberdrošības prasības” lietoto klasifikācijas terminoloģiju. “paaugstinātas drošības” jēdziens attiecas uz A klases informācijas sistēmu (MK 397 33.1. punkts). Lai novērstu interpretācijas riskus piedāvājam precizēt 5. punkta redakciju.
Piedāvātā redakcija
5.
Izteikt 3. punktu šādā redakcijā:
"3. Datu izplatīšanas un pārvaldības platforma ir valsts platforma un A klases (paaugstinātas drošības) informācijas sistēma, kas piemērota datu (tai skaitā personas datu) izplatīšanai un glabāšanai un kuras pārzinis ir Valsts digitālās attīstības aģentūra (turpmāk – pārzinis). Tās tīmekļvietnes adrese ir www.dagr.gov.lv."

-