Atzinums

Ņemt vērā, ka drošības klases var būt mainīgs lielums, kam normatīvais akts nepielāgosies.Ja Datu izplatīšanas un pārvaldības platforma vai tās sastāvā esošās informācijas sistēmas atbilst MK 397 noteikumu 33. punktā definētajām minimālās, pamata vai paaugstinātas drošības informācijas sistēmām, ir nepieciešams tieši atsaukties uz attiecīgajām kiberdrošības un datu glabāšanas prasībām.

44.¹ 12.3.1. un 12.3.3. apakšpunktos minēto monitoringa pakalpojuma datu un 12.3.2. apakšpunktā minēto monitoringa datu glabāšanas termiņi un kārtība tiek nodrošināta saskaņā ar attiecīgās drošības klases kiberdrošības prasībām un citiem normatīvajos aktos noteiktajiem datu aizsardzības un apstrādes nosacījumiem.

Ņemot vērā redakciju 3. punktā (t.sk. personas dati):
Eiropas Savienības līmenī personas datu apriti regulē GDPR.

Grozījumos nepieciešams tieši atsaukties uz Vispārīgās datu aizsardzības regulas (VDAR) prasībām. Ja monitoringa dati (t. i., informācija par atribūtu izmaiņām) kvalificējas kā personas dati, normatīvajā regulējumā ir skaidri jānosaka personas datu apstrādes principi, piemēram, datu minimizācija, nolūka ierobežojums un glabāšanas termiņu ierobežojums. Tāpat jādefinē tiesiskie pamati datu apstrādei, datu subjekta tiesības, pārziņa un apstrādātāja pienākumi, drošības pasākumi personas datu aizsardzībai, kā arī kārtība, kādā personas dati var tikt nodoti trešajām personām vai citām institūcijām.

-

Datu saņēmējam jābūt skaidri identificētam, un viņa tiesībām saņemt un apstrādāt personas datus jābalstās uz konkrētu, normatīvajos aktos noteiktu funkciju, uzdevumu vai pilnvarojumu. Tas nozīmē, ka datu nodošana ir pieļaujama tikai tad, ja saņēmējs var pamatot, kāpēc viņam dati ir nepieciešami un uz kāda tiesiskā pamata tie tiks apstrādāti.

Personas dati tiek nodoti tādā apjomā un formā, kas ir objektīvi nepieciešama organizācijas piešķirto funkciju, uzdevumu vai normatīvajos aktos noteikto pilnvarojumu izpildei.

Monitoringa dati var tikt uzskatīti par personas datiem, ja izmantotais identifikators ļauj tieši vai netieši identificēt personu. Tādēļ nepieciešams skaidri noteikt, ka identifikatori paši par sevi nenodrošina personas identificēšanu, bet gadījumos, kad tie tomēr varētu norādīt uz konkrētu personu, to apstrāde tiks nodrošināta atbilstoši personas datu aizsardzības prasībām.

Situācijās, kad identifikators norāda uz personas datiem, tā apstrāde tiks veikta atbilstoši personas datu aizsardzības prasībām un tikai tādā apjomā, kāds nepieciešams organizācijas funkciju izpildei.

Ieteicams papildināt ar datu drošu glabāšanu, apstrādi, sūtīšanu un dzēšanu, atbilstoši normatīvajam regulējumam.

Pašapkalpošanās portāls nodrošina drošu datu glabāšanu, apstrādi, nosūtīšanu un dzēšanu, nodrošinot, ka šie procesi tiek veikti atbilstoši spēkā esošajam normatīvajam regulējumam un organizācijas iekšējām drošības prasībām.

Ieteicams papildināt 12.1. ar lietotāju darbības notikumu fiksēšanu.

12.1. Datu izplatīšanas un pārvaldības platformas lietotāju identifikāciju, autorizāciju un darbības notikumu fiksēšanu;