Atzinums

Datu valsts inspekcija attiecībā uz Kohēzijas politikas fondu vadības informācijas sistēmas (turpmāk - Vadības informācijas sistēma) darbību norāda uz to, ka saskaņā ar Regulas Nr.2016/679 6.panta trešo daļu tās darbībai ir jābūt noteiktai ar normatīvo aktu (likumu). Tas izriet no Regulas Nr.2016/679 6.panta 3.punkta, kurā ietverta prasība par valsts iestādes veiktās fizisko personu personas datu apstrādes noteikšanu tiesību aktā (likumā). Proti, Regulas Nr.2016/679  6.panta 3.punkts paredz, ka Regulas Nr.2016/679 6.panta 1.punkta “c” apakšpunktā minēto apstrādes pamatu nosaka ar Eiropas Savienības tiesību aktiem vai dalībvalsts tiesību aktiem, kas piemērojami pārzinim. Regulas Nr.2016/679 6.panta 3.punkta prasība attiecināma arī uz Vadības informācijas sistēmas pārzini un turētāju, kas saskaņā ar noteikumu projekta 24.punktu ir Centrālā finanšu un līgumu aģentūra (turpmāk - CFLA). 
Datu valsts inspekcija vērš noteikumu projekta izstrādātāja uzmanību uz to, ka atbilstoši Regulas Nr.2016/679 45. apsvērumam, ja apstrādi veic saskaņā ar uz pārzini attiecināmu juridisku pienākumu, vai ja apstrāde nepieciešama, lai izpildītu uzdevumu, ko veic sabiedrības interesēs vai īstenojot oficiālas pilnvaras, apstrādes pamatam vajadzētu būt noteiktam Savienības vai dalībvalsts tiesību aktos, [..] turklāt minētajā tiesību aktā varētu precizēt vispārējos nosacījumus, kas paredzēti šajā regulā, kura reglamentē personas datu apstrādes likumīgumu, izstrādāt norādes, kā noteikt pārzini, apstrādājamo personas datu veidu, attiecīgos datu subjektus, vienības, kurām personas dati var tikt izpausti, apstrādes nolūka ierobežojumus, glabāšanas laikposmu un citus pasākumus, lai nodrošinātu likumīgu un godprātīgu apstrādi.
No noteikumu projekta 15.punktā noteiktā izriet, ka Vadības informācijas sistēma ir valsts informācijas sistēma, un tā nodrošina Eiropas Savienības fondu īstenošanai un vadībai nepieciešamo datu uzkrāšanu un pieejamību, kā arī informācijas apmaiņu.
Līdz ar to norādāms arī uz  Valsts informācijas sistēmu likuma 5.pantu, kas noteic, ka valsts informācijas sistēmu izveido, pamatojoties uz normatīvajiem aktiem, kuros norādīti vismaz: 1) valsts informācijas sistēmas pārzinis; 2) valsts informācijas sistēmā iekļaujamā informācija; 3) valsts informācijas sistēmas pārzinim noteiktās funkcijas, uzdevumi un mērķi, kuru izpildei nepieciešamās informācijas apriti nodrošina, izveidojot valsts informācijas sistēmu; 4) kārtību, kādā nodod informāciju iekļaušanai valsts informācijas sistēmā; 5) nosacījumi piekļuves nodrošināšanai valsts informācijas sistēmā iekļautajai informācijai.
Datu valsts inspekcija vērš uzmanību uz to, ka saskaņā ar Regulas Nr.2016/679 35.pantu, ja apstrādes veids, jo īpaši, izmantojot jaunās tehnoloģijas un ņemot vērā apstrādes raksturu, apjomu, kontekstu un nolūkus, varētu radīt augstu risku fizisku personu tiesībām un brīvībām, pārzinis pirms apstrādes veic novērtējumu par to, kā plānotās apstrādes darbības ietekmēs personas datu aizsardzību. Šāds ietekmes novērtējums  saskaņā ar  Regulas Nr.2016/679 prasībām ir bijis jāizstrādā arī CFLA kā pārzinim Regulas Nr.2016/679 izpratnē.
Datu valsts inspekcija neatrod norādes par tiesību aktu (likumu), kas reglamentē  CFLA datu apstrādi Vadības informācijas sistēmā.
Normatīvajā aktā (likumā) nepieciešams ietvert arī regulējumu fizisko personu datu apstrādei un īpašo kategoriju personas datu (turpmāk abi kopā - dati) apstrādei, paredzot datu apstrādes nolūku, izmantotos tehniskos līdzekļus datu apstrādes nolūka sasniegšanai, datu kategorijas, datu subjektus, vienības, kurām datus izpauž, izpaušanas nolūku.
Savukārt attiecībā uz normatīvo aktu (Ministru kabineta noteikumi) regulējami šādi personas datu apstrādes jautājumi - informācijas sistēmas nolūks, konkrēti dati, vienības, kurām izpauž personas datus (ja nolūks likumā definēts pietiekami šauri), izpaušanas nolūks, datu apstrādes termiņi, datu apstrādes procedūras.


 

-

Datu valsts inspekcija attiecībā uz noteikuma projekta 19.12.apakšpunktu, kurā noteikts, ka Vadības informācijas sistēma uzkrāj šādus personas datus un īpašu kategoriju personas datus: "citi personas dati, kuri nepieciešami uzraudzībai, izvērtēšanai, revīzijai un grāmatvedības prasību izpildei", norāda uz to, ka no 19.punkta būtības noprotams, ka tas izstrādāts, lai konkrēti uzskaitītu to personas datu un īpašo kategoriju personas datu apjomu. Savukārt 19.12.apakšpunktā tomēr iekļauts izņēmums - ietverta vispārīga norāde uz to, ka tiek uzkrāti citi personas dati, kas, domājams, ka izriet no noteikumu projekta anotācijas 5.lpp. ietvertā skaidrojuma, ka Vadības informācijas sistēmā tiek uzkrāti dati, kas nepieciešami Eiropas Savienības struktūrfondu un Kohēzijas fonda uzraudzībai, izvērtēšanai, finanšu pārvaldībai, pārbaudei un revīzijai, tai skaitā personas datus un Regulas Nr. 1304/2013 1. un 2. pielikumā noteiktos datus, no kuriem daļa ir īpašu kategoriju personas dati.
Līdz ar to Datu valsts inspekcijas ieskatā 19.12.panta apakšpunktā ir konkrēti jānorāda kādi personas dati (bez tiem, kas konkrēti jau uzskaitīti 19.punktā) tiek uzkrāti, nevis jāiekļauj vien vispārīga norāde uz to, ka tiek uzkrāti "citi personas dati". Gadījumā, ja tiek atstāta norāde uz "citi personas dati", tad 19.punktam pēc būtības zūd jēga.

-

Datu valsts inspekcija, ievērojot noteikumu projekta 20.punkta apakšpunktos uzskaitītos Vadības informācijas sistēmas lietotājus un noteikumu projekta 19.punktā noteikto personas datu un īpašo kategoriju personas datu apjomu, norāda uz to, ka no noteikumu projekta 20.punkta satura nav skaidrs kādā apjomā katram sistēmas lietotājam būs piekļuve datiem (personas datiem un īpašo kategoriju personas datiem).
No Regulas Nr. 2016/679 5.panta izriet, ka personas dati tiek vākti konkrētos, skaidros un leģitīmos nolūkos, un to turpmāku apstrādi neveic ar minētajiem nolūkiem nesavietojamā veidā, kā arī personas datu apstrāde ietver tikai to, kas nepieciešams apstrādes nolūkos.
Piemēram, attiecība uz "projektu saņēmējiem" noteikumu projekta 20.1.apakšpunktā ir sniegta vien vispārīga norāde par to, ka tiem ir piešķirtas Vadības informācijas sistēmas lietotāja tiesības. Savukārt uz noteikumu projekta 20.2.apkakšpunktā iekļautajiem "finansējuma saņēmējiem" attiecināms noteikumu projekta 29.punkts, kurā vispārīgi sniegta atsauce uz personas datiem, norādot, ka  "finansējuma saņēmējs apstrādā personas datus tādā apjomā, kas nepieciešams, lai īstenotu projektu, kā arī sagatavotu un iesniegtu sadarbības iestādē maksājuma pieprasījumu un pārskatu par projekta dalībniekiem, kā arī tos pamatojošos dokumentus", no noteikumu projekta anotācijas 7.lpp. izriet, ka "finansējuma saņēmējs veic personas datu apstrādi (vāc, apstrādā, uzkrāj), lai atbilstoši Eiropas Savienības fondus regulējošiem normatīviem aktiem īstenotu projektu, sasniegtu projektā noteikto mērķi un uzraudzības rādītājus".
Datu valsts inspekcijas ieskatā noteikumu projekta piedāvātā 20.punkta redakcija skaidri nenosaka konkrētu personas datu un īpašo kategoriju personas datu apjomu kādā katram Vadības informācijas sistēmas lietotājam (vienībai, kurai izpauž datus) ir tiesības piekļūt sistēmai. 
No noteikumu projekta anotācijas neizriet, ka ir veikts izvērtējums un konstatēts, ka visiem minētās sistēmas lietotājiem nolūka sasniegšanai ir nepieciešams piekļūt pilnīgi visiem sistēmā esošajiem datiem.
Ievērojot minēto, noteikumu projekts un tā anotācija ir precizējami.

 

-

Datu valsts inspekcija attiecībā uz noteikumu projekta 22.1.apakšpunktā norādīto lietotāja autentifikācijas veidu Vadības informācijas sistēmā -  lietotāji sistēmā var autentificēties, "izmantojot: vienotā valsts un pašvaldību pakalpojumu portāla www.latvija.lv sniegtos autentifikācijas pakalpojumus", vērš uzmanību uz to, ka Vadības informācijas sistēmā paredzēts veikt arī īpašu kategoriju personas datu apstrādi, piemēram, informāciju par invaliditāti, piederību nacionālajai minoritātei. Noteikumu projekta izstrādātājs pareizi norādījis uz to, ka personas datiem un īpašu kategoriju personas datiem ar Regulu Nr. 2016/679 ir noteikti apstrādes ierobežojumi (noteikumu projekta anotācijas 6.lpp.). Datu valsts inspekcija paskaidro, ka Informācija par invaliditāti (veselības dati), piederību nacionālajai piederībai tiek klasificēti kā sensitīvi dati saskaņā ar  Regulas Nr. 2016/679 9.panta 1.punktu. Līdz ar to uz īpašu kategoriju personas datiem attiecas stingrāks datu apstrādes režīms nekā uz datiem, kas nav sensitīvi. Regula Nr. 2016/679 aizliedz apstrādāt īpašu kategoriju datus (tsk. informāciju par invaliditāti, piederību nacionālajai minoritātei) izņemot gadījumus, kad tas ir atļauts saskaņā ar 9.panta 2.punktu.
Ievērojot minēto, Inspekcijas ieskatā uz Vadības informācijas sistēmas lietotājiem būtu jāattiecina ierobežotāks pašvaldību pakalpojumu portāla www.latvija.lv sniegtos autentifikācijas pakalpojumu loks, izslēdzot autentifikācijas iespēju izmantojot internetbankas. Drošības un tehniskajām prasībām, kas jānodrošina no Regulas Nr. 2016/679 25.panta prasībām un no tā izrietošā "drošības principa" (apstrādājot personas datus, jāievieš attiecīgi tehniski vai organizatoriski pasākumi, lai aizsargātu datus pret nejaušu vai nelikumīgu piekļuvi, izmantošanu, pārveidošanu, izpaušanu, nozaudēšanu, iznīcināšanu vai bojājumu), atbilstošāks tehniskais risinājums konkrētajā gadījumā būtu pašvaldību pakalpojumu portāla www.latvija.lv sniegtie autentifikācijas pakalpojumi: 
autentifikācija izmantojot  personas apliecību - eID karti; autentifikācija izmantojot elektronisko parakstu; autentifikācija  izmantojot mobilā lietotni  eParaksts mobile. Šie trīs minētie autentifikācijas veidi ir nozīmīgi ar to, ka piekļuves kontroles ierobežošana tiek veiktam izmantojot daudzslāņu pierakstīšanos (tsk., PIN koda prasības) un personas identitātes apliecināšana ar droša elektroniskā paraksta rīkiem pielīdzināma identitātes apliecināšanai klātienē, uzrādot personu apliecinošu dokumentu.
Līdz ar to Datu valsts inspekcija uzskata, ka minētā 22.1.apakšpunktā norādīto lietotāja autentifikācijas veidu Vadības informācijas sistēmā ir jākonkretizē (jāizvēlas) atbilstoši drošības un tehniskajām prasībām.


 

-

Datu valsts inspekcija attiecībā uz noteikumu projekta 25.punktu norādīto "vadības informācijas sistēmas lietotājiem ir ierobežota piekļuve personas datiem", norāda uz to, ka no piedāvāta punkta redakcijas nav saprotams, par kādu "ierobežotu" piekļuves apjomu personas datiem ir runa. Ar noteikumu projektu nav noregulēts piekļuves apjoms. Tas nav skaidri izsecināms arī no noteikumu projekta anotācijas 6.lpp. ietvertā skaidrojuma.
Skatīt kontekstā arī noteikumu projekta 20.punktā izteikto Datu valsts inspekcijas iebildumu.

-

Datu valsts inspekcija attiecībām uz noteikumu projekta 30.punktu, kurā noteikts, ka "Centrālā finanšu līgumu aģentūra (turpmāk - CFLA)  personas datus apstrādā un uzkrāj vadības informācijas sistēmā šo noteikumu 19. punktā minētajā apjomā", vērš uzmanību uz to, ka attiecībā uz 30.punktu noteikumu projekta anotācijas 6.lpp. iekļauts skaidrojums, ka noteikumu projekta 30.punktā tiek noteikts apjoms, kādā CFLA datus apstrādā, tai skaitā uzkrāj, vadības informācijas sistēmā.
Datu valsts inspekcijas ieskatā, ņemot vērā, ka noteikumu projekta 19.punktā pēc būtības jau ir paredzēts uzskaitīt konkrētus personas datus un īpašo kategoriju personas datus, tad noteikumu projekta 30.punktā atsevišķi nav nepieciešams atkārtoti atsaukties uz noteikumu projekta 19.punktu. Ņemot vērā minēto, Inspekcijas ieskatā 30.punkts no noteikumu projekta ir svītrojams un noteikumu projekta anotācijā attiecīgi veicamas korekcijas.
 

-

Datu valsts inspekcija attiecībā uz noteikumu projekta 31.punktu par Vadības informācijas sistēmā uzkrāto informācijas glabāšanas termiņu līdz 2039.gada 31.decembrim, norāda uz to, ka noteikumu projekta anotācija nesatur skaidrojumu (pamatojumu) par izvēlētā glabāšanas termiņa ilgumu. No Regulas Nr. 2016/679 5.panta 1.punkta "e" apakšpunkta izriet, ka personas dati  tiek glabāti veidā, kas pieļauj datu subjektu identifikāciju, ne ilgāk, kā nepieciešams nolūkiem, kādos attiecīgos personas datus apstrādā. Lai pārliecinātos, ka dati netiek glabāti ilgāk, kā tas ir nepieciešam no Regulas Nr. 2016/679 39.apsvēruma izriet, ka pārzinim būtu jānosaka termiņi, kad dati ir jādzēš vai periodiski jāpārskata. Personas datu apstrādei jāietver tikai to, kas nepieciešams apstrādes nolūkos. Turklāt nav pieļaujama personas datu glabāšana tikai tāpēc, ka teorētiski kaut kad tie atkal varētu noderēt tādam pašam nolūkam vai kādiem vēl nezināmiem nolūkiem.
No šobrīd spēkā esošiem Ministru kabineta 2015. gada 24. februāra noteikumiem Nr. 108 "Kārtība, kādā uzrauga un izvērtē Eiropas Savienības struktūrfondu un Kohēzijas fonda ieviešanu, kā arī izveido un izmanto Kohēzijas politikas fondu vadības informācijas sistēmu 2014.–2020. gadam" 26.punkta izriet, ka Vadības informācijas sistēmā uzkrāto informāciju glabā līdz 2032. gada 31. decembrim. Kontekstā ar noteikuma projekta 31.punktā noteikto glabāšanas termiņa ilgumu - 2039.gada 31.decembri - datu glabāšanas termiņš ir noteikts par septiņiem gadiem ilgāks, proti, tas atbilst Eiropas Savienības fondu 2021.-2027. gada plānošanas periodam.
Ievērojot minēto, Datu valsts inspekcija lūdz noteikumu projektu anotāciju papildināt ar izvēlētā datu glabāšanas ilguma - 2039.gada 31.decembris (datiem jābūt aktīviem un visiem lietotājiem pieejamiem) pamatojuma izvērtējumu.
 

-