Kā pareizi izvērtēt datu subjekta pieprasījumu, ja noticis personas datu aizsardzības pārkāpums. Skaidro Datu valsts inspekcija.

Personas datu aizsardzības pārkāpumi bieži vien izraisa datu subjektu pieprasījumu pieaugumu. Vienlaikus ar incidenta novēršanu, risku izvērtēšanu un nepieciešamo paziņojumu veikšanu pārzinim jānodrošina arī cilvēku kā datu subjektu tiesību īstenošana. Regulas 2016/679 par fizisku personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti (Vispārīgās datu aizsardzības regulas) Vadlīnijas 9/2022 (Vadīnijas) sniedz ieskatu, kā rīkoties.

Praksē tieši datu aizsardzības speciālists bieži izvērtē pieprasījumus. Kā noteikts regulas 39.pantā, viņš konsultē pārzini un uzrauga atbilstību. Savukārt tieši pārzinis pamatojoties uz regulas 24.pantu atbild par lēmumiem un to pamatotību. Atbilstoši regulas 12.panta 5.punktam lēmumu par datu subjekta pieprasījumu izpildi, atteikumu vai pieprasījuma neizskatīšanu pārmērīga vai acīmredzami nepamatota pieprasījuma dēļ pieņem pārzinis. Datu aizsardzības speciālists sniedz ieteikumus un palīdz nodrošināt, ka lēmums atbilst regulasprasībām.

Saņemot datu subjekta pieprasījumu pēc personas datu aizsardzības pārkāpuma, vispirms ir svarīgi noskaidrot, kādas tiesības cilvēks vēlas īstenot un kāda informācija viņam ir nepieciešama. Proti:

• vai pieprasījums attiecas uz paša cilvēka personas datiem;
• vai pieprasītā informācija nepieciešama, lai īstenotu piekļuves tiesības;
• vai informācija jau nav pieejama publiski, piemēram privātuma politikā;
• vai izpaužot informāciju netiks nelabvēlīgi ietekmētas citu personu; tiesības un brīvības, komercnoslēpums vai informācijas drošība.

Regulas34.pants nosaka – ja datu aizsardzības pārkāpumā skarti personas dati, cilvēkam ir tiesības saņemt informāciju, kas ļauj izvērtēt iespējamo ietekmi uz viņa tiesībām un brīvībām. Viņam ir tiesības noskaidrot:

• vai personas dati ir bijuši iesaistīti pārkāpumā;
• kādas personas datu kategorijas ir skartas;
• iespējamās sekas;
• pārziņa veiktajiem vai plānotajiem riska mazināšanas pasākumiem;
• ieteicamos piesardzības pasākumus.

Praksē cilvēki nereti lūdz izsniegt ļoti plašu dokumentācijas klāstu, piemēram, auditācijas pierakstus, sistēmu žurnālfailus, incidenta tehniskās izmeklēšanas ziņojumus, drošības konfigurāciju aprakstus, iekšējo saraksti un citus dokumentus). Tomēr ne vienmēr šī informācija jāizsniedz. Kā norāda Eiropas Savienības Tiesa lietā C-487/21, piekļuves tiesības nenozīmē tiesības saņemt visu dokumentāciju pilnā apjomā, bet tikai to informāciju, kas nepieciešama, lai efektīvi īstenotu savas tiesības.

Nereti rodas arī jautājums, vai pārzinim jāsagatavo jauni dokumenti. Atbilde ir nē. Regula paredz tiesības piekļūt personas datiem, nevis pienākumu pārzinim sagatavot jaunus dokumentus, veikt papildu analīzi vai izstrādāt īpašus pārskatus. Vadlīnijas skaidro, ka pārzinim nav obligāti jāveido jauna informācija, kas tā rīcībā nepastāv, tomēr sniegtajai informācijai jābūt pietiekamai, lai datu subjekts varētu īstenot savas tiesības.

Plašs pieprasījums pats par sevi nenozīmē, ka tas vienmēr ir pārmērīgs, tomēr, ja pieprasījums aptver ļoti lielu informācijas apjomu, pārzinim, jālūdz cilvēkam precizēt pieprasījumu ja tas iespējams, piemēram, norādot, par kuru apstrādes darbību, laikposmu vai datu kategorijām persona vēlas saņemt informāciju. Šāda precizēšana palīdz efektīvāk īstenot datu subjekta tiesības un to neuzskata par šo tiesību ierobežošanu.

Kā norādīts regulas 12.panta 5.punktā, pārzinis var pieprasīt saprātīgu maksu vai atteikt pieprasījuma izpildi, īpaši atkārtotu pieprasījumu gadījumā, ja tas ir acīmredzami nepamatots vai pārmērīgs. Pārzinim ir jāpamato pieņemtais lēmums. Tas, ka pieprasījuma izskatīšana prasa laiku vai resursus, pats par sevi nav pietiekams pamats atteikumam vai maksas piemērošanai. Par pārmērīgu pieprasījumu var liecināt, piemēram, atkārtots identisks pieprasījums pēc jau sniegtas informācijas.

Ja daļa pieprasītās vispārīgās informācijas jau ir pieejama, piemēram, privātuma politikā, pārzinis var uz to atsaukties. Vienlaikus jānodrošina individuāla atbilde attiecībā uz konkrētā datu subjekta personas datiem vai pārkāpuma apstākļiem.