Kas notiek pēc datu noplūdes un kā šādās situācijās jārīkojas? Skaidro Datu valsts inspekcija.

Par datu noplūdi jāziņo

Saņemot no organizācijas paziņojumu par noplūdi, Datu valsts inspekcija (DVI) vispirms noskaidro:

• kas ir noticis;
• kādi ir pārkāpuma apstākļi;
• kādi pasākumi ir veikti, lai novērstu vai mazinātu tā sekas.

Organizācijai ir pienākums ziņot DVI par personas datu noplūdi, ja tas var radīt risku fizisku personu tiesībām un brīvībām.

No organizācijas saņemtais paziņojums tiek izvērtēts pēc būtības. Lai pilnvērtīgi izprastu notikušo, DVI pieprasa organizācijai papildu informāciju par incidenta apstākļiem, tā cēloņiem un veiktajiem drošības pasākumiem. DVI vērtē, piemēram, kā pārkāpums radies, kādi tehniskie un organizatoriskie drošības pasākumi organizācijā bija ieviesti, kādi riski bija identificēti un kā organizācija tos bija pārvaldījusi.

Svarīgi saprast, ka pats fakts, ka noticis personas datu aizsardzības pārkāpums, automātiski nenozīmē, ka organizācija nav ievērojusi datu aizsardzības prasības. Incidenti var notikt arī tad, ja organizācija ir ieviesusi atbilstošus tehniskos un organizatoriskos pasākumus.

Tāpēc DVI vērtē ne tikai to, kas notika, bet arī to, kāpēc tas notika, vai organizācija varēja attiecīgo risku paredzēt un vai tā bija veikusi samērīgus pasākumus, lai incidentu novērstu vai mazinātu tā iespējamību un sekas.

Kā rīkoties personai

Ja DVI par konkrēto personas datu aizsardzības pārkāpumu jau ir zināms un tas tiek izvērtēts, nav nepieciešams iesniegt sūdzību tikai tādēļ, lai atkārtoti informētu DVI par paša incidenta faktu.

Vērsties DVI var būt lietderīgi, ja personas rīcībā ir jauna informācija, kas līdz šim nav bijusi zināma un var būt būtiska incidenta izvērtēšanai.

Ja sūdzībā tiek norādīti apstākļi, kurus DVI jau izvērtē saistībā ar konkrēto incidentu, par šo incidentu saņemtās sūdzības var tikt apkopotas un vērtētas kopsakarā vienotas pārbaudes ietvaros, nevērtējot individuālās sūdzības.

DVI nelemj par kompensācijas izmaksu saistībā ar personas datu aizsardzības pārkāpumu sūdzības iesniedzējam. Jautājums par kaitējuma atlīdzināšanu risināms civilprocesuālā kārtībā, vēršoties tiesā un iesniedzot pierādījumus par nodarīto kaitējumu.

Ja persona uzzina, ka organizācijā, kuras rīcībā ir tās personas dati, ir notikusi noplūde, vispirms jāiepazīstas ar organizācijas sniegto informāciju. Tajā būtu jānorāda organizācijai zināmais incidenta apjoms, skartie personas dati, iespējamās sekas un veiktie vai plānotie pasākumi risku mazināšanai. Ja organizācija jau ir sniegusi visu tās rīcībā esošo informāciju, vēršoties pie tās atsevišķi, plašāku informāciju par incidentu ne vienmēr būs iespējams saņemt. Savukārt, ja pēc iepazīšanās ar paziņojumu paliek konkrēti jautājumi par personas datiem, jāvēršas pie organizācijas, lai tos precizētu.