Lektors Ivo Krievs Ivo Krievskrievs lv 5 tma

Lektors: Ivo Krievs Ivo. Krievs@krievs. lv 5. tēma. Pārziņa un datu operatora pienākumi.

» Pārzinim ir pienākums likumā noteiktajos gadījumos izpaust personas datus valsts un pašvaldību amatpersonām. » Pārzinis izpauž personas datus tikai tām valsts un pašvaldību amatpersonām, kuras pirms datu izpaušanas ir identificējis. » Personas datus var izpaust, pamatojoties uz rakstveida iesniegumu vai vienošanos, norādot datu izmantošanas mērķi, ja likumā nav noteikts citādi Pārziņa pienākumi

» Pārzinis kontrolē ievadīto personas datu veidu un ievadīšanas laiku un ir atbildīgs par to personu rīcību, kuras veic personas datu apstrādi. » Fiziskās personas, kuras tiek iesaistītas personas datu apstrādē, rakstveidā apņemas saglabāt un nelikumīgi neizpaust personas datus. ˃ Šo personu pienākums ir neizpaust personas datus arī pēc darba tiesisko vai citu līgumā noteikto attiecību izbeigšanās. ˃ Pārziņa pienākums ir veikt minēto personu uzskaiti Pārziņa pienākumi

» Tikai pārzinis ir atbildīgs par datu subjekta pieprasījumu izpildi un par datu apstrādes tiesiskumu, tāpat pārzinis atbild par kontroli un arī par radīto kaitējumu subjektam, kas radies nelikumīgas apstrādes dēļ. » Operators uzskatāms par ‘datu apstrādes iekšējā lokā’ esošu subjektu. Operatora statuss

» Ja sadarbības partneris var ietekmēt datu apstrādes nolūku un apstrādā datus (arī) savā labā, piem. , izmanto saņemtos personas datus, lai radītu pakalpojumus ar pievienoto vērtību, ar datu apstrādi saistītā citā darbībā šis sadarbības partneris ir uzskatāms par pārzini (vai iespējams līdzpārzinis). » Operatora pazīmes: ˃ tam jābūt atsevišķam tiesību subjektam attiecībā pret pārzini; ˃ jāapstrādā personas dati pārziņa uzdevumā. Operatora statuss

» Operatora pienākumi attiecībā uz drošību: ˃ personas datu operators viņam uzticētos personas datus drīkst apstrādāt tikai līgumā norādītajā apjomā, atbilstoši tajā paredzētajiem mērķiem un saskaņā ar pārziņa norādījumiem, ja tie nav pretrunā ar normatīvajiem aktiem; ˃ personas datu apstrādi pārzinis var uzticēt personas datu operatoram, noslēdzot rakstveida līgumu. Līgumā jāiekļauj pietiekami sīks operatoru pilnvaru apraksts; ˃ Personas datu operators pirms personas datu apstrādes sākšanas veic pārziņa norādītos drošības pasākumus personas datu apstrādes sistēmas aizsardzībai atbilstoši šā likuma prasībām Operatora statuss

» Personas datu operatora pienākums ir lietot nepieciešamos tehniskos un organizatoriskos līdzekļus, lai aizsargātu personas datus un novērstu to nelikumīgu apstrādi. » Fiziskās personas, kuras tiek iesaistītas personas datu apstrādē, rakstveidā apņemas saglabāt un nelikumīgi neizpaust personas datus. Šo personu pienākums ir neizpaust personas datus arī pēc darba tiesisko vai citu līgumā noteikto attiecību izbeigšanās Operatora statuss

» Gadījumos, kad apstrāde ir jāveic pārziņa vārdā, pārzinis izmanto tikai tādus apstrādātājus, kas sniedz pietiekamas garantijas, ka tiks īstenoti atbilstoši tehniskie un organizatoriskie pasākumi tādā veidā, ka apstrādē tiks ievērotas regulas prasības un tiks nodrošināta datu subjektu tiesību aizsardzība. [Regulas 28. p. 1. d. ] Operatora statuss

» Pirms personas datu apstrādes uzsākšanas pārzinis reģistrē personas datu apstrādi Datu valsts inspekcijā vai norīko fizisko personu — datu aizsardzības speciālistu —, ja pārzinis: ˃ paredz personas datus nodot valstij, kas nav Eiropas Savienības vai Eiropas Ekonomikas zonas dalībvalsts; ˃ paredz personas datus apstrādāt, sniedzot finanšu vai apdrošināšanas pakalpojumus, veicot izlozes vai loterijas, tirgus vai sabiedriskā viedokļa pētījumus, personāla atlasi vai personāla novērtēšanu kā komercdarbības veidu, sniedzot parāda atgūšanas pakalpojumus un kredītinformācijas apstrādes pakalpojumus kā komercdarbības veidu; Datu apstrādes reģistrēšana

˃ veic sensitīvo personas datu apstrādi, izņemot gadījumus, kad minēto datu apstrādi veic grāmatvedības, personāla uzskaites (darba tiesisko attiecību) mērķiem vai to veic reliģiskās organizācijas; ˃ apstrādā personas datus attiecībā uz noziedzīgiem nodarījumiem, sodāmību un sodiem administratīvo pārkāpumu lietās; ˃ veic videonovērošanu, saglabājot personas datus; ˃ veic ģenētisko datu apstrādi. Datu apstrādes reģistrēšana

» Apstrādi reģistrē DVI, iesniedzot iesniegumu, kurā norāda: ˃ pārziņa vārds, uzvārds, personas kods (juridiskajai personai — nosaukums un reģistrācijas numurs), adrese un tālruņa numurs; ˃ personas datu operatora (ja tāds ir) vārds, uzvārds, personas kods (juridiskajai personai — nosaukums un reģistrācijas numurs), adrese un tālruņa numurs; ˃ personas datu apstrādes tiesiskais pamats; ˃ personas datu veidi un personas datu apstrādes mērķi; ˃ datu subjektu kategorijas; Datu apstrādes reģistrēšana

˃ personas datu saņēmēju kategorijas; ˃ paredzētais personas datu apstrādes veids; ˃ plānotais personas datu iegūšanas veids; ˃ informācijas resursu vai tehnisko resursu turētājs, kā arī atbildīgais par informācijas sistēmas drošību ; ˃ tehniskie un organizatoriskie pasākumi, kas nodrošina personas datu aizsardzību; ˃ kādi personas dati tiks nodoti citām valstīm, kas nav Eiropas Savienības vai Eiropas Ekonomikas zonas dalībvalstis. Datu apstrādes reģistrēšana

» Datu valsts inspekcija identificē to personas datu apstrādi, kur iespējami riski datu subjektu tiesībām un brīvībām. ˃ Šādai personas datu apstrādei nosaka pirmsreģistrācijas pārbaudi » Par reģistrāciju DVI izsniedz lēmumu Datu apstrādes reģistrēšana

» Pirms jebkādām izmaiņām, tās pirms tam jāreģistrē DVI. » Ja pārzinis tiek likvidēts, tad jāiesniedz attiecīgs iesniegums par personu datu apstrādes sistēmas izslēgšana. Datu apstrādes reģistrēšana

» Datu valsts inspekcija pieņem lēmumu par pārziņa izslēgšanu no personas datu apstrādes reģistra, ja: ˃ pārzinis nav novērsis pārkāpumus Datu valsts inspekcijas norādītajā termiņā; ˃ pārzinis mēneša laikā pēc izmaiņām personas datu apstrādē nav iesniedzis iesniegumu par izmaiņu izdarīšanu reģistrētajā personas datu apstrādē; ˃ Pārzinis nav iesniedzis iesniegumu par datu apstrādes izslēgšnu, pārziņa maiņas gadījumā vai tā darbības izbeigšanas gadījumā. Datu apstrādes reģistrēšana

» Ministru kabinets nosaka šādu iesniegumu veidlapu paraugus: ˃ personas datu apstrādes reģistrācijas iesniegums; ˃ iesniegums par izmaiņu izdarīšanu personas datu apstrādē; ˃ personas datu aizsardzības speciālista reģistrācijas iesniegums; ˃ iesniegums par personas datu apstrādes izslēgšanu no personas datu apstrādes reģistra; ˃ iesniegums par personas datu aizsardzības speciālista izslēgšanu no Datu valsts inspekcijas reģistra. Datu apstrādes reģistrēšana

» DVI atliek personas datu apstrādes reģistrāciju vai lēmuma pieņemšanu par izmaiņu izdarīšanu personas datu apstrādē, ja: ˃ personas datu apstrādes reģistrācijas iesniegumā konstatēti trūkumi; ˃ nav sniegta visa likumā norādītā informācija; ˃ nav samaksāta valsts nodeva; ˃ personas datu apstrādei nosaka pirmsreģistrācijas pārbaudi. Datu apstrādes reģistrēšana

» DVI nereģistrē personas datu apstrādi vai pieņem lēmumu par atteikumu izdarīt izmaiņas personas datu apstrādē, ja: ˃ DVI konstatētie un paziņotie trūkumi nav novērsti 30 dienu laikā; ˃ personas datu apstrādes reģistrācijas iesniegumu vai iesniegumu par izmaiņu izdarīšanu personas datu apstrādē iesniegusi persona, kura nav uzskatāma par pārzini likuma izpratnē; ˃ pārbaudot personas datu apstrādi, konstatēti normatīvo aktu pārkāpumi personas datu aizsardzības jomā. Datu apstrādes reģistrēšana

» DVI personas datu apstrādes reģistrā iekļauj FPDAL 22. panta pirmajā un ceturtajā daļā minēto informāciju, izņemot informāciju, kas minēta tā pirmās daļas 10. un 11. punktā. » Reģistrs ir publiski pieejams Datu apstrādes reģistrēšana

» Pārzinis var nereģistrēt personas datu apstrādi, ja viņš norīko personas datu aizsardzības speciālistu. » Personas datu aizsardzības speciālists nav personas datu operators » Par personas datu aizsardzības speciālistu var būt fiziskā persona, kurai ir augstākā izglītība tiesību zinātņu, informācijas tehnoloģiju vai līdzīgā jomā un kura ir apmācīta Ministru kabineta noteiktajā kārtībā. Personas datu aizsardzības speciālists

» Pārzinis reģistrē personas datu aizsardzības speciālistu Datu valsts inspekcijā. ˃ Datu valsts inspekcija nereģistrē personas datu aizsardzības speciālistu, ja: + viņš neatbilst šajā likumā izvirzītajām prasībām; + iestājies kāds no FPDAL 22. panta sestajā daļā minētajiem gadījumiem. – Ja mainās pārzinis vai pārziņa darbība tiek izbeigta, viņš iesniedz Datu valsts inspekcijai iesniegumu par personas datu apstrādes izslēgšanu no personas datu apstrādes reģistra (22. p. ) » Personas datu aizsardzības speciālistu reģistrs ir publiski pieejams. Personas datu aizsardzības speciālists

» Par personas datu aizsardzības speciālistu reģistrā norāda šādu informāciju: ˃ personas vārds, uzvārds, kontaktinformācija (adrese, tālruņa numurs, elektroniskā pasta adrese); ˃ termiņš, uz kādu persona ir norīkota; ˃ personas datu apstrādes vietu un ziņas par iespējām saņemt FPDAL 22. panta pirmajā daļā minēto informāciju (DVI reģistrējamās info saturs). Personas datu aizsardzības speciālists

» Lēmumu par datu aizsardzības speciālista reģistrēšanu DVI pieņem 15 dienu laikā. » DVI izslēdz personas datu aizsardzības speciālistu no reģistra, ja: ˃ ir saņemts pārziņa iesniegums par izslēgšanu no personas datu apstrādes reģistra; ˃ mēneša laikā pēc personas datu aizsardzības speciālista reģistrācijas pārzinis nav iesniedzis iesniegumu arī par personas datu apstrādes izslēgšanu no personas datu apstrādes reģistra. Personas datu aizsardzības speciālists

» DVI var izslēgt personas datu aizsardzības speciālistu no reģistra un pieprasīt personas datu apstrādes reģistrāciju, ja Datu valsts inspekcija personas datu aizsardzības speciālista pārziņā esošo personas datu apstrādē konstatē FPDAL pārkāpumus. Personas datu aizsardzības speciālists

» Personas datu aizsardzības speciālists organizē, kontrolē un uzrauga pārziņa veiktās personas datu apstrādes atbilstību likuma prasībām. » Pārzinis piešķir personas datu aizsardzības speciālistam nepieciešamos līdzekļus, nodrošina nepieciešamo informāciju un darba laika ietvaros paredz laiku, lai viņš varētu veikt arī datu aizsardzības speciālista pienākumus. Personas datu aizsardzības speciālists

» Personas datu aizsardzības speciālists veido reģistru, kurā iekļauj sekojošu informāciju, ko bez maksas sniedz datu subjektam vai Datu valsts inspekcijai pēc to pieprasījuma: ˃ pārziņa vārds, uzvārds, personas kods (juridiskajai personai — nosaukums un reģistrācijas numurs), adrese un tālruņa numurs; ˃ personas datu operatora (ja tāds ir) vārds, uzvārds, personas kods (juridiskajai personai — nosaukums un reģistrācijas numurs), adrese un tālruņa numurs; ˃ personas datu apstrādes tiesiskais pamats; ˃ personas datu veidi un personas datu apstrādes mērķi; ˃ datu subjektu kategorijas; Personas datu aizsardzības speciālists

personas datu saņēmēju kategorijas; paredzētais personas datu apstrādes veids; plānotais personas datu iegūšanas veids; personas datu apstrādes vieta; informācijas resursu vai tehnisko resursu turētājs, kā arī atbildīgais par informācijas sistēmas drošību; ˃ tehniskie un organizatoriskie pasākumi, kas nodrošina personas datu aizsardzību; ˃ kādi personas dati tiks nodoti citām valstīm, kas nav ES vai EEZ dalībvalstis. ˃ ˃ ˃ Personas datu aizsardzības speciālists

» Personas datu aizsardzības speciālista pienākums ir saglabāt un bez tiesiska pamata neizpaust personas datus arī pēc darba, dienesta vai citu tiesisko attiecību izbeigšanas. » Personas datu aizsardzības speciālists katru gadu sagatavo gada pārskatu par savu darbību un iesniedz to pārzinim. Personas datu aizsardzības speciālists

» Speciālistu kvalifikācija: ˃ Jāapgūst sekojoši jautājumi: + personas datu aizsardzības jēdziens, termini un definīcijas, kas saistītas ar personas datu aizsardzību; + FPDAL piemērošanas joma; + personas datu aizsardzība un speciālās tiesību normas; + personas datu aizsardzības principi; + datu subjekta tiesības un datu subjekta piekrišana personas datu apstrādei; + pārziņa un personas datu operatora pienākumi, tai skaitā obligātās tehniskās un organizatoriskās prasības; + sensitīvu personas datu apstrāde; + personas datu nodošana valstij, kas nav Eiropas Savienības vai Eiropas Ekonomikas zonas dalībvalsts; + personas datu aizsardzības uzraudzības iestāde, tās funkcijas, uzdevumi un kompetence, kā arī kārtība, kādā minētā iestāde īsteno savas funkcijas; + sankcijas un personai nodarīto kaitējumu vai radīto zaudējumu atlīdzināšana pārkāpumu gadījumos personas datu aizsardzības jomā. Personas datu aizsardzības speciālists

» Pēc apmācību pabeigšanas pretendentam jākārto DVI organizēts pārbaudījums. » Pārbaudījumā vērtē apmācību kursā iegūtās speciālista darbībā nepieciešamās teorētiskās zināšanas (tai skaitā par normatīvajiem aktiem), kā arī prasmi piemērot šīs zināšanas praksē, lai veiktu speciālista amata pienākumus. Personas datu aizsardzības speciālists

» Ja pretendents nav nokārtojis pārbaudījumu, viņam ir tiesības to kārtot atkārtoti, bet ne vairāk kā divas reizes un ne vēlāk kā gadu pēc apmācību pabeigšanas. » Ja minētās prasības nav izpildītas, pretendentam ir pienākums atkārtoti piedalīties apmācībās, lai sagatavotos pārbaudījumam. » Apliecību izsniedz uz pieciem gadiem. Personas datu aizsardzības speciālists

» Lai uzturētu spēkā speciālista kvalifikāciju, speciālists, kurš vismaz divus gadus ir reģistrēts inspekcijā kā pārziņa norīkotais speciālists, katru gadu izpilda šādas prasības: ˃ piedalās profesionālās kvalifikācijas paaugstināšanas pasākumos, ko organizē inspekcija (ne mazāk kā sešas akadēmiskās stundas); ˃ piedalās profesionālās kvalifikācijas paaugstināšanas pasākumos, ko organizē citi apmācību organizētāji ar specializāciju tiesību zinātņu, personas datu aizsardzības, informācijas tehnoloģiju vai līdzīgā jomā (ne mazāk kā sešas akadēmiskās stundas). Personas datu aizsardzības speciālists

» Lai uzturētu spēkā speciālista kvalifikāciju, speciālists, kurš nav ievērojis iepriekš minētās prasības, kārto pārbaudījumu inspekcijā. ˃ Speciālists ne agrāk kā sešus mēnešus pirms un ne vēlāk kā vienu gadu pēc speciālistam izsniegtās apliecības derīguma termiņa beigām iesniedz inspekcijā iesniegumu par pārbaudījuma kārtošanu. Personas datu aizsardzības speciālists

» Datu aizsardzības speciālists [Regula] būs obligāts, ja: ˃ apstrādi veic publiska iestāde vai struktūra, izņemot tiesas, tām pildot savus uzdevumus; ˃ pārziņa vai apstrādātāja pamatdarbība sastāv no apstrādes darbībām, kurām to būtības, apmēra un/vai nolūka dēļ nepieciešama regulāra un sistemātiska datu subjektu novērošana plašā mērogā; vai ˃ pārziņa un apstrādātāja pamatdarbības ietver īpašo kategoriju datu un datu par sodāmību un pārkāpumiem apstrādi plašā mērogā. Personas datu aizsardzības speciālists