Kas ir GDPR (VDAR) un ko tā prasa no uzņēmuma

GDPR jeb Vispārīgā datu aizsardzības regula ir Regula (ES) 2016/679, kas kopš 2018. gada 25. maija nosaka, kā organizācijas rīkojas ar informāciju par cilvēkiem. Praksē tā liek zināt, kādi personas dati jums ir, uz kāda pamata tos glabājat, kas vēl tiem piekļūst un kad tie tiek dzēsti, un to visu spēt pierādīt. Saistošs ir pašas regulas teksts, un patiesi strīdīgus gadījumus izšķir jurists; te ir tā versija, kas parasti izskan sarunās.

Uz ko tā attiecas un kas ir personas dati

Regula ir tieši piemērojama visās dalībvalstīs, taču aptuveni piecdesmit vietās atstāj vietu nacionālajiem noteikumiem. Tāpēc Latvijā papildus darbojas Fizisko personu datu apstrādes likums un tāpēc atsevišķas detaļas dažādās valstīs atšķiras. Tā attiecas uz jums, ja esat reģistrēts Eiropas Savienībā, neatkarīgi no tā, kur atrodas serveri, un arī uz uzņēmumiem ārpus ES, kas pārdod vai seko līdzi cilvēkiem šeit. B2B nav izņēmums: konkrēta darbinieka darba e-pasts un tiešais mobilā tālruņa numurs pieder cilvēkam, nevis uzņēmumam.

Personas dati ir jebkura informācija, kas attiecas uz identificētu vai identificējamu personu: IP adreses servera žurnālos, sīkdatņu identifikatori, darbinieka tālruņa numurs, sejas fotogrāfija, CV, videonovērošanas ieraksts. Arī pseidonimizēti dati, kur vārds aizstāts ar atgriezenisku identifikatoru, joprojām ir personas dati. Regulas 9. pants stingrāk regulē veselības datus, biometriju, reliģisko pārliecību un etnisko izcelsmi. Lielākā daļa mazo uzņēmumu ir pārliecināti, ka tādu datu tiem nav, līdz atceras darbnespējas lapas personāla mapē.

Jūs esat pārzinis, hostings ir apstrādātājs

Pārzinis izlemj, kāpēc un kā datus apstrādā; apstrādātājs rīkojas tikai pēc norādījumiem. Hostinga pakalpojumu sniedzējs, algu grāmatvedības birojs un CRM piegādātājs ir apstrādātāji. Pārzinis esat jūs, un gan uzraudzības iestāde, gan pats cilvēks vēršas vispirms pie jums. Arī apstrādātājam ir savi tiešie pienākumi, un sodu var piemērot arī viņam.

Seši tiesiskie pamati, un kāpēc piekrišana ir sliktākais noklusējums

Katrai apstrādes darbībai vajag vienu no sešiem 6. panta pamatiem, izvēlētu pirms darba sākuma un ierakstītu privātuma politikā. Klusi pāriet uz citu, kad pirmais vairs neder, nedrīkst.

Piekrišana ir vājākais no sešiem pamatiem un visbiežāk nepareizi lietotais. To var atsaukt jebkurā brīdī, un līdz ar to zūd pamats visam, kas uz tās uzbūvēts, bet attiecībās starp darba devēju un darbinieku spēku nevienlīdzība neļauj to saukt par brīvu. Lielākajai daļai lietu, kurām uzņēmumi prasa piekrišanu, īstenībā ir līgums vai leģitīmās intereses. Sīkdatņu logs ir atsevišķs ePrivātuma pienākums un paliek jebkurā gadījumā.

Cilvēku tiesības un viena mēneša termiņš

Cilvēks var prasīt savu datu kopiju, labošanu, dzēšanu, apstrādes ierobežošanu un pārnesamību, kā arī iebilst pret apstrādi. Iebildums pret tiešo mārketingu ir absolūts; dzēšana nav, jo dati, kas jāglabā pēc likuma, paliek. Atbildei ir viens mēnesis, ko sarežģītā gadījumā var pagarināt vēl par diviem, ja par to paziņojat pirmā mēneša laikā. Reāli pieprasījums nāk no bijušā darbinieka vai klienta strīdā un vienlaikus skar pastkastes, CRM un rezerves kopijas. Šo termiņu improvizējot neviens neizpilda, tāpēc regulas 30. pants prasa uzturēt apstrādes darbību reģistru.

28. pants un datu apstrādes līgums

Ja apstrādātājs jūsu uzdevumā pieskaras personas datiem, ir jābūt rakstiskam līgumam, un 28. pants nosaka tā saturu: priekšmetu, ilgumu, nolūku, datu veidu un datu subjektu kategorijas, kā arī obligātās klauzulas. Apstrāde tikai pēc jūsu dokumentētiem norādījumiem, darbinieku konfidencialitāte, drošības pasākumi, apakšapstrādātājs tikai ar jūsu atļauju un ar tādiem pašiem noteikumiem, palīdzība datu subjektu pieprasījumos un pārkāpumu gadījumā, datu dzēšana vai atdošana beigās un audita tiesības jums.

"Mēs glabājam datus Eiropas Savienībā" šo dokumentu neaizstāj. Atrašanās vieta atbild uz jautājumu par datu nodošanu un neko nepasaka par norādījumiem, apakšapstrādātājiem vai dzēšanu. Bankai vai auditoram vajag parakstītu līgumu un apakšapstrādātāju sarakstu, arī tos, kas stāv aiz rezerves kopijām un filtrēšanas. Ko parakstām mēs, ir aprakstīts datu aizsardzības sadaļā.

72 stundas un kam par to jāziņo

Par personas datu aizsardzības pārkāpumu jāziņo uzraudzības iestādei bez nepamatotas kavēšanās un, ja iespējams, 72 stundu laikā no brīža, kad par to uzzinājāt, izņemot gadījumus, kad risks cilvēkiem ir maz ticams. Latvijā tā ir Datu valsts inspekcija. Laiks sāk skaitīties no brīža, kad ir pamatota pārliecība, ka kaut kas noticis, nevis tad, kad izmeklēšana beigusies. Ja risks ir augsts, jāinformē arī paši cilvēki, ja vien stipra šifrēšana nav padarījusi datus nelasāmus.

Pārkāpums nav tikai uzlaušana: šifrējošs vīruss, pazaudēts dators, e-pasts nepareizam adresātam, nepareizi konfigurēta krātuve un neatgriezenisks datu zudums arī skaitās. Apstrādātājam jums jāpaziņo ātri, bet iestādei jūsu vietā viņš neziņo. Ja uz jums attiecas NIS2, tur ziņošanas termiņi ir atsevišķi un īsāki.

Datu nodošana ārpus ES pēc Schrems II

Datu sūtīšana ārpus Eiropas Savienības vai pat attālināta piekļuve no trešās valsts ir datu nodošana, kurai vajadzīgs savs pamats: lēmums par aizsardzības līmeņa pietiekamību, standarta līguma klauzulas vai saistošie uzņēmuma noteikumi. Schrems II 2020. gadā atcēla Privacy Shield un noteica, ka pirms klauzulu izmantošanas jāizvērtē galamērķa valsts izlūkošanas tiesības. 2023. gada ES un ASV ietvars atjaunoja ceļu sertificētām ASV organizācijām, taču to apstrīd tiesā, un šodienas atbilde var nebūt pēdējā. Tas ir godīgais arguments par labu tam, lai dati vienkārši paliek šeit: nav ko izvērtēt un nav ko pārtaisīt, kad kārtējais instruments krīt. Tāpēc klienti prasa datu centru Rīgā, nevis lētāku reģionu citā kontinentā.

Glabāšanas termiņi, noteikums, ko ignorē visbiežāk

Datus drīkst glabāt tik ilgi, cik prasa nolūks, taču lielākajā daļā uzņēmumu īstais termiņš ir mūžīgi: CV no konkursa pirms gadiem, saraksts no izstādes, kuru neviens neatceras, rezerves kopijas, kurās klusi guļ cilvēki, kas no produkcijas jau izdzēsti.

Laba prakse ir īss saraksts pa kategorijām ar atsauci uz likumu tur, kur tāda ir. Grāmatvedības noteikumi Latvijā prasa attaisnojuma dokumentus glabāt vismaz piecus gadus, tāpēc ar rēķiniem ir vienkārši. Personāla un algu dokumentiem arhivēšanas termiņi ir daudz garāki. Mārketinga datiem likumā termiņa nav vispār, tāpēc tas jānosaka un jāpamato pašiem. Uzraugi pieņem, ka no nemainīgas rezerves kopijas vienu cilvēku izgriezt nevar, ja vien dzēšanas procedūrā tas ir aprakstīts un atjaunošana viņu neatdzīvina.

Sodi un tas risks, kas patiešām draud

Divi griesti: līdz 10 miljoniem eiro vai 2 % no gada apgrozījuma pasaulē, atkarībā no tā, kurš skaitlis lielāks, par reģistriem, drošību un līgumiem ar apstrādātājiem, un līdz 20 miljoniem vai 4 % par principiem, tiesisko pamatu, cilvēku tiesībām un datu nodošanu. Šie skaitļi apraksta viesnīcu ķēdi vai sociālo tīklu. Parastam uzņēmumam scenārijs ir cits: sūdzas bijušais darbinieks vai saskaities klients, Datu valsts inspekcija atsūta jautājumus ar termiņu, un jūs trīs nedēļas savācat dokumentus, kuriem jau vajadzēja būt. Cilvēks var arī prasīt kompensāciju tiesā, un parasti pirmais iekož komerciālais variants: iepirkumā atsūta datu aizsardzības pielikumu, uz kuru nav ko atbildēt.

Ko hostings var un ko nevar noņemt no jūsu pleciem

Pakalpojuma sniedzējs var uzturēt ēku un tīklu, kontrolēt fizisko piekļuvi, noturēt datus vienā jurisdikcijā, parakstīt 28. panta līgumu, nosaukt savus apakšapstrādātājus, ātri pateikt, ja kaut kas noticis viņa pusē, un nodrošināt infrastruktūras līmeņa kontroles: izolāciju, rezerves kopijas, filtrēšanu tīkla malā.

Viņš nevar izvēlēties jūsu tiesisko pamatu, uzrakstīt privātuma politiku, uzturēt jūsu apstrādes reģistru, noteikt glabāšanas termiņus, atrast personas datus jūsu pašu lietotnē, būt par jūsu datu aizsardzības speciālistu vai padarīt slikti uzrakstītu sistēmu atbilstošu. Ja jūsu kods ieraksta žurnālā karšu numurus, datu centrs ap to neko nemaina.

Mūsu daļa ir tā šaurākā: savs datu centrs Rīgā savā tīklā, dati paliek Eiropas Savienībā un ES tiesību ietvarā, inženieri sasniedzami visu diennakti, un datu apstrādes līgumu mēs parakstām. Viss virs šīs līnijas paliek jūsu pusē, un šo robežu ir vērts uzrakstīt, pirms to prasa auditors.