VDAR Rīgā saka to pašu, ko Roterdamā. Nepārceļas slānis zem tās: piekrišana no 13 gadu vecuma, datu aizsardzības speciālistu reģistrs, viena gada ierobežojums auditācijas pierakstiem un piecu gadu termiņš prasībām, par ko VDAR nesaka neko.
Interesantākā daļa nav pati VDAR
Galvenie noteikumi Rīgā ir tie paši, kas Roterdamā. VDAR ir tieši piemērojama katrā ES valstī, tāpēc atbilstības programma, kas uzbūvēta vienai no tām, lielākoties pārceļas līdzi.
Nepārceļas slānis zem tās. VDAR atstāj noteiktu skaitu izvēļu nacionālajam likumam, un Latvija tās ir izdarījusi Fizisko personu datu apstrādes likumā — likumā, kas lielākoties ir par regulatoru, nevis par jums. Tieši tās dažas normas, kas ir par jums, ir vieta, kur no ārzemēm norakstīta politika kļūdās.
Pirmkārt: vai VDAR uz jums vispār attiecas
Tā sniedzas tālāk, nekā liek domāt „mēs darbojamies Latvijā”, un to dara pa diviem atsevišķiem ceļiem.
Jums ir klātbūtne ES. VDAR attiecas uz apstrādi, kas veikta ES reģistrētas struktūras darbības kontekstā, pat ja pati apstrāde notiek citur. Latvijas meitasuzņēmums ar serveriem Singapūrā ir tās tvērumā.
Jūs vēršaties pie cilvēkiem ES vai sekojat viņiem. Tā attiecas arī uz uzņēmumiem, kuriem ES klātbūtnes nav nemaz, ja tie piedāvā preces vai pakalpojumus cilvēkiem ES — tieši norādot, vai kāds par tiem maksā vai nemaksā — vai novēro viņu uzvedību. Bezmaksas produkts ar lietotājiem Latvijā un analītika, kas tiem seko, ir tās tvērumā divkārt.
Kritērijs nav tas, kur esat reģistrēti. Parasti tas ir tas, kur ir jūsu lietotāji un vai jūs viņus novērojat.
Vai esat pārzinis vai apstrādātājs — un kam jābūt līgumā
Abām lomām cauri visam ir atšķirīgi pienākumi, un tehnoloģiju uzņēmums parasti ir abas: pārzinis attiecībā uz savu mārketingu un darbinieku datiem un apstrādātājs attiecībā uz visu, ko produktā ievieto tā klienti.
Ja rīkojaties kā apstrādātājs, attiecības jāregulē līgumam, kas atbilst VDAR prasībām. Saturu nosaka pati regula, tāpēc ir vērts zināt, kam tajā jābūt.
Tajā jānorāda apstrādes priekšmets un ilgums, tās raksturs un nolūks, datu veidi, iesaistīto personu kategorijas, kā arī pārziņa tiesības un pienākumi. Pēc tam tam apstrādātājs jāuzliek konkrētiem pienākumiem: rīkoties tikai pēc rakstveida norādījumiem, arī par nosūtīšanu uz ārvalstīm; uzlikt darbiniekiem konfidencialitātes pienākumu; piemērot prasītos drošības pasākumus; piesaistīt apakšapstrādātāju tikai ar iepriekšēju rakstveida atļauju un ar tādiem pašiem noteikumiem, paliekot par to pilnībā atbildīgam; palīdzēt ar personu datu tiesībām un ar drošības, pārkāpumu un ietekmes novērtējuma pienākumiem; beigās dzēst vai atdot datus; un pieļaut auditus.
Divas sekas ir viegli palaist garām. Apstrādātājs, kas sāk lemt, kāpēc un kā datus apstrādā, šajā daļā kļūst par pārzini. Un Eiropas Komisija šīm attiecībām ir publicējusi standartklauzulas, kuras var izmantot, nerakstot līgumu no nulles.
Atbrīvojums 250 darbinieku dēļ gandrīz nekad neattiecas
Šī ir VDAR norma, ko pārlasa visbiežāk nepareizi. Tajā teikts, ka apstrādes darbību reģistrs nav jāuztur, ja darbinieku ir mazāk par 250 — un pēc tam tas tiek atņemts, ja apstrāde varētu radīt risku cilvēkiem, ja tā nav neregulāra vai ja tā skar sensitīvus vai ar sodāmību saistītus datus.
Darbu padara vidējais nosacījums. Produkts, kas lietotāju datus apstrādā nepārtraukti, to nedara „neregulāri”. Lielākajai daļai tehnoloģiju uzņēmumu ar mazāk nekā 250 darbiniekiem atbrīvojums vienkārši nav pieejams, un noderīgais jautājums ir, kurš no trim nosacījumiem to atņem.
Ko Latvija patiesībā ir izlēmusi
Sešas Fizisko personu datu apstrādes likuma normas maina atbildi tehnoloģiju uzņēmumam.
| Jautājums | Latvijas izvēle |
|---|---|
| Bērnu piekrišana | Spēkā no 13 gadu vecuma tiešsaistes pakalpojumiem; jaunākiem piekrišana jādod vecākam |
| Datu aizsardzības speciālisti | Datu valsts inspekcija uztur publisku sarakstu ar speciālistiem, kas nokārtojuši tās kvalifikācijas eksāmenu, kurš notiek saskaņā ar 2020. gada Ministru kabineta noteikumiem — taču iecelt var kādu no saraksta vai jebkuru citu |
| Auditācijas pieraksti | Glabājami ne ilgāk par vienu gadu pēc ieraksta, ja vien cits likums vai apstrādes raksturs neprasa citādi |
| Videonovērošanas zīmes | Jānorāda pārziņa nosaukums, kontaktinformācija un nolūks, kā arī tas, kur iegūstama pārējā informācija |
| Kam dati nodoti | Cik tālu atpakaļ tas jāsniedz — skatīt zemāk |
| Prasības noilgums | Pieci gadi civilprasības celšanai par pārkāpuma izbeigšanu, skaitot no pārkāpuma vai, ja tas turpinās, no dienas, kad tas beidzies |
Tieši pēdējās divas importētā programmā nebūs vispār. Noilgums ir norma, par ko VDAR nesaka neko. Norma par to, kam dati nodoti, prasa uzmanību: pašas VDAR tiesības aptver saņēmējus, kuriem dati ir nodoti vai tiks nodoti, bez jebkāda termiņa, tāpēc tas, kā Latvijas norma iekļaujas tai līdzās, ir jautājums, kas uzdodams, nevis atbilde, ko pieņemt.
Punktu par speciālistu visbiežāk formulē tieši otrādi. Latvijā ir eksāmens un reģistrs, kas ir neparasti, un ir viegli secināt, ka datu aizsardzības speciālistam Latvijā jābūt sertificētam. Patiesība ir pretēja: atrašanās sarakstā dod redzamību, nevis monopolu.
Ziņošana par pārkāpumu un kā izskatās uzraudzība
Latvijas likums šeit nemaina neko. Pārzinis uzraudzības iestādei paziņo bez nepamatotas kavēšanās un, ja iespējams, 72 stundu laikā. Apstrādātājs bez nepamatotas kavēšanās paziņo savam pārzinim — apstrādātāja pusē 72 stundu skaitļa nav, tāpat kā tiešas saiknes ar regulatoru. Drošības pienākumi pēc Latvijas atsevišķā kiberdrošības likuma ir cits pienākums, ar citu atskaiti un pret citu iestādi.
Sodi nāk no pašas VDAR, divos līmeņos: līdz 10 miljoniem EUR vai 2 procentiem no pasaules apgrozījuma par pārziņa un apstrādātāja pienākumiem un līdz 20 miljoniem EUR vai 4 procentiem par pamatprincipiem, personu tiesībām un nosūtīšanu uz ārvalstīm. Viens, ko ir vērts zināt: uzraudzības iestādes rīkojuma neizpilde ir augstākajā līmenī neatkarīgi no tā, par kuru pienākumu rīkojums bijis.
Tas, ap ko uzņēmumam patiesībā jāplāno, ir laiks. Datu valsts inspekcija lemj sešu mēnešu laikā no lietas ierosināšanas, ar iespēju pagarināt līdz gadam un līdz diviem gadiem, ja faktu noskaidrošana prasa ilgu laiku vai ir iesaistīts ES sadarbības mehānisms. Pārsūdzība lēmuma darbību neaptur.
Ar ko sākt
Ja jums jau ir ES mēroga programma, darbs Latvijā ir šaurs: pārbaudiet vecuma slieksni pret 13 gadiem, pārbaudiet, vai speciālista iecelšana nav balstīta pieņēmumā, ka vajadzīga sertifikācija, un pārbaudiet auditācijas pierakstu glabāšanas ilgumu pret viena gada normu.
Ja programma vēl nav uzbūvēta, strādājiet pretējā virzienā. Noskaidrojiet, kurš no diviem ceļiem jūs ievelk tvērumā, lomu pēc lomas izlemiet, vai esat pārzinis vai apstrādātājs, un izveidojiet apstrādes darbību reģistru — atbrīvojums 250 darbinieku dēļ gandrīz noteikti nepalīdzēs, un tieši no šā reģistra tiek atbildēts uz katru vēlāko jautājumu.