Biežāk uzdotie jautājumi

Lai piekrišanu varētu uzskatīt par derīgu, tai jābūt:

• brīvi sniegtai;
• konkrētai;
• apzinātai;
• nepārprotamai.

Tas nozīmē, ka cilvēki var brīvi izvēlēties, vai piekrīt savu personas datu apstrādei; ir vajadzīga pietiekama informācija, lai viņi varētu saprast, kuri dati tiek apstrādāti, kādam nolūkam un kā tas tiek darīts; ir nepieciešama arī pietiekama detalizācijas pakāpe piekrišanas pieprasījumos.

Piekrišanai ir jābūt sniegtai skaidri apstiprinošas darbības veidā (bez iepriekš izdarītām atzīmēm piekrišanas lodziņos un atsevišķi no piemērojamajiem vispārīgajiem nosacījumiem).

Turklāt personām ir jābūt iespējai brīvi atsaukt savu piekrišanu (bez jebkādām negatīvām sekām), ja viņi vēlāk maina savu viedokli.

Plašāka informācija:

• Apstrādājiet personas datus likumīgi

Ja jūsu organizācija personas datus vāc tieši no privātpersonām, tai ir jāsniedz vajadzīgā informācija vākšanas laikā.

Netiešas personas datu vākšanas gadījumā jūsu organizācijai informācija jāsniedz ne vēlāk kā viena mēneša laikā pēc personas datu sākotnējās iegūšanas. Šo maksimālo viena mēneša periodu var saīsināt:

• ja personas dati tiek izmantoti saziņai ar datu subjektu. Šādā gadījumā jums jāinformē datu subjekts ne vēlāk kā brīdī, kad notiek pirmā saziņa ar datu subjektu;
• ja dati tiek nosūtīti citam saņēmējam, organizācija par to informē datu subjektus vēlākais tad, kad personas dati tiek nosūtīti.

Plašāka informācija:

• Ievērojiet personu tiesības

Katrai organizācijai, kas veic uzņēmējdarbību Eiropas Ekonomikas zonā (EEZ) vai piedāvā produktus vai pakalpojumus fiziskām personām EEZ, neatkarīgi no to lieluma vai nozares, apstrādājot personas datus ar automatizētiem līdzekļiem vai bez tiem, ir jāievēro VDAR. Lai gan VDAR galvenokārt attiecas uz automatizētu personas datu apstrādi, arī manuāli veiktās apstrādes darbības būs pakļautas GDPR prasībām, ja vien papīra dokumenti tiek organizēti sistemātiskā veidā, piemēram, alfabēta secībā kartotēkā. Apstrādes darbību piemēri ietver personas datu vākšanu, reģistrēšanu, organizēšanu, izmantošanu, labošanu, glabāšanu, izpaušanu, pārnešanu un dzēšanu.

Neskatoties uz to, GDPR piemērošana tiek pielāgota atkarībā no apstrādes darbību veida, konteksta, mērķiem un riskiem. Mazajiem un vidējiem uzņēmumiem, kuru pamatdarbība nav personas datu apstrāde,  prasības var nebūt tik striktas kā lieliem uzņēmumiem.

Plašāka informācija:

• Datu aizsardzības pamati

DAS uzdevumi ir šādi:

• informēt un konsultēt organizāciju un tās darbiniekus par datu aizsardzības ievērošanu;
• uzraudzīt atbilstību datu aizsardzības prasībām;
• sniegt konsultācijas par pieprasījumiem saistībā ar novērtējumu par ietekmi uz datu aizsardzību (NIDA);
• darboties kā datu aizsardzības iestādes kontaktpersonai un sadarboties ar minēto DAI;
• darboties kā personu kontaktpunktam.

Turklāt datu aizsardzības speciālista klātbūtne parasti ir ieteicama gadījumos, kad tiek pieņemti lēmumi, kas saistīti ar datu aizsardzību. Tiklīdz ir noticis datu aizsardzības pārkāpums vai cits incidents, būtu nekavējoties jāapspriežas ar DAS.

Plašāka informācija:

• Datu aizsardzības speciālists

Vispārīgā datu aizsardzības regula (VDAR) uzliek pienākumus visām organizācijām, kas apstrādā personas datus, neatkarīgi no tā, vai tās ir pārziņi vai apstrādātāji.

Svarīgākais, ko vajadzētu ņemt vērā:

• Pajautājiet sev, vai nolūks, kuram personas datus var vākt, ir pamatots, un vāciet tikai tos personas datus, kas ir nepieciešami konkrētajam(-iem) paredzētajam(-iem) mērķim(-iem);
• Atjauniniet fizisko personu personas datus un dzēsiet tos, kad tie vairs nav nepieciešami;
• Ievērojiet personu tiesības, informējot par to, kā un kāpēc tiek apstrādāti viņu dati, un ļaujiet cilvēkiem izmantot savas tiesības;
• Pārbaudiet, vai jums ir atbilstošs tiesiskais pamats personas datu apstrādei. Ja jūs plānojat apstrādi pamatot ar fizisku personu piekrišanu, pirms apstrādes to viņiem palūdziet;
• Nodrošiniet, ka personas dati tiek apstrādāti drošā veidā;
• Veiciet apstrādes darbību uzskaiti.

Datu apstrādātājiem ir jāpilda pienākumi, kas noteikti pārziņa un apstrādātāja līgumā, un tie nedrīkst apstrādāt datus citādi, kā vien saskaņā ar pārziņa norādījumiem.

Plašāka informācija:

• Atbilst prasībām
• Pārzinis vai apstrādātājs
• Datu aizsardzības pamati

• Jebkurai personas datu apstrādei jābūt likumīgai, godīgai un pārredzamai.
• Vāciet personas datus tikai konkrētiem, precīzi formulētiem un likumīgiem nolūkiem. Personas datu apstrādei stingri jāaprobežojas ar sākotnēji noteikto(-ajiem) nolūku(-iem), un datus nedrīkst apstrādāt turpmākiem vai citiem mērķiem, kas nav saderīgi ar sākotnējiem nolūkiem.
• Apstrādājiet tikai tādus personas datus, kas ir nepieciešami un samērīgi, ņemot vērā paredzēto nolūku.
• Visiem jūsu apstrādātajiem personas datiem jābūt precīziem un atjauninātiem. Neprecīzi personas dati ir jālabo vai jādzēš.
• Personas datu glabāšanai jābūt ierobežotai laikā, ņemot vērā nolūku, kādam tie tika vākti un apstrādāti. Tādējādi fizisku personu personas dati ir jādzēš vai jāanonimizē, tiklīdz šie dati vairs nav nepieciešami.
• Personas datu apstrāde ir jāveic drošā veidā. Šajā ziņā ir jāievieš stingra kiberdrošības kontrole, lai nodrošinātu, ka personu dati ir pienācīgi aizsargāti.

Visbeidzot- pārzinis ir atbildīgs par iepriekš minēto principu ievērošanu un viņam jāspēj to pierādīt.

Plašāka informācija:

• Datu aizsardzības pamatprincipi

Jūs nevarat personas datus glabāt mūžīgi.

Parasti personas datus var glabāt tikai tik ilgi, cik nepieciešams tā mērķa sasniegšanai, kādā personas dati tiek apstrādāti.

Dažos gadījumos uzglabāšanas laiku var noteikt normatīvajos aktos, piemēram, darba iekšējos noteikumos ir noteikts glabāšanas termiņš algu sarakstiem.

Organizācijām būtu jāievieš datu glabāšanas politika, lai nodrošinātu, ka personas dati netiek glabāti ilgāk, nekā tas ir nepieciešams. Personas dati ir jādzēš vai jāanonimizē, tiklīdz šie dati vairs nav nepieciešami mērķim, kuram tie tika apstrādāti.

Plašāka informācija:

• Datu aizsardzības pamati

Vispārīgi runājot, katrai organizācijai būtu jāreģistrē savas apstrādes darbības. Tas var palīdzēt jums izdarīt pareizus secinājumus par jūsu pienākumiem saskaņā ar VDAR un iespējamiem riskiem.

Katra no šīm apstrādes darbībām jāapraksta reģistrā, iekļaujot šādu informāciju:

• apstrādes mērķis (piemēram, klientu lojalitātes programma);
• apstrādāto datu kategorijas (piemēram, algu saraksts: vārds, uzvārds, dzimšanas datums, alga u. c.);
• kam ir piekļuve datiem (saņēmējiem, piemēram: par pieņemšanu darbā atbildīgā nodaļa, IT speciālists, vadība, pakalpojumu sniedzēji, partneri u.c.);
• atsevišķā gadījumā- informācija, kas saistīta ar personas datu pārsūtīšanu ārpus Eiropas Ekonomikas zonas (EEZ);
• ja iespējams, glabāšanas periods (periods, par kuru dati ir noderīgi no darbības viedokļa un no arhivēšanas viedokļa);
• ja iespējams, vispārīgs drošības pasākumu apraksts.

Par apstrādes darbību uzskaiti ir atbildīgs jūsu organizācijas vadītājs.

Šim reģistram pēc pieprasījuma jābūt pieejamam tās EEZ valsts datu aizsardzības iestādei, kurā strādājat.

Organizācijām, kas nodarbina mazāk nekā 250 personas, nav jānorāda savā reģistrā tikai gadījuma rakstura darbības (piemēram, dati, kas apstrādāti vienreizējiem pasākumiem, piemēram, veikala atvēršanai).

Plašāka informācija:

• Atbilst prasībām

DAS var veikt citus uzdevumus organizācijā, taču tas nedrīkst radīt interešu konfliktu. Tas nozīmē, ka datu aizsardzības speciālists nevar būt amatā, kurā viņš nosaka datu apstrādes nolūkus un līdzekļus. Konfliktējoši pienākumi galvenokārt ietver vadības amatus (izpilddirektors, finanšu direktors, personāla vadītājs, IT vadītājs u.c. ), bet var ietvert arī citus amatus, ja to rezultātā tiek noteikti apstrādes nolūki un līdzekļi. Datu aizsardzības speciālistam jāspēj neatkarīgi pildīt savus pienākumus. Tas nozīmē, ka jūsu organizācija:

• nedrīkst dot norādījumus DAS attiecībā uz viņa kā DAS pienākumu izpildi;
• nedrīkst sodīt vai atlaist DAS par viņa uzdevumu izpildi.

Plašāka informācija:

• Datu aizsardzības speciālists

Personas datu aizsardzības pārkāpums ir drošības pārkāpums, kura rezultātā notiek nejauša vai nelikumīga personas datu iznīcināšana, nozaudēšana, pārveidošana, neatļauta izpaušana vai piekļuve tiem.

• Ja datu aizsardzības pārkāpums rada risku attiecīgajām personām, jums par to 72 stundu laikā jāziņo attiecīgajai datu aizsardzības iestādei.
• Ja pārkāpums varētu radīt augstu risku personām, jums bez nepamatotas kavēšanās jāpaziņo par šo pārkāpumu attiecīgajām personām.

Jebkurā gadījumā visi pārkāpumi, pat tie, par kuriem nav paziņots DAI, jums ir jāreģistrē (vismaz pārkāpuma pamatinformācija, tā novērtējums, tā sekas un atbildes pasākumi).

Plašāka informācija:

• Datu aizsardzības pārkāpumi

VDAR paredz īpašas tiesības personām, kuras ir jāievēro. To var izdarīt:

• informējot personas, kuru datus jūs apstrādājat, par savām apstrādes darbībām un apstrādes nolūkiem, kad ievācat viņu datus, piemēram, izvietojot privātuma paziņojumu jūsu tīmekļa vietnē;
• atbildot uz personu pieprasījumiem, kad viņi vēlas izmantot savas tiesības, piemēram, piekļūt datiem, tos labot, dzēst vai pārnest.

Organizācijas, kas ir pārredzamas attiecībā uz personas datu izmantošanu un ievēro personu tiesības, retāk kļūst par sūdzību objektiem.

Plašāka informācija:

• Ievērojiet personu tiesības

EDAK regulāri publicē paziņojumus presei, ziņas, blogus un citu saturu EDAK tīmekļa vietnē un tās sociālo mediju kontos (X: @EU_EDPB; LinkedIn: European Data protection Board), lai regulāri informētu datu aizsardzības kopienu un sabiedrību par savu darbu.

EDAK tīmekļa vietnē ir arī divas RSS plūsmas, kuras varat abonēt, lai automātiski saņemtu EDAK ziņas un EDAK jaunākās publikācijas.

Ar Vispārīgo datu aizsardzības regulu (VDAR) ir izveidots saskaņots noteikumu kopums, kas piemērojams visai personas datu apstrādei, ko veic organizācijas (publiskas vai privātas, neatkarīgi no to lieluma), kas izveidotas Eiropas Ekonomikas zonā (EEZ) vai kas vērstas uz fiziskām personām ES. VDAR galvenais mērķis ir nodrošināt, ka personas datiem visā EEZ ir vienādi augsti aizsardzības standarti, palielinot juridisko noteiktību gan fiziskām personām, gan organizācijām, kas apstrādā datus, un piedāvājot personām augstu aizsardzības līmeni.

Regula stājās spēkā 2016. gada 24. maijā, bet to piemēro no 2018. gada 25. maija.

Jā, VDAR ir piemērojama, ja personas dati ir ietverti vai ir paredzēti iekļaušanai kartotēkā. Tas nozīmē, ka VDAR attiecas arī uz papīra formāta dokumentiem, nevis tikai uz personas datu automatizētu apstrādi.

Plašāka informācija:

• Datu aizsardzības pamati

Ja ir divi vai vairāki pārziņi, kas kopīgi nosaka apstrādes nolūku un līdzekļus, tos uzskata par kopīgiem pārziņiem. Viņi kopīgi nolemj apstrādāt personas ar kopīgu nolūku. Kopīga pārzināšana var izpausties dažādos veidos, un dažādu pārziņu līdzdalība var būt nevienlīdzīga. Tāpēc kopīgajiem pārziņiem ir jānosaka savi attiecīgie pienākumi attiecībā uz atbilstību VDAR.

Ir svarīgi atzīmēt, ka kopīga pārzināšana rada kopīgu atbildību par apstrādes darbību.

• Piemērs: Uzņēmumi A un B ir laiduši klajā zīmola produktu un vēlas organizēt pasākumu, lai to reklamētu. Šim nolūkam tie nolemj dalīties ar datiem no savām klientu un potenciālo klientu datubāzēm un, pamatojoties uz tiem, lemt par uzaicināto personu sarakstu. Viņi arī vienojas par kārtību ielūgumu nosūtīšanai uz pasākumu, par to, kā apkopot atsauksmes pasākuma laikā, un par turpmākajām mārketinga darbībām. Uzņēmumus A un B var uzskatīt par kopīgiem pārziņiem tādu personas datu apstrādei, kas saistīti ar reklāmas pasākuma organizēšanu, jo tie kopīgi lemj par kopīgi definētu datu apstrādes nolūku un būtiskiem līdzekļiem šajā kontekstā.

Plašāka informācija:

• Pārzinis vai apstrādātājs

Jā, bet, lai to darītu, jums vispirms jānosaka datu apstrādes tiesiskais pamats. Tas var būt, piemēram, leģitīmās intereses. Apstrādājot personas datus, pamatojoties uz leģitīmajām interesēm, vienmēr ir jāveic līdzsvarošanas tests, lai noteiktu, vai jūsu lieģitīmās intereses ir svarīgākas par personu tiesībām, jo īpaši, ja ir iesaistīti bērni.

Cits iespējamais tiesiskais pamats šādai apstrādei varētu būt piekrišana. Jebkurā gadījumā privātpersonas vienmēr iepriekš jāinformē par to, ka pasākums tiek fotografēts vai filmēts.

Plašāka informācija:

• Apstrādājiet personas datus likumīgi

Piekrišana patiešām varētu būt atbilstošs tiesiskais pamats CV glabāšanai. Cits iespējamais tiesiskais pamats varētu būt leģitīmas intereses. Tādā gadījumā jums būtu jāveic līdzsvarošanas tests, lai pierādītu, ka jūsu organizācijas leģitīmās intereses ir svarīgākas par pieteikuma iesniedzēju tiesībām.

Jebkurā gadījumā jums būs jāinformē kandidāti, ka plānojat glabāt viņu datus, un jāinformē, kādiem mērķiem to darāt.

Plašāka informācija:

• Apstrādājiet personas datus likumīgi

Personas datu apstrāde ir atļauta, ja tai var piemērot tiesisko pamatu. Papildu brīvai, konkrētai, apzinātai un nepārprotamai piekrišanai var piemērot arī citus apstrādes tiesiskos pamatus.

Citiem vārdiem sakot, piekrišana ir nepieciešama, ja nav piemērojams neviens no pārējiem tiesiskajiem pamatiem.

 

Plašāka informācija:

• Apstrādājiet personas datus likumīgi

Nē, jums nav jābūt sertificētam, lai kļūtu par DAS.

Tomēr datu aizsardzības speciālistiem ir jāspēj pierādīt, ka viņiem ir nepieciešamā kvalifikācija, kas noteikta VDAR, piemēram, speciālās zināšanas par datu aizsardzības tiesību aktiem un praksi.

Plašāka informācija:

• Datu aizsardzības speciālists

Novērtējums par ietekmi uz datu aizsardzību jeb NIDA ir rakstisks novērtējums, kas jūsu organizācijai jāveic, lai novērtētu plānotās apstrādes darbības ietekmi. Tas palīdz jums noteikt piemērotus pasākumus risku novēršanai un atbilstības pierādīšanai.

Lai gan vienmēr ir vēlams paredzēt jūsu organizācijas plānoto apstrādes darbību ietekmi, veicot NIDA, tas obligāti jāveic, ja apstrāde var radīt augstu risku personu tiesībām un brīvībām.

Tas jo īpaši attiecas uz gadījumiem, kad paredzētā apstrāde ietver:

• sensitīvu personas datu vai ar sodāmību saistītu datu apstrādi plašā mērogā;  
• sistemātisku un plašu ar personu saistītu personas aspektu izvērtēšanu, kas balstās uz automatizētu apstrādi, tostarp profilēšanu, un uz kuras pamata tiek pieņemti lēmumi, kas rada tiesiskas sekas attiecībā uz personu vai līdzīgi būtiski ietekmē personas;
• publiski pieejamas telpas sistemātiska uzraudzība plašā mērogā.

EDAK ir izstrādājusi vadlīnijas, kurās uzskaitīti kritēriji, kas jums jāņem vērā, vērtējot, vai NIDA ir obligāts. Datu aizsardzības iestādes ir publicējušas arī to apstrādes darbību sarakstus, uz kurām attiecas NIDA. Turklāt vairākas DAI ir izstrādājušas rokasgrāmatas, programmatūru vai pašnovērtējuma rīkus, lai palīdzētu jums veikt novērtējumu.

Plašāka informācija:

• Atbilst prasībām