#DVIskaidro: Datu subjekta pieprasījumi pēc personas datu aizsardzības pārkāpuma - praktiski ieteikumi datu aizsardzības speciālistam

Saņemot datu subjekta pieprasījumu pēc personas datu aizsardzības pārkāpuma, vispirms ir svarīgi noskaidrot, kādas tiesības cilvēks vēlas īstenot un kāda informācija viņam patiesībā ir nepieciešama. Proti:

•  vai pieprasījums attiecas uz paša datu subjekta personas datiem;
•  vai pieprasītā informācija ir nepieciešama piekļuves tiesību īstenošanai;
• vai informācija jau nav pieejama privātuma politikā vai citā publiski pieejamā dokumentā;
• vai informācijas izpaušana nevarētu nelabvēlīgi ietekmēt citu personu tiesības un brīvības, komercnoslēpumu vai informācijas drošību.

EDAK Vadlīnijas 01/2022 par piekļuves tiesībām skaidro, ka piekļuves tiesību mērķis ir ļaut datu subjektam pārbaudīt viņa personas datu apstrādes tiesiskumu un pārliecināties, ka viņa personas dati tiek apstrādāti atbilstoši Datu regulai. Attiecīgi Datu regulas 15. pants nenodrošina tiesības iepazīties ar visu informāciju par incidentu vai visu pārziņa rīcībā esošo dokumentāciju, kā arī izmeklēšanu, bet gan tikai ar viņa personas datiem un informāciju par to apstrādi.
 

Ja datu aizsardzības pārkāpumā ir skarti personas dati, cilvēkam ir tiesības saņemt informāciju, kas ļauj izvērtēt iespējamo ietekmi uz viņa tiesībām un brīvībām. Viņam ir tiesības noskaidrot:

• vai personas dati ir bijuši iesaistīti pārkāpumā;

• kādas personas datu kategorijas ir skartas;

• iespējamās sekas;

• pārziņa veiktajiem vai plānotajiem riska mazināšanas pasākumiem;

• ieteicamos piesardzības pasākumus [4]. 

EDAK Vadlīnijas 9/2022 uzsver, ka paziņojumam par personas datu aizsardzības pārkāpumu jābūt skaidram un praktiski izmantojamam, lai datu subjekts varētu saprast iespējamo ietekmi un nepieciešamo rīcību.

Praksē datu subjekti nereti lūdz izsniegt:

• auditācijas pierakstus;

• sistēmu žurnālfailus;

• incidenta tehniskās izmeklēšanas ziņojumus;

• drošības konfigurāciju aprakstus;

• iekšējo saraksti;

• visu dokumentāciju par incidentu. 

Tomēr praksē ne vienmēr šī informācija jāizsniedz. EST lietā C-487/21 (Österreichische Post) norādīja, ka piekļuves tiesības nenozīmē tiesības saņemt visu dokumentāciju pilnā apjomā, bet tikai to informāciju, kas nepieciešama šo tiesību efektīvai īstenošanai. Jāņem vērā arī citu personu tiesības un informācijas drošība, tādēļ pirms atteikuma jāizvērtē iespēja informāciju sniegt daļēji, piemēram, to anonimizējot vai aizklājot [6]. 

Nē. Datu regula paredz tiesības piekļūt personas datiem, nevis pienākumu pārzinim sagatavot jaunus dokumentus, veikt papildu analīzi vai izstrādāt īpašus pārskatus. EDAK Vadlīnijas 01/2022 skaidro, ka pārzinim nav obligāti jāveido jauna informācija, kas tā rīcībā nepastāv, tomēr sniegtajai informācijai jābūt pietiekamai, lai datu subjekts varētu īstenot savas tiesības.

Plašs pieprasījums pats par sevi nenozīmē, ka tas vienmēr ir pārmērīgs, tomēr, ja pieprasījums aptver ļoti lielu informācijas apjomu, pārzinim, ja iespējams, jālūdz cilvēkam precizēt pieprasījumu, piemēram, norādot, par kuru apstrādes darbību, laikposmu vai datu kategorijām persona vēlas saņemt informāciju. Šāda precizēšana palīdz efektīvāk īstenot datu subjekta tiesības un nav uzskatāma par šo tiesību ierobežošanu.

Pārzinis var pieprasīt saprātīgu maksu vai atteikt pieprasījuma izpildi, ja tas ir acīmredzami nepamatots vai pārmērīgs, īpaši atkārtotu pieprasījumu gadījumā [7]. Šī norma piemērojama šauri, un pārzinim ir jāpamato pieņemtais lēmums. Tas, ka pieprasījuma izskatīšana prasa laiku vai resursus, pats par sevi nav pietiekams pamats atteikumam vai maksas piemērošanai. Par pārmērīgu pieprasījumu var liecināt, piemēram, atkārtots identisks pieprasījums pēc jau sniegtas informācijas.

Ja daļa pieprasītās vispārīgās informācijas jau ir pieejama, piemēram, privātuma politikā, pārzinis var uz to atsaukties. Vienlaikus jānodrošina individuāla atbilde attiecībā uz konkrētā datu subjekta personas datiem vai pārkāpuma apstākļiem.