Informācija par personas datu noplūdi var radīt satraukumu, īpaši tad, ja incidents skar lielu cilvēku skaitu. Šādi incidenti ir notikuši arī iepriekš, tādēļ skaidrojam, kas notiek pēc datu noplūdes un kā šādās situācijās rīkojas Datu valsts inspekcija. Saņemot no organizācijas paziņojumu par noplūdi, Inspekcija vispirms noskaidro:
kas ir noticis;
kādi ir pārkāpuma apstākļi;
kādi pasākumi ir veikti, lai novērstu vai mazinātu tā sekas.
Jāpatur prātā, ka organizācijai ir pienākums ziņot Inspekcijai par personas datu noplūdi, ja tas var radīt risku fizisku personu tiesībām un brīvībām. Šāds pienākums noteikts Datu regulā.
Ko dara Inspekcija, saņemot paziņojumu par personas datu aizsardzības pārkāpumu?
No organizācijas saņemtais paziņojums tiek izvērtēts pēc būtības. Lai pilnvērtīgi izprastu notikušo, Inspekcija pieprasa organizācijai papildu informāciju par incidenta apstākļiem, tā cēloņiem un veiktajiem drošības pasākumiem. Inspekcija vērtē, piemēram, kā pārkāpums radies, kādi tehniskie un organizatoriskie drošības pasākumi organizācijā bija ieviesti, kādi riski bija identificēti un kā organizācija tos bija pārvaldījusi.
Ja datu aizsardzību tēlaini salīdzina ar mājas aizsardzību, Inspekcija vērtē ne tikai to, ka kāds ir iekļuvis mājā, bet arī to, vai durvis bija aizslēgtas, logi aizvērti un bija veikti citi saprātīgi drošības pasākumi.
Svarīgi saprast, ka pats fakts, ka noticis personas datu aizsardzības pārkāpums, automātiski nenozīmē, ka organizācija nav ievērojusi datu aizsardzības prasības. Incidenti var notikt arī tad, ja organizācija ir ieviesusi atbilstošus tehniskos un organizatoriskos pasākumus.
Tāpēc Inspekcija vērtē ne tikai to, kas notika, bet arī to, kāpēc tas notika, vai organizācija varēja attiecīgo risku paredzēt un vai tā bija veikusi samērīgus pasākumus, lai incidentu novērstu vai mazinātu tā iespējamību un sekas.
Ja mani personas dati ir skarti, vai man jāiesniedz sūdzība Inspekcijā?
Ja Inspekcijai par konkrēto personas datu aizsardzības pārkāpumu jau ir zināms un tas tiek izvērtēts, nav nepieciešams iesniegt sūdzību tikai tādēļ, lai atkārtoti informētu Inspekciju par paša incidenta faktu.
Kad individuāla sūdzība var būt noderīga?
Vērsties Inspekcijā var būt lietderīgi, ja personas rīcībā ir jauna informācija, kas Inspekcijai līdz šim nav bijusi zināma un var būt būtiska incidenta izvērtēšanai.
Ja sūdzībā tiek norādīti apstākļi, kurus Inspekcija jau izvērtē saistībā ar konkrēto incidentu, par šo incidentu saņemtās sūdzības var tikt apkopotas un vērtētas kopsakarā vienotas pārbaudes ietvaros, nevērtējot individuālās sūdzības.
Vienlaikus jāņem vērā, ka Inspekcija nelemj par kompensācijas izmaksu saistībā ar personas datu aizsardzības pārkāpumu sūdzības iesniedzējam. Jautājums par kaitējuma atlīdzināšanu risināms civilprocesuālā kārtībā, vēršoties tiesā un iesniedzot pierādījumus par nodarīto kaitējumu.
Tātad – ko darīt, ja tiek ziņots par datu noplūdi?
Ja uzzināt, ka organizācijā, kuras rīcībā ir jūsu personas dati, ir notikusi noplūde, vispirms iepazīstieties ar organizācijas sniegto informāciju. Tajā būtu jānorāda organizācijai zināmais incidenta apjoms, skartie personas dati, iespējamās sekas un veiktie vai plānotie pasākumi risku mazināšanai. Ja organizācija jau ir sniegusi visu tās rīcībā esošo informāciju, vēršoties pie tās atsevišķi, plašāku informāciju par incidentu ne vienmēr būs iespējams saņemt. Savukārt, ja pēc iepazīšanās ar paziņojumu paliek konkrēti jautājumi par tieši jūsu personas datiem, varat vērsties pie organizācijas, lai tos precizētu.