Lai veicinātu izpratni par kredītinformācijas biroju tiesisko attiecību statusu pakalpojumu sniegšanas ietvaros, kā arī atvieglotu kredītinformācijas biroju komunikāciju ar kredītinformācijas biroja lietotājiem savstarpējos līgumos iekļaujamo pienākumu definēšanā, Datu valsts inspekcija sniedz skaidrojumu par kredītinformācijas biroju lomu personas datu apstrādē.
Vispārīgā datu aizsardzības regulas[1] 4.panta 7.apakšpunkts noteic, ka “pārzinis” ir fiziska vai juridiska persona, publiska iestāde, aģentūra vai cita struktūra, kas viena pati vai kopīgi ar citām nosaka personas datu apstrādes nolūkus un līdzekļus; [..]. Savukārt “apstrādātājs”[2] ir fiziska vai juridiska persona, publiska iestāde, aģentūra vai cita struktūra, kura pārziņa vārdā apstrādā personas datus.
Pārziņa jēdzienam un tā mijiedarbībai ar apstrādātāja jēdzienu ir principiāla nozīme Regulas piemērošanā, jo tie nosaka, kuras personas atbild par datu aizsardzības noteikumu ievērošanu, kā datu subjekti var īstenot savas tiesības, kuri ir piemērojamie dalībvalstu tiesību akti un kā var darboties kompetentās datu aizsardzības iestādes.
Eiropas Datu aizsardzības kolēģijas 2020.gada 2.septembra Pamatnostādnēs Nr. 07/2020 ”Par pārziņa un apstrādātāja jēdzieniem GDPR” (“Guidelines 07/2020 on the concepts of controller and processor in the GDPR”) (turpmāk - Pamatnostādnes Nr. 07/2020). Pamatnostādņu Nr. 07/2020 3.lp. tiek skaidrots, ka pārziņa jēdziens ir funkcionāls jēdziens, tāpēc tā pamatā ir faktiska, nevis formāla analīze. Vairumā gadījumu pārzini var viegli un skaidri identificēt, atsaucoties uz noteiktiem juridiskiem un / vai faktiskiem apstākļiem, no kuriem, parasti, var secināt par “ietekmi”, ja vien citi elementi neliecina par pretējo. Var izdalīt divas situāciju kategorijas: (1) kontrole, kas izriet no tiesību normām; un (2) kontrole, kas izriet no faktiskās ietekmes.
Tāpat, Pamatnostādņu Nr. 07/2020 10.lp. tiek skaidrots, ka pārziņa koncepcija norāda uz tā ietekmi uz apstrādi, izmantojot lēmumu pieņemšanas pilnvaras. Pārzinis ir struktūra, kas izlemj noteiktus apstrādes pamatelementus. Pārziņa statusu nosaka likums vai tas var izrietēt no lietas faktiskajiem apstākļiem vai to analīzes. Vērtējot konkrētās apstrādes darbības, svarīgi ir saprast, kas tās nosaka, vispirms apsverot šādus jautājumus: "kāpēc šī apstrāde notiek?" un “kurš nolēma, ka apstrādei jānotiek noteiktam mērķim?”.
Saskaņā ar Patērētāju tiesību aizsardzības likuma 8.panta 4.1 daļu (turpmāk – PTAL) - pirms patērētāja kreditēšanas līguma noslēgšanas kredīta devējs izvērtē patērētāja spēju atmaksāt kredītu, pamatojoties uz pietiekamu informāciju, kas saņemta no patērētāja, un, ja nepieciešams, uz ziņām no atbilstoši normatīvajiem aktiem personas datu apstrādei izveidotām datubāzēm. Savukārt, PTAL 8. panta 4.8 daļa nosaka, ka izpildot PTAL 8.panta 4.1, 4.2 un 4.4 daļā noteiktos pienākumus, kredīta devējam ir jābūt pieejamai informācijai, kas iekļauta visu kredītinformācijas biroju datubāzēs un, ka kredītinformācijas birojs, ar kuru kredīta devējs noslēdzis līgumu pēc kredīta devēja pieprasījuma viņa uzdevumā pieprasa un saņem no pārējiem kredītinformācijas birojiem to datubāzēs esošās ziņas par patērētāju vai galvinieku, to saistībām un saistību izpildes gaitu.
Kredītinformācijas biroju likuma (turpmāk - KBL) 12.panta 1.2 daļa nosaka, ka to ziņu par klienta maksājuma saistībām, kuras kredītinformācijas biroja datubāzē iekļauj kredīta devēji saskaņā ar PTAL prasībām, izņemot šā panta pirmajā daļā noteiktās ziņas, saturu un apjomu, kā arī termiņus un kārtību, kādā ziņas iekļaujamas kredītinformācijas biroja datubāzē, nosaka Ministru kabinets. Turpretī, KBL 12. panta otrajā daļā, noteikts, ka kredītinformācijas lietotājs vai kredītinformācijas birojs ir tiesīgs iekļaut kredītinformācijas biroja datubāzē citu šā panta pirmajā un 1.2 daļā neminētu kredītinformāciju, ja šādai iekļaušanai ir kāds no datu regulā minētajiem personas datu apstrādes pamatiem. Uz KBL pamata izdotie Ministru kabineta 2020.gada 26.maija noteikumi Nr.327 “Noteikumi par kredītinformācijas biroja datubāzē iekļaujamām ziņām par maksājuma saistībām” definē iekļaujamo ziņu apjomu, iekļaušanas un dzēšanas termiņus. Tādējādi kreditors, iesniedzot ziņas kredītinformācijas birojam faktiski nenosaka kredītinformācijas birojam apstrādes mērķi un līdzekļus, bet gan izpilda normatīvajā aktā noteikto juridisko pienākumu. Savukārt kredītinformācijas birojs tā datubāzē datus, saņemot, iekļaujot, apmainoties ar tiem ar cita kredītinformācijas biroja starpniecību un, sniedzot šo informāciju saviem lietotājiem (visos personas datu apstrādes posmos), attiecībā uz iekļaujamo ziņu apjomu un glabāšanas termiņiem arī izpilda normatīvajos aktos noteikto juridisko pienākumu, kļūstot par formālo pārzini. Tādā veidā gan kreditora, gan kredītinformācijas biroja personas datu apstrādes tiesiskais pamats ir Regulas 6.panta 1.punkta c) un arī f) apakšpunkts (pārziņa leģitīmā interese, kā interese veikt komercdarbību kreditēšanas un kredītinformācijas apmaiņas jomā kopumā).
Izvērtējot kredītinformācijas biroju pakalpojuma jēgu, kas ir sniegt pakalpojumus, nevis kādas personas interesēs un sekojot tās tiešiem norādījumiem, bet gan izpildīt tieši likumā dotos uzdevumus, var izdarīt secinājumu, ka kredītinformācijas birojs, veicot darbības likumā noteikto apstrādes mērķu sasniegšanai, uzskatāms par pārzini. Minēto interpretāciju apstiprina arī KBL 3.panta pirmā daļa, kurā norādīts, ka likums regulē kredītinformācijas biroju darbību un kredītinformācijas apstrādes kārtību šajā likumā noteikto licencējamo kredītinformācijas biroju darbību ietvaros.
No iepriekš minētā var secināt, ka kredītinformācijas birojs, veicot savus KBL un PTAL 8.panta 4.8 daļā noteiktos pienākumus, ir uzskatāms par pārzini Regulas 4.panta 7.apakšpunkta izpratnē un, līdz ar to ir atbildīgs par kredītinformācijas biroja pakalpojumu sniegšanas laikā veikto personas datu apstrādi.
[1] Eiropas Parlamenta un Padomes Regula (ES) 2016/679 par fizisko personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti un ar ko atceļ Direktīvu 95/46/EK (Vispārīgā datu aizsardzības regula) (turpmāk – Regula)
[2] Regulas 4.panta 8.punkts