Jaunumi

Saskaņā ar Eiropas Parlamenta un Padomes 2016. gada 27. aprīļa Regulas Nr. 2016/679 par fizisku personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti un ar ko atceļ Direktīvu 95/46/EK (turpmāk – Vispārīgā datu aizsardzības regula) 4. panta 1. punktu datu apstrāde ir jebkura ar personas datiem vai personas datu kopumiem veikta darbība vai darbību kopums, ko veic ar vai bez automatizētiem līdzekļiem, piemēram, vākšana, reģistrācija, organizēšana, strukturēšana, glabāšana, pielāgošana vai pārveidošana, atgūšana, aplūkošana, izmantošana, izpaušana, nosūtot, izplatot vai citādi darot tos pieejamus, saskaņošana vai kombinēšana, ierobežošana, dzēšana vai iznīcināšana.

 

Tātad atbilstoši iepriekš minētajai definīcijai personas datu apstrāde viennozīmīgi ir arī uz pirkumu balstīta personas datu nodošana (izpaušana) citai fiziskai vai juridiskai personai.

 

Pamatojoties uz minēto, padodot (vai pērkot) personas datus (atsevišķus datus vai datubāzes), ir jāņem vērā Vispārīgā datu aizsardzības regulas nosacījumi un ierobežojumi.

 

Vispārīgās datu aizsardzības regulas 6. pants nosaka, ka personas datu apstrāde ir likumīga tikai tādā apmērā un tikai tad, ja ir piemērojams vismaz viens no turpmāk minētajiem pamatojumiem:

a)   datu subjekts ir devis piekrišanu savu personas datu apstrādei vienam vai vairākiem konkrētiem nolūkiem;

b)   apstrāde ir vajadzīga līguma, kura līgumslēdzēja puse ir datu subjekts, izpildei vai pasākumu veikšanai pēc datu subjekta pieprasījuma pirms līguma noslēgšanas;

c)   apstrāde ir vajadzīga, lai izpildītu uz pārzini attiecināmu juridisku pienākumu;

d)   apstrāde ir vajadzīga, lai aizsargātu datu subjekta vai citas fiziskas personas vitālas intereses;

e)   apstrāde ir vajadzīga, lai izpildītu uzdevumu, ko veic sabiedrības interesēs vai īstenojot pārzinim likumīgi piešķirtās oficiālās pilnvaras;

f)    apstrāde ir vajadzīga pārziņa vai trešās personas leģitīmo interešu ievērošanai, izņemot, ja datu subjekta intereses vai pamattiesības un pamatbrīvības, kurām nepieciešama personas datu aizsardzība, ir svarīgākas par šādām interesēm, jo īpaši, ja datu subjekts ir bērns.

 

No iepriekš minētā izriet, ka faktiski vienīgais loģiskais un tiesiskais personas datu pārdošanas (vai iegādes) veids ir datu subjekta piekrišana (Vispārīgās datu aizsardzības regulas 6. panta “a” apakšpunkts), jo pārējos punktus datu pirkšanai piemērot būtu faktiski neiespējami. Tātad, lai pārdotu personas datus (vai datu bāzi) kādai fiziskai vai juridiskai personai, ir nepieciešama visu attiecīgo datu subjektu piekrišana (ieteicams rakstiskā formātā). Jāatceras, ka saskaņā ar Vispārīgās datu aizsardzības regulas 7. pantu pārzinim ir jāspēj uzskatāmi parādīt, ka datu subjekts ir piekritis savu personas datu apstrādei. Ja datu subjekts piekrišanu dod saistībā ar rakstisku dokumentu, kas attiecas arī uz citiem jautājumiem, lūgumu dot piekrišanu norāda tā, lai to varētu skaidri atšķirt no citiem jautājumiem saprotamā un viegli pieejamā veidā, izmantojot skaidru un vienkāršu valodu. Turklāt, kamēr personas datu nodošana vēl nav notikusi, datu subjektam ir tiesības atsaukt savu piekrišanu. Tāpat ir jāņem vērā, ka saskaņā ar Fizisko personu datu apstrādes likuma 33. pantu, ja datu subjekts ir bērns, viņa piekrišana ir uzskatāma par pamatu datu apstrādei un viņa datu apstrāde ir likumīga, ja bērns ir vismaz 13 gadus vecs vai ja attiecībā uz bērnu, kurš vēl nav sasniedzis 13 gadu vecumu, piekrišanu ir devis viņa vecāks vai likumiskais aizbildnis.

 

Teorētiski datu pārdošanas tiesiskais pamats retos gadījumos varētu būt arī Vispārīgās datu aizsardzības regulas 6. panta “f” apakšpunkts (leģitīmās intereses), kas varētu rasties uzņēmuma pārejas (atbilstoši Komerclikuma 20. pantam) rezultātā, jo uzņēmumu pārejas gadījumā par samaksu vai bez tās citas personas īpašumā var pāriet gan uzņēmums, gan tā daļa. Piemēram, būvniecības uzņēmums pārdod daļu no sava biznesa (internetveikalu) citam uzņēmumam, un jaunajam internetveikala īpašniekam nodot arī to klientu kontaktus, kuri iepriekš veikuši pasūtījumus vai pieteikušies jaunumu saņemšanai no konkrētā internetveikala.

 

Ņemot vērā minēto, ir viennozīmīgi skaidrs, ka ir aizliegts bez datu subjektu piekrišanas pārdot datu bāzes. Praksē ir novērots, ka vismaz Latvijā par šo aizliegumu ir informēti arī personas datu pārdevēji, jo pēc Vispārīgās datu aizsardzības regulas stāšanās spēkā vairs publiski nav redzēti piedāvājumi iegādāties datubāzes, kas satur personu e-pastus vai tālruņu numurus. Tomēr ir pieejamas dažādas publiskas datu bāzes (piemēram - https://outscraper.com/), kurās ir iespējams iegādāties dažādus datus par uzņēmumiem (tai skaitā e-pastu adreses). Šeit gan jāatceras, ka, ja e-pasta adrese būs info@uznemums.lv vai bumba33@gmail.com, tad personas dati apstrādāti netiks, tomēr, ja e-pasta adrese saturēs personas vārdu, uzvārdu un darbavietu (piemēram, janis.berzins@uznemums.lv), tad uz šāda veida e-pasta adresēm arī būs attiecināmi iepriekš minētie ierobežojumi personas datu pārdošanā.

 

Lai vai kāds būtu datu pārdošanas tiesiskais pamats, ir jāatceras, ka pārdot var tikai legāli iegūtus personas datus, jo, ja pārdodamo datu apstrāde bijusi prettiesiska, tad prettiesiska būs arī šo datu pārdošana.

 

Ir jāņem vērā, ka saskaņā ar Vispārīgās datu aizsardzības regulas 83. pantu, ja pārzinis vai apstrādātājs tīši vai aiz neuzmanības izdara pārkāpumu, piemērotā soda apmērs var būt līdz pat līdz 20 000 000 EUR vai uzņēmuma gadījumā līdz 4 % no tā kopējā visā pasaulē iepriekšējā finanšu gadā gūtā gada apgrozījuma. Tātad, piemēram, ja Microsoft Corporation meitas uzņēmums Latvijā izdarīs pārkāpumu, tad soda apmēra noteikšanā tiks ņemts vērā ne tikai attiecīgā uzņēmuma Latvijas apgrozījums, bet arī ASV un citās valstīs iepriekšējā finanšu gadā gūtais gada apgrozījums.

 

Lemjot par to, vai piemērot administratīvo naudas sodu, un pieņemot lēmumu par administratīvā naudas soda apmēru, katrā konkrētā gadījumā pienācīgi ņem vērā šādus elementus:

a)   pārkāpuma būtību, smagumu un ilgumu, ņemot vērā attiecīgo datu apstrādes veidu, apmēru vai nolūku, kā arī ietekmēto datu subjektu skaitu un tiem nodarītā kaitējuma apmēru;

b)   to, vai pārkāpums izdarīts tīši vai neuzmanības dēļ;

c)   jebkādu pārziņa vai apstrādātāja rīcību, lai mazinātu kaitējumu, kas nodarīts datu subjektiem;

d)   pārziņa vai apstrādātāja atbildības līmeni, ņemot vērā tehniskos un organizatoriskos pasākumiem, ko tie īsteno saskaņā ar 25. un 32. pantu;

e)   jebkādus attiecīgus pārziņa vai apstrādātāja iepriekšējus pārkāpumus;

f)    sadarbības pakāpi ar uzraudzības iestādi, lai atlīdzinātu pārkāpumu un mazinātu tā iespējamās nelabvēlīgās sekas;

g)   to, kādu kategoriju personas datus ietekmējis pārkāpums;

h)   veidu, kādā par pārkāpumu uzzināja uzraudzības iestāde, jo īpaši to, vai pārzinis vai apstrādātājs ir ziņojis par pārkāpumu, un šādā gadījumā – kādā apjomā;

i)    vai no Datu valsts inspekcijas puses jau iepriekš ir izteikti brīdinājumi, piemēroti naudas sodi vai veiktas citas korektīvās darbības;

j)    apstiprināto rīcības kodeksu vai apstiprināto sertifikācijas mehānismu ievērošanu;

k)   jebkādu citu pastiprinošu vai mīkstinošu apstākli, kas piemērojams lietas apstākļiem, piemēram, no pārkāpuma tieši vai netieši gūti finansiālie labumi vai novērsti zaudējumi. Tātad, ja no nelikumīgas personas datu tirdzniecības kāds būs guvis materiālu labumu, tad, visticamāk, tas tiks vērtēts kā atbilstību pastiprinošs apstāklis.

 

Attiecībā uz sodiem ir jāatceras, ka nelikumīgas personas datu pārdošanas gadījumā visticamāk sodīti tiks abi – gan pircējs, gan pārdevējs (ja vien pircējs nepierādīs, ka ir labticīgs un nezināja, ka pārdevējam nemaz nav juridisku tiesību attiecīgos datu pārdot).

 

Ņemot vērā minēto, pirms pārdot vai iegādāties personas datus, ir ieteicams konsultēties pie personas datu aizsardzības speciālistiem vai Datu valsts inspekcijas konsultantiem.

 

Savukārt, ka Jums ir zināms, ka Jūsu personas dati ir nodoti (pārdoti) citam uzņēmumam, tad būtu ieteicams vērsties ar sūdzību Datu valsts inspekcijā, jo ir liela iespēja, ka šāda prakse tiks atzīta par nelikumīgu.