Sodi par datu aizsardzības pārkāpumiem būs bargi

_{Silvija Alberte, ZAB "PricewaterhouseCoopers Legal" juriste,
Raksts ir sagatavots publikācijai ifinanses.lv}

Līdz ar Eiropas Parlamenta un Padomes Regulas 2016/679 par fizisku personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti un ar ko atceļ Direktīvu 95/46/EK jeb Vispārīgās datu aizsardzības regulas (Regula) piemērošanu no 2018.gada maija aktuāls kļuvis arī jautājums par sodiem datu aizsardzības jomā. Regulā paredzēti ievērojami lielāki maksimālie sodi nekā līdz šim, nosakot arī kritērijus, kas uzraugošajām iestādēm jāņem vērā, izvērtējot, vai piemērot administratīvo sodu, kā arī lemjot par tā apmēru.

Kritērijus administratīvo sodu piemērošanā ir svarīgi ņemt vērā, izvērtējot uzņēmuma riskus datu aizsardzības jomā, kā arī lemjot par ieviešamajiem datu aizsardzības pasākumiem. Aplūkosim Regulā noteiktos kritērijus, kā arī 29.panta darba grupas vadlīnijas par administratīvo sodu piemērošanu.

Salīdzinot ar Eiropas Parlamenta un Padomes Direktīvā 95/46/EK par personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti noteikto, Regulā paredzēts stingrāks pamats konsekventu administratīvo sodu noteikšanā, jo Regula ir tieši piemērojama. Tādējādi Regulas tiešā piemērojamība, kā arī tajā noteiktie administratīvo sodu kritēriji veicinās konsekventu sodu piemērošanu visās Eiropas Savienības valstīs.

Saskaņā ar Regulu uzraudzības iestādei, piemērojot administratīvos sodus, jānodrošina, ka katrā konkrētā gadījumā sods ir iedarbīgs, samērīgs un atturošs. Tādējādi piemērotajam sodam jābūt samērīgam ar pārkāpuma būtību, apmēru un sekām.

Tīšs vai neuzmanības dēļ izdarīts pārkāpums

Saskaņā ar 29.panta darba grupas vadlīnijām par tīšu pārkāpumu var liecināt:

• nelikumīga datu apstrāde, ko tieši atļāvusi uzņēmuma vadība;
• pretēji uzņēmuma datu apstrādes politikai veikta datu apstrāde;
• datu apstrāde, neņemot vērā datu aizsardzības speciālista ieteikumus.

Piemēram, personas datu tirdzniecība mārketinga nolūkiem, neņemot vērā datu subjektu vēlmes par datu izmantošanu, tiktu uzskatīta par tīšu pārkāpumu.

Savukārt tādi pārkāpumi kā nespēja laikus veikt tehniskos uzlabojumus vai arī neuzmanīga ieviestās datu aizsardzības politikas ievērošana var norādīt uz pārkāpumu, kas izdarīts neuzmanības dēļ.

Atbildība par tehnisko un organizatorisko pasākumu ieviešanu

Izvērtējot administratīvā soda lielumu, saskaņā ar 29.panta darba grupas norādīto var tikt ņemta vērā pārziņa vai apstrādātāja tehnisko vai organizatorisko pasākumu ieviešana, kas var ietvert:

• tehnisko un organizatorisko pasākumu ieviešanu saskaņā ar Regulas 25.pantā noteiktajām prasībām par integrētu datu aizsardzību (data protection by design) un datu aizsardzību pēc noklusējuma (data protection by default);
• atbilstoša līmeņa datu drošības pasākumu ieviešanu;
• atbilstošu datu aizsardzības politiku un procedūru ieviešanu un piemērošanu.

Izvērtējot datu pārziņa vai apstrādātāja ieviestos tehniskos vai organizatoriskos pasākumus uzņēmumā, jāņem vērā tirgus labās prakses metodes un procedūras, kā arī, ja pieejami, attiecīgās jomas prakses kodeksi, kuros norādīts, kā risināt attiecīgās jomas izplatītākos drošības riskus, kas saistīti ar datu apstrādi. Uzņēmumam, ieviešot attiecīgos tehniskos un organizatoriskos pasākumus, varētu tikt piemērots mazāks soda apmērs, ja parādīts, ka tas, veicot personas datu apstrādi, nav aizmirsis datu aizsardzības jautājumus.

Sadarbība ar uzraugošajām iestādēm

Regulas 83.panta 2.punkta f) apakšpunktā paredzēts: izvērtējot pārkāpumu, jāņem vērā uzņēmuma sadarbība ar uzraugošo iestādi, lai atlīdzinātu pārkāpumu un mazinātu tā iespējamās nelabvēlīgās sekas.

Kā skaidro 29.panta darba grupa, tiks vērtēts, kā uzņēmums atbildējis uz uzraugošās iestādes pieprasījumiem izmeklēšanas laikā, mazinot nelikumīgās datu apstrādes ietekmi uz datu subjektu tiesībām. Ja uzņēmums sadarbojas ar uzraugošajām iestādēm, tās var lemt par mazāka administratīvā soda piemērošanu.

Par sadarbību nav uzskatāma tikai normatīvajos aktos noteikto pienākumu izpilde. Proti, tas, ka uzņēmums izpilda tikai normatīvajos aktos noteiktās prasības, pats par sevi nav uzskatāms par pietiekamu pamatu noteikt mazākas sankcijas par pārkāpumu. Līdz ar to pārkāpuma gadījumā ir svarīgi ne tikai izpildīt normatīvajos aktos noteiktos pienākumus, bet arī veikt papildu darbības, lai demonstrētu sadarbību un veicinātu nelabvēlīgo seku mazināšanu un pārkāpuma atlīdzināšanu.

Ziņošana par pārkāpumu

Regulas 83.panta 2.punkta h) apakšpunktā paredzēts, ka jāņem vērā šādi aspekti:

• kā uzraugošā iestāde uzzinājusi par pārkāpumu;
• vai pārzinis vai apstrādātājs ir ziņojis par pārkāpumu;
• kādā apjomā ziņošana notikusi.

Datu pārzinim saskaņā ar Regulu ir pienākums ziņot par pārkāpumu. Kā norāda 29.panta darba grupa, pārzinim rīkojoties bezrūpīgi, nepaziņojot par pārkāpumu vai arī neziņojot par visiem pārkāpuma apstākļiem, ir pamats piemērot lielāku administratīvo sodu. Neveicot pienācīgu pārkāpuma novērtēšanu, pārzinis var neapzināt pārkāpuma apmēru, līdz ar to nespējot nodrošināt pilnīgu informācijas sniegšanu uzraugošajai iestādei. Tādēļ svarīgi ir ne tikai paziņot par pārkāpumu, bet arī veikt pārkāpuma novērtējumu, lai varētu laikus un pienācīgā apjomā ziņot.

Kopumā jāsecina, ka Regulā paredzētie kritēriji administratīvo sodu noteikšanā ir svarīgs informācijas avots uzņēmumiem, plānojot un izstrādājot procedūras un rīcības modeļus datu aizsardzības pasākumu ieviešanā, kā arī darbībās pēc datu aizsardzības pārkāpuma konstatēšanas.

Apkopojot iepriekš aplūkotos kritērijus, svarīgi ievērot, ka uzņēmumam jācenšas mazināt sekas arī tad, ja pārkāpums jau ticis konstatēts. Šāda rīcība ietver:

• nepieciešamo priekšnosacījumu izpildi drošai personas datu apstrādei, piemēram, tehnisko un organizatorisko datu aizsardzības prasību ieviešanu un uzņēmuma datu aizsardzības risku novērtējumu;
• sadarbību ar uzraugošajām iestādēm;
• laicīgu paziņošanu par pārkāpumu;
• datu aizsardzības pārkāpuma seku mazināšanu.