Viens no Datu regulas [1] pieņemšanas iemesliem ir tādu apstākļu nodrošināšana, kas ļautu personām, kuru datus ir plānots apstrādāt, saglabāt kontroli pār to personīgo informāciju, skaidro Datu Valsts inspekcija.
Pirmais solis kontroles pār personas datiem [2] un to aizsardzību saglabāšanai ir informētība par ar personīgo informāciju un plānotajām darbībām no organizācijas puses. Atbilstoši Datu regulai, vēl pirms datu apstrādes uzsākšanas, organizācijai ir jāsniedz informācija, un personai, kuras datus plāno apstrādāt, ir tiesības iepazīties ar:
- informāciju par organizāciju un tās kontaktinformāciju;
- ja norīkots – kā sazināties ar organizācijas datu aizsardzības speciālistu un tā kontaktinformāciju;
- kādu nolūku sasniegšanai tiek pieprasīti personas dati un kāds ir šīs informācijas iegūšanas tiesiskais pamats atbilstoši Datu regulai;
- ja apstrāde tiek pamatota ar organizācijas likumīgajām interesēm, tad šo interešu izklāstu;
- personas datu saņēmējiem vai to kategorijām, ja tādi ir;
- ja plānots personīgo informāciju nosūtīt uz trešo valsti vai starptautisku organizāciju, atsauci uz to, kā personīgā informācija tiks aizsargāta.
Organizācijai personīgās informācijas iegūšanas laikā jāsniedz arī šāda papildu informācija:
- laikposms, cik ilgi informācija tiks glabāta, vai, ja tas nav iespējams, kā šis laikposms tiks noteikts;
- par citu personas tiesību īstenošanu – piekļuvi organizācijas apstrādē esošajiem personas datiem, to labošanu vai dzēšanu, vai apstrādes ierobežošanu, tiesības iebilst pret apstrādi, kā arī tiesības uz datu pārnesamību;
- ja apstrāde pamatojas uz personas piekrišanu – tiesības jebkurā brīdī to atsaukt; jāsniedz informācija par to, kā tas ietekmēs apstrādes likumīgumu, kuras pamatā ir pirms atsaukuma sniegta piekrišana;
- tiesības iesniegt sūdzību uzraudzības iestādei (Latvijā – Datu valsts inspekcija);
- vai personas datu sniegšana ir noteikta saskaņā ar likumu vai līgumu, vai tā ir priekšnosacījums, lai līgumu noslēgtu, kā arī informācija par to, vai personai ir pienākums personas datus sniegt un kādas sekas var būt gadījumos, kad šādi dati netiek sniegti;
- tas, ka pastāv automatizēta lēmumu pieņemšana, tostarp profilēšana, un vismaz Datu regulā minētajos gadījumos [3] – jēgpilna informācija par tajā ietverto loģiku, kā arī šādas apstrādes nozīmīgumu un paredzamajām sekām attiecībā uz personu.
Datu regulā nav noteikts kā tieši iepriekš minētā informācija ir sniedzama. Vienlaikus lielāka daļa organizāciju izvēlas šo informāciju apkopot vienā dokumentā. Tam var būt dažādi nosaukumi, tomēr lielākoties organizācijas šādu dokumentu sauc par Privātuma politiku. Tātad Privātuma politika ir organizācijas dokuments, kurā var iepazīties ar informāciju par organizācijas veikto datu apstrādi, pirms uzsākta personas datu apstrāde. Atbilstošas informācijas sniegšana šajā dokumentā ļaus organizācijām nodrošināt Datu regulā noteiktā informēšanas pienākuma izpildi, savukārt personām, kuru personas datus plānots apstrādāt, tas ļaus ne tikai iegūt informāciju par to kā tieši organizācija plāno informāciju apstrādāt, bet arī par personas tiesību īstenošanas kārtību tālākos personas datu apstrādes posmos. Sniegtās informācijas izpēte pirms personiskas informācijas sniegšanas ļaus personai novērtēt, vai organizācijas piedāvātā personas datu apstrādes kārtība ir personai pieņemama.
Privātuma politikā informācija sniedzama kodolīgā, pārredzamā, iedzīvotājam saprotamā un viegli pieejamā veidā, izmantojot skaidru un vienkāršu valodu. Saprotams un pieejams veids nenozīmē vien to, ka netiek izmantota specifiska juridiska valoda ar terminiem, kuri iedzīvotājiem var nebūt izprotami, bet arī to, ka tiek izmantota valoda, kuru izmanto vairums organizācijas klientu – fizisko personu – piemēram, latviešu valoda, ja organizācijas klienti pamatā būs latviski runājoši. Pasniegtajai informācijai ir jābūt skaidri strukturētai, viegli pārredzamai un viegli pieejamai, piemēram, lai tīmekļa vietnē nebūtu jāpavada pārlieku ilgs laiks tās atrašanai.
Par labu praksi tiek uzskatīts, ka Privātuma politika neatrodas tālāk kā divu klikšķu attālumā no organizācijas tīmekļa vietnes titullapas [4].
Ja organizācijas mērķa auditorija ir bērni, tad privātuma politika jāformulē veidā, kas būtu saprotams arī bērniem. [5]
Atsauces
[1] Eiropas Parlamenta un Padomes Regula (ES) 2016/679 (2016.gada 27.aprīlis) par fizisku personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti un ar ko atceļ Direktīvu 95/46/EK (Vispārīgā datu aizsardzības regula)
[2] “personas dati” ir jebkura informācija, kas attiecas uz identificētu vai identificējamu fizisku personu (“datu subjekts”); identificējama fiziska persona ir tāda, kuru var tieši vai netieši identificēt, jo īpaši atsaucoties uz identifikatoru, piemēram, minētās personas vārdu, uzvārdu, identifikācijas numuru, atrašanās vietas datiem, tiešsaistes identifikatoru vai vienu vai vairākiem minētajai fiziskajai personai raksturīgiem fiziskās, fizioloģiskās, ģenētiskās, garīgās, ekonomiskās, kultūras vai sociālās identitātes faktoriem; (Datu regulas 4.panta 1.punkts)
[3] Datu regulas 22.pants un Datu regulas Preambulas 71.apsvērums
[4] Atbilstoši 29.panta darba grupas darba dokumentam WP260 Pārredzamības vadlīniju atbilstoši Regulai 2016/679 8. lpp. https://ec.europa.eu/newsroom/article29/items/622227
[5] Datu regulas Preambulas 58.apsvērums