Padomi uzņēmējiem privātuma politikas izstrādē

Datu Valsts inspekcija apkopojusi padomus, kas uzņēmējiem varētu noderēt datu privātuma politikas izstrādē.

Soli pa solim

Noteikumus personas datu ieguvei, glabāšanai un izmantošanai nosaka Vispārīgā datu aizsardzības regula. Viens no Datu regulas mērķiem ir ļaut personām, kuru datus ir plānots apstrādāt, saglabāt kontroli pār to personīgo informāciju un iegūt informāciju par to, kas notiek ar viņu datiem.

Pirmais solis kontroles par personas datiem un to aizsardzību saglabāšanai ir informētība par plānotajām darbībām ar personas datiem no organizācijas puses. Atbilstoši Datu regulai,  brīdī, kad cilvēks iesniedz datus komersantam (aizpilda pieteikumu, anketu), cilvēkam ir jābūt pieejamai informācijai par personas datu apstrādes procesu organizācijā. Tāpēc komersantam personai ir jāsniedz informācija par:

• nosaukumu  un kontaktinformāciju;
• ja apstrāde tiek pamatota ar organizācijas likumīgajām interesēm, tad šo interešu izklāstu;

• ja plānots personīgo informāciju nosūtīt uz trešo valsti vai starptautisku organizāciju, atsauci uz to, kā personīgā informācija tiks aizsargāta.

Minētā informācija ir pamatinformācija, kas būtu jāsniedz. Tomēr cilvēkam ir jābūt iespējai iepazīties arī ar šādu papildu informāciju:

• laikposms, cik ilgi personas dati tiks glabāti, vai, ja tas nav iespējams, kā šis laikposms tiks noteikts;
• par tiesībām un kārtību, kādā pats cilvēks var piekļūt saviem datiem, tos labot vai dzēst,  lūgt ierobežot datu apstrādi vai iebilst pret datu apstrādi, kā arī noteiktajos gadījumos lūgt pārnest viņa datus;

• ja apstrāde pamatojas uz personas piekrišanu – norādīts, ka cilvēkam ir tiesības jebkurā brīdī to atsaukt;
• informācija par iespēju cilvēkam iesniegt sūdzību Datu valsts inspekcijā, ja viņš/viņa uzskata, ka personas dati tiek apstrādāti neatbilstoši Datu regulai;
• vai personas datu iegūšanu paredz likums vai tā ir vajadzīga, lai noslēgtu līgumu un saņemtu pakalpojumu. Tāpat būtu jānorada vai informācijas sniegšana ir obligāta vai nē, un kādas sekas var būt gadījumos, kad šādi dati netiek sniegti;

• ja pastāv automatizēta lēmumu pieņemšana un profilēšana, informācija par priekšnosacījumiem un loģiku šādu automatizētu lēmumu pieņemšanai un paredzamajām sekām attiecībā uz personu.

Kas ir privātuma politika?

Datu regulā nav noteikts kā tieši iepriekš minētā informācija ir sniedzama. Vienlaikus lielāka daļa organizāciju izvēlas šo informāciju apkopot vienā dokumentā. Tam var būt dažādi nosaukumi, tomēr lielākoties organizācijas šādu dokumentu sauc par Privātuma politiku.

Privātuma politika ir organizācijas dokuments, kurā var iepazīties ar informāciju par organizācijas veikto datu apstrādi, pirms uzsākta personas datu apstrāde. Atbilstošas informācijas sniegšana šajā dokumentā ļauj nodrošināt Datu regulā noteiktā informēšanas pienākuma izpildi, savukārt personām, kuru personas datus plānots apstrādāt, tas ļauj ne tikai iegūt informāciju par to, kā tieši organizācija plāno informāciju apstrādāt, bet arī par savu tiesību īstenošanas kārtību tālākos personas datu apstrādes posmos.

Privātuma politikas izpēte - pirms personas datu sniegšanas - ļaus cilvēkam novērtēt, vai organizācijas piedāvātā personas datu apstrāde ir personai pieņemama un viņa vēlas turpmāk iedot savus datus komersantam un saņemt attiecīgo pakalpojumu.

Labā prakse

Privātuma politikā informācija sniedzama kodolīgā, pārredzamā, un iedzīvotājam saprotamā un viegli pieejamā veidā, izmantojot skaidru un vienkāršu valodu.

Saprotams un pieejams veids nenozīmē vien to, ka netiek izmantota specifiska juridiska valoda ar terminiem, kuri iedzīvotājiem var nebūt izprotami, bet arī to, ka tiek izmantota valoda, kuru izmanto vairums organizācijas klientu – fizisko personu – piemēram, latviešu valoda, ja organizācijas klienti pamatā būs latviski runājoši. Pasniegtajai informācijai ir jābūt skaidri strukturētai, viegli pārredzamai un viegli pieejamai, piemēram, lai tīmekļa vietnē nebūtu jāpavada pārlieku ilgs laiks tās atrašanai.

Par labu praksi tiek uzskatīts, ka Privātuma politika neatrodas tālāk kā divu klikšķu attālumā no organizācijas tīmekļa vietnes titullapas

Ja organizācijas mērķa auditorija ir bērni, tad privātuma politika jāformulē veidā, kas būtu saprotams arī bērniem.