Saimnieks LV / 2026.gads (Novembris)

Vispārīgā datu aizsardzības regula piešķir fiziskām personām jeb datu subjektiem dažādas tiesības – no tiesībām piekļūt saviem personas datiem līdz pat tiesībām lūgt tos dzēst. Ja uzņēmumā nav izstrādāta kārtība, kā apstrādāt datu subjektu pieprasījumus, darbinieku reakcija var svārstīties no vieglas panikas līdz automātiskai pieprasījuma izpildīšanai, neiedziļinoties, vai to vispār vajag darīt. Kā rīkoties, lai datu dzēšana būtu atbilstoša regulas prasībām?

Datu subjekta pieprasījumam nevajadzētu radīt uzņēmumā mazu krīzi un stresu. Tas faktiski ir biznesa process, kuram uzņēmums var laikus sagatavoties. Risks pieļaut kļūdas – vai tā būtu nepamatota personas datu izsniegšana trešajām personām, sasteigta datu dzēšana, vai atbildes sniegšanas termiņa nokavēšana – visbiežāk rodas nevis tāpēc, ka regulas 2016/679 par fizisku personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti (Vispārīgā datu aizsardzības regula) prasības par datu subjektu pieprasījumiem ir sarežģītas, bet tāpēc, ka uzņēmumā nav skaidras iekšējās kārtības, kā tiek apstrādāti datu subjektu pieprasījumi.

Neatkarīgi no tā, vai datu subjekts lūdz piekļuvi saviem personas datiem, pieprasa to dzēšanu, labošanu vai apstrādes ierobežošanu, uzņēmuma rīcībai lielākoties vajadzētu būt vienādai, ievērojot vairākus secīgus soļus.

Pieprasījuma saņemšana

Datu subjekta pieprasījuma apstrāde faktiski sākas ar tā atpazīšanu. Uzņēmums var būt izstrādājis savu datu subjekta pieprasījuma formu, sagaidīt, ka datu subjekts izmanto Datu valsts inspekcijas (DVI) izstrādāto paraugu vai ka datu subjekts pieprasījumu nosūtīs uz speciāli šim nolūkam izveidotu e-pasta adresi, bet pieprasījums var būt jebkādā formā un saņemts jebkādā veidā. Vispārīgā datu aizsardzības regula datu subjektam neuzliek pienākumu ievērot noteiktu formu vai lietot noteiktus juridiskus terminus, ja tas vēlas izmantot savas tiesības. Tādējādi uzņēmumam ir jārēķinās, ka datu subjektu pieprasījums var tikt saņemts mutiski pa telefonu, kā komentāra ieraksts uzņēmuma sociālajos tīklos, arī kā e-pasts uz uzņēmuma vispārīgo e-pasta adresi vai pat kā datu subjekta klātienes apmeklējums uzņēmuma biroja telpās.

Lielākais risks šajā procesa solī ir pieprasījuma pazaudēšana vai novēlota nodošana atbildīgajam darbiniekam. Vispārīgā datu aizsardzības regula paredz, ka atbilde uz datu subjektu pieprasījumiem ir jāsniedz viena mēneša laikā kopš pieprasījuma saņemšanas. Praksē ir pierādījies, ka šāds termiņš bieži ir ļoti izaicinošs uzņēmumiem, jo pieprasījuma apstrāde prasa laiku. Protams, uzņēmums ir tiesīgs pagarināt šo termiņu, bet kopumā uzņēmumam ir jābūt spējīgam ievērot termiņu.

Lai novērstu jebkādus riskus šajā solī, būtu vēlams regulāri rīkot darbinieku apmācības par šiem jautājumiem, lai darbinieks atpazītu datu subjektu pieprasījumu arī gadījumos, ja pieprasījumā nav tiešas atsauces uz Vispārīgo datu aizsardzības regulu...

Pilnu rakstu lasiet novembra SAIMNIEKS LV numurā!