Datu aizsardzība Latvijā balstās uz Vispārīgo datu aizsardzības regulu jeb VDAR, Fizisko personu datu apstrādes likumu un konkrētajai darbībai piemērojamiem nozaru noteikumiem. Uzņēmumam jānoskaidro ne tikai tas, kādu dokumentu sagatavot, bet arī kas lemj par apstrādi, kādam nolūkam informācija vajadzīga un kā iespējams pierādīt pieņemtā lēmuma pamatotību.
Šis ceļvedis palīdz izveidot Latvijas uzņēmuma atbildības karti un noteikt pirmos darbus. Tas nošķir Datu valsts inspekcijas kompetenci, Latvijas likuma īpašos noteikumus un uzņēmuma ikdienas pienākumus. Informācija pārbaudīta 2026. gada 27. septembrī. Nozares specifisks glabāšanas termiņš vai pienākums apstrādāt datus jāmeklē attiecīgajā tiesību aktā, nevis jāpieņem no vispārīga VDAR piemēra.
Kur meklēt piemērojamās prasības
VDAR ir tieši piemērojama regula. Latvijas uzņēmumam nav vajadzīgs atsevišķs nacionālais likums, kas atkārtotu katru tās pienākumu. Savukārt Fizisko personu datu apstrādes likums nosaka Latvijas uzraudzības ietvaru un vairākus jautājumus, kuros regula atstāj dalībvalstij izvēli vai paredz nacionālu regulējumu.
Vispirms izvērtējiet konkrēto darbību. Darba samaksas aprēķins, klienta pasūtījuma izpilde, telpu videonovērošana un reklāmas sūtīšana var notikt vienā uzņēmumā, taču tiem atšķiras nolūki, tiesiskie pamati, saņēmēji un glabāšanas vajadzības. Viena vispārīga frāze «datus apstrādājam uzņēmuma darbībai» šīs atšķirības neatrisina un nepalīdz atbildēt cilvēkam uz konkrētu jautājumu.
Nozaru tiesību akti var paredzēt obligātu uzskaiti vai informācijas sniegšanu. Tad jānorāda konkrētā prasība un dati, uz kuriem tā attiecas. Pienākums saglabāt darījuma dokumentu nenozīmē pienākumu beztermiņa glabāt visu klienta saraksti, mārketinga profilu un konta tehnisko vēsturi. Katras datu grupas nepieciešamība jāspēj izskaidrot atsevišķi.
Likuma nosaukums pats par sevi vēl nav pietiekams pamatojums. Iekšējā lēmumā ieteicams saglabāt attiecīgo normu, secinājumu par tās piemērojamību un atbildīgo par pārskatīšanu. Ja uzņēmums sāk jaunu darbību vai pakalpojumu citā valstī, iepriekšējā atbilde var vairs nebūt pietiekama. Tiesiskā pamata pārbaude tāpēc jāiekļauj pārmaiņu procesā.
DVI loma un uzņēmuma atbildība
Datu valsts inspekcija ir Latvijas datu aizsardzības uzraudzības iestāde. Nacionālais likums paredz Ministru kabineta pārraudzību, ko īsteno ar tieslietu ministra starpniecību, vienlaikus nostiprinot inspekcijas neatkarību tās kompetencē. To nevajag aprakstīt kā ministra tiesības dot norādījumus konkrēta uzņēmuma datu aizsardzības lietas izlemšanā.
DVI skaidrojumi palīdz izprast prasību piemērošanu, bet uzņēmumam pašam jāpieņem un jāpamato lēmumi par saviem procesiem. Parasts konsultācijas pieprasījums nav visaptverošs darbības apstiprinājums. DVI kompetences un saziņas ceļvedis noder, izvēloties pareizo jautājuma vai iesnieguma veidu un saprotot uzraudzības iestādes lomu.
Jānošķir datu subjekta sūdzība no pārziņa paziņojuma par personas datu aizsardzības pārkāpumu. Tiem ir atšķirīgs mērķis, informācijas saturs un praktiskā iesniegšanas kārtība. Uzņēmuma darbiniekam nevajadzētu nejauši iesniegt incidenta ziņojumu sūdzības formā tikai tāpēc, ka abos gadījumos adresāts ir DVI.
Uzraudzībā iespējami dažādi korektīvie pasākumi, tostarp rīkojumi un naudas sodi, ievērojot attiecīgās tiesiskās prasības. Nav pamatoti solīt, ka neliels uzņēmums vienmēr saņems tikai brīdinājumu, vai izmantot nepārbaudītu uzņēmuma soda stāstu kā juridisku argumentu. Lasot DVI sodu skaidrojumu, konkrēta lēmuma stadija un saturs jāpārbauda tā pirmavotā.
Sāciet ar datiem un lomām, nevis veidlapu skaitu
Personas dati ir informācija par identificētu vai identificējamu fizisku personu. Uzņēmuma klientu sarakstā tie var būt vārdi un kontaktinformācija; tehniskajos žurnālos tie var būt ar personu sasaistāmi identifikatori. Juridiskas personas nosaukums pats par sevi nav fiziskas personas dati, taču kontaktpersonas vārds un individuālā darba adrese var būt.
Latvijas personas kods ir personas dati, tomēr tas nekļūst par VDAR 9. panta īpašās kategorijas datiem tikai tāpēc, ka ir identifikators. Tā izmantošana tik un tā jāpamato ar nepieciešamību, atbilstošu tiesisko pamatu un drošību. Ja klienta atpazīšanai pietiek ar pasūtījuma numuru, personas koda prasīšanai vajadzīgs atsevišķs pamatojums.
Pārzinis nosaka apstrādes nolūkus un līdzekļus; apstrādātājs apstrādā datus pārziņa vārdā. Līguma virsraksts vien nenosaka šo lomu. Ārpakalpojuma grāmatvedis vienā darbībā var apstrādāt klienta datus tā vārdā, bet saviem juridiskajiem pienākumiem veikt atsevišķu apstrādi citā lomā. Jāvērtē faktiskie lēmumi un konkrētā darbība.
Ja ir apstrādātāja attiecības, VDAR 28. pants prasa atbilstošu rakstveida līgumu vai citu saistošu Savienības vai dalībvalsts tiesību aktu, pieļaujot elektronisku formu. Parastā iepirkumā izmanto datu apstrādes līgumu. Tajā jāatspoguļo īstais pakalpojums, nevis tikai jāiekļauj abstrakta apņemšanās «ievērot VDAR».
Tiesiskais pamats un saprotama informēšana
Katram nolūkam jānosaka piemērots tiesiskais pamats. Līguma izpilde var pamatot piegādes adreses izmantošanu pasūtījuma nosūtīšanai, bet automātiski neattaisno jebkuru reklāmu vai detalizētu uzvedības analīzi. Juridisks pienākums savukārt jāsaista ar attiecīgo normu. Leģitīmu interešu izmantošanai nepieciešams izvērtēt arī cilvēka intereses, tiesības un pamatotās gaidas.
Piekrišana ir viens no tiesiskajiem pamatiem, nevis universāls risinājums visai uzņēmuma datu apstrādei. Tai jābūt brīvi sniegtai, konkrētai, apzinātai un nepārprotamai; jānodrošina arī atsaukšana. Ja pakalpojuma saņemšanai obligāti pieprasa nevajadzīgu reklāmas piekrišanu, rūtiņas atzīmēšana pati par sevi šo problēmu neatrisina.
Latvijā noteiktais 13 gadu slieksnis attiecas uz VDAR 8. panta situāciju: uz piekrišanu balstītu informācijas sabiedrības pakalpojumu piedāvā tieši bērnam. Tas nav vispārīgs noteikums, ka no 13 gadiem jebkura bērna datu apstrāde ir pieļaujama bez citiem nosacījumiem. Arī ārpus šīs situācijas jāvērtē tiesiskais pamats, nepieciešamība un bērna interešu aizsardzība.
Privātuma informācijai jāatbilst faktiskajai darbībai. Ja uzņēmums apgalvo, ka datus neizpauž, bet izmanto hostinga, piegādes un grāmatvedības pakalpojumu sniedzējus, teksts jāpārskata. Cilvēkam jāspēj saprast nolūkus, pamatus, saņēmējus, glabāšanu un savas tiesības. Iekšējais reģistrs un publiskais paziņojums ir saistīti dokumenti ar atšķirīgu detalizācijas pakāpi.
Sīkdatnes un komerciālie paziņojumi Latvijā
Informācijas sabiedrības pakalpojumu likuma 7.1 pants regulē informācijas glabāšanu lietotāja galiekārtā un piekļuvi tajā esošai informācijai. Pamatnoteikums paredz iepriekšēju piekrišanu pēc skaidras un visaptverošas informācijas saņemšanas. Izņēmumi attiecas uz pārraides nodrošināšanu un lietotāja pieprasītā pakalpojuma nodrošināšanai nepieciešamām darbībām.
Tāpēc sīkdatņu joslas pārbaude sākas ar faktisko tehnoloģiju uzskaiti. Analītikas vai reklāmas rīka nosaukums nerada nepieciešamības izņēmumu. Jānoskaidro, kad rīks ielādējas, kādu informāciju nolasa un vai atteikuma izvēle darbojas. Informējošs teksts vietnes apakšā neizlabo situāciju, kurā piekrišanu prasoša tehnoloģija tiek aktivizēta jau pirms cilvēka izvēles.
Likuma 9. pants paredz noteikumus komerciāliem paziņojumiem, tostarp iepriekšējas piekrišanas prasības noteiktai elektroniskai saziņai. Pastāv ierobežots izņēmums darījuma laikā iegūtai klienta elektroniskā pasta adresei savu līdzīgu preču vai pakalpojumu piedāvājumiem, ja izpildīti atteikšanās nosacījumi. To nevar pārvērst atļaujā izmantot jebkuru internetā atrastu adresi.
Šo noteikumu tvērums jāvērtē pēc saņēmēja, kanāla un situācijas, tostarp ievērojot likuma nosacījumus fizisku personu saziņai. Praktiski ieteicams saglabāt adreses izcelsmi, piemēroto pamatu un atteikuma izpildi. Ja cilvēks atsakās no reklāmas, atbildīgajai komandai jāzina, kā apturēt turpmākos sūtījumus visās izmantotajās kampaņu sistēmās.
Reģistrs nav tikai lielu uzņēmumu pienākums
VDAR 30. panta izņēmums organizācijām ar mazāk nekā 250 darbiniekiem ir ierobežots un jāvērtē attiecīgās apstrādes darbības līmenī. Izņēmumu nevar piemērot darbībai, kas nav neregulāra, var radīt regulā norādīto risku cilvēku tiesībām un brīvībām vai ietver 9. panta īpašo kategoriju vai 10. panta datus. Šie ir alternatīvi izņēmumu izslēdzoši apstākļi.
Piemēram, regulāra darbinieku uzskaite nekļūst par gadījuma rakstura apstrādi tikai tāpēc, ka uzņēmumā strādā pieci cilvēki. Vienlaikus tas nenozīmē, ka jāpamato visa uzņēmuma pienākums tikai ar vienu frāzi par tā izmēru. Apstrādes darbību reģistra ceļvedis palīdz nodalīt darbības un pārziņa vai apstrādātāja obligāto ierakstu saturu.
Reģistrā vajadzīga informācija, ko uzņēmums spēj uzturēt aktuālu. Sākumā tā var atrasties pārskatāmā dokumentā vai tabulā, ja nodrošināta pieejamība un pārvaldība. Reģistra programmatūras izvēle kļūst noderīga, ja izmaiņu, atbildīgo un saistīto pakalpojumu apjoms sarežģī uzturēšanu. Rīks neizlemj uzņēmuma vietā, kādam nolūkam dati vajadzīgi.
Datu aizsardzības speciālists jāieceļ VDAR 37. pantā noteiktajos gadījumos, piemēram, atbilstošiem publiskiem subjektiem un noteiktām pamatdarbībām, kas ietver plaša mēroga novērošanu vai īpaši regulētu datu apstrādi. Speciālista nepieciešamību nevar noteikt tikai pēc darbinieku skaita. Latvijas likuma 17. pants nepadara DVI eksāmenu un iekļaušanu sarakstā par universāli obligātu priekšnoteikumu: iespējama arī cita atbilstoši kvalificēta persona.
Cilvēka pieprasījums ir izpildāms process
Uzņēmumam jāspēj atpazīt piekļuves, labošanas, dzēšanas, ierobežošanas, iebilduma un pārnesamības pieprasījumus arī tad, ja cilvēks nenosauc pareizo pantu. Klientu atbalsta darbiniekam nav pašam jāatrisina visi juridiskie jautājumi, bet jāzina, kam pieprasījumu nodot un kā saglabāt saņemšanas datumu. Iekšēja pārsūtīšana nesāk jaunu atbildes termiņu.
VDAR 12. pants paredz informēt par rīcību bez nepamatotas kavēšanās un ne vēlāk kā mēneša laikā. Vajadzības gadījumā termiņu var pagarināt vēl par diviem mēnešiem, ņemot vērā sarežģītību un pieprasījumu skaitu, par pagarinājumu un iemesliem paziņojot sākotnējā mēnesī. Tā nav automātiska trīs mēnešu atļauja katrai lietai.
Ja uzņēmums nerīkojas pēc pieprasījuma, atteikuma iemesli un informācija par sūdzību un tiesas aizsardzību jāsniedz bez kavēšanās, vēlākais mēnesī. Papildu identitātes informāciju var prasīt, ja ir pamatotas šaubas un tā nepieciešama pārbaudei. Visu pieprasītāju pases kopiju vākšana pēc noklusējuma rada jaunu datu aizsardzības problēmu.
Datu subjektu pieprasījumu pārvaldības rīkus var vērtēt pēc termiņu uzskaites, drošas saziņas un izpildes pierādījumiem. Tomēr tehniski izsūtīts fails vēl nepierāda pilnīgu atbildi. Atbildīgajam jāpārbauda pieprasījuma tvērums, citu personu aizsardzība un tas, vai atteikta daļa ir konkrēti pamatota.
Drošība, pārkāpumi un dati ārpus ES
Drošības pasākumi jāizvēlas atbilstoši riskam. Piekļuves tiesības, autentifikācija, rezerves kopijas, atjaunošanas pārbaudes un darbinieku sagatavotība veido savstarpēji saistītu aizsardzību. Aizsargāta parole nepalīdz, ja vienu kontu izmanto visa komanda un nav iespējams saprast, kurš eksportējis klientu informāciju. Lēmumā jāņem vērā iespējamās sekas cilvēkiem.
Ne katra tehniska kļūda ir personas datu aizsardzības pārkāpums. Ja tāds noticis, tas jādokumentē; uzraudzības iestādei jāpaziņo bez nepamatotas kavēšanās un, ja iespējams, 72 stundās pēc uzzināšanas, izņemot gadījumu, kad risks cilvēku tiesībām un brīvībām, visticamāk, nepastāv. Augsts risks savukārt prasa atsevišķi vērtēt paziņošanu skartajām personām saskaņā ar 34. pantu.
VDAR programmatūras izvēles ceļvedis var palīdzēt izvērtēt pierādījumu un termiņu organizēšanu, taču programma nevar garantēt pareizu incidenta juridisko klasifikāciju. Uzņēmumā jābūt cilvēkam, kurš koordinē faktu iegūšanu un lēmumu. Piegādātāja atbilde «izmeklējam» neatceļ pārziņa pienākumu izvērtēt jau zināmo informāciju.
Izmantojot starptautisku pakalpojumu, jānoskaidro gan glabāšanas vieta, gan piekļuve no citām valstīm un tālākie saņēmēji. Serveris ES nenozīmē, ka automātiski izslēgta jebkāda starptautiska nosūtīšana. Datu nosūtīšanas ārpus ES ceļvedis palīdz pārbaudīt attiecīgo mehānismu un papildu izvērtējumu, neaprobežojoties ar piegādātāja reģistrācijas adresi.
Saikne ar kiberdrošību un mākslīgo intelektu
Latvijas Nacionālās kiberdrošības likums paredz atsevišķu sistēmu tā tvērumā esošajiem subjektiem. NIS2 piemērojamība Latvijā jāvērtē pēc darbības un attiecīgajiem kritērijiem. VDAR piemērojamība pati par sevi nepadara uzņēmumu par NIS2 subjektu, un personas datu neesība savukārt automātiski neizslēdz kiberdrošības prasības.
Finanšu nozarē papildus jāvērtē DORA Latvijas regulējums, tā izņēmumi un nacionālās prasības. Kopīgi drošības pasākumi var palīdzēt vairākos regulējumos, bet incidentu sliekšņi un ziņojumu adresāti jānosaka atsevišķi. Kiberdrošības pārvaldības rīku izvēle tāpēc jāsāk ar piemērojamības lēmumu un darba procesu, nevis ar vispārīgu atbilstības etiķeti.
Mākslīgā intelekta izmantošana personas datu apstrādē neatceļ VDAR. Papildus jāvērtē attiecīgās MI regulējuma prasības pēc sistēmas izmantošanas un uzņēmuma lomas. MI atbilstības programmatūras kritēriji palīdz formulēt pārbaudes jautājumus, taču datu ievadīšana ārējā rīkā vispirms prasa saprast nolūku, saņēmējus un izmantošanas nosacījumus.
Kā organizēt pirmo pārskatīšanu
Ieteicams sākt ar vienu pilnu datu ceļu, piemēram, pasūtījumu no saņemšanas līdz dzēšanai. Intervējiet darbiniekus, kas to reāli apstrādā, un salīdziniet stāstīto ar sistēmas iestatījumiem. Šādi bieži atklājas paralēlas izklājlapas vai nevajadzīgas e-pasta kopijas, kas nav redzamas oficiālajā procesa aprakstā. Pēc tam pārbaudes metodi var attiecināt uz pārējām darbībām.
Katram konstatētajam trūkumam norādiet īpašnieku, paredzēto rezultātu un izpildes pārbaudi. Piemēram, uzdevums «uzlabot privātumu» ir pārāk neskaidrs, bet uzdevums apturēt nevajadzīgu personas koda vākšanu konkrētā veidlapā ir pārbaudāms. Ja izmaiņa ietekmē juridisko pienākumu izpildi, pirms tās ieviešanas jāpārbauda attiecīgā norma un alternatīvais risinājums.
Vadībai jāredz neatrisinātie jautājumi, ne tikai pabeigto dokumentu skaits. Var būt vajadzīgs papildu budžets, līguma pārskatīšana vai izmaiņas produkta darbībā. Apstipriniet lēmumu un saglabājiet tā pamatojumu. Tas palīdz arī vēlāk, kad uzņēmumam jāpaskaidro, kāpēc izvēlēts konkrēts risinājums un kā tika ņemtas vērā cilvēku tiesības.
Piemērs: neliels pakalpojumu uzņēmums Latvijā
Iedomāsimies uzņēmumu, kas pieņem klientu rezervācijas, nodarbina nelielu komandu un sūta piedāvājumus e-pastā. Sākot pārskatīšanu, atbildīgais atklāj, ka rezervācijas dati tiek pārkopēti personīgās darbinieku izklājlapās. Pirmais uzdevums ir noskaidrot, kāpēc šīs kopijas vajadzīgas, kur tās atrodas un kam pieejamas. Privātuma politikas pārrakstīšana viena pati šo datu plūsmu neizmaina.
Rezervācijas izpildei vajadzīgā kontaktinformācija jānodala no reklāmas adresātu saraksta. Tas, ka persona bijusi klients, vēl nepierāda visu komerciālo paziņojumu nosacījumu izpildi. Pārbaudiet adreses iegūšanu, piedāvāto pakalpojumu līdzību un atteikšanās iespēju, ja uzņēmums vēlas izmantot attiecīgo izņēmumu. Ja nepieciešama piekrišana, jāspēj pierādīt tās saturu un sniegšanas apstākļus.
Darbinieku uzskaite ir regulāra apstrāde, tādēļ nelielais darbinieku skaits pats par sevi neatbrīvo no attiecīgā reģistra ieraksta. Vienlaikus speciālista iecelšanas vajadzība jāizvērtē pēc citiem kritērijiem. Šis piemērs rāda, kāpēc vienu slieksni nedrīkst pārnest uz visiem VDAR pienākumiem: reģistrs, DPO un ietekmes novērtējums katrs balstās savos nosacījumos.
Ārpakalpojuma rezervāciju sistēmai uzņēmums pārbauda apstrādātāja lomu, līgumu, apakšapstrādātājus un datu atgūšanu pakalpojuma beigās. Jānoskaidro arī, vai darbinieku izveidotās kopijas saglabājas pēc klienta datu dzēšanas sistēmā. Šajā brīdī kļūst redzams, kā piegādātāja izvēle, glabāšana un cilvēka tiesību īstenošana savienojas vienā procesā.
Pēc izmaiņām atbildīgais izseko vienu rezervāciju līdz tās paredzētajam glabāšanas beigu punktam. Ja kopija paliek darbinieka mapē, jālabo process vai piekļuves kārtība. Ja informācija pazūd pārāk agri un uzņēmums vairs nevar izpildīt juridisku pienākumu, jāpārskata termiņš. Pareizais rezultāts ir pamatota un īstenota glabāšana, nevis pēc iespējas lielāks vai mazāks datu apjoms.
Vadībai iesniedz konkrēto neatrisināto jautājumu sarakstu un vajadzīgos lēmumus. Piemēram, jāizvēlas centrāla rezervāciju uzskaite vai jānodrošina kontrolēts kopiju izņēmums ar skaidru nolūku un termiņu. Šāds lēmums ir pārbaudāms nākamajā pārskatīšanā un palīdz uzņēmumam parādīt, kā datu aizsardzība īstenota faktiskajā darbā.
Biežākie jautājumi
Vai mazam uzņēmumam pietiek ar privātuma politiku?
Nē. Publiska informācija ir tikai daļa no pienākumiem. Jābūt pamatotai apstrādei, atbilstošai drošībai, īstenojamām cilvēku tiesībām un nepieciešamajiem pierādījumiem. Reģistra pienākumu vērtē konkrētajām darbībām, ievērojot 30. panta ierobežoto izņēmumu; uzņēmuma mazais izmērs viens pats neatbrīvo no šo jautājumu pārbaudes.
Vai katram datu aizsardzības speciālistam vajadzīgs DVI eksāmens?
Nē. Nacionālais likums pieļauj arī citu personu, kas atbilst VDAR prasītajai profesionālajai kvalifikācijai un spēj pildīt uzdevumus. Jāpārbauda kompetence, neatkarīga pienākumu veikšana un interešu konfliktu neesība. Savukārt jautājums, vai uzņēmumam speciālists vispār obligāti jāieceļ, risināms atsevišķi pēc VDAR 37. panta.
Vai darbs tikai Latvijā novērš starptautisku datu nosūtīšanu?
Nē. Latvijā strādājošs uzņēmums var izmantot ārvalstu mākoņpakalpojumu vai atbalsta komandu ar piekļuvi no trešās valsts. Jāpārbauda faktiskā datu plūsma un līgumā atļautā apstrāde. Klientu atrašanās Latvijā pati par sevi neko nepasaka par pakalpojuma tehnisko un organizatorisko piegādes ķēdi.