Novērtējums par ietekmi uz datu aizsardzību jeb NIDA, ko bieži apzīmē arī ar saīsinājumu DPIA, palīdz pārzinim izlemt, vai plānoto personas datu apstrādi drīkst un ir lietderīgi sākt paredzētajā veidā. Tas vajadzīgs pirms apstrādes, ja tās veids, raksturs, apjoms, konteksts un nolūki varētu radīt augstu risku cilvēku tiesībām un brīvībām. Pamatu nosaka Vispārīgās datu aizsardzības regulas 35. pants.
Novērtējuma rezultāts nav tikai aizpildīta veidlapa. Tam jāparāda, kāds risinājums izvēlēts, kuri riski novērsti, kā pārbaudīta aizsardzības pasākumu darbība un kas vēl jāizdara pirms ieviešanas. Šis ceļvedis palīdz sagatavot šādu lēmumu Latvijas organizācijā, nošķirot sākotnējo nepieciešamības pārbaudi, pašu analīzi un gadījumus, kad pirms apstrādes jāapspriežas ar Datu valsts inspekciju.
Vispirms nosakiet, kādu apstrādi vērtējat
Sāciet ar konkrētu ieceri, nevis visas organizācijas abstraktu risku sarakstu. Piemēram, personāla atlases sistēmas ieviešanā jāzina, vai tā tikai glabās pieteikumus, arī sarindos kandidātus vai automātiski izslēgs daļu pretendentu. Atšķirīgas darbības var radīt atšķirīgus riskus, lai gan piegādātājs tās piedāvā vienā produktā. Nosaukums un licence paši par sevi neatklāj apstrādes būtību.
Aprakstiet cilvēkus, kuru datus izmantosiet, datu avotus, saņēmējus un paredzēto rezultātu. Norādiet, kā informācija nonāks sistēmā un kur tā aizies tālāk. Šajā posmā noder apstrādes darbību reģistrs, taču reģistra ieraksts neaizstāj ietekmes novērtējumu. Tas sniedz sākotnējo karti, kurai pievieno risku analīzi un argumentētu izvēli starp iespējamiem risinājumiem.
Nosakiet vērtējuma robežas arī laikā. Izmēģinājums ar īstiem cilvēku datiem jau var būt personas datu apstrāde; apzīmējums “pilots” neatceļ pienākumus. Projektēšanas laikā, ja iespējams, izmantojiet mākslīgus datus. Ja reāli dati nepieciešami pašā izmēģinājumā, pirms tā jābūt izvērtētam tiesiskajam pamatam, riskam un nepieciešamajiem aizsardzības pasākumiem, nevis tikai iecerētam vēlākam galīgās sistēmas novērtējumam.
Kad NIDA ir obligāts
Regulas 35. panta 3. punkts īpaši izceļ sistemātisku un plašu personisko aspektu novērtēšanu, kas balstās automatizētā apstrādē, tostarp profilēšanā, un uz kuras pamata pieņem juridiski vai līdzīgi būtiski ietekmējošus lēmumus. Tas izceļ arī īpašo kategoriju vai sodāmības datu apstrādi plašā mērogā un publiski pieejamu zonu sistemātisku novērošanu plašā mērogā. Šis uzskaitījums neaptver visus iespējamos augsta riska gadījumus.
Latvijā papildus jāizmanto DVI publicētie saraksti. DVI NIDA materiālu lapā ir gan obligātā novērtējuma, gan atbrīvojumu saraksts, kā arī 2025. gada vadlīnijas un veidlapas. Lapā saistīto sarakstu atjauninājums norādīts 2026. gada 11. februārī. Vērtējumā saglabājiet izmantoto dokumentu un piemēroto nosacījumu, lai vēlāk būtu redzams lēmuma pamatojums.
Obligātais DVI saraksts apstiprināts ar 2018. gada 18. decembra rīkojumu Nr. 1-2.1/125. Tajā jānošķir deviņi vispārīgie riska kritēriji no trīspadsmit Latvijas obligātajiem gadījumiem pārziņiem ar galveno vai vienīgo uzņēmējdarbības vietu Latvijā. Resursa atjaunināšanas datums vietnē pats par sevi nenozīmē jaunas tiesību normas spēkā stāšanos vai iepriekšējās kārtības aizstāšanu.
Nacionālajos gadījumos nosacījumi atšķiras. Piemēram, atsevišķās biometrisko datu, inovatīvu tehnoloģiju un atrašanās vietas datu situācijās norādīta saikne ar vēl vismaz vienu kritēriju. Darbinieku novērošanas un tieši bērnam piedāvātu informācijas sabiedrības pakalpojumu ierakstiem nav tādas pašas vispārīgas divu kritēriju formulas. Tādēļ vērtējiet piemērojamā punkta tekstu, nevis pārnesiet vienu nosacījumu uz visu sarakstu.
Ar saraksta virsrakstu vien nepietiek. Piemēram, DVI atbrīvojumu saraksta nosacījumi par noteiktu darba attiecību datu apstrādi ir saistīti ar apstrādes vietu un izņēmumiem, tostarp biometrisko vai ģenētisko datu izmantošanu, profilēšanu un sistemātisku uzraudzību. Tādēļ secinājums “tā ir personāla sistēma, tātad NIDA nevajag” var būt kļūdains. Salīdziniet visas faktiskās darbības ar visiem attiecīgā izņēmuma nosacījumiem.
Ārpus skaidriem saraksta gadījumiem izvērtējiet kopējo risku. Vairāku datu kopu sasaistīšana, bērnu vai citu ievainojamu cilvēku situācija, intensīva uzraudzība un iespēja liegt pakalpojumu var savstarpēji pastiprināt ietekmi. Atsevišķu pazīmju saskaitīšana ir palīglīdzeklis, nevis neatkarīgs juridisks algoritms. Arī viena īpaši nozīmīga pazīme var prasīt padziļinātu analīzi, ja sekas cilvēkam var būt smagas.
Plašs mērogs nav vienkārši organizācijas darbinieku skaits. Jāvērtē skarto cilvēku skaits vai īpatsvars, datu apjoms un dažādība, apstrādes ilgums un ģeogrāfiskais tvērums. Neliels uzņēmums var apstrādāt ļoti daudz klientu datu, savukārt lielā organizācijā atsevišķa ierobežota darbība var būt neliela. Pierakstiet faktus, nevis tikai atzīmi “mazs”, “vidējs” vai “liels”.
Ja secināt, ka NIDA nav vajadzīgs, saglabājiet īsu pamatojumu ar datumu, vērtēto apstrādi un pārskatīšanas iemesliem. Tas nav mēģinājums aizstāt obligātu novērtējumu ar vienu rindkopu. Dokumentēts sākotnējais vērtējums palīdz pierādīt, kādēļ pienākums konkrētajos apstākļos netika konstatēts, un ļauj pamanīt, kad apstākļi vairs neatbilst sākotnējam secinājumam.
Sadaliet pienākumus pirms analīzes
Par pienākuma izpildi atbild pārzinis. Projekta vadītājs var koordinēt darbu, tehniskais speciālists izskaidrot sistēmu, jurists izvērtēt tiesiskos jautājumus, bet procesa īpašnieks pamatot reālo vajadzību. Ja ir iecelts datu aizsardzības speciālists, viņa padoms novērtējuma veikšanā ir jāprasa. Speciālista konsultācija nepārvieto pārziņa atbildību uz šo personu.
Piegādātājs var iesniegt tehnisko dokumentāciju, drošības aprakstu un informāciju par saviem apakšapstrādātājiem. Tomēr vispārīgs ražotāja novērtējums nezina jūsu organizācijas nolūku, cilvēku loku un sistēmas konfigurāciju. Pārbaudiet, kuras tā daļas patiešām attiecas uz konkrēto projektu. Trūkstošā informācija jāiegūst, izmantojot arī apstrādātāja līgumā noteikto palīdzību, nevis aizstājot to ar pieņēmumiem.
Attiecīgā gadījumā jānoskaidro datu subjektu vai viņu pārstāvju viedokļi, ievērojot komerciālo un sabiedrības interešu, kā arī drošības aizsardzību. Piemēram, darbinieku pārstāvji var atklāt, ka šķietami nekaitīga uzskaites funkcija praksē rada pastāvīgas uzraudzības sajūtu. Ja konsultēšanās nav piemērota, izskaidrojiet apsvērumus. Aptauja pati par sevi nav piekrišana un nedod trūkstošu tiesisko pamatu.
Aprakstiet apstrādi pietiekami konkrēti
Regulas 35. panta 7. punkts prasa sistemātisku paredzēto darbību un nolūku aprakstu, attiecīgā gadījumā arī pārziņa leģitīmās intereses. Aprakstā sasaistiet katru datu ievades avotu ar darbību un rezultātu. Ja sistēma izveido secinājumu par cilvēku, norādiet arī šo jauno informāciju, nevis uzskaitiet tikai sākotnēji saņemtos laukus.
Īpaši izskaidrojiet piekļuvi un datu nodošanu. Atšķiriet parasto lietotāju, administratoru, atbalsta dienestu un ārēju saņēmēju. Administratīva piekļuve var atklāt daudz vairāk nekā gala lietotāja ekrāns. Norādiet arī rezerves kopijas, žurnālfailus, testa vidi un eksportus, jo risks var rasties tieši tur, kur informācija ir aizmirsta pēc galvenā procesa pabeigšanas.
Sistēmas shēmai nav jābūt sarežģītai, bet tai jāatbilst faktiskajai darbībai. Ja arhitektūra vēl mainās, skaidri atzīmējiet nezināmos jautājumus un personu, kura tos noskaidros. Apstiprināt dokumentu ar neatbildētiem būtiskiem jautājumiem un pēc tam uzskatīt projektu par izvērtētu būtu maldinoši. Lēmums var būt nosacīts, taču nosacījumi jāizpilda pirms attiecīgās apstrādes sākšanas.
Pārbaudiet nepieciešamību un samērīgumu
Novērtējiet, vai iecerētais nolūks ir skaidrs, tiesisks un sasniedzams ar izvēlētajiem datiem. Nepieciešamība nenozīmē tikai to, ka plašāka datu ievākšana būtu ērta. Salīdziniet mazāk ierobežojošas alternatīvas: apkopotus rādītājus individuālas izsekošanas vietā, īsāku glabāšanu, ierobežotu izlasi vai cilvēka veiktu pārbaudi pirms nelabvēlīga lēmuma. Paskaidrojiet, kāpēc izvēlētā alternatīva ir piemērota konkrētajam mērķim.
Tiesiskais pamats ir jāvērtē atsevišķi no drošības. Droši šifrēta, bet nevajadzīga informācija nekļūst nepieciešama. Ja izmanto īpašo kategoriju datus, jāizvērtē arī piemērojamais 9. panta nosacījums. Novērtējums nevar “legalizēt” aizliegtu apstrādi, vienkārši piešķirot tai pieņemamu riska punktu skaitu. Vispirms jānovērš problēma ar nolūku, pamatu vai apstrādes robežām.
Pievērsiet uzmanību glabāšanas ierobežojumam. Katram būtiskajam datu veidam nosakiet glabāšanas iemeslu, termiņa sākuma notikumu un dzēšanas darbību. Frāze “kamēr nepieciešams” viena pati nepalīdz sistēmas administratoram izpildīt lēmumu. Ja termiņu nosaka tiesību norma, pārbaudiet, uz kuriem dokumentiem tā attiecas, neattiecinot to automātiski uz visiem tehniskajiem datiem.
Apsveriet arī tiesību īstenošanu. Vai cilvēks var saprast apstrādi, pieprasīt labošanu un saņemt savus datus? Piekļuves tiesību izpildes plāns palīdz pārbaudīt, vai informācija ir atrodama un nodalāma no citu personu datiem. Ja sistēma ļauj izdarīt secinājumu, bet neļauj izskaidrot izmantoto informāciju, tas ir praktisks riska un atbilstības jautājums.
Vērtējiet sekas cilvēkiem, ne tikai uzņēmumam
Riska scenārijā aprakstiet notikumu, tā cēloni un sekas datu subjektam. Piemēram, nepareizi piešķirta piekļuve var ļaut kolēģim uzzināt informāciju par veselību, savukārt kļūdaina kandidāta klasifikācija var nepamatoti liegt darbu. Uzņēmuma reputācijas zaudējums vai naudas sods var būt vadībai svarīgs, taču NIDA centrā ir cilvēku tiesības un brīvības.
Atsevišķi novērtējiet iespējamību un kaitējuma smagumu, paskaidrojot lietoto skalu. Vienādi punkti var slēpt dažādus apstākļus: retu, bet ļoti smagu kaitējumu un biežu, mazāk smagu neērtību. Nepieciešama argumentācija par ietekmi, nevis tikai krāsa tabulā. Ja pierādījumu trūkst, norādiet nenoteiktību un to, kādu informāciju vajag pirms lēmuma.
Vērtējiet arī likumīgi piešķirtu funkciju ļaunprātīgu izmantošanu. Atļauta masveida lejupielāde vai pārāk plašs vadītāja pārskats var radīt risku bez ārēja uzbrukuma. Daļa risku attiecas uz informācijas precizitāti, diskrimināciju vai cilvēka iespēju iebilst. Tāpēc tikai ugunsmūris, rezerves kopija un paroles politika nevar aptvert visu ietekmes novērtējuma tvērumu.
Hipotētiskā darbinieku darba plānošanas projektā sākotnēji var būt paredzēta nepārtraukta atrašanās vietas uzskaite. Analīze var parādīt, ka uzdevumu sadalei pietiek ar ierašanās apstiprinājumu noteiktos objektos. Šāda izvēle maina pašu apstrādi un samazina risku tā avotā. Tā ir vērtīgāka par solījumu stingrāk aizsargāt nevajadzīgi savāktu detalizētu pārvietošanās vēsturi.
Piesaistiet pasākumam īpašnieku un pierādījumu
Katram būtiskajam riskam nosakiet pasākumu, izpildītāju, ieviešanas brīdi un veidu, kā pārbaudīsiet rezultātu. Ja risks saistīts ar pārmērīgu piekļuvi, pierādījums var būt lomu matrica un pārbaudīta piekļuves konfigurācija. Ja risks rodas no neprecīzas informācijas, vajadzīga arī kļūdu labošanas kārtība. Vispārīgs solījums “ievērot datu aizsardzību” neparāda, kā risks mainīsies.
Nošķiriet plānotu aizsardzību no ieviestas aizsardzības. Novērtējuma tabulā tās var izskatīties vienādi, taču lēmumam par apstrādes sākšanu atšķirība ir būtiska. Ja tehniskais ierobežojums vēl nav pieejams, novērtējiet pagaidu risinājumu un tā robežas. Nepieļaujiet, ka apstiprinājums balstās uz piegādātāja nākotnes funkciju, kuru neviens vēl nevar pārbaudīt.
Šo darbu sasaistiet ar integrēto datu aizsardzību un noklusējuma iestatījumiem. Daudzus riskus var mazināt, mainot datu laukus, pieejamību un glabāšanas noteikumus pašā sistēmā. Organizatorisks norādījums lietotājam būt uzmanīgam ir vājāks risinājums, ja tehniskais iestatījums turpina automātiski atklāt visu informāciju visiem kolēģiem.
Pēc pasākumu izvēles novērtējiet atlikušo risku. Tam jāizriet no paskaidrota mehānisma, kā konkrētā aizsardzība samazina iespējamību vai sekas. Nevajag mehāniski pazemināt visus punktus tikai tādēļ, ka pievienots drošības pasākumu saraksts. Saglabājiet arī noraidītās alternatīvas un būtiskos iebildumus, lai pārskatīšanā varētu saprast, kāpēc komanda pieņēma sākotnējo lēmumu.
Sagatavojiet ieviešanas lēmumu
Novērtējuma beigās atbildīgajai vadības personai jāsaņem skaidrs priekšlikums: sākt aprakstīto apstrādi pēc konkrētu nosacījumu izpildes, mainīt ieceri vai to neīstenot. Tas ir ieteicams organizatorisks lēmuma formāts, nevis regulā paredzēta obligāta veidlapa. Pievienojiet neizpildītos pasākumus un norādiet, kuri no tiem liedz sākt apstrādi. Citādi “apstiprināts” var kļūdaini tikt saprasts kā atļauja ignorēt dokumenta pielikumos palikušos uzdevumus.
Piemēram, ja klientu profilēšanas projektā vēl nav izveidota cilvēka veiktas pārskatīšanas iespēja, noskaidrojiet, vai attiecīgo funkciju vispār drīkst ieslēgt. Nepietiek solīt, ka sūdzības izskatīs manuāli, ja darbiniekam nav pieejama lēmuma pamatojuma informācija. Lēmuma pieņemšanas brīdī pārbaudiet visu pasākumu kopumu, tostarp darbinieku pilnvaras, informāciju cilvēkiem un tehniskos ierobežojumus, kuriem novērtējumā bija būtiska nozīme.
Ja vadība nepiekrīt datu aizsardzības speciālista padomam, saglabājiet atšķirīgos apsvērumus un lēmuma pamatojumu. Tas nenozīmē, ka jebkuru risku var padarīt pieņemamu ar parakstu. Juridiskie šķēršļi un obligāta apspriešanās joprojām jāievēro. Dokumentēta atšķirība palīdz vēlāk saprast, vai lēmums balstījās citos faktos, citā riska novērtējumā vai vajadzībā iegūt papildu pierādījumus.
Pēc ieviešanas salīdziniet reālo konfigurāciju ar apstiprināto aprakstu. Projekta beigās mēdz mainīties piekļuves lomas, glabāšanas iestatījumi vai piegādātāja pakalpojuma līmenis. Ja šīs izmaiņas ietekmē risku, pārskatiet vērtējumu, nevis saglabājiet sākotnējo dokumentu kā nemainīgu apliecinājumu. Atbildīgajiem jāzina, kur ziņot par novirzi un kurš drīkst lemt par turpmāku darbību, kamēr problēma tiek novērsta.
Kad pirms apstrādes jāapspriežas ar DVI
Ja pēc paredzētajiem riska mazināšanas pasākumiem saglabājas augsts risks, jāvērtē 36. pantā paredzētā iepriekšējā apspriešanās ar DVI un tā jāveic pirms attiecīgās apstrādes. Vadības gatavība uzņemties uzņēmējdarbības risku šo pienākumu neatceļ. Projekta grafiks jāpielāgo juridiskajam procesam, nevis dokumentā jāmaina riska vērtējums, lai izvairītos no kavējuma.
Apspriešanai sagatavo novērtējumu, nolūkus un līdzekļus, aizsardzības pasākumus, iesaistīto pušu atbildības sadalījumu un attiecīgā gadījumā speciālista kontaktinformāciju. DVI var prasīt papildu ziņas. Tāpēc noder pārskatāms dokumentu komplekts, kurā iestāde var atrast gan risku, gan attiecīgo tehnisko vai organizatorisko pamatojumu, neprasot no jauna izskaidrot visu projekta vēsturi.
Regulas 36. panta 2. punktā noteiktais rakstiskas konsultācijas periods ir līdz astoņām nedēļām pēc pieprasījuma saņemšanas; sarežģītības dēļ to var pagarināt par sešām nedēļām. Par pagarinājumu un iemesliem jāpaziņo mēneša laikā. Periodus var apturēt, kamēr saņem pieprasīto informāciju. Šī kārtība nav automātiska projekta atļauja pēc kalendārā atzīmēta datuma vai klusēšanas gadījumā.
Pārskatīšana, līdzīgi projekti un biežākie jautājumi
Vai katrai līdzīgai sistēmai jāraksta viss no jauna? Viens novērtējums var aptvert līdzīgas darbības ar līdzīgiem augstiem riskiem. Tomēr jāpārbauda cilvēku loks, nolūki, funkcijas un ieviestie pasākumi. Citas organizācijas vai piegādātāja dokuments nav automātisks atbrīvojums. Saglabājiet salīdzinājumu, kas parāda kopīgo daļu un to, kas konkrētajā ieviešanā jānovērtē papildus.
Vai likumā noteiktai apstrādei NIDA nekad nav vajadzīgs? Nē. Regulas 35. panta 10. punkta īpašā kārtība saistīta ar konkrēti regulētu apstrādi, pamatu saskaņā ar 6. panta 1. punkta c) vai e) apakšpunktu un jau veiktu ietekmes novērtējumu tiesiskā pamata pieņemšanas gaitā, ievērojot dalībvalsts prasības. Vienkārša atsauce uz juridisku pienākumu pati par sevi šo nosacījumu izpildi nepierāda.
Vai novērtējums jāpārskata katru gadu? Regula nenosaka vienu visiem projektiem kopīgu gada termiņu. Pārskatīšana vajadzīga, kad nepieciešams, vismaz mainoties apstrādes radītajam riskam. Organizācija var noteikt regulāru pārbaudi kā savu kontroles pasākumu. Ja mainās funkcijas, datu apjoms, saņēmēji vai cilvēku situācija, nav jāgaida plānotais pārskatīšanas datums.
Incidents var parādīt, ka agrākie pieņēmumi bijuši kļūdaini. Tad novērtējumu atjauno līdztekus incidenta izmeklēšanai, bet tas neaizstāj pārkāpuma paziņošanas pienākumu izvērtējumu. Šie procesi risina atšķirīgus jautājumus: viens novērš un pārskata riskus, otrs nosaka rīcību pēc notikuša personas datu aizsardzības pārkāpuma. Pierādījumus var izmantot abos, saglabājot atsevišķus lēmumus.
Ja projektā izmanto MI, aprakstiet tā faktisko lomu, ievaddatus un rezultāta ietekmi. MI sistēmu atbilstības izvērtēšanas ceļvedis palīdz apskatīt atsevišķus pienākumus, taču sistēmas klasifikācija pati par sevi neatbild uz visiem NIDA jautājumiem. Pabeigta novērtējuma vērtību nosaka iespēja izsekot ceļam no konkrēta riska līdz pārbaudītam pasākumam un atbildīgi pieņemtam lēmumam.