Datu aizsardzības speciālists palīdz organizācijai saprast un uzraudzīt personas datu aizsardzības pienākumu izpildi. Latvijā lieto saīsinājumu DAS, bet starptautiskajā saziņā bieži sastopams DPO. Šī nav tikai kontaktpersona, kuras e-pastu ievieto privātuma politikā. Speciālistam vajadzīgas atbilstošas zināšanas, savlaicīga iesaiste, resursi un iespēja sniegt neatkarīgu vērtējumu arī tad, ja tas vadībai nav ērts.
VDAR 37.–39. pants nosaka iecelšanas gadījumus, statusu un uzdevumus. Ne katram uzņēmumam speciālists obligāti jāieceļ, un darbinieku skaits nav universāls slieksnis. Savukārt obligātu iecelšanu nevar aizstāt ar vispārīgu norādi, ka par datiem rūpējas grāmatvedis. Šis ceļvedis palīdz pieņemt pamatotu iecelšanas lēmumu, izvēlēties atbilstošu personu un izveidot darbības kārtību, kurā konsultatīvā loma saglabā savu neatkarību.
Kad DPO iecelšana ir obligāta (37. panta 1. punkts)?
Pirmais gadījums ir publiska iestāde vai struktūra, izņemot tiesas, kad tās pilda tiesu funkcijas. Šo pienākumu nevērtē tikai pēc datu apjoma. Otrais gadījums ir pārzinis vai apstrādātājs, kura pamatdarbības ietver tādu apstrādi, kas pēc būtības, apjoma vai nolūkiem prasa regulāru un sistemātisku cilvēku novērošanu lielā mērogā. Visi šie elementi jāaplūko kopā; ar vienu atsevišķu novērošanas gadījumu nepietiek automātiskam secinājumam.
Trešais gadījums ir pamatdarbības, kas ietver 9. pantā minēto īpašu kategoriju datu vai 10. pantā minēto datu par sodāmību un pārkāpumiem apstrādi lielā mērogā. Tādēļ slimnīcas un individuāla ārsta prakses situācija var atšķirties. Nav pareizi visiem veselības pakalpojumu sniedzējiem piemērot identisku secinājumu, nepārbaudot mērogu un darbības raksturu. Tāpat mazs tehnoloģiju uzņēmums var atbilst kritērijiem, ja tā pakalpojums ietver plašu uzvedības novērošanu.
Papildus pārbauda konkrētajai organizācijai piemērojamās Savienības un Latvijas tiesību normas, jo VDAR pieļauj arī citus tiesību aktos noteiktus iecelšanas gadījumus. Fizisko personu datu apstrādes likums regulē arī speciālista kvalifikācijas jautājumus Latvijā. Lēmumā norāda, kurus piemērošanas pamatus organizācija pārbaudījusi. Vispārīgs teikums “esam mazs uzņēmums, tādēļ DPO nevajag” nav pietiekams, ja faktiskā darbība rada citādu secinājumu.
Kā novērtēt pamatdarbību un mērogu
Pamatdarbība ir darbība, kas saistīta ar organizācijas galveno uzdevumu īstenošanu. Parastā algu uzskaite var būt nepieciešama jebkuram darba devējam, bet parasti nav tā pamatpakalpojums. Savukārt pacientu datu apstrāde ir neatņemama slimnīcas ārstniecības darbības sastāvdaļa. Vērtējot digitālu pakalpojumu, nedrīkst automātiski saukt profilēšanu par palīgdarbību, ja bez tās pakalpojuma piedāvātā funkcija faktiski nevarētu darboties.
Lielam mērogam VDAR nenosaka vienu visiem piemērojamu cilvēku skaitu. Vērtē skarto personu skaitu un īpatsvaru, datu apjomu un daudzveidību, apstrādes ilgumu un ģeogrāfisko tvērumu. EDAK apstiprinātās vadlīnijas par DPO palīdz šo vērtējumu strukturēt. Praktiskā lēmumā jābūt konkrētiem organizācijas faktiem, nevis tikai pārkopētam kritēriju sarakstam. Ja apjoms būtiski pieaug, iepriekšējais secinājums jāpārskata.
Regulāra un sistemātiska novērošana var ietvert plānotu, atkārtotu cilvēku uzvedības izsekošanu vai profilēšanu, arī ārpus interneta. Vienlaikus ne katra drošības kamera vai klientu datubāze pati par sevi rada pienākumu iecelt speciālistu. Jāanalizē pamatdarbība un mērogs. Apstrādes darbību reģistrs palīdz apkopot procesus, bet iecelšanas lēmumam vajadzīgs atsevišķs juridisks vērtējums par šo procesu kopumu.
Kā dokumentēt lēmumu par iecelšanu
Lēmumā apraksta organizācijas lomu, galvenos pakalpojumus, būtiskās datu plūsmas un izvērtētos 37. panta kritērijus. Ja pienākuma nav, norāda iemeslus un apstākļus, kuru maiņa liktu vērtējumu atkārtot. Piemēram, jauns plašas profilēšanas pakalpojums var būt būtiskāks par nelielu darbinieku skaita pieaugumu. Dokumenta mērķis ir ļaut citam cilvēkam pārbaudīt secinājumu pēc faktiem, nevis tikai ieraudzīt vadītāja parakstu.
Organizācija var iecelt DPO arī brīvprātīgi. Tad piemēro tās pašas prasības par statusu, uzdevumiem un neatkarību. Ja vajadzīgs tikai konsultants un formāla iecelšana nav paredzēta, saziņā jālieto precīzs amata nosaukums. DVI savos biežāk uzdotajos jautājumos skaidro šo atšķirību. Nevajag vienu personu vienlaikus publiski saukt par DPO un iekšēji uzskatīt par konsultantu, uz kuru neatkarības garantijas neattiecas.
Pēc iecelšanas lēmuma noformē amata vai pakalpojuma noteikumus, atbildību sadalījumu, ziņošanas kārtību un aizvietošanu. Vadība informē darbiniekus, kādos jautājumos speciālists jāiesaista. Tas novērš situāciju, kurā iecelšana juridiski ir notikusi, bet projekta vadītāji par speciālista lomu uzzina tikai pēc incidenta. Atsevišķi nosaka, kā pie viņa nonāks cilvēku jautājumi, kuri saņemti klientu atbalsta vai personāla nodaļā.
Kādi ir DPO uzdevumi (39. pants)?
Speciālists informē un konsultē pārzini vai apstrādātāju un tā darbiniekus par datu aizsardzības pienākumiem. Viņš uzrauga atbilstību regulai, citiem piemērojamiem datu aizsardzības noteikumiem un organizācijas politikām, tostarp pienākumu sadali, apmācību un auditiem. Tas nenozīmē, ka viņam pašam jādara katrs tehniskais darbs. Piemēram, piekļuves tiesību ieviešanu sistēmā veic tās atbildīgie, bet DPO var izvērtēt izvēlētās kārtības atbilstību.
DPO pēc pieprasījuma konsultē par ietekmes uz datu aizsardzību novērtējumu un uzrauga tā izpildi. Ja DPO ir iecelts, pārzinim, veicot šādu novērtējumu, jālūdz viņa padoms. Novērtējuma veikšanas pienākums tomēr paliek pārzinim. Speciālista komentārs nav automātiska atļauja sākt jebkuru apstrādi, un viņa paraksts neatceļ pienākumu ieviest konstatēto risku mazināšanas pasākumus.
Speciālists sadarbojas ar uzraudzības iestādi un ir kontaktpunkts jautājumos par apstrādi, tostarp iepriekšēju apspriešanos, ja tā nepieciešama. Cilvēki var sazināties ar viņu par savu datu apstrādi un tiesību izmantošanu. Darba prioritātes nosaka, ņemot vērā riskus, apstrādes raksturu, apjomu, kontekstu un nolūkus. Vienāda uzmanība visiem dokumentiem neatkarīgi no to nozīmes var atstāt būtiskākos jautājumus neizvērtētus.
Neatkarība un interešu konflikta aizliegums (38. pants)
DPO nedrīkst saņemt norādījumus par to, pie kāda profesionāla secinājuma jānonāk, kā jāizmeklē konkrēts datu aizsardzības jautājums vai vai jāsazinās ar uzraudzības iestādi. Viņam jāziņo tieši augstākajam vadības līmenim. Tā nav neatkarība no jebkādas darba organizācijas, bet aizsardzība profesionālo uzdevumu izpildei. Vadība var nodrošināt resursus un plānot sadarbību, taču nedrīkst diktēt izdevīgu atzinumu.
Speciālistu nedrīkst atlaist vai sodīt par viņa uzdevumu pildīšanu. Šī garantija nav absolūta imunitāte pret jebkādām darba tiesiskām sekām neatkarīgi no rīcības. Jānošķir nepieļaujama represija par neatkarīgu vērtējumu no citiem tiesiski vērtējamiem apstākļiem. Praktiski risku rada arī netiešs spiediens, piemēram, atlīdzības sasaistīšana ar to, cik maz pārkāpumu speciālists dokumentējis, nevis ar kvalitatīvu uzdevumu izpildi.
Papildu pienākumi ir iespējami, ja tie nerada interešu konfliktu. Jāvērtē faktiskās pilnvaras, nevis tikai amata nosaukums. Persona, kura pati nosaka būtiskos apstrādes nolūkus un līdzekļus, nedrīkst neatkarīga uzrauga lomā kontrolēt šos pašas lēmumus. Valdes, personāla, IT vai mārketinga vadības pienākumi tādēļ bieži rada konfliktu. Ar parakstītu apliecinājumu par interešu konflikta neesību nepietiek, ja lomu saturs paliek pretrunīgs.
Resursi un savlaicīga iesaiste
Organizācijai jānodrošina DPO atbilstošs laiks, resursi, piekļuve personas datiem un apstrādes darbībām, kā arī iespēja uzturēt zināšanas. Piekļuve jāorganizē tā, lai speciālists varētu izpildīt uzdevumus, bet nevajadzīgi nekopētu lielus datu apjomus. Atbilstošs risinājums var būt kontrolēta piekļuve sistēmai, demonstrācija vai konkrēts datu izvilkums atkarībā no pārbaudāmā jautājuma un nepieciešamības.
Savlaicīga iesaiste nozīmē konsultēties vēl tad, kad būtiskos lēmumus iespējams mainīt. Ja jauna personāla sistēma jau nopirkta un savienota ar ārējiem pakalpojumiem, speciālista ieteikumu ieviešana var prasīt papildu darbu. Integrētas datu aizsardzības pieeja palīdz noteikt konsultēšanās brīžus: plānojot nolūkus, izvēloties datu apjomu, vērtējot piegādātāju un pirms pakalpojuma palaišanas. DPO nav jāuzzina par būtisku projektu nejauši.
Ja vadība neievēro speciālista ieteikumu, ir lietderīgi saglabāt gan atzinumu, gan vadības lēmumu un pamatojumu. Šāda dokumentēšana nepadara nelikumīgu apstrādi likumīgu, taču ļauj redzēt, kurš pieņēmis lēmumu un kādi riski bijuši zināmi. Speciālistam jābūt iespējai savu atšķirīgo viedokli izteikt augstākajai vadībai. Konflikta slēpšana, izņemot kritiskās rindkopas no atzinuma, neatbilst neatkarīgas uzraudzības jēgai.
Kvalifikācija un Latvijas DVI saraksts
DPO izvēlas pēc profesionālajām īpašībām, īpaši speciālām zināšanām datu aizsardzības tiesībās un praksē un spējas pildīt noteiktos uzdevumus. Vajadzīgo zināšanu dziļums ir atkarīgs no apstrādes sarežģītības un riska. Kandidātam jāspēj ne tikai nosaukt regulas pantus, bet arī izprast organizācijas procesus, pamatot atzinumus un skaidri sazināties ar tehniskajiem speciālistiem, vadību un cilvēkiem, kuru dati tiek apstrādāti.
Latvijas likuma 17. pants ļauj norīkot gan DVI speciālistu sarakstā iekļautu personu, gan citu personu, kas atbilst VDAR kvalifikācijas kritērijiem. Tātad DVI kvalifikācijas eksāmens un iekļaušana šajā sarakstā nav universāls priekšnoteikums iecelšanai. Vienlaikus saraksts ir konkrētas kvalifikācijas pārbaudes rezultāts, ko nevajag sajaukt ar organizācijas iecelta DPO kontaktinformācijas paziņošanu inspekcijai. Tās ir divas atšķirīgas darbības ar atšķirīgu mērķi.
DVI 2026. gada informācija par eksāmenu palīdz saprast šo kvalifikācijas ceļu. Izvēloties kandidātu, pārbaudiet viņa pieredzes atbilstību konkrētajiem procesiem un iespēju uzturēt zināšanas. Sertifikāts vai eksāmens pats par sevi nepierāda, ka persona varēs veltīt organizācijai pietiekami daudz laika. Atlases sarunā var izmantot hipotētisku situāciju un lūgt izskaidrot vērtēšanas soļus un atbildību sadalījumu.
Iekšējs, ārējs vai kopīgs speciālists
DPO var būt darbinieks vai pildīt uzdevumus uz pakalpojuma līguma pamata. Iekšējam speciālistam var būt labākas zināšanas par ikdienas procesiem, taču jānovērš konflikts ar citām funkcijām un jāpiešķir reāls darba laiks. Ārējam speciālistam vajadzīga piekļuve organizācijas informācijai un skaidri saziņas ceļi. Ārpakalpojuma līgums, kurā paredzēta tikai viena ikgadēja dokumentu pārskatīšana, var nebūt pietiekams faktiskajiem uzdevumiem.
Uzņēmumu grupa var iecelt vienu DPO, ja viņš ir viegli sasniedzams no katras vienības. Vairākām publiskām iestādēm vai struktūrām kopīgs speciālists iespējams, ņemot vērā to uzbūvi un lielumu. Jāvērtē valodas, laika pieejamība, organizāciju skaits un spēja saprast katras darbību. Kopīgs e-pasts vien nepierāda sasniedzamību, ja iesniegumi netiek pārskatīti vai speciālists nespēj sazināties ar attiecīgajiem cilvēkiem.
Ārpakalpojuma līgumā lietderīgi noteikt konsultāciju apjomu, steidzamu situāciju saziņu, pieeju materiāliem, aizvietošanu un informācijas nodošanu pēc pakalpojuma beigām. Jāpārbauda arī interešu konflikts, ja tas pats pakalpojuma sniedzējs projektē vai pārdod sistēmu, kuras atbilstību DPO vēlāk uzraudzīs. Līguma nosaukums vai ārējs statuss šo konfliktu automātiski nenovērš. Par faktiskās neatkarības nodrošināšanu jādomā jau pakalpojuma izvēles laikā.
Kontaktinformācijas publicēšana un paziņošana DVI
Pārzinim vai apstrādātājam jāpublicē DPO kontaktinformācija un jāpaziņo tā uzraudzības iestādei. DVI piedāvā norādes par speciālista iecelšanas paziņošanu. Jāievēro aktuālās iesniegšanas norādes un jāsaglabā iesniegšanas pierādījums. Publiski var izmantot funkcionālu kontaktadresi, kas ļauj cilvēkam tieši sasniegt speciālistu; nav nepieciešams izpaust viņa privāto mājas adresi vai citu nevajadzīgu personisku informāciju.
Kontaktus ievieto attiecīgajos informēšanas materiālos, tostarp privātuma politikā, un uztur aktuālus. Ja mainās speciālists vai kontaktkanāls, pārbauda arī vecās adreses pārvirzīšanu un nepabeigto lietu nodošanu. Cilvēka vēstule nedrīkst pazust tikai tāpēc, ka beidzies ārpakalpojuma līgums. Iekšēji jābūt zināmam, kurš uzrauga kontaktkanāla darbību un kā nodrošināta konfidenciāla saziņa prombūtnes laikā.
Praktiskā sadarbība pieprasījumu un pārkāpumu lietās
Saņemot piekļuves pieprasījumu, DPO var konsultēt par tvērumu, identitātes pārbaudi un citu personu tiesību aizsardzību. Datu meklēšanu un atbildes tehnisko sagatavošanu veic nozīmētie darbinieki. Tas palīdz izvairīties no situācijas, kurā visi darbi automātiski nonāk pie viena speciālista un termiņi kļūst atkarīgi tikai no viņa pieejamības. Pārzinim nepieciešama funkcionējoša izpildes kārtība arī DPO prombūtnē.
Personas datu aizsardzības pārkāpumā DPO iesaista savlaicīgi, lai izvērtētu sekas un paziņošanas pienākumu. Pārzinis saglabā atbildību par vajadzīgajiem lēmumiem un paziņošanu. Speciālista nepieejamība neaptur VDAR termiņus. Viņa vārdu vai citu kontaktpunktu norāda paziņojumā atbilstoši faktiskajai saziņas kārtībai; tas nepārvērš speciālistu par vienīgo personu, kas drīkst organizēt incidenta ierobežošanu.
Darba plāns un pārbaudāmi rezultāti
Pirmajā darba posmā speciālistam jāiepazīst organizācijas galvenie procesi un cilvēki, kuri par tiem atbild. Lietderīgs sākumpunkts ir sarunas ar personāla, klientu apkalpošanas, IT un pakalpojumu vadītājiem. Mērķis nav uzreiz izveidot lielu jaunu dokumentu kopumu, bet saprast, kur atrodas būtiskākie riski un kur organizācijas apraksts atšķiras no faktiskās darbības. Pēc tam var noteikt pamatotas pārbaudes prioritātes un informācijas trūkumus.
Darba plānā katram izvēlētajam jautājumam norāda paredzēto pārbaudes rezultātu. Piemēram, pieprasījumu procesa pārskatā rezultāts var būt konstatētas termiņu uzraudzības nepilnības un konkrēti ieteikumi to novēršanai. DPO uzrauga ieteikumu izpildi, bet atbildīgie vadītāji nodrošina vajadzīgās izmaiņas. Ja viss plāns sastāv tikai no vispārīga uzdevuma “nodrošināt atbilstību”, vēlāk ir grūti saprast, ko speciālists varēja pārbaudīt un kas palicis organizācijas lēmumu līmenī.
Vadībai sniegtajā ziņojumā nodala konstatētos faktus, juridisko vērtējumu, ieteikumus un neatrisinātos jautājumus. Nav jānosauc organizācija par pilnībā atbilstošu tikai tādēļ, ka pārskatīti daži dokumenti. Tāpat konstatēta nepilnība jāizskaidro ar tās ietekmi uz cilvēkiem un nepieciešamo rīcību. Pārskatā var norādīt arī informāciju, kuru speciālists nav saņēmis, jo piekļuves trūkums ierobežo secinājumu ticamību un ir jārisina vadības līmenī.
Piemērs: viens pakalpojums, divi dažādi pienākuma vērtējumi
Neliela organizācija izmanto ārēju klientu apkalpošanas sistēmu parastai saziņai ar saviem klientiem. Tā vērtē savas pamatdarbības un datu apjomu un var secināt, ka konkrētajā situācijā 37. panta kritēriji nav sasniegti. Savukārt sistēmas piegādātājs apstrādā daudzu klientu datus un piedāvā plašu sistemātiskas novērošanas funkciju. Viņa pienākuma vērtējums jāveic atsevišķi pēc faktiskās darbības, nevis jāpārņem viena neliela klienta secinājums.
Arī pretējais pieņēmums būtu kļūdains: piegādātāja iecelts DPO automātiski nekļūst par katra klienta speciālistu. Ja klientam pašam vajadzīga iecelšana, jānodrošina savs atbilstošs risinājums. Attiecības ar apstrādātāju un tā palīdzības pienākumus izskaidro datu apstrādes līguma prasības, bet tās neaizstāj klienta pārvaldības lēmumus. Šo atšķirību ir svarīgi pārbaudīt, ja piegādātāja piedāvājumā minēts vispārīgs atbilstības atbalsts.
Biežāk uzdotie jautājumi
Vai DPO atbild par visiem organizācijas pārkāpumiem?
DPO iecelšana nepārceļ pārziņa vai apstrādātāja VDAR pienākumus uz speciālistu. Viņš uzrauga un konsultē, bet organizācija pieņem un īsteno apstrādes lēmumus. Tas nav vispārīgs apgalvojums, ka speciālista paša rīcība nekad nevar radīt atbildību pēc citiem piemērojamiem noteikumiem. Būtiskais ir nesaistīt organizācijas atbildību par apstrādi ar mēģinājumu to pilnībā nodot DPO.
Vai mazam uzņēmumam pietiek iecelt direktoru?
Vispirms jānoskaidro, vai formāla DPO iecelšana vajadzīga. Ja vajadzīga, jāizvēlas kompetenta persona bez interešu konflikta. Direktors, kurš nosaka apstrādes nolūkus un līdzekļus, parasti nevar vienlaikus neatkarīgi uzraudzīt šos lēmumus. Organizācijas mazais izmērs neatceļ neatkarības prasības; var apsvērt atbilstošu ārēju risinājumu un skaidru iekšējo sadarbības kārtību.
Vai speciālistam jāuztur viss apstrādes reģistrs?
VDAR 39. pants šo tehnisko uzdevumu automātiski neuzliek DPO. Organizācija var viņam uzticēt koordinēšanu vai uzturēšanu, ja saglabā atbilstošus resursus un novērš interešu konfliktu. Procesu atbildīgajiem tik un tā jāsniedz precīza informācija. Reģistrs nevar būt uzticams, ja par faktiskajām izmaiņām zina tikai nodaļas, bet DPO par tām netiek informēts.