Datu valsts inspekcija (DVI) ir Latvijas personas datu aizsardzības uzraudzības iestāde. Pie tās var vērsties cilvēks, kura dati, iespējams, apstrādāti prettiesiski, savukārt organizācijai ar DVI var būt jāsazinās par pārkāpumu, pārbaudi vai iepriekšēju apspriešanos. Šiem gadījumiem ir atšķirīgi mērķi, dokumenti un termiņi. Sūdzības iesniegšana nav tas pats, kas pārziņa paziņojums par datu aizsardzības pārkāpumu.
Šis ceļvedis palīdz izvēlēties pareizo saziņas veidu un sagatavot saturīgu iesniegumu vai atbildi. Tas arī izskaidro, kā nošķirt DVI norādījumu par apstrādes labošanu no naudas soda un tā pārsūdzēšanas. Tiesību akti un izmantotās iestādes norādes pārbaudītas 2026. gada 29. septembrī. Plašāks organizācijas pienākumu konteksts ir datu aizsardzības ceļvedī Latvijā.
DVI neatkarība un kompetences robežas
Fizisko personu datu apstrādes likuma 3. pants nosaka, ka DVI ir Ministru kabineta pārraudzībā esoša tiešās pārvaldes iestāde un savā darbībā ir neatkarīga. Ministru kabinets institucionālo pārraudzību īsteno ar tieslietu ministra starpniecību, taču tā neattiecas uz inspekcijas uzdevumu un tiesību īstenošanu. Tādēļ iestādes vieta pārvaldes sistēmā nenozīmē, ka ministrs izlemj konkrētas personas sūdzību.
DVI uzrauga datu apstrādes atbilstību, izskata sūdzības, pieprasa informāciju, veic pārbaudes un izmanto korektīvās pilnvaras. VDAR 57. un 58. pants paredz arī izpratnes veicināšanu, konsultēšanu un sadarbību ar citām uzraudzības iestādēm. Tātad saziņa ar DVI ne vienmēr nozīmē, ka jau ir konstatēts pārkāpums vai ka neizbēgami sekos sods.
Vienlaikus DVI neaizstāj tiesu visos strīdos ar uzņēmumu vai darba devēju. Piemēram, strīds par preces kvalitāti pats par sevi nav datu aizsardzības sūdzība, lai gan tajā var rasties arī atsevišķs jautājums par klienta datu izmantošanu. Iesniegumā skaidri nodaliet, kāda tieši datu apstrāde tiek apstrīdēta. Prasība par kaitējuma atlīdzināšanu un tiesas aizsardzība pret pārzini ir atsevišķi tiesību aizsardzības līdzekļi; sūdzība DVI automātiski neizmaksā kompensāciju.
Izvēlieties saziņas veidu pēc situācijas
Ja cilvēks vēlas uzzināt, kādi dati par viņu tiek izmantoti, saņemt kopiju vai panākt labojumu, pieprasījums parasti jāadresē pašam pārzinim. Tas var būt darba devējs, veikals, biedrība vai cita organizācija, kas nosaka attiecīgās apstrādes nolūku un līdzekļus. DVI rīcībā nav visu organizāciju datubāžu kopijas, no kuras tā varētu uzreiz izsniegt pieprasīto informāciju.
Ja jautājums ir par iespējami nelikumīgu apstrādi vai nepienācīgi izpildītu tiesību pieprasījumu, izmantojiet sūdzības ceļu. Savukārt pārzinis, kurš konstatējis personas datu aizsardzības pārkāpumu, izvērtē paziņošanu saskaņā ar VDAR 33. pantu. Organizācijas vadītāja vispārīgs jautājums par plānotu sistēmu var būt konsultācijas jautājums, bet noteiktos augsta riska gadījumos nepieciešama īpašā iepriekšējās apspriešanās procedūra.
Pareiza izvēle palīdz nezaudēt laiku. DVI pārkāpuma paziņošanas lapā ir skaidri norādīts, ka pārziņiem paredzētais tiešsaistes paziņošanas rīks nav sūdzību iesniegšanas kanāls. Darbinieks, kurš sūdzas par darba devēja rīcību, nevar vienkārši aizpildīt šo rīku tā, it kā viņš būtu uzņēmuma pilnvarotais pārstāvis. Savukārt uzņēmumam nevajadzētu aizstāt obligāto pārkāpuma paziņojumu ar neskaidru vispārīgu jautājumu.
Kad pirms sūdzības jāvēršas pie pārziņa
DVI iesniegumu paraugu lapā iesaka sākotnēji vērsties pie personas, kura veikusi datu apstrādi. Tas dod pārzinim iespēju izskaidrot notikušo vai izpildīt pieprasījumu, bet cilvēkam ļauj saprast, kas īsti ir strīda priekšmets. Ja sūdzība attiecas uz piekļuves pieprasījumu, saglabājiet pašu pieprasījumu, tā nosūtīšanas vai iesniegšanas pierādījumu un saņemto atbildi.
Šo praktisko ieteikumu nevajag pārveidot par vispārēju noteikumu, ka bez iepriekšējas sarakstes nekad nav iespējams iesniegt sūdzību. VDAR 77. pants paredz tiesības sūdzēties par iespējamu regulas pārkāpumu. Piemēram, nelikumīga publiskošana vai cita apstrāde var būt patstāvīgs sūdzības priekšmets. Savukārt, apgalvojot, ka pārzinis nav izpildījis konkrētu tiesību pieprasījumu, jāspēj parādīt, kas un kad viņam tika prasīts.
Pārziņa atbilde uz tiesību pieprasījumu jāsniedz bez nepamatotas kavēšanās un ne vēlāk kā mēneša laikā pēc saņemšanas. Vajadzības gadījumā, ņemot vērā sarežģītību un pieprasījumu skaitu, termiņu var pagarināt vēl par diviem mēnešiem, par to un kavējuma iemesliem paziņojot pirmā mēneša laikā. Ja pārzinis nerīkojas, VDAR 12. panta 4. punkts prasa tajā pašā viena mēneša robežā norādīt iemeslus un informēt par sūdzību un tiesas aizsardzību. Vienkāršs paziņojums, ka jautājums nodots citai nodaļai, neaizstāj šīs prasības.
Kā sagatavot sūdzību, kuru iespējams pārbaudīt
Sūdzībā aprakstiet faktus secīgi: kura organizācija rīkojās, kādi dati tika izmantoti, kad par to uzzinājāt un kādēļ uzskatāt apstrādi par prettiesisku. Norādiet, vai sūdzība attiecas uz pašu apstrādi, atbildes neesamību, nepilnīgu datu kopiju vai citu konkrētu darbību. Iestādei ir vieglāk pārbaudīt skaidru apgalvojumu ar pierādījumiem nekā vispārīgu vērtējumu, ka organizācija neievēro nevienu datu aizsardzības prasību.
Pievienojiet būtisko saraksti, ekrānattēlus, dokumentus vai citus pieejamos pierādījumus. Ekrānattēlam vēlams saglabāt kontekstu, piemēram, vietnes adresi un fiksēšanas datumu. Neaprobežojieties ar izgrieztu teikumu, ja pārējā atbilde palīdz saprast notikumu. Vienlaikus nesūtiet liekus trešo personu dokumentus vai visas privātās sarakstes kopiju, ja konkrēto apstākli var parādīt ar mazāku informācijas apjomu.
DVI publicē aktuālus paraugus un norādes par iesnieguma noformēšanu. Tajās paredzēta parakstīta iesnieguma nosūtīšana ar drošu elektronisko parakstu vai oficiālās e-adreses sistēmā, kā arī pašrocīgi parakstīta iesniegšana papīra formā. Norādiet savu vārdu, uzvārdu, adresi un nepieciešamo saziņas informāciju. Ja rīkojaties citas personas vārdā, paskaidrojiet pārstāvības pamatu un pievienojiet attiecīgo apliecinājumu, kad tas nepieciešams.
Saglabājiet iesniegto versiju un nosūtīšanas apliecinājumu. Ja vēlāk parādās jauns būtisks fakts, sasaistiet papildinājumu ar iepriekšējo iesniegumu vai lietas numuru. Vairāki nesaistīti iesniegumi par vienu notikumu var apgrūtināt hronoloģijas izsekošanu. Precīzs papildinājums ļauj redzēt, vai pēc sākotnējās sūdzības pārzinis ir atbildējis, labojis trūkumu vai turpinājis apstrīdēto rīcību.
Trīs mēneši nenozīmē garantētu galīgo lēmumu
DVI sūdzības pakalpojuma aprakstā norāda atbildi ne vēlāk kā trīs mēnešu laikā, atsaucoties uz VDAR 78. panta 2. punktu. Šī norma paredz tiesas aizsardzību, ja uzraudzības iestāde sūdzību neizskata vai trīs mēnešu laikā neinformē par tās virzību vai rezultātiem. Tā nav vispārēja garantija, ka jebkurā sarežģītā lietā galīgā izmeklēšana būs pabeigta trijos mēnešos.
Latvijas likuma 23.¹ pants atsevišķi regulē lēmuma pieņemšanas termiņu administratīvajā procesā: seši mēneši no lietas ierosināšanas, ar paredzētām pagarināšanas iespējām objektīvu iemeslu dēļ. Likumā noteiktos apstākļos termiņš var sasniegt vienu gadu, bet, ja nepieciešama ilgstoša faktu konstatācija un arī jāpiemēro VDAR 60. vai 63. pantā paredzētais mehānisms, ar motivētu lēmumu — līdz diviem gadiem. Šos termiņus nedrīkst automātiski pārcelt uz jebkuru citu procesa veidu.
Cilvēkam ir svarīgi nošķirt iesnieguma saņemšanas apstiprinājumu, ziņas par virzību un galīgo lēmumu. Organizācijai savukārt jāievēro tās saņemtajā informācijas pieprasījumā noteiktais termiņš; tas nav automātiski identisks kopējam lietas izskatīšanas termiņam. Ja rodas objektīvas grūtības savākt prasīto, savlaicīgi izskaidrojiet tās iestādei. Pats lūgums pagarināt termiņu nenozīmē, ka pagarinājums jau piešķirts.
Ko darīt, saņemot DVI informācijas pieprasījumu
Vispirms pārbaudiet dokumenta izcelsmi, adresātu, lietas numuru, prasīto informāciju un atbildes termiņu. Nododiet to atbildīgajai personai un iesaistiet tos darbiniekus, kuri pārzina konkrēto apstrādi. Ja ir iecelts datu aizsardzības speciālists, viņš var konsultēt un palīdzēt saziņā, taču pārziņa pienākumi nepāriet uz speciālistu tikai tādēļ, ka vēstule pārsūtīta viņam.
Valsts likuma 5. pants un VDAR 58. pants dod DVI informācijas pieprasīšanas un pārbaudes pilnvaras. Nav noteikuma, ka katrā pārbaudē pirmais obligāti būs viens un tas pats dokuments. Iestāde var interesēties par konkrētu izpaušanu, saņemtu pieprasījumu, sistēmas piekļuvi vai citu faktu. Tādēļ sāciet ar faktiskajiem jautājumiem, nevis nosūtiet visu uzņēmuma dokumentu arhīvu neatkarīgi no pieprasījuma.
Sagatavojiet atbildi pa jautājumiem un katru būtisko apgalvojumu sasaistiet ar attiecīgo pierādījumu. Ja norādāt, ka pieprasījums izpildīts, pievienojiet atbildes saturu un nosūtīšanas informāciju. Ja skaidrojat piekļuves ierobežojumus, aprakstiet attiecīgajā laikā spēkā esošo kārtību un faktisko piekļuvi. Vēlāk ieviesta instrukcija neapliecina, ka tāda pati kontrole darbojās pirms incidenta.
Atklātu trūkumu labošanu dokumentējiet atsevišķi: kas konstatēts, kādi pasākumi veikti un ko tie maina. Sadarbību un seku mazināšanu var ņemt vērā, izvērtējot lietu, taču tās automātiski neizslēdz atbildību par iepriekšēju pārkāpumu. DVI pārbaude arī labi sagatavotā organizācijā nav tikai formalitāte; iestāde vērtē faktisko apstrādi, nevis vienīgi dokumentu esamību.
Kāda dokumentācija palīdz sniegt pamatotu atbildi
Apstrādes darbību reģistrs palīdz identificēt nolūkus, datu kategorijas, saņēmējus un saistītās sistēmas. Reģistra obligātais saturs un tā uzturēšanas pienākums jāvērtē pēc VDAR 30. panta; ieraksts par darbību nav automātisks pierādījums, ka ikviena šīs darbības detaļa ir likumīga. Tam jāatbilst faktiskajai situācijai, nevis tikai vispārīgam uzņēmuma aprakstam.
Pārbaudē var būt nozīmīgi arī informēšanas teksti, tiesiskā pamata izvērtējums, glabāšanas lēmumi, piekļuves tiesības un norādījumi pakalpojumu sniedzējiem. Datu apstrādes līgumā, vai citā piemērojamā saistošā tiesību aktā saskaņā ar VDAR 28. pantu, paredzētajām saistībām jāatbilst faktiskajai apstrādātāja lomai. Ne katrs ārējais saņēmējs ir apstrādātājs, un līguma nosaukums vien lomu nenosaka.
Ja informācija glabājas dažādās vietās, nosakiet vienotu atbildīgo par atbildes apkopošanu un versiju kontroli. Apstrādes reģistra rīku izvēlē noderīgi vērtēt informācijas sasaisti un izsekojamību, bet datu subjektu pieprasījumu pārvaldībā — termiņus un izpildes pierādījumus. Rīks pats nepieņem tiesisko lēmumu un neaizstāj pārbaudi, vai atbildē tiešām sniegts prasītais.
Pārkāpuma paziņošana ir atsevišķs pienākums
Personas datu aizsardzības pārkāpums ir drošības pārkāpums, kas izraisa personas datu iznīcināšanu, nozaudēšanu, pārveidošanu, neatļautu izpaušanu vai piekļuvi. Tas var skart arī pieejamību vai integritāti, ne tikai konfidencialitāti. Vienlaikus ne katrs tehnisks traucējums automātiski ir personas datu aizsardzības pārkāpums. Sākotnējā novērtējumā jānoskaidro, vai un kā skarti personas dati.
Pārzinis ziņo kompetentajai uzraudzības iestādei bez nepamatotas kavēšanās un, ja iespējams, ne vēlāk kā 72 stundu laikā pēc tam, kad pārkāpums tam kļuvis zināms, izņemot gadījumu, kad maz ticams risks fizisko personu tiesībām un brīvībām. Ja paziņojums sniegts vēlāk, tam pievieno kavēšanās iemeslus. Nepieejamu informāciju var papildināt pa posmiem bez turpmākas nepamatotas kavēšanās; izmeklēšanas nepabeigtība pati par sevi neattaisno pilnīgu klusēšanu.
Dokumentējiet visus personas datu aizsardzības pārkāpumus, arī tos, par kuriem pēc pamatota riska izvērtējuma nav jāziņo. VDAR 33. panta 5. punkts prasa fiksēt faktus, ietekmi un veiktos novēršanas pasākumus. Apstrādātājs savukārt informē pārzini bez nepamatotas kavēšanās, nevis izmanto savu atsevišķu 72 stundu gaidīšanas periodu. Praktisko procesu var veidot pēc pārkāpuma paziņošanas rokasgrāmatas.
Augsta riska gadījumā atsevišķi izvērtējama informēšana skartajām personām saskaņā ar 34. pantu, ievērojot tajā paredzētos izņēmumus. Paziņojums DVI šo pienākumu automātiski neaizstāj. Personai vajadzīga saprotama informācija par pārkāpuma būtību, iespējamām sekām, kontaktpunktu un pasākumiem, lai tā varētu reaģēt. Iekšējā tehniskā atskaite bieži nav piemērots teksts nosūtīšanai klientiem bez pārstrādes.
Korektīvie pasākumi, naudas sods un pārsūdzēšana
DVI rīcībā ir vairāki korektīvi līdzekļi, tostarp norādījums izpildīt personas tiesības, saskaņot apstrādi ar regulas prasībām, ierobežot apstrādi vai to aizliegt. Naudas sodu izvērtē pēc attiecīgajiem VDAR 83. panta kritērijiem, ņemot vērā konkrēto pārkāpumu un apstākļus. No citas organizācijas soda summas nevar vienkārši aprēķināt savas lietas rezultātu. Konkrētu lietu un to procesuālās stadijas apskats ir DVI lēmumu un sodu ceļvedī.
Latvijas likuma 23. pants nošķir tiesiskā pienākuma uzlikšanu administratīvajā procesā no administratīvā soda piemērošanas administratīvā pārkāpuma procesā. Tāpēc apgalvojums, ka visi DVI lēmumi, ieskaitot jebkuru naudas sodu, vienādi pārsūdzami administratīvajā tiesā, nav pareizs. Jānoskaidro konkrētā lēmuma veids, piemērojamais process un lēmumā norādītā pārsūdzēšanas kārtība.
Administratīvam aktam vai faktiskajai rīcībai likuma 24. pants paredz amatpersonas lēmuma apstrīdēšanu DVI direktoram un direktora lēmuma pārsūdzēšanu Administratīvā procesa likuma kārtībā. Direktora administratīvā akta pārsūdzēšana pati par sevi neaptur tā darbību. Administratīvā soda lietā piemērojamais ceļš izriet no administratīvā pārkāpuma procesa noteikumiem. Saņemot lēmumu, nekavējoties pārbaudiet termiņu un adresātu; nejauciet to ar sākotnējās sūdzības iesniegšanas procedūru.
Piemērs: no klienta pieprasījuma līdz atbildei iestādei
Pieņemsim, ka interneta veikala klients lūdz savu datu kopiju, bet saņem tikai saiti uz vispārīgu privātuma politiku. Klients uzskata atbildi par nepilnīgu un iesniedz sūdzību DVI. Veikalam vispirms jānoskaidro, ko klients tieši prasījis un kas viņam faktiski nosūtīts. Vispārīga informācija par datu kategorijām nav tas pats, kas konkrētās personas datu kopija. Ja pirmais pieprasījums bijis neskaidrs, svarīga ir arī turpmākā saziņa, nevis tikai uzņēmuma vēlāk sagatavots notikumu pārstāsts.
Saņemot DVI vēstuli, veikals apkopo pieprasījuma saņemšanas datumu, atbildi, nosūtīšanas pierādījumu un informāciju par datu meklēšanu. Tam var būt jāizskaidro, vai pārbaudīta klienta konta informācija, pasūtījumi, atbalsta sarakste un attiecīgie piegādātāja rīcībā esošie dati. Dokumentu kopumam jāatbild uz iestādes uzdotajiem jautājumiem. Vienlaikus veikalam nevajag gaidīt pārbaudes beigas, lai novērstu atklātu nepilnību un sniegtu klientam pienācīgu atbildi.
Ja papildinātā atbilde nosūtīta jau pārbaudes laikā, norādiet šo datumu atsevišķi. Nedrīkst radīt iespaidu, ka vēlākā darbība bija veikta sākotnējā termiņā. Paskaidrojiet arī, kāpēc kļūda radās: piemēram, klientu apkalpošanas procedūra paredzēja nosūtīt tikai politikas saiti un nebija uzdevuma meklēt konkrētā cilvēka datus. Tad novēršanas pasākums var būt procedūras labojums un pārbaudāma atbildības sadale, nevis vienīgi jauns tukšs veidlapas fails.
Šāda lieta pati par sevi vēl nenozīmē, ka noticis personas datu aizsardzības pārkāpums VDAR 4. panta 12. punkta izpratnē. Nepilnīgi izpildītas piekļuves tiesības un drošības pārkāpums ir atšķirīgi jautājumi. Ja pārbaudes gaitā atklājas, ka klientam kļūdas dēļ nosūtīti cita cilvēka dati, šis jaunais fakts jāizvērtē arī pēc pārkāpumu noteikumiem. Sūdzības lietas esamība neatceļ atsevišķo pienākumu novērtēt risku, dokumentēt pārkāpumu un vajadzības gadījumā par to paziņot.
Arī pierādījumu nosūtīšanai iestādei jābūt pārdomātai. Pārliecinieties par saņēmēju un izmantoto drošo kanālu, norādiet pielikumu saturu un paskaidrojiet ierobežotas pieejamības informācijas raksturu. Tas nenozīmē tiesības patvaļīgi atteikt iestādes likumīgi pieprasītus materiālus. Mērķis ir sniegt prasīto pārbaudāmā veidā, nepievienojot nesaistītus klientu datus tikai tāpēc, ka tos tehniski bija viegli eksportēt kopā.
Pārrobežu lietas un konsultācijas pirms jaunas apstrādes
Ja apstrāde skar vairākas ES valstis, kompetenci var ietekmēt VDAR sadarbības un vadošās uzraudzības iestādes noteikumi. Vadošo iestādi nenosaka vienīgi uzņēmuma reģistrācijas adrese vai tas, kur izvietots serveris. Nozīme ir pārrobežu apstrādei, galvenās vai vienīgās uzņēmējdarbības vietas kritērijiem un piemērojamajiem izņēmumiem. DVI var sadarboties ar citas valsts iestādi, bet cilvēkam saglabājas VDAR paredzētās sūdzības iespējas, tostarp savas pastāvīgās dzīvesvietas valstī.
Organizācijai jau iepriekš jāzina, kur tiek pieņemti attiecīgās apstrādes lēmumi un kurš var tos īstenot. Tas palīdz pamatot kompetences vērtējumu, taču neatbrīvo no pienākuma savlaicīgi rīkoties incidenta vai saņemta pieprasījuma gadījumā. Pārrobežu sadarbība arī nenozīmē, ka viens lēmums automātiski atrisina visas jebkuras grupas sabiedrības datu apstrādes visā Eiropā.
Pirms jaunas apstrādes izmantojiet DVI norādes, lai pārbaudītu risinājumu un sagatavotu konkrētus jautājumus. Ja ietekmes novērtējums rāda augstu risku, kuru paredzētie pasākumi nepietiekami mazina, pirms apstrādes uzsākšanas jāveic VDAR 36. pantā paredzētā iepriekšējā apspriešanās ar kompetento uzraudzības iestādi. Vispārīga telefonkonsultācija nav automātisks atbilstības apstiprinājums. Atbildība par apstrādes nolūku, tiesisko pamatu, aizsardzības pasākumiem un to faktisku ieviešanu paliek pie pārziņa.