Piekļuves tiesības ļauj cilvēkam noskaidrot, vai organizācija apstrādā viņa personas datus, saņemt šo datu kopiju un saprast apstrādes apstākļus. Organizācijai tas ir konkrēts izpildes uzdevums: atrast datus, pārbaudīt to attiecināmību uz pieprasītāju, izvērtēt iespējamos ierobežojumus un droši sniegt saprotamu atbildi. Ar saiti uz privātuma politiku vien nepietiek, ja cilvēks lūdz arī savus datus.
Vispārīgās datu aizsardzības regulas 12. un 15. pants nosaka atbildes saturu un kārtību. Jārīkojas bez nepamatotas kavēšanās, parasti viena mēneša laikā pēc pieprasījuma saņemšanas. Sarežģītības vai pieprasījumu skaita dēļ nepieciešamu pagarinājumu par vēl diviem mēnešiem nedrīkst piemērot automātiski. Šajā ceļvedī aplūkots pārziņa darbs no pieprasījuma atpazīšanas līdz izsniegtās atbildes pārbaudei, tostarp situācijas, kurās jāaizsargā arī citu cilvēku tiesības.
Ko ietver piekļuves tiesības (15. pants)?
Pilnai atbildei ir trīs savstarpēji saistītas daļas: apstiprinājums par apstrādi, paši personas dati un informācija par šo datu apstrādi. Ja attiecīgie dati netiek apstrādāti, arī tas jāpaziņo. Ja tie ir atrodami tikai arhīvā vai pie apstrādātāja, šis apstāklis pats par sevi nenozīmē, ka pārzinis var atbildēt noliedzoši. Vispirms jānoskaidro faktiskā situācija un atbildības sadalījums.
Personas dati var būt klienta sniegtā kontaktinformācija, pirkumu vēsture, sarunu ieraksti, vērtējumi, piezīmes un par viņu izdarīti secinājumi. Subjektīvs vērtējums nezaudē personas datu raksturu tikai tādēļ, ka darbinieks to uzskata par iekšēju informāciju. Savukārt organizācijas dokumentā esošs vispārīgs juridisks skaidrojums ne vienmēr ir pieprasītāja personas dati. Atbilstību vērtē pēc informācijas satura un saiknes ar cilvēku.
Piekļuve nav atkarīga no tā, vai apstrādi pamato piekrišana, līgums vai cits tiesiskais pamats. Tā nav arī ierobežota ar datiem, kurus persona pati ievadījusi. Šī atšķirība ir svarīga, salīdzinot to ar datu pārnesamības tiesībām, kam ir savi piemērošanas nosacījumi. Piekļuves atbildē tādēļ nevar izsniegt tikai klienta profila eksportu un pieņemt, ka viss pārējais atrodas ārpus pieprasījuma.
Kā atpazīt un reģistrēt pieprasījumu
Cilvēkam nav jālieto vārdi “VDAR 15. pants”. Lūgums atsūtīt par viņu saglabāto informāciju var būt piekļuves pieprasījums arī parastā klientu atbalsta vēstulē. Organizācija var piedāvāt ērtu veidlapu, taču nedrīkst likt pārskatāmam pieprasījumam sākties no jauna tikai tādēļ, ka tas nav iesniegts šajā veidlapā. Darbiniekiem jāzina, kam šādas vēstules pārsūtīt un kā saglabāt sākotnējo saņemšanas datumu.
Reģistrē pieprasījuma saturu, saņemšanas kanālu, atbildīgo darbinieku un atbildes termiņu. Atsevišķi fiksē vajadzību pārbaudīt identitāti vai pilnvarojumu. Šāds ieraksts nav publisks saraksts: tajā var atrasties sensitīva informācija par klienta situāciju. Pieeju piešķir darbiniekiem, kuri pieprasījumu izskata, un nosaka pamatotu pierādījumu glabāšanas laiku. Praktiskas prasības darbplūsmas izvēlei aplūkotas rakstā par datu subjektu pieprasījumu pārvaldību.
Ja iesniegumā vienlaikus prasīta piekļuve un dzēšana, šos uzdevumus nodala. Vispirms jāizprot cilvēka vēlme un jāsaglabā iespēja izsniegt pieprasītos datus; nevajag mehāniski izdzēst visu pirms kopijas sagatavošanas. Atbildē izskaidro katras tiesības izvērtējumu. Dzēšanas tiesību nosacījumi atšķiras no piekļuves nosacījumiem, tādēļ pienākums saglabāt rēķinu pats par sevi nenozīmē, ka rēķina datos jāatsaka piekļuve.
Identitātes pārbaude bez liekas datu vākšanas
Pārzinim jānovērš datu izsniegšana svešai personai. Tomēr 12. panta 6. punkts ļauj prasīt papildu identifikācijas informāciju, ja pastāv pamatotas šaubas par pieprasītāja identitāti, un tikai vajadzīgajā apjomā. Automatizēta prasība ikvienam iesūtīt pases kopiju nav samērīgas pārbaudes aizstājējs. Jāvērtē jau pieejamā autentifikācija, pieprasītie dati un iespējamās kļūdainas izsniegšanas sekas.
Piemēram, pieprasījumu droši autentificētā klienta kontā bieži iespējams sasaistīt ar konkrēto klientu bez jauna dokumenta. Savukārt vēstule no iepriekš nezināmas adreses ar lūgumu nosūtīt medicīniskus dokumentus rada citādu risku. Tad var būt vajadzīga papildu pārbaude, bet arī tās laikā nevāc ar situāciju nesaistītus datus. Personas kods nav universāla parole: tā zināšana viena pati ne vienmēr apliecina identitāti.
Pārstāvja gadījumā pārbauda arī pārstāvības tiesības un to apjomu. Tas ir īpaši būtiski bērna, pilnvarota jurista vai radinieka iesniegumā. Ja pārzinis objektīvi nevar identificēt personu savā datu kopā, piemērojams arī 11. pants: nav jāvāc papildu dati tikai identifikācijas uzturēšanai, taču jāņem vērā paša cilvēka sniegta informācija, kas ļauj viņu identificēt. Par šķērsli paziņo saprotami, nevis atstāj iesniegumu bez atbildes.
Termiņš un tā pagarināšana
Viens mēnesis nav sinonīms trīsdesmit dienām. Termiņa aprēķinam jāizmanto kalendāra mēnesis un piemērojamie termiņu skaitīšanas noteikumi. Darba organizāciju nevajag balstīt uz pēdējo iespējamo dienu: dati jāmeklē un atbilde jāsagatavo bez nepamatotas kavēšanās. Darbinieka atvaļinājums, vēstules pārsūtīšana citai nodaļai vai ārpakalpojuma sniedzēja lēna reakcija nerada jaunu sākotnējās saņemšanas datumu.
Pagarinājums par vēl diviem mēnešiem ir iespējams, ja tas nepieciešams, ņemot vērā pieprasījumu sarežģītību un skaitu. Par to un kavēšanās iemesliem cilvēks jāinformē viena mēneša laikā pēc saņemšanas. Pamatojums “mums ir daudz darba” bez konkrētas saiknes ar izskatāmo pieprasījumu nav labs nepieciešamības pierādījums. Iekšējā lietā norāda, kuri darbi prasa papildu laiku, kas tos veic un kad paredzēts pabeigt.
Neskaidru tvērumu drīkst precizēt, īpaši tad, ja tiek apstrādāts liels informācijas apjoms. Taču precizējuma nosūtīšana nav automātiska atļauja apturēt termiņu vai uzspiest šaurāku pieprasījumu. Identitātes jautājumus un tvēruma jautājumus risina savlaicīgi un atšķirīgi. EDAK piekļuves tiesību vadlīnijas palīdz izvērtēt konkrēto situāciju; organizācijas procedūrai jānovērš vilcināšanās, nevis jārada formāli šķēršļi.
Datu meklēšana visā organizācijā
Meklēšanas plāns sākas ar sistēmām un procesiem, kuros attiecīgās personas dati varētu atrasties. Apstrādes darbību reģistrs palīdz atrast nolūkus, atbildīgos un ārpakalpojumus, taču tas pats nesatur visu izsniedzamo informāciju. Jāpārbauda arī saziņas sistēmas, atbalsta pieteikumi, strukturēti papīra arhīvi un attiecīgie ieraksti citās datubāzēs. Meklēšanu neierobežo ar vienu sistēmu tikai tāpēc, ka tajā eksports ir ērtāks.
Izvēlas atbilstošus meklēšanas identifikatorus, piemēram, klienta numuru, e-pasta adresi vai darījuma atsauci. Ja cilvēks mainījis uzvārdu vai lietojis vairākas adreses, jāņem vērā arī tas. Vienlaikus nejauc dažādus cilvēkus ar vienādiem vārdiem. Darba pierakstos saglabā pārbaudītos avotus un meklēšanas rezultātus, lai atbildes pilnīgumu varētu pārskatīt cits darbinieks, nepaļaujoties tikai uz sagatavotāja atmiņu.
Apstrādātājiem jādod savlaicīgi un konkrēti uzdevumi palīdzēt sameklēt datus. Pārzinis saglabā atbildību par atbildi arī tad, ja tehniski to sagatavo piegādātājs. Datu, kurus pieprasījuma saņemšanas brīdī vēl apstrādā, parastā dzēšana nedrīkst kļūt par veidu, kā izvairīties no piekļuves izpildes. Vienlaikus pieprasījums nav pamats bezgalīgi pagarināt visu klienta datu glabāšanu; lietas pierādījumiem piemēro savu glabāšanas termiņu izvērtējumu.
Informācija, kas jāpievieno kopijai
Atbildē izskaidro apstrādes nolūkus, personas datu kategorijas, saņēmējus, paredzēto glabāšanas laiku vai tā noteikšanas kritērijus. Norāda tiesības prasīt labošanu, dzēšanu vai apstrādes ierobežošanu, tiesības iebilst un iesniegt sūdzību uzraudzības iestādei. Ja dati nav iegūti no paša cilvēka, sniedz pieejamo informāciju par avotu. Šī informācija jāpielāgo faktiskajai apstrādei, nevis jānosūta tikai vispārīgs uzņēmuma pakalpojumu apraksts.
Saņēmēju kategorijas nedrīkst izmantot, lai nepamatoti slēptu zināmus faktiskos saņēmējus. ES Tiesas lietā C‑154/21 skaidrots, ka cilvēkam principā ir tiesības uzzināt konkrētos saņēmējus. Kategorijas var būt pietiekamas, ja saņēmējus nav iespējams identificēt vai pārzinis pierāda acīmredzami nepamatotu vai pārmērīgu pieprasījumu; persona var arī izvēlēties saņemt kategorijas. Praktiski tas prasa pārbaudāmu informāciju par datu izpaušanu.
Ja piemērojama 22. pantā minētā automatizētā lēmumu pieņemšana, tostarp profilēšana, sniedz jēgpilnu informāciju par izmantoto loģiku, apstrādes nozīmīgumu un paredzamajām sekām. Ja notiek datu nosūtīšana uz trešo valsti vai starptautisku organizāciju, informē par attiecīgajām garantijām. Publiskā privātuma politika var palīdzēt sagatavot šīs sadaļas, tomēr individuālajai atbildei jāatspoguļo tieši pieprasītāja situācija un faktiskā apstrāde.
Datu kopija un tās forma
Kopijai jābūt uzticamai un saprotamai. Ar neskaidriem iekšējiem kodiem aizpildīta tabula bez paskaidrojumiem var neļaut cilvēkam saprast par viņu apstrādāto informāciju. Pievieno kolonnu skaidrojumus, laikposmu un vajadzīgo kontekstu. ES Tiesas lieta C‑487/21 precizē, ka vajadzības gadījumā jāizsniedz dokumentu izvilkumi vai pat pilni dokumenti, ja tas ir būtiski efektīvai tiesību izmantošanai. Tomēr 15. pants pats par sevi nav tiesības uz ikvienu organizācijas dokumentu.
Elektroniskam pieprasījumam informāciju, ja iespējams, sniedz elektroniski, un datu kopiju plaši izmantotā elektroniskā formātā, ja persona nelūdz citādi. Izvēlei jāņem vērā pieejamība: īpaša maksas programma nedrīkst kļūt par praktisku šķērsli datu lasīšanai. Lielu failu var nodot drošā lejupielādes vidē, iepriekš izskaidrojot piekļuvi. Jāpārbauda saņēmēja adrese, piekļuves kontrole un tas, vai cilvēkam dots saprātīgs laiks kopiju saņemt.
Kad piekļuvi drīkst ierobežot vai atteikt
Citu personu tiesību aizsardzība prasa konkrētu līdzsvarošanu. Dokumentā var aizklāt svešu kontaktinformāciju vai izdalīt pieprasītāja datus, saglabājot viņam nepieciešamo kontekstu. Nedrīkst automātiski aizklāt visu, kur minēts cits cilvēks, jo viena informācija var attiekties uz vairākām personām. Arī komercnoslēpums un intelektuālais īpašums jāvērtē konkrēti; vispārīga norāde uz konfidencialitāti nepamato visas atbildes atteikumu.
Maksa vai atteikums saskaņā ar 12. panta 5. punktu ir izņēmums acīmredzami nepamatotiem vai pārmērīgiem pieprasījumiem, un pierādīšanas pienākums ir pārzinim. Liels datu apjoms, konflikts ar klientu vai nevēlēšanās skaidrot pieprasījuma mērķi paši par sevi šo izņēmumu nepierāda. Pirmo kopiju parasti izsniedz bez maksas; par papildu kopijām var prasīt samērīgu administratīvajās izmaksās balstītu maksu. Atkārtotu pieprasījumu nevajag automātiski pielīdzināt identiskas kopijas pasūtīšanai.
Ja pārzinis nerīkojas pēc pieprasījuma, tam bez kavēšanās, ne vēlāk kā viena mēneša laikā pēc saņemšanas, jāpaziņo iemesli un iespēja iesniegt sūdzību uzraudzības iestādei un izmantot tiesību aizsardzību tiesā. Ja ierobežojums skar tikai daļu datu, pārējo daļu izsniedz. Tiesību aktos noteikti ierobežojumi jāpamato ar konkrētu piemērojamu normu; organizācijas iekšējā politika nevar pati radīt VDAR 23. panta izņēmumu.
Pārbaude pirms nosūtīšanas un turpmākā saziņa
Pirms atbildes izsniegšanas ir lietderīga otra darbinieka pārbaude: vai dati pieder pareizajam cilvēkam, vai nav izlaists zināms avots, vai aizklāšana tiešām novērš svešu datu atklāšanu un vai pielikumi atveras. Pārbauda arī to, vai noslēptais teksts nav saglabājies faila slāņos vai komentāros. Ja organizācijā iecelts datu aizsardzības speciālists, sarežģītas tiesību līdzsvarošanas gadījumos viņa konsultāciju iesaista laikus.
Saglabā nosūtīšanas faktu, atbildes versiju un būtiskos lēmumu pamatojumus. Ja cilvēks norāda uz trūkstošu sistēmu vai nesaprotamu kodu, šo informāciju izvērtē pēc būtības. Atbildes nosūtīšana pati par sevi nepierāda, ka piekļuve ir nodrošināta pienācīgi. DVI publicētais datu subjekta tiesību skaidrojums palīdz salīdzināt organizācijas procesu ar cilvēkam paredzētajām iespējām. Pieprasījuma mērķis ir reāla piekļuve, nevis tikai slēgts uzdevums reģistrā.
Piemērs: bijušais darbinieks prasa savus datus
Pieņemsim, ka bijušais darbinieks lūdz visu par viņu saglabāto informāciju. Personāla nodaļa atrod darba līgumu un algas aprēķinus, bet ar šo mapju pārbaudi darbs nebeidzas. Jāapsver atlases materiāli, darba novērtējumi, darba laika uzskaite un attiecīgā profesionālā saziņa. Tas nenozīmē izsniegt pilnu visu kolēģu pastkastīšu saturu. Meklēšanas uzdevumu formulē tā, lai atrastu tieši pieprasītāja personas datus un izvairītos no nesamērīgas citu darbinieku informācijas izpaušanas.
Ja vadītāja vēstulē aprakstīts darbinieka sniegums, apstāklis, ka tā bijusi iekšēja sarakste, pats par sevi nav izņēmums. Pārbauda, kura informācija attiecas uz pieprasītāju, vai nepieciešams izvilkums vai dokumenta kopija un kā aizsargāt citu personu tiesības. Piemēram, var būt pamatoti aizklāt nesaistītas veselības ziņas par kolēģi, taču nedrīkst automātiski izņemt visu vērtējuma pamatojumu. Atbildes sagatavotājam jāspēj izskaidrot katru būtisku ierobežojumu.
Ja dati izmantoti tiesvedībā, tas pats par sevi neatceļ piekļuves tiesības. Vienlaikus jāvērtē konkrēti tiesību aktos aizsargāti noslēpumi un citu personu tiesības. Organizācijai nevajag izdarīt secinājumu par atteikumu tikai pēc attiecību konflikta fakta. Šāda pieprasījuma lietā īpaši noder dokumentēts meklēšanas plāns, neatkarīga ierobežojumu pārbaude un atbilde, kurā nodalīts tas, kas izsniegts, no tā, ko konkrēta iemesla dēļ neizsniedz.
Piemērs: klienta profilā redzama tikai daļa informācijas
Klients interneta veikalā redz savu adresi un pēdējos pasūtījumus, bet prasa arī atbalsta sarunas un par viņu sagatavotus vērtējumus. Pašapkalpošanās konts var palīdzēt izpildīt pieprasījumu tikai tādā apjomā, kādā tas tiešām nodrošina prasīto piekļuvi. Pārzinis nevar atbildēt, ka viss ir pieejams kontā, ja tajā nav, piemēram, vecāku atbalsta pieteikumu vai citu sistēmu datu. Atbildē norāda pieejamās informācijas tvērumu un papildina trūkstošo.
Pieņemsim, ka dati kļūdaini sasaistīti ar diviem klienta numuriem. Meklējot tikai pēc jaunākā numura, varētu rasties nepilnīga atbilde. Tādēļ izmanto arī citus zināmus identifikatorus un pārbauda to saikni. Ja atklājas neprecizitāte, informāciju nepārraksta tā, lai pazustu pieprasījuma izskatīšanai būtiskais konteksts. Nepieciešamības gadījumā paskaidro kļūdu un izvērtē datu labošanu, saglabājot tiesiski pamatotus pierādījumus par paveikto.
Atsevišķa uzmanība vajadzīga datiem, kas cilvēkam nav uzreiz saprotami: riska klasei, segmenta numuram vai klientu apkalpošanas statusam. Kopijai pievienots īss skaidrojums var būt vērtīgāks par daudzām tehniskām rindām bez nozīmes. Tomēr paskaidrojums neaizstāj pašus apstrādātos personas datus. Pārzinis pārbauda abus rezultātus kopā: vai cilvēks saņēmis attiecīgo informāciju un vai viņš var saprast, ko tā par viņu nozīmē.
Ko darīt, ja termiņš jau nokavēts
Nokavējums neatceļ pienākumu rīkoties. Atbildīgais darbinieks nekavējoties noskaidro, kas vēl jāizdara, un informē cilvēku par faktisko situāciju. Nedrīkst pārrakstīt pieprasījuma saņemšanas datumu vai nosūtīt atpakaļdatētu pagarinājumu. Ja atbilde daļēji sagatavota, izvērtē, kā sniegt jau pieejamo informāciju, skaidri norādot, kas vēl trūkst un kā tas tiks novērsts. Šāda rīcība pati par sevi nepadara nokavējumu tiesisku, bet palīdz izpildīt neatrisināto pienākumu.
Pēc lietas pabeigšanas meklē konkrēto kavējuma cēloni. Ja vēstule palikusi vispārējā pastkastē, jāmaina tās uzraudzība; ja piegādātājs nespēja eksportēt datus, jāvienojas par praktisku palīdzības kārtību. Darba uzlabojumu sasaista ar atbildīgo un pārbaudāmu rezultātu. Vispārīgs atgādinājums darbiniekiem būt uzmanīgākiem ne vienmēr novērš sistēmisku šķērsli, piemēram, nepieejamu arhīvu vai neskaidru atbildības sadalījumu starp vairākām nodaļām.
DVI 2026. gada 31. augusta skaidrojums atgādina, ka informāciju par savu apstrādi sniedz pats pārzinis: inspekcija neīsteno piekļuves tiesības cilvēka vietā. Nosūtītais pieprasījums un saņemtā atbilde palīdz pamatot iespējamu sūdzību. Šī praktiskā secība nav vispārīgs priekšnoteikums ikvienai sūdzībai par jebkuru datu aizsardzības pārkāpumu.
Biežāk uzdotie jautājumi
Vai jāpaskaidro, kāpēc dati nepieciešami?
Parasti nē. Piekļuves izmantošanai nav jāpierāda īpaša interese vai jāatklāj plānota tiesvedība. Var lūgt informāciju, kas vajadzīga personas identificēšanai vai pieprasījuma izpratnei, taču tās nepieciešamība jāpamato. Personas nevēlēšanās izskaidrot savu motivāciju pati par sevi nepadara pieprasījumu nepamatotu.
Vai privātuma politika aizstāj individuālo atbildi?
Nē, ja pieprasīti konkrētie personas dati. Politika var sniegt daļu vispārīgās informācijas, bet atbildē jābūt apstiprinājumam par attiecīgo apstrādi, datu kopijai un vajadzīgajiem paskaidrojumiem. Ja apstrādi pamato piekrišana, informācija par tās atsaukšanu arī jāsaglabā saprotama; piekļuves pieprasījums pats par sevi nav piekrišanas atsaukums.
Vai drīkst gaidīt līdz trešā mēneša beigām?
Tikai likumīgi izmantots, nepieciešams pagarinājums var pagarināt sākotnējo viena mēneša termiņu par vēl diviem mēnešiem. Tas iepriekš jāpaziņo pirmā mēneša laikā kopā ar iemesliem. Arī pagarinājuma laikā saglabājas pienākums rīkoties bez nepamatotas kavēšanās; tas nav automātisks trīs mēnešu standarts visiem pieprasījumiem.