Piekrišana datu apstrādei ir cilvēka brīvi sniegta, konkrēta, apzināta un nepārprotama izvēle. Organizācijai jāspēj pierādīt gan šo izvēli, gan to, kāda informācija cilvēkam bija pieejama. Ar datubāzes lauku “piekritis” nepietiek, ja nav zināms, kam persona piekritusi vai kā viņa var atteikties. Iepriekš atzīmēta rūtiņa, klusēšana un vispārīga piekrišana visiem nākotnes nolūkiem neatbilst šai pieejai.
VDAR 4. panta 11. punkts un 7. pants nosaka piekrišanas prasības, bet tās vispirms jāpiemēro pareizajai apstrādei. Piekrišana nav obligāta katrai darbībai ar personas datiem. Šis raksts palīdz izlemt, kad to izmantot, kā izveidot saprotamu izvēli, ko saglabāt pierādījumos un kā pārtraukt attiecīgo apstrādi pēc atsaukšanas. Piemēri ir pielāgojamas situācijas, nevis garantija, ka viens teikums pats nodrošina derīgu piekrišanu.
Vispirms izvēlieties apstrādei piemērotu pamatu
Ja interneta veikals izmanto piegādes adresi, lai izpildītu cilvēka pasūtījumu, nepieciešamo apstrādi parasti vērtē saistībā ar līguma izpildi. Grāmatvedības dokumentu saglabāšanai var būt piemērojams juridisks pienākums. Nav lietderīgi prasīt atsaucamu piekrišanu darbībai, kura likumīgi jāturpina neatkarīgi no šīs izvēles. Pretējā gadījumā cilvēkam rodas maldīgs priekšstats par kontroli, ko organizācija patiesībā nav gatava nodrošināt.
Savukārt izvēles jaunumu abonēšana var būt piemērota piekrišanas situācija, ja atteikums neietekmē pamata pakalpojumu. Pirms formas izveides precīzi apraksta nolūku, datu veidus un saņēmējus. Ja izvēlas likumīgās intereses, to nepieciešamība un līdzsvars jāpamato atsevišķi; tās nav rezerves pamats nederīgai piekrišanai. Jāņem vērā arī īpaši noteikumi, piemēram, elektroniskajam mārketingam un piekļuvei informācijai lietotāja ierīcē.
DVI skaidrojums par piekrišanu uzsver, ka tā nav universāls tiesiskais pamats. Praktiski tas nozīmē vērtēt katru darbību pirms tās sākšanas. Vienas klienta attiecības var ietvert vairākus nolūkus ar dažādiem pamatiem, taču katram jābūt skaidri sasaistītam ar attiecīgajiem datiem un darbībām. Paziņojums “izmantojam visus VDAR pamatus pēc vajadzības” neizskaidro cilvēkam viņa datu izmantošanu.
Kad piekrišana ir derīga: četras pazīmes
Brīva izvēle nozīmē, ka atteikums ir reāli iespējams. Ja cilvēkam jāpiekrīt ar pasūtījumu nesaistītai reklāmas profilēšanai, lai iegādātos preci, organizācijai jāizvērtē neatļauta sasaistīšana. Formāla poga “piekrītu” neizlabo piespiedu situāciju. Arī atteikuma ceļš nedrīkst būt apzināti paslēpts vai padarīts ievērojami sarežģītāks. Jāvērtē faktiskā lietotāja pieredze, nevis tikai noteikumu teksts.
Konkrētība prasa saprotamu nolūku un iespēju nodalīt neatkarīgas izvēles. Jaunumu saņemšana e-pastā un datu nodošana citam uzņēmumam tā mārketingam nav automātiski viena izvēle. Tomēr nav vajadzīga atsevišķa rūtiņa katrai tehniskai darbībai, kas nepieciešama viena skaidri izskaidrota nolūka īstenošanai. Sadalījumu nosaka pēc cilvēkam nozīmīgām apstrādes atšķirībām, nevis pēc vēlmes izveidot pēc iespējas vairāk apstiprinājumu.
Apzināta piekrišana prasa informāciju pirms izvēles: kas apstrādās datus, kādam nolūkam, kādi dati tiks izmantoti un kā piekrišanu atsaukt. Atkarībā no situācijas jāskaidro arī automatizēti lēmumi vai konkrēti riski, ja piekrišanu izmanto īpašā nosūtīšanas izņēmumā. Nepārprotama gribas izpausme savukārt prasa apstiprinošu darbību, kuru var sasaistīt tieši ar izskaidroto apstrādi. Vienkārša lapas ritināšana vai klusēšana šādu izvēli nepierāda.
Skaidra nošķiršana no līguma un informēšanas
Piekrišanas lūgumam rakstiskā dokumentā, kas aptver arī citus jautājumus, jābūt skaidri nošķirtam, viegli pieejamam un saprotamam. Līguma noslēgšana un piekrišana izvēles mārketingam tādēļ nedrīkst saplūst vienā obligātā apstiprinājumā. Ja līgums tiek parakstīts elektroniski, tas pats par sevi nepierāda, ka persona brīvi izvēlējusies arī katru noteikumos paslēpto papildu izmantošanu.
Arī privātuma politikas izlasīšana nav tas pats, kas piekrišana. Informēšanas pienākums pastāv neatkarīgi no izvēlētā tiesiskā pamata. Var būt vajadzīgs pierādījums, ka paziņojums sniegts, taču to nevajag pārvērst par obligātu “piekrišanu politikai”. Ja apstrādi pamato līgums vai likums, organizācija skaidro šo pamatu; ja konkrētai darbībai vajadzīga piekrišana, lūdz tieši šo izvēli.
Praksē palīdz divi informācijas līmeņi. Blakus izvēlei īsi izskaidro būtisko, bet viegli sasniedzamā papildu informācijā sniedz pārējos apstrādes nosacījumus. Svarīgākais nedrīkst pazust garā dokumentā. Pirms publicēšanas lūdz kolēģim, kurš nav rakstījis tekstu, paskaidrot saviem vārdiem, kam lietotājs piekrīt un kas notiks pēc atteikuma. Neskaidra atbilde parāda vietu, kuru vajag pārrakstīt.
Formulējumu piemēri: derīgi un nederīgi
Jaunumu abonēšanas īsajam tekstam jānosauc konkrēts pārzinis un saziņas nolūks. Šāds paraugs paredz, ka rūtiņa sākotnēji nav atzīmēta, norādītais paziņojums ir pieejams un atsaukšanas saite faktiski darbojas. Pirms izmantošanas precizē, kādus jaunumus organizācija sūtīs; ja plānota arī individuāla profilēšana, to nedrīkst noslēpt aiz vispārīga abonēšanas piedāvājuma.
☐ Vēlos saņemt [uzņēmuma nosaukums] e-pasta jaunumus par [konkrētās preces vai pakalpojumi]. Piekrišanu varu jebkurā laikā atsaukt ar atteikšanās saiti katrā vēstulē. Informācija par datu izmantošanu: [saite].
Datu nodošanai citam pārzinim vajadzīga pietiekami konkrēta informācija par šo saņēmēju un tā nolūku. Teksts “piekrītu datu nodošanai uzticamiem partneriem” ir pārāk neskaidrs, ja cilvēks nevar saprast, kuri uzņēmumi izmantos datus savam mārketingam. Atsevišķa neatzīmēta rūtiņa novērš tikai izvēļu sasaistīšanu; tā pati nenovērš informācijas trūkumu. Tāpēc sākotnējais piemērs par nenosauktiem partneriem nav uzskatāms par gatavu derīgu formulējumu.
Nederīgs piemērs būtu paziņojums, ka vietnes turpmāka lietošana nozīmē piekrišanu visai datu apstrādei. Tajā nav skaidras izvēles un konkrēta nolūka. Arī iepriekš atzīmēta rūtiņa ar precīzu tekstu neatrisina aktīvas piekrišanas trūkumu. Savukārt poga, kas skaidri piedāvā tieši izvēles abonēšanu, var kalpot par apstiprinošu darbību; VDAR nenosaka, ka piekrišana vienmēr jāiegūst tieši ar rūtiņu vai papīra parakstu.
Kā saglabāt piekrišanas pierādījumus
Pierādījumam jāļauj sasaistīt personu vai attiecīgo identifikatoru ar izvēli, nolūku, laiku un izmantoto informācijas versiju. Saglabā arī to, kā izvēle iegūta: tīmekļa formā, lietotnē vai citā kanālā. Ja pierādījumā redzams tikai tehnisks statuss, bet nav atjaunojams izvēles teksts, strīda gadījumā būs grūti pārbaudīt informētību. Teksta versijas saglabā atsevišķi, lai nevajadzētu katram lietotājam glabāt visu lapas kopiju.
VDAR nenosaka obligātu divkāršu apstiprinājumu katrai e-pasta piekrišanai. Tomēr papildu apstiprināšanas vēstule var palīdzēt pārliecināties, ka adresi norādījis tās lietotājs, un samazināt svešu adrešu pieteikšanu. Tas ir risinājuma izvērtējums, nevis universāls likuma formulējums. Pierādījumu veidu izvēlas samērīgi; piekrišanas pamatošanai nevajag automātiski vākt dokumentu kopijas, precīzu atrašanās vietu vai citus ar izvēli nesaistītus datus.
Apstrādes darbību reģistrā apraksta apstrādes darbību, tās nolūku un citus piemērojamos elementus. Tas nav obligāts katras individuālās piekrišanas žurnāls. Individuālos pierādījumus var glabāt saistītā sistēmā, nosakot atbildību, pieejas un glabāšanas termiņus. Šāds nošķīrums ļauj reģistru izmantot pārskatam, savukārt konkrētas personas lietā ātri atrast pierādījumu par saņemto un vēlāk atsaukto izvēli.
Atsaukšana, kas darbojas visā apstrādes ķēdē
Piekrišanu var atsaukt jebkurā laikā, un to izdarīt jābūt tikpat viegli kā piekrišanu sniegt. Informāciju par šo iespēju sniedz jau pirms piekrišanas saņemšanas. Ja izvēle dota tiešsaistē, prasība atsaukšanai ierasties birojā parasti radītu nepamatotu šķērsli. Atteikšanās saite nedrīkst pieprasīt jauna konta izveidi tikai tādēļ, lai pārtrauktu vēstuļu saņemšanu. Jāpārbauda arī tās darbība mobilajā ierīcē un pēc ilgāka laika.
Atsaukšana nepadara nelikumīgu apstrādi, kas pirms tās likumīgi veikta uz piekrišanas pamata. Tomēr attiecīgā turpmākā apstrāde jāpārtrauc. Pārzinis nevar pēc atsaukuma vienkārši pārdēvēt to par likumīgām interesēm, lai turpinātu to pašu darbību. Ja citai, nošķirtai apstrādei pastāv patstāvīgs tiesisks pamats, piemēram, dokumentēts grāmatvedības pienākums, to vērtē atsevišķi un cilvēkam skaidri izskaidro atšķirību.
Atsaukšanas rezultāts jānodod arī sistēmām un apstrādātājiem, kas īsteno attiecīgo nolūku. Ja klienta izvēle atjaunināta tikai galvenajā datubāzē, bet jau sagatavotais reklāmas saraksts paliek pie piegādātāja, pārtraukšana nav pienācīgi nodrošināta. Var būt pamatoti saglabāt minimālu atteikumu ierakstu, lai personu nejauši nepievienotu atkal; šā ieraksta pamatu un termiņu izvērtē atsevišķi. Dzēšanas tiesības palīdz izvērtēt, kuri dati pēc atsaukuma vairs nav vajadzīgi.
Sīkdatnes un elektroniskais mārketings Latvijā
Piekļuve informācijai lietotāja ierīcē jāvērtē arī pēc Informācijas sabiedrības pakalpojumu likuma 7.¹ panta. Nepieciešamības izņēmums nav attiecināms uz jebkuru rīku, kuru uzņēmums uzskata par komerciāli noderīgu. Neobligātai analītikai un mārketingam paredzētu sīkdatņu ieslēgšana pirms izvēles nav izlabojama tikai ar precīzāku privātuma politiku. Jāpārbauda faktiskā tehniskā darbība pirms piekrišanas, pēc tās un pēc atsaukšanas.
DVI 2025. gada skaidrojums par atsaukšanu norāda uz pastāvīgi pieejamu izvēles maiņas iespēju un kritizē vienkāršu pāradresēšanu uz pārlūka iestatījumiem. Vietnes kājenē vai redzamā rīkā jābūt saprotamam ceļam atgriezties pie izvēles. Organizācijai jāpārbauda, vai poga tiešām pārtrauc attiecīgo darbību; vizuāli pareizs paziņojums ar nepareizu skriptu darbību nerada derīgu procesu.
Komerciāliem paziņojumiem papildus vērtē minētā likuma 9. pantu. Likums paredz nosacītu izņēmumu savu līdzīgu preču vai pakalpojumu piedāvāšanai esošam klientam, ja izpildīti visi attiecīgie nosacījumi, tostarp skaidra bezmaksas atteikšanās iespēja. Tādēļ apgalvojums, ka katrai reklāmas vēstulei vienmēr vajadzīga jauna piekrišana, būtu pārāk plašs. Savukārt publiski pieejama e-pasta adrese pati par sevi nav pierādījums piekrišanai saņemt reklāmu.
Bērnu piekrišana (8. pants)
Latvijas Fizisko personu datu apstrādes likuma 33. pants paredz 13 gadu slieksni, ja informācijas sabiedrības pakalpojums tiek piedāvāts tieši bērnam un apstrādes pamats ir VDAR 8. pantā minētā piekrišana. Ja bērns šo vecumu nav sasniedzis, vajadzīga vecāka vai likumiskā aizbildņa piekrišana. Pārzinim, ņemot vērā pieejamās tehnoloģijas, jāpieliek saprātīgas pūles tās pārbaudei.
Šis slieksnis nav vispārīga atļauja trīspadsmitgadīgam bērnam patstāvīgi piekrist jebkurai datu apstrādei vai noslēgt jebkuru līgumu. Skolas obligātā uzskaite, ārstniecības attiecības un fotogrāfijas publicēšana prasa attiecīgās situācijas un tiesību normu izvērtējumu. Informācijai jābūt bērnam saprotamai, nevis tikai saīsinātam pieaugušo juridiskam tekstam. Vecuma pārbaude arī nedrīkst kļūt par nepamatotu iemeslu vākt visu apmeklētāju personu apliecinošu dokumentu kopijas.
Darba attiecības un īpašu kategoriju dati
Darba devēja un darbinieka attiecībās varas nelīdzsvarotība apgrūtina brīvas piekrišanas iegūšanu. Darba algas aprēķinu un obligāto personāla uzskaiti tādēļ nevajag pamatot ar šķietami brīvprātīgu izvēli. Atsevišķa izvēles situācija var būt iespējama, ja atteikšanās patiešām nerada nelabvēlīgas sekas. Piemēram, vērtējot izvēles dalību reklāmas materiālā, jānodrošina alternatīva un jāpārbauda, vai atteikums neietekmē darba attiecības ne formāli, ne praksē.
Ja tiek apstrādāti veselības vai citi 9. panta īpašu kategoriju dati, papildus 6. panta pamatam vajadzīgs piemērojams 9. panta izņēmums. Ja izvēlas nepārprotamu piekrišanu atbilstoši 9. panta 2. punkta a) apakšpunktam, tai jāatbilst pastiprinātajai izteiktas piekrišanas prasībai un piemērojamajiem ierobežojumiem. Parasta piekrišana vispārīgiem pakalpojuma noteikumiem šo jautājumu neatrisina. Piekrišana pati arī neatceļ datu minimizēšanu, drošību un glabāšanas ierobežojumu.
Kā pārbaudīt jau darbojošos piekrišanas procesu
Izvēlieties vienu reālu izmantošanas ceļu un izsekojiet tam no sākuma līdz beigām. Noskaidrojiet, ko cilvēks redz pirms izvēles, vai iespējams atteikties, kā pierādījums nonāk sistēmā un kur tieši izmanto izvēlētos datus. Pēc tam atsauciet piekrišanu izmēģinājuma kontā un pārbaudiet, vai attiecīgā apstrāde pārtraukta visos kanālos. Šādu pārbaudi var veikt bez īstu klientu datu liekas kopēšanas vai izplatīšanas.
Ja nolūks būtiski mainās, agrākā piekrišana automātiski neaptver jauno izmantošanu. Jāvērtē jaunas izvēles nepieciešamība un savlaicīgi jāsniedz informācija. VDAR nenosaka vienu universālu piekrišanas derīguma termiņu visām situācijām. Tomēr organizācijai jāspēj pamatot, ka pierādītā izvēle joprojām atbilst faktiskajai apstrādei un cilvēka pamatotajām gaidām. Šo pārbaudi sasaista ar integrētu datu aizsardzību, lai izmaiņas tiktu izvērtētas pirms ieviešanas.
Piemērs: veikala pirkums un izvēles jaunumu abonēšana
Iedomāsimies veikalu, kas pasūtījuma beigās piedāvā saņemt padomus un jaunumus. Pirkuma veikšanai vajadzīgā e-pasta adrese nav automātiski piekrišana šādiem sūtījumiem. Pasūtījuma apstiprinājuma nosūtīšanu nodala no reklāmas saziņas. Ja veikals jaunumiem izvēlas piekrišanu, rūtiņu atstāj neatzīmētu un pasūtījumu ļauj pabeigt arī bez abonēšanas. Darbiniekam klienta kartītē jāspēj atšķirt pakalpojuma saziņas adresi no atļaujas izmantot to konkrētam mārketinga nolūkam.
Klients pēc mēneša atsakās no jaunumiem, bet vēlas turpināt saņemt ziņas par sava jau veiktā pasūtījuma piegādi. Šāda atsaukšana neprasa pārtraukt visu saziņu, kas vajadzīga pasūtījuma izpildei. Tomēr uzņēmums nevar ievietot plašu reklāmu katrā tehniskā paziņojumā un uzskatīt, ka atteikums to neietekmē. Atbildīgie pārbauda sūtījuma faktisko nolūku un saturu. Precīzs nolūku nodalījums pasargā gan cilvēka izvēli, gan nepieciešamo pakalpojuma komunikāciju.
Ja veikals vēlāk sāk izmantot pirkumu vēsturi individuālu reklāmas profilu veidošanai, jāizvērtē, vai sākotnējā informācija un izvēle šo darbību aptvēra. Ar tehnisku lauka pārdēvēšanu datubāzē nepietiek. Pārbaudē jāiesaista mārketinga un datu aizsardzības atbildīgie pirms jaunā risinājuma sākšanas. Pretējā gadījumā var rasties situācija, kur pierādīta piekrišana vienkāršiem jaunumiem tiek nepamatoti izmantota daudz plašākai cilvēka uzvedības analīzei.
Piegādātāju saraksti un iegādāti kontakti
Ja organizācija saņem kontaktus no citas personas, apgalvojums “visi ir piekrituši” nav pietiekams izvērtējums. Jānoskaidro, kas vāca datus, kāds bija izvēles teksts, vai konkrētais saņēmējs un nolūks bija aptverts un kā iespējams pierādīt katras personas izvēli. Piegādātāja komerciāla garantija neaizstāj pārziņa pienākumu pārbaudīt savas apstrādes pamatu. Īpaši uzmanīgi vērtē sarakstus ar ļoti plašiem vai nenosauktiem saņēmējiem.
Vērtē arī informēšanas pienākumu, ja dati nav iegūti no paša cilvēka. Jauns saņēmējs nevar paļauties tikai uz to, ka kaut kur pastāv cita uzņēmuma privātuma politika. Pirms izmantošanas noskaidro, kas un kad sniegs vajadzīgo informāciju, kā cilvēks izmantos savas tiesības un kā atteikums nonāks visās iesaistītajās sistēmās. Tas ir īpaši svarīgi, ja kontaktu piegādātājs turpina atjaunināt sarakstu un var atkārtoti pievienot jau atteikušos personu.
Ja pierādījumu nav vai tie neaptver paredzēto izmantošanu, darbību nedrīkst sākt, balstoties uz minējumu, ka lielākā daļa saņēmēju droši vien neiebildīs. Jāizvēlas tiesiski pamatots risinājums vai jāatsakās no konkrētā saraksta izmantošanas. Sarežģītā izvērtējumā var konsultēties ar iecelto datu aizsardzības speciālistu, saglabājot pārziņa atbildību par lēmumu. Arī aicinājums dot piekrišanu var pats būt regulēts komerciāls paziņojums, tādēļ nav pareizi pieņemt, ka jebkuru kontaktu drīkst izmantot vienai reklāmas vēstulei “atļaujas saņemšanai”.
Biežāk uzdotie jautājumi
Vai piekrišanu obligāti paraksta?
Ne vienmēr. Svarīga ir pierādāma, informēta un apstiprinoša izvēle, nevis viens obligāts tehniskais formāts. EDAK piekrišanas vadlīnijas palīdz izvērtēt dažādus iegūšanas veidus. Atkarībā no apstrādes var būt vajadzīga izteikta piekrišana; arī tad jāvērtē viss process, ne tikai paraksta esība dokumenta beigās.
Vai atsaukšana automātiski izdzēš visus datus?
Nē. Jāpārtrauc apstrāde, kuru pamato atsauktā piekrišana, un jāvērtē, vai datu turpmākai glabāšanai paliek cits tiesisks iemesls. Organizācija nevar to izmantot kā aizbildinājumu turpināt to pašu izvēles mārketingu. Cilvēkam jāpaskaidro, kurus datus dzēš un kurus pamatoti saglabā atsevišķam nolūkam, piemēram, piemērojama juridiska pienākuma izpildei.
Kā piekrišana saistās ar citām tiesībām?
Cilvēks var izmantot piekļuves tiesības, lai noskaidrotu par viņu apstrādāto informāciju. Automatizētai apstrādei uz piekrišanas pamata var būt piemērojama datu pārnesamība, ievērojot tās nosacījumus. Piekrišanas atsaukšana ir patstāvīga iespēja: to nedrīkst padarīt atkarīgu no sarežģīta piekļuves vai dzēšanas pieprasījuma iesniegšanas, ja izvēli var vienkārši atcelt jau pieejamā rīkā.