Privātuma politika izskaidro cilvēkam, kas un kāpēc apstrādā viņa personas datus, kam tie pieejami un kā izmantot savas tiesības. Tā nav atļauja veikt jebkuru tekstā nosauktu darbību. Informācijai jāatbilst faktiskajai apstrādei, un pašai apstrādei vajadzīgs atbilstošs tiesiskais pamats. Tādēļ veidni izmanto kā struktūru, kuru aizpilda pēc savu procesu pārbaudes, nevis kā gatavu apliecinājumu atbilstībai.
Zemāk dots pielāgojams tīmekļa vietnes privātuma paziņojuma paraugs un skaidrojumi par tā aizpildīšanu. VDAR 13. pants attiecas uz datu iegūšanu no paša cilvēka, bet 14. pants — uz datiem, kas iegūti citādi. Abus gadījumus var aptvert vienā dokumentā, ja informācija ir saprotama un sniegta pareizajā brīdī. Vietnei var būt vajadzīgi arī atsevišķi paziņojumi darbiniekiem, kandidātiem, videonovērošanai vai citiem procesiem.
Pirms rakstīšanas pārbaudiet faktisko apstrādi
Sāciet ar vietnes funkcijām un datu plūsmām. Noskaidrojiet, ko savāc kontaktforma, pirkuma vai rezervācijas forma, klienta konts, jaunumu abonēšana un tehniskie žurnāli. Pārbaudiet arī iebūvētus video, kartes, maksājumu risinājumus un ārējos skriptus. Tas, ka vietnes īpašnieks pats neredz visus šādas integrācijas datus, nenozīmē, ka par tās darbību nav jādomā. Jāsaprot gan faktiskie saņēmēji, gan savu un partneru lomu sadalījums.
Apstrādes darbību reģistrs ir noderīgs informācijas avots, taču privātuma politika nav vienkārša tā kopija. Reģistrs kalpo organizācijas pārskatam, bet paziņojums — cilvēka informēšanai. Pārvērtiet iekšējos procesu nosaukumus saprotamos nolūkos. Piemēram, sistēmas nosaukuma vietā paskaidrojiet pasūtījumu pieņemšanu, piegādi un saziņu par izpildi. Vienlaikus nepazaudējiet atšķirīgus mērķus, piemēram, obligāto grāmatvedību un izvēles reklāmu.
Katram procesam nosakiet cilvēku loku, datus, pamatu, saņēmējus un glabāšanas kārtību. Ja informācija nav zināma, to vispirms noskaidro pie procesa vai pakalpojuma atbildīgā. Tukšumu nedrīkst aizvietot ar izdomātu termiņu vai apgalvojumu, ka visi dati paliek Eiropā. Pirms publicēšanas jāpārbauda arī tas, vai organizācija spēj izpildīt aprakstīto kārtību, piemēram, pārtraukt izvēles sūtījumus vai izdzēst pamatoti dzēšamus datus.
Kad informācija jāsniedz: 13. un 14. pants
Ja datus iegūst no paša cilvēka, informāciju sniedz datu iegūšanas laikā. Tādēļ kontaktformas apakšā pieejama, saprotama norāde uz atbilstošo paziņojumu ir praktiski nozīmīgāka par grūti atrodamu dokumentu vietnes dziļumā. Nevajag prasīt piekrišanu tikai tam, ka cilvēks informēts. Informēšana ir pārziņa pienākums arī tad, ja apstrādes pamats ir līgums, juridisks pienākums vai cits piemērots pamats.
Ja dati saņemti no partnera, publiska reģistra vai cita avota, piemērojams 14. pants. Informācija jāsniedz saprātīgā termiņā pēc iegūšanas, vēlākais viena mēneša laikā, ņemot vērā apstākļus. Ja datus izmanto saziņai ar cilvēku, informē vēlākais pirmās saziņas laikā; ja paredzēta izpaušana citam saņēmējam, vēlākais pirmās izpaušanas brīdī. Praktiski jāievēro agrākais piemērojamais brīdis, nevis vienmēr jāgaida mēnesis.
- panta gadījumā papildus jānosauc datu kategorijas un avots, tostarp tas, vai izmantots publiski pieejams avots. Publiskums pats par sevi neatceļ informēšanas pienākumu. Pastāv konkrēti izņēmumi, piemēram, ja cilvēkam informācija jau ir, ja piemērojamos apstākļos informēšana nav iespējama vai prasītu nesamērīgas pūles, ja iegūšanu vai izpaušanu tieši nosaka atbilstošs tiesību akts vai jāievēro likumā aizsargāts profesionāls noslēpums. Katru izņēmumu vērtē šauri un dokumentē; vajadzības gadījumā jāievieš papildu aizsardzības pasākumi.
Pārzinis, pārstāvis un datu aizsardzības kontakti
Paziņojumā jābūt īstajai juridiskajai vai fiziskajai personai, kura nosaka apstrādes nolūkus un līdzekļus. Zīmola nosaukums vien var būt nepietiekams, ja cilvēks nevar saprast, ar kuru uzņēmumu sazināties. Ja piemērojams pārstāvja pienākums, norāda arī tā identitāti un kontaktus. Uzņēmumu grupā nevajag visus procesus neskaidri attiecināt uz grupu kopumā, ja konkrētajam pakalpojumam ir noteikts pārzinis.
Ja iecelts datu aizsardzības speciālists, norāda viņa sasniedzamu kontaktinformāciju. Ja DPO nav, var norādīt citu datu aizsardzības jautājumu kontaktpersonu, taču to nevajag maldinoši nosaukt par formāli ieceltu speciālistu. Kopīgu pārziņu gadījumā jānodrošina attiecīgās vienošanās būtības pieejamība saskaņā ar 26. pantu. Kontaktu sadaļai jāpalīdz cilvēkam rīkoties, nevis jākalpo tikai formālam rekvizītu uzskaitījumam.
Nolūki un pamati jāsaista ar konkrētām darbībām
Formulējums “pakalpojumu uzlabošana un citi likumīgi mērķi” var būt pārāk plašs, lai cilvēks saprastu apstrādi. Skaidrojiet, kāda darbība notiek un kāpēc tā vajadzīga. Pirkuma izpilde, rēķinu saglabāšana, saziņa par jautājumu un reklāmas abonēšana var būt dažādi nolūki. Vienai klienta attiecībai tādēļ var būt vairāki pamati, bet to uzskaitījums nedrīkst radīt iespaidu, ka jebkuru pamatu izvēlas pēc vajadzības jau pēc apstrādes sākšanas.
Ja pamats ir piekrišana, jābūt reālai izvēlei un vienkāršai atsaukšanai. Ja izmanto likumīgās intereses, nosauc konkrēto interesi, ne tikai regulas pantu. Kontaktformas pamats nav vienmēr identisks: lūgums sagatavot piedāvājumu var attiekties uz darbībām pirms līguma noslēgšanas, bet cita rakstura sarakste prasa citu vērtējumu. Veidne tāpēc neuzspiež vienu universālu pamatu visām formām.
- pants prasa izskaidrot arī to, vai datu sniegšana noteikta likumā, līgumā vai nepieciešama līguma noslēgšanai, vai personai ir pienākums tos sniegt un kādas būtu nesniegšanas sekas. Piemēram, bez piegādes adreses var nebūt iespējama izvēlētā piegāde, bet atteikšanās no reklāmas parasti nedrīkst kavēt pirkumu. Šī informācija palīdz arī pašai organizācijai pārskatīt, kuri formas lauki patiešām ir obligāti.
Saņēmēji un nosūtīšana ārpus EEZ
Ne katrs ārpakalpojuma sniedzējs ir apstrādātājs. Maksājumu pakalpojuma sniedzējs vai cits partneris daļai darbību var darboties kā patstāvīgs pārzinis. Lomu nosaka faktiskā darbība, nevis vēlme visus partnerus nosaukt vienādi. Saņēmēju kategorijām jābūt pietiekami konkrētām, lai cilvēks saprastu datu kustību. Ja izmanto apstrādātāju, attiecībām jāatbilst VDAR 28. panta prasībām; publiska politikas rindkopa šīs saistības neaizstāj.
Nosūtīšanu uz trešo valsti vērtē pēc faktiskās datu plūsmas un piekļuves iespējām. Ārvalstu uzņēmuma nosaukums pats par sevi nepierāda, ka katrā konkrētajā darbībā notiek nosūtīšana ārpus EEZ, bet datu centra atrašanās Eiropā pati par sevi neizslēdz attālinātu piekļuvi no trešās valsts. Pārbaudiet līgumus, atbalsta piekļuvi un apakšapstrādātājus. Raksts par datu nosūtīšanu ārpus ES palīdz atsevišķi izvērtēt šīs plūsmas.
Ja nosūtīšana notiek, paziņojumā norāda attiecīgo situāciju, pietiekamības lēmuma esību vai neesību un piemērojamās garantijas, kā arī iespēju iegūt to kopiju vai uzzināt, kur tās pieejamas. Standarta līguma klauzulu pieminēšana nav universāls risinājums jebkuram saņēmējam. Vispirms jānoskaidro konkrētais nosūtīšanas mehānisms un tā piemērojamība; tikai pēc tam iespējams uzrakstīt patiesu un noderīgu publisku skaidrojumu.
Glabāšanas laiks bez izdomātiem solījumiem
Paziņojumā norāda termiņu vai, ja konkrētu termiņu noteikt nav iespējams, tā noteikšanas kritērijus. Frāze “tik ilgi, cik nepieciešams” bez papildu skaidrojuma maz palīdz cilvēkam. Termiņa sākumpunkts ir tikpat svarīgs kā ilgums: pēc līguma izbeigšanas, jautājuma atrisināšanas vai cita skaidra notikuma. Dažādiem datiem var būt atšķirīgi termiņi, tāpēc visu klienta lietu nevajag automātiski glabāt tikpat ilgi kā vienu obligātu dokumentu.
Veidnē nav iepriekš ielikts universāls piecu gadu termiņš rēķiniem vai divpadsmit mēnešu termiņš sarakstei. Piemērojamo glabāšanu nosaka pēc konkrētā dokumenta, tiesību normām un pamatotas vajadzības. Glabāšanas ierobežojuma skaidrojums palīdz sasaistīt termiņus ar dzēšanu praksē. Ja rezerves kopijās dati izzūd vēlāk, jāizvērtē to izolēšana, atjaunošanas kārtība un atbilstība publiski aprakstītajam procesam, neapsolot tehniski neiespējamu tūlītēju izdzēšanu visur.
Tiesības un automatizēti lēmumi
Informējiet par piekļuvi, labošanu, dzēšanu, apstrādes ierobežošanu, iebildumiem un pārnesamību, ievērojot katras tiesības nosacījumus. Piekļuves tiesības nav tas pats, kas datu pārnesamība, un dzēšana nav absolūta tiesība iznīcināt jebkuru likumīgi glabājamu dokumentu. Vienlaikus nosacījumu pieminēšana nedrīkst pārvērst sadaļu par iespaidu, ka tiesības pastāv tikai pēc organizācijas labvēlības.
Norāda tiesības atsaukt piekrišanu, neietekmējot iepriekš likumīgi veikto apstrādi, un tiesības iesniegt sūdzību uzraudzības iestādei. Ieteikums sazināties ar organizāciju nedrīkst būt obligāts priekšnoteikums sūdzībai DVI. Izskaidro pieprasījumu kanālus un termiņus, nepiesolot atbildi tikai trīs mēnešos. Ja nepieciešams pagarinājums, par to un iemesliem informē pirmā mēneša laikā; ja nerīkojas, jāsniedz arī sūdzības un tiesas aizsardzības iespējas.
Ja pastāv 22. panta 1. vai 4. punktā minēta automatizēta lēmumu pieņemšana, tostarp profilēšana, izskaidro loģiku, nozīmīgumu un paredzamās sekas jēgpilnā veidā. Ar tehniska algoritma nosaukumu parasti nepietiek. Ja šādu lēmumu nav, to var skaidri pateikt, bet pirms tam pārbaudiet, vai izmantots partnera vērtējums automātiski nenosaka atteikumu vai citu būtisku rezultātu. Cilvēka formāla klātbūtne procesā ne vienmēr nozīmē reālu lēmuma pārskatīšanu.
Privātuma politikas paraugs
Šis ir aizpildāms paziņojuma teksts. Kvadrātiekavās esošos laukus aizstāj ar pārbaudītu informāciju, izvēlas tikai piemērojamos variantus un izņem redakcionālās norādes. Katram atšķirīgam nolūkam atkārto apstrādes sadaļu; nepublicē tukšas izvēles vai alternatīvas, kurās lasītājam pašam būtu jāmin faktiskā situācija. Paraugs jāpapildina atbilstoši nozarei un konkrētajiem procesiem. DVI publicē arī savus privātuma politikas materiālus un veidni, ko var izmantot salīdzināšanai.
PRIVĀTUMA PAZIŅOJUMS
Vietne vai pakalpojums: [nosaukums un adrese]
Spēkā no: [datums]. Pēdējais atjauninājums: [datums].
1. Kas apstrādā jūsu datus
Pārzinis ir [pilns nosaukums, reģistrācijas numurs, ja piemērojams], [adrese]. Sazināties var pa [e-pasts, citi pieejamie kanāli]. Šis paziņojums attiecas uz [precīzs pakalpojumu, vietnes funkciju un personu loka apraksts].
[Ja piemērojams:] Pārziņa pārstāvis ir [identitāte un kontakti].
[Ja iecelts:] Ar datu aizsardzības speciālistu var sazināties [kontakti].
[Ja ir kopīgi pārziņi:] Attiecībā uz [darbība] mēs un [otrs pārzinis, kontakti] darbojamies kā kopīgi pārziņi. Atbildības sadalījuma būtība ir [skaidrojums vai pieejama saite]. Savu tiesību izmantošanai varat sazināties ar [kontaktpunkts], neskarot tiesības vērsties pie katra pārziņa.
2. Kādus datus un kāpēc izmantojam
[Atkārtojiet šo sadaļu katram atšķirīgam nolūkam.]
Nolūks: [konkrēta darbība un tās mērķis].
Dati: [attiecīgās personas datu kategorijas].
Tiesiskais pamats: [piemērojamais VDAR 6. panta pamats un saprotams skaidrojums; ja vajadzīgs, attiecīgā tiesību norma un 9. panta izņēmums].
[Ja pamats ir likumīgās intereses:] Mūsu vai trešās personas interese ir [konkrēts skaidrojums].
[Ja datus saņem no jums:] Datu sniegšana ir [likumā noteikta / līgumā noteikta / nepieciešama līguma noslēgšanai / brīvprātīga]. Jums [ir / nav] pienākuma sniegt [konkrētie dati]. Ja tos nesniedzat, [faktiskās sekas].
[Ja dati nav iegūti no jums:] Šos datus iegūstam no [konkrēts avots vai pietiekami precīza informācija par avotu]. [Norādiet, vai un kāds avots ir publiski pieejams.]
Glabāšana: [termiņš un sākumpunkts vai konkrēti noteikšanas kritēriji]. Pēc tam [dzēšana vai cits faktiskais risinājums, piemēram, neatgriezeniska anonimizācija]. [Ja piemērojams, skaidri nodaliet pamatotu glabāšanu juridiskam pienākumam vai prasījumiem.]
3. Kam dati var tikt izpausti
Attiecībā uz [nolūks] datus [kategorijas] saņem [konkrētie saņēmēji vai pietiekami precīzas saņēmēju kategorijas] nolūkā [skaidrojums]. [Norādiet atbilstošu lomu, ja tas palīdz saprast apstrādi: mūsu apstrādātājs, atsevišķs pārzinis vai kopīgs pārzinis.]
[Ja piemērojams:] Datus sniedzam kompetentām iestādēm, ja konkrētajos apstākļos to paredz [piemērojamais pienākums].
4. Nosūtīšana ārpus Eiropas Ekonomikas zonas
[Izvēlieties pārbaudītu variantu.]
[Ja nenotiek:] Aprakstīto procesu ietvaros personas datus nenosūtām saņēmējiem ārpus EEZ.
[Ja notiek:] Saistībā ar [darbība] datus [kategorijas] nosūtām [saņēmējs vai kategorija, valsts vai starptautiskā organizācija]. Eiropas Komisijas pietiekamības lēmums [ir piemērojams: precizējiet / nav piemērojams]. Nosūtīšanai izmantojam [konkrētais piemērojamais mehānisms un garantijas, vajadzības gadījumā papildu aizsardzības pasākumi]. Informācija par garantijām un iespēju saņemt to kopiju pieejama [saite vai kontaktkanāls].
5. Automatizēti lēmumi un profilēšana
[Izvēlieties faktisko variantu.]
[Nenotiek:] Šajos procesos nepieņemam tikai automatizētus lēmumus, kas rada jums tiesiskas vai līdzīgi būtiskas sekas.
[Notiek:] Procesā [nosaukums] izmantojam [datu veidi un lēmuma veids]. Lēmuma pamatā ir [saprotams būtisko principu un faktoru izskaidrojums]. Tā nozīmīgums un paredzamās sekas jums ir [skaidrojums]. Piemērojamais tiesiskais nosacījums ir [pamatojums]. Savu tiesību, tostarp piemērojamā gadījumā cilvēka iesaistes, viedokļa paušanas un lēmuma apstrīdēšanas, izmantošanai [praktiska kārtība].
6. Jūsu tiesības
Jums ir tiesības lūgt piekļuvi saviem personas datiem un to labošanu. VDAR paredzētajos gadījumos varat lūgt dzēšanu, apstrādes ierobežošanu vai datu pārnesamību. Ja apstrādi pamato sabiedrības interešu uzdevums vai likumīgās intereses, varat iebilst ar savu īpašo situāciju saistītu iemeslu dēļ. Pret tiešo mārketingu varat iebilst jebkurā laikā; tad šim nolūkam datus vairs neapstrādāsim.
Ja konkrēto apstrādi pamato jūsu piekrišana, to varat atsaukt jebkurā laikā [tikpat vienkārša faktiskā atsaukšanas kārtība]. Atsaukšana neietekmē pirms tās likumīgi veikto apstrādi.
Pieprasījumus var iesniegt [pieejami kanāli]. Ja ir pamatotas šaubas par jūsu identitāti, lūgsim tikai tās apstiprināšanai nepieciešamo papildu informāciju.
Par rīcību informēsim bez nepamatotas kavēšanās, viena mēneša laikā pēc saņemšanas. Ja nepieciešams sarežģītības vai pieprasījumu skaita dēļ, termiņu var pagarināt par vēl diviem mēnešiem; pirmā mēneša laikā paziņosim par pagarinājumu un iemesliem. Ja pēc pieprasījuma nerīkosimies, bez kavēšanās, vēlākais mēneša laikā, izskaidrosim iemeslus, tiesības sūdzēties uzraudzības iestādei un izmantot tiesību aizsardzību tiesā.
Jums ir tiesības iesniegt sūdzību uzraudzības iestādei, Latvijā — Datu valsts inspekcijai. Informācija un iesniegšanas kārtība: https://www.dvi.gov.lv. Saziņa ar mums nav obligāts priekšnoteikums šo tiesību izmantošanai.
7. Sīkdatnes un līdzīgas tehnoloģijas
[Aprakstiet faktisko darbību un skaidri nodaliet nepieciešamās un izvēles tehnoloģijas.] Informācija par nolūkiem, izmantotajām tehnoloģijām, darbības laiku, saņēmējiem un iestatījumiem ir pieejama [saite uz atsevišķu paziņojumu vai precīzu sadaļu]. Izvēli varat mainīt un piekrišanu atsaukt [pastāvīgi pieejamais veids].
8. Paziņojuma izmaiņas
Aktuālā versija pieejama [vieta]. Par būtiskām izmaiņām informēsim [faktiskā kārtība]. Ja plānosim izmantot datus citam nolūkam, pirms šādas apstrādes sniegsim informāciju par jauno nolūku un pārējo attiecīgo informāciju. Ja vajadzīga jauna piekrišana, to lūgsim atsevišķi.
Kā pielāgot un izvietot paziņojumu
Pēc aizpildīšanas izlasiet dokumentu no cilvēka skatpunkta. Vai ir saprotams, kura sadaļa attiecas uz kontaktformas iesniedzēju un kura uz klientu? Vai viņš var noskaidrot, kāpēc vajadzīgs tālrunis un kas notiek, ja to nenorāda? Garāks dokuments pats par sevi nav pilnīgāks. Dažkārt skaidri atdalīti procesu apraksti ir noderīgāki par vienu rindkopu, kurā sajauktas visas iespējamās darbības un tiesiskie pamati.
Informāciju izvieto tur, kur persona pieņem attiecīgo lēmumu vai sniedz datus, un nodrošina vieglu piekļuvi pilnajam tekstam. Ja vietni izmanto bērni vai dažādu valodu auditorija, jāizvērtē saprotamība attiecīgajam cilvēku lokam. DVI skaidrojums par privātuma politiku uzsver skaidru struktūru un pieejamību. Dokumenta nosaukums nav noteicošais: būtiski, lai vajadzīgā informācija būtu patiesa, saprotama un savlaicīgi sasniedzama.
Sīkdatņu paziņojumu saskaņo ar faktisko tehnoloģiju darbību un Latvijas informācijas sabiedrības pakalpojumu noteikumiem. Privātuma politika neaizstāj vajadzīgo iepriekšējo piekrišanu piekļuvei ierīces informācijai. Nevajag apgalvot, ka tehnoloģija ir nepieciešama tikai tādēļ, ka tā palīdz uzņēmuma analītikai. Skaidri nošķir informēšanu, izvēles iegūšanu un iespēju to vēlāk mainīt; katram no šiem elementiem praksē jādarbojas.
Atjaunināšana, kad mainās pakalpojums
Piešķiriet paziņojumam atbildīgo, kurš saņem informāciju par jauniem piegādātājiem, datu laukiem un izmantošanas nolūkiem. Izmaiņu pārbaudei jānotiek pirms attiecīgās apstrādes sākšanas. Ja mainās tikai kontaktadrese, darbības var būt vienkāršākas nekā gadījumā, kad klientu datus sāk izmantot jaunai profilēšanai. Abos gadījumos tekstam jāatspoguļo patiesā situācija, bet saziņas apjomu izvēlas pēc izmaiņu būtības un tiesību normām.
Ja paredzēts jauns nolūks, 13. panta 3. punkts un 14. panta 4. punkts prasa informēt pirms tālākās apstrādes. Vienkārša datuma nomaiņa vietnes kājenē var nebūt pietiekama, lai informācija cilvēkus sasniegtu. Turklāt paziņojuma atjaunināšana pati par sevi nerada jaunu tiesisko pamatu. Jāpārbauda arī nolūku saderība, pamats un piekrišanas nepieciešamība, ja tāda attiecīgajai darbībai paredzēta.
Saglabājiet agrākās versijas un pierādījumus par būtiskās informācijas sniegšanu. Tas ļauj noskaidrot, ko cilvēks redzēja konkrētā laikā, un izskaidrot izmaiņu gaitu. Versiju arhīvs nav iemesls bezgalīgi glabāt katra apmeklētāja detalizētu uzvedību. Pierādījumu apjomu un termiņu izvēlas samērīgi. Ja konstatē, ka publicētais teksts neatbilst faktiskajai apstrādei, jālabo gan informācija, gan pati darbība, ja tajā ir juridiska nepilnība.
Piemērs: kontaktforma ar diviem dažādiem nolūkiem
Pieņemsim, ka neliels pakalpojumu uzņēmums vietnē piedāvā nosūtīt jautājumu un vienlaikus izvēlēties jaunumu saņemšanu. Formā ir vārds, e-pasts, tālrunis un ziņojuma lauks. Pirmais pielāgošanas jautājums ir tas, kuri dati nepieciešami atbildei. Ja organizācija atbild tikai e-pastā, obligāta tālruņa prasība var nebūt pamatota. Paziņojums nedrīkst vienkārši attaisnot visus esošos laukus; pārbaudes rezultātā var būt jāmaina arī pati forma.
Atbildēšanu uz jautājumu un jaunumu sūtīšanu apraksta atsevišķi. Katram nolūkam norāda tā pamatu, datu izmantošanu un glabāšanu. Ja jaunumiem izmanto piekrišanu, cilvēkam jāspēj nosūtīt jautājumu arī bez abonēšanas. Paziņojumā norādītais atsaukšanas veids jāsaskaņo ar sūtījumu sistēmu. Nav pietiekami solīt atteikšanās saiti, ja vēstules faktiski tiek sūtītas no kopējas pastkastītes un neviens neuzrauga saņemtos atteikumus.
Brīvā teksta laukā cilvēks var pats ierakstīt sensitīvu informāciju, kuru uzņēmums nav prasījis. Formas tuvumā var izskaidrot, ko sūtīt nav vajadzīgs, bet organizācijai tik un tā jāzina, kā rīkoties ar saņemto. Paziņojumā nevajag solīt, ka īpašu kategoriju dati nekad nenonāk sistēmā, ja šāds risks ir zināms. Jānosaka nepieciešamās piekļuves, izvērtēšana un dzēšana, kā arī atbilstošais juridiskais risinājums faktiskajai situācijai.
Piemērs: klienta kontaktpersona iegūta no partnera
Uzņēmums no sadarbības partnera saņem darbinieka vārdu un darba e-pastu, lai saskaņotu konkrēta pasūtījuma izpildi. Arī profesionālie kontaktinformācijas dati var būt personas dati. Ja kontaktpersona tos pati nav sniegusi, jāpārbauda 14. panta informēšanas pienākums. Pirmajā saziņā var sniegt īsu skaidrojumu un viegli pieejamu pilno paziņojumu, kurā norādīts avots, apstrādes nolūks, pamats un pārējā vajadzīgā informācija. Publiski pieejama uzņēmuma vietne šo pienākumu automātiski neaizstāj.
Ja partneris apgalvo, ka persona jau informēta, pārzinim jānoskaidro, kāda tieši informācija sniegta un vai tā aptver jauno saņēmēju un apstrādi. Ar vispārīgu partnera apliecinājumu ne vienmēr pietiek secinājumam, ka cilvēkam jau ir visa prasītā informācija. Ja piemēro 14. panta izņēmumu, saglabā konkrētu pamatojumu. Tas palīdz atšķirt situāciju, kurā informācija tiešām nav jāatkārto, no situācijas, kurā pārzinis vienkārši nav organizējis tās nosūtīšanu.
Šo kontaktu vēlāk nedrīkst automātiski pārvērst par reklāmas abonentu tikai tāpēc, ka e-pasts jau atrodas uzņēmuma sistēmā. Ja rodas jauns nolūks, pārbauda tā tiesisko pamatu, informēšanu un elektroniskā mārketinga noteikumus. Paziņojuma sadaļai par avotiem jāpalīdz cilvēkam saprast, kā viņa adrese nonākusi pie pārziņa. Formulējums “iegūstam datus no likumīgiem avotiem” šajā situācijā nesniedz pietiekami konkrētu izskaidrojumu.
Publicēšanas pārbaude ar procesa atbildīgajiem
Pirms publicēšanas katras darbības atbildīgais salīdzina savu sadaļu ar faktisko kārtību. Klientu apkalpošana pārbauda saziņas kanālus un pieprasījumu saņemšanu, grāmatvedība — attiecīgos dokumentus un termiņus, bet tehniskā komanda — vietnes rīkus un piegādātāju piekļuvi. Juridiskā pārbaude sasaista šos faktus ar tiesību normām. Nevienai lomai nevajag vienpersoniski apstiprināt faktus, kuri tai nav zināmi; neatbildētos jautājumus atrisina pirms attiecīgo solījumu publicēšanas.
Pārbaudiet arī faktiskās saites un kontaktus. Ja sūdzību vai pieprasījumu e-pasta adrese nestrādā, precīzs tiesību uzskaitījums cilvēkam nepalīdz. Ja pilnais teksts mobilajā ierīcē ir nesalasāms vai aizsegts ar uznirstošu logu, pieejamība ir apšaubāma. Šāda pārbaude ir daļa no informēšanas praktiskās izpildes. Saglabājiet publicēto versiju un atbildīgo apstiprinājumus, lai vēlāk varētu izskaidrot, pēc kādiem pārbaudītiem faktiem dokuments sagatavots.
Biežāk uzdotie jautājumi
Vai mazam uzņēmumam vienmēr vajadzīgs atsevišķs dokuments?
VDAR paredz informēšanas pienākumu piemērojamās situācijās, nevis vienu obligātu dokumenta nosaukumu visiem uzņēmumiem. Tīmekļa vietnes politika ir izplatīts izpildes veids, bet informāciju var sniegt arī citos pārskatāmos formātos. Uzņēmuma mazais izmērs pats par sevi neatceļ pienākumu. Vienlaikus dokumenta apjomu veido pēc faktiskajiem procesiem, neiekļaujot darbības, kuras uzņēmums vispār neveic.
Vai drīkst izmantot cita dokumenta struktūru?
Var izmantot piemērotu veidni kā sākumpunktu, ievērojot arī tās izmantošanas tiesības. Datu aizsardzības problēma rodas, ja pārņem svešus, nepatiesus apstrādes aprakstus, kontaktus vai termiņus. Tāpēc katru sadaļu pārbauda pret saviem faktiem. Nav pareizi apgalvot, ka jebkāda struktūras izmantošana pati par sevi pārkāpj VDAR; noteicoša ir sniegtās informācijas atbilstība un pienākuma izpilde.
Vai pietiek tikai ar saiti vietnes kājenē?
Ne vienmēr. Saitei jābūt viegli atrodamai, un informācijai jāsasniedz cilvēks attiecīgajā brīdī. Ja datus saņem no citas personas, cilvēks var nekad neapmeklēt jūsu vietni, tāpēc tikai publicēta lapa automātiski neizpilda 14. pantu. Izvērtējiet tiešu informēšanu, pirmās saziņas saturu un konkrēto izņēmumu esību, nepaļaujoties uz pieņēmumu, ka jebkurš var dokumentu sameklēt pats.