Elijas iela 17, Rīga, LV-1050, tālr. 67223131, e-pasts [email protected], www.dvi.gov.lv
Rīgā
SIA “DEPO DIY”
pilnvarotajai pārstāvei
[..]
Lietā Nr. [..]
Lēmums
Rīgā, datums skatāms laika zīmogā Nr. ([..]) [..]
[1] Datu valsts inspekcija 2022. gada 10. maijā pieņēma lēmumu Nr. [..] ([..]) Par soda
piemērošanu (turpmāk tekstā – apstrīdētais lēmums) administratīvā pārkāpuma lietā Nr. [..] ([..])
(turpmāk tekstā – Lieta), atzīstot SIA “DEPO DIY”, reģistrācijas numurs 50003719281, juridiskā
adrese Noliktavu iela 7, Dreiliņi, Stopiņu pagasts, Ropažu novads (turpmāk tekstā – DEPO) par
vainīgu Vispārīgās datu aizsardzības regulas1 (turpmāk tekstā – Datu Regula) 83. panta 5. punkta “a”
apakšpunktā paredzētā administratīvā pārkāpuma, piemērojot administratīvo sodu – naudas sodu
4 373 818, 52 eiro (četri miljoni trīs simti septiņdesmit trīs tūkstoši astoņi simti astoņpadsmit euro,
piecdesmit divi centi) apmērā. Apstrīdētais lēmums DEPO paziņots 2022.gada 11. maijā, nosūtot
apstrīdēto lēmumu ierakstītā pasta sūtījumā.
[2] Apstrīdētajā lēmumā konstatēti šādi apstākļi, un tas pamatots ar tālāk minētajiem
apsvērumiem:
[2.1] Lai saņemtu DEPO piedāvātos Papildu pakalpojumus, piemēram, preču piegādi uz
mājām vai grāmatvedības attaisnojuma dokumentu, klientam ir jāsaņem DEPO karte. Bez šādas kartes
saņemšanas Papildu pakalpojums netiek nodrošināts. Vienlaikus, lai saņemtu DEPO karti, klientam
atbilstoši anketā norādītajam “jāpiekrīt”, ka viņa personas dati tiks apstrādāti vairākiem savstarpēji
nesaistītiem personas datu apstrādes nolūkiem, piemēram, reģistrēšana elektroniskajā grāmatvedības
uzskaites sistēmā, grāmatvedības attaisnojuma dokumenta izsniegšana, pirkuma maksas vai tās daļas
atgriešana DEPO kartē, klienta identificēšana katru reizi, kad tas izmanto papildu pakalpojumus,
DEPO kartes piešķiršana, Apjoma Bonusa piešķiršana. Anketā iekļaujamie personas dati savukārt
jānorāda maksimālajā apmērā, kāds nepieciešams visu minēto nolūku sasniegšanai – vārds, uzvārds,
1
Eiropas Parlamenta un Padomes 2016. gada 27. aprīļa Regula Nr.2016/679 par fizisku personu aizsardzību attiecībā uz personas datu apstrādi un
šādu datu brīvu apriti un ar ko atceļ Direktīvu 95/46/EK (Vispārīgā datu aizsardzības regula)
2
personas kods, dzimšanas datums (nerezidentam), saimnieciskās darbības veicēja reģistrācijas
numurs, adrese un tālruņa numurs.
[2.2.] DEPO nepamatoti ir balstījis personas datu apstrādi, kas veikta, lai klients varētu saņemt
Papildu pakalpojumus, uz Datu regulas 6. panta 1. punkta “a” apakšpunktu.
Ņemot vērā to, ka klients, kurš nav devis savu piekrišanu DEPO kartes izsniegšanai, nevar
saņemt Papildu pakalpojumus, netiek nodrošināta atbilstība Datu regulas 4. panta 11. punktā
noteiktajai piekrišanas definīcijai. Proti, piekrišana nevar tikt uzskatīta par brīvi sniegtu, ja tās
nesniegšanas rezultātā pakalpojums vispār nevar tikt saņemts.
Lai arī DEPO atsevišķu pakalpojumu sniegšanai vai normatīvajos aktos noteikto pienākumu
izpildei varētu būt nepieciešams apstrādāt klientu personas datus, taču šādai apstrādei ir jābalstās uz
atbilstošu tiesisko pamatu. Piemēram, personas datu apstrāde, kas saistīta ar preču rēķina izsniegšanu,
balstās uz Datu regulas 6. panta 1. punkta “c” apakšpunktu un attiecīgās valsts normatīvo regulējumu.
Ņemot vērā to, ka šī apstrāde nav atkarīga no klienta gribas, to nevar veikt, balstoties uz Datu regulas
6. panta 1. punkta “a” apakšpunktā noteikto tiesisko pamatu.
[2.3.] DEPO nav nodrošinājis datu minimizācijas principa ievērošanu attiecībā uz personas
datu apstrādi Papildu pakalpojumu sniegšanas vajadzībām.
Neatkarīgi no tā, kāds ir izvēlētais tiesiskais pamats personas datu apstrādei, pārzinim jebkurā
gadījumā ir saistoši Datu regulas 5. pantā ietvertie pamatprincipi. Konkrētajā gadījumā, klientam
vēloties saņemt rēķinu par preču iegādi, ir jānorāda personas kods, kas nav nepieciešams konkrētā
pakalpojuma saņemšanai. Konstatēts, ka personas koda apstrāde nav nepieciešama arī citu
pakalpojumu saņemšanai, piemēram, preču piegādei uz mājām.
Tādējādi DEPO personas datus apstrādājis pārmērīgā apjomā, neievērojot datu minimizācijas
principu.
[2.3.] Lai arī DEPO laika gaitā ir vairākkārt mainījusi personas datu apstrādes nosacījumus,
tomēr faktiskās darbības, kas klientam obligāti ir jāizpilda, lai saņemtu Papildu pakalpojumus, nav
mainījušās. Proti, kā personas datu apstrādes tiesiskais pamats joprojām tiek izmantota Datu regulas
6. panta 1. punkta “a” apakšpunktā minētā datu subjekta piekrišana. Tāpat faktiski nav mainīts
apstrādājamo personas datu apjoms.
[2.3.1.] Attiecībā uz apstrādājamo personas datu apjomu, lai arī 2021. gada 10. jūnijā tika
apstiprināta jauna anketa DEPO kartes saņemšanai, kurā samazināts gan sniedzamo datu apjoms, gan
personas datu apstrādes nolūku apjoms, tomēr saskaņā ar DEPO privātuma politikas (redakcijā uz
2021. gada 5. augustu) personas datu apjoms norādīts iepriekšējais, kā arī paskaidrots, ka šie dati tiek
sniegti, aizpildot anketu DEPO kartes saņemšanai.
[2.3.2.] Attiecībā uz tiesisko pamatu personas datu apstrādei DEPO klienta kartes saņemšanai
DEPO privātuma politikā joprojām norādīts Datu regulas 6. panta 1. punkta “a” apakšpunkts.
Ņemot vērā to, ka gadījumā, ja klients vēlas saņemt Papildu pakalpojumu, tam ir “jāpiekrīt”
saņemt DEPO klienta karti, norādot visu anketā DEPO klienta kartes saņemšanai prasīto informāciju,
šādu piekrišanu joprojām nevar uzskatīt par brīvi sniegtu. Proti, klientam ir “jāpiekrīt” saņemt klienta
karti, jo pretējā gadījumā Papildu pakalpojums tam netiks sniegts.
Minētos secinājumus nemaina arī fakts, ka kopš 2021. gada 27. septembra kā tiesiskais pamats
DEPO kartes izsniegšanai tiek minēts līguma noslēgšana un izpilde, jo gadījumā, ja klients vēlas
saņemt jebkuru no Papildu pakalpojumiem, tam ir jāpieņem arī DEPO karte. Bez DEPO kartes
izsniegšanas Papildu pakalpojums nevar tikt saņemts.
[2.4.] DEPO nepamatoti ir norādījis, ka DEPO kartes izsniegšana primāri ir nepieciešama
precīzai klienta identificēšanai, piemēram, veicot piegādi. Tādējādi tiek pārkāpts no Datu regulas
5. panta 1. punkta “c” apakšpunkta izrietošais datu minimizēšanas princips, atbilstoši kuram personas
dati ir apstrādājami tikai tādā apjomā, kas nepieciešams nolūka sasniegšanai.
3
Ņemot vērā to, ka personas identifikāciju, piemēram, veicot piegādi, ir iespējams nodrošināt
arī, piemēram, lūdzot uzrādīt personu apliecinošu dokumentu, nav pamatota DEPO prasība katrā
gadījumā noformēt DEPO klienta karti. Minēto apliecina arī tas, ka, veicot pirkumu internetveikalā
un izvēloties Papildu pakalpojumu – preču piegāde - klientam DEPO karte nav jāsaņem.
Tāpat DEPO ir iespējams izpildīt arī citus tam likumā noteiktos pienākumus, piemēram,
izsniegtu attaisnojuma dokumentus, pamatojoties uz Datu regulas 6. panta 1. punkta “c” apakšpunktu,
kā priekšnosacījumu šo uzdevumu izpildei neizvirzot obligātu prasību klientam saņemt DEPO karti.
[2.5.] Lietā nav būtiskas nozīmes apstāklim, ka sūdzību par prettiesisku datu apstrādi ir
iesnieguši tikai divi datu subjekti.
Apstrīdētajā lēmumā norādīts, ka prettiesiskas datu apstrādes un datu subjekta pamattiesību
aizskāruma konstatēšanai faktiska kaitējuma pastāvēšana nav nepieciešama. Proti, nav izšķirošas
nozīmes tam, vai veiktā datu apstrāde ir radījusi jebkādas negatīvas sekas (reālu tiesību aizskārumu),
lai to atzītu par iejaukšanos pamattiesībās.
[2.6] Ņemot vērā minēto apstrīdētajā lēmumā konstatēts, ka DEPO Papildu pakalpojumu
sniegšanas ietvaros, veicot klientu (fizisku personu) personas datu (no 2020. gada 9. septembra līdz
2021. gada 10. jūnijam vārda, uzvārda, personas koda vai dzimšanas datuma, kontaktinformācijas
(telefona numurs, e-pasts) adreses; no 2021. gada 10. jūnija līdz šim brīdim vārda, uzvārda, e-pasta
un telefona numura (adrese – tikai Lietuvā un Igaunijā) apstrādi (iegūšanu un glabāšanu) ir pārkāpusi
Datu regulas 5. panta 1. punkta “a”, “b”, “c” apakšpunktā noteiktos personas datu apstrādes principus
un personas datu apstrādi veikusi un turpina veikt, balstoties uz neatbilstošu Datu regulas 6. panta
1. punktā noteikto tiesisko pamatu.
[3.] DEPO 2022. gada 27. maijā Datu valsts inspekcijā iesniedza sūdzību (turpmāk tekstā –
apstrīdēšanas iesniegums), lūdzot apstrīdēto lēmumu atcelt. Datu valsts inspekcija konstatē, ka
apstrīdēšanas iesniegums iesniegts Administratīvās atbildības likuma 168. panta pirmajā daļā
noteiktajā termiņā un tā izskatīšana ir pieļaujama.
[4.] Apstrīdēšanas iesniegumā norādīts, ka DEPO nav nodrošinātas Administratīvās atbildības
likumā paredzētās tiesības tikt uzklausītam. Lai arī DEPO atbilstoši Administratīvās atbildības likuma
137. panta pirmajai daļai ir lūdzis lietu izskatīt mutvārdu procesā, balstoties uz Covid-19 riskiem, šāds
lūgums ticis atteikts. Tāpat DEPO lūdz noteikt mutvārdu procesu arī apstrīdēšanas stadijā.
Datu valsts inspekcijas direktore nesaskata pārkāpumu tajā, ka lieta tikusi izskatīta rakstveida
procesā. Proti, Covid-19 infekcijas izplatības pārvaldības likuma 9. panta pirmā daļa tiešā tekstā
paredz amatpersonas tiesības izskatīt lietu rakstveida procesā, ja tā nav atzinusi par nepieciešamu lietu
izskatīt mutvārdu procesā.
Arī Administratīvās atbildības likuma 172. panta pirmā daļa noteic, ka augstāka amatpersona
sūdzību izskata rakstveida procesā. Vienlaikus ņemot vērā DEPO lūgumu un to, ka Covid-19
izplatības riski ir mazinājušies, Datu valsts inspekcijas direktore uzskatīja par iespējamu lietu izskatīt
mutvārdu procesā.
Sūdzība mutvārdu procesā tika izskatīta 2022. gada 27. jūnijā un DEPO paustie argumenti ir
izvērtēti, atspoguļoti turpmākajā lēmuma tekstā kontekstā ar apstrīdēšanas iesniegumā paustajiem
argumentiem, kā arī ņemti vērā, pieņemot lēmumu.
Lietas izskatīšanas gaitā DEPO sniedza papildu informāciju par DEPO klienta kartes būtību
un piešķiršanas aspektiem. Apstiprināja, ka personas dati faktiski tiek iegūti papildu pakalpojumu
sniegšanas vajadzībām, kā arī, lai izpildītu normatīvo aktu prasības. DEPO klientu kartes lietošanas
laikā iegūtie personas dati netiek apstrādāti mārketinga vajadzībām, kā arī, lai plānotu komercdarbību
vai gūtu kādu citu ekonomisku labumu. Tāpat DEPO atzina, ka personas datu apstrādē iespējams veikt
4
uzlabojumus, tiek izstrādāta jauna, izvērstāka privātuma politika. Ievērojot minēto, DEPO lūdz
administratīvā pārkāpuma lietu izbeigt.
[5] Apstrīdēšanas iesniegumā DEPO pauž viedokli, ka Datu valsts inspekcijas amatpersona,
veicot pārbaudi DEPO veikalā, nav ievērojusi procesuālos noteikumus attiecībā uz pārbaudes
veikšanu, līdz ar ko arī tās 2022. gada 28. janvārī sastādītais akts Nr. [..] nebija izmantojams apstrīdētā
lēmuma pamatošanai.
DEPO paustā argumentācija pamatā balstās apsvērumā, ka Fizisko personu datu apstrādes
likuma 15. pants nosaka pārbaužu veikšanas kārtību, tostarp paredzot pienākumu pirms datu apstrādes
vietas apmeklēšanas informēt pārzini par plānotā apmeklējuma mērķi, laiku un vietu, kā arī lūgt
nodrošināt pārziņa pilnvarotā pārstāvja klātbūtni. DEPO arī norāda, ka likumprojekta sākotnējā
redakcija paredzēja Datu valsts inspekcijas amatpersonu tiesības iekļūt telpās, veikt apskati un
piespiedu pārmeklēšanu bez sadarbības ar pārzini, taču šīs normas likumdevējs neakceptēja.
Pamatojoties uz minēto, apstrīdēšanas iesniegumā izdarīts secinājums, ka jebkurai pārbaudei jānotiek
sadarbībā ar datu pārzini.
Datu valsts inspekcijas direktore šādu tiesību normu interpretāciju uzskata par nepamatotu.
Fizisko personu datu apstrādes likuma 15. pantā ietvertās normas par pārbaudes veikšanu un pārziņa
informēšanu attiecas uz gadījumiem, kad pārbaude tiek veikta, Datu valsts inspekcijai izmantojot tai
normatīvajos aktos piešķirto administratīvo varu (piespiedu mehānismus), un pārziņa pienākumu
pakļauties Datu valsts inspekcijas rīkojumiem. Minētā norma attiecas uz iekļūšanu privātīpašumā, kā
arī piekļuvi sistēmām un dokumentiem, kam nav publiskas piekļuves. Vienlaikus Fizisko personu datu
apstrādes likuma 15. panta pirmajā daļā ir ietvertas Datu valsts inspekcijas tiesības iegūt informāciju,
izmantojot visas tiesiskās metodes. Par šādu metodi neapšaubāmi ir uzskatāma arī publisku vietu
apmeklēšana un tādu darbību veikšana, ko pēc būtības var veikt jebkura fiziska persona. Konkrētajā
gadījumā Datu valsts inspekcija informāciju ieguva, neizmantojot publisko varu, bet gan veicot un
fiksējot tādas darbības, kādas varētu veikt ikviena fiziska persona. Līdz ar to Fizisko personu datu
apstrādes likuma 15. pantā minētās prasības uz šādu informācijas ieguves veidu neattiecas.
Ja DEPO apgalvojumu uzskatītu par pamatotu, tas vispār liegtu Datu valsts inspekcijai veikt
jebkādas darbības bez sadarbības ar pārzini, piemēram, aplūkot tīmekļa vietnes, reģistrēties dažādās
platformās, lai pārbaudītu ievācamo datu apjomu, aplūkot fotogrāfijas, ko pārzinis izvietojis savā
sociālajā kontā, aplūkot publiski izvietotu kameru atrašanās vietas, lai noskaidrotu to leņķus, kā arī
veikt jebkādas citas darbības. Visos minētajos gadījumos Datu valsts inspekcijas amatpersona iegūst
informāciju, neizmantojot valsts varu, bet fiksējot savus novērojumus aktā, kā tas bija arī šajā
gadījumā.
[6] Apstrīdēšanas iesniegumā pausts viedoklis, ka Datu valsts inspekcija ir pārkāpusi
Administratīvās atbildības likuma 117. pantā noteikto par to, ka administratīvā pārkāpuma process
uzsākams saprātīgi un laicīgi. Minētais pamatots ar to, ka Datu valsts inspekcija administratīvā
pārkāpuma procesu neuzsāka uzreiz pēc pēdējās sūdzības saņemšanas 2021. gada 19. maijā, bet gan
administratīvā pārkāpuma lietas uzsākšanas vietā izvēlējās no 2021. gada 19. maija līdz 2022. gada
2. februārim veikt pārbaudi.
Datu valsts inspekcijas direktores ieskatā konkrētajā lietā ir ievērots gan tās izskatīšanas
saprātīgums, gan laicīgums, jo administratīvā pārkāpuma lieta tika uzsākta uzreiz pēc tam, kad Datu
valsts inspekcija bija ieguvusi visu nepieciešamo informāciju, kas ļāva pieņemt, ka varētu būt noticis
administratīvais pārkāpums.
Jānorāda, ka pārbaudes veikšana pirms administratīvā pārkāpuma lietas uzsākšanas ir arī
pārziņa interesēs, jo ne katra pārbaude rezultējas administratīvā pārkāpuma procesā. Datu valsts
inspekcijas pārbaudes rezultātā var tikt uzsākts administratīvais process, kas noslēdzas ar
5
administratīvo aktu, vai atbilstoši “konsultē vispirms” principam veikta pārziņa informēšana par tā
veiktās datu apstrādes atbilstības Datu regulai nodrošināšanu, vai vispār netikt veiktas nekādas
turpmākas darbības. Ja pēc katras saņemtās sūdzības Datu valsts inspekcijai būtu jāuzsāk
administratīvā pārkāpuma process, tas nepamatoti apgrūtinātu pārziņus, iesaistot tos nevajadzīgos
administratīvā pārkāpuma procesos, jo ne tuvu katra datu subjekta sūdzība ir pamatota un liecina par
administratīvo pārkāpumu.
Kā savā lēmumā norādījis Augstākās tiesas Senāta Administratīvo lietu departaments, Datu
regulas noteikumi paredz Inspekcijai tiesības, reaģējot uz personas datu apstrādes pārkāpumiem,
pieņemt kādu no noteikumos ietvertajiem lēmumiem, vienlaicīgi atstājot uzraudzības iestādei
novērtējuma brīvību attiecībā uz lēmuma veidu. Saņemot sūdzību par iespējamu personas datu
apstrādes pārkāpumu, inspekcija sākotnēji veic saņemto ziņu pārbaudi, tostarp, pieprasa informāciju
no datu pārziņa un/vai apstrādātāja, lai konstatētu, vai personas datu apstrāde datu subjekta minētajā
gadījumā vispār ir notikusi. Iesnieguma iesniegšana par iespējamu pārkāpumu personas datu apstrādes
procesā vēl nenozīmē, ka iesniegumā norādīto ziņu pārbaude rezultēsies ar pārkāpuma konstatēšanu,
administratīvā akta izdošanu un korektīva līdzekļa piemērošanu vai administratīvā soda uzlikšanu.
Datu valsts inspekcija administratīvo procesu vai administratīvā pārkāpuma procesu pret datu
pārzini uzsāk tikai tad, kad tai kļūst zināmi fakti. Šādus faktus inspekcija iegūst, veicot pārbaudi un
iegūstot nepieciešamo informāciju, kas savukārt dod pamatu uzsākt administratīvā pārkāpuma
procesu.
Lēmumu par atbilstošāko līdzekli (lēmumu par lietas ierosināšanu) var pieņemt tikai tad, kad
ievāktas pietiekamas ziņas, lai izvērtētu, vai personas datu apstrādes pārkāpums vispār ir noticis, un
šī pārkāpuma raksturu. Tātad lēmuma pieņemšanas termiņš ir skaitāms nevis no iesniedzēja sūdzības
iesniegšanas brīža, bet gan no personas datu apstrādes pārkāpuma atklāšanas brīža, proti, kad ir
pabeigta attiecīgā pārbaude un apstākļu noskaidrošana un tiek konstatēts, ka persona tiešām ir
izdarījusi personas datu apstrādes pārkāpumu2.
Ievērojot minēto, Datu valsts inspekcijas direktore uzskata, ka lieta ir izskatīta savlaicīgi un
rūpīgi noskaidrojot visus lietas apstākļus.
[7] DEPO apstrīdēšanas iesniegumā norāda, ka tās apstrādātais datu apjoms un tiesiskais
pamats ir bijis atšķirīgs laika periodā no 2020. gada 9. septembra līdz 2021. gada 10. jūnijam un no
2021. gada 10. jūnija līdz 2022. gada 10. maijam, kas atzīts arī apstrīdētajā lēmumā. Vienlaikus
apstrīdētajā lēmumā nav analizēts, kā šis atšķirīgais datu apstrādes apjoms un tiesiskais pamats ir
vērtējams kopsakarā ar Administratīvās atbildības likuma 26. pantā noteikto, ka ilgstošs
administratīvais pārkāpums ir nepārtraukta viena administratīvā pārkāpuma realizēšana, kas saistīta
ar tai sekojošu ilgstošu likumā noteikto pienākumu neizpildīšanu.
[7.1.] Datu valsts inspekcijas direktore nevar piekrist apgalvojumam, ka DEPO veiktā
personas datu apstrāde minētajos periodos nav vērtēta to kopsakarā un nav sniegts vērtējums par to,
kādēļ šī apstrāde ir uzskatāma par vienu ilgstošu administratīvo pārkāpumu. Gluži otrādi, apstrīdētā
lēmuma 5.7.3. apakšpunktā ir izsmeļoši aprakstīts, kāpēc faktiskie nosacījumi attiecībā uz personas
datu apstrādi Papildu pakalpojumu saņemšanai nav mainījušies. Proti, lai saņemtu Papildu
pakalpojumu, klientam joprojām tiek izvirzīts obligāts nosacījums – DEPO kartes noformēšana, kuras
saņemšanai klientam jāaizpilda anketa, jāiesniedz anketā pieprasītie personas dati un jāpiekrīt savu
personas datu apstrādei anketā norādītajiem mērķiem. Ja klients vēlas saņemt, piemēram, papildu
pakalpojumu – preču piegāde – klientam joprojām ir jāaizpilda vienošanās par DEPO kartes
2
Augstākās tiesas Senāta Administratīvo lietu departamenta 2020. gada 28. aprīļa lēmums lietā Nr. A420230820
6
piešķiršanu, jāiesniedz savi personas dati un atbilstoši vienošanās par DEPO kartes piešķiršanu
1.1. apakšpunktam jāpieņem DEPO karte.
Datu valsts inspekcijas direktore papildus paskaidro, ka konstatētā administratīvā pārkāpuma
būtība ir tajā, ka klients, kas vēlas saņemt vienu no DEPO piedāvātajiem pakalpojumiem, ir spiests
piekrist personas datu apstrādei arī citiem personas datu apstrādes nolūkiem, kam ir norādīti atšķirīgi
tiesiskie pamati un personas datu glabāšanas termiņi. Piemēram, ja klients vēlas saņemt preču
piegādes pakalpojumu, tad, lai saņemtu šo pakalpojumu viņam neapšaubāmi ir jāiesniedz un DEPO
ir jāapstrādā šī klienta personas dati, piemēram, piegādes adrese. Atbilstoši DEPO privātuma politikai
tiesiskais pamats šādai personas datu apstrādei ir līguma noslēgšana un izpilde, savukārt termiņš - 2
nedēļas pēc attiecīgā piedāvājuma izveidošanas datuma vai 1 mēnesis, ja pēc klienta pieprasījuma tiek
pagarināts piedāvājuma apmaksas termiņš. Tādējādi klients pamatoti var sagaidīt, ka 2 nedēļas pēc
attiecīgās piegādes pieteikšanas DEPO viņa personas datus dzēsīs. Vienlaikus DEPO šo pakalpojumu
atsakās sniegt, kamēr vien klients nav piekritis saņemt arī citus DEPO piedāvātos pakalpojumus un
noslēdzis vienošanos vai piekritis personas datu apstrādei arī šiem citiem, pilnīgi nesaistītajiem
nolūkiem. Proti, personai ir jāpiekrīt saņemt pakalpojumu – DEPO kartes piešķiršana – un, lai
piegādes pakalpojums tiktu sniegts, jāpiekrīt vai jānoslēdz vienošanās arī par viņa datu apstrādi kartes
piešķiršanas un ar to saistīto pakalpojumu saņemšanai. Atbilstoši DEPO privātuma politikai šādi
personas dati tiek glabāti visu līguma spēkā esamības laiku un vēl 10 gadus pēc tās izbeigšanās.
Nav tiesiskas nozīmes tam, kādu tiesisko pamatu personas datu apstrādei – piekrišana vai
līguma slēgšana – nolūkā piešķirt DEPO karti ir norādījis DEPO, jo klients jebkurā gadījumā ir spiests
“piekrist” savu datu apstrādei nolūkā piešķirt DEPO karti pat tad, ja tas vēlas saņemt citu, pavisam
nesaistītu pakalpojumu un patiesībā DEPO karti saņemt un tās priekšrocības izmantot nevēlas. Šis
apstāklis DEPO veikto datu apstrādes izmaiņu rezultātā nav mainījies, līdz ar ko DEPO izdarītais
administratīvais pārkāpums arī ir uzskatāms par ilgstošu.
[7.2.] Datu valsts inspekcijas direktore lietas izskatīšanas gaitā guva pārliecību par to, ka, lai
arī no 2021. gada 10. jūnija ir pieteikumā DEPO kartes saņemšanai norādāmais personas datu apjoms
ir samazināts, faktiski tas joprojām tiek apstrādāts. Tā, piemēram, ja persona vēlas saņemt
pakalpojumu, kura sniegšanai ir nepieciešams zināt klienta adresi (piemēram, preču piegādes
pakalpojums), šai personai ir jāiesniedz papildu iesniegums, lūdzot pievienot papildu lauku debitora
kontam (nolūks – DEPO kartes piešķiršana), un personas dati tiek glabāti nevis tik ilgi, cik
nepieciešams papildu pakalpojuma sniegšanas nolūkam, bet gan tiek piemērots personas datu
glabāšanas termiņš, kas noteikts saistībā ar nolūku – DEPO kartes piešķiršana. Proti, joprojām tiek
sasaistīta un apvienota personas datu apstrāde vairākiem dažādiem nolūkiem, nenodalot konkrētos
nolūkus. Arī DEPO mutvārdu paskaidrojumos atzina, ka nolūks – DEPO kartes piešķiršana – faktiski
sevī apvieno personas datu kopumu, kas nepieciešama visu papildus pakalpojumu saņemšanai.
[7.3.] Vienlaikus jāņem vērā apstāklis, ka šobrīd klientu kartes piešķiršanas nolūkā sākotnējais
apstrādājamo personas datu apjoms ir tāds, kas nepieciešams visu pakalpojumu sniegšanai – vārds,
uzvārds un kontaktinformācija. Ir ieviests risinājums, ka papildu personas dati tiek pievienoti tikai tajā
brīdī, kad tiek pieprasīts pakalpojums, kura sniegšanai šie personas dati nepieciešami. Lai arī datu
apstrāde, kas nepieciešama vienam nolūkam, joprojām tiek attiecināta arī uz citiem nesaistītiem
nolūkiem, šis apstāklis tiks vērtēts pie soda noteikšanas.
[8] Apstrīdēšanas iesnieguma 24.-29. punktā tiek sniegti argumenti par to, ka Datu valsts
inspekcija nepareizi ir novērtējusi saņemto datu subjektu sūdzību saturu.
Datu valsts inspekcijas direktores ieskatā šiem apsvērumiem par sūdzību satura niansēm nav
nozīmes lietā, jo DEPO kļūdaini pieņem, ka lietas būtība ir balstīta uz šīm sūdzībām. Pat, ja pārbaude
tiek uzsākta tādēļ, ka ziņas par iespējamo administratīvo pārkāpumu ir sniedzis datu subjekts, Datu
valsts inspekcijai nav jāaprobežojas ar sūdzībā norādīto. Proti, saņemot jebkuru informāciju, kas liek
7
domāt, ka notiek vai varētu būt noticis administratīvais pārkāpums, Datu valsts inspekcijai ir
pienākums rūpīgi pārbaudīt visus lietas apstākļus. Datu subjekta iesniegums ir impulss, kas var būt
pamats administratīvo pārkāpumu lietas vai kādas citas pārbaudes uzsākšanai. Pats datu subjekts
tālākajā – uz viņa sūdzības pamata uzsāktajā – procesā, ja tāds tiek uzsākts, pēc būtības netiek
iesaistīts. Uz datu subjekta pamata uzsāktais process nerada tiesiskas sekas pašam datu subjektam, bet
gan personai vai institūcijai, uz kuras iespējamo pārkāpumu sūdzībā tiek norādīts.
Konkrētajā gadījumā Datu valsts inspekcija ir izanalizējusi visus lietas apstākļus un nonākusi
pie secinājuma, kādā tieši veidā administratīvais pārkāpums ir izdarīts. Šis pārkāpums ir skaidri
formulēts apstrīdētajā lēmumā.
Piemēram, balstoties uz [..] sūdzību tika secināts, ka gadījumā, ja klients vēlas saņemt rēķinu
par preci, kura izrakstīšanai personas kods nav nepieciešams, saskaņā ar DEPO ieviestajiem
nosacījumiem šo rēķinu tomēr nevar saņemt tikai tāpēc, ka klients nevēlas piekrist personas datu
apstrādei citam nolūkam – DEPO kartes saņemšanai – kuras ietvaros tiek prasīts personas kods.
Tādējādi klienti ir spiesti piekrist personas datu apstrādei plašākā apjomā, nekā tas ir nepieciešams
konkrēta pakalpojuma saņemšanai.
[..] un [..] sūdzības izskatīšanas rezultātā tika konstatēts, ka DEPO, izsniedzot klienta karti,
iegūst visplašāko iespējamo personas datu apjomu, kas varētu būt nepieciešams ikkatra nolūka
sasniegšanai un pēc tam šos datus apstrādā nolūkiem, kam tas nemaz nav nepieciešams. Piemēram, ja
klients vēlas piekrist tikai konkrētam personas datu apstrādes nolūkam – personas datu apstrādei, lai
saņemtu apjoma atlaides, tad nav pamatoti personai prasīt personas kodu, kas konkrētā personas datu
apstrādes nolūka sasniegšanai nemaz nav nepieciešams.
Ievērojot minēto, Datu valsts inspekcijas Direktore konstatē, ka apstrīdētajā lēmumā, tostarp,
bet ne tikai, balstoties uz datu subjekta sūdzībām, ir pareizi konstatēti lietas apstākļi un kvalificēts
administratīvais pārkāpums.
Vienlaikus DEPO mutvārdu paskaidrojumos norādītais, ka tās darbības laikā Latvijā nav
saņemta neviena Latvijas iedzīvotāja sūdzība par personas datu apstrādi, tiks ņemts vērā, nosakot
sodu.
[9.] Attiecībā uz turpmākajiem apstrīdēšanas iesniegumā paustajiem apsvērumiem, kas
attiecas uz konstatēto administratīvo pārkāpumu pēc būtības, Datu valsts inspekcijas direktore norāda,
ka neizskatīs tos tādā secībā, kā tie pausti apstrīdēšanas iesniegumā, bet, lai pēc iespējas precīzi
atspoguļotu administratīvā pārkāpuma būtību un tā elementus, centīsies tos grupēt atbilstoši to būtībai.
[10.] Visupirms ir nepieciešams uzsvērt, ka DEPO klienta kartes izsniegšana un tā rezultātā
apstrādātie personas dati ir patstāvīgs personas datu apstrādes nolūks, kam nepieciešams atsevišķs
tiesiskais pamats. Arī DEPO privātuma politikā datu apstrādes nolūks – DEPO kartes piešķiršana –
vienmēr ir bijis un vēl joprojām ir nodalīts no citiem personas datu apstrādes nolūkiem, tostarp, nolūka
– DEPO papildu pakalpojumu sniegšana. Šiem dažādajiem nolūkiem ir noteikts arī dažāds personas
datu apstrādes tiesiskais pamats un glabāšanas ilgums3.
DEPO kartes piešķiršanas noteikumu 1. punktā ir norādīts, ka klienta karte dod iespēju
klientam iepirkties izdevīgāk. Arī DEPO mājaslapā norādīts - Ar veikala-noliktavas DEPO klienta
karti ir vēl izdevīgāk. Iespēja saņemt arī Apjoma Bonusu.
Pēc būtības, reģistrējoties kā DEPO klientam un saņemot DEPO karti, klientam tiek piešķirti
papildu labumi. Proti, klienta kartes nolūks ir sniegt priekšrocības klientiem.
Papildu labumi ir tikai DEPO klientiem piešķirtas priekšrocības, ko persona var saņemt
pakalpojuma ietvaros. Ja persona, piemēram, vēlas saņemt apjoma bonusu vai piedāvājumus
3
https://depo.lv/privatuma-politika/ [aplūkota 06.06.2022]
8
noteiktiem preču daudzumiem, veicot priekšapmaksu, tā piekrīt vai noslēdz vienošanos par savu
personas datu apstrādi nolūkā saņemt DEPO karti. Šādā gadījumā sistēmā par personu tiek ievadīti
noteikta veida personas dati, kas nepieciešami, lai sniegtu tai papildu priekšrocības un atbilstoši DEPO
privātuma politikai šie dati tiek glabāti 10 gadus pēc piekrišanas atsaukšanas vai vienošanās
izbeigšanās.
Ņemot vērā to, ka apstrīdētajā lēmumā nav analizēts jautājums par to, vai datu apstrādes
termiņš nolūka – papildu labumu saņemšana – sasniegšanai ir samērīgs, arī šajā lēmumā Datu valsts
inspekcijas direktore šim jautājumam nepievērsīsies, vien vispārīgi atzīmējot, ka DEPO kartes
piešķiršana nolūkā klientam noteikt priekšrocības vai labumus ir leģitīms nolūks un personas datu
apstrādei ir tiesisks pamats, kas apstrīdētajā lēmumā nav apšaubīts.
Šāda tiesiskuma viena no galvenajām pazīmēm turklāt ir tāda, ka klientam, kas nevēlas saņemt
DEPO karti un nevēlas, lai DEPO apstrādātu viņa personas datus, joprojām pastāv iespēja pirkt preces
un saņemt pakalpojumus, tikai šo preču iegādei un pakalpojumu saņemšanai pastāv citādāki
nosacījumi. Personas datu apstrādes nolūkā izsniegt DEPO karti papildu labumu piešķiršanai
tiesiskais pamats varētu būt gan personas piekrišana, gan vienošanās, ja papildu labumus nav
iespējams saņemt bez noteikta veida personas datu apstrādes.
Apsveicama ir arī DEPO ieviestā politika, ļaujot personām, kas vēlas saņemt tikai atlaides,
izgatavot DEPO kartes, nenorādot personas datus.
[11.] Tālāk ir jāpievēršas jautājumam par to, kāpēc papildu pakalpojumu saņemšanai kā
tiesiskais pamats nevar tikt izmantota personas piekrišana un kāpēc šajā daļā DEPO veiktā personas
datu apstrāde ir atzīstama par prettiesisku.
Datu regulas 6. panta 1. punkta “a” apakšpunktā noteiktā tiesiskā pamata – personas piekrišana
– tiesiskie aspekti ir detalizēti analizēti apstrīdētajā lēmumā, līdz ar ko Datu valsts inspekcijas
direktore šajā lēmumā tos padziļināti vairs neapskatīs.
Viens no galvenajiem piekrišanas kā datu apstrādes tiesiskā pamata aspektiem ir tas, ka
piekrišana var būt pienācīgs tiesiskais pamats tikai tad, ja datu subjektam tiek piedāvātas patiesas
izvēles iespējas pieņemt vai noraidīt piedāvājumu, dot savu piekrišanu bez kaitīgām sekām datu
subjektam, kurš noraidījis piekrišanas došanu. Ja piekrišanas sekas mazina indivīda izvēles brīvību,
tad piekrišana nav sniegta labprātīgi.
Par šādām kaitīgām sekām nenoliedzami ir uzskatāms arī tas, ka persona nevarētu saņemt
pakalpojumu, ja nepiekristu savu personas datu apstrādei. Līdz ar to nepamatota ir DEPO
apstrīdēšanas iesniegumā ietvertā norāde uz to, ka DEPO vispār var atteikties sniegt noteikta veida
pakalpojumus, kamēr persona nesniedz tādus savus personas datus, kuri nav nepieciešami konkrētā
pakalpojuma izpildei, jo šādā gadījumā persona varot izvēlēties citu pakalpojuma sniedzēju.
Eiropas datu aizsardzības kolēģijas pamatnostādnēs par piekrišanu4 ir nepārprotami norādīts,
ka piekrišanu nevar uzskatīt par brīvi sniegtu, ja pārzinis apgalvo, ka ir nodrošināta izvēle starp tā
sniegtiem pakalpojumiem, kas ietver piekrišanu personas datu izmantošanai papildu nolūkiem, no
vienas puses, un līdzvērtīgu pakalpojumu, ko piedāvā cits pārzinis, no otras puses. Šādā gadījumā
izvēles brīvība būtu atkarīga no tā, ko dara citi tirgus dalībnieki, un vai atsevišķs datu subjekts
uzskatītu, ka cita pārziņa sniegtie pakalpojumi patiešām ir līdzvērtīgi. Turklāt tas nozīmē, ka
pārziņiem ir pienākums uzraudzīt tirgus attīstību, lai nodrošinātu piekrišanas to datu apstrādes
darbībām nepārtrauktu spēkā esību, jo konkurents savus pakalpojumus var vēlāk mainīt. Tādējādi šāda
argumenta izmantošana nozīmē, ka piekrišana, kuras pamatā ir trešās personas piedāvātā alternatīva,
4
Eiropas datu aizsardzības kolēģijas 2020. gada 4. maija pamatnostādnes Nr. 05/2020 par piekrišanu saskaņā ar Regulu
2016/679
9
neatbilst Datu regulai, kas nozīmē, ka pakalpojumu sniedzējs nevar liegt datu subjektiem piekļuvi
pakalpojumam, pamatojoties uz to, ka viņi tam nepiekrīt.
Tādējādi, kā konstatēts arī apstrīdētajā lēmumā, DEPO var būt nepieciešams saņemt no
klientiem personas datus, tostarp, personas kodu, lai nodrošinātu atsevišķu pakalpojumu sniegšanu
vai izpildītu normatīvajos aktos noteiktās prasības, taču DEPO šādu personas datu apstrādi (iegūšanu
un glabāšanu) nav tiesīga veikt, balstoties uz Datu regulas 6. panta 1. punkta “a” apakšpunktā noteikto
tiesisko pamatu.
Vienlaikus šāda personas datu apstrāde var tikt veikta, baltoties uz citu tiesisko pamatu,
piemērām, Datu regulas 6. panta 1. punkta “b” apakšpunktu – apstrāde ir vajadzīga līguma izpildei.
No DEPO mutvārdos sniegtajiem paskaidrojumiem arī izriet, ka faktiski personas dati tiek
apstrādāti DEPO leģitīmajās interesēs, lai nodrošinātu tiesisku darījumu procesu, tostarp izvairoties
no iespējamu prettiesisku darījumu veikšanas; lai nodrošinātu pakalpojuma izpildi, jo bez
attiecīgajiem personas datiem pakalpojums nevar tikt nodrošināts; lai izpildītu normatīvo aktu
prasības, kas uzliek par pienākumu DEPO apstrādāt un glabāt konkrētus personas datus noteiktu laika
periodu. DEPO piekrišanu kā tiesisko pamatu izmanto, jo kļūdaini uzskata, ka piekrišana pēc būtības
veic to pašu funkciju, ko personas informēšana.
[11.1.] No apstrīdēšanas iesnieguma ir acīmredzams, ka DEPO nav izpratis gadījumus, kuros
var piemērot Datu regulas 6. panta 1. punkta “a” apakšpunktā minēto tiesisko pamatu personas datu
apstrādei – personas piekrišana. Apstrīdēšanas iesniegumā, piemēram, ir minēts, ka DEPO ir pamats
saņemt noteiktus datus, kuri ir nepieciešami šo pakalpojumu sniegšanai. Turklāt DEPO kā datu
pārzinis kā galveno pamatu šo datu saņemšanai ir izvēlējies klienta piekrišanu.
Šajā apgalvojumā saskatāmas savstarpējas pretrunas, jo gadījumā, ja pakalpojums vispār nevar
tikt sniegts, neapstrādājot personas datus, tad personas piekrišana, kā jau minēts šā lēmuma
11. punktā, nevar būt atbilstošs tiesiskais pamats personas datu apstrādei. Proti, atbilstoši Datu regulas
4. panta 11. punktam datu subjekta piekrišanai ir jābūt sniegtai brīvi. Saskaņā ar Datu regulas 7. panta
4. punktu brīvi sniegta piekrišana nozīmē to, ka pakalpojuma sniegšana vai nesniegšana nedrīkst būt
atkarīga no šādas piekrišanas. Piemēram, ja preču piegādes pakalpojuma sniegšanai ir nepieciešams
apstrādāt klienta piegādes adresi un šis pakalpojums bez šo datu apstrādes nevar tikt sniegts, personas
datu apstrādei jātiek pamatotai ar Datu regulas 6. panta 1. punkta “b” apakšpunktu – personas datu
apstrāde nepieciešama līguma izpildei. Tāpat arī termiņam šo personas datu glabāšanai jābūt
noteiktam, vērtējot nolūku, kādam šie dati tiek apstrādāti. DEPO privātuma politikā šāds datu
apstrādes nolūks ir minēts un noteikts termiņš personas datu, kas iegūti konkrētajam nolūkam,
glabāšanai –2 nedēļas pēc attiecīgā piedāvājuma izveidošanas datuma vai 1 mēnesis, ja pēc klienta
pieprasījuma tiek pagarināts piedāvājuma apmaksas termiņš. Savukārt praksē situācija ir tāda, ka,
personai pieprasot sniegt konkrēto pakalpojumu, tā sniegšana tiek atteikta, ja vien persona nepiekrīt
savu personas datu apstrādei nesaistītam nolūkam – DEPO kartes izsniegšanai un priekšrocību
saņemšanai. Tātad personai ir jāsniedz visi savi personas dati, tostarp tādi, kas nav nepieciešami preču
piegādes pakalpojuma saņemšanai, nolūkā saņemt DEPO karti un pēc tam šos personas datus, ko
klients sniedzis nolūkā saņemt DEPO karti, DEPO izmanto cita nesaistīta pakalpojuma
nodrošināšanai, proti, citam personas datu apstrādes nolūkam.
Ievērojot minēto, Datu valsts inspekcijas direktore piekrīt apstrīdēšanas iesniegumā paustajam
apgalvojumam, ka DEPO nav un nevar pastāvēt tiesisks pienākums izpildīt noteiktus individuālus
pakalpojumus personām, kuras DEPO nevar identificēt, pie nosacījuma, ka šie pakalpojumi bez
personas datu apstrādes nevar tikt nodrošināti, kā arī personai netiek liegts pakalpojums tikai tāpēc,
ka tā nav piekritusi savai personas datu apstrādei citiem nolūkiem.
[11.2.] Apstrīdēšanas iesniegumā īpaši izcelts, ka, parakstot anketu DEPO kartes saņemšanai,
persona piekrīt personas datu apstrādei citastarp tādiem mērķiem kā norādīt personas datus
grāmatvedības attaisnojuma dokumentos, atgriezt personai pirkuma maksu vai tās daļu DEPO kartē
10
u.c. Jāatkārto, ka tāda personas datu apstrāde, kura izriet no pārzinim likumā noteiktā pienākuma nevar
tikt pamatota ar personas piekrišanu, jo personas datu apstrāde ir obligāta, lai sniegtu noteikto
pakalpojumu. Ja persona nepiekrīt savu personas datu apstrādei, šis pakalpojums vispār nevar tikt
sniegts, līdz ar ko piekrišana nav uzskatāma par brīvi sniegtu 7. panta 4. punkta izpratnē.
Pēc būtības pārzinis veikto personas datu apstrādi dažādiem nolūkiem ir pamatojis ar vienu
tiesisko pamatu – piekrišana, kas neatbilst faktiskajiem personas datu apstrādes apstākļiem. Pārziņa
pienākums ir identificēt visas veiktās personas datu apstrādes darbības, grupēt šīs datu apstrādes
darbības atbilstoši nolūkam un identificēt tiesisko pamatu, kas ir atbilstošs noteiktajam nolūkam. Par
šādu tiesisko pamatu var kalpot Datu regulas 6.panta 1.punkta “b”, “c”, “f” apakšpunkts. Visbeidzot
atbilstoši noteiktajam nolūkam un tiesiskajam pamatam, nosakāms apstrādājamo personas datu
apjoms, glabāšanas termiņš un citi personas datu apstrādes nosacījumi.
[12.] Balstoties uz šā lēmuma 10.-11. punktā minētajiem apsvērumiem, secināms, ka tajos
gadījumos, kad klients vēlas saņemt papildu pakalpojumu, prettiesiska ir DEPO rīcība prasīt aizpildīt
anketu DEPO klienta kartes saņemšanai un piekrist vai noslēgt vienošanos par personas datu apstrādi,
kas nav saistīta ar konkrētā pakalpojuma saņemšanu. Šāda veida rīcība rezultējas tajā, ka, pirmkārt,
klienta piekrišana personas datu apstrādei nolūkā saņemt DEPO klienta karti vairs nav uzskatāma par
brīvi sniegtu, jo personai nav izvēles tiesību atteikties no personas datu apstrādes, ja tā vēlas saņemt
pakalpojumu. Otrkārt, personas dati tiek apstrādāti pārmērīgā apjomā, jo anketā klienta kartes
saņemšanai tiek pieprasīts sniegt personas datus plašākā apjomā, nekā tas vajadzīgs konkrētā
pakalpojuma saņemšanai.
Vienlaikus Datu valsts inspekcijas direktore, pamatojoties uz DEPO sniegtajiem mutvārdu
paskaidrojumiem, ņem vērā, ka šobrīd personas dati tiek apstrādāti tikai tādā apmērā, kas
nepieciešams konkrētā pakalpojuma saņemšanai, piemēram, piegādes adrese debitora kontam tiek
pievienota tikai tajā gadījumā, kad tā ir nepieciešama konkrētā pakalpojuma izpildei. Vienlaikus pēc
tam, kad šie dati tiek iegūti, tie tiek apstrādāti arī citos nolūkos un citu pakalpojumu sniegšanai, kurus
persona personas datu iegūšanas brīdī nav pieprasījusi.
[12.1.] Apstrīdēšanas iesniegumā norādīts, ka Datu valsts inspekcijas amatpersona nav
izpratusi DEPO sadarbības modeli ar pircējiem un tādējādi cenšas radīt maldīgu iespaidu, ka DEPO
uzspiež pircējiem pienākumu saņemt DEPO klienta karti bez jebkāda faktiska pamata. Kā
pamatojumu šādam argumentam DEPO norāda to, ka tikai pircējiem, kas vēlas saņemt papildu
labumus – apjoma bonusus vai papildu pakalpojumus, piemēram, individuālās mājas būvniecībai, vai
rēķinu ar rekvizītiem, vai preču piegādi, ir jāizņem personalizēta klienta karte, jo DEPO šādus
pakalpojumus sniedz tikai tad, ja ir iespējams identificēt to saņēmēju. Turklāt atbilstoši DEPO
mutiskajos paskaidrojumos norādītajam, klienti bieži vien paši vēlās pēc tam iegūt no DEPO
personalizētu informāciju par pakalpojumiem, ko viņi ir izmantojuši un apmaksājuši, lai iesniegtu
dokumentus Valsts ieņēmumu dienestā vai izmantotu tiesvedībā kā pierādījumus mantas izcelsmei.
Ņemot vērā, ka klientu skaits veikalos ir ļoti liels, DEPO kartes iegūšana ir ērtākais veids klientiem
iegūt uzreiz pakalpojumu, kur pircējs ir identificējams.
Datu valsts inspekcijas direktore visupirms atzīmē, ka ir būtiski nošķirt šos divus jēdzienus –
papildu labumi un papildu pakalpojumi. Kā jau minēts šā lēmuma 10. punktā papildu labumi ir
papildu priekšrocības klientam, kas neietekmē pakalpojuma saņemšanu kā tādu. Papildu pakalpojumu
sniegšana savukārt ir nodalāma no priekšrocībām pakalpojumu saņemšanā. Proti, ja persona iniciē
kāda pakalpojuma saņemšanu un šī pakalpojuma sniegšanai ir nepieciešams apstrādāt personas datus,
tad tiesiskais pamats šādai personas datu apstrādei ir Datu regulas 6. panta 1. punkta “b” apakšpunkts.
Piemēram, ja persona vēlas saņemt preču piegādi uz mājām, tad šis pakalpojums nevar tikt izpildīts,
neapstrādājot datus par piegādes adresi. Arī apstrīdētajā lēmumā ir pareizi minēts, ka noteiktu
11
pakalpojumu sniegšanai DEPO var būt nepieciešams apstrādāt noteikta veida personas datus. Kā jau
norādīts iepriekš, datu apstrādes pārkāpums izpaužas tādējādi, ka DEPO vispār nesniedz
pakalpojumus saviem klientiem, kamēr tie nav piekrituši vai slēguši vienošanos par savu personas
datu apstrādi pavisam citam nolūkam – DEPO kartes piešķiršanai, priekšrocību saņemšanai un līdz ar
to tādu personas datu apstrādei, kas nav nepieciešami konkrētā, pieprasītā pakalpojuma saņemšanai.
Ievērojot minēto, piekrišana personas datu apstrādei nolūkā saņemt DEPO karti nav uzskatāma
par brīvi sniegtu un tādējādi arī tiesisku.
[12.2.] Ir būtiski nošķirt piekrišanu pakalpojuma saņemšanai un piekrišanu personas datu
apstrādei, kas nav viens un tas pats. Tas vien, ka persona ir iniciējusi kāda pakalpojuma saņemšanu,
nenozīmē, ka personas datu apstrādes tiesiskais pamats automātiski būs personas piekrišana.
Piemēram, gadījumos, kad persona lūdz tai izrakstīt rēķinu, pārzinim saskaņā ar tiesību normām ir
noteikts pienākums apstrādāt personas datus. Šajā gadījumā personas datu apstrādes tiesiskais pamats
ir Datu regulas 6. panta 1. punkta “c” apakšpunktā minētais juridiskais pienākums, neatkarīgi no tā,
ka rēķinu ir pieprasījis datu subjekts. Vienlaikus pārzinis nevar padarīt pakalpojuma sniegšanu
atkarīgu no tā, vai klients piekrīt vai nepiekrīt sniegt vairāk personas datu, nekā nepieciešams konkrētā
pakalpojuma izpildei. Ja, piemēram, persona vēlas saņemt tādu pakalpojumu kā aizkaru šūšana, tad ir
nepamatoti prasīt personai piekrist savas adreses apstrādei, jo šie dati nav nepieciešami pakalpojuma
izpildei un rēķina izrakstīšanai. Tas vien, ka personas adrese var būt nepieciešama kāda cita DEPO
piedāvātā pakalpojuma saņemšanai, nenozīmē, ka personai šie dati ir jāsniedz cita pakalpojuma
ietvaros, jo šī persona nemaz nevēlas saņemt tādus pakalpojumus, kuru izpildei ir nepieciešams
apstrādāt adresi.
Ievērojot minēto, DEPO apstrādā personas datus plašākā apmērā, nekā tas nepieciešams
nolūka sasniegšanai, tādējādi pārkāpjot datu minimizēšanas principu.
[12.3.] DEPO norāda, ka tās privātuma politikā ir norādītas vairākas DEPO likumiskās
intereses un uzskaitīti mērķi, kādiem notiek personas datu apstrāde. Kā jau minēts, lietas apstākļi nav
par to, ka DEPO nepareizi būtu identificējis personas datu apstrādes nolūkus privātuma politikā, bet
gan par to, ka persona, lai saņemtu pakalpojumu, kura sniegšanas nolūkos konkrēta veida personas
dati nav nepieciešami, ir spiesta sniegt vairāk personas datus nolūkiem, kas nav attiecināmi uz
pieprasīto pakalpojumu.
[13.] Visbeidzot jāsecina, ka tā rezultātā, ka DEPO ir apvienojusi personas datu apstrādi
dažādos, savstarpēji nodalāmos un nesaistītos nolūkos, vienā anketā, kuru aizpildot personai ir
jāsniedz savi personas dati visu nolūku sasniegšanai, DEPO ir pārkāpusi datu minimizēšanas
principus.
Lai arī DEPO privātuma politikā ir atdalīti dažādi datu apstrādes nolūki, pats DEPO ir
norādījis, ka anketas DEPO kartes saņemšanai (identificētam klientam) / fiziskai personai
aizpildīšanai un Vienošanās par DEPO kartes piešķiršanu fiziskai personai noslēgšanai ir vairāki
mērķi, arī tādi, kas nav saistīti ar papildu pakalpojumu piedāvāšanu un sniegšanu, kā arī vairāki
tiesiskie pamati. Minēto secinājumu DEPO apstiprināja arī mutvārdu paskaidrojumos.
Tādējādi, neatkarīgi no tā, kādam nolūkam ir apstrādājami personas dati, DEPO, lūdzot
aizpildīt personai klienta anketu DEPO kartes piešķiršanai, faktiski ievāc personas datus pilnīgi visiem
datu apstrādes nolūkiem, kādi varētu rasties nākotnē. Šie personas datu apstrādes nolūki netiek
savstarpēji nodalīti, tādējādi apstrādājot personas datus pārmērīgā apjomā. Pēc būtības DEPO būtu
jāsadala anketa vai jādod iespēja klientam aizpildīt tikai noteiktas ailes (sniegt noteiktu personas datu
apjomu) atkarībā no konkrēta datu apstrādes nolūka un tiesiskā pamata, un klienta piekrišana būtu
jāprasa tikai tajā gadījumā, kad klientam tiešām ir izvēles brīvība.
12
[13.1.] Apstrīdēšanas iesniegumā norādīts, ka apstrīdētajā lēmumā neesot norādīta neviena
norma, kas uzliktu par pienākumu sniegt pakalpojumus pircējiem, ko DEPO nevar atbilstoši
identificēt.
Datu valsts inspekcijas direktore norāda, ka šāds DEPO pienākums izriet no Datu regulas
5. panta 1. punkta “c” apakšpunktā ietvertā datu minimizēšanas principa. Proti, saskaņā ar minēto
principu DEPO nav tiesību apstrādāt tādus personas datus, kuri nav nepieciešami konkrētā
pakalpojuma sniegšanai. Piemēram, ja persona vēlas izmantot aizkaru atšūšanas pakalpojumu, tā
sniegšanai nav nepieciešams iegūt datus par personas personas kodu vai dzīvesvietu tikai tāpēc, ka
DEPO vēlas identificēt klientu, kas pieprasījis minēto pakalpojumu vai tāpēc, ka cita pakalpojuma
sniegšanas ietvaros, kurus klients šobrīd nav pieprasījis un arī neplāno pieprasīt, šāda datu apstrāde
varētu būt nepieciešama. Ja DEPO ir izvēlējies sniegt kādu pakalpojumu, tad tā sniegšanā ir jāievēro
valstī spēkā esošais normatīvais regulējums, tostarp Datu regula. Pretējā gadījumā komersants tādā
pašā veidā varētu pamatot, ka vēlas sniegt savu pakalpojumu tikai noteiktas ādas krāsas, dzimuma vai
tautības cilvēkiem, jo tās ir viņa absolūtās tiesības izlemt, kam šo pakalpojumu piedāvāt.
[14.] Apstrīdēšanas iesniegumā norādīts, ka piemērotais naudas sods ir nepamatots un
pārmērīgs.
[14.1] DEPO apstrīdēšanas iesniegumā atkārtoti atsaucas uz to, ka nav vērtēts apstāklis, ka
DEPO kartes piešķiršanas tiesiskais pamats ir mainījies. Datu valsts inspekcijas direktore šā jautājuma
vērtējumu jau ir sniegusi šā lēmuma 7. punktā, konstatējot, ka pārkāpuma periods ir noteikts pareizi,
līdz ar ko šim apstāklim nav ietekmes uz piemēroto naudas sodu.
[14.2.] Par nepamatotu uzskatāma DEPO atsauce uz to, ka DEPO piemērotais naudas sods
ievērojami pārsniedz citus Datu valsts inspekcijas piemērotos sodus, kā arī citu valstu piemērotos
sodus. Uzraudzības iestādei ir rīcības brīvība, nosakot sodus, un tā vērtē katra konkrētā gadījuma
apstākļus. Tas vien, ka kādam citam pārzinim ir noteikts mazāks sods, nedod pamatu prasīt soda
samazināšanu, jo apstrīdēšanas iesniegumā norādītajās lietās atšķiras gan faktiskie, gan tiesiskie
apstākļi. Proti, DEPO neatrodas vienādos un salīdzināmos apstākļos ar tām personām, kurām naudas
sods piemērots par citiem personas datu apstrādes pārkāpumiem.
[14.3.] Apstrīdēšanas iesniegumā norādīts, ka piemērotais naudas sods neatbilst
Administratīvās atbildības likuma 13. pantā noteiktajiem nosacījumiem, jo naudas soda apmērs ir
tāds, kas var kavēt DEPO veikt turpmāku uzņēmējdarbību. Jo īpaši nepieciešams ņemt vērā, ka naudas
sods sastāda vairāk kā 28% no DEPO 2020. gada peļņas.
Datu valsts inspekcijas direktores ieskatā ar noteikto naudas sodu vispārīgi tiek sasniegti tādi
Administratīvās atbildības likumā noteiktie elementi kā sabiedriskās kārtības aizsargāšana, sodīšana
par izdarīto pārkāpumu, kā arī administratīvo pārkāpumu izdarījušo personu un citu personu
atturēšana no turpmākas administratīvo pārkāpumu izdarīšanas. Proti, ievērojami naudas sodi gan
nostiprina konkrētu tiesību normu saistošo raksturu, gan pauž oficiālu prettiesiskās rīcības nopēlumu,
gan panāk, ka likumpārkāpumu vairs neizdara sodītā persona, kā arī citas personas.
Vienlaikus jāpiekrīt tam, ka nav ievērots Administratīvās atbildības likuma 13. pantā
nostiprinātais taisnīguma atjaunošanas elements. Proti, ikviens likumpārkāpums izjauc sabiedrībā
pastāvošo kārtību un taisnīgumu, savukārt sods par izdarītu likumpārkāpumu jānosaka tāds, lai
atjaunotu izjaukto līdzsvaru. Līdzsvara atjaunošana nozīmē to, ka piemērotais sods nevar būt nedz
tāds, kas nerada nekādas jūtamas sekas pašam pārkāpējam un nesniedz gandarījumu cietušajām
personām, nedz tāds, kas pārkāpēju apgrūtina tiktāl, ka ne tikai attur viņu no turpmākas prettiesiskas
rīcības, bet rada risku nespējai nodarboties ar komercdarbību vispār. Noteiktajam sodam, lai tas
atbilstu taisnīguma elementam, būtu jābūt samērīgam ar izdarīto pārkāpumu.
Datu valsts inspekcijas direktores ieskatā naudas sods, kas sasniedz gandrīz trešdaļu no gada
peļņas nav proporcionāls izdarītajam pārkāpumam, un to ir iespējams samazināt.
13
Jautājumi, kas saistīti ar izdarītā pārkāpuma raksturu un liecina par neproporcionalitāti, tiks
apskatīti turpmākajā lēmuma tekstā.
[15.] Datu valsts inspekcijas direktore konstatē, ka, piemērojot sodu, nav ņemti vērā visi
apstākļi, kas raksturo izdarīto administratīvo pārkāpumu. Saskaņā ar Datu regulas 83. panta 1. punktu
uzraudzības iestādei ir jānodrošina, ka par šīs regulas pārkāpumiem piemērotie naudas sodi katrā
konkrētā gadījumā ir iedarbīgi, samērīgi un atturoši. Atbilstoši Datu regulas 83. panta 2. punktam,
nosakot soda apmēru, uzraudzības iestādēm pienācīgi jāņem vērā vairāki elementi, kas liecina par
pārkāpuma raksturu un nopietnību vai par pārkāpēja attieksmi pret izdarīto pārkāpumu. Tāpat
nepieciešams ņemt vērā arī citus elementus, kam ir nozīme lietā, pat ja tie nav tieši uzskaitīti Datu
regulas 83. panta 2. punktā.
Lai arī soda noteikšanā pamatoti ir piemērots Datu valsts inspekcijas iekšējais rīks –
Administratīvo naudas sodu apmēra noteikšanas mehānisms uzņēmumiem un fiziskām personām –
Datu valsts inspekcijas direktores ieskatā, papildus bija nepieciešams vērtēt, vai uz konkrēto lietu nav
attiecināmi kādi papildu nosacījumi vai kritēriji, kas šajā rīkā netiek atspoguļoti. Tāpat var ņemt vērā
vērā Eiropas Datu aizsardzības kolēģijas izstrādātās vadlīnijās par administratīvo sodu piemērošanu5
(turpmāk – Administratīvo sodu piemērošanas vadlīnijas).
[15.1.] Saskaņā ar Datu regulas 83. panta 2. punkta “a” apakšpunktu nepieciešams ņemt vērā
pārkāpuma būtību, smagumu un ilgumu, ņemot vērā attiecīgo datu apstrādes veidu, apmēru vai
nolūku, kā arī ietekmēto datu subjektu skaitu un tiem nodarīto kaitējumu.
Kā redzams no apstrīdētā lēmuma 6.3. apakšpunkta, vērtējot soda apmēru, ir ņemta vērā
pārkāpuma būtība, ilgums, apmērs, datu subjektiem nodarītais kaitējums. Vienlaikus nav vērtēts
pārkāpuma smagums, kas ir viens no būtiskākajiem aspektiem soda piemērošanā, kā arī datu apstrādes
nolūks.
Administratīvo sodu piemērošanas vadlīnijās noteikts, ka pārkāpuma smagums vērtējams,
ņemot vērā konkrētās lietas īpašos apstākļus. Par pārkāpuma smagumu citastarp liecina konteksts,
kādā personas datu apstrāde tiek veikta, piemēram, uzņēmējdarbība, bezpeļņas organizācija, politiskā
partija.
Konkrētajā gadījumā Datu valsts inspekcijas direktore piekrīt, ka nepamatoti nav ņemts vērā
tas, ka DEPO ir mazumtirdzniecības uzņēmums, kura izmaksu lielākais postenis ir tālākpārdošanai
iepirkto preču pašizmaksa. Ir būtiski ņemt vērā, ka informācijas tehnoloģiju uzņēmumu, uz kuriem
pamatā ir vērstas Datu regulas normas, galvenais peļņas avots ir balstīts tieši personas datu apstrādē,
līdz ar ko, pirmkārt, peļņas procents no apgrozījuma ir ievērojami lielāks, otrkārt, finanšu un
darbaspēka resurss, kas tiek novirzīts atbilstības Datu regulai nodrošināšanai, ir lielāks, kā arī lielāks
ir kaitējuma nodarīšanas risks datu subjektiem. Tāpat Administratīvo sodu vadlīnijās ir norādīts, ka
nepieciešams ņemt vērā, vai personas datu apstrādes nolūks ir novērot, novērtēt personiskos aspektus
vai pieņemt lēmumus, kas datu subjektam var radīt negatīvas sekas, kā arī pastāvošo nevienlīdzību
starp pārzini un datu subjektu, piemēram, gadījumos, kad datu subjekts ir bērns, skolnieks, darbinieks
vai pacients. Ņemot vērā to, ka Datu valsts inspekcijas direktore nesaskata nevienu aspektu, kas varētu
liecināt par īpašu nodarījuma smagumu, piemēroto naudas sodu ir iespējams ievērojami samazināt, jo
īpaši ņemot vērā to, ka pārzinis ir mazumtirdzniecības uzņēmums, kuru papildus ir ietekmējuši Covid-
19 novēršanai īstenotie pasākumi.
Attiecībā uz personas datu apstrādes nolūku Administratīvo sodu piemērošanas vadlīnijās ir
ieteikts ņemt vērā to, vai personas datu apstrāde ir saistīta ar pārziņa pamatdarbību. Datu valsts
inspekcijas direktore uzskata šo par vienu no būtiskākajiem aspektiem, kas jāņem vērā, vērtējot
5
Guidelines 04/2022 on the calculation of administrative fines under the GDPR, Adopted on 12 May 2022 – version for
public consultation (vadlīnijas šobrīd ir nodotas publiskajai apspriešanai un to teksts var mainīties).
14
pārkāpuma smagumu. Proti, ja personas datu apstrāde ir saistīta ar pārziņa pamatdarbību, tai arī
attiecīgi jātiek pievērstai lielākai pārziņa uzmanībai, un pārzinis nevar aizbildināties ar normatīvā
regulējuma nepietiekamu pārzināšanu. Konkrētajā gadījumā personas datu apstrāde nav saistīta ar
DEPO pamatdarbību, bet gan tiek veikta, lai sniegtu papildu labumus vai papildu pakalpojumus
klientiem. Ievērojot minēto, šis aspekts ir ņemams vērā, lai noteiktu zemāku sodu.
[15.2.] Saskaņā ar Datu regulas 83. panta 2. punkta “b” apakšpunktu nepieciešams ņemt vērā
to, vai pārkāpums izdarīts tīši vai neuzmanības dēļ. Lai arī apstrīdētajā lēmumā vispārīgi ir norādīts,
ka DEPO nav iepriekš bijis administratīvi sodīts, vairākas reizes pārskatījis Privātuma politiku,
samazinājis anketās sniedzamo personas datu apjomu, sadarbojies ar iestādi, tomēr nav izdarīts
secinājums par to, vai pārkāpums izdarīts tīši vai aiz neuzmanības, kam ir nozīmīga loma soda
noteikšanā.
Ņemot vērā apstrīdētajā lēmumā iegūtos pierādījumus, Datu valsts inspekcijas direktores
ieskatā ir pietiekams pamats secināt, ka administratīvais pārkāpums ir izdarīts aiz neuzmanības. DEPO
ir centies salāgot savas personas datu apstrādes darbības ar Datu regulas prasībām, piesaistījis
speciālistus, lai nodrošinātu normatīvajos aktos noteikto prasību izpildi. Vienlaikus ir saskatāmas
nepietiekamas rūpības un neuzmanības pazīmes, iespējams, izvēloties speciālistus, kas nav pietiekami
kvalificēti, lai vērtētu personas datu apstrādes darbības, veicot izmaiņas datu apstrādes politikā
haotiski, neveidojot sistemātisku pieeju minētajam jautājumam.
Ievērojot minētos apstākļus, Datu valsts inspekcijas direktore atzīst pārkāpuma smagumu par
zemu. Saskaņā ar Administratīvo sodu piemērošanas vadlīnijām gadījumos, kad pārkāpuma smagums
ir zems, sākotnējais soda piemērošanas punkts būtu nosakāms 0-10% apmērā no piemērojamā
maksimālā soda.
[15.3.] Nosakot sākotnējo soda piemērošanas punktu amplitūdā no 0-10%, jāņem vērā arī tas,
ka DEPO apgrozījums, kas pārsniedz 250 miljonus gadā ir uzskatāms par augstu.
Datu valsts inspekcijas direktore uzskata, ka, ņemot vērā to, ka pārkāpuma smagums ir zems,
taču vienlaikus ir saskatāma DEPO nepienācīga rūpība, lemjot jautājumus par personas datu apstrādi,
kā arī ievērojamo DEPO apgrozījumu, ir pamatoti noteikt sākotnējo soda piemērošanas punktu 10%
apmērā no apstrīdētajā lēmumā noteiktā, proti, 10% apmērā no dienas apgrozījuma, kas sastāda
72897. Vienlaikus, ņemot vērā apstrīdētajā lēmumā konstatēto tostarp, bet ne tikai par ievērojamo
pārkāpuma ilgumu un skarto datu subjektu skaitu, sākotnējam soda piemērošanas punktam
saglabājams koeficients 6, kas kopā sastāda 437 382 euro.
[16.] Vienlaikus saskaņā ar Administratīvo sodu piemērošanas vadlīnijām pēc soda
matemātiskas aprēķināšanas, sodu ir iespējams koriģēt, izvērtējot, vai tas sasniedz Datu regulā
noteiktos soda mērķus – ir efektīvs, samērīgs un atturošs. Soda apmēram jātiek noteiktam saskaņā ar
pārkāpuma izdarīšanas kontekstu.
[16.1.] Attiecībā uz soda efektivitāti jāvērtē, vai tas ir piemērots, lai nodrošinātu personas datu
apstrādes atbilstību Datu regulai un sodītu pārzini.
Datu valsts inspekcijas direktore konstatē, ka, lai arī sods ir piemērots pārziņa sodīšanai, tomēr
tas nav atbilstošs, lai veicinātu atbilstību Datu regulai. Jāņem vērā, ka DEPO visa administratīvā
pārkāpuma procesa laikā ir centies salāgot savu personas datu apstrādi ar Datu regulas prasībām un
saskaņā ar mutvārdu paskaidrojumos sniegto informāciju turpina to darīt arī šobrīd. Ievērojot minēto,
ievērojama naudas soda uzlikšana nevis motivētu pārzini nodrošināt atbilstību Datu regulas prasībām,
bet, gluži otrādi, varētu radīt izpratni, ka neatkarīgi no tā, vai tiek veikta proaktīva rīcība un neatkarīgi
no pārziņa subjektīvās attieksmes, pārkāpumam tāpat tiks piemērots vienāds naudas sods. Datu valsts
inspekcijas direktores ieskatā būtiskākais ir panākt, lai pārziņi ir motivēti personas datu apstrādes
uzlabojumus veikt bez piespiedu mehānismu pielietošanas. Tajos gadījumos, kad no pārziņa puses ir
vērojama neieinteresētība, bezdarbība vai apzināta izvairīšanās par efektīvu rīku atbilstības Datu
15
regulai nodrošināšanai būtu uzskatāms ievērojamāks naudas sods, savukārt, kad pārziņa rīcība liecina
par vēlmi nodrošināt atbilstību datu apstrādes normatīvajam regulējuma, naudas sodam būtu jābūt
mazākam.
[16.2.] Samērīguma princips nosaka, ka piemērotajam sodam nevajadzētu pārsniegt to, kas ir
nepieciešams, lai sasniegtu mērķi. Ja ir iespējams mērķi sasniegt ar vairākiem līdzekļiem, jāizvēlas
mazāk aizskarošais. Vērtējot samērīgumu, pārkāpums ir jāaplūko kā vienots veselums, galveno
uzmanību pievēršot pārkāpuma smagumam kā tādam.
Lai arī Datu valsts inspekcijas direktore piekrīt, ka administratīvais pārkāpums ir kvalificēts
pareizi un attiecīgi pareizi ir izvēlēts administratīvā soda veids – naudas sods – un piemērots
Administratīvo naudas sodu apmēra noteikšanas mehānisms, tomēr naudas sodu ir nepieciešams
koriģēt, lai tas atbilstu samērīgumam principam.
Konkrētajā gadījumā ir būtiski ņemt vērā to, ka saskaņā ar DEPO mutvārdu paskaidrojumos
sniegto informāciju apstrādātie personas dati netiek izmantoti ne mārketinga vajadzībām, ne
uzņēmuma darbības plānošanai, ne kādai citai darbībai, kas nav saistīta tieši ar pakalpojuma sniegšanu
konkrētajai personai vai normatīvo aktu prasību izpildi. Proti, DEPO negūst nekādu ekonomisku
labumu no personas datu apstrādes. Ievērojot minēto, administratīvais naudas sods neatkarīgi no tā
apmēra ir pietiekams pamats, lai pārzinis būtu motivēts novērst konstatētos pārkāpumus. Vēl jo vairāk,
mazāka administratīvā naudas soda piemērošana nenozīmē, ka pārkāpumu var turpināt. Tādējādi, ja
DEPO pārkāpumu turpinātu, Datu valsts inspekcijai būtu tiesības piemērot sodu par to pašu
pārkāpumu, šoreiz jau uzskatot pārziņa rīcību, savlaicīgi nenovēršot pārkāpumu, par atbildību
pastiprinošu apstākli.
Tāpat jāņem vērā tas, ka pārkāpums ir izdarīts neizpratnes dēļ. Saskaņā ar administratīvās
lietas izskatīšanas gaitā paustajiem apsvērumiem, DEPO ir centies panākt klientu informētību,
piemērojot nepareizus tiesiskos pamatus, kā arī līdz šim nav izpratis dažādu datu apstrādes nolūku
nošķiršanas nianses. Datu valsts inspekcijas direktores ieskatā administratīvā naudas soda
piemērošana pat nelielā apmērā būtu pietiekama, lai motivētu DEPO piesaistīt kvalificētus personas
datu aizsardzības speciālistus un novērstu konstatētos pārkāpumus.
[16.3.] Ievērojot minēto, Datu valsts inspekcijas direktore uzskata, ka naudas soda koriģēšana,
nosakot to 4 % apmērā no sākotnēji aprēķinātās summas, proti, piemērojot naudas sodu 17 495 Eiro
apmērā būtu pietiekama, lai atturētu DEPO no turpmākiem datu apstrādes pārkāpumiem.
[17.] Vienlaikus, ņemot vērā Datu valsts inspekcijas pilnvaras, kas tai noteiktas Datu regulas 58. panta
2.punkta “d” un “i” apakšpunktā Datu valsts inspekcijas direktore uzskata par nepieciešamu uzlikt
DEPO par pienākumu līdz 2022. gada 1. decembrim saskaņot datu apstrādes darbības ar Datu regulas
noteikumiem, izstrādāt novērtējumu par ietekmi uz datu aizsardzību un iesniegt to Datu valsts
inspekcijā līdz 2022. gada 15. decembrim.
Ņemot vērā minēto un saskaņā ar Administratīvās atbildības likuma 132. pantu, 168. panta
pirmo daļu, 172. pantu un 173. panta pirmās daļas 4. punktu, Datu regulas 58.panta 2.punkta “d” un
“i” apakšpunktu Datu valsts inspekcijas direktore
nolēma
1. grozīt ar 2022. gada 10. maija lēmumu Nr. Nr. [..] ([..]) Par soda piemērošanu piemērotā
administratīvā naudas soda apmēru, nosakot SIA “DEPO DIY”, reģistrācijas numurs 50003719281,
juridiskā adrese Noliktavu iela 7, Dreiliņi, Stopiņu pagasts, Ropažu novads, par Datu regulas 83. panta
5. punkta “a” apakšpunktā paredzētā administratīvā pārkāpuma izdarīšanu administratīvo naudas sodu
16
EUR 17 495 (septiņpadsmit tūkstoši četri simti deviņdesmit pieci euro) apmērā.
2. uzlikt DEPO par pienākumu līdz 2022. gada 1. decembrim saskaņot datu apstrādes darbības ar Datu
regulas noteikumiem, izstrādāt novērtējumu par ietekmi uz datu aizsardzību un iesniegt to Datu valsts
inspekcijā līdz 2022. gada 15. decembrim.
Naudas sods pilnā apmērā samaksājams ne vēlāk kā viena mēneša laikā no šī lēmuma spēkā stāšanās
dienas jebkurā bankas iestādē vai arī pēc naudas soda brīvprātīgas izpildes termiņa beigām šis lēmums
saskaņā ar Administratīvās atbildības likuma 262. un 269. pantu nekavējoties tiks nodots piespiedu
izpildei zvērinātam tiesu izpildītājam.
Rekvizīti naudas soda samaksai:
Saņēmējs: Valsts Kase
Reģistrācijas Nr.: 90000050138
Konta Nr.: LV69TREL1060191019200
Saņēmēja BIC kods: TRELLV22
Piezīmes: Norādīt šī lēmuma numuru.
Administratīvā pārkāpuma procesā piemēroto naudas sodu, piespiedu naudu, atlīdzināmos
procesuālos izdevumus un zaudējumus dabas resursiem var samaksāt portālā www.latvija.lv,
izmantojot e-pakalpojumu Administratīvo sodu pārbaude un nomaksa.
Lūdzam ņemt vērā, ka, atbilstoši Civilprocesa likuma 568. pantam, lēmuma brīvprātīga izpilde pēc
tam, kad izpildu dokuments iesniegts piespiedu izpildei, neatbrīvos no pienākuma atlīdzināt izpildes
izdevumus tiesu izpildītājam.
Vienlaikus informējam, ka Sabiedrībai, ievērojot Administratīvās atbildības likuma 266. panta otro
un trešo daļu, ir tiesības uz naudas soda izpildi daļās, ja pastāv objektīvi apstākļi, kuru dēļ naudas soda
brīvprātīgas izpildes termiņā nav iespējams pilnā apmērā izpildīt nolēmumu par sodu.
Saskaņā ar Administratīvās atbildības likuma 184. panta pirmo daļu un 186. panta pirmo daļu šo
lēmumu DEPO var pārsūdzēt 10 darbdienu laikā no dienas, kad paziņots lēmums administratīvā
pārkāpuma lietā rajona (pilsētas) tiesā pēc Sabiedrības juridiskās adreses, sūdzību iesniedzot Datu
valsts inspekcijā (Elijas ielā 17, Rīgā, LV-1050), kura triju darbdienu laikā pēc sūdzības iesniegšanas
termiņa beigām, sūdzību ar lietas materiāliem nosūta rajona (pilsētas) tiesai pēc piekritības.
Direktore J.Macuka
[..]