Elijas iela 17, Rīga, LV-1050, tālr. 67223131, e-pasts [email protected], www.dvi.gov.lv
Lietā Nr. [..]
SIA “QUANTRUM”
e-Adresē
Lēmums
Rīgā, 2024. gada 8. februārī Nr. [..]
Par korektīvā līdzekļa piemērošanu
[1.] Datu valsts inspekcija (turpmāk – Inspekcija) ir saņēmusi [..] (turpmāk – Datu subjekts)
iesniegumu, kurā Datu subjekts informēja par [..] rīcību, bez atbilstoša rīkojuma lejupielādējot no SIA
“QUANTRUM” (turpmāk – SIA) videonovērošanas sistēmas videonovērošanas kameru ierakstu, to
nosūtot Datu subjektam tiešsaistes tīkla lietotnē viedtālruņiem WhatsApp, kā arī augšupielādējot to
tiešsaistes tīkla lietotnē viedtālruņiem Telegram.
[2.] Nolūkā pārliecināties par SIA ieviesto tehnisko un organizatorisko pasākumu atbilstību
Vispārīgās datu aizsardzības regulas1 (turpmāk – Datu regula) prasībām un saskaņā ar Fizisko personu
datu apstrādes likuma (turpmāk – Datu likums) 4. panta pirmās daļas 1. punktu un 5. panta pirmās
daļas 1. punktu, Datu regulas 57. panta 1. punkta a) un h) apakšpunktu Inspekcija veica šādas darbības
un konstatēja šādus apstākļus.
[2.1.] 2023. gada 8. februārī tika uzsākta pārbaudes lieta Nr. [..] par SIA ieviesto tehnisko un
organizatorisko pasākumu atbilstību Datu regulas prasībām.
[2.2.] Inspekcijas 2023. gada 8. februāra, 2023. gada 29. jūnija un 2023. gada 11. septembra
vēstulēs2 aicināja SIA sniegt informāciju par SIA ieviestajiem tehniskajiem un organizatoriskajiem
pasākumiem, nodrošinot videonovērošanas sistēmas integritāti.
[2.3.] SIA sniedza savus paskaidrojumus 2023. gada 7. marta, 2023. gada 14. septembra
vēstulēs3.
[3.] Šā lēmuma [1.-2.] punktā norādīto darbību rezultātā noskaidrots, turpmāk minētais.
[3.1.] SIA veiktā videonovērošana apsardzes vadības centrā neparedzēja tādu darbinieku rīcību kā
video materiāla pārfilmēšanu vai kopēšanu nekāda veida privātajos datu nesējos, t.sk. mobilajos tālruņos.
Konkrētajā gadījumā [..], rīkojies bez SIA rīkojuma vai norādījuma, videomateriālu ieguva patvaļīgi.
Saņemot informāciju par iespējamo datu aizsardzības pārkāpumu, SIA veica darbības, lai tas tiktu
pārtraukts, proti, iegūtais videomateriāls būtu izdzēsts no privātiem datu nesējiem. Vienlaikus SIA
informēja, ka starp [..] un SIA tika pārtrauktas darba tiesiskās attiecības.
1
Eiropas Parlamenta un Padomes 2016. gada 27. aprīļa regula Nr. 2016/679 par fizisku personu aizsardzību attiecībā uz
personas datu apstrādi un šādu datu brīvu apriti un ar ko atceļ Direktīvu 95/46/EK
2
Inspekcijas 2023. gada 8. februāra vēstule Nr. [..] “Par pārbaudes uzsākšanu un informācijas pieprasījumu”, 2023. gada
29. jūnija vēstule Nr. [..] “Par papildus informācijas pieprasījumu”, 2023. gada 11. septembra vēstule Nr. [..] “Par
atkārtotu papildus informācijas pieprasījumu”
3
SIA 2023. gada 7. marta vēstule b/n (Inspekcijā reģistrēta 2023. gada 7. martā ar Nr. [..]), 2023. gada 14. septembra
vēstule b/n (Inspekcijā reģistrēta 2023. gada 14. septembrī ar Nr. [..]),
2
[3.2.] Ievērojot notikušo datu aizsardzības pārkāpumu, SIA pārskatīja tās ieviestos tehniskos un
organizatoriskos pasākumus, kā arī pārskata personas datu apstrādes sistēmas noteikumus.
[3.3.] Vienlaikus no SIA sniegtās informācijas konstatējams, ka SIA apsardzes vadības centrā esošā
videonovērošanas sistēma ir aprīkota ar audioieraksta funkciju. Audioierakstu SIA veicot, pamatojoties uz
Ministru kabineta 2022. gada 21. jūnija noteikumu Nr. 369 “Noteikumi par apsardzes darbības reģistru,
apsardzes darbības reģistrāciju un prasībām apsardzes vadības centram” (turpmāk – Noteikumi Nr. 369)
4.21. un 4.24. apakšpunktu.
[4.] Ievērojot šā lēmuma [1.-3.] punktā norādīto, Inspekcija secina turpmāko.
[4.1.] Saskaņā ar Datu regulas 4. panta 7) apakšpunktu par personas datu apstrādes atbilstību ir
atbildīgs pārzinis4.
[4.2.] Datu regulas 24. panta 1. punktā noteikts, ka, ņemot vērā apstrādes raksturu, apmēru,
kontekstu un nolūkus, kā arī dažādas iespējamības un nopietnības pakāpes riskus attiecībā uz fizisku
personu tiesībām un brīvībām, pārzinis īsteno atbilstošus tehniskus un organizatoriskus pasākumus,
lai nodrošinātu un spētu uzskatāmi parādīt, ka apstrāde notiek saskaņā ar šo regulu. Ja nepieciešams,
minētos pasākumus pārskata un atjaunina.
Datu regulas 25. panta 1. punktā noteikts, ka, ņemot vērā tehnikas līmeni, īstenošanas izmaksas
un apstrādes raksturu, apmēru, kontekstu un nolūkus, kā arī dažādas iespējamības un nopietnības
pakāpes riskus attiecībā uz fizisku personu tiesībām un brīvībām, kurus rada apstrāde, pārzinis gan
apstrādes līdzekļu noteikšanas, gan pašas apstrādes laikā īsteno atbilstošus tehniskus un
organizatoriskus pasākumus, piemēram, pseidonimizāciju, kas ir paredzēti, lai efektīvi īstenotu datu
aizsardzības principus, piemēram, datu minimizēšanu, un lai apstrādē integrētu vajadzīgās garantijas
nolūkā izpildīt šīs regulas prasības un aizsargāt datu subjektu tiesības.
[4.3.] Atbilstoši Datu regulas 5. panta 1. punktā minētajiem datu apstrādes pamatprincipiem5,
t.sk. saskaņā ar f) apakšpunktu pārzinim ir jānodrošina personas datu drošība, tostarp aizsardzība pret
neatļautu vai nelikumīgu apstrādi un pret nejaušu nozaudēšanu, iznīcināšanu vai sabojāšanu,
izmantojot atbilstošus tehniskos vai organizatoriskos pasākumus (integritāte un konfidencialitāte).
Datu regulas 39. apsvērums skaidro, ka [..] personas dati būtu jāapstrādā veidā, kas nodrošina
personas datu pienācīgu drošību un konfidencialitāti, tostarp nepieļaujot neatļautu piekļuvi personas
datiem vai to neatļautu izmantošanu un neatļautu piekļuvi aprīkojumam, kas izmantots apstrādei.
Turklāt, ievērojot Datu regulas 5. panta 2. punktā noteikto pārskatatbildības principu, tieši pārzinim
ir pienākums nodrošināt tādu personas datu apstrādes procesu, kas ļauj pierādīt, ka pārziņa veiktā
personas datu apstrāde ir atbilstoša datu aizsardzības normatīvā regulējuma prasībām. Savukārt
saskaņā ar Datu regulas 32. panta 4. punktu, pārzinis un apstrādātājs veic pasākumus, lai nodrošinātu,
ka jebkura fiziska persona, kas darbojas pārziņa vai apstrādātāja pakļautībā un kam ir piekļuve
personas datiem, tos neapstrādā bez pārziņa norādījumiem, izņemot, ja minētajai personai tas jādara
saskaņā ar Savienības vai dalībvalsts tiesību aktiem.
[4.4.] Inspekcija, izvērtējot SIA iesniegtos personas datu apstrādes noteikumus, konstatē, ka
SIA ir noteikusi piekļuves atļauju pārvaldīšanu, piekļuves kontroli, videonovērošanas organizēšanas
kārtību, videonovērošanas ierakstu arhīva apskates kārtību un ierakstu kopijas veidošanas,
izsniegšanas un glabāšanas kārtību.
Tādējādi secināms, ka SIA ir ieviesusi un īsteno tādus tehniskos un organizatoriskos
pasākumus, kas atbilst Datu regulas 25. panta 1. punkta prasībām. Vienlaikus Inspekcija ņem
vērā, ka SIA nevar būt atbildīga par darbinieku rīcību, apzināti neievērojot SIA noteikumus, un
iegūstot videonovērošanas kameru ierakstu bez attiecīga pilnvarojuma.
Ievērojot minēto, pārbaudes lieta daļā par SIA ieviestajiem tehniskajiem un
organizatoriskajiem pasākumiem, nodrošinot videonovērošanas sistēmas integritāti, tiek
pabeigta, nekonstatējot pārkāpumu.
4
fiziskā vai juridiskā persona, publiska iestāde, aģentūra vai cita struktūras, kas viena pati vai kopīgi ar citām nosaka
personas datu apstrādes nolūkus un līdzekļus [..]
5
a) likumīgums, godprātība un pārredzamība, b) nolūka ierobežojumi; c) datu minimizēšana, d) precizitāte; e) glabāšanas
ierobežojums; f) integritāte un konfidencialitāte
3
[5.] Vienlaikus, ievērojot šī lēmuma 3.3. apakšpunktā konstatēto, par SIA veikto personas datu
apstrādi – audio ieraksta veikšana ar videonovērošanu apsardzes vadības centrā – Inspekcija pēc savas
iniciatīvas paplašināja pārbaudes tvērumu, un secināja turpmāko.
[5.1.] Atbilstoši Datu regulas 5. panta 2. punktam pārzinim ir pienākums veikt datu apstrādi
atbilstoši Datu regulas 5. pantā minētajiem datu apstrādes pamatprincipiem un Datu regulas 6. pantā
noteiktajam tiesiskajam pamatam. Datu regulas 5. panta 1. punkta a) apakšpunkts paredz, ka personas
dati tiek apstrādāti likumīgi, godprātīgi un datu subjektam pārredzamā veidā („likumīgums”,
„godprātība” un „pārredzamība”), savukārt c) apakšpunkts paredz, ka dati ir adekvāti, atbilstīgi un
ietver tikai to, kas nepieciešams to apstrādes nolūkos (“datu minimizēšana”).
Līdz ar to katrai pārziņa veiktajai personas datu apstrādei jābūt Datu regulas 6. pantā
noteiktajam tiesiskajām pamatam. Tikai tādā gadījumā var uzskatīt, ka personas datu apstrāde tiek
veikta likumīgi
[5.2.] Noteikumu Nr. 369 4.24. apakšpunktā noteikts, ka apsardzes vadības centrā ir jābūt
sakaru līdzekļiem saziņai ar citiem apsardzes darbiniekiem, apsardzes komersanta mobilajām grupām,
apsardzes pakalpojuma saņēmējiem, citām personām un institūcijām. Saziņas informācija tiek
ierakstīta un glabāta vismaz trīs mēnešus.
Saskaņā ar SIA sniegto informāciju, SIA Noteikumu Nr. 369 4.24. apakšpunktu izpilda ar
apsardzes vadības centrā ierīkotajām videonovērošanas kamerām, kuras ir aprīkotas ar audio ieraksta
veikšanas funkciju.
[5.3.] Ievērojot, ka no Noteikumu Nr. 369 4.24. apakšpunkta redakcijas nav viennozīmīgi
secināms, ka videonovērošanas kamera, kas ir aprīkota ar audio ieraksta veikšanas funkciju, ir
pietiekama Noteikumu Nr. 369 4.24. apakšpunkta izpildei, Inspekcija lūdza6 viedokli Iekšlietu
ministrijai par to, vai apsardzes komersantam apsardzes vadības centrā ir jāveic audio ieraksts tām
sarunām, kuras notiek starp apsardzes vadības centrā esošām personām, vai tomēr šī apakšpunkta
izpildei apsardzes komersantam ir jāveic ieraksts tikai tai saziņai, kas notika, izmantojot sakaru
līdzekļus (piemēram, tālruni vai radio).
[5.4.] Saskaņā ar Iekšlietu ministrijas viedokli7 apsardzes komersantam ir pienākums nodrošināt
sakaru līdzekļu (piemēram, radiostacijas, tālruni) esību, ar kuru palīdzību notiek saziņa starp
apsardzes komersanta nodarbināto ar citiem nodarbinātajiem, kas atrodas ārpus vadības centra,
apsardzes komersanta mobilajām grupām, apsardzes pakalpojuma saņēmējiem, citām personām un
institūcijām, kā arī uzdod nodrošināt minēto saziņas informācijas ierakstīšanu un glabāšanu.
[5.5.] Tādējādi secināms, ka apsardzes komersantam, kas ir arī SIA, lai nodrošinātu Noteikumu
Nr. 369 4.24. apakšpunkta izpildi, ir jāieraksta tās sarunas, kas tiek veiktas, izmantojot sakaru
līdzekļus. Inspekcija ņem vērā, ka, veicot objekta apsardzi, ir būtiski, lai incidenta gadījumā būtu
pieejams pēc iespējas lielāks pierādījumu kopums, kas palīdzētu atklāt gan incidenta apstākļus, gan
apsardzes darbinieku rīcību, līdz ar to ir būtiski, ka tiek ierakstīta sakaru līdzekļu saziņas laikā sniegtā
informācija, lai nepieciešamības gadījumā varētu noklausīties abu sarunas dalībnieku teikto.
Veicot audio ierakstu ar videonovērošanu, SIA nenodrošina Noteikumu Nr. 369
4.24. apakšpunkta pilnvērtīgu izpildi, jo videonovērošanas kameras veikts audio ieraksts ieraksta
tikai apsardzes vadības centra darbinieka teikto, bet netiek ierakstīts otra sarunas dalībnieka teiktais.
Papildus, veicot audio ierakstu ar videonovērošanu, SIA apstrādā (iegūst, glabā) sarunas starp
personām, kuras atrodas apsardzes vadības centrā, turklāt šīs sarunas var būt nesaistītas ar kādu
drošības incidentu.
Ņemot vērā minēto, konstatējams, ka SIA veiktā datu apstrāde, veicot audio ierakstu,
neatbilst Datu regulas 5. panta 1. punkta a) un c) apakšpunkta un 6. panta 1. punkta prasībām.
[6.] Informējam, ka Inspekcija savā darbībā īsteno principu “Konsultē vispirms”, kas paredz, ka
Inspekcijas primārie uzdevumi ir efektīva fizisko personu datu aizsardzība (norādījumu par pārziņa
6
Inspekcijas 2023. gada 29. septembra vēstule Nr. [..] “Par viedokļa pieprasījumu”
7
Iekšlietu ministrijas 2023. gada 30. oktobra vēstule Nr. [..] “Par viedokļa sniegšanu” (Inspekcijā reģistrēta 2023. gada
31. oktobrī ar Nr. [..])
4
veiktajā personas datu apstrādē konstatētajām nepilnībām un ierosinājumu sniegšana to novēršanai)
un nelikumīgas personas datu apstrādes gadījumā nepieciešamo darbību veikšana ar mērķi pēc
iespējas ātrāk pārtraukt to, tādā veidā mazinot datu subjektam radīto kaitējumu.
[7.] Datu regulas 58. panta 2. punkta d) apakšpunkts paredz Inspekcijas pilnvaras izdot
rīkojumu pārzinim vai apstrādātājam saskaņot apstrādes darbības ar Datu regulas noteikumiem,
vajadzības gadījumā – konkrētā veidā un konkrētā laikposmā. Datu regulas 23. pants noteic, ka
Inspekcija, pieņemot lēmumus attiecībā uz tiesiskā pienākuma uzlikšanu piemēro Administratīvā
procesa likumu (turpmāk - APL).
Saskaņā ar APL 66. panta pirmo daļu ir nepieciešams lemt par administratīvā akta izdošanas
lietderību. Proti, pieņemot lēmumu par prettiesiskās personas datu apstrādes novēršanu, Inspekcijai
jāvērtē iespēja lemt par mazāku personas tiesību ierobežojumu.
Vērtējot administratīvā akta nepieciešamību un vajadzību, Inspekcija secina, ka lēmuma
pieņemšana ir gan nepieciešama, gan vajadzīga, lai sasniegtu mērķi – novērstu Datu regulas
noteikumu pārkāpumus SIA veiktajā personas datu apstrādē, veicot audio ierakstu ar
videonovērošanu.
Administratīvais akts ir piemērots līdzeklis mērķa sasniegšanai, jo rada tiesisku pienākumu SIA
novērst konstatētos pārkāpumus konkrētā procesuālā termiņā, kā arī novērš līdzīgu pārkāpumu
rašanos nākotnē.
Administratīvais akts ir uzskatāms par samērīgāko līdzekli mērķa sasniegšanai, jo salīdzinājumā
ar lēmumu par administratīvā soda uzlikšanu ir uzskatāms par saudzīgāku. Vienlaikus tiesiskā
pienākuma uzlikšana ir vērsta uz datu subjektu Datu regulā, Datu likumā un citos normatīvajos aktos
paredzēto pamattiesību uz personas datu aizsardzību nodrošināšanu.
Ievērojot minēto, Inspekcija, pamatojoties uz Datu regulas 58. panta 1. punkta e) apakšpunktu
un 2. punkta d) apakšpunktu, Datu regulas 23. pantu, Datu likuma 5. panta pirmās daļas 3. un
6. punktu un APL 63. panta pirmās daļas 2) punktu,
nolemj:
uzlikt par pienākumu SIA pārtraukt audio ieraksta veikšanu ar videonovērošanu, par
lēmuma izpildi informēt rakstiski līdz 2024. gada 12. martam8, iesniedzot Inspekcijai informāciju
par SIA veiktajiem pasākumiem.
Saskaņā ar APL 70. panta pirmo un otro daļu lēmums stājas spēkā ar brīdi, kad tas paziņots
adresātam, savukārt lēmumu paziņo adresātam atbilstoši Paziņošanas likumam. Paziņošanas likuma
4. panta otrā daļa paredz, ka juridiskajai personai dokumentu paziņo uz tās juridisko adresi. Paziņošanas
likuma 8. panta trešā un ceturtā daļa nosaka, ka dokuments, kas paziņots kā ierakstīts pasta sūtījums,
uzskatāms par paziņotu septītajā dienā pēc tā nodošanas pastā, kā arī ja no pasta tiek saņemta izziņa par
sūtījuma izsniegšanu vai atpakaļ nosūtīts dokuments, tas pats par sevi neietekmē dokumenta paziņošanas
faktu.
Šo lēmumu saskaņā ar Administratīvā procesa likuma 76. panta pirmo un otro daļu, 79. panta
pirmo daļu un Datu likuma 24. panta pirmo daļu var pārsūdzēt viena mēneša laikā no tā spēkā stāšanās
dienas Datu valsts inspekcijas direktoram.
[8.] Inspekcija informē, ka Datu regulas 83. panta 5. punkts paredz piemērot administratīvus
naudas sodus apmērā līdz EUR 20 000 000 vai, uzņēmuma gadījumā, līdz 4 % no tā kopējā visā
pasaulē iepriekšējā finanšu gadā gūtā gada apgrozījuma atkarībā no tā, kuras summas apmērs ir
lielāks, saskaņā ar 2.punktu par šādu noteikumu pārkāpumiem: par apstrādes pamatprincipu, tostarp
nosacījumi par piekrišanu, ievērojot 5., 6., 7. un 9. pantu, datu subjekta tiesības saskaņā ar Datu
regulas 12. – 22. pantu, ja nav ievērots uzraudzības iestādes rīkojums vai pagaidu vai galīgs apstrādes
8
pēdējā diena rakstiskas atbildes iesniegšanai pastā vai nosūtīšanai elektroniski ar drošu elektronisko parakstu
5
vai datu aprites ierobežojums saskaņā ar Datu regulas 58. panta 2. punktu, vai nav sniegta piekļuve,
pārkāpjot Datu regulas 58. panta 1. punktu.
Ievērojot minēto, Inspekcija informē, ka gadījumā, ja netiks pildīts šajā lēmumā minētais
rīkojums, Inspekcija īstenos citas Datu regulā Inspekcijai piešķirtās pilnvaras.
Direktora vietniece L.Dilba
[..]