Kādi ir galvenie datu aizsardzības tiesību akti Latvijā un ES?

Regula ir tieši piemērojama visās dalībvalstīs, tāpēc Latvijā nav atsevišķa liela privātuma likuma, kas aizstātu Eiropas Savienības normas. Regulas kodols ir principi: apstrādei jābūt likumīgai, godprātīgai un caurskatāmai, datus drīkst vākt konkrētam nolūkam un tikai nepieciešamajā apjomā, tiem jābūt precīziem, glabāšanas laikam ierobežotam, un pārzinim jānodrošina drošība un jāspēj pierādīt, ka prasības ir ievērotas. Katrai apstrādei ir vajadzīgs tiesiskais pamats, un piekrišana ir tikai viens no vairākiem iespējamiem pamatiem līdzās līguma izpildei, juridiskam pienākumam un leģitīmajām interesēm.

Nacionālais likums regulē to, ko regula atstāj dalībvalstu ziņā: inspekcijas darbību, datu aizsardzības speciālista kvalifikāciju, apstrādes nosacījumus žurnālistikas, zinātnes un arhīvu vajadzībām, kā arī atsevišķus vecuma un identifikācijas jautājumus. Blakus tam darbojas nozaru normas. Elektronisko sakaru un e-privātuma noteikumi regulē sīkdatnes, tiešo mārketingu un sakaru metadatus. Pacientu tiesību likums un ārstniecības regulējums nosaka medicīnisko datu apstrādi. Tiesībaizsardzības jomai ir sava direktīva un uz tās balstīts nacionālais regulējums, jo policijas un prokuratūras apstrādei piemēro atšķirīgus noteikumus.

Biežākā kļūda ir pielīdzināt Eiropas pieeju ASV modelim. Amerikā privātums ir sadrumstalots pa atsevišķiem federālajiem likumiem, kas regulē konkrētas nozares, piemēram, veselības datus vai finanšu iestādes, un liela daļa jautājumu paliek štatu ziņā. Eiropā pieeja ir horizontāla: viens vispārējs akts attiecas uz visiem sektoriem, un nozaru normas to tikai precizē. Otra kļūda ir uzskatīt, ka regula attiecas tikai uz lieliem uzņēmumiem: tā attiecas uz jebkuru pārzini, arī uz nelielu veikalu vai biedrību, izņemot tīri personisku vai mājsaimniecisku apstrādi.

Sankciju sistēma ir divpakāpju. Par vieglākiem pārkāpumiem naudas sods var sasniegt vienu robežlīmeni, bet par smagākiem, tostarp principu un datu subjekta tiesību pārkāpumiem, augstāko: līdz 20 miljoniem eiro vai četriem procentiem no uzņēmuma gada apgrozījuma pasaulē, atkarībā no tā, kura summa ir lielāka. Valsts iestādēm sodu piemērošanai ir savas īpatnības. Papildus sodam inspekcija var izdot rīkojumu pārtraukt apstrādi, un cietušajai personai ir tiesības prasīt zaudējumu atlīdzību tiesā.

Nelielam uzņēmumam praktiskā atbilstība sākas ar četriem dokumentiem un vienu sarakstu. Pirmais ir apstrādes darbību reģistrs, kurā uzskaitīts, kādus datus uzņēmums vāc, kādam nolūkam, uz kāda tiesiskā pamata, cik ilgi glabā un kam nodod. Otrais ir privātuma politika klientiem un darbiniekiem, kas rakstīta saprotamā valodā. Trešais ir datu apstrādes līgums ar katru apstrādātāju, piemēram, grāmatvedības ārpakalpojuma sniedzēju vai mākoņpakalpojuma sniedzēju. Ceturtais ir iekšējā kārtība incidentiem. Saraksts, ko ir vērts uzturēt atsevišķi, ir piekļuves tiesību saraksts: kurš darbinieks kuriem datiem var piekļūt un kas notiek ar piekļuvi, kad viņš aiziet.