Fizisko personu datu apstrādes likums

Saeima ir pieņēmusi un Valstsprezidents izsludina šādu likumu:

I nodaļaVispārīgie noteikumi

1. pants. Likumā lietotie termini

Likumā ir lietoti Eiropas Parlamenta un Padomes 2016. gada 27. aprīļa regulas (ES) 2016/679 par fizisku personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti un ar ko atceļ direktīvu 95/46/EK (Vispārīgā datu aizsardzības regula) (turpmāk — datu regula) 4. pantā noteiktie termini.

2. pants. Likuma mērķis

Likuma mērķis ir radīt tiesiskus priekšnoteikumus fiziskās personas datu (turpmāk — dati) aizsardzības sistēmas izveidošanai nacionālajā līmenī, paredzot šim nolūkam nepieciešamās institūcijas, nosakot to kompetenci un darbības pamatprincipus, kā arī reglamentējot datu aizsardzības speciālistu darbību un datu apstrādes un brīvas aprites noteikumus.

II nodaļaDatu valsts inspekcijas uzdevumi un statuss

3. pants. Datu valsts inspekcija

(1) Datu valsts inspekcija (turpmāk — inspekcija) ir Ministru kabineta pārraudzībā esoša tiešās pārvaldes iestāde, kas ir datu uzraudzības iestāde datu regulas izpratnē un pilda datu regulā un šajā likumā noteiktos uzdevumus datu apstrādes jomā.

(2) Inspekcijas darbības mērķis ir aizsargāt cilvēka pamattiesības un pamatbrīvības datu aizsardzības jomā.

(3) Inspekcija savā darbībā ir neatkarīga.

(4) Inspekcijā nodarbinātie lēmumus pieņem patstāvīgi, pamatojoties uz savu pārliecību un likumiem, ievērojot personu vienlīdzību likuma un tiesas priekšā, nevainīguma prezumpciju, patiesību un likumību.

(5) Ministru kabinets institucionālo pārraudzību īsteno ar tieslietu ministra starpniecību. Pārraudzība neattiecas uz inspekcijai noteikto uzdevumu un tiesību īstenošanu, kā arī inspekcijas iekšējās organizācijas jautājumiem, tostarp iekšējo normatīvo aktu izdošanu, uzziņas sagatavošanu un lēmumiem, kuri attiecas uz inspekcijā nodarbinātajiem (piemēram, lēmumiem par nodarbināto pieņemšanu un atbrīvošanu no amata, pārcelšanu un tās saskaņošanu, nosūtīšanu komandējumā, disciplinārlietu ierosināšanu, izskatīšanu un disciplinārsodu piemērošanu).

(6) Inspekciju finansē no valsts budžeta.

(7) Inspekcijai ir valsts budžeta konts Valsts kasē, zīmogs ar papildinātā mazā valsts ģerboņa attēlu un pilnu inspekcijas nosaukumu.

4. pants. Inspekcijas uzdevumi

(1) Inspekcija pilda datu regulas 57. pantā noteiktos uzdevumus, kā arī šādus uzdevumus:

1) uzrauga datu apstrādes atbilstību normatīvo aktu prasībām, arī gadījumos, kad pārzinim ar likumu ir aizliegts sniegt datu subjektam informāciju un saņemts attiecīgs iesniegums no datu subjekta;

2) veicina datu aizsardzības efektivitāti;

3) nodrošina datu aizsardzības sertifikācijas procedūru;

4) nodrošina datu aizsardzības speciālistu kvalifikācijas pārbaudi un uztur kvalifikācijas eksāmenu nokārtojušo datu aizsardzības speciālistu sarakstu;

5) atbilstoši savai kompetencei sniedz Saeimai, Ministru kabinetam, pašvaldībām un citām iestādēm ieteikumus attiecībā uz tiesību aktu izdošanu vai grozīšanu, kā arī piedalās normatīvo aktu un attīstības plānošanas dokumentu projektu izstrādē un sniedz viedokli par citu institūciju sagatavotajiem normatīvo aktu un attīstības plānošanas dokumentu projektiem;

6) sniedz atzinumus par valsts pārvaldes institūcijās veidojamo datu apstrādes sistēmu atbilstību normatīvo aktu prasībām;

7) sniedz atzinumu nacionālajai akreditācijas institūcijai par sertifikācijas institūcijas atbilstību datu regulas 43. panta 2. punkta prasībām un saskaņā ar datu regulas 43. panta 3. punktu noteiktajām inspekcijas prasībām un kritērijiem;

8) sadarbojas ar ārvalstu datu aizsardzības, informācijas atklātības un pieejamības uzraudzības un komerciāla paziņojuma sūtīšanas aizlieguma uzraudzības institūcijām;

9) nodrošina to, ka datu subjekta informācijas pieprasījums par sevi tiek pārsūtīts Eiropas Tiesu sadarbības vienībai (Eirojustam) un Eiropas Policijas birojam (Eiropolam);

10) pārstāv Latvijas Republiku starptautiskajās organizācijās un pasākumos datu aizsardzības jomā;

11) veic pētījumus, analizē situāciju, sniedz ieteikumus un atzinumus, kā arī informē sabiedrību par aktuāliem jautājumiem savas kompetences jomās;

12) veic citos normatīvajos aktos noteiktos uzdevumus.

(2) Inspekcija savā tīmekļvietnē publicē informāciju par publisko tiesību juridisko personu, to iestāžu un amatpersonu, kā arī citu valsts institūciju pieļautajiem datu regulas prasību pārkāpumiem un to novēršanu.

5. pants. Inspekcijas tiesības

(1) Inspekcijai ir datu regulas 58. pantā noteiktās tiesības, kā arī šādas tiesības:

1) veikt datu apstrādes pārbaudi (turpmāk — pārbaude), lai noteiktu datu apstrādes atbilstību normatīvo aktu prasībām;

2) veikt administratīvā pārkāpuma procesu;

3) atbilstoši savai kompetencei pieprasīt un bez maksas noteiktajā apjomā un formā saņemt no privātpersonām, valsts pārvaldes institūcijām un amatpersonām pārbaudei nepieciešamo informāciju, dokumentus vai to kopijas un citus materiālus, tostarp ierobežotas pieejamības informāciju;

4) apmeklēt valsts pārvaldes institūcijas un Latvijas teritorijā izvietotas juridiskajām un fiziskajām personām piederošas vai to valdījumā vai lietošanā esošas ražošanas telpas, noliktavas, tirdzniecības un citas nedzīvojamās telpas, lai savas kompetences ietvaros pārbaudītu pārziņa darbību atbilstību normatīvo aktu prasībām;

5) atbilstoši savai kompetencei brīvi iepazīties ar reģistros, informācijas sistēmās un datubāzēs esošo visu veidu informāciju un piekļūt tai (neatkarīgi no informācijas piederības), lai iegūtu pārbaudei nepieciešamo informāciju;

6) atbilstoši savai kompetencei pieprasīt un saņemt pārbaudei nepieciešamo informāciju, dokumentus un citus materiālus par personām sniegtajiem pakalpojumiem;

7) pārbaudes ietvaros pieprasīt un saņemt neatkarīga un objektīva lietpratēja atzinumu;

8) sadarbojoties ar citām uzraudzības iestādēm un izskatot nerezidentu sūdzības, sniegt atbildes angļu valodā;

9) iesniegt tiesā prasību par šā likuma vai datu regulas pārkāpumiem.

(2) Inspekcijas ierēdņu pilnvaras apliecina dienesta apliecība.

III nodaļaInspekcijas darbības organizācija

6. pants. Inspekcijas direktors

(1) Inspekciju vada un pārstāv tās direktors. Inspekcijas direktoru pēc Ministru kabineta izveidotas komisijas ieteikuma uz pieciem gadiem amatā ieceļ Ministru kabinets. Viena un tā pati persona var būt inspekcijas direktors ne vairāk kā divus termiņus pēc kārtas.

(2) Inspekcijas direktors:

1) pilda Valsts pārvaldes iekārtas likumā noteiktās tiešās pārvaldes iestādes vadītāja funkcijas;

2) izveido konsultatīvās padomes, kā arī darba grupas jautājumu izvērtēšanai inspekcijas kompetences jomās;

3) ar padomdevēja tiesībām piedalās Valsts sekretāru sanāksmē, Ministru kabineta komiteju un Ministru kabineta sēdēs;

4) ieceļ amatā un atbrīvo no amata inspekcijas ierēdņus un darbiniekus;

5) apstiprina inspekcijas nolikumu;

6) nosaka ierēdņu un darbinieku amatus inspekcijā.

(3) Ministru kabinets izsludina atklātu konkursu uz inspekcijas direktora amatu, nosaka inspekcijas direktora amata pretendentu pieteikšanās nosacījumus un kārtību, kā arī pretendentu atlases un vērtēšanas kārtību.

(4) Inspekcijas direktora amata pretendentu atlasi veic komisija, kuru vada Valsts kancelejas direktors. Komisijas sastāvā ir Valsts kancelejas direktors, tieslietu ministrs, tiesībsargs un Drošības policijas priekšnieks. Inspekcijas direktora amata pretendentu atlasē ar padomdevēja tiesībām piedalās ne vairāk kā trīs tādu biedrību un nodibinājumu pilnvaroti pārstāvji, kuras darbojas cilvēktiesību vai datu aizsardzības jomā.

(5) Komisijas sekretariāta funkcijas nodrošina Valsts kanceleja.

(6) Uz inspekcijas direktoru neattiecas citos normatīvajos aktos noteiktais par iestādes vadītāja darbības un tās rezultātu novērtēšanu, atstādināšanu un disciplināro atbildību, kā arī citas inspekcijas direktora neatkarību ierobežojošas tiesību normas.

7. pants. Prasības inspekcijas direktoram

Par inspekcijas direktoru var būt persona, kura atbilst Valsts civildienesta likumā noteiktajām obligātajām ierēdņa amata prasībām un:

1) ir ar nevainojamu reputāciju;

2) pārvalda vismaz divas svešvalodas;

3) ieguvusi inspekcijas uzdevumu veikšanai atbilstošu profesionālo kvalifikāciju un praktisko darba pieredzi datu aizsardzības jomā un vadītāja amatā;

4) ir tiesīga saņemt speciālo atļauju pieejai valsts noslēpumam;

5) nav ieguvusi parādnieka statusu saskaņā ar Uzturlīdzekļu garantiju fonda likumu;

6) kurai nav pasludināts fiziskās personas maksātnespējas process vai no tā izbeigšanas dienas ir pagājuši pieci gadi.

8. pants. Inspekcijas direktora pilnvaru izbeigšanās

Inspekcijas direktora pilnvaras bez īpaša lēmuma izbeidzas:

1) mēneša laikā no dienas, kad viņš Ministru kabinetam iesniedzis iesniegumu par atteikšanos no amata;

2) beidzoties likumā noteiktajam pilnvaru termiņam;

3) stājoties spēkā nolēmumam, ar kuru viņš sodīts par tīšu noziedzīgu nodarījumu;

4) sakarā ar viņa nāvi.

9. pants. Inspekcijas direktora atbrīvošana no amata

(1) Ministru kabinets inspekcijas direktoru atbrīvo no amata pirms viņa pilnvaru termiņa beigām, ja viņš:

1) ir ievēlēts vai iecelts amatā, kas nav savienojams ar inspekcijas direktora amatu;

2) pildot savus pienākumus, ir pieļāvis tīšu likumpārkāpumu vai nolaidību un tādējādi radījis būtisku kaitējumu valstij vai personai;

3) nav ievērojis likumā "Par interešu konflikta novēršanu valsts amatpersonu darbībā" noteiktos ierobežojumus un aizliegumus un tādējādi radījis kaitējumu valstij vai personai;

4) neatbilst inspekcijas direktora amatam izvirzītajām prasībām;

5) nespēj pildīt amata pienākumus veselības stāvokļa dēļ;

6) bez attaisnojoša iemesla nepilda savus pienākumus.

(2) Jautājumu par inspekcijas direktora atbrīvošanu no amata pēc tieslietu ministra ierosinājuma izvērtē šā likuma 6. panta ceturtajā daļā minētā komisija. Ja komisija konstatē, ka pastāv kāds no šā panta pirmajā daļā noteiktajiem pamatiem inspekcijas direktora atbrīvošanai no amata, tā sagatavo attiecīgu lēmumu un nosūta to Ministru kabinetam. Komisijas izveides, darbības un lēmumu pieņemšanas kārtību nosaka Ministru kabinets.

10. pants. Inspekcijas direktora pilnvaru apturēšana

(1) Ja inspekcijas direktoram ir piemērots ar brīvības atņemšanu saistīts drošības līdzeklis vai pret viņu ir uzsākta kriminālvajāšana, tieslietu ministrs aptur viņa pilnvaras līdz brīdim, kad stājas spēkā attaisnojošs tiesas spriedums attiecīgajā krimināllietā vai kriminālprocess pret viņu tiek izbeigts uz reabilitējoša pamata.

(2) Inspekcijas direktora pilnvaru apturēšanas periodā viņam izmaksā valstī noteikto minimālo mēneša darba algu.

(3) Ja inspekcijas direktors likumā noteiktajā kārtībā tiek atzīts par vainīgu noziedzīga nodarījuma izdarīšanā, viņu uzskata par atbrīvotu no amata ar pilnvaru apturēšanas dienu un darba samaksu par pilnvaru apturēšanas periodu neizmaksā. Ja inspekcijas direktors tiek attaisnots vai kriminālprocess pret viņu tiek izbeigts, viņam izmaksā darba samaksu par pilnvaru apturēšanas periodu, ja vien nav cita šajā likumā noteikta pamata atbrīvošanai no amata.

(4) Ja kriminālprocess pret inspekcijas direktoru tiek izbeigts uz nereabilitējoša pamata, jautājumu par viņa atbrīvošanu no amata izvērtē šā likuma 6. panta ceturtajā daļā minētā komisija.

11. pants. Inspekcijas direktora vietnieks

(1) Inspekcijas direktora vietnieku ieceļ inspekcijas direktors.

(2) Inspekcijas direktora prombūtnes laikā viņa pienākumus pilda inspekcijas direktora vietnieks, un tam šajā laikā ir tādas pašas pilnvaras kā inspekcijas direktoram.

(3) Šā likuma 8., 9. un 10. pantā paredzētajos gadījumos inspekcijas direktora vietnieks pilda inspekcijas direktora pienākumus līdz brīdim, kad Ministru kabinets apstiprina amatā jaunu inspekcijas direktoru vai tieslietu ministrs atjauno inspekcijas direktora pilnvaras. Līdz šim brīdim inspekcijas direktora vietniekam ir tādas pašas pilnvaras kā inspekcijas direktoram.

12. pants. Inspekcijas nolikums

Inspekcijas struktūru, iekšējās darbības noteikumus, iekšējās kontroles sistēmu un tās uzraudzību, lēmumu priekšpārbaudes un pēcpārbaudes kārtību, kā arī inspekcijas ierēdņa dienesta apliecības saturu un formu reglamentē inspekcijas nolikums. To apstiprina inspekcijas direktors, un tas tiek publicēts inspekcijas tīmekļvietnē.

13. pants. Darbības pārskati

Inspekcija reizi gadā līdz 1. martam iesniedz darbības pārskatu Saeimai, Ministru kabinetam, Augstākajai tiesai, Eiropas Komisijai un Eiropas Datu aizsardzības kolēģijai, kā arī to ievieto savā tīmekļvietnē.

14. pants. Informācijas izpaušanas aizliegums un informēšanas pienākums

(1) Inspekcijā nodarbinātajiem, kā arī inspekcijas pieaicinātajiem lietpratējiem ir aizliegts izpaust informāciju (izņemot publiski pieejamo informāciju), ko tie ieguvuši saistībā ar uzdevumu veikšanu inspekcijā. Šis aizliegums ir spēkā arī pēc dienesta vai darba tiesisko attiecību izbeigšanās.

(2) Inspekcija, nododot lietpratējam ar uzdevuma izpildi saistīto informāciju, brīdina viņu par aizliegumu to izpaust un normatīvajos aktos noteikto atbildību par informācijas nelikumīgu izpaušanu.

(3) Inspekcija informē pārzini vai apstrādātāju par lietpratēja piesaisti un lietpratējam nodoto informāciju.

IV nodaļaPārbaužu īstenošanas kārtība

15. pants. Pārbaude

(1) Pārbaude ietver visu veidu darbības, ko inspekcija veic, lai noskaidrotu datu apstrādes atbilstību datu regulas un citu normatīvo aktu prasībām, tostarp datu apstrādes vietas apmeklēšanu, informācijas iegūšanu, izmantojot visas tiesiskās metodes, un citas nepieciešamās darbības.

(2) Pārbaudes ietvaros pirms datu apstrādes vietas apmeklēšanas inspekcija informē pārzini par plānotā apmeklējuma mērķi, laiku un vietu un lūdz nodrošināt pārziņa pilnvarotā pārstāvja klātbūtni. Pārziņa pilnvarotā pārstāvja klātbūtnes nenodrošināšana nav šķērslis pārbaudes veikšanai.

(3) Pārbaudes ietvaros inspekcijas ierēdņiem ir tiesības pārziņa pilnvarotā pārstāvja vai darbinieka klātbūtnē apmeklēt datu apstrādes vietu, uzrādot dienesta apliecību un informējot par pārbaudes priekšmetu un mērķi.

(4) Uzsākot šā panta pirmajā daļā noteiktās procesuālās darbības, inspekcijas ierēdnis informē pārziņa vai apstrādātāja pilnvarotos pārstāvjus un darbiniekus par viņu tiesībām.

(5) Lai inspekcijai sniedzamajai informācijai vai kādai tās daļai tiktu noteikts ierobežotas pieejamības informācijas statuss, informācijas sniedzējs precīzi norāda attiecīgos dokumentus un attiecīgā statusa noteikšanas nepieciešamības pamatojumu.

(6) Ja informācijas sniedzējs nav izpildījis šā panta piektās daļas prasības vai ierosinājums konkrētajai informācijai noteikt ierobežotas pieejamības informācijas statusu ir nepamatots, inspekcija par to paziņo informācijas sniedzējam.

(7) Ja šā panta sestajā daļā minētie trūkumi netiek novērsti septiņu dienu laikā no inspekcijas paziņojuma saņemšanas dienas, sniegtā informācija Informācijas atklātības likumā noteiktajā kārtībā var tikt aizsargāta vienīgi kā informācija iestādes iekšējai lietošanai. Inspekcija par to paziņo informācijas sniedzējam.

(8) Inspekcija var pieprasīt, lai persona, kuras sniegtajai informācijai nepieciešams noteikt ierobežotas pieejamības informācijas statusu, minētajai informācijai pievieno vispārpieejamas informācijas eksemplāru, kurā nav iekļauta ierobežotas pieejamības informācija.

16. pants. Procesuālās darbības protokols

(1) Šā likuma 15. pantā noteiktās procesuālās darbības inspekcijas ierēdņi fiksē procesuālās darbības protokolā.

(2) Procesuālās darbības protokolā norāda:

1) darbības vietu un datumu;

2) darbības tiesisko pamatu;

3) laiku, kad darbība sākta un pabeigta;

4) darbības veicēju amatu, vārdu un uzvārdu;

5) protokolētāja amatu, vārdu un uzvārdu;

6) personu — darbības dalībnieku — amatu, vārdu un uzvārdu;

7) darbības gaitu un konstatētos faktus;

8) darbības gaitā iegūtos dokumentus.

(3) Protokolam pievieno procesuālās darbības gaitā iegūtos dokumentus.

(4) Procesuālās darbības veicējs iepazīstina personas, kuras piedalījās attiecīgajā darbībā, ar procesuālās darbības protokola saturu un pielikumiem. Personu ieteiktos labojumus un papildinājumus fiksē procesuālās darbības protokolā.

(5) Procesuālās darbības protokolu kopumā un katru tā lappusi atsevišķi paraksta procesuālās darbības veicējs, protokolētājs un visas personas, kuras piedalījās attiecīgajā darbībā. Elektroniski paraksta tikai protokolu kopumā. Ja persona atsakās parakstīties, to atzīmē protokolā, norādot atteikšanās iemeslu.

(6) Procesuālās darbības veicējs izsniedz protokola kopiju personai, pret kuru uzsākta pārbaude.

V nodaļaDatu aizsardzības speciālists

17. pants. Prasības datu aizsardzības speciālistam

Datu aizsardzības speciālista pienākumus drīkst veikt persona, kura atbilst datu regulas 37. panta 5. punktā noteiktajiem kritērijiem. Pārzinis vai apstrādātājs par datu aizsardzības speciālistu var norīkot personu, kura šajā likumā noteiktajā kārtībā ir iekļauta inspekcijas datu aizsardzības speciālistu sarakstā, vai citu personu.

18. pants. Datu aizsardzības speciālistu saraksts

(1) Lai identificētu datu aizsardzības speciālistus, kuri ir nokārtojuši kvalifikācijas eksāmenu, un nodrošinātu to, ka informācija par datu aizsardzības speciālistiem ir pieejama, inspekcija kārto datu aizsardzības speciālistu sarakstu. Datu aizsardzības speciālistu sarakstā iekļauj tikai tās personas, kuras ir nokārtojušas kvalifikācijas eksāmenu.

(2) Datu aizsardzības speciālistu sarakstā iekļauj šādus datus par personu:

1) vārdu, uzvārdu un personas kodu;

2) datumu, kad persona iekļauta datu aizsardzības speciālistu sarakstā;

3) elektroniskā pasta adresi.

(3) Datu aizsardzības speciālists nekavējoties rakstveidā paziņo inspekcijai par konstatētajām kļūdām un grozījumiem ziņās, kas attiecībā uz viņu iekļautas datu aizsardzības speciālistu sarakstā.

(4) Datu aizsardzības speciālistu saraksts (izņemot personas kodu) ir publiski pieejams inspekcijas tīmekļvietnē.

(5) Ministru kabinets nosaka datu aizsardzības speciālistu saraksta uzturēšanas kārtību.

19. pants. Datu aizsardzības speciālista kvalifikācijas eksāmens

(1) Datu aizsardzības speciālista kvalifikācijas eksāmenu organizē inspekcija.

(2) Ja persona nokārto datu aizsardzības speciālista kvalifikācijas eksāmenu, inspekcijas direktors pieņem lēmumu par tās iekļaušanu datu aizsardzības speciālistu sarakstā.

(3) Pretendentu pieteikšanās kārtību, kvalifikācijas eksāmena saturu, norises un vērtēšanas kārtību, maksu par kvalifikācijas eksāmena kārtošanu un tās iekasēšanas kārtību, kā arī prasības profesionālās kvalifikācijas uzturēšanai nosaka Ministru kabinets.

20. pants. Izslēgšana no datu aizsardzības speciālistu saraksta

(1) Datu aizsardzības speciālistu saskaņā ar inspekcijas direktora lēmumu izslēdz no datu aizsardzības speciālistu saraksta, ja:

1) viņš iesniedzis inspekcijai attiecīgu rakstveida lūgumu;

2) tiesa viņam nodibinājusi aizgādnību;

3) viņam ar tiesas spriedumu atņemtas tiesības strādāt par datu aizsardzības speciālistu vai noteikti citādi ierobežojumi, kas neļauj pildīt attiecīgos profesionālos pienākumus;

4) viņš ir miris vai atzīts par bezvēsts prombūtnē esošu;

5) viņš nav izpildījis Ministru kabineta noteikumos paredzētās prasības profesionālās kvalifikācijas uzturēšanai.