Apstrādes darbību reģistrs, DPIA un pārejas pabeigšana

9. modulis: Cilvēki un noteikumi · Lasīšanas laiks: 12 minūtes

Mācību mērķis: Pēc šīs nodarbības Jūs varēsiet pēc pārejas atjaunināt apstrādes darbību reģistru un privātuma paziņojumu, noteikt, vai nepieciešams DPIA, panākt, lai vecais pakalpojums tiktu kārtīgi dzēsts, un formāli pabeigt pāreju ar nobeiguma kontrolsarakstu.

Pamatjēdzieni: apstrādes darbību reģistrs (30. pants), izņēmums mazāk nekā 250 darbinieku gadījumā, DPIA (35. pants), DVI DPIA saraksts, privātuma paziņojums (13. un 14. pants), saņēmēji, nodošana, pienākums paziņot par datu aizsardzības pārkāpumu (33. pants), dzēšana pie vecā pakalpojuma sniedzēja, dzēšanas apstiprinājums, izvērtēšana, nobeiguma kontrolsaraksts

Pāreja ir pabeigta tikai tad, kad kārtībā ir arī dokumenti

Pasts darbojas, faili ir savā vietā, visi strādā jaunajā vidē. Tehniski Jūs esat gatavi. Taču attiecībā uz VDAR vēl ir darāmais: Jūsu dokumentācija joprojām apraksta veco situāciju. Ja klients uzdod jautājumu, notiek pārbaude vai gadās datu aizsardzības pārkāpums, Jums jāspēj parādīt, kā lietas patiešām ir. Šī nodarbība pabeidz pāreju.

Šis ir skaidrojums, nevis juridisks padoms.

Apstrādes darbību reģistrs

VDAR 30. panta 1. punkts uzliek pārzinim par pienākumu uzturēt apstrādes darbību reģistru. Tajā par katru apstrādi (piemēram, "klientu pasūtījumi", "personāla administrēšana", "jaunumu izsūtne") jānorāda:

• pārziņa vārds un kontaktinformācija (un, ja attiecināms, datu aizsardzības speciālista kontaktinformācija);
• apstrādes mērķi;
• datu subjektu un personas datu kategorijas;
• saņēmēji, tostarp apstrādātāji;
• nodošana uz valstīm ārpus EEZ, ar aizsardzības pasākumiem;
• glabāšanas termiņi, ja iespējams;
• vispārīgs drošības pasākumu apraksts, ja iespējams.

Vai tas attiecas arī uz nelielu organizāciju?

30. panta 5. punktā paredzēts izņēmums organizācijām ar mazāk nekā 250 darbiniekiem. Taču šis izņēmums neattiecas, ja apstrāde, visticamāk, rada risku, ja tā nav gadījuma rakstura, vai ja tā ietver īpašu kategoriju personas datus (piemēram, veselības datus) vai datus par sodāmību. Nīderlandes uzraudzības iestāde (Autoriteit Persoonsgegevens, AP) skaidro, ka praksē apstrāde reti ir gadījuma rakstura: tiklīdz Jums ir darbinieki vai pastāvīgi klienti, Jūs veicat strukturētu apstrādi. Tāpēc, piemēram, maiznīcai Bakkerij De Korrel ar algu uzskaiti, klientu pasūtījumiem un slimības paziņojumiem šis izņēmums nav piemērojams.

Pastāv Eiropas priekšlikums atvieglot reģistra pienākumu mazākām organizācijām (tā dēvētā Omnibus IV pakete; 2026. gada jūnijā Padome un Parlaments panāca pagaidu vienošanos). Kamēr tā nav stājusies spēkā, ir spēkā pašreizējais 30. pants. Un arī pēc tam pārskats joprojām ir noderīgs: tas Jums nepieciešams, lai spētu izpildīt pārējos pienākumus.

Kas jāpielāgo pēc pārejas?

Izejiet cauri katrai reģistra rindai un pielāgojiet:

Pāreja ir labs brīdis, lai beidzot reāli sakārtotu glabāšanas termiņus. Nīderlandē attiecībā uz nodokļu administrēšanu parasti ir spēkā septiņu gadu glabāšanas pienākums; attiecībā uz pieteikumu darbam datiem Nīderlandes uzraudzības iestāde principā iesaka četras nedēļas pēc procedūras beigām. Pārbaudiet, kādi termiņi attiecas uz Jūsu nozari un valsti.

Vai Jums jāveic DPIA?

DPIA (data protection impact assessment, VDAR saukts par "novērtējumu par ietekmi uz datu aizsardzību") ir strukturēta riska analīze, kas jāveic iepriekš. 35. pants nosaka DPIA pienākumu, ja apstrāde, visticamāk, rada augstu risku datu subjektiem, jo īpaši jaunu tehnoloģiju gadījumā.

Kā Jūs varat zināt, vai tā tas ir?

1. AP saraksts. Nīderlandes uzraudzības iestāde (Autoriteit Persoonsgegevens) 2019. gadā publicēja septiņpadsmit apstrādes veidu sarakstu, kuriem DPIA ir obligāts vienmēr. Tajā cita starpā minēta liela mēroga veselības datu apstrāde, videonovērošana, darbinieku monitorēšana, saziņas dati, atrašanās vietas dati, profilēšana un biometrija. Katrai ES uzraudzības iestādei ir savs šāds saraksts (VDAR 35. panta 4. punkts).
2. Eiropas kritēriji. Eiropas uzraudzības iestādes ir izstrādājušas deviņus kritērijus (piemēram, sensitīvi dati, liels apjoms, neaizsargāti datu subjekti, sistemātiska monitorēšana, jaunas tehnoloģijas). Ja apstrāde atbilst diviem vai vairāk kritērijiem, parasti DPIA ir nepieciešams.

Maiznīcai, kas pārceļ pastu un failus, DPIA parasti nav obligāts. Ģimenes ārsta praksei, kas pārceļ pacientu saziņu uz jaunu pakalpojumu, vai skolai ar skolēnu datiem, situācija ir citāda. Pat ja tas nav obligāts, īsa riska analīze var būt noderīga. Nodarbībā 1.5 minētais izvērtējums ir labs sākums tam. Ja Jums jau ir DPIA vecajam pakalpojumam, atjauniniet to.

Privātuma paziņojums

Savā privātuma paziņojumā Jūs informējat datu subjektus (klientus, pretendentus, mājaslapas apmeklētājus) par to, kā Jūs rīkojaties ar viņu datiem (13. un 14. pants). Tajā cita starpā jānorāda saņēmēji vai saņēmēju kategorijas un iespējamā nodošana ārpus EEZ. Ja tur bija rakstīts "mēs izmantojam Amerikas Savienotajās Valstīs reģistrētu uzņēmumu pakalpojumus, pamatojoties uz Data Privacy Framework", tad šo tekstu pielāgojiet. Nemainiet neko, kas nav korekti: norādiet tikai to, ko Jūs tiešām droši zināt no datu apstrādes līguma un apakšapstrādātāju saraksta.

Datu aizsardzības pārkāpumi: ziniet, kam zvanīt

Pēc pārejas Jūsu pakalpojumu sniedzējs ir mainījies, un tāpēc ir mainījusies arī rīcība datu aizsardzības pārkāpuma gadījumā. Procedūrā ietveriet:

• jaunā pakalpojumu sniedzēja kontaktadresi drošības incidentiem;
• termiņu, kādā pakalpojumu sniedzējam saskaņā ar datu apstrādes līgumu jāinformē Jūs;
• kurš Jūsu organizācijā lemj, vai jāziņo uzraudzības iestādei, jo paziņošana uzraudzības iestādei jāveic 72 stundu laikā no atklāšanas brīža (33. pants);
• kur Jūs uzturat datu aizsardzības pārkāpumu reģistru: arī pārkāpumi, par kuriem nav jāziņo, iekšēji jāreģistrē (33. panta 5. punkts).

Pabeigšana pie vecā pakalpojuma sniedzēja

Vecā pakalpojuma līgumu izbeidziet tikai tad, kad viss dažas nedēļas ir strādājis bez problēmām (nodarbība 3.3). Pēc tam:

1. Pēdējā pārbaude: vai viss ir pārcelts? Vai ir kopīgas mapes, veidlapas vai saites, kas joprojām norāda uz veco pakalpojumu?
2. Eksportējiet pēdējo arhīvu savai administrācijai, ja vēlaties to saglabāt (piemēram, pastu, uz kuru attiecas glabāšanas pienākums). Glabājiet to šifrētu.
3. Dzēsiet kontus un datus pie vecā pakalpojuma sniedzēja vai lieciet tos dzēst. VDAR 28. panta 3. punkta g) apakšpunkts uzliek vecajam apstrādātājam par pienākumu pēc darba beigām dzēst vai atdot datus, pēc Jūsu izvēles. Pieprasiet dzēšanas apstiprinājumu un glabājiet to kopā ar savu reģistru.
4. Sakārtojiet saites: "pieteikties ar" saites pie citiem pakalpojumiem, lietotnes ar piekļuvi un pārbaudes ierakstus Jūsu DNS (nodarbība 4.3).
5. Pielāgojiet savu reģistru, privātuma paziņojumu un datu aizsardzības pārkāpumu procedūru (skat. iepriekš).

Izvērtēšana

Mēnesi pēc pārejas ieplānojiet īsu izvērtēšanu kopā ar vēstniekiem (nodarbība 9.1). Kas izdevās labi, kas ne, ko Jūs nākamreiz darītu citādi? Pierakstiet arī sava jaunā pakalpojuma exit plānu (nodarbība 8.2) un ieplānojiet kalendārā datumu, kad to ikgadēji pārbaudīt.

Praksē: kā tas izskatās pie pakalpojumu sniedzēja

Daudziem pakalpojumu sniedzējiem ir funkcija, ar kuru lejupielādēt Jūsu datus vai lūgt dzēst Jūsu kontu. WebOké rokasgrāmatā ir aprakstīts, kā lejupielādēt savus datus vai lūgt tos dzēst. Lielajiem Amerikas pakalpojumiem tas parasti saucas "datu eksportēšana" un "konta dzēšana", un organizācijas konta administratoram ir savas eksportēšanas funkcijas. Iepriekš izlasiet, cik ilgi pakalpojums pēc dzēšanas vēl glabā datus dublējumkopijās; tas bieži norādīts privātuma paziņojumā vai datu apstrādes līgumā.

Nobeiguma kontrolsaraksts

• [ ] Visas inventarizācijas sastāvdaļas (nodarbība 3.1) ir jaunajā vidē un pārbaudītas
• [ ] Noslēgts un saglabāts datu apstrādes līgums(-i) ar jauno(-ajiem) pakalpojumu sniedzēju(-iem) (nodarbība 9.2)
• [ ] Atjaunināts apstrādes darbību reģistrs: saņēmēji, nodošana, drošība, glabāšanas termiņi
• [ ] Izvērtēts DPIA (vajadzīgs vai nē, un kāpēc tas fiksēts)
• [ ] Pielāgots privātuma paziņojums
• [ ] Datu aizsardzības pārkāpumu procedūra ar jaunu kontaktinformāciju
• [ ] Vecais pakalpojums izbeigts, dati dzēsti, apstiprinājums saglabāts
• [ ] Sakārtotas saites un vecie DNS ieraksti
• [ ] Izveidots un pārbaudīts jaunās vides dublējums (nodarbība 8.1)
• [ ] Nofiksēts jaunā pakalpojuma exit plāns (nodarbība 8.2)
• [ ] Veikta izvērtēšana

Kopsavilkums

• Pēc pārejas atjauniniet apstrādes darbību reģistru: saņēmējus, nodošanu, drošību un glabāšanas termiņus.
• Izņēmums organizācijām ar mazāk nekā 250 darbiniekiem praksē reti ir piemērojams; priekšlikums to atvieglot vēl nav stājies spēkā (stāvoklis 2026. gada novembrī).
• DPIA ir obligāts augsta riska gadījumā (DVI saraksts, Eiropas kritēriji); parastiem biroja datiem parasti tas nav nepieciešams.
• Pielāgojiet savu privātuma paziņojumu un datu aizsardzības pārkāpumu procedūru.
• Lieciet vecajam pakalpojumam dzēst Jūsu datus un pieprasiet apstiprinājumu.

Tests

Uzdevums

Uzdevums E9.3: Pabeidziet savu pāreju. Trīs Jūsu organizācijas apstrādēm atjauniniet apstrādes darbību reģistra rindas (saņēmēji, nodošana, drošība, glabāšanas termiņš), izmantojot DVI sarakstu un Eiropas kritērijus novērtējiet, vai nepieciešams DPIA, un aizpildiet nobeiguma kontrolsarakstu.

Papildu lasāmviela

Šajos rakstos aprakstītie soļi attiecas uz WebOké pakalpojumiem; pie citiem pakalpojumu sniedzējiem tas darbojas līdzīgi.

• WebOké rokasgrāmata 11.7: Privātums: Jūsu datu lejupielāde vai dzēšana
• Nextcloud rokasgrāmata 16.7: Kolēģis aiziet: droša datņu, kalendāra un koplietoto mapju pārņemšana
• Nextcloud rokasgrāmata 15.13: Biežāk uzdotie jautājumi par drošību un privātumu
• Regula (ES) 2016/679 (VDAR), 13., 14., 28., 30., 33. un 35. pants, EUR-Lex vietnē
• Nīderlandes uzraudzības iestādes (Autoriteit Persoonsgegevens) lēmums par apstrādes veidu sarakstu, kuriem DPIA ir obligāts (Stcrt. 2019), wetten.overheid.nl vietnē (BWBR0042812); katrai ES dalībvalsts uzraudzības iestādei ir savs šāds saraksts
• Nīderlandes uzraudzības iestāde (Autoriteit Persoonsgegevens), sadaļas "Apstrādes darbību reģistrs" un "DPIA": https://www.autoriteitpersoonsgegevens.nl
• Vai šī ir datu noplūde, un vai man par to ir jāziņo?