Šajā tīmekļa vietnē tiek izmantotas sīkdatnes. Turpinot lietot šo vietni, jūs piekrītat sīkdatņu izmantošanai. Uzzināt vairāk.

Piekrītu
  • Atvērt paplašināto meklēšanu
  • Aizvērt paplašināto meklēšanu
Pievienot parametrus
Dokumenta numurs
Pievienot parametrus
publicēts
pieņemts
stājies spēkā
Pievienot parametrus
Aizvērt paplašināto meklēšanu
RĪKI

Ministru kabinets
Oficiālajā izdevumā publicē:
  • Ministru kabineta noteikumus, instrukcijas un ieteikumus. Tie stājas spēkā nākamajā dienā pēc izsludināšanas, ja tiesību aktā nav noteikts cits spēkā stāšanās termiņš;
  • Ministru kabineta rīkojumus. Tie stājas spēkā parakstīšanas brīdī;
  • Ministru kabineta sēdes protokollēmumus. Tie stājas spēkā pieņemšanas brīdī.

Ministru kabineta izdotos tiesību aktus publicēšanai nosūta Valsts kanceleja. Tie publicējami parasti divu darbdienu laikā pēc dokumenta saņemšanas.

TIESĪBU AKTI, KAS PAREDZ OFICIĀLO PUBLIKĀCIJU PERSONAS DATU APSTRĀDE

Publikācijas atsauce

ATSAUCĒ IETVERT:
Ministru kabineta 2015. gada 12. maija noteikumi Nr. 216 "Kārtība, kādā sagatavo un iesniedz personas datu apstrādes atbilstības novērtējumu". Publicēts oficiālajā izdevumā "Latvijas Vēstnesis", 14.05.2015., Nr. 93 (5411) https://www.vestnesis.lv/op/2015/93.6

Paraksts pārbaudīts

NĀKAMAIS

Ministru kabineta noteikumi Nr.217

Grozījums Ministru kabineta 2001.gada 30.janvāra noteikumos Nr.40 "Personas datu aizsardzības obligātās tehniskās un organizatoriskās prasības"

Vēl šajā numurā

14.05.2015., Nr. 93 (5411)

PAR DOKUMENTU

Izdevējs: Ministru kabinets

Veids: noteikumi

Numurs: 216

Pieņemts: 12.05.2015.

OP numurs: 2015/93.6

2015/93.6
RĪKI

Ministru kabineta noteikumi: Šajā laidienā 7 Pēdējās nedēļas laikā 1 Visi

Ministru kabineta noteikumi Nr.216

Rīgā 2015.gada 12.maijā (prot. Nr.24 15.§)

Kārtība, kādā sagatavo un iesniedz personas datu apstrādes atbilstības novērtējumu

Izdoti saskaņā ar Fizisko personu datu aizsardzības likuma
26.panta 2.1 daļu

1. Noteikumi nosaka:

1.1. personas datu apstrādes atbilstības novērtējuma (turpmāk – novērtējums) nosacījumus;

1.2. kārtību un termiņu, kādā sagatavo novērtējumu un iesniedz to Datu valsts inspekcijā.

2. Noteikumi attiecas uz valsts un pašvaldību institūcijām un privātpersonām, kurām deleģēti valsts pārvaldes uzdevumi (turpmāk – iestāde).

3. Novērtējuma sagatavošana ir dokumentēts process, kura mērķis ir izvērtēt personas datu apstrādes faktiskos apstākļus un to atbilstību normatīvajiem aktiem personas datu aizsardzības jomā. Vērtējot personas datu apstrādes faktiskos apstākļus, novērtētājs intervē personas, kas iesaistītas personas datu apstrādē un aizsardzībā, pārbauda iekšējās procedūras, veic vizuālo novērtēšanu un pārbauda dokumentus.

4. Novērtējumu atbilstoši šo noteikumu pielikumam sagatavo:

4.1. pirms personas datu apstrādes uzsākšanas jaunam personas datu apstrādes mērķim;

4.2. pirms tādu izmaiņu veikšanas personas datu apstrādē, kas ietekmē datu subjekta tiesības vai intereses personas datu aizsardzības jomā;

4.3. pēc iestādes iniciatīvas;

4.4. pēc Datu valsts inspekcijas pieprasījuma.

5. Šo noteikumu 4.2. apakšpunktā minētajā gadījumā novērtējumu var sagatavot pēc personas datu apstrādē veiktajām izmaiņām, ja:

5.1. jebkura kavēšanās veikt izmaiņas personas datu apstrādē var radīt tūlītēju un būtisku risku datu subjekta tiesībām vai interesēm;

5.2. jebkura kavēšanās veikt izmaiņas personas datu apstrādē rada apdraudējumu informācijas drošībai;

5.3. ir veiktas izmaiņas normatīvajos aktos, kas attiecas uz personas datu apstrādi. Ja normatīvo aktu izmaiņas, kas attiecas uz vienam datu apstrādes mērķim veicamo personas datu apstrādi, tiek veiktas vairākas reizes gadā, pārzinim ir tiesības veikt novērtējumu reizi gadā, novērtējumu sagatavojot par gada laikā veiktajām izmaiņām.

6. Katram personas datu apstrādes mērķim sagatavo atsevišķu novērtējumu.

7. Novērtējumu sagatavo personas datu aizsardzības speciālists vai persona, kura ir ieguvusi otrā līmeņa profesionālo vai akadēmisko augstāko izglītību, kurai ir zināšanas personas datu aizsardzības jomā un kurai ir vismaz viena gada pieredze personas datu aizsardzības vai informācijas tehnoloģiju, vai audita, kā arī tam līdzvērtīgu pārbaužu veikšanas jomā (turpmāk – novērtētājs).

8. Iestādei ir tiesības pieaicināt novērtētāju, kurš atbilst šo noteikumu 7. punktā minētajām prasībām.

9. Novērtētājam ir tiesības, veicot novērtējumu, pieaicināt attiecīgās jomas speciālistus, kas neatbilst šo noteikumu 7. punktā minētajām prasībām.

10. Iestāde nodrošina novērtētājam un šo noteikumu 9. punktā minētajam novērtēšanas procesā iesaistītajam speciālistam piekļuvi dokumentiem, informācijas sistēmām, tehniskajiem resursiem un telpām, kas nepieciešamas, lai veiktu novērtējumu.

11. Novērtētājs un šo noteikumu 9. punktā minētais novērtēšanas procesā iesaistītais speciālists rakstveidā apņemas neizpaust novērtējuma laikā iegūto informāciju, izņemot normatīvajos aktos noteiktos gadījumus.

12. Pamatojoties uz konstatētajiem faktiem un pārbaudītajiem dokumentiem, novērtētājs iestādes noteiktajā termiņā sagatavo novērtējuma projektu, par kuru iestāde vai tās pilnvarota amatpersona sniedz viedokli 10 darbdienu laikā.

13. Novērtētājs, izvērtējot iestādes viedokli, ja nepieciešams, precizē novērtējuma projektu un apstiprina novērtējumu.

14. Pēc novērtējuma apstiprināšanas novērtētājs sagatavo novērtējuma kopsavilkumu. Novērtējuma kopsavilkumā norāda:

14.1. pārziņa nosaukumu vai vārdu un uzvārdu, novērtētāja vārdu, uzvārdu un kontaktinformāciju;

14.2. novērtējuma veikšanas pamatu un apjomu;

14.3. laikposmu, kad veikts novērtējums;

14.4. personas datu apstrādes mērķi;

14.5. secinājumus un konstatētos trūkumus;

14.6. ieteikumus un termiņu trūkumu novēršanai.

15. Iestāde vai tās pilnvarota amatpersona novērtējuma kopsavilkumu 10 darbdienu laikā pēc tā sagatavošanas elektroniski iesniedz Datu valsts inspekcijā.

16. Ja novērtējumā norāda ieteikumus trūkumu novēršanai, iestāde vai tās pilnvarota amatpersona pēc trūkumu novēršanas par to paziņo novērtētājam.

17. Pēc trūkumu novēršanas novērtētājs sagatavo ziņojumu, kurā norāda informāciju par trūkumu novēršanai veiktajiem pasākumiem. Ziņojumu pievieno novērtējumam, un tas ir uzskatāms par novērtējuma neatņemamu sastāvdaļu. Iestāde vai tās pilnvarota amatpersona 10 darbdienu laikā pēc ziņojuma sagatavošanas to nosūta Datu valsts inspekcijai.

18. Novērtējums, ziņojums par trūkumu novēršanu un novērtējuma kopsavilkums ir ierobežotas pieejamības informācija.

19. Iestādei ir pienākums glabāt ne mazāk kā divus pēdējos novērtējumus par katru personas datu apstrādes mērķi, to kopsavilkumu un šo noteikumu 17. punktā minēto ziņojumu.

Ministru prezidente Laimdota Straujuma

Tieslietu ministrs Dzintars Rasnačs

 

 

Pielikums
Ministru kabineta
2015.gada 12.maija
noteikumiem Nr.216

Personas datu apstrādes atbilstības novērtējums

I. Personas datu apstrādes vispārīgs apraksts

Iestādes nosaukums

 

Kontaktinformācija

 

Novērtētājs (vārds, uzvārds)

 

Kontaktinformācija

 

Novērtējuma veikšanas periods

 
Novērtējuma veikšanas pamats:

Atzīmēt

pirms personas datu apstrādes uzsākšanas jaunam personas datu apstrādes mērķim

pirms tādu izmaiņu veikšanas personas datu apstrādē, kas ietekmē datu subjekta tiesības vai intereses personas datu aizsardzības jomā

pēc savas iniciatīvas

pēc Datu valsts inspekcijas pieprasījuma

Kāds ir personas datu apstrādes mērķis?  
Vai personas datu apstrādes mērķi nosaka normatīvie akti?

Ja atbilde ir "jā", norādiet normatīvos aktus, kas paredz datu apstrādi

Kādi personas dati, piemēram, vārds, uzvārds, personas kods, tiek apstrādāti, lai sasniegtu iepriekšējā punktā norādīto mērķi?

Ja tiek apstrādāti sensitīvie personas dati, norādiet tos  
Kādā veidā notiek personas datu apstrāde – manuāli vai automatizēti?  
Vai sensitīvo personas datu apstrāde ir nodalīta no pārējo personas datu apstrādes?

Ja atbilde ir "jā", raksturojiet procedūru, kā tas tiek nodrošināts.

Ja atbilde ir "nē", norādiet iemeslus

Vai visi apstrādājamie dati ir nepieciešami personas datu apstrādes mērķa sasniegšanai?

Ja atbilde ir "jā", uzskaitiet šos datus, norādot, kādēļ tie nepieciešami personas datu apstrādes mērķa sasniegšanai.

Ja atbilde ir "nē", norādiet iemeslus

Vai personas datu apstrādes mērķi var sasniegt, vispār neapstrādājot personas datus vai apstrādājot mazākā apjomā? Pamatojiet var

nevar

Norādiet personas datu apstrādes tiesisko pamatu atbilstoši Fizisko personu datu aizsardzības likuma 7. pantam.

Ja tiek apstrādāti sensitīvi personas dati, norādiet pamatojumu atbilstoši Fizisko personu datu aizsardzības likuma 11. pantam

 
Ja personas datu apstrādes tiesiskais pamats ir datu subjekta piekrišana, norādiet, kādā veidā (elektroniski, rakstiski, mutiski) un kad tiek iegūta datu subjekta piekrišana  
Ja sensitīvie personas dati tiek apstrādāti, pamatojoties uz datu subjekta piekrišanu, norādiet, vai šī piekrišana ir noformēta rakstveidā.

Ja atbilde ir negatīva, pamatojiet, kāpēc datu subjekta piekrišana nav noformēta rakstiski

ir rakstveidā

nav rakstveidā

Vai personas datu apstrāde ir uzticēta personas datu operatoram? Ja atbilde ir "jā", norādiet tiesisko pamatu

Vai personas datu apstrāde ir reģistrēta Datu valsts inspekcijā? Ja atbilde ir "nē", norādiet pamatojumu

II. Riska analīze attiecībā uz personas datu subjekta tiesībām un brīvībām

1. Personas datu apstrāde atbilstoši personas datu apstrādes mērķim

Cik bieži tiek pārbaudīts apstrādājamo personas datu apjoms un atbilstība personas datu apstrādes mērķim?  
Kāda kārtība ir paredzēta, lai periodiski izvērtētu apstrādājamo personas datu apjomu un to atbilstību personas datu apstrādes mērķa sasniegšanai? Cik bieži šī kārtība tiek pārskatīta?

Ja kārtība nav paredzēta, norādiet iemeslus un paskaidrojiet, kā tiek nodrošināts, lai personas datu apjoms visā to apstrādes laikā nepārsniegtu personas datu apstrādes mērķa sasniegšanai nepieciešamo

 
Kādas procedūras ir paredzētas, lai nodrošinātu personas datu apstrādi atbilstoši personas datu aizsardzības prasībām?  
Vai ir noteiktas procedūras, kā identificē datu subjektu, informācijas sistēmas lietotāju, trešās personas, kuras apstrādā personas datus manuāli vai informācijas sistēmā?

Ja atbilde ir "jā", raksturojiet kārtību vai procedūru

2. Adekvāta personas datu apstrāde

Kā tiek nodrošināta pareizu (precīzu, aktuālu) personas datu apstrāde?  
Norādiet dokumentu, kurā ir noteikta kārtība, kā un cik bieži tiek aktualizēti (precizēti) personas dati  
Cik bieži veic pārbaudes, vai apstrādāti tiek pareizi (precīzi, aktuāli) dati? Norādiet pamatojumu, kādēļ ir izvēlēts šāds periodiskums un vai tas nodrošina tikai pareizu (precīzu, aktuālu) personas datu apstrādi  
Vai ir vērtēti zaudējumi, kas var rasties no neaktuālu datu apstrādes?

Kā tiek apstrādāti datu subjekta iesniegumi un kā uz tiem reaģē, ja attiecīgais datu subjekts uzskata, ka par viņu apstrādātie personas dati nav aktuāli? Kādā veidā ir nodrošinātas datu subjekta tiesības ziņot par neaktuālu datu apstrādi?  

3. Personas datu glabāšana atbilstoši personas datu apstrādes mērķim

Kā tiek noteikti personas datu glabāšanas termiņi (piemēram, atbilstoši normatīvajam aktam, līgumam, datu subjekta piekrišanai)?

Pamatojiet termiņa izvēli

 
Ja personas datu glabāšanas termiņš ir noteikts normatīvajā aktā, norādiet to  
Ja personas datu glabāšanas termiņš netiek regulēts ar ārēju normatīvo aktu, norādiet, cik bieži tiek izvērtēti personas datu glabāšanas termiņi  
Ja personas datu apstrāde vairs nav nepieciešama personas datu apstrādes mērķa sasniegšanai:  
1. Kā tiek izvērtēta personas datu apstrāde, lai noteiktu, kuri dati ir dzēšami? 1.
2. Kurš ir atbildīgs par personas datu novērtēšanu, lai noteiktu, kuri dati un kad ir dzēšami? 2.
3. Vai informācijas sistēmā ir ieviesta automatizēta paziņojuma saņemšana, kas norāda uz nepieciešamību dzēst personas datus? 3.
Vai ir izstrādātas vadlīnijas attiecībā uz personas datu dzēšanu?

4. Personas datu izpaušana

Vai ir izstrādāti iekšējie normatīvie akti, kas paredz kārtību personas datu izpaušanai iestādes ietvaros un trešajām personām?

Norādiet kārtību, kādā tiek nodrošināta iestādes darbinieku informēšana par personas datu izpaušanu  
Norādiet kārtību, kādā tiek izvērtēts, vai personas datus ir iespējams izpaust trešajām personām (piemēram, kā notiek pieprasītāja identificēšana). Kas tiek izvērtēts, pieņemot lēmumu par personas datu izpaušanu?  
Vai un kādā veidā tiek saglabāta informācija par gadījumiem, kad personas dati tiek izpausti?  

5. Datu subjekta tiesību nodrošināšana

5.1. Datu subjekta informēšana par viņa personas datu apstrādi

Vai personas dati tiek iegūti no datu subjekta?

Vai ir nodrošināta datu subjekta informēšana par viņa personas datu apstrādi neatkarīgi no tā, vai personas dati ir vai nav iegūti no datu subjekta?

Ja atbilde ir "jā", norādiet, kādā veidā un kādā gadījumā datu subjekts tiek informēts par viņa personas datu apstrādi, un kāda satura informācija tiek sniegta.

Ja atbilde ir "nē", norādiet, kādēļ datu subjekts netiek informēts

Vai datu subjektam tiek nodrošināta iespēja iegūt informāciju par personām, kuras ir saņēmušas informāciju par šo datu subjektu?

Ja atbilde ir "jā", norādiet, par kādu laikposmu šāda informācija tiek sniegta.

Ja atbilde ir "nē", norādiet, kādēļ informācija netiek sniegta

Norādiet, cik bieži un kādā termiņā datu subjektam tiek nodrošinātas tiesības saņemt informāciju par viņa personas datu apstrādi. Norādiet termiņa un biežuma noteikšanas pamatojumu  
Vai par informācijas sniegšanu tiek prasīta maksa, ja datu subjekts informāciju par savu personas datu apstrādi pieprasa biežāk nekā divas reizes gadā? Kāds ir tās apmērs?

Vai datu subjektam ir nodrošinātas tiesības ierobežot savu personas datu apstrādi, tostarp atbilstoši Fizisko personu datu aizsardzības likuma 16. un 19. pantam?

Ja atbilde ir "jā", norādiet, kādā veidā šīs datu subjekta tiesības tiek nodrošinātas.

Ja atbilde ir "nē", norādiet iemeslus

Vai informācija par datu subjektu tiek saņemta no trešajām personām?

Ja atbilde ir "jā", norādiet informācijas saņemšanas kārtību un tiesisko pamatu šādas informācijas saņemšanai

5.2. Datu subjekta tiesības piekļūt saviem personas datiem

Vai datu subjektam ir nodrošinātas tiesības piekļūt saviem personas datiem?

Ja atbilde ir "jā", raksturojiet kārtību, kādā tiek nodrošinātas datu subjekta piekļuves tiesības saviem personas datiem.

Ja atbilde ir "nē", norādiet, kāpēc datu subjekta piekļuves tiesības nav nodrošinātas

Kā tiek nodrošināta personas datu atrašana pēc datu subjekta pieprasījuma?  
Vai datu subjektam pēc tā pieprasījuma tiek sniegta informācija par personas datu apstrādi?

Ja atbilde ir "jā", norādiet informācijas sniegšanas kārtību

Vai pārzinim ir tiesības atteikt datu subjektam piekļuvi viņa personas datiem?

Ja atbilde ir "jā", norādiet, kādā gadījumā

Vai notiek automatizēta lēmumu pieņemšana, pamatojoties uz apstrādātajiem personas datiem? Kādā gadījumā pārzinis pārskata šādus lēmumus?

6. Personas datu nodošana valstīm, kas nav Eiropas Savienības vai Eiropas Ekonomikas zonas dalībvalstis, vai valstīm, kuras nav saņēmušas Komisijas atzinumu par adekvātu datu aizsardzības līmeni

Vai personas dati tiek nodoti valstij, kas nav Eiropas Savienības vai Eiropas Ekonomikas zonas dalībvalsts, vai starptautiskajai organizācijai?

Ja atbilde ir "jā", norādiet pamatojumu šādai personas datu apstrādei, valsti, kurai dati tiek nodoti, un personas datu veidus, kas tiek nodoti

Vai ir izstrādāti iekšējie noteikumi personas datu nodošanai valstīm, kas nav Eiropas Savienības vai Eiropas Ekonomikas zonas dalībvalstis?

Ja atbilde ir "jā", raksturojiet tajos ietvertos principus.

Ja atbilde ir "nē", norādiet, kādēļ šādi noteikumi nav izstrādāti

III. Personas datu aizsardzības un drošības pasākumi

Vai ir izstrādāti personas datu apstrādes aizsardzības noteikumi?

Kādā kārtībā darbiniekus informē par pienākumu neizpaust personas datus (tostarp pēc darba, dienesta vai citu tiesisko attiecību izbeigšanās)? Kā tiek kontrolēta šā pienākuma ievērošana?  
Par informācijas resursiem, tehniskajiem resursiem un personas datu aizsardzību atbildīgā persona  
Kādi personas datu aizsardzības pasākumi tiek piemēroti informācijas tehnoloģijām?  
Raksturojiet aizsardzības pasākumus, kas ir ieviesti pēc neautorizētas un prettiesiskas piekļuves personas datiem, kas ir apstrādāti automatizēti vai manuāli  
Vai sensitīvo personas datu apstrādei ir noteikts lielāks (augstāks) datu aizsardzības līmenis?

Ja atbilde ir "jā", raksturojiet noteikto aizsardzības līmeni

Vai iestādē ir informācijas sistēmu drošības noteikumi?

Vai ir noteiktas par informācijas sistēmu drošības pārvaldību un īstenošanu atbildīgās personas?

Vai iestādē tiek veikta informācijas sistēmu risku analīze?

Vai iestādē ir izstrādātas informācijas sistēmu piekļuves kontroles procedūras?

Ja atbilde ir "jā", kā iestāde pārvalda informācijas sistēmu lietotāju kontus?

Kādas ir prasības lietotāju kontu parolēm vai citiem kontu aizsardzības rīkiem?  
Vai ir noteikti pienākumi informācijas sistēmu lietotājiem? Kādi?

Vai iestādē tiek veikta drošības apmācība personālam, kas veic datu apstrādi informācijas sistēmās? Cik bieži minētā drošības apmācība tiek veikta, kāds ir tās saturs?

Vai iestāde pirms informācijas sistēmas nodošanas ekspluatācijā veic drošības atbilstības pārbaudi?

Ja atbilde ir "jā", norādiet pārbaudes norises kārtību

Vai iestādē ir izstrādāta informācijas sistēmas uzturēšanas kārtība un procedūras?

Vai iestādē ir nodrošināta informācijas sistēmas notikumu reģistrēšana un monitorēšana?

Raksturojiet kārtību

Vai iestāde nodrošina datu rezerves kopiju veidošanu un pārbaudi?

Raksturojiet kārtību

Vai iestāde izmanto ārējas informācijas sistēmas, kas savienotas ar iestādes informācijas sistēmām?

Ja atbilde ir "jā", kāda ir kārtība un nosacījumi, saskaņā ar kuriem izveido sadarbību ar citām iestādēm?

Kādas tehnoloģijas un rīki tiek izmantoti, lai savienotu sistēmas?  
Vai iestādes informācijas sistēmām var piekļūt attālināti?

Ja atbilde ir "jā", kāda ir attālinātas piekļuves procedūra un nosacījumi?

Vai iestādē ir noteikta kārtība ārējo atmiņas ierīču pārvaldībai un lietošanai?

Vai informācijas sistēmās tiek izmantota datu šifrēšana?

Ja atbilde ir "jā", raksturojiet to

Vai pirms informācijas publiskošanas tiek izvērtēts tās konfidencialitātes līmenis un iespējamie riski?

Vai iestādē ir izstrādāta incidentu pārvaldības kārtība un procedūras?

Vai iestādē ir izstrādāta kārtība atklāto trūkumu novēršanai?

IV. Ieteikumi trūkumu novēršanai

Secinājumi un konstatētie trūkumi
 

 

Ieteikumi trūkumu novēršanai
 

 

Termiņš trūkumu novēršanai
 

 

Novērtētājs      
 

(vārds, uzvārds, paraksts)

 

(datums)

Tieslietu ministrs Dzintars Rasnačs

Izdruka no oficiālā izdevuma "Latvijas Vēstnesis" (www.vestnesis.lv)

ATSAUKSMĒM

ATSAUKSMĒM

Lūdzu ievadiet atsauksmes tekstu!