Piekrišana datu apstrādei ir derīga tikai tad, ja tā atbilst Vispārīgās datu aizsardzības regulas (VDAR) 4. panta 11. punkta un 7. panta prasībām: tai jābūt brīvi sniegtai, konkrētai, apzinātai un nepārprotamai gribas izpausmei, ko datu subjekts apliecina ar skaidru, apstiprinošu darbību. Iepriekš atzīmēta rūtiņa, klusēšana vai bezdarbība nav derīga piekrišana. Pārzinim turklāt jāspēj pierādīt, ka datu subjekts ir devis piekrišanu (7. panta 1. punkts), un atsaukšanai jābūt tikpat vienkāršai kā sniegšanai (7. panta 3. punkts). Šajā rakstā izklāstīti visi četri derīguma nosacījumi, sniegti konkrēti formulējumu piemēri — gan derīgi, gan nederīgi —, apskatīta atsaukšana un bērnu piekrišana, kā arī biežākās kļūdas, kas Latvijā izmaksā uzņēmumiem sodus.
Kad piekrišana ir derīga: četras pazīmes
VDAR 4. panta 11. punkts definē piekrišanu ar četrām pazīmēm, kurām visām jāizpildās vienlaikus.
- Brīvi sniegta. Datu subjektam jābūt reālai izvēlei, bez piespiešanas vai negatīvām sekām par atteikumu. Ja pakalpojuma sniegšana ir atkarīga no piekrišanas datu apstrādei, kas pakalpojumam nav nepieciešama, piekrišana nav brīva (7. panta 4. punkts).
- Konkrēta. Piekrišana attiecas uz konkrētu, skaidri definētu nolūku. Vienota “piekrišana visam” nav derīga — dažādiem nolūkiem vajadzīga atsevišķa piekrišana.
- Apzināta. Pirms piekrišanas datu subjektam jāzina vismaz pārziņa identitāte, apstrādes nolūki, apstrādāto datu veids un tiesības atsaukt piekrišanu.
- Nepārprotams apliecinājums. Piekrišana jāapliecina ar skaidru, apstiprinošu darbību — piemēram, rūtiņas aktīvu atzīmēšanu vai pogas nospiešanu. Pasivitāte nav piekrišana.
VDAR 7. panta nosacījumi
- pants papildina definīciju ar četriem praktiskiem pienākumiem pārzinim.
1. Pierādīšanas pienākums (7. panta 1. punkts)
Ja apstrāde balstīta uz piekrišanu, pārzinim jāspēj pierādīt, ka datu subjekts ir piekritis. Tas nozīmē, ka piekrišana jādokumentē: kas piekrita, kad, kādam nolūkam un ar kādu formulējumu. Bez pierādījuma piekrišana praksē neeksistē.
2. Skaidra nošķiršana (7. panta 2. punkts)
Ja piekrišanu lūdz rakstiskā dokumentā, kas attiecas arī uz citiem jautājumiem, piekrišanas lūgums jānoformē skaidri nošķirti, saprotamā un viegli pieejamā veidā, izmantojot skaidru un vienkāršu valodu. Piekrišana, kas “paslēpta” līguma vispārīgajos noteikumos, nav saistoša.
3. Atsaukšana (7. panta 3. punkts)
Datu subjektam ir tiesības jebkurā laikā atsaukt piekrišanu, un atsaukšanai jābūt tikpat vienkāršai kā sniegšanai. Piemēram, ja piekrišanu sniedza ar vienu klikšķi, arī atsaukšanai jābūt vienkārši pieejamai. Atsaukšana neietekmē iepriekšējās apstrādes likumību, bet pēc tās apstrāde jāpārtrauc, un bieži iestājas tiesības uz dzēšanu (17. pants).
4. Brīvprātīguma novērtējums (7. panta 4. punkts)
Novērtējot, vai piekrišana ir brīva, īpaši jāņem vērā, vai pakalpojuma sniegšana ir padarīta atkarīga no piekrišanas datu apstrādei, kas šā pakalpojuma izpildei nav nepieciešama. Šāda “sasaistīšana” parasti padara piekrišanu nederīgu.
Formulējumu piemēri: derīgi un nederīgi
Teorija kļūst skaidra tikai piemēros. Zemāk — konkrēti formulējumi.
Derīgi piemēri
1. piemērs (jaunumu abonēšana):
☐ Vēlos saņemt SIA “X” jaunumus e-pastā. Piekrišanu var atsaukt jebkurā laikā, noklikšķinot uz saites katrā vēstulē. Sīkāk — privātuma politikā.
Rūtiņa nav iepriekš atzīmēta, nolūks ir konkrēts, atsaukšana ir skaidra.
2. piemērs (atsevišķas piekrišanas):
☐ Piekrītu profila datu izmantošanai produktu ieteikumiem. ☐ Piekrītu e-pasta adreses nodošanai partneriem mārketingam.
Katrs nolūks ir atsevišķs, ar atsevišķu neatzīmētu rūtiņu — datu subjekts var izvēlēties.
Nederīgi piemēri
1. piemērs (iepriekš atzīmēta rūtiņa):
☑ Piekrītu personas datu apstrādei mārketinga nolūkos.
Iepriekš atzīmēta rūtiņa nav nepārprotams apstiprinošs apliecinājums — nederīga.
2. piemērs (klusēšana / sasaistīta piekrišana):
“Turpinot lietot vietni, jūs piekrītat visai datu apstrādei saskaņā ar noteikumiem.”
Klusēšana vai vietnes tālāka lietošana nav aktīva darbība; turklāt “visai apstrādei” nav konkrēta. Nederīga divkārt.
3. piemērs (sasaiste ar pakalpojumu):
“Lai izveidotu kontu, jums jāpiekrīt datu nodošanai reklāmas partneriem.”
Ja datu nodošana reklāmas partneriem nav nepieciešama konta izveidei, šāda sasaiste pārkāpj 7. panta 4. punktu — piekrišana nav brīva.
Bērnu piekrišana (8. pants)
Ja informācijas sabiedrības pakalpojumus tieši piedāvā bērnam, piekrišana ir derīga tikai tad, ja bērns sasniedzis noteiktu vecumu; jaunākiem bērniem piekrišanu dod vai apstiprina vecāku atbildības nesējs. VDAR pamata vecums ir 16 gadi, bet dalībvalstis var to pazemināt līdz 13 gadiem — Latvijā šis vecums ir 13 gadi. Pārzinim jāveic saprātīgi pasākumi, lai pārbaudītu, ka piekrišanu ir devis vecāku atbildības nesējs.
Biežākā kļūda: piekrišana bez derīga pamata (Tet lieta)
Piekrišana ir tikai viens no sešiem apstrādes tiesiskajiem pamatiem (6. pants) — un ne vienmēr piemērotākais. Kļūda ir paļauties uz piekrišanu tur, kur reāli nav ne derīgas piekrišanas, ne cita pamata. To ilustrē SIA “Tet” lieta — 1,2 miljoni EUR, lielākais GDPR sods Latvijā. Tet neveica personas identitātes pārbaudi pirms “Tet+” straumēšanas pakalpojuma aktivizēšanas; 2020. gada decembrī pakalpojums tika reģistrēts, izmantojot nepilngadīgā datus. Trūka gan derīga tiesiskā pamata apstrādei, gan atbilstošas identitātes pārbaudes. Sodu 2023. gada aprīlī spēkā atstāja Rīgas pilsētas tiesa un 2024. gada jūnijā apstiprināja Rīgas apgabaltiesa. Lieta rāda: piekrišana bez identitātes pārbaudes un bez derīga pamata nav aizsardzība, bet risks.
Kad piekrišana nav pareizais pamats
Viena no dziļākajām kļūdām ir izvēlēties piekrišanu tur, kur der cits tiesiskais pamats. Piekrišana ir spēcīga, bet trausla: to var atsaukt jebkurā laikā, un pēc atsaukšanas apstrāde jāpārtrauc. Ja apstrāde ir objektīvi nepieciešama — piemēram, līguma izpildei, likumā noteikta pienākuma izpildei vai likumīgajām interesēm ar līdzsvara testu —, piemērotāks ir attiecīgais 6. panta pamats, nevis piekrišana. Klasisks piemērs: darba līguma izpildei nepieciešamos darbinieka datus nevajag balstīt uz piekrišanu, jo darba attiecībās piekrišana reti ir patiesi brīva (varas nelīdzsvarotība), un tās atsaukšana radītu juridisku strupceļu.
Tāpat piekrišana nav “universāla indulgence”. Pat ar derīgu piekrišanu paliek spēkā visi pārējie principi — datu minimizācija, nolūka ierobežojums, glabāšanas ierobežojums un drošība. Piekrišana attaisno apstrādes tiesisko pamatu, bet neatbrīvo no pienākuma apstrādāt tikai nepieciešamos datus un tos pienācīgi aizsargāt. Tāpēc pareizā secība ir vispirms izvēlēties atbilstošāko tiesisko pamatu katrai apstrādei un tikai tad, ja tas ir piekrišana, izstrādāt derīgu piekrišanas mehānismu.
Piekrišana kopainā
Ja piekrišana ir izvēlētais tiesiskais pamats, tā ietekmē vairākas citas datu subjekta tiesības. Piekrišanas atsaukšana bieži izraisa dzēšanas pienākumu (17. pants), un tieši uz piekrišanas pamata veiktai automatizētai apstrādei piemēro datu pārnesamības tiesības (20. pants). Kad datu subjekts izmanto piekļuves tiesības (15. pants), atbildē jānorāda arī tiesības atsaukt piekrišanu. Visas piekrišanas un to nolūki jāfiksē apstrādes darbību reģistrā (ROPA, 30. pants), un piekrišanas mehānismi jāapraksta privātuma politikā. Labi izstrādāta piekrišanas plūsma ir arī integrētas datu aizsardzības (25. pants) piemērs — pēc noklusējuma neatzīmētas rūtiņas un skaidra nošķiršana. Nacionālos precizējumus, tostarp bērnu vecuma slieksni, nosaka Fizisko personu datu apstrādes likums, un DVI lēmumi rāda, kā šīs prasības tiek piemērotas praksē.
Biežāk uzdotie jautājumi
Vai iepriekš atzīmēta rūtiņa ir derīga piekrišana?
Nē. Iepriekš atzīmēta rūtiņa, klusēšana vai vietnes tālāka lietošana nav nepārprotams apstiprinošs apliecinājums. Piekrišana prasa aktīvu, apzinātu darbību, piemēram, neatzīmētas rūtiņas atzīmēšanu vai pogas nospiešanu.
Kā jādokumentē piekrišana?
Pārzinim jāspēj pierādīt, ka datu subjekts ir piekritis (7. panta 1. punkts): jāfiksē, kas piekrita, kad, kādam nolūkam un ar kādu formulējumu. Bez šāda pierādījuma piekrišana praksē nav derīga.
Vai piekrišanu var atsaukt?
Jā, jebkurā laikā, un atsaukšanai jābūt tikpat vienkāršai kā sniegšanai (7. panta 3. punkts). Atsaukšana neietekmē iepriekšējās apstrādes likumību, bet pēc tās apstrāde jāpārtrauc un bieži jādzēš dati.
No kāda vecuma bērns pats var dot piekrišanu?
Latvijā informācijas sabiedrības pakalpojumiem šis vecums ir 13 gadi. Jaunākiem bērniem piekrišanu dod vai apstiprina vecāku atbildības nesējs, un pārzinim jāveic saprātīgi pasākumi tā pārbaudei.