Maziem un vidējiem uzņēmumiem (MVU) Latvijā VDAR programmatūra 2026. gadā ir praktiskais veids, kā sasniegt atbilstību bez pilna laika datu aizsardzības speciālista. Pareizais risinājums MVU ir ES bāzēta platforma ar latviešu valodas izvadi, kas par aptuveni 79–299 eiro mēnesī automatizē apstrādes darbību reģistru (30. pants), apstrādātāju līgumu auditu (28. pants) un datu subjektu pieprasījumu apstrādi. Izplatītais mīts, ka VDAR neattiecas uz maziem uzņēmumiem, ir maldīgs: 30. panta 5. punkta atbrīvojums uzņēmumiem ar mazāk nekā 250 darbiniekiem praksē neattiecas ne uz vienu uzņēmumu, kas apstrādā darbinieku datus, uztur klientu datubāzi vai izmanto tīmekļa analītiku. Tāpēc arī vismazākajam Latvijas uzņēmumam nepieciešams reģistrs un pamata atbilstības dokumentācija. Tālāk apskatu, kā MVU praktiski sasniedz atbilstību.
Vai VDAR tiešām attiecas uz maziem uzņēmumiem?
Jā, un tieši šis ir biežākais pārpratums. Vispārīgā datu aizsardzības regula attiecas uz katru pārzini neatkarīgi no lieluma. 30. panta 5. punkts formāli atbrīvo uzņēmumus ar mazāk nekā 250 darbiniekiem no reģistra uzturēšanas, taču tikai tad, ja apstrāde ir gadījuma rakstura, nerada risku un neietver īpašu kategoriju datus. Praksē neviens uzņēmums šos nosacījumus neizpilda: darbinieku algas dati, klientu datubāze un mājaslapas analītika visi ir regulāra apstrāde. Tāpēc DVI pārbaudē arī no maza uzņēmuma pieprasa apstrādes reģistru.
Kādi ir MVU pamatpienākumi?
MVU nav vajadzīga uzņēmumu mēroga infrastruktūra, bet gan skaidra dokumentācija par četriem pamatpienākumiem:
| Pienākums | Pants | Ko MVU praksē vajag |
|---|---|---|
| Apstrādes reģistrs | 30. pants | Strukturēts reģistrs ar tiesisko pamatu un termiņiem |
| Apstrādātāju līgumi | 28. pants | Rakstisks līgums ar katru pakalpojuma sniedzēju |
| Datu subjektu tiesības | 12.–22. pants | Pieprasījumu izpilde mēneša laikā |
| Pārkāpumu paziņošana | 33. pants | Paziņojums DVI 72 stundu laikā |
Vairumam MVU nav pienākuma iecelt datu aizsardzības speciālistu — tas obligāts galvenokārt publiskā sektora iestādēm un uzņēmumiem, kuru pamatdarbība ir plaša novērošana vai īpašu kategoriju datu apstrāde. Tomēr pat bez DPO pienākuma dokumentācija jāsagatavo un jāuztur.
Kāpēc izklājlapas MVU nedarbojas ilgtermiņā?
Vairums Latvijas MVU sāk ar reģistru Excel failā un līgumu mapē. Problēma nav sākumā, bet uzturēšanā: izklājlapas noveco dažu nedēļu laikā, jauni pakalpojumu sniedzēji tiek pievienoti bez līguma, un glabāšanas termiņi netiek izsekoti. DVI pārbaudē novecojis reģistrs ir sliktāks par tā trūkumu, jo rada iespaidu, ka atbilstība tiek ignorēta. VDAR programmatūra šo problēmu risina, padarot reģistru par dzīvu dokumentu ar automātiskiem atgādinājumiem par termiņiem un jauniem piegādātājiem.
Kā MVU izvēlēties rīku?
MVU izvēli izšķir nevis funkciju plašums, bet piemērotība mazam uzņēmumam. Meklējiet piecas lietas: ES mitināšanu (novērš datu nodošanu ārpus ES), latviešu valodas izvadi (DVI vajadzībām), MI automatizāciju (samazina manuālo darbu), pieejamu cenu (79–299 eiro mēnesī) un ātru ieviešanu (dienas, ne mēneši). Uzņēmumu platformas, piemēram, OneTrust, ir pārmērīgas — to 3–6 mēnešu ieviešana un cena virs 20 000 eiro gadā MVU neatmaksājas. Detalizētu rīku salīdzinājumu skatiet labākās VDAR programmatūras pārskatā, bet cenu analīzi — VDAR programmatūras cenu pārskatā.
Praktiski soļi MVU atbilstībai
MVU ceļš uz atbilstību ir īsāks, nekā šķiet. Pirmkārt, izveidojiet reģistru, uzskaitot katru apstrādi — algas, klientus, mājaslapu, mārketingu — ar tiesisko pamatu un glabāšanas termiņu. Otrkārt, apkopojiet līgumus ar visiem pakalpojumu sniedzējiem (mākoņa mitināšana, grāmatvedība, mārketinga rīki) un pārbaudiet, vai katram ir apstrādātāja līgums. Treškārt, sagatavojiet vienkāršu procedūru datu subjektu pieprasījumu un pārkāpumu paziņošanas termiņu ievērošanai. Ceturtkārt, publicējiet skaidru privātuma politiku mājaslapā. Šos četrus soļus ar MI platformu var pabeigt dažu dienu laikā, savukārt manuāli tie prasa nedēļas.
Kas notiek, ja MVU ignorē VDAR?
Lai gan liela daļa Latvijas sodu ir mēreni, tie skar arī mazus uzņēmumus. 2024. gadā Datu valsts inspekcija piemēroja sodus no 500 eiro (par nepamatotu videonovērošanu) līdz 2 000 eiro (slimnīcai par datu nodošanu bez tiesiskā pamata). Lielākā daļa lietu izriet no tiem pašiem trūkumiem: novecojis vai neesošs reģistrs, dzēšanas termiņu neievērošana un neizpildīti datu subjektu pieprasījumi. Pilnu sodu apskatu skatiet DVI sodu pārskatā, bet plašāku Latvijas konteksta izklāstu — datu aizsardzības ceļvedī Latvijā.
Biežākās MVU kļūdas datu aizsardzībā
Latvijas MVU pieļauj dažas atkārtotas kļūdas, kas DVI pārbaudē rada problēmas. Pirmā ir pārliecība, ka VDAR neattiecas — mazie uzņēmumi bieži uzskata, ka regula ir tikai lielajiem, un neizveido pat pamata reģistru. Otrā ir līgumu trūkums ar pakalpojumu sniedzējiem — mākoņa mitināšana, grāmatvedības ārpakalpojums un mārketinga rīki visi ir apstrādātāji, kuriem vajadzīgs 28. panta līgums, bet MVU to bieži aizmirst. Trešā ir piekrišanas nepareiza izmantošana — piekrišana tiek prasīta tur, kur pamats patiesībā ir līgums, vai otrādi, un mārketinga sūtījumi tiek veikti bez derīgas piekrišanas. Ceturtā ir novecojusi vai kopēta privātuma politika — no interneta paņemts paraugs, kas neatspoguļo uzņēmuma reālo apstrādi. Piektā ir dzēšanas termiņu neievērošana — dati tiek glabāti bezgalīgi, jo neviens nav noteicis, kad tie jādzēš. Šīs kļūdas ir viegli novēršamas ar strukturētu reģistru un pamata dokumentāciju.
Nozaru piemēri: kā MVU atbilstība atšķiras
Datu aizsardzības prasību apjoms MVU atšķiras pēc nozares. Interneta veikaliem un e-komercijai galvenais ir klientu datu apstrāde, mārketinga piekrišana un maksājumu datu drošība, kā arī apstrādātāju līgumi ar loģistikas un maksājumu partneriem. Pakalpojumu uzņēmumiem un konsultantiem svarīgākais ir klientu un darbinieku datu reģistrs un konfidencialitāte. Veselības un labsajūtas nozarē pat maziem uzņēmumiem jārēķinās ar īpašu kategoriju (veselības) datiem, kas prasa augstāku pamatu un bieži ietekmes novērtējumu. Ražošanā un tirdzniecībā uzsvars ir uz darbinieku datiem, videonovērošanu un piegādātāju pārvaldību. Katrā gadījumā pamats ir tāds pats — apstrādes reģistrs —, bet akcenti atšķiras. Tāpēc MVU ir izdevīgi izvēlēties rīku, kas pielāgojas nozarei, nevis sniedz vienotu veidni. Latvijas datu aizsardzības kontekstu kopumā skatiet datu aizsardzības ceļvedī Latvijā, bet DVI pārbaužu praksi — DVI ceļvedī.
Biežāk uzdotie jautājumi
Cik maksā VDAR programmatūra maziem uzņēmumiem?
MVU segmentā VDAR programmatūra maksā aptuveni 79–299 eiro mēnesī (1 000–4 000 eiro gadā). Šajā cenā ietilpst reģistrs, apstrādātāju līgumu audits un datu subjektu pieprasījumu apstrāde. Uzņēmumu platformas ir daudz dārgākas un MVU nav vajadzīgas.
Vai maziem uzņēmumiem Latvijā jāieceļ datu aizsardzības speciālists?
Vairumam MVU nav. DPO iecelšana obligāta galvenokārt publiskā sektora iestādēm un uzņēmumiem, kuru pamatdarbība ir plaša un sistemātiska personu novērošana vai īpašu kategoriju datu apstrāde. Tomēr apstrādes reģistrs un pamata dokumentācija jāsagatavo neatkarīgi no DPO pienākuma.
Vai mazam uzņēmumam pietiek ar Excel reģistru?
Formāli jā, bet praksē izklājlapa noveco dažu nedēļu laikā, un DVI pārbaudē novecojis reģistrs rada sliktāku iespaidu nekā tā trūkums. VDAR programmatūra padara reģistru par dzīvu dokumentu ar automātiskiem termiņu atgādinājumiem, tāpēc vairums augošu MVU no izklājlapas pāriet uz platformu.
Cik ilgā laikā mazs uzņēmums var sasniegt VDAR atbilstību?
Ar MI bāzētu platformu mazs uzņēmums pamata atbilstību — apstrādes reģistru, privātuma politiku un apstrādātāju līgumu pārskatu — var sasniegt dažu dienu līdz nedēļas laikā. Manuāli, izklājlapās un ar juridiskām konsultācijām, tas pats darbs parasti aizņem vairākas nedēļas. Ātrums ir īpaši svarīgs, ja DVI jau ir pieprasījusi dokumentāciju vai tuvojas nozares termiņš.