Lai gan jaunieviestās izmaiņas veicinās datu subjekta tiesību aizsardzību, tomēr Regulā 2016/679 ir atrodami arī vairāki tiesību aspekti, kuri var radīt neskaidrības vai potenciālas problēmas. Ir atstāti vairāki atklāti jautājumi, kuri nav noregulēti pilnībā un kuri līdz ar to ir interpretējami dažādi. Tāpat potenciālas grūtības varētu rasties arī ar atsevišķu tiesību normu piemērošanu to pretrunīguma vai deklaratīvuma dēļ.

Šī raksta mērķis ir identificēt aktuālos problēmjautājumus un uzsākt diskusiju par Regulas 2016/679 piemērošanas jautājumiem, kas tik drīz kļūs aktuāli visiem, kuri darbosies ar personas datu aizsardzības jautājumiem.

1. Datu subjekta tiesības piekļūt informācijai bez maksas

1.1. Informācija par personas datu apstrādi un personas datu kopija

Piekļuves tiesības saviem datiem izriet no tiesību apjoma, ko ietver Eiropas Savienības Pamattiesību hartas 8. pants par personas datu aizsardzību. Savukārt Eiropas Padomes Cilvēktiesību un pamatbrīvību aizsardzības konvencijā (turpmāk – Cilvēktiesību konvencija) personas datu aizsardzība, t.sk. arī piekļuves tiesības, tiek vērtētas kā no tiesībām uz privāto un ģimenes dzīvi izrietošas tiesības (skat. Cilvēktiesību konvencijas 8. pantu). Eiropas Cilvēktiesību tiesa (turpmāk – ECT) savā līdzšinējā praksē ir vairākkārt atzīmējusi, ka personas tiesības piekļūt saviem personas datiem ir īpaši būtiskas tiesību uz privātās dzīves neaizskaramību kontekstā.¹

Piekļuves tiesības nav skatāmas atsevišķi, bet kopsakarā ar pārējām datu subjekta tiesībām – labot, papildināt un dzēst savus personas datus, tiesībām ierobežot un iebilst personu datu apstrādei, kā arī pārnest savus personas datus. Lai visas šīs tiesības datu subjekts varētu īstenot un lai zinātu, kādā apjomā viņš tās var īstenot, datu subjektam ir jābūt nodrošinātai piekļuvei saviem personas datiem un informācijai par personas datu apstrādi.²

Datu subjekta piekļuves tiesības pēc būtības ietver divas atsevišķas šo tiesību izpausmes: 1) tiesības saņemt informāciju par personas datu apstrādi; 2) tiesības saņemt un piekļūt pašiem personas datiem jeb personas datu kopijai.

Informācijas apjoms par personas datu apstrādi, ko pārzinim ir pienākums sniegt datu subjektam datu iegūšanas brīdī, ir noteikts Regulas 2016/679 13. un 14. pantā. Pamatinformācija, neskatoties uz to, vai pārzinis personas datus ir ieguvis vai arī nav ieguvis no datu subjekta, abos gadījumos ir vienāda, piemēram, pārziņa identitāte, kontaktinformācija, apstrādes nolūki un juridiskais pamats, personas datu saņēmēji, personas datu kategorijas, datu glabāšanas ilgums. Tāpat pārzinim ir jāsniedz informācija datu subjektam par tam pieejamām tiesībām un šo tiesību izmantošanu. Gadījumā, ja dati nav iegūti no datu subjekta, tad iepriekš minētajai informācijai klāt nāk arī ziņas par to, no kāda avota personas dati ir iegūti. Datu subjekts informāciju par personas datu apstrādi var pieprasīt arī vēlāk jebkurā laikā, pamatojoties uz Regulas 2016/679 15. panta 1. punktu.

Savukārt datu subjekta tiesības piekļūt personas datu kopijai ir noteiktas ar Regulas 2016/679 15. panta 1. un 3. punktu. Ar personas datu kopiju te būtu saprotami visi pārziņa savāktie un saistītie dati par personu, kas attiecas uz visu datu apstrādes periodu, jau sākot no datu apstrādes sākuma brīža.³

1.2. Piekļuve informācijai bez maksas

Gan informācija par personas datu apstrādi, gan personas datu kopija datu subjektam ir nodrošināma bez maksas (skat. Regulas 2016/679 12. panta 5. punktu). Tikai nepamatotu vai pārmērīgu pieprasījumu gadījumā pārzinis ir tiesīgs pieprasīt saprātīgu maksu, ja pieprasījuma izpilde ir saistīta ar administratīvo izmaksu rašanos. Jebkurā gadījumā pārzinim pirmā personas datu kopija, neraugoties uz šīs datu kopijas apjomu vai tās sagatavošanā patērētajiem resursiem, ir jāizsniedz bez maksas, bet par papildus sekojošām datu kopijām pārzinis var pieprasīt saprātīgu maksu, ja tā ir balstīta uz administratīvajām izmaksām (skat. Regulas 2016/679 15. panta 3. punktu). Tātad, piemēram, ja persona pieprasa par sevi visu pieejamo medicīnisko dokumentāciju, tad ārstniecības iestādei ir pienākums sagatavot un izsniegt personai šo dokumentāciju (personas datu kopiju) bez maksas.

Līdz Regulas 2016/679 pieņemšanai Eiropas Savienības dalībvalstīs praktizēja divējādu pieeju informācijas nodrošināšanai un piekļuvei personas datiem. Vienā daļā valstu šī informācija tika nodrošināta bez maksas, turpretī otrā daļā valstu par to tika prasīta maksa.⁴ Latvija bija to valstu pulkā, kas, transponējot Direktīvas 95/46/EK normas, bija izvēlējusies atvērtu pieeju datu subjekta tiesībām piekļūt informācijai, paredzot Fizisko personu datu aizsardzības likumā (turpmāk – FPDAL), ka datu subjektam ir tiesības ne biežāk kā divas reizes gadā bez maksas saņemt attiecīgo informāciju (skat.