Fizisko personu datu apstrādes noteikumi

I.    Vispārīgie noteikumi

1.    Noteikumu par personas datu apstrādi (turpmāk – Noteikumi) mērķis ir sniegt fiziskai personai – Datu subjektam – informāciju par to, kādam nolūkam AS “Pasažieru vilciens” (turpmāk – Sabiedrība) iegūst personas datus, kā arī informāciju par datu apjomiem, apstrādes termiņiem, datu aizsardzību un datu apstrādes procesiem. Tāpat noteikumu mērķis  informēt Datu subjektu par tā tiesībām un pienākumiem. 
2.    Noteikumi attiecas uz Sabiedrības veikto personas datu apstrādi, ko tā veic kā datu pārzinis savas darbības procesu nodrošināšanai.
3.    Sabiedrība, veicot datu apstrādi, rūpējas par ikviena datu subjekta privātumu un iegūto datu aizsardzību, atbilstoši personas datu apstrādi reglamentējošo normatīvo aktu prasībām, tajā skaitā, Eiropas Parlamenta un Padomes 2016. gada 27. aprīļa Regulu 2016/679 par fizisku personu aizsardzību attiecībā par personas datu apstrādi un šādu datu brīvu apriti un ar ko atceļ Direktīvu 95/96/EK (turpmāk - Regula), Fizisko personu datu apstrādes likumu un citiem Sabiedrībai saistošiem tiesību aktiem privātuma aizsardzības un datu apstrādes jomā. Noteikumos izmantotie termini un jēdzieni atbilst Regulas terminoloģijai.
4.    Noteikumi attiecas uz ikvienu Datu subjektu, kuru personas datus apstrādā Sabiedrība un tā ir attiecināma uz datu apstrādi neatkarīgi no tā, kādā formā Datu subjekta personas dati ir iegūti – Sabiedrības tīmekļa vietnē, mobilajās lietotnēs, mutvārdos, rakstveidā vai citādi: 
4.1.    Datu apstrāde un aizsardzība darbinieku atlases ietvaros tiek īstenota saskaņā ar Sabiedrības Noteikumiem par darbinieku atlases privātumu;
4.2.    Datu apstrāde un aizsardzība Trauksmes celšanas gadījumos tiek īstenota stingrā saskaņā ar trauksmes celšanas reglamentējošajiem normatīvajiem aktiem, nepieļaujot darbinieku negodprātīgu, pretlikumīgu vai sabiedrības ētikas normām nepieņemamu rīcību;
4.3.    Noteikumi neattiecas uz citu komersantu veiktajiem datu apstrādes pasākumiem, sniedzot pakalpojumus Sabiedrības interesēs (ārpakalpojumi u.tml.). Šādos gadījumos Sabiedrība kā datu pārzinis ar attiecīgo datu apstrādātāju slēdz datu aizsardzības līgumus. Pieejamību šo komersantu datu apstrādes mērķiem, tiesiskajam pamatojumam un datu apstrādes nosacījumiem Datu subjektiem nodrošina attiecīgais komersants;
4.4.    Noteikumi neattiecas uz Sabiedrības tīmekļa vietnē, lietotnēs publiskotajām vai tās e-pastā izsūtītajos paziņojumos esošajām norādēm uz resursiem, kuri nav Sabiedrības pārvaldībā, piemēram, dažādiem tīmekļa resursiem, un, ja Datu subjekts ir izvēlējies pieslēgties attiecīgajiem resursiem, Sabiedrība nav atbildīga par jebkādām tiesiskajām sekām, kuras rodas vai var rastiem Datu subjektam vai jebkurai trešajai personai no tādu citu pušu rīcībā esošo resursu apmeklēšanas.

II.    Pārzinis un tā kontaktinformācija

5.    Personas datu apstrādes pārzinis ir AS “Pasažieru vilciens”, vienotās reģistrācijas Nr. 40003567907, juridiskā adrese: Pērses iela 8, Rīga, LV-1011.
6.    Kontaktinformācija, kā arī informācijas sniegšana par iespējamiem datu aizsardzības pārkāpumiem: tālr. nr. 8760, www.vivi.lv, elektroniskā pasta adrese: datuaizsardziba@vivi.lv vai E-Adrese.
7.    Detalizētāka kārtība, kādā ikviens datu subjekts var vērsties Sabiedrībā jautājumu un neskaidrību gadījumā, norādīta Noteikumu VIII nodaļā.

III.    Personas datu apstrādes mērķis un tiesiskais pamats

8.    Procesi, kādos Sabiedrība veic datu apstrādi, to nolūki un tiesiskais pamatojums:

IV.    Personas datu apstrādes termiņa noteikšanas kritēriji

9.    Datu apstrāžu darbības periodu Sabiedrība ir noteikusi, ņemot vērā konkrētā un ar to saistīto datu apstrādes nolūku sasniegšanas termiņu. Datu apstrāde, kas attiecas uz videonovērošanu, tiek veikta 21 (divdesmit vienu) dienu, izņemot tāda datu apstrāde, kurā videonovērošanas rezultātā iegūtie dati tiek izmantoti kā pierādījums tiesas vai ārpustiesas procesos Sabiedrības interesēs. 
10.    Citos gadījumos datu apstrādes termiņš nepārsniedz 10 gadus, izņemot tādām datu apstrādēm, kuras turpinās izpildot aktīvu līgumu vai kuras ir saistītas ar Sabiedrības tiesiskajām interesēm tiesas vai ārpustiesas procesā, kamēr attiecīgajā procesā pieņemts un spēkā stājies (beigušies visi apstrīdēšanas termiņi) galīgais nolēmums. 
11.    Datu apstrādēm, kuru tiesiskais pamatojums ir saistīts ar ārējo normatīvo aktu prasību izpildi, datu apstrādes ilgums ir atbilstošs attiecīgajos normatīvos aktos noteiktajam. 

V.    Personas datu apstrāde

12.    Personas datu apstrāde ir obligāts priekšnoteikums Sabiedrības veiktajām darbībām, jo īpaši tajos gadījumos, kuros datu apstrādes tiesiskais pamatojums ir līgumisku attiecību nodibināšana vai izpilde, atbilstoši Regulas 6.panta pirmās daļas b)apakšpunktam, kā arī tad, ja datu apstrāde tiek veikta normatīvajos aktos noteikto pienākumu izpildei, atbilstoši Regulas 6.panta pirmās daļas c) apakšpunktam. Datu kategorijas, kas ir nepieciešamas katrai konkrētai datu apstrādei, ir atkarīgas no konkrētā datu apstrādes nolūka un pēc iespējas tiek ievāktas un turpmāk apstrādātas tādā veidā, lai nodrošinātu datu minimizācijas principa ievērošanu.
13.    Sabiedrība, apstrādājot datus, neveic automatizētu lēmumu pieņemšanu, nevienā no datu apstrādes posmiem. Lēmumu pieņem ar Sabiedrības darbinieki vai nolīgto ārpakalpojuma sniedzēju darbinieki – datu apstrādātāji, ja attiecīgā lēmuma pieņemšanā tāds ir iesaistīts.

VI.    Personas datu aizsardzība

14.    Sabiedrība aizsargā Datu subjektu datus, izmantojot mūsdienu tehnoloģiju iespējas, ņemot vērā pastāvošos privātuma riskus un Sabiedrībai pieejamos organizatoriskos, finansiālos un tehniskos resursus, tajā skaitā, izmantojot šādus drošības pasākumus:
14.1.    kontrolētu un aizsargātu piekļuvi Sabiedrības īpašumam, nodrošinot aizsardzību no patvaļīgas piekļuves un uzraudzību pār tādas piekļuves mēģinājumiem, tajā skaitā, arī veicot videonovērošanu;
14.2.    ugunsmūri, ar ko tiek ierobežota piekļuve pie Sabiedrības informācijas resursiem no publiskā Internettīkla un ierobežota Sabiedrības darbinieku patvaļīga piekļuve publiskajā Internettīklā esošajiem resursiem;
14.3.    ielaušanās aizsardzības un atklāšanas programmās, ar kuru palīdzību tiek nodrošināta uzraudzība pār ikdienas notikumiem, tajā skaitā, saņemot brīdinājumus par ielaušanās mēģinājumiem;
14.4.    ierobežotas pieejas Sabiedrības informācijas sistēmām, nosakot piekļuvi informācijas resursiem, tajā skaitā, Sabiedrības apstrādātajiem personu datiem tikai darba pienākumu izpildei nepieciešamajā apjomā;
14.5.    drošas paroles un citus drošus autentifikācijas līdzekļus, ar kuru palīdzību tiek nodrošināta tāda autentifikācijas drošības pakāpe, kas atbilst attiecīgajam informācijas riska līmenim;
14.6.    darbinieku izglītošanu datu aizsardzības jautājumos, informējot darbiniekus par ierobežojumiem Sabiedrības veiktajai datu apstrādei, atbildību par patvaļīgu rīcību ar apstrādātajiem personas datiem, ikdienas situācijām un rīcību, lai pēc iespējas labāk nodrošinātu Sabiedrības veiktās datu apstrādes drošību un tiesiskumu;
14.7.    konfidencialitātes saistību rakstus darbiniekiem un ārpakalpojumu sniedzējiem, ar ko tiek juridiski saistošā veidā noteiktas Sabiedrības, tās darbinieku un pakalpojumu sniedzēju savstarpējās tiesības un pienākumi, kā arī atbildība.
15.    Datu subjektam ir pienākums apzināti Sabiedrībai sniegt tikai derīgus un patiesus datus, kā arī, konstatējot, ka kādi dati, kuri ir Sabiedrības rīcībā ir novecojuši, nepatiesi vai nepilnīgi, informēt Sabiedrību. Sabiedrība paļaujas, ka ikviens Datu subjekts rīkojas labā ticībā un ievēro normatīvos aktus.

VII.    Personas datu nodošana

16.     Sabiedrība neizpauž un nenosūta apstrādātos personas datus ārpus Eiropas Savienības un Eiropas Ekonomikas zonas, izņemot tos datus, kas ir publiski pieejami, piemēram, publiskoti Sabiedrības vietnē vai sociālo tīklu kontā, kas ir Sabiedrības pārvaldībā. Citās situācijās, atbilstoši Regulas 13.pantam, datu subjekti tiks informēti par datu nosūtīšanu un tiesisko pamatojumu.
17.    Sabiedrība neizpauž trešajām personām apstrādātos personas datus, izņemot tad, ja saistoši normatīvie akti uzliek attiecīgu pienākumu veikt datu izpaušanu, piemēram, uzraugošajām valsts institūcijām saskaņā ar pamatotu pieprasījumu vai normatīvajos aktos noteikto pienākumu. 
18.    Sabiedrības pakalpojumu sniedzēji, kas pakalpojuma sniegšanas laikā apstrādā personas datus vai var piekļūt Sabiedrības apstrādātajiem personas datiem, ir Regulas izpratnē uzskatāmi par personas datu apstrādātājiem un Sabiedrība ar tiem slēdz rakstveida līgumu ar pienākumu nodrošināt, ka saņemtā informācija tiek izmantota tikai tiem nolūkiem, kuru dēļ dati tika nodoti, un ievērojot personas datu apstrādi reglamentējošos normatīvos aktus.
19.    Ievērojot Regulas 5. panta 1. punkta “c” apakšpunktā noteikto datu minimizēšanas principu personas dati tiek apstrādāti (ievākti, apkopoti, glabāti un nodoti) tikai tādā apjomā, lai Sabiedrība spētu sasniegt attiecīgo datu apstrādes nolūku. 

VIII.    Datu subjektu tiesības

20.    Datu subjekts savas tiesības var izmantot, vēršoties pie Sabiedrības ar pieprasījumu, nosūtot to uz e-pasta adresi datuaizsardziba@vivi.lv, vai nosūtot pieprasījumu uz Sabiedrības juridisko adresi: Pērses iela 8, Rīga, LV-1011. 
21.     Ikvienam datu subjektam normatīvie akti ir piešķīruši noteiktas tiesības, kuru realizācijai datu subjektam ir jāsazinās ar Sabiedrību, izmantojot saziņas kanālu:
21.1.    Piekļuve personas datiem, tajā skaitā, tiesības uzzināt vai un kādēļ attiecīgā datu subjekta dati tiek apstrādāti; datu subjektam tādējādi ir iespēja uzzināt savu statusu, datu apstrādes nolūkus, pašus apstrādātos datus un ar apstrādi saistītos papildus faktorus. 
21.2.    Personas datu labošanas pieprasīšana ir datu subjekta tiesība, ar kuru tas pārzini informē par savu datu neatbilstību aktuālajai situācijai vai kļūdām pārziņa apstrādātajos datos.
21.3.    Personas datu dzēšana jeb tiesības “tikt aizmirstam” ir tiesība ar kuru datu subjekts var lūgt izbeigt attiecīgo datu apstrādi, piemēram, tad, ja datu apstrādes tiesiskais pamatojums ir piekrišana, piekrišanas atsaukums nozīmē, ka datu apstrāde attiecīgajam nolūkam ir jāizbeidz. 
21.4.    Apstrādes ierobežošana ir sevišķa datu subjekta tiesība, ar kuru strīdus situācijā tiek ierobežota pārziņa rīcības brīvība ar attiecīgajiem personas datiem, ierobežojot apstrādes darbības līdz glabāšanai. Parasti apstrādes darbību ierobežo tad, ja datu subjektam ir aizdomas, ka pārzinis datu apstrādi veic prettiesiski vai datu apstrādes tiesiskais pamatojums “tiesiskā interese” datu subjekta ieskatā nav pienācīgs tiesiskais pamatojums konkrētajai datu apstrādei.
21.5.    Tiesības atsaukt piekrišanu ir absolūtas datu subjekta tiesības tad, ja datu apstrādes tiesiskais pamatojums ir piekrišana, kas nozīmē, ka datu apstrāde nolūkam, kura tiesiskais pamatojums ir piekrišana, tiek izbeigta.
21.6.    Tiesības iebilst datu apstrādei, kuras tiesiskais pamatojums ir pārziņa tiesiskā interese, ir datu subjekta tiesība, ar kuru datu subjekts iebilst pret konkrētu datu apstrādi. Pārzinim ir vai nu jāpamato konkrētās datu apstrādes tiesiskums vai arī jāizbeidz attiecīgā datu apstrāde. Ja datu subjekts nepiekrīt pārziņa veiktajām darbībām, tam ir tiesības sūdzēties.
21.7.    Tiesības uz datu pārnesamību, tiesība, ar kuru datu subjekts paša ievadītos datus elektroniskās sistēmās tad, ja apstrādes tiesiskais pamatojums ir piekrišana vai līgumisku attiecību nodibināšana vai izpilde, var pieprasīt elektroniskā formātā nodošanai citiem pārziņiem, neietverot tādus datus, kuru avots nav pats datu subjekts vai kas ir radušies kā pārziņa darbības rezultāts.
22.    Datu subjekta tiesības var tikt ierobežotas, ja Sabiedrība spēj argumentēti pamatot konkrētās situācijas tiesiskos izņēmumus kādām datu subjekta tiesībām.
23.    Datu subjekts savu tiesību aizsardzības nodrošināšanai ir tiesīgs iesniegt sūdzību:
23.1.    Ikvienā situācijā, kurā Datu subjekts uzskata, ka Pārzinis, veicot attiecīgo Personas datu apstrādi, ir pārkāpis vai aizskāris Datu subjekta tiesības, Datu subjekts ir tiesīgs sūdzēties uzraudzības iestādē pēc savas izvēles, tas ir, valstī, kurā pārkāpums ir noticis vai savā mītnes zemē. Pārzinim, kas darbojas Latvijas Republikas teritorijā, vadošā uzraudzības iestāde ir Datu valsts inspekcija;
23.2.    Datu subjektam ir arī atsevišķa tiesība gadījumos, kuros Datu subjektam ir pamats uzskatīt, ka tā tiesības ar konkrēto Personas datu apstrādi ir pārkāptas, vērsties tiesā civiltiesiskā kārtībā.

IX.    Noslēguma jautājumi

24.    Ar šiem noteikumiem Sabiedrība precizē ar datu apstrādi saistītās nianses, tajā skaitā, datu apstrādes nolūkus un tiesiskos pamatojumus.
25.    Sabiedrībai ir tiesības veikt šo noteikumu aktualizāciju jebkurā brīdī. Par aktuālo noteikumu versiju uzskatāma pēdējā (jaunākā) ar Sabiedrības rīkojumu apstiprinātā redakcija un attiecīgi ir ievietota un ikvienam pieejama Sabiedrības tīmekļvietnē vietnē www.vivi.lv.