Taču Dienas uzmanību piesaistīja cita projektā iekļautā nianse, kas var būt svarīga plašam Latvijas iedzīvotāju skaitam. Proti, grozījumi paredz tā sauktā atvērtā kopīgā klientu izpētes rīka ieviešanu, kas tiks izveidots kā informācijas kanāls, lai galvenokārt kredītiestādes, bet arī citi likuma subjekti varētu iegūt informāciju par klientiem un sadarbības partneriem no valsts datubāzēm un savstarpēji apmainīties ar iegūto informāciju.
Likumprojekta anotācijā norādīts, ka idejas mērķis ir likumā radīt tiesisko regulējumu, lai dotu iespēju likuma subjektiem – bankām – uzsākt dalīšanos ar saviem klientu izpētes ietvaros iegūtajiem datiem, ievietojot tos speciālā platformā ārpus bankas.
Nevar apstrīdēt, ko nezina
Lai gan ideja par vienotas datu bāzes izveidi kopumā tiek vērtēta pozitīvi, tomēr tiesību eksperti pašreizējā projekta versijā saskata virkni risku gan saistībā ar ES Vispārīgās datu aizsardzības regulas jeb GDPR normām, gan arī attiecībā uz individuālo personu tiesību iespējamiem pārkāpumiem. Būtībā ar šīs normas apstiprināšanu un banku kopīgā klientu izpētes rīka ieviešanu, kurā apkopos informāciju par klientiem un viņu darbībām, likumdevējs radīs, iespējams, nozīmīgāko personu datu apkopošanas un apstrādes sistēmu, kam būs, iespējams, milzīgas negatīvas sekas.
Eksperti uzskata, ka, ņemot vērā šajā sistēmā par personu iekļauto informāciju, bankas varēs, piemēram, atteikt cilvēkiem pakalpojumus, bet personām šobrīd netiek paredzētas nekādas iespējas šādu lēmumu apstrīdēt.
Vēl vairāk – personām būs ļoti ierobežotas iespējas apstrīdēt pat datu bāzē iekļautās informācijas pamatotību, jo viņiem netiek paredzēta iespēja noskaidrot, kas par viņiem ierakstīts datu bāzē.
Kā Dienai norādīja zvērināts advokāts Jānis Jurkāns, plānots, ka izpētes rīka uzturēšanu veiks privāta persona, kas būs saņēmusi licenci. No likumprojekta secināms, ka sistēmas uzturētājam būs iespēja iegūt informāciju no visdažādākajām valsts kontrolētajām datu bāzēm, tostarp Pilsonības un migrācijas lietu pārvaldes, Transportlīdzekļu reģistra, Zemesgrāmatas, Kuģu reģistra, Komercreģistra, Kredītu reģistra, Valsts ieņēmumu dienesta (VID), Tiesu informācijas sistēmas, kā arī tajā tiks iekļauta banku apkopotā informācija par saviem klientiem. Šāda apjoma informācijas koncentrēšana izpētes rīka lietotāja – privātpersonas – rokās rada nopietnas bažas par pārliekām privātuma aizskāruma iespējām.
Faktiski licences turētāja un tā klientu darbinieki par personu, iespējams, zinās vairāk nekā šīs personas tuvākie ģimenes locekļi.
Pēc Jurkāna paustā, nevienam tiesībsargājošo iestāžu darbiniekam nav pieejama šāda apjomīga datu bāze. Turklāt būtiski – tiesībsargiem ir ļoti strikti atrunāta gan kārtība, kādā datu bāzēs pieejamo informāciju drīkst izmantot un kā tiek pārbaudīta informācija par personu, pirms tā tiek ievadīta datu bāzēs. Savukārt attiecībā uz banku apkopoto informāciju par klientiem normatīvos netiek skaidri paredzēta atbildība banku darbiniekiem par situāciju, ja informācija par klientu neatbildīs patiesībai.
Iniciatori sola taisnīgumu
Finanšu ministrijas (FM) Komunikācijas departamenta direktors Aleksis Jarockis gan mierina – ņemot vērā, ka klientu izpētes rīkā būs iekļauta informācija, ko savāc un apstrādā konkrētā likuma subjekti (bankas), izpildot likumā noteiktos pienākumus attiecībā uz klienta izpēti, banku darbību uzrauga uzraudzības un kontroles institūcijas (Finanšu un kapitāla tirgus komisija, VID, Patērētāju tiesību aizsardzības centrs). Uzraudzības un kontroles institūcijas ir tiesīgas likuma subjektiem par pārkāpumiem piemērot korektīvos pasākumus un sankcijas, kā arī tās izskata no likuma subjektu klientiem saņemtās sūdzības par to darbību noziedzīgi iegūtu līdzekļu legalizācijas un terorisma un proliferācijas finansēšanas novēršanas jomā, tostarp attiecībā uz personas datu apstrādi un tās robežām – ciktāl tā nepieciešama klienta izpētes veikšanai.
Jarockis arī pauž, ka grozījumu projekta 15. pantā ietvertajā 17.3 pantā noteikts, ka Datu valsts inspekcija (DVI) valdības noteiktajā kārtībā veiks kopīgo klientu izpētes rīku pakalpojumu sniedzēju licencēšanu un uzraudzību attiecībā uz fizisko personu datu apstrādi. Līdz ar to DVI varēs pārbaudīt klienta izpētes rīka darbību attiecībā uz personas datu apstrādi, vai pats klientu izpētes rīka pakalpojumu sniedzējs nav pārveidojis datus, vai tie ir tādi paši, kā sniedza likuma subjekts. DVI veic fizisko personu datu apstrādes un aizsardzības uzraudzību, tai skaitā par fiziskas personas piekrišanas atsaukšanu, tehnisko un organizatorisko prasību nodrošināšanu, informācijas nodošanu, fiziskas personas kā datu subjekta tiesību izpildi. FM norāda, ka DVI nepārbauda personas datu apstrādes kontekstu, t. i., likuma subjektu secinājumus, kuri ir izdarīti, pamatojoties uz personas datiem. Piemēram, ja persona ir mācījusies/strādājusi ar kādu personu, kura ir iekļauta sankciju sarakstā, tad šādi personas dati būs pareizi un no personas datu viedokļa apstrāde būs atbilstoša.
Savukārt likuma subjekta risku novērtējums attiecībā uz šo personu nav personas datu apstrādes jautājums, klienta riska līmeni, kā arī pieļaujamo riska līmeni sadarbības uzsākšanai vai turpināšanai nosaka pats likuma subjekts, balstoties uz objektīvi pārbaudāmu informāciju.
Par klienta izpētes pasākumiem un to rezultātiem visos gadījumos atbildīgs ir pats likuma subjekts, arī gadījumos, kad klienta izpēte veikta, izmantojot citas kredītiestādes vai finanšu iestādes veiktās klienta izpētes rezultātus.
Tieši par šo bažas ir ekspertiem – uzraugi var tiešām pārbaudīt, vai persona ir kādreiz mācījusies kopā ar kādu, piemēram, sankcionējamu personu. Taču uzraugs bez padziļinātas izvērtēšanas nevar pārbaudīt, vai šāda saistība, kas, iespējams, radīs diskriminējošas sekas cilvēkam, ir pamatota ar ko vairāk nekā tikai faktu, ka divas personas ir mācījušās vienā skolā. Un te atklāts paliek jautājums – kā persona varēs pierādīt savu nevainīgumu, ja pēc būtības nemaz nezinās, kāpēc tiek ierobežotas viņa tiesības.