Klientu datu izmantošanas robežas

Uzņēmumam (datu pārzinim) ir vairākas mājaslapas. Vienā no tām tirgo metāla izstrādājumus, citā tos uzpērk, bet vēl kāda piedāvā auto nomas pakalpojumus (gan smago tehniku, gan vieglās automašīnas un busiņus). Visām mājaslapām kā datu pārzinis ir ierakstīts konkrētais uzņēmums (SIA), turklāt datu apstrādes noteikumos ir minēts, ka datus var izmantot ne tikai pasūtījumu un pieprasījumu apstrādei, bet arī mārketinga nolūkiem (lai sūtītu konkrētus piedāvājumus klientiem). Vienā no mājaslapām – A –, aizpildot pieteikumu, klienti ieraksta vārdu, uzvārdu, tālruni un e-pastu, bet otrā – B – tikai vārdu, uzvārdu un tālruni. Vai mājaslapas B vārdā drīkst izsūtīt vēstules uz e-pastu klientiem, kas savu informāciju atstājuši mājaslapā A? Vai šajā gadījumā datu pārzinis drīkst starp savām mājaslapām izmantot šo sniegto informāciju?

Jautājums par to, vai uzņēmums drīkst izmantot klientu datus, kas iegūti vienā mājaslapā, lai sūtītu piedāvājumus par pakalpojumiem, kuri tiek sniegti citā mājaslapā, ir saistīts ar personas datu aizsardzības prasībām. Šajā gadījumā ir svarīgi izvērtēt situāciju atbilstoši Vispārīgajai datu aizsardzības regulai (VDAR), kas nosaka, kā drīkst apstrādāt fizisko personu datus, tostarp arī jautājumos par datu izmantošanu starp dažādām mājaslapām, kuras pārvalda viens un tas pats datu pārzinis (uzņēmums).

Nolūka ierobežojuma princips ir viens no VDAR pamatprincipiem, kas paredz, ka jebkura personas datu apstrāde jāveic konkrētam, skaidri noteiktam un leģitīmam mērķim. Tas nozīmē, ka personas dati nedrīkst tikt izmantoti negaidītiem vai nesaderīgiem nolūkiem, pret kuriem datu subjekts varētu iebilst.

Tāpēc datu koplietošanu starp dažādām mājaslapām bez skaidras klientu piekrišanas nevajadzētu veikt, jo sākotnējais datu vākšanas nolūks var neatbilst jaunajam nolūkam.

Katram jaunam datu apstrādes nolūkam, kas nav savietojams ar sākotnējo, nepieciešams īpašs juridiskais pamats. Piemēram, ja sākotnējais nolūks bija datu izmantošana konkrēta pakalpojuma sniegšanai, tad jaunam nolūkam – piemēram, reklāmai citā uzņēmuma mājaslapā – ir jābūt savam juridiskajam pamatojumam, piemēram, piekrišanai.

Lai izvairītos no iespējamiem pārkāpumiem, vienkāršākais veids būtu katras mājaslapas privātuma politikā ietvert konkrētu norādi par mārketinga paziņojumu sūtīšanu attiecībā uz konkrētajām precēm un pakalpojumiem, ko šī mājaslapa piedāvā. Tāpat svarīgi būtu skaidri definēt, kādi dati tiek pieprasīti (piemēram, e-pasta adreses) un kādam mārketinga nolūkam tie tiks izmantoti. Ja šāda norāde ir skaidri norādīta un klients to pieņēmis, uzņēmums var izmantot šo piekrišanu kā juridisko pamatu.

Eiropas Datu aizsardzības kolēģija (EDAK) ir izdevusi vadlīnijas par pārredzamību un piekrišanu, kurās uzsvērts, ka piekrišanai ir jābūt specifiskai katram apstrādes nolūkam, un datu pārzinim nav tiesību izmantot piekrišanu plašākā apjomā, nekā tas bija sākotnēji definēts. Tomēr, ja apstrāde tiek veikta uz leģitīmo interešu pamata, uzņēmumam jānodrošina, ka tiek veikts interešu līdzsvarošanas tests, klienti ir informēti par šo apstrādi un viņiem ir iespēja iebilst pret to.

VDAR kontekstā būtiski ir arī ņemt vērā datu subjekta (klienta) saprātīgās gaidas. Piemēram, klients, kurš piesakās informācijai par metāla izstrādājumiem, diez vai sagaida, ka viņam pēkšņi tiks sūtīti piedāvājumi par auto nomas pakalpojumiem. Šajā situācijā uzņēmumam būtu grūti pamatot šādu datu izmantošanu ar leģitīmo interešu pamatojumu, jo klienta gaidas un sākotnējais apstrādes nolūks attiecas tikai uz metāla izstrādājumiem.

Nobeigumā jānorāda, ka uzņēmumam jānodrošina, ka personas dati tiek izmantoti tikai tiem nolūkiem, par kuriem klients ir informēts un kam viņš ir piekritis. Ja datu apstrāde tiek veikta citam nolūkam, kas nav savietojams ar sākotnējo, nepieciešams iegūt jaunu juridisko pamatu (piemēram, piekrišanu) vai rūpīgi pamatot apstrādi uz leģitīmo interešu pamata, izvērtējot klienta gaidas un nodrošinot viņam iespēju atteikties no šādas apstrādes.

Publikācija: iTiesības