Kas ir datu aizsardzības speciālists, un kāpēc šī profesija ir tik nozīmīga? 

Attēls: ChatGpt o4 mini high

Mūsdienu digitālajā pasaulē mūsu personas dati nav tikai informācija, bet gan vērtība, kas ir jāaizsargā. Tāpēc radās DPO – datu aizsardzības speciālista (angļu val. Data Protection Officer) profesija. Savā pieredzē un ar ieteikumiem dalās Annas Vladimirovas-Krjukovas, sertificēta DPO.

Ksenija Ahmadova, Youth Ambassador, speciāli Women4Cyber Latvia

Regula aizstāja novecojušo 1995.gada direktīvu un kļuva par vienu no stingrākajiem privātuma likumiem pasaulē¹. Saskaņā ar GDPR,  uzņēmumiem, kuri apstrādā ES rezidentu personas datus, ir jāieceļ DPO, ja, piemēram, tie apstrādā lielu datu apjomu vai strādā ar īpašām datu kategorijām. DPO uzdevums ir nodrošināt organizācijas atbilstību GDPR un sazināties ar uzraudzības iestādēm².

Datu aizsardzība nav iespējama bez ciešas saiknes ar kiberdrošību.

Lai nodrošinātu, ka personas dati netiek nozagti, sabojāti vai nelikumīgi izmantoti, DPO strādā ciešā sadarbībā ar IT un kiberdrošības komandām. DPO tostarp var palīdzēt uzraudzīt, lai uzņēmuma izmantotās tehnoloģijas būtu drošas, lai datu apmaiņa būtu šifrēta, piekļuve datiem – kontrolēta un datu glabāšana – atbilstoša visaugstākajiem standartiem. Tādējādi DPO ir ne tikai tiesiskais uzraugs, bet arī viens no kiberdrošības kultūras veidotājiem organizācijā³.

Women4Cyber iniciatīvas ietvaros es konsultējos ar Annu Vladimirovu-Krjukovu – sertificētu datu aizsardzības speciālistu (DPO), starptautisko CIPP/E, ISO/IEC 27001 galvenā auditora un ISACA sertifikātu turētāju, kura palīdz uzņēmumiem ievērot GDPR informācijas un drošības komandu drošības prasības. Intervijas laikā es noskaidroju, ar kādiem izaicinājumiem datu aizsardzības speciālisti saskaras mūsdienās. Sarunas laikā Anna minēja vairākus galvenos aspektus, kas ietekmē DPO darbu. 

Mākslīgais intelekts un GDPR: jaunas tehnoloģijas, jauni riski

Sarunā ar Annu vēlējos noskaidrot, kā mākslīgais intelekts (AI) maina datu aizsardzības ainavu un kādus jaunus riskus tas rada datu aizsardzības organizācijām. Attīstoties tehnoloģijām, mākslīgais intelekts ir kļuvis par digitālās pasaules neatņemamu sastāvdaļu – no ieteikumu algoritmiem sociālajos tīklos līdz automatizētiem lēmumiem bankās, cilvēkresursos un veselības aprūpē.

Taču līdz ar šīm ērtībām rodas jauni riski, īpaši attiecībā uz personas datu aizsardzību. Automatizētie lēmumi nedrīkst būt “melnā kaste”: GDPR uzsver pārredzamības un cilvēku kontroles nozīmi.

Saskaņā ar GDPR 22. pantu datu subjektiem ir tiesības netikt pakļautiem lēmumiem, kuru pamatā ir tikai automatizēta apstrāde, ja šādi lēmumi varētu būtiski ietekmēt viņu tiesības⁴. Tas nozīmē, ka pat tad, ja algoritms piedāvā risinājumu, galīgais vārds joprojām ir cilvēkam, jo īpaši tādās jutīgās jomās kā veselības aprūpe, apdrošināšana un finanses.

Pirms jebkuras mākslīgā intelekta sistēmas, kas apstrādā personas datus, palaišanas organizācijai ir jāveic ietekmes uz datu aizsardzību novērtējums DPIA (Data Protection Impact Assessment). Šis process ļauj laikus identificēt un samazināt iespējamos riskus datu subjektu privātumam un tiesībām⁵. Eiropas Datu aizsardzības kolēģija (EDPB) ir izdevusi detalizētus norādījumus par to, kā veikt DPIA, uzsverot, ka ļoti automatizētām mākslīgā intelekta sistēmām, kas apstrādā biometriskos datus lielā mērogā, gandrīz vienmēr ir nepieciešams šāds novērtējums⁶. Bez DPIA AI ir riskanta, jo īpaši ņemot vērā iespējamos naudas sodus un kaitējumu reputācijai.

Mākoņpakalpojumi un pārrobežu riski

“Kad uzņēmums izmanto mākoņtehnoloģijas, datu aizsardzības speciālistam (DPO) ir galvenā loma ar personas datu uzglabāšanu un pārsūtīšanu saistīto risku novērtēšanā. Viens no primārajiem jautājumiem ir serveru fiziskā atrašanās vieta: vai tie atrodas Eiropas Savienībā, ASV vai citās valstīs. Tas ir svarīgi, jo datu aizsardzības likumi dažādās jurisdikcijās var ievērojami atšķirties. DPO ir jānodrošina, lai izvēlētie mākoņpakalpojumu sniedzēji nodrošinātu pietiekamas datu aizsardzības garantijas, lai izpildītu GDPR prasības,” paskaidroja Anna.

Īpaša uzmanība būtu jāpievērš pārrobežu datu pārsūtīšanai. Iepriekšējo ES un ASV nolīgumu, kas pazīstams kā Privātuma vairogs, Eiropas Savienības Tiesa 2020. gada jūlijā atzina par spēkā neesošu Schrems II lietā. Tiesa nolēma, ka ASV nenodrošina pietiekamu personas datu aizsardzības līmeni, jo īpaši ņemot vērā tās iestāžu plašas tiesības, padarot datu pārsūtīšanu uz ASV bez papildu aizsardzības pretlikumīgu. Rezultātā uzņēmumiem, kas pārsūta datus ārpus ES, ir jāizmanto citi mehānismi, piemēram, standarta līguma klauzulas (SCC), un jāveic rūpīgs ar šādu pārsūtīšanu saistīts riska novērtējums⁷. Šī iemesla dēļ, DPO jau no paša sākuma būtu jāiesaista mākoņpakalpojumu atlases un izvērtēšanas procesā, nodrošinot visu GDPR prasību izpildi un līdz minimumam samazinot iespējamos riskus datu subjektu tiesībām un brīvībām.

Kļūdas, par kurām uzņēmumi maksā

Datu aizsardzības inspektore (DPO) Anna atzīmēja, ka, neraugoties uz plašo informācijas pieejamību par GDPR, uzņēmumi turpina pieļaut kļūdas ar nopietnām sekām. 

1. Nav tiesiska pamata datu apstrādei. Viena no izplatītākajām problēmām ir personas datu apstrādes tiesiskā pamata trūkums. Saskaņā ar Vispārīgās datu aizsardzības regulas (GDPR) 6. pantu katrai apstrādes darbībai ir jābūt skaidri noteiktam juridiskajam pamatam⁸. Šīs prasības neievērošana var izraisīt ievērojamus naudas sodus. Piemēram, 2024. gada oktobrī Īrijas Datu aizsardzības komisija sodīja LinkedIn ar 310 miljonus eiro lielu sodu par lietotāju datu apstrādi bez pietiekama juridiskā pamata reklāmas nolūkos⁹.
2. Agresīvs mārketings bez piekrišanas. Saskaņā ar GDPR piekrišanai ir jābūt brīvi sniegtai, konkrētai, informētai un nepārprotamai. 2020. gadā Itālijas telekomunikāciju operatoram TIM tika uzlikts naudas sods 27,8 miljonu eiro apmērā par uzmācīgiem mārketinga zvaniem bez pienācīgas klientu piekrišanas¹⁰.
3. DPO lomas nenovērtēšana. Daži uzņēmumi datu aizsardzības inspektorus uztver kā procesu “bremzes”, savukārt to patiesā funkcija ir atvieglot uzņēmējdarbības prakses pielāgošanu juridiskajām prasībām un novērst riskus. DPO iesaistīšana jau no paša sākuma palīdz ne tikai samazināt riskus, bet arī vairo klientu un regulatoru uzticību.

Tāpēc, lai izvairītos no naudas sodiem un kaitējuma reputācijai, organizācijām jārīkojas saskaņā ar tiesisko regulējumu, jāievēro tiesības uz piekrišanu un ne tikai formāli jāieceļ DPO, bet arī viņš aktīvi jāiesaista galvenajos procesos.

Datu noplūde – panika ir slikts palīgs

“Ja organizācijā notiek incidents ar datu noplūdi vai kiberuzbrukumu, svarīgi problēmu neslēpt, bet gan kompetenti un operatīvi uz to reaģēt,” minēja Anna.

1. Sagatavošana un plānošana. Katrai organizācijai ir jābūt skaidram plānam, kā reaģēt uz kiberdrošības incidentiem. Šajā plānā jāiekļauj lomu un pienākumu sadale, komunikācijas kanālu noteikšana un procedūras incidentu noteikšanai, analīzei un atrisināšanai. Ir svarīgi regulāri atjaunināt šo plānu un veikt darbinieku mācības, lai nodrošinātu, ka visi ir gatavi iespējamiem draudiem.
2. Komunikācija un informācija. Datu noplūdes gadījumā nepieciešams operatīvi informēt visas ieinteresētās puses: darbiniekus, klientus, sadarbības partnerus un, ja nepieciešams, regulējošās institūcijas. Skaidra un savlaicīga komunikācija palīdz novērst dezinformācijas izplatīšanos un uzturēt uzņēmuma reputāciju. Turklāt ir svarīgi iepriekš noteikt, kurš būs atbildīgs par mijiedarbību ar plašsaziņas līdzekļiem un oficiālu paziņojumu sagatavošanu¹¹.
3. DPO loma un personāla apmācība. Datu aizsardzības speciālistam (DPO) ir galvenā loma reaģēšanā uz incidentiem. Viņam ne tikai jāiesaistās reaģēšanas plāna izstrādē un aktualizēšanā, bet arī regulāri jāveic darbinieku apmācības, paaugstinot viņu izpratni par iespējamiem apdraudējumiem un to novēršanas veidiem. Apmācīts personāls spēj ātrāk atklāt aizdomīgu darbību un nekavējoties par to ziņot, kas ievērojami samazina riskus¹².

Efektīvai reaģēšanai uz incidentiem ir nepieciešama visaptveroša pieeja, kas ietver sagatavošanos, skaidru saziņu un pastāvīgu apmācību. Šo aspektu neievērošana var radīt nopietnas sekas, tostarp finansiālus zaudējumus un klientu un partneru uzticības zaudēšanu.

Šādas situācijas skaidri parāda, cik svarīga ir profesionāla un zinoša DPO loma organizācijā — ne tikai incidentu laikā, bet arī to novēršanā un ilgtspējīgas datu pārvaldības nodrošināšanā.

Pēdējos gados datu aizsardzības speciālistam (DPO) profesija ir kļuvusi par vienu no pieprasītākajām Eiropā. Saskaņā ar 2025. gada marta DataGrail ziņojumu vairāk nekā 100 jurisdikcijās visā pasaulē ir nepieciešams iecelt DPO vai līdzīgu amatu, un šis skaits turpina pieaugt, jo valdības piešķir lielāku nozīmi datu aizsardzībai¹³. Tomēr, neskatoties uz lielo pieprasījumu,

tirgū ir vērojams kvalificētu speciālistu, īpaši sieviešu, deficīts.

Tas paver lieliskas karjeras iespējas meitenēm, kuras interesē privātums, tehnoloģijas un digitālās tiesības. Sākot apgūt GDPR, kiberdrošības un datu ētikas pamatus, Tu vari ne tikai iekļūt daudzsološā jomā, bet arī reāli ietekmēt to, kāda būs nākotnes digitālā sabiedrība.

Latvijā datu aizsardzības speciālista (DPO) kvalifikācijas eksāmena nokārtošanai nav nepieciešama augstākā izglītība, kā arī nav noteikta obligāta prasība iziet speciālas apmācības pirms eksāmena kārtošanas. Saskaņā ar Latvijas Ministru kabineta 2020. gada 6. oktobra lēmumu Nr. 620 eksāmens ir brīvprātīgs un pieejams visām personām ar nepieciešamajām zināšanām personas datu aizsardzības jomā. Veiksmīga eksāmena nokārtošana ļauj tikt iekļautam oficiālajā kvalificētu datu aizsardzības speciālistu reģistrā¹⁴.

Veiksmīga eksāmena nokārtošana ļauj tikt iekļautam oficiālajā kvalificētu datu aizsardzības speciālistu reģistrā.

DPO profesija nav tikai noteikumu ievērošana, bet arī cilvēku tiesību un brīvību patiesa aizsardzība digitālajā pasaulē. DPO palīdz uzņēmumiem strādāt ar datiem ētiski, droši un ar cieņu pret cilvēkiem. Tas ir darbs ar misiju – kur tu esi lietotāja pusē, taču saproti arī biznesu un tehnoloģijas. Ja Tev interesē, kā tiek veidots digitālais taisnīgums, un vēlies būt daļa no pārmaiņām, DPO var būt Tavs ceļš!

---

1. Wolford, B. “What is GDPR, the EU’s new data protection law?”. Pieejams: https://gdpr.eu/what-is-gdpr/ (apskatīts 16.04.2025.). ↩︎
2. Zlatko, D. “The Evolving Role of Data Protection Officers in the Post-GDPR Landscape”. Pieejams: https://gdprlocal.com/the-evolving-role-of-data-protection-officers-in-the-post-gdpr-landscape/ (apskatīts 16.04.2025.). ↩︎
3. digiALERT. ”Demystifying the Roles of DPO and CISO in Cybersecurity.” 2023. Pieejams: https://www.linkedin.com/pulse/demystifying-roles-dpo-ciso-cybersecurity-digialert/ (apskatīts 23.04.2025.). ↩︎
4. European Parliament and Council of the European Union. (2016). Regulation (EU) 2016/679, Article 22. Pieejams https://gdpr-info.eu/art-22-gdpr/ ↩︎
5. Wolford, B. “Data Protection Impact Assessment (DPIA)”. Pieejams: https://gdpr.eu/data-protection-impact-assessment-template/ (apskatīts 23.04.2025.). ↩︎
6. European Data Protection Board. (2024, July 16). Statement 3/2024 on data protection authorities’ role in the Artificial Intelligence Act framework. Retrieved from https://www.edpb.europa.eu/our-work-tools/our-documents/statements/statement-32024-data-protection-authorities-role-artificial_en ↩︎
7. The Definitive Guide to Schrems II. 2022. Pieejams: https://www.dataguidance.com/resource/definitive-guide-schrems-ii (apskatīts 23.04.2025) ↩︎
8. European Parliament and Council of the European Union. (2016). Regulation (EU) 2016/679, Article 6. Pieejams https://gdpr-info.eu/art-6-gdpr/ ↩︎
9. Reuters. ”EU privacy regulator fines LinkedIn 310 mln euro”. 2024. Pieejams: https://www.reuters.com/technology/eu-privacy-regulator-fines-linkedin-310-mln-euro-2024-10-24/ (apskatīts 23.04.2025) ↩︎
10. cookie-script.com. ”Knowledge base”. 2025. Pieejams: https://cookie-script.com/knowledge-base/what-are-the-biggest-gdpr-fines-so-far (apskatīts 23.04.2025) ↩︎
11. Watson, R. ”Data breach response plan: Hints and tips.” 2023. Pieejams: https://www.dataguard.com/blog/data-breach-response-plan-hints-and-tips (apskatīts 23.04.2025). ↩︎
12. Sypher. ”Privacy incident response planning: a playbook for DPOs”. 2025. Pieejams: https://www.sypher.eu/article/blog/privacy-incident-response-planning-a-playbook-for-dpos (apskatīts 23.04.2025). ↩︎
13. Crane, T. “The Future of Data Protection Officers in a Privacy-Focused World”. 2025. Pieejams: https://www.datagrail.io/blog/data-privacy/the-future-of-data-protection-officers-in-a-privacy-focused-world/ (apskatīts 23.04.2025). ↩︎
14. Datu valsts inspekcija. ”Biežāk uzdotie jautājumi” Pieejams: https://www.dvi.gov.lv/lv/BUJ (apskatīts 29.04.2025.) ↩︎