12.2.2010   

LV

Eiropas Savienības Oficiālais Vēstnesis

L 39/5

(1)

Atbilstīgi Direktīvai 95/46/EK dalībvalstīm jāparedz, ka personas datu pārsūtīšana trešai valstij var notikt tikai tad, ja attiecīgā trešā valsts nodrošina pienācīgu datu aizsardzības līmeni un ja pirms pārsūtīšanas ievēro tos dalībvalsts tiesību aktus, kas atbilst citiem minētās direktīvas noteikumiem.

(2)

Tomēr Direktīvas 95/46/EK 26. panta 2. punktā ir noteikts, ka dalībvalstis, saņemot atbilstošas garantijas, var atļaut personas datu pārsūtīšanu vai pārsūtījumu kopumu uz trešām valstīm, kas nenodrošina pietiekamu aizsardzības līmeni. Šādas garantijas jo īpaši var izrietēt no attiecīgām līguma klauzulām.

(3)

Atbilstīgi Direktīvai 95/46/EK datu aizsardzības līmenis jānovērtē, ņemot vērā visus apstākļus vienā vai vairākās datu pārsūtīšanas darbībās. Darba grupa personu aizsardzībai attiecībā uz personas datu apstrādi, kas izveidota ar minēto direktīvu, ir izdevusi pamatnostādnes, lai palīdzētu veikt šo novērtējumu.

(4)

Līguma standartklauzulas būtu jāattiecina tikai uz datu aizsardzību. Tādējādi datu nosūtītājs un datu saņēmējs drīkst brīvi iekļaut citas klauzulas, kas ir saistītas ar uzņēmējdarbību un kuras tie uzskata par līgumam atbilstīgām, ciktāl šādas klauzulas nav pretrunā līguma standartklauzulām.

(5)

Šis lēmums neskar valsts atļaujas, ko dalībvalstis var piešķirt saskaņā ar valsts tiesību aktiem, īstenojot Direktīvas 95/46/EK 26. panta 2. punktu. Šim lēmumam būtu vienīgi jāprasa dalībvalstīm neatteikties atzīt, ka tajā aprakstītās līguma standartklauzulas sniedz atbilstošas garantijas, un tādēļ tas neattiecas uz citām līguma klauzulām.

(6)

Komisijas 2001. gada 27. decembra Lēmums 2002/16/EK par līguma standartklauzulām attiecībā uz personas datu pārsūtīšanu trešās valstīs reģistrētiem apstrādātājiem saskaņā ar Direktīvu 95/46/EK (2) tika pieņemts, lai Eiropas Savienībā reģistrētiem atbildīgajiem par datu apstrādi atvieglotu personas datu nosūtīšanu apstrādātājiem, kas reģistrēti trešās valstīs, kuras nenodrošina pietiekamu aizsardzības līmeni.

(7)

Kopš pieņemts Lēmums 2002/16/EK, ir gūta liela pieredze. Turklāt ziņojums par lēmumu īstenošanu par standartklauzulām attiecībā uz personas datu pārsūtīšanu trešām valstīm (3) parādīja, ka pieaug ieinteresētība veicināt līguma standartklauzulu izmantošanu personas datu starptautiskā pārsūtīšanā trešām valstīm, kuras nenodrošina pietiekamu aizsardzības līmeni. Turklāt ieinteresētās personas ir iesniegušas priekšlikumus Lēmumā 2002/16/EK paredzēto līgumu standartklauzulu atjaunināšanai, lai ņemtu vērā datu apstrādes pasākumu strauji augošo darbības jomu pasaulē, kā arī lai risinātu dažus jautājumus, kas nav ietverti minētajā lēmumā (4).

(8)

Šā lēmuma darbības jomai vajadzētu tikai noteikt, ka tajā paredzētās klauzulas var izmantot Eiropas Savienībā reģistrēti atbildīgie par datu apstrādi, lai, pārsūtot personas datus trešā valstī reģistrētam apstrādātājam, sniegtu atbilstošas garantijas Direktīvas 95/46/EK 26. panta 2. punkta nozīmē.

(9)

Šim lēmumam nevajadzētu attiekties uz gadījumiem, kad Eiropas Savienībā reģistrēti atbildīgie par datu apstrādi pārsūta datus tādiem atbildīgajiem, kuri ir reģistrēti ārpus Eiropas Savienības un uz kuriem attiecas Komisijas 2001. gada 15. jūnija Lēmums 2001/497/EK par līguma standartklauzulām attiecībā uz personas datu pārsūtīšanu trešām valstīm saskaņā ar Direktīvu 95/46/EK (5).

(10)

Ar šo lēmumu būtu jāīsteno Direktīvas 95/46/EK 17. panta 3. punktā noteiktais pienākums, un tam nevajadzētu ietekmēt saskaņā ar minēto noteikumu izstrādātu līgumu vai citu tiesību aktu saturu. Tomēr dažas no līguma standartklauzulām, jo īpaši attiecībā uz datu nosūtītāja pienākumiem, ir jāiekļauj, lai būtu lielāka skaidrība par noteikumiem, kas var būt līgumā starp atbildīgo par datu apstrādi un apstrādātāju.

(11)

Dalībvalstu uzraudzības iestādēm ir izšķiroša nozīme šajā līguma mehānismā, nodrošinot personas datu pienācīgu aizsardzību pēc pārsūtīšanas. Izņēmuma gadījumos, kad datu nosūtītāji atsakās dot datu saņēmējam pietiekamus norādījumus vai arī nespēj šādus norādījumus dot, tādējādi radot būtiska kaitējuma draudus datu subjektiem, līguma standartklauzulās uzraudzības iestādēm jāļauj veikt pārbaudes attiecībā uz datu saņēmējiem un apakšapstrādātājiem un attiecīgā gadījumā pieņemt lēmumus, kas datu saņēmējiem apakšapstrādātājiem ir saistoši. Uzraudzības iestādēm jābūt pilnvarotām aizliegt vai pārtraukt vienu vai vairākas datu pārsūtīšanas, balstoties uz līguma standartklauzulām tajos izņēmuma gadījumos, kad ir noteikts, ka pārsūtīšana, pamatojoties uz līgumu, iespējams, var ļoti negatīvi ietekmēt garantijas un pienākumus, kas datu subjektam sniedz pienācīgu aizsardzību.

(12)

Līguma standartklauzulās jāparedz tehniski un organizatoriski drošības pasākumi, kas jāpiemēro datu apstrādātājiem, kuri reģistrēti tādā trešā valstī, kur nenodrošina pienācīgu aizsardzību, lai nodrošinātu tādu drošības līmeni, kas atbilst ar apstrādi saistītajam riskam un aizsargājamo personas datu īpatnībām. Pusēm līgumā jāparedz šie tehniskie un organizatoriskie pasākumi, kādi, ņemot vērā piemērojamos tiesību aktus datu aizsardzības jomā, jaunākos sasniegumus un to īstenošanas izmaksas, ir vajadzīgi, lai personas datus aizsargātu pret nejaušu vai nelikumīgu iznīcināšanu vai nejaušu nozaudēšanu, izmainīšanu, neatļautu izpaušanu vai piekļuvi tiem vai citām nelikumīgām apstrādes formām.

(13)

Lai atvieglotu datu plūsmas no Eiropas Savienības, ir vēlams, lai datu apstrādātājiem, kas datu apstrādes pakalpojumus sniedz vairākiem Eiropas Savienības atbildīgajiem par datu apstrādi, atļautu piemērot vienādus tehniskos un organizatoriskos pasākumus neatkarīgi no dalībvalsts, no kuras datus sākotnēji pārsūta, jo īpaši gadījumos, kad datu saņēmējs datus turpmākai apstrādei saņem no Eiropas Savienības datu nosūtītāja dažādiem uzņēmumiem; šādā gadījumā jāpiemēro izraudzītās reģistrācijas dalībvalsts tiesību akti.

(14)

Ir lietderīgi noteikt informācijas minimumu, kas pusēm būtu jānorāda pārsūtīšanas līgumā. Dalībvalstīm jāsaglabā pilnvaras precizēt informāciju, kas pusēm ir jāsniedz. Šā lēmuma darbība jāpārskata, ņemot vērā pieredzi.

(15)

Datu saņēmējam pārsūtītie personas dati jāapstrādā tikai datu nosūtītāja uzdevumā un saskaņā ar tā norādījumiem, kā arī ievērojot klauzulās ietvertās saistības. Īpaši datu saņēmējs nedrīkst personas datus izpaust trešai personai bez datu nosūtītāja iepriekšējas rakstiskas piekrišanas. Datu nosūtītājam visā datu apstrādes pakalpojumu sniegšanas laikā jāinstruē datu saņēmējs, lai dati tiktu apstrādāti saskaņā ar tā norādījumiem, piemērojamiem tiesību aktiem datu aizsardzības jomā un ievērojot klauzulās minētās saistības.

(16)

Ziņojumā par lēmumu īstenošanu par līguma standartklauzulām attiecībā uz personas datu pārsūtīšanu uz trešām valstīm tika ieteikts izveidot atbilstošas līguma standartklauzulas par turpmākām pārsūtīšanām, ko datu apstrādātājs, kas reģistrēts trešā valstī, veic citam datu apstrādātājam (apakšapstrāde), lai ņemtu vērā uzņēmējdarbības tendences un praksi arvien globalizētākā apstrādē.

(17)

Šajā lēmumā būtu jāiekļauj īpašas līguma standartklauzulas par apakšapstrādi, ko veic datu apstrādātājs, kas reģistrēts tā datu apstrādes pakalpojumu trešā valstī (datu saņēmējs) un kas sniedz šos pakalpojumus citiem datu apstrādātājiem (apakšapstrādātājiem), kas reģistrēti trešās valstīs. Turklāt šajā lēmumā būtu jāparedz nosacījumi, kas jāizpilda apakšapstrādē, lai nodrošinātu, ka pārsūtītos personas datus turpina aizsargāt, neraugoties uz to, ka pēc tam tos pārsūta apakšapstrādātājam.

(18)

Turklāt apakšapstrādē jāietver vienīgi tās darbības, kas paredzētas līgumā starp datu nosūtītāju un datu saņēmēju, iekļaujot līguma standartklauzulas, kas paredzētas šajā lēmumā, un tā nebūtu jāattiecina uz citām datu apstrādes darbībām vai mērķiem, lai tiktu ievērots mērķa ierobežošanas princips, kas paredzēts Direktīvā 95/46/EK. Turklāt gadījumā, ja apakšapstrādātājs nepilda savus līgumā paredzētos datu apstrādes pienākumus, datu saņēmējs saglabā atbildību pret datu nosūtītāju. Personas datu pārsūtīšanai apstrādātājiem, kas ir reģistrēti ārpus Eiropas Savienības, nevajadzētu ietekmēt to, ka apstrādes darbības jāreglamentē ar piemērojamiem tiesību aktiem datu aizsardzības jomā.

(19)

Jānodrošina, ka līguma standartklauzulas īsteno ne tikai organizācijas, kas ir līgumslēdzējas puses, bet arī datu subjekti, jo īpaši – ja datu subjektiem līguma laušanas dēļ ir nodarīts kaitējums.

(20)

Datu subjektiem jābūt tiesībām vērsties pret datu nosūtītāju, kas ir atbildīgs par pārsūtīto personas datu apstrādi, un attiecīgā gadījumā saņemt kompensāciju no tā. Izņēmuma gadījumā datu subjektiem jābūt tiesīgiem arī vērsties pret datu saņēmēju un attiecīgā gadījumā saņemt kompensāciju no datu saņēmēja, ja datu saņēmējs vai kāds tam padotais apakšapstrādātājs nav izpildījis kādu no 3. klauzulas 2. punktā minētajiem pienākumiem, ja datu nosūtītājs ir faktiski zudis vai juridiski beidzis pastāvēt, vai arī ir kļuvis maksātnespējīgs. Izņēmuma kārtā datu subjektam jābūt arī pilnvarotam rīkoties un attiecīgā gadījumā saņemt kompensāciju no apakšapstrādātāja situācijās, kad gan datu nosūtītājs, gan saņēmējs ir faktiski zudis vai juridiski beidzis pastāvēt, vai arī ir kļuvis maksātnespējīgs. Minētā apakšapstrādātāja civiltiesiskajai atbildībai būtu jāattiecas vienīgi uz tā paša apstrādes darbībām saskaņā ar līguma klauzulām.

(21)

Ja starp datu subjektu, kas piemēro ieinteresētās trešās personas klauzulu, un datu saņēmēju rodas strīds, kuru nevar atrisināt ar izlīgumu, tad datu saņēmējam būtu jāpiedāvā datu subjektam izvēlēties starp starpniecību vai valsts tiesu. Tas, cik lielā mērā datu subjekta izvēle būs efektīva, būs atkarīgs no uzticamu un atzītu starpniecības sistēmu pieejamības. Tās dalībvalsts datu aizsardzības uzraudzības iestāžu starpniecībai, kurā datu nosūtītājs ir reģistrēts, jebkurā gadījumā jābūt kā izvēlei, ja tās šādu pakalpojumu sniedz.

(22)

Līgumam piemērojamiem tiesību aktiem jābūt tās dalībvalsts tiesību aktiem, kurā datu nosūtītājs ir reģistrēts, ļaujot ieinteresētajai trešai personai līgumu izpildīt. Asociācijām vai citām struktūrām jāļauj pārstāvēt datu subjektus, ja tās to vēlas un ja to atļauj valsts tiesību akti. Ar tādiem pašiem tiesību aktiem jāreglamentē datu aizsardzības nosacījumi, kas paredzēti jebkurā līgumā ar apakšapstrādātāju par to personas datu apstrādes darbībām, kurus datu nosūtītājs pārsūtījis datu saņēmējam saskaņā ar līguma klauzulām.

(23)

Tā kā šis lēmums attiecas vienīgi uz apakšuzņēmuma līgumiem, ko slēdz datu apstrādātājs, kas reģistrēts tā datu apstrādes pakalpojumu trešā valstī, ar datu apakšapstrādātāju, kas reģistrēts trešā valstī, tas nebūtu jāattiecina uz situācijām, kad Eiropas Savienībā reģistrēts apstrādātājs, kas veic personas datu apstrādi Eiropas Savienībā reģistrēta atbildīgā par datu apstrādi uzdevumā, noslēdz apakšuzņēmuma līgumu par tā apstrādes darbībām ar apakšapstrādātāju, kas reģistrēts trešā valstī. Šādās situācijās dalībvalstis var izvēlēties, vai ņemt vērā to, ka šajā lēmumā paredzētie līguma standartklauzulu principi un tiesiskās aizsardzības līdzekļi ir izmantoti, lai noslēgtu apakšuzņēmuma līgumu ar apakšapstrādātāju, kas reģistrēts trešā valstī, nolūkā nodrošināt to datu subjektu tiesību pienācīgu aizsardzību, kuru personas datus pārsūta apakšapstrādes darbību veikšanai.

(24)

Darba grupa personu aizsardzībai attiecībā uz personas datu apstrādi, kas ir izveidota ar Direktīvas 95/46/EK 29. pantu, ir sniegusi atzinumu par aizsardzības līmeni, kurš noteikts saskaņā ar šim lēmumam pievienotajām līguma standartklauzulām. Minētais atzinums ir ņemts vērā, sagatavojot šo lēmumu.

(25)

Lēmums 2002/16/EK būtu jāatceļ.

(26)

Šajā lēmumā paredzētie pasākumi ir saskaņā ar atzinumu, ko sniegusi komiteja, kura izveidota saskaņā ar Direktīvas 95/46/EK 31. pantu,

a)

“īpašas datu kategorijas” ir Direktīvas 95/46/EK 8. pantā minētie dati;

b)

“uzraudzības iestāde” ir iestāde, kas minēta Direktīvas 95/46/EK 28. pantā;

c)

“datu nosūtītājs” ir atbildīgais par datu apstrādi, kas pārsūta personas datus;

d)

“datu saņēmējs” ir trešā valstī reģistrēts atbildīgais par datu apstrādi, kas piekrīt personas datus saņemt no datu nosūtītāja, lai tos pēc pārsūtīšanas apstrādātu nosūtītāja uzdevumā saskaņā ar tā norādījumiem un šā lēmuma noteikumiem, un uz ko neattiecas trešās valsts sistēma, ar kuru nodrošina pienācīgu aizsardzību Direktīvas 95/46/EK 25. panta 1. punkta nozīmē;

e)

“apakšapstrādātājs” ir jebkurš datu apstrādātājs, ko nodarbina datu saņēmējs vai jebkurš cits datu saņēmēja apakšapstrādātājs un kas piekrīt saņemt no datu saņēmēja vai datu saņēmēja jebkura cita apakšapstrādātāja personas datus, kas paredzēti vienīgi apstrādes darbībām, ko pēc pārsūtīšanas veic datu nosūtītāja uzdevumā saskaņā ar tā norādījumiem, pielikumā paredzētajām līguma standartklauzulām un nosacījumiem, kas ietverti rakstiskajā apakšuzņēmuma līgumā par apstrādi;

f)

“piemērojamie tiesību akti datu aizsardzības jomā” ir tiesību akti, kas aizsargā personu pamattiesības un pamatbrīvības, un jo īpaši viņu tiesības uz privāto dzīvi attiecībā uz personas datu apstrādi, un kas attiecas uz atbildīgo par datu apstrādi dalībvalstī, kurā datu nosūtītājs ir reģistrēts;

g)

“tehniski un organizatoriski drošības pasākumi” ir pasākumi, kas ir paredzēti, lai personas datus aizsargātu pret nejaušu vai nelikumīgu iznīcināšanu vai nejaušu nozaudēšanu, izmainīšanu, neatļautu izpaušanu vai piekļuvi tiem, jo īpaši – ja apstrādē ir iekļauta datu nosūtīšana tīklā, kā arī pret citām nelikumīgām apstrādes formām.

a)

konstatē, ka tiesību akti, kuri datu saņēmējam vai apakšapstrādātājam jāievēro, uzliek tam pienākumu atkāpties no piemērojamiem tiesību aktiem datu aizsardzības jomā, kas pārsniedz ierobežojumus, kuri ir vajadzīgi demokrātiskā sabiedrībā, kā paredzēts Direktīvas 95/46/EK 13. pantā, ja ir iespējamība, ka šis pienākums var ļoti negatīvi ietekmēt garantijas, kas ir paredzētas piemērojamos tiesību aktos datu aizsardzības jomā un līguma standartklauzulās;

b)

kompetentā iestāde ir konstatējusi, ka datu saņēmējs vai apakšapstrādātājs nav ievērojis pielikumā minētās līguma standartklauzulas; vai

c)

ir liela iespējamība, ka nav ievērotas vai netiks ievērotas pielikumā minētās līguma standartklauzulas, un pārsūtīšanas turpināšana datu subjektiem radītu būtiska kaitējuma draudus.