EIROPAS KOMISIJA
Briselē, 24.6.2020
SWD(2020) 115 final
KOMISIJAS DIENESTU DARBA DOKUMENTS
[…]
Pavaddokuments dokumentam
KOMISIJAS PAZIŅOJUMS EIROPAS PARLAMENTAM UN PADOMEI
Datu aizsardzība kā iedzīvotāju tiesību nodrošināšanas un ES digitālās pārkārtošanās pīlārs – Vispārīgās datu aizsardzības regulas piemērošanas divi gadi
{COM(2020) 264 final}
Saturs
1
Konteksts
2
VDAR izpildes panākšana un sadarbības un konsekvences mehānismu darbība
2.1
Datu aizsardzības iestāžu pastiprināto pilnvaru izmantošana
Specifiskas publiskā sektora problēmas
Sadarbība ar citiem regulatoriem
2.2
Sadarbības un konsekvences mehānismi
Vienas pieturas aģentūra
Savstarpēja palīdzība
8
Konsekvences mehānisms
8
Risināmās problēmas
9
2.3
Ieteikumi un pamatnostādnes
10
Informētības uzlabošana un ieteikumi no datu aizsardzības iestādēm
10
Eiropas Datu aizsardzības kolēģijas pamatnostādnes
11
2.4
Datu aizsardzības iestāžu resursi
12
3
Saskaņoti noteikumi, bet joprojām noteikta sadrumstalotība un atšķirīgas pieejas
14
3.1
VDAR īstenošana dalībvalstīs
14
Galvenās ar īstenošanu valsts līmenī saistītās problēmas
15
Tiesību uz personas datu aizsardzību un tiesību uz vārda un informācijas brīvību saskaņošana
16
3.2
Neobligātās konkretizēšanas klauzulas un to robežas
17
Sadrumstalotība saistīta ar neobligāto konkretizēšanas klauzulu izmantošanu
17
4
Iespēju došana personām kontrolēt to datus
19
5
Organizāciju, jo īpaši mazo un vidējo uzņēmumu, iespējas un problēmas
22
Rīkkopa uzņēmumiem
24
6
VDAR piemērošana jaunām tehnoloģijām
26
7
Starptautiskā nosūtīšana un globālā sadarbība
28
7.1
Privātums — globāla problēma
28
7.2
VDAR nosūtīšanas rīkkopa
29
Lēmumi par aizsardzības līmeņa pietiekamību
31
Atbilstošas garantijas
35
Atkāpes
41
Ārvalstu tiesu vai iestāžu lēmumi — nav pamats nosūtīšanai
42
7.3
Starptautiskā sadarbība datu aizsardzības jomā
44
Divpusējā dimensija
44
Multilaterālā dimensija
46
I pielikums. Neobligātās konkretizēšanas klauzulas valstu tiesību aktos
II pielikums. Datu aizsardzības iestāžu resursu pārskats
1Konteksts
Vispārīgā datu aizsardzības regula (turpmāk tekstā — “VDAR”) tika pieņemta pēc 8 gadu sagatavošanas darba, regulas projekta izstrādes un iestāžu sarunām, un 2018. gada 25. maijā pēc 2 gadu pārejas perioda (no 2016. gada maija līdz 2018. gada maijam) sākās regulas piemērošana. Saskaņā ar VDAR 97. pantu Komisija 2 gadus pēc tās piemērošanas sākuma datuma un pēc tam reizi 4 gados iesniedz novērtējuma un pārskata ziņojumus par šo regulu.
Šis novērtējums ir arī daļa no tās daudzpusīgās pieejas, ko Komisija īstenoja jau pirms VDAR piemērošanas sākuma un ko tā ir turpinājusi aktīvi izmantot arī pēc tam. Šīs pieejas ietvaros Komisija ir iesaistījusies pastāvīgā divpusējā dialogā ar dalībvalstīm par valstu tiesību aktu atbilstību VDAR, kā arī aktīvi sniegusi ieguldījumu Eiropas Datu aizsardzības kolēģijas (turpmāk tekstā — “kolēģija”) darbā, piedāvājot savu pieredzi un zināšanas, atbalstījusi datu aizsardzības iestādes un uzturējusi ciešu saziņu ar plašu dažādu ieinteresēto personu loku saistībā ar regulas praktisko piemērošanu.
Šis novērtējums pamatojas uz Komisijas izvērtējumu par VDAR piemērošanas pirmo gadu, kura rezultāti ir apkopoti 2019. gada jūlija paziņojumā. Tas arī seko 2018. gada janvāra paziņojumam par VDAR piemērošanu. Komisija ir arī pieņēmusi Komisijas vadlīnijas par Savienības datu aizsardzības regulējuma piemērošanu vēlēšanu kontekstā, kas tika publicētas 2018. gada septembrī, kā arī Norādījumus par lietotnēm, kas sniedz atbalstu cīņā pret Covid-19 pandēmiju saistībā ar datu aizsardzību, kas pieņemti 2020. gada aprīlī.
Lai gan tas īpaši pievēršas diviem jautājumiem, kas izcelti VDAR 97. panta 2. punktā, proti, datu starptautiskai nosūtīšanai un sadarbības un konsekvences mehānismiem, šajā novērtējumā ir izmantota plašāka pieeja, lai risinātu jautājumus, kurus pēdējo 2 gadu laikā ir uzdevušas dažādas personas.
Lai sagatavotu izvērtējumu, Komisija ir ņēmusi vērā šādu organizāciju ieguldījumu:
·Padome;
·Eiropas Parlaments (Pilsoņu brīvību, tieslietu un iekšlietu komiteja);
·Kolēģija un atsevišķas datu aizsardzības iestādes, pamatojoties uz Komisijas nosūtīto aptauju;
·daudzpusējās ieinteresēto personu ekspertu grupas VDAR piemērošanas atbalstam dalībnieku atsauksmes, arī pamatojoties uz Komisijas nosūtīto aptauju;
·un no ieinteresētajām personām saņemtais ad hoc ieguldījums.
2VDAR izpildes panākšana un sadarbības un konsekvences mehānismu darbība
Ar VDAR palīdzību tika radīta novatoriska pārvaldības sistēma un izveidots pamats patiesai Eiropas līmeņa datu aizsardzības kultūrai, kuras mērķis ir panākt ne tikai datu aizsardzības noteikumu saskaņotu interpretēšanu, bet arī to saskaņotu piemērošanu un izpildes panākšanu. Tās pīlāri ir neatkarīgas datu valsts aizsardzības iestādes un jaunizveidotā kolēģija.
Tā kā datu aizsardzības iestādes ir ļoti svarīgas visas ES datu aizsardzības sistēmas darbībai, Komisija rūpīgi uzrauga to faktisko neatkarību, tostarp attiecībā uz pienācīgu finanšu, tehnisko un cilvēkresursu pieejamību.
Ņemot vērā līdz šim uzkrāto mazo pieredzi, vēl ir par agru pilnībā novērtēt sadarbības un konsekvences mehānisma darbību. Turklāt datu aizsardzības iestādes vēl nav izmantojušas visus VDAR paredzētos instrumentus, lai vēl vairāk uzlabotu savu sadarbību.
2.1Datu aizsardzības iestāžu pastiprināto pilnvaru izmantošana
Ar VDAR tiek izveidotas neatkarīgas datu aizsardzības iestādes, kā arī tām tiek piešķirtas saskaņotas un plašākas izpildes panākšanas pilnvaras. Kopš VDAR piemērošanas sākuma datuma šīs iestādes ir izmantojušas plašu klāstu korektīvu pilnvaru, kas tām noteiktas šajā regulā, piemēram, administratīvi naudas sodi (22 ES/EEZ iestādes), brīdinājumi un rājieni (23), rīkojumi izpildīt datu subjekta pieprasījumus (26), rīkojumi nodrošināt apstrādes darbību atbilstību VDAR (27) un rīkojumi labot, dzēst vai ierobežot apstrādi (17). Aptuveni puse no visām datu aizsardzības iestādēm (13) ir piemērojušas pagaidu vai pastāvīgus apstrādes ierobežojumus, tostarp aizliegumus. Tas pierāda, ka visi VDAR paredzētie korektīvie pasākumi tiek apzināti piemēroti. Atkarībā no atsevišķu lietu apstākļiem datu aizsardzības iestādes izmantoja arī iespēju piemērot administratīvus naudas sodus kā papildu korektīvo pasākumu vai citu korektīvo pasākumu vietā.
Administratīvie naudas sodi
No 2018. gada 25. maija līdz 2019. gada 30. novembrim ES/EEZ datu aizsardzības iestādes piemēroja aptuveni 785 naudas sodus. Vien dažas iestādes vēl nav piemērojušas nekādus administratīvus naudas sodus, lai gan pašlaik notiekošajos procesos var tikt pieņemts lēmums par šādu sodu piemērošanu. Vairums naudas sodu bija saistīti ar pārkāpumiem attiecībā uz: likumības principu; derīgu piekrišanu; sensitīvu datu aizsardzību; pārredzamības pienākumu, datu subjektu tiesībām; datu aizsardzības pārkāpumiem.
Datu aizsardzības iestāžu piemēroto naudas sodu piemēri ir šādi:
-
naudas sods 200 000 EUR apmērā par tiesību iebilst pret tiešo tirgvedību neievērošanu Grieķijā;
-
naudas sods 220 000 EUR apmērā datu brokeru uzņēmumam Polijā par informācijas nesniegšanu personām par to, ka to dati tiek apstrādāti;
-
naudas sods 250 000 EUR apmērā Spānijas futbola līgai LaLiga par pārredzamības trūkumu tās viedtālruņu lietotnes arhitektūrā;
-
naudas sods 14,5 EUR miljonu apmērā Vācijas nekustamā īpašuma uzņēmumam par datu aizsardzības principu neievērošanu, jo īpaši par datu nelikumīgu uzglabāšanu;
-
naudas sods 18 miljonu EUR apmērā par plaša mēroga īpašu datu kategoriju nelikumīgu apstādi Austrijas pasta pakalpojumu uzņēmumā;
-
naudas sods 50 EUR miljonu apmērā uzņēmumam Google Francijā par nosacījumiem lietotāju piekrišanas saņemšanai.
VDAR panākumi nav jāmēra piemēroto naudas sodu skaitā, jo VDAR paredz plašāku korektīvo pilnvaru klāstu. Piemēram, atkarībā no apstākļiem datu apstrādes aizliegums vai datu aprites apturēšana var būt daudz iedarbīgāks atturošs pasākums.
Specifiskas publiskā sektora problēmas
VDAR ļauj dalībvalstīm noteikt, vai un kādā mērā administratīvos naudas sodus var piemērot publiskām iestādēm un organizācijām. Ja dalībvalstis izvēlas šādu iespēju, datu aizsardzības iestādes joprojām var izmantot visas parējās korektīvās pilnvaras attiecībā uz publiskām iestādēm un struktūrām.
Vēl viena specifiska problēma ir tiesu uzraudzība. Lai gan VDAR ir piemērojama tiesu darbībai, datu aizsardzības iestādes neuzrauga tiesas, kad tiesu iestādes pilda savus uzdevumus. Tomēr atbilstoši hartai un LESD dalībvalstīm ir pienākums uzticēt šādu apstrādes darbību uzraudzību neatkarīgai tiesu sistēmas iestādei.
Sadarbība ar citiem regulatoriem
Kā norādīts Komisijas 2019. gada jūlija paziņojumā, Komisija atbalsta mijiedarbību ar citiem regulatoriem, pilnībā ievērojot attiecīgās pilnvaras. Daudzsološas sadarbības jomas ietver patērētāju tiesību aizsardzību un konkurenci. Kolēģija ir apliecinājusi savu gatavību sadarboties ar citiem regulatoriem — jo īpaši saistībā ar koncentrāciju digitālajos tirgos. Komisija ir atzinusi privātuma un datu aizsardzības nozīmi, uzskatot to par kvalitatīvu konkurences parametru. Kopā ar Patērētāju tiesību aizsardzības tīkla pārstāvjiem kolēģijas dalībnieki ir piedalījušies kopējos darbsemināros par ES patērētāju tiesību un datu aizsardzības tiesību aktu labāku izpildes panākšanu. Šī pieeja tiks īstenota, lai sekmētu vienotu izpratni un rastu praktiskus risinājumus to konkrēto problēmu risināšanai, ar ko saskaras patērētāji (jo īpaši digitālajā ekonomikā).
Lai nodrošinātu konsekventu pieeju privātuma un datu aizsardzībai, kā arī, kamēr nav pieņemta E-privātuma regula, cieša sadarbība ar iestādēm, kuras atbildīgas par E-privātuma direktīvas jeb elektronisko sakaru lex specialis īstenošanu, ir ļoti svarīga. Ciešāka sadarbība ar iestādēm, kuras pilnvarotas rīkoties atbilstoši TID direktīvai, un ar TID sadarbības grupu nāktu par labu gan šīm, gan arī datu aizsardzības iestādēm.
2.2Sadarbības un konsekvences mehānismi
Ar VDAR tika izveidots sadarbības mehānisms (vienas pieturas aģentūras sistēma operatoriem, kopīgas operācijas un datu aizsardzības iestāžu savstarpējā palīdzība) un konsekvences mehānisms, lai sekmētu datu aizsardzības noteikumu vienotu piemērošanu, izmantojot konsekventu interpretāciju un iestāžu iespējamo nesaskaņu risināšanu kolēģijā.
Uzaicinot visas datu aizsardzības iestādes, kolēģija ir tikusi izveidota kā ES iestāde, kurai ir juridiska personība, kura ir pilnībā darboties spējīga un kuru atbalsta sekretariāts. Kolēģija ir ļoti svarīga divu iepriekšminēto mehānismu darbībai. Līdz 2019. gada beigām kolēģija bija pieņēmusi 67 dokumentus, tostarp 10 jaunas pamatnostādnes un 43 atzinumus.
Kolēģijas nozīmīgā loma kļuva acīmredzama, kad bija ātri jāsniedz konsekvents VDAR skaidrojums un jārod nekavējoties piemērojami risinājumi ES līmenī. Piemēram, Covid-19 uzliesmojuma kontekstā 2020. gada martā kolēģija pieņēma paziņojumu par personas datu apstrādi, kur cita starpā bija apskatīts apstrādes likumīgums un mobilo ierīču atrašanās vietas datu izmantošana minētajā kontekstā. Savukārt 2020. gada aprīlī tā pieņēma pamatnostādnes par veselības datu apstrādi zinātniskās pētniecības nolūkos saistībā ar Covid-19 uzliesmojumu un pamatnostādnes par atrašanās vietas datu un kontaktu izsekošanas rīku izmantošanu saistībā ar Covid-19 uzliesmojumu. Kolēģija ir arī devusi ievērojamu ieguldījumu Komisijas un dalībvalstu veiktās ES pieejas izstrādē attiecībā uz izsekošanas lietotnēm.
Datu aizsardzības iestāžu ikdienas sadarbība, rīkojoties individuāli vai kolēģijas dalībnieku lomā, pamatojas uz informācijas apmaiņu un ziņošanu par iestāžu uzsāktajām lietām. Lai sekmētu iestāžu saziņu, Komisija ir sniegusi ievērojamu atbalstu, nodrošinot tām informācijas apmaiņas sistēmu. Vairums iestāžu uzskata, ka tā ir pielāgota sadarbības un konsekvences mehānismu vajadzībām, lai gan šo sistēmu ir iespējams vēl vairāk uzlabot, piemēram, padarot to vieglāk lietojamu.
Lai gan ir pagājis maz laika, jau var noteikt vairākus sasniegumus un problēmas, kas ir izklāstītas tālāk tekstā. Tās liecina, ka līdz šim datu aizsardzības iestādes ir efektīvi izmantojušas sadarbības instrumentus, dodot priekšroku elastīgākiem risinājumiem.
Vienas pieturas aģentūra
Pārrobežu lietās dalībvalsts datu aizsardzības iestāde parasti var iesaistīties kā i) vadošā iestāde, kad ekonomikas dalībnieka galvenā uzņēmējdarbības vieta atrodas attiecīgajā dalībvalstī, vai kā ii) attiecīgā iestāde, ja ekonomikas dalībniekam ir darbības vieta šīs dalībvalsts teritorijā, ja ir būtiski skartas šīs dalībvalsts iedzīvotāju intereses vai ja šai iestādei ir iesniegta sūdzība.
Šāda cieša sadarbība ir kļuvusi par ikdienas praksi — kopš VDAR piemērošanas datuma visu dalībvalstu datu aizsardzības iestādes kādā brīdī ir tikušas atzītas par pārrobežu lietu vadošajām iestādēm vai attiecīgajām iestādēm, lai gan dažādā mērā.
No 2018. gada maija līdz 2019. gada beigām Īrijas datu aizsardzības iestāde rīkojās kā vadošā iestāde vislielākajā skaitā pārrobežu lietu (127), un tai sekoja Vācija (92), Luksemburga (87), Francija (64) un Nīderlande (45). Šāds rezultāts atspoguļo Īrijas un Luksemburgas īpašo situāciju, jo šajās valstīs atrodas vairāku lielu starptautisko tehnoloģiju uzņēmumu mītnes vieta.
Valstu secība saistībā ar iesaisti pārrobežu lietās attiecīgās iestādes statusā ir atšķirīga — Vācijas iestādes ir tikušas iesaistītas vislielākajā skaitā lietu (435) un tām sekoja Spānijas (337), Dānijas (327), Francijas (332) un Itālijas (306) iestādes.
Laikposmā no 2018. gada 25. maija līdz 2019. gada 31. decembrim, izmantojot vienas pieturas aģentūras procedūru, tika iesniegts 141 lēmuma projekts, kā rezultātā tika pieņemti 79 galīgie lēmumi. Šā ziņojuma publicēšanas datumā vēl nav pieņemti vairāki svarīgi lēmumi ar pārrobežu elementu, kuru gadījumā tiek izmantots vienas pieturas aģentūras mehānisms. Daži no šiem lēmumiem ir saistīti ar lieliem starptautiskiem tehnoloģiju uzņēmumiem. Tiek paredzēts, ka šie lēmumi skaidros situāciju un palīdzēs labāk saskaņot VDAR interpretāciju.
Savstarpēja palīdzība
Datu aizsardzības iestādes ir plaši izmantojušas savstarpējās palīdzības instrumentu.
Līdz 2019. gada beigām bija uzsāktas 115 savstarpējās palīdzības procedūras, jo īpaši lai veiktu izmeklēšanu — vairumu aizsāka datu aizsardzības iestādes no Spānijas (26), Vācijas (20), Dānijas (13), Polijas (12) un Čehijas (10). Savukārt Īrija (19), Francija (11), Austrija (10), Vācija (10) un Luksemburga (9) saņēma visvairāk šādu pieprasījumu.
Absolūti lielākā daļa datu aizsardzības iestāžu uzskata, ka savstarpējā palīdzība ir ļoti noderīgs sadarbības instruments, un nav saskārušās ar kādiem īpašiem šķēršļiem, izmantojot savstarpējās palīdzības procedūru. Brīvprātīgā savstarpējās palīdzības apmaiņa, kad nav noteikts juridisks termiņš vai stingrs pienākums atbildēt, ir tikusi izmantota daudz biežāk — 2427 gadījumos. Īrijas datu aizsardzības iestāde ir nosūtījusi un saņēmusi visvairāk savstarpējās palīdzības pieprasījumu (527 nosūtītie pieprasījumi un 359 saņemtie pieprasījumi), kam sekoja Vācijas iestādes (260 nosūtītie pieprasījumi/356 saņemtie pieprasījumi).
Taču vēl nav notikušas kopīgās operācijas, kas ļautu vairāku dalībvalstu datu aizsardzības iestādēm iesaistīties pārrobežu lietu izmeklēšanas līmenī. Kolēģijā joprojām tiek apspriests, kā praktiski izmantot šo instrumentu un kā sekmēt tā lietošanu.
Konsekvences mehānisms
Līdz šim ir izmantota tikai pirmā konsekvences mehānisma daļa, proti, kolēģijas atzinumu pieņemšana. Vēl nav notikusi strīdu risināšana kolēģijas līmenī vai izmantota steidzamības procedūra.
Laikposmā no 2018. gada 25. maija līdz 2019. gada 31. decembrim kolēģija pieņēma 36 atzinumus saistībā ar tās dalībnieku pieņemtajiem pasākumiem Vairums (31) attiecās uz tādu apstrādes darbību valstu sarakstu pieņemšanu, kuru gadījumā ir jāveic datu aizsardzības ietekmes novērtējums. Divi atzinumi attiecās uz saistošiem uzņēmuma noteikumiem, divi — uz akreditācijas prasību projektu rīcības kodeksu uzraudzības iestādei un viens — uz līguma standartklauzulām.
Turklāt kolēģija pēc pieprasījuma pieņēma arī sešus atzinumus. Trīs no šiem atzinumiem attiecās uz tādu apstrādes darbību valstu sarakstiem, kuru gadījumā nav jāveic datu aizsardzības ietekmes novērtējums. Savukārt citi attiecīgi attiecās uz administratīvo vienošanos personas datu nosūtīšanai starp EEZ un citu valstu finanšu uzraudzības iestādēm, mijiedarbību starp E-privātuma direktīvu un VDAR un uzraudzības iestādes kompetenci, ja mainās ar galveno vai vienīgo uzņēmējdarbības vietu saistītie apstākļi.
Risināmās problēmas
Lai gan datu aizsardzības iestādes ir ļoti aktīvi sadarbojušās kolēģijā un jau plaši izmanto savstarpējās palīdzības sadarbības instrumentu, joprojām notiek patiesi kopējas datu aizsardzības kultūras izveide.
Jo īpaši pārrobežu lietu gadījumā ir vajadzīga efektīvāka un saskaņotāka pieeja un visu VDAR paredzēto sadarbības rīku labāka izmantošana. Attiecībā uz šo jautājumu pastāv plaša vienprātība, jo par to dažādos veidos ir spriedis Eiropas Parlaments, Padome, Eiropas Datu aizsardzības uzraudzītājs, ieinteresētās personas (daudzpusējā ieinteresēto persona grupa un citas personas), kā arī datu aizsardzības iestādes.
Galvenās šajā kontekstā risināmās problēmas ietver atšķirības šādos jautājumos:
·valsts administratīvās procedūras, jo īpaši attiecībā uz sūdzību risināšanas procedūrām, sūdzību pieņemamības kritērijiem, procesu ilgumu dažādu grafiku dēļ vai termiņu neesamības dēļ, brīdi procesa laikā, kad tiek piešķirtas tiesības tikt uzklausītam, informāciju un sūdzības iesniedzēju iesaisti procesa laikā;
·ar sadarbības mehānismu saistītu jēdzienu skaidrošana, piemēram, būtiskā informācija, jēdzieni “nekavējoties” un “sūdzība”, dokuments, kas tiek definēts kā vadošās datu aizsardzības iestādes “lēmuma projekts”, izlīgums (jo īpaši procedūra, kuras rezultātā tiek panākts izlīgums, un šāda izlīguma juridiskā forma); un
·pieeja, lai noteiktu brīdi, kad uzsākt sadarbības procedūru, iesaistīt attiecīgās datu aizsardzības iestādes un paziņot tām informāciju. Vairāki daudzpusējās ieinteresēto personu grupas dalībnieki arī ir norādījuši, ka sūdzības iesniedzējiem nav skaidrs, kā pārrobežu situācijās tiek risinātas viņu lietas. Turklāt uzņēmumu pārstāvji minēja, ka noteiktos gadījumos datu valsts aizsardzības iestādes nenosūtīja lietas vadošajai datu aizsardzības iestādei, bet gan risināja šos gadījumus kā vietējas lietas.
Komisija atbalsta kolēģijas paziņojumu par to, ka tā ir sākusi apsvērt, kā kliedēt šīs bažas. Proti, kolēģija ir norādījusi, ka tā skaidros procesuālās darbības, kas saistītas ar sadarbību starp vadošo datu aizsardzības iestādi un attiecīgajām datu aizsardzības iestādēm, analizēs valstu administratīvās procesuālās tiesības, veidos galveno jēdzienu kopēju interpretāciju un stiprinās saziņu un sadarbību (tostarp kopīgas operācijas). Kolēģijas pārdomu un analīzes rezultātā būtu jāizstrādā efektīvāka sadarbības kārtība pārrobežu lietās, tostarp izmantojot tās dalībnieku pieredzi un zināšanas un pastiprinot sekretariāta iesaisti. Ir arī jānorāda, ka kolēģijas uzdevumu panākt konsekventu VDAR interpretāciju nevar izpildīt, vienkārši atrodot mazāko kopsaucēju.
Visbeidzot, kā ES iestādei kolēģijai ir arī jāievēro ES administratīvās tiesības un jānodrošina lēmumu pieņemšanas procesa pārredzamība.
2.3Ieteikumi un pamatnostādnes
Informētības uzlabošana un ieteikumi no datu aizsardzības iestādēm
Vairākas datu aizsardzības iestādes izveidoja jaunus rīkus, piemēram, palīdzības līnijas iedzīvotājiem un uzņēmumiem, kā arī rīkkopas uzņēmumiem. Daudzi operatori atbalsta pragmatismu, kādu šīs iestādes ir izrādījušas, palīdzot piemērot VDAR. Dažas ir jo īpaši aktīvi un cieši sadarbojušās un sazinājušās ar datu aizsardzības speciālistiem, tostarp ar datu aizsardzības speciālistu asociāciju starpniecību. Daudzas iestādes ir arī nākušas klajā ar pamatnostādnēm, kurās apskatīta datu aizsardzības speciālistu loma un pienākumi, lai palīdzētu tiem ikdienas darbību veikšanā, kā arī ir organizējušas īpaši datu aizsardzības speciālistiem paredzētus seminārus. Tomēr ne visas datu aizsardzības iestādes ir šādi rīkojušās.
No ieinteresētajām personām saņemtās atsauksmes arī liecina, ka pastāv vairākas ar norādījumiem un ieteikumiem saistītas problēmas:
·datu valsts aizsardzības iestādēm vai pat datu aizsardzības iestādēm vienā dalībvalstī (piemēram, Vācijā saistībā ar pārziņa un apstrādātāja jēdzieniem) nav konsekventas pieejas un norādījumu par noteiktiem jautājumiem (piemēram, par sīkdatnēm, atsaukšanos uz leģitīmām interesēm, datu aizsardzības pārkāpumu paziņojumiem vai datu aizsardzības ietekmes novērtējumiem);
·starp valsts līmenī pieņemtām pamatnostādnēm un kolēģijas pamatnostādnēm pastāv pretrunas;
·noteiktām valsts līmenī pieņemtām pamatnostādnēm nav veikta sabiedriskā apspriešana;
·datu aizsardzības iestādēm ir dažāds sadarbības līmenis ar ieinteresētajām personām;
·kavēta atbilžu sniegšana uz informācijas pieprasījumiem;
·grūtības saņemt praktiskus un noderīgus ieteikumus no datu aizsardzības iestādēm;
·vajadzība palielināt īpašo zināšanu par nozarēm līmeni dažās datu aizsardzības iestādēs (piemēram, par veselības aprūpes un farmaceitisko nozari).
Vairākas no šīm problēmām ir arī saistītas ar resursu trūkumu dažās datu aizsardzības iestādēm (sk. tālāk).
Atšķirīga datu aizsardzības pārkāpumu paziņošanas prakse
Lai gan Padome ir norādījusi uz slogu, ko rada šādi paziņojumi, starp dalībvalstīm saistībā ar paziņojumiem pastāv ievērojamas viedokļu atšķirības — lai gan laikā no 2018. gada maija līdz 2019. gada novembra beigām vairumā dalībvalstu kopā nebija vairāk kā 2000 datu aizsardzības pārkāpumu paziņojumu un 7 dalībvalstīs šis skaits bija no 2000 līdz 10 000, Nīderlandes un Vācijas datu aizsardzības iestādes ziņoja attiecīgi par 37 400 un 45 600 paziņojumiem.
Tas var liecināt par konsekventas interpretācijas un īstenošanas trūkumu, lai gan pastāv ES līmeņa pamatnostādnes attiecībā uz datu aizsardzības pārkāpumu paziņojumiem.
Eiropas Datu aizsardzības kolēģijas pamatnostādnes
Līdz šim kolēģija ir pieņēmusi vairāk nekā 20 pamatnostādnes, aptverot galvenos VDAR aspektus. Šīs pamatnostādnes ir ļoti svarīgs rīks konsekventai VDAR piemērošanai, un tāpēc tās lielā mērā ir atbalstījušas ieinteresētās personas. Šīs personas augstu vērtē sistemātiskās sabiedriskās (6-8 nedēļas) apspriešanas. Tomēr tās vēlas plašāku dialogu ar kolēģiju. Šajā kontekstā ir jāturpina un jāpastiprina mērķtiecīgi izvēlētiem jautājumiem veltītu darbsemināru organizēšana pirms pamatnostādņu izstrādes, lai nodrošinātu pārredzamību, iekļaušanu un kolēģijas darba būtiskumu. Ieinteresētās personas arī lūdz, lai pamatnostādnēs (nevis atzinumos atbilstoši VDAR 64. panta 2. punktam) tiktu apskatīta visstrīdīgāko jautājumu interpretācija, jo par pamatnostādnēm tiek organizēta sabiedriskā apspriešana. Dažas ieinteresētās personas aicināja izstrādāt praktiskākas pamatnostādnes, sīki izklāstot VDAR jēdzienu un noteikumu piemērošanu. Daudzpusējās ieinteresēto personu grupas dalībnieki uzsver vajadzību sniegt konkrētākus piemērus, lai pēc iespējas mazinātu atšķirīgas interpretācijas iespējas dažādās datu aizsardzības iestādēs. Vienlaikus pieprasījumu skaidrot VDAR piemērošanu un nodrošināt juridisko noteiktību rezultātā nevajadzētu noteikt papildu prasības vai mazināt uz risku balstītās pieejas un pārskatatbildības principa priekšrocības.
Ieinteresētās personas vēlas papildu kolēģijas pamatnostādnes par šādiem jautājumiem: datu subjektu tiesību darbības joma (tostarp nodarbinātības kontekstā); jauninājumi atzinumā par uz leģitīmām interesēm balstītu apstrādi; pārziņa, kopīga pārziņa un apstrādātāja jēdzieni, un vajadzīgā pušu vienošanās par kārtību; VDAR piemērošana jaunajām tehnoloģijām (piemēram, blokķēdēm un mākslīgajam intelektam); apstrāde zinātniskās pētniecības kontekstā (tostarp saistībā ar starptautisko sadarbību); bērnu datu apstrāde; pseidonimizācija un anonimizācija; un datu par veselības stāvokli apstrāde.
Kolēģija jau ir norādījusi, ka tā sagatavos pamatnostādnes par daudziem no šiem jautājumiem un ka dažos gadījumos darbs jau ir sākts (piemēram, par leģitīmo interešu izmantošanu kā apstrādes juridisko pamatu).
Ieinteresētās personas lūdz kolēģiju attiecīgos gadījumos atjaunināt un pārskatīt esošās pamatnostādnes, ņemot vērā pieredzi, kas apkopota kopš to publicēšanas un izmantojot iespēju pēc vajadzības sniegt detalizētāku informāciju.
2.4Datu aizsardzības iestāžu resursi
Visu datu aizsardzības iestāžu nodrošināšana ar vajadzīgajiem cilvēku, tehniskajiem un finanšu resursiem, telpām un infrastruktūru ir priekšnoteikums efektīvai to uzdevumu izpildei un pilnvaru īstenošanai, un tāpēc tas ir būtisks to neatkarības priekšnosacījums.
Kopš VDAR stāšanās spēkā 2016. gadā vairumam datu aizsardzības iestāžu ir piešķirts vairāk darbinieku un resursu. Tomēr daudzas no šīm iestādēm joprojām ziņo, ka tām nav pietiekami resursu.
Datu valsts aizsardzības iestādēs strādājošo darbinieku skaits
EEZ datu aizsardzības iestāžu kopējais darbinieku skaits laikā no 2016. līdz 2019. gadam ir palielinājies par 42 % (par 62 %, ja ņem vērā 2020. prognozi).
Šajā periodā lielākajā daļā iestāžu darbinieku skaits ir pieaudzis — (procentuāli) vislielākais pieaugums ir ticis reģistrēts Īrijas (+ 169 %), Nīderlandes (+ 145 %), Islandes (+ 143 %), Luksemburgas (+ 126 %) un Somijas (+ 114 %) iestādēs. Savukārt darbinieku skaits ir samazinājies dažās datu aizsardzības iestādēs — vislielākais kritums tika novērots Grieķijā (- 15 %), Bulgārijā (- 14 %), Igaunijā (- 11 %), Latvijā (- 10 %) un Lietuvā (- 8 %). Dažās iestādēs darbinieku skaits samazinājās, jo datu aizsardzības speciālisti izvēlējās strādāt privātajā sektorā, kur tika piedāvāti pievilcīgāki nosacījumi.
Kopumā atbilstoši 2020. gada prognozēm salīdzinājumā ar 2019. gadu ir paredzēts darbinieku skaita pieaugums, izņemot Austrijas, Bulgārijas, Itālijas, Zviedrijas un Islandes iestādes (kur darbinieku skaitam vajadzētu būt stabilam), kā arī Kipras un Dānijas iestādes (kur paredzams darbinieku skaita samazinājums).
Vācijas datu aizsardzības iestādēs kopā ir visvairāk darbinieku (888 darbinieki 2019. gadā/2020. gada prognozē 1002 darbinieki), kam seko Polijas (238/260), Francijas (215/225), Spānijas (170/220), Nīderlandes (179/188), Itālijas (170/170) un Īrijas (140/176) iestādes.
Vismazākais darbinieku skaits ir šādās datu aizsardzības iestādēs: Kipra (24/22), Latvija (19/31), Islande (17/17), Igaunija (16/18) un Malta (13/15).
Datu aizsardzības iestāžu budžets
EEZ datu aizsardzības iestāžu kopējais budžets laikā no 2016. līdz 2019. gadam ir palielinājies par 49 % (par 64 %, ja ņem vērā 2020. gada prognozi).
Šajā periodā lielākās daļas iestāžu budžeta līdzekļu apjoms ir pieaudzis — (procentuāli) vislielākais pieaugums ir ticis reģistrēts Īrijas (+ 223 %), Islandes (+ 167 %), Luksemburgas (+ 165 %), Nīderlandes (+ 130 %) un Kipras (+ 114 %) iestādēs. Savukārt dažām iestādēm budžeta līdzekļu apjoms ir ticis palielināts vien nedaudz — vismazākais pieaugums ir reģistrēts Igaunijas (7 %), Latvijas (4 %), Rumānijas (3 %) un Beļģijas (1 %) iestādēm, savukārt Francijas iestādes budžeta līdzekļu apjoms ir pat samazinājies (- 2 %).
Kopumā saskaņā ar 2020. gada prognozēm budžeta līdzekļu apjomam būtu jābūt lielākam nekā 2019. gadā, izņemot Austrijas, Bulgārijas, Igaunijas un Nīderlandes iestādes (kuru gadījumā tiek gaidīts, ka budžeta līdzekļu apjoms nemainīsies).
Vislielākais budžets ir Vācijas (EUR 76,6 miljoni 2019. gadā/ 85,8 miljoni EUR 2020. gadā atbilstoši prognozei), Itālijas (29,1/30,1), Nīderlandes (18,6/18,6), Francijas (18,5/20,1) un Īrijas (15,2/16,9) iestādēm.
Vismazākais budžets ir Horvātijas (1,2 miljoni EUR 2019. gadā/ EUR 1,4 miljoni 2020. gadā atbilstoši prognozei), Rumānijā (1,1/1,3), Latvijā (0,6/1,2), Kiprā (0,5/0,5) un Maltā (0,5/0,6).
Tabulā II pielikumā ir sniegts pārskats par datu valsts aizsardzības iestāžu cilvēku un budžeta resursiem.
Resursu trūkums ietekmē ne tikai datu aizsardzības iestāžu spēju panākt noteikumu izpildi valsts līmenī, bet arī spēju piedalīties un sniegt ieguldījumu sadarbības un konsekvences mehānismu darbībā, kā arī kolēģijas veiktajā darbā. Kā norādīja kolēģija, vienas pieturas aģentūras mehānisma sekmes ir atkarīgas no laika un centieniem, ko datu aizsardzības iestādes var veltīt, lai apstrādātu atsevišķas pārrobežu lietas un sadarbotos saistībā ar tām. Resursu trūkumu problēmu saasina lielāka iestāžu loma tādu liela mēroga IT sistēmu uzraudzībā, kas pašlaik tiek izstrādātas. Turklāt datu aizsardzības iestādēm Īrijā un Luksemburgā ir īpašas vajadzības saistībā ar resursiem, ņemot vērā to kā vadošo iestāžu lomu VDAR izpildes panākšanā attiecībā uz lielajiem tehnoloģiju uzņēmumiem, kas galvenokārt atrodas šajās dalībvalstīs.
Lai gan Padome ir norādījusi uz sadarbības mehānisma un tā termiņu ietekmi uz datu aizsardzības iestāžu darbu, VDAR uzliek dalībvalstīm par pienākumu nodrošināt to datu aizsardzības iestādēm pienācīgus cilvēku, finanšu un tehniskos resursus.
Kolēģijas sekretariāts, ko nodrošina Eiropas datu aizsardzības uzraudzītājs, pašlaik sastāv no 20 darbiniekiem, tostarp juridiskajiem, IT un saziņas ekspertiem. Jānovērtē, vai nākotnē šis skaitlis būtu jāpalielina, lai efektīvi pildītu savu uzdevumu sniegt analītisku, administratīvu un loģistikas atbalstu kolēģijai un tās apakšgrupām, tostarp pārvaldot informācijas apmaiņas sistēmu.
3Saskaņoti noteikumi, bet joprojām noteikta sadrumstalotība un atšķirīgas pieejas
VDAR paredz konsekventu pieeju datu aizsardzības noteikumiem visā ES, aizstājot dažādus valsts regulējuma režīmus, kas pastāvēja atbilstoši 1995. gada Datu aizsardzības direktīvai.
3.1VDAR īstenošana dalībvalstīs
VDAR ir tieši piemērojama visās dalībvalstīs kopš 2018. gada 25. maija. Saskaņā ar regulu dalībvalstīm ir jāpieņem tiesību akti, jo īpaši lai izveidotu datu valsts aizsardzības iestādes un paredzētu nosacījumus to dalībniekiem nolūkā nodrošināt, ka visas iestādes rīkojas pilnīgi neatkarīgi, izpildot savus uzdevumus un izmantojot savas pilnvaras atbilstoši VDAR. Juridiski pienākumi un publiski uzdevumi var kalpot par personas datu apstrādes juridisko pamatu tikai tad, ja tie ir noteikti (Savienības) vai valsts tiesību aktos. Turklāt dalībvalstīs ir jāparedz noteikumi par sodiem, jo īpaši attiecībā uz pārkāpumiem, kuru gadījumā nepiemēro administratīvus naudas sodus, kā arī jāsaskaņo tiesības uz personas datu aizsardzību ar tiesībām uz vārda un informācijas brīvību. Valsts tiesību aktos var arī paredzēt juridisko pamatu atkāpei no vispārēja aizlieguma veikt īpašu personas datu kategoriju apstrādi, piemēram, būtiskas sabiedrības intereses sabiedrības veselības jomā, tostarp aizsardzība pret nopietniem pārrobežu veselības apdraudējumiem. Dalībvalstīm arī jānodrošina sertifikācijas struktūru akreditācija.
Komisija pārrauga VDAR ieviešanu valstu tiesību aktos. Šā ziņojuma sagatavošanas laikā visas dalībvalstis, izņemot Slovēniju, bija pieņēmušas jaunus datu aizsardzības tiesību aktus vai pielāgojušas savus tiesību aktus šajā jomā. Tāpēc Komisija aicināja Slovēniju sniegt skaidrojumu par līdz šim panākto progresu, kā arī uzstājīgi lūdza pabeigt šo procesu.
Komisijas koordinētā Šengenas izvērtēšanas mehānisma kontekstā tiek arī novērtēta valsts tiesību aktu atbilstība datu aizsardzības noteikumiem saistībā ar Šengenas acquis. Komisija un dalībvalstis kopā novērtē, kā valstis īsteno un piemēro Šengenas acquis vairākās jomās — datu aizsardzības ziņā tas attiecas uz tādām liela mēroga IT sistēmām kā Šengenas informācijas sistēma un Via informācijas sistēma un ietver datu aizsardzības iestāžu lomu, uzraugot personas datu apstrādi šajās sistēmās.
Valstu līmenī joprojām turpinās nozaru tiesību aktu pielāgošanas darbs. Pēc VDAR iekļaušanas Līgumā par Eiropas Ekonomikas zonu tā tiek piemērota arī Norvēģijā, Islandē un Lihtenšteinā. Šīs valstis ir pieņēmušas arī savus valsts līmeņa datu aizsardzības tiesību aktus.
Komisijas izmantos visus tās rīcībā esošos instrumentus, tostarp pārkāpuma procedūras, lai panāktu, ka dalībvalstis ievēro VDAR.
Galvenās ar īstenošanu valsts līmenī saistītās problēmas
Valsts tiesību aktu un divpusējās informācijas apmaiņas ar dalībvalstīm izvērtēšanas laikā līdz šim noteiktās galvenās problēmas ir šādas:
·VDAR piemērošanas ierobežojumi; dažas dalībvalstis, piemēram, pilnībā izslēdz valstu parlamentu darbību;
·atšķirības valstu konkretizācijas tiesību aktu piemērošanā. Dažas dalībvalstis sasaista savu valsts tiesību aktu piemērojamību ar vietu, kur tiek piedāvātas preces vai pakalpojumi, savukārt citas ar pārziņa vai apstrādātāja uzņēmējdarbības vietu. Tas ir pretēji VDAR paredzētajam harmonizācijas mērķim;
·valsts tiesību akti, par kuriem rodas jautājumi attiecībā uz tiesību uz datu aizsardzību aizskāruma samērīgumu. Piemēram, Komisija uzsāka pārkāpuma procedūru pret dalībvalsti, kas pieņēma tiesību aktu, saskaņā ar kuru tiesnešiem bija jāatklāj noteikta informācija par to privātām darbībām, kas pārkāpj tiesības uz privātās dzīves neaizskaramību un personas datu aizsardzību;
·nav neatkarīgas iestādes, lai uzraudzītu datu apstrādi tiesās, kad tās pilda savus uzdevumus;
·tiesību akti jomās, kuras pilnībā regulē VDAR, kas pārsniedz paredzētās konkretizēšanas vai ierobežošanas iespējas robežas. Tas jo īpaši attiecas uz gadījum
iem, kad valstu noteikumi ietver nosacījumus apstrādei, kuri pamatojas uz leģitīmajām interesēm, paredzot līdzsvara rašanu starp pārziņa un attiecīgo personu interesēm, lai gan saskaņā ar VDAR katram pārzinim šāds līdzsvars ir jārod individuāli un jāpaļaujas uz šo juridisko pamatu;
·konkretizēšana un papildu prasības, kas ir plašākas nekā apstrāde, lai izpildītu juridisku pienākumu vai publisku uzdevumu (piemēram, videonovērošanai privātajā sektorā vai tiešās tirgvedības vajadzībām), kā arī VDAR izmantotie jēdzieni (piemēram, plašā mērogā vai dzēšana).
Lietās, kuru gadījumā Tiesa vēl nav pieņēmusi lēmumu, daži no šiem jautājumiem var tikt precizēti.
Tiesību uz personas datu aizsardzību un tiesību uz vārda un informācijas brīvību saskaņošana
Konkrēta problēma attiecas uz dalībvalstu pienākumu rast līdzsvaru starp tiesībām uz personas datu aizsardzību un tiesībām uz vārda un informācijas brīvību. Šī problēma ir ļoti sarežģīta, jo, novērtējot līdzsvaru starp šīm pamattiesībām, ir arī jāņem vērā preses un plašsaziņas līdzekļu tiesību aktos iekļautie nosacījumi un garantijas.
Dalībvalstu tiesību aktu novērtējums liecina par dažādām pieejām līdzsvara rašanai starp tiesībām uz personas datu aizsardzību un tiesībām uz vārda un informācijas brīvību:
·dažas dalībvalstis paredz, ka vārda brīvība ir prioritāra, vai principiāli izslēdz visu VDAR 85. panta 2. punktā minēto nodaļu piemērošanu, apstrādājot datus žurnālistikas nolūkiem vai akadēmiskas, mākslinieciskas un literāras izpausmes gadījumā. Zināmā mērā plašsaziņas līdzekļu tiesību akti nosaka dažas garantijas attiecībā uz datu subjektu tiesībām;
·dažas dalībvalstis paredz, ka prioritāra nozīme ir personas datu aizsardzībai, un pieļauj atkāpes no datu aizsardzības noteikumu piemērošanas tikai konkrētās situācijās, piemēram, kad ir runa par publisku personu;
·citās dalībvalstīs likumdevējs ir radis zināmu līdzsvaru un/vai gadījumi tiek izvērtēti individuāli attiecībā uz atkāpēm no noteiktiem VDAR nosacījumiem.
Komisija turpinās novērtēt valsts tiesību aktus, pamatojoties uz hartas prasībām. Līdzsvara rašana ir jāparedz tiesību aktos, ievērojot šo pamattiesību būtību, un tai ir jābūt proporcionālai un nepieciešamai (hartas 52. panta 1. punkts). Datu aizsardzības noteikumiem nevajadzētu ietekmēt tiesību uz vārda un informācijas brīvību īstenošanu, jo īpaši radot atturošu ietekmi vai to interpretējot tā, lai izdarītu spiedienu uz žurnālistiem atklāt viņu informācijas avotus.
3.2Neobligātās konkretizēšanas klauzulas un to robežas
VDAR dod dalībvalstīm iespēju konkretizēt tās piemērošanu ierobežotā skaitā jomu. Šī manevrēšanas iespēja valsts tiesību aktos ir jānošķir no pienākuma īstenot noteiktus VDAR nosacījumus, kā norādīts iepriekš. Neobligātās konkretizēšanas klauzulas ir uzskaitītas I pielikumā.
Uz šo manevrēšanas iespēju dalībvalstu tiesību aktos attiecas VDAR nosacījumi un ierobežojumi, un nav pieļaujams paralēls datu valsts aizsardzības regulējums. Dalībvalstīm ir pienākums grozīt vai atcelt datu valsts aizsardzības tiesību aktus, tostarp nozaru tiesību aktus, kuros ir datu aizsardzības aspekti.
Turklāt dalībvalstu tiesību aktos arī nedrīkst būt iekļauti nosacījumi, kas var radīt neskaidrību attiecībā uz VDAR tiešo piemērojamību. Tāpēc, ja VDAR pieļauj, ka tās noteikumi tiek konkretizēti vai ierobežoti ar dalībvalstu tiesību aktiem, dalībvalstis, ciktāl tas vajadzīgs saskaņotības dēļ un lai valstu noteikumus padarītu saprotamus tām personām, kam tie ir piemērojami, var valstu tiesību aktos iekļaut šīs regulas elementus.
Ieinteresētās personas uzskata, ka dalībvalstīm būtu jāierobežo neobligāto konkretizēšanas klauzulu izmantošana vai jāatturas no to izmantošanas, jo tās nesekmē harmonizāciju. Valsts līmeņa atšķirības tiesību aktu piemērošanā un šo aktu interpretācijā datu aizsardzības iestādēs ievērojami palielina tiesiskās atbilstības izmaksas visā ES.
Sadrumstalotība saistīta ar neobligāto konkretizēšanas klauzulu izmantošanu
·Vecuma ierobežojums bērnu piekrišanai saistībā ar informācijas sabiedrības pakalpojumiem
Vairākas dalībvalstis ir izmantojušas iespēju noteikt piekrišanas vecumu, kas ir mazāks nekā 16 gadi, attiecībā uz informācijas sabiedrības pakalpojumiem (VDAR 8. panta 1. punkts). Tā 9 dalībvalstis piemēro 16 gadu vecuma ierobežojumu, 8 dalībvalstis ir izvēlējušās 13 gadus, sešas — 14 gadus, bet trīs — 15 gadus.
Attiecīgi uzņēmumam, kurš sniedz informācijas sabiedrības pakalpojumus visā ES teritorijā, ir jānošķir iespējamo lietotāju vecums atkarībā no to dzīvesvietas dalībvalsts. Tas ir pretēji VDAR galvenajam mērķim nodrošināt personu vienlīdzīgu aizsardzības līmeni un uzņēmējdarbības iespējas visās dalībvalstīs.
Šādu atšķirību dēļ rodas situācijas, kad pārziņa uzņēmējdarbības dalībvalstī ir cits vecuma ierobežojums nekā dalībvalstīs, kur dzīvo datu subjekti.
·Veselība un pētniecība
Ieviešot atkāpes no vispārējā aizlieguma apstrādāt īpašu kategoriju personas datus, dalībvalstu tiesību aktos ir dažāda pieeja konkretizēšanas līmenim un garantijām, tostarp veselības aprūpes un pētniecības vajadzībām. Vairums dalībvalstu ir ieviesušas vai uzturējušas spēkā papildu nosacījumus ģenētisko datu, biometrisko datu vai veselības datu apstrādei. Tas arī attiecas uz atkāpēm, kas saistītas ar datu subjektu tiesībām pētniecības nolūkos — gan attiecībā uz atkāpju apmēru, gan attiecīgajām garantijām.
Turpmākas kolēģijas pamatnostādnes par personas datu izmantošanu zinātniskās pētniecības jomā šajā ziņā palīdzēs veidot saskaņotu pieeju. Komisija sniegs informāciju kolēģijai, jo īpaši attiecībā uz pētniecību veselības jomā, tostarp uzdodot konkrētus jautājumus un analizējot konkrētus scenārijus, ko tā saņēmusi no pētniecības kopienas. Būtu noderīgi, ja šīs pamatnostādnes varētu pieņemt pirms programmas “Apvārsnis Eiropa” uzsākšanas, lai saskaņotu datu aizsardzības praksi un sekmētu datu koplietošanu pētniecības progresa panākšanai. Kolēģijas pamatnostādnes par personas datu apstrādi veselības aprūpes jomā arī varētu būt noderīgas.
VDAR nodrošina stabilu satvaru valstu tiesību aktiem sabiedrības veselības jomā un nepārprotami ietver pārrobežu veselības apdraudējumus, kā arī epidēmiju un to izplatības uzraudzību, kas bija būtiski cīņas pret Covid-19 pandēmiju kontekstā.
ES līmenī Komisija 2020. gada 8. aprīlī pieņēma Ieteikumu par vienotu Savienības rīkkopu tehnoloģiju un datu izmantošanai šajā kontekstā, tostarp attiecībā uz mobilajām lietotnēm un anonimizētu mobilitātes datu izmantošanu, bet 2020. gada 16. aprīlī norādījumus par lietotnēm, kas sniedz atbalstu cīņā pret pandēmiju saistībā ar datu aizsardzību. Šajā kontekstā kolēģija 2020. gada 19. martā publicēja paziņojumu par datu apstrādi, kam 2020. gada 21. aprīlī sekoja pamatnostādnes par datu apstrādi pētniecības nolūkos un par atrašanās vietas datu un kontaktu izsekošanas rīku izmantošanu minētajos apstākļos. Šajos ieteikumos un pamatnostādnēs tiek skaidrots, kā personas datu aizsardzības noteikumi un principi ir piemērojami cīņas pret pandēmiju kontekstā.
·Plaši datu subjektu tiesību ierobežojumi
Vairumā datu valsts aizsardzības tiesību aktu, kas ierobežo datu subjektu tiesības, nav skaidri norādītas ar šādiem ierobežojumiem aizsargātu vispārējo sabiedrības interešu mērķi, un/vai tie nepietiekami atbilst VDAR 23. panta 2. punkta nosacījumiem un garantijām. Vairākās dalībvalstīs nav iespējas veikt proporcionalitātes pārbaudi vai ierobežojumi ir pat plašāki nekā VDAR 23. panta 1. punkta darbības joma. Piemēram, tā kā pārzinim būtu jāveic nesamērīgas darbības, dažos valsts tiesību aktos nav paredzētas piekļuves tiesības personas datiem, kas tiek uzglabāti atbilstīgi saglabāšanas pienākumam vai saistībā ar publiskiem uzdevumiem, nosakot šādu ierobežojumu ne tikai saistībā ar vispārējo sabiedrības interešu mērķiem.
·Papildu prasības uzņēmumiem
Lai gan prasība par obligātu datu aizsardzības speciālistu pamatojas uz riskā balstītu pieeju, viena dalībvalsts to ir paplašinājusi, iekļaujot kvantitatīvu kritēriju, pieprasot uzņēmumiem, kuros vismaz 20 darbinieki pastāvīgi ir iesaistīti automātiskā personas datu apstrādē, nozīmēt datu aizsardzības speciālistu neatkarīgi no riskiem, kas saistīti ar apstrādes darbībām. Tā rezultātā ir radies papildu slogs.
4Iespēju došana personām kontrolēt to datus
VDAR padara pamattiesības efektīvas, jo īpaši tiesības uz personas datu aizsardzību, lai gan tas attiecas arī uz citām hartā atzītām pamattiesībām, tostarp tiesībām uz privātās un ģimenes dzīves neaizskaramību, tiesībām uz vārda un informācijas brīvību, nediskrimināciju, domu, apziņas un reliģijas brīvību, brīvību veikt uzņēmējdarbību un tiesībām uz tiesību efektīvu aizsardzību. Starp šīm tiesībām ir jāatrod līdzsvars atbilstoši proporcionalitātes principam.
VDAR dod iedzīvotājiem juridiski īstenojamas tiesības, piemēram, piekļuves tiesības, tiesības uz labošanu vai dzēšanu, iebilšanu, pārnesamību un lielāku pārredzamību. Tā arī dod iedzīvotājiem tiesības iesniegt sūdzības datu aizsardzības iestādei, tostarp izmantojot pārstāvības prasības, kā arī tiesības uz tiesiskās aizsardzības līdzekļiem.
Saskaņā ar 2019. gada jūlija Eirobarometra apsekojumu un Pamattiesību aģentūras apsekojumu iedzīvotāji ir aizvien labāk informēti par savām tiesībām.
Saskaņā ar Pamattiesību aģentūras veikto pamattiesību apsekojumu:
·69 % ES iedzīvotāju, kas ir vismaz 16 gadus veci, ir dzirdējuši par VDAR;
·71 % ES respondentu ir dzirdējuši par savas valsts datu aizsardzības iestādi. Šis rādītājs ir robežās no 90 % Čehijā līdz 44 % Beļģijā;
·60 % ES respondentu zina, ka saskaņā ar tiesību aktiem viņiem ir tiesības piekļūt saviem personas datiem, kas ir valsts pārvaldes iestāžu turējumā, lai gan šis rādītājs samazinās līdz 51 % privātu uzņēmumu gadījumā;
·vairāk nekā piektā daļa ES respondentu (23 %) nevēlas dalīties ar personas datiem (piemēram, savu adresi, informāciju par valstspiederību vai dzimšanas datumu) ar valsts pārvaldes iestādēm, un 41 % respondentu nevēlas atklāt šo informāciju privātiem uzņēmumiem.
Iedzīvotāji aizvien biežāk izmanto savas tiesības iesniegt sūdzību datu aizsardzības iestādei individuāli vai kopā ar citiem iesniedzējiem (pārstāvības prasība). Tikai dažās dalībvalstīs nevalstiskajām organizācijām ir tiesības uzsākt tiesvedību bez pilnvarojuma atbilstoši iespējai, ko tām dod VDAR. Sagaidāms, ka pēc pieņemšanas ierosinātā direktīva par pārstāvības prasībām patērētāju kolektīvo interešu aizsardzībai pastiprinās pārstāvības prasību regulējumu arī datu aizsardzības jomā.
Sūdzības
Saskaņā ar kolēģijas norādīto kopējais sūdzību skaits laikā no 2018. gada maija līdz 2019. gada novembra beigām bija aptuveni 275 000. Tomēr šīs rādītājs jāuztver ļoti piesardzīgi, jo iestādes dažādi definē jēdzienu sūdzība. Dažādās dalībvalstīs būtiski atšķiras datu aizsardzības iestāžu saņemto sūdzību absolūtais skaits. Vislielākais sūdzību skaits ir ticis reģistrēts Vācijā (67 000), Nīderlandē (37 000), Spānijā un Francijā (katrā 18 000 sūdzības), Itālijā (14 000), Polijā un Īrijā (katrā 12 000 sūdzības). Divas trešdaļas iestāžu ziņoja, ka to saņemtu sūdzību skaits ir robežās no 600 līdz 8000. Vismazāk sūdzību ir reģistrēts Igaunijā un Beļģijā (katrā aptuveni 500), kā arī Maltā un Islandē (katrā mazāk nekā 200).
Sūdzību skaits ne vienmēr korelē ar iedzīvotāju skaitu vai IKP, jo, piemēram, Vācijā ir gandrīz divas reizes vairāk sūdzību nekā Nīderlandē un četras reizes vairāk nekā Spānijā un Francijā.
Atsauksmes no daudzpusējās ieinteresēto personu grupas liecina, ka organizācijas ir īstenojušas dažādus pasākumus, lai sekmētu datu subjektu tiesību ievērošanu, tostarp procesus, kas nodrošina pieprasījumu individuālu izskatīšanu un pārziņa atbildes sagatavošanu, vairāku kanālu izmantošanu (pasts, īpaša e-pasta adrese, tīmekļa vietne utt.), atjauninātas iekšējās procedūras un savlaicīgas pieprasījumu iekšējās apstrādes politiku, kā arī personāla apmācību. Daži uzņēmumi ir izveidojuši digitālus portālus, kas pieejami no uzņēmuma tīmekļa vietnes (vai darbiniekiem no uzņēmuma intraneta), lai sekmētu datu subjektu tiesību ievērošanu.
Tomēr vēl ir jāpanāk progress šādos jautājumos:
·ne visi datu pārziņi izpilda savu pienākumu sekmēt datu subjektu tiesību izmantošanu. Viņiem jānodrošina, ka datu subjektiem ir efektīvi izmantojams kontaktpunkts, kur var izskaidrot savas problēmas. Tas var būt datu aizsardzības speciālists, kura kontaktinformācija ir aktīvi jānodod datu subjektam. Saziņas iespējas nedrīkst ietver tikai e-pastu, jo datu subjektam ir jādod iespēja sazināties ar pārzini arī citā veidā;
·iedzīvotāji joprojām saskaras ar grūtībām, kad pieprasa piekļuvi saviem datiem, piemēram, no platformām, datu brokeriem un reklāmas tehnoloģiju uzņēmumiem;
·tiesības uz datu pārnesamību netiek izmantotas pilnā mērā. Komisijas 2020. gada 19. februārī pieņemtajā Eiropas Datu stratēģijā (turpmāk tekstā — Datu stratēģija) ir uzsvērta vajadzība sekmēt šo tiesību īstenošanu visos iespējamos veidos (piemēram, paredzot tehniskas saskarnes un mašīnlasāmus formātus, tā iespējot (gandrīz) reāllaika datu pārnesamību). Ekonomikas dalībnieki ir norādījuši, ka dažkārt ir grūti sniegt datus strukturētā, bieži izmantotā mašīnlasāmā formātā (jo nav standarta). Tikai noteiktu nozaru organizācijas, piemēram, banku, telekomunikāciju, ūdens un apkures skaitītāju jomā, ziņo par to, ka ir ieviesušas vajadzīgās saskarnes. Ir izstrādāti jauni tehnoloģiski rīki, lai sekmētu, ka iedzīvotāji izmanto VDAR paredzētās tiesības, kas ietver ne tikai datu pārnesamību (piemēram, personas datu telpas un personīgās informācijas pārvaldības pakalpojumi);
·bērnu tiesības: vairāki daudzpusējās ieinteresēto personu grupas dalībnieki ir uzsvēruši vajadzību sniegt informāciju bērniem, kā arī to, ka daudzas organizācijas ignorē faktu, ka bērniem varētu rūpēt to datu apstrāde. Padome ir norādījusi, ka, sagatavojot rīcības kodeksus, īpaša uzmanība jāpievērš bērnu aizsardzībai. Šis jautājums ir arī datu aizsardzības iestāžu uzmanības centrā;
·tiesības uz informāciju. Dažiem uzņēmumiem ir izteikti juridiska pieeja — tie uztver datu aizsardzības paziņojumus kā juridisku uzdevumu, un informācija ir ļoti sarežģīta, grūti saprotama vai nepilnīga, lai gan VDAR ir noteikts, ka visai informācijai ir jābūt kodolīgai un ka ir jāizmanto skaidra un vienkārša valoda. Šķiet, ka daži uzņēmumi neievēro kolēģijas ieteikumus, piemēram, attiecībā uz to struktūru nosaukumu norādīšanu, ar kurām tie kopīgo datus;
·vairākas dalībvalstis ar saviem tiesību aktiem lielā mērā ir ierobežojušas datu subjektu tiesības, dažos gadījumos pat lielākā apjomā, nekā iespējams atbilstoši VDAR 23. pantam;
·personu tiesību īstenošanu dažkārt kavē dažu nozīmīgu digitālā tirgus dalībnieku prakse, kā rezultātā iedzīvotājiem ir ļoti grūti izvēlēties iestatījumus, kas visvairāk aizsargā to privātumu (tā pārkāpjot prasību par integrēto datu aizsardzību un datu aizsardzību pēc noklusējuma).
Ieinteresētās personas ar nepacietību gaida kolēģijas pamatnostādnes par datu subjektu tiesībām.
5Organizāciju, jo īpaši mazo un vidējo uzņēmumu, iespējas un problēmas
Organizāciju iespējas
VDAR sekmē konkurenci un inovāciju. Kopā ar Nepersondatu brīvas aprites regulu tā nodrošina datu brīvu apriti ES un rada vienotus spēles noteikumus uzņēmumiem, kuru uzņēmējdarbības vieta nav Eiropā. Izveidojot saskaņotu personas datu aizsardzības regulējumu, VDAR panāk, ka uz visiem starptautiskā tirgus dalībniekiem attiecas vienādi noteikumi un ka tie visi var izmantot tās pašas iespējas neatkarīgi no uzņēmējdarbības un apstrādes veikšanas vietas. VDAR tehnoloģiskā neitralitāte nodrošina datu aizsardzības satvaru jaunu tehnoloģiju attīstībai. Integrētās datu aizsardzības un datu aizsardzības pēc noklusējuma principi kalpo par stimulu novatoriskiem risinājumiem, kas jau no paša sākuma ietver datu aizsardzības apsvērumus un var mazināt datu aizsardzības noteikumu izpildes izmaksas.
Turklāt privātums kļūst par svarīgu konkurences parametru, ko iedzīvotāji aizvien biežāk ņem vērā, izvēloties pakalpojumus. Tie, kas ir labāk informēti vai kam vairāk rūp datu aizsardzības jautājumi, meklē produktus un pakalpojumus, kas nodrošina personas datu efektīvu aizsardzību. Tiesību uz datu pārnesamību ieviešana var mazināt šķēršļus tādu uzņēmumu ienākšanai, kas piedāvā novatoriskus un datu aizsardzībai labvēlīgus pakalpojumus. Jāuzrauga, cik liela ir iespējamā šo tiesību plašākas izmantošanas ietekme uz tirgiem dažādās nozarēs. Atbilstība datu aizsardzības noteikumiem un to pārredzama piemērošana veidos uzticību saistībā ar iedzīvotāju personas datu izmantošanu, tā radot jaunas iespējas uzņēmumiem.
Līdzīgi kā jebkurš regulējums, datu aizsardzības noteikumi ir saistīti ar atbilstības izmaksām uzņēmumiem. Tomēr šīs izmaksas ir mazākas par iespējām un priekšrocībām, ko dod lielāka uzticība digitālajai inovācijai, kā arī par sociālajiem ieguvumiem, kas izriet no pamattiesību ievērošanas. Nodrošinot vienlīdzīgus konkurences apstākļus un dodot datu aizsardzības iestādēm to, kas tām nepieciešams noteikumu izpildes efektīvai panākšanai, VDAR novērš iespēju, ka neatbilstoši uzņēmumi var netraucēti izmantot uzticību, ko veidojuši tie, kas ievēro noteikumus.
Mazo un vidējo uzņēmumu (MVU) īpašās problēmas
Ne tikai ieinteresētās personas, bet arī Eiropas Parlaments, Padome un datu aizsardzības iestādes uzskata, ka VDAR piemērošana rada īpašas grūtības mikro, mazajiem un vidējiem uzņēmumiem, kā arī nelielām brīvprātīgo un labdarības organizācijām.
Saskaņā ar uz risku balstīto pieeju nebūtu pareizi noteikt atkāpes, pamatojoties uz ekonomikas dalībnieku lielumu, jo izmērs pats par sevi neliecina par risku, ko šajā organizācijā veiktā personas datu apstrāde var radīt iedzīvotājiem. Uz risku balstītā pieeja apvieno elastību ar efektīvu aizsardzību. Šādā pieejā tiek ņemtas vērā to MVU vajadzības, kas neveic datu apstrādi kā pamatdarbību, un to pienākumi tiek noteikti, jo īpaši pamatojoties uz tā riska iespēju un smaguma pakāpi, kas saistīts ar šādu uzņēmumu veikto apstrādi.
Neatkarīgi no tā uzņēmuma lieluma, kurš veic apstrādi, pret maza apjoma un zema riska apstrādi nevajadzētu attiekties tāpat kā pret augsta riska un biežu apstrādi. Tāpēc kolēģija secināja, ka “jebkurā gadījumā likumdevēja veicinātā, uz risku balstīta pieeja ir jāpatur spēkā, jo risks datu subjektiem nav atkarīgs no pārziņu lieluma”. Datu aizsardzības iestādēm šis princips ir pilnībā jāpiemēro, nodrošinot VDAR izpildi, ieteicams izmantojot kopēju Eiropas pieeju, lai neradītu šķēršļus vienotajam tirgum.
Datu aizsardzības iestādes ir izstrādājušas vairākus instrumentus un uzsvērušas savu nolūku tos vēl vairāk uzlabot. Dažas iestādes ir uzsākušas informēšanas kampaņas un pat organizē bezmaksas VDAR apmācību MVU.
Datu aizsardzības iestāžu norādījumu un rīku piemēri īpaši MVU:
·MVU paredzētas informēšanas publicēšana,
·semināri datu aizsardzības speciālistiem un pasākumi MVU, kam nav jāieceļ datu aizsardzības speciālists,
·interaktīvi norādījumi, lai palīdzētu MVU,
·palīdzības līnijas konsultāciju sniegšanai,
·veidnes apstrādes līgumiem un apstrādes darbību ieraksti.
Datu apstrādes iestāžu veikto darbību apraksts ir sniegts kolēģijas ieguldījuma dokumentā.
Dažām darbībām, ar kurām īpaši atbalstīja MVU, tika piešķirts ES finansējums. Komisija sniedza finansiālu atbalstu, trīs posmos piešķirot dotācijas EUR 5 miljonu apmērā — pēdējie divi posmi bija īpaši paredzēti datu valsts aizsardzības iestāžu atbalstam to centienos uzrunāt iedzīvotājus un MVU. Tā rezultātā 2018. gadā EUR 2 miljoni par darbībām 2018.-2019. gadā tika piešķirti deviņām datu aizsardzības iestādēm (Beļģijas, Bulgārijas, Dānijas, Ungārijas, Lietuvas, Latvijas, Nīderlandes, Slovēnijas un Islandes iestādēm), bet 2019. gadā EUR 1 miljons par darbībām 2020. gadā tika piešķirts četrām datu aizsardzības iestādēm (Beļģijas, Maltas un Slovēnijas iestādēm, kā arī Horvātijas un Īrijas partnerībai)
. 2020. gadā tiks piešķirts papildu EUR 1 miljons.
Neskatoties uz šīm iniciatīvām, MVU un jaunuzņēmumi bieži norāda, ka viņiem ir grūtības īstenot pārskatatbildības principu, kas noteikts VDAR. Tie ziņo, ka ne vienmēr saņem pietiekami norādījumu un praktisku ieteikumu no datu valsts aizsardzības iestādēm vai ka šādu norādījumu un ieteikumu saņemšanai ir vajadzīgs pārāk daudz laika. Ir arī bijuši gadījumi, kad iestādes bija izrādījušas ne pārāk lielu vēlēšanos iesaistīties juridisku problēmu risināšanā. Nonākot šādās situācijās, MVU bieži vēršas pie ārējiem konsultantiem un juristiem, lai ieviestu pārskatatbildības principu un uz risku balstītu pieeju (tostarp pārredzamības prasības, apstrādes darbību reģistrēšanu un datu aizsardzības pārkāpumu paziņošanu). Tas šiem uzņēmumiem var radīt papildu izmaksas.
Viena konkrēta problēma ir apstrādes darbību reģistrēšana, ko MVU un mazās asociācijas uzskata par apgrūtinošu administratīvu slogu. Atkāpe no šā pienākuma VDAR 30. panta 5. punktā tiešām ir ļoti šaura. Tomēr nevajadzētu pārvērtēt centienus, kas saistīti ar šā pienākuma izpildi. Ja MVU pamatdarbība nav saistīta ar personas datu apstrādi, šādiem ierakstiem būtu jābūt vienkāršiem un neapgrūtinošiem. Tas pats attiecas uz brīvprātīgo un citām asociācijām. Šādus vienkāršotus ierakstus varētu vieglāk sagatavot, izmantojot ierakstu veidnes, ko praksē jau izmanto dažas datu aizsardzības iestādes. Jebkurā gadījumā visiem, kuri apstrādā personas datus, ir jābūt to datu apstrādes pārskatam, kas ir pārskatatbildības principa pamata prasība.
Praktisku rīku, piemēram saskaņotu veidlapu datu aizsardzības pārkāpumiem un vienkāršotu apstrādes darbību ierakstu, izstrāde kolēģijā ES līmenī var palīdzēt MVU un mazajām asociācijām, kuru pamatdarbība neietver personas datu apstrādi, izpildīt to pienākumus.
Dažādas nozaru asociācijas ir mēģinājušas uzlabot informētību un sniegt informāciju saviem biedriem, piemēram, konferencēs un semināros, piedāvājot uzņēmumiem informāciju par pieejamajiem norādījumiem vai izstrādājot privātumu aizsardzības nodrošināšanas palīdzības pakalpojumu biedriem. Tās arī ziņo par aizvien lielāku tādu semināru, sanāksmju un pasākumu skaitu, ko organizē domnīcas un MVU asociācijas un kas ir veltīti ar VDAR saistītiem jautājumiem.
Lai uzlabotu visu datu brīvu apriti ES un panāktu VDAR un Nepersondatu brīvas aprites regulas konsekventu piemērošanu, Komisija ir arī sagatavojusi praktiskus norādījumus par noteikumiem, kas regulē jauktu datu kopu, kuras sastāv no personas datiem un nepersondatiem, apstrādi un kas ir veltīti īpaši MVU.
Rīkkopa uzņēmumiem
VDAR piedāvā rīkus, kas palīdz pierādīt atbilstību, piemēram, rīcības kodeksus, sertifikācijas mehānismus un līguma standartklauzulas.
·Rīcības kodeksi
Kolēģija ir sagatavojusi pamatnostādnes, lai atbalstītu kodeksu izstrādātājus un palīdzētu tiem sagatavot, grozīt vai paplašināt kodeksus, kā arī lai sniegtu praktiskus norādījumus un palīdzību interpretācijā. Šajās pamatnostādnēs ir arī skaidrotas kodeksu iesniegšanas, apstiprināšanas un publicēšanas procedūras gan valsts, gan ES līmenī, izklāstot minimālos kritērijus.
Ieinteresētās personas uzskata, ka rīcības kodeksi ir ļoti noderīgi instrumenti. Lai gan valsts līmenī ir īstenoti daudzi kodeksi, vēl tiek gatavoti vairāki ES mēroga rīcības kodeksi (piemēram, attiecībā uz mobilajām veselības lietotnēm, veselības pētniecību genomikā, mākoņdatošanu, tiešo tirgvedību, apdrošināšanu, preventīvu apstrādi un konsultāciju pakalpojumiem bērniem). Ekonomikas dalībnieki uzskata, ka ES līmeņa rīcības kodeksi ir daudz plašāk jāpopularizē, jo tie sekmē VDAR konsekventu piemērošanu visās dalībvalstīs.
Tomēr ekonomikas dalībniekiem ir arī jāiegulda laiks un līdzekļi rīcības kodeksu izstrādē un vajadzīgo neatkarīgo uzraudzības struktūru izveidē. MVU pārstāvji ir uzsvēruši, cik svarīgi un noderīgi ir rīcības kodeksi, kas piemēroti to situācijai un nav saistīti ar nesamērīgi lielām izmaksām.
Attiecīgi vairāku nozaru uzņēmumu asociācijas ir īstenojušas cita veida pašregulējuma rīkus, piemēram, paraugprakses kodeksus vai norādījumus. Lai gan šādi rīki var sniegt noderīgu informāciju, tos nav apstiprinājušas datu aizsardzības iestādes un tos arī nevar izmantot, lai pierādītu atbilstību VDAR.
Padome norāda, ka rīcības kodeksos īpaša uzmanība jāpievērš bērnu datu un datu par veselību apstrādei. Komisija atbalsta rīcības kodeksus, kas saskaņotu pieeju veselības aprūpes un pētniecības jomā un sekmētu personas datu pārrobežu apstrādi. Kolēģija pašlaik apstiprina akreditācijas prasību projektu rīcības kodeksu uzraudzības struktūrām, ko piedāvājušas vairākas datu aizsardzības iestādes. Kad starptautiski vai ES rīcības kodeksi būs gatavi iesniegšanai datu aizsardzības iestādēm, lai tos apstiprinātu, par tiem konsultēsies ar kolēģiju. Starptautisku kodeksu ātra izstrāde ir jo īpaši svarīga jomās, kur notiek ievērojamu datu apjomu (piemēram, mākoņdatošana) vai sensitīvo datu (piemēram, veselība/pētniecība) apstrāde.
·Sertifikācija
Sertifikācija var būt noderīgs instruments, lai pierādītu atbilstību noteiktām VDAR prasībām. Tā var palielināt juridisko noteiktību uzņēmumiem un popularizēt VDAR pasaulē.
Kā norādīts pētījumā par sertifikāciju, kas publicēts 2019. gada aprīlī, mērķim būtu jāietver attiecīgo shēmu izmantošanas popularitātes sekmēšana. Sertifikācijas shēmu izstrādi ES atbalstīs kolēģijas pieņemtās pamatnostādnes par sertifikācijas kritērijiem un par sertifikācijas struktūru akreditāciju.
Drošība un integrētā datu aizsardzība ir galvenie elementi, kas jāņem vērā saskaņā ar VDAR izveidotajās sertifikācijas shēmās, un šie jautājumi tiktu labāk risināti, ja visā ES būtu kopīga un tālejoša pieeja. Komisija turpinās atbalstīt esošos kontaktus starp Eiropas Savienības Kiberdrošības aģentūru (ENISA), datu aizsardzības iestādēm un kolēģiju.
Kas attiecas uz kiberdrošību, pēc Kiberdrošības akta pieņemšanas Komisija pieprasīja, lai ENISA sagatavotu divas sertifikācijas shēmas, no kurām viena būtu paredzēta mākoņpakalpojumiem. Tiek apsvērtas papildu shēmas, kas veltītas patēriņa preču un pakalpojumu kiberdrošībai. Lai gan šajās atbilstoši Kiberdrošības aktam izveidotajās sertifikācijas shēmās netiek tieši skatīti datu aizsardzības un privātuma jautājumi, tās palielina iedzīvotāju uzticību digitālajiem pakalpojumiem un produktiem. Šādas shēmas var nodrošināt pierādījumus par to, ka tiek ievēroti integrētās drošības principi, kā arī ka tiek īstenoti atbilstoši tehniskie un organizatoriskie pasākumi, kuri ir saistīti ar personas datu apstrādes drošību.
·Līguma standartklauzulas
Komisija izstrādā standartklauzulas līgumiem starp pārziņiem un apstrādātājiem, arī ņemot vērā līguma standartklauzulu modernizāciju attiecībā uz starptautisko nosūtīšanu (sk. 7.2. iedaļu). Komisijas pieņemts savienības akts būs saistošs visā ES, kas nodrošinās pilnīgu harmonizāciju un juridisko noteiktību.
6VDAR piemērošana jaunām tehnoloģijām
Tehnoloģiski neitrāls regulējums, kas atvērts jaunām tehnoloģijām
VDAR ir tehnoloģiski neitrāla un uzticību veicinoša, kā arī balstīta uz principiem. Šie principi, tostarp likumīga un pārredzama apstrāde, nolūka ierobežojumi un datu minimizēšana, dod stabilu pamatu personas datu aizsardzībai neatkarīgi no apstrādes darbībām un izmantotajām metodēm.
Daudzpusējās ieinteresēto personu grupas dalībnieki norāda, ka kopumā VDAR ir pozitīva ietekme uz jaunu tehnoloģiju izstrādi un ka tā kalpo par labu pamatu inovācijai. VDAR tiek uzskatīta par nozīmīgu un elastīgu rīku, lai nodrošinātu jaunu tehnoloģiju attīstību atbilstoši pamattiesībām. Tās galveno principu īstenošana ir jo īpaši svarīga, ja notiek intensīva datu apstrāde. VDAR uz risku balstītā un tehnoloģiski neitrālā pieeja nodrošina datu aizsardzības līmeni, kas ir pienācīgs, lai novērstu apstrādes risku, tostarp tādu, ko rada jaunās tehnoloģijas.
Ieinteresētās personas jo īpaši norādīja, ka VDAR nolūka ierobežojumu un turpmākas atbilstīgas apstrādes, datu minimizēšanas, glabāšanas ierobežojumu, pārredzamības un pārskatatbildības principi, kā arī nosacījumi, atbilstoši kuriem var likumīgi īstenot automātiskas lēmumu pieņemšanas procesus, lielā mērā kliedē ar mākslīgā intelekta izmantošanu saistītās bažas.
VDAR progresīvā un uz risku balstītā pieeja tiks arī piemērota mākslīgā intelekta iespējamā nākotnes regulējumā, kā arī īstenojot Datu stratēģiju. Datu stratēģijas mērķis ir sekmēt datu pieejamību un kopēju Eiropas datu telpu veidošanu, ko atbalsta apvienotie mākoņinfrastruktūras pakalpojumi. Kas attiecas uz personas datiem, VDAR nosaka galveno tiesisko regulējumu, kura ietvaros katrā atsevišķā gadījumā var izstrādāt efektīvu risinājumu atkarībā no katras datu telpas rakstura un satura.
VDAR ir uzlabojusi informētību par personas datu aizsardzību gan ES, gan ārpus tās un likusi uzņēmumiem mainīt savu praksi, lai inovācijas laikā ņemtu vērā datu aizsardzības principus. Tomēr pilsoniskās sabiedrības organizācijas norāda, ka, lai gan VDAR ietekme uz jaunu tehnoloģiju izstrādi šķiet pozitīva, lielo digitālās jomas tirgus dalībnieku prakse vēl nav būtiski mainījusies, lai nodrošinātu privātuma aizsardzībai labvēlīgāku apstrādi. Spēcīga un efektīva VDAR izpildes panākšana attiecībā uz lielajām digitālajām platformām un integrētajiem uzņēmumiem, tostarp tādās jomās kā tiešsaistes reklāma un mikromērķorientēšana, ir ļoti svarīgs iedzīvotāju aizsardzības elements.
Komisija analizē plašākus jautājumus, kas saistīti ar lielo digitālo ekonomikas dalībnieku uzvedību tirgū Digitālo pakalpojumu akta pakotnes kontekstā. Kas attiecas uz pētniecību sociālo plašsaziņas līdzekļu jomā, Komisija atgādina, ka sociālo plašsaziņas līdzekļu platformas nedrīkst izmantot VDAR kā attaisnojumu, lai ierobežotu pētnieku un faktu pārbaudītāju piekļuvi nepersondatiem, piemēram, statistikas datiem par to, kādas mērķorientētas reklāmas ir nosūtītas noteiktām iedzīvotāju grupām, kritērijiem šīs mērķorientācijas izstrādei, informācijai par viltus kontiem utt.
VDAR tehnoloģiski neitrālā un progresīvā pieeja tika pārbaudīta Covid-19 pandēmijas laikā un izrādījās sekmīga. Tās ar principiem pamatotie noteikumi sniedza atbalstu vīrusa izplatības apkarošanas un uzraudzības rīku izstrādē.
Risināmās problēmas
Jauno tehnoloģiju izstrāde un piemērošana neliek apšaubīt šos principus. Problēmas ir saistītas ar skaidrojumu, kā piemērot pārbaudītus principus konkrētu tehnoloģiju izmantošanai, piemēram, mākslīgajam intelektam, blokķēdēm, lietu internetam, sejas atpazīšanas tehnoloģijām un kvantu skaitļošanai.
Šajā kontekstā Eiropas Parlaments un Padome uzsvēra vajadzību pastāvīgi veikt uzraudzību, lai noskaidrotu, kā VDAR tiek piemērota jaunām tehnoloģijām un lielajiem tehnoloģiju uzņēmumiem. Turklāt ieinteresētās personas brīdina, ka, lai noteiktu, vai VDAR joprojām ir aktuāla, arī ir jāveic pastāvīga uzraudzība.
Nozares ieinteresētās personas uzsver, ka inovācijai ir vajadzīgs, lai VDAR tiktu piemērota, pamatojoties uz principiem un atbilstoši tās garam, nevis formālā un neelastīgā veidā. Šīs personas uzskata, ka kolēģijas pamatnostādnes par VDAR principu, jēdzienu un noteikumu piemērošanu jaunajām tehnoloģijām, piemēram, mākslīgajam intelektam, blokķēdēm vai lietu internetam, ņemot vērā uz risku balstīto pieeju, palīdzētu sniegt skaidrojumus un nodrošināt lielāku juridisko noteiktību. Šādi nesaistoši rīki ir ļoti piemēroti, lai papildinātu VDAR piemērošanu jaunajām tehnoloģijām, jo tie nodrošina lielāku juridisko noteiktību un tos var pārskatīt atbilstoši tehnoloģiskajai attīstībai. Dažas ieinteresētās personas arī norāda, ka nozaru pamatnostādnes par VDAR piemērošanu jaunajām tehnoloģijām varētu būt noderīgas.
Kolēģija ir paziņojusi, ka tā turpinās apsvērt jauno tehnoloģiju ietekmi uz personas datu aizsardzību.
Ieinteresētās personas arī uzsver, ka regulatoriem ir svarīgi ļoti labi saprast, kā tehnoloģijas tiek izmantotas, un iesaistīties dialogā ar nozares pārstāvjiem par jauno tehnoloģiju attīstību. Viņas uzskata, ka “regulatīvās smilšu kastes” pieeja kā līdzeklis norādījumu saņemšanai par noteikumu piemērošanu varētu būt interesanta iespēja jauno tehnoloģiju pārbaudīšanai un palīdzības sniegšanai uzņēmumiem saistībā ar integrētās datu aizsardzības un datu aizsardzības pēc noklusējuma piemērošanu jaunajām tehnoloģijām.
Runājot par turpmākām darbībām politikas jomā, ieinteresētās personas iesaka, ka visiem nākotnes politikas priekšlikumiem par mākslīgo intelektu būtu jābalstās uz esošo juridisko regulējumu un jābūt saskaņotiem ar VDAR. Iespējamās konkrētās problēmas ir rūpīgi jāizvērtē, pamatojoties uz attiecīgiem pierādījumiem, pirms tiek piedāvāti jauni, preskriptīvi noteikumi.
Komisijas Baltajā grāmatā par mākslīgo intelektu ir piedāvātas vairākas politikas iespējas, par ko ieinteresētajām personām tika lūgts sniegt viedokli līdz 2020. gada 14. jūnijam. Kas attiecas uz sejas atpazīšanu, proti, tehnoloģiju, kas varētu būtiski ietekmēt iedzīvotāju tiesības, baltajā grāmatā bija atsauce uz pašreizējo likumdošanas regulējumu, kā arī tika uzsāktas sabiedriskas debates par tiem konkrētajiem apstākļiem (ja tādi ir), kas varētu pamatot mākslīgā intelekta izmantošanu sejas atpazīšanai un citiem attālinātās biometriskās identifikācijas nolūkiem publiskās vietās, kā arī par kopējiem piesardzības pasākumiem.
7Starptautiskā nosūtīšana un globālā sadarbība
7.1Privātums — globāla problēma
Prasībai par personas datu aizsardzību nav robežu, jo cilvēki visā pasaulē aizvien vairāk novērtē un vēlas aizsargāt savu privātumu un savu datu drošību.
Vienlaikus nav noliedzams, ka mūsu savstarpēji saistītajā pasaulē datu plūsmas ir ļoti svarīgas iedzīvotājiem, valdībām, uzņēmumiem un arī sabiedrībai kopumā. Tās veido neatņemamu tirdzniecības, publisko iestāžu sadarbības un sociālās mijiedarbības daļu. Šajā ziņā pašreizējā Covid-19 pandēmija arī izgaismo, cik svarīga ir personas datu nosūtīšana un apmaiņa daudzu nozīmīgu darbību veikšanai, tostarp, lai nodrošinātu valdības un komerciālās darbības nepārtrauktību, jo tā dod iespēju veikt tāldarbu un izmantot citus risinājumus, kas lielā mērā ir atkarīgi no informācijas un komunikācijas tehnoloģijām, attīstītu sadarbību zinātniskajā diagnostikas, ārstēšanas un vakcīnu pētniecībā un cīnītos pret tādiem jauniem kibernoziedzības veidiem kā tiešsaistes krāpšanas shēmas, kur tiek piedāvātas viltotas zāles, apgalvojot, ka tās novērš vai ārstē Covid-19.
Uz šī fona privātuma aizsardzībai un datu aprites sekmēšanai ir jāiet roku rokā daudz vairāk nekā jebkad iepriekš. ES, kuras datu aizsardzības režīms apvieno atvērtību starptautiskai datu nosūtīšanai un augstu iedzīvotāju aizsardzības līmeni, ir īpaši piemērota drošu un uzticamu datu plūsmu sekmēšanai. VDAR jau ir kļuvusi par atskaites punktu starptautiskā līmenī un daudzām pasaules valstīm kalpojusi par katalizatoru, lai apsvērtu modernu privātuma noteikumu ieviešanu.
Tā ir patiešām globāla tendence, kas aptver reģionus no Čīles līdz Dienvidkorejai, no Brazīlijas līdz Japānai, no Kenijas līdz Indijai, no Tunisijas līdz Indonēzijai un no Kalifornijas līdz Taivānai. Un tie ir vien daži piemēri. Šie notikumi ir pārsteidzoši ne tikai kvantitatīvā, bet arī kvalitatīvā ziņā — daudzi no nesen pieņemtajiem vai pieņemamajiem privātuma tiesību aktiem pamatojas uz kopēju garantiju, tiesību un izpildes panākšanas mehānismu pamatkopumu, kas ir kopīgs ar ES. Pasaulē, kur pārāk bieži ir ne tikai atšķirīga, bet pat pretēja pieeja regulējuma izstrādei, tendence virzībai uz globālu konverģenci ir ļoti pozitīva, jo tā dod jaunas iespējas palielināt iedzīvotāju aizsardzību Eiropā, vienlaikus sekmējot datu plūsmas un pazeminot darījumu izmaksas uzņēmējiem.
Lai izmantotu šīs iespējas un īstenotu stratēģiju, kas izklāstīta tās 2017. gada paziņojumā “Apmaiņa ar personas datiem un šo datu aizsardzība globalizētā pasaulē”, Komisija daudz intensīvāk strādā ar privātuma starptautisko dimensiju, pilnībā izmantojot pieejamo nosūtīšanas rīkkopu, kā skaidrots iepriekš. Tas ietver aktīvu sadarbību ar galvenajiem partneriem, lai pieņemtu “pietiekamas aizsardzības atzinumu”, un ir devis svarīgus rezultātus, piemēram, ir tikusi izveidota pasaules lielākā brīvas un drošas datu aprites zona starp ES un Japānu.
Papildus darbam aizsardzības līmeņa pietiekamības jomā Komisija kolēģijas ietvaros ir cieši sadarbojusies ar datu aizsardzības iestādēm, kā arī ar citām ieinteresētajām personām, lai pilnībā izmantotu VDAR elastīgo noteikumu potenciālu datu starptautiskās nosūtīšanas ziņā. Tas attiecas uz tādu instrumentu modernizāciju kā līguma standartklauzulas, sertifikācijas shēmu izstrāde, rīcības kodeksi vai administratīvās vienošanās datu apmaiņai starp publiskām iestādēm, kā arī tādu galveno jēdzienu skaidrošanu, kas, piemēram, ir saistīti ar ES datu aizsardzības noteikumu teritoriālo darbības jomu vai tā saukto “atkāpju” izmantošanu personas datu nosūtīšanai.
Visbeidzot, Komisija intensīvāk risina sarunas vairākos divpusējos, reģionālos un daudzpusējos formātos, lai sekmētu privātuma aizsardzības globālo kultūru un izveidotu dažādu privātuma aizsardzības sistēmu konverģences elementus. Savos centienos Komisija var paļauties uz aktīvu Eiropas Ārējās darbības dienesta, kā arī ES delegāciju trešās valstīs un misiju starptautiskās organizācijās tīkla atbalstu. Tas arī ir nodrošinājis konsekvenci un dažādu ES politikas ārējās dimensijas aspektu, sākot no tirdzniecības un beidzot ar Āfrikas un ES partnerību, lielāku papildināmību.
7.2VDAR nosūtīšanas rīkkopa
Tā kā aizvien vairāk publisko un privāto ekonomikas dalībnieku savās ikdienas darbībās paļaujas uz starptautiskām datu plūsmām, elastīgi instrumenti, ko var pielāgot dažādām nozarēm, uzņēmējdarbības modeļiem un nosūtīšanas situācijām, kļūst aizvien vajadzīgāki. Atspoguļojot šīs vajadzības, VDAR piedāvā modernizētu rīkkopu, kas sekmē personas datu nosūtīšanu no ES uz trešo valsti vai starptautisku organizāciju, vienlaikus panākot, ka datiem joprojām tiek nodrošināta augsta līmeņa aizsardzība. Tā kā mūsdienu pasaulē dati viegli šķērso robežas un VDAR sniegtā aizsardzība būtu nepilnīga, ja to attiecinātu tikai uz apstrādi ES teritorijā, šāda aizsardzības nepārtrauktība ir svarīga.
Ar VDAR V nodaļu likumdevējs ir apstiprinājis nosūtīšanas noteikumu arhitektūru, kas jau pastāvēja atbilstoši Direktīvai 95/46: datu nosūtīšana var notikt, ja Komisija ir pieņēmusi pietiekamas aizsardzības atzinumu attiecībā uz trešo valsti vai starptautisku organizāciju vai, ja tāda nav, pārzinis vai apstrādātājs ES (datu eksportētājs) ir sniedzis pienācīgas garantijas, piemēram, noslēdzot līgumu ar saņēmēju (datu importētājs). Turklāt tiesību aktos noteiktais nosūtīšanas pamats (t. s. atkāpes) joprojām ir pieejams noteiktās situācijās, kuru gadījumā likumdevējs ir izlēmis, ka interešu līdzsvars pieļauj datu nosūtīšanu, ja tiek izpildīti zināmi nosacījumi. Vienlaikus šī reforma ir padarījusi esošos noteikumus skaidrākus un vienkāršākus, piemēram, detalizēti paredzot nosacījumus pietiekamas aizsardzības atzinuma pieņemšanai vai saistošiem uzņēmuma noteikumiem un nosakot, ka atļaujas saņemšanas prasības ir piemērojamas tikai ļoti mazam skaitam īpašu gadījumu, kā arī pilnībā atceļot paziņošanas prasības. Turklāt ir ieviesti tādi jauni nosūtīšanas rīki kā rīcības kodeksi vai sertifikācijas shēmas, kā arī ir paplašināta iespēja izmantot esošos instrumentus (piemēram, līguma standartklauzulas).
Mūsdienu digitālā ekonomika ļauj ārvalstu ekonomikas dalībniekiem (attālināti, bet) tieši darboties ES iekšējā tirgū un konkurēt par Eiropas klientiem un to personas datiem. Šādiem ekonomikas dalībniekiem, mērķtiecīgi pievēršoties Eiropas iedzīvotājiem, lai piedāvātu preces vai pakalpojumus vai uzraudzītu to uzvedību, ir jāievēro ES tiesību akti tieši tāpat kā ES ekonomikas dalībniekiem. Tas ir atspoguļots VDAR 3. pantā, kur ES datu aizsardzības noteikumu tiešā piemērojamība tiek attiecināta uz noteiktām pārziņu un apstrādātāju apstrādes darbībām ārpus ES. Tas garantē, ka tiek ievērotas nepieciešamās garantijas un ka uz visiem uzņēmumiem, kas darbojas ES tirgū, attiecas vienādi noteikumi.
Plašā piemērojamība ir viens no iemesliem, kāpēc VDAR ietekme ir jūtama arī citās pasaules daļās. Tāpēc pēc visaptverošas sabiedriskās apspriešanas pieņemtie sīki izstrādātie kolēģijas norādījumi par VDAR teritoriālās piemērošanas jomu ir svarīgi, lai palīdzētu ārvalstu ekonomikas dalībniekiem noteikt, vai un uz kādām apstrādes darbībām attiecas regulas garantijas, tostarp izmantojot konkrētus piemērus.
ES datu aizsardzības tiesību aktu piemērošanas darbības jomas paplašināšana pati par sevi tomēr nav pietiekama, lai garantētu to ievērošanu praksē. Padome ir arī norādījusi, ka ir ļoti svarīgi nodrošināt, ka ārvalstu ekonomikas dalībnieki ievēro šos tiesību aktus un ka tiek panākta to efektīva izpilde attiecībā uz šādiem ārvalstu ekonomikas dalībniekiem. Šajā ziņā pārstāvja iecelšanai ES (VDAR 27. panta 1. un 2. punkts), pie kura iedzīvotāji un uzraudzības iestādes var vērsties papildus vai tā atbildīgā uzņēmuma vietā, kurš darbojas ārvalstīs, būtu jābūt galvenajai lomai. Šī pieeja, kas aizvien biežāk tiek izmantota arī citos kontekstos, ir jāpiemēro daudz aktīvāk, lai dotu skaidru vēstījumu par to, ka uzņēmējdarbības vietas atrašanās ārpus ES neatbrīvo ārvalstu ekonomikas dalībniekus no atbildības saskaņā ar VDAR. Ja ekonomikas dalībnieki neizpilda savu pienākumu iecelt pārstāvi, uzraudzības iestādēm jāizmanto visa izpildes panākšanas rīkkopa, kas norādīta VDAR 58. pantā (piemēram, publiski brīdinājumi, pagaidu vai pastāvīgs aizliegums veikt apstrādi ES, izpildes panākšana attiecībā uz kopīgiem pārziņiem, kuru uzņēmējdarbības vieta ir ES).
Visbeidzot, ir ļoti svarīgi, lai kolēģija pabeigtu papildu precizējumus par attiecībām starp 3. pantu par VDAR tiešo piemērojamību un V nodaļas noteikumiem par starptautisku nosūtīšanu.
Lēmumi par aizsardzības līmeņa pietiekamību
Ieinteresēto personu sniegtās atsauksmes apliecina, ka lēmumi par aizsardzības līmeņa pietiekamību joprojām ir nozīmīgs ES ekonomikas dalībnieku rīks, lai droši pārsūtītu personas datus uz trešām valstīm. Šādi lēmumi piedāvā visaptverošāko, vistiešāko un izmaksu ziņā visefektīvāko risinājumu datu nosūtīšanai, jo tie tiek izmantoti arī pārsūtīšanai ES teritorijā, tā nodrošinot personas datu drošu un brīvu apriti bez papildu nosacījumiem vai vajadzības saņemt atļauju. Tāpēc lēmumi par aizsardzības līmeņa pietiekamību var atvērt komerciālus kanālus ekonomikas dalībniekiem no ES un sekmēt sadarbību starp publiskām iestādēm, vienlaikus dodot priviliģētu piekļuvi ES vienotajam tirgum. Pamatojoties uz 1995. gada direktīvā paredzēto praksi, VDAR nepārprotami atļauj pieņemt lēmumu par aizsardzības līmeņa pietiekamību attiecībā uz noteiktu trešās valsts teritoriju vai noteiktu nozari vai jomu trešā valstī (t. d. daļējā aizsardzības līmeņa pietiekamība).
VDAR pamatojas uz pēdējo gadu laikā gūto pieredzi un Tiesas skaidrojumiem, kur tika noteikts sīki izklāstīts elementu kopums, kas Komisijai jāņem vērā izvērtēšanas laikā. Atbilstoši pietiekama aizsardzības līmeņa standartam aizsardzības līmenim ir jābūt salīdzināmam ar Savienībā nodrošināto (vai pēc būtības līdzvērtīgam). Tas ietver visaptverošu visas trešās valsts sistēmas novērtēšanu, kas ietver privātuma aizsardzības mehānismu būtību, to efektīvu īstenošanu un izpildes panākšanu, kā arī noteikumus publiskām iestādēm par piekļuvi personas datiem, jo īpaši saistībā ar tiesībaizsardzību un valsts drošības vajadzībām.
Minētais ir arī atspoguļots bijušās 29. panta datu aizsardzības darba grupas pieņemtajos norādījumos (ko atbalstīja kolēģija) — jo īpaši tā sauktajā aizsardzības līmeņa “pietiekamības atsaucē”, kur tiek papildus skaidroti elementi, kas Komisijai jāņem vērā, veicot aizsardzības līmeņa pietiekamības novērtējumus, tostarp sniedzot “būtiskas garantijas” par publisku iestāžu piekļuvi personas datiem. Tas jo īpaši pamatojas uz Eiropas Cilvēktiesību tiesas judikatūru. Lai gan pēc būtības līdzvērtīga aizsardzības līmeņa standarts neietver ES noteikumu burtisku replicēšanu (kopēšanu), ņemot vērā, ka līdzekļi salīdzināma aizsardzības līmeņa nodrošināšanai var atšķirties dažādās privātuma sistēmās, tā bieži atspoguļojot dažādas juridiskās tradīcijas, tomēr ir vajadzīgs augsts aizsardzības līmenis.
Šo standartu pamato fakts, ka lēmums par aizsardzības līmeņa pietiekamību pēc būtības dod trešai valstij vienotā tirgus ieguvumus attiecībā uz datu brīvu plūsmu. Tomēr tas arī nozīmē, ka dažkārt būs būtiskas atšķirības starp attiecīgajā valstī nodrošināto aizsardzības līmeni un VDAR, kas būs jānovērš, piemēram, sarunās par papildu garantijām. Šādas garantijas ir jāuztver pozitīvi, jo tās vēl vairāk pastiprina aizsardzību, kas pieejama iedzīvotājiem ES. Vienlaikus Komisija piekrīt kolēģijai, ka ir svarīgi pastāvīgi uzraudzīt to piemērošanu praksē, tostarp attiecībā uz efektīvu izpildes panākšanu, ko nodrošina trešo valstu datu aizsardzības iestāde.
VDAR tiek skaidrots, ka lēmumi par aizsardzības līmeņa pietiekamību ir “dzīvi instrumenti", kas ir pastāvīgi jāuzrauga un periodiski jāpārskata. Atbilstoši šīm prasībām Komisija regulāri apmainās ar datiem ar attiecīgajām iestādēm, lai aktīvi rīkotos pēc jauniem notikumiem. Piemēram, kopš lēmuma pieņemšanas par ES un ASV privātuma vairogu 2016. gadā, Komisija kopā ar kolēģijas pārstāvjiem ir sagatavojusi 3 gada pārskatus, lai novērtētu visus regulējuma funkcionēšanas aspektus. Šie pārskati pamatojās uz informāciju, kas saņemta, apmainoties ar datiem ar ASV iestādēm, kā arī saņemot datus no citām ieinteresētajām personām, piemēram, ES datu aizsardzības iestādēm, pilsoniskās sabiedrības un tirdzniecības asociācijām. Tie ir ļāvuši uzlabot dažādu regulējuma aspektu praktisko funkcionēšanu. Skatoties plašāk, gada pārskati ir devuši ieguldījumu izvērstāka dialoga par privātuma jautājumiem izveidē ar ASV valsts pārvaldi kopumā, kā arī konkrēti par ierobežojumiem un garantijām attiecība uz valsts drošību.
Veicot VDAR novērtējumu, Komisijai ir arī jāpārskata lēmumi par aizsardzības līmeņa pietiekamību, kas pieņemti atbilstoši 1995. gada direktīvai. Komisijas dienesti ir iesaistījušies intensīvā dialogā ar katru no 11 attiecīgajām valstīm un teritorijām, lai novērtētu, kā kopš lēmuma par aizsardzības līmeņa pietiekamību ir attīstījušās to personas datu aizsardzības sistēmas un vai tās atbilst VDAR standartam. Vajadzība nodrošināt šādu lēmumu nepārtrauktību (jo tie ir galvenais tirdzniecības un starptautiskās sadarbības instruments) ir viens no faktoriem, kas licis vairākām šīm valstīm un teritorijām modernizēt un pastiprināt savus privātuma tiesību aktus. Tas noteikti ir atbalstāmi. Ar dažām no šīm valstīm un teritorijām tiek apspriestas papildu garantijas, lai novērstu būtiskas aizsardzības atšķirības.
Tomēr, ņemot vērā, ka paredzamajā 16. jūlija spriedumā Tiesa var sniegt skaidrojumus, kas varētu būt nozīmīgi attiecībā uz noteiktiem aizsardzības līmeņa pietiekamības standarta elementiem, Komisija atsevišķi ziņos par minēto 11 lēmumu par aizsardzības līmeņa pietiekamību novērtējumu pēc tam, kad Tiesa būs sagatavojusi spriedumu norādītajā lietā.
Īstenojot stratēģiju, kas izklāstīta tās 2017. gada paziņojumā “Apmaiņa ar personas datiem un šo datu aizsardzība globalizētā pasaulē”, Komisija ir arī uzsākusi jaunas sarunas saistībā ar aizsardzības līmeņa pietiekamību. Šis darbs jau ir devis ievērojamus rezultātus attiecībā uz ES galvenajiem partneriem. 2019. gada janvārī Komisija pieņēma lēmumu par aizsardzības līmeņa pietiekamību saistībā ar Japānu, kas pamatojas uz augstu konverģences pakāpi, tostarp pateicoties noteiktām garantijām, piemēram, tālākas nosūtīšanas jomā, un iedzīvotāju sūdzību izmeklēšanas un risināšanas mehānisma izveidei attiecībā uz valdības piekļuvi personas datiem tiesībaizsardzības un valsts drošības vajadzībām.
Mehānisms, par kuru tika panākta vienošanās ar Japānu, kalpo par nozīmīgu precedentu turpmākiem lēmumiem, jo tas ir pirmais pietiekamas aizsardzības atzinums, kas pieņemts saskaņā ar VDAR. Tas ietver faktu, ka Japāna pieņēma līdzīgu “pietiekamas aizsardzības” atzinumu arī attiecībā uz ES. Šie savstarpējie pietiekamas aizsardzības atzinumi kopā veido vislielāko drošas un brīvas personas datu aprites zonu visā pasaulē, tā papildinot ES un Japānas ekonomisko partnerattiecību nolīgumu. Faktiski šī kārtība atbalsta tirdzniecību ar precēm, kuras apjoms ir aptuveni 124 miljardi EUR gadā, un pakalpojumiem, kuras apjoms ir 42,5 miljardi EUR gadā.
|
Datu aizsardzības pietiekamības process attiecībā uz Dienvidkoreju arī ir ievērojami pavirzījies uz priekšu. Svarīgs šā procesa iznākums ir nesenā Dienvidkorejas likumdošanas reforma, kā rezultātā tika izveidota neatkarīga datu aizsardzības iestāde, kurai piešķirtas lielas izpildes panākšanas pilnvaras. Tas parāda, kā sarunas par datu pietiekamu aizsardzību var palīdzēt palielināt ES un citu valstu datu aizsardzības noteikumu konverģenci.
Komisija pilnībā piekrīt ieinteresēto personu aicinājumam veikt intensīvākas sarunas ar noteiktām trešām valstīm, lai, iespējams, pieņemtu jaunus pietiekamas aizsardzības atzinumus. Tā aktīvi pēta šādu iespēju attiecībā uz citiem svarīgiem partneriem Āzijā, Latīņamerikā un kaimiņattiecību valstīs, izmantojot esošo tendenci virzīties uz lielāku globālo konverģenci stingrāku datu aizsardzības standartu noteikšanā. Piemēram, visaptveroši privātuma tiesību akti ir tikuši pieņemti vai drīzumā likumdošanas procesā būtu jāapstiprina Latīņamerikā (Brazīlija, Čīle), kā arī situācija daudzsološi attīstās Āzijā (piemēram, Indijā, Indonēzijā, Malaizijā, Šrilankā, Taivānā un Taizemē), Āfrikā (piemēram, Etiopijā, Kenijā), kā arī Eiropas austrumu un dienvidu kaimiņattiecību valstīs (piemēram, Gruzijā, Tunisijā). Ja tas būs iespējams, Komisija mēģinās pieņemt visaptverošus lēmumus par aizsardzības līmeņa pietiekamību, kas iekļaus gan privāto, gan publisko sektoru.
Turklāt VDAR tika arī ieviesta iespēja Komisijai pieņemt pietiekamas aizsardzības atzinumus attiecībā uz starptautiskām organizācijām. Laikā, kad dažas starptautiskās organizācijas modernizē savu datu aizsardzības sistēmu, īstenojot visaptverošus noteikumus, kā arī mehānismus, kas paredz neatkarīgu uzraudzību un efektīvu aizsardzību, var pirmo reizi apsvērt arī šādu iespēju.
Pietiekamai aizsardzībai ir arī svarīga loma attiecību ar Apvienoto Karalisti pēc Brexit kontekstā, ja vien tiek izpildīti piemērojamie nosacījumi. Tas ir tirdzniecību, tostarp digitālo tirdzniecību, sekmējošs faktors, kā arī būtisks priekšnoteikums ciešai un tālejošai sadarbībai tiesībaizsardzības un drošības jomā. Turklāt, ņemot vērā, cik nozīmīgas ir datu plūsmas AK un cik tuvu tā atrodas ES tirgum, augsts datu aizsardzības noteikumu konverģences līmenis abās Lamanša pusēs ir svarīgs elements vienlīdzīgu noteikumu nodrošināšanai. Atbilstoši politiskajai deklarācijai par nākotnes attiecībām starp ES un AK Komisija pašlaik veic pienācīga aizsardzības līmeņa novērtējumu gan atbilstoši VDAR, gan Tiesībaizsardzības direktīvai. Ņemot vērā pietiekamas aizsardzības novērtējuma autonomo un vienpusējo raksturu, šīs sarunas notiek neatkarīgi no sarunām par vienošanos par turpmākām attiecībām starp ES un AK.
|
Visbeidzot, Komisija augstu vērtē faktu, ka citas valstis īsteno datu nosūtīšanas mehānismus, kas ir līdzīgi pietiekamas aizsardzības atzinumam. Tādējādi tās bieži atzīst, ka ES un valstis, attiecībā uz kurām Komisija ir pieņēmusi lēmumu par aizsardzības līmeņa pietiekamību, ir drošs nosūtīšanas galamērķis. Gan augošais to valstu skaits, kas gūst labumu no ES lēmumiem par aizsardzības līmeņa pietiekamību, gan šāda veida atzīšana citās valstīs var radīt tādu valstu tīklu, kur datu aprite var notikt brīvi un droši. Komisija to uzskata par apsveicamu notikumu, kas vēl vairāk palielinās ieguvumus no lēmumiem par aizsardzības līmeņa pietiekamību trešās valstīs un sekmēs globālo konverģenci. Šāda veida sinerģijas var arī dot noderīgu ieguldījumu drošas un brīvas datu aprites satvara izstrādē, piemēram, iniciatīvas “brīva datu aprite ar uzticību” kontekstā (sk. zemāk).
Atbilstošas garantijas
Papildus visaptverošajam risinājumam jeb pietiekamas aizsardzības atzinumam VDAR paredz vairākus citus nosūtīšanas instrumentus. Par šīs rīkkopas elastību liecina VDAR 46. pants, kurš regulē datu nosūtīšanu, pamatojoties uz “atbilstošām garantijām”, tostarp īstenojamām datu subjektu tiesībām un efektīviem tiesiskās aizsardzības līdzekļiem. Lai sniegtu atbilstošas garantijas, ir pieejami dažādi instrumenti, lai apmierinātu gan komerciālu ekonomikas dalībnieku, gan publisko struktūru nosūtīšanas vajadzības.
·Līguma standartklauzulas
Pirmā šo instrumentu grupa attiecas uz līgumiskiem rīkiem, kas var būt individuāli izstrādātās, ad hoc aizsardzības klauzulas, par ko vienojas ES datu eksportētājs un datu importētājs ārpus ES un ko apstiprina kompetentā datu aizsardzības iestāde (VDAR 46. panta 3. punkta a) apakšpunkts), vai paraugklauzulas, ko iepriekš apstiprinājusi Komisija (VDAR 46. panta 2. punkta c) un d) apakšpunkts). Vissvarīgākais no šiem instrumentiem ir tā sauktās līguma standartklauzulas, proti, datu aizsardzības paraugklauzulas, ko datu eksportētājs un datu importētājs var brīvprātīgi iekļaut savā līgumā (piemēram, pakalpojumu līgums, kura gadījumā ir jānosūta personas dati), kur tiek izklāstītas ar atbilstošām garantijām saistītās prasības.
Līguma standartklauzulas ir visbiežāk izmantotais nosūtīšanas mehānisms. Tūkstošiem ES uzņēmumu paļaujas uz līguma standartklauzulām, lai sniegtu saviem klientiem, piegādātājiem, partneriem un darbiniekiem plašu pakalpojumu klāstu, tostarp pakalpojumus, kas ir būtiski svarīgi ekonomikas funkcionēšanai. To lielā popularitāte liecina, ka līguma standartklauzulas ir ļoti noderīgas uzņēmumiem, tiem tiecoties panākt atbilstību prasībām, kā arī ir īpaši izdevīgas tiem uzņēmumiem, kam nav resursu, lai vienotos par individuālu līgumu ar katru no biznesa partneriem. Pateicoties standartizācijai un iepriekšējai apstiprināšanai, līguma standartklauzulas piedāvā uzņēmumiem viegli īstenojamu rīku, lai izpildītu datu aizsardzības prasības nosūtīšanas kontekstā.
Pašreizējais līguma standartklauzulu kopums tika pieņemts un apstiprināts, pamatojoties uz 1995. gada direktīvu. Līguma standartklauzulas paliek spēkā līdz to grozīšanai, aizstāšanai vai atcelšanai, ja tas ir vajadzīgs, ar Komisijas lēmumu (VDAR 46. panta 5. punkts). VDAR dod lielāku iespēju izmantot līguma standartklauzulas datu nosūtīšanai gan ES teritorijā, gan uz citām valstīm. Komisija sadarbojas ar ieinteresētajām personām, lai izmantotu šīs iespējas un atjauninātu pašreizējās klauzulas. Lai nodrošinātu, ka līguma nākotnes standartklauzulas ir derīgas paredzētajam mērķim, Komisija ir apkopojusi atsauksmes par ieinteresēto personu pieredzi ar līguma standartklauzulām, izmantojot Daudzpusējo ieinteresēto personu grupu VDAR jautājumos, kā arī īpašu darbsemināru, kas notika 2019. gada septembrī, un saziņu ar vairākiem uzņēmumiem, kas izmanto līguma standartklauzulas, un pilsoniskās sabiedrības organizācijām. Kolēģija arī atjaunina vairākas pamatnostādnes, kas varētu būt svarīgas līguma standartklauzulu pārskatīšanai, piemēram, par pārziņa un apstrādātāja jēdzieniem.
Pamatojoties uz saņemtajām atsauksmēm, Komisijas dienesti pašlaik pārskata līguma standartklauzulas. Šajā kontekstā ir noteiktas vairākas uzlabojamas jomas, jo īpaši saistībā ar šādiem aspektiem:
1.līguma standartklauzulu atjaunināšana, ņemot vērā VDAR ieviestās jaunās prasības, piemēram, prasības, kas attiecas uz pārziņa un apstrādātāja attiecībām atbilstoši VDAR 28. pantam (jo īpaši apstrādātāja pienākumiem), datu importētāja pārredzamības pienākumiem (attiecībā uz informāciju, kas jāsniedz datu subjektam) utt.;
2.vairāku tādu nosūtīšanas scenāriju izskatīšana, kas nav iekļauti pašreizējās līguma standartklauzulās, piemēram, datu nosūtīšana no ES apstrādātāja (pakārtotajam) apstrādātājam, kas nav ES apstrādātājs, lai gan tas attiecas arī uz situācijām, kad pārzinis atrodas ārpus ES;
3.labāka apstrādes darbību reāliju atspoguļošana mūsdienu digitālās ekonomikas apstākļos, kur šādas darbības bieži ietver vairākus datu importētājus un eksportētājus, garas un bieži arī sarežģītas apstrādes ķēdes, mainīgas uzņēmējdarbības attiecības utt. Lai piedāvātu risinājumus šādām situācijām, tiek pētīta, piemēram, iespēja ļaut parakstīt līguma standartklauzulas vairākiem līdzējiem vai līguma darbības laikā ļaut tam pievienoties jauniem līdzējiem.
Strādājot ar šiem jautājumiem, Komisija arī apsver veidus, kā padarīt esošo līguma standartklauzulu “arhitektūru” daudz vieglāk izmantojamu, piemēram, aizstājot vairākus standartklauzulu kopumus ar vienu visaptverošu dokumentu. Tomēr ir grūti atrast labu līdzsvaru starp vajadzību pēc skaidrības un noteiktas standartizācijas pakāpes, no vienas puses, un nepieciešamo elastību, no otras puses, kas ļauj šīs klauzulas izmantot vairākiem ekonomikas dalībniekiem, kam ir dažādas prasības, kā arī atšķirīgos kontekstos un dažāda veida nosūtīšanai.
Vēl ir jāapsver arī tāds svarīgs aspekts kā iespējamā vajadzība (ņemot vērā Tiesā notiekošo tiesvedību) sīkāk precizēt garantijas attiecībā uz ārvalstu publisko iestāžu piekļuvi datiem, kas pārsūtīti atbilstoši līguma standartklauzulām, jo īpaši valsts drošības nolūkos. Tas var ietvert prasību datu importētājam, eksportētājam vai abiem rīkoties, kā arī datu aizsardzības iestāžu lomas skaidrošanu šādā kontekstā. Lai gan līguma standartklauzulu pārskatīšanā ir panākts labs progress, ir jāgaida Tiesas spriedums, lai pārskatītajās klauzulās atspoguļotu jebkādas iespējamās papildu prasības, pirms lēmuma projektu par jauno līguma standartklauzulu kopumu var iesniegt kolēģijai atzinuma sagatavošana un pirms to var piedāvāt pieņemt, izmantojot komitoloģijas procedūru.
Komisija paralēli uztur saziņu ar starptautiskajiem partneriem, kas izstrādā līdzīgus rīkus. Šis dialogs, kas ļauj apmainīties ar pieredzi un paraugprakses piemēriem, varētu dot ievērojamu ieguldījumu konverģences panākšanā “uz vietas”, šādi sekmējot atbilstību pārrobežu nosūtīšanas noteikumiem, kas piemērojumi uzņēmumiem, kuri darbojas dažādos pasaules reģionos.
·Saistoši uzņēmuma noteikumi (SUN)
Vēl viens svarīgs instruments ir tā sauktie saistošie uzņēmuma noteikumi (SUN). Tie ir juridiski saistoši politikas dokumenti un vienošanās, kas piemērojamas uzņēmumu grupas dalībniekiem, tostarp to darbiniekiem (VDAR 46. panta 2. punkta b) apakšpunkts, 47. pants). SUN izmantošana iespējo personas datu brīvu apriti starp dažādiem grupas dalībniekiem visā pasaulē, tā novēršot vajadzību noslēgt līgumu ar visām korporatīvajām struktūrām, vienlaikus nodrošinot, ka vienādi augsts personas datu aizsardzības līmenis tiek ievērots visā grupā. SUN piedāvā īpaši labu risinājumu sarežģītām un lielām uzņēmumu grupām, kā arī ciešai to uzņēmumu sadarbībai, kas apmainās ar datiem vairākās jurisdikcijās. Atšķirībā no 1995. gada direktīvas, atbilstoši VDAR saistošos uzņēmuma noteikumus var izmantot tādu uzņēmumu grupa, kas iesaistīti kopējā saimnieciskajā darbībā, bet nav daļa no vienas korporatīvās grupas.
Procesuāli SUN ir jāapstiprina kompetentajām datu aizsardzības iestādēm, pamatojoties uz nesaistošu kolēģijas atzinumu. Lai virzītu šo procesu, kolēģija ir pārskatījusi SUN “atsauces dokumentus” (nosakot standartus pēc būtības) pārziņiem un apstrādātājiem, ņemot vērā VDAR, un turpina atjaunināt šos dokumentus, pamatojoties uz uzraudzības iestāžu gūto praktisko pieredzi. Kolēģija ir arī pieņēmusi vairākus norāžu dokumentus, lai palīdzētu pieteikuma iesniedzējiem, kā arī lai racionalizētu SUN pieteikuma iesniegšanas un apstiprināšanas procesu. Saskaņā ar kolēģijas norādīto apstiprināšanai tiek gatavoti vairāk nekā 40 SUN, un ir paredzēts, ka puse no šiem SUN tiks apstiprināta līdz 2020. gada beigām. Datu aizsardzības iestādēm ir svarīgi turpināt apstiprināšanas procesa racionalizēšanu, jo ieinteresētās personas bieži norāda, ka šādu procedūru garums ir praktisks šķērslis plašākai SUN izmantošanai.
Visbeidzot, kas attiecas uz SUN, ko apstiprinājusi AK datu aizsardzības iestāde — Informācijas komisāra birojs, — uzņēmumi varētu turpināt tos izmantot kā derīgu nosūtīšanas mehānismu atbilstoši VDAR arī pēc ES un AK izstāšanās līguma pārejas perioda beigām, bet tikai tad, ja šie noteikumi tiek grozīti, lai jebkādu saikni ar AK tiesisko kārtību aizstātu ar atbilstošām atsaucēm uz uzņēmumu struktūrām un kompetentajām iestādēm ES. Jebkādu jaunu SUN apstiprināšana jālūdz ES uzraudzības iestādei.
·Sertifikācijas mehānismi un rīcības kodeksi
Papildus esošo nosūtīšanas instrumentu modernizēšanai un piemērošanas paplašināšanai ar VDAR ir arī ieviesti jauni instrumenti, tā paplašinot starptautiskās nosūtīšanas iespējas. Tas ietver apstiprinātu rīcības kodeksu un sertifikācijas mehānismu (piemēram, privātuma zīmogu vai zīmju) izmantošanu noteiktos apstākļos, lai nodrošinātu atbilstošas garantijas. Šie ir augšupēji rīki, kas ļauj izmantot individuāli pielāgotus risinājumus — kā vispārējās pārskatatbildības mehānismu (sk. VDAR 40.-42. pantu), kā arī konkrēti datu starptautiskai nosūtīšanai, — piemēram, atspoguļojot attiecīgās nozares vai sektora vai noteiktu datu plūsmu īpašās iezīmes un vajadzības. Salāgojot pienākumus ar riskiem, rīcības kodeksi var kļūt par ļoti noderīgu un izmaksu ziņā efektīvu veidu, kā maziem un vidējiem uzņēmumiem izpildīt tiem ar VDAR uzliktos pienākumus.
Kas attiecas uz sertifikācijas mehānismiem, lai gan kolēģija ir pieņēmusi pamatnostādnes, lai sekmētu šo mehānismu izmantošanu ES, tā joprojām izstrādā kritērijus sertifikācijas mehānismu kā starptautiskas nosūtīšanas rīku apstiprināšanai. Tas pats attiecas uz rīcības kodeksiem — kolēģija izstrādā pamatnostādnes rīcības kodeksu kā nosūtīšanas rīku izmantošanai.
Tā kā ir ļoti svarīgi ekonomikas dalībniekiem nodrošināt plašu klāstu dažādu nosūtīšanas instrumentu, kas ir pielāgoti to vajadzībām, kā arī ņemot vērā noteiktu sertifikācijas mehānismu spēju sekmēt datu nosūtīšanu, vienlaikus nodrošinot augstu datu aizsardzības līmeni, Komisija aicina kolēģiju pēc iespējas ātrāk sagatavot savus norādījumus par šo jautājumu. Tas attiecas gan uz materiāliem (kritēriji), gan procesuāliem aspektiem (apstiprināšana, uzraudzība utt.). Ieinteresētās personas ir paudušas lielu interesi par šiem nosūtīšanas mehānismiem, un tām ir jāspēj pilnībā izmanot VDAR rīkkopu. Kolēģijas pamatnostādnes arī popularizētu datu aizsardzības ES modeli visā pasaulē un sekmētu konverģenci, jo citās privātuma sistēmās tiek izmantoti līdzīgi instrumenti.
Analizējot pašreizējos standartizācijas centienus privātuma jomā Eiropas un starptautiskā līmenī, var izdarīt vērtīgus secinājumus. Viens interesants piemērs ir nesen publiskotais standarts ISO 27701, kura mērķis ir palīdzēt uzņēmumiem izpildīt privātuma prasības un pārvaldīt risku, kas saistīts ar personas datu apstrādi, izmantojot privātuma informācijas pārvaldības sistēmas. Lai gan sertifikācija atbilstoši šim standartam neļauj pilnībā izpildīt VDAR 42. un 43. panta prasības, privātuma informācijas pārvaldības sistēmu izmantošana var palielināt pārskatatbildību, tostarp datu starptautiskās nosūtīšanas kontekstā.
·Starptautiski nolīgumi un administratīvas vienošanās
VDAR arī dod iespēju sniegt atbilstošas garantijas attiecībā uz datu nosūtīšanu starp publiskām iestādēm vai struktūrām, pamatojoties uz starptautiski nolīgumiem (46. panta 2. punkta a) apakšpunkts) vai administratīvu vienošanos (46. panta 3. punkta b)apakšpunkts). Lai gan abiem instrumentiem jānodrošina vienāds iznākums attiecībā uz garantijām, tostarp īstenojamām datu subjekta tiesībām un efektīviem tiesiskās aizsardzības līdzekļiem, tiem ir dažāds juridiskais raksturs un pieņemšanas procedūra.
Atšķirībā no starptautiskiem nolīgumiem, kas rada saistošus pienākumus atbilstoši starptautiskajām tiesībām, administratīvas vienošanās (piemēram, saprašanās memoranda formā) parasti nav saistošas, un tāpēc tās no sākuma ir jāapstiprina kompetentajai datu aizsardzības iestādei (sk. arī VDAR 108. apsvērumu). Viens agrīns piemērs attiecas uz administratīvu vienošanos par personas datu nosūtīšanu starp EEZ un citu valstu finanšu uzraugiem, kas sadarbojas Starptautiskās Vērtspapīru komisiju organizācijas (IOSCO) paspārnē, par ko 2019. gada sākumā kolēģija sniedza savu atzinumu. Kopš tā laika kolēģija ir vēl labāk izstrādājusi savu to “minimālo garantiju” interpretāciju, kuras jāsniedz starptautiskos (sadarbības) nolīgumos un administratīvās vienošanās starp publiskām iestādēm vai struktūrām (tostarp starptautiskām organizācijām), lai izpildītu VDAR 46. panta prasības. 2020. gada 18. janvārī tā izstrādāja pamatnostādnes, tādējādi atbildot uz dalībvalstu lūgumu sniegt papildu skaidrojumu un norādījumus par to, ko varētu uzskatīti par atbilstošām garantijām, pārsūtot datus starp publiskām iestādēm. Kolēģija stingri iesaka publiskām iestādēm izmantot šīs pamatnostādnes kā atskaites punktu savās sarunās ar trešām personām.
Pamatnostādnēs tiek parādīta šādu instrumentu struktūras elastība, tostarp attiecībā uz tādiem svarīgiem aspektiem kā uzraudzība un tiesību aizsardzība. Tam būtu jāļauj publiskajām iestādēm pārvarēt grūtības, piemēram, nodrošinot īstenojamas datu subjektu tiesības ar nesaistošu vienošanos palīdzību. Svarīgs šādas vienošanās elements ir pastāvīga kompetentās datu aizsardzības iestādes veiktā uzraudzība, ko sekmē informācijas un ierakstu saglabāšanas prasības, kā arī datu aprites apturēšana, ja praksē vairs nav iespējams nodrošināt atbilstošas garantijas.
Atkāpes
Visbeidzot, VDAR ir precizēta tā saukto atkāpju izmantošana. Datu nosūtīšanai ir konkrēts pamatojums (piemēram, nepārprotama piekrišana, līguma izpilde vai svarīgi sabiedrības interešu iemesli), kas paredzēts tiesību aktos un ko ekonomikas dalībnieki var izmantot, ja nav citu nosūtīšanas rīku un ja tiek izpildīti noteikti nosacījumi.
Lai skaidrotu šāda tiesību aktos noteikta pamata izmantošanu, kolēģija ir pieņēmusi īpašus norādījumus un ir interpretējusi 49. pantu vairākās lietās attiecībā uz konkrētiem nosūtīšanas scenārijiem. Tā kā atkāpes pēc būtības ir izņēmumi, kolēģija uzskata, ka atkāpes ir jāinterpretē šauri un jāizvērtē katrā individuālā gadījumā. Neskatoties uz šauro interpretāciju, to pamatojums aptver daudzus dažādus nosūtīšanas scenārijus. Tas jo īpaši attiecas uz datu nosūtīšanu no publiskām iestādēm un privātām struktūrām, kas vajadzīga “svarīgu sabiedrības interešu iemeslu” dēļ, piemēram, starp konkurences, finanšu, nodokļu vai muitas iestādēm, dienestiem, kas kompetenti risināt sociālā nodrošinājuma vai sabiedrības veselības jautājumus (piemēram, veicot kontaktu izsekošanu lipīgu infekcijas slimību gadījumā vai lai izskaustu dopinga lietošanu sportā). Vēl viena joma ir pārrobežu sadarbība krimināllietās tiesībaizsardzības nolūkos, jo īpaši smagu noziegumu gadījumos.
Kolēģija ir skaidrojusi, ka, lai gan būtiskās sabiedrības intereses ir jāatzīst ES vai dalībvalstu tiesību aktos, to var arī noteikt, pamatojoties uz “starptautisku nolīgumu vai konvenciju, kur tiek atzīts noteikts mērķis un paredzēta starptautiska sadarbība, lai sekmētu šā mērķa sasniegšanu, kas var kalpot par rādītāju, novērtējot sabiedrības interešu pastāvēšanu atbilstoši 49. panta 1. punkta d) apakšpunktam, ja vien ES vai dalībvalstis ir parakstījušas attiecīgo nolīgumu vai konvenciju”.
Ārvalstu tiesu vai iestāžu lēmumi — nav pamats nosūtīšanai
Papildus datu nosūtīšanas pamatojuma noteikšanai VDAR V nodaļā tiek arī skaidrots (48. pantā), ka ES nepiederošu tiesu rīkojumu vai administratīvo iestāžu lēmumi paši par sevi nekalpo par šādu pamatu, ja vien šie rīkojumu un lēmumi nav atzīti vai padarīti piemērojami, pamatojoties uz starptautisku nolīgumu (piemēram, nolīgumu par savstarpēju juridisko palīdzību). Ja ES dalībnieks, kuram tas pieprasīts, atklāj datus ārvalstu tiesai vai iestādei, reaģējot uz šādu rīkojumu vai lēmumu, šāda atklāšana tiek uzskatīta par datu starptautisku nosūtīšanu, kam jāpamatojas uz vienu no norādītajiem nosūtīšanas instrumentiem.
VDAR nav bloķējošs tiesību akts, un noteiktos apstākļos ir iespējams atļaut nosūtīšanu, atbildot uz atbilstošu tiesībaizsardzības pieprasījumu no trešās valsts. Svarīgi ir tas, ka ES tiesību aktiem būtu jānosaka, vai attiecīgais gadījums tāds ir un kādas garantijas jāsniedz, lai šāda nosūtīšana varētu notikt.
Komisija ir skaidrojusi VDAR 48. panta darbību, tostarp iespējamo sabiedrības interešu atkāpi, ārvalstu tiesībaizsardzības iestādes sniegšanas rīkojuma (ordera) kontekstā krimināllietās ASV Augstākajā tiesā Microsoft lietā. Savā iesniegumā Komisija uzsvēra ES interesi nodrošināt, ka sadarbība tiesībaizsardzības jomā notiek “atbilstoši tiesiskajam regulējumam, kas ļauj izvairīties no tiesību kolīzijas, un pamatojas uz [...] cieņu pret otras puses nozīmīgajām interesēm gan privātuma, gan tiesībaizsardzības jomā”. Jo īpaši, “raugoties no publisko starptautisko tiesību skatu punkta, kad publiska iestāde pieprasa uzņēmumam, kurš reģistrēts attiecīgajā jurisdikcijā, sniegt elektroniskus datus, kas tiek glabāti serverī citas valsts jurisdikcijā, ir piemērojami publisko starptautisko tiesību teritorialitātes un savstarpējās tiesību atzīšanas principi”.
Tas ir arī atspoguļots Komisijas priekšlikumā par regulu par Eiropas elektronisko pierādījumu sniegšanas un saglabāšanas rīkojumiem elektronisko pierādījumu gūšanai krimināllietās, kur ir īpaša “savstarpējo tiesību atzīšanas klauzula”, kas ļauj iebilst pret sniegšanas rīkojumu, ja tā izpilde pārkāptu tās trešās valsts tiesību aktus, kur šāda atklāšana aizliegta, jo īpaši tāpēc, ka ir jāaizsargā attiecīgo personu pamattiesības.
|
Savstarpējās tiesību atzīšanas nodrošināšana ir svarīga, jo tiesībaizsardzība noziedzības un jo īpaši kibernoziedzības gadījumā aizvien biežāk ietver pārrobežu aspektus, tādējādi bieži radot jautājumus par jurisdikciju un iespējamas tiesību kolīzijas. Nav pārsteigums, ka labākais veids šādu problēmu risināšanai ir starptautiski nolīgumi, kas paredz nepieciešamos ierobežojumus un garantijas pārrobežu piekļuvei personas datiem, tostarp nodrošinot augstu datu aizsardzības līmeni pieprasītājā iestādē.
Komisija, rīkojoties ES vārdā, ir iesaistījusies daudzpusējās sarunās par otro papildu protokolu Eiropas Padomes (Budapeštas) Konvencijai par kibernoziegumiem, kura mērķis ir uzlabot esošos noteikumus, lai saņemtu pārrobežu piekļuvi elektroniskiem pierādījumiem kriminālizmeklēšanas laikā, protokolā vienlaikus nodrošinot atbilstošas datu aizsardzības garantijas. Līdzīgi divpusējas sarunas ir arī uzsāktas par vienošanos starp ES un Amerikas Savienotajām Valstīm par pārrobežu piekļuvi elektroniskiem pierādījumiem tiesu iestāžu sadarbībai krimināllietās. Šo sarunu laikā Komisija paļaujas uz Eiropas Parlamenta un Padomes atbalstu, kā arī EDAK norādījumiem.
Raugoties plašāk, ir svarīgi nodrošināt, ka tad, kad uzņēmumi, kas aktīvi darbojas Eiropas tirgū, tiek aicināti kopīgot datus tiesībaizsardzības nolūkos, pamatojoties uz leģitīmu pieprasījumu, šie uzņēmumu to varētu darīt, nepārkāpjot tiesību aktus un pilnībā ievērojot ES pamattiesības. Lai uzlabotu šādu nosūtīšanu, Komisija kopā ar tās starptautiskajiem partneriem ir apņēmusies izstrādāt atbilstošu tiesisko regulējumu, lai izvairītos no tiesību kolīzijas un atbalstītu efektīvas sadarbības formas, jo īpaši paredzot vajadzīgās datu aizsardzības garantijas un tādējādi dodot ieguldījumu efektīvā cīņā pret noziedzību.
7.3Starptautiskā sadarbība datu aizsardzības jomā
Konverģences sekmēšana starp dažādām privātuma sistēmām arī nozīmē mācīšanos vienam no otra, apmainoties ar zināšanām, pieredzi un paraugpraksi. Šāda apmaiņa ir ļoti svarīga, lai risinātu jaunas problēmas, kuras kļūst aizvien globālākas gan rakstura, gan mēroga ziņā, Tieši tāpēc Komisija ir aktivizējusi sarunas par datu aizsardzību un datu apriti ar daudziem un dažādiem dalībniekiem, kā arī dažādos formātos divpusējā, reģionālā un daudzpusējā līmenī.
Divpusējā dimensija
Pēc VDAR pieņemšanas ir aizvien lielāka interese par ES pieredzi, izstrādājot, apspriežot un īstenojot mūsdienīgus privātuma noteikumus. Dialogs ar valstīm, kurās notiek līdzīgi procesi, ir norisinājies dažādos veidos.
Komisijas dienesti ir snieguši savu viedokli vairāku sabiedriskās apspriešanās procesu laikā, ko organizējušas ārvalstu valdības, apsverot tiesību aktus privātuma jomā, piemēram, ASV, Indijā, Malaizijā un Etiopijā. Dažās trešās valstīs Komisijas dienestiem ir tikusi dota privilēģija sniegt informāciju kompetentām parlamentārām struktūrām, piemēram, Brazīlijā, Čīlē, Ekvadorā un Tunisijā.
Turklāt pašreizējo datu aizsardzības tiesību aktu reformu kontekstā ir notikušas īpaši šim jautājumam veltītas sanāksmes ar valdības pārstāvjiem vai parlamentārajām delegācijām no daudziem pasaules reģioniem (piemēram, Gruzijas, Kenijas, Taivānas, Taizemes un Marokas). Tas ietvēra semināru un izpētes vizīšu organizēšanu, piemēram, ar Indonēzijas valdības pārstāvjiem un ASV Kongresa darbinieku delegāciju. Tas arī deva iespēju skaidrot svarīgus VDAR jēdzienus, uzlabot savstarpējo izpratni par privātuma jautājumiem un parādīt konverģences ieguvumus, lai nodrošinātu personu tiesību augsta līmeņa aizsardzību, tirdzniecību un sadarbību. Dažos gadījumos tas arī ļāva brīdināt par dažiem nepareizi izprastiem datu aizsardzības aspektiem, kas var izraisīt protekcionisma pasākumu ieviešanu, piemēram, prasību par datu piespiedu teritoriālās ierobežošanas piemērošanu.
Kopš VDAR pieņemšanas Komisija ir arī iesaistījusies sadarbībā ar vairākām starptautiskām organizācijām, tostarp datu apmaiņas ar šīm organizācijas nozīmes kontekstā vairākās politikas jomās. Šajā ziņā ir uzsāktas konkrētas sarunas ar Apvienoto Nāciju Organizāciju, lai sekmētu pārrunas ar visām iesaistītajām ieinteresētajām personām nolūkā nodrošināt datu netraucētu nosūtīšanu un veidotu dziļāku konverģenci starp attiecīgajām datu aizsardzības sistēmām. Šā dialoga ietvaros Komisija cieši sadarbosies ar EDAK, lai precizētu, kā ES publiskās organizācijas un privātie ekonomikas dalībnieki var ievērot savus VDAR paredzētos pienākumus, apmainoties ar datiem ar tādām starptautiskām organizācijām kā ANO.
Komisija ir gatava turpināt dalīties ar informāciju, ko tā uzzinājusi reformu procesā, ar ieinteresētajām valstīm un starptautiskajām organizācijām, līdzīgi kā tā mācījās no citām sistēmām, kad izstrādāja savus priekšlikumu par jauniem ES datu aizsardzības noteikumiem. Šāda veida dialogs nāk par labu ES un tās partneriem, jo tas ļauj gūt labāku izpratni par ātri mainīgo situāciju privātuma jomā un apmainīties ar viedokļiem par jaunajiem juridiskiem un tehnoloģiskajiem risinājumiem.
Šajā garā Komisija veido Datu aizsardzības akadēmiju, lai sekmētu Eiropas un trešo valstu regulatoru mijiedarbību un šādi uzlabotu sadarbību “uz vietas”.
Turklāt attiecībā uz ciešākas sadarbības un savstarpējās palīdzības formām ir jāizstrādā atbilstoši juridiskie instrumenti, tostarp atļaujot vajadzīgo informācijas apmaiņu izmeklēšanas kontekstā. Tāpēc Komisija izmantos pilnvaras, ko šajā jomā paredz VDAR 50. pants, lūdzot atļauju uzsākt sarunas, lai noslēgtu līgumus par sadarbību izpildes panākšanas jomā ar attiecīgajām trešām valstīm. Šajā kontekstā arī jāņem vērā kolēģijas viedoklis par to, kādas valstis jāuzskata par prioritārām, ņemot vērā datu nosūtīšanas apjomus, privātuma aizsardzības struktūru lomu un pilnvaras šajās valstīs un vajadzību pēc sadarbības izpildes panākšanas jomā, lai strādātu ar lietām, kas ir svarīgas abām pusēm.
|
Multilaterālā dimensija
Papildus divpusējai sadarbībai Komisija arī aktīvi piedalās vairāku daudzpusēju forumu darbā, lai popularizētu kopīgās vērtības un veidotu konverģenci reģionālā un globālā līmenī.
Aizvien lielākais Eiropas Padomes Konvencijas par personu aizsardzību attiecībā uz personas datu automātisko apstrādi, kas ir vienīgais saistošais multilaterālais instruments personas datu aizsardzības jomā, parakstītāju skaits no visas pasaules ir skaidra zīme, ka notiek konverģence virzībā uz stingrākiem noteikumiem. Konvencija, kuru drīkst parakstīt arī valstis, kas nav Eiropas Padomē, jau ir ratificēta 55 valstīs, tostarp vairākās Āfrikas un Latīņamerikas valstīs. Komisija ir devusi ievērojamu ieguldījumu, lai sarunas par konvencijas modernizāciju būtu sekmīgas, un nodrošinājusi, ka tā atspoguļo tos pašus principus, kas iekļauti ES datu aizsardzības noteikumos. Vairums ES dalībvalstu, izņemot Dāniju, Maltu un Rumāniju, ir parakstījušas grozījumu protokolu. Tikai četras dalībvalstis (Bulgārija, Horvātija, Lietuva un Polija) ir ratificējušas grozījumu protokolu. Komisija aicina trīs atlikušās dalībvalstis parakstīt modernizēto konvenciju, kā arī visas dalībvalstis ātri uzsākt ratifikācijas procesu, lai šī konvencija tuvākajā nākotnē varētu stāties spēkā. Papildus iepriekš minētajam Komisija arī turpinās aktīvi sekmēt trešo valstu pievienošanos konvencijai.
Pēdējā laikā G20 un G7 valstis arī ir apspriedušas datu aprites un aizsardzības jautājumus. Pasaules līderi 2019. gadā pirmo reizi atbalstīja domu, ka datu aizsardzība dod ieguldījumu uzticības veidošanā digitālajai ekonomikai un sekmē datu apriti. Ar aktīvu Komisijas atbalstu
līderi atbalstīja “datu brīvas aprites ar uzticību” jēdzienu, ko sākotnēji Osakas G20 deklarācijā
, kā arī G7 samitā Biaricā piedāvāja Japāna
. Šī pieeja ir arī atspoguļota Komisijas 2020. gada paziņojumā “Eiropas Datu stratēģija”, kur tiek izcelts tās nolūks turpināt sekmēt datu kopīgu lietošanu ar uzticamiem partneriem, vienlaikus cīnoties pret tādiem ļaunprātīgas izmantošanas gadījumiem kā (ārvalstu) publisko iestāžu nesamērīga piekļuve datiem.
Tādējādi ES arī spēs izmantot vairākus rīkus dažādās politikas jomās, kur aizvien vairāk tiek ņemta vērā privātuma ietekme — piemēram, pirmais ES regulējums ārvalstu tiešo ieguldījumu Savienībā izvērtēšanai, kas būs pilnībā piemērojams no 2020. gada oktobra, dod ES un tās dalībvalstīm iespēju izvērtēt ieguldījumu darījumus, kam ir ietekme uz “piekļuvi sensitīvai informācijai, tostarp personas datiem, vai spēju kontrolēt šādu informāciju”, ja tie ietekmē drošību vai sabiedrisko kārtību.
Vairākos citos daudzpusējos forumos Komisija sadarbojas ar līdzīgi domājošām valstīm, lai aktīvi popularizētu tās vērtības un standartus. Viens svarīgs forums ir ESAO nesen izveidotā Datu pārvaldības un privātuma darba grupa (DGP), kura īsteno vairākas svarīgas iniciatīvas, kuras saistītas ar datu aizsardzību, datu kopīgu lietošanu un datu nosūtīšanu. Tas iever 2013. gada ESAO privātuma pamatnostādņu novērtēšanu. Turklāt Komisija ir aktīvi sniegusi ieguldījumu ESAO Padomes ieteikumos par mākslīgo intelektu un nodrošinājusi, ka ES uz cilvēku vērstā pieeja (proti, ka mākslīgā intelekta programmām ir jāatbilst pamattiesībām un jo īpaši datu aizsardzības prasībām) ir atspoguļota to galējā versijā. Svarīgi, ka ieteikumi par mākslīgo intelektu, kas vēlāk tika iekļauti G20 mākslīgā intelekta principos, kuri tika pievienoti G20 valstu vadītāju Osakas Deklarācijai kā tās pielikums, iekļauj pārredzamības un paskaidrojamības principus, lai “dotu iespēju tiem, ko nelabvēlīgi ietekmējusi mākslīgā intelekta sistēma, apstrīdēt tās darbības rezultātu, pamatojoties uz vienkāršu un viegli saprotamu informāciju par faktoriem un loģiku, kas kalpoja par pamatu prognozei, ieteikumam vai lēmumam”, tādējādi skaidri atspoguļojot VDAR principus attiecībā uz automatizētu lēmumu pieņemšanu.
Komisija arī aktīvāk iesaistās dialogā ar reģionālām organizācijām un tīkliem, kam ir aizvien lielāka loma kopējo datu aizsardzības standartu noteikšanā, sekmējot paraugprakses piemēru apmaiņu un veicinot sadarbību starp izpildes panākšanas struktūrām. Tas jo īpaši attiecas uz Dienvidaustrumāzijas valstu asociāciju (ASEAN), tostarp notiekošā darba ar datu nosūtīšanas rīkiem kontekstā, Āfrikas Savienību, Āzijas un Klusā okeāna Privātuma iestāžu (APPA) forumu un Ibērijas pussalas un Latīņamerikas valstu datu aizsardzības tīklu — visas šīs organizācijas ir aizsākušas svarīgas iniciatīvas šajā jomā un nodrošina vietu auglīgām sarunām starp privātuma regulatoriem un citām ieinteresētajām personām.
Āfrika ir labs piemērs papildināmībai starp privātuma valsts, reģionālo un globālo dimensiju. Digitālās tehnoloģijas ātri un pamatīgi pārveido Āfrikas kontinentu. Tas var paātrināt ilgtspējīgas attīstības mērķu sasniegšanu, sekmējot ekonomisko izaugsmi, mazinot nabadzību un uzlabojot cilvēku dzīvi. Šīs pārveides galvenais elements ir moderns datu aizsardzības satvars, kas piesaista ieguldījumus un sekmē konkurētspējīgas uzņēmējdarbības attīstību, vienlaikus dodot ieguldījumu cilvēktiesību, demokrātijas un tiesiskums ievērošanā. Datu aizsardzības noteikumu harmonizācija visā Āfrikā ļautu notikt digitālā tirgus integrācijai, savukārt konverģence ar globālajiem standartiem sekmētu datu apmaiņu ar ES. Šīs dažādās datu aizsardzības dimensijas ir savstarpēji saistītas un savstarpēji pastiprinošas.
Daudzās Āfrikas valstīs palielinās interese par datu aizsardzību — to valstu skaits, kas ir pieņēmušas vai gatavojas pieņemt mūsdienīgus datu aizsardzības noteikumus, ir ratificējušas Konvenciju par personu aizsardzību attiecībā uz personas datu automātisko apstrādi vai Malabo konvenciju, turpina pieaugt. Vienlaikus tiesiskais regulējums Āfrikas kontinentā nebūt nav vienmērīgs un ir ļoti sadrumstalots. Daudzas valstis joprojām piedāvā vien dažas vai nevienu datu aizsardzības garantiju. Joprojām ir plaši izplatīti pasākumi, kas ierobežo datu apriti un kavē reģionālās digitālās ekonomikas attīstību.
Lai gūtu kopēju labumu no saskaņotiem datu aizsardzības noteikumiem, Komisija sadarbosies ar tās Āfrikas partneriem divpusējā un reģionālā formātā. Šāda sadarbība pamatojas uz ES un ĀS Digitālās ekonomikas darba grupas darbu Āfrikas un Eiropas Jaunās digitālās ekonomikas partnerības kontekstā. Sekmējot šādu mērķi izpildi, ir arī paplašināts Komisijas partnerības instruments “Labāka datu aizsardzība un datu aprite", lai iekļautu Āfriku. Šis projekts tiks mobilizēts, lai atbalstītu Āfrikas valstis, kas plānot izstrādāt mūsdienīgu datu aizsardzības satvaru vai kas vēlas uzlabot regulatīvo iestāžu spējas, izmantojot apmācību, zināšanu kopīgu izmantošanu un paraugprakses piemēru apmaiņu.
|
Visbeidzot, sekmējot datu aizsardzības standartu konverģenci starptautiskā līmenī kā veidu datu aprites un tādējādi arī tirdzniecības veicināšanai, Komisija ir arī apņēmusies cīnīties ar digitālo protekcionismu, kā nesen tika norādīts Datu stratēģijā. Šā mērķa sasniegšanai Komisija ir izstrādājusi konkrētus noteikumus par datu plūsmām un datu aizsardzību tirdzniecības nolīgumos, ko tā sistemātiski iesniedz divpusējās (pēdējā laikā ar Austrāliju, Jaunzēlandi un AK) un daudzpusējās sarunās, piemēram, pašreizējās PTO e-komercijas sarunās. Šie horizontālie noteikumi izslēdz nepamatotus ierobežojumus, piemēram, prasību par datu piespiedu teritoriālās ierobežošanas piemērošanu, vienlaikus saglabājot pušu regulatīvo autonomiju aizsargāt pamattiesības uz datu aizsardzību.
Lai gan sarunām par datu aizsardzību un tirdzniecību jānotiek atsevišķi, tās var papildināt viena otru. Faktiski uz augstiem standartiem balstīta konverģence, ko papildina efektīva izpildes panākšana, nodrošina visstiprāko pamatu personas datu apmaiņai; šo faktu aizvien vairāk atzīst mūsu starptautiskie partneri. Tā kā uzņēmumi arvien vairāk darbojas pāri robežām un vēlas piemērot līdzīgus noteikumus savai darījumdarbībai visā pasaulē, šāda konverģence palīdz veidot tiešajiem ieguldījumiem labvēlīgu vidi, tā atvieglojot tirdzniecību un uzlabojot uzticēšanos darījumu partneru starpā. Tāpēc sinerģijas starp tirdzniecības un datu aizsardzības instrumentiem ir vēl vairāk jāpēta, lai nodrošinātu datu drošu un brīvu starptautisko apriti, kas ir būtiski darījumdarbībai, konkurencei un Eiropas uzņēmumu, tostarp MVU, izaugsmei mūsu aizvien digitalizētākajā ekonomikā.
|
I pielikums. Neobligātās konkretizēšanas klauzulas valstu tiesību aktos
Darbības veids
|
Darbības joma
|
VDAR panti
|
Konkrētāki noteikumi attiecībā uz juridiskiem pienākumiem un publiskiem uzdevumiem
|
Nosacījumu piemērošanas pielāgošana attiecībā uz apstrādi, lai panāktu atbilstību juridiskam pienākumam vai publiskam uzdevumam, tostarp attiecībā uz IX nodaļā paredzētām īpašām apstrādes situācijām
|
6. panta 2. punkts un 6. panta 3. punkts
|
Vecuma ierobežojums piekrišanas došanai saistībā ar informācijas sabiedrības pakalpojumiem
|
Minimālā vecuma noteikšana robežās no 13 līdz 16 gadiem
|
8. panta 1. punkts
|
Īpašu kategoriju datu apstrāde
|
Papildu nosacījumu, tostarp ierobežojumu, saglabāšana vai ieviešana attiecībā uz ģenētisko datu, biometrisko datu vai veselības datu apstrādi
|
9. panta 4. punkts
|
Atkāpe no informācijas prasībām
|
Iegūšana vai izpaušana, kas skaidri paredzēta tiesību aktos, vai attiecībā uz dienesta noslēpuma glabāšanas pienākumu, ko reglamentē ar tiesību aktiem
|
14. panta 5. punkta c) un d) apakšpunkts
|
Automatizēta individuālu lēmumu pieņemšana
|
Atļauja veikt automatizētu lēmumu pieņemšanu atkāpē no vispārējā aizlieguma
|
22. panta 2. punkta b) apakšpunkts
|
Datu subjektu tiesību ierobežojumi
|
Ierobežojumi, kas paredzēti 12.-22. pantā, 34. pantā un attiecīgajos 5. panta nosacījumos — pēc vajadzības un samērīgi, lai aizsargātu izsmeļoši uzskaitītus svarīgus mērķus
|
23. panta 1. punkts
|
Prasība par apspriešanos un atļaujas saņemšanu
|
Prasība pārziņiem apspriesties vai saņemt atļauju no datu aizsardzības iestādes, lai veiktu apstrādi tāda uzdevuma vajadzībām, kas ir sabiedrības interesēs
|
36. panta 5. punkts
|
Datu aizsardzības speciālista iecelšana papildu gadījumos
|
Datu aizsardzības speciālista iecelšana gadījumos, kas nav minēti 37. panta 1. punktā
|
37. panta 4. punkts
|
Nosūtīšanas ierobežojumi
|
Noteiktu kategoriju personas datu nosūtīšanas ierobežojumi
|
49. panta 5. punkts
|
Organizāciju sūdzības un tiesvedība bez pilnvarojuma
|
Atļauja privātuma aizsardzības organizācijām iesniegt sūdzību vai uzsākt tiesvedību neatkarīgi no datu subjektu pilnvarojuma
|
80. panta 2. punkts
|
Piekļuve oficiāliem dokumentiem
|
Tiesību piekļūt oficiāliem dokumentiem saskaņošana ar tiesībām uz personas datu aizsardzību
|
86. pants
|
Valsts identifikācijas numura apstrāde
|
Īpaši nosacījumi valsts identifikācijas numura apstrādei
|
87. pants
|
Apstrāde saistībā ar nodarbinātību
|
Konkrētāki noteikumi darbinieku personas datu apstrādei
|
88. pants
|
Atkāpes, kas attiecas uz apstrādi arhivēšanas nolūkos sabiedrības interesēs, pētniecības vai statistikas nolūkos
|
Atkāpes no norādītajām datu subjektu tiesībām, ciktāl šādas tiesības var neļaut vai būtiski traucēt sasniegt konkrētos nolūkus
|
89. panta 2. un 3. punkts
|
Datu aizsardzības saskaņošana ar pienākumiem ievērot slepenību
|
Īpaši noteikumi par datu aizsardzības iestāžu izmeklēšanas pilnvarām attiecībā uz pārziņiem vai apstrādātājiem, kam ir pienākums ievērot slepenību
|
90. pants
|
II pielikums. Datu aizsardzības iestāžu resursu pārskats
Tabulā tālāk tekstā ir sniegts datu aizsardzības iestāžu resursu (personāla un budžeta) pārskats sadalījumā pa ES/EEZ dalībvalstīm.
Salīdzinot dalībvalstu rādītājus, ir svarīgi atcerēties, ka iestādēm var būt uzticēti uzdevumi, kas nav saistīti vien ar VDAR, un ka šie uzdevumi dažādās dalībvalstīs var atšķirties. Iestādēs nodarbināto personu skaits uz vienu miljonu iedzīvotāju un to budžeta attiecība pret vienu miljonu eiro no IKP ir iekļauti, tikai lai sniegtu papildu salīdzināšanas iespējas starp līdzīga izmēra dalībvalstīm, un nav jāskata izolēti no citiem datiem. Novērtējot attiecīgās iestādes resursus, ir jāņem vērā gan absolūtie skaitļi, gan koeficienti, gan izmaiņas pēdējo gadu laikā.
|
Personāls (pilnslodzes ekvivalenti)
|
BUDŽETS (EUR)
|
ES/ EEZ dalībvalstis
|
2019. gads
|
Prognoze 2020. gads
|
% pieaugums
2016.–2019. gads
|
% pieaugums 2016.–2020. gads (prognoze)
|
Personāls uz miljonu iedzīvotāju (2019. gads)
|
2019. gads
|
Prognoze 2020. gads
|
% pieaugums 2016.–2019. gads
|
% pieaugums
2016.–
2020. gads (prognoze)
|
budžets uz miljonu eiro no IKP (2019. gads)
|
Austrija
|
34
|
34
|
48 %
|
48 %
|
3,8
|
2 282 000
|
2 282 000
|
29 %
|
29 %
|
5,7
|
Beļģija
|
59
|
65
|
9 %
|
20 %
|
5,2
|
8 197 400
|
8 962 200
|
1 %
|
10 %
|
17,3
|
Bulgārija
|
60
|
60
|
-14 %
|
-14 %
|
8,6
|
1 446 956
|
1 446 956
|
24 %
|
24 %
|
23,8
|
Horvātija
|
39
|
60
|
39 %
|
114 %
|
9,6
|
1 157 300
|
1 405 000
|
57 %
|
91 %
|
21,5
|
Kipra
|
24
|
22
|
Neattiecas
|
Neattiecas
|
27,4
|
503 855
|
Neattiecas
|
114 %
|
Neattiecas
|
23,0
|
Čehijas Republika
|
101
|
109
|
0 %
|
8 %
|
9,5
|
6 541 288
|
6 720 533
|
10 %
|
13 %
|
29,7
|
Dānija
|
66
|
63
|
106 %
|
97 %
|
11,4
|
5 610 128
|
5 623 114
|
101 %
|
101 %
|
18,0
|
Igaunija
|
16
|
18
|
-11 %
|
0 %
|
12,1
|
750 331
|
750 331
|
7 %
|
7 %
|
26,8
|
Somija
|
45
|
55
|
114 %
|
162 %
|
8,2
|
3 500 000
|
4 500 000
|
94 %
|
150 %
|
14,6
|
Francija
|
215
|
225
|
9 %
|
14 %
|
3,2
|
18 506 734
|
20 143 889
|
-2 %
|
7 %
|
7,7
|
Vācija
|
888
|
1002
|
52 %
|
72 %
|
10,7
|
76 599 800
|
85 837 500
|
48 %
|
66 %
|
22,3
|
Grieķija
|
33
|
46
|
-15 %
|
18 %
|
3,1
|
2 849 000
|
3 101 000
|
38 %
|
50 %
|
15,2
|
Ungārija
|
104
|
117
|
42 %
|
60 %
|
10,6
|
3 505 152
|
4 437 576
|
102 %
|
155 %
|
24,4
|
Islande
|
17
|
17
|
143 %
|
143 %
|
47,6
|
2 272 490
|
2 294 104
|
167 %
|
170 %
|
105,2
|
Īrija
|
140
|
176
|
169 %
|
238 %
|
28,5
|
15 200 000
|
16 900 000
|
223 %
|
260 %
|
43,8
|
Itālija
|
170
|
170
|
40 %
|
40 %
|
2,8
|
29 127 273
|
30 127 273
|
46 %
|
51 %
|
16,3
|
Latvija
|
19
|
31
|
-10 %
|
48 %
|
9,9
|
640 998
|
1 218 978
|
4 %
|
98 %
|
21,0
|
Lietuva
|
46
|
52
|
-8 %
|
4 %
|
16,5
|
1 482 000
|
1 581 000
|
40 %
|
49 %
|
30,6
|
Luksemburga
|
43
|
48
|
126 %
|
153 %
|
70,0
|
5 442 416
|
6 691 563
|
165 %
|
226 %
|
85,7
|
Malta
|
13
|
15
|
30 %
|
50 %
|
26,3
|
480 000
|
550 000
|
41 %
|
62 %
|
36,3
|
Nīderlande
|
179
|
188
|
145 %
|
158 %
|
10,4
|
18 600 000
|
18 600 000
|
130 %
|
130 %
|
22,9
|
Norvēģija
|
49
|
58
|
2 %
|
21 %
|
9,2
|
5 708 950
|
6 580 660
|
27 %
|
46 %
|
15,9
|
Polija
|
238
|
260
|
54 %
|
68 %
|
6,3
|
7 506 345
|
9 413 381
|
66 %
|
108 %
|
14,2
|
Portugāle
|
25
|
27
|
-4 %
|
4 %
|
2,4
|
2 152 000
|
2 385 000
|
67 %
|
86 %
|
10,1
|
Rumānija
|
39
|
47
|
-3 %
|
18 %
|
2,0
|
1 103 388
|
1 304 813
|
3 %
|
22 %
|
4,9
|
Slovākija
|
49
|
51
|
20 %
|
24 %
|
9,0
|
1 731 419
|
1 859 514
|
47 %
|
58 %
|
18,4
|
Slovēnija
|
47
|
49
|
42 %
|
48 %
|
22,6
|
2 242 236
|
2 266 485
|
68 %
|
70 %
|
46,7
|
Spānija
|
170
|
220
|
13 %
|
47 %
|
3,6
|
15 187 680
|
16 500 000
|
8 %
|
17 %
|
12,2
|
Zviedrija
|
87
|
87
|
81 %
|
81 %
|
8,5
|
8 800 000
|
10 300 000
|
96 %
|
129 %
|
18,5
|
KOPĀ
|
2966
|
3372
|
42 %
|
62 %
|
6,6
|
249 127 139
|
273 782 870
|
49 %
|
64 %
|
17,4
|
Neapstrādāto datu avots: kolēģija, Komisijas aprēķini.