KOMISIJAS PAZIŅOJUMS EIROPAS PARLAMENTAM, PADOMEI, EIROPAS EKONOMIKAS UN SOCIĀLO LIETU KOMITEJAI UN REĢIONU KOMITEJAI Privātuma nodrošināšana saistītā pasaulē Eiropas datu aizsardzības regulējums 21. gadsimtam /* COM/2012/09 final */
KOMISIJAS PAZIŅOJUMS EIROPAS
PARLAMENTAM, PADOMEI, EIROPAS EKONOMIKAS UN SOCIĀLO LIETU KOMITEJAI UN
REĢIONU KOMITEJAI Privātuma nodrošināšana
saistītā pasaulē
Eiropas datu aizsardzības regulējums 21. gadsimtam (Dokuments attiecas uz EEZ)
1.
Aktuālās datu aizsardzības
problēmas
Straujās tehnoloģiskās
pārmaiņas un globalizācija ir būtiski pārveidojušas
veidu, kādā aizvien lielāks personas datu apjoms tiek
vākts, izmantots un nosūtīts. Jauni informācijas apmaiņas
veidi, izmantojot sociālos tīklus, un liela datu apjoma
uzglabāšana attālināti ir kļuvuši par daudzu no Eiropas
250 miljonu interneta lietotāju dzīves daļu. Vienlaikus
personas dati ir kļuvuši par daudzu uzņēmumu aktīvu.
Potenciālo klientu datu vākšana, apkopošana un analizēšana bieži
ir būtiska to saimnieciskās darbības daļa[1]. Šajā jaunajā digitālajā
vidē personām ir tiesības efektīvi kontrolēt savu
personisko informāciju. Tiesības uz datu aizsardzību
Eiropā ir pamattiesības, kas noteiktas Eiropas Savienības
Pamattiesību hartas 8. pantā, kā arī Līguma par
Eiropas Savienības darbību (LESD) 16. panta 1. punktā,
un tās ir nepieciešams atbilstoši aizsargāt. Uzticēšanās trūkuma dēļ
pircēji vilcinās iepirkties tiešsaistē un saņemt jaunus
pakalpojumus. Tādēļ augsts personas datu aizsardzības
līmenis ir būtisks arī, lai palielinātu uzticēšanos
tiešsaistes pakalpojumiem un īstenotu digitālās ekonomikas
potenciālu, tādējādi veicinot ES ekonomikas
izaugsmi un konkurētspēju. Visā ES ir nepieciešami mūsdienīgi,
saskaņoti noteikumi datu apritei starp dalībvalstīm.
Uzņēmumiem ir nepieciešami vienoti noteikumi, kas nodrošina tiesisko
noteiktību un līdz minimumam samazina administratīvo slogu. Tas
ir būtiski vienotā tirgus darbībai un ekonomikas izaugsmes
stimulēšanai, jaunu darbavietu radīšanai un inovāciju
veicināšanai[2].
ES datu aizsardzības noteikumu modernizācija, ar ko nostiprina to
iekšējā tirgus dimensiju, personām nodrošina augstu datu
aizsardzības līmeni un veicina tiesisko noteiktību,
skaidrību un konsekvenci, tādējādi tai ir centrāla
loma Eiropas Komisijas Stokholmas rīcības plānā[3], Eiropas digitalizācijas
programmā[4]
un plašākā nozīmē – ES izaugsmes stratēģijā
"Eiropa 2020"[5]. ES 1995. gada direktīva[6] – galvenais
leģislatīvais instruments personas datu aizsardzībai Eiropā
– bija būtisks pavērsiens datu aizsardzības vēsturē.
Tās mērķi – nodrošināt funkcionējošu vienoto tirgu un
personu pamattiesību un pamatbrīvību efektīvu
aizsardzību – vēl joprojām ir aktuāli. Tomēr tā tika
pieņemta pirms 17 gadiem, kad internets vēl bija savas
attīstības sākumstadijā. Mūsdienu jaunajā,
izaicinājumiem pilnajā digitālajā vidē pastāvošie
noteikumi nesniedz ne vajadzīgo saskaņotības pakāpi, ne
vajadzīgo efektivitāti, lai nodrošinātu tiesības uz
personas datu aizsardzību. Tādēļ Eiropas Komisija ierosina
veikt fundamentālu Eiropas datu aizsardzības regulējuma reformu. Turklāt ar Lisabonas līgumu ir
radīts jauns tiesisks pamats (LESD 16. pants) mūsdienīgai
un visaptverošai pieejai datu aizsardzībai un personas datu brīvai
apritei, iekļaujot arī policijas un tiesu iestāžu sadarbību
krimināllietās[7].
Šī pieeja ir atspoguļota Eiropas Komisijas paziņojumos par
Stokholmas programmu un Stokholmas rīcības plānu[8], kuros uzsvērta
nepieciešamība Savienībai "[izveidot] visaptveroš[u] personas
datu aizsardzības režīm[u], kas attiektos uz visām ES kompetences
jomām." un "[nodrošināt], lai tiktu konsekventi
piemērotas pamattiesības uz datu aizsardzību." Lai sagatavotu ES datu aizsardzības
regulējuma reformu pārredzamā veidā, Komisija kopš
2009. gada ir uzsākusi sabiedriskas apspriešanas par datu aizsardzību[9] un iesaistījusies
intensīvā dialogā ar ieinteresētajām personām[10]. Komisija 2010. gada
4. novembrī publicēja paziņojumu par vispusīgu pieeju
personas datu aizsardzībai Eiropas Savienībā[11], kurā tika
izklāstīti reformas galvenie punkti. No 2011. gada septembra
līdz decembrim Komisija iesaistījās padziļinātā
dialogā ar Eiropas valsts datu aizsardzības iestādēm un
Eiropas Datu aizsardzības uzraudzītāju, lai izpētītu
iespējas konsekventākai ES datu aizsardzības noteikumu
piemērošanai visās ES dalībvalstīs[12]. Šajās diskusijās tika noskaidrots, ka
gan pilsoņi, gan uzņēmēji vēlas, lai Eiropas Komisija
reformētu ES datu aizsardzības noteikumus visaptverošā
veidā. Pēc dažādu politikas risinājumu ietekmes
novērtēšanas[13]
Eiropas Komisija ierosina stingru un konsekventu tiesisko regulējumu,
kas aptver dažādus Savienības politikas virzienus, palielina personas
tiesības, datu aizsardzības vienotā tirgus dimensiju un samazina
birokrātiskās procedūras uzņēmējiem[14]. Komisija ierosina, ka
jaunajam regulējumam vajadzētu sastāvēt no: –
regulas (ar kuru
aizstāj Direktīvu 95/46/EK), ar ko nosaka vispārīgo ES
datu aizsardzības regulējumu[15]; –
un direktīvas (ar ko aizstāj
Pamatlēmumu 2008/977/TI[16]),
ar kuru paredz noteikumus par personas datu aizsardzību, kas
apstrādāti, lai novērstu, atklātu, izmeklētu
noziedzīgus nodarījumus vai sauktu pie atbildības par tiem un
veiktu saistītas juridiskas darbības. Šajā paziņojumā ir
izklāstīti galvenie ES datu aizsardzības regulējuma
reformas elementi.
2.
Kontroles piešķiršana personām pār
to personas datiem
Pamatojoties uz Direktīvu 95/46/EK – kas
pašlaik ir galvenais ES leģislatīvais akts datu aizsardzības
jomā – veidi, kādos personas var izmantot savas tiesības uz datu
aizsardzību, starp dalībvalstīm nav pietiekami saskaņoti.
Tāpat to dalībvalstu iestāžu pilnvaras, kuras ir atbildīgas
par datu aizsardzību, nav pietiekami saskaņotas, lai nodrošinātu
noteikumu konsekventu un efektīvu piemērošanu. Tas nozīmē,
ka dažās dalībvalstīs šīs tiesības ir grūtāk
izmantot nekā citās, jo īpaši tiešsaistē. Šīs grūtības rodas arī
lielā datu apjoma dēļ, kas ik dienu tiek savākts, kā
arī tādēļ, ka lietotājiem bieži nav zināms, ka
viņu dati tiek vākti. Lai gan daudzi eiropieši uzskata, ka personas
datu izpaušana arvien vairāk kļūst par mūsdienu dzīves
sastāvdaļu[17],
72 % interneta lietotāju Eiropā vēl joprojām
uztraucas, ka tiem tiešsaistē tiek pieprasīts pārlieku daudz
personas datu[18].
Viņiem šķiet, ka viņi nespēj kontrolēt savus datus.
Viņi nav pienācīgi informēti par to, kas notiek ar
viņu personisko informāciju, kam un kādos nolūkos tā
tiek nodota. Bieži vien viņiem nav zināms, kādā veidā
izmantot savas tiesības tiešsaistē. "Tiesības
tikt aizmirstam" Students Eiropā, kurš ir tiešsaistes
sociālā tīkla dalībnieks, izlemj pieprasīt
piekļuvi visiem personas datiem, ko šis tīkls glabā par
viņu. To darot, viņš atklāj, ka tīkls vāc daudz
vairāk datu nekā viņš domāja un daži personas dati, kurus
viņš uzskatīja par dzēstiem, vēl joprojām tiek
glabāti. ES datu aizsardzības noteikumu reforma
nodrošinās, ka tas vairs nenotiks, ieviešot: - skaidri noteiktu prasību, kas uzliek
pienākumu tiešsaistes sociālajiem tīkliem (un citiem personas
datu pārziņiem) līdz minimumam samazināt lietotāju
personas datu apjomu, ko tie vāc un apstrādā; - prasību, lai standartiestatījumi
nodrošinātu, ka dati netiek publiskoti; - skaidri noteiktu pienākumu datu
pārziņiem dzēst kādas personas datus, ja šī persona
skaidri pieprasa dzēšanu un ja nepastāv likumīgi iemesli
saglabāt šos datus.
Šajā konkrētajā gadījumā tas uzliktu pienākumu
sociālā tīkla pakalpojuma sniedzējam dzēst studenta
datus nekavējoties un pilnībā. Kā uzsvērts Eiropas digitalizācijas
programmā, bažas par privātās dzīves aizsardzību ir
viens no visbiežāk sastopamajiem iemesliem, kādēļ
cilvēki neiegādājas preces un pakalpojumus tiešsaistē.
Ņemot vērā informācijas un komunikācijas
tehnoloģiju (IKT) nozares ieguldījumu kopējā
produktivitātes izaugsmē Eiropā – 20 % tieši no IKT nozares
un 30 % no IKT ieguldījumiem[19]
– uzticēšanās šādiem pakalpojumiem ir būtiska, lai
stimulētu ES ekonomikas izaugsmi un konkurētspēju. Paziņojumi par
personas datu aizsardzības pārkāpumiem Hakeri uzbruka spēļu pakalpojumam,
kuru izmanto lietotāji ES. Pārkāpums ietekmēja datu
bāzes, kas satur desmitiem miljonu lietotāju personas datus visā
pasaulē (tai skaitā vārdus, adreses un, iespējams,
kredītkaršu datus). Uzņēmums nogaidīja nedēļu,
pirms tas par uzbrukumu paziņoja skartajiem lietotājiem. ES datu aizsardzības noteikumu reforma
nodrošinās, ka tas vairs nevarēs notikt. Jaunie noteikumi uzliks
pienākumu uzņēmumiem: - stiprināt savus drošības
pasākumus, lai novērstu un izvairītos no pārkāpumiem; - paziņot par personas datu
aizsardzības pārkāpumiem gan valsts datu aizsardzības
iestādei – ja iespējams, 24 stundu laikā pēc
pārkāpuma atklāšanas –, gan attiecīgajām personām
bez nepamatotas kavēšanās. Jauno Komisijas ierosināto
leģislatīvo aktu mērķis ir stiprināt tiesības,
sniegt cilvēkiem efektīvus un iedarbīgus līdzekļus,
kas nodrošinātu, ka tie ir pilnībā informēti par to, kas
notiek ar viņu personas datiem, un ļautu tiem efektīvāk
izmantot savas tiesības. Lai stiprinātu personu tiesības uz datu
aizsardzību, Komisija ierosina jaunus noteikumus, kuri: uzlabos personas spēju kontrolēt
savus datus: - nodrošinot, ka gadījumos, kad ir
nepieciešama personas piekrišana, tā tiek sniegta
nepārprotami, proti, tā balstās vai nu uz izteikumu, vai
attiecīgās personas skaidru apstiprinošu rīcību, un
tā tiek sniega brīvi; - piešķirot interneta lietotājiem tiesības
tikt aizmirstiem tiešsaistes vidē: tiesības, lai to dati
tiktu dzēsti, ja tie atsauc savu piekrišanu un ja nav citu likumīgu
iemeslu datu saglabāšanai; - nodrošinot vienkāršu piekļuvi
saviem personas datiem un tiesības uz datu pārnesamību:
tiesības iegūt saglabāto datu kopiju no datu pārziņa
un brīvība bez šķēršļiem pārvietot tos no viena
pakalpojumu sniedzēja pie cita; - nostiprinot tiesības
uz informāciju, lai personas pilnībā saprastu, kā
notiek rīcība ar to personas datiem, jo īpaši, kad datu
apstrāde attiecas uz bērniem;
uzlabos personu iespējas izmantot savas tiesības: - stiprinot valsts datu aizsardzības
iestāžu neatkarību un pilnvaras, lai tām būtu
pienācīgi līdzekļi sūdzību efektīvai
apstrādāšanai, pilnvaras veikt efektīvu izmeklēšanu,
pieņemt saistošus lēmumus un piemērot efektīvas un
atturošas sankcijas; - uzlabojot administratīvos un
tiesiskās aizsardzības līdzekļus, ja datu
aizsardzības tiesības ir pārkāptas. Jo īpaši
attiecīgi kvalificētas asociācijas varēs iesniegt
prasības tiesā personas vārdā; nostiprinās datu drošību: - atbalstot privātuma
aizsardzību veicinošu tehnoloģiju izmantošanu (tehnoloģijas,
kas aizsargā informācijas privātumu, līdz minimumam
samazinot personas datu uzglabāšanu), privātumam
labvēlīgus standartiestatījumus un privātuma
sertifikācijas shēmas; - ieviešot vispārēju
pienākumu[20]
datu pārziņiem bez nepamatotas kavēšanās paziņot
par datu aizsardzības pārkāpumiem gan datu aizsardzības
iestādēm (kas, ja iespējams, būtu jāveic
24 stundu laikā), gan skartajām personām; uzlabos datu apstrādātāju
pārskatatbildību, jo īpaši: - uzliekot
pienākumu iecelt datu aizsardzības inspektoru
uzņēmumos, kuros strādā vairāk nekā
250 darbinieku, un uzņēmumos, kas ir iesaistīti
apstrādes darbībās, kuras pēc to būtības, jomas
vai mērķa rada īpašus riskus personu tiesībām un
brīvībām ("riskanta apstrāde"); - ieviešot "integrētas datu
aizsardzības" principu, lai nodrošinātu, ka datu
aizsardzības pasākumi tiek ņemti vērā sistēmu un
procedūru plānošanas posmā; - ieviešot pienākumu
organizācijām, kas iesaistītas riskantā apstrādē,
veikt datu aizsardzības ietekmes novērtējumus.
3.
digitālajam vienotajam tirgum piemēroti
datu aizsardzības noteikumi
Par spīti pašreizējās
direktīvas mērķim nodrošināt vienādu datu
aizsardzības līmeni visā ES, vēl joprojām starp
dalībvalstu noteikumiem pastāv būtiskas atšķirības. Rezultātā
datu pārziņiem var nākties saskarties ar 27 dažādiem
valstu tiesību aktiem un prasībām. Iznākums ir sadrumstalota
tiesiskā vide, kura ir radījusi tiesisko nenoteiktību
un personu nevienlīdzīgu aizsardzību. Tas ir izraisījis nevajadzīgas
izmaksas un administratīvo slogu uzņēmumiem un
bremzējis uzņēmumus, kas darbojas vienotajā tirgū un
vēlas paplašināt savu darbību pāri robežām. Par datu aizsardzību atbildīgo valsts
iestāžu resursi un pilnvaras dalībvalstīs ir ļoti
atšķirīgas[21].
Dažos gadījumos tās nav spējīgas apmierinoši veikt savas
aizsardzības funkcijas. Sadarbība starp šīm iestādēm
Eiropas līmenī, izmantojot pastāvošo konsultatīvo grupu
(tā saukto 29. panta darba grupu)[22],
ne vienmēr nodrošina konsekventu aizsardzību un to arī ir
nepieciešams uzlabot. Konsekventa datu aizsardzības noteikumu
piemērošana visā Eiropā Daudznacionāls uzņēmums ar
vairākām atrašanās vietām ES izmanto tiešsaistes
kartēšanas sistēmu visā Eiropā, ar kuru tiek vākti
privātu un publisku ēku attēli un ar kuru var tikt uzņemti
arī cilvēku attēli uz ielas. Vienā dalībvalstī
tādu personu attēlu iekļaušana, kuru sejas nav aizklātas un
kurām nav zināms, ka tās tiek fotografētas, tika
uzskatīta par nelikumīgu, kamēr citās dalībvalstīs
šāda rīcība netika uzskatīta par datu aizsardzības
noteikumu pārkāpumu. Rezultātā nebija konsekventas valsts
datu aizsardzības iestāžu reakcijas, lai labotu šo situāciju. ES datu aizsardzības noteikumu reforma
nodrošinās, ka nākotnē tas nevarēs notikt, jo: - datu aizsardzības prasības un
aizsardzības pasākumi tiks noteikti ES regulā, kas ir tieši
piemērojama visā Savienībā; - tikai datu aizsardzības iestāde
vietā, kur atrodas uzņēmuma galvenā atrašanās vieta,
lems par to, vai uzņēmums darbojas saskaņā ar tiesību
aktiem; - ātra un efektīva koordinācija
starp valsts datu aizsardzības iestādēm, ja pakalpojums ir
vērsts uz personām dažādās dalībvalstīs,
palīdzēs nodrošināt, ka jaunie ES datu aizsardzības
noteikumi visās dalībvalstīs tiks konsekventi piemēroti un
izpildīti.
Jānostiprina valstu iestādes un to
sadarbība, lai nodrošinātu konsekventu izpildi un
galarezultātā – noteikumu vienotu piemērošanu visā ES. Stingrs, skaidrs un vienots regulējums ES
līmenī palīdzēs atraisīt digitālā
vienotā tirgus potenciālu un veicināt ekonomikas izaugsmi,
inovācijas un darbavietu izveidi. Ar regulu tiks novērsta tiesisko
regulējumu sadrumstalotība 27 dalībvalstīs un
novērsti šķēršļi ienākšanai tirgū – tas ir
faktors, kas ir īpaši būtisks mikrouzņēmumiem, kā arī
maziem un vidējiem uzņēmumiem. Jaunie noteikumi sniegs priekšrocības ES
uzņēmumiem globālajā konkurencē. Saskaņā ar
reformēto tiesisko regulējumu tiem būs iespējams
garantēt klientiem, ka vērtīga informācija par personu tiks
apstrādāta ar nepieciešamo uzmanību un rūpību.
Uzticēšanās saskaņotam ES regulējumam būs būtiska
priekšrocība pakalpojumu sniedzējiem un stimuls investoriem, kas
meklē optimālus nosacījumus, lemjot par pakalpojumu sniegšanas
vietu. Lai uzlabotu datu aizsardzības vienotā
tirgus dimensiju, Komisija ierosina: - noteikt datu aizsardzības noteikumus
ES līmenī ar regulu, kas tieši piemērojama visās
dalībvalstīs[23],
kura izbeigs dažādu valstu datu aizsardzības tiesību aktu
kumulatīvu un vienlaicīgu piemērošanu. Tas tikai attiecībā
uz administratīvo slogu vien uzņēmumiem gadā radīs
neto ietaupījumus aptuveni 2,3 miljardu eiro apmērā; - vienkāršot regulatīvo vidi,
drastiski samazinot birokrātiju un atceļot formalitātes,
piemēram, vispārējās paziņošanas prasības (kas
gadā radīs ietaupījumus 130 miljonu euro apmērā
tikai attiecībā uz administratīvo slogu vien). Ņemot
vērā to svarīgumu Eiropas ekonomikas konkurētspējai,
īpaša uzmanība ir pievērsta mikrouzņēmumu, kā
arī mazo un vidējo uzņēmumu specifiskajām
vajadzībām; - nostiprināt valsts datu
aizsardzības iestāžu (DAI) neatkarību un pilnvaras, lai
ļautu tām veikt izmeklēšanu, pieņemt saistošus lēmumus
un piemērot efektīvas un atturošas sankcijas, un uzlikt
dalībvalstīm pienākumu nodrošināt tām pietiekamus
resursus šo uzdevumu veikšanai; - izveidot "vienas pieturas
aģentūras" sistēmu datu aizsardzībai ES: personas
datu pārziņiem ES būs jāsadarbojas tikai ar vienu valsts
datu aizsardzības iestādi, proti, tās dalībvalsts datu
aizsardzības iestādi, kurā atrodas uzņēmuma
galvenā atrašanās vieta; - radīt apstākļus ātrai
un efektīvai sadarbībai starp valsts datu aizsardzības
iestādēm, tai skaitā noteikt pienākumu vienai valsts
datu aizsardzības iestādei veikt izmeklēšanu un pārbaudes
pēc citas valsts datu aizsardzības iestādes pieprasījuma un
noteikt pienākumu savstarpēji atzīt lēmumus; - izveidot konsekvences mehānismu ES
līmenī, lai nodrošinātu, ka valsts datu aizsardzības
iestāžu lēmumos, kam ir plašāka Eiropas ietekme, tiktu
ņemts vērā citu skarto valsts datu aizsardzības
iestāžu viedoklis un ka tie ir pilnībā atbilstoši ES tiesību
aktiem; - pārveidot 29. panta darba grupu
par neatkarīgu Eiropas Datu aizsardzības kolēģiju,
lai uzlabotu tās devumu konsekventai datu aizsardzības tiesību
piemērošanai un nodrošinātu stingru pamatu sadarbībai starp datu
aizsardzības iestādēm, ieskaitot Eiropas Datu aizsardzības
uzraudzītāju, un uzlabotu sinerģiju un efektivitāti,
paredzot, ka Eiropas Datu aizsardzības kolēģijas
sekretariātu nodrošina Eiropas Datu aizsardzības
uzraudzītājs. Jaunā ES regula nodrošinās
pamattiesību uz datu aizsardzību stingru ievērošanu visā
Eiropas Savienībā un uzlabos vienotā tirgus darbību.
Vienlaikus – ņemot vērā, ka atbilstoši Eiropas Savienības
Tiesas lemtajam[24]
tiesības uz personas datu aizsardzību nav absolūtas
tiesības, bet tās ir jāskata saistībā ar šo
tiesību funkciju sabiedrībā[25]
un tām ir jābūt līdzsvarā ar citām
pamattiesībām, ievērojot proporcionalitātes principu[26] – ar regulu paredzēs
skaidrus noteikumus, kuri nodrošinās citu pamattiesību,
piemēram, vārda un informācijas brīvības, tiesību
uz aizstāvību, kā arī dienesta noslēpuma
(piemēram, juridiskajām profesijām), ievērošanu, neskarot
baznīcu statusu dalībvalstu tiesību aktos.
4.
Datu izmantošana policijas un tiesu iestāžu
sadarbībā krimināllietās
Lisabonas līguma stāšanās
spēkā un jo īpaši jauna tiesiskā pamata ieviešana
(LESD 16. pants), ļauj izveidot visaptverošu datu
aizsardzības regulējumu, kas nodrošina personas datu augsta līmeņa
aizsardzību, vienlaikus ievērojot policijas un tiesu iestāžu
sadarbības krimināllietās īpašo raksturu. Tas jo īpaši
ļauj pārskatīto ES datu aizsardzības regulējumu
attiecināt gan uz pārrobežu, gan valsts līmeņa personas
datu apstrādi. Tas samazinās atšķirības starp tiesību
aktiem dalībvalstīs, kas palīdzēs personas datu aizsardzībai
kopumā. Tā rezultātā varētu notikt arī
raitāka informācijas apmaiņa starp dalībvalstu policijas un
tiesu iestādēm, tādējādi uzlabojot sadarbību
smagas noziedzības apkarošanā Eiropā. Uz datu apstrādi, ko
krimināllietās veic policija un tiesu iestādes, pašlaik
principā attiecas Pamatlēmums 2008/977/TI, kas tika
pieņemts pirms Lisabonas līguma stāšanās spēkā.
Tā kā tas ir pamatlēmums, Komisijai nav pilnvaru izpildīt
tā noteikumus, un tādējādi tā izpildē pastāv
atšķirības. Turklāt pamatlēmuma darbības joma attiecas
tikai uz pārrobežu apstrādes darbībām[27]. Tas nozīmē, ka
tādai personas datu apstrādei, ar kuriem neapmainās, nav
piemērojami ES noteikumi, kas regulē šādu apstrādi un
nodrošina pamattiesības uz datu aizsardzību. Dažos gadījumos tas
rada arī praktiskas grūtības policijai un citām
iestādēm, kurām var nebūt skaidrs, vai datu apstrāde
notiek tikai valsts līmenī, vai pārrobežu līmenī; vai
paredzēt, ka "valsts līmeņa dati" vēlāk
varētu kļūt par pārrobežu apmaiņas objektu[28]. ES jaunā reformētā datu
aizsardzības regulējuma mērķis ir nodrošināt
konsekventu un augsta līmeņa datu aizsardzību, lai uzlabotu
savstarpējo uzticēšanos starp policijas un tiesu iestādēm
dažādās dalībvalstīs, tādējādi turpmāk
veicinot datu brīvu apriti un efektīvu sadarbību starp policijas
un tiesu iestādēm. Lai nodrošinātu personas datu augsta
līmeņa aizsardzību policijas un tiesu iestāžu
sadarbībā krimināllietās un veicinātu personas datu
apmaiņu starp dalībvalstu policijas un tiesu iestādēm,
Komisija datu aizsardzības reformu paketes ietvaros ierosina
direktīvu, ar kuru: - policijas un
tiesu iestāžu sadarbībai krimināllietās tiks piemēroti
vispārīgie datu aizsardzības principi un noteikumi,
vienlaikus ievērojot šo jomu īpatnības;[29] - tiks paredzēti harmonizēti
minimuma kritēriji un nosacījumi attiecībā uz
vispārīgo noteikumu iespējamajiem ierobežojumiem.
Tas jo īpaši attiecas uz personu tiesībām tikt
informētām, kad policija un tiesu iestādes piekļūst to
datiem vai rīkojas ar tiem. Šādi ierobežojumi ir nepieciešami
noziedzīgu nodarījumu efektīvai novēršanai,
izmeklēšanai, atklāšanai vai saukšanai pie atbildības par tiem; - tiks paredzēti īpaši
noteikumi, kuros tiks ņemts vērā tiesībaizsardzības
pasākumu īpašais raksturs, tai skaitā,
nošķirot starp dažādām datu subjektu kategorijām, kuru
tiesības var būt atšķirīgas (piemēram, liecinieki un
aizdomās turētie).
5.
Datu aizsardzība globalizētā
pasaulē
Jāturpina nodrošināt personas
tiesības gadījumos, kad personas dati tiek nosūtīti no ES
uz trešām valstīm, un visos gadījumos, kad tiek skartas personas
dalībvalstīs un to datus izmanto vai analizē pakalpojumu
sniedzēji trešās valstīs. Tas nozīmē, ka ES
aizsardzības standarti ir jāpiemēro neatkarīgi no
uzņēmuma vai tā datu apstrādes struktūrvienības
ģeogrāfiskās atrašanās vietas. Mūsdienu globalizētajā pasaulē
personas dati tiek nosūtīti, šķērsojot arvien lielāku
skaitu virtuālu un ģeogrāfisku robežu, un uzglabāti
serveros, kas atrodas dažādās valstīs. Daudzi uzņēmumi
piedāvā mākoņdatošanas pakalpojumus, kas ļauj
klientiem piekļūt un saglabāt datus attālinātos
serveros. Šo faktoru dēļ ir nepieciešama pašreizējo
mehānismu uzlabošana datu nosūtīšanai uz trešām
valstīm. Tas ietver lēmumus par aizsardzības līmeņa
pietiekamību, t.i., lēmumus, kas apliecina, ka trešā valstī
ir "pietiekami" datu aizsardzības standarti, un piemēroti
aizsardzības pasākumi, piemēram tipveida līgumu noteikumi
vai saistošie uzņēmuma noteikumi[30],
lai nodrošinātu augstu datu aizsardzības līmeni
starptautiskās apstrādes darbībās un veicinātu datu
plūsmas pāri robežām. Saistošie
uzņēmuma noteikumi Uzņēmumu
grupai regulāri ir nepieciešams nosūtīt personas datus no grupas
dalībniekiem, kuri atrodas ES, dalībniekiem, kuri atrodas trešās
valstīs. Grupa vēlētos ieviest Saistošus uzņēmuma noteikumus
(BCR), lai nodrošinātu atbilstību ES tiesību aktiem, vienlaikus
ierobežojot administratīvās prasības katram
nosūtīšanas gadījumam. Praksē saistošie uzņēmuma
noteikumi nodrošina, ka viens noteikumu kopums ir piemērojams visā
grupā dažādu iekšēju līgumu vietā. Balstoties uz
pašreizējo praksi, par kuru notikusi vienošanās 29. panta darba
grupā, atzinums, ka šī uzņēmuma saistošie noteikumi sniedz
pietiekamas garantijas, nozīmē, ka trīs valsts datu
aizsardzības iestādes ir veikušas rūpīgu
pārskatīšanu (viena "vadošā iestāde" un divas
"pārskatošās iestādes", bet arī citas
iestādes var iesniegt komentārus). Turklāt daudzu
dalībvalstu tiesību akti nosaka, ka nosūtīšanai, uz kuru
attiecas saistošie uzņēmuma noteikumi, ir nepieciešamas arī
citas valsts līmeņa atļaujas, kas padara to pieņemšanas
procesu ļoti apgrūtinošu, dārgu, ilgu un sarežģītu. Pēc datu
aizsardzības reformas: - šis process būs
vienkāršāks; - saistošos
uzņēmuma noteikumus apstiprinās tikai viena valsts datu
aizsardzības iestāde, pastāvot mehānismiem, kā
nodrošināt citu attiecīgo valsts datu aizsardzības iestāžu
iesaistīšanos; - līdzko viena
iestāde būs apstiprinājusi saistošos uzņēmuma
noteikumus, tie būs spēkā visā ES bez vajadzības
saņemt jebkādas papildu atļaujas valsts līmenī. Lai pievērstos globalizācijas
izraisītajām problēmām, ir nepieciešami elastīgi
instrumenti un mehānismi, jo īpaši uzņēmumiem, kas darbojas
visā pasaulē, vienlaikus nodrošinot personas datu aizsardzību,
kurā nav robu. Komisija ierosina šādus pasākumus: - skaidrus noteikumus, kas nosaka, kad ES tiesību akti ir piemērojami personas
datu pārziņiem, kuru atrašanās vieta ir trešās valstīs,
jo īpaši precizējot, ka visos gadījumos, kad preces un
pakalpojumi tiek piedāvāti personām ES, vai, kad to
uzvedība tiek uzraudzīta, ir piemērojami Eiropas noteikumi;
- visus lēmumus par aizsardzības
līmeņa pietiekamību Eiropas Komisija pieņems,
balstoties uz īpaši noteiktiem un skaidriem kritērijiem, tai
skaitā attiecībā uz policijas un tiesu iestāžu
sadarbību krimināllietās; - likumīgas datu plūsmas uz
trešām valstīm tiks atvieglotas, nostiprinot un vienkāršojot noteikumus
par starptautisku nosūtīšanu uz valstīm, par kurām nav
pieņemts lēmums par aizsardzības līmeņa
pietiekamību, jo īpaši, vienkāršojot un paplašinot tādu
instrumentu izmantošanu kā saistošie uzņēmuma noteikumi
tā, lai tos var attiecināt uz personas datu
apstrādātājiem un uzņēmumu grupām,
tādējādi labāk atspoguļojot aizvien lielāko
uzņēmumu skaitu, kuri ir iesaistīti datu apstrādes
darbībās, jo īpaši mākoņdatošanā; - iesaistīšanos dialogā un,
ja nepieciešams, atbilstošas sarunas ar trešām valstīm, jo
īpaši ES stratēģiskajiem partneriem un Eiropas
Kaimiņattiecības politikas valstīm, un attiecīgām
starptautiskām organizācijām (piemēram, Eiropas Padomi,
Ekonomiskās sadarbības un attīstības organizāciju,
Apvienoto Nāciju Organizāciju), lai veicinātu augstus un
savietojamus datu aizsardzības standartus visā pasaulē.
6.
SECINĀJUMI
ES datu aizsardzības reformas
mērķis ir izveidot mūsdienīgu, stingru, konsekventu un
visaptverošu datu aizsardzības regulējumu Eiropas Savienībā.
Personas pamattiesības uz datu aizsardzību tiks
nostiprinātas. Tiks respektētas citas tiesības, piemēram,
tiesības uz vārda un informācijas brīvību, bērna
tiesības, darījumdarbības brīvība, tiesības uz
aizstāvību un dienesta noslēpumu (piemēram,
juridiskajām profesijām), kā arī baznīcas statuss
dalībvalstu tiesību aktos. Reforma pirmkārt sniegs labumu personām,
nostiprinot to tiesības uz datu aizsardzību un uzticēšanos
digitālajai videi. Šī reforma arī būtiski vienkāršos
tiesisko regulējumu gan uzņēmējiem, gan publiskajam
sektoram. Ir gaidāms, ka tas savukārt stimulēs
digitālās ekonomikas attīstību visā ES vienotajā
tirgū un ārpus tā saskaņā ar stratēģijas
"Eiropa 2020" mērķiem un Eiropas digitalizācijas
programmu. Visbeidzot, reforma uzlabos uzticēšanos starp
tiesībaizsardzības iestādēm, lai veicinātu datu
apmaiņu starp tām un sadarbību cīņā ar smagu
noziedzību, vienlaikus nodrošinot augsta līmeņa aizsardzību
personām. Eiropas Komisija cieši sadarbosies ar Eiropas Parlamentu un Padomi, lai
nodrošinātu vienošanos par ES jauno datu aizsardzības regulējumu
līdz 2012. gada beigām. Pieņemšanas procesa laikā un
pēc tā, jo īpaši jauno juridisko instrumentu īstenošanas
procesā, Komisija uzturēs ciešu un pārredzamu dialogu ar
visām ieinteresētajām personām, iesaistot pārstāvjus
no publiskā un privātā sektora. Tajā tiks iesaistīti
pārstāvji no policijas un tiesu iestādēm, elektronisko
sakaru regulatoriem, pilsoniskās sabiedrības organizācijām,
datu aizsardzības iestādēm un akadēmiskajām
aprindām, kā arī no specializētām ES
aģentūrām, piemēram, Eurojust, Eiropas Policijas
biroja, Pamattiesību aģentūras, kā arī Eiropas
Tīklu un informācijas drošības aģentūras. Informācijas tehnoloģiju
pastāvīgas attīstības kontekstā un attīstoties
sabiedriskajai uzvedībai, šādam dialogam ir būtiska nozīme,
lai gūtu labumu no informācijas, kas nepieciešama, lai
nodrošinātu personu datu aizsardzības augstu līmeni, ES
ekonomikas izaugsmi un attīstību, kā arī publiskā
sektora (tai skaitā policijas un tiesu iestāžu) darbības
efektivitāti un zemu administratīvā sloga līmeni. [1] Ļoti lielu datu kopu analīzes tirgus visā
pasaulē aug par 40 % gadā: http://www.mckinsey.com/mgi/publications/big_data/. [2] Skat. arī Eiropadomes 2011. gada
23. oktobra secinājumus, kuros ir uzsvērta vienotā tirgus
"būtiskā nozīme" "izaugsmes un
nodarbinātības nodrošināšanā", kā arī
nepieciešamība pabeigt digitālo vienoto tirgu līdz
2015. gadam. [3] COM(2010) 171 galīgā redakcija. [4] COM(2010) 245 galīgā
redakcija. [5] COM(2010) 2020
galīgā redakcija. [6] Direktīva 95/46/EK par personu
aizsardzību attiecībā uz personas datu apstrādi un
šādu datu brīvu apriti, OV L 281, 23.11.1995.,
31. lpp. [7] Īpašus noteikumus apstrādei, ko veic
dalībvalstis Kopējās ārpolitikas un drošības politikas
jomā, Padome noteiks Padomes lēmumā, kas balstīsies uz LES
39. pantu. [8] Attiecīgi COM(2009)262 un COM(2010)171. [9] Par datu aizsardzības reformu ir uzsāktas
divas sabiedriskas apspriešanas: viena – no 2009. gada jūlija
līdz decembrim (http://ec.europa.eu/justice/news/consulting_public/news_consulting_0003_en.htm),
otra – no 2010. gada novembra līdz 2011. gada janvārim (http://ec.europa.eu/justice/news/consulting_public/news_consulting_0006_en.htm). [10] Mērķorientēta apspriešanās ar
dalībvalstu iestādēm un privātā sektora
ieinteresētajām personām tika rīkota 2010. gadā.
ES tieslietu komisāre Viviāna Redinga 2010. gadā
organizēja apaļā galda diskusiju par datu aizsardzības
reformu. Tāpat 2011. gadā tika rīkoti arī
specializēti darbsemināri un semināri par īpašiem
jautājumiem (piemēram, paziņojumiem par datu aizsardzības
pārkāpumiem). [11] COM(2010)609. [12] Skat. ES tieslietu komisāres Viviānas Redingas
2011. gada 19. septembra vēstuli 29. panta darba grupai,
kas publicēta http://ec.europa.eu/justice/data-protection/article-29/documentation/other-document/index_en.htm. [13] Skat. ietekmes novērtējumu SEC(2012)72. [14] Tas vēlākā posmā iekļaus arī
grozījumus, lai pielāgotu īpašos un nozares instrumentus,
piemēram, Regulu (EK) Nr. 45/2001, OV L 8, 12.1.2001.,
1. lpp. [15] Ar regulu tiek veikti arī daži tehniski
pielāgojumi E-privātuma direktīvā
(Direktīva 2002/58/EK, kurā jaunākie grozījumi
izdarīti ar Direktīvu 2009/136/EK – OV L 337,
18.12.2009., 11. lpp.), lai ņemtu vērā
Direktīvas 95/46/EK pārveidi par regulu.
Materiāltiesiskās sekas, ko jaunā regula un jaunā
direktīva radīs attiecībā uz E-privātuma
direktīvu, drīzumā būs Komisijas pārskata objekts,
kurā tiks ņemtas vērā sarunas ar Eiropas Parlamentu un
Padomi par pašreizējiem priekšlikumiem. [16] 2008. gada 27. novembra
Pamatlēmums 2008/977/TI par tādu personas datu aizsardzību,
ko apstrādā, policijas un tiesu iestādēm sadarbojoties
krimināllietās, OV L 350, 30.12.2008., 60. lpp.
Ziņojums par to, kā dalībvalstis ieviesušas Pamatlēmumu
(COM(2012)12), ir pieņemts kā daļa no datu aizsardzības
reformu paketes [17] Skat. Īpašais Eirobarometrs 359 – Attitudes
on Data Protection and Electronic Identity in the European Union (Attieksme
pret datu aizsardzību un elektronisko identitāti ES), 2011. gada
jūnijs, 23. lpp. [18] Ibidem,
54. lpp. [19] Skat. Eiropas digitalizācijas programmu, cit.
4. lpp. [20] Tas pašlaik ir obligāti tikai telekomunikāciju
nozarē, pamatojoties uz E-privātuma direktīvu. [21] Sīkākai informācijai par šo aspektu
skatīt tiesību aktu priekšlikumiem pievienoto ietekmes
novērtējumu, SEC(2012)72. [22] 29. panta darba grupa tika izveidota
1996. gadā (pamatojoties uz Direktīvas 95/46/EK
29. pantu), tai ir padomdevēja statuss un to veido valstu datu
aizsardzības uzraudzības iestādes (DPA), Eiropas Datu
aizsardzības uzraudzītājs (EDAU) un Komisija. Sīkākai
informācijai par tās darbību skat.: http://ec.europa.eu/justice/policies/privacy/workinggroup/index_en.htm. [23] Tiek ierosināta direktīva, ar kuru paredz
noteikumus policijas un tiesu iestāžu sadarbībai
krimināllietās (skat. 4. punktu), kas šajā
specifiskajā jomā piešķirs vairāk elastības
dalībvalstīm. [24] Eiropas Savienības Tiesas 2010. gada 9. novembra
spriedums apvienotajās lietās C-92/09 un C-93/09 Volker un
Markus Schecke un Eifert (2010., Krājumā vēl nav
publicēts). [25] Saskaņā ar Hartas 52. panta 1. punktu
tiesības uz datu aizsardzību var ierobežot, ja ierobežojumi ir
noteikti tiesību aktos, tajos ir respektēta šo tiesību un
brīvību būtība un, ievērojot proporcionalitātes
principu, ierobežojumi ir nepieciešami un patiešām atbilst
vispārējas nozīmes mērķiem, ko atzinusi Savienība,
vai tie ir vajadzīgi, lai aizsargātu citu personu tiesības un
brīvības. [26] Eiropas Savienības Tiesas 2003. gada
6. novembra spriedums lietā C-101/01 Lindqvist (Recueil
2003., I-33. lpp., 82. – 90. punkts; 2008. gada
16. decembra spriedums lietā C-73/07 Satamedia (Krājums
2008., I-9831. lpp., 50. – 62. punkts). [27] Precīzāk sakot, pamatlēmums ir
piemērojams personas datiem, kas ir pārsūtīti vai
darīti pieejami starp dalībvalstīm vai ar kuriem
apmainījušās dalībvalstis un ES iestādes vai
struktūras (skat. 1. panta 2. punktu). [28] To apstiprināja dažas dalībvalstis, atbildot uz
Komisijas anketu saistībā ar ziņojumu par pamatlēmuma
īstenošanu (COM(2012)12). [29] Cf. 21. deklarācijā par personas
datu aizsardzību tiesu iestāžu sadarbībā
krimināllietās un policijas sadarbībā, kas pievienota
Lisabonas līgumu pieņēmušās starpvaldību konferences
nobeiguma aktam. [30] Saistošie uzņēmuma noteikumi (BCR) ir
profesionālās ētikas kodeksi, kas pamatojas uz Eiropas datu
aizsardzības standartiem, ko apstiprinājusi vismaz viena valsts datu
aizsardzības iestāde un ko organizācijas
brīvprātīgi izstrādā un ievēro, lai
nodrošinātu atbilstīgus aizsardzības pasākumus
dažādiem personas datu nosūtīšanas veidiem starp
uzņēmumiem, kas pieder pie vienas uzņēmumu grupas un ko
saista šie noteikumi. Tie nav skaidri iekļauti
Direktīvas 95/46/EK darbības jomā, bet ir izveidojušies
valsts datu aizsardzības iestāžu savstarpējās prakses
rezultātā ar 29. panta darba grupas atbalstu.