• Atvērt paplašināto meklēšanu
  • Aizvērt paplašināto meklēšanu
Pievienot parametrus
Dokumenta numurs
Pievienot parametrus
publicēts
pieņemts
stājies spēkā
Pievienot parametrus
Aizvērt paplašināto meklēšanu
RĪKI

Publikācijas atsauce

ATSAUCĒ IETVERT:
Datu valsts inspekcijas 2021. gada 25. janvāra lēmums Nr. 3-2.2/2-DVI "Par atbilstoši Fizisko personu datu aizsardzības likuma 28. pantam sniegto piekrišanu personas datu nodošanai, reģistrējot personas datu apstrādes, atsaukšanu". Publicēts oficiālajā izdevumā "Latvijas Vēstnesis", 28.01.2021., Nr. 19 https://www.vestnesis.lv/op/2021/19.7

Paraksts pārbaudīts

NĀKAMAIS

Finanšu un kapitāla tirgus komisijas lēmums Nr. 12

Par pretcikliskās kapitāla rezerves normas riska darījumiem, kuri noslēgti ar Latvijas Republikas rezidentiem, noteikšanu

Vēl šajā numurā

28.01.2021., Nr. 19

PAR DOKUMENTU

Izdevējs: Datu valsts inspekcija

Veids: lēmums

Numurs: 3-2.2/2-DVI

Pieņemts: 25.01.2021.

OP numurs: 2021/19.7

2021/19.7
RĪKI

Datu valsts inspekcijas lēmumi: Šajā laidienā 1 Pēdējās nedēļas laikā 0 Visi

Datu valsts inspekcijas lēmums Nr. 3-2.2/2-DVI

Rīgā 2021. gada 25. janvārī

Par atbilstoši Fizisko personu datu aizsardzības likuma 28. pantam sniegto piekrišanu personas datu nodošanai, reģistrējot personas datu apstrādes, atsaukšanu

Ievērojot Fizisko personu datu aizsardzības likuma (zaudējis spēku 2018. gada 5. jūlijā) 21. panta 1. punktā noteikto pienākumu pirms datu nodošanas valstij, kas nav Eiropas Savienības vai Eiropas Ekonomikas zonas dalībvalsts, šādu apstrādi reģistrēt Datu valsts inspekcijā (turpmāk – Inspekcija), vai norīkot fizisko personu — datu aizsardzības speciālistu, kā arī Fizisko personu datu aizsardzības likuma 28. pantā noteiktos pienākumus, Inspekcija reģistrēja pieteiktās apstrādes, lēmumā norādot, ka īstenotie pasākumi nodrošina atbilstību Fizisko personu datu aizsardzības likuma 28. pantam.

Saskaņā ar Administratīvā procesa likuma 65. panta trešo daļu, ja piemērojamā tiesību normā noteikts, ka administratīvais akts izdodams, bet nav noteikts tā konkrētais saturs (satura izvēles administratīvais akts), iestāde izdod šo aktu, ievērojot piemērojamā tiesību normā noteiktos ietvarus, un šajos ietvaros, pamatodamās uz lietderības apsvērumiem, nosaka administratīvā akta saturu.

Līdz ar to Inspekcija ņem vērā, ka līdz ar Eiropas Parlamenta un Padomes Regulas (ES) 2016/679 par fizisko personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti un ar ko atceļ Direktīvu 95/46/EK (Vispārīgā datu aizsardzības regula) (turpmāk – Regula) tiešas piemērošanas uzsākšanu 2018. gada 25. maijā pienākuma pirms apstrādes veikšanas to reģistrēt Inspekcijā vairs nav. Inspekcija ņem vērā, ka attiecībā uz atbilstības nodrošināšanu nododot personas datus valstij, kas nav Eiropas Savienības vai Eiropas Ekonomikas zonas dalībvalsts, ir mainījies piemērojamais normatīvais regulējums. Līdz ar Regulas tiešas piemērošanas uzsākšanu personas datu nosūtīšanai jāatbilst Regulas V nodaļā (Personas datu nosūtīšana uz trešām valstīm vai starptautiskām organizācijām) norādītajiem nosacījumiem. Atbilstoši Regulas V nodaļā noradītajam personas dati var tikt nodoti uz trešajām valstīm šādos gadījumos: valsts vai starptautiskā organizācija nodrošina pietiekamu aizsardzības līmeni un Eiropas Komisija pieņēma adekvātuma lēmumu (45. pants); pārzinis vai apstrādātājs ir sniedzis atbilstošas garantijas, un ar nosacījumu, ka datu subjektiem ir pieejamas īstenojamas datu subjekta tiesības un efektīvi tiesiskās aizsardzības līdzekļi (46. pants) vai ir apstiprināti saistošie uzņēmuma noteikumi (47. pants). Tāpat īpašās situācijās atbilstību var nodrošināt izmantojot Regulas 49. pantā norādītās atkāpes.

Tāpat Inspekcija ņem vērā Eiropas Savienības tiesas 2020. gada 16. jūlija spriedumā lietā C-311/18 Data Protection Commissioner pret Facebook Ireland Ltd, Maximilian Schrems, piedaloties: The United States of America, Electronic Privacy Information Centre, BSA Business Software Alliance Inc., Digitaleurope, paustās atziņas, kas liek informācijas nosūtītājiem atbilstoši informācijas nosūtīšanas apstākļiem ieviest līdzšinēji izmantotajiem mehānismiem papildus pasākumus personas datu aizsardzības atbilstības nodrošināšanai.

Ņemot vērā reģistrācijas pienākuma atcelšanu un to, ka pašlaik, izmantojot lielāko daļu personas datu nodošanas atbilstību garantējošo mehānismu, ir nepieciešams ieviest papildus pasākumus personas datu aizsardzības garantēšanai, ievērojot to, ka Privātuma vairogs, uz kuru kā rīku, kas nodrošina atbilstošas personas datu aizsardzības garantijas, paļāvās datu nosūtītāji uz ASV, ir zaudējis spēku, kā arī to, ka, izmantojot rīkus, kuri nenodrošina pietiekošu personas datu aizsardzības līmeni, tiek radīts apdraudējums to fizisko personu datu aizsardzībai, kuru dati tiek nosūtīti, Inspekcija secina, ka apstākļi, kuriem pastāvot tika izdoti personas datu apstrādes reģistrācijas lēmumi un norādes par īstenoto apstrāžu, nododot personas datus valstij, kas nav Eiropas Savienības vai Eiropas Ekonomikas zonas dalībvalsts, atbilstību Fizisko personu datu aizsardzības likuma 28. pantam, ir mainījušies.

Saskaņā ar Fizisko personu datu aizsardzības likuma 21. panta 1. punktā noteikto pārzinim personas datu apstrāde bija jāreģistrē ne tikai, ja pārzinis paredzēja personas datus nodot valstij, kas nav Eiropas Savienības vai Eiropas Ekonomikas zonas dalībvalsts, bet arī citos gadījumos.

Saskaņā ar Fizisko personu datu aizsardzības likuma 28. panta pirmo daļu personas datus varēja nodot citai valstij, kas nav Eiropas Savienības vai Eiropas Ekonomikas zonas dalībvalsts, vai starptautiskai organizācijai, tikai gadījumā, ja šī valsts vai starptautiskā organizācija nodrošināja tādu datu aizsardzības pakāpi, kas atbilst attiecīgajai datu aizsardzības pakāpei Latvijā. Atbilstoši minētā panta trešajai daļai personas datu aizsardzības pakāpes novērtējumu saskaņā ar šā panta pirmo daļu veica Inspekcija un izsniedz rakstveida piekrišanu personas datu nodošanai (turpmāk – Inspekcijas piekrišana).

Inspekcija konstatē, ka Inspekcijas rakstveida piekrišana tika ietverta lēmumā par personas datu apstrādes reģistrāciju un izsniegtās Inspekcijas piekrišanas netika uzskaitītas atsevišķi. Papildus konstatējams, ka tehnisku iemeslu dēļ Inspekcijas lēmumi par personas datu apstrādes reģistrāciju (starp kuriem bija arī lēmumi ar ietvertu Inspekcijas piekrišanu) tika uzskaitīti vienkopus. Ievērojot minēto, šobrīd tehniskiem līdzekļiem nav iespējams identificēt un noteikt tos personas datu apstrādes pārziņus, kuri reģistrēja personas datu apstrādi, ja pārzinis paredzēja personas datus nodot valstij, kas nav Eiropas Savienības vai Eiropas Ekonomikas zonas dalībvalsts, un saņēma Inspekcijas piekrišanu. Savukārt manuāla lēmumu, kuros ietvertas Inspekcijas piekrišanas, identificēšana pieprasītu nesamērīgus iestādes resursus. Bez tam iespējams pārziņi kopš personas datu apstrādes reģistrācijas ir mainījuši savu darbības sfēru, pārtraukuši personas datu nodošanu vai arī izbeiguši darbību, līdz ar ko būtiski ir noteikt tikai tos pārziņus, kas vēl arvien personas datus nodot valstij, kas nav Eiropas Savienības vai Eiropas Ekonomikas zonas dalībvalsts, pamatojoties uz Inspekcijas piekrišanu, jo tikai šādi pārziņi ir Inspekcijas lēmuma adresāti.

Ievērojot minēto, Inspekcija secina, ka iepriekš pieņemto lēmumu atcelšana, izdodot vispārīgo administratīvo aktu, ir efektīvākais un lietderīgākais risinājums, jo sasniegtu tiesisku (leģitīmu) mērķi, nodrošinot efektīvākus un skaidrākus personas datu aizsardzības nosacījumus, nododot personas datus uz trešajām valstīm. Personas datu apstrādes pārziņu tiesību aizskārums, salīdzinot ar sabiedrības ieguvumu, ir nenozīmīgs, jo iepriekš izklāstītie apsvērumi liedz personas datu apstrādes pārziņiem, nododot personas datus, balstīties uz atceļamajiem lēmumiem, un uzskatīt, ka ar šiem lēmumiem pamatotā personas datu apstrāde, ir uzskatāma par atbilstošu. Atceļamo lēmumu adresāti atrodas salīdzināmos apstākļos un, lemjot par iepriekš pieņemto lēmumu atcelšanu, tiktu ievērots vienlīdzības princips, kā arī šāda rīcība ļautu efektīvā veidā izmantot Inspekcijas resursus.

Līdz ar to Inspekcija, pamatojoties uz Fizisko personu datu apstrādes likuma 4. panta pirmo daļu, Regulas 57. panta 1. punkta "v" apakšpunktu un Administratīvā procesa likuma 65. panta trešo daļu, 85. panta otrās daļas 4. punktu,

nolēma:

atcelt Inspekcijas atbilstoši Fizisko personu datu aizsardzības likuma 28. panta trešajai daļai izsniegtās piekrišanas personas datu nodošanai.

Šis lēmums saskaņā ar Administratīvā procesa likuma 1. panta trešo daļu uzskatāms par vispārīgo administratīvo aktu. Saskaņā ar Administratīvā procesa likuma 70. panta pirmo daļu un Paziņošanas likuma 11. panta pirmās daļas 1. punktu, otro un piekto daļu šis lēmums stājas spēkā nākamajā dienā pēc tā publicēšanas oficiālajā izdevumā "Latvijas Vēstnesis".

Saskaņā ar Fizisko personu datu apstrādes 24. panta otro daļu, Administratīvā procesa likuma 76. panta pirmo un otro daļu, 79. panta pirmo daļu, 188. panta otro daļu un 189. panta pirmo daļu un Tieslietu padomes 2018. gada 5. marta lēmumu Nr. 307 "Par tiesām, to darbības teritorijām un atrašanās vietām" šo lēmumu var pārsūdzēt viena mēneša laikā no tā spēkā stāšanās dienas Administratīvās rajona tiesas attiecīgajā tiesu namā pēc pieteicēja adreses [fiziskā persona – pēc deklarētās dzīvesvietas adreses, papildu adreses (Dzīvesvietas deklarēšanas likuma izpratnē) vai nekustamā īpašuma atrašanās vietas, juridiskā persona – pēc juridiskās adreses].

Datu valsts inspekcijas direktore J. Macuka

Izdruka no oficiālā izdevuma "Latvijas Vēstnesis" (www.vestnesis.lv)

ATSAUKSMĒM

ATSAUKSMĒM

Lūdzu ievadiet atsauksmes tekstu!