Par atbilstoši Fizisko personu datu aizsardzības likuma 28. pantam sniegto piekrišanu personas datu nodošanai, reģistrējot personas datu apstrādes, at

Datu valsts inspekcijas lēmums Nr. 3-2.2/2-DVI Rīgā

1. gada
2. janvārī Par atbilstoši Fizisko personu datu aizsardzības likuma
3. pantam sniegto piekrišanu personas datu nodošanai, reģistrējot personas datu apstrādes, atsaukšanu Ievērojot Fizisko personu datu aizsardzības likuma (zaudējis spēku
4. gada
5. jūlijā)
6. panta
7. punktā noteikto pienākumu pirms datu nodošanas valstij, kas nav Eiropas Savienības vai Eiropas Ekonomikas zonas dalībvalsts, šādu apstrādi reģistrēt Datu valsts inspekcijā (turpmāk - Inspekcija), vai norīkot fizisko personu - datu aizsardzības speciālistu, kā arī Fizisko personu datu aizsardzības likuma
8. pantā noteiktos pienākumus, Inspekcija reģistrēja pieteiktās apstrādes, lēmumā norādot, ka īstenotie pasākumi nodrošina atbilstību Fizisko personu datu aizsardzības likuma
9. pantam. Saskaņā ar Administratīvā procesa likuma
10. panta trešo daļu, ja piemērojamā tiesību normā noteikts, ka administratīvais akts izdodams, bet nav noteikts tā konkrētais saturs (satura izvēles administratīvais akts), iestāde izdod šo aktu, ievērojot piemērojamā tiesību normā noteiktos ietvarus, un šajos ietvaros, pamatodamās uz lietderības apsvērumiem, nosaka administratīvā akta saturu. Līdz ar to Inspekcija ņem vērā, ka līdz ar Eiropas Parlamenta un Padomes Regulas (ES) 2016/679 par fizisko personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti un ar ko atceļ Direktīvu 95/46/EK (Vispārīgā datu aizsardzības regula) (turpmāk - Regula) tiešas piemērošanas uzsākšanu
11. gada
12. maijā pienākuma pirms apstrādes veikšanas to reģistrēt Inspekcijā vairs nav. Inspekcija ņem vērā, ka attiecībā uz atbilstības nodrošināšanu nododot personas datus valstij, kas nav Eiropas Savienības vai Eiropas Ekonomikas zonas dalībvalsts, ir mainījies piemērojamais normatīvais regulējums. Līdz ar Regulas tiešas piemērošanas uzsākšanu personas datu nosūtīšanai jāatbilst Regulas V nodaļā (Personas datu nosūtīšana uz trešām valstīm vai starptautiskām organizācijām) norādītajiem nosacījumiem. Atbilstoši Regulas V nodaļā noradītajam personas dati var tikt nodoti uz trešajām valstīm šādos gadījumos: valsts vai starptautiskā organizācija nodrošina pietiekamu aizsardzības līmeni un Eiropas Komisija pieņēma adekvātuma lēmumu (
13. pants); pārzinis vai apstrādātājs ir sniedzis atbilstošas garantijas, un ar nosacījumu, ka datu subjektiem ir pieejamas īstenojamas datu subjekta tiesības un efektīvi tiesiskās aizsardzības līdzekļi (
14. pants) vai ir apstiprināti saistošie uzņēmuma noteikumi (
15. pants). Tāpat īpašās situācijās atbilstību var nodrošināt izmantojot Regulas
16. pantā norādītās atkāpes. Tāpat Inspekcija ņem vērā Eiropas Savienības tiesas
17. gada
18. jūlija spriedumā lietā C-311/18 Data Protection Commissioner pret Facebook Ireland Ltd, Maximilian Schrems, piedaloties: The United States of America, Electronic Privacy Information Centre, BSA Business Software Alliance Inc., Digitaleurope, paustās atziņas, kas liek informācijas nosūtītājiem atbilstoši informācijas nosūtīšanas apstākļiem ieviest līdzšinēji izmantotajiem mehānismiem papildus pasākumus personas datu aizsardzības atbilstības nodrošināšanai. Ņemot vērā reģistrācijas pienākuma atcelšanu un to, ka pašlaik, izmantojot lielāko daļu personas datu nodošanas atbilstību garantējošo mehānismu, ir nepieciešams ieviest papildus pasākumus personas datu aizsardzības garantēšanai, ievērojot to, ka Privātuma vairogs, uz kuru kā rīku, kas nodrošina atbilstošas personas datu aizsardzības garantijas, paļāvās datu nosūtītāji uz ASV, ir zaudējis spēku, kā arī to, ka, izmantojot rīkus, kuri nenodrošina pietiekošu personas datu aizsardzības līmeni, tiek radīts apdraudējums to fizisko personu datu aizsardzībai, kuru dati tiek nosūtīti, Inspekcija secina, ka apstākļi, kuriem pastāvot tika izdoti personas datu apstrādes reģistrācijas lēmumi un norādes par īstenoto apstrāžu, nododot personas datus valstij, kas nav Eiropas Savienības vai Eiropas Ekonomikas zonas dalībvalsts, atbilstību Fizisko personu datu aizsardzības likuma
19. pantam, ir mainījušies. Saskaņā ar Fizisko personu datu aizsardzības likuma
20. panta
21. punktā noteikto pārzinim personas datu apstrāde bija jāreģistrē ne tikai, ja pārzinis paredzēja personas datus nodot valstij, kas nav Eiropas Savienības vai Eiropas Ekonomikas zonas dalībvalsts, bet arī citos gadījumos. Saskaņā ar Fizisko personu datu aizsardzības likuma
22. panta pirmo daļu personas datus varēja nodot citai valstij, kas nav Eiropas Savienības vai Eiropas Ekonomikas zonas dalībvalsts, vai starptautiskai organizācijai, tikai gadījumā, ja šī valsts vai starptautiskā organizācija nodrošināja tādu datu aizsardzības pakāpi, kas atbilst attiecīgajai datu aizsardzības pakāpei Latvijā. Atbilstoši minētā panta trešajai daļai personas datu aizsardzības pakāpes novērtējumu saskaņā ar šā panta pirmo daļu veica Inspekcija un izsniedz rakstveida piekrišanu personas datu nodošanai (turpmāk - Inspekcijas piekrišana). Inspekcija konstatē, ka Inspekcijas rakstveida piekrišana tika ietverta lēmumā par personas datu apstrādes reģistrāciju un izsniegtās Inspekcijas piekrišanas netika uzskaitītas atsevišķi. Papildus konstatējams, ka tehnisku iemeslu dēļ Inspekcijas lēmumi par personas datu apstrādes reģistrāciju (starp kuriem bija arī lēmumi ar ietvertu Inspekcijas piekrišanu) tika uzskaitīti vienkopus. Ievērojot minēto, šobrīd tehniskiem līdzekļiem nav iespējams identificēt un noteikt tos personas datu apstrādes pārziņus, kuri reģistrēja personas datu apstrādi, ja pārzinis paredzēja personas datus nodot valstij, kas nav Eiropas Savienības vai Eiropas Ekonomikas zonas dalībvalsts, un saņēma Inspekcijas piekrišanu. Savukārt manuāla lēmumu, kuros ietvertas Inspekcijas piekrišanas, identificēšana pieprasītu nesamērīgus iestādes resursus. Bez tam iespējams pārziņi kopš personas datu apstrādes reģistrācijas ir mainījuši savu darbības sfēru, pārtraukuši personas datu nodošanu vai arī izbeiguši darbību, līdz ar ko būtiski ir noteikt tikai tos pārziņus, kas vēl arvien personas datus nodot valstij, kas nav Eiropas Savienības vai Eiropas Ekonomikas zonas dalībvalsts, pamatojoties uz Inspekcijas piekrišanu, jo tikai šādi pārziņi ir Inspekcijas lēmuma adresāti. Ievērojot minēto, Inspekcija secina, ka iepriekš pieņemto lēmumu atcelšana, izdodot vispārīgo administratīvo aktu, ir efektīvākais un lietderīgākais risinājums, jo sasniegtu tiesisku (leģitīmu) mērķi, nodrošinot efektīvākus un skaidrākus personas datu aizsardzības nosacījumus, nododot personas datus uz trešajām valstīm. Personas datu apstrādes pārziņu tiesību aizskārums, salīdzinot ar sabiedrības ieguvumu, ir nenozīmīgs, jo iepriekš izklāstītie apsvērumi liedz personas datu apstrādes pārziņiem, nododot personas datus, balstīties uz atceļamajiem lēmumiem, un uzskatīt, ka ar šiem lēmumiem pamatotā personas datu apstrāde, ir uzskatāma par atbilstošu. Atceļamo lēmumu adresāti atrodas salīdzināmos apstākļos un, lemjot par iepriekš pieņemto lēmumu atcelšanu, tiktu ievērots vienlīdzības princips, kā arī šāda rīcība ļautu efektīvā veidā izmantot Inspekcijas resursus. Līdz ar to Inspekcija, pamatojoties uz Fizisko personu datu apstrādes likuma
23. panta pirmo daļu, Regulas
24. panta
25. punkta "v" apakšpunktu un Administratīvā procesa likuma
26. panta trešo daļu,
27. panta otrās daļas
28. punktu, nolēma: atcelt Inspekcijas atbilstoši Fizisko personu datu aizsardzības likuma
29. panta trešajai daļai izsniegtās piekrišanas personas datu nodošanai. Šis lēmums saskaņā ar Administratīvā procesa likuma
30. panta trešo daļu uzskatāms par vispārīgo administratīvo aktu. Saskaņā ar Administratīvā procesa likuma
31. panta pirmo daļu un Paziņošanas likuma
32. panta pirmās daļas
33. punktu, otro un piekto daļu šis lēmums stājas spēkā nākamajā dienā pēc tā publicēšanas oficiālajā izdevumā "Latvijas Vēstnesis". Saskaņā ar Fizisko personu datu apstrādes
34. panta otro daļu, Administratīvā procesa likuma
35. panta pirmo un otro daļu,
36. panta pirmo daļu,
37. panta otro daļu un
38. panta pirmo daļu un Tieslietu padomes
39. gada
40. marta lēmumu Nr. 307 "Par tiesām, to darbības teritorijām un atrašanās vietām" šo lēmumu var pārsūdzēt viena mēneša laikā no tā spēkā stāšanās dienas Administratīvās rajona tiesas attiecīgajā tiesu namā pēc pieteicēja adreses [fiziskā persona - pēc deklarētās dzīvesvietas adreses, papildu adreses (Dzīvesvietas deklarēšanas likuma izpratnē) vai nekustamā īpašuma atrašanās vietas, juridiskā persona - pēc juridiskās adreses]. Datu valsts inspekcijas direktore J. Macuka