<TI><P><HT TYPE="BOLD"><HT TYPE="ITALIC">VDAR</HT></HT></P></TI>7Direktīva 95/46 tika atcelta un aizstāta ar Eiropas Parlamenta un Padomes Regulu (ES) 2016/679 (2016. gada 27. aprīlis) par fizisku personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti un ar ko atceļ [Direktīvu 95/46] (Vispārīgā datu aizsardzības regula) (OV 2016, L 119, 1. lpp.; turpmāk tekstā – VDAR).8VDAR 6., 10., 101., 103., 104., 107.–109., 114., 116. un 141. apsvērumā ir noteikts:(6)Straujā tehnoloģiju attīstība un globalizācija ir radījusi jaunas problēmas personas datu aizsardzības jomā. Personas datu vākšanas un apmaiņas apjoms ir būtiski pieaudzis. Tehnoloģija ļauj gan privātām uzņēmējsabiedrībām, gan publiskām iestādēm vēl nepieredzētā apjomā savas darbības mērķiem izmantot personas datus. Fiziskas personas aizvien biežāk personiska rakstura informāciju dara publiski un globāli pieejamu. Tehnoloģija ir pārveidojusi gan ekonomiku, gan sociālo dzīvi, un tai arī turpmāk būtu jāuzlabo personas datu brīva aprite Savienībā un nosūtīšana uz trešām valstīm un starptautiskām organizācijām, vienlaikus nodrošinot personas datu augsta līmeņa aizsardzību.[..]
(10)Lai nodrošinātu konsekventu un augsta līmeņa aizsardzību fiziskām personām un novērstu šķēršļus personu datu apritei Savienībā, fiziskas personas tiesību un brīvību aizsardzības līmenim attiecībā uz šādu datu apstrādi visās dalībvalstīs vajadzētu būt vienādam. Visā Savienībā būtu jānodrošina noteikumu par fiziskas personas pamattiesību un brīvību aizsardzību attiecībā uz personas datu apstrādi vienveidīga piemērošana. Attiecībā uz personas datu apstrādi, kuru veic, lai izpildītu juridisku pienākumu, lai izpildītu uzdevumu, ko veic sabiedrības interesēs vai īstenojot pārzinim likumīgi piešķirtas oficiālas pilnvaras, būtu jāļauj dalībvalstīm saglabāt vai ieviest valsts noteikumus, ar ko vēl vairāk precizē šīs regulas noteikumu piemērošanu. Saistībā ar vispārējiem un horizontāliem tiesību aktiem par datu aizsardzību, ar kuriem īsteno Direktīvu 95/46/EK, dalībvalstīm ir vairāki uz konkrētām nozarēm attiecināmi tiesību akti jomās, kurās ir vajadzīgi precīzāki noteikumi. Šajā regulā dalībvalstīm ir arī paredzēta rīcības brīvība precizēt tās noteikumus, tostarp attiecībā uz īpašu kategoriju personas datu (sensitīvu datu) apstrādi. Šajā ziņā ar šo regulu neizslēdz dalībvalstu tiesību aktus, kuros nosaka konkrētu apstrādes situāciju apstākļus, tostarp precīzāk nosakot apstākļus, kādos personas datu apstrāde ir likumīga.[..]
(101)Personas datu plūsmas uz valstīm ārpus Savienības un starptautiskām organizācijām un no tām ir vajadzīgas starptautiskās tirdzniecības un starptautiskās sadarbības paplašināšanai. Šīs aprites palielināšanās ir radījusi jaunas problēmas un bažas par personas datu aizsardzību. Taču gadījumos, kad personas dati no Savienības tiek nosūtīti pārziņiem, apstrādātājiem vai citiem saņēmējiem trešās valstīs vai starptautiskām organizācijām, aizsardzības līmenim, ko šī regula nodrošina fiziskām personām Savienībā, nebūtu jāsamazinās, tostarp gadījumos, kad personas dati no trešās valsts vai starptautiskās organizācijas tiek nosūtīti tālāk pārziņiem, apstrādātājiem tajā pašā vai citā trešā valstī vai starptautiskā organizācijā. Jebkurā gadījumā nosūtīt datus uz trešām valstīm un starptautiskām organizācijām var tikai tad, ja tiek pilnībā ievēroti šīs regulas noteikumi. Nosūtīšana varētu notikt tikai tad, ja, ņemot vērā pārējos šīs regulas noteikumus, pārzinis vai apstrādātājs ievēro šīs regulas noteikumus attiecībā uz personas datu nosūtīšanu trešām valstīm vai starptautiskām organizācijām.[..]
(103)Komisija attiecībā uz visu Savienību var nolemt, ka trešā valsts, teritorija vai konkrēts sektors trešā valstī, vai starptautiska organizācija nodrošina datu aizsardzību pietiekamā līmenī, tādējādi nodrošinot juridisko noteiktību un vienotību visā Savienībā attiecībā uz trešo valsti vai starptautisko organizāciju, par kuru uzskata, ka tā nodrošina šādu aizsardzības līmeni. Šādos gadījumos personas datus uz minēto trešo valsti vai starptautisko organizāciju var nosūtīt bez nepieciešamības saņemt jebkādu turpmāku atļauju. Komisija pēc paziņojuma sniegšanas un pilnvērtīga paziņojuma, kurā izklāstīti iemesli nosūtīšanas trešai valstij vai starptautiskai organizācijai var arī nolemt atsaukt šādu lēmumu.(104)Saskaņā ar pamatvērtībām, uz kurām balstās Savienība, un jo īpaši cilvēktiesību aizsardzību, Komisijai, novērtējot trešo valsti vai kādu teritoriju vai konkrētu sektoru trešā valstī, būtu jāņem vērā tas, kā konkrēta trešā valsts ievēro tiesiskumu, tiesu pieejamību, kā arī starptautiskās cilvēktiesību normas un standartus, un tās vispārējie un nozaru tiesību akti, tostarp tiesību akti attiecībā uz sabiedrisko drošību, aizsardzību un valsts drošību, kā arī sabiedrisko kārtību un krimināltiesībām. Pieņemot lēmumu par aizsardzības līmeņa pietiekamību kādā teritorijā vai konkrētā nozarē trešā valstī, būtu jāņem vērā skaidri un objektīvi kritēriji, piemēram, konkrētas apstrādes darbības un piemērojamo juridisko standartu un attiecīgajā trešā valstī spēkā esošo tiesību aktu darbības joma. Trešai valstij būtu jāpiedāvā garantijas, kas nodrošina pietiekamu aizsardzības līmeni, kurš pēc būtības ir līdzvērtīgs Savienībā nodrošinātajam, jo īpaši, ja personas datus apstrādā vienā vai vairākos konkrētos sektoros. Trešai valstij jo īpaši būtu jānodrošina efektīva neatkarīga datu aizsardzības uzraudzība un būtu jāparedz sadarbības mehānismi ar dalībvalstu datu aizsardzības iestādēm, un priekš datu subjektiem būtu jāparedz efektīvas un īstenojamas tiesības un efektīva aizsardzība administratīvā kārtā vai tiesā.[..]
(107)Komisija var atzīt, ka trešā valsts, kāda teritorija vai konkrēts sektors trešā valstī, vai starptautiska organizācija vairs nenodrošina pietiekamu datu aizsardzības līmeni. Līdz ar to personas datu nosūtīšana uz šo trešo valsti vai starptautisko organizāciju būtu jāaizliedz, ja vien nav izpildītas šīs regulas prasības attiecībā uz nosūtīšanu, kam piemēro atbilstošas garantijas, tostarp saistošus uzņēmuma noteikumus, un atkāpēm īpašās situācijās. Šādā gadījumā būtu jāparedz noteikumi par apspriešanās procesu starp Komisiju un šādu trešo valsti vai starptautisko organizāciju. Komisijai būtu laikus jāinformē attiecīgā trešā valsts vai starptautiskā organizācija par iemesliem un jāapspriežas ar to, lai šo situāciju atrisinātu.(108)Kamēr lēmums par aizsardzības līmeņa pietiekamību nav pieņemts, pārzinim vai apstrādātājam būtu jāveic pasākumi, kas kompensētu datu aizsardzības trūkumus trešā valstī, paredzot atbilstošas garantijas datu subjektam. Šādas atbilstošas garantijas varētu nozīmēt, ka tiek izmantoti saistošie uzņēmuma noteikumi, Komisijas pieņemtās standarta datu aizsardzības klauzulas, uzraudzības iestādes pieņemtās standarta datu aizsardzības klauzulas vai uzraudzības iestādes apstiprinātās līguma klauzulas. Minētajām garantijām būtu jānodrošina, lai tiktu ievērotas datu aizsardzības prasības un datu subjektu tiesības atbilstīgi Savienībā veiktai apstrādei, tostarp īstenojamu datu subjekta tiesību un efektīvu tiesiskās aizsardzības līdzekļu pieejamība, ieskaitot iespēju saņemt efektīvu aizsardzību administratīvā kārtā vai tiesā un pieprasīt kompensāciju Savienībā un trešā valstī. Tiem jo īpaši būtu jāattiecas uz atbilstību vispārīgiem principiem, kuri saistīti ar personas datu apstrādi, un integrētas datu aizsardzības un datu aizsardzības pēc noklusējuma principiem. [..](109)Iespējai, ka pārzinis vai apstrādātājs var izmantot Komisijas vai uzraudzības iestādes pieņemtās standarta datu aizsardzības klauzulas, nebūtu jāizslēdz ne tas, ka pārzinis vai apstrādātājs var iekļaut standarta datu aizsardzības klauzulas plašākā līgumā, piemēram, līgumā starp apstrādātāju un citu apstrādātāju, ne arī tas, ka pārzinis vai apstrādātājs var pievienot citas klauzulas vai papildu garantijas, ar noteikumu, ka tās tieši vai netieši nav pretrunā Komisijas vai uzraudzības iestādes pieņemtajām līguma standartklauzulām vai neierobežo datu subjekta pamattiesības vai brīvības. Pārziņi un apstrādātāji būtu jāmudina nodrošināt papildu garantijas, izmantojot līgumsaistības, ar kurām papildina standarta aizsardzības klauzulas.[..]
(114)Jebkurā gadījumā, ja Komisija nav pieņēmusi lēmumu par datu aizsardzības līmeņa pietiekamību trešā valstī, pārzinim vai apstrādātājam būtu jāizmanto risinājumi, kas datu subjektiem sniedz īstenojamas un efektīvas tiesības attiecībā uz viņu datu apstrādi Savienībā arī pēc tam, kad minētie dati ir nosūtīti, lai tādējādi viņi joprojām varētu baudīt savas pamattiesības un garantijas.[..]
(116)Personas datu pārvietošanās pāri robežām ārpus Savienības var ievērojami apdraudēt fizisko personu spējas īstenot tiesības uz datu aizsardzību, jo īpaši, lai aizsargātos pret nelikumīgu izmantošanu vai šādas informācijas atklāšanu. Vienlaikus uzraudzības iestādes var saskarties ar situāciju, ka tās nevar reaģēt uz sūdzībām vai veikt izmeklēšanu saistībā ar darbībām, kas norisinās robežu otrā pusē. To pūles kopīgi strādāt pārrobežu kontekstā var sarežģīt arī nepietiekamās preventīvās vai korektīvās pilnvaras, tiesisko regulējumu atšķirības un tādi praktiski šķēršļi kā, piemēram, ierobežoti līdzekļi. [..][..]
(141)Katram datu subjektam vajadzētu būt tiesībām iesniegt sūdzību vienai uzraudzības iestādei, jo īpaši viņa pastāvīgās dzīvesvietas dalībvalstī, un tiesībām uz efektīvu tiesību aizsardzību tiesā saskaņā ar hartas 47. pantu, ja datu subjekts uzskata, ka viņa tiesības saskaņā ar šo regulu ir pārkāptas, vai ja uzraudzības iestāde nereaģē uz sūdzību, daļēji vai pilnībā noraida sūdzību vai nerīkojas, kad šāda rīcība ir nepieciešama, lai aizsargātu datu subjekta tiesības. [..]
9Šīs regulas 2. panta 1. un 2. punktā ir paredzēts:1.Šo regulu piemēro personas datu apstrādei, kas pilnībā vai daļēji veikta ar automatizētiem līdzekļiem, un tādu personas datu apstrādei, kuri veido daļu no kartotēkas vai ir paredzēti, lai veidotu daļu no kartotēkas, ja apstrādi neveic ar automatizētiem līdzekļiem.2.Šo regulu nepiemēro personas datu apstrādei:
- a)tādas darbības gaitā, kas neietilpst Savienības tiesību aktu darbības jomā;
- b)ko īsteno dalībvalstis, veicot darbības, kas ir LES V sadaļas 2. nodaļas darbības jomā;
- c)ko veic fiziska persona tikai personiska vai mājsaimnieciska pasākuma gaitā;
- d)ko veic kompetentas iestādes, lai novērstu, izmeklētu, atklātu noziedzīgus nodarījumus vai sauktu pie atbildības par tiem, vai izpildītu kriminālsodus, tostarp lai pasargātu no draudiem sabiedriskajai drošībai un tos novērstu.
10Minētās regulas 4. pantā ir noteikts:Šajā regulā:
[..]
- 2)apstrāde ir jebkura ar personas datiem vai personas datu kopumiem veikta darbība vai darbību kopums, ko veic ar vai bez automatizētiem līdzekļiem, piemēram, vākšana, reģistrācija, organizēšana, strukturēšana, glabāšana, pielāgošana vai pārveidošana, atgūšana, aplūkošana, izmantošana, izpaušana, nosūtot, izplatot vai citādi darot tos pieejamus, saskaņošana vai kombinēšana, ierobežošana, dzēšana vai iznīcināšana;
[..]
- 7)pārzinis ir fiziska vai juridiska persona, publiska iestāde, aģentūra vai cita struktūra, kas viena pati vai kopīgi ar citām nosaka personas datu apstrādes nolūkus un līdzekļus; ja šādas apstrādes nolūkus un līdzekļus nosaka ar Savienības vai dalībvalsts tiesību aktiem, pārzini vai tā iecelšanas konkrētos kritērijus var paredzēt Savienības vai dalībvalsts tiesību aktos;
- 8)apstrādātājs ir fiziska vai juridiska persona, publiska iestāde, aģentūra vai cita struktūra, kura pārziņa vārdā apstrādā personas datus;
- 9)saņēmējs ir fiziska vai juridiska persona, publiska iestāde, aģentūra vai cita struktūra, kurai izpauž personas datus – neatkarīgi no tā, vai tā ir trešā persona vai nav. Tomēr publiskas iestādes, kas var saņemt personas datus saistībā ar konkrētu izmeklēšanu saskaņā ar Savienības vai dalībvalsts tiesību aktiem, netiek uzskatītas par saņēmējiem; minēto datu apstrāde, ko veic minētās publiskās iestādes, atbilst piemērojamiem datu aizsardzības noteikumiem saskaņā ar apstrādes nolūkiem;
[..]
11Šīs pašas regulas 23. pantā ir noteikts:1.Saskaņā ar Savienības vai dalībvalsts tiesību aktiem, kas piemērojami datu pārzinim vai apstrādātājam, ar leģislatīvu pasākumu var ierobežot to pienākumu un tiesību darbības jomu, kas paredzēti 12.–22. pantā un 34. pantā, kā arī 5. pantā, ciktāl tā noteikumi atbilst 12.–22. pantā paredzētajām tiesībām un pienākumiem, – ja ar šādu ierobežojumu tiek ievērota pamattiesību un pamatbrīvību būtība un tas demokrātiskā sabiedrībā ir nepieciešams un samērīgs, lai garantētu:
- a)valsts drošību;
- b)aizsardzību;
- c)sabiedrisko drošību;
- d)noziedzīgu nodarījumu novēršanu, izmeklēšanu, atklāšanu vai saukšanu pie atbildības par tiem vai kriminālsodu izpildi, tostarp aizsardzību pret sabiedriskās drošības apdraudējumiem un to novēršanu;
[..]
2.Jo īpaši – jebkurā leģislatīvā pasākumā, kas minēts 1. punktā, ietver konkrētus noteikumus attiecīgā gadījumā vismaz par:
- a)nolūkiem, kādos veic apstrādi, vai apstrādes kategorijām;
- b)personas datu kategorijām;
- c)ieviesto ierobežojumu darbības jomu;
- d)garantijām, lai novērstu ļaunprātīgu izmantošanu vai nelikumīgu piekļuvi vai nosūtīšanu;
- e)pārziņa vai pārziņu kategoriju noteikšanu;
- f)glabāšanas laikposmiem un piemērojamām garantijām, ņemot vērā apstrādes vai apstrādes kategoriju raksturu, darbības jomu un nolūkus;
- g)riskiem attiecībā uz datu subjektu tiesībām un brīvībām; un
- h)datu subjektu tiesībām saņemt informāciju par ierobežojumu, izņemot tad, ja tas var kaitēt ierobežojuma mērķim.
12VDAR V nodaļā Personas datu nosūtīšana uz trešām valstīm vai starptautiskām organizācijām ir ietverts šīs regulas 44.–50. pants. Šīs regulas 44. pantā Nosūtīšanas vispārīgie principi ir noteikts:Personas datus, kuri tiek apstrādāti vai kurus ir paredzēts apstrādāt pēc nosūtīšanas uz trešo valsti vai starptautisku organizāciju, nosūta tikai tad, ja, ņemot vērā pārējos šīs regulas noteikumus, pārzinis un apstrādātājs ir ievērojuši šajā nodaļā paredzētos nosacījumus, ietverot arī personas datu tālāku nosūtīšanu no trešās valsts vai starptautiskās organizācijas uz citu trešo valsti vai citu starptautisku organizāciju. Piemēro visus šīs nodaļas noteikumus, lai nodrošinātu, ka nemazinās ar šo regulu garantētais fizisku personu aizsardzības līmenis.
13Šīs regulas 45. panta Nosūtīšana, pamatojoties uz lēmumu par aizsardzības līmeņa pietiekamību 1.–3. punktā ir paredzēts:1.Personas datu nosūtīšanu uz trešo valsti vai starptautisku organizāciju var veikt, ja Komisija ir nolēmusi, ka trešā valsts, kāda minētās trešās valsts teritorija vai viens vai vairāki konkrēti sektori, vai attiecīgā starptautiskā organizācija nodrošina pietiekamu aizsardzības līmeni. Šādai nosūtīšanai nav nepieciešama nekāda īpaša atļauja.2.Izvērtējot aizsardzības līmeņa pietiekamību, Komisija jo īpaši ņem vērā šādus elementus:
- a)tiesiskums, cilvēktiesību un pamatbrīvību ievērošana, attiecīgie tiesību akti, gan vispārējie, gan nozaru, tostarp attiecībā uz sabiedrisko drošību, aizsardzību, valsts drošību un krimināltiesībām un publisko iestāžu piekļuvi personas datiem, kā arī šādu tiesību aktu, datu aizsardzības noteikumu, dienesta noteikumu un drošības pasākumu īstenošana, tostarp noteikumi par personas datu tālāku nosūtīšanu uz citu trešo valsti vai starptautisko organizāciju, kurus ievēro minētajā valstī vai minētajā starptautiskajā organizācijā, judikatūra, kā arī tas, vai pastāv efektīvas un tiesiski īstenojamas datu subjektu tiesības un efektīva aizsardzība administratīvā kārtā vai tiesā tiem datu subjektiem, kuru personas datus nosūta;
- b)tas, vai attiecīgajā trešā valstī vai attiecībā uz starptautisko organizāciju pastāv un efektīvi darbojas viena vai vairākas neatkarīgas uzraudzības iestādes, kuras ir atbildīgas par datu aizsardzības noteikumu ievērošanas nodrošināšanu un īstenošanu, tostarp ar adekvātām izpildes pilnvarām, par palīdzību un konsultāciju sniegšanu datu subjektiem saistībā ar viņu tiesību īstenošanu un par sadarbību ar dalībvalstu uzraudzības iestādēm; un
- c)starptautiskās saistības, ko ir uzņēmusies attiecīgā trešā valsts vai starptautiskā organizācija, vai citi pienākumi, kas izriet no juridiski saistošām konvencijām vai instrumentiem, kā arī no tās dalības daudzpusējās vai reģionālās sistēmās, jo īpaši saistībā ar personas datu aizsardzību.
3.Komisija pēc aizsardzības līmeņa pietiekamības izvērtēšanas ar īstenošanas aktu var nolemt, ka trešā valsts, trešās valsts teritorija vai viens vai vairāki konkrēti sektori, vai starptautiska organizācija nodrošina pietiekamu aizsardzības līmeni šā panta 2. punkta nozīmē. Īstenošanas aktā paredz periodiskas, vismaz reizi četros gados notiekošas pārskatīšanas mehānismu, kurā ņem vērā visas attiecīgās norises trešajā valstī vai starptautiskajā organizācijā. Īstenošanas aktā precizē tā teritoriālo un sektoriālo piemērošanu un attiecīgā gadījumā norāda šā panta 2. punkta b) apakšpunktā minēto uzraudzības iestādi vai iestādes. Īstenošanas aktu pieņem saskaņā ar pārbaudes procedūru, kas minēta 93. panta 2. punktā.
14Šīs pašas regulas 46. panta Nosūtīšana, pamatojoties uz atbilstošām garantijām 1.–3. punktā ir noteikts:1.Ja nav pieņemts lēmums saskaņā ar 45. panta 3. punktu, pārzinis vai apstrādātājs var nosūtīt personas datus uz trešo valsti vai uz starptautisku organizāciju tikai tad, ja pārzinis vai apstrādātājs ir sniedzis atbilstošas garantijas, un ar nosacījumu, ka datu subjektiem ir pieejamas īstenojamas datu subjekta tiesības un efektīvi tiesiskās aizsardzības līdzekļi.2.Šā panta 1. punktā minētās atbilstošās garantijas, uzraudzības iestādei neprasot īpašu atļauju, var tikt nodrošinātas ar:
- a)starp publiskām iestādēm vai struktūrām juridiski saistošu un tiesiski īstenojamu instrumentu;
- b)saistošiem uzņēmuma noteikumiem saskaņā ar 47. pantu;
- c)standarta datu aizsardzības klauzulām, ko Komisija pieņem saskaņā ar 93. panta 2. punktā minēto pārbaudes procedūru;
- d)standarta datu aizsardzības klauzulām, ko pieņem uzraudzības iestāde un apstiprina Komisija saskaņā ar 93. panta 2. punktā minēto pārbaudes procedūru;
- e)saskaņā ar 40. pantu apstiprinātu rīcības kodeksu kopā ar trešās valsts datu pārziņa vai apstrādātāja saistošām un tiesiski īstenojamām saistībām piemērot atbilstošās garantijas, tostarp attiecībā uz datu subjekta tiesībām; vai
- f)saskaņā ar 42. pantu apstiprinātu sertifikācijas mehānismu kopā ar trešās valsts datu pārziņa vai apstrādātāja saistošām un tiesiski īstenojamām saistībām piemērot atbilstošas garantijas, tostarp attiecībā uz datu subjektu tiesībām.
3.Ja kompetentā uzraudzības iestāde dod tādu atļauju, tad 1. punktā minētās atbilstošās garantijas var arī nodrošināt jo īpaši ar:
- a)starp pārzini vai apstrādātāju un trešā valstī vai starptautiskā organizācijā esošu pārzini, apstrādātāju vai personas datu saņēmēju noslēgtu līgumu klauzulām; vai
- b)noteikumiem, kuri iekļaujami administratīvajās vienošanās starp publiskām iestādēm vai struktūrām un kuri ietver īstenojamas un efektīvas datu subjektu tiesības.
15Minētās regulas 49. pantā Atkāpes īpašās situācijās ir noteikts:1.Ja nav pieņemts lēmums par aizsardzības līmeņa pietiekamību saskaņā ar 45. panta 3. punktu vai nav nodrošinātas atbilstošas garantijas saskaņā ar 46. pantu, tostarp saistoši uzņēmuma noteikumi, personas datu nosūtīšana vai vairākkārtēja nosūtīšana uz trešo valsti vai starptautisku organizāciju notiek tikai tad, ja izpildīts viens no turpmāk minētajiem nosacījumiem:
- a)datu subjekts ir skaidri piekritis ierosinātajai nosūtīšanai pēc tam, kad ir ticis informēts par iespējamiem riskiem, ko šāda nosūtīšana var radīt datu subjektam lēmuma par aizsardzības līmeņa pietiekamību un atbilstošu garantiju trūkuma dēļ;
- b)nosūtīšana ir vajadzīga, lai izpildītu līgumu starp datu subjektu un pārzini vai īstenotu pasākumus pirms līguma noslēgšanas, kas pieņemti pēc datu subjekta pieprasījuma;
- c)nosūtīšana ir vajadzīga līguma noslēgšanai starp pārzini un citu fizisku vai juridisku personu datu subjekta interesēs vai šāda līguma izpildei;
- d)nosūtīšana ir vajadzīga, ja ir svarīgi iemesli sabiedrības interesēs;
- e)nosūtīšana ir vajadzīga, lai celtu, īstenotu vai aizstāvētu likumīgas prasības;
- f)nosūtīšana ir vajadzīga, lai aizsargātu datu subjekta vai citu personu vitālas intereses, ja datu subjekts ir fiziski vai tiesiski nespējīgs dot savu piekrišanu;
- g)nosūtīšanu izdara no reģistra, kurš saskaņā ar Savienības vai dalībvalsts tiesību aktiem ir paredzēts, lai sniegtu informāciju sabiedrībai, un kuru var izmantot vai nu plaša sabiedrība, vai jebkura persona, kas var pierādīt savas leģitīmās intereses, taču vienīgi tiktāl, ciktāl konkrētajā gadījumā tiek pildīti Savienības vai dalībvalsts tiesību aktos paredzētie izmantošanas nosacījumi.
Ja nosūtīšanu nevar balstīt uz 45. vai 46. pantā ietvertu noteikumu, tostarp noteikumu par saistošiem uzņēmuma noteikumiem, un nav piemērojama neviena no atkāpēm īpašās situācijās saskaņā ar šā punkta pirmo daļu, nosūtīšana uz trešo valsti vai starptautisku organizāciju var notikt tikai tad, ja nosūtīšana neatkārtojas, attiecas vienīgi uz ierobežotu skaitu datu subjektu, ir vajadzīga pārziņa pārliecinošām leģitīmām interesēm, attiecībā uz kurām datu subjekta intereses vai tiesības un brīvības nav svarīgākas, un pārzinis ir novērtējis visus apstākļus saistībā ar datu nosūtīšanu un, pamatojoties uz minēto novērtējumu, ir sniedzis atbilstošas garantijas attiecībā uz personas datu aizsardzību. Pārzinis par nosūtīšanu informē uzraudzības iestādi. Papildus 13. un 14. pantā minētās informācijas sniegšanai pārzinis informē datu subjektu par nosūtīšanu un par pārliecinošām leģitīmām interesēm.
2.Nosūtot datus saskaņā ar 1. punkta pirmās daļas g) apakšpunktu, nenosūta pilnīgi visus reģistrā ietvertos personas datus vai veselas personas datu kategorijas. Ja reģistrs ir paredzēts, lai to varētu izmantot personas, kurām ir leģitīmas intereses, datus nosūta tikai pēc minēto personu pieprasījuma vai ja šīs personas ir datu saņēmēji.3.Šā panta 1. punkta pirmās daļas a), b) un c) apakšpunktu un otro daļu nepiemēro publisko iestāžu darbībai, kad tās īsteno savas publiskās pilnvaras.4.Sabiedrības intereses, kas minētas 1. punkta pirmās daļas d) apakšpunktā, ir atzītas Savienības tiesībās vai tās dalībvalsts tiesībās, kas ir piemērojamas pārzinim.5.Ja nav lēmuma par aizsardzības līmeņa pietiekamību, Savienības vai dalībvalsts tiesību aktos, ja ir svarīgi iemesli sabiedrības interesēs, skaidri nosaka ierobežojumus attiecībā uz konkrētu kategoriju personas datu nosūtīšanu uz trešo valsti vai starptautisku organizāciju. Dalībvalstis par jebkādiem šādiem noteikumiem paziņo Komisijai.6.Pārzinis vai apstrādātājs 30. pantā minētajos datu reģistros dokumentē novērtējumu, kā arī šā panta 1. punkta otrajā daļā izklāstītās atbilstošās garantijas.
16Saskaņā ar VDAR 51. panta 1. punktu:Katra dalībvalsts paredz, ka viena vai vairākas neatkarīgas publiskas iestādes ir atbildīgas par šīs regulas piemērošanas uzraudzību, lai aizsargātu fizisku personu pamattiesības un pamatbrīvības saistībā ar apstrādi un veicinātu personas datu brīvu apriti Savienībā (uzraudzības iestāde).
17Saskaņā ar šīs regulas 55. panta 1. punktu katra uzraudzības iestāde savas dalībvalsts teritorijā ir kompetenta pildīt uzticētos uzdevumus un īstenot pilnvaras, ko tai piešķir saskaņā ar šo regulu.18Minētās regulas 57. panta 1. punktā ir paredzēts:Neskarot citus uzdevumus, kas noteikti ar šo regulu, ikviena uzraudzības iestāde savā teritorijā:
- a)uzrauga un īsteno šīs regulas piemērošanu;
[..]
- f)izskata kāda datu subjekta [..] iesniegtās sūdzības [..], atbilstošā apjomā izmeklē jautājumu un saprātīgā termiņā informē sūdzības iesniedzēju par lietas virzību un izmeklēšanas rezultātiem, jo īpaši, ja ir nepieciešama papildus izmeklēšana vai koordinācija ar citu uzraudzības iestādi;
[..].
19Saskaņā ar šīs pašas regulas 58. panta 2. un 4. punktu:2.Katrai uzraudzības iestādei ir visas šādas korektīvās pilnvaras:
[..]
- f)uzlikt pagaidu vai galīgu apstrādes ierobežojumu, tostarp aizliegumu;
[..]
- j)izdot rīkojumu apturēt datu plūsmu pie saņēmēja trešā valstī vai pie starptautiskas organizācijas.
[..]4.Uzraudzības iestāde saskaņā ar šo pantu piešķirto pilnvaru īstenošanā ievēro atbilstošas garantijas, tostarp efektīvu tiesību aizsardzību tiesā un pienācīgas procedūras, kas noteiktas Savienības un dalībvalstu tiesību aktos saskaņā ar Hartu.
20VDAR 64. panta 2. punkts ir formulēts šādi:Jebkura uzraudzības iestāde, [Eiropas Datu aizsardzības kolēģijas (EDAK)] priekšsēdētājs vai Komisija var pieprasīt, lai kolēģija izskata jebkuru jautājumu par vispārējo piemērošanu vai kas rada sekas vairāk nekā vienā dalībvalstī nolūkā saņemt atzinumu, jo īpaši, ja kompetentā uzraudzības iestāde neievēro savstarpējas palīdzības pienākumu saskaņā ar 61. pantu vai kopīgu operāciju pienākumu saskaņā ar 62. pantu.
21Saskaņā ar šīs regulas 65. panta 1. punktu:Lai nodrošinātu šīs regulas pareizu un konsekventu piemērošanu katrā atsevišķā gadījumā, kolēģija pieņem saistošu lēmumu šādos gadījumos:
[..]
- c)ja kompetentā uzraudzības iestāde 64. panta 1. punktā minētajos gadījumos nepieprasa kolēģijas atzinumu vai neievēro kolēģijas atzinumu, kas izsniegts saskaņā ar 64. pantu. Šādā gadījumā jebkura attiecīgā uzraudzības iestāde vai Komisija var par to informēt kolēģiju.
22Minētās regulas 77. pantā Tiesības iesniegt sūdzību uzraudzības iestādē ir noteikts:1.Neskarot jebkādus citus administratīvos tiesību aizsardzības līdzekļus vai tiesību aizsardzību tiesā, katram datu subjektam ir tiesības iesniegt sūdzību uzraudzības iestādē, jo īpaši tajā dalībvalstī, kurā ir viņa pastāvīgā dzīvesvieta, darbavieta vai iespējamā pārkāpuma izdarīšanas vieta, ja datu subjekts uzskata, ka viņa personas datu apstrāde pārkāpj šo regulu.2.Uzraudzības iestāde, kurā ir iesniegta sūdzība, informē sūdzības iesniedzēju par sūdzības izskatīšanas virzību un iznākumu, tostarp par tiesību aizsardzības tiesā iespēju saskaņā ar 78. pantu.
23Šīs pašas regulas 78. panta Tiesības uz efektīvu tiesību aizsardzību tiesā pret uzraudzības iestādi 1. un 2. punktā ir paredzēts:1.Neskarot jebkādus citus administratīvos vai ārpustiesas tiesību aizsardzības līdzekļus, katrai fiziskai vai juridiskai personai ir tiesības uz efektīvu tiesību aizsardzību tiesā pret uzraudzības iestādes pieņemtu juridiski saistošu lēmumu, kas skar minētās personas.2.Neskarot jebkādus citus administratīvos vai ārpustiesas tiesību aizsardzības līdzekļus, katram datu subjektam ir tiesības uz efektīvu tiesību aizsardzību tiesā, ja uzraudzības iestāde, kas ir kompetenta, ievērojot 55. un 56. pantu, trīs mēnešu laikā neizskata sūdzību vai neinformē datu subjektu par sūdzības, kas iesniegta, ievērojot 77. pantu, izskatīšanas virzību vai rezultātiem.
24VDAR 94. pantā ir noteikts:1.Direktīvu [95/46] atceļ no 2018. gada 25. maija.2.Atsauces uz atcelto direktīvu uzskata par atsaucēm uz šo regulu. Atsauces uz Darba grupu personu aizsardzībai attiecībā uz personas datu apstrādi, kas izveidota ar Direktīvas [95/46] 29. pantu, uzskata par atsaucēm uz Eiropas Datu aizsardzības kolēģiju, kas izveidota ar šo regulu.
25Saskaņā ar šīs regulas 99. pantu:1.Šī regula stājas spēkā divdesmitajā dienā pēc tās publicēšanas Eiropas Savienības Oficiālajā Vēstnesī.2.To piemēro no 2018. gada 25. maija.
<TI><P><HT TYPE="BOLD"><HT TYPE="ITALIC">LSK lēmums</HT></HT></P></TI>26LSK lēmuma 11. apsvērums ir formulēts šādi:Dalībvalstu uzraudzības iestādēm ir izšķiroša nozīme šajā līguma mehānismā, nodrošinot personas datu pienācīgu aizsardzību pēc pārsūtīšanas. Izņēmuma gadījumos, kad datu nosūtītāji atsakās dot datu saņēmējam pietiekamus norādījumus vai arī nespēj šādus norādījumus dot, tādējādi radot būtiska kaitējuma draudus datu subjektiem, līguma standartklauzulās uzraudzības iestādēm jāļauj veikt pārbaudes attiecībā uz datu saņēmējiem un apakšapstrādātājiem un attiecīgā gadījumā pieņemt lēmumus, kas datu saņēmējiem apakšapstrādātājiem ir saistoši. Uzraudzības iestādēm jābūt pilnvarotām aizliegt vai pārtraukt vienu vai vairākas datu pārsūtīšanas, balstoties uz līguma standartklauzulām tajos izņēmuma gadījumos, kad ir noteikts, ka pārsūtīšana, pamatojoties uz līgumu, iespējams, var ļoti negatīvi ietekmēt garantijas un pienākumus, kas datu subjektam sniedz pienācīgu aizsardzību.
27Šī lēmuma 1. pantā ir noteikts:Uzskata, ka šā lēmuma pielikumā paredzētās līguma standartklauzulas sniedz pienācīgu nodrošinājumu attiecībā uz indivīdu privātās dzīves, pamattiesību un pamatbrīvību aizsardzību un attiecībā uz attiecīgo tiesību izmantošanu, kā noteikts Direktīvas [95/46] 26. panta 2. punktā.
28Atbilstoši minētā lēmuma 2. panta otrajai daļai tas attiecas uz personas datiem, ko Eiropas Savienībā reģistrēti atbildīgie par datu apstrādi pārsūta saņēmējiem, kuri ir reģistrēti ārpus Eiropas Savienības teritorijas un kuri darbojas tikai kā apstrādātāji.29Šī paša lēmuma 3. pantā ir noteikts:Šajā lēmumā piemēro šādas definīcijas:
[..]
- c)datu nosūtītājs ir atbildīgais par datu apstrādi, kas pārsūta personas datus;
- d)datu saņēmējs ir trešā valstī reģistrēts atbildīgais par datu apstrādi, kas piekrīt personas datus saņemt no datu nosūtītāja, lai tos pēc pārsūtīšanas apstrādātu nosūtītāja uzdevumā saskaņā ar tā norādījumiem un šā lēmuma noteikumiem, un uz ko neattiecas trešās valsts sistēma, ar kuru nodrošina pienācīgu aizsardzību Direktīvas [95/46] 25. panta 1. punkta nozīmē;
[..]
- f)piemērojamie tiesību akti datu aizsardzības jomā ir tiesību akti, kas aizsargā personu pamattiesības un pamatbrīvības, un jo īpaši viņu tiesības uz privāto dzīvi attiecībā uz personas datu apstrādi, un kas attiecas uz atbildīgo par datu apstrādi dalībvalstī, kurā datu nosūtītājs ir reģistrēts;
[..].
30Lēmuma 2010/87 4. pantā, tā sākotnējā redakcijā, kas bija spēkā pirms Īstenošanas lēmuma 2016/2297 stāšanās spēkā, bija paredzēts:1.Neskarot dalībvalstu kompetento iestāžu pilnvaras rīkoties, lai nodrošinātu to valsts tiesību aktu ievērošanu, kas ir pieņemti atbilstīgi Direktīvas [95/46] II, III, V un VI nodaļai, tās var īstenot savas pašreizējās pilnvaras, lai aizliegtu vai apturētu datu plūsmu uz trešām valstīm, lai aizsargātu personas attiecībā uz viņu personas datu apstrādi, ja:
- a)konstatē, ka tiesību akti, kuri datu saņēmējam vai apakšapstrādātājam jāievēro, uzliek tam pienākumu atkāpties no piemērojamiem tiesību aktiem datu aizsardzības jomā, kas pārsniedz ierobežojumus, kuri ir vajadzīgi demokrātiskā sabiedrībā, kā paredzēts Direktīvas [95/46] 13. pantā, ja ir iespējamība, ka šis pienākums var ļoti negatīvi ietekmēt garantijas, kas ir paredzētas piemērojamos tiesību aktos datu aizsardzības jomā un līguma standartklauzulās;
- b)kompetentā iestāde ir konstatējusi, ka datu saņēmējs vai apakšapstrādātājs nav ievērojis pielikumā minētās līguma standartklauzulas; vai
- c)ir liela iespējamība, ka nav ievērotas vai netiks ievērotas pielikumā minētās līguma standartklauzulas, un pārsūtīšanas turpināšana datu subjektiem radītu būtiska kaitējuma draudus.
2.Aizliegumu vai pārtraukšanu atbilstīgi 1. punktam atceļ, tiklīdz tam vairs nav iemesla.3.Ja dalībvalstis nosaka pasākumus atbilstīgi 1. un 2. punktam, tās nekavējoties informē Komisiju, kas nosūta informāciju pārējām dalībvalstīm.
31Īstenošanas lēmuma 2016/2297, kas pieņemts pēc 2015. gada 6. oktobra sprieduma Schrems (C‑362/14, EU:C:2015:650) pasludināšanas, 5. apsvērums ir formulēts šādi:Mutatis mutandis Komisijas lēmums, kas pieņemts saskaņā ar Direktīvas [95/46] 26. panta 4. punktu, ir saistošs visām dalībvalstu iestādēm, kurām tas ir adresēts, tostarp to neatkarīgajām uzraudzības iestādēm, uz ko šis lēmums attiecas, ciktāl tā rezultātā tiek atzīts, ka pārsūtīšana, kas notiek, pamatojoties uz šajā direktīvā ietvertajām līguma standartklauzulām, sniedz pietiekamu aizsardzības līmeni, kāds pieprasīts minētās direktīvas 26. panta 2. punktā. Tas neliedz valsts uzraudzības iestādei īstenot tās pilnvaras pārraudzīt datu plūsmas, tostarp pilnvaras apturēt vai aizliegt personas datu pārsūtīšanu, ja tā konstatē, ka pārsūtīšana notiek, pārkāpjot ES vai valsts datu aizsardzības tiesību aktus, piemēram, ja datu saņēmējs neievēro līguma standartklauzulas.
32LSK lēmuma 4. pantā, tā pašreizējā redakcijā, kas izriet no Īstenošanas lēmuma 2016/2297, ir noteikts:Kad kompetentās iestādes dalībvalstī, lai pasargātu personas attiecībā uz viņu personas datu apstrādi, izmanto savas pilnvaras atbilstīgi Direktīvas [95/46] 28. panta 3. punktam, kā rezultātā tiek apturētas vai pilnībā aizliegtas datu plūsmas uz trešām valstīm, attiecīgā dalībvalsts nekavējoties informē Komisiju, kas nosūta informāciju pārējām dalībvalstīm.
33LSK lēmuma pielikumā Līguma standartklauzulas (apstrādātāji) ir ietvertas divpadsmit standartklauzulas. Tā 3. klauzulā Ieinteresētās trešās personas klauzula ir paredzēts:1. Datu subjekts kā ieinteresētā trešā persona var piemērot pret datu nosūtītāju šo klauzulu, 4. klauzulas b)–i) punktu, 5. klauzulas a)–e) un g)–j) punktu, 6. klauzulas 1. un 2. punktu, 7. klauzulu, 8. klauzulas 2. punktu un 9.–12. klauzulu.
2. Datu subjekts var piemērot pret datu saņēmēju šo klauzulu, 5. klauzulas a)–e) un g) punktu, 6. klauzulu, 7. klauzulu, 8. klauzulas 2. punktu un 9.–12. klauzulu gadījumos, kad datu nosūtītājs ir faktiski zudis vai juridiski beidzis pastāvēt, ja vien kāds tiesību pārņēmējs ar līgumu vai likumiskā kārtā nav uzņēmies visas datu nosūtītāja juridiskās saistības, kā rezultātā tas uzņemas datu nosūtītāja tiesības un pienākumus, un šādā gadījumā datu subjekts tos var piemērot pret minēto personu.
[..]
34Saskaņā ar šī pielikuma 4. klauzulu Datu nosūtītāja pienākumi:Datu nosūtītājs piekrīt un garantē, ka:
- a)personas datu apstrāde, tostarp pati pārsūtīšana, tiek un arī turpmāk tiks veikta saskaņā ar datu aizsardzības jomā piemērojamiem tiesību aktiem (un attiecīgos gadījumos par to tiek ziņots attiecīgajām iestādēm dalībvalstī, kurā reģistrēts datu nosūtītājs) un netiek pārkāpti minētās valsts attiecīgie noteikumi;
- b)tas ir devis norādījumus un visā personas datu apstrādes pakalpojumu sniegšanas laikā turpinās dot norādījumus datu saņēmējam apstrādāt pārsūtītos personas datus vienīgi datu nosūtītāja uzdevumā un saskaņā ar datu aizsardzības jomā piemērojamiem tiesību aktiem un šīm klauzulām;
[..]
- f)tad, ja pārsūtīšana ietver īpašas datu kategorijas, datu subjekts tiek vai tiks informēts iepriekš, ka tā dati varētu tikt pārraidīti uz trešo valsti, kas nesniedz pietiekamu aizsardzības līmeni Direktīvas [95/46] nozīmē, vai iespējami drīz pēc tam;
- g)saskaņā ar 5. klauzulas b) punktu un 8. klauzulas 3. punktu datu aizsardzības uzraudzības iestādei tiek pārsūtīti visi paziņojumi, kas saņemti no datu saņēmēja vai kāda apakšapstrādātāja, ja datu nosūtītājs nolemj turpināt pārsūtīšanu vai atcelt aizliegumu;
[..].
35Minētā pielikuma 5. klauzulā Datu saņēmēja pienākumi [..] ir noteikts:Datu saņēmējs piekrīt un garantē, ka:
- a)tas apstrādās personas datus vienīgi datu nosūtītāja vārdā un saskaņā ar tā norādījumiem un klauzulām; gadījumā, ja datu saņēmējs kāda iemesla dēļ nevar nodrošināt norādījumu un klauzulu ievērošanu, tas piekrīt nekavējoties informēt par to datu nosūtītāju, un šādā gadījumā datu nosūtītājam ir tiesības apturēt datu pārsūtīšanu un/vai izbeigt līgumu;
- b)tam nav iemesla uzskatīt, ka datu saņēmējam piemērojamie tiesību akti neļauj tam izpildīt datu nosūtītāja norādījumus un līgumā paredzētos pienākumus, un ka gadījumā, ja tiek izdarītas tādas izmaiņas datu saņēmēja tiesību aktos, kas var negatīvi ietekmēt klauzulās noteiktās garantijas un pienākumus, tas nekavējoties paziņos par šīm izmaiņām datu nosūtītājam, tiklīdz tās kļūs zināmas, un šādā gadījumā datu nosūtītājam ir tiesības apturēt datu pārsūtīšanu un/vai izbeigt līgumu;
[..]
- d)tas nekavējoties paziņos datu nosūtītājam par:
- i)tiesībaizsardzības iestāžu jebkuru juridiski saistošu pieprasījumu atklāt personas datus, ja vien tas citādi nav aizliegts, piemēram, krimināltiesībās paredzētais aizliegums nolūkā saglabāt tiesībaizsardzības iestāžu veiktās izmeklēšanas konfidencialitāti;
- ii)jebkuru nejaušu vai neatļautu piekļuvi; kā arī
- iii)jebkuru pieprasījumu, kas tiešā veidā saņemts no datu subjektiem, neatbildot uz minēto pieprasījumu, ja vien tas nav citādi pilnvarots to darīt;
[..].
36Zemsvītras piezīmē, uz kuru ir atsauce šīs 5. klauzulas virsrakstā, ir noteikts:Valsts tiesību aktu obligātās prasības, ko piemēro datu saņēmējam un kas nepārsniedz prasības, kuras ir vajadzīgas demokrātiskā sabiedrībā, pamatojoties uz vienu no Direktīvas [95/46] 13. panta 1. punktā minētajām interesēm, proti, ja tās ir nepieciešams aizsargpasākums valsts drošībai, aizsardzībai, sabiedrības drošībai, kriminālsodāmu noziedzīgu nodarījumu vai reglamentētu profesiju ētikas pārkāpumu novēršanai, izmeklēšanai, atklāšanai un kriminālvajāšanai, valsts svarīgās ekonomiskās vai finansiālās interesēs vai datu subjekta aizsardzībai vai citu personu tiesību un brīvību aizsardzībai, nav pretrunā līguma standartklauzulām. [..]
37LSK lēmuma pielikuma 6. klauzulā Atbildība ir paredzēts:1. Puses vienojas, ka datu subjektam, kam nodarīts kaitējums 3. vai 11. klauzulā minēto noteikumu pārkāpumu rezultātā, kurus izdarījusi kāda no pusēm vai apakšapstrādātājs, ir tiesības saņemt no datu nosūtītāja kompensāciju par nodarīto kaitējumu.
2. Ja datu subjekts pret datu nosūtītāju nevar vērsties ar 1. punktā minēto prasību par kompensāciju, kas izriet no tā, ka datu nosūtītājs vai tā apakšapstrādātājs nav izpildījis kādu no 3. vai 11. klauzulā minētajiem pienākumiem, sakarā ar to, ka datu nosūtītājs ir faktiski zudis vai juridiski beidzis pastāvēt, vai arī ir kļuvis maksātnespējīgs, datu saņēmējs piekrīt, ka datu subjekts var izvirzīt prasību pret datu saņēmēju tā, it kā tas būtu datu nosūtītājs [..].
[..]
38Šī pielikuma 8. klauzulas Sadarbība ar uzraudzības iestādēm 2. punktā ir paredzēts:Puses piekrīt, ka uzraudzības iestādei ir tiesības veikt datu saņēmēja vai jebkura apakšapstrādātāja revīziju, kurai ir tāds pats apjoms un uz kuru attiecas tādi paši nosacījumi, kādi būtu piemērojami datu nosūtītāja revīzijai saskaņā ar piemērojamiem tiesību aktiem datu aizsardzības jomā.
39Minētā pielikuma 9. klauzula Piemērojamie tiesību akti paredz, ka līguma standartklauzulas reglamentē tās dalībvalsts tiesību akti, kurā datu nosūtītājs ir reģistrēts.40Saskaņā ar tā paša pielikuma 11. klauzulu Apakšapstrāde:1. Datu saņēmējs bez datu nosūtītāja iepriekšējas rakstiskas piekrišanas neslēdz apakšuzņēmuma līgumus par savām apstrādes darbībām, ko saskaņā ar šo klauzulu noteikumiem tas veic datu nosūtītāja uzdevumā. Ja datu saņēmējs ar datu nosūtītāja piekrišanu noslēdz apakšuzņēmuma līgumu par savu pienākumu izpildi saskaņā ar šo klauzulu noteikumiem, to var darīt vienīgi, noslēdzot ar apakšapstrādātāju rakstisku līgumu, ar kuru apakšapstrādātājam tiek uzlikti tādi paši pienākumi kā datu saņēmējam saskaņā ar šīm klauzulām. [..]
2. Iepriekšējā rakstiskajā līgumā starp datu saņēmēju un apakšapstrādātāju tiek iekļauta arī ieinteresētās trešās personas klauzula, kā noteikts 3. klauzulā, attiecībā uz gadījumiem, kad datu subjekts nevar vērsties pret datu nosūtītāju vai datu saņēmēju ar 6. klauzulas 1. punktā minēto prasību par kompensāciju sakarā ar to, ka tie ir faktiski zuduši vai juridiski beiguši pastāvēt, vai arī ir kļuvuši maksātnespējīgi, un neviens tiesību pārņēmējs ar līgumu vai likumiskā kārtā nav uzņēmies visas datu nosūtītāja vai datu saņēmēja juridiskās saistības. Minētā apakšapstrādātāja civiltiesiskā atbildība attiecas vienīgi uz tā paša apstrādes darbībām saskaņā ar šo klauzulu noteikumiem.
[..]
41LSK lēmuma pielikuma 12. klauzulas Pienākumi pēc personas datu apstrādes pakalpojumu izbeigšanas 1. punktā ir paredzēts šādi:Puses vienojas, ka, izbeidzot personas datu apstrādes pakalpojumu sniegšanu, datu saņēmējs un apakšapstrādātājs pēc datu nosūtītāja izvēles nodod atpakaļ datu nosūtītājam visus pārsūtītos personas datus un to kopijas vai iznīcina visus personas datus un apliecina datu nosūtītājam, ka tas ir izdarīts, ja vien datu saņēmējam piemērojamie tiesību akti neliedz tam nodot atpakaļ vai iznīcināt visus vai daļu no pārsūtītajiem personas datiem. [..]
<TI><P><HT TYPE="BOLD"><HT TYPE="ITALIC">PV lēmums</HT></HT></P></TI>42Ar 2015. gada 6. oktobra spriedumu Schrems (C‑362/14, EU:C:2015:650) Tiesa atzina par spēkā neesošu Komisijas Lēmumu 2000/520/EK (2000. gada 26. jūlijs) atbilstīgi [Direktīvai 95/46] par pienācīgu aizsardzību, kas noteikta ar privātuma drošības zonas principiem un attiecīgajiem visbiežāk uzdotajiem jautājumiem, kurus izdevusi ASV Tirdzniecības ministrija (OV 2000, L 215, 7. lpp.), kurā Komisija bija konstatējusi, ka šī trešā valsts nodrošina pienācīgu aizsardzības līmeni.43Pēc šī sprieduma pasludināšanas Komisija pieņēma PV lēmumu, kad tā šai nolūkā bija izvērtējusi Amerikas Savienoto Valstu tiesisko regulējumu, kā tas ir precizēts minētā lēmuma 65. apsvērumā:Komisija ir izvērtējusi ierobežojumus un aizsardzības pasākumus, kas pieejami ASV tiesībās attiecībā uz piekļuvi datiem, kuri tiek nosūtīti ES un ASV privātuma vairoga ietvaros, un to izmantošanu ASV valsts iestādēs valsts drošības, tiesībaizsardzības un citu valsts interešu nolūkos. Papildus ASV valdība ar Nacionālās izlūkošanas direktora biroja (NIDB) starpniecību [..] ir sniegusi Komisijai detalizētus apgalvojumus un uzņēmusies saistības, kas iekļautas šā lēmuma VI pielikumā. Ar valsts sekretāra parakstītu un šā lēmuma III pielikumā pievienotu vēstuli ASV valdība ir uzņēmusies saistības arī nodrošināt jaunu pārraudzības mehānismu valsts drošības interferencei – privātuma vairoga ombudu, kurš darbojas neatkarīgi no izlūkdienestiem. Visbeidzot, ASV Tieslietu ministrijas apgalvojumos, kas iekļauti šā lēmuma VII pielikumā, ir aprakstīti ierobežojumi un aizsardzības pasākumi, kas piemērojami valsts iestādēm datu piekļuvei un izmantošanai tiesībaizsardzības un citu valsts interešu nolūkos. Lai uzlabotu pārredzamību un atspoguļotu šo saistību tiesisko raksturu, katrs šajā lēmuma uzskaitītais un tam pievienotais dokuments tiks publicēts ASV Federālajā reģistrā.
44Komisijas veiktā šo ierobežojumu un garantiju analīze ir apkopota PV lēmuma 67.–135. apsvērumā, savukārt šīs iestādes secinājumi par pietiekamu aizsardzības līmeni saistībā ar Eiropas Savienības un ASV privātuma vairogu ir ietverti tā 136.–141. apsvērumā.45Konkrētāk, šī lēmuma 68., 69., 76., 77., 109., 112.–116., 120., 136. un 140. apsvērumā ir teikts:(68)Atbilstīgi ASV Konstitūcijai rūpes par valsts drošību ir prezidenta kompetencē, kurš ir kā virspavēlnieks, galvenā izpildvara un, attiecībā uz ārvalstu izlūkošanu, ASV ārlietu vadītājs. Lai arī Kongresam ir tiesības piemērot ierobežojumus, un tas ir darīts dažādos aspektos, prezidents šajā kontekstā var pārvaldīt ASV izlūkdienestu darbības, jo īpaši ar izpildrīkojumiem vai prezidenta direktīvām. [..] Šobrīd divi galvenie tiesību akti šajā jomā ir Izpildrīkojums Nr. 12333 (Executive Order, E.O. 12333) un Prezidenta politikas direktīva Nr. 28 (PPD‑28).(69)Ar 2014. gada 17. janvārī izdoto Prezidenta politikas direktīvu Nr. 28 (PPD‑28) ir noteikti vairāki ierobežojumi sakaru izlūkošanas darbībām [..]. Prezidenta direktīva ir saistoša ASV izlūkošanas iestādēm [..] un saglabā spēku līdz ASV valdības maiņai [..]. PPD‑28 ir īpaši svarīga citu valstu personām, tostarp ES datu subjektiem. [..][..]
(76)Lai arī tas nav noformulēts šajos [PPD‑28] juridiskajos noteikumos, šie principi iemieso nepieciešamības un proporcionalitātes principu būtību. [..](77)Tā kā prasības ir iekļautas direktīvā, ko izdevis prezidents kā galvenā izpildvara, tās ir saistošas visiem izlūkdienestiem un ir tālāk īstenotas ar aģentūru noteikumiem un procedūrām, ar kurām vispārējos principus transponē konkrētos virzienos ikdienas darbībām. [..][..]
(109)Turpretī saskaņā ar ĀIUL [Foreign Intelligence Surveillance Act; Ārvalstu izlūkošanas uzraudzības likums] 702. pantu ĀIUT [United States Foreign Intelligence Surveillance Court, ĀIUL tiesa] neapstiprina individuālus uzraudzības pasākumus, bet gan uzraudzības programmas (piemēram, PRISM, UPSTREAM), pamatojoties uz ikgadējām sertifikācijām, kuras sagatavo ģenerālprokurors [United States Attorney General] un nacionālās izlūkošanas direktors [Director of National Intelligence]. [..] Kā norādīts, sertifikācijas, kuras jāapstiprina ĀIUT, nesatur informāciju par atsevišķām personām, kuras jāizseko, bet gan identificē ārvalstu izlūkošanas informācijas kategorijas [..]. Lai arī ĀIUT nevērtē – pamatojoties uz ticamu iemeslu vai kādu citu standartu –, vai personas ir atbilstīgi izsekotas, lai iegūtu ārvalstu izlūkošanas informāciju, tās kontrole ietver nosacījumu, ka būtisks iegūšanas mērķis ir iegūt ārvalstu izlūkošanas informāciju. [..][..]
(112)Pirmkārt, Ārvalstu izlūkošanas uzraudzības likums paredz vairākus tiesiskās aizsardzības līdzekļus, pieejamus arī [..] personām[, kas nav ASV pilsoņi], ar kuriem apstrīdēt nelikumīgu elektronisko uzraudzību. To vidū ir iespēja personām celt civilprasību pret Amerikas Savienotajām Valstīm par finansiāliem zaudējumiem, ja informācija par šīm personām ir nelikumīgi un tīši izmantota vai izpausta [..]; iesūdzēt tiesā ASV valsts amatpersonas kā privātpersonas (kas nelikumīgi veic likumīgu darbību) par finansiāliem zaudējumiem [..]; un apstrīdēt uzraudzības likumību (un pieprasīt noklusēt informāciju) gadījumā, ja ASV valdība plāno izmantot vai izpaust jebkādu informāciju, kas iegūta vai atvasināta no elektroniskās uzraudzības attiecībā uz personu, tiesā vai administratīvajā kārtībā Amerikas Savienotajās Valstīs [..].(113)Otrkārt, ASV valdība norādīja Komisijai vairākas papildu iespējas, kuras ES datu subjekti var izmantot, lai pieprasītu tiesību aizsardzību pret valdības amatpersonām attiecībā uz nelikumīgu valdības piekļuvi personas datiem vai to izmantošanu, tostarp paredzētos nacionālās drošības nolūkos [..].(114)Visbeidzot, ASV valdība ir norādījusi uz LIB [Freedom of Information Act; Likums par informācijas brīvību] kā līdzekli citu valstu personām, ar kuru pieprasīt piekļuvi esošajiem federālās aģentūras ierakstiem, tostarp tad, ja tie satur attiecīgās privātpersonas personas datus [..]. Ņemot vērā tvērumu, uz ko vērsts LIB, tas neparedz individuālu tiesību aizsardzību pret iejaukšanos personas datos, lai arī principā tas ļautu personām iegūt piekļuvi būtiskai informācijai, kuru glabā nacionālās izlūkošanas aģentūras. [..](115)Lai arī tādējādi personām, tostarp ES datu subjektiem, ir vairākas tiesiskās aizsardzības iespējas, ja tās ir pakļautas nelikumīgai (elektroniskajai) uzraudzībai nacionālās drošības nolūkos, tikpat skaidrs ir tas, ka nav iekļauti atsevišķi juridiskie pamatojumi (piemēram, E.O. 12333), kurus var izmantot ASV izlūkošanas iestādes. Turklāt, ja tiesiskās aizsardzības iespējas principā ir citu valstu personām, piemēram, uzraudzībai saskaņā ar ĀIUL, pieejamie rīcības pamatojumi ir ierobežoti [..], un personu (tostarp ASV piederīgu personu) prasības tiks atzītas par nepieņemamām, ja tās nevar pierādīt tiesībspēju [..], un tas ierobežo piekļuvi parastajām tiesām [..].(116)Lai paredzētu papildu tiesiskās aizsardzības iespējas, kas pieejamas visiem ES datu subjektiem, ASV valdība ir nolēmusi izveidot jaunu ombuda mehānismu, kā izklāstīts ASV valsts sekretāra vēstulē Komisijai, vēstule ir pievienota šā lēmuma III pielikumā. Šā mehānismā pamatā ir vecākā koordinatora (valsts sekretāra vietnieka līmenī) iecelšana Valsts departamentā saskaņā ar PPD‑28, kurš darbosies kā kontaktpunkts ārvalstu valdībām, lai tās varētu izteikt bažas saistībā ar ASV sakaru izlūkošanas darbībām, taču tā darbības joma ir daudz plašāka par sākotnējo konceptu.[..]
(120)ASV valdība apņemas nodrošināt, ka, veicot savas funkcijas, privātuma aizsardzību ombuds varēs paļauties uz sadarbību no citiem pārraudzības un atbilstības pārbaudes mehānismiem, kuri pieejami ASV tiesību aktos. [..] Ja viena no šīm pārraudzības iestādēm ir konstatējusi neatbilstību, attiecīgajam izlūkdienestu elementam (piemēram, izlūkošanas aģentūrai) būs jānovērš neatbilstība, jo tikai šādi ombuds varēs sniegt personai pozitīvu atbildi (t.i., ka jebkāda neatbilstība ir novērsta) – kā ASV valdība ir to apņēmusies. [..][..]
(136)Ņemot vērā minētos konstatējumus, Komisija uzskata, ka Amerikas Savienotās Valstis nodrošina pienācīgu aizsardzības līmeni personas datiem, kas [Eiropas Savienības] un [Amerikas Savienoto Valstu] privātuma vairoga ietvaros no Savienības tiek nosūtīti organizācijām Amerikas Savienotajās Valstīs.[..]
(140)Visbeidzot, pamatojoties uz pieejamo informāciju par ASV tiesību sistēmu, tostarp ASV valdības apgalvojumiem un saistībām, Komisija uzskata, ka jebkāda ASV valsts iestāžu iejaukšanās to personu pamattiesībās, kuru dati privātuma vairoga ietvaros no Savienības tiek nosūtīti uz Amerikas Savienotajām Valstīm, ja tas notiek valsts drošības, tiesībaizsardzības vai citu valsts interešu nolūkos, un sekojošie ierobežojumi, kas piemēroti pašsertificētām organizācijām attiecībā uz to principialitāti, būs ierobežoti līdz tādam apmēram, kas ir absolūti nepieciešams, lai sasniegtu attiecīgo likumīgo mērķi, un tādējādi tie nodrošina efektīvu tiesisko aizsardzību pret šādu iejaukšanos.
46Saskaņā ar PV lēmuma 1. pantu:1.Direktīvas [95/46] 25. panta 2. punkta izpratnē Amerikas Savienotās Valstis nodrošina pienācīgu aizsardzības līmeni personas datiem, kas [Eiropas Savienības] un [Amerikas Savienoto Valstu] privātuma vairoga ietvaros no Savienības tiek nosūtīti organizācijām Amerikas Savienotajās Valstīs.2.[Eiropas Savienības] un [Amerikas Savienoto Valstu] privātuma vairogu veido principi, kurus ASV Tirdzniecības ministrija izdevusi 2016. gada 7. jūlijā, kas izklāstīti II pielikumā, un oficiālie apgalvojumi un saistības, kas iekļautas dokumentos I un III–VII pielikumā.3.Šā panta 1. punkta īstenošanai personas dati tiek pārsūtīti [Eiropas Savienības] un [Amerikas Savienoto Valstu] privātuma vairoga ietvaros, ja tos no Savienības pārsūta Amerikas Savienoto Valstu organizācijām, kuras ir iekļautas Privātuma vairoga sarakstā, ko uztur un publicē ASV Tirdzniecības ministrija saskaņā ar II pielikumā izklāstīto principu I un III sadaļu.
47PV lēmuma II pielikuma [Eiropas Savienības] un [Amerikas Savienoto Valstu] privātuma vairoga regulējuma principi, ko izdevusi ASV Tirdzniecības ministrija I.5. punktā ir paredzēts, ka šo principu ievērošanu var ierobežot tostarp, lai ievērotu valsts drošību, sabiedrības intereses vai izpildītu tiesībaizsardzības prasības.48Šī lēmuma III pielikumā ir ietverta Džona Kerija [John Kerry], toreizējā Secretary of State (Valsts sekretārs, Amerikas Savienotās Valstis), 2016. gada 7. jūlija vēstule tieslietu, patērētāju un dzimumu līdztiesības komisārei, šīs vēstules A pielikumā pievienojot memorandu ar nosaukumu [Eiropas Savienības] un ASV privātuma vairoga ombuda mehānisms sakaru izlūkošanas jomā, kurā ir ietverts šāds fragments:Atzīstot [Eiropas Savienības] un ASV privātuma vairoga regulējuma nozīmi, šajā memorandā ir izklāstīts process, kas jāievēro, lai īstenotu jauno mehānismu – atbilstīgi Prezidenta politikas direktīvai Nr. 28 (PPD‑28) – sakaru izlūkošanas jomā.
[..] Prezidents B. Obama paziņoja, ka, lai skaidri noteiktu, kādas darbības mēs veicam un kādas neveicam saistībā ar mūsu īstenoto aizjūras izlūkošanu, tiks pieņemta jauna prezidenta direktīva – PPD‑28.
Tās 4. panta d) punktā ir noteikts, ka valsts sekretārs ieceļ vecāko koordinatoru starptautiskās informācijas tehnoloģijas diplomātijas jautājumos (vecākais koordinators), kas [..] darbosies kā kontaktpersona ārvalstu valdībām, kuras vēlas paust bažas par Amerikas Savienoto Valstu īstenotajām sakaru izlūkošanas darbībām.
[..]
- 1)[Vecākais koordinators] darbosies kā privātuma vairoga ombuds un [..] cieši sadarbosies ar attiecīgajiem darbiniekiem no citām ministrijām un aģentūrām, kas atbild par pieprasījumu apstrādi atbilstīgi piemērojamiem Amerikas Savienoto Valstu tiesību aktiem un politikai. Ombuds ir neatkarīgs no izlūkdienestiem. Ombuds ir tieši pakļauts valsts sekretāram, kas nodrošina, ka ombuds savus uzdevumus veic objektīvi un neatkarīgi no neatbilstīgas ietekmes, kas var ietekmēt sniedzamo atbildi.
[..]
49PV lēmuma VI pielikumā ir ietverta Valsts izlūkdienesta biroja (Office of the Director of National Intelligence) 2016. gada 21. jūnija vēstule ASV Tirdzniecības ministrijai, kā arī Starptautiskās tirdzniecības administrācijai, kurā ir precizēts, ka PPD‑28 ļauj veikt lielapjoma vākšanu [jeb] sakaru izlūkošanas informācijas vai datu iegūšanu relatīvi lielā daudzumā apstākļos, kad izlūkdienesti vākšanas fokusēšanai nevar izmantot identifikatoru, kas saistīts ar konkrētu mērķi.