ES reforma datu aizsardzības jomā – Padome apstiprina vienošanos ar Eiropas Parlamentu

2015. gada 18. decembrī Pastāvīgo pārstāvju komiteja apstiprināja kompromisa tekstus par datu aizsardzības reformu, par kuriem panākta vienošanās ar Eiropas Parlamentu. Vienošanās starp Padomi, Parlamentu un Komisiju panākta 15. decembrī. Šī vienošanās atbilst Eiropadomes lūgumam pabeigt sarunas par datu aizsardzības reformu līdz 2015. gada beigām.

Luksemburgas tieslietu ministrs un Padomes priekšsēdētājs Fēlikss Bracs (Félix Braz) sacīja: "Tā ir fundamentāla vienošanās, kam būs svarīgas sekas. Ar šo reformu ne vien tiek nostiprinātas iedzīvotāju tiesības, bet arī uzņēmumiem saistošie noteikumi tiek pielāgoti digitālajam laikmetam, vienlaikus samazinot administratīvo slogu. Tie ir ambiciozi un uz nākotni vērsti dokumenti. Mēs varam būt pilnīgi pārliecināti par rezultātiem."  

Reforma datu aizsardzības jomā tiek īstenota ar tiesību aktu paketi, ar kuru Komisija nāca klajā 2012. gadā nolūkā atjaunināt un modernizēt datu aizsardzības noteikumus.  Tā attiecas uz diviem likumdošanas instrumentiem – Vispārīgo datu aizsardzības regulu (paredzēts, ka ar to aizstās Direktīvu 95/46/EK) un Datu aizsardzības direktīvu tiesībaizsardzības jomā (paredzēts, ka ar to aizstās 2008. gada Datu aizsardzības pamatlēmumu). 

Personu aizsardzība saistībā ar personas datu apstrādi ir viena no pamattiesībām, kas noteiktas ES Pamattiesību hartā (8. pantā) un Līgumā par Eiropas Savienības darbību (16. pantā).

Vispārīgā datu aizsardzības regula

Ar Vispārīgo datu aizsardzības regulu paredzēts uzlabot datu aizsardzības līmeni privātpersonām, kuru personas dati tiek apstrādāti, un palielināt uzņēmējdarbības iespējas digitālajā vienotajā tirgū, tostarp samazinot administratīvo slogu. 

Uzlabots datu aizsardzības līmenis

Privātpersonu personas datu aizsardzības principiem un noteikumiem jābalstās uz pamattiesībām un brīvībām, konkrēti, tiesībām uz personas datu aizsardzību. Šīs nostiprinātās tiesības uz datu aizsardzību piešķir datu aizsardzības subjektiem (privātpersonām, kuru dati tiek apstrādāti) lielāku kontroli par saviem personas datiem: 

• konkrētāki noteikumi, ar ko datu pārziņiem (tiem, kuri ir atbildīgi par datu apstrādi) atļauj apstrādāt personas datus, tostarp izvirzot prasību, ka vajadzīga attiecīgo privātpersonu piekrišana;
• vieglāka piekļuve saviem personas datiem;
• labāka informācija par to, kas notiek ar personas datiem, kad ar tiem dalās. Tas ietver datu pārziņu pienākumu skaidrā un vienkāršā valodā vai izmantojot standartizētas ikonas informēt cilvēkus par savu politiku privātuma aizsardzības jomā;
• tiesības izdzēst personas datus un "tikt aizmirstam". Tas, piemēram, dod iespēju datu subjektiem pieprasīt nekavējoties dzēst personas datus, kas apkopoti vai publicēti sociālajā tīklā, kad attiecīgā persona vēl bija bērns;
• ja jaunietis, kam vēl nav 16 gadu, vēlas izmantot tiešsaistes pakalpojumus, pakalpojumu sniedzējam jāmēģina pārliecināties, ka ir saņemta vecāku atļauja. Dalībvalstis var samazināt šo vecuma slieksni, tomēr ne zemāk par 13 gadiem;
• pārnesamības tiesības, kas veicina vieglāku personas datu pārraidi no viena pakalpojumu sniedzēja, piemēram, sociālā tīkla, citam pakalpojumu sniedzējam. Tas ne vien palielinās datu aizsardzības tiesības, bet arī veicinās konkurenci starp pakalpojumu sniedzējiem;
• tiesības iebilst pret personas datu apstrādi saistībā ar sabiedrības interesēm vai datu pārziņa likumīgām interesēm. Šīs tiesības ietver personas datu izmantošanu profila veidošanas nolūkos;
• kopīgus drošības pasākumus, kas ietver personas datu apstrādi arhivēšanas nolūkos tādos gadījumos, kad tas ir sabiedrības interesēs un zinātniskiem un vēsturiskiem pētījumiem vai statistiskos nolūkos.

Lai nodrošinātu to, ka tiesiskā aizsardzība ir pieejama tuvumā, datu subjektiem ir tiesības ikvienu personas datu aizsardzības iestādes lēmumu izskatīt savas valsts tiesā, neatkarīgi no tā, kurā dalībvalstī strādā datu pārzinis. 

Uzlabotas uzņēmējdarbības iespējas digitālajā vienotajā tirgū

Regulā ir paredzēts vienots noteikumu kopums, kas būtu spēkā visā ES un piemērojams gan Eiropas, gan trešo valstu uzņēmumiem, kas piedāvā tiešsaistes pakalpojumus ES. Tādējādi tiktu novērsta situācija, ka pretrunīgi valstu datu aizsardzības noteikumi varētu traucēt datu pārrobežu apmaiņai. Tādējādi tiktu nodrošināta arī plašāka sadarbība starp dalībvalstīm, lai nodrošinātu datu aizsardzības noteikumu saskaņotu piemērošanu visā ES. Tas radīs godīgu konkurenci un veicinās to, lai uzņēmumi, jo īpaši mazie un vidējie uzņēmumi, gūtu maksimālu labumu no digitālā vienotā tirgus. 

Lai mazinātu izmaksas un nodrošinātu juridisko noteiktību, svarīgās starpvalstu lietās, kurās iesaistītas vairākas valsts uzraudzības iestādes, tiks pieņemts vienots uzraudzības lēmums. Šis vienas pieturas aģentūras mehānisms dod iespēju uzņēmumam, kas aktīvi darbojas vairākās dalībvalstīs, kārtot jautājumus tikai ar tās dalībvalsts datu aizsardzības iestādi, kurā ir uzņēmuma galvenā uzņēmējdarbības vieta. Šis mehānisms nodrošina arī to, ka domstarpību gadījumos visā ES ir piemērojams vienots lēmums. 

Lai samazinātu administratīvās izmaksas, regulā ir piemērota uz risku balstīta pieeja – datu pārziņi var īstenot pasākumus atbilstīgi tai riska pakāpei, kas saistīta ar to veiktajām datu apstrādes darbībām. Dažādi uzņēmumi veic dažādas darbības, un tādu darbību radītie riski attiecībā uz privātumu var būt atšķirīgi. Regulā ir paredzēti risinājumi, kas nav vienādi piemērojami visās situācijās,– proti, jo lielāku risku personas datiem rada attiecīgās darbības, jo stingrāki ir pienākumi. 

Vairāk un labāki rīki, lai nodrošinātu atbilstību datu aizsardzības noteikumiem

Regulā ir paredzēts pasākumu klāsts ar mērķi palielināt datu pārziņu atbildību un pārskatatbildību, lai nodrošinātu jauno datu aizsardzības noteikumu pilnīgu piemērošanu. Datu pārziņiem ir jāīsteno vairāki drošības pasākumi, tostarp prasība atsevišķos gadījumos informēt par personas datu aizsardzības pārkāpumiem. Lai regulu piemērotu nākotnes prasībām, ir ieviesta integrēta datu aizsardzība un aizsardzība pēc noklusējuma. Valsts sektora iestādēm un tiem uzņēmumiem, kas veic konkrētas riskantas datu apstrādes darbības, ir jāieceļ datu aizsardzības inspektors, lai nodrošinātu noteikumu ievērošanu. 

Datu subjekti, kā arī, noteiktos apstākļos, datu aizsardzības organizācijas var iesniegt uzraudzības iestādei sūdzību vai pieprasīt tiesisku aizsardzību gadījumos, ja netiek ievēroti datu aizsardzības noteikumi. Datu pārziņiem var piespriest naudas sodu līdz €20 miljoniem vai 4 % no viņu kopīgā gada apgrozījuma. 

Garantijas attiecībā uz personas datu pārsūtīšanu ārpus ES

Regulā ir ietverti noteikumi attiecībā uz personas datu pārsūtīšanu uz trešām valstīm un starptautiskām organizācijām. Pārsūtīšana ir atļauta, ja ir izpildīti vairāki priekšnoteikumi un veikti aizsardzības pasākumi, jo īpaši ja Komisija ir secinājusi, ka pastāv adekvāts aizsardzības līmenis. Jaunus lēmumus par atbilstību būs jāpārskata vismaz reizi četros gados. Esošie lēmumi par atbilstību un pilnvarojumi paliek spēkā līdz tie tiek grozīti, aizstāti vai atcelti.   

Datu aizsardzības direktīva tiesībaizsardzības jomā

Šīs direktīvas mērķis ir aizsargāt personas datus, ko apstrādā, lai novērstu, izmeklētu, atklātu noziedzīgus nodarījumus vai sāktu kriminālvajāšanu, vai izpildītu kriminālsodus, tostarp lai pasargātu no draudiem sabiedriskajai drošībai un tos novērstu. 

Ir būtiski konsekventi nodrošināt personas datu augstu aizsardzības līmeni, tajā pašā laikā atvieglinot personas datu apmaiņu starp dažādu dalībvalstu tiesībaizsardzības iestādēm. 

Plašāka piemērošanas joma

Papildus darbībām, kas vērstas uz noziedzīgu nodarījumu novēršanu, izmeklēšanu, atklāšanu vai kriminālvajāšanu, jaunajā direktīvā ir paredzēti arī aizsardzības pasākumi sabiedriskās drošības apdraudējumu novēršanai. 

Jaunā direktīva tiktu piemērota gan personas datu pārrobežu apstrādei, gan arī tādai personas datu apstrādei, ko policijas un tiesu iestādes veic tikai valsts līmenī. Pamatlēmumā, kuru paredzēts aizstāt, bija iekļauta vienīgi datu pārrobežu apmaiņa. 

Datu subjektu tiesības

Noteikumos ir panākts līdzsvars starp tiesībām uz privātumu un nepieciešamību policijai izmeklēšanas sākumstadijā neatklāt, ka notiek datu apstrāde. Tomēr dokumentā ir norādīta informācija, ko datu subjektam vienmēr ir tiesības saņemt, lai tas varētu aizsargāt savas tiesības, ja pastāv bažas, ka notikuši pārkāpumi attiecībā pret tā datiem. 

Jaunie noteikumi attieksies arī uz personas datu nosūtīšanu uz trešām valstīm un starptautiskām organizācijām. 

Atbilstība

Jaunajā direktīvā ir paredzēts, ka tiek iecelts datu aizsardzības inspektors, lai palīdzētu kompetentajām iestādēm nodrošināt atbilstību datu aizsardzības noteikumiem. 

Vēl viens instruments, ar ko nodrošināt atbilstību, ir ietekmes novērtējums. Ja pastāv iespēja, ka apstrādes veids radīs lielu risku privātpersonu tiesībām un brīvībām, kompetentajām iestādēm ir jāizvērtē konkrētās apstrādes potenciālā ietekme, jo īpaši gadījumā, ja tiek izmantota jauna tehnoloģija.   

Uzraudzība un kompensācija

Direktīvas teksts ir pieskaņots regulas tekstam, lai nodrošinātu, ka kopumā tiek piemēroti tie paši vispārējie principi. Turklāt noteikumi par uzraudzības iestādi ir diezgan līdzīgi, jo uzraudzības iestāde, kas tika izveidota saistībā ar Vispārīgo datu aizsardzības regulu, var uzņemties arī uzdevumus saistībā ar šo direktīvu. Ar jauno direktīvu datu subjektiem tiktu garantētas arī tiesības saņemt kompensāciju, ja viņi ir cietuši zaudējumus tādas apstrādes dēļ, kurā minētie noteikumi nav ievēroti.                        

TURPMĀKIE PASĀKUMI

17. decembrī ārkārtas sanāksmē Eiropas Parlamenta Pilsoņu brīvību, tieslietu un iekšlietu (LIBE) komiteja apstiprināja tekstus, par kuriem tika panākta vienošanās trialogos. Šis atbalsts deva iespēju Pastāvīgo pārstāvju komitejai šodien apstiprināt galīgos regulas un direktīvas kompromisa tekstus. Kad šos tekstus būs izskatījuši juristi lingvisti, tos iesniegs pieņemšanai Padomē un pēc tam – Parlamentā. Paredzams, ka regula un direktīva stāsies spēkā 2018. gada pavasarī.