GDPR – Trešās valstis

Ņemot vērā starptautisko tirdzniecību un sadarbību, mūsdienās ir būtiski spēt pārsūtīt datus uz trešām valstīm. Šāda pārsūtīšanas leģitimitātes pārbaude notiek divos posmos.

Pirmkārt, pašam datu pārrobežu nosūtīšanai ir jābūt likumīgam. Jebkāda personas datu apstrāde ir aizliegta, ja vien tā nav autorizēta. Papildus piekrišanai, VDAR 6. pants nosaka turpmākus autorizācijas iemeslus, piemēram, līguma izpildi vai dzīvības svarīgu interešu aizsardzību. Attiecībā uz īpašiem personas datiem, kuriem nepieciešama augstāka aizsardzības pakāpe, VDAR 9. pants nosaka atsevišķas juridiskās prasības.

Ja plānotā datu pārsūtīšana atbilst vispārīgajām prasībām, otrajā solī jāpārbauda, vai pārsūtīšana uz trešo valsti ir atļauta. Jānošķir drošās un nedrošās trešās valstis. Drošās trešās valstis ir tās, par kurām Eiropas Komisija ir apstiprinājusi atbilstošu datu aizsardzības līmeni, pamatojoties uz piemērotības lēmumu. Šajās valstīs nacionālie likumi nodrošina persondatu aizsardzības līmeni, kas ir salīdzināms ar ES tiesību aktiem. Trešās valstis, kas nodrošina atbilstošu aizsardzības līmeni, ir: Andora, Argentīna, Kanāda (tikai komerciālās organizācijas), Farēru salas, Gērnsija, Izraēla, Menas Sala, Džērsija, Jaunzēlande, Šveice, Urugvaja, Japāna, Apvienotā Karaliste un Dienvidkoreja. Datu pārsūtīšana uz šīm valstīm ir tieši atļauta.

Kopš 2023. gada 10. jūlija ir spēkā atbilstības lēmums par tā dēvēto ES-ASV Datu privātuma ietvaru. Tas ļauj pārsūtīt personas datus no ES uz ASV uzņēmumiem un organizācijām, kas ir pievienojušās Datu privātuma ietvaram ar sertifikācijas palīdzību. Sertificētie uzņēmumi un organizācijas ir atrodami šajā sarakstā. Datu pārsūtīšana uz nesertificētiem ASV uzņēmumiem un organizācijām vairs nevar tikt veikta, pamatojoties uz Komisijas Īstenošanas lēmumu (ES) 2016/1250, kas izdots 2016. gada 12. jūlijā saskaņā ar Eiropas Parlamenta un Padomes Direktīvu 95/46/EK par ES-ASV datu aizsardzības vairogu (Privātuma vairogs) atbilstību. Jo ar spriedumu “Schrems II” 2020. gada 16. jūlijā (lietā C-311/18) Eiropas Savienības Tiesa šo Īstenošanas lēmumu pasludināja par spēkā neesošu ar tūlītēju iedarbību. Datu pārsūtīšanai uz nesertificētiem ASV uzņēmumiem un organizācijām ir nepieciešamas citas garantijas saskaņā ar GDPR 44. un turpmākajiem pantiem, lai nodrošinātu atbilstošu datu aizsardzības līmeni.

Ja valstij nav pieņemts pietiekamības lēmums, tas ne vienmēr izslēdz jebkādu datu pārnesi uz šo valsti. Drīzāk atbildīgajai personai ir jānodrošina citādā veidā, ka saņēmējs pietiekami aizsargās personas datus. Tas var tikt nodrošināts, izmantojot standarta līguma nosacījumus, datu pārsūtīšanai Grupas ietvaros izmantot tā sauktu “saistošus uzņēmuma noteikumus”, apņemoties ievērot uzvedības kodeksus, kurus Eiropas Komisija ir atzinusi par vispārēji piemērojamiem, vai ar datu apstrādes procedūras sertifikāciju.

Turklāt ir vairākas izņēmumu, kas attaisno datu pārsūtīšanu uz trešo valsti, pat ja personas datu aizsardzību nevar pietiekami nodrošināt. Visbiežāk šajā gadījumā nozīmīga ir datu subjekta piekrišana. Tajā pašā laikā īpaši jāievēro prasības, lai piekrišana tiktu sniegta brīvprātīgi. Citi izņēmumi, piemēram, pārsūtīšana līgumu izpildes nolūkos, svarīgu sabiedrisku interešu dēļ un juridisko tiesību pārstāvība, praksē parasti ir mazāk nozīmīgi.