Brisele, 9. oktobris. Pēdējā plenārsēdē Eiropas Datu aizsardzības kolēģija (EDAK) pieņēma atzinumu par konkrētiem pienākumiem, kas izriet no paļaušanās uz apstrādātāju(-iem) un apakšapstrādātāju(-iem), pamatnostādnes par leģitīmām interesēm, paziņojumu par papildu procesuālo noteikumu noteikšanu VDAR izpildei un EDAK darba programmu 2024.–2025. gadam.
Pirmkārt, EDAK pieņēma atzinumu par konkrētiem pienākumiem, kas izriet no paļaušanās uz apstrādātāju(-iem) un apakšapstrādātāju(-iem) pēc Dānijas Datu aizsardzības iestādes (DAI) pieprasījuma kolēģijai saskaņā ar VDAR 64. panta 2. punktu. VDAR 64. panta 2. punktā ir noteikts, ka jebkura DAI var lūgt kolēģiju sniegt atzinumu par jautājumiem, kas ir vispārēji piemērojami vai rada sekas vairāk nekā vienā dalībvalstī.
Atzinums attiecas uz situācijām, kad pārziņi paļaujas uz vienu vai vairākiem apstrādātājiem un apakšapstrādātājiem. Konkrētāk, tajā aplūkoti astoņi jautājumi par to, kā interpretēt konkrētus pienākumus pārziņiem, kuri paļaujas uz apstrādātājiem un apakšapstrādātājiem, kā arī pārziņa un apstrādātāja līgumu formulējumu, kas jo īpaši izriet no VDAR 28. panta.
Atzinumā paskaidrots, ka pārziņiem jebkurā laikā vajadzētu būt viegli pieejamai informācijai par visu apstrādātāju, apakšapstrādātāju utt. identitāti (t. i., vārdu, adresi, kontaktpersonu), lai viņi varētu vislabāk izpildīt savus pienākumus saskaņā ar VDAR 28. pantu. Turklāt pārziņa pienākums pārbaudīt, vai (apakš)apstrādātāji sniedz “pietiekamas garantijas”, būtu jāpiemēro neatkarīgi no riska datu subjektu tiesībām un brīvībām, lai gan šādas pārbaudes apjoms var atšķirties, jo īpaši pamatojoties uz riskiem, kas saistīti ar apstrādi.
Atzinumā arī norādīts, ka, lai gan sākotnējam apstrādātājam būtu jānodrošina, ka tas piedāvā apakšapstrādātājus ar pietiekamām garantijām, galīgais lēmums un atbildība par konkrēta apakšapstrādātāja iesaistīšanu paliek pārziņa ziņā.
EDAK uzskata, ka saskaņā ar VDAR pārzinim nav pienākuma sistemātiski pieprasīt apakšapstrādes līgumiem pārbaudīt, vai datu aizsardzības pienākumi ir nodoti tālāk apstrādes ķēdē. Pārzinim būtu jānovērtē, vai šādu līgumu kopijas pieprasīšana vai pārskatīšana ir nepieciešama, lai tas varētu pierādīt atbilstību VDAR.
Turklāt, ja personas datu nosūtīšana ārpus Eiropas Ekonomikas zonas notiek starp diviem (apakš-)apstrādātājiem, apstrādātājam kā datu nosūtītājam būtu jāsagatavo attiecīgā dokumentācija, piemēram, par izmantoto nosūtīšanas pamatojumu, nosūtīšanas ietekmes novērtējumu un iespējamiem papildu pasākumiem. Tomēr, tā kā uz pārzini joprojām attiecas pienākumi, kas izriet no VDAR 28. panta 1. punkta par “pietiekamām garantijām”, papildus tām, kas paredzētas 44. pantā, lai nodrošinātu, ka personas datu nosūtīšana nemazina aizsardzības līmeni, pārzinim būtu jāizvērtē šī dokumentācija un jāspēj to uzrādīt kompetentajai datu aizsardzības iestādei.
Pēc tam kolēģija pieņēma pamatnostādnes par personas datu apstrādi, pamatojoties uz leģitīmām interesēm.
Lai personas datus apstrādātu likumīgi, datu pārziņiem ir vajadzīgs tiesisks pamats. Likumīgās intereses ir viens no sešiem iespējamiem juridiskajiem pamatiem.
Šajās pamatnostādnēs ir analizēti VDAR 6. panta 1. punkta f) apakšpunktā noteiktie kritēriji, kas pārziņiem ir jāievēro, lai likumīgi apstrādātu personas datus, pamatojoties uz leģitīmām interesēm. Tajā ir ņemts vērā arī nesenais Tiesas spriedums šajā jautājumā (C-621/22, 2024. gada 4. oktobris).
Lai varētu paļauties uz leģitīmām interesēm, pārzinim ir jāizpilda trīs kumulatīvi nosacījumi:
- personas datu apstrādātāja vai trešās personas leģitīmo interešu īstenošana;
- nepieciešamība apstrādāt personas datus leģitīmo interešu īstenošanas nolūkā;
- Fizisko personu intereses vai pamatbrīvības un tiesības nav svarīgākas par pārziņa vai trešās personas leģitīmajām interesēm (līdzsvara veidošana).
Pirmkārt, par leģitīmām var uzskatīt tikai likumīgas, skaidri un precīzi formulētas, reālas un aktuālas intereses. Piemēram, šādas leģitīmas intereses varētu pastāvēt situācijā, kad fiziskā persona ir klients vai darbojas pārziņa labā.
Otrkārt, ja pastāv saprātīgas, tikpat efektīvas, bet mazāk traucējošas alternatīvas izvirzīto interešu īstenošanai, apstrādi nevar uzskatīt par nepieciešamu. Apstrādes nepieciešamība būtu jāpārbauda arī saskaņā ar datu minimizēšanas principu.
Treškārt, pārzinim ir jānodrošina, ka tā leģitīmās intereses nav svarīgākas par personas interesēm, proti, pamatbrīvību pamattiesībām. Veicot šo līdzsvarošanu, pārzinim ir jāņem vērā personu intereses, apstrādes ietekme un viņu pamatotās cerības, kā arī papildu aizsardzības pasākumu esība, kas varētu ierobežot ietekmi uz personu.
Turklāt šajās pamatnostādnēs ir paskaidrots, kā šis novērtējums būtu jāveic praksē, tostarp vairākos konkrētos kontekstos, piemēram, krāpšanas novēršanā, tiešajā tirgvedībā un informācijas drošībā. Dokumentā ir arī izskaidrota saikne starp šo juridisko pamatu un vairākām datu subjektu tiesībām saskaņā ar VDAR.
Pamatnostādnes tiks apspriestas sabiedriskajā apspriešanā līdz 2024. gada 20. novembrim.
Pēc tam kolēģija pieņēma paziņojumu pēc Eiropas Parlamenta un Padomes veiktajiem grozījumiem Eiropas Komisijas priekšlikumā regulai, ar ko nosaka papildu procesuālos noteikumus saistībā ar VDAR izpildi.
Paziņojumā kopumā atzinīgi vērtēti Eiropas Parlamenta un Padomes ieviestie grozījumi un ieteikts turpināt pievērsties konkrētiem elementiem, lai ar jauno regulu sasniegtu mērķus racionalizēt sadarbību starp iestādēm un uzlabot VDAR izpildi.
Paziņojumā ir sniegti praktiski ieteikumi, ko var izmantot saistībā ar gaidāmajiem trialogiem. Jo īpaši EDAK atkārtoti uzsver, ka ir vajadzīgs juridiskais pamats un saskaņota procedūra izlīguma panākšanai, un sniedz ieteikumus, lai nodrošinātu, ka konsenss par galveno jautājumu kopsavilkumu tiek panākts visefektīvākajā veidā. Kolēģija arī atzinīgi vērtē papildu termiņu iekļaušanu, vienlaikus atgādinot, ka tiem jābūt reālistiskiem, un mudina abus likumdevējus strīdu izšķiršanas procedūrā svītrot noteikumus, kas saistīti ar būtiskiem un motivētiem iebildumiem un “pamatojuma izklāstu”.
Lai gan paziņojumā ir atzinīgi vērtēts mērķis panākt lielāku pārredzamību, kopējas lietas materiālu ieviešana, kā to ierosinājis Eiropas Parlaments, prasītu sarežģītas izmaiņas dokumentu pārvaldības un komunikācijas sistēmās, ko izmanto Eiropas un valstu līmenī. Būtu rūpīgi jāizvērtē tehniskie risinājumi tās īstenošanai un sīkāk jāprecizē kārtība, kādā tiek piešķirta piekļuve tai.
EDAK atzinīgi vērtē Padomes grozījumu, kas ļauj vadošajai DAI atteikties no tā sauktās ciešākas sadarbības vienkāršās un vienkāršās lietās, taču uzsver, ka ir sīkāk jāprecizē šīs atteikšanās darbības joma.
EDAK priekšsēdētājs Anu Talus sacīja: “Regulas projektam ir potenciāls ievērojami racionalizēt VDAR izpildi, palielinot lietu izskatīšanas efektivitāti. Ir vajadzīga lielāka saskaņošana ES līmenī, lai maksimāli palielinātu VDAR sadarbības un konsekvences mehānismu pilnīgu efektivitāti.”
Pēdējā plenārsesijā valde pieņēma darba programmu 2024.–2025. gadam. Šī ir pirmā no divām darba programmām, ar kurām tiks īstenota 2024. gada aprīlī pieņemtā EDAK stratēģija 2024.–2027. gadam. Tā pamatā ir EDAK stratēģijā noteiktās prioritātes, un tajā ir ņemtas vērā arī vajadzības, kas identificētas kā vissvarīgākās ieinteresētajām personām.
Visbeidzot, EDAK locekļi piekrita piešķirt novērotāja statusu EDAK darbībās Kosovas Informācijas un privātuma aģentūrai (Kosovas DAI) saskaņā ar EDAK reglamenta 8. pantu.
Šeit publicētais paziņojums presei ir automātiski tulkots no angļu valodas. EDAK negarantē tulkojuma precizitāti. Ja rodas šaubas, lūdzu, skatiet oficiālo tekstu tā angļu valodas versijā.