Personas datu pārsūtīšana trešajām valstīm: līguma standartklauzulas

KOPSAVILKUMS:

Komisijas Lēmums 2010/87/ES par līguma standartklauzulām attiecībā uz personas datu pārsūtīšanu trešās valstīs reģistrētiem apstrādātājiem saskaņā ar Eiropas Parlamenta un Padomes Direktīvu 95/46/EK

KĀDS IR ŠĪ LĒMUMA MĒRĶIS?

Tajā ir izklāstītas līguma standartklauzulas, kuras var izmantot datu pārziņi* (nosūtītāji) Eiropas Savienībā, kas pārsūta personas datus* datu apstrādātājiem* (saņēmējiem) ārpus ES vai EEZ, lai nodrošinātu atbilstošus datu aizsardzības tiesiskās aizsardzības līdzekļus un līdz ar to ievērotu ES datu aizsardzības tiesību aktu noteikumus (Vispārīgā datu aizsardzības regula – Regula (ES) 2016/679 – skatiet kopsavilkumu).

SVARĪGĀKIE ASPEKTI

Līguma standartklauzulas ir izklāstītas lēmuma pielikumā, kā norādīts tālāk. Līguma standartklauzulas ir attiecināmas tikai uz datu aizsardzību, un puses var tās iekļaut plašākā līgumā vai papildināt ar citām klauzulām vai papildu tiesiskās aizsardzības līdzekļiem, norādot, ka tie nav tieši vai netieši pretrunā ar šajā lēmumā pieņemtajām līguma standartklauzulām.

1. klauzula. Definīcijas

Šajā klauzulā ir noteiktas līguma standartklauzulu galveno jēdzienu definīcijas.

2. klauzula. Sīkas ziņas par pārsūtīšanu

Pusēm līguma standartklauzulu papildinājumā ir jānorāda sīkas ziņas par pārsūtīšanu, tostarp datu nosūtītāja un saņēmēja atbilstošās darbības, pārsūtīto personas datu kategorijas un apstrādes darbības, kādas tiks veiktas ar personas datiem pēc pārsūtīšanas.

3. klauzula. Ieinteresētās trešās personas klauzula

Ar šo klauzulu datu subjekts kā ieinteresētā trešā persona var piemērot pret datu nosūtītāju, datu saņēmēju vai apakšapstrādātāju vairākas klauzulas. Turklāt šajā klauzulā ir norādīts, ka personas neiebilst pret datu subjektu, kuru pārstāv asociācija vai cita iestāde, ja tas ir atļauts valsts tiesību aktos.

4. klauzula. Datu nosūtītāja pienākumi

Šajā klauzulā ir izklāstītas datu nosūtītāja līgumsaistības, kas piekrīt un garantē:

apstrādāt personas datus tikai saskaņā ar datu aizsardzības tiesību aktiem;
dot norādījumus datu saņēmējam apstrādāt datus vienīgi datu nosūtītāja uzdevumā un saskaņā ar datu aizsardzības tiesību aktiem un klauzulām;
sniegt (un ievērot) pietiekamas garantijas attiecībā uz tehniskajiem un organizatoriskajiem drošības pasākumiem, lai aizsargātu personas datus pret nejaušu vai nelikumīgu iznīcināšanu, pazaudēšanu, pārveidošanu, nesankcionētu atklāšanu vai piekļuvi, it īpaši gadījumos, kad apstrāde notiek tīklā;
informēt datu subjektu, ja var tikt pārsūtītas īpašas datu kategorijas uz trešajām valstīm, kur netiek nodrošināta pietiekama datu aizsardzība;
pārsūtīt paziņojumu, ko tas ir saņēmis no datu saņēmēja par tā nespēju ievērot klauzulas, kompetentajām uzraudzības iestādēm, ja tas izlemj turpināt datu pārsūtīšanu;
pēc pieprasījuma nodrošināt datu subjektiem klauzulu kopijas kopā ar drošības pasākumu kopsavilkumu;
ja notiek apakšapstrādāšana, apakšapstrādātājam ir jānodrošina vismaz tāds pats personas datu aizsardzības līmenis, kādu nodrošina datu saņēmējs.

5. klauzula. Datu saņēmēja pienākumi

Šajā klauzulā ir izklāstītas datu saņēmēja līgumsaistības, kas piekrīt un garantē:

apstrādāt personas datus vienīgi datu nosūtītāja vārdā un saskaņā ar tā norādījumiem un klauzulām;
ka tam nav iemesla uzskatīt, ka datu saņēmējam piemērojamie tiesību akti neļauj tam izpildīt datu nosūtītāja norādījumus un līgumā paredzētos pienākumus;
nekavējoties paziņot datu nosūtītājam par šo tiesību aktu izmaiņām, kam, visticamāk, būs būtiska ietekme uz klauzulas garantijām un saistībām, un šādā gadījumā datu nosūtītājam ir tiesības apturēt datu pārsūtīšanu un/vai izbeigt līgumu;
pirms pārsūtīto personas datu apstrādes ieviest tehniskos un organizatoriskos drošības pasākumus;
nekavējoties paziņot datu nosūtītājam par jebkuru tiesībaizsardzības iestāžu juridiski saistošu pieprasījumu atklāt personas datus, jebkuru nejaušu vai neatļautu piekļuvi, kā arī jebkuru pieprasījumu, kas tiešā veidā saņemts no datu subjektiem, neatbildot uz minēto pieprasījumu, ja vien tas nav citādi pilnvarots to darīt;
nekavējoties atbildēt uz visiem datu nosūtītāja pieprasījumiem un ievērot uzraudzības iestādes padomus;
pēc datu nosūtītāja pieprasījuma ļaut datu apstrādes telpās veikt revīziju par apstrādes darbībām, uz kurām attiecas klauzulas;
pēc pieprasījuma nodrošināt datu subjektiem klauzulu kopijas kopā ar drošības pasākumu kopsavilkumu;
nolīgt apakšapstrādātāju tikai ar datu nosūtītāja iepriekš saņemtu rakstisku piekrišanu.

6. klauzula. Atbildība

Saskaņā ar klauzulām puses vienojas, ka datu subjektam, kam nodarīts kaitējums jebkādu saistību pārkāpumu rezultātā, ir tiesības saņemt no datu nosūtītāja kompensāciju par nodarīto kaitējumu.

7. klauzula. Starpniecība un jurisdikcija

Datu saņēmējs piekrīt, ka gadījumā, ja datu subjekts attiecībā uz to piemēro ieinteresētās trešās personas tiesības un/vai saskaņā ar klauzulām pieprasa kompensāciju par kaitējumu, datu saņēmējs pieņems datu subjekta lēmumu un strīda izšķiršanai izmantos neatkarīgas personas vai tās ES dalībvalsts tiesas, kurā datu nosūtītājs ir reģistrēts (ar tiesībām meklēt tiesisko aizsardzību saskaņā ar citiem valsts vai starptautiskajiem tiesību aktiem).

8. klauzula. Sadarbība ar uzraudzības iestādēm

Ar šo klauzulu tiek regulēta sadarbība ar kompetento uzraudzības iestādi, norādot, ka:

uzraudzības iestādei ir tiesības veikt datu saņēmēja un jebkura apakšapstrādātāja revīziju;
datu saņēmējs piekrīt informēt datu nosūtītāju par jebkuriem tiesību aktiem, kas neļauj veikt datu saņēmēja revīziju. Šādā gadījumā datu nosūtītājam ir tiesības apturēt datu pārsūtīšanu vai pārtraukt līgumu.

9. klauzula. Piemērojamie tiesību akti

Klauzulas reglamentē tās ES dalībvalsts tiesību akti, kurā datu nosūtītājs ir reģistrēts.

10. klauzula. Izmaiņas līgumā

Puses nedrīkst mainīt, grozīt klauzulas vai rīkoties pretrunā ar tām.

11. klauzula. Apakšapstrāde

Uz apakšapstrādi attiecināmos noteikumus reglamentē tās ES dalībvalsts tiesību akti, kurā datu nosūtītājs ir reģistrēts.

12. klauzula. Pienākumi pēc personas datu apstrādes pakalpojumu izbeigšanas

Ar šo klauzulu regulē pušu pienākumus pēc datu apstrādes pakalpojumu izbeigšanas. It īpaši puses vienojas, ka, izbeidzot personas datu apstrādes pakalpojumu sniegšanu, datu saņēmējs un apakšapstrādātājs atdod (vai pēc pieprasījuma iznīcina) visus pārsūtītos personas datus, ja vien tiesību akti neliedz to darīt.

KOPŠ KURA LAIKA LĒMUMS IR PIEMĒROJAMS?

Tas ir piemērojams kopš 2010. gada 15. maija.

KONTEKSTS

Piezīme: par šo lēmumu tika iesniegts prejudiciāla nolēmuma pieprasījums, pēc kā 2020. gada 16. jūlijā tika pieņemts ES Tiesas spriedums (lieta C-311/18), kurā Tiesa atzina lēmuma spēkā esamību.
Eiropas Komisija ir izdevusi arī divas līguma standartklauzulu kopas datu pārsūtīšanai no datu pārziņiem ES datu pārziņiem ārpus ES vai EEZ.
Skatīt arī:
- Datu aizsardzība (Eiropas Komisija).

GALVENIE TERMINI

Datu pārzinis: fiziska vai juridiska persona, valsts iestāde, aģentūra vai cita iestāde, kas nosaka personas datu apstrādes mērķus un līdzekļus.

Personas dati: jebkāda informācija, kas saistīta ar personu (datu subjektu), kuru var tieši vai netieši identificēt pēc vārda, uzvārda, identifikācijas numura, atrašanās vietas datiem, tiešsaistes identifikatora vai faktoriem, kas raksturīgi konkrētās personas fiziskajai, fizioloģiskajai, ģenētiskajai, garīgajai, ekonomiskajai, kultūras vai sociālajai identitātei.

Datu apstrādātājs: fiziska vai juridiska persona, valsts iestāde, aģentūra vai cita iestāde, kas apstrādā personas datus datu pārziņa vārdā.

PAMATDOKUMENTS

Komisijas Lēmums 2010/87/ES (2010. gada 5. februāris) par līguma standartklauzulām attiecībā uz personas datu pārsūtīšanu trešās valstīs reģistrētiem apstrādātājiem saskaņā ar Eiropas Parlamenta un Padomes Direktīvu 95/46/EK (OV L 39, 12.2.2010., 5.–18. lpp.)

Lēmuma 2010/87/ES turpmākie grozījumi ir iekļauti pamattekstā. Šai konsolidētajai versijai ir tikai dokumentāla vērtība.

SAISTĪTIE DOKUMENTI

Eiropas Parlamenta un Padomes Regula (ES) 2016/679 (2016. gada 27. aprīlis) par fizisku personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti un ar ko atceļ Direktīvu 95/46/EK (Vispārīgā datu aizsardzības regula) (OV L 119, 4.5.2016., 1.–88. lpp.)

Skatīt konsolidēto versiju.

Komisijas Lēmums 2004/915/EK (2004. gada 27. decembris), ar ko groza Lēmumu 2001/497/EK attiecībā uz alternatīvu līguma standartklauzulu ieviešanu personas datu nosūtīšanai trešām valstīm (OV L 385, 29.12.2004., 74.–84. lpp.)

Komisijas Lēmums 2001/497/EK (2001. gada 15. jūnijs) par līguma standartklauzulām attiecībā uz personas datu nosūtīšanu trešām valstīm saskaņā ar Direktīvu 95/46/EK (OV L 181, 4.7.2001., 19.–31. lpp.)

Skatīt konsolidēto versiju.

Eiropas Parlamenta un Padomes Direktīva 95/46/EK (1995. gada 24. oktobris) par personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti (OV L 281, 23.11.1995., 31.–50. lpp.)

Skatīt konsolidēto versiju.

Pēdējo reizi atjaunots: 07.10.2020