Datu Valsts inspekcija publicējusi izvērstu skaidrojumu par izmaiņām, kas no 1. janvāra gaidāmas personas datu apmaiņā ar Lielbritāniju, kas pēc "Brexit" būs kļuvusi par tā saukto "trešo" valsti (ārpus Eiropas Savienības valsti).

Kādas ir sekas AK izstāšanās pārejas perioda noslēgumam personas datu plūsmas nodrošināšanā uz AK?

Pārejas periods noslēdzas ar 2020.gada 31.decembri. Tas nozīmē, ka 2021. gada 1.janvārī AK kļūs par trešo valsti. Savukārt tas nozīmē, ka personas datu nosūtīšanai uz AK būs attiecināmi Vispārīgās datu aizsardzības regulas (Regula)[1] V nodaļas “Personas datu nosūtīšana uz trešām valstīm vai starptautiskām organizācijām” nosacījumi.

Šajā gadījumā, atbildīgajām personām, kas veic personas datu apstrādi ES un plāno nosūtīt personas datus uz AK, būs nepieciešams nodrošināt personas datu aizsardzības līmeni, kas līdzinās ES personas datu aizsardzības līmenim, ievērojot nosacījumus, kas attiecināmi datu nosūtīšanai uz trešo valsti.

Personas, kuru veikto personas datu apstrādi skars pārejas perioda noslēgšanās

AK izstāšanās pārejas perioda noslēgšanās skars ikvienu kurš plāno veikt/turpināt veikt personas datu apstrādi, nosūtot tālāk datus apstrādei uz AK arī pēc 2021. gada 1.janvāra.

Personas datu apmaiņas režīma izmaiņas varētu skart, piemēram:

1. AK uzņēmumu filiāles Latvijā, kurām savas darbības (tai skaitā, atalgojuma sistēmas administrācijas vai klientu vadības sistēmas īpatnību dēļ) ietvaros ir nepieciešams nodot personas datus (gan klientu, gan arī nodarbināto) mātes uzņēmumam AK;
2. Latvijas uzņēmumiem, kas sniedz darbā iekārtošanas pakalpojumu darbam AK;
3. Uzņēmumiem, kas ir uzticējuši noteiktu darbību, kas saistītas ar personas datu apstrādi veikšanu ārpakalpojuma uzņēmumam (piemēram, uzņēmumam, kas sniedz atbalstu audita, personālvadības vai grāmatvedības funkcijas nodrošināšanā), kas ir bāzēts AK;
4. Pēc būtības jebkuru uzņēmumu vai iestādi, kura nosuta personas datus uz AK komerciālu vai sabiedrības interešu īstenošanas nolūkā.

Datu nosūtītājiem šajā gadījumā arī ir pienākums vērtēt personas datu nodošanas tiesiskuma aspektu atbilstoši Regulas V nodaļā noteiktajam.

Pasākumi, lai labāk sagatavotos AK izstāšanās pārejas perioda noslēgumam

Zemāk aprakstītās darbības ļaus ne tikai labāk sagatavoties  pārejas perioda noslēgumam, bet arī nodrošinās atbilstošu personas datu nosūtīšanas mehānismu ievērošanu saskaņā ar Regulas nosacījumiem:

1. Nosakiet personas datu apstrādes darbības, kas ir tieši saistītas ar personas datu nosūtīšanu uz AK;

Veiciet rūpīgu analīzi vai un kādas Jūsu pārziņā esošas personas datu plūsmas nonāk AK. Vērtējiet ar kādu personas datu apstrādes mērķu sasniegšanu šīs datu plūsmas saistītas. Nosakiet, kādas apstrādes darbības ar personas datiem tiks veiktas AK, kā arī kāds ir pašreizējais informācijas pārsūtīšanas uz AK juridiskais ietvars (līgums, vienošanās, utml. kas tieši saistībā ar personas datu apstrādi šajā dokumentā noteikts (tai skaitā kādi tehniskie un organizatoriskie risinājumi jāievieš AK pusei)).

2. Nosakiet personas datu apstrādei vispiemērotāko personas datu nosūtīšanas mehānismu;

Regulā norādīti vairāki iespējami mehānismi personas datu nosūtīšanai uz trešo valsti. Pirms personas datu nosūtīšanas ir jānosaka, kurš tieši no iespējamajiem mehānismiem būs attiecināms uz konkrēto datu nodošanas gadījumu.

3. Pārdomājiet, vai būs iespējams un kādiem līdzekļiem īstenot izvēlēto personas datu nosūtīšanas mehānismu tā, lai tas efektīvi darbotos no 2021. gada 1.janvāra;

Jāveic tādi grozījumi esošajā personas datu nodošanas mehānismā, kas nodrošinās, ka pārzinis vai apstrādātājs sniedz atbilstošas garantijas, un ar nosacījumu, ka tas nodrošinās, ka datu subjektiem ir pieejamas īstenojamas datu subjekta tiesības un efektīvi tiesiskās aizsardzības līdzekļi.

4. Pārstrādājiet organizācijas normatīvos aktus, iekļaujot tajos nepieciešamos papildinājumus, kas ļautu nosūtīt personas datus uz AK no 2021. gada 1.janvāra;

Organizācijai iekšējos dokumentos jāiekļauj izmaiņas, kas personas datu nodošanas procesam uz AK attiecinās tādu pat procedūru un iekšējos pasākumus kā personas datu nodošanai uz jebkuru trešo valsti, par kuru EK nav pieņēmusi lēmumu par personas datu aizsardzības līmeņa pietiekamību.

5. Vajadzības gadījumā sniedziet informāciju tām fiziskajām personām, kuru dati ir pakļauti datu nosūtīšanai ārpus EEZ uz AK.

Datu nosūtītājam ir jāprecizē uzņēmuma interneta vietnē pieejamā informācija attiecībā uz personas datu saņēmējiem trešajās valstīs, atspoguļojot, ka AK vairāk nav valsts, kurā esošais personas datu aizsardzības līmenis ir pielīdzināms ES esošajam personas datu aizsardzības līmenim. Līdz ar to, ja tiek nodoti personas dati uz AK visticamākais būs nepieciešami labojumi uzņēmuma privātuma politikā, vai analogā dokumentā, kurā ietverta informācija par personas datu aizsardzību uzņēmumā.

Nepieciešams apzināt un veikt pasākumus, kas ļaus efektīvākajā veidā sniegt informāciju personām, kuru personas dati var tikt nodoti uz AK par personas datu aizsardzības līmeņa maiņu sniedzot iespēju datu subjektiem pieņemt informētu lēmumu attiecībā uz to personas datu apstrādi trešajā valstī.