Vispārīgā Datu aizsardzības regula nosaka vairākus personas datu nosūtīšanas mehānismus attiecībā uz datu tālāku apstrādi trešajās valstīs, kas ļauj atbildīgajām personām (datu pārziņiem un apstrādātājiem) izvēlēties sev piemērotāko datu nosūtīšanas mehānismu, informē Datu Valsts inspekcija (DVI).
Standarta līguma klauzulas (turpmāk arī – standarta datu aizsardzības klauzulas vai standartklauzulas) ir Eiropas Komisijas pieņemtie personas datu pārsūtīšanas līgumu paraugi, kas nosaka datu pārsūtīšanas kārtību, apstrādes mērķus un izvēles līdzekļus starp diviem uzņēmējiem (pārziņiem) (Standarta līguma klauzu paraugi atrodami https://eur-lex.europa.eu/legal-content/en/ALL/?uri=CELEX:32001D0497; un https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX%3A32004D0915) vai starp uzņēmējiem, no kuriem ES aktīva uzņēmēja norādījumus personas datu apstrādē pilda ārpus ES aktīvs uzņēmums (Standarta līguma klauzu paraugs atrodams https://eur-lex.europa.eu/legal-content/en/TXT/?uri=CELEX%3A32010D0087).
Šo klauzulu mērķis ir atvieglot datu apstrādātāju uzdevumu, apkopojot to nepieciešamo prasību kopumu, kas ļautu nodrošināt adekvātu personas datu aizsardzību trešajā valstī. Šo instrumentu var uzskatīt par “gatavu lietošanai” un ātri iestrādāt divpusējā līgumā, ņemot vērā konkrētā gadījuma vajadzības. Standartklauzulas var ietvert plašākā līgumā kā nosacījumu kopumu personas datu apstrādē, taču standarta līguma klauzulu teksts līgumā nevar tikt grozīts un tekstu nevar papildināt veidā, kas mazinātu standartklauzulās ietverto nosacījumu piemērošanu. Savukārt ietvert papildu prasības, kas nenonāk pretrunā un negroza standartklauzulu tekstu un kuru mērķis ir augstāka personas datu aizsardzības standarta ieviešana ir atļauts un vēlams.
Īpašās līguma klauzulas, jeb ad hoc klauzulas, ir personas datu pārsūtīšanas līgumi, kas ļauj kontrolēt datu pārsūtīšanu īpašās situācijās, piemēram, ja standarta līguma klauzulas nav piemērojamas vai ir jāmaina. DVI vērš uzmanību, ka ad hoc līguma noteikumi ir jāapstiprina DVI, kuras kompetencē ir ad hoc līguma klauzulu saskaņošana ievērojot regulā noteikto procedūru.
Tāpat DVI vērš uzmanību, ka šādā gadījumā līgumā būtu ietverami vismaz:
- 1. Skaidri apstrādes nolūki un tvērums.
- 2. Izmantojamā terminoloģija.
- 3. Panāktā līguma slēdzēju pušu vienprātība par personas datu apstrādes principu (nolūka ierobežojuma princips, datu precizitātes un minimizēšanas princips, glabāšanas ierobežojums, datu drošība) piemērošanu:
Nolūka ierobežojuma princips
Jānodrošina, ka puses iegūtos datus neizmantos ar sākotnējo datu apstrādes nolūku nesavietojamā veidā, šo varētu panākt nosakot, ka datus aizliegt izmantot citam nolūkam kā vien līgumā norādītajam.
Datu precizitātes un minimizēšanas princips
Līgumā jānosaka, ka apstrādātie dati ir atbilstīgi to nosūtīšanas nolūkam. Jāparedz arī kārtība kā nodrošināt datu labošanu, ja tiktu atklāts, ka nosūtītie dati ir neprecīzi.
Glabāšanas ierobežojums
Līgumā būtu jāparedz konkrēti datu glabāšanas ierobežojumi, tai skaitā paredzot datu dzēšanas kārtību
Datu drošība
Jānodrošina, ka puses ievieš datu apstrādei atbilstīgus tehniskos un organizatoriskos pasākumus, lai nodrošinātu to konfidencialitāti.
- 4. Datu subjektu tiesību nodrošināšanas kārtība.
Līgumā būtu jāparedz pušu pienākumi un veicamās darbības attiecībā uz regulā noteikto datu subjekta tiesību nodrošināšanu.
- 5. Ierobežojums datu tālākai nodošanai, tai skaitā, ja personas dati tiek nodoti apstrādātājam, tad apakšapstrādātāju iesaistīšanas procedūra.
- 6. Ja datu apstrāde skar īpašas kategorijas datus, jāparedz papildu garantijas personas datu aizsardzībai.
- 7. Radušos zaudējumu atlīdzības mehānisms.
- 8. Kārtība un darbības, kā tiks uzraudzīta līguma darbība.
- 9. Līguma darbības pārtraukšanas kārtība
Vienlaikus DVI informē, ka katrs datu nodošanas gadījums ir atšķirīgs un precīzais līgumā iekļaujamo normu un nosacījumu kopums tiktu noteikts, ņemot vērā vairākus no gadījuma uz gadījumu variējošus faktorus. Iepriekš pieminētais uzskaitījums ir tikai ieteikumi paredzēto pasākumu datu atbilstīgas nosūtīšanas organizācijai un nav uzskatāmi par ieviešamo pasākumu izsmeļošu uzskaitījumu.
Saistošie uzņēmumu noteikumi attiecas uz uzņēmumu grupas iekšējo datu aizsardzības politiku attiecībā uz personas datu pārsūtīšanu ārpus ES. Tie ir juridiski saistoši, un tos ievēro attiecīgās uzņēmuma grupas dalībnieki, neatkarīgi no to reģistrācijas valsts, kā arī visi to darbinieki tajā pašā uzņēmumā vai grupā.
Ja uzņēmēji (datu pārziņi) un/vai uzņēmēji (apstrādātāji) ir iesnieguši Saistošos uzņēmumu noteikumus AK Datu aizsardzības iestādei (ICO) izskatīšanai, bet lēmums no ICO vēl nav saņemts, iesakām skatīt Eiropas Datu aizsardzības kolēģija mājas lapā publicēto paziņojumu par Saistošo uzņēmumu noteikumu izstrādes turpmāko kārtību.
