GDPR — General Data Protection Regulation

(2016. gada 27. aprīlis)

par fizisku personu aizsardzību attiecībā uz personas datu apstrādi, ko veic kompetentās iestādes, lai novērstu, izmeklētu, atklātu noziedzīgus nodarījumus vai sauktu pie atbildības par tiem vai izpildītu kriminālsodus, un par šādu datu brīvu apriti, ar ko atceļ Padomes Pamatlēmumu 2008/977/TI

EIROPAS PARLAMENTS UN EIROPAS SAVIENĪBAS PADOME,

ņemot vērā Līgumu par Eiropas Savienības darbību un jo īpaši tā 16. panta 2. punktu,

ņemot vērā Eiropas Komisijas priekšlikumu,

pēc leģislatīvā akta projekta nosūtīšanas valstu parlamentiem,

ņemot vērā Reģionu komitejas atzinumu (1),

saskaņā ar parasto likumdošanas procedūru (2),

tā kā:

IR PIEŅĒMUŠI ŠO DIREKTĪVU.

I NODAĻA

Vispārīgi noteikumi

Priekšmets un mērķi

1. Šajā direktīvā ir paredzēti noteikumi par fizisko personu aizsardzību attiecībā uz personas datu apstrādi, ko kompetentās iestādes veic, lai novērstu, izmeklētu, atklātu noziedzīgus nodarījumus vai sauktu pie atbildības par tiem, vai izpildītu kriminālsodus, tostarp lai pasargātu no draudiem sabiedriskajai drošībai un tos novērstu.

2. Saskaņā ar šo direktīvu dalībvalstis:

3. Šī direktīva dalībvalstīm neliedz paredzēt lielākas garantijas nekā tās, kas noteiktas šajā direktīvā, lai aizsargātu datu subjekta tiesības un brīvības attiecībā uz kompetento iestāžu veiktu personas datu apstrādi.

Darbības joma

1. Šo direktīvu piemēro personas datu apstrādei, ko veic kompetentās iestādes 1. panta 1. punktā izklāstītajos nolūkos.

2. Šo direktīvu piemēro personas datu apstrādei, ko pilnībā vai daļēji veic ar automatizētiem līdzekļiem, un personas datu apstrādei bez automatizētiem līdzekļiem, ja tie veido daļu no kartotēkas vai ir paredzēti, lai veidotu daļu no kartotēkas.

3. Šī direktīva neattiecas uz personas datu apstrādi:

Definīcijas

Šajā direktīvā:

II NODAĻA

Principi

Principi, kas saistīti ar personas datu apstrādi

1. Dalībvalstis paredz, ka personas dati:

2. Apstrāde, ko veic tas pats vai cits pārzinis nolūkos, kuri ir izklāstīti 1. panta 1. punktā, bet nav tie paši, kādos personas dati tika vākti, ir atļauta, ciktāl:

3. Apstrāde, ko veic tas pats vai cits pārzinis, var ietvert arhivēšanu sabiedrības interesēs, izmantošanu zinātniskiem, statistikas vai vēsturiskiem mērķiem 1. panta 1. punktā izklāstītajos nolūkos, ņemot vērā atbilstošas garantijas attiecībā uz datu subjektu tiesībām un brīvībām.

4. Pārzinis ir atbildīgs par atbilstību 1., 2. un 3. punktam un var to uzskatāmi parādīt.

Glabāšanas un pārskatīšanas termiņi

Dalībvalstis paredz, ka tiek noteikti atbilstīgi termiņi personas datu dzēšanai vai personas datu glabāšanas vajadzības regulārai pārskatīšanai. Minēto termiņu ievērošanu nodrošina ar procesuāliem pasākumiem.

Dažādu datu subjektu kategoriju nošķiršana

Dalībvalstis paredz, ka pārzinis attiecīgā gadījumā, cik iespējams, skaidri nošķir dažādu datu subjektu kategoriju personas datus, piemēram:

Dažādu personas datu nošķiršana un personas datu kvalitātes pārbaude

1. Dalībvalstis paredz, ka personas dati, kas balstās uz faktiem, cik iespējams, tiek nošķirti no personas datiem, kas balstās uz personiskiem vērtējumiem.

2. Dalībvalstis paredz, ka kompetentās iestādes veic visus pamatotus pasākumus ar mērķi nodrošināt, lai personas dati, kas ir neprecīzi, nepilnīgi vai vairs nav aktuāli, netiktu nosūtīti vai darīti pieejami. Tālab katra kompetentā iestāde, cik tas praktiski iespējams, pārbauda personas datu kvalitāti pirms personas dati tiek nosūtīti vai darīti pieejami. Cik vien iespējams, visos personas datu nosūtīšanas gadījumos pievieno nepieciešamo informāciju, kas ļauj datu saņēmējai kompetentajai iestādei izvērtēt personas datu precizitātes, pilnības un ticamības pakāpi, kā arī to, cik lielā mērā tie ir aktuāli.

3. Ja izrādās, ka ir nosūtīti nepareizi personas dati, vai personas dati ir nosūtīti nelikumīgi, par to nekavējoties informē datu saņēmēju. Šādā gadījumā personas datus labo vai dzēš vai ierobežo to izmantošanu saskaņā ar 16. pantu.

Apstrādes likumīgums

1. Dalībvalstis paredz, ka apstrāde ir likumīga tikai tad un tiktāl, ciktāl šī apstrāde ir nepieciešama tā uzdevuma izpildei, ko kompetentā iestāde veic 1. panta 1. punktā minētajos nolūkos, un ka tā balstās uz Savienības vai dalībvalsts tiesībām.

2. Dalībvalsts tiesībās, ar ko regulē apstrādi šīs direktīvas darbības jomā, precizē vismaz apstrādes mērķus, apstrādājamos personas datus un apstrādes nolūkus.

Specifiski apstrādes nosacījumi

1. Personas datus, ko kompetentās iestādes vāc 1. panta 1. punktā minētajos nolūkos, neapstrādā citos nolūkos, kas nav 1. panta 1. punktā minētie nolūki, izņemot, ja šāda apstrāde ir atļauta Savienības vai dalībvalsts tiesībās. Gadījumos, kad personas datus apstrādā šādos citos nolūkos, piemēro Regulu (ES) 2016/679, ja vien šādu apstrādi neveic darbībā, kura neietilpst Savienības tiesību darbības jomā.

2. Ja kompetentajām iestādēm ar dalībvalsts tiesībām ir uzticēta kādu citu, ne 1. panta 1. punktā izklāstītajos nolūkos veiktu uzdevumu izpilde, tad šādos nolūkos veiktai apstrādei piemēro Regulu (ES) 2016/679, tostarp arhivēšanai sabiedrības interesēs, zinātniskiem vai vēsturiskiem pētījumiem vai statistikas mērķiem, ja vien apstrādi neveic darbībā, kura neietilpst Savienības tiesību darbības jomā.

3. Dalībvalstis paredz, ka tad, kad Savienības vai dalībvalsts tiesībās, ko piemēro nosūtītājai kompetentajai iestādei, ir paredzēti specifiski nosacījumi apstrādei, nosūtītāja kompetentā iestāde par šādiem nosacījumiem un par prasību tos ievērot informē nosūtīto personas datu saņēmēju.

4. Dalībvalstis paredz, ka nosūtītāja kompetentā iestāde 3. punktā minētos nosacījumus nepiemēro saņēmējiem citās dalībvalstīs vai aģentūrās, birojos un struktūrās, kas izveidoti, ievērojot LESD V sadaļas 4. un 5. nodaļu, izņemot tos, kas piemērojami līdzīgām datu nosūtīšanām dalībvalstī, kurā atrodas nosūtītāja kompetentā iestāde.