KOMISIJAS ĪSTENOŠANAS REGULA (ES) 2021/1772

(2021. gada 28. jūnijs)

par personas datu pietiekamu aizsardzību Apvienotajā Karalistē, kas pieņemts saskaņā ar Eiropas Parlamenta un Padomes Regulu (ES) 2016/679

(izziņots ar dokumenta numuru C(2021) 4800)

(Dokuments attiecas uz EEZ)

EIROPAS KOMISIJA,

ņemot vērā Līgumu par Eiropas Savienības darbību,

ņemot vērā Eiropas Parlamenta un Padomes Regulu (ES) 2016/679 (2016. gada 27. aprīlis) par fizisku personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti un ar ko atceļ Direktīvu 95/46/EK (Vispārīgā datu aizsardzības regula) (Vispārīgā datu aizsardzības regula) (1), jo īpaši tās 45. panta 3. punktu,

tā kā:

1. IEVADS

(1) Ar Regulu (ES) 2016/679 ir paredzēti noteikumi, saskaņā ar kuriem Eiropas Savienībā esoši pārziņi vai apstrādātāji var nosūtīt personas datus trešām valstīm un starptautiskām organizācijām, ciktāl šāda nosūtīšana ietilpst regulas piemērošanas jomā. Noteikumi par datu starptautisku nosūtīšanu ir izklāstīti minētās regulas V nodaļā, tas ir, tās 44.–50. pantā. Lai gan personas datu plūsma uz valstīm ārpus Eiropas Savienības un no tām ir būtiska starptautiskās sadarbības un pārrobežu tirdzniecības paplašināšanas nodrošināšanai, datu nosūtīšana uz trešām valstīm nedrīkst samazināt Eiropas Savienībā nodrošināto personas datu aizsardzības līmeni (2).

(2) Atbilstoši Regulas (ES) 2016/679 45. panta 3. punktam Komisija ar īstenošanas aktu var nolemt, ka trešā valsts, trešās valsts teritorija vai viens vai vairāki konkrēti sektori, vai starptautiska organizācija nodrošina pietiekamu aizsardzības līmeni. Saskaņā ar šo nosacījumu personas datu nosūtīšana uz trešo valsti var notikt bez nepieciešamības saņemt jebkādu turpmāku atļauju, kā paredzēts minētās regulas 45. panta 1. punktā un 103. apsvērumā.

(3) Kā norādīts Regulas (ES) 2016/679 45. panta 2. punktā, lēmums par aizsardzības līmeņa pietiekamību jāpieņem, pamatojoties uz visaptverošu trešās valsts tiesību sistēmas analīzi, gan attiecībā uz noteikumiem, kas piemērojami datu importētājiem, gan attiecībā uz ierobežojumiem un garantijām saistībā ar publisko iestāžu piekļuvi personas datiem. Komisijai novērtējumā jānosaka, vai attiecīgā trešā valsts garantē aizsardzības līmeni, kurš “pēc būtības ir līdzvērtīgs” Eiropas Savienībā nodrošinātajam (Regulas (ES) 2016/679 104. apsvērums). Standarts, pēc kura tiek novērtēta “līdzvērtība pēc būtības”, ir paredzēts Eiropas Savienības tiesību aktos, jo īpaši Regulā (ES) 2016/679, kā arī Eiropas Savienības Tiesas judikatūrā (3). Šajā ziņā būtiska nozīme ir arī Eiropas Datu aizsardzības kolēģijas (EDAK) pieņemtajām aizsardzības līmeņa pietiekamības atsaucēm (4).

(4) Kā ir precizējusi Eiropas Savienības Tiesa, tas nenozīmē, ka ir jākonstatē identisks aizsardzības līmenis (5). Konkrēti, attiecīgās trešās valsts izmantotie līdzekļi personas datu aizsardzībai var atšķirties no Eiropas Savienībā izmantotajiem, kamēr vien tie praksē efektīvi nodrošina pietiekamu aizsardzības līmeni (6). Tāpēc aizsardzības līmeņa pietiekamības standarts neparedz Savienības noteikumu precīzu replicēšanu. Pārbaude drīzāk atklāj, vai attiecīgās valsts tiesību sistēma spēj nodrošināt nepieciešamo aizsardzības līmeni, ņemot vērā tiesību uz datu aizsardzību būtību un to efektīvu īstenošanu, uzraudzību un izpildi (7).

(5) Komisija ir rūpīgi izanalizējusi Apvienotās Karalistes attiecīgos tiesību aktu un praksi. Pamatojoties uz 8.–270. apsvērumā izklāstītajiem konstatējumiem, Komisija secina, ka personas datiem, kas tiek nosūtīti no Eiropas Savienības uz Apvienoto Karalisti Regulas (ES) 2016/679 piemērošanas jomas ietvaros, Apvienotā Karaliste nodrošina pietiekamu aizsardzības līmeni.

(6) Šis secinājums neattiecas uz personas datiem, kas nosūtīti Apvienotās Karalistes imigrācijas kontroles vajadzībām vai uz ko citādi attiecas atbrīvojums no konkrētām datu subjektu tiesībām efektīvas imigrācijas kontroles nodrošināšanas vajadzībām (“imigrācijas atbrīvojums”) saskaņā ar Apvienotās Karalistes Datu aizsardzības likuma 2. pielikuma 4. punkta 1. apakšpunktu. Imigrācijas atbrīvojuma spēkā esība un interpretācija saskaņā ar Apvienotās Karalistes tiesību aktiem nav noteikta; tas ir saistīts ar lēmumu, kuru 2021. gada 26. maijā pieņēmusi Anglijas un Velsas Apelācijas tiesa. Lai gan Apelācijas tiesa atzīst, ka datu subjektu tiesības kā svarīgs sabiedrības interešu aspekts principā var tikt ierobežotas imigrācijas kontroles vajadzībām, tā ir konstatējusi, ka imigrācijas atbrīvojums pašreizējā formā nav saderīgs ar Apvienotās Karalistes tiesību aktiem, jo leģislatīvajam pasākumam nav konkrētu noteikumu, ar kuriem paredz Apvienotās Karalistes Vispārīgās datu aizsardzības regulas (Apvienotās Karalistes VDAR) 23. panta 2. punktā uzskaitītās garantijas (8). Šajos apstākļos tādu personas datu nosūtīšana no ES uz Apvienoto Karalisti, kuriem var piemērot imigrācijas atbrīvojumu, būtu jāizslēdz no šā lēmuma darbības jomas (9). Tiklīdz nesaderība ar Apvienotās Karalistes tiesību aktiem būs novērsta, būtu atkārtoti jāizvērtē imigrācijas atbrīvojums, kā arī nepieciešamība saglabāt šā lēmuma darbības jomas ierobežojumus.

(7) Šim lēmumam nevajadzētu ietekmēt Regulas (ES) 2016/679 tiešu piemērošanu organizācijām, kas ir reģistrētas Apvienotajā Karalistē, ja ir izpildīti šīs regulas 3. pantā paredzētie nosacījumi attiecībā uz tās teritoriālo darbības jeb piemērošanas jomu.

2. PERSONAS DATU APSTRĀDEI PIEMĒROJAMIE NOTEIKUMI

2.1. Konstitucionālais regulējums

(8) Apvienotā Karaliste ir parlamentāra demokrātija, un saskaņā ar konstitūciju valsts galva ir monarhs. Tai ir suverēns parlaments (augstāks par visām valdības iestādēm), parlamenta izveidota un tā priekšā atbildīga izpildvara, kā arī neatkarīga tiesu vara. Izpildvaras pilnvaras izriet no tās spējas gūt ievēlētās Pārstāvju palātas uzticību, un tā par savu darbību atbild abām parlamenta palātām, kas ir atbildīgas par valdības pārbaudi, kā arī tiesību aktu apspriešanu un to pieņemšanu.

(9) Apvienotās Karalistes parlaments ir deleģējis Skotijas parlamentam, Velsas parlamentam (Senedd Cymru) un Ziemeļīrijas asamblejai atbildību par tiesību aktu izstrādi attiecībā uz tādiem vietējiem jautājumiem Skotijā, Velsā un Ziemeļīrijā, kuru reglamentēšana nav Apvienotās Karalistes parlamenta kompetencē. Lai gan datu aizsardzība ir Apvienotās Karalistes parlamenta kompetencē, t. i., vienus un tos pašus tiesību aktus piemēro visā valstī, citas ar šo lēmumu saistītās politikas jomas ir decentralizētas. Piemēram, Skotijas un Ziemeļīrijas krimināltiesību sistēmas, tostarp policijas darbs, ir deleģētas attiecīgi Skotijas parlamentam un Ziemeļīrijas asamblejai. Apvienotajā Karalistē nepastāv kodificēta konstitūcija kā iesakņojies konstitucionāls dokuments. Konstitucionālie principi ir attīstījušies laika gaitā, jo īpaši no judikatūras un paražām. Tiesas ir atzinušas, ka dažiem likumiem, piemēram, Lielajai brīvības hartai, 1689. gada Tiesību likumam un 1998. gada Cilvēktiesību likumam, ir konstitucionāls saturs. Cilvēka pamattiesības kā daļa no konstitūcijas ir attīstītas, izmantojot anglosakšu tiesības, iepriekš minētos likumus un starptautiskos līgumus, jo īpaši Eiropas Cilvēktiesību konvenciju, ko Apvienotā Karaliste ratificēja 1951. gadā. Apvienotā Karaliste 1987. gadā ir arī ratificējusi Eiropas Padomes Konvenciju par personu aizsardzību attiecībā uz personas datu automātisko apstrādi (Konvencija Nr. 108) (10).

(10) Ar 1998. gada Cilvēktiesību likumu Apvienotās Karalistes tiesību aktos ir iekļautas Eiropas Cilvēktiesību konvencijā paredzētās tiesības. Ar Cilvēktiesību likumu ikvienai personai ir piešķirtas pamattiesības un pamatbrīvības, kas paredzētas Eiropas Cilvēktiesību konvencijas 2.–12. pantā un 14. pantā, tās pirmā protokola 1., 2. un 3. pantā un tās trīspadsmitā protokola 1. pantā, ko skata kopā ar šīs konvencijas 16., 17. un 18. pantu. Tas ietver tiesības uz privātās un ģimenes dzīves neaizskaramību (un šo tiesību ietvaros tiesības uz datu aizsardzību) un tiesības uz lietas taisnīgu izskatīšanu (11). Konkrēti, saskaņā ar iepriekš minētās konvencijas 8. pantu publiskā iestāde (institūcija) var traucēt baudīt tiesības uz privātumu tikai gadījumos, kas ir paredzēti likumā un ir nepieciešami demokrātiskā sabiedrībā, lai aizsargātu valsts un sabiedrisko drošību vai valsts ekonomiskās labklājības intereses, lai nepieļautu nekārtības vai noziegumus, lai aizsargātu veselību vai tikumību vai lai aizstāvētu citu tiesības un brīvības.

(11) Saskaņā ar 1998. gada Cilvēktiesību likumu visām publisko iestāžu darbībām jābūt saderīgām ar konvencijā paredzētajām tiesībām (12). Turklāt primārie un sekundārie tiesību akti ir jāskata un jāpiemēro tā, lai tie būtu saderīgi ar konvencijā paredzētajām tiesībām (13).

2.2. Apvienotās Karalistes datu aizsardzības regulējums

(12) Apvienotā Karaliste 2020. gada 31. janvārī izstājās no Eiropas Savienības. Pamatojoties uz Līgumu par Lielbritānijas un Ziemeļīrijas Apvienotās Karalistes izstāšanos no Eiropas Savienības un Eiropas Atomenerģijas kopienas (14), Savienības tiesību aktu piemērošana Apvienotajā Karalistē turpinājās pārejas periodā līdz 2020. gada 31. decembrim. Pirms izstāšanās un pārejas periodā tiesisko regulējumu personas datu aizsardzībai Apvienotajā Karalistē veidoja attiecīgie ES tiesību akti (jo īpaši Eiropas Parlamenta un Padomes Regula (ES) 2016/679 un Eiropas Parlamenta un Padomes Direktīva (ES) 2016/680 (15)) un valsts tiesību akti, jo īpaši 2018. gada Datu aizsardzības likums (turpmāk “2018. gada DAL”) (16), kurā, ja to atļāva Regula (ES) 2016/679, bija paredzēti valsts noteikumi, kas precizēja un ierobežoja Regulas (ES) 2016/679 prasību piemērošanu, un ar kuru tika transponēta Direktīva (ES) 2016/680.

(13) Veicot sagatavošanās pasākumus nolūkā izstāties no Eiropas Savienības, Apvienotās Karalistes valdība pieņēma 2018. gada Likumu par izstāšanos no Eiropas Savienības (17), ar ko Apvienotās Karalistes tiesību aktos (18) iekļāva tieši piemērojamus Savienības tiesību aktus. Šie tā dēvētie “saglabātie ES tiesību akti” ietver Regulu (ES) 2016/679 pilnā apjomā (ieskaitot tās apsvērumus) (19). Minētais likums paredz, ka Apvienotās Karalistes tiesām negrozītie saglabātie ES tiesību akti ir jāinterpretē saskaņā ar Eiropas Savienības Tiesas attiecīgo judikatūru un Savienības tiesību aktu vispārējiem principiem, kā tie piemērojami tieši pirms pārejas perioda beigām (attiecīgi “saglabātā ES judikatūra” un “saglabātie ES tiesību aktu vispārējie principi”) (20).

(14) Saskaņā ar 2018. gada Likumu par izstāšanos no Eiropas Savienības Apvienotās Karalistes ministri ir pilnvaroti, izmantojot normatīvos aktus, pieņemt sekundāros tiesību aktus ar mērķi veikt saglabātajos Eiropas Savienības tiesību aktos nepieciešamos grozījumus, kas izriet no Apvienotās Karalistes izstāšanās no Eiropas Savienības. Šīs pilnvaras tika izmantotas, pieņemot 2019. gada Datu aizsardzības, privātuma un elektronisko sakaru (ar grozījumiem) (Izstāšanās no ES) noteikumus (“DAPES noteikumi”) (21). Ar DAPES noteikumiem ir veikti grozījumi Regulā (ES) 2016/679, kas ir iestrādāta Apvienotās Karalistes tiesībās, pieņemot 2018. gada Likumu par izstāšanos no Eiropas Savienības, 2018. gada DAL un citus datu aizsardzības tiesību aktus, lai tie atbilstu vietējam kontekstam (22).

(15) Tādējādi personas datu aizsardzības tiesisko regulējumu Apvienotajā Karalistē pēc pārejas perioda veido: — Apvienotās Karalistes VDAR, kas ir iestrādāta Apvienotās Karalistes tiesībās saskaņā ar 2018. gada Likumu par izstāšanos no Eiropas Savienības un grozīta ar DAPES noteikumiem (23), kā arī — 2018. gada DAL (24), kas grozīts ar DAPES noteikumiem.

(16) Tā kā Apvienotās Karalistes VDAR pamatā ir ES tiesību akti, datu aizsardzības noteikumi Apvienotajā Karalistē daudzos aspektos ir ļoti līdzīgi attiecīgajiem Eiropas Savienībā piemērojamajiem noteikumiem.

(17) Papildus pilnvarām, kas ministram ir piešķirtas ar 2018. gada Likumu par izstāšanos no Eiropas Savienības, arī vairākos 2018. gada DAL noteikumos tam ir paredzētas pilnvaras pieņemt sekundāros tiesību aktus nolūkā grozīt atsevišķus likuma noteikumus vai pieņemt papildinošus vai papildu noteikumus (25). Ministrs līdz šim ir izmantojis tikai 2018. gada DAL 137. pantā noteiktās pilnvaras, lai pieņemtu 2019. gada Datu aizsardzības (maksas un informācija) (grozījums) noteikumus, kuros ir izklāstīti apstākļi, kādos datu pārziņiem ir jāmaksā ikgadējs maksājums neatkarīgai Apvienotās Karalistes datu aizsardzības iestādei, proti, informācijas komisāram (IK).

(18) Papildu informācija par Apvienotās Karalistes datu aizsardzības tiesību aktiem ir sniegta prakses kodeksos un citos informācijas komisāra pieņemtos norādījumos. Lai gan, raugoties no oficiālā viedokļa, šie norādījumi nav juridiski saistoši, tiem ir interpretējošs spēks, un tajos ir izklāstīts, kā piemērojami datu aizsardzības tiesību akti un kā komisārs tos īsteno praksē. Konkrētāk, 2018. gada DAL 121.–125. pantā ir noteikts, ka komisāram jāsagatavo prakses kodeksi par datu apmaiņu, tiešo tirgvedību, vecumam atbilstošu noformējumu, datu aizsardzību un žurnālistiku.

(19) Tādējādi Apvienotās Karalistes tiesiskais regulējums, kas attiecas uz datu nosūtīšanu atbilstīgi šim lēmumam, pēc struktūras un galvenajiem elementiem ir ļoti līdzīgs tam, ko piemēro Eiropas Savienībā. Minētais ietver arī to, ka regulējums balstās ne tikai uz pienākumiem, kas noteikti valsts tiesību aktos, kurus ietekmējuši ES tiesību akti, bet arī uz starptautiskajās tiesībās nostiprinātajām saistībām, jo īpaši tādēļ, ka Apvienotā Karaliste ievēro ECTK un Konvenciju Nr. 108, kā arī pakļaujas Eiropas Cilvēktiesību tiesas jurisdikcijai. Tādējādi šie pienākumi, kas izriet no juridiski saistošiem starptautiskiem instrumentiem, jo īpaši personas datu aizsardzības jomā, ir īpaši svarīgs šajā lēmumā vērtētā tiesiskā regulējuma elements.

2.3. Materiālā un teritoriālā piemērošanas joma

(20) Apvienotās Karalistes VDAR, līdzīgi Regulai (ES) 2016/679, attiecas uz personas datu apstrādi, ko pilnībā vai daļēji veic ar automatizētiem līdzekļiem, vai citādu apstrādi, ja personas dati veido daļu no kartotēkas (26). Apvienotās Karalistes VDAR izmantotās jēdzienu “personas dati”, “datu subjekts” un “apstrāde” definīcijas ir identiskas Regulā (ES) 2016/679 noteiktajām šo jēdzienu definīcijām (27). Turklāt Apvienotās Karalistes VDAR ir piemērojama tādu manuāli apstrādājamu nestrukturētu personas datu apstrādei (28), kas ir noteiktu Apvienotās Karalistes publisko iestāžu rīcībā (29), lai gan Apvienotās Karalistes VDAR paredzētie principi un tiesības, kas neattiecas uz šādiem personas datiem, saskaņā ar 2018. gada DAL 24. un 25. pantu nav piemērojami. Līdzīgi Regulā (ES) 2016/679 noteiktajam Apvienotās Karalistes VDAR nav piemērojama tādai personas datu apstrādei, ko persona veic tikai personiska vai mājsaimnieciska pasākuma gaitā (30).

(21) Apvienotās Karalistes VDAR darbības jomā ietilpst arī apstrāde, kas veikta, īstenojot darbību, uz kuru tieši pirmspārejas perioda beigām neattiecās Eiropas Savienības tiesību akti (piemēram, valsts drošība) (31) vai kura ietilpa Līguma par Eiropas Savienību 5. sadaļas 2. nodaļas darbības jomā (kopējās ārpolitikas un drošības politikas darbības) (32). Līdzīgi kā Eiropas Savienības sistēmas ietvaros, Apvienotās Karalistes VDAR nav piemērojama personas datu apstrādei, ko veic kompetentās iestādes, lai novērstu, izmeklētu, atklātu noziedzīgus nodarījumus vai sauktu pie atbildības par tiem vai izpildītu kriminālsodus, tostarp lai pasargātu no draudiem sabiedriskajai drošībai un tos novērstu (tā dēvētajā “tiesībaizsardzības nolūkā”) (šādu personas datu apstrādi reglamentē 2018. gada DAL 3. daļa, līdzīgi kā Direktīvas (ES) 2016/680 gadījumā Eiropas Savienības tiesību ietvaros), vai izlūkdienestu (Drošības dienesta, Slepenās izlūkošanas dienesta un Valdības sakaru štāba) veiktai personas datu apstrādei, uz ko attiecas 2018. gada DAL 4. daļa (33).

(22) Apvienotās Karalistes VDAR teritoriālā piemērošanas joma ir aprakstīta Apvienotās Karalistes VDAR 3. pantā (34) un ietver personas datu apstrādi (neatkarīgi no tā, kur šī apstrāde tiek veikta), kas notiek saistībā ar darbībām, ko veic pārziņa vai apstrādātāja uzņēmējdarbības vietā Apvienotajā Karalistē, kā arī Apvienotajā Karalistē esošu datu subjektu personas datu apstrādi, ja apstrādes darbības ir saistītas ar preču vai pakalpojumu piedāvāšanu šādiem datu subjektiem vai viņu uzvedības novērošanu (35). Šis regulējums atspoguļo Regulas (ES) 2016/679 3. pantā izmantoto pieeju.

2.4. Jēdzienu “personas dati”, “pārzinis” un “apstrādātājs” definīcijas

(23) Apvienotās Karalistes VDAR bez būtiskām izmaiņām ir saglabātas Regulā (ES) 2016/679 noteiktās jēdzienu “personas dati”, “apstrāde”, “pārzinis” un “apstrādātājs” definīcijas, kā arī jēdziena “pseidonimizācija” definīcija (36). Īpašas datu kategorijas Apvienotās Karalistes VDAR 9. panta 1. punktā ir definētas tāpat kā Regulā (ES) 2016/679 (personas dati, kas atklāj rases vai etnisko piederību, politiskos uzskatus, reliģisko vai filozofisko pārliecību vai dalību arodbiedrībās, ģenētiskie dati, biometriskie dati, kas nepieciešami, lai veiktu fiziskas personas unikālu identifikāciju, veselības dati vai dati par fiziskas personas dzimumdzīvi vai seksuālo orientāciju). 2018. gada DAL 205. pantā ir noteiktas jēdzienu “biometriskie dati” (37), “veselības dati” (38) un “ģenētiskie dati” (39) definīcijas.

2.5. Garantijas, tiesības un pienākumi

2.5.1. Apstrādes likumīgums un godprātība

(24) Personas dati ir jāapstrādā likumīgi un godprātīgi.

(25) Likumīguma, godprātības un pārredzamības principi un likumīgas apstrādes pamats Apvienotās Karalistes tiesību aktos ir garantēts ar Apvienotās Karalistes VDAR 5. panta 1. punkta a) apakšpunktu un 6. panta 1. punktu, kurā izklāstītās prasības ir identiskas ar attiecīgajiem noteikumiem Regulā (ES) 2016/679 (40). 2018. gada DAL 8. pants papildina 6. panta 1. punkta e) apakšpunktu, paredzot, ka Apvienotās Karalistes VDAR 6. panta 1. punkta e) apakšpunktā minētā personas datu apstrāde (kas ir vajadzīga, lai izpildītu uzdevumu, ko veic sabiedrības interesēs vai īstenojot pārzinim likumīgi piešķirtas oficiālas pilnvaras) ietver personas datu apstrādi, kas ir vajadzīga tiesas spriešanai, parlamenta palātu funkciju izpildei, tādas funkcijas izpildei, kuru persona ir pilnvarota veikt saskaņā ar likumdošanas instrumentu vai tiesību normu, valsts, valdības ministra vai valdības departamenta funkciju izpildei, vai darbību, kas atbalsta vai sekmē demokrātisku iesaistīšanos.

(26) Arī attiecībā uz piekrišanu (vienu no likumīgas apstrādes pamatiem) Apvienotās Karalistes VDAR ir saglabāti negrozīti Regulas (ES) 2016/679 7. pantā paredzētie nosacījumi, proti, pārzinim jāspēj uzskatāmi parādīt, ka datu subjekts ir piekritis savu personas datu apstrādei, ir jāiesniedz rakstisks piekrišanas pieprasījums, izmantojot skaidru un vienkāršu valodu, datu subjektam jābūt tiesībām jebkurā laikā atsaukt piekrišanu, un, novērtējot to, vai piekrišana ir dota brīvi, jāņem vērā tas, vai līguma izpilde ir atkarīga no piekrišanas tādai personas datu apstrādei, kura nav nepieciešama minētā līguma izpildei. Turklāt saskaņā ar Apvienotās Karalistes VDAR 8. pantu informācijas sabiedrības pakalpojumu nodrošināšanas kontekstā bērna sniegta piekrišana ir likumīga tikai tad, ja bērns ir vismaz 13 gadu vecs. Šis vecums atbilst Regulas (ES) 2016/679 8. pantā noteiktajai vecuma grupai.

2.5.2. Īpašu kategoriju personas datu apstrāde

(27) Būtu vajadzīgas īpašas garantijas gadījumos, kad tiek apstrādāti “īpašu kategoriju” dati.

(28) Apvienotās Karalistes VDAR un 2018. gada DAL ir paredzētas konkrētas prasības attiecībā uz īpašu kategoriju personas datu apstrādi. Šīs kategorijas ir noteiktas Apvienotās Karalistes VDAR 9. panta 1. punktā tādā pašā veidā kā Regulā (ES) 2016/679 (sk. iepriekš 23. apsvērumu). Saskaņā ar Apvienotās Karalistes VDAR 9. pantu īpašu kategoriju datu apstrāde principā ir aizliegta, izņemot gadījumus, kad ir piemērojami īpaši izņēmumi.

(29) Šie izņēmumi (uzskaitīti Apvienotās Karalistes VDAR 9. panta 2. un 3. punktā) pēc būtības neatšķiras no Regulas (ES) 2016/679 9. panta 2. un 3. punktā noteiktajiem izņēmumiem. Ja datu subjekts nav devis nepārprotamu piekrišanu šo personas datu apstrādei, īpašu kategoriju personas datu apstrāde ir atļauta tikai konkrētos un ierobežotos apstākļos. Vairumā gadījumu sensitīvu datu apstrādei jābūt nepieciešamai (jeb vajadzīgai) konkrētam attiecīgajos noteikumos paredzētam nolūkam (sk. 9. panta 2. punkta b), c), f), g), h), i) un j) apakšpunktu).

(30) Turklāt, ja Apvienotās Karalistes VDAR 9. panta 2. punktā minētajā izņēmumā noteikta prasība par likumā paredzētu pilnvarojumu vai sniegta atsauce uz sabiedrības interesēm, 2018. gada DAL 10. pantā un 1. pielikumā ir sīkāk izklāstīti nosacījumi, kas ir jāizpilda, lai varētu piemērot izņēmumu. Piemēram, saistībā ar sensitīvu datu apstrādi nolūkā aizsargāt “sabiedrības veselību” (Apvienotās Karalistes VDAR 9. panta 2. punkta i) apakšpunkts) 1. pielikuma 1. daļas 3. punkta b) apakšpunktā ir noteikts, ka papildus nepieciešamības pārbaudei šādu apstrādi veic “veselības aprūpes speciālists vai veselības aprūpes speciālista atbildībā”, vai “cita persona, kurai ir jāievēro konfidencialitāte saskaņā ar likumdošanas instrumentu vai tiesību normu”, tostarp saskaņā ar vispāratzītu anglosakšu tiesībās noteiktu konfidencialitātes ievērošanas pienākumu.

(31) Ja sensitīvus datus apstrādā būtisku sabiedrības interešu dēļ (Apvienotās Karalistes VDAR 9. panta 2. punkta g) apakšpunkts), 2018. gada DAL 1. pielikuma 2. daļā ir sniegts izsmeļošs tādu nolūku saraksts, kurus var uzskatīt par būtiskām sabiedrības interesēm, un attiecībā uz katru no šiem nolūkiem ir norādīti konkrēti papildu nosacījumi. Piemēram, organizāciju augstākā līmeņa darbinieku rasu un etniskās daudzveidības veicināšana ir atzīta par būtiskām sabiedrības interesēm. Uz sensitīvu datu apstrādi, kas veicama šajā konkrētajā nolūkā, attiecas sīki izstrādātas prasības, tostarp prasība, ka apstrāde ir jāveic tāda procesa ietvaros, kura mērķis ir noteikt darbam vadošos amatos piemērotas personas, ka apstrāde ir nepieciešama rasu un etniskās daudzveidības veicināšanai un ka šīs apstrādes rezultātā datu subjektam nevarētu tikt radīts būtisks kaitējums vai būtiska spriedze.

(32) 2018. gada DAL 11. panta 1. punktā ir paredzēti nosacījumi, kas attiecas uz personas datu apstrādi Apvienotās Karalistes VDAR 9. panta 3. punktā aprakstītajās situācijās saistībā ar slepenības ievērošanas pienākumu. Tie cita starpā attiecas uz situācijām, kad personas datu apstrādi veic veselības aprūpes speciālists vai veselības aprūpes speciālista atbildībā, vai sociālā darba speciālists, vai cita persona, kurai saskaņā ar likumdošanas instrumentu vai tiesību normu attiecīgajā situācijā ir jāievēro konfidencialitāte.

(33) Turklāt, lai izmantotu daudzus no Apvienotās Karalistes VDAR 9. panta 2. punktā uzskaitītajiem izņēmumiem, ir jānodrošina atbilstošas un īpašas garantijas. 2018. gada DAL 1. pielikumā paredzētie apstrādes nosacījumi paredz dažādas garantijas atkarībā no apstrādes rakstura un datu subjektu tiesībām un brīvībām radītā riska līmeņa. 1. pielikumā ir paredzēti nosacījumi attiecībā uz katru apstrādes situāciju.

(34) Lai nodrošinātu atbilstību konkrētam juridiskajam pamatam, dažos gadījumos 2018. gada DAL ir reglamentēti un ierobežoti sensitīvu datu veidi, kurus drīkst apstrādāt. Piemēram, 1. pielikuma 8. punktā ir atļauta sensitīvu datu apstrāde nolūkā veicināt iespēju vienlīdzību vai vienlīdzīgas attieksmes principa ievērošanu. Šo apstrādes nosacījumu var izmantot tikai tad, ja dati atklāj rases vai etnisko piederību, reliģisko vai filozofisko pārliecību, seksuālo orientāciju vai ja dati ir veselības dati.

(35) Dažos gadījumos 2018. gada DAL ir noteikti ierobežojumi attiecībā uz to, kāda veida pārziņi drīkst izmantot apstrādes nosacījumu. Piemēram, 1. pielikuma 23. punktā ir paredzēta sensitīvu datu apstrāde saistībā ar vēlētu pārstāvju sniegtām atbildēm sabiedrībai. Šo apstrādes nosacījumu var izmantot tikai tad, ja pārzinis ir ievēlētais pārstāvis vai rīkojas ievēlētā pārstāvja vārdā.

(36) Dažos citos gadījumos 2018. gada DAL ir noteikti ierobežojumi attiecībā uz datu subjektu kategorijām, kurām var piemērot apstrādes nosacījumu. Piemēram, 1. pielikuma 21. punktā ir reglamentēta sensitīvu datu apstrāde saistībā ar arodpensiju shēmām. Šo nosacījumu var izmantot tikai tad, ja attiecīgais datu subjekts ir shēmas dalībnieka māsa/brālis, vecāks, vecvecāks vai vecvecvecāks.

(37) Turklāt, izmantojot Apvienotās Karalistes VDAR 9. panta 2. punktā uzskaitītos izņēmumus, kas ir sīkāk izklāstīti 2018. gada DAL 10. pantā un 1. pielikumā, pārzinim vairumā gadījumu ir jāsagatavo “atbilstošs politikas dokuments”. Tajā ir jāapraksta pārziņa procedūras, kuru mērķis ir nodrošināt atbilstību Apvienotās Karalistes VDAR 5. pantā noteiktajiem principiem. Tajā arī jānosaka politika attiecībā uz datu glabāšanu un dzēšanu, norādot iespējamo glabāšanas ilgumu. Pārziņiem attiecīgā gadījumā šis dokuments ir jāpārskata un jāatjaunina. Pārzinim šis politikas dokuments ir jāsaglabā sešus mēnešus pēc apstrādes beigām un pēc pieprasījuma jādara tas pieejams informācijas komisāram (41).

(38) Saskaņā ar 2018. gada DAL 1. pielikuma 41. punktu politikas dokumentam vienmēr jāpievieno apstrādes darbību padziļinātas uzskaites reģistrs. Šajā reģistrā ir jāatspoguļo politikas dokumentā iekļauto saistību izpilde, t. i., vai dati tiek dzēsti vai saglabāti saskaņā ar politiku. Ja politika nav ievērota, reģistrā ir jānorāda iemesli. Reģistrā arī jāapraksta tas, kā tiek nodrošināta apstrādes atbilstība Apvienotās Karalistes VDAR 6. pantam (apstrādes likumīgums), kā arī jānorāda, kurš no 2018. gada DAL 1. pielikumā uzskaitītajiem nosacījumiem ir piemērots konkrētajā situācijā.

(39) Visbeidzot, arī Apvienotās Karalistes VDAR tāpat kā Regulā (ES) 2016/679 ir paredzētas vispārējas garantijas attiecībā uz noteiktām īpašu kategoriju datu apstrādes darbībām. Apvienotās Karalistes VDAR 35. pantā ir noteikta prasība veikt novērtējumu par ietekmi uz datu aizsardzību, ja īpašas datu kategorijas tiek apstrādātas plašā mērogā. Saskaņā ar Apvienotās Karalistes VDAR 37. pantu gadījumā, ja pārziņa vai apstrādātāja pamatdarbības ietver īpašu kategoriju datu apstrādi plašā mērogā, pārzinim vai apstrādātājam ir jāieceļ datu aizsardzības speciālists.

(40) Saistībā ar personas datiem par sodāmību un pārkāpumiem Apvienotās Karalistes VDAR 10. pants ir identisks ar Regulas (ES) 2016/679 10. pantu. Tajā ir noteikts, ka apstrādāt personas datus par sodāmību un pārkāpumiem ir atļauts tikai oficiālas iestādes kontrolē vai tad, ja apstrādi atļauj valsts tiesību akti, paredzot atbilstošas garantijas datu subjektu tiesībām un brīvībām.

(41) Ja personas dati par sodāmību un pārkāpumiem netiek apstrādāti oficiālas iestādes kontrolē, 2018. gada DAL 10. panta 5. punktā ir noteikts, ka šādu apstrādi var veikt tikai konkrētos nolūkos / īpašās situācijās, kas ir norādītas 2018. gada DAL 1. pielikuma 1., 2. un 3. daļā, un ka uz šādu apstrādi attiecas konkrētas prasības, kas ir noteiktas saistībā ar katru no šiem nolūkiem/situācijām. Piemēram, datus par sodāmību drīkst apstrādāt bezpeļņas struktūras, ja apstrādi veic a) fonds, apvienība vai cita bezpeļņas struktūra, kas to dara ar politisku, filozofisku, reliģisku vai ar arodbiedrībām saistītu mērķi, veicot leģitīmas darbības un nodrošinot atbilstošas garantijas, un b) ar nosacījumu, i) ka apstrāde attiecas tikai uz šīs struktūras locekļiem vai bijušajiem locekļiem, vai personām, kas ar šo struktūru uztur regulārus sakarus saistībā ar tās nolūkiem, un ii) ka bez datu subjektu piekrišanas personas datus neizpauž ārpus minētās struktūras.

(42) Turklāt 2018. gada DAL 1. pielikuma 3. daļā ir paredzēti papildu apstākļi, kuros var izmantot datus par sodāmību un kuri atbilst Regulā (ES) 2016/679 9. panta 2. punktā un Apvienotās Karalistes VDAR noteiktajiem sensitīvu datu apstrādes juridiskajam pamatam (piemēram, datu subjekta dota piekrišana, personas vitālas intereses, ja datu subjekts ir fiziski vai tiesiski nespējīgs dot savu piekrišanu, ja datu subjekts datus jau ir apzināti publiskojis, ja apstrāde ir nepieciešama, lai celtu, īstenotu vai aizstāvētu likumīgas prasības utt.).

2.5.3. Nolūka ierobežojums, precizitāte, datu minimizēšana, glabāšanas ierobežojums un datu drošība

(43) Personas dati būtu jāapstrādā konkrētā nolūkā, un pēc tam tos var izmantot, ciktāl tas nav pretrunā apstrādes nolūkam.

(44) Šis princips ir paredzēts Regulas (ES) 2016/679 5. panta 1. punkta b) apakšpunktā un bez izmaiņām ir saglabāts Apvienotās Karalistes VDAR 5. panta 1. punkta b) apakšpunktā. Apvienotās Karalistes VDAR 6. panta 4. punkta a)–e) apakšpunktā bez būtiskām izmaiņām ir saglabāti arī nosacījumi turpmākai saderīgai apstrādei saskaņā ar Regulas (ES) 2016/679 6. panta 4. punktu.

(45) Turklāt datiem būtu jābūt precīziem un nepieciešamības gadījumā atjauninātiem. Tiem vajadzētu būt arī adekvātiem, atbilstīgiem un nevajadzētu būt pārmērīgiem, ņemot vērā nolūkus, kādos tie tiek apstrādāti, un tie principā nebūtu jāglabā ilgāk nekā nepieciešams nolūkiem, kādos personas datus apstrādā.

(46) Šie datu minimizēšanas, precizitātes un glabāšanas ierobežojuma principi ir izklāstīti Regulas (ES) 2016/679 5. panta 1. punkta c)–e) apakšpunktā, un tie bez izmaiņām ir saglabāti Apvienotās Karalistes VDAR 5. panta 1. punkta c)–e) apakšpunktā.

(47) Personas dati arī būtu jāapstrādā tā, ka tiek nodrošināta to drošība, kas ietver aizsardzību pret neatļautu vai nelikumīgu apstrādi un pret nejaušu nozaudēšanu, iznīcināšanu vai sabojāšanu. Tālab uzņēmējiem būtu jāveic atbilstoši tehniskie vai organizatoriskie pasākumi, lai aizsargātu personas datus no iespējamiem apdraudējumiem. Šie pasākumi būtu jānovērtē, ņemot vērā faktisko situāciju un saistītās izmaksas.

(48) Datu drošība Apvienotās Karalistes tiesību aktos ir nostiprināta, paredzot konfidencialitātes un integritātes principu Apvienotās Karalistes VDAR 5. panta 1. punkta f) apakšpunktā, kā arī Apvienotās Karalistes VDAR 32. pantā par apstrādes drošību. Šie noteikumi ir identiski ar attiecīgajiem Regulas (ES) 2016/679 nosacījumiem. Turklāt saskaņā ar tādiem pašiem nosacījumiem, kādi ir paredzēti Regulas (ES) 2016/679 33. un 34. pantā, Apvienotās Karalistes VDAR ir noteikta prasība paziņot par personas datu aizsardzības pārkāpumu uzraudzības iestādei (Apvienotās Karalistes VDAR 33. pants) un informēt par personas datu aizsardzības pārkāpumu datu subjektu (Apvienotās Karalistes VDAR 34. pants).

2.5.4. Pārredzamība

(49) Datu subjektiem vajadzētu būt informētiem par viņu personas datu apstrādes galvenajām iezīmēm.

(50) To nodrošina Apvienotās Karalistes VDAR 13. un 14. pants, kurā papildus vispārējam pārredzamības principam ir paredzēti noteikumi par datu subjektam sniedzamo informāciju (42). Salīdzinājumā ar attiecīgajiem Regulas (ES) 2016/679 pantiem Apvienotās Karalistes VDAR šie noteikumi nav būtiski grozīti. Tomēr, tāpat kā Regulas (ES) 2016/679 gadījumā, uz šajos pantos paredzētajām pārredzamības prasībām attiecas vairāki 2018. gada DAL noteikti izņēmumi (sk. 55.–72. apsvērumu).

2.5.5. Individuālās tiesības

(51) Datu subjektiem būtu jābūt noteiktām tiesībām, kas ir īstenojamas attiecībā uz pārzini vai apstrādātāju, jo īpaši tiesībām piekļūt datiem, tiesībām iebilst pret apstrādi un tiesībām panākt datu labošanu vai dzēšanu. Tajā pašā laikā uz šīm tiesībām var attiekties ierobežojumi, ja tie ir nepieciešami un samērīgi, lai garantētu sabiedrisko drošību vai citu svarīgu vispārējo sabiedrības interešu mērķu īstenošanu.

2.5.5.1. Materiālās tiesības

(52) Apvienotās Karalistes VDAR nodrošina personām tādas pašas īstenojamas tiesības kā Regula (ES) 2016/679. Noteikumi, kuros ir paredzētas personu tiesības, ir saglabāti Apvienotās Karalistes VDAR bez būtiskām izmaiņām,

(53) Šie noteikumi ietver datu subjekta piekļuves tiesības (Apvienotās Karalistes VDAR 15. pants), tiesības uz labot (Apvienotās Karalistes VDAR 16. pants), tiesības uz dzēšanu (Apvienotās Karalistes VDAR 17. pants), tiesības uz apstrādes ierobežošanu (Apvienotās Karalistes VDAR 18. pants), pienākumu ziņot par personas datu labošanu vai dzēšanu, vai apstrādes ierobežošanu (Apvienotās Karalistes VDAR 19. pants), tiesības uz datu pārnesamību (Apvienotās Karalistes VDAR 20. pants), kā arī tiesības iebilst (Apvienotās Karalistes VDAR 21. pants) (43). Tiesības iebilst ietver arī Regulas (ES) 2016/679 21. panta 2. un 3. punktā minētās datu subjekta tiesības iebilst pret personas datu apstrādi tiešās tirgvedības vajadzībām. Turklāt saskaņā ar 2018. gada DAL 122. pantu informācijas komisāram ir jāsagatavo prakses kodekss saistībā ar tiešās tirgvedības veikšanu saskaņā ar datu aizsardzības tiesību aktu prasībām (un 2003. gada Noteikumiem par privātumu un elektroniskajiem sakariem (EK direktīva)), kā arī tādiem citiem norādījumiem labas prakses veicināšanai tiešās tirgvedības jomā, kurus komisārs uzskata par atbilstošiem. Informācijas komisāra birojs pašlaik izstrādā tiešās tirgvedības kodeksu (44).

(54) VDAR 22. pantā paredzētās datu subjekta tiesības nebūt tāda lēmuma subjektam, kura pamatā ir tikai automatizēta apstrāde, kas attiecībā uz datu subjektu rada tiesiskās sekas vai kas līdzīgā veidā ievērojami ietekmē datu subjektu, bez būtiskām izmaiņām ir saglabātas arī Apvienotās Karalistes VDAR. Tomēr ir pievienots 3.A punkts nolūkā sniegt atsauci uz 2018. gada DAL 14. pantu, kurā ir izklāstītas datu subjektu tiesību, brīvību un leģitīmo interešu garantijas gadījumos, kad tiek veikta datu apstrāde atbilstīgi Apvienotās Karalistes VDAR 22. panta 2. punkta b) apakšpunktam. Tas attiecas tikai uz gadījumiem, kad šāda lēmuma pamatā ir atļauja vai prasība saskaņā ar Apvienotās Karalistes tiesību aktiem, un neattiecas uz gadījumiem, kad šāds lēmums ir nepieciešams saskaņā ar līgumu vai ir pieņemts, pamatojoties uz datu subjekta nepārprotamu piekrišanu. Ja ir piemērojams 2018. gada DAL 14. pants, pārzinim, tiklīdz tas ir praktiski iespējams, ir rakstiski jāpaziņo datu subjektam par to, ka lēmums ir pieņemts, pamatojoties tikai uz automatizētu apstrādi. Datu subjektam ir tiesības pieprasīt, lai pārzinis mēneša laikā pēc paziņojuma saņemšanas pārskatītu lēmumu vai pieņemtu jaunu lēmumu, kura pamatā nav tikai automatizēta apstrāde. Ministrs ir pilnvarots pieņemt papildu garantijas saistībā ar automatizētu lēmumu pieņemšanu. Šīs pilnvaras vēl nav izmantotas.

2.5.5.2. Individuālo tiesību ierobežojumi un citi noteikumi

(55) 2018. gada DAL ir paredzēti vairāki individuālo tiesību ierobežojumi, kas iederas Apvienotās Karalistes VDAR 23. pantā noteiktajā regulējumā. Šajā regulējumā nav iekļauti nekādi ierobežojumi attiecībā uz tiesībām iebilst pret tiešo tirgvedību, kā paredzēts Apvienotās Karalistes VDAR 21. panta 2. un 3. punktā, vai attiecībā uz tiesībām nebūt automatizētas lēmumu pieņemšanas subjektam, kā paredzēts Apvienotās Karalistes VDAR 22. pantā.

(56) Ierobežojumi ir izklāstīti 2018. gada DAL 2.–4. pielikumā. Apvienotās Karalistes iestādes ir skaidrojušas, ka to rīcību nosaka divi principi: konkrētības princips (detalizētas pieejas izmantošana, sadalot plašus ierobežojumus vairākos konkrētos noteikumos) un nosacījumu princips (katrs noteikums ir papildināts ar garantijām ierobežojumu vai nosacījumu veidā nolūkā nepieļaut ļaunprātīgu izmantošanu) (45).

(57) Apvienotās Karalistes VDAR 23. panta 1. punktā aprakstītie ierobežojumi ir izstrādāti nolūkā nodrošināt to piemērošanu tikai konkrētos apstākļos, ja šī piemērošana ir nepieciešama demokrātiskā sabiedrībā un ir samērīga ar minēto ierobežojumu leģitīmo mērķi. Turklāt saskaņā ar iedibināto judikatūru attiecībā uz ierobežojumu interpretāciju atbrīvojumu no datu aizsardzības režīma var piemērot tikai konkrētā gadījumā, ja šāda piemērošana ir nepieciešama un samērīga (46). Ir noteikts, ka nepieciešamības pārbaudei ir jābūt “stingrai, un tā paredz, ka jebkuram subjekta tiesību ierobežojumam ir jābūt samērīgam ar sabiedrības interešu apdraudējumu. Tādējādi pārbaude ietver klasisku samērīguma analīzi (47)”.

(58) Šo ierobežojumu mērķi atbilst Regulas (ES) 2016/679 23. pantā uzskaitīto ierobežojumu mērķim, izņemot ar valsts drošību un aizsardzību saistītos ierobežojumus, kas ir reglamentēti 2018. gada DAL 26. pantā, tomēr uz tiem attiecas tādas pašas nepieciešamības un samērīguma prasības (sk. 63.–66. apsvērumu).

(59) Daži no ierobežojumiem, piemēram, ierobežojumi saistībā ar noziegumu novēršanu vai atklāšanu, ierobežojumi saistībā ar likumpārkāpēju aizturēšanu vai saukšanu pie atbildības, kā arī ierobežojumi saistībā ar nodokļu vai maksājumu aprēķinu vai iekasēšanu (48), ļauj ierobežot visas individuālās tiesības un pārredzamības nodrošināšanas pienākumus (izņemot 21. panta 2. punktā un 22. pantā noteiktās tiesības). Pārējo ierobežojumu piemērošanas joma aptver tikai pārredzamības nodrošināšanas pienākumus un piekļuves tiesības, piemēram, ierobežojumus saistībā ar advokāta un klienta saziņas konfidencialitāti (49), ierobežojumus saistībā ar tiesībām uz atbrīvojumu no pienākuma sniegt informāciju, no kuras izrietētu pašapsūdzība (50), kā arī ierobežojumus saistībā ar uzņēmumu finansēm, jo īpaši iekšējās informācijas izmantošanas novēršanu (51). Daži ierobežojumi paredz iespēju ierobežot pārziņa pienākumu paziņot par personas datu aizsardzības pārkāpumu datu subjektam un apstrādes nolūka ierobežojuma, likumīguma, godprātības un pārredzamības principus (52).

(60) Atsevišķi ierobežojumi automātiski un pilnā apmērā attiecas uz noteiktiem personas datu apstrādes veidiem (piemēram, ja personas datus apstrādā nolūkā izvērtēt personas piemērotību amatam tiesu iestādē vai ja personas datus apstrādā tiesa, tribunāls vai persona, kas veic ar tiesu iestāžu darbu saistītus pienākumus, pārredzamības nodrošināšanas pienākumu un individuālo tiesību piemērošana ir izslēgta).

(61) Tomēr vairumā gadījumu 2018. gada DAL 2. pielikuma attiecīgajā punktā ir noteikts, ka ierobežojumi ir piemērojami tikai tad, ja / ciktāl noteikumu piemērošana “varētu kaitēt” šā ierobežojuma leģitīmā mērķa īstenošanai. Piemēram, Apvienotās Karalistes VDAR uzskaitītie noteikumi neattiecas uz personas datiem, kas apstrādāti nolūkā novērst vai atklāt noziegumus, aizturēt likumpārkāpējus vai saukt viņus pie atbildības vai aprēķināt vai iekasēt nodokļus vai maksājumus, “ciktāl šo noteikumu piemērošana varētu kaitēt” kādas iepriekš minētās darbības izpildei (53).

(62) Apvienotās Karalistes tiesas pastāvīgi ir interpretējušas standartu “varētu kaitēt” kā “ļoti būtisku un nopietnu kaitējuma iespēju noteiktajām sabiedrības interesēm” (54). Tādējādi ierobežojums, uz ko attiecas kaitējuma pārbaude, var tikt piemērots tikai tad un tiktāl, ja pastāv ļoti būtiska un nopietna iespēja, ka konkrētu tiesību piešķiršana kaitētu konkrētajām sabiedrības interesēm. Pārzinis ir atbildīgs par to, lai katrā gadījumā atsevišķi novērtētu, vai šie nosacījumi ir ievēroti (55).

(63) Papildus 2018. gada DAL 2. pielikumā paredzētajiem ierobežojumiem 2018. gada DAL 26. pantā ir paredzēts atbrīvojums, ko drīkst piemērot atsevišķiem Apvienotās Karalistes VDAR un 2018. gada DAL noteikumiem, ja šā atbrīvojuma piemērošana ir nepieciešama nolūkā garantēt valsts drošības vai aizsardzības mērķu īstenošanu. Šis atbrīvojums attiecas uz datu aizsardzības principiem (izņemot likumīguma principu), pārredzamības nodrošināšanas pienākumiem, datu subjekta tiesībām, pienākumu paziņot par personas datu aizsardzības pārkāpumu, noteikumiem par datu starptautisku nosūtīšanu, atsevišķiem informācijas komisāra pienākumiem un pilnvarām, kā arī noteikumiem par tiesiskās aizsardzības līdzekļiem, atbildību un sodiem, izņemot noteikumu par vispārējiem nosacījumiem attiecībā uz administratīvo naudas sodu piemērošanu, kas ir paredzēts Apvienotās Karalistes VDAR 83. pantā, kā arī noteikumu par sodiem, kas ir iekļauts Apvienotās Karalistes VDAR 84. pantā. Turklāt ar 2018. gada DAL 28. pantu ir grozīta 9. panta 1. punkta piemērošanas kārtība nolūkā atļaut apstrādāt Apvienotās Karalistes VDAR 9. panta 1. punktā minētās īpašās datu kategorijas, ciktāl apstrādi veic, lai garantētu valsts drošības un aizsardzības mērķu īstenošanu, kā arī nodrošinot atbilstošas garantijas attiecībā uz datu subjekta tiesībām un brīvībām (56).

(64) Atbrīvojumu var piemērot tikai tad, ja un ciktāl tas ir nepieciešams nolūkā garantēt valsts drošību vai aizsardzību. Tāpat kā pārējo 2018. gada DAL paredzēto atbrīvojumu gadījumā, šis atbrīvojums pārzinim ir jāizvērtē un jāpiemēro katrā gadījumā atsevišķi. Turklāt visos atbrīvojuma piemērošanas gadījumos ir jāievēro cilvēktiesību standarti (kuru pamatā ir 1998. gada Cilvēktiesību likums), kas paredz, ka demokrātiskā sabiedrībā tiesību uz privātumu ierobežojumiem vienmēr jāatbilst nepieciešamības un samērīguma principiem (57).

(65) Šo atbrīvojuma interpretāciju apstiprina Informācijas komisāra birojs (IKB), kas ir izdevis detalizētus norādījumus par valsts drošības un aizsardzības atbrīvojuma piemērošanu, skaidri nosakot, ka pārzinim tas jāapsver un jāpiemēro katrā gadījumā atsevišķi (58). Konkrētāk, norādījumos uzsvērts, ka šis nav vispārējs atbrīvojums un ka tā piemērošanai nepietiek ar to, ka datus apstrādā valsts drošības vajadzībām. Turpretim pārzinim, kas to izmanto, jāapliecina, ka pastāv reāla iespēja negatīvi ietekmēt valsts drošību, un, ja nepieciešams, pārzinim jāsniedz IKB pierādījumi tam, kādēļ šis atbrīvojums izmantots. Norādījumos iekļauts kontrolsaraksts un vairāki piemēri, kas sīkāk precizē nosacījumus, saskaņā ar kādiem šo atbrīvojumu var piemērot.

(66) Tāpēc fakts, ka datus apstrādā valsts drošības vai aizsardzības nolūkos, pats par sevi nav pietiekams pamatojums atbrīvojuma piemērošanai. Pārzinim ir jāņem vērā faktiskās sekas valsts drošības jomā, kas izrietētu, ja tam būtu jāievēro konkrētā datu aizsardzības prasība. Atbrīvojumu var piemēroti tikai tiem konkrētajiem noteikumiem, kas ir paredzēti kā tādi, kas rada risku, un tas ir jāpiemēro pēc iespējas ierobežotākā veidā (59).

(67) Šo pieeju ir apstiprinājis Informācijas tribunāls (60). Lietā Baker v Secretary of State for the Home Department (“Baker v Secretary of State”) tika nolemts, ka piemērot atbrīvojumu sakarā ar valsts drošību kā vispārēju atbrīvojumu izlūkdienestiem iesniegtiem piekļuves pieprasījumiem ir nelikumīgi. Tika noteikts, ka atbrīvojums ir piemērojams katrā gadījumā atsevišķi, izvērtējot katru pieprasījumu pēc būtības un ņemot vērā personu tiesības uz privātās dzīves neaizskaramību (61).

2.5.6. Ierobežojumi saistībā ar personas datiem, ko apstrādā žurnālistikas, mākslinieciskos, akadēmiskos un literāros nolūkos, kā arī arhivēšanas un pētniecības nolūkos

(68) Apvienotās Karalistes VDAR 85. panta 2. punktā ir atļauts noteikums, kas paredz, ka žurnālistikas, mākslinieciskos, akadēmiskos un literāros nolūkos veiktai personas datu apstrādei var piemērot atbrīvojumu no vairākiem Apvienotās Karalistes VDAR noteikumiem. 2018. gada DAL 2. pielikuma 5. daļā ir noteikti atbrīvojumi attiecībā uz apstrādi, ko veic šādos nolūkos. Tajā ir paredzēti atbrīvojumi no datu aizsardzības principu piemērošanas (izņemot integritātes un konfidencialitātes principu), apstrādes juridiskais pamats (tostarp īpašas datu kategorijas, dati par sodāmību utt.), piekrišanas nosacījumi, pārredzamības nodrošināšanas pienākumi, datu subjektu tiesības un pienākums paziņot par datu aizsardzības pārkāpumu, prasība apspriesties ar informācijas komisāru pirms tādas datu apstrādes, kas ir saistīta ar augstu risku, kā arī noteikumi par datu starptautisku nosūtīšanu (62). Šajā sakarā Apvienotās Karalistes VDAR būtiski neatkāpjas no Regulas (ES) 2016/679, kuras 85. pantā arī ir paredzēta iespēja piemērot atbrīvojumu no vairāku šīs regulas prasību piemērošanas žurnālistikas nolūkos veiktai apstrādei vai akadēmiskās, mākslinieciskās vai literārās izpausmes nolūkos veiktai apstrādei. 2018. gada DAL noteikumi, jo īpaši 2. pielikuma 5. daļa, ir saderīgi ar Apvienotās Karalistes VDAR.

(69) Saskaņā ar Apvienotās Karalistes VDAR 85. pantu veicamā galvenā līdzsvara pārbaude ir saistīta ar to, vai 68. apsvērumā minētais atbrīvojums no datu aizsardzības noteikumiem ir “nepieciešams nolūkā panākt līdzsvaru starp tiesībām uz personas datu aizsardzību un vārda un informācijas brīvību” (63). Saskaņā ar 2018. gada DAL 2. pielikuma 26. punkta 2. un 3. apakšpunktu Apvienotā Karaliste nolūkā panākt šo līdzsvaru piemēro “pamatota pieņēmuma” pārbaudi. Lai atbrīvojums būtu pamatots, pārzinim ir pamatoti jāpieņem, ka i) publicēšana ir sabiedrības interesēs; ii) attiecīgā VDAR noteikuma piemērošana būtu nesaderīga ar žurnālistikas, akadēmiskiem, mākslinieciskiem un literāriem nolūkiem. Kā apstiprināts judikatūrā (64), “pamatota pieņēmuma” pārbaude ietver gan subjektīvu, gan objektīvu komponentu: nepietiek ar to, ka pārzinis apliecina, ka saskaņā ar viņa ieskatu noteikumu ievērošana rada pretrunu. Viņa pieņēmumam ir jābūt pamatotam, t. i., tam varētu piekrist saprātīga persona, kura pārzina attiecīgos faktus. Tāpēc, formulējot savu nostāju, pārzinim ir jāievēro pienācīga rūpība, lai varētu uzskatāmi parādīt nostājas pamatotību. Saskaņā ar Apvienotās Karalistes iestāžu sniegtajiem skaidrojumiem “pamatota pieņēmuma” pārbaude ir jāveic attiecībā uz katru atbrīvojumu atsevišķi (65). Ja nosacījumi ir izpildīti, atbrīvojumu atbilstīgi Apvienotās Karalistes tiesību aktiem uzskata par nepieciešamu un samērīgu.

(70) Saskaņā ar 2018. gada DAL 124. pantu IKB ir jāsagatavo prakses kodekss par datu aizsardzību un žurnālistiku. Norit darbs pie šā kodeksa izstrādes. Saskaņā ar 1998. gada Datu aizsardzības likumu ir publicēti norādījumi par šo jautājumu, un tajos jo īpaši uzsvērts, ka, lai izmantotu šo atbrīvojumu, nav pietiekami tikai norādīt, ka konkrēto noteikumu ievērošana apgrūtinātu ar žurnālistiku saistītas darbības, un ir jāsniedz skaidrs arguments par to, ka šis noteikums rada šķērsli atbildīgai žurnālistikas darba veikšanai (66). Arī Apvienotās Karalistes telesakaru regulators OFCOM un BBC savās redakcionālajās pamatnostādnēs ir publicējuši norādījumus par sabiedrības interešu pārbaudes piemērošanu un sabiedrības interešu un ar privātumu saistīto personas interešu līdzsvarošanu (67). Pamatnostādnēs jo īpaši sniegti tādas informācijas piemēri, kuru var uzskatīt par saistītu ar sabiedrības interesēm, kā arī paskaidrots, ka ir jāspēj uzskatāmi parādīt, ka sabiedrības intereses konkrētās lietas apstākļos ir svarīgākas par tiesībām uz privātumu.

(71) Līdzīgi VDAR 89. pantā paredzētajām prasībām, personas datu apstrādei arhivēšanas nolūkos sabiedrības interesēs, zinātniskās vai vēstures pētniecības nolūkos vai statistikas nolūkos arī var piemērot atbrīvojumu no vairākiem Apvienotās Karalistes VDAR noteikumiem (68). Pētniecības un statistikas kontekstā atbrīvojumi ir iespējami attiecībā uz Apvienotās Karalistes VDAR noteikumiem saistībā ar apstrādes apstiprināšanu un piekļuvi datiem un garantijām attiecībā uz datu nosūtīšanu trešām valstīm, tiesībām labot, apstrādes ierobežošanu un iebilšanu pret apstrādi. Saistībā ar arhivēšanu sabiedrības interesēs atbrīvojumu iespējams piemērot arī attiecībā uz pienākumu ziņot par personas datu labošanu vai dzēšanu, apstrādes ierobežošanu un tiesībām uz datu pārnesamību.

(72) Saskaņā ar 2018. gada DAL 2. pielikuma 27. panta 1. punktu un 28. panta 1. punktu atbrīvojumi no uzskaitīto Apvienotās Karalistes VDAR noteikumu piemērošanas ir iespējami tad, ja šo noteikumu piemērošana “liegtu īstenot vai būtiski traucētu īstenot” attiecīgos nolūkus (69).

(73) Tā kā iepriekš minētajiem atbrīvojumiem ir būtiska nozīme individuālo tiesību efektīvā izmantošanā, jebkādas attiecīgas norises saistībā ar to interpretāciju un piemērošanu praksē (papildus norisēm saistībā ar efektīvas imigrācijas kontroles nodrošināšanu, kā skaidrots 6. apsvērumā), ietverot judikatūras un IKB norādījumu un izpildes panākšanas darbību jebkādu turpmāku attīstību, tiks ņemtas vērā šā lēmuma pastāvīgās uzraudzības kontekstā (70).

2.5.7. Tālākas nosūtīšanas ierobežojumi

(74) Aizsardzības līmeni, kāds piešķirts personas datiem, kurus nosūta no Eiropas Savienības pārziņiem vai apstrādātājiem Apvienotajā Karalistē, nedrīkst samazināt šādu datu tālāka nosūtīšana saņēmējiem trešā valstī. Šāda “tālāka nosūtīšana”, kas no Apvienotas Karalistes pārziņa vai apstrādātāja skatpunkta ir starptautiska nosūtīšana no Apvienotās Karalistes, būtu jāatļauj tikai tad, ja uz nākamo saņēmēju ārpus Apvienotās Karalistes attiecina noteikumus, kuri nodrošina aizsardzības līmeni, kas ir līdzīgs Apvienotās Karalistes tiesību sistēmas garantētajam. Šā iemesla dēļ Apvienotās Karalistes VDAR un 2018. gada DAL noteikumu piemērošana personas datu starptautiskai nosūtīšanai ir būtisks faktors nolūkā nodrošināt aizsardzības nepārtrauktību tādu personas datu gadījumā, ko atbilstīgi šim lēmumam nosūta no Eiropas Savienības uz Apvienoto Karalisti.

(75) Kārtība attiecībā uz personas datu starptautisko nosūtīšanu no Apvienotās Karalistes ir izklāstīta Apvienotās Karalistes VDAR 44.–49. pantā, un to papildina 2018. gada DAL. Šī kārtība būtībā ir identiska Regulas (ES) 2016/679 V nodaļā izklāstītajiem noteikumiem (71). Personas datus uz trešo valsti vai starptautisku organizāciju var nosūtīt, tikai pamatojoties uz noteikumiem par aizsardzības līmeņa pietiekamību (Apvienotās Karalistes ekvivalents Regulā (ES) 2016/679 paredzētajam lēmumam par aizsardzības līmeņa pietiekamību), vai, ja šādu noteikumu par aizsardzības līmeņa pietiekamību nav, tikai tad, ja pārzinis vai apstrādātājs ir sniedzis atbilstošas garantijas saskaņā ar Apvienotās Karalistes VDAR 46. pantu. Ja noteikumu par aizsardzības līmeņa pietiekamību vai atbilstošu garantiju nav, datus var nosūtīt, tikai pamatojoties uz Apvienotās Karalistes VDAR 49. pantā paredzētajām atkāpēm.

(76) Ministra izstrādātajos noteikumos par aizsardzības līmeņa pietiekamību var noteikt, ka trešā valsts (vai tās teritorija vai sektors), starptautiska organizācija vai šādas valsts, teritorijas, sektora vai organizācijas apraksts (72) nodrošina pietiekamu personas datu aizsardzības līmeni. Izvērtējot aizsardzības līmeņa pietiekamību, ministram ir jāņem vērā tieši tie paši elementi, kas ir jāizvērtē Komisijai saskaņā ar Regulas (ES) 2016/679 45. panta 2. punkta a)–c) apakšpunktu, ko skaidro kopsakarā ar Regulas (ES) 2016/679 104. apsvērumu un saglabāto ES judikatūru. Tas nozīmē, ka, novērtējot, vai trešā valsts nodrošina pietiekamu aizsardzības līmeni, attiecīgais standarts paredzēs, ka jānovērtē, vai attiecīgā trešā valsts garantē tādu aizsardzības līmeni, kurš “pēc būtības ir līdzvērtīgs” Apvienotajā Karalistē nodrošinātajam.

(77) Saistībā ar procedūru uz noteikumiem par aizsardzības līmeņa pietiekamību attiecas 2018. gada DAL 182. pantā paredzētās “vispārējās” prasības procedūrai. Saskaņā ar šo procedūru ministram, ierosinot pieņemt Apvienotās Karalistes noteikumus par aizsardzības līmeņa pietiekamību, ir jāapspriežas ar informācijas komisāru (73). Pēc tam, kad ministrs ir pieņēmis šos noteikumus, tos iesniedz parlamentam un tiem piemēro “noraidošas rezolūcijas” procedūru, saskaņā ar kuru abas parlamenta palātas var pārbaudīt noteikumus un 40 dienu laikā pieņemt priekšlikumu par noteikumu atcelšanu (74).

(78) Saskaņā ar 2018. gada DAL 17.B panta 1. punktu noteikumi par aizsardzības līmeņa pietiekamību jāpārskata ne retāk kā reizi četros gados un ministram pastāvīgi jāuzrauga norises trešās valstīs un starptautiskajās organizācijās, kas varētu ietekmēt lēmumus pieņemt noteikumus par aizsardzības līmeņa pietiekamību vai šādu noteikumu grozīšanu vai atcelšanu. Ja ministrs uzzina, ka norādītā valsts vai organizācija vairs nenodrošina pietiekamu personas datu aizsardzības līmeni, viņam, ciktāl nepieciešams, jāgroza vai jāatceļ noteikumi un jāuzsāk apspriešanās ar attiecīgo trešo valsti vai starptautisko organizāciju, lai novērstu aizsardzības līmeņa nepietiekamību. Šie procesuālie aspekti arī atspoguļo attiecīgās prasības, kas ir paredzētas Regulā (ES) 2016/679.

(79) Ja nav spēkā noteikumi par aizsardzības līmeņa pietiekamību, datu starptautisku nosūtīšanu var veikt tad, ja pārzinis vai apstrādātājs ir nodrošinājis atbilstošas garantijas saskaņā ar Apvienotās Karalistes VDAR 46. pantu. Šīs garantijas ir līdzīgas Regulas (ES) 2016/679 46. pantā paredzētajām garantijām. Tās ietver starp publiskajām iestādēm vai struktūrām juridiski saistošus un tiesiski īstenojamus instrumentus, saistošus uzņēmuma noteikumus (75), standarta datu aizsardzības klauzulas, apstiprinātus rīcības kodeksus, apstiprinātus sertifikācijas mehānismus, kā arī – saskaņā ar informācijas komisāra atļauju – līguma klauzulas starp pārziņiem (vai apstrādātājiem) vai administratīvās vienošanās starp publiskām iestādēm. Tomēr noteikumi no procesuālā viedokļa ir grozīti, lai darbotos Apvienotās Karalistes sistēmā, proti, standarta datu aizsardzības klauzulas var pieņemt ministrs (17.C pants) vai informācijas komisārs (119.A pants) atbilstīgi 2018. gada DAL.

(80) Ja lēmuma par aizsardzības līmeņa pietiekamību vai atbilstošu garantiju nav, datus var nosūtīt, tikai pamatojoties uz Apvienotās Karalistes VDAR 49. pantā paredzētajām atkāpēm (76). Salīdzinājumā ar attiecīgajiem Regulas (ES) 2016/679 noteikumiem Apvienotās Karalistes VDAR šīs atkāpes nav būtiski grozītas. Saskaņā ar Apvienotās Karalistes VDAR, tāpat kā Regulas (ES) 2016/679 gadījumā, atsevišķas atkāpes var piemērot tikai tad, ja nosūtīšana ir gadījuma rakstura (77). Turklāt IKB norādījumos par datu starptautisku nosūtīšanu precizēts: “Jums būtu jāizmanto šīs atkāpes kā faktiski “izņēmumi” no vispārējā noteikuma, kas paredz, ka jums nevajadzētu nosūtīt ierobežotas aprites datus, izņemot gadījumus, ja uz tiem attiecas lēmums par aizsardzības līmeņa pietiekamību vai ir spēkā atbilstošas garantijas” (78). Attiecībā uz datu nosūtīšanu, kas ir nepieciešama, ja ir svarīgi iemesli sabiedrības interesēs (49. panta 1. punkta d) apakšpunkts), ministrs var paredzēt noteikumus, kuros precizē apstākļus, kādos personas datu nosūtīšana uz trešo valsti vai starptautisko organizāciju nav nepieciešama svarīgu iemeslu dēļ sabiedrības interesēs. Ministrs, pieņemot noteikumus, arī var ierobežot noteiktas kategorijas personas datu nosūtīšanu uz trešo valsti vai starptautisko organizāciju, ja, pamatojoties uz noteikumiem par aizsardzības līmeņa pietiekamību, datus nedrīkst nosūtīt un ja ministrs uzskata, ka ierobežojums ir nepieciešams svarīgu iemeslu dēļ sabiedrības interesēs. Līdz šim šādi noteikumi nav pieņemti.

(81) Šis regulējums par datu starptautisku nosūtīšanu kļuva piemērojams pārejas perioda beigās (79). Tomēr 2018. gada DAL 21. pielikuma 4. punktā (ieviests ar DAPES noteikumiem) ir paredzēts, ka pēc pārejas perioda beigām konkrētu personas datu nosūtīšanu uzskata par tādu, kas ir pamatota ar noteikumiem par aizsardzības līmeņa pietiekamību. Šāda nosūtīšana ietver datu nosūtīšanu uz EEZ valsti, Gibraltāra teritoriju, Savienības iestādi, struktūru, biroju vai aģentūru, kas ir izveidota ar ES līgumu vai uz tā pamata, un uz trešām valstīm, par kurām pārejas perioda beigās ir pieņemts ES lēmums par aizsardzības līmeņa pietiekamību. Tādēļ nosūtīšana uz šīm valstīm var turpināties tā, kā tā notika pirms Apvienotās Karalistes izstāšanās no ES. Pārejas perioda beigās ministram četru gadu laikā (proti, līdz 2024. gada decembra beigām) ir jāpārskata minētie konstatējumi par aizsardzības līmeņa pietiekamību. Kā paskaidrojušas Apvienotās Karalistes iestādes, lai gan ministram šāda pārskatīšana ir jāveic līdz 2024. gada decembra beigām, pārejas noteikumi neietver noteikumu par spēka zaudēšanu, tādēļ attiecīgie pārejas noteikumi automātiski nezaudēs spēku, ja pārskatīšana līdz 2024. gada decembra beigām netiks pabeigta.

(82) Visbeidzot, attiecībā uz Apvienotās Karalistes starptautiskās nosūtīšanas kārtības turpmāko attīstību – līdz ar jaunu noteikumu par aizsardzības līmeņa pietiekamību pieņemšanu, starptautisku nolīgumu noslēgšanu vai citu nosūtīšanas mehānismu attīstību – Komisija cieši uzraudzīs situāciju, vērtēs, vai dažādos nosūtīšanas mehānismus izmanto tā, ka tie nodrošina aizsardzības nepārtrauktību, un, ja nepieciešams, īstenos attiecīgus pasākumus, kuru mērķis būs novērst iespējamo negatīvo ietekmi uz šādu nepārtrauktību (sk. 278.–287. apsvērumu). Tā kā ES un Apvienotās Karalistes noteikumi par starptautisko nosūtīšanu ir līdzīgi, paredzams, ka problemātisku novirzīšanos varētu arī novērst, sadarbojoties, apmainoties ar informāciju un pieredzi, tai skaitā starp IKB un EDAK.

2.5.8. Pārskatatbildība

(83) Saskaņā ar pārskatatbildības principu vienībām, kas apstrādā datus, ir jāievieš atbilstoši tehniskie un organizatoriskie pasākumi, lai tās efektīvi izpildītu savus datu aizsardzības pienākumus, un jāspēj pierādīt šādu izpildi, jo īpaši kompetentajai uzraudzības iestādei.

(84) Regulā (ES) 2016/679 noteiktais pārskatatbildības princips ir saglabāts Apvienotās Karalistes VDAR 5. panta 2. punktā bez būtiskām izmaiņām, un tas pats attiecas uz 24. pantu par pārziņa atbildību, 25. pantu par datu integrētu aizsardzību un datu aizsardzību pēc noklusējuma, kā arī 30. pantu par apstrādes darbību reģistrēšanu. Ir saglabāts arī 35. un 36. pants attiecībā uz novērtējumu par ietekmi uz datu aizsardzību un iepriekšēju apspriešanos ar uzraudzības iestādi. Apvienotās Karalistes VDAR bez būtiskām izmaiņām ir saglabāts Regulas (ES) 2016/679 37.–39. pants par datu aizsardzības speciālista iecelšanu un uzdevumiem. Apvienotās Karalistes VDAR ir saglabāti arī Regulas (ES) 2016/679 40. un 42. panta noteikumi par rīcības kodeksiem un sertifikāciju (80).

2.6. Pārraudzība un izpilde

2.6.1. Neatkarīga pārraudzība

(85) Lai nodrošinātu, ka arī praksē tiek garantēts pietiekams datu aizsardzības līmenis, vajadzētu būt izveidotai neatkarīgai uzraudzības iestādei, kurai uzticētas pilnvaras uzraudzīt un nodrošināt datu aizsardzības noteikumu izpildi. Šai iestādei tās uzdevumi būtu jāveic un pilnvaras jāīsteno pilnīgi neatkarīgi un objektīvi.

(86) Apvienotajā Karalistē pārraudzību un izpildes nodrošināšanu attiecībā uz atbilstību Apvienotās Karalistes VDAR un 2018. gada DAL veic informācijas komisārs. Informācijas komisārs ir “individuāls komersants”: atsevišķs tiesību subjekts, ko veido viena persona. Informācijas komisāra darbā to atbalsta birojs. 2020. gada 31. martā informācijas komisāra birojā bija 768 pastāvīgie darbinieki (81). Informācijas komisāru atbalsta Digitalizācijas, kultūras, mediju un sporta ministrija (82).

(87) Komisāra neatkarība ir skaidri noteikta Apvienotās Karalistes VDAR 52. pantā, kura saturs bez būtiskām izmaiņām atspoguļo VDAR 52. panta 1.–3. punktā paredzēto. Komisāram, veicot uzdevumus un īstenojot savas pilnvaras saskaņā ar Apvienotās Karalistes VDAR, ir jārīkojas pilnīgi neatkarīgi, attiecībā uz šiem uzdevumiem un pilnvarām ir jābūt brīvam no tiešas vai netiešas ārējas ietekmes, un viņš nedrīkst lūgt un ne no viena pieņemt nekādus norādījumus. Komisāram ir arī jāatturas no jebkādas darbības, kas nav savienojama ar viņa pienākumiem, un, esot amatā, viņš nedrīkst uzņemties nekādu nesavienojamu algotu vai nealgotu darbu.

(88) Nosacījumi informācijas komisāra iecelšanai un atbrīvošanai no amata ir izklāstīti 2018. gada DAL 12. pielikumā. Informācijas komisāru ieceļ Viņas Majestāte, pēc valdības ieteikuma, pamatojoties uz godīgu un atklātu konkursu. Kandidātam ir jāpiemīt atbilstošai kvalifikācijai, prasmēm un kompetencei. Saskaņā ar Pārvaldības kodeksu par valsts amatpersonu iecelšanu amatā (83) padomdevēja novērtēšanas komisija izveido to kandidātu sarakstu, kurus var iecelt amatā. Pirms digitalizācijas, kultūras, mediju un sporta ministrs pieņem galīgo lēmumu, attiecīgajai parlamenta komitejai ir jāveic pirmsiecelšanas pārbaude. Komitejas nostāja tiek publiskota (84).

(89) Informācijas komisāra amata pilnvaru termiņš ir līdz septiņiem gadiem. Personu informācijas komisāra amatā var iecelt tikai vienu reizi. Informācijas komisāru no amata var atbrīvot Viņas Majestāte pēc tam, kad abas parlamenta palātas ir izdarījušas uzrunu (85). Nevienai no parlamenta palātām nevar iesniegt pieprasījumu par informācijas komisāra atbrīvošanu no amata, ja vien ministrs nav iesniedzis ziņojumu, kurā minēts, ka viņš ir pārliecināts, ka informācijas komisārs ir vainojams nopietnā pārkāpumā un/vai komisārs vairs neatbilst komisāra funkciju veikšanai nepieciešamajiem nosacījumiem (86).

(90) Informācijas komisāram ir trīs finansējuma avoti: i) pārziņu maksājumi par datu aizsardzību, kuri noteikti ar ministra izdotiem noteikumiem (87) (2018. gada Datu aizsardzības (maksas un informācija) noteikumi) un veido 85–90 % no biroja gada budžeta (88); ii) dotācijas, ko informācijas komisāram izmaksā valdība (dotācijas galvenokārt izmanto, lai finansētu informācijas komisāra darbības izmaksas, kas nav saistītas ar datu aizsardzību (89)); un iii) maksa par pakalpojumiem (90). Pašlaik šādas maksas netiek iekasētas.

(91) Informācijas komisāra vispārīgās funkcijas saistībā ar to personas datu apstrādi, uz kuriem attiecas Apvienotās Karalistes VDAR, ir noteiktas Apvienotās Karalistes VDAR 57. pantā, kas atspoguļo attiecīgās prasības Regulā (ES) 2016/679. Informācijas komisāra funkcijās ietilpst uzraudzība un Apvienotās Karalistes VDAR piemērošana, sabiedrības informētības veicināšana, datu subjektu iesniegto sūdzību apstrāde, izmeklēšana utt. 2018. gada DAL 115. pantā ir noteiktas komisāra vispārīgās funkcijas, tostarp pienākums sniegt parlamentam, valdībai un citām iestādēm un struktūrām ieteikumus par likumdošanas un administratīviem pasākumiem saistībā ar personas tiesību un brīvību aizsardzību attiecībā uz personas datu apstrādi, kā arī pilnvaras pēc komisāra paša iniciatīvas vai pēc pieprasījuma sniegt parlamentam, valdībai vai citām iestādēm un struktūrām, kā arī sabiedrībai atzinumus par jebkādiem ar personas datu aizsardzību saistītiem jautājumiem. Lai saglabātu tiesu iestāžu neatkarību, informācijas komisāram nav atļauts veikt savas funkcijas saistībā ar personas datu apstrādi, ko veic persona, kas pilda ar tiesu iestāžu darbu saistītus pienākumus, vai tiesa vai tribunāls, kad tas rīkojas atbilstīgi savai kompetencei. Tiesu iestāžu pārraudzību veic specializētas struktūras (sk. 99.–103. apsvērumu).

2.6.2. Izpildes panākšana, ieskaitot sankcijas

(92) Informācijas komisāra pilnvaras ir noteiktas Apvienotās Karalistes VDAR 58. pantā, kas nav būtiski grozīts salīdzinājumā ar attiecīgo pantu Regulā (ES) 2016/679. 2018. gada DAL ir paredzēti papildu noteikumi par šo pilnvaru izmantošanu. Konkrēti, komisāram ir pilnvaras: a) uzdot pārzinim un apstrādātājam (konkrētos gadījumos – jebkurai citai personai) sniegt nepieciešamo informāciju ar informatīvu paziņojumu (“informatīvais paziņojums”) (91); b) veikt izmeklēšanu un revīzijas, sniedzot novērtējuma paziņojumu, kurā var pieprasīt pārzinim vai apstrādātājam, lai tas atļauj komisāram iekļūt konkrētās telpās, apskatīt vai pārbaudīt dokumentus vai iekārtas, iztaujāt personas, kas pārziņa vārdā apstrādā personas datus (“novērtējuma paziņojums”) (92); c) citādi iegūt piekļuvi pārziņu un apstrādātāju dokumentiem un iekļūt to telpās saskaņā ar 2018. gada DAL 154. pantu (“iekļūšanas un pārbaudes pilnvaras”); d) īstenot korektīvās pilnvaras, tostarp izsakot brīdinājumus un rājienus, vai dot rīkojumus ar izpildes paziņojumu, ar kuru pārziņiem/apstrādātājiem pieprasa veikt konkrētas darbības vai atturēties no to veikšanas, tostarp sniegt rīkojumu pārzinim vai apstrādātājam veikt jebkuru Apvienotās Karalistes VDAR 58. panta 2. punkta c)–g) apakšpunktā un j) apakšpunktā noteikto darbību (“izpildes paziņojums”) (93); e) uzlikt administratīvos naudas sodus soda paziņojuma veidā (“soda paziņojums”) (94). Administratīvos naudas sodus var uzlikt arī tad, ja publiska iestāde nav izpildījusi Apvienotās Karalistes VDAR noteikumus (95).

(93) IKB regulatīvās rīcības politikā ir izklāstīti apstākļi, kādos birojs izdod attiecīgi informatīvu, novērtējuma, izpildes un soda paziņojumu (96). Izpildes paziņojumā, ko nosūta, reaģējot uz pārziņa vai apstrādātāja pārkāpumu, var noteikt tikai tādas prasības, kuras komisārs uzskata par piemērotām pārkāpuma novēršanai. Izpildes un soda paziņojumus pārzinim vai apstrādātājam var nosūtīt saistībā ar Apvienotās Karalistes VDAR II nodaļas (apstrādes principi), 12.–22. panta (datu subjekta tiesības), 25.–39. panta (pārziņu un apstrādātāju pienākumi) un 44.–49. panta (datu starptautiska nosūtīšana) pārkāpumiem. Izpildes paziņojumu var nosūtīt arī tad, ja pārzinis nav izpildījis prasību veikt maksājumu, kas paredzēta saskaņā ar 2018. gada DAL 137. pantu izstrādātajos noteikumos. Turklāt izpildes paziņojumu var nosūtīt 41. pantā minētajai uzraudzības iestādei vai sertifikācijas pakalpojumu sniedzējam, ja tas nepilda pienākumus, kas tam noteikti Apvienotās Karalistes VDAR. Soda paziņojumu var nosūtīt arī personai, kas nav izpildījusi informatīvajā paziņojumā, novērtējuma paziņojumā vai izpildes paziņojumā noteiktās prasības.

(94) Soda paziņojumā personai tiek prasīts samaksāt informācijas komisāram paziņojumā norādīto summu. Nosakot, vai personai ir jāpiemēro sods, un nosakot soda apmēru, informācijas komisāram jāņem vērā Apvienotās Karalistes VDAR 83. panta 1. un 2. punktā uzskaitītie aspekti, kas ir identiski attiecīgajiem noteikumiem Regulā (ES) 2016/679 (97). Saskaņā ar 83. panta 4. un 5. punktu maksimālās administratīvo naudas sodu summas, ko var piemērot par iepriekš minētajos noteikumos paredzēto pienākumu nepildīšanu, ir attiecīgi 8700 000 GBP vai 17 500 000 GBP. Ja persona ir uzņēmums, informācijas komisārs naudas sodus var piemērot, arī iekasējot procentuālu daļu no tā gada apgrozījuma pasaulē, ja tā ir lielāka par iepriekš minētajiem naudas sodiem. Tāpat kā attiecīgajos Regulas (ES) 2016/679 noteikumos, šīs summas attiecīgi 83. panta 4. punktā un 83. panta 5. punktā ir noteiktas 2 % un 4 % apmērā. Personai, kas nav izpildījusi informatīvajā paziņojumā, novērtējuma paziņojumā vai izpildes paziņojumā noteiktās prasības, soda paziņojumā var noteikt naudas sodu, kas nepārsniedz 17 500 000 GBP, vai, ja persona ir uzņēmums, 4 % no gada apgrozījuma pasaulē.

(95) Apvienotās Karalistes VDAR kopā ar 2018. gada DAL ir stiprinājusi arī pārējās informācijas komisāra pilnvaras. Piemēram, komisārs, izmantojot novērtējuma paziņojumus, tagad var veikt obligātas revīzijas saistībā ar visiem pārziņiem un apstrādātājiem, turpretī saskaņā ar iepriekšējo tiesisko regulējumu, 1998. gada Datu aizsardzības likumu, komisāram bija pilnvaras tikai attiecībā uz centrālo valdību un veselības organizācijām, bet pārējos gadījumos bija jāsaņem attiecīgo struktūru piekrišana.

(96) Kopš Regulas (ES) 2016/679 pieņemšanas IKB gadā apstrādā aptuveni 40 000 datu subjektu sūdzību (98), kā arī papildus tam veic aptuveni 2000 ex officio izmeklēšanu (99). Lielākā daļa sūdzību ir saistītas ar tiesībām uz piekļuvi datiem un uz datu izpaušanu. Pēc izmeklēšanas veikšanas komisārs veic izpildes pasākumus virknē sektoru. Konkrētāk, saskaņā ar informācijas komisāra jaunāko gada pārskatu (2019.–2020. gads) (100) komisārs pārskata periodā nosūtīja 54 informatīvos paziņojumus, 8 novērtējuma paziņojumus, 7 izpildes paziņojumus, 4 brīdinājumus, 8 apsūdzības un 15 soda paziņojumus (101).

(97) Tas ietver vairākus lielus naudas sodus, kas tika piemēroti saskaņā ar Regulu (ES) 2016/679 un 2018. gada DAL. Konkrēti, informācijas komisārs 2020. gada oktobrī par datu aizsardzības pārkāpumu, kas ietekmēja vairāk nekā 400 000 klientu, britu aviokompānijai piemēroja naudas sodu 20 miljonu GBP apmērā. Par nespēju nodrošināt miljoniem klientu personas datu drošību 2020. gada oktobra beigās naudas sods 18,4 miljonu GBP apmērā tika piemērots starptautiskai viesnīcu ķēdei, un 2020. gada novembrī britu pakalpojumu sniedzējam, kas tiešsaistē pārdod pasākumu biļetes, tika piemērots naudas sods 1,25 miljonu GBP apmērā, jo šis pakalpojumu sniedzējs pārkāpa klientu maksājumu informācijas aizsardzības prasības (102).

(98) Papildus 92. apsvērumā aprakstītajām informācijas komisāra izpildes pilnvarām daži datu aizsardzības tiesību aktu pārkāpumi ir noziedzīgi nodarījumi, tāpēc par tiem var piemērot kriminālsodus (2018. gada DAL 196. pants). Tas attiecas, piemēram, uz apzinātu vai bezatbildīgu personas datu iegūšanu vai izpaušanu bez pārziņa piekrišanas, panākšanu, ka personas dati tiek izpausti citai personai bez pārziņa piekrišanas (103), informācijas, kas ir anonimizēti personas dati, atkārtotu identificēšanu, ja tai nav piekritis par personas datu anonimizēšanu atbildīgais pārzinis (104), komisāra pilnvaru īstenošanas apzinātu kavēšanu saistībā ar personas datu pārbaudi saskaņā ar starptautiskajām saistībām (105), nepatiesu ziņu sniegšanu, atbildot uz informatīvu paziņojumu, vai informācijas iznīcināšanu saistībā ar informatīviem un novērtējuma paziņojumiem (106).

2.6.3. Tiesu iestāžu pārraudzība

(99) Tiesu un tiesu iestāžu veiktās personas datu apstrādes pārraudzība ir divējāda. Ja tiesu iestādes amatpersona vai tiesa neīsteno tiesu varu, pārraudzību nodrošina informācijas komisārs. Ja pārzinis īsteno tiesu varu, IKB nevar īstenot pārraudzību (107), un pārraudzību veic īpašas struktūras. Tas atspoguļo Regulā (ES) 2016/679 (55. panta 3. punktā) izmantoto pieeju.

(100) Konkrēti, otrajā scenārijā šādu pārraudzību pār Anglijas un Velsas tiesām un Anglijas un Velsas pirmā un augstākā līmeņa tribunāliem nodrošina Tiesu datu aizsardzības kolēģija (108). Turklāt lords augstais tiesnesis un tribunālu galvenais tiesnesis ir izdevuši Paziņojumu par privātumu (109), kurā izklāstīts, kā Anglijas un Velsas tiesas apstrādā personas datus tiesas funkciju veikšanai. Līdzīgu paziņojumu ir izdevušas Ziemeļīrijas (110) un Skotijas (111) tiesu iestādes.

(101) Turklāt Ziemeļīrijas lords augstais tiesnesis ir iecēlis Augstās tiesas tiesnesi par datu uzraudzības tiesnesi (DUT) Ziemeļīrijā (112). Tas ir arī izdevis norādījumus Ziemeļīrijas tiesu iestādēm par to, kā rīkoties datu nozaudēšanas vai iespējamas nozaudēšanas gadījumā un kā risināt ar to saistītos jautājumus (113).

(102) Skotijā lords priekšsēdētājs ir iecēlis datu uzraudzības tiesnesi, kas izmeklē visas sūdzības datu aizsardzības jomā. Tas ir noteikts saskaņā ar tiesu iestāžu sūdzību izskatīšanas noteikumiem, kas atbilst Anglijā un Velsā spēkā esošajiem noteikumiem (114).

(103) Visbeidzot, Augstākajā tiesā datu aizsardzības pārraudzībai ir iecelts viens no Augstākās tiesas tiesnešiem.

2.6.4. Tiesiskās aizsardzības līdzekļi

(104) Lai nodrošinātu pietiekamu aizsardzību un jo īpaši individuālo tiesību īstenošanu, datu subjektam vajadzētu būt pieejamai efektīvai tiesību aizsardzībai administratīvā kārtā vai tiesā, tostarp kompensācijai par kaitējumu.

(105) Pirmkārt, datu subjektam ir tiesības iesniegt sūdzību informācijas komisāram, ja datu subjekts uzskata, ka saistībā ar viņa personas datiem ir pārkāpta Apvienotās Karalistes VDAR (115). Apvienotās Karalistes VDAR bez būtiskām izmaiņām ir saglabāti Regulas (ES) 2016/679 77. pantā paredzētie noteikumi par šīm tiesībām. Tas pats attiecas uz 57. panta 1. punkta f) apakšpunktu un 2. punktu, kurā izklāstīti komisāra pienākumi saistībā ar sūdzību izskatīšanu. Kā aprakstīts iepriekš 92.–98. apsvērumā, informācijas komisārs ir pilnvarots novērtēt pārziņa un apstrādātāja atbilstību Apvienotās Karalistes VDAR un 2018. gada DAL, neatbilstības gadījumā pieprasīt tiem veikt nepieciešamos pasākumus vai atturēties no to veikšanas un uzlikt naudas sodu.

(106) Otrkārt, Apvienotās Karalistes VDAR un 2018. gada DAL ir paredzētas tiesības uz tiesisko aizsardzību pret informācijas komisāru. Saskaņā ar Apvienotās Karalistes VDAR 78. panta 1. punktu personai ir tiesības uz efektīvu tiesisko aizsardzību tiesā pret komisāra pieņemtu juridiski saistošu lēmumu, kas skar minētās personas. Veicot pārskatīšanu tiesā, tiesnesis izskata prasībā apstrīdēto lēmumu un izvērtē, vai informācijas komisārs ir rīkojies likumīgi. Turklāt saskaņā ar Apvienotās Karalistes VDAR 78. panta 2. punktu, ja komisārs nav atbilstoši izskatījis datu subjekta iesniegto sūdzību, (116) sūdzības iesniedzējs var izmantot tiesisko aizsardzību tiesā. Tas var vērsties pirmā līmeņa tribunālā, lai tas uzdotu komisāram veikt atbilstošus pasākumus sakarā ar sūdzību vai informēt sūdzības iesniedzēju par sūdzības virzību (117). Turklāt jebkura persona, kas no komisāra ir saņēmusi kādu no iepriekš minētajiem paziņojumiem (informatīvu, novērtējuma, izpildes vai soda paziņojumu), var to pārsūdzēt pirmā līmeņa tribunālā (118). Ja tribunāls uzskata, ka komisāra lēmums neatbilst tiesību aktiem vai ka informācijas komisāram vajadzēja citādi izmantot savu rīcības brīvību, tribunālam ir jāatļauj pārsūdzība vai jānosaka aizstājējs paziņojums vai lēmums, ko informācijas komisārs būtu varējis izdot vai pieņemt.

(107) Treškārt, personas var tieši panākt tiesisko aizsardzību pret kontrolieriem un apstrādātājiem tiesā saskaņā ar Apvienotās Karalistes VDAR 79. pantu un 2018. gada DAL 167. pantu. Ja pēc datu subjekta pieteikuma tiesa ir pārliecinājusies, ka ir pārkāptas datu subjekta tiesības, ko paredz datu aizsardzības tiesību akti, tiesa var uzdot pārzinim, kas apstrādā datus, vai apstrādātājam, kas rīkojas minētā pārziņa vārdā, veikt rīkojumā noteiktos pasākumus vai atturēties no rīkojumā noteikto pasākumu veikšanas.

(108) Turklāt saskaņā ar Apvienotās Karalistes VDAR 82. pantu un 2018. gada DAL 168. pantu jebkurai personai, kurai Apvienotās Karalistes VDAR pārkāpuma rezultātā ir nodarīts materiāls vai nemateriāls kaitējums, ir tiesības no pārziņa vai apstrādātāja saņemt kompensāciju par tai nodarīto kaitējumu. Apvienotās Karalistes VDAR 82. panta 1.–5. punktā izklāstītie noteikumi par kompensāciju un atbildību ir identiski ar attiecīgajiem noteikumiem Regulā (ES) 2016/679. Saskaņā ar 2018. gada DAL 168. pantu nemateriāls kaitējums ietver arī spriedzi. Saskaņā ar Apvienotās Karalistes VDAR 80. pantu datu subjektam ir arī tiesības pilnvarot pārstāvības struktūru vai organizāciju, lai tā datu subjekta vārdā iesniegtu sūdzību komisāram (saskaņā ar Apvienotās Karalistes VDAR 77. pantu) un datu subjekta vārdā izmantotu Apvienotās Karalistes VDAR 78. pantā minētās tiesības (tiesības uz efektīvu tiesisko aizsardzību tiesā pret komisāru), 79. pantā minētās tiesības (tiesības uz efektīvu tiesisko aizsardzību tiesā pret pārzini vai apstrādātāju) un 82. pantā minētās tiesības (tiesības uz kompensāciju un atbildību).

(109) Ceturtkārt, kā arī papildus iepriekš aprakstītajām tiesiskās aizsardzības iespējām jebkura persona, kas uzskata, ka publiskās iestādes ir pārkāpušas tās tiesības, tostarp tiesības uz privātumu un datu aizsardzību, var saņemt kompensāciju Apvienotās Karalistes tiesās saskaņā ar 1998. gada Cilvēktiesību likumu (119). Persona, kas apgalvo, ka publiska iestāde ir rīkojusies (vai plāno rīkoties) veidā, kas nav savienojams ar konvencijā paredzētajām tiesībām un līdz ar to ir prettiesisks saskaņā ar 1998. gada Cilvēktiesību likuma 6. panta 1. punktu, var celt prasību pret iestādi attiecīgajā tiesā vai tribunālā vai paļauties uz attiecīgajām tiesībām jebkurā tiesvedībā, ja attiecīgā persona ir (vai būtu) cietusi no nelikumīgas darbības.

(110) Ja tiesa konstatē, ka kāda publiskas iestādes darbība ir nelikumīga, tā var apmierināt šādu prasību vai atzīt tiesiskās aizsardzības līdzekli, vai savu pilnvaru ietvaros izdot rīkojumu, ko tā uzskata par taisnīgu un piemērotu (120). Tiesa var arī pasludināt primāra tiesību akta normu par nesaderīgu ar konvencijā garantētajām tiesībām.

(111) Visbeidzot, pēc valsts tiesiskās aizsardzības līdzekļu izsmelšanas persona var saņemt kompensāciju, vēršoties Eiropas Cilvēktiesību tiesā par Eiropas Cilvēktiesību konvencijā garantēto tiesību pārkāpumiem.

3. APVIENOTĀS KARALISTES PUBLISKO IESTĀŽU PIEKĻUVE PERSONAS DATIEM, KO NOSŪTA NO EIROPAS SAVIENĪBAS, UN ŠĀDU DATU IZMANTOŠANA

(112) Komisija arī izvērtēja Apvienotās Karalistes tiesisko regulējumu tādu personas datu vākšanai un turpmākai izmantošanai, ko Apvienotās Karalistes publiskās iestādes nosūtīja Apvienotās Karalistes uzņēmējiem sabiedrības interesēs, jo īpaši krimināltiesību aktu piemērošanas un valsts drošības nolūkos (turpmāk tekstā – “valdības piekļuve”). Novērtējot, vai nosacījumi, ar kādiem valdības piekļuve datiem, kas saskaņā ar šo lēmumu nosūtīti uz Apvienoto Karalisti, atbilstu “līdzvērtības pēc būtības” pārbaudei saskaņā ar Regulas (ES) 2016/679 45. panta 1. punktu, kā to interpretējusi Eiropas Savienības Tiesa, ņemot vērā Pamattiesību hartu, Komisija jo īpaši ņēma vērā turpmāk minētos kritērijus.

(113) Pirmkārt, jebkuriem ierobežojumiem, kas skar tiesības uz personas datu aizsardzību, ir jābūt paredzētiem tiesību aktos, un juridiskajam pamatam, kas pieļauj šādu tiesību ierobežojumu, pašam jānosaka attiecīgo tiesību izmantošanas ierobežojuma tvērums (121).

(114) Otrkārt, lai nodrošinātu atbilstību samērīguma prasībai, saskaņā ar kuru atkāpes no personas datu aizsardzības un to ierobežojumi piemērojami tikai tiktāl, ciktāl tas ir absolūti nepieciešams (noteikti vajadzīgs) demokrātiskā sabiedrībā, lai sasniegtu konkrētus vispārējas nozīmes mērķus, kas ir līdzvērtīgi Savienībā atzītajiem, attiecīgās trešās valsts tiesību aktos, kas pieļauj ierobežojumu, jāparedz skaidri un precīzi noteikumi, kas reglamentē attiecīgo pasākumu darbības jomu un piemērošanu, un jānosaka minimāli aizsardzības pasākumi, lai personām, kuru dati ir nosūtīti, būtu pietiekamas garantijas efektīvai viņu personas datu aizsardzībai pret ļaunprātīgas izmantošanas risku (122). Tiesību aktos jo īpaši jānorāda, kādos apstākļos un ar kādiem nosacījumiem var īstenot pasākumu (123), kas nodrošina šādu datu apstrādi, kā arī piemērot šādu prasību izpildei neatkarīgu pārraudzību (124).

(115) Treškārt, šiem tiesību aktiem jābūt juridiski saistošiem saskaņā ar valsts tiesību aktiem, un šīm juridiskajām prasībām jābūt saistošām iestādēm, kā arī to izpildei jābūt panākamai tiesās pret attiecīgās trešās valsts iestādēm (125). Datu subjektiem jo īpaši jābūt iespējai celt prasību neatkarīgā un objektīvā tiesā, lai gūtu piekļuvi saviem personas datiem vai panāktu šādu datu labošanu vai dzēšanu (126).

3.1. Vispārējais tiesiskais regulējums

(116) Publiskajām iestādēm piešķirto pilnvaru ietvaros, valdības piekļuve Apvienotajā Karalistē jāīsteno, pilnībā ievērojot tiesību aktos noteikto. Apvienotā Karaliste ir ratificējusi Eiropas Cilvēktiesību konvenciju (sk. 9. apsvērumu), un visām Apvienotās Karalistes publiskajām iestādēm ir jārīkojas saskaņā ar šo konvenciju (127). Konvencijas 8. pantā noteikts, ka jebkuram privātās dzīves neaizskaramības ierobežojumam ir jāatbilst tiesību aktiem, jāatbilst vienam no 8. panta 2. punktā noteiktajiem mērķiem un jābūt samērīgam, ņemot vērā šo mērķi. Konvencijas 8. pantā arī noteikts, ka ierobežojumam ir jābūt paredzamam, t. i., tam jābūt skaidram, pieejamam likumīgajam pamatam, un tiesību aktos jābūt paredzētām atbilstošām garantijām, lai novērstu ļaunprātīgu izmantošanu.

(117) Turklāt Eiropas Cilvēktiesību tiesa savā judikatūrā ir precizējusi, ka jebkuram ierobežojumam, kas skar tiesības uz privātumu un datu aizsardzību, būtu jāpiemēro efektīva, neatkarīga un objektīva pārraudzības sistēma, kuru nodrošina vai nu tiesnesis, vai arī cita neatkarīga struktūra (128) (piemēram, administratīva iestāde vai parlamenta struktūra).

(118) Turklāt personām ir jānodrošina efektīvs tiesiskās aizsardzības līdzeklis, un Eiropas Cilvēktiesību tiesa ir paskaidrojusi, ka tiesiskās aizsardzības līdzeklis jāpiedāvā neatkarīgai un objektīvai struktūrai, kura pieņēmusi savu reglamentu un kuras locekļiem ir jābūt augstam amatam vai ieņēmušiem augstu amatu tiesu iestādē vai jābūt pieredzējušiem juristiem, un ka nedrīkst būt pierādīšanas pienākums, lai tajā iesniegtu pieteikumu. Uzņemoties privātpersonu sūdzību izskatīšanu, neatkarīgai un objektīvai struktūrai būtu jābūt pieejai visai attiecīgajai informācijai, tostarp slēgtiem materiāliem. Visbeidzot, tai vajadzētu būt pilnvarām novērst neatbilstību (129).

(119) 2018. gadā Apvienotā Karaliste arī ratificējusi Eiropas Padomes Konvenciju par personu aizsardzību attiecībā uz personas datu automātisko apstrādi (Konvencija Nr. 108) un parakstīja Protokolu, ar kuru groza Konvenciju par personu aizsardzību attiecībā uz personas datu automātisko apstrādi (Konvencija Nr. 108+) (130). Konvencijas Nr. 108 9. pantā paredzēts, ka atkāpes no vispārējiem datu aizsardzības principiem (5. pants “Datu kvalitāte”), noteikumiem, kas reglamentē īpašas datu kategorijas (6. pants “Īpašas datu kategorijas”) un datu subjekta tiesības (8. pants “Datu subjekta papildu garantijas”), ir pieļaujamas tikai tad, ja šādas atkāpes ir paredzētas Puses tiesību aktos un ir nepieciešams pasākums demokrātiskā sabiedrībā valsts drošības, sabiedriskās drošības, valsts monetāro interešu aizsardzības vai noziedzīgu nodarījumu apkarošanas interesēs vai arī datu subjekta vai citu personu tiesību un brīvību aizsardzībai (131).

(120) Tāpēc, pateicoties dalībai Eiropas Padomē, Eiropas Cilvēktiesību konvencijas ievērošanai un pakļaujoties Eiropas Cilvēktiesību tiesas jurisdikcijai, uz Apvienoto Karalisti attiecas vairāki starptautiskajos tiesību aktos noteikti pienākumi, kas nosaka tās valdības piekļuves sistēmu, pamatojoties uz principiem, garantijām un individuālām tiesībām, kas līdzīgas ES tiesību aktos garantētajām un dalībvalstīm piemērojamajām. Kā uzsvērts 19. apsvērumā, pastāvīga šādu instrumentu ievērošana ir īpaši svarīgs novērtējuma elements, uz kura balstīts šis lēmums.

(121) Turklāt īpašas datu aizsardzības garantijas un tiesības garantē 2018. gada DAL gadījumos, kad datus apstrādā publiskās iestādes, tostarp tiesībaizsardzības iestādes un valsts drošības struktūras.

(122) Konkrēti, personas datu apstrādes režīms krimināltiesību aktu piemērošanas kontekstā ir noteikts 2018. gada DAL 3. daļā, kas tika ieviesta nolūkā transponēt Direktīvu (ES) 2016/680. 2018. gada DAL 3. daļu piemēro personas datu apstrādei, kuru veic kompetentās iestādes, lai novērstu, izmeklētu, atklātu noziedzīgus nodarījumus vai sauktu pie atbildības par tiem vai izpildītu kriminālsodus, tostarp lai pasargātu no draudiem sabiedriskajai drošībai un tos novērstu (132).

(123) Jēdziens “kompetentā iestāde” ir definēts DAL 30. pantā kā persona, kas minēta 2018. gada DAL 7. pielikumā, kā arī jebkāda cita persona, ciktāl tai ir likumā noteiktas funkcijas jebkādiem tiesībaizsardzības nolūkiem (133). Kā skaidrots turpmāk (sk. 139. apsvērumu), noteiktas kompetentās iestādes (piemēram, Valsts noziedzības apkarošanas aģentūra) saskaņā ar konkrētiem nosacījumiem var izmantot pilnvaras, kas paredzētas 2016. gada Izmeklēšanas pilnvaru likumā (2016. gada IPL). Šajā gadījumā papildus 2018. gada DAL 3. daļā minētajām garantijām piemēros 2016. gada IPL minētās garantijas. Izlūkdienesti (Slepenās izlūkošanas dienests, Drošības dienests un Valdības sakaru štābs) nav kompetentās iestādes (134) 2018. gada DAL 3. daļas nozīmē, tāpēc tajā minētie noteikumi uz šo izlūkdienestu darbību neattiecas. 2018. gada DAL konkrēta daļa (4. daļa) ir veltīta izlūkdienestu veiktai personas datu apstrādei (plašāku informāciju sk. 125. apsvērumā).

(124) Līdzīgi kā Direktīvā (ES) 2016/680, arī 2018. gada DAL 3. daļā ir noteikti likumīguma un godprātības (135), nolūka ierobežošanas (136), datu minimizēšanas (137), precizitātes (138), glabāšanas ierobežojuma (139) un drošības (140) principi. Tiesību akti uzliek īpašus pārredzamības nodrošināšanas pienākumus (141) un nodrošina personām tiesības piekļūt (142), panākt savu datu labošanu un dzēšanu (143), kā arī tiesības nebūt automatizētas lēmumu pieņemšanas subjektam (144). Kompetentajām iestādēm ir arī jāievieš integrēta datu aizsardzība un datu aizsardzība pēc noklusējuma, jānodrošina apstrādes darbību uzskaite un attiecībā uz dažām apstrādes darbībām jāveic novērtējumi par ietekmi uz datu aizsardzību un iepriekš jākonsultējas ar informācijas komisāru (145). Saskaņā ar 2018. gada DAL 56. pantu tām ir jāpierāda atbilstība. Turklāt tām ir jāievieš atbilstoši pasākumi apstrādes drošības nodrošināšanai (146), un datu aizsardzības pārkāpuma gadījumā tām ir jāuzņemas īpašas saistības, tostarp pienākums ziņot par šādiem pārkāpumiem informācijas komisāram un datu subjektiem (147). Tāpat kā paredzēts Direktīvā (ES) 2016/680, uz pārzini (ja vien tā nav tiesa vai cita tiesu iestāde, kas darbojas kā tiesnesis) ir attiecināma prasība iecelt datu aizsardzības speciālistu (DAS) (148), kurš palīdz pārzinim izpildīt tā pienākumus, kā arī uzrauga šo atbilstību (149). Turklāt tiesību aktos ir noteiktas konkrētas prasības personas datu starptautiskai nosūtīšanai tiesībaizsardzības nolūkā uz trešām valstīm vai starptautiskām organizācijām, lai nodrošinātu aizsardzības nepārtrauktību (150). Šī lēmuma pieņemšanas dienā Komisija ir pieņēmusi lēmumu par aizsardzības līmeņa pietiekamību, pamatojoties uz Direktīvas (ES) 2016/680 36. panta 3. punktu, konstatējot, ka datu aizsardzības režīms, kas piemērojams Apvienotās Karalistes kriminālizmeklēšanas iestāžu veiktajai apstrādei, nodrošina aizsardzības līmeni, kas pēc būtības ir līdzvērtīgs Direktīvā (ES) 2016/680 garantētajam.

(125) 2018. gada DAL 4. daļu piemēro visu veidu apstrādei, ko veic izlūkdienesti vai kas tiek veikta to vārdā. Tajā ir noteikti galvenie datu aizsardzības principi (likumīgums, godprātība un pārredzamība (151); nolūka ierobežojums (152); datu minimizēšana (153); precizitāte (154); glabāšanas ierobežojums (155) un drošība (156)), kā arī paredzēti nosacījumi īpašu kategoriju datu apstrādei (157), datu subjekta tiesības (158), prasība par datu integrētu aizsardzību (159) un reglamentēta personas datu starptautiska nosūtīšana (160). IKB nesen izdevis detalizētus norādījumus par izlūkošanas aģentūru veiktu apstrādi saskaņā ar 2018. gada DAL 4. daļu (161).

(126) Tajā pašā laikā 2018. gada DAL 110. pantā ir paredzēts atbrīvojums no 2018. gada DAL 4. daļas konkrētiem noteikumiem (162), ja šāds atbrīvojums ir nepieciešams, lai aizsargātu valsts drošību. Šo atbrīvojumu var izmantot, pamatojoties uz katra gadījuma atsevišķu analīzi (163). Kā paskaidrojušas Apvienotās Karalistes iestādes un ko apstiprina Apvienotās Karalistes judikatūra, “pārzinim ir jāņem vērā faktiskās sekas attiecībā uz valsts drošību vai aizsardzību, ja tam bija jāievēro konkrētais datu aizsardzības noteikums un ja tas varēja saprātīgi ievērot parasto noteikumu, neietekmējot valsts drošību vai aizsardzību” (164). IKB pārrauga, vai atbrīvojums ir izmantots pareizi (165).

(127) Turklāt attiecībā uz iespēju “ valsts drošības” aizsardzības nolūkā ierobežot iepriekš minēto noteikumu piemērošanu, saskaņā ar 2018. gada DAL 111. pantu pārzinis var pieprasīt Ministru kabineta ministra vai ģenerālprokurora parakstītu apliecinājumu, ka šādu tiesību ierobežojums ir nepieciešams un samērīgs pasākums valsts drošības aizsardzībai (166).

(128) Apvienotās Karalistes valdība ir izdevusi norādījumus, lai palīdzētu pārziņiem izlemt, vai pieteikties valsts drošības sertifikātam saskaņā ar 2018. gada DAL, kuros īpaši uzsvērts, ka jebkādiem datu subjektu tiesību ierobežojumiem valsts drošības aizsardzības nolūkā jābūt samērīgiem un nepieciešamiem (167). Visi valsts drošības sertifikāti jāpublicē IKB tīmekļa vietnē (168).

(129) Sertifikātam jābūt izdotam uz laiku, kas nepārsniedz piecus gadus, un izpildvarai tas regulāri jāpārskata (169). Sertifikātā norāda personas datus vai personas datu kategorijas, kam piemēro atbrīvojumu, kā arī 2018. gada DAL noteikumus, uz kuriem attiecas atbrīvojums (170).

(130) Ir svarīgi norādīt, ka valsts drošības sertifikāti neparedz papildu pamatu datu aizsardzības tiesību ierobežošanai valsts drošības iemeslu dēļ. Citiem vārdiem – pārzinis vai apstrādātājs var paļauties uz sertifikātu tikai tad, ja tas ir secinājis, ka ir nepieciešams atsaukties uz atbrīvojumu sakarā ar valsts drošību, kas, kā paskaidrots iepriekš, jāpiemēro katrā gadījumā atsevišķi (171). Pat tad, ja uz konkrēto jautājumu attiecas valsts drošības sertifikāts, IKB var izmeklēt, vai konkrētajā gadījumā paļaušanās uz atbrīvojumu sakarā ar valsts drošību ir bijusi pamatota (172).

(131) Jebkura persona, kuru tieši ietekmē sertifikāta izsniegšana, var pārsūdzēt sertifikātu (173) Augstākajā tribunālā (174) vai, ja sertifikātā dati identificēti ar vispārīgu aprakstu, apstrīdēt sertifikāta piemērošanu konkrētiem datiem (175). Tribunāls pārskata lēmumu izdot sertifikātu un lemj, vai sertifikāta izdošanai ir bijis pamatots iemesls (176). Tas var vērtēt dažādus jautājumus, tostarp nepieciešamību, samērīgumu un likumīgumu, ņemot vērā ietekmi uz datu subjektu tiesībām un līdzsvarojot tās ar nepieciešamību aizsargāt valsts drošību. Tādējādi tribunāls var noteikt, ka sertifikāts neattiecas uz konkrētiem personas datiem, kas ir pārsūdzības priekšmets (177).

(132) Atšķirīgs iespējamo ierobežojumu kopums saskaņā ar 2018. gada DAL 11. pielikumu attiecas uz dažiem 2018. gada DAL 4. daļas noteikumiem (178), ar ko aizsargā citus svarīgus vispārēju sabiedrības interešu vai aizsargātu interešu mērķus, piemēram, parlamentārās privilēģijas, advokāta un klienta saziņas konfidencialitāti, tiesvedības norisi vai bruņoto spēku kaujas efektivitāti (179). Atbrīvojumi šo noteikumu piemērošanā tiek paredzēti attiecībā uz noteiktām informācijas kategorijām (“balstīti uz kategoriju”) vai tiktāl, ciktāl šo noteikumu piemērošana varētu kaitēt aizsargātajām interesēm (“balstīti uz aizskārumu”) (180). Uz atbrīvojumiem, kas balstīti uz aizskārumu, var atsaukties tikai tiktāl, ciktāl norādītā datu aizsardzības noteikuma piemērošana varētu kaitēt konkrētajām interesēm. Tāpēc atbrīvojuma izmantošana vienmēr ir jāpamato, atsaucoties uz attiecīgo aizskārumu, kas varētu rasties konkrētajā gadījumā. Uz kategoriju balstītus atbrīvojumus var izmantot tikai attiecībā uz konkrētu, precīzi definētu informācijas kategoriju, kurai piešķirts atbrīvojums. To nolūks un sekas ir līdzīgi vairākiem Apvienotās Karalistes VDAR izņēmumiem (saskaņā ar 2018. gada DAL 2. pielikumu), kas savukārt atspoguļo VDAR 23. pantā paredzētos izņēmumus.

(133) No iepriekš minētā izriet, ka saskaņā ar piemērojamajām Apvienotās Karalistes tiesību normām, kā tās interpretē arī tiesas un Informācijas komisija, ir paredzēti nosacījumi, lai nodrošinātu, ka šie atbrīvojumi un ierobežojumi nepārsniedz tos, kas ir nepieciešami un samērīgi valsts drošības aizsardzībai.

3.2. Apvienotās Karalistes publisko iestāžu piekļuve datiem un datu izmantošana krimināltiesību aktu piemērošanas nolūkā

(134) Apvienotās Karalistes tiesību aktos ir noteikti vairāki ierobežojumi piekļuvei personas datiem un to izmantošanai krimināltiesību aktu piemērošanas nolūkā, kā arī šajā jomā ir paredzēti pārraudzības un tiesiskās aizsardzības mehānismi, kas atbilst šā lēmuma 113.–115. apsvērumos minētajām prasībām. Apstākļi, kādos var notikt šāda piekļuve, un garantijas, kas piemērojamas šo pilnvaru izmantošanai, sīki izvērtēti nākamajās iedaļās.

3.2.1. Juridiskais pamats un piemērojamie ierobežojumi/garantijas

(135) Saskaņā ar 2018. gada DAL 35. pantā garantēto likumīguma principu personas datu apstrāde jebkurā tiesībaizsardzības nolūkā ir likumīga tikai tad, ja tā ir pamatota ar tiesību aktu un vai nu datu subjekts ir devis piekrišanu apstrādei šajā nolūkā (181), vai apstrāde ir nepieciešama, lai izpildītu uzdevumu, ko šim nolūkam veic kompetentā iestāde.

3.2.1.1. Kratīšanas orderi un pierādījumu sniegšanas orderi

(136) Apvienotās Karalistes tiesiskajā regulējumā personas datu vākšana no uzņēmējiem, tostarp tiem, kuri apstrādā datus, kas saskaņā ar šo lēmumu par aizsardzības līmeņa pietiekamību tiek nosūtīti no ES, krimināltiesību aktu piemērošanas nolūkos ir atļauta, pamatojoties uz kratīšanas orderiem (182) un pierādījumu sniegšanas orderiem (183).

(137) Kratīšanas orderus parasti izsniedz tiesa pēc izmeklēšanas ierēdņa pieteikuma. Tie ļauj ierēdnim ieiet telpās nolūkā meklēt materiālu vai personas, kas saistītas ar viņa izmeklēšanu un izņemt jebko, attiecībā uz ko ir atļauta kratīšana, tostarp jebkādus būtiskos dokumentus vai materiālus, kas satur personas datus (184). Ar pierādījumu sniegšanas orderi, ko izsniedz arī tiesa, tajā norādītajai personai jāuzrāda vai jāpiešķir piekļuve materiālam, kas ir tās rīcībā vai kontrolē. Pieteikuma iesniedzējam ir jāpamato tiesai, kāpēc orderis ir nepieciešams, kā arī kāpēc tas ir sabiedrības interesēs. Ir vairākas likumā noteiktās pilnvaras, kas ļauj izdot kratīšanas orderus un pierādījumu sniegšanas orderus. Katram noteikumam ir savs likumā noteikto nosacījumu kopums, kas jāievēro, lai izdotu kratīšanas orderi (185) vai pierādījumu sniegšanas orderi (186).

(138) Pierādījumu sniegšanas orderus un kratīšanas orderus var pārskatīt tiesā (187). Attiecībā uz garantijām jānorāda, ka visas kriminālizmeklēšanas iestādes, uz kurām attiecas 2018. gada DAL 3. daļas darbības joma, var piekļūt personas datiem (kas ir apstrādes veids) tikai atbilstīgi 2018. gada DAL noteiktajiem principiem un prasībām (sk. iepriekš 122. un 124. apsvērumu). Tāpēc jebkuras tiesībaizsardzības iestādes pieprasījumam būtu jāatbilst principam, saskaņā ar kuru apstrādes nolūkiem jābūt konkrētiem, skaidriem un leģitīmiem (188) un kompetentās iestādes apstrādātiem personas datiem ir jābūt atbilstīgiem šim nolūkam un tie nedrīkst būt pārmērīgi (189).

3.2.1.2. Izmeklēšanas pilnvaras tiesībaizsardzības nolūkā

(139) Lai novērstu vai atklātu smagus noziegumus (190), dažas tiesībaizsardzības iestādes, piemēram, Valsts noziedzības apkarošanas aģentūra vai Policijas priekšnieks (191), var izmantot 2016. gada IPL paredzētās mērķētas izmeklēšanas pilnvaras. Šajā gadījumā papildus 2018. gada DAL 3. daļā minētajām garantijām piemēros 2016. gada IPL minētās garantijas. Konkrētās izmeklēšanas pilnvaras, kuras šīs tiesībaizsardzības iestādes var izmantot ir šādas: mērķēta pārtveršana (2016. gada IPL 2. daļa), saziņas datu iegūšana (2016. gada IPL 3. daļa), saziņas datu glabāšana (2016. gada IPL 4. daļa) un mērķēta iejaukšanās iekārtās (2016. gada IPL 5. daļa). Pārtveršana attiecas uz saziņas satura iegūšanu (192), savukārt saziņas datu iegūšana un glabāšana ir vērsta nevis uz saziņas satura iegūšanu, bet gan uz saziņas “kas”, “kad”, “kur” un “kā”. Tas, piemēram, aptver saziņas laiku un ilgumu, saziņas ierosinātāja un saņēmēja tālruņa numuru vai e-pasta adresi un dažreiz to ierīču atrašanās vietu, no kurām tika veikta saziņa, tālruņa pakalpojumu abonentu vai detalizētu rēķinu (193). Iejaukšanās iekārtās ir metožu kopums, ko izmanto, lai iegūtu dažādus datus no iekārtām, tostarp datoriem, planšetdatoriem un viedtālruņiem, kā arī kabeļiem, vadiem un atmiņas ierīcēm (194).

(140) Mērķētas pārtveršanas pilnvaras var izmantot arī tad, ja tās “ir nepieciešamas, lai īstenotu ES savstarpējās palīdzības instrumenta vai starptautiska savstarpējās palīdzības nolīguma noteikumus” (tā dēvētais “savstarpējās palīdzības orderis” (195)). Savstarpējās palīdzības orderi tiek izdoti tikai saistībā ar pārtveršanu, nevis saziņas datu ieguves vai iejaukšanās iekārtās nolūkos. Šīs mērķētās pilnvaras reglamentē 2016. gada Izmeklēšanas pilnvaru likums (2016. gada IPL) (196), kas kopā ar 2000. gada Izmeklēšanas pilnvaru regulēšanas likumu (IPRL) Anglijai, Velsai un Ziemeļīrijai un 2000. gada Izmeklēšanas pilnvaru likumu (Skotija) (IPLS) attiecībā uz Skotiju paredz juridisko pamatu un nosaka piemērojamos ierobežojumus un garantijas šādu pilnvaru izmantošanai. 2016. gada IPL paredzēts arī režīms masveida izmeklēšanas pilnvaru izmantošanai, kaut arī tiesībaizsardzības iestādēm tās nav pieejamas (tās var izmantot tikai izlūkošanas aģentūras) (197).

(141) Lai izmantotu šīs pilnvaras, iestādēm jāsaņem kompetentas iestādes (198) izdots orderis (199), kuru apstiprinājis neatkarīgs tieslietu komisārs (200) (tā dēvētā “divkāršās drošības” procedūra). Šāda ordera iegūšanai veic nepieciešamības un samērīguma pārbaudi (201). Tā kā šīs 2016. gada IPL paredzētās mērķētas izmeklēšanas pilnvaras ir tādas pašas kā valsts drošības dienestiem pieejamās, šādām pilnvarām piemērojamie nosacījumi, ierobežojumi un garantijas ir sīki izklāstīti iedaļā par Apvienotās Karalistes publisko iestāžu piekļuvi personas datiem un to izmantošanu valsts drošības nolūkos (sk. 177. un turpmākos apsvērumus).

3.2.2. Savāktās informācijas turpmāka izmantošana

(142) Tiesībaizsardzības iestādes datu apmaiņai ar citu iestādi nolūkiem, kas atšķiras no tiem, kuriem tie sākotnēji tika vākti (tā sauktā “tālākā apmaiņa”), piemēro noteiktus nosacījumus.

(143) Līdzīgi Direktīvas (ES) 2016/680 4. panta 2. punktā paredzētajam 2018. gada DAL 36. panta 3. punkts ļauj personas datus, ko kompetentā iestāde vākusi tiesībaizsardzības nolūkā turpināt apstrādāt (vai nu sākotnējam pārzinim vai citam pārzinim) jebkuram citam tiesībaizsardzības nolūkam, ar nosacījumu, ka pārzinis ar tiesību aktu ir pilnvarots apstrādāt datus šim citam nolūkam un apstrāde ir nepieciešama un samērīga attiecībā uz šo nolūku (202). Šajā gadījumā visas 2018. gada DAL 3. daļā paredzētās garantijas, kas minētas 122. un 124. apsvērumā un attiecas uz apstrādi, ko veic saņēmēja iestāde.

(144) Apvienotās Karalistes tiesību sistēmā dažādi tiesību akti skaidri atļauj šādu tālāku apmaiņu. Konkrēti, i) 2017. gada Digitālās ekonomikas likums atļauj apmaiņu starp publiskajām iestādēm vairākiem nolūkiem, piemēram, ja notikusi krāpniecība pret publisko sektoru, kas publiskajām iestādēm radītu zaudējumus vai zaudējumu risku (203), vai ir parāds publiskajai iestādei vai valstij (204); ii) 2013. gada Noziedzības un tiesu likums, kas ļauj apmainīties ar informāciju ar Valsts noziedzības apkarošanas aģentūru (VNAA) (205), lai apkarotu, izmeklētu smagu un organizētu noziedzību un sauktu pie atbildības par to; iii) 2007. gada Smago noziegumu likums, kas ļauj publiskajām iestādēm krāpniecības novēršanas nolūkos izpaust informāciju krāpšanas apkarošanas organizācijām (206).

(145) Šie likumi skaidri nosaka, ka informācijas apmaiņai jāatbilst 2018. gada DAL noteiktajiem principiem. Turklāt Policijas kolēģija ir izdevusi Atļauto profesionālo praksi informācijas apmaiņā (207), lai palīdzētu policijai ievērot tās datu aizsardzības pienākumus saskaņā ar Apvienotās Karalistes VDAR, DAL un 1998. gada Cilvēktiesību likumu. Informācijas apmaiņas atbilstību piemērojamajam datu aizsardzības tiesiskajam regulējumam, protams, var pārskatīt tiesā (208).

(146) Turklāt līdzīgi tam, ko paredz Direktīvas (ES) 2016/680 9. pants, 2018. gada DAL paredz, ka personas datus, kas ievākti jebkādā tiesībaizsardzības nolūkā, var apstrādāt ar tiesībaizsardzību nesaistītā nolūkā, ja apstrādi atļauj tiesību akti (209).

(147) Šis apmaiņas veids aptver divus scenārijus: 1) ja kriminālizmeklēšanas iestāde apmainās ar datiem ar tiesībaizsardzības iestādi, kas nav krimināltiesiska un izlūkošanas aģentūra (piemēram, finanšu vai nodokļu iestāde, konkurences iestāde, jauniešu sociālais dienests); un 2) ja kriminālizmeklēšanas iestāde apmainās ar datiem ar izlūkošanas aģentūru. Pirmajā scenārijā personas datu apstrāde ietilps Apvienotās Karalistes VDAR, kā arī 2018. gada DAL 2. daļas darbības jomā. Komisija (12).–111. apsvērumā ir izvērtējusi Apvienotās Karalistes VDAR un 2018. gada DAL 2. daļā paredzētās garantijas un ir nonākusi pie secinājuma, ka Apvienotā Karaliste nodrošina pietiekamu aizsardzības līmeni personas datiem, kas nosūtīti no Eiropas Savienības uz Apvienoto Karalisti Regulas (ES) 2016/679 ietvaros.

(148) Otrajā scenārijā attiecībā uz kriminālizmeklēšanas iestāžu savākto datu apmaiņu ar izlūkošanas aģentūru valsts drošības nolūkos juridiskais pamats, kas atļauj šādu apmaiņu, ir 2008. gada Pretterorisma likuma (2008. gada PTL) 19. pants (210). Saskaņā ar šo likumu jebkura persona var sniegt informāciju jebkuram izlūkdienestam kādas šā dienesta funkcijas izpildes, tostarp “valsts drošības”, nolūkiem.

(149) Attiecībā uz nosacījumiem, saskaņā ar kuriem var veikt datu apmaiņu valsts drošības nolūkiem, Izlūkdienestu likums (211) un Drošības dienestu likums (212) ierobežo izlūkdienestu spēju iegūt datus līdz apjomam, kas ir nepieciešams, lai pildītu to likumā noteiktās funkcijas. Tiesībaizsardzības aģentūrām, kas vēlas apmainīties