KOMISIJAS ĪSTENOŠANAS LĒMUMS (ES) 2021/1773

(2021. gada 28. jūnijs)

par personas datu pietiekamu aizsardzību Apvienotajā Karalistē, kas pieņemts saskaņā ar Eiropas Parlamenta un Padomes Direktīvu (ES) 2016/680

(izziņots ar dokumenta numuru C(2021) 4801)

EIROPAS KOMISIJA,

ņemot vērā Līgumu par Eiropas Savienības darbību,

ņemot vērā Eiropas Parlamenta un Padomes Direktīvu (ES) 2016/680 (2016. gada 27. aprīlis) par fizisku personu aizsardzību attiecībā uz personas datu apstrādi, ko veic kompetentās iestādes, lai novērstu, izmeklētu, atklātu noziedzīgus nodarījumus vai sauktu pie atbildības par tiem vai izpildītu kriminālsodus, un par šādu datu brīvu apriti, ar ko atceļ Padomes Pamatlēmumu 2008/977/TI (1), un jo īpaši tās 36. panta 3. punktu,

tā kā:

1. IEVADS

(1) Ar Direktīvu (ES) 2016/680 ir paredzēti noteikumi, saskaņā ar kuriem Savienības kompetentās iestādes var nosūtīt personas datus trešām valstīm vai starptautiskām organizācijām, ciktāl šāda nosūtīšana ietilpst tās piemērošanas jomā. Noteikumi par datu starptautisku nosūtīšanu, ko veic kompetentās iestādes, ir izklāstīti Direktīvas (ES) 2016/680 V nodaļā, konkrētāk, 35.–40. pantā. Lai gan personas datu plūsma uz valstīm ārpus Eiropas Savienības un no tām ir būtiska efektīvas tiesībaizsardzības sadarbības nodrošināšanai, ir jāgarantē, ka šāda datu nosūtīšana nemazina Eiropas Savienībā nodrošināto personas datu aizsardzības līmeni (2).

(2) Atbilstoši Direktīvas (ES) 2016/680 36. panta 3. punktam Komisija, pieņemot īstenošanas aktu, var nolemt, ka trešā valsts, trešās valsts teritorija vai viens vai vairāki konkrēti sektori trešā valstī, vai starptautiska organizācija nodrošina pietiekamu aizsardzības līmeni. Saskaņā ar šo nosacījumu personas datu nosūtīšana uz trešo valsti var notikt bez nepieciešamības saņemt jebkādu turpmāku atļauju (izņemot gadījumus, kad citai dalībvalstij, no kuras dati iegūti, ir jādod atļauja datu nosūtīšanai), kā paredzēts Direktīvas (ES) 2016/680 35. panta 1. punktā un 66. apsvērumā.

(3) Kā norādīts Direktīvas (ES) 2016/680 36. panta 2. punktā, lēmums par aizsardzības līmeņa pietiekamību jāpieņem, pamatojoties uz visaptverošu trešās valsts tiesību sistēmas analīzi. Komisijai novērtējumā jānosaka, vai attiecīgā trešā valsts garantē aizsardzības līmeni, kurš “pēc būtības ir līdzvērtīgs” Eiropas Savienībā nodrošinātajam (Direktīvas (ES) 2016/680 67. apsvērums). Standarts, pēc kura tiek novērtēta “līdzvērtība pēc būtības”, ir paredzēts ES tiesību aktos, jo īpaši Direktīvā (ES) 2016/680, kā arī Eiropas Savienības Tiesas judikatūrā (3). Šajā ziņā būtiska nozīme ir arī Eiropas Datu aizsardzības kolēģijas pieņemtajām aizsardzības līmeņa pietiekamības atsaucēm (4).

(4) Kā ir precizējusi Eiropas Savienības Tiesa, tas nenozīmē, ka ir jākonstatē identisks aizsardzības līmenis (5). Konkrēti, attiecīgās trešās valsts izmantotie līdzekļi personas datu aizsardzībai var atšķirties no Eiropas Savienībā izmantotajiem, kamēr vien tie praksē efektīvi nodrošina pietiekamu aizsardzības līmeni (6). Tāpēc aizsardzības līmeņa pietiekamības standarts neparedz Savienības noteikumu precīzu replicēšanu. Pārbaude drīzāk atklāj, vai attiecīgās valsts tiesību sistēma spēj nodrošināt nepieciešamo aizsardzības līmeni, ņemot vērā tiesību uz privātumu būtību un to efektīvu īstenošanu, uzraudzību un izpildi (7).

(5) Komisija ir rūpīgi izanalizējusi Apvienotās Karalistes attiecīgos tiesību aktus un praksi. Pamatojoties uz turpmāk izklāstītajiem konstatējumiem, Komisija secina, ka Apvienotā Karaliste nodrošina pietiekamu aizsardzības līmeni personas datiem, kurus no Savienības kompetentajām iestādēm, uz ko attiecas Direktīva (ES) 2016/680, nosūta Apvienotās Karalistes kompetentajām iestādēm, uz kurām attiecas 2018. gada Datu aizsardzības likuma (“2018. gada DAL”) (8) 3. daļas darbības joma.

(6) Šā lēmuma rezultātā šāda datu nosūtīšana četru gadu periodā, ko ir iespējams pagarināt, var notikt bez nepieciešamības saņemt jebkādu turpmāku atļauju un neskarot Direktīvas (ES) 2016/680 35. pantā paredzētos nosacījumus.

2. NOTEIKUMI, KURUS PIEMĒRO PERSONAS DATU APSTRĀDEI, KO VEIC KOMPETENTĀS IESTĀDES KRIMINĀLTIESĪBU AKTU PIEMĒROŠANAS NOLŪKĀ

2.1. Konstitucionālais regulējums

(7) Apvienotā Karaliste ir parlamentāra demokrātija. Tai ir suverēns parlaments (augstāks par visām valdības iestādēm), parlamenta izveidota un tā priekšā atbildīga izpildvara, kā arī neatkarīga tiesu vara. Izpildvaras pilnvaras izriet no tās spējas gūt ievēlētās Pārstāvju palātas uzticību, un tā par savu darbību atbild abām parlamenta palātām (Pārstāvju palātai un Lordu palātai), kas ir atbildīgas par valdības pārbaudi, kā arī tiesību aktu apspriešanu un to pieņemšanu. Apvienotās Karalistes parlaments ir deleģējis Skotijas parlamentam, Velsas parlamentam (Senedd Cymru) un Ziemeļīrijas asamblejai atbildību par tiesību aktu izstrādi attiecībā uz dažiem Skotijas, Velsas un Ziemeļīrijas vietējiem jautājumiem. Lai gan datu aizsardzība ir Apvienotās Karalistes parlamenta kompetencē, t. i., vienus un tos pašus tiesību aktus piemēro visā valstī, citas ar šo lēmumu saistītās politikas jomas ir decentralizētas. Piemēram, Skotijas un Ziemeļīrijas krimināltiesību sistēmas, tostarp policijas darbs (policijas vienību veiktās darbības), ir deleģētas attiecīgi Skotijas parlamentam un Ziemeļīrijas asamblejai (9).

(8) Lai gan Apvienotajā Karalistē nepastāv kodificēta konstitūcija kā iesakņojies konstitucionāls dokuments, tās konstitucionālie principi ir attīstījušies laika gaitā, jo īpaši no judikatūras un paražām. Ir atzīts, ka dažiem likumiem, piemēram, Lielajai brīvības hartai, 1689. gada Tiesību likumam un 1998. gada Cilvēktiesību likumam, ir konstitucionāls saturs. Cilvēka pamattiesības kā daļa no konstitūcijas ir attīstītas, izmantojot anglosakšu tiesības, likumus un starptautiskos līgumus, jo īpaši Eiropas Cilvēktiesību konvenciju (ECTK), ko Apvienotā Karaliste ratificēja 1951. gadā. Apvienotā Karaliste 1987. gadā ir arī ratificējusi Eiropas Padomes Konvenciju par personu aizsardzību attiecībā uz personas datu automātisko apstrādi (Konvencija Nr. 108) (10).

(9) Ar 1998. gada Cilvēktiesību likumu Apvienotās Karalistes tiesību aktos ir iekļautas ECTK paredzētās tiesības. Ar šo likumu ikvienai personai piešķirtas pamattiesības un brīvības, kas paredzētas ECTK 2.–12. un 14. pantā, tās pirmā protokola 1.–3. pantā un tās trīspadsmitā protokola 1. pantā, ko skata kopā ar ECTK 16.–18. pantu. Tas ietver tiesības uz privātās un ģimenes dzīves neaizskaramību, kas savukārt ietver tiesības uz datu aizsardzību, un tiesības uz lietas taisnīgu izskatīšanu (11). Konkrēti, saskaņā ar ECTK 8. pantu publiska iestāde (institūcija) var traucēt baudīt tiesības uz privātumu tikai gadījumos, kas ir paredzēti likumā un ir nepieciešami demokrātiskā sabiedrībā, lai aizsargātu valsts un sabiedrisko drošību vai valsts ekonomiskās labklājības intereses, lai nepieļautu nekārtības vai noziegumus, lai aizsargātu veselību vai tikumību vai lai aizstāvētu citu tiesības un brīvības.

(10) Saskaņā ar 1998. gada Cilvēktiesību likumu visām publisko iestāžu darbībām jābūt saderīgām ar tiesībām, ko garantē saskaņā ar ECTK (12). Turklāt primārie un sekundārie tiesību akti ir jāskata un jāpiemēro tā, lai tie būtu saderīgi ar šīm tiesībām (13). Ja persona uzskata, ka publiskās iestādes ir pārkāpušas tās tiesības, tostarp tiesības uz privātumu un datu aizsardzību, tā var saņemt kompensāciju, vēršoties Apvienotās Karalistes tiesās saskaņā ar 1998. gada Cilvēktiesību likumu, bet pēc valsts tiesiskās aizsardzības līdzekļu izsmelšanas – saņemt kompensāciju, vēršoties Eiropas Cilvēktiesību tiesā par ECTK garantēto tiesību pārkāpumiem.

2.2. Apvienotās Karalistes datu aizsardzības regulējums

(11) Apvienotā Karaliste 2020. gada 31. janvārī izstājās no Eiropas Savienības. Pamatojoties uz Līgumu par Lielbritānijas un Ziemeļīrijas Apvienotās Karalistes izstāšanos no Eiropas Savienības un Eiropas Atomenerģijas kopienas (14), Savienības tiesību aktu piemērošana Apvienotajā Karalistē turpinājās pārejas periodā līdz 2020. gada 31. decembrim. Pirms izstāšanās un pārejas periodā tiesisko regulējumu personas datu aizsardzībai Apvienotajā Karalistē attiecībā uz personas datu apstrādi, ko veic kompetentās iestādes, lai novērstu, izmeklētu, atklātu noziedzīgus nodarījumus vai sauktu pie atbildības par tiem vai izpildītu kriminālsodus, tostarp lai pasargātu no draudiem sabiedriskajai drošībai un tos novērstu, veidoja attiecīgās 2018. gada Datu aizsardzības likuma daļas, ar ko bija transponēta Direktīva (ES) 2016/680.

(12) Veicot sagatavošanās pasākumus nolūkā izstāties no ES, Apvienotās Karalistes valdība pieņēma 2018. gada Likumu par izstāšanos no Eiropas Savienības (LIES) (15), ar ko Apvienotās Karalistes tiesību aktos iekļāva tieši piemērojamus Savienības tiesību aktus, un noteica, ka tā dēvētie “no ES atvasinātie valsts tiesību akti” turpina būt spēkā arī pēc pārejas perioda beigām. 2018. gada DAL 3. daļa (16), ar ko transponē Direktīvu (ES) 2016/680, saskaņā ar LIES ir “no ES atvasināts valsts tiesību akts”. LIES paredz, ka Apvienotās Karalistes tiesām negrozītie “no ES atvasinātie valsts tiesību akti” ir jāinterpretē saskaņā ar Eiropas Savienības Tiesas (EST) attiecīgo judikatūru un Savienības tiesību aktu vispārējiem principiem, kas bija spēkā tieši pirms pārejas perioda beigām (attiecīgi “saglabātā ES judikatūra” un “saglabātie ES tiesību aktu vispārējie principi”) (17).

(13) Saskaņā ar LIES Apvienotās Karalistes ministri ir pilnvaroti, izmantojot normatīvos aktus, pieņemt sekundāros tiesību aktus ar mērķi veikt saglabātajos Eiropas Savienības tiesību aktos nepieciešamos grozījumus, kas izriet no Apvienotās Karalistes izstāšanās no Eiropas Savienības. Šīs pilnvaras tika izmantotas ar 2019. gada Datu aizsardzības, privātuma un elektronisko sakaru (ar grozījumiem) (Izstāšanās no ES) noteikumiem (DAPES noteikumi (18)). Ar tiem tiek grozīti Apvienotās Karalistes datu aizsardzības tiesību akti, tostarp 2018. gada DAL, lai tie atbilstu vietējam kontekstam (19).

(14) Līdz ar to juridiskie standarti par to, kā kompetentās iestādes apstrādā personas datus, lai novērstu, izmeklētu, atklātu noziedzīgus nodarījumus vai sauktu pie atbildības par tiem vai lai izpildītu kriminālsodus, tostarp lai pasargātu no draudiem sabiedriskajai drošībai un tos novērstu Apvienotajā Karalistē pēc pārejas perioda, kas noteikts Izstāšanās līgumā, aizvien būs noteikti attiecīgajā 2018. gada DAL daļā, taču ar grozījumiem, kas izdarīti ar DAPES noteikumiem, jo īpaši minētā likuma 3. daļā. Uz šādu apstrādi neattiecas Apvienotās Karalistes Vispārīgā datu aizsardzības regula (Apvienotās Karalistes VDAR).

(15) 2018. gada DAL 3. daļā ir paredzēti noteikumi par personas datu apstrādi krimināltiesību aktu piemērošanas nolūkā, tostarp datu aizsardzības principi, apstrādes juridiskais pamatojums (likumīgums), datu subjektu tiesības, kompetento iestāžu kā pārziņu pienākumi un tālākas nosūtīšanas ierobežojumi. Savukārt piemērojamie noteikumi par pārraudzību, izpildi un kompensācijām, ko piemēro tiesībaizsardzības jomā, ir paredzēti 2018. gada DAL 5. un 6. daļā.

(16) Turklāt, ņemot vērā policijas vienību attiecīgo lomu tiesībaizsardzības jomā, būtu jāapsver noteikumi, kas regulē policijas darbību. Tā kā policijas jautājumi ir deleģēti, policijas darbam a) Anglijā un Velsā, b) Skotijā un c) Ziemeļīrijā piemēro dažādus tiesību aktus, kuru saturs gan bieži vien ir līdzīgs (20). Turklāt dažādos norādījumu dokumentos ir papildus skaidrots, kā būtu jāīsteno policijas pilnvaras. Ir trīs galvenie policijas norādījumu veidi: 1) uz likuma pamata izdotie norādījumi, kas izdoti saskaņā ar tiesību aktiem, piemēram, Ētikas kodekss (21) un Policijas informācijas pārvaldības prakses kodekss (PIP prakses kodekss) (22), kas izdoti saskaņā ar 1996. gada Policijas likumu (23), vai LPPK kodeksi (24), kas izdoti saskaņā ar Likumu par policiju un pierādījumiem krimināllietās (25), 2) Atļautā profesionālā prakse policijas informācijas pārvaldībai (APP norādījumi par policijas informācijas pārvaldību), ko izdevusi Policijas kolēģija (26), un 3) operatīvie norādījumi (ko publicē pati policija). Valsts policijas priekšnieku padome (visu Apvienotās Karalistes policijas vienību koordinējošā iestāde) publicē operatīvos norādījumus, kurus ir apstiprinājušas visas policijas vienības un kuri tādējādi ir piemērojami visā valstī (27). Šo norādījumu mērķis ir panākt, ka policijas vienības pārvalda informāciju vienveidīgi (28).

(17) PIP prakses kodeksu 2005. gadā izdeva ministrs, izmantojot ar 1996. gada Policijas likuma 39.A pantu piešķirtās pilnvaras (29). Saskaņā ar Policijas likumu izdotie kodeksi vai prakse ir jāapstiprina ministram, un pirms to iesniegšanas parlamentā ir jāapspriežas ar Valsts noziedzības apkarošanas aģentūru. Policijas likuma 39.A panta 7. punktā ir noteikts, ka policijai ir pienācīgi jāievēro saskaņā ar likumu izdotie kodeksi, tāpēc ir gaidāms, ka policija to ievēros (30). Turklāt neobligātajiem norādījumiem (piemēram, APP norādījumiem par policijas informācijas pārvaldību) vienmēr ir jāsaskan ar PIP prakses kodeksu, kas ir par to svarīgāks (31).. Jebkurā gadījumā, lai gan varētu būt atsevišķas operatīvās situācijas, kad policijas ierēdņiem ir jāatkāpjas no šiem norādījumiem, viņiem joprojām ir jāievēro 2018. gada DAL 3. daļas prasības (32).

(18) Papildu norādījumus par Apvienotās Karalistes datu aizsardzības tiesību aktiem attiecībā uz datu apstrādi tiesībaizsardzības jomā sniedz informācijas komisārs (informācijas komisārs vai informācijas komisāra birojs (IKB)) (33) (vairāk par IKB sk. 93.–109. apsvērumā). Lai gan norādījumi nav juridiski saistoši, tiesai tiesvedībā būtu pienākums ņemt vērā norādījumu pārkāpumus, jo tiem ir interpretējošs spēks un tie apliecina, kā komisārs interpretē un piemēro praksē datu aizsardzības tiesību aktus (34).

(19) Visbeidzot, kā minēts 8.–10. apsvērumā, Apvienotās Karalistes tiesībaizsardzības iestādēm ir jānodrošina atbilstība ECTK un Konvencijai Nr. 108.

(20) Tādējādi tiesiskais regulējums, kas reglamentē datu apstrādi Apvienotās Karalistes kriminālizmeklēšanas iestādēs, pēc struktūras un galvenajiem elementiem ir ļoti līdzīgs tam, ko piemēro ES. Minētais ietver arī to, ka regulējums balstās ne tikai uz pienākumiem, kas noteikti valsts tiesību aktos, kurus ietekmējuši ES tiesību akti, bet arī uz starptautiskajās tiesībās nostiprinātajām saistībām, jo īpaši tādēļ, ka Apvienotā Karaliste ievēro ECTK un Konvenciju Nr. 108, kā arī pakļaujas Eiropas Cilvēktiesību tiesas jurisdikcijai. Tādējādi šie pienākumi, kas izriet no juridiski saistošiem starptautiskiem instrumentiem, jo īpaši personas datu aizsardzības jomā, ir īpaši svarīgs šajā lēmumā vērtētā tiesiskā regulējuma elements.

2.3. Materiālā un teritoriālā piemērošanas joma

(21) 2018. gada DAL 3. daļas materiālā piemērošanas joma atbilst Direktīvas (ES) 2016/680 2. panta 2. punktā noteiktajai darbības jomai. 3. daļa attiecas uz personas datu apstrādi, ko kompetentā iestāde pilnībā vai daļēji veic ar automatizētiem līdzekļiem, un uz kompetentās iestādes veiktu personas datu apstrādi bez automatizētiem līdzekļiem, ja tie veido daļu no kartotēkas vai ir paredzēti, lai veidotu daļu no kartotēkas.

(22) Turklāt pārzinim, lai uz to attiektos minētā 3. daļa, ir jābūt “kompetentajai iestādei” un apstrāde jāveic “tiesībaizsardzības nolūkā”. Tādēļ šajā lēmumā vērtētais datu aizsardzības režīms attiecas uz visām šo kompetento iestāžu tiesībaizsardzības darbībām.

(23) Jēdziens “kompetentā iestāde” DAL 30. pantā ir definēts kā persona, kas minēta 2018. gada DAL 7. pielikumā, kā arī jebkura cita persona, ja tai ir likumā noteiktas jebkāda tiesībaizsardzības nolūka funkcijas. 7. pielikumā norādītās kompetentās iestādes ietver ne tikai policijas vienības, bet arī visas Apvienotās Karalistes ministriju nodaļas un citas iestādes, kas veic izmeklēšanas funkcijas (piem., Viņas Majestātes ieņēmumu un muitas komisāru, Velsas Ieņēmumu pārvaldi, Konkurences un tirgu iestādi, Viņas Majestātes Zemes reģistru vai Valsts noziedzības apkarošanas aģentūru), prokuratūras aģentūras, citas krimināltiesību aģentūras un citas personas vai organizācijas, kas veic tiesībaizsardzības darbības (35). 2018. gada DAL 3. daļa, izņemot sadaļu par datu subjekta tiesībām un IKB pārraudzību, attiecas arī uz tiesām un tribunāliem, kad tie pilda savas tiesas funkcijas (36). 7. pielikumā norādītais kompetento iestāžu saraksts nav galīgs, un ministrs to var atjaunināt saskaņā ar noteikumiem, ņemot vērā izmaiņas valsts iestāžu organizācijā (37).

(24) Minētajai apstrādei jābūt arī “tiesībaizsardzības nolūkā”, kas definēts kā noziedzīgu nodarījumu novēršana, izmeklēšana, atklāšana vai saukšana pie atbildības par tiem vai kriminālsodu izpilde, tostarp aizsardzība pret draudiem sabiedriskajai drošībai un to novēršana (38). Ja apstrāde ko veic kompetentā iestāde, nenotiek tiesībaizsardzības nolūkā, 2018. gada DAL 3. daļa uz to neattiecas. Tas tā ir, piemēram, tad, kad Konkurences un tirgu iestāde izmeklē lietas, kurās nav paredzēta kriminālatbildība (piemēram, uzņēmumu apvienošanās). Šādā gadījumā piemēros Apvienotās Karalistes VDAR kopā ar 2018. gada DAL 2. daļu, jo kompetentās iestādes apstrādā personas datus ar tiesībaizsardzību nesaistītā nolūkā. Lai noteiktu, kāds datu aizsardzības režīms piemērojams (2018. gada DAL 3. vai 2. daļa) attiecīgo personas datu apstrādei, kompetentajai iestādei, proti, pārzinim, ir jāizvērtē, vai šādas apstrādes primārais nolūks ir viens no tiesībaizsardzības nolūkiem saskaņā ar 2018. gada DAL.

(25) Attiecībā uz 2018. gada DAL 3. daļas teritoriālo piemērošanas jomu 207. panta 2. punktā noteikts, ka DAL attiecas uz personas datu apstrādi saistībā ar tādas personas darbībām, kura darbojas visā Apvienotās Karalistes teritorijā. Tas ietver Anglijas, Velsas, Skotijas un Ziemeļīrijas teritoriju publiskās iestādes, kuras ietilpst 2018. gada DAL 3. daļas materiālajā piemērošanas jomā (39).

2.3.1. Personas datu un apstrādes definīcija

(26) Personas datu un apstrādes pamatjēdzieni ir definēti 2018. gada DAL 3. pantā, un tos piemēro visam DAL. Šīs definīcijas ir ļoti tuvas attiecīgajām definīcijām Direktīvas (ES) 2016/680 3. pantā. Saskaņā ar 2018. gada DAL personas dati ir jebkāda informācija, kas attiecas uz identificētu vai identificējamu dzīvu fizisku personu (40). Saskaņā ar 2018. gada DAL 3. panta 3. punktu fiziska persona ir identificējama, ja to var tieši vai netieši identificēt pēc informācijas, tostarp atsaucoties uz vārdu, uzvārdu vai identifikatoru vai atsaucoties uz vienu vai vairākiem personas fiziskajai, fizioloģiskajai, ģenētiskajai, garīgajai, ekonomiskajai, kultūras vai sociālajai identitātei raksturīgiem faktoriem. Jēdziens “apstrāde” ir definēts kā darbība vai darbību kopums, ko veic ar informāciju vai informācijas kopām, piemēram, tās: a) vākšana, reģistrēšana, organizēšana, strukturēšana vai glabāšana; b) pielāgošana vai pārveidošana; c) atgūšana, aplūkošana vai izmantošana; d) izpaušana, nosūtot, izplatot vai citādi darot pieejamu; e) saskaņošana vai kombinēšana; vai f) ierobežošana, dzēšana vai iznīcināšana. Turklāt likumā “sensitīva apstrāde” ir definēta kā “a) tādu personas datu apstrāde, kas atklāj rases vai etnisko piederību, politiskos uzskatus, reliģisko vai filozofisko pārliecību vai dalību arodbiedrībās; b) ģenētisko datu vai biometrisko datu apstrāde, lai viennozīmīgi identificētu personu; c) veselības datu apstrāde; d) datu apstrāde attiecībā uz personas dzimumdzīvi vai seksuālo orientāciju” (41). Šajā sakarā 2018. gada DAL 205. pantā ir sniegta “biometrisko datu” (42), “veselības datu” (43) un “ģenētisko datu” (44) definīcija.

(27) 2018. gada DAL 32. pantā ir precizētas “pārziņa” un “apstrādātāja” definīcijas saistībā ar personas datu apstrādi tiesībaizsardzības nolūkā, ievērojot līdzvērtību ar Direktīvas (ES) 2016/680 definīcijām. Pārzinis ir kompetentā iestāde, kas nosaka personas datu apstrādes nolūkus un līdzekļus. Ja apstrāde ir paredzēta tiesību aktos, pārzinis ir kompetentā iestāde, kurai minētais likums uzliek šādu pienākumu. Apstrādātājs ir jebkura persona, kas pārziņa vārdā apstrādā personas datus (kas nav persona, kura ir pārziņa darbinieks).

2.4. Garantijas, tiesības un pienākumi

2.4.1. Apstrādes likumīgums un godprātība

(28) Saskaņā ar 2018. gada DAL 35. pantu (līdzīgi tam, kā paredzēts Direktīvas (ES) 2016/680 4. panta 1. punkta a) apakšpunktā) personas datu apstrādei jābūt likumīgai un godprātīgai. Saskaņā ar 2018. gada DAL 35. panta 2. punktu personas datu apstrāde jebkādā tiesībaizsardzības nolūkā ir likumīga tikai tad, ja tās pamatā ir tiesību akti un vai nu datu subjekts ir devis piekrišanu apstrādei šajā nolūkā, vai arī apstrāde ir nepieciešama, lai izpildītu uzdevumu, ko šajā nolūkā veic kompetenta iestāde.

2.4.1.1. Apstrāde uz tiesību aktu pamata

(29) Līdzīgi tam, kā paredzēts Direktīvas (ES) 2016/680 8. pantā, lai nodrošinātu apstrādes likumīgumu saskaņā ar 2018. gada DAL 3. daļu, šādai apstrādei jābūt “uz tiesību aktu pamata”. “Likumīga” apstrāde ir tāda, ko atļauj likums, anglosakšu tiesības vai monarha prerogatīvas (45).

(30) Kompetento iestāžu pilnvaras parasti reglamentē likumi, kas nozīmē, ka to funkcijas un pilnvaras ir skaidri izklāstītas parlamenta pieņemtajos normatīvajos aktos (46). Atsevišķos gadījumos, lai apstrādātu datus, policija, kā arī citas kompetentās iestādes, kas uzskaitītas 2018. gada DAL 7. pielikumā, var paļauties uz anglosakšu tiesībām (47). Anglosakšu tiesības ir veidojušās no tiesu lēmumu precedentiem. Anglosakšu tiesību nozīme izpaužas policijai pieejamajās pilnvarās, kas izriet no šā tiesību avota, un tās pamatpienākumā – aizsargāt sabiedrību, atklājot un novēršot noziedzību (48). Tomēr policijas vienībām šā pienākuma izpildei ir gan no anglosakšu tiesībām, gan normatīvajiem aktiem izrietošas pilnvaras (49). Ja policijai ir likumā noteikta vara, tā aizstāj jebkuru no anglosakšu tiesībām izrietošu varu (50).

(31) Tiesa ir atzinusi, ka anglosakšu tiesībās paredzētās policijas ierēdņa pilnvaras un pienākumi ietver “visus pasākumus, kas viņam šķiet nepieciešami, lai uzturētu mieru, novērstu noziedzību vai aizsargātu īpašumu pret noziedzīgu kaitējumu” (51). Anglosakšu tiesībās paredzētās pilnvaras nav neierobežotas pilnvaras. Uz tām attiecas virkne ierobežojumu, tostarp ierobežojumi, ko noteikušas tiesas (52) un ko paredz normatīvie akti, jo īpaši 1998. gada Cilvēktiesību likums un 2010. gada Vienlīdzības likums (53). Turklāt attiecībā uz kompetentajām iestādēm, kas apstrādā datus saskaņā ar 2018. gada DAL 3. daļu, tas ietver anglosakšu tiesībās paredzēto pilnvaru īstenošanu saskaņā ar 2018. gada DAL noteiktajām prasībām (54). Turklāt, pieņemot lēmumu veikt jebkāda veida datu apstrādi, jāņem vērā piemērojamo norādījumu prasības, piemēram, PIP prakses kodekss, kā arī norādījumi, kas attiecas uz vienu no Apvienotās Karalistes pavalstīm (55). Valdība un operatīvā policija izdod norādījumus, lai nodrošinātu, ka policijas ierēdņi īsteno savas apstrādes pilnvaras saskaņā ar anglosakšu tiesībās vai attiecīgajos likumos noteiktajiem ierobežojumiem (56).

(32) Monarha prerogatīvas ir vēl viena tiesību sastāvdaļa, kas attiecas uz atsevišķām pilnvarām, kuras piešķirtas monarham un kuras var īstenot izpildvara, un tās nav pamatotas ar likumu, bet izriet no monarha suverenitātes (57). Ir ļoti maz piemēru tam, kā prerogatīvu pilnvaras varētu būt svarīgas tiesībaizsardzības jomā. Tie ietver, piemēram, savstarpējās tiesiskās palīdzības sistēmu, kas ļauj ministram apmainīties ar datiem ar trešām valstīm tiesībaizsardzības nolūkā, un tiesības šādā veidā apmainīties ar datiem ne vienmēr ir noteiktas likumā (58). Monarha prerogatīvām ir saistoši anglosakšu tiesību principi (59), un tās ir pakļautas likumam, tāpēc tām piemēro 1998. gada Cilvēktiesību likumā un 2018. gada DAL noteiktos ierobežojumus (60).

(33) Līdzīgi kā Direktīvas (ES) 2016/680 8. pantā, Apvienotās Karalistes režīms paredz, ka, lai ievērotu likumīguma principu, kompetentajām iestādēm ir jānodrošina, ka, veicot apstrādi saskaņā ar tiesību aktu, tai ir jābūt “nepieciešamai”, lai izpildītu tiesībaizsardzības nolūkā veikto uzdevumu. Šajā sakarā IKB sniedz norādījumus, precizējot, ka “ir jābūt mērķtiecīgam un samērīgam veidam, kā sasniegt nolūku. Likumīgais pamats netiks piemērots, ja nolūku saprātīgi var sasniegt ar kādu citu mazāk traucējošu līdzekli. Nepietiek tikai ar to, ka pārstrāde ir nepieciešama, jo esat izvēlējies darījumdarbību veikt noteiktā veidā. Jautājums ir par to, vai apstrāde ir nepieciešama norādītajam nolūkam” (61).

2.4.1.2. Apstrāde, pamatojoties uz datu subjekta piekrišanu

(34) Kā minēts 28. apsvērumā, 2018. gada DAL 35. panta 2. punktā ir paredzēta iespēja apstrādāt personas datus, pamatojoties uz personas piekrišanu.

(35) Tomēr šķiet, ka piekrišana nebūtu juridisks pamats, kas attiektos uz šā lēmuma darbības jomā ietilpstošajām apstrādes darbībām. Faktiski apstrādes darbības, uz kurām attiecas šis lēmums, vienmēr būs saistītas ar datiem, ko dalībvalsts kompetentā iestāde saskaņā ar Direktīvu (ES) 2016/680 ir nosūtījusi Apvienotās Karalistes kompetentajai iestādei. Tāpēc tās parasti neietver tiešu mijiedarbību (vākšanu) starp publisko iestādi un datu subjektiem, ko varētu pamatot ar piekrišanu 2018. gada DAL 35. panta 2. punkta a) apakšpunkta izpratnē.

(36) Lai gan tādējādi paļaušanās uz piekrišanu netiek uzskatīta par būtisku novērtējumā, ko veic saskaņā ar šo lēmumu, pilnīguma labad ir vērts atzīmēt, ka tiesībaizsardzības kontekstā apstrādes pamatā nekad nav tikai piekrišana, jo kompetentajai iestādei vienmēr ir jābūt pamatā esošām pilnvarām, kas tai ļauj apstrādāt datus (62). Konkrētāk, līdzīgi kā atļauts saskaņā ar Direktīvu (ES) 2016/680 (63), tas nozīmē, ka piekrišana kalpo kā papildu nosacījums, lai varētu veikt konkrētas ierobežotas un īpašas apstrādes darbības, ko citādi nevarētu veikt, piemēram, tādas personas DNS parauga savākšanu un apstrādi, kura nav aizdomās turamā persona. Šādā gadījumā apstrāde netiktu veikta, ja piekrišana netiktu dota vai tā tiktu atsaukta (64).

(37) Gadījumos, kad nepieciešama fiziskas personas piekrišana, šādai atļaujai jābūt nepārprotamai un jāietver nepārprotami apstiprinoša rīcība (65). Policijas vienībām ir jābūt paziņojumam par privātumu, kurā cita starpā iekļauta ar piekrišanas likumīgu izmantošanu saistītā nepieciešamā informācija. Turklāt dažas no tiem publicē papildu materiālus par to, kā tās ievēro datu aizsardzības tiesību aktus, tostarp par to, kā un kad tās piekrišanu izmantotu kā juridisko pamatu (66).

2.4.1.3. Sensitīva apstrāde

(38) Būtu vajadzīgas īpašas garantijas gadījumos, kad tiek apstrādāti “īpašu kategoriju” dati. Šajā sakarā, līdzīgi tam, kas paredzēts Direktīvas (ES) 2016/680 10. pantā, 2018. gada DAL 3. daļā ir paredzētas stingrākas garantijas tā dēvētajai “sensitīvajai apstrādei” (67).

(39) Saskaņā ar 1998. gada DAL 35. panta 3. punktu kompetentās iestādes var apstrādāt sensitīvus datus tiesībaizsardzības nolūkā tikai divos gadījumos: 1) datu subjekts ir devis piekrišanu apstrādei tiesībaizsardzības nolūkā, un apstrādes veikšanas laikā pārzinim ir atbilstošs politikas dokuments (68); vai 2) apstrāde ir absolūti nepieciešama tiesībaizsardzības nolūkā, tā atbilst vismaz vienam no 2018. gada DAL 8. pielikumā paredzētajiem nosacījumiem, un apstrādes veikšanas laikā pārzinim ir atbilstošs politikas dokuments (69).

(40) Attiecībā uz pirmo gadījumu un kā paskaidrots 38. apsvērumā, paļaušanos uz piekrišanu neuzskata par būtisku tādās nosūtīšanas situācijās, uz kurām attiecas šis lēmums (70).

(41) Ja sensitīvu datu apstrāde nav balstīta uz piekrišanu, to var veikt, izmantojot vienu no 2018. gada DAL 8. pielikumā minētajiem nosacījumiem. Šie nosacījumi attiecas uz datu apstrādi, kas nepieciešama likumā paredzētiem nolūkiem; tiesas spriešanai; datu subjekta vai citas personas vitālu interešu aizsardzībai; bērnu un apdraudētu personu aizsardzībai; likumīgām prasībām; procesuālai darbībai; krāpšanas novēršanai; arhivēšanai; ja datu subjekts ir acīmredzami publiskojis personas datus. Izņemot gadījumu, kad dati ir acīmredzami publiskoti, uz visiem 8. pielikumā paredzētajiem nosacījumiem attiecas “obligātas nepieciešamības” pārbaude. Kā skaidro IKB, “obligāta nepieciešamība šajā kontekstā nozīmē, ka apstrādei ir jābūt saistītai ar neatliekamu sociālo vajadzību, ko nevar saprātīgi sasniegt ar mazāk traucējošiem līdzekļiem” (71). Turklāt uz dažiem nosacījumiem attiecas papildu ierobežojumi. Piemēram, lai atsauktos uz “likumā noteikto nolūku” nosacījumu un “aizsardzības nosacījumu” (8. pielikuma 1. un 4. punkts), ir jāveic papildu pārbaude attiecībā uz būtiskām sabiedrības interesēm. Turklāt attiecībā uz nosacījumiem par bērna aizsardzību (8. pielikuma 4. punkts) datu subjektam arī jābūt konkrētā vecumā un ir jāuzskata, ka tas ir pakļauts riskam. Turklāt 8. pielikuma 4. punktā paredzēto nosacījumu pārzinis var piemērot tikai īpašu apstākļu gadījumā (72). Līdzīgi ierobežojumi ir arī attiecībā uz “procesuālu darbību” un “krāpšanas novēršanas” nosacījumiem (attiecīgi 8. pielikuma 7. un 8. punkts). Abi nosacījumi ir piemērojami tikai konkrētiem pārziņiem. Procesuālas darbības nosacījumu var izmantot tikai tiesa vai cita tiesu iestāde, bet uz krāpšanas novēršanas nosacījumu var atsaukties tikai pārziņi, kas ir krāpšanas apkarošanas organizācijas.

(42) Visbeidzot, ja apstrāde ir pamatota ar kādu no 8. pielikumā minētajiem nosacījumiem un attiecīgi saskaņā ar 2018. gada DAL 42. pantu, ir jābūt “atbilstošam politikas dokumentam”, kurā ir izskaidrotas pārziņa procedūras, kā tas nodrošina datu aizsardzības principu ievērošanu, un pārziņa politika attiecībā uz personas datu glabāšanu un dzēšanu; papildus ir piemērojami padziļinātas uzskaites veikšanas pienākumi.

2.4.2. Mērķa ierobežojums

(43) Personas dati būtu jāapstrādā konkrētā nolūkā, un pēc tam tos var izmantot, ciktāl tas nav pretrunā apstrādes nolūkam. Šo datu aizsardzības principu garantē 2018. gada DAL 36. pants. Šajā noteikumā, līdzīgi kā Direktīvas (ES) 2016/680 4. panta 1. punkta b) apakšpunktā, ir paredzēts, ka a) tiesībaizsardzības nolūkam, kādam jebkurā gadījumā tiek vākti personas dati, jābūt konkrētam, skaidram un leģitīmam un b) šādi savāktos personas datus nedrīkst apstrādāt veidā, kas nav saderīgs ar nolūku, kādam tie tika vākti.

(44) Ja kompetentās iestādes apstrādā datus tiesībaizsardzības nolūkā, šāda apstrāde var ietvert arhivēšanas, zinātniskās vai vēstures pētniecības un statistikas nolūkus (73). Šajos gadījumos 2018. gada DAL arī precizēts, ka arhivēšana (vai apstrāde zinātniskās vai vēstures pētniecības un statistikas nolūkos) nav atļauta, ja tā tiek veikta saistībā ar lēmumiem, kas pieņemti attiecībā uz konkrētu datu subjektu, vai ja tā varētu radīt tam būtisku kaitējumu vai radīt būtisku spriedzi (74).

2.4.3. Precizitāte un datu minimizēšana

(45) Datiem jābūt precīziem, un vajadzības gadījumā tie jāatjaunina. Tiem arī jābūt atbilstīgiem un būtiskiem un nav jābūt pārmērīgiem, ņemot vērā nolūkus, kādos tie tiek apstrādāti. Līdzīgi kā Direktīvas (ES) 2016/680 4. panta 1. punkta c), d) un e) apakšpunktā, šie principi ir nostiprināti 2018. gada DAL 37. un 38. pantā. Ir jāveic visi pamatotie pasākumi, lai nodrošinātu, ka neprecīzus personas datus (75) nekavējoties dzēš vai labo (76), ņemot vērā tiesībaizsardzības nolūku, kādā tie tiek apstrādāti (77), un lai nodrošinātu, ka neprecīzi, nepilnīgi vai vairs neaktuāli personas dati netiek nosūtīti vai darīti pieejami jebkādā tiesībaizsardzības nolūkā (78).

(46) Turklāt, līdzīgi kā Direktīvas (ES) 2016/680 7. pantā, Apvienotās Karalistes datu aizsardzības regulējumā ir noteikts, ka personas dati, kas balstās uz faktiem, cik vien iespējams, ir jānošķir no personas datiem, kas balstās uz personisku vērtējumu (79). Attiecīgos gadījumos, ciktāl tas iespējams, ir skaidri jānošķir personas dati, kas attiecas uz dažādām datu subjektu kategorijām, piemēram, aizdomās turētām, par noziedzīgiem nodarījumiem notiesātām, noziedzīgos nodarījumos cietušām personām un lieciniekiem (80).

2.4.4. Glabāšanas ierobežojums

(47) Saskaņā ar Direktīvas (ES) 2016/680 5. pantu dati būtībā nebūtu jāuzglabā ilgāk, nekā tas nepieciešams personas datu apstrādes nolūkam. Saskaņā ar 2018. gada DAL 39. pantu, kas ir līdzīgs minētās direktīvas 5. pantam, jebkādā tiesībaizsardzības nolūkā apstrādātus personas datus ir aizliegts glabāt ilgāk, nekā tas nepieciešams saistībā ar to apstrādes nolūku. Apvienotās Karalistes tiesiskais regulējums paredz, ka ir jānosaka atbilstīgi termiņi, pēc kuriem periodiski pārskata nepieciešamību turpināt glabāt personas datus jebkādā tiesībaizsardzības nolūkā. Attiecīgajos normatīvajos aktos un norādījumos, kas reglamentē policijas pilnvaras un darbību, ir paredzēti papildu noteikumi un prakse saistībā ar personas datu glabāšanu un tai piemērojamajiem termiņiem. Piemēram, Anglijā un Velsā Policijas kolēģijas PIP prakses kodekss un APP norādījumi par policijas informācijas pārvaldību, kas nodrošina konsekventu uz risku balstītu glabāšanas, pārskatīšanas un iznīcināšanas procesu operatīvās policijas informācijas pārvaldībai (81). Šajā regulējumā ir skaidri izklāstītas vienotas prasības visā dienestā attiecībā uz informācijas veidošanu, koplietošanu, izmantošanu un pārvaldību atsevišķās policijas vienībās un citās iestādēs, kā arī to starpā (82). No policijas tiek gaidīts, ka tā ievēros Prakses kodeksu, un atbilstību pārbauda Viņas Majestātes Policijas un ugunsdzēsības un glābšanas dienestu inspekcija (83).

(48) Ziemeļīrijas Policijas dienestam (PSNI) nav tiesību aktos noteikta pienākuma ievērot PIP prakses kodeksu. Tomēr 2011. gadā pieņemto PIP regulējumu papildina PSNI rokasgrāmata (84), kurā izklāstīta politika un procedūras PIP prakses kodeksa piemērošanai Ziemeļīrijā.

(49) Skotijas policijas vienības izmanto Ierakstu glabāšanas standarta operāciju procedūru (SOP) (85), kas papildina Skotijas Policijas dienesta ierakstu pārvaldības politiku (86). SOP nosaka konkrētus Skotijas Policijas dienesta rīcībā esošo ierakstu glabāšanas noteikumus.

(50) Papildus vispārējai prasībai pārskatīt ierakstus, ko piemēro visā Apvienotajā Karalistē, vietējos noteikumos ir paredzētas sīkākas prasības. Daži piemēri attiecībā uz Angliju un Velsu ir atrodami Likumā par policiju un pierādījumiem krimināllietās, kurš grozīts ar 2012. gada Likumu par brīvību aizsardzību (LBA) un kurā ir paredzēti pirkstu nospiedumu un DNS profilu glabāšanas noteikumi, kā arī īpaša kārtība, ko piemēro personām, kuras nav notiesātas (87). Ar LBA tika izveidots arī par biometrisko materiālu glabāšanu un izmantošanu atbildīgā komisāra amats (“biometrijas komisārs”) (88). Īpaši noteikumi par aizturēto personu attēliem ir izklāstīti 2017. gada aizturēto personu attēlu pārskatā (89). Attiecībā uz Skotiju 1995. gada Skotijas Kriminālprocesa likums paredz pirkstu nospiedumu un bioloģisko paraugu iegūšanas un glabāšanas noteikumus (90). Tāpat kā Anglijas un Velsas gadījumā, tiesību akti regulē biometrisko datu glabāšanu atšķirīgās situācijās (91).

2.4.5. Datu drošība

(51) Personas dati jāapstrādā tā, ka tiek nodrošināta to drošība, kas ietver aizsardzību pret neatļautu vai nelikumīgu apstrādi un pret nejaušu nozaudēšanu, iznīcināšanu vai sabojāšanu. Tālab publiskajām iestādēm ir jāveic atbilstīgi tehniskie vai organizatoriskie pasākumi, lai aizsargātu personas datus no iespējamiem apdraudējumiem. Šie pasākumi ir jānovērtē, ņemot vērā faktisko situāciju un saistītās izmaksas.

(52) Šie principi ir atspoguļoti 2018. gada DAL 40. pantā, saskaņā ar kuru, līdzīgi Direktīvas (ES) 2016/680 4. panta 1. punkta f) apakšpunktam, personas dati, ko apstrādā jebkādā tiesībaizsardzības nolūkā, ir jāapstrādā tā, lai nodrošinātu personas datu atbilstīgu drošību, izmantojot atbilstīgus tehniskos vai organizatoriskos pasākumus. Minētais ietver datu aizsardzību pret neatļautu vai nelikumīgu apstrādi un nejaušu nozaudēšanu, iznīcināšanu vai sabojāšanu (92). 2018. gada DAL 66. pantā turklāt noteikts, ka katram pārzinim un katram apstrādātājam jāīsteno atbilstīgi tehniskie un organizatoriskie pasākumi, lai nodrošinātu tādu drošības līmeni, kas atbilst personas datu apstrādes riskiem. Saskaņā ar paskaidrojuma rakstu pārzinim jāizvērtē riski un jāievieš atbilstoši drošības pasākumi, pamatojoties uz veikto izvērtējumu, piemēram, šifrēšana vai noteikti drošības pielaides līmeņi personālam, kas apstrādā datus (93). Izvērtējumā jāņem vērā arī, piemēram, apstrādāto datu veids un citi būtiski faktori vai apstākļi, kas varētu ietekmēt apstrādes drošību.

(53) Regulējums, ko piemēro datu drošības principu ievērošanai, ir ļoti līdzīgs režīmam, kas paredzēts Direktīvas (ES) 2016/680 29.–31. pantā. Jo īpaši gadījumā, kad personas datu aizsardzības pārkāpums ir saistīts ar personas datiem, par kuriem ir atbildīgs pārzinis, pārzinim saskaņā ar 2018. gada DAL 67. panta 1. punktu bez nepamatotas kavēšanās un, ja iespējams, 72 stundu laikā pēc tam, kad tas uzzinājis par pārkāpumu, par personas datu aizsardzības pārkāpumu ir jāpaziņo informācijas komisāram (94). Paziņošanas pienākums neattiecas uz gadījumiem, kad ir maz ticams, ka personas datu aizsardzības pārkāpums varētu apdraudēt personu tiesības un brīvības (95). Pārzinim ir jādokumentē fakti, kas attiecas uz personas datu aizsardzības pārkāpumiem, to sekām un koriģējošām darbībām, kas ļauj informācijas komisāram pārbaudīt atbilstību DAL (96). Ja apstrādātājs uzzina par drošības pārkāpumu, tam bez nepamatotas kavēšanās jāpaziņo par to pārzinim (97).

(54) Saskaņā ar 2018. gada DAL 68. panta 1. punktu, ja personas datu aizsardzības pārkāpums var radīt augstu risku personu tiesībām un brīvībām, pārzinim bez nepamatotas kavēšanās jāinformē datu subjekts par pārkāpumu (98). Paziņojumā jāiekļauj tāda pati informācija kā 53. apsvērumā aprakstītajā paziņojumā informācijas komisāram. Šo pienākumu nepiemēro, ja pārzinis ir īstenojis atbilstīgus tehniskos un organizatoriskos aizsardzības pasākumus, kas tika piemēroti personas datiem, kurus skāris pārkāpums. To nepiemēro arī tad, ja pārzinis ir veicis turpmākus pasākumus, kas nodrošina to, ka augstais risks datu subjektu tiesībām un brīvībām, visticamāk, vairs neīstenosies. Visbeidzot, pārzinim nav jāinformē datu subjekts, ja šāda darbība prasītu nesamērīgi lielas pūles (99). Šādā gadījumā informācija jādara pieejama datu subjektam citā tikpat efektīvā veidā, piemēram, ar publisku saziņu (100). Ja pārzinis nav informējis datu subjektu par pārkāpumu, informācijas komisārs, kurš ir ticis informēts saskaņā ar DAL 67. pantu un ir apsvēris iespējamību, ka pārkāpums varētu radīt augstu risku, var pieprasīt, lai pārzinis par pārkāpumu paziņo datu subjektam (101).

2.4.6. Pārredzamība

(55) Datu subjekti ir jāinformē par viņu personas datu apstrādes galvenajām iezīmēm. Šis datu aizsardzības princips ir atspoguļots 2018. gada DAL 44. pantā, kurā tāpat kā Direktīvas (ES) 2016/680 13. pantā ir noteikts, ka pārzinim ir vispārējs pienākums datu subjektiem darīt pieejamu informāciju par to personas datu apstrādi (neatkarīgi no tā, vai informāciju dara publiski vispārpieejamu vai jebkādā citā veidā) (102). Informācija, kas jāsniedz, ietver: a) pārziņa identitāti un kontaktinformāciju; b) attiecīgā gadījumā – datu aizsardzības speciālista kontaktinformāciju; c) nolūku, kādā pārzinis apstrādā personas datus; d) informāciju par datu subjektu tiesībām pieprasīt pārzinim piekļuvi personas datiem, personas datu labošanu un personas datu dzēšanu vai to apstrādes ierobežošanu; un e) informāciju par tiesībām iesniegt sūdzību informācijas komisāram un komisāra kontaktinformāciju (103).

(56) Pārzinim konkrētos gadījumos, lai varētu īstenot datu subjekta tiesības saskaņā ar 2018. gada DAL (piemēram, ja apstrādājamie personas dati ir savākti, datu subjektam par to nezinot), ir arī jāsniedz datu subjektam: a) informācija par apstrādes juridisko pamatu; b) informācija par laikposmu, cik ilgi personas dati tiks glabāti, vai, ja tas nav iespējams, kritērijiem, kas izmantoti minētā laikposma noteikšanai; c) attiecīgā gadījumā – informācija par personas datu saņēmēju kategorijām (ieskaitot saņēmējus trešās valstīs vai starptautiskās organizācijās); d) tāda papildu informācija, kas vajadzīga, lai ļautu īstenot datu subjekta tiesības saskaņā ar 2018. gada DAL 3. daļu (104).

2.4.7. Individuālās tiesības

(57) Ir jāatzīst vairākas īstenojamas datu subjektu tiesības. Ar 2018. gada DAL 3. daļas 3. nodaļu personām ir piešķirtas piekļuves, labošanas, dzēšanas un ierobežošanas tiesības (105), kas ir līdzīgas Direktīvas (ES) 2016/680 3. nodaļā paredzētajām.

(58) Piekļuves tiesības ir noteiktas 2018. gada DAL 45. pantā. Pirmkārt, personai ir tiesības saņemt apstiprinājumu no pārziņa par to, vai tās personas dati tiek apstrādāti (106). Otrkārt, ja personas datus apstrādā, datu subjektam ir tiesības piekļūt šiem datiem un saņemt šādu informāciju par apstrādi: a) apstrādes nolūks un juridiskais pamats; b) attiecīgo datu kategorijas; c) saņēmējs, kuram dati ir izpausti; d) laikposms, cik ilgi personas dati tiks glabāti; e) vai pastāv datu subjekta tiesības labot un dzēst personas datus; f) tiesības iesniegt sūdzību; g) jebkāda informācija par attiecīgo personas datu izcelsmi (107).

(59) Saskaņā ar 2018. gada DAL 46. pantu datu subjektam ir tiesības pieprasīt, lai pārzinis labo ar viņu saistītos neprecīzos personas datus. Pārzinim dati jālabo (vai, ja dati ir neprecīzi to nepilnības dēļ, jāpapildina) bez nepamatotas kavēšanās. Ja personas dati ir jāglabā pierādījumu nolūkā, pārzinim ir jāierobežo to apstrāde (tā vietā, lai labotu personas datus) (108).

(60) 2018. gada DAL 47. pants nodrošina fiziskām personām tiesības uz datu dzēšanu un tiesības ierobežot apstrādi. Pārzinim bez nepamatotas kavēšanās jādzēš (109) personas dati, ja ar personas datu apstrādi pārkāpj kādu no datu aizsardzības principiem, apstrādes juridisko pamatojumu vai ar arhivēšanu un sensitīvu datu apstrādi saistītās garantijas. Pārzinim ir arī jādzēš dati, ja tam ir juridisks pienākums to darīt. Ja personas dati ir jāsaglabā pierādījumu nolūkā, pārzinim ir jāierobežo to apstrāde (tā vietā, lai dzēstu personas datus) (110). Pārzinim jāierobežo personas datu apstrāde, ja datu subjekts apstrīd personas datu precizitāti, bet nav iespējams noskaidrot, vai tie ir vai nav precīzi (111).

(61) Ja datu subjekts pieprasa labot vai dzēst personas datus vai ierobežot to apstrādi, pārzinim rakstiski jāinformē datu subjekts par to, vai pieprasījums ir ticis apmierināts, un, ja tas ir noraidīts, jāinformē datu subjekts par atteikuma iemesliem un pieejamajiem tiesiskās aizsardzības līdzekļiem (datu subjekta tiesībām lūgt informācijas komisāram izmeklēt, vai ierobežojums ir piemērots likumīgi, tiesībām iesniegt sūdzību informācijas komisāram un tiesībām vērsties tiesā, lai saņemtu izpildes rīkojumu) (112).

(62) Ja pārzinis labo personas datus, kas saņemti no citas kompetentās iestādes, tam jāinformē otra iestāde (113). Ja pārzinis labo, dzēš vai ierobežo tādu personas datu apstrādi, kurus izpaudis pārzinis, pārzinis par to informē saņēmējus, un saņēmējiem līdzīgi jālabo, jāizdzēš vai jāierobežo personas datu apstrāde (ciktāl viņi par to ir atbildīgi) (114).

(63) Turklāt datu subjektam ir tiesības bez nepamatotas kavēšanās saņemt pārziņa informāciju par personas datu aizsardzības pārkāpumu, ja tas var radīt augstu risku personu tiesībām un brīvībām (115).

(64) Attiecībā uz visām šīm datu subjekta tiesībām un līdzīgi tam, kas paredzēts Direktīvas (ES) 2016/680 12. pantā, pārzinim ir pienākums nodrošināt, ka visa informācija datu subjektam tiek sniegta kodolīgā, saprotamā un viegli pieejamā veidā (116), un, ja iespējams, tā būtu jāsniedz tādā pašā formā kā pieprasījums (117). Pārzinim jāizpilda datu subjekta pieprasījums bez nepamatotas kavēšanās, un būtībā jebkurā gadījumā – kamēr no pieprasījuma nav pagājis viens mēnesis (118). Ja pārzinim ir pamatotas šaubas par fiziskas personas identitāti, tas var pieprasīt papildu informāciju un atlikt pieprasījuma izskatīšanu līdz identitātes noskaidrošanai. Pārzinis var prasīt saprātīgu maksu vai atteikties rīkoties, ja uzskata pieprasījumu par acīmredzami nepamatotu (119). IKB ir sniedzis norādījumus par to, kad pieprasījums uzskatāms par acīmredzami nepamatotu vai pārmērīgu un kad var pieprasīt maksu (120).

(65) Turklāt saskaņā ar 2018. gada DAL 53. panta 4. punktu ministrs ar noteikumiem var paredzēt maksimālo maksas apmēru.

2.4.7.1. Datu subjekta tiesību ierobežojumi un pārredzamības pienākumi

(66) Kompetentā iestāde noteiktos apstākļos var ierobežot konkrētas datu subjekta tiesības: tiesības piekļūt (121), tikt informētam (122), uzzināt par personas datu aizsardzības pārkāpumu (123) un tikt informētam par iemeslu, kāpēc noraidīts pieprasījums veikt labošanu vai dzēšanu (124). Līdzīgi Direktīvas (ES) 2016/680 III nodaļā paredzētajai kārtībai kompetentā iestāde var piemērot ierobežojumu tikai tad, ja tas, ņemot vērā datu subjekta pamattiesības un leģitīmās intereses, ir nepieciešams un samērīgs, lai: a) novērstu, ka tiek traucēta oficiāla vai juridiska pārbaude, izmeklēšana vai procedūra; b) novērstu, ka tiek kaitēts noziedzīgu nodarījumu novēršanai, atklāšanai un izmeklēšanai vai saukšanai pie atbildības par tiem vai kriminālsodu izpildei; c) aizsargātu sabiedrisko drošību; d) aizsargātu valsts drošību; e) aizsargātu citu personu tiesības un brīvības.

(67) IKB ir sniedzis norādījumus par minēto ierobežojumu piemērošanu. Saskaņā ar šiem norādījumiem pārziņiem katrā gadījumā jāveic atsevišķa analīze, lai līdzsvarotu fiziskās personas tiesības un kaitējumu, ko nodarītu izpaušana. Jo īpaši tiem jāpamato, ka piemērotais ierobežojums ir nepieciešams un samērīgs, un tie drīkst ierobežot sniegto informāciju tikai tad, ja tiktu kaitēts minētajiem nolūkiem (125).

(68) Ir arī vairāki citi norādījumi, ko izdevušas kompetentās iestādes un kas sniedz detalizētu informāciju par visiem datu aizsardzības tiesību aktu aspektiem, tostarp par datu subjektu tiesību ierobežojumu piemērošanu (126). Piemēram, attiecībā uz 45. panta 4. punktu Valsts policijas galvenā padomnieka Datu aizsardzības rokasgrāmatā norādīts: “Ir svarīgi atzīmēt, ka ierobežojumus var piemērot tikai tiktāl, cik tie ir nepieciešami, un tikai tik ilgi, cik tas nepieciešams. Līdz ar to nav pieļaujama vispārēja ierobežojuma piemērošana visiem pieteikuma iesniedzēja personas datiem vai ierobežojuma pastāvīga piemērošana. Runājot par pēdējo, bieži vien notiek tā, ka personas dati, kas savākti bez tāda datu subjekta ziņas, kas ir aizdomās turētā persona izmeklēšanā, ir sākotnēji jāaizsargā no to izpaušanas, lai novērstu, ka tiek kaitēts izmeklēšanai tās laikā, bet vēlāk, ja personas dati tiktu izpausti personai iztaujāšanas laikā, to izpaušana nenodarītu kaitējumu. Policijas vienībām ir jāievieš procesi, lai nodrošinātu šo ierobežojumu piemērošanu tikai nepieciešamajā apjomā un ir tikai nepieciešamajam ilgumam.” (127) Šajos norādījumos sniegti arī piemēri, kad katrs no ierobežojumiem varētu būt piemērojams (128).

(69) Turklāt attiecībā uz iespēju “valsts drošības” aizsardzības nolūkā ierobežot kādu no iepriekš minētajām tiesībām pārzinis var pieprasīt Ministru kabineta ministra vai ģenerālprokurora (vai Skotijas ģenerālprokurora) parakstītu apliecinājumu, ka tiesību ierobežojums ir nepieciešams un samērīgs pasākums valsts drošības aizsardzībai (129). Apvienotās Karalistes valdība ir izdevusi norādījumus par valsts drošības sertifikātiem saskaņā ar 2018. gada DAL, kuros īpaši uzsvērts, ka jebkuram datu subjektu tiesību ierobežojumam valsts drošības aizsardzības nolūkā ir jābūt samērīgam un nepieciešamam (130) (sīkāku informāciju par valsts drošības sertifikātiem skatīt 131.–134. apsvērumā).

(70) Turklāt gadījumos, kad datu subjekta tiesībām piemēro ierobežojumu, kompetentajai iestādei bez nepamatotas kavēšanās jāinformē datu subjekts par tā tiesību ierobežošanu, ierobežošanas iemeslu un pieejamajiem tiesiskās aizsardzības līdzekļiem, izņemot, ja šādas informācijas sniegšana kaitētu mērķim, kādēļ ierobežojums piemērots (131). Kā papildu garantija attiecībā uz ierobežojumu ļaunprātīgu izmantošanu pārzinim ir noteikts pienākums reģistrēt informācijas ierobežošanas iemeslu un pēc pieprasījuma darīt šo ierakstu pieejamu informācijas komisāram (132).

(71) Ja pārzinis atsakās sniegt papildu informāciju par pārredzamību, nodrošināt piekļuvi vai noraida pieprasījumu labot, dzēst vai ierobežot apstrādi, persona var lūgt informācijas komisāram veikt izmeklēšanu par to, vai pārzinis likumīgi piemērojis ierobežojumu (133). Attiecīgā persona var arī iesniegt sūdzību informācijas komisāram vai vērsties tiesā, lai tā uzdotu pārzinim izpildīt pieprasījumu (134).

2.4.7.2. Automatizēta lēmumu pieņemšana

(72) 2018. gada DAL 49. un 50. pantā attiecīgi ir minētas ar automatizētu lēmumu pieņemšanu saistītās tiesības un piemērojamās garantijas (135). Līdzīgi Direktīvas (ES) 2016/680 11. pantā paredzētajam pārzinis pieņemt būtisku lēmumu, balstoties tikai uz personas datu automatizētu apstrādi, var tikai gadījumos, kad to pieprasa vai atļauj tiesību akti (136). Lēmums ir būtisks, ja tas radītu nelabvēlīgas juridiskas sekas datu subjektam vai būtiski ietekmētu datu subjektu (137).

(73) Ja pārzinim saskaņā ar tiesību aktiem ir pienākums vai atļauja pieņemt būtisku lēmumu, 2018. gada DAL 50. pantā ir noteiktas garantijas, kas attieksies uz šādu lēmumu (to definē kā “atbilstīgu būtisku lēmumu”). Pārzinim pēc iespējas ātrāk ir jāpaziņo datu subjektam, ka šāds lēmums ir pieņemts. Pēc tam datu subjekts mēneša laikā var pieprasīt pārzinim pārskatīt lēmumu vai pieņemt jaunu lēmumu, kas nav balstīts tikai uz automatizētu apstrādi. Pārzinim jāizskata šis pieprasījums un jāinformē datu subjekts par izskatīšanas rezultātu. 2018. gada DAL piešķirtas ministram pilnvaras pieņemt noteikumus par papildu garantijām (138). Šādi noteikumi vēl nav pieņemti.

2.4.8. Tālāka nosūtīšana

(74) Aizsardzības līmeni, kāds piešķirts personas datiem, kurus no dalībvalsts tiesībaizsardzības iestādes nosūta uz Apvienotās Karalistes tiesībaizsardzības iestādi, nedrīkst samazināt šādu datu tālāka nosūtīšana saņēmējiem trešā valstī. Šāda tālāka nosūtīšana, kas no Apvienotās Karalistes tiesībaizsardzības iestādes skatpunkta ir starptautiska nosūtīšana no Apvienotās Karalistes, būtu jāatļauj tikai tad, ja uz nākamo saņēmēju ārpus Apvienotās Karalistes attiecina noteikumus, kuri nodrošina aizsardzības līmeni, kas ir līdzīgs Apvienotās Karalistes tiesību sistēmas garantētajam.

(75) Starptautiskās nosūtīšanas kārtību Apvienotajā Karalistē reglamentē 2018. gada DAL 3. daļas 5. nodaļa (139), un tā atspoguļo pieeju, kas izmantota Direktīvas (ES) 2016/680 V nodaļā. Konkrēti, lai nosūtītu personas datus uz trešo valsti, kompetentajai iestādei ir jāizpilda trīs nosacījumi: a) nosūtīšanai jābūt nepieciešamai tiesībaizsardzības nolūkā; b) nosūtīšanai jābūt pamatotai ar: i) noteikumiem par aizsardzības līmeņa pietiekamību attiecībā uz trešo valsti, ii) ja tā nav pamatota ar noteikumiem par aizsardzības līmeņa pietiekamību – atbilstošu garantiju esību vai iii) ja tā nav pamatota ar lēmumu par aizsardzības līmeņa pietiekamību vai atbilstošām garantijām, tai jābūt pamatotai ar īpašiem apstākļiem; un c) sūtījuma saņēmējam jābūt: i) attiecīgai iestādei (proti, kompetentās iestādes ekvivalentam) trešā valstī; ii) “attiecīgai starptautiskajai organizācijai”, piemēram, starptautiskai organizācijai, kas veic funkcijas, kuras atbilst kādam tiesībaizsardzības nolūkam; vai iii) personai, kas nav attiecīgā iestāde, bet tikai tad, ja nosūtīšana ir absolūti nepieciešama, lai veiktu kādu no tiesībaizsardzības nolūkiem; nekādas attiecīgā datu subjekta pamattiesības un brīvības nav svarīgākas par sabiedrības interesēm, kuru dēļ ir nepieciešama nosūtīšana; personas datu nosūtīšana attiecīgajai iestādei trešā valstī būtu neefektīva vai nepiemērota; un saņēmējs ir informēts par nolūkiem, kādiem datus drīkst apstrādāt (140).

(76) Ministrs pieņem noteikumus par aizsardzības līmeņa pietiekamību attiecībā uz trešo valsti, trešās valsts teritoriju vai sektoru trešā valstī, starptautisku organizāciju vai šādas valsts, teritorijas, sektora vai organizācijas aprakstu (141). Standarts, kas jāievēro ministram, ir – vai šī teritorija/sektors/organizācija nodrošina pietiekamu personas datu aizsardzības līmeni. 2018. gada DAL 74.A panta 4. punktā ir noteikts, ka šajā nolūkā ministram jāņem vērā vairāki elementi, kas atspoguļo Direktīvas (ES) 2016/680 36. pantā uzskaitītos (142). Šajā sakarā kopš pārejas perioda beigām 2018. gada DAL 3. daļa ir “no ES atvasināts valsts tiesību akts”, kuru, kā jau minēts, Apvienotās Karalistes tiesas interpretēs saskaņā ar attiecīgo Tiesas judikatūru, kas bija spēkā pirms Apvienotās Karalistes izstāšanās no Savienības, un Savienības tiesību aktu vispārējiem principiem, kas bija spēkā tieši pirms pārejas perioda beigām. Tas ietver “līdzvērtības pēc būtības” standartu, ko tādējādi piemēros Apvienotās Karalistes iestāžu veiktajiem aizsardzības līmeņa pietiekamības novērtējumiem.

(77) Uz šo noteikumu procedūru attiecas 2018. gada DAL 182. pantā paredzētās “vispārējās” prasības procedūrai. Saskaņā ar šo procedūru ministram, ierosinot izstrādāt turpmākos Apvienotās Karalistes noteikumus par aizsardzības līmeņa pietiekamību, ir jāapspriežas ar informācijas komisāru (143). Pēc tam, kad ministrs ir pieņēmis šos noteikumus, tos iesniedz parlamentam un tiem piemēro “noraidošas rezolūcijas” procedūru, saskaņā ar kuru abas parlamenta palātas var pārbaudīt noteikumus un 40 dienu laikā pieņemt priekšlikumu par noteikumu atcelšanu (144).

(78) Saskaņā ar 2018. gada DAL 74.B panta 1. punktu noteikumi par aizsardzības līmeņa pietiekamību jāpārskata ne retāk kā reizi četros gados un ministram pastāvīgi jāuzrauga norises trešās valstīs un starptautiskās organizācijās, kas varētu ietekmēt lēmumus par aizsardzības līmeņa pietiekamības noteikumu pieņemšanu vai šādu noteikumu grozīšanu vai atcelšanu. Ja ministrs uzzina, ka kāda valsts vai organizācija vairs nenodrošina pietiekamu personas datu aizsardzības līmeni, viņam, ciktāl nepieciešams, jāgroza vai jāatceļ noteikumi un jāuzsāk apspriešanās ar attiecīgo trešo valsti vai starptautisko organizāciju, lai novērstu aizsardzības līmeņa nepietiekamību.

(79) Līdzīgi kā noteikts Direktīvas (ES) 2016/680 37. pantā, ja nav pieņemti noteikumi par aizsardzības līmeņa pietiekamību, personas datus tiesībaizsardzības jomā var nosūtīt tikai tad, ja ir ieviestas atbilstošas garantijas. Garantijas nodrošina ar a) juridiski saistošu instrumentu, kurā ir ietvertas atbilstošas personas datu aizsardzības garantijas, vai b) pārziņa veiktu novērtējumu, pēc kura, vērtējot visus ar nosūtīšanu saistītos apstākļus, tiek secināts, ka pastāv atbilstošas garantijas, ar kurām aizsargā datus (145). Turklāt, ja nosūtīšana ir pamatota ar atbilstošām garantijām, 2018. gada DAL paredz, ka līdztekus IKB parastajai pārraudzības funkcijai kompetentajām iestādēm ir arī jāsniedz IKB konkrēta informācija par nosūtīšanu (146).

(80) Ja nosūtīšana nav balstīta uz lēmumu par aizsardzības līmeņa pietiekamību vai atbilstošām garantijām, tā var notikt tikai konkrētos apstākļos jeb tā dēvētajos “īpašajos apstākļos” (147). Tas tā ir gadījumos, kad nosūtīšana ir nepieciešama: a) lai aizsargātu datu subjekta vai citas personas vitālas intereses; b) lai pasargātu datu subjekta leģitīmās intereses; c) lai novērstu tiešus un nopietnus draudus sabiedriskajai drošībai trešā valstī; d) atsevišķos gadījumos – jebkādā tiesībaizsardzības nolūkā; vai e) atsevišķos gadījumos – juridiskiem mērķiem (piemēram, saistībā ar tiesvedību vai juridisku konsultāciju saņemšanu) (148). Ir jānorāda, ka d) un e) punktu nepiemēro, ja datu subjekta tiesības un brīvības ir svarīgākas par sabiedrības interesēm, lai notiktu nosūtīšana (149). Šie apstākļi atbilst īpašām situācijām un nosacījumiem, kas Direktīvas (ES) 2016/680 38. pantā atzīti par “atkāpēm”.

(81) Šādās situācijās ir jādokumentē nosūtīšanas datums, laiks un pamatojums, saņēmēja nosaukums un jebkura cita būtiska informācija par saņēmēju, kā arī nosūtīto personas datu apraksts, un pēc pieprasījuma tie ir jāiesniedz informācijas komisāram (150).

(82) 2018. gada DAL 78. pantā ir regulēts “secīgas nosūtīšanas” scenārijs, proti, gadījumi, kad personas dati, kas no Apvienotās Karalistes ir nosūtīti uz trešo valsti, vēlāk tiek nosūtīti citai trešai valstij vai starptautiskai organizācijai. Saskaņā ar 78. panta 1. punktu Apvienotās Karalistes pārzinim, kas nosūta datus, ir jāparedz nosacījums datu nosūtīšanai, ka dati netiks tālāk nosūtīti uz trešo valsti, ja to nebūs atļāvis pārzinis, kas veic nosūtīšanu. Turklāt saskaņā ar 78. panta 3. punktu, līdzīgi kā noteikts Direktīvas (ES) 2016/680 35. panta 1. punkta e) apakšpunktā, gadījumos, kad nepieciešama šāda atļauja, piemēro virkni būtisku prasību. Konkrētāk, kompetentajai iestādei, lemjot par to, vai atļaut vai neatļaut nosūtīšanu, ir jāpārliecinās, ka tālāka nosūtīšana ir nepieciešama tiesībaizsardzības nolūkā, un tai cita starpā būtu jāņem vērā: a) to apstākļu nopietnība, kuru dēļ pieprasīta atļauja, b) nolūks, kādam personas dati sākotnēji nosūtīti, un c) personas datu aizsardzības standarti, kas ir spēkā trešā valstī vai starptautiskā organizācijā, uz kuru personas dati tiktu nosūtīti.

(83) Turklāt tad, ja dati, kas tiek tālāk nosūtīti no Apvienotās Karalistes, sākotnēji tikuši nosūtīti no Eiropas Savienības, tiek piemērotas papildu garantijas.

(84) Pirmkārt, 2018. gada DAL 73. panta 1. punkta b) apakšpunktā – līdzīgi kā Direktīvas (ES) 2016/680 35. panta 1. punkta c) apakšpunktā – ir noteikts, ka gadījumā, ja dalībvalsts personas datus sākotnēji nosūtījusi vai citādi darījusi pieejamus pārzinim vai citai kompetentajai iestādei, minētajai dalībvalstij vai jebkurai personai, kas atrodas minētajā dalībvalstī un ir kompetenta iestāde Direktīvas (ES) 2016/680 mērķiem, ir jābūt devušai nosūtīšanas atļauju saskaņā ar minētās dalībvalsts tiesību aktiem.

(85) Tomēr, līdzīgi Direktīvas (ES) 2016/680 35. panta 2. punktam, šāda atļauja nav vajadzīga, ja a) nosūtīšana ir nepieciešama, lai novērstu tiešus un nopietnus draudus dalībvalsts vai trešās valsts sabiedriskajai drošībai vai dalībvalsts būtiskām interesēm, un b) atļauju nevar saņemt laikus. Šādā gadījumā nekavējoties jāinformē dalībvalsts iestāde, kas būtu bijusi atbildīga par lēmumu pieņemšanu par nosūtīšanas atļaušanu (151).

(86) Otrkārt, tāda pati pieeja attiecas uz datiem, kas sākotnēji nosūtīti no Eiropas Savienības uz Apvienoto Karalisti un tad tālāk nosūtīti no Apvienotās Karalistes uz trešo valsti, kura savukārt pēc tam veiktu to tālāku nosūtīšanu uz vēl kādu trešo valsti. Šādā gadījumā saskaņā ar 78. panta 4. punktu Apvienotās Karalistes kompetentā iestāde nevar dot piekrišanu pēdējai minētajai nosūtīšanai, kā noteikts 78. panta 1. punktā, ja vien “dalībvalsts [kura sākotnēji nosūtījusi attiecīgos datus] vai jebkura persona, kas atrodas minētajā dalībvalstī un ir kompetenta iestāde Tiesībaizsardzības direktīvas mērķiem, nav devusi nosūtīšanas atļauju saskaņā ar minētās dalībvalsts tiesību aktiem”. Šīs ir nozīmīgas garantijas, jo tās ļauj dalībvalstu iestādēm nodrošināt aizsardzības nepārtrauktību atbilstoši ES datu aizsardzības tiesību aktiem visā “nosūtīšanas ķēdē”.

(87) Jauno starptautiskās nosūtīšanas regulējumu sāka piemērot pārejas perioda beigās (152). Tomēr 21. pielikuma 10.–12. punktā (ieviesti ar DPPC noteikumiem) ir paredzēts, ka pēc pārejas perioda beigām konkrētu personas datu nosūtīšanu uzskata par tādu, kas ir pamatota ar noteikumiem par aizsardzības līmeņa pietiekamību. Šāda nosūtīšana ietver nosūtīšanu uz dalībvalsti, EBTA valsti, trešo valsti, par kuru pārejas perioda beigās ir pieņemts ES lēmums par aizsardzības līmeņa pietiekamību, un Gibraltāra teritoriju. Tādēļ nosūtīšana uz šīm valstīm var turpināties tā, kā tā notika pirms Apvienotās Karalistes izstāšanās no Savienības. Pārejas perioda beigās ministram četru gadu laikā (proti, līdz 2024. gada decembra beigām) ir jāpārskata minētie konstatējumi par aizsardzības līmeņa pietiekamību. Kā paskaidrojušas Apvienotās Karalistes iestādes, lai gan ministram šāda pārskatīšana ir jāveic līdz 2024. gada decembra beigām, pārejas noteikumi neietver noteikumu par spēka zaudēšanu, tādēļ attiecīgie pārejas noteikumi automātiski nezaudēs spēku, ja pārskatīšana līdz 2024. gada decembra beigām netiks pabeigta.

2.4.9. Pārskatatbildība

(88) Saskaņā ar pārskatatbildības principu publiskajām iestādēm, kas apstrādā datus, ir jāievieš atbilstīgi tehniskie un organizatoriskie pasākumi, lai tās efektīvi izpildītu savus datu aizsardzības pienākumus, un jāspēj pierādīt šādu izpildi, jo īpaši kompetentajai uzraudzības iestādei.

(89) Šis princips ir atspoguļots 2018. gada DAL 56. pantā, ar ko tiek ieviests vispārējs pārziņa pārskatatbildības pienākums, proti, pienākums īstenot atbilstīgus tehniskos un organizatoriskos pasākumus, lai nodrošinātu un spētu pierādīt, ka personas datu apstrāde atbilst 2018. gada DAL 3. daļas prasībām. Īstenotie pasākumi ir jāpārskata un vajadzības gadījumā jāatjaunina, un, ja tie ir samērīgi attiecībā uz apstrādi, tajos jāiekļauj atbilstīga datu aizsardzības politika.

(90) Līdzīgi kā Direktīvas (ES) 2016/680 IV nodaļā, 2018. gada DAL 55.–71. pantā ir paredzēti dažādi mehānismi, kā nodrošināt pārskatatbildību un ļaut pārziņiem un apstrādātājiem pierādīt atbilstību. Konkrēti, pārziņiem tiek prasīts īstenot datu aizsardzības pasākumus integrēti un pēc noklusējuma, proti, nodrošināt datu aizsardzības principu efektīvu īstenošanu, un pārziņiem tiek prasīts reģistrēt visas apstrādes darbību kategorijas, par kurām pārzinis ir atbildīgs (tostarp informācija par pārziņa identitāti, datu aizsardzības speciālista kontaktinformācija, apstrādes nolūki, izpaušanas saņēmēju kategorijas un datu subjektu kategoriju apraksts, kā arī personas dati), un glabāt reģistrus, lai tiem pēc pieprasījuma varētu piekļūt informācijas komisārs. Pārzinim un apstrādātājam ir arī jāglabā žurnāli par noteiktām apstrādes darbībām un tie jādara pieejami informācijas komisāram (153). Pārziņiem ir arī īpaši noteikts pienākums sadarboties ar informācijas komisāru tā uzdevumu izpildē.

(91) 2018. gada DAL arī nosaka papildu prasības apstrādei, kas var radīt augstu risku fizisku personu tiesībām un brīvībām. Tās ietver pienākumu veikt novērtējumu par ietekmi uz datu aizsardzību un pirms apstrādes apspriesties ar informācijas komisāru, ja novērtējums liecina, ka apstrāde radītu augstu risku personu tiesībām un brīvībām (ja netiek veikti riska mazināšanas pasākumi).

(92) Turklāt pārziņiem ir jāieceļ datu aizsardzības speciālists, ja vien pārzinis nav tiesa vai cita tiesu iestāde, kas rīkojas tieslietu jomā (154). Pārzinim jānodrošina, ka datu aizsardzības speciālists ir iesaistīts visos ar personas datu aizsardzību saistītajos jautājumos, ka tam ir nepieciešamie resursi un piekļuve personas datiem un apstrādes darbībām un ka tas savus uzdevumus var veikt patstāvīgi. Datu aizsardzības speciālista uzdevumi ir noteikti 2018. gada DAL 71. pantā, un to vidū ir informācijas un konsultāciju sniegšana, atbilstības uzraudzība, kā arī sadarbība ar informācijas komisāru un tā kontaktpunkta pienākumu izpilde. Veicot uzdevumus, datu aizsardzības speciālistam ir jāņem vērā ar apstrādes darbībām saistītie riski, ņemot vērā apstrādes raksturu, apjomu, kontekstu un nolūkus.

2.5. Pārraudzība un izpilde

2.5.1. Neatkarīga pārraudzība

(93) Lai nodrošinātu, ka arī praksē tiek garantēts pietiekams datu aizsardzības līmenis, vajadzētu būt izveidotai neatkarīgai uzraudzības iestādei, kurai uzticētas pilnvaras uzraudzīt un nodrošināt datu aizsardzības noteikumu izpildi. Šai iestādei tās uzdevumi ir jāveic un pilnvaras jāīsteno pilnīgi neatkarīgi un objektīvi.

(94) Apvienotajā Karalistē pārraudzību un izpildes nodrošināšanu attiecībā uz atbilstību Apvienotās Karalistes VDAR un 2018. gada DAL veic informācijas komisārs (155). Informācijas komisārs pārrauga arī personas datu apstrādi, ko veic kompetentās iestādes, uz kurām attiecas 2018. gada DAL 3. daļa (156). Informācijas komisārs ir “individuāls komersants”: atsevišķs tiesību subjekts, ko veido viena persona. Informācijas komisāra darbā to atbalsta birojs. 2020. gada 31. martā informācijas komisāra birojā bija 768 pastāvīgie darbinieki (157). Informācijas komisāru atbalsta Digitalizācijas, kultūras, mediju un sporta ministrija (DCMS) (158).

(95) Komisāra neatkarība ir skaidri noteikta Apvienotās Karalistes VDAR 52. pantā, kas atspoguļo Eiropas Parlamenta un Padomes Regulas (ES) 2016/679 (159) 52. panta 1.–3. punktā noteiktās prasības. Komisāram, veicot uzdevumus un īstenojot savas pilnvaras saskaņā ar Apvienotās Karalistes VDAR, ir jārīkojas pilnīgi neatkarīgi, attiecībā uz šiem uzdevumiem un pilnvarām ir jābūt brīvam no tiešas vai netiešas ārējas ietekmes, un viņš nedrīkst lūgt un ne no viena pieņemt nekādus norādījumus. Komisāram ir arī jāatturas no jebkādas darbības, kas nav savienojama ar viņa pienākumiem, un, esot amatā, viņš nedrīkst uzņemties nekādu nesavienojamu algotu vai nealgotu darbu.

(96) Nosacījumi informācijas komisāra iecelšanai un atbrīvošanai no amata ir izklāstīti 2018. gada DAL 12. pielikumā. Informācijas komisāru ieceļ karaliene pēc valdības ieteikuma, pamatojoties uz godīgu un atklātu konkursu. Kandidātam ir jāpiemīt atbilstošai kvalifikācijai, prasmēm un kompetencei. Saskaņā ar Pārvaldības kodeksu par valsts amatpersonu iecelšanu amatā (160) padomdevēja novērtēšanas komisija izveido to kandidātu sarakstu, kurus var iecelt amatā. Pirms digitalizācijas, kultūras, mediju un sporta ministrs pieņem galīgo lēmumu, attiecīgajai parlamenta komitejai ir jāveic pirmsiecelšanas pārbaude. Komitejas nostāja tiek publiskota (161).

(97) Informācijas komisāra amata pilnvaru termiņš ir līdz septiņiem gadiem. Informācijas komisāru no amata var atbrīvot Viņas Majestāte pēc tam, kad abas parlamenta palātas ir izdarījušas uzrunu (162). Nevienai no parlamenta palātām nevar iesniegt pieprasījumu par informācijas komisāra atbrīvošanu no amata, ja vien ministrs nav iesniedzis parlamentam ziņojumu, kurā minēts, ka viņš ir pārliecināts, ka informācijas komisārs ir vainojams nopietnā pārkāpumā un/vai komisārs vairs neatbilst komisāra funkciju veikšanai nepieciešamajiem nosacījumiem (163).

(98) Informācijas komisāram ir trīs finansējuma avoti: i) pārziņu maksājumi par datu aizsardzību, kurus nosaka ar ministra izdotiem noteikumiem (164) un kuri veido 85–90 % no biroja gada budžeta (165); ii) dotācijas, ko informācijas komisāram var izmaksāt valdība un ko galvenokārt izmanto, lai finansētu informācijas komisāra darbības izmaksas, kas nav saistītas ar datu aizsardzību (166); iii) maksa par pakalpojumiem (167). Pašlaik šādas maksas netiek iekasētas.

(99) Informācijas komisāra vispārīgās funkcijas saistībā ar personas datu apstrādi, kas ietilpst 2018. gada DAL 3. daļas darbības jomā, ir noteiktas 2018. gada DAL 13. pielikumā. Šie uzdevumi ietver 2018. gada DAL 3. daļas uzraudzību un izpildes nodrošināšanu, sabiedrības informētības veicināšanu, ieteikumus parlamentam, valdībai un citām iestādēm par likumdošanas un administratīvajiem pasākumiem, pārziņu un apstrādātāju informētības veicināšanu par viņu pienākumiem, informācijas sniegšanu datu subjektam par datu subjekta tiesību īstenošanu un izmeklēšanas veikšanu. Lai saglabātu tiesu iestāžu neatkarību, informācijas komisāram nav atļauts īstenot pilnvaras attiecībā uz personas datu apstrādi, ko veic persona, kas rīkojas tiesu varas ietvaros, vai tiesa vai tribunāls, kas rīkojas tiesu varas ietvaros. Tomēr pārraudzību pār tiesu iestādēm nodrošina īpašas struktūras, kā sīkāk iztirzāts turpmāk.

2.5.1.1. Izpildes panākšana, ieskaitot sankcijas

(100) Komisāram ir vispārējas izmeklēšanas, korektīvas, atļaujas došanas un padomdevēja pilnvaras attiecībā uz personas datu apstrādi, uz kuru attiecas 2018. gada DAL 3. daļa. Komisāram ir pilnvaras paziņot pārzinim vai apstrādātājam par iespējamo 3. daļas pārkāpumu, izdot brīdinājumus pārzinim vai apstrādātājam, ka ar paredzētajām apstrādes darbībām varētu pārkāpt 3. daļas noteikumus, un izteikt pārzinim vai apstrādātājam rājienu, ja ar apstrādes darbībām ir pārkāpti 3. daļas noteikumi. Turklāt komisārs pēc savas iniciatīvas vai pēc pieprasījuma var sniegt atzinumus Apvienotās Karalistes parlamentam, valdībai vai citām iestādēm un struktūrām, kā arī sabiedrībai par jebkuru jautājumu, kas saistīts ar personas datu aizsardzību (168).

(101) Turklāt komisāram ir pilnvaras: — uzdot pārzinim un apstrādātājam (konkrētos gadījumos – jebkurai citai personai) sniegt nepieciešamo informāciju ar informatīvu paziņojumu (“informatīvais paziņojums”) (169), — veikt izmeklēšanu un revīzijas, sniedzot novērtējuma paziņojumu, kurā var pieprasīt pārzinim vai apstrādātājam, lai tas atļauj komisāram iekļūt konkrētās telpās, apskatīt vai pārbaudīt dokumentus vai iekārtas, iztaujāt personas, kas pārziņa vārdā apstrādā personas datus (“novērtējuma paziņojums”) (170), — citādi iegūt piekļuvi pārziņu un apstrādātāju dokumentiem un iekļūt to telpās saskaņā ar 2018. gada DAL 154. pantu (“iekļūšanas un pārbaudes pilnvaras”), — īstenot korektīvās pilnvaras, tostarp izsakot brīdinājumus un rājienus, vai dot rīkojumus ar izpildes paziņojumu, ar kuru pārziņiem/apstrādātājiem pieprasa veikt konkrētas darbības vai atturēties no to veikšanas (“izpildes paziņojums”) (171), un — uzlikt administratīvos naudas sodus soda paziņojuma veidā (“soda paziņojums”) (172).

(102) IKB regulatīvās rīcības politikā ir izklāstīti apstākļi, kādos komisārs izdod attiecīgi informatīvu, novērtējuma, izpildes un soda paziņojumu (173). Izpildes paziņojumā var noteikt prasības, kuras komisārs uzskata par piemērotām pārkāpuma novēršanai. Soda paziņojumā ir noteikts, ka personai jāsamaksā informācijas komisāram paziņojumā norādītā summa. Soda paziņojumu var izdot, ja nav ievēroti konkrēti 2018. gada DAL noteikumi (174), vai arī izdot pārzinim vai apstrādātājam, kas nav izpildījis informatīvā paziņojumā, novērtējuma paziņojumā vai izpildes paziņojumā noteikto.

(103) Konkrētāk, nosakot, vai pārzinim vai apstrādātājam ir jāpiemēro sods, un nosakot soda apmēru, informācijas komisāram ir jāņem vērā 2018. gada DAL 155. panta 3. punktā uzskaitītie jautājumi, tostarp pārkāpuma raksturs un smagums, tas, vai pārkāpums izdarīts apzināti vai aiz nolaidības, jebkura pārziņa vai apstrādātāja rīcība, lai mazinātu datu subjektiem nodarītos zaudējumus, pārziņa vai apstrādātāja atbildības pakāpe (ņemot vērā pārziņa vai apstrādātāja īstenotos tehniskos un organizatoriskos pasākumus), pārziņa vai apstrādātāja attiecīgie iepriekšējie pārkāpumi; ar pārkāpumu skarto personas datu kategorijas un tas, vai sods būtu iedarbīgs, samērīgs un atturošs.

(104) Maksimālais soda naudas apmērs, ko var uzlikt ar soda paziņojumu, ir a) 17 500 000 GBP par datu aizsardzības principu (2018. gada DAL 35., 36. un 37. pants, 38. panta 1. punkts, 39. panta 1. punkts un 40. pants), pārredzamības pienākuma un individuālo tiesību (2018. gada DAL 44., 45., 46., 47., 48., 49., 52. un 53. pants) un personas datu starptautiskās nosūtīšanas principu (2018. gada DAL 73., 75., 76., 77. un 78. pants) neievērošanu un b) 8 700 000 GBP citos gadījumos (175). Maksimālais soda naudas apmērs, ko var uzlikt ar soda paziņojumu saistībā ar informatīvā paziņojuma, novērtējuma paziņojuma vai izpildes paziņojuma neizpildi, ir 17 500 000 GBP.

(105) Saskaņā ar jaunākajiem gada pārskatiem (2018.–2019. (176), 2019.–2020. gads (177)) informācijas komisārs ir veicis vairākas izmeklēšanas saistībā ar personas datu apstrādi kriminālizmeklēšanas iestādēs. Piemēram, komisārs veica izmeklēšanu un 2019. gada oktobrī publicēja atzinumu par sejas atpazīšanas tehnoloģiju izmantošanu tiesībaizsardzības iestāžu vajadzībām publiskās vietās. Īpaša uzmanība izmeklēšanā tika pievērsta sejas atpazīšanas iespēju izmantošanai tiešraidē Dienvidvelsas policijā un Metropoles policijas dienestā (MPS). Turklāt komisārs izmeklēja MPS“bandu matricu” (178) un konstatēja virkni nopietnu datu aizsardzības tiesību aktu pārkāpumu, kas varēja mazināt sabiedrības uzticību matricai un datu izmantošanai.

(106) Informācijas komisārs 2018. gada novembrī izdeva izpildes paziņojumu, un MPS pēc tam veica nepieciešamos pasākumus, lai paaugstinātu drošību un pārskatatbildību un nodrošinātu, ka dati tiek izmantoti samērīgi.

(107) Vēl viens nesen veiktas izpildes darbības piemērs ir komisāra 2018. gada maijā piespriestais 325 000 GBP naudas sods valsts prokuratūrai par nešifrētu DVD nozaudēšanu, kuros bija policijas interviju ieraksti. Turklāt informācijas komisārs veica izmeklēšanu par plašākiem tematiem, piemēram, 2020. gada pirmajā pusgadā – par mobilo tālruņu izrakstu izmantošanu policijas darba vajadzībām un cietušo personu datu apstrādi policijā.

(108) Papildus minētajām informācijas komisāra izpildes pilnvarām daži datu aizsardzības tiesību aktu pārkāpumi ir noziedzīgi nodarījumi, tāpēc par tiem var piemērot kriminālsodus (2018. gada DAL 196. pants). Tas attiecas, piemēram, uz personas datu iegūšanu vai izpaušanu bez pārziņa piekrišanas un panākšanu, ka personas dati tiek izpausti citai personai bez pārziņa piekrišanas (179); informācijas, kas ir anonimizēti personas dati, atkārtotu identificēšanu, ja tai nav piekritis par personas datu anonimizēšanu atbildīgais pārzinis (180); komisāra pilnvaru īstenošanas apzinātu kavēšanu saistībā ar personas datu pārbaudi saskaņā ar starptautiskajām saistībām (181), nepatiesu ziņu sniegšanu, atbildot uz informatīvu paziņojumu, vai informācijas iznīcināšanu saistībā ar informatīviem un novērtējuma paziņojumiem (182).

(109) Saskaņā ar 2018. gada DAL 139. pantu informācijas komisāram ir arī pienākums sniegt katrai parlamenta palātai vispārēju pārskatu par likumā paredzēto funkciju izpildi (183).

2.5.2. Tiesu iestāžu pārraudzība

(110) Tiesu un tiesu iestāžu veiktās personas datu apstrādes pārraudzība ir divējāda. Ja tiesu iestādes amatpersona vai tiesa neīsteno tiesu varu, pārraudzību nodrošina informācijas komisārs. Ja pārzinis īsteno tiesu varu, IKB nevar īstenot pārraudzību (184), un pārraudzību veic īpašas struktūras. Tas atspoguļo Direktīvas (ES) 2016/680 32. pantā izmantoto pieeju.

(111) Konkrēti, otrajā scenārijā šādu pārraudzību pār Anglijas un Velsas tiesām un Anglijas un Velsas pirmā un augstākā līmeņa tribunāliem nodrošina Tiesu datu aizsardzības kolēģija (185). Turklāt lords augstais tiesnesis un tribunālu galvenais tiesnesis ir izdevuši Paziņojumu par privātumu (186), kurā izklāstīts, kā Anglijas un Velsas tiesas apstrādā personas datus tiesas funkciju veikšanai. Līdzīgu paziņojumu ir izdevušas Ziemeļīrijas (187) un Skotijas tiesu iestādes (188).

(112) Turklāt Ziemeļīrijas lords augstais tiesnesis ir iecēlis Augstās tiesas tiesnesi par datu uzraudzības tiesnesi (DUT) Ziemeļīrijā (189). Tas ir arī izdevis norādījumus Ziemeļīrijas tiesu iestādēm par to, kā rīkoties datu nozaudēšanas vai iespējamas nozaudēšanas gadījumā un kā risināt ar to saistītos jautājumus (190).

(113) Skotijā lords priekšsēdētājs ir iecēlis datu uzraudzības tiesnesi, kas izmeklē visas sūdzības datu aizsardzības jomā. Tas ir noteikts saskaņā ar tiesu iestāžu sūdzību izskatīšanas noteikumiem, kas atbilst Anglijā un Velsā spēkā esošajiem noteikumiem (191).

(114) Visbeidzot, Augstākajā tiesā datu aizsardzības pārraudzībai ir iecelts viens no Augstākās tiesas tiesnešiem.

2.5.3. Tiesiskās aizsardzības līdzekļi

(115) Lai nodrošinātu pietiekamu aizsardzību un jo īpaši individuālo tiesību īstenošanu, datu subjektam vajadzētu būt pieejamai efektīvai tiesību aizsardzībai administratīvā kārtā vai tiesā, tostarp kompensācijai par kaitējumu.

(116) Pirmkārt, datu subjektam ir tiesības iesniegt sūdzību informācijas komisāram, ja datu subjekts uzskata, ka saistībā ar viņa personas datiem ir pārkāpta 2018. gada DAL 3. daļa (192). Kā aprakstīts 100. un 109. apsvērumā, informācijas komisārs ir pilnvarots novērtēt pārziņa un apstrādātāja atbilstību 2018. gada DAL, neatbilstības gadījumā pieprasīt tiem veikt nepieciešamos pasākumus vai atturēties no to veikšanas un uzlikt naudas sodu.

(117) Otrkārt, 2018. gada DAL paredz tiesības uz tiesiskās aizsardzības līdzekli pret informācijas komisāru. Ja komisārs “nevirza” (193) datu subjekta iesniegto sūdzību, sūdzības iesniedzējam ir pieejami tiesiskās aizsardzības līdzekļi, jo viņš var vērsties pirmā līmeņa tribunālā (194), lai tas uzdotu komisāram veikt atbilstošus pasākumus sakarā ar sūdzību vai informēt sūdzības iesniedzēju par sūdzības virzību (195). Turklāt jebkura persona, kurai komisārs ir izdevis kādu no iepriekš minētajiem paziņojumiem (informatīvu, novērtējuma, izpildes vai soda paziņojumu), var to pārsūdzēt pirmā līmeņa tribunālā. Ja tribunāls uzskata, ka komisāra lēmums neatbilst tiesību aktiem vai ka informācijas komisāram vajadzēja citādi izmantot savu rīcības brīvību, tribunālam ir jāatļauj pārsūdzība vai jānosaka aizstājējs paziņojums vai lēmums, ko informācijas komisārs būtu varējis izdot vai pieņemt (196).

(118) Treškārt, personas var tieši panākt tiesisko aizsardzību pret pārziņiem un apstrādātājiem tiesā saskaņā ar 2018. gada DAL 167. pantu. Ja pēc datu subjekta pieteikuma tiesa ir pārliecinājusies, ka ir pārkāptas datu subjekta tiesības, ko paredz datu aizsardzības tiesību akti, tiesa var uzdot pārzinim, kas apstrādā datus, vai apstrādātājam, kas rīkojas minētā pārziņa vārdā, veikt rīkojumā noteiktos pasākumus vai atturēties no rīkojumā noteikto pasākumu veikšanas. Turklāt saskaņā ar 2018. gada DAL 169. pantu jebkura persona, kas cietusi kaitējumu datu aizsardzības tiesību aktu (tostarp 2018. gada DAL 3. daļas) prasību pārkāpuma dēļ, izņemot Apvienotās Karalistes VDAR, ir tiesīga saņemt no pārziņa vai apstrādātāja kompensāciju par šo kaitējumu, izņemot gadījumu, kad pārzinis vai apstrādātājs pierāda, ka tas nekādā veidā nav atbildīgs par notikumu, kas izraisījis kaitējumu. Kaitējums ietver gan finansiālus zaudējumus, gan kaitējumu, kas nav saistīts ar finansiāliem zaudējumiem, piemēram, spriedzi.

(119) Ceturtkārt, ja kāda persona uzskata, ka publiskās iestādes ir pārkāpušas tās tiesības, tostarp tiesības uz privātumu un datu aizsardzību, tā var saņemt kompensāciju Apvienotās Karalistes tiesās saskaņā ar 1998. gada Cilvēktiesību likumu. Pārziņi saskaņā ar 2018. gada DAL 3. daļu, proti, kompetentās iestādes, vienmēr ir publiskas iestādes 1998. gada Cilvēktiesību likuma nozīmē. Persona, kas apgalvo, ka publiska iestāde ir rīkojusies (vai plāno rīkoties) veidā, kas nav savienojams ar konvencijā paredzētajām tiesībām un līdz ar to ir prettiesisks saskaņā ar 1998. gada Cilvēktiesību likuma 6. panta 1. punktu, var celt prasību pret iestādi attiecīgajā tiesā vai tribunālā vai paļauties uz attiecīgajām tiesībām jebkurā tiesvedībā, ja attiecīgā persona ir (vai būtu) cietusi no nelikumīgas darbības (197).

(120) Ja tiesa konstatē, ka kāda publiskas iestādes darbība ir nelikumīga, tā var apmierināt šādu prasību vai atzīt tiesiskās aizsardzības līdzekli, vai savu pilnvaru ietvaros izdot rīkojumu, ko tā uzskata par taisnīgu un piemērotu (198). Tiesa var arī pasludināt primāra tiesību akta normu par nesaderīgu ar ECTK garantētajām tiesībām.

(121) Visbeidzot, pēc valsts tiesiskās aizsardzības līdzekļu izsmelšanas persona var saņemt kompensāciju, vēršoties Eiropas Cilvēktiesību tiesā par ECTK garantēto tiesību pārkāpumiem.

2.6. Tālāka apmaiņa

(122) Apvienotās Karalistes tiesību akti atļauj tiesībaizsardzības iestādei veikt datu apmaiņu ar citām iestādēm tādiem nolūkiem, kam tie sākotnēji netika vākti (t. s. “tālākā apmaiņa”), ievērojot konkrētus nosacījumus.

(123) Līdzīgi tam, kas paredzēts Direktīvas (ES) 2016/680 4. panta 2. punktā, 2018. gada DAL 36. panta 3. punktā ir atļauts (sākotnējam vai citam pārzinim) personas datus, ko kompetentā iestāde vāc tiesībaizsardzības nolūkā, turpmāk apstrādāt jebkuram citam tiesībaizsardzības nolūkam, ja pārzinis ar tiesību aktu ir pilnvarots apstrādāt datus citam nolūkam un apstrāde ir nepieciešama un samērīga (199). Šajā gadījumā visas garantijas, kas paredzētas 2018. gada DAL 3. daļā un analizētas iepriekš, attiecas uz saņēmējas iestādes veikto apstrādi.

(124) Apvienotās Karalistes tiesību sistēmā dažādi tiesību akti skaidri pieļauj tālāku apmaiņu. Konkrēti, i) 2017. gada Digitālās ekonomikas likums ļauj veikt apmaiņu starp publiskajām iestādēm vairākos nolūkos, piemēram, ja ir notikusi pret publisko sektoru vērsta krāpšana, kas publiskajai iestādei radītu zaudējumus vai to risku (200), vai ja pastāv parāds publiskajai iestādei vai valstij (201); ii) 2013. gada Noziedzības un tiesu likums ļauj apmainīties ar informāciju ar Valsts noziedzības apkarošanas aģentūru (VNAA) (202), lai apkarotu un izmeklētu smagu un organizētu noziedzību un sauktu pie atbildības par to; iii) 2007. gada Smago noziegumu likums ļauj publiskajām iestādēm izpaust informāciju krāpšanas apkarošanas organizācijām, lai novērstu krāpšanu (203).

(125) Ar šiem tiesību aktiem ir tieši paredzēts, ka informācijas apmaiņai ir jāatbilst 2018. gada DAL noteikumiem. Turklāt Policijas kolēģija ir izdevusi Atļauto profesionālo praksi informācijas apmaiņā (204), lai palīdzētu policijai ievērot tās datu aizsardzības pienākumus saskaņā ar Apvienotās Karalistes VDAR, DAL un 1998. gada Cilvēktiesību likumu. Informācijas apmaiņas atbilstību piemērojamajam datu aizsardzības tiesiskajam regulējumam, protams, var pārskatīt tiesā (205).

(126) Turklāt līdzīgi tam, ko paredz Direktīvas (ES) 2016/680 9. pants, 2018. gada DAL paredz, ka personas datus, kas ievākti jebkādā tiesībaizsardzības nolūkā, var apstrādāt ar tiesībaizsardzību nesaistītiem nolūkiem, ja apstrādi atļauj tiesību akti (206). Šis apmaiņas veids aptver divus scenārijus: 1) kriminālizmeklēšanas iestāde apmainās ar datiem ar tiesībaizsardzības iestādi, kas nav krimināltiesiska un izlūkošanas aģentūra (piemēram, finanšu vai nodokļu iestāde, konkurences iestāde, jauniešu sociālais dienests); 2) kriminālizmeklēšanas iestāde apmainās datiem ar izlūkošanas aģentūru. Pirmajā scenārijā personas datu apstrāde ietilps Apvienotās Karalistes VDAR, kā arī 2018. gada DAL 2. daļas darbības jomā. Kā norādīts lēmumā, kas pieņemts saskaņā ar Regulu (ES) 2016/679, Apvienotās Karalistes VDAR un 2018. gada DAL 2. daļā paredzētās garantijas nodrošina tādu aizsardzības līmeni, kurš pēc būtības ir līdzvērtīgs Savienībā nodrošinātajam aizsardzības līmenim (207).

(127) Otrajā scenārijā juridiskais pamats, kas atļauj kriminālizmeklēšanas iestādes savākto datu apmaiņu ar izlūkošanas aģentūru valsts drošības nolūkos, ir 2008. gada Pretterorisma likums (2008. gada PTL) (208). Saskaņā ar 2008. gada PTL ikviena persona var sniegt informāciju kādam no izlūkdienestiem, lai pildītu jebkuru no šā dienesta funkcijām, ieskaitot “valsts drošību”.

(128) Attiecībā uz nosacījumiem, saskaņā ar kuriem var veikt datu apmaiņu valsts drošības nolūkiem, Izlūkdienestu likums un Drošības dienestu likums ierobežo izlūkdienestu spēju iegūt datus līdz apjomam, kas ir nepieciešams, lai pildītu to likumā noteiktās funkcijas. Kompetentajām iestādēm, uz kurām attiecas 2018. gada DAL 3. daļa un kuras vēlas apmainīties ar datiem ar izlūkdienestiem, papildus minēto aģentūru obligātajām funkcijām, kas noteiktas Izlūkdienestu likumā un Drošības dienestu likumā (209), būs jāņem vērā vairāki faktori/ierobežojumi. 2008. gada PTL 20. pantā ir precizēts, ka datu apmaiņai saskaņā ar 2008. gada PTL 19. pantu tik un tā jāatbilst datu aizsardzības tiesību aktiem; tas nozīmē, ka piemēro visus 2018. gada DAL paredzētos ierobežojumus un prasības. Turklāt tiesībaizsardzības iestādes un izlūkdienesti ir publiskās iestādes 1998. gada Cilvēktiesību likuma nozīmē, un tādējādi šīm iestādēm jānodrošina, ka tās rīkojas saskaņā ar ECTK garantētajām tiesībām, tostarp tās 8. pantu. Vārdu sakot, šīs prasības nozīmē, ka visai datu apmaiņai starp tiesībaizsardzības iestādēm un izlūkdienestiem jāatbilst datu aizsardzības tiesību aktiem un ECTK.

(129) Valsts drošības nolūkos izlūkdienestu veiktajai tādu personas datu apstrādei, kas saņemti vai iegūti no tiesībaizsardzības iestādēm, piemēro vairākus nosacījumus un garantijas (210). 2018. gada DAL 4. daļu piemēro visu veidu apstrādei, ko veic izlūkdienesti vai kas tiek veikta to vārdā. Tajā ir noteikti galvenie datu aizsardzības principi (likumīgums, godprātība un pārredzamība (211); mērķa ierobežojums (212); datu minimizēšana (213); precizitāte (214); datu glabāšanas ierobežojumi (215) un drošība (216)), kā arī paredzēti nosacījumi īpašu kategoriju datu apstrādei (217), datu subjekta tiesības (218), prasība par datu integrētu aizsardzību (219) un reglamentēta personas datu starptautiska nosūtīšana (220).

(130) Tajā pašā laikā 2018. gada DAL 110. pantā ir paredzēts atbrīvojums no konkrētiem 2018. gada DAL 4. daļas noteikumiem, ja šāds atbrīvojums ir nepieciešams, lai aizsargātu valsts drošību. 2018. gada DAL 110. panta 2. punktā ir uzskaitīti noteikumi, kuriem ir atļauts piemērot atbrīvojumu. Tie ietver datu aizsardzības principus (izņemot likumīguma principu), datu subjekta tiesības, pienākumu informēt informācijas komisāru par datu aizsardzības pārkāpumu, informācijas komisāra pārbaudes pilnvaras saskaņā ar starptautiskajām saistībām, noteiktas informācijas komisāra izpildes pilnvaras, noteikumus, kas paredz, ka noteikti datu aizsardzības pārkāpumi ir krimināli sodāmi, un noteikumus, kas attiecas uz īpašiem apstrādes nolūkiem, piemēram, žurnālistikas, akadēmiskiem vai mākslas nolūkiem. Šo atbrīvojumu var izmantot, pamatojoties uz katra gadījuma atsevišķu analīzi (221). Kā paskaidrojušas Apvienotās Karalistes iestādes un kā apliecina Apvienotās Karalistes tiesu judikatūra, “a) pārzinim ir jāņem vērā faktiskās sekas attiecībā uz valsts drošību vai aizsardzību, ja tam bija jāievēro konkrētais datu aizsardzības noteikums un ja tas varēja saprātīgi ievērot parasto noteikumu, neietekmējot valsts drošību vai aizsardzību” (222). IKB pārrauga, vai atbrīvojums ir izmantots pareizi (223).

(131) Turklāt attiecībā uz iespēju valsts drošības aizsardzības nolūkā ierobežot kādas no iepriekš minētajām tiesībām 2018. gada DAL 79. pantā ir paredzēta iespēja, ka pārzinis var pieprasīt Ministru kabineta ministra vai ģenerālprokurora parakstītu apliecinājumu, ka šādu tiesību ierobežojums ir vai jebkurā laikā ir bijis nepieciešams un samērīgs pasākums valsts drošības aizsardzībai (224). Apvienotās Karalistes valdība ir izdevusi norādījumus par valsts drošības sertifikātiem saskaņā ar 2018. gada DAL, kuros īpaši uzsvērts, ka jebkādiem datu subjektu tiesību ierobežojumiem valsts drošības aizsardzības nolūkā jābūt samērīgiem un nepieciešamiem (225). Visi valsts drošības sertifikāti jāpublicē IKB tīmekļa vietnē (226).

(132) Sertifikātam jābūt izdotam uz laiku, kas nepārsniedz piecus gadus, un izpildvarai tas regulāri jāpārskata (227). Sertifikātā norāda personas datus vai personas datu kategorijas, kam piemēro atbrīvojumu, kā arī 2018. gada DAL noteikumus, uz kuriem attiecas atbrīvojums (228).

(133) Svarīgi ņemt vērā, ka valsts drošības sertifikāti nedod papildu pamatu datu aizsardzības tiesību ierobežošanai valsts drošības apsvērumu dēļ. Citiem vārdiem sakot, pārzinis vai apstrādātājs var paļauties uz sertifikātu tikai tad, ja tas ir secinājis, ka ir nepieciešams atsaukties uz atbrīvojumu sakarā ar valsts drošību, kas jāpiemēro katrā gadījumā atsevišķi. Pat tad, ja uz konkrēto jautājumu attiecas valsts drošības sertifikāts, IKB var izmeklēt, vai konkrētajā gadījumā paļaušanās uz atbrīvojumu sakarā ar valsts drošību ir bijusi pamatota (229).

(134) Jebkura persona, kuru tieši ietekmē sertifikāta izsniegšana, var pārsūdzēt sertifikātu (230) Augstākajā tribunālā (231) vai, ja sertifikātā dati identificēti ar vispārīgu aprakstu, apstrīdēt sertifikāta piemērošanu konkrētiem datiem (232).

(135) Tribunāls pārskata lēmumu izdot sertifikātu un lemj, vai sertifikāta izdošanai ir bijis pamatots iemesls (233). Tas var vērtēt dažādus jautājumus, tostarp nepieciešamību, samērīgumu un likumīgumu, ņemot vērā ietekmi uz datu subjektu tiesībām un līdzsvarojot tās ar nepieciešamību aizsargāt valsts drošību. Tādējādi tribunāls var noteikt, ka sertifikāts neattiecas uz konkrētiem personas datiem, kas ir pārsūdzības priekšmets (234).

(136) Atšķirīgs iespējamo ierobežojumu kopums saskaņā ar 2018. gada DAL 11. pielikumu attiecas uz dažiem 2018. gada DAL 4. daļas noteikumiem (235), ar ko aizsargā citus svarīgus vispārēju sabiedrības interešu vai aizsargātu interešu mērķus, piemēram, parlamentārās privilēģijas, advokāta un klienta saziņas konfidencialitāti, tiesvedības norisi vai bruņoto spēku kaujas efektivitāti. Atbrīvojumi šo noteikumu piemērošanā tiek paredzēti attiecībā uz noteiktām informācijas kategorijām (“balstīti uz kategoriju”) vai tiktāl, ciktāl šo noteikumu piemērošana varētu kaitēt aizsargātajām interesēm (“balstīti uz aizskārumu”) (236). Uz atbrīvojumiem, kas balstīti uz aizskārumu, var atsaukties tikai tiktāl, ciktāl norādītā datu aizsardzības noteikuma piemērošana varētu kaitēt konkrētajām interesēm. Tāpēc atbrīvojuma izmantošana vienmēr ir jāpamato, atsaucoties uz attiecīgo aizskārumu, kas varētu rasties konkrētajā gadījumā. Uz kategoriju balstītus atbrīvojumus var izmantot tikai attiecībā uz konkrētu, precīzi definētu informācijas kategoriju, kurai piešķirts atbrīvojums. To nolūks un sekas ir līdzīgi vairākiem Apvienotās Karalistes VDAR izņēmumiem (saskaņā ar 2018. gada DAL 2. pielikumu), kas savukārt atspoguļo VDAR 23. pantā paredzētos izņēmumus.

(137) No iepriekš minētā izriet, ka saskaņā ar piemērojamajām Apvienotās Karalistes tiesību normām, kā tās interpretē arī tiesas un Informācijas komisija, ir paredzēti nosacījumi, lai nodrošinātu, ka šie atbrīvojumi un ierobežojumi nepārsniedz tos, kas ir nepieciešami un samērīgi valsts drošības aizsardzībai.

(138) Personas datu apstrādi, ko veic izlūkdienesti saskaņā ar 2018. gada DAL 4. daļu, pārrauga informācijas komisārs (237).

(139) Informācijas komisāra vispārīgās funkcijas saistībā ar izlūkdienestu veikto personas datu apstrādi saskaņā ar 2018. gada DAL 4. daļu ir noteiktas 2018. gada DAL 13. pielikumā. Šie uzdevumi jo īpaši ietver, bet ne tikai, 2018. gada DAL 4. daļas uzraudzību un izpildes nodrošināšanu, sabiedrības informētības veicināšanu, ieteikumus parlamentam, valdībai un citām iestādēm par likumdošanas un administratīvajiem pasākumiem, pārziņu un apstrādātāju informētības veicināšanu par viņu pienākumiem, informācijas sniegšanu datu subjektam par datu subjekta tiesību īstenošanu un izmeklēšanas veikšanu.

(140) Attiecībā uz 2018. gada DAL 3. daļu komisāram ir pilnvaras paziņot pārziņiem par iespējamu pārkāpumu un izdot brīdinājumus, ka ar apstrādi, iespējams, pārkāpj noteikumus, un, ja pārkāpums ir apstiprinājies, izteikt rājienu. Tas var arī izdot izpildes un soda paziņojumus par konkrētu tiesību akta noteikumu pārkāpumiem (238). Tomēr atšķirībā no citām 2018. gada DAL daļām komisārs nevar izdot novērtējuma paziņojumu valsts drošības iestādei (239).

(141) Turklāt 2018. gada DAL 110. pantā ir paredzēts izņēmums attiecībā uz noteiktu komisāra pilnvaru izmantošanu, ja tas ir nepieciešams valsts drošības aizsardzības nolūkos. Tas ietver komisāra pilnvaras izdot (jebkādus) paziņojumus saskaņā ar DAL (informatīvos, novērtējuma, izpildes un soda paziņojumus), pilnvaras veikt pārbaudes saskaņā ar starptautiskajām saistībām, iekļūšanas un pārbaudes pilnvaras, kā arī noteikumus par nodarījumiem (240). Kā paskaidrots 136. apsvērumā, šie izņēmumi tiks piemēroti tikai tad, ja tie būs nepieciešami un samērīgi, un katrā gadījumā tos apsvērs atsevišķi. Šo izņēmumu piemērošanu var pārskatīt tiesā (241).

(142) IKB un Apvienotās Karalistes izlūkdienesti ir parakstījuši saprašanās memorandu (242), ar ko izveido sistēmu sadarbībai vairākos jautājumos, tostarp attiecībā uz paziņojumiem par datu aizsardzības pārkāpumiem un datu subjektu sūdzību izskatīšanu. Jo īpaši tajā paredzēts, ka, saņemot sūdzību, IKB novērtēs, vai pienācīgi izdarīta atsauce uz atbrīvojumu sakarā ar valsts drošību. Atbildes uz IKB pieprasījumiem, kas iesniegti saistībā ar individuālu sūdzību izskatīšanu par attiecīgajiem Apvienotās Karalistes valdības norādījumiem par valsts drošības sertifikātiem saskaņā ar Datu aizsardzības likumu, ir jāsniedz 20 darba dienu laikā, izmantojot atbilstošus drošus kanālus, ja ir iesaistīta klasificēta informācija. No 2018. gada aprīļa līdz šim brīdim IKB no fiziskām personām ir saņēmis 21 sūdzību par izlūkdienestiem. Katra sūdzība tika novērtēta, un datu subjektam tika paziņots tās rezultāts (243).

(143) Turklāt Izlūkošanas un drošības komiteja (IDK) īsteno parlamentāro pārraudzību pār datu apstrādi, ko veic izlūkošanas aģentūras. Šīs komitejas juridiskais pamats ir 2013. gada Tiesiskuma un drošības likums (2013. gada TDL) (244). Ar minēto likumu IDK ir izveidota kā Apvienotās Karalistes parlamenta komiteja. IDK sastāv no locekļiem, kas pieder pie kādas no parlamenta palātām un ko pēc apspriešanās ar opozīcijas līderi ieceļ premjerministrs (245). IDK ir jāsagatavo gada pārskats parlamentam par tās funkciju izpildi, kā arī citi ziņojumi, ko tā uzskata par lietderīgiem (246).

(144) Kopš 2013. gada IDK ir piešķirtas lielākas pilnvaras, tostarp drošības dienestu operatīvās darbības pārraudzība. Saskaņā ar 2013. gada TDL 2. pantu IDK uzdevums ir pārraudzīt valsts drošības dienestu izdevumus, pārvaldību, politiku un darbību. 2013. gada TDL paredz, ka IDK var veikt operatīvo jautājumu izmeklēšanu, ja tie nav saistīti ar tobrīd notiekošajām operācijām (247). Saprašanās memorandā, par kuru vienojās premjerministrs un IDK (248), ir sīki izklāstīti elementi, kas jāņem vērā, apsverot, vai darbība nav saistīta ar kādu notiekošu operāciju (249). Premjerministrs var arī lūgt IDK izmeklēt notiekošās operācijas, un tā var pārskatīt aģentūru brīvprātīgi sniegto informāciju.

(145) Saskaņā ar 2013. gada TDL 1. pielikumu IDK var lūgt jebkuram no trīs izlūkdienestiem, lai tā vadītājs sniedz jebkādu informāciju. Aģentūrai šāda informācija ir jādara pieejama, ja vien ministrs to neaptur ar veto (250). Apvienotās Karalistes iestādes paskaidroja, ka praksē IDK tiek atteikts sniegt ļoti maz informācijas (251).

(146) Attiecībā uz tiesisko aizsardzību, pirmkārt, saskaņā ar 2018. gada DAL 165. panta 2. punktu, ja datu subjekts uzskata, ka saistībā ar personas datiem, kas attiecas uz viņu, ir pārkāpta 2018. gada DAL 4. daļa, tostarp ļaunprātīgi izmantotas valsts drošības atkāpes un ierobežojumi, datu subjekts var iesniegt sūdzību IKB.

(147) Turklāt saskaņā ar 2018. gada DAL 4. daļu personām ir tiesības vērsties Augstajā tiesā (Skotijā – “Court of Session”), lai saņemtu rīkojumu, ar ko pārzinim uzdod ievērot tiesības piekļūt datiem (252), iebilst pret apstrādi (253) un labot vai dzēst datus.

(148) Personām ir tiesības arī pieprasīt kompensāciju par kaitējumu, kas nodarīts tādēļ, ka pārzinis vai apstrādātājs pārkāpis 2018. gada DAL 4. daļas prasības (254). Kaitējums ietver gan finansiālus zaudējumus, gan kaitējumu, kas nav saistīts ar finansiāliem zaudējumiem, piemēram, spriedzi (255).

(149) Visbeidzot, persona var iesniegt sūdzību Izmeklēšanas pilnvaru tribunālam par jebkādu Apvienotās Karalistes izlūkošanas aģentūru rīcību vai rīcību to vārdā (256). Izmeklēšanas pilnvaru tribunāls (IPT) ir izveidots ar 2000. gada Anglijas, Velsas un Ziemeļīrijas Izmeklēšanas pilnvaru regulēšanas likumu un 2000. gada Skotijas Izmeklēšanas pilnvaru regulēšanas likumu (2000. gada IPRL) un ir neatkarīgs no izpildvaras (257). Saskaņā ar 2000. gada IPRL 65. pantu IPT locekļus uz pieciem gadiem amatā ieceļ Viņas Majestāte.

(150) Tribunāla locekli no amata var atbrīvot Viņas Majestāte pēc abu parlamenta palātu (258) uzrunas (259).

(151) Lai iesniegtu prasību IPT (“prasības attiecībā uz tiesībām vērsties tribunālā”), saskaņā ar 2000. gada IPRL 65. pantu personai ir jābūt pārliecībai, ka i) ir notikusi izlūkdienesta rīcība attiecībā uz šo personu, jebkuru tās īpašumu, jebkuru veikto vai saņemto, vai paredzēto saziņu, vai to, ka tā ir izmantojusi jebkuru pasta pakalpojumu, telesakaru pakalpojumu vai telesakaru sistēmu (260), un ii) šī rīcība ir notikusi “apstrīdamos apstākļos” (261) vai “to ir veikuši izlūkdienesti vai tā ir notikusi viņu uzdevumā” (262). Tā kā jo īpaši šis “pārliecības” standarts ir interpretēts salīdzinoši plaši (263), prasības attiecībā uz tiesībām vērsties tribunālā ir relatīvi zemas.

(152) Ja tribunāls izskata tam iesniegtu sūdzību, tā pienākums ir izmeklēt, vai personas, par kurām sūdzībā ir izvirzīti kādi apgalvojumi, ir rīkojušās attiecībā uz sūdzības iesniedzēju, kā arī izmeklēt iestādi, kas, iespējams, varētu būt iesaistījusies pārkāpumos, un to, vai apgalvotā rīcība vispār ir notikusi (264). Ja tribunāls izskata kādu lietu, tam, pieņemot nolēmumu šajā lietā, ir jāpiemēro tie paši principi, kas tiktu piemēroti tiesai, izskatot pieteikumu par pārskatīšanu tiesā (265).

(153) Tribunālam ir jāinformē sūdzības iesniedzējs par to, vai ir pieņemts tam labvēlīgs lēmums vai nē (266). Saskaņā ar 2000. gada IPRL 67. panta 6. un 7. punktu tribunālam ir pilnvaras izdot pagaidu rīkojumus un paredzēt atlīdzināšanu vai izdot citu rīkojumu, ko tas uzskata par piemērotu (267). Saskaņā ar 2000. gada IPRL 67.A pantu tribunāla nolēmumu var pārsūdzēt, ja tribunāls vai attiecīgā apelācijas tiesa ir to atļāvusi.

(154) Konkrēti, personas var iesniegt prasību IPT – un saņemt kompensāciju –, ja tās uzskata, ka publiskā iestāde ir rīkojusies (vai plāno rīkoties) ar ECTK tiesībām, tostarp tiesībām uz privātumu un datu aizsardzību, nesaderīgā veidā, kas tādējādi ir prettiesisks saskaņā ar 1998. gada Cilvēktiesību likuma 6. panta 1. punktu. IPT ir atzīta ekskluzīva jurisdikcija attiecībā uz visām Cilvēktiesību likuma prasībām, kas saistītas ar izlūkošanas aģentūrām. Kā norādījusi Augstā tiesa, tas nozīmē, ka “jautājumu par to, vai saskaņā ar konkrētās lietas faktiem ir noticis Cilvēktiesību likuma pārkāpums, principā var izvirzīt un izskatīt neatkarīga tiesa, kurai ir pieejami visi attiecīgie materiāli, tostarp slepeni materiāli. (..) Šajā kontekstā mēs arī paturam prātā, ka tagad ir paredzēta iespēja pārsūdzēt IPT lēmumu attiecīgajā apelācijas tiesā (Anglijā un Velsā tā būtu Apelācijas tiesa) un ka Augstākā tiesa nesen nolēma, ka IPT principā ir pakļauts tiesas kontrolei: sk. R (Privacy International) v Investigatory Powers Tribunal (2019), UKSC 22; (2019) 2 WLR 1219” (268). Ja IPT konstatē, ka kāda publiskas iestādes darbība ir nelikumīga, tas var apmierināt šādu prasību vai atzīt tiesiskās aizsardzības līdzekli, vai savu pilnvaru ietvaros izdot rīkojumu, ko tas uzskata par taisnīgu un piemērotu (269).

(155) Pēc valsts tiesiskās aizsardzības līdzekļu izsmelšanas indivīds var saņemt kompensāciju, vēršoties Eiropas Cilvēktiesību tiesā par ECTK garantēto tiesību, tostarp tiesību uz privātumu un datu aizsardzību, pārkāpumiem.

(156) No iepriekš minētā izriet, ka saskaņā ar šo lēmumu nosūtīto datu apmaiņu, ko veic Apvienotās Karalistes kriminālizmeklēšanas iestādes ar citām publiskajām iestādēm, tostarp izlūkošanas aģentūrām, reglamentē ierobežojumi un nosacījumi, kas nodrošina, ka šāda tālāka apmaiņa būs nepieciešama un samērīga un ka uz to attieksies īpašas datu aizsardzības garantijas saskaņā ar 2018. gada DAL. Turklāt datu apstrādi, ko veic attiecīgās publiskās iestādes, pārrauga neatkarīgas struktūras, un skartajām personām ir pieejami efektīvi tiesiskās aizsardzības līdzekļi.

3. SECINĀJUMS

(157) Komisija uzskata, ka 2018. gada DAL 3. daļa attiecībā uz personas datiem, kurus krimināltiesību aktu piemērošanas nolūkā Savienības kompetentās iestādes nosūta Apvienotās Karalistes kompetentajām iestādēm, nodrošina personas datu aizsardzības līmeni, kurš pēc būtības ir līdzvērtīgs Direktīvā (ES) 2016/680 garantētajam līmenim.

(158) Komisija arī uzskata, ka kopumā pārraudzības mehānismi un tiesiskās aizsardzības līdzekļi, kas paredzēti Apvienotās Karalistes tiesību aktos, ļauj apzināt pārkāpumus un piemērot praksē attiecīgus sodus, kā arī sniedz datu subjektam tiesisko aizsardzību, ļaujot piekļūt viņa personas datiem un galu galā – labot vai dzēst šādus datus.

(159) Visbeidzot, pamatojoti