par personas datu pārsūtīšanu no ES uz Amerikas Savienotajām Valstīm saskaņā ar Direktīvu 95/46/EK, izpildot Tiesas spriedumu lietā C-362/14 (Schrems)

Tiesas spriedumā ir izmantots Komisijas 2013. gada paziņojums par “drošības zonas” darbību no ES pilsoņu un uzņēmumu, kas veic uzņēmējdarbību ES, viedokļa, kur Komisija norādīja vairākas nepilnības un izstrādāja 13 ieteikumus. Ņemot vērā šos ieteikumus, Komisija no 2014. gada janvāra rīkoja pārrunas ar ASV iestādēm, lai ieviestu atjauninātu un stingrāku transatlantiskās datu apmaiņas kārtību.

Tiesa savā 2015. gada 6. oktobra spriedumā paziņoja, ka Lēmums par drošības zonu nav spēkā. Tādēļ šā paziņojuma mērķis ir sniegt pārskatu par alternatīviem risinājumiem transatlantiskai datu pārsūtīšanai saskaņā ar Direktīvu 95/46/EK gadījumos, kad nav lēmuma par atbilstību. Tajā ir arī īsumā aprakstīta sprieduma ietekme uz citiem Komisijas lēmumiem par atbilstību. Minētajā spriedumā Tiesa paskaidroja, ka attiecībā uz Direktīvas 95/46/EK 25. panta 6. punktā paredzēto lēmumu jāievēro prasība, ka Komisija ir konstatējusi — attiecīgajā trešā valstī personas datu aizsardzības līmenis “būtībā ir līdzvērtīgs” līmenim, kāds ES ir nodrošināts ar Direktīvu, skatot to kopsakarā ar Pamattiesību hartu. Attiecībā uz Lēmumu par drošības zonu Tiesa sprieda, ka Komisija tajā nav izdarījusi pietiekamus slēdzienus par ierobežojumiem ASV valsts iestāžu piekļuvei datiem, kas pārsūtīti saskaņā ar šo lēmumu, un par efektīvu tiesisko aizsardzību pret šāda veida iejaukšanos. Proti, Tiesa paskaidroja, ka tiesiskais regulējums, saskaņā ar kuru valsts iestādēm vispārīgi tiek ļauts piekļūt elektronisko komunikāciju saturam, jāuzskata par tādu, kas apdraud pašu pamattiesību uz privātās dzīves neaizskaramību būtību. Turklāt Tiesa apstiprināja — lai gan saskaņā ar Direktīvas 95/46/EK 25. panta 6. punktu ir pieņemts Lēmums par atbilstību, dalībvalstu datu aizsardzības iestādes (DAI) joprojām ir pilnvarotas pārbaudīt un tām ir pilnīgi neatkarīgi jāpārbauda, vai datu pārsūtīšana uz trešo valsti atbilst prasībām, kas noteiktas Direktīvā 95/46/EK, skatot to kopsakarā ar Pamattiesību hartas 7., 8. un 47. pantu. Tomēr Tiesa arī apstiprināja, ka tikai Tiesa var konstatēt ES tiesību akta, kāds ir Komisijas lēmums par atbilstību, spēkā neesību.

Lai atvieglinātu šīs datu plūsmas, vienlaikus nodrošinot augstu personas datu aizsardzības līmeni, Komisija atzina drošības zonas sistēmas piemērotību, 2000. gada 20. jūlijā pieņemot Komisijas lēmumu 2000/520/EK (turpmāk tekstā — “Lēmums par drošības zonu”). Šajā lēmumā, pamatojoties uz Direktīvas 95/46/EK 25. panta 6. punktu, Komisija atzina, ka privātuma drošības zonas principi un attiecīgie visbiežāk uzdotie jautājumi, kurus izdevusi Amerikas Savienoto Valstu Tirdzniecības ministrija, nodrošina pienācīgu aizsardzību personas datu nosūtīšanai no ES. Tāpēc, lai gan Amerikas Savienotajās Valstīs nav vispārēja datu aizsardzības likuma, personas datus var brīvi pārsūtīt no ES dalībvalstīm uz ASV uzņēmumiem, kas apņēmušies ievērot minētos principus. Drošības zonas noteikumu darbības pamatā ir iesaistīto uzņēmumu apņemšanās tos ievērot un pašsertifikācija. Lai gan apņemšanās ievērot privātuma drošības zonas principus un visbiežāk uzdotos jautājumus ir brīvprātīga, saskaņā ar ASV tiesību aktiem šie noteikumi ir saistoši tām struktūrām, kuras ir apņēmušās tos ievērot, un tos īsteno ASV Federālā tirdzniecības komisija.

par personas datu pārsūtīšanu no ES uz Amerikas Savienotajām Valstīm saskaņā ar Direktīvu 95/46/EK, izpildot Tiesas spriedumu lietā C-362/14 (Schrems)

29. panta darba grupa paziņoja — ja līdz 2016. gada janvāra beigām kopā ar ASV iestādēm nebūs rasts piemērots risinājums un atkarībā no datu pārsūtīšanai izmantotajiem alternatīvajiem risinājumiem, DAI veiks visus vajadzīgos un piemērotos pasākumus, tostarp saskaņotu izpildes pasākumu.

Visbeidzot, 29. panta darba grupa uzsvēra, ka DAI, ES iestādēm, dalībvalstīm un uzņēmumiem ir kopīgs pienākums rast ilgtspējīgus risinājumus, lai īstenotu Tiesas spriedumu. Jo īpaši darba grupa mudināja uzņēmumus apsvērt iespēju ieviest juridiskus un tehniskus risinājumus, lai mazinātu iespējamos riskus, kas viņiem varētu rasties, pārsūtot datus.

Šis paziņojums neskar DAI pilnvaras un pienākumu pilnīgi neatkarīgi pārbaudīt šādas pārsūtīšanas likumību. Tajā nav paredzēti saistoši noteikumi un ir pilnībā ievērotas valstu tiesu pilnvaras interpretēt piemērojamos tiesību aktus un vajadzības gadījumā lūgt Tiesu sniegt prejudiciālu nolēmumu. Šo paziņojumu nevar izmantot par pamatojumu individuālām vai kolektīvām juridiskām tiesībām vai prasībām.

2. Alternatīvs pamatojums personas datu pārsūtīšanai uz ASV

Direktīvā 95/46/EK paredzēto Starptautiskās datu pārsūtīšanas noteikumu pamatā ir skaidri nošķirta, no vienas puses, datu pārsūtīšana uz trešām valstīm, kuras nodrošina pietiekamu aizsardzības līmeni (Direktīvas 25. pants), un, no otras puses, datu pārsūtīšana uz trešām valstīm, kuras nenodrošina pietiekamu aizsardzības līmeni (Direktīvas 26. pants).

Spriedumā Schrems lietā aplūkoti nosacījumi, kurus piemērojot, saskaņā ar Direktīvas 95/46/EK 25. panta 6. punktu Komisija var noteikt, vai trešā valsts nodrošina pietiekamu aizsardzības līmeni.

Gadījumos, kad tiek konstatēts, ka trešā valsts, uz kuru no ES jāpārsūta personas dati, nenodrošina šādu pietiekamu aizsardzības līmeni, Direktīvas 95/46/EK 26. pantā ir noteikti vairāki alternatīvi pamatojumi, balstoties uz kuriem datu pārsūtīšanu tomēr varētu veikt. Proti, datu pārsūtīšanu var veikt, ja struktūra, kas atbild par personas datu apstrādes nolūkiem un līdzekļiem (“datu apstrādātājs”):

sniedz atbilstošas garantijas Direktīvas 95/46/EK 26. panta 2. punkta nozīmē attiecībā uz personu privātās dzīves un pamattiesību un brīvību aizsardzību un attiecībā uz atbilstošo tiesību izmantošanu. Šādas garantijas jo īpaši var sniegt, izmantojot datu nosūtītājam un saņēmējam saistošus līguma punktus (sk. 2.1. un 2.2. sadaļu turpmāk). Tie ietver līguma standartklauzulas, ko izdevusi Komisija, un — attiecībā uz datu pārsūtīšanu starp dažādām starptautisku uzņēmumu grupas struktūrām — saistošos uzņēmuma noteikumus, ko apstiprinājušas DAI; vai

izmanto kādu no atkāpēm, kas precīzi uzskaitītas Direktīvas 95/46/EK 26. panta 1. punkta a) līdz f) apakšpunktā (sk. 2.3. sadaļu turpmāk).

Salīdzinot ar lēmumiem par atbilstību, kurus pieņem pēc attiecīgās trešās valsts sistēmas vispārēja novērtējuma un kuri faktiski var aptvert visus datu pārsūtīšanas gadījumus uz šo sistēmu, šiem abiem alternatīvajiem datu pārsūtīšanas pamatojumiem var būt ierobežota piemērošanas joma (jo tos piemēro tikai konkrētām datu plūsmām) un plašāks aptvērums (jo tie ne vienmēr ir piesaistīti konkrētai valstij). Šos risinājumus piemēro datu plūsmām, ko veic konkrētas struktūras, kuras nolēmušas izmantot vienu no Direktīvas 95/46/EK 26. pantā piedāvātajām iespējām. Turklāt datu nosūtītājiem un saņēmējiem, kas savu datu pārsūtīšanu pamato ar minētajiem pamatojumiem un tāpēc nevar paļauties uz trešās valsts atbilstību, kas noteikta Komisijas lēmumā, jānodrošina datu pārsūtīšanas atbilstība Direktīvas prasībām.

2.1. Līgumiski risinājumi

Kā uzsvērusi 29. panta darba grupa, lai nodrošinātu pietiekamas garantijas atbilstīgi Direktīvas 95/46/EK 26. panta 2. punktam, līguma punktiem “pietiekamā mērā jākompensē neesošas pietiekamās aizsardzības vispārējais līmenis, iekļaujot būtiskos aizsardzības elementus, kuru trūkst katrā konkrētajā situācijā”. Lai atvieglotu šādu instrumentu izmantošanu attiecībā uz datu starptautisku pārsūtīšanu, Komisija saskaņā ar Direktīvas 26. panta 4. punktu ir apstiprinājusi četrus līguma standartklauzulu kopumus, kas atzīti par atbilstīgiem Direktīvas 26. panta 2. punkta prasībām. Divi līguma standartklauzulu kopumi attiecas uz datu pārsūtīšanu starp personas datu apstrādātājiem, savukārt otri divi līguma standartklauzulu kopumi attiecas uz datu pārsūtīšanu starp datu apstrādātāju un apstrādātāju, kas darbojas saskaņā ar personas datu apstrādātāja norādījumiem. Abos šo līguma standartklauzulu kopumos ir noteikti datu nosūtītāja un datu saņēmēja attiecīgie pienākumi. Šie pienākumi cita starpā ietver drošības pasākumus, datu subjekta informēšanu slepenu datu pārsūtīšanas gadījumā, paziņošanu datu nosūtītājam par trešās valsts tiesībaizsardzības iestāžu iesniegtu piekļuves pieprasījumu vai par nejaušu vai neatļautu piekļuvi, datu subjektu tiesības piekļūt saviem personas datiem, tos labot un dzēst, kā arī noteikumus par kompensāciju datu subjektam gadījumos, kad radīti zaudējumi, vienai no pusēm pārkāpjot līguma standartklauzulas. Līguma standartklauzulās paredzēta arī prasība nodrošināt ES datu subjektiem iespēju vērsties DAI un/vai datu nosūtītāja reģistrācijas dalībvalsts tiesā, lai īstenotu savas ieinteresētās trešās personas tiesības, kas izriet no līguma punktiem. Šīs tiesības un pienākumi jāiekļauj līguma punktos, jo atšķirībā no situācijas, kad Komisija ir konstatējusi atbilstību, šajā gadījumā nav iespējams uzskatīt, ka datu saņēmējam trešā valstī piemēro atbilstošu sistēmu datu aizsardzības noteikumu uzraudzībai un izpildei.

Tā kā Komisijas lēmumi dalībvalstīm pilnībā ir saistoši, līguma standartklauzulu iekļaušana līgumā nozīmē, ka valsts iestādēm faktiski jāatzīst šīs klauzulas. Tādējādi tās nevar atteikties pārsūtīt datus uz trešo valsti tikai tāpēc, ka šīs līguma standartklauzulas nenodrošina pietiekamas garantijas. Tas neskar šo iestāžu tiesības pārbaudīt šīs klauzulas, ņemot vērā prasības, ko Tiesa noteikusi spriedumā Schrems lietā. Šaubu gadījumā tās var ierosināt tiesvedību valsts tiesā, kas savukārt var lūgt Tiesu sniegt prejudiciālu nolēmumu. Lai gan vairākuma dalībvalstu tiesību aktos, kuros transponēta Direktīva 95/45/EK, nav prasības par iepriekšēju valsts atļauju datu pārsūtīšanai, dažas dalībvalstis ir saglabājušas sistēmu līguma standartklauzulu paziņošanai un/vai to izmantošanas iepriekšējai apstiprināšanai. Valstīs, kurās ir šāda prasība, valstu DAI jāsalīdzina konkrētā līguma faktiskie punkti ar līguma standartklauzulām un jāpārbauda, vai nav veiktas izmaiņas. Ja punkti nav grozīti, atļauja parasti tiek piešķirta automātiski. Kā paskaidrots turpmāk (sk. 2.4. sadaļu), šāda prasība neskar papildu pasākumus, kas datu nosūtītājam būtu jāveic, jo īpaši attiecībā uz informāciju, kas saņemta no datu saņēmēja par trešās valsts tiesību sistēmas izmaiņām, kas varētu liegt datu saņēmējam pildīt savus līgumā noteiktos pienākumus. Piemērojot līguma standartklauzulas, gan datu nosūtītājus, gan datu saņēmējus uzrauga datu aizsardzības iestādes.

Līguma standartklauzulu pieņemšana neliedz uzņēmumiem izmantot citus instrumentus, piemēram, konkrētajam gadījumam izstrādātas līgumsaistības, lai pierādītu, ka to veiktajai datu pārsūtīšanai ir pietiekamas garantijas Direktīvas 95/46/EK 26. panta 2. punkta nozīmē. Saskaņā ar Direktīvas 26. panta 2. punktu šīs garantijas apstiprina valsts iestādes, izskatot katru konkrēto gadījumu. Dažas datu aizsardzības iestādes šajā jomā ir izstrādājušas norādījumus, tostarp kā standartizētus līgumus vai sīki izstrādātus noteikumus, kas jāievēro, sagatavojot līguma punktus par datu pārsūtīšanu. Tomēr vairākums līgumu, kurus šobrīd uzņēmumi izmanto, lai veiktu savu datu pārsūtīšanu starptautiskajā mērogā, ir pamatoti ar Komisijas apstiprinātajām līguma standartklauzulām.

2.2. Datu pārsūtīšana uzņēmumu grupā