Vairumā dzīves situāciju datu kopa veidojas gan no persondatiem, gan no nepersondatiem. Tādu bieži dēvē par „jauktu datu kopu”. Tālāk 2.2. iedaļā skaidrota Nepersondatu brīvas plūsmas regulas un Vispārīgās datu aizsardzības regulas mijdarbība, kas skar jauktas datu kopas.

Šie norādījumi atbilst Nepersondatu brīvas plūsmas regulas 8. panta 3. punktam, kas liek Komisijai publicēt "informatīvas pamatnostādnes" par minētās regulas un Vispārīgās datu aizsardzības regulas mijdarbību, sevišķi "attiecībā uz datu kopām, kas sastāv gan no persondatiem, gan no nepersondatiem".

·Ar vispārīgu normu tā aizliedz dalībvalstīm izvirzīt prasības par to, kur datiem jāatrodas. Izņēmumus no šās normas var balstīt tikai uz sabiedriskās drošības apsvērumiem, ievērojot proporcionalitātes principu.

Nepersondatu brīvas plūsmas regula dod juridisku noteiktību uzņēmumiem, kuri apstrādā savus datus pašu izraudzītā Eiropas Savienības vietā, vieš lielāku uzticēšanos datu apstrādes pakalpojumu sniedzējiem un apkaro praksi pircēju padarīt atkarīgu no viena pārdevēja. Tā ES paplašināsies klientu izvēle, uzlabosies efektivitāte un tiks sekmēta mākoņdatošanas tehnoloģiju ieviešana, kas ļaus uzņēmumiem ievērojami ietaupīt. Ir pētījums, kas liecina: pārejot uz mākoņdatošanu, uzņēmumi ES var ietaupīt 20–50 % IT izmaksu.

"Tādu datu kopu gadījumā, kas sastāv gan no persondatiem, gan no nepersondatiem, šo regulu piemēro datu kopas nepersondatu daļai. Ja persondati un nepersondati datu kopā ir nedalāmi saistīti, šī regula neskar Regulas (ES) 2016/679 piemērošanu."

·uzņēmuma zināšanu datubāze par IT problēmām un to risinājumiem, kas balstīta uz individuāliem ziņojumiem par IT starpgadījumiem;

Jauktā datu kopā var ietilpt dati par veselību. Piemēri: pacienta elektroniskā medicīniskā karte, klīniskie izmēģinājumi vai datu kopas, ko vāc dažādas mobilās lietotnes veselības aprūpei un labsajūtai (piemēram, veselības novērtēšanai, atgādinājumam ieņemt zāles vai sekot savai fiziskajai sagatavotībai). Robeža starp persondatiem un nepersondatiem šajās datu kopās kļūst aizvien neskaidrāka, ņemot vērā tehnoloģijas attīstību. Tāpēc to apstrādei jāatbilst Vispārīgajai datu aizsardzības regulai, sevišķi (ņemot vērā, ka saskaņā ar regulu medicīniskie dati ir īpaša datu kategorija) 9. pantam, kas nosaka vispārēju aizliegumu apstrādāt atsevišķu kategoriju datus un izņēmumus no šā aizlieguma.

Jēdziens “nedalāms” nevienā no abām regulām nav definēts. Praktiskām vajadzībām tas var norādīt uz situāciju, kad datu kopa satur persondatus, kā arī nepersonizētus datus, un to nodalīšana pārzinim nebūtu iespējama vai tas to uzskatītu par ekonomiski neefektīvu vai tehniski neiespējamu. Piemēram, iegādājoties CRM un pārdošanas pārskatu sistēmas, uzņēmumam nāktos divkāršot savas programmatūras izmaksas, iegādājoties atsevišķu programmatūru CRM (personas datiem) un pārdošanas pārskatu sistēmām (apkopotiem datiem / nepersondatiem), kas balstās uz CRM datiem.

Valsts tiesību norma prasa, lai algu sarakstu pārskati atrodas konkrētā dalībvalstī ar regulatīvo kontroli saistītu iemeslu dēļ, piemēram, valsts nodokļu dienesta vajadzībām. Tādas normu Vispārīgās datu aizsardzības regulas 1. panta 3. punkts neaptver, jo to pamats nav persondatu aizsardzība. Taču tāda prasība jāvērtē atbilstīgi pamatbrīvību normām un Līgumā par Eiropas Savienības darbību atļautajam pamatam izņēmumiem no šīm brīvībām.

Ja datu teritoriālās ierobežošanas prasības dalībvalsts uzliek persondatiem tādu iemeslu dēļ, kas nav persondatu aizsardzība, ir jāizsver to atbilstība pamatbrīvību normām un Līgumā par Eiropas Savienības darbību atļautajam pamatam izņēmumiem no šīm brīvībām,, un attiecīgiem ES aktiem, kā Pakalpojumu direktīva un E-komercijas direktīva.

Viens no Nepersondatu brīvas plūsmas regulas mērķiem ir novērst iestigšanu pie viena vienīga pārdevēja. Tā notiek, kad lietotāji nevar nomainīt pakalpojuma sniedzēju tāpēc, ka viņu dati ir iestiguši pakalpojumu sniedzēja sistēmā, piemēram, īpaša formāta vai līguma noteikumu dēļ, un tos nevar dabūt ārā no pārdevēja IT sistēmas. Datu pārnešana bez traucēkļiem ir svarīga, lai lietotāji varētu brīvi izvēlēties datu apstrādes pakalpojumu sniedzējus un tirgū tiktu nodrošināta efektīva konkurence.

·Sīks Eiropas jaunuzņēmums no dalībvalsts A nolemj paplašināties, iedibinot uzņēmumu dalībvalstī B. Lai minimalizētu izmaksas, tas nolemj jaunizveidotā uzņēmuma datus centralizēti glabāt un apstrādāt savā serverī, kas atrodas dalībvalstī A. Tādu IT centralizēšanu dalībvalstis nedrīkst aizliegt, izņemot gadījumu, kad aizliegumu pamato ar sabiedrisko drošību, ievērojot proporcionalitātes principu.

Mākoņpakalpojumu tirgū Komisija ir sākusi atvieglot darbu digitālā vienotā tirgus (DVT) mākoņdatošanas ieinteresēto personu darba grupām, kas apvieno mākoņdatošanas ekspertus un profesionālos lietotājus, to vidū mazos un vidējos uzņēmumus. Patlaban viena apakšgrupa izstrādā pašregulējošus rīcības kodeksus datu pārnešanai un pakalpojumu sniedzēju maiņai (darba grupa SWIPO) un cita apakšgrupa taisās izstrādāt mākoņdatošanas drošības sertifikāciju (darba grupa CSCTERT).

SWIPO izstrādā rīcības kodeksus, kas aptver visu mākoņdatošanas pakalpojumu spektru: programmatūru kā pakalpojumu (SaaS), platformu kā pakalpojumu (PaaS) un infrastruktūru kā pakalpojumu (IaaS).

Komisija cer sagaidīt, ka dažādos rīcības kodeksus papildinās līgumu standartklauzulas. Tas ļaus praktiski īstenot un piemērot tehniski un juridiski specifiskus rīcības kodeksus, kas būs īpaši svarīgi mazajiem un vidējiem uzņēmumiem. Līgumu standartklauzulu izstrāde tiek plānota pēc rīcības kodeksu izstrādes (kas jāpaveic līdz 2019. gada 29. novembrim).

Saskaņā ar Nepersondatu brīvas plūsmas regulas 8. pantu Komisija līdz 2022. gada 29. novembrim izvērtēs regulas īstenošanu. Tad būs iespējams novērtēt: i) ietekmi uz datu brīvu plūsmu Eiropā; ii) regulas piemērošanu, sevišķi – jauktām datu kopām; iii) kādā mērā dalībvalstis būs faktiski atcēlušas spēkā esošos nepamatotos teritoriālos ierobežojumus; iv) datu pārnešanas un mākoņpakalpojumu sniedzēju maiņas rīcības kodeksu ietekmi uz tirgu.

Pārnesamības jēgums un mijdarbība ar Vispārīgo datu aizsardzības regulu

Abas regulas attiecas uz datu pārnesamību un mērķi atvieglināt datu pārnesi no vienas IT vides uz otru, t. i., vai nu cita pakalpojuma sniedzēja sistēmā, vai objekta vietējā sistēmā. Tas novērš atkarību no viena pārdevēja un veicina pakalpojumu sniedzēju konkurenci. Tomēr regulās atšķiras pieeja pārnesamībai tādā plāksnē kā attiecības starp interešu mērķgrupām un noteikumu juridiskā daba.

Vispārīgās datu aizsardzības regulas 20. panta noteiktās tiesības uz persondatu pārnesamību galvenokārt vērstas uz attiecībām starp datu subjektu un datu pārzini. Tās attiecas uz datu subjekta tiesībām persondatus, kurus tas nodevis pārzinim, saņemt strukturētā, plaši izmantotā un mašīnlasāmā formā un pārvest tos pie cita pārziņa vai pašam savā glabāšanas iekārtā tā, ka to nekavē pārzinis, kuram personas dati bijuši nodoti. Parastākie datu subjekti tādās attiecībās ir dažādu tiešsaistes pakalpojumu patērētāji, kuri vēlas mainīt pakalpojumu sniedzēju.

Nepersondatu brīvas plūsmas regulas 6. pants profesionālajiem lietotājiem neparedz tiesības pārnest datus, bet izmanto nozares pašregulēšanu ar brīvprātīgas rīcības kodeksiem. Tajā pašā laikā tas vērsts uz situāciju, kad profesionāls lietotājs datu apstrādi uzticējis ārpakalpojumu sniedzējam, kas ir treša persona, kura piedāvā datu apstrādes pakalpojumu.Saskaņā ar Nepersondatu brīvas plūsmas regulas 3. panta 8. punktu starp “profesionāliem lietotājiem” var būt fiziskas vai juridiskas personas, "tostarp publiska iestāde vai publisko tiesību subjekts, kas izmanto vai pieprasa datu apstrādes pakalpojumu savām ar tirdzniecību, uzņēmējdarbību, arodu, profesiju vai uzdevumu saistītām vajadzībām”.

Nepersondatu brīvas plūsmas regulas 6. pantā noteiktā pārnesamība praksē attiecas uz profesionāla lietotāja (kas gadījumos, kas ietver persondatu apstrādi, saskaņā ar Vispārīgo datu aizsardzības regulu tiek kvalificēts kā “pārzinis”) un pakalpojumu sniedzēja (dažos gadījumos tiek kvalificēts kā “apstrādātājs”) mijdarbību.

Neraugoties uz atšķirībām, var rasties situācijas, kad datu pārnešanu aptver gan Nepersondatu brīvas plūsmas regula, gan – attiecībā uz jauktām datu kopām – Vispārīgā datu aizsardzības regula.

Piemērs Uzņēmums, kas izmanto mākoņpakalpojumu, nolemj pāriet pie cita pakalpojumu sniedzēja un pārnest pie tā visus datus. Pakalpojumu sniedzēja maiņa un datu pārnešana ir ietverta klienta un mākoņpakalpojuma sniedzēja līgumā. Ja vecais mākoņpakalpojumu sniedzējs ievēro rīcības kodeksus, kas izstrādāti saskaņā ar Nepersondatu brīvas plūsmas regulu, datu pārnešanai jānotiek saskaņā ar tajā noteiktajām prasībām. Ja persondati ietilpst arī pārnesamajās datu kopās, pārnešanai jāatbilst visiem attiecīgajiem Vispārīgās datu aizsardzības regulas noteikumiem, it īpaši – nodrošinot, ka jaunais mākoņpakalpojumu sniedzējs atbilst piemērojamajām prasībām, piemēram, drošības prasībām. Piemērs Banka nolemj mainīt klientu attiecību pārvaldības (CRM) pakalpojumu sniedzēju, un kādi dati (persondati un nepersondati) ir jāpārceļ no vecā pakalpojumu sniedzēja pie jaunā. Tad uz šiem datiem attiecas atšķirīgas regulatīvās prasības, no kurām vienas izriet no Vispārīgās datu aizsardzības regulas, otras – no Nepersondatu brīvas plūsmas regulas.

4.2. Persondatu aizsardzības rīcības kodeksi un sertifikācijas shēmas

Lai pierādītu Vispārīgajā datu aizsardzības regulā (sk. 24. panta 3. punktu un 28. panta 5. punktu) noteikto pienākumu izpildi, var izmantot rīcības kodeksus un sertifikācijas shēmas.

Saskaņā ar Vispārīgās datu aizsardzības regulas 40. panta 1. punktu un 42. panta 1. punktu dalībvalstīm, uzraudzības iestādēm, Eiropas Datu aizsardzības kolēģijai un Komisijai jāmudina nozare izstrādāt rīcības kodeksus un veidot datu aizsardzības sertifikācijas mehānismus.

Apvienības vai citas struktūras, kas pārstāv kādu pārziņu vai apstrādātāju kategoriju, var sagatavot rīcības kodeksu attiecīgajai nozarei. Kodeksa projekts iesniedzams apstiprināšanai attiecīgajā kompetentajā uzraudzības iestādē. Ja rīcības kodeksa projekts attiecas uz apstrādes darbībām vairākās dalībvalstīs, uzraudzības iestādei tas pirms apstiprināšanas jāiesniedz Eiropas Datu aizsardzības kolēģijai. Tad kolēģija sniedz atzinumu par to, vai kodeksa projekts atbilst Vispārīgajai datu aizsardzības regulai.