Regulā vēl arvien ir īstenota Datu aizsardzības direktīvas pieeja, taču datu aizsardzības noteikumi ir precizēti un modernizēti, balstoties uz 20 gadu pieredzi ES datu aizsardzības regulējuma jomā un attiecīgo judikatūru; ar to tiek ieviesti vairāki jauni elementi, kas stiprina fizisko personu tiesību aizsardzību un paver iespējas uzņēmumiem, proti:

Pēdējos divos gados visas ieinteresētās personas — no valstu pārvaldēm un valsts datu aizsardzības iestādēm līdz datu pārziņiem un apstrādātājiem — ir iesaistījušās vairākās aktivitātēs ar mērķi nodrošināt, ka tiek izprasta jaunā datu aizsardzības regulējuma izmaiņu nozīme un apmērs un ka visi dalībnieki ir gatavi tā piemērošanai. Tā kā noteiktais termiņš — 25. maijs — tuvojas, Komisija uzskata, ka šis darbs ir kritiski jānovērtē un ir jāapsver, kādi turpmāki pasākumi varētu būt lietderīgi, lai garantētu, ka ir nodrošināti visi elementi, lai sekmīgi sāktu piemērot jauno regulējumu.

2016. gada 6. aprīlī ES vienojās veikt būtisku datu aizsardzības sistēmas reformu, pieņemot datu aizsardzības reformu paketi, kurā ietilpst Vispārīgā datu aizsardzības regula (VDAR), ar ko aizstāj divdesmit gadus veco Direktīvu 95/46/EK (“Datu aizsardzības direktīvu”), un Policijas direktīva. Jaunais ES mēroga datu aizsardzības instruments, Vispārīgā datu aizsardzības regula (“Regula”), būs jāsāk tieši piemērot no 2018. gada 25. maija — divus gadus pēc tā pieņemšanas un stāšanās spēkā.

·datu aizsardzības principi, kas paredz integrētu datu aizsardzību un datu aizsardzību pēc noklusējuma, rada stimulus inovatīviem risinājumiem, lai jau no paša sākuma risinātu datu aizsardzības jautājumus;

·spēcīgākas personu tiesības: ar Regulu tiek ieviestas jaunas pārredzamības prasības; tiek stiprinātas tiesības uz informāciju, piekļuvi datiem un to dzēšanu (“tiesības tikt aizmirstam”); klusēšana vai atturēšanās no darbības vairs netiks uzskatīta par derīgu piekrišanu, jo piekrišana ir jāsniedz skaidri apstiprinošas darbības veidā; bērnu aizsardzība tiešsaistē;

·personām ir lielāka kontrole pār saviem personas datiem. Ar Regulu izveido jaunas tiesības uz datu pārnesamību, kas ļauj iedzīvotājiem pieprasīt, lai uzņēmums vai organizācija atdod atpakaļ personas datus, kurus viņi ir iesnieguši uzņēmumam vai organizācijai uz piekrišanas vai līguma pamata; tajā ir atļauts arī šādus personas datus nosūtīt tieši citam uzņēmumam vai organizācijai, ja tas ir tehniski iespējams. Tā kā Regulā ir atļauta personas datu tieša nosūtīšana no viena uzņēmuma vai organizācijas citam, arī šīs tiesības atbalsta personas datu brīvu apriti ES, izvairoties no personas datu iestrēgšanas, un sekmē konkurenci starp uzņēmumiem. Atvieglojot iedzīvotājiem pāreju starp dažādiem pakalpojumu sniedzējiem, tiks veicināta jaunu pakalpojumu izstrāde digitālā vienotā tirgus stratēģijas kontekstā;

·spēcīgāka aizsardzība pret datu aizsardzības pārkāpumiem. Regulā ir noteikts visaptverošs noteikumu kopums par personas datu aizsardzības pārkāpumiem. Tajā ir skaidri definēts, kas ir “personas datu aizsardzības pārkāpums”, ir ieviests pienākums ne vēlāk kā 72 stundās no brīža, kad datu aizsardzības pārkāpums varētu radīt risku personas tiesībām un brīvībām, paziņot par to uzraudzības iestādei. Noteiktos apstākļos ir pienākums informēt to personu, uz kuras datiem attiecas pārkāpums. Tas lielā mērā uzlabo aizsardzību, salīdzinot ar pašreizējo situāciju ES, kur tikai elektronisko komunikāciju pakalpojumu sniedzējiem, būtisko pakalpojumu operatoriem un digitālo pakalpojumu sniedzējiem ir pienākums paziņot par datu aizsardzības pārkāpumiem attiecīgi saskaņā ar Direktīvu par privāto dzīvi un elektronisko komunikāciju (“E-privātuma direktīva”) un Direktīvu par tīklu un informācijas sistēmu drošību (NIS direktīva) ;

·Regula piešķir visām datu aizsardzības iestādēm pilnvaras uzlikt sodus pārziņiem un apstrādātājiem. Pašlaik šīs pilnvaras nav piešķirtas visām iestādēm. Tas ļaus labāk īstenot noteikumus. Sodu var noteikt apmērā līdz 20 miljoniem euro vai, uzņēmuma gadījumā, līdz 4 % no tā visā pasaulē gūtā gada apgrozījuma;

·lielāka elastība pārziņiem un apstrādātājiem, apstrādājot personas datus, pateicoties viennozīmīgiem atbildības noteikumiem (pārskatatbildības princips). Ar Regulu tiek veikta pāreja no paziņošanas sistēmas uz pārskatatbildības principu. To īsteno, nosakot mērogojamu atbildību atkarībā no riska (piem., datu aizsardzības speciālista klātbūtne vai pienākums veikt novērtējumus par ietekmi uz datu aizsardzību). Lai palīdzētu novērtēt risku pirms datu apstrādes sākšanas, ir ieviests jauns instruments: novērtējums par ietekmi uz datu aizsardzību. Tas ir jāveic tad, ja apstrāde varētu radīt augstu risku personu tiesībām un brīvībām. Regulā īpaši ir izceltas šādas trīs situācijas: ja uzņēmums sistemātiski un plaši novērtē ar fizisku personu saistītus personiskus aspektus (tostarp veic profilēšanu), ja tas plašā mērogā apstrādā sensitīvus datus vai sistemātiski uzrauga plašā mērogā publiski pieejamas zonas. Valstu datu aizsardzības iestādēm būs jāpublisko tādu gadījumu saraksti, attiecībā uz kuriem ir jāveic novērtējums par ietekmi uz datu aizsardzību;

·lielāka skaidrība par apstrādātāju pienākumiem un pārziņu atbildību, izvēloties apstrādātāju;

·moderna pārvaldības sistēma, lai nodrošinātu noteikumu konsekventāku un stingrāku izpildi. Tas ietver datu aizsardzības iestāžu saskaņotas pilnvaras, tostarp attiecībā uz sodiem, un jaunus mehānismus, kas ļauj šīm iestādēm sadarboties tīklā;

·personas datu aizsardzība, ko garantē Regula, turpinās, kad datus nosūta ārpus ES, nodrošinot augstu aizsardzības līmeni. Lai gan Regulā izklāstītā starptautiskās nosūtīšanas noteikumu arhitektūra būtībā saglabājas tāda pati kā 1995. gada Direktīvā, ar reformu tiek precizēta un vienkāršota minēto noteikumu izmantošana un tiek ieviesti jauni nosūtīšanas instrumenti. Attiecībā uz lēmumiem par aizsardzības līmeņa pietiekamību — ar Regulu tiek ieviests precīzs un detalizēts elementu katalogs, kas Komisijai ir jāņem vērā, novērtējot, vai ārvalstu sistēma pietiekami aizsargā personas datus. Regulā arī formalizēti un paplašināti vairāki alternatīvi nosūtīšanas instrumenti, piemēram, līguma standartklauzulas un saistoši uzņēmuma noteikumi.

Ar pārstrādāto Regulu ES iestādēm, struktūrām, birojiem un aģentūrām un Privātuma un elektronisko sakaru regulu (“E-privātuma regulu”), kas pašlaik tiek apspriestas, pēc to pieņemšanas tiks nodrošināts, ka ES rīcībā ir spēcīgs un visaptverošs datu aizsardzības noteikumu kopums .

2.Līdz šim ES līmenī veiktais sagatavošanās darbs

Lai Regulas piemērošana noritētu sekmīgi, ir nepieciešams, lai sadarbotos visas datu aizsardzībā iesaistītās personas: dalībvalstis, tostarp valsts pārvaldes iestādes, valstu datu aizsardzības iestādes (DAI), uzņēmumi, organizācijas, kas pārstrādā personas datus, un iedzīvotāji, kā arī Komisija.

2.1. Eiropas Komisijas veiktie pasākumi

Neilgi pēc Regulas stāšanās spēkā 2016. gada vidū Komisija uzsāka sadarbību ar dalībvalstu iestādēm, datu aizsardzības iestādēm un ieinteresētajām personām, lai sagatavotos Regulas piemērošanai un sniegtu atbalstu un padomus.

a) Atbalsts dalībvalstīm un to iestādēm

Komisija cieši sadarbojās ar dalībvalstīm, atbalstot to darbu pārejas periodā, lai nodrošinātu visaugstāko iespējamo konsekvences līmeni. Tāpēc Komisija izveidoja ekspertu grupu, kas palīdz dalībvalstīm to centienos sagatavoties Regulas piemērošanai. Minētā grupa, kas ir rīkojusi apspriedes jau 13 reizes, darbojas kā forums, kurā dalībvalstis var dalīties ar pieredzi un kompetenci. Komisija arī iesaistījās divpusējās sanāksmēs ar dalībvalstu iestādēm, lai pārrunātu valstu līmenī radušos jautājumus.

b) Atbalsts atsevišķām datu aizsardzības iestādēm un Eiropas Datu aizsardzības iestādes izveide

Komisija aktīvi atbalstīja 29. panta darba grupas darbu, arī ar mērķi nodrošināt veiksmīgu pāreju uz Eiropas Datu aizsardzības kolēģiju.

c) Starptautiski pasākumi

Ar Regulu papildus tiks stiprināta ES spēja aktīvi veicināt datu aizsardzības vērtības un tiks sekmēta pārrobežu datu aprite, aicinot uz tiesību sistēmu konverģenci globālā mērogā. ES datu aizsardzības noteikumus arvien plašāk atzīst starptautiskā līmenī kā tādus, kas nosaka vienus no visaugstākajiem datu aizsardzības standartiem pasaulē. Tiek modernizēta arī Eiropas Padomes Konvencija Nr. 108, kas ir vienīgais juridiski saistošais daudzpusējais instruments personas datu aizsardzības jomā. Komisija strādā, lai tajā tiktu atspoguļoti tie paši principi kā tie, kas nostiprināti jaunajos ES datu aizsardzības noteikumos, un tādējādi palīdz ieviest vienotu augstu datu aizsardzības standartu kopumu. Komisija aktīvi veicinās Konvencijas modernizētā teksta ātru pieņemšanu, lai ES varētu kļūt par tās līgumslēdzēju pusi. Komisija aicina valstis, kas nav ES dalībvalstis, ratificēt Eiropas Padomes Konvenciju Nr. 108 un tās Papildprotokolu.