Pārziņa datu nodošana apstrādātājiem trešajās valstīs. Problēmas un iespējamie risinājumi

Abstract

Kopš 2018. gada 25. maija, kad spēkā stājās Vispārīgā datu aizsardzības regula, pasaulē, arvien vairāk uzmanības tiek pievērsts cilvēku personas datiem un to drošībai. Līdz ar Eiropas Savienības Tiesas lēmumu lietā C-311/18 Data Protection Commissioner pret Facebook Ireland Limited, Maximillian Schrems, starptautiskie informācijas tehnoloģiju uzņēmumi un uzņēmumu grupas, kas izmanto personas datu apstrādātājus vai apakšapstrādātājus trešajās valstīs, piemēram, Indijā un Ukrainā, saskaras ar īpaši daudz izaicinājumiem, jo īsā laikā jāpielāgojas jaunajām prasībām. Uzņēmumiem rekomendēts ne tikai pārvirzīt atbalsta komandas uz ES valstīm un veikt katras trešās valsts, kurā personas dati tiek apstrādāti, riska novērtējumu, bet arī stingri izsvērt trešo valstu apstrādātāju un apakšapstrādātāju nepieciešamību. Savā pētījumā autore iepazīstinās ar Vispārīgā datu aizsardzības regulas V nodaļu, kas regulē personas datu nosūtīšanu ārpus ES/EEZ valstīm, apskatīs likumīgos iemeslus un rīkus datu nosūtīšanai uz trešajām valstīm, kā arī iepazīstinās ar jaunajām Eiropas Datu aizsardzības kolēģijas rekomendācijām, pēc Eiropas Savienības Tiesas lēmuma Schrems II lietā un analizēs ne tikai dažādu valstu Datu apstrādes aizsardzības institūciju, un lielāko ASV uzņēmumu atbildes, bet arī datu apstrādes un nosūtīšanas regulējumus citās valstīs, ārpus ES.

Since the 25 May 2018, when the General Data Protection Regulation came into force, there has been an increasing focus on people's personal data and its security worldwide. Following the decision of the European Union in Case C-311/18 Data Protection Commissioner vs Facebook Ireland Limited, Maximillian Schrems, multinational IT companies and their groups using processors or sub-processors of personal data in third countries such as India and Ukraine are experiencing particularly many challenges due to the need to adapt to new requirements in a short term. Companies are advised not only to relocate their support teams to EU countries and to carry out a risk assessment of each third country in which personal data are processed, but also to strictly evaluate the need for third country processors and sub-processors generally. In this study, the author will analyze Chapter V of the General Data Protection Regulation, which regulates the transfer of personal data outside the EU / EEA countries, examine the legal reasons and tools for the transfer of data to third countries, and introduce the new recommendations of the European Data Protection Board after the decision of the Court of Justice of the European Union in the Schrems II case. The author analyses not only the responses of Data Protection Authorities in different countries and major US companies, but also the regulations on data processing and transfer in other countries, outside the EU.