Section 1 General obligations

19. pants

Pārziņa pienākumi

1.  Dalībvalstis paredz, ka pārzinis, ņemot vērā apstrādes raksturu, apmēru, kontekstu un nolūkus, kā arī dažādas iespējamības un nopietnības pakāpes riskus attiecībā uz fizisko personu tiesībām un brīvībām, īsteno atbilstīgus tehniskus un organizatoriskus pasākumus, lai nodrošinātu un spētu uzskatāmi parādīt, ka apstrāde notiek saskaņā ar šo direktīvu. Ja nepieciešams, minētos pasākumus pārskata un atjaunina.

2.  Ja tas ir samērīgi attiecībā uz apstrādes darbībām, 1. punktā minētajos pasākumos ietver to, ka pārzinis īsteno atbilstīgu politiku attiecībā uz datu aizsardzību.

20. pants

Integrēta datu aizsardzība un datu aizsardzība pēc noklusējuma

1.  Dalībvalstis paredz, ka pārzinis, ņemot vērā tehnikas līmeni, īstenošanas izmaksas un apstrādes raksturu, apmēru, kontekstu un nolūkus, kā arī dažādas iespējamības un nopietnības pakāpes riskus attiecībā uz fizisko personu tiesībām un brīvībām, kurus rada apstrāde, gan apstrādes līdzekļu noteikšanas, gan pašas apstrādes laikā īsteno atbilstīgus tehniskus un organizatoriskus pasākumus, piemēram, pseidonimizāciju, kas ir paredzēti, lai efektīvi īstenotu datu aizsardzības principus, piemēram, datu minimizēšanu, un lai apstrādē integrētu vajadzīgās garantijas nolūkā izpildīt šīs direktīvas prasības un aizsargāt datu subjektu tiesības.

2.  Dalībvalstis paredz, ka pārzinis īsteno atbilstīgus tehniskus un organizatoriskus pasākumus, lai nodrošinātu, ka pēc noklusējuma tiek apstrādāti tikai personas dati, kas ir nepieciešami katram konkrētajam apstrādes nolūkam. Minētais pienākums attiecas uz vākto personas datu apjomu, to apstrādes pakāpi, glabāšanas laikposmu un to pieejamību. Jo īpaši – ar šādiem pasākumiem nodrošina, ka pēc noklusējuma personas datus bez fiziskās personas līdzdalības nedara pieejamus nenoteiktam fizisko personu skaitam.

21. pants

Kopīgi pārziņi

1.  Dalībvalstis paredz, ka, ja divi vai vairāki pārziņi kopīgi nosaka apstrādes nolūkus un līdzekļus, tie ir kopīgi pārziņi. Tie pārredzamā veidā nosaka savus attiecīgos pienākumus, lai nodrošinātu atbilstību šai direktīvai, jo īpaši attiecībā uz datu subjekta tiesību īstenošanu un pārziņu attiecīgajiem pienākumiem sniegt 13. pantā minēto informāciju, tiem savstarpēji vienojoties, – izņemot, ja un ciktāl attiecīgie pārziņu pienākumi ir noteikti Savienības vai dalībvalsts tiesībās, kas piemērojamas pārziņiem. Ar vienošanos nosaka datu subjektu kontaktpunktu. Dalībvalstis var noteikt, kurš no kopīgajiem pārziņiem var darboties kā vienotais kontaktpunkts, lai datu subjekti īstenotu savas tiesības.

2.  Neatkarīgi no 1. punktā minētās vienošanās nosacījumiem dalībvalstis var paredzēt, ka datu subjekts atbilstīgi noteikumiem, kas pieņemti saskaņā ar šo direktīvu, var īstenot savas tiesības attiecībā uz un pret katru pārzini.

22. pants

Apstrādātājs

1.  Dalībvalstis paredz, ka gadījumos, kad apstrāde ir jāveic pārziņa vārdā, pārzinis izmanto tikai tādus apstrādātājus, kas sniedz pietiekamas garantijas, ka tiks īstenoti atbilstīgi tehniskie un organizatoriskie pasākumi tā, ka apstrādē tiks ievērotas šīs direktīvas prasības un tiks nodrošināta datu subjektu tiesību aizsardzība.

2.  Dalībvalstis paredz, ka apstrādātājs bez iepriekšējas konkrētas vai vispārējas rakstiskas pārziņa atļaujas nepiesaista citu apstrādātāju. Vispārējas rakstiskas atļaujas gadījumā apstrādātājs informē pārzini par jebkādām iecerētām pārmaiņām saistībā ar papildu apstrādātāju vai apstrādātāja aizstāšanu, tādējādi sniedzot pārzinim iespēju iebilst pret šādām izmaiņām.

3.  Dalībvalstis paredz, ka apstrādi, ko veic apstrādātājs, saskaņā ar Savienības vai dalībvalsts tiesībām reglamentē ar līgumu vai citu juridisku aktu, kas ir saistošs apstrādātājam attiecībā uz pārzini un kurā norāda apstrādes priekšmetu un ilgumu, apstrādes raksturu un nolūku, personas datu veidu un datu subjektu kategorijas un pārziņa pienākumus un tiesības. Minētais līgums vai cits juridiskais akts jo īpaši paredz, ka apstrādātājs:

4.  Šā panta 3. punktā minētais līgums vai cits juridiskais akts ir sagatavots rakstveidā, ieskaitot elektronisko formātu.

5.  Ja apstrādātājs, pārkāpjot šo direktīvu, nosaka apstrādes nolūkus un līdzekļus, minēto apstrādātāju uzskata par pārzini attiecībā uz minēto apstrādi.

23. pants

Apstrāde pārziņa vai apstrādātāja pakļautībā

Dalībvalstis paredz, ka apstrādātājs un jebkura persona, kas darbojas pārziņa vai apstrādātāja pakļautībā un kam ir piekļuve personas datiem, neapstrādā minētos datus, izņemot gadījumus, kad pārzinis ir devis norādījumus, ja vien tas nav pieprasīts Savienības vai dalībvalsts tiesībās.

24. pants

Apstrādes darbību reģistrēšana

1.  Dalībvalstis paredz, ka pārziņi uztur reģistru ar visu kategoriju apstrādes darbībām, par kurām tie ir atbildīgi. Minētajā reģistrā ietver visu šādu informāciju:

2.  Dalībvalstis paredz, ka katrs apstrādātājs uztur reģistru ar visu kategoriju apstrādes darbībām, kas veiktas pārziņa vārdā, un reģistrā ietver šādu informāciju:

3.  Šā panta 1. un 2. punktā minētie reģistri tiek vesti rakstveidā, ieskaitot elektronisko formātu.

Pārzinis un apstrādātājs pēc pieprasījuma dara minētos reģistrus pieejamus uzraudzības iestādei.

25. pants

Ierakstu veikšana

1.  Dalībvalstis paredz, ka ieraksti tiek veikti vismaz par šādām apstrādes darbībām automatizētās apstrādes sistēmās: vākšanu, pārveidošanu, aplūkošanu, izpaušanu, tostarp nosūtīšanu, kombinēšanu un dzēšanu. Ierakstos par aplūkošanu un izpaušanu rada iespēju noteikt šādu darbību pamatojumu, datumu un laiku, un, ciktāl iespējams, tās personas identificēšanu, kura aplūkoja vai izpauda personas datus, kā arī šādu personas datu saņēmēju identitāti.

2.  Ierakstus izmanto tikai, lai pārbaudītu apstrādes likumīgumu, veiktu pašuzraudzību, nodrošinātu personas datu integritāti un drošību, un kriminālprocesa vajadzībām.

3.  Pārzinis un apstrādātājs šos ierakstus pēc pieprasījuma dara pieejamus uzraudzības iestādei.

26. pants

Sadarbība ar uzraudzības iestādi

Dalībvalstis paredz, ka pārzinis un apstrādātājs pēc pieprasījuma sadarbojas ar uzraudzības iestādi tās uzdevumu izpildē.

27. pants

Novērtējums par ietekmi uz datu aizsardzību

1.  Ja apstrādes veids, jo īpaši izmantojot jaunās tehnoloģijas un ņemot vērā apstrādes raksturu, apmēru, kontekstu un nolūkus, varētu radīt augstu risku fizisko personu tiesībām un brīvībām, dalībvalstis paredz, ka pārzinis pirms apstrādes veic novērtējumu par to, kā plānotās apstrādes darbības ietekmēs personas datu aizsardzību.

2.  Šā panta 1. punktā minētajā novērtējumā ietver vismaz plānoto apstrādes darbību vispārīgu aprakstu, novērtējumu par riskiem datu subjektu tiesībām un brīvībām, pasākumus, kas paredzēti minēto risku novēršanai, garantijas, drošības pasākumus un mehānismus, ar kuriem nodrošina personas datu aizsardzību un uzskatāmi parāda, ka ir ievērota šī direktīva, ņemot vērā datu subjektu un citu attiecīgo personu tiesības un leģitīmās intereses.

28. pants

Iepriekšēja apspriešanās ar uzraudzības iestādi

1.  Dalībvalstis paredz, ka pārzinis vai apstrādātājs pirms tādu personas datu apstrādes, ko ietvers jaunizveidotā kartotēkā, apspriežas ar uzraudzības iestādi gadījumos, ja:

2.  Dalībvalstis paredz, ka notiek apspriešanās ar uzraudzības iestādi, kamēr tiek gatavots priekšlikums leģislatīvam pasākumam, ko pieņems valsts parlaments, vai regulatīvs pasākums, kas balstās uz šādu leģislatīvu pasākumu, kurš attiecas uz apstrādi.

3.  Dalībvalstis paredz, ka uzraudzības iestāde var izveidot to apstrādes darbību sarakstu, par kurām veic iepriekšēju apspriešanos, ievērojot 1. punktu.

4.  Dalībvalstis paredz, ka pārzinis, ievērojot 27. pantu, iesniedz uzraudzības iestādei novērtējumā par ietekmi uz datu aizsardzību un pēc pieprasījuma jebkuru citu informāciju, kas ļauj uzraudzības iestādei izvērtēt apstrādes atbilstību, jo īpaši riskus datu subjekta personas datu aizsardzībai un attiecīgās garantijas.

5.  Dalībvalstis paredz, ka gadījumā, ja uzraudzības iestāde uzskata, ka šā panta 1. punktā minētā apstrāde pārkāptu noteikumus, kas pieņemti saskaņā ar šo direktīvu, jo īpaši gadījumos, kad pārzinis nav pietiekami apzinājis vai mazinājis risku, uzraudzības iestāde ilgākais sešu nedēļu laikā pēc apspriešanās pieprasījuma saņemšanas sniedz rakstisku padomu pārzinim un attiecīgā gadījumā apstrādātājam un var izmantot jebkuru no tās 47. pantā minētajām pilnvarām. Minēto laikposmu var pagarināt par vienu mēnesi, ņemot vērā paredzētās apstrādes sarežģītību. Uzraudzības iestāde informē pārzini un attiecīgā gadījumā apstrādātāju par šādiem pagarinājumiem, kā arī par kavēšanās iemesliem viena mēneša laikā pēc apspriešanās pieprasījuma saņemšanas.