Datu nosūtīšana ārpus ES: SCC, BCR, atbilstība

Vienā teikumā. Datu nosūtīšana ārpus ES pēc VDAR V nodaļas ir pieļaujama tikai tad, ja par saņēmēja valsti ir pieņemts lēmums par aizsardzības līmeņa pietiekamību (45. pants), vai ja nosūtītājs ievieš atbilstošas garantijas — standarta līguma klauzulas, saistošus uzņēmuma noteikumus, apstiprinātu rīcības kodeksu vai sertifikāciju (46. pants) —, un izņēmuma kārtā pēc 49. panta atkāpēm, kas paredzētas atsevišķiem gadījumiem, nevis pastāvīgam risinājumam.

Šis ceļvedis rakstīts Latvijas uzņēmumiem, kas izmanto ASV vai citu trešo valstu mākoņpakalpojumus, atbalsta komandas un koncerna iekšējās sistēmas. Jūs iegūsiet instrumenta izvēles loģiku, nosūtīšanas ietekmes novērtējuma uzbūvi un skaidru sarakstu ar to, kas jādokumentē, pirms jautājumu uzdod Datu valsts inspekcija (DVI).

Galvenie fakti

• Nosūtīšana VDAR izpratnē pastāv jau tad, kad trešajā valstī esošs pakalpojumu sniedzējs piekļūst datiem — fiziska kopija nav vajadzīga.
• Lēmumi par pietiekamību šobrīd attiecas uz Japānu, Korejas Republiku, Šveici, Urugvaju un Apvienoto Karalisti un vēl vairākām valstīm; attiecībā uz ASV lēmums aptver tikai DPF sarakstā sertificētas organizācijas.
• Eiropas Komisijas standarta līguma klauzulas (Īstenošanas lēmums (ES) 2021/914) sastāv no četriem moduļiem; nepareiza moduļa izvēle ir visizplatītākā kļūda.
• Pēc Schrems II sprieduma (C-311/18) klauzulu parakstīšana vien nepietiek — 14. klauzula prasa novērtēt saņēmēja valsts tiesības.
• 49. panta atkāpes ir šauras un neatkārtojamas; regulāru mākoņpakalpojumu izmantošanu ar piekrišanas vai līguma atkāpi nosegt nevar.

Nosūtīšana nav pārnesamība

Latviešu valodā divi pilnīgi atšķirīgi jēdzieni ir bīstami tuvu, jo arī 20. pants runā par datu “nosūtīšanu citam pārzinim”.

	Datu nosūtīšana (V nodaļa)	Datu pārnesamība (20. pants)
Būtība	Pārziņa pienākums un ierobežojums	Datu subjekta tiesības
Kas ierosina	Pārzinis vai apstrādātājs	Datu subjekts
Jautājums	Vai datus drīkst vest uz trešo valsti?	Vai subjekts var paņemt savus datus līdzi?
Nosacījums	Pietiekamība, 46. panta garantija vai 49. panta atkāpe	Piekrišana vai līgums + automatizēta apstrāde
Pārkāpuma sekas	Līdz 20 milj. EUR vai 4 % apgrozījuma (83. panta 5. punkts)	Sūdzība, rīkojums izpildīt pieprasījumu

Praksē tas nozīmē: ja klients lūdz savus datus CSV failā, tā nav nosūtīšana uz trešo valsti un V nodaļa netiek piemērota. Un otrādi — ja jūsu CRM tiek mitināts Virdžīnijā, neviena pārnesamības norma nepalīdzēs; vajadzīgs V nodaļas pamats.

Kad notiek nosūtīšana?

Eiropas Datu aizsardzības kolēģijas vadlīnijās 05/2021 (pieņemtas 2023. gada 14. februārī) noteikti trīs kumulatīvi kritēriji. Nosūtīšana notiek, ja: (1) nosūtītājam attiecīgajā apstrādē piemēro VDAR; (2) nosūtītājs datus izpauž vai citādi dara pieejamus citam pārzinim vai apstrādātājam (saņēmējam); un (3) saņēmējs atrodas trešā valstī vai ir starptautiska organizācija.

Trešais kritērijs rada visvairāk pārsteigumu. Nosūtīšana notiek arī tad, ja dati fiziski paliek Frankfurtes serverī, bet Indijas atbalsta komanda tiem piekļūst attālināti. Tas pats attiecas uz situāciju, kad ASV mātesuzņēmums piekļūst Latvijas meitasuzņēmuma personāla datiem. Ja datu subjekts pats ievada savus datus tieši trešās valsts pakalpojumu sniedzēja sistēmā, nosūtīšana VDAR izpratnē nenotiek — bet tas ir izņēmums, nevis noteikums.

Katra nosūtīšana jāfiksē apstrādes darbību reģistrā: 30. panta 1. punkta e) apakšpunkts prasa nosaukt trešās valstis un starptautiskās organizācijas, kā arī dokumentēt atbilstošās garantijas. Bez šā saraksta neviens nākamais solis nav iespējams.

Lēmumi par aizsardzības līmeņa pietiekamību

45. pants ļauj nosūtīt datus bez atsevišķas atļaujas uz valstīm, par kurām Eiropas Komisija pieņēmusi lēmumu par pietiekamību. Sarakstā šobrīd ir Andora, Argentīna, Kanāda (komerciālās organizācijas), Fēru salas, Gērnsija, Izraēla, Menas sala, Japāna, Džērsija, Jaunzēlande, Korejas Republika, Šveice, Urugvaja, Apvienotā Karaliste un — ierobežoti — Amerikas Savienotās Valstis.

Divas nianses.

Apvienotā Karaliste. Komisija 2025. gada 19. decembrī atjaunoja abus ar Apvienoto Karalisti saistītos lēmumus — gan VDAR, gan tiesībaizsardzības direktīvas ietvaros —, un tie ir spēkā līdz 2031. gada 27. decembrim, ja netiek pagarināti atkārtoti.

ASV. 2023. gada 10. jūlija lēmums par ES un ASV datu privātuma satvaru (Data Privacy Framework) nepadara visu ASV par valsti ar pietiekamu aizsardzības līmeni. Tas aptver tikai organizācijas, kas sertificējušās ASV Tirdzniecības departamentā un ir DPF sarakstā aktīvas. Pirms katras nosūtīšanas saraksts jāpārbauda un jāpārliecinās, ka sertifikāts sedz tieši attiecīgo datu kategoriju (piemēram, personāla dati ir atsevišķa kategorija). Eiropas Savienības Vispārējā tiesa 2025. gada 3. septembrī lietā T-553/23 (Latombe) noraidīja prasību lēmumu atcelt, tāpēc satvars ir spēkā, bet tā noturība ir atkarīga no periodiskām pārskatīšanām.

Lēmums par pietiekamību neatbrīvo ne no viena cita VDAR pienākuma: tiesiskais pamats — piekrišana, līgums vai likumīgās intereses — minimizācija, drošība un informēšana paliek spēkā.

Standarta līguma klauzulas un četri moduļi

Ja lēmuma par pietiekamību nav, izplatītākais instruments ir standarta līguma klauzulas, kas noteiktas ar Eiropas Komisijas 2021. gada 4. jūnija Īstenošanas lēmumu (ES) 2021/914. Tās ir modulāras, un modulis jāizvēlas atbilstoši pušu lomām:

Modulis	Nosūtītājs	Saņēmējs	Tipiska situācija
1	Pārzinis	Pārzinis	Klientu datu apmaiņa koncerna ietvaros
2	Pārzinis	Apstrādātājs	Mākoņa mitināšana, SaaS, atbalsta pakalpojums
3	Apstrādātājs	Apstrādātājs	Jūsu apstrādātājs piesaista ASV apakšapstrādātāju
4	Apstrādātājs	Pārzinis	Pakalpojumu sniedzējs atdod datus trešās valsts klientam

Šeit rodas vairums kļūdu: uzņēmums paraksta 1. moduli, kaut gan patiesībā pērk apstrādes pakalpojumu, un 2. moduļa pienākumi (rīcība pēc norādēm, apakšapstrādātāju ķēde, dzēšana līguma beigās) paliek nenosegti. Klauzulas nedrīkst grozīt, bet drīkst papildināt, un tās jāsasaista ar datu apstrādes līgumu pēc 28. panta, jo 2. modulis satur arī 28. panta obligātās klauzulas. Gatavu struktūru dod datu apstrādes līguma paraugs.

Pielikumi jāaizpilda vienmēr: I pielikums (puses un nosūtīšanas apraksts), II pielikums (tehniskie un organizatoriskie drošības pasākumi) un III pielikums (atļautie apakšapstrādātāji). Klauzulas ar tukšiem pielikumiem nav derīga garantija — tas ir pirmais, ko pārbauda uzraudzības iestāde.

Saistoši uzņēmuma noteikumi un 49. panta atkāpes

Saistoši uzņēmuma noteikumi (BCR, 47. pants) ir piemēroti starptautiskam koncernam, kas regulāri nosūta datus starp savām vienībām. Noteikumiem jābūt juridiski saistošiem visiem koncerna dalībniekiem, jāpiešķir datu subjektiem izpildāmas tiesības, un tos apstiprina kompetentā uzraudzības iestāde konsekvences mehānisma ietvaros. Procedūra parasti ilgst gadus, tāpēc BCR ir lielu koncernu, nevis vidēja Latvijas uzņēmuma instruments.

49. panta atkāpes ir pēdējā iespēja, nevis ērts apvedceļš. Tās ir: datu subjekta nepārprotama piekrišana pēc informēšanas par riskiem (a); nosūtīšana, kas vajadzīga līguma ar datu subjektu izpildei (b); līgums datu subjekta interesēs ©; svarīgas sabiedrības intereses (d); tiesisku prasību celšana, īstenošana vai aizstāvēšana (e); vitālu interešu aizsardzība (f); un nosūtīšana no publiska reģistra (g).

Kolēģija tās interpretē šauri: atkāpes paredz neregulāru un neatkārtojošos nosūtīšanu. Atkāpes a) apakšpunkta piekrišanai jābūt nepārprotamai un jāietver informācija par konkrētiem riskiem, tāpēc parasta piekrišanas veidlapa tam nederēs bez pārstrādāšanas. Atkāpe b) sedz, piemēram, rezervācijas nosūtīšanu ASV viesnīcai, nevis visas klientu bāzes mitināšanu ASV mākonī.

Nosūtīšanas ietekmes novērtējums pēc Schrems II

2020. gada 16. jūlijā Eiropas Savienības Tiesa lietā C-311/18 (Schrems II) atzina Privacy Shield par spēkā neesošu un atstāja spēkā standarta klauzulas ar vienu nosacījumu: nosūtītājam katrā atsevišķā gadījumā jāpārbauda, vai saņēmēja valsts tiesības un prakse nodrošina ES līmenim pēc būtības līdzvērtīgu aizsardzību, un vajadzības gadījumā jāpievieno papildu pasākumi. Šis pienākums ierakstīts tieši klauzulu 14. klauzulā.

Kolēģijas ieteikumu 01/2020 (galīgā redakcija 2021. gada 18. jūnijā) seši soļi dod struktūru:

1. Kartējiet nosūtīšanas — kurš, ko, uz kurieni, ar kādu attālinātu piekļuvi.
2. Nosakiet izmantoto instrumentu — 45., 46. vai 49. pants.
3. Novērtējiet instrumenta faktisko efektivitāti saņēmēja valsts tiesību un prakses gaismā (ASV gadījumā — FISA 702. sadaļas un Izpildrīkojuma 12333 tvērums).
4. Ieviesiet papildu pasākumus — tehniskus (spēcīga šifrēšana ar ES glabātām atslēgām, pseidonimizācija, dalīta apstrāde), līgumiskus (paziņošana par iestāžu pieprasījumiem, audita tiesības) un organizatoriskus.
5. Nokārtojiet formalitātes — piemēram, uzraudzības iestādes atļauju ad hoc klauzulām.
6. Pārvērtējiet regulāros intervālos.

Trešais solis ir vieta, kur lielākā daļa novērtējumu paliek virspusēji. Novērtējumam jābūt rakstiskam, datētam un balstītam reālā juridiskā analīzē, nevis piegādātāja mārketinga materiālā. Ja nosūtīšana ir daļa no augsta riska apstrādes, veiciet to kopā ar datu aizsardzības ietekmes novērtējumu — abi dokumenti balstās uz vienu un to pašu datu plūsmu aprakstu.

Sodi rāda, ka runa nav par formalitāti. Īrijas uzraudzības iestāde 2023. gada 22. maijā piemēroja Meta Platforms Ireland Limited 1,2 miljardu EUR sodu par uz standarta klauzulām balstītu nosūtīšanu uz ASV, pamatojoties uz Kolēģijas saistošo lēmumu 1/2023. Nīderlandes uzraudzības iestāde 2024. gada 26. augustā sodīja Uber ar 290 miljoniem EUR par vadītāju datu nosūtīšanu uz ASV bez pienācīgas garantijas.

Ko praktiski darīt Latvijas uzņēmumam

Sāciet ar sarakstu: katrs pakalpojumu sniedzējs, kas piekļūst personas datiem, kopā ar atrašanās vietu un apakšapstrādātājiem. Pēc tam katram ierakstam piešķiriet instrumentu — pietiekamības lēmums, modulis, BCR vai atkāpe — un saglabājiet pierādījumu: parakstītas klauzulas ar aizpildītiem pielikumiem, datētu DPF sertifikāta izdruku vai ietekmes novērtējumu. Treškārt, atklājiet nosūtīšanas privātuma politikā, kā prasa 13. panta 1. punkta f) apakšpunkts: nosauciet trešo valsti, izmantoto garantiju un vietu, kur iegūt tās kopiju.

Latvijā uzraudzību veic Datu valsts inspekcija, kas izsniedz arī atļaujas ad hoc klauzulām un piedalās BCR procedūrās; tās līdzšinējo sodu praksi apraksta pārskats par DVI sodiem. Plašāku ainu par pienākumiem sniedz datu aizsardzības Latvijā ceļvedis. Ja nosūtīšanu ir desmitiem un apakšapstrādātāju ķēdes mainās, reģistru, klauzulu versijas un novērtējumu termiņus ir vērts turēt vienā sistēmā — to nodrošina VDAR programmatūras risinājumi.

Biežāk uzdotie jautājumi

Vai drīkst izmantot ASV mākoņpakalpojumu?

Jā, ja ir derīgs pamats. Ja pakalpojumu sniedzējs ir ES un ASV datu privātuma satvara sarakstā un sertifikāts sedz attiecīgo datu kategoriju, pietiek ar lēmumu par pietiekamību. Pretējā gadījumā jāparaksta standarta līguma klauzulas (parasti 2. modulis) un jāveic nosūtīšanas ietekmes novērtējums.

Vai datu glabāšana ES datu centrā izslēdz nosūtīšanu?

Nē. Ja trešā valstī esoša vienība — mātesuzņēmums, atbalsta komanda vai apakšapstrādātājs — piekļūst datiem attālināti, tā ir nosūtīšana neatkarīgi no servera atrašanās vietas. Datu atrašanās vieta pati par sevi nav atbilde.

Vai pietiek ar klauzulu parakstīšanu?

Nē. 14. klauzula uzliek pusēm pienākumu novērtēt, vai saņēmēja valsts tiesību akti neliedz saņēmējam pildīt klauzulas. Bez dokumentēta ietekmes novērtējuma un vajadzīgajiem papildu pasākumiem klauzulas pēc Schrems II netiek uzskatītas par pietiekamu garantiju.

Vai datu subjekta piekrišana sedz regulāras nosūtīšanas?

Nē. 49. panta 1. punkta a) apakšpunkta piekrišana paredzēta neregulārām un neatkārtojošām nosūtīšanām, tai jābūt nepārprotamai un jāietver konkrēta informācija par riskiem, kas izriet no pietiekamības lēmuma un garantiju trūkuma. Pastāvīga pakalpojuma pamatam tā neder.

Kāda ir atšķirība starp nosūtīšanu un pārnesamību?

Nosūtīšana (V nodaļa) ir pārziņa pienākums un ierobežojums attiecībā uz datu izvešanu ārpus ES. Pārnesamība (20. pants) ir datu subjekta tiesības saņemt savus iesniegtos datus mašīnlasāmā formātā un likt tos nodot citam pakalpojumu sniedzējam. Šie divi jēdzieni savstarpēji nav saistīti.

Secinājums

Datu nosūtīšana ārpus ES ir trīs jautājumu ķēde: vai nosūtīšana vispār notiek, uz kuru V nodaļas pamatu tā balstās un vai pamats ir dokumentēts. Kartējiet katru trešās valsts piekļuvi, izvēlieties pareizo instrumentu — pietiekamības lēmumu, pareizo klauzulu moduli vai izņēmuma kārtā 49. pantu —, sagatavojiet rakstisku ietekmes novērtējumu un pārskatiet to, kad mainās piegādātājs, apakšapstrādātājs vai saņēmēja valsts tiesības. Meta un Uber lietas rāda, ka uzraudzības iestādes vērtē tieši pierādījumu kvalitāti, nevis nodomus.

Juridiskā informācija: VDAR V nodaļa (EUR-Lex) · Īstenošanas lēmums (ES) 2021/914 — standarta klauzulas · Eiropas Komisijas lēmumi par pietiekamību · Datu valsts inspekcija.

Šis raksts ir vispārīga informācija un nav juridiska konsultācija.