Frequently Asked Questions

Ja personas dati tiek tieši vākti no attiecīgajām personām, organizācijām ir jāsniedz informācija par apstrādes darbībām kodolīgā un pārredzamā veidā, izmantojot saprotamu, viegli pieejamu, skaidru un vienkāršu valodu. To var izdarīt rakstiski (piemēram, piedāvājuma otrā pusē) vai elektroniski (piemēram, tīmekļa vietnē). Ja attiecīgā persona to pieprasa, jūs varat arī sniegt šo informāciju mutiski, bet jums ir jāspēj pēc tam pierādīt, ka šāda informācija ir sniegta.

Pat tad, ja dati tika vākti netieši, t. i., ja jūs nevācat personas datus tieši no konkrētās personas, bet, piemēram, ar trešās personas starpniecību, jums ir jāsniedz tāda pati detalizēta informācija privātpersonām.

Fiziskām personām ir tiesības pieprasīt savu personas datu dzēšanu, un pārzinim ir pienākums šos datus dzēst. Jums būtu jāatbild bez nepamatotas kavēšanās un ne vēlāk kā viena mēneša laikā pēc pieprasījuma saņemšanas. Šo termiņu var pagarināt vēl par diviem mēnešiem, ja pieprasījums ir pārāk sarežģīts un ir vajadzīgs vairāk laika, lai to izpildītu, ar noteikumu, ka persona par to tiek informēta viena mēneša laikā pēc pieprasījuma saņemšanas.

Ir svarīgi atzīmēt, ka tiesības uz dzēšanu nav absolūtas. Tās nav piemērojamas, ja attiecīgie dati ir nepieciešami:

• lai izmantotu tiesības uz vārda un informācijas brīvību (piemēram, žurnālistikas nolūkos);
• juridiskam pienākumam, kas paredz personas datu apstrādi (piemēram, darbinieku darba laika ierakstu apstrāde);
• sabiedrības interesēs veselības jomā;
• arhivēšanas nolūkos sabiedrības interesēs vai zinātniskās vai vēstures pētniecības nolūkos, vai statistikas nolūkos; un
• juridisku prasību īstenošanai vai aizstāvībai.

Ja dzēšamie personas dati iepriekš ir nosūtīti citām organizācijām, jums ir jāinformē šie saņēmēji par to, ka persona ir pieprasījusi dzēšanu, ja vien tas ir iespējams un neprasa nesamērīgas pūles.

Plašāka informācija:

• Ievērojiet personu tiesības

As addressees of the EDPB decisions, the relevant Data Protection Authorities (DPAs) that wish to challenge these decisions can bring an action for annulment before the European Court of Justice (CJEU) within two months of being notified.

Jā, zvana laikā jums ir jāinformē klienti par ierakstīšanas mērķiem, ierakstu saņēmējiem, viņu tiesībām iebilst un viņu tiesībām piekļūt ierakstiem.

Plašāka informācija:

• Apstrādājiet personas datus likumīgi

Under the GDPR, you have the right to lodge a complaint with the Data Protection Authority (DPA) in the country of:

• your habitual residence;
• your place of work; or
• the place where the alleged infringement took place.

Find the contact details for all EEA DPAs

No. The EDPB does not handle complaints or conduct investigations. If you believe your data protection rights have been violated you can contact the organisation holding your data, contact your national data protection authority (DPA), or go to a national court.

DPAs can conduct investigations and impose sanctions where necessary. Find the contact details for all EEA DPAs 

While Art. 65 (a) and (b) relate to the one-stop-mechanism, Art.65.1 (c) GDPR concerns obligations of Data Protection Authorities (DPAs) stemming from the consistency mechanism.

More specifically, every competent DPA has the duty to request an opinion from the EDPB before adopting national measures pursuant to article 64.1 GDPR. Such measures include lists of processing operations for which a Data Protection Impact Assessment (DPIA) is required, or the approval of a new set of standard clauses. In addition, under Art. 64.2 GDPR, any SA may also request an EDPB consistency opinion on any matter of general application or producing effects in more than one Member State.

If an DPA does not request the opinion of the EDPB for the cases listed under Art. 64.1 GDPR or does not follow the EDPB opinion issued under Art. 64 GDPR, any DPA and the European Commission can launch the dispute resolution procedure of Art. 65.1 (c) GDPR about the matter.

The General Data Protection Regulation (GDPR) requires the Data Protection Authority (DPA) of the European Economic Area (EEA) to cooperate closely - under the umbrella of the European Data Protection Board (EDPB) - to ensure the consistent application of the GDPR and the protection of individuals’ data protection rights across the EEA. One of their tasks is to coordinate decision-making in cross-border data processing cases.
A processing is cross-border when:

• data processing takes place in more than one country;
• or it substantially affects or it is likely to substantially affect individuals in more than one country.

Under the so-called one-stop-shop mechanism Art. 60 GDPR, the Lead Supervisory Authority (LSA) acts as the main point of contact for the controller or processor for a given processing, while the Concerned Supervisory Authorities (CSAs) act as the main point of contact for individuals in the territory of their Member State. The LSA is the authority in charge of leading the cooperation process. It will share relevant information with the CSAs, carry out the investigations, prepare the draft decision relating to the case, and cooperate with the other CSAs in an endeavour to reach consensus on this draft decision.

The European Data Protection Supervisor (EDPS) is the European Union’s (EU) independent data protection authority.

The EDPS is responsible for monitoring the processing of personal data by the EU institutions, bodies, offices and agencies (EUIs) as well as providing advice on policies and legislation that affect privacy and cooperating with similar authorities to ensure consistent data protection.

For more information visit the EDPS website.

Personas datu apstrāde ir jebkura ar personas datiem veikta darbība. Tā ietver personas datu vākšanu, reģistrēšanu, organizēšanu, strukturēšanu, glabāšanu, pielāgošanu vai pārveidošanu, izgūšanu, aplūkošanu, izmeklēšanu, izmantošanu, izpaušanu, nosūtot, izplatot vai citādi darot tos pieejamus, saskaņošanu vai kombinēšanu, ierobežošanu, dzēšanu vai iznīcināšanu.

Nē, sensitīvu datu apstrāde parasti ir aizliegta, izņemot šādus gadījumus:

• Cilvēks ir devis nepārprotamu piekrišanu savu sensitīvo datu apstrādei.
• Sensitīvo datu apstrāde ir nepieciešama, lai pārzinis varētu izpildīt savus pienākumus, jo īpaši saistībā ar nodarbinātību, sociālo nodrošinājumu un sociālo aizsardzību. Piemēram, pārzinim var būt jāapstrādā personas sensitīvie dati, lai varētu noteikt, vai tai ir tiesības uz noteiktiem sociālajiem pabalstiem vai nodarbinātības nosacījumiem.
• Sensitīvo datu apstrāde ir nepieciešama, lai aizsargātu personas vitālās intereses, ja persona fiziski vai juridiski nespēj dot piekrišanu. Piemēram, ja cilvēks ir cietis nelaimes gadījumā, atrodas bezsamaņā un ir nepieciešama tūlītēja medicīniskā aprūpe, var būt nepieciešams apstrādāt šīs personas veselības datus, lai sniegtu atbilstošu medicīnisko aprūpi.
• Sensitīvo datu apstrāde tiek veikta saistībā ar fonda, apvienības vai citas bezpeļņas organizācijas leģitīmajām darbībām ar politisku, filozofisku, reliģisku vai arodbiedrības mērķi un tikai to biedru, bijušo biedru vai personu, kas ar viņiem regulāri sazinās, personas datu apstrādei.
• Sensitīvos datus publiskojusi pati persona.
• Sensitīvo datu apstrāde ir nepieciešama tiesvedībai.
• Sensitīvo datu apstrāde ir nepieciešama būtisku sabiedrības interešu jautājumos.
• Sensitīvo datu apstrāde ir nepieciešama profilaktiskās vai arodmedicīnas kontekstā. Piemēram, medicīnisko datu vērtēšana var būt nepieciešama, lai noteiktu personas kā darbinieka darba spējas.
• Sensitīvo datu apstrāde ir nepieciešama sabiedrības veselības jomā, pamatojoties uz ES vai valsts tiesību aktiem. Piemēram, personas sensitīvo datu apstrāde var būt nepieciešama, lai nodrošinātu augstu veselības aprūpes kvalitāti vai apkarotu nopietnus veselības apdraudējumus, piemēram, vīrusus.
• Sensitīvo datu apstrāde ir nepieciešama arhivēšanas nolūkos sabiedrības interesēs vai zinātniskās vai vēstures pētniecības nolūkos, vai statistikas nolūkos. Piemēram, sensitīvo datu apstrāde var būt nepieciešama, lai sniegtu precīzu statistiku par valsts situāciju konkrētā jomā.

Plašāka informācija:

• Apstrādājiet personas datus likumīgi

Spēkā esošs līgums starp pārzini un apstrādātāju ir obligāts saskaņā ar VDAR. Par pārkāpumu var piemērot administratīvo naudas sodu līdz 10 miljoniem euro vai līdz 2 % no uzņēmuma kopējā gada apgrozījuma atkarībā no tā, kura summa ir lielāka.

Dānijas un Slovēnijas datu aizsardzības iestādes, kā arī Eiropas Komisija ir izstrādājušas līgumu paraugus.

Plašāka informācija:

• Pārzinis vai apstrādātājs

Personas var jums jautāt, vai jūs apstrādājat viņu datus, un, ja tas tā ir, viņiem ir tiesības piekļūt šiem datiem. Tātad, kad tas notiek un ja jūs apstrādājat viņu datus, jums, piemēram, jāiesniedz viņu personas datu kopija bez maksas kopā ar jebkādu nepieciešamo papildu informāciju. Ja pieprasījums tiek iesniegts elektroniski, jūsu organizācijai vajadzīgā informācija būtu jāsniedz plaši izmantotā elektroniskā formātā, ja vien cilvēks nepieprasa citādi.

Plašāka informācija:

• Ievērojiet personu tiesības

Jums būtu jāatbild bez nepamatotas kavēšanās un ne vēlāk kā viena mēneša laikā pēc pieprasījuma saņemšanas. Šo termiņu var pagarināt vēl par diviem mēnešiem, ja pieprasījums ir pārāk sarežģīts un ir vajadzīgs vairāk laika, lai atbildētu, ja persona par to tiek informēta viena mēneša laikā pēc pieprasījuma saņemšanas.

Jums tas jādara bez maksas.

Plašāka informācija:

• Ievērojiet personu tiesības

Mēs pieņemam zināšanai jūsu ierosinājumu EDAK apsvērt šo jautājumu turpmākiem norādījumiem. Ar tematiem, kas pašlaik ir iekļauti EDAK darba programmā, varat iepazīties mūsu tīmekļa vietnē: https://www.edpb.europa.eu/about-edpb/what-we-do/strategy-work-programme_lv.

Please note that the EDPB does not contact individuals, via phone or other means of communication, to inform them of such matters.

Therefore, it could be that the call you received represents a phishing attack targeting you abusing our name.

Once the EDPB has adopted a binding decision, the EDPB Chair notifies the binding decision to the relevant national Data Protection Authorities (DPAs) without undue delay.

Prior to the notification, the binding decision is translated into the languages of the relevant national DPAs that have to adopt a final decision or take measures at national level on the basis of the binding decision¹. Translation and proofreading can take a few weeks. In any case, the English version of the decision is the only authentic language version.

Next step for the relevant  Data Protection Authorities (DPAs)

Once the relevant SAs have been notified of the binding decision, a decision has to be adopted at national level to implement the content of the binding decision. This decision will be adopted without undue delay and at the latest one month after the EDPB has notified its decision.
For cross-border cases where no consensus was found (Art. 65.1 (a) GDPR), the final decision will be addressed to the controller or processor and, where relevant, to the complainant.

1. Please see paragraphs 6 and 7 of Art. 11 of the EDPB Rules of Procedure. In exceptional cases, other Concerned Supervisory Authority (CSAs) can request, providing the reasons, an urgent translation in their official EU language(s) no later than at the moment of adoption of the binding decision.

Within one month from the referral of the subject matter, the EDPB must adopt a decision by a two-thirds majority. 

The one-month deadline to adopt this binding decision can be extended by another month, if the case is complex. When the EDPB is not able to reach a decision within the abovementioned period, the decision must be adopted by a simple majority within two additional weeks. Should the members of the EDPB be split, the decision will be adopted by the vote of the EDPB Chair.

VDAR attiecas uz sīkdatņu izmantošanu, ja tās tiek izmantotas personas datu apstrādei, bet ir arī konkrētāki noteikumi par sīkdatnēm, kas ietverti E-privātuma direktīvā.

Sīkdatņu uzglabāšana lietotāja ierīcē vai piekļuves iegūšana jau uzglabātai sīkdatnei ir atļauta tikai ar nosacījumu, ka attiecīgais abonents vai lietotājs ir pienācīgi informēts (jo īpaši par apstrādes nolūkiem) un ir devis savu piekrišanu.

Vienīgais izņēmums ir tehniski nepieciešamās sīkdatnes. Organizācijām nav jālūdz piekrišana, ja tās savās tīmekļa vietnēs izmanto tehniski nepieciešamās sīkdatnes.

Plašāka informācija:

• Apstrādājiet personas datus likumīgi

Pseidonimizācija ir personas datu pārveidošanu tā, lai tos vairs nevarētu attiecināt uz konkrētu personu, neizmantojot papildu informāciju, ar nosacījumu, ka šāda papildu informācija tiek glabāta atsevišķi un tai piemēro tehniskus un organizatoriskus pasākumus, lai nodrošinātu, ka personas dati netiek attiecināti uz personu. Praksē tas var nozīmēt personas datu (vārda, vārda, personas numura, tālruņa numura u. c.) aizstāšanu datu kopā ar netieši identificējošiem datiem (citiem vārdiem, kārtas numuriem utt.). Pseidonimizēti dati joprojām ir personas dati, un uz tiem attiecas VDAR.

Anonimizēti dati ir dati, kas padarīti anonīmi tādā veidā, ka persona nav vai vairs nav identificējama ar jebkādiem līdzekļiem, kurus pamatoti varētu izmantot. Ja anonimizācija tiek pienācīgi īstenota, VDAR vairs neattiecas uz anonimizētiem datiem.

Plašāka informācija:

• Personas datu drošība