Jā, apstrādātājiem (t. i., fiziskām personām vai organizācijām, kas apstrādā datus pārziņa vārdā) Datu regulā ir noteikti dažādi pienākumi. Tomēr pastāv dažas atšķirības starp pārziņu un apstrādātāju pienākumiem.

Apstrādātājiem ir jāpilda pienākumi, kas noteikti pārziņa un apstrādātāja līgumā, kurā sīki izklāstītas apstrādes darbības un līdzekļi personas datu apstrādei. Piemēram, apstrādātājam būs jāveic apstrādes darbības ar atbilstošiem tehniskiem un organizatoriskiem pasākumiem, kā to norādījis pārzinis. To darot, apstrādātājs palīdz pārzinim ievērot VDAR.

Plašāka informācija:

• Pārzinis vai apstrādātājs

Jā, VDAR ir piemērojama, ja personas dati ir ietverti vai ir paredzēti iekļaušanai kartotēkā. Tas nozīmē, ka VDAR attiecas arī uz papīra formāta dokumentiem, nevis tikai uz personas datu automatizētu apstrādi.

Plašāka informācija:

• Datu aizsardzības pamati

1. Pārliecinieties, ka saņemtie dati ir iegūti likumīgi un ka datu subjekti ir informēti par viņu personas datu apstrādi.
2. Ja trešā persona apstrādā personas datus jūsu vārdā, pārliecinieties, ka jums ir pārziņa un apstrādātāja līgums, kurā norādītas apstrādes darbības un līdzekļi personas datu apstrādei.

Un, protams, ievērojiet visus pārziņu pienākumus.

Plašāka informācija:

• Pārzinis vai apstrādātājs

DAS var veikt citus uzdevumus organizācijā, taču tas nedrīkst radīt interešu konfliktu. Tas nozīmē, ka datu aizsardzības speciālists nevar būt amatā, kurā viņš nosaka datu apstrādes nolūkus un līdzekļus. Konfliktējoši pienākumi galvenokārt ietver vadības amatus (izpilddirektors, finanšu direktors, personāla vadītājs, IT vadītājs u.c. ), bet var ietvert arī citus amatus, ja to rezultātā tiek noteikti apstrādes nolūki un līdzekļi. Datu aizsardzības speciālistam jāspēj neatkarīgi pildīt savus pienākumus. Tas nozīmē, ka jūsu organizācija:

• nedrīkst dot norādījumus DAS attiecībā uz viņa kā DAS pienākumu izpildi;
• nedrīkst sodīt vai atlaist DAS par viņa uzdevumu izpildi.

Plašāka informācija:

• Datu aizsardzības speciālists

VDAR paredz īpašas tiesības personām, kuras ir jāievēro. To var izdarīt:

• informējot personas, kuru datus jūs apstrādājat, par savām apstrādes darbībām un apstrādes nolūkiem, kad ievācat viņu datus, piemēram, izvietojot privātuma paziņojumu jūsu tīmekļa vietnē;
• atbildot uz personu pieprasījumiem, kad viņi vēlas izmantot savas tiesības, piemēram, piekļūt datiem, tos labot, dzēst vai pārnest.

Organizācijas, kas ir pārredzamas attiecībā uz personas datu izmantošanu un ievēro personu tiesības, retāk kļūst par sūdzību objektiem.

Plašāka informācija:

• Ievērojiet personu tiesības

Lai piekrišanu varētu uzskatīt par derīgu, tai jābūt:

• brīvi sniegtai;
• konkrētai;
• apzinātai;
• nepārprotamai.

Tas nozīmē, ka cilvēki var brīvi izvēlēties, vai piekrīt savu personas datu apstrādei; ir vajadzīga pietiekama informācija, lai viņi varētu saprast, kuri dati tiek apstrādāti, kādam nolūkam un kā tas tiek darīts; ir nepieciešama arī pietiekama detalizācijas pakāpe piekrišanas pieprasījumos.

Piekrišanai ir jābūt sniegtai skaidri apstiprinošas darbības veidā (bez iepriekš izdarītām atzīmēm piekrišanas lodziņos un atsevišķi no piemērojamajiem vispārīgajiem nosacījumiem).

Turklāt personām ir jābūt iespējai brīvi atsaukt savu piekrišanu (bez jebkādām negatīvām sekām), ja viņi vēlāk maina savu viedokli.

Plašāka informācija:

• Apstrādājiet personas datus likumīgi

Ja jūsu organizācija personas datus vāc tieši no privātpersonām, tai ir jāsniedz vajadzīgā informācija vākšanas laikā.

Netiešas personas datu vākšanas gadījumā jūsu organizācijai informācija jāsniedz ne vēlāk kā viena mēneša laikā pēc personas datu sākotnējās iegūšanas. Šo maksimālo viena mēneša periodu var saīsināt:

• ja personas dati tiek izmantoti saziņai ar datu subjektu. Šādā gadījumā jums jāinformē datu subjekts ne vēlāk kā brīdī, kad notiek pirmā saziņa ar datu subjektu;
• ja dati tiek nosūtīti citam saņēmējam, organizācija par to informē datu subjektus vēlākais tad, kad personas dati tiek nosūtīti.

Plašāka informācija:

• Ievērojiet personu tiesības

Personas datu aizsardzības pārkāpums ir drošības pārkāpums, kura rezultātā notiek nejauša vai nelikumīga personas datu iznīcināšana, nozaudēšana, pārveidošana, neatļauta izpaušana vai piekļuve tiem.

• Ja datu aizsardzības pārkāpums rada risku attiecīgajām personām, jums par to 72 stundu laikā jāziņo attiecīgajai datu aizsardzības iestādei.
• Ja pārkāpums varētu radīt augstu risku personām, jums bez nepamatotas kavēšanās jāpaziņo par šo pārkāpumu attiecīgajām personām.

Jebkurā gadījumā visi pārkāpumi, pat tie, par kuriem nav paziņots DAI, jums ir jāreģistrē (vismaz pārkāpuma pamatinformācija, tā novērtējums, tā sekas un atbildes pasākumi).

Plašāka informācija:

• Datu aizsardzības pārkāpumi

Personas datu apstrāde ir jebkura ar personas datiem veikta darbība. Tā ietver personas datu vākšanu, reģistrēšanu, organizēšanu, strukturēšanu, glabāšanu, pielāgošanu vai pārveidošanu, izgūšanu, aplūkošanu, izmeklēšanu, izmantošanu, izpaušanu, nosūtot, izplatot vai citādi darot tos pieejamus, saskaņošanu vai kombinēšanu, ierobežošanu, dzēšanu vai iznīcināšanu.

Jūs nevarat personas datus glabāt mūžīgi.

Parasti personas datus var glabāt tikai tik ilgi, cik nepieciešams tā mērķa sasniegšanai, kādā personas dati tiek apstrādāti.

Dažos gadījumos uzglabāšanas laiku var noteikt normatīvajos aktos, piemēram, darba iekšējos noteikumos ir noteikts glabāšanas termiņš algu sarakstiem.

Organizācijām būtu jāievieš datu glabāšanas politika, lai nodrošinātu, ka personas dati netiek glabāti ilgāk, nekā tas ir nepieciešams. Personas dati ir jādzēš vai jāanonimizē, tiklīdz šie dati vairs nav nepieciešami mērķim, kuram tie tika apstrādāti.

Plašāka informācija:

• Datu aizsardzības pamati