Tiesības · 2026. gada 7. novembris · 5 min lasīšanai
Datu apstrādes līgums: pārbaudes saraksts tīmekļa rīkiem
Kad nepieciešams datu apstrādes līgums pēc VDAR 28. panta, kāds ir tā obligātais saturs un kam pievērst uzmanību analīzes un mārketinga rīkos.
Gandrīz katrs rīks, ko izmantojat savā mājaslapā, apstrādā datus Jūsu uzdevumā: tīmekļa analīze, biļetens, CRM, siltumkarte, čats. Tiklīdz tajā tiek apstrādāti personas dati, VDAR prasa līgumu ar sniedzēju. To sauc par datu apstrādes līgumu, saīsināti AV līgums jeb AVV. Šajā rakstā paskaidrots, kad tas Jums vajadzīgs, kam tajā jābūt un par ko domāt, izvēloties rīku.
Kad Jums vajadzīgs AV līgums
VDAR 28. pants ir spēkā, ja pakalpojumu sniedzējs apstrādā personas datus Jūsu uzdevumā un pēc Jūsu norādījumiem. Tad Jūs esat pārzinis, bet sniedzējs ir apstrādātājs. Tiesību akta tekstu atradīsiet VDAR EUR-Lex vietnē.
Ne katras attiecības ir datu apstrāde pēc uzdevuma. Jāizšķir trīs situācijas:
| Situācija | Pazīme | Līgums |
|---|---|---|
| Apstrāde pēc uzdevuma | Sniedzējs darbojas tikai pēc Jūsu norādījuma | AV līgums pēc 28. panta |
| Kopīga atbildība | Jūs un sniedzējs kopīgi lemjat par nolūku un līdzekļiem | Vienošanās pēc 26. panta |
| Pats savs pārzinis | Sniedzējs izmanto datus saviem nolūkiem | Atkarībā no gadījuma sava tiesiskā pamata un datu nosūtīšana |
Izšķiroši ir tas, kurš nosaka nolūku un līdzekļus, nevis tas, kā līgums saucas. Sniedzējs, kas datus izmanto arī saviem nolūkiem, piemēram, lai uzlabotu savus produktus ārpus pakalpojuma Jums, šajā daļā vairs nav apstrādātājs. Saskaņā ar 28. panta 10. punktu apstrādātājs, kas pats nosaka nolūku un līdzekļus, šai apstrādei tiek uzskatīts par pārzini.
Obligātais saturs pēc 28. panta 3. punkta
Līgumā jānosaka apstrādes priekšmets un ilgums, veids un nolūks, datu veids un datu subjektu kategorijas. Turklāt tajā jāparedz, ka apstrādātājs:
- a) apstrādā datus tikai pēc dokumentētiem norādījumiem, arī nosūtot uz trešo valsti,
- b) izmanto personas, kas apņēmušās ievērot konfidencialitāti,
- c) veic pasākumus pēc 32. panta,
- d) ievēro nosacījumus citu apstrādātāju iesaistīšanai,
- e) palīdz Jums datu subjektu pieprasījumu gadījumā,
- f) palīdz Jums izpildīt pienākumus no 32. līdz 36. pantam,
- g) pēc pakalpojuma beigām pēc Jūsu izvēles dzēš vai atdod datus,
- h) sniedz pierādījumus un nodrošina pārbaudes.
Līgums jāsagatavo rakstiski, elektroniskais formāts ir pietiekams (9. punkts). Parauga ietvaru piedāvā Eiropas Komisija ar standarta līguma klauzulām datu apstrādei. Saskaņā ar 28. panta 6. punktu līgums var pilnībā vai daļēji balstīties uz tām.
Apakšuzņēmēji
Ja sniedzējs pats izmanto pakalpojumu sniedzējus, piemēram, hostinga sniedzēju, ir spēkā divi noteikumi no 28. panta 2. un 4. punkta:
- Viņam vajadzīga Jūsu iepriekšēja atsevišķa vai vispārēja rakstiska atļauja. Vispārējas atļaujas gadījumā viņam par katru plānoto izmaiņu jāinformē Jūs. Tad Jūs varat iebilst.
- Viņam apakšuzņēmējiem jāuzliek tādi paši datu aizsardzības pienākumi. Ja apakšuzņēmējs to nedara, pirmais apstrādātājs Jūsu priekšā ir atbildīgs.
Tāpēc lūdziet sniedzējam aktuālu apakšuzņēmēju sarakstu ar atrašanās vietu un uzdevumu.
Trešā valsts
Ja dati tiek apstrādāti ārpus ES un EEZ vai ir no turienes pieejami, papildus ir spēkā noteikumi par nosūtīšanu uz trešajām valstīm (V nodaļa, VDAR 44. un nākamie panti). Parasti ir trīs ceļi: Komisijas lēmums par pietiekamību, standarta līguma klauzulas nosūtīšanai vai saistošie uzņēmuma noteikumi. ASV kopš 2023. gada ir spēkā lēmums par pietiekamību attiecībā uz ES un ASV Datu privātuma ietvaru. Tas attiecas tikai uz uzņēmumiem, kas piedalās ietvarā. To apstrīd tiesā, pārbaudiet aktuālo stāvokli. Serveris ES šo jautājumu atrisina, ja ne sniedzējs, ne apakšuzņēmējs no trešās valsts nevar piekļūt datiem.
Pārbaudes saraksts analīzes un mārketinga rīkiem
- Noskaidrot lomu. Vai sniedzējs apstrādā tikai Jums vai arī saviem nolūkiem?
- Pārbaudīt līgumu. Vai tajā ir visi punkti no 28. panta 3. punkta?
- Aprakstīt datus. Vai datu veids un datu subjektu kategorijas ir konkrēti nosauktas?
- Apskatīt apakšuzņēmējus. Vai ir saraksts un kārtība izmaiņu gadījumā?
- Noskaidrot servera atrašanās vietu. Kur atrodas dati, kam ir piekļuve?
- Dokumentēt trešās valsts ceļu. Kāds pamats attaisno nosūtīšanu?
- Noregulēt dzēšanu. Kas notiek ar datiem pēc līguma beigām?
- Izlasīt tehniskos pasākumus. Šifrēšana, piekļuves tiesības, žurnalēšana.
Pievienojiet līgumu savai dokumentācijai un iekļaujiet rīku savā apstrādes darbību reģistrā pēc VDAR 30. panta. Tieši rīkiem, kas tiek ielādēti tikai pēc piekrišanas, līgums ir otrs, atsevišķs priekšnoteikums. Piekrišana ierīcē to neaizstāj, kā parāda raksts § 25 TDDDG: sīkdatnes un izsekošana Vācijā.
Kas draud pārkāpumu gadījumā
Ja līguma nav vai tas ir nepilnīgs, uzraudzības iestāde to var apstrīdēt. Par 28. panta pienākumu pārkāpumiem VDAR 83. panta 4. punkts paredz naudas sodus līdz 10 miljoniem eiro vai līdz 2 procentiem no pasaules gada apgrozījuma, atkarībā no tā, kura summa ir lielāka. Tas ir ietvars, nevis prognoze atsevišķam gadījumam.
Un Šveicē?
Šveices Datu aizsardzības likums apstrādi, ko veic apstrādātāji, regulē ar 9. pantu (DSG). Doma ir līdzīga, formulējums cits. Kas ES vēršas pie datu subjektiem, tam parasti nepieciešams līgums pēc VDAR. Vai tas attiecas uz Jūsu piedāvājumu, izskaidro raksts Mājaslapu izsekošana Šveicē: revDSG un FMG.
Biežāk uzdotie jautājumi
Vai man vajadzīgs AV līgums, ja rīks rāda tikai uzņēmumu nosaukumus? Tas atkarīgs no tā, vai sniedzējs Jums apstrādā personas datus, piemēram, IP adreses, arī tikai uz īsu brīdi. Šaubu gadījumā noslēdziet līgumu, tas maksā gandrīz neko. Vai IP adrese ir personas dati, izskaidro raksts IP adrese un VDAR: vai tā ir personas dati?.
Vai pietiek akceptēt sniedzēja vispārējos noteikumus? Tikai tad, ja tajos ir viss obligātais saturs un regulējums skaidri atpazīstams kā līgums vai pielikums. Daudzi sniedzēji AV līgumu piedāvā noslēgšanai kā atsevišķu dokumentu.
Vai man līgums jāparaksta? Tam jābūt sagatavotam rakstiski. Saskaņā ar 28. panta 9. punktu elektroniskais formāts ir pietiekams, tāpēc noslēgšana ar klikšķi ir ierasta.
