2018. gada Datu aizsardzības likums (c 29) ir likums, ko Lielbritānijas valdība pieņēma 2018. gadā un kas aizstāj 1998. gadā pieņemto likumu.

Tajā ir izklāstīti noteikumi personām, kas izmanto vai glabā datus par dzīviem cilvēkiem, un ir paredzētas to cilvēku tiesības, kuru dati ir apkopoti. Likums attiecas uz datiem, kas glabājas datoros vai jebkāda veida glabāšanas sistēmās, pat papīra formātā.

Likums attiecas uz personas datiem, kas ir tādi fakti kā jūsu adrese, tālruņa numurs, e-pasta adrese, darba vēsture utt. Īpašās kategorijas dati (piem., veselības informācija, rases vai etniskās izcelsmes dati, politiskie uzskati, reliģija, biometriskie dati) un dati par noziedzīgiem nodarījumiem ir pakļauti stingrākiem noteikumiem.

Personas, kas izmanto informāciju, sauc par datu apstrādātājiem (datu apstrādātāji — processors) vai formāli — datu pārziņiem (controllers). Cilvēkus, par kuriem ir dati, sauc par datu subjektiem.

Galvenie principi

  • Likums pieprasa, lai personas dati tiktu apstrādāti likumīgi, taisnīgi un caurspīdīgi.
  • Dati jāapkopo konkrētam un leģitīmam mērķim un tos nedrīkst izmantot nesavienojamiem mērķiem.
  • Jāierobežo datu apjoms — jāapkopo tikai tas, kas nepieciešams mērķa sasniegšanai.
  • Dati jāuztur precīzi un, ja nepieciešams, jāatjauno.
  • Jānodrošina datu glabāšanas ierobežojumi — dati jāglabā tikai tik ilgi, cik nepieciešams.
  • Jānodrošina datu drošība pret nesankcionētu piekļuvi, zudumu vai atklāšanu.

Personas tiesības

Datu subjektiem likums piešķir vairākas svarīgas tiesības, piemēram:

  • tiesības piekļūt saviem personas datiem (pieprasīt kopiju);
  • tiesības pieprasīt neprecīzu datu labošanu (korekcija);
  • tiesības prasīt datu dzēšanu (“aizmirstības tiesības”) noteiktos gadījumos;
  • tiesības ierobežot apstrādi;
  • tiesības uz datu pārnesamību — saņemt savus datus strukturētā, ierasti lietojamā formātā;
  • tiesības iebilst pret datu apstrādi, tostarp pret tiešu mārketingu;
  • tiesības nepakļauties automatizētām lēmumu pieņemšanas procedūrām, ja tas rada nozīmīgas sekas.

Leģitīmās apstrādes pamatnes

Apstrādei jābalstās uz vienu no likumā noteiktajām pamattiesībām, piemēram:

  • personas dota piekrišana;
  • līguma izpilde;
  • juridiska pienākuma izpilde;
  • dzīvības glābšanas intereses;
  • publiskas varas uzdevuma veikšana;
  • leģitīmās intereses (ja tās nepārkāpj datu subjekta tiesības un brīvības).

Atbildība un pienākumi

Datu pārziņiem un apstrādātājiem ir vairāki pienākumi: uzturēt datu apstrādes reģistrus, veikt drošības pasākumus, noslēgt vienošanās ar apstrādātājiem un, ja nepieciešams, veikt Datu aizsardzības ietekmes novērtējumu (DPIA) gadījumos, kad apstrāde ir riska pakļauta. Dažos gadījumos jāieceļ Datu aizsardzības inspektors (Data Protection Officer).

Ja notiek personas datu drošības incidenti (datu noplūde), parasti par to jāpaziņo Informācijas komisāram (Information Commissioner’s Office — ICO) ne vēlāk kā 72 stundu laikā, ja iespējams, kā arī datu subjektiem, ja incidentam var būt augsts risks viņu tiesībām un brīvībām.

Īpašs reglamentējums bērnu datiem

Likumā paredzēti īpaši noteikumi attiecībā uz bērnu datiem. Parasti personas piekrišanai no interneta pakalpojumiem bērnu vecumposmam ir noteikta robeža; Apvienotajā Karalistē šī robeža informācijas sabiedrības pakalpojumu sniegšanai ir 13 gadi.

Starptautiska datu pārsūtīšana

Datu pārsūtīšana uz valstīm ārpus Apvienotās Karalistes ir atļauta tikai, ja tiek nodrošināta atbilstoša aizsardzība — piemēram, ja attiecīgajai valstij ir atzīta atbilstība (adequacy), vai tiek izmantoti standarta līguma noteikumi, papildu drošības pasākumi vai citi likumā paredzēti mehānismi.

Sankcijas un uzraudzība

Likuma īstenošanu uzrauga Informācijas komisārs (ICO). Par pārkāpumiem var piemērot administratīvās naudas sodus, tostarp lielus naudas sodus līdz pat £17.5 miljoniem vai līdz 4% no globālā gada apgrozījuma (atkarībā no tā, kura summa ir lielāka), kā arī citas sankcijas un kriminālatbildība noteiktos gadījumos.

Attiecības ar GDPR un Brexit

2018. gada Datu aizsardzības likums ieviesa noteikumus, kas darbojas kopā ar GDPR principiem. Pēc Brexit Lielbritānijā stājas spēkā tā sauktais UK GDPR kopā ar Datu aizsardzības likumu 2018. gadā, kas nodrošina GDPR principu pārnešanu uz vietējo tiesību sistēmu, vienlaikus ļaujot noteikt atsevišķas nacionālās normas.

Kopsavilkums

2018. gada Datu aizsardzības likums nodrošina plašu regulējumu personas datu aizsardzībai — tas nosaka, kā datus drīkst apstrādāt, kādas tiesības ir datu subjektam un kādi pienākumi ir datu pārziņiem un apstrādātājiem. Tas ir centrālais tiesiskais ietvars, lai aizsargātu privātumu un nodrošinātu drošu datu apriti mūsdienu digitālajā vidē.