Nereti, lai efektīvi organizētu savu komercdarbību, uzņēmumi izvēlas piesaistīt speciālistus ārpakalpojumā. Šo darbu izpildei ir jānodrošina piekļuve saviem iekšējiem procesiem, tostarp arī dokumentiem, kas var saturēt personas datus. Kura no pusēm ir atbildīga par personas datu drošu apstrādi – pasūtītājs vai ārpakalpojuma sniedzējs? Kā nodrošināt nemainīgi augstu personas datu aizsardzības līmeni?

Ārpakalpojuma sniedzēja statuss

Lai nošķirtu atbildību starp pusēm, proti, sabiedrību kā pasūtītāju, kas piesaista ārpakalpojuma sniedzēju, un pašu ārpakalpojuma sniedzēju, un saprastu ārpakalpojuma sniedzēja atbildības līmeni par datu drošību, sākotnēji ir jādefinē ārpakalpojuma sniedzēja statuss no personas datu apstrādes viedokļa.

Regula 2016/679 par fizisku personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti jeb Vispārīgā datu aizsardzības regula nosaka vairākus būtiskus terminus personas datu apstrādē, tostarp tādus, kā personas datu “pārzinis” un “apstrādātājs”.

Saskaņā ar regulas 4.panta 7.punktu “pārzinis” ir fiziska vai juridiska persona, publiska iestāde, aģentūra vai cita struktūra, kas viena pati vai kopīgi ar citām nosaka personas datu apstrādes nolūkus un līdzekļus. Citiem vārdiem, pārzinis ir persona, kas nosaka, kādēļ tās darbībai ir nepieciešami personas dati, kādiem nolūkiem dati tiks izmantoti un ar kādiem līdzekļiem tiks nodrošināta to apstrāde un arī to drošība. Attiecīgi, ņemot vērā šīs definīcijas būtību, sabiedrība, kas veic savu saimniecisko darbību un lemj par datu apstrādes nepieciešamību un tās mērķiem, būs uzskatāma par personas datu pārzini.