VDAR.
Likumīgi apstrādājiet personas datus, aizsargājiet tiesības un sniedziet izsekojamus ieviešanas pierādījumus.
- Regula (ES) 2016/679 · BDSG
- Autors: Derya Altinay
- Aktualizēts: 22.10.2026
- Lasīšanas laiks: 7 min.
Īsā atbilde.
VDAR regulē personas datu apstrādi Eiropas piemērošanas jomā. Uzņēmumiem vajadzīgi piemēroti tiesiskie pamati, pārredzama informācija, datu subjektu tiesību procedūras un riskiem atbilstoši aizsardzības pasākumi. Saskaņā ar VDAR 5. pantu pārziņiem ir pārskatatbildība: tiem jāspēj pierādīt principu ievērošanu. Apstrādātājiem ir savi pienākumi, un tie palīdz pārzinim izpildīt tā pienākumus.
VDAR: datu aizsardzība sniedzas tālāk par IT drošību.
Vispārīgā datu aizsardzības regula ir tieši piemērojams ES tiesību akts fizisku personu aizsardzībai saistībā ar viņu personas datu apstrādi. Regula (ES) 2016/679 piemērojama kopš 2018. gada 25. maija; GDPR ir tās saīsinājums angļu valodā. Vācijā Eiropas regulējumu papildina jo īpaši Federālais datu aizsardzības likums un nozaru īpašās normas.
VDAR vispirms jautā, vai un kādam mērķim apstrāde ir pieļaujama. Droša datubāze vēl neatbild, vai savāktā informācija ir nepieciešama un cik ilgi to drīkst glabāt. VDAR 5. un 6. pants sasaista principus un tiesiskos pamatus; 32. pants šajā ietvarā attiecas uz apstrādes drošību.
Datu aizsardzība paliek nepārtraukts uzdevums, jo mainās mērķi, datu plūsmas un izmantotie pakalpojumi. Saskaņā ar VDAR 24. pantu pārzinim jāveic piemēroti pasākumi, jāpārbauda to atbilstība un vajadzības gadījumā tie jāatjaunina. Vienreiz aizpildīts dokuments neaizstāj šo nepārtraukto izvērtēšanu.
Kuriem uzņēmumiem piemēro VDAR.
Saskaņā ar 2. pantu VDAR piemēro tajā aptvertajai personas datu apstrādei neatkarīgi no uzņēmuma lieluma. Tā ietver, piemēram, klientu datus, darba pieteikumu dokumentus vai atbalsta pieprasījumu saturu ar personas datiem. Arī pseidonimizēti dati paliek personas dati, ja personu var identificēt ar papildu informāciju; patiesi anonīma informācija jāklasificē citādi.
Teritoriālā piemērošanas joma izriet no VDAR 3. panta. Līdzās apstrādei ES uzņēmējdarbības vietas darbības ietvaros var būt aptverti arī noteikti piedāvājumi personām ES vai to uzvedības novērošana, ko veic uzņēmumi ārpus ES. Servera atrašanās vieta vai tīmekļvietnes pieejamība vien to neizšķir.
Lomu nosaka konkrētajai darbībai: pārziņi lemj par mērķiem un līdzekļiem, bet apstrādātāji datus apstrādā to uzdevumā. Organizācijai atkarībā no darbības var būt dažādas lomas. VDAR 26. un 28. pants pieprasa atbilstošas vienošanās kopīgas pārziņu atbildības un datu apstrādes uzdevumā gadījumā; līguma virsraksts vien nenoskaidro faktisko lomu.
VDAR prasības uzņēmumiem.
VDAR prasības sasaista juridiskos lēmumus ar faktisko apstrādes darbību. Septiņas darba jomas palīdz orientēties; tas, kādi īpašie pienākumi pievienojas, atkarīgs no lomas, datiem, darbības un riskiem attiecīgajiem cilvēkiem.
Noteikt principus un tiesiskos pamatus.
VDAR 5. un 6. pants pieprasa likumīgu, noteiktam mērķim piesaistītu un izsekojamu apstrādi. Ierobežojiet datus un glabāšanu līdz nepieciešamajam un uzturiet informāciju pareizu. Piekrišana ir viens no iespējamiem tiesiskajiem pamatiem; tās priekšnoteikumus nedrīkst izlaist, tāpat kā citu tiesisko pamatu priekšnoteikumus.
Nodrošināt pārredzamību un datu subjektu tiesības.
VDAR 12.–22. pants attiecas uz saprotamu informāciju un tādām tiesībām kā piekļuve, labošana vai dzēšana. Tiesībām ir atšķirīgi priekšnoteikumi un izņēmumi. Atbildībai, datu meklēšanai, identitātes pārbaudei un drošai atbildei jābūt saskaņotām; privātuma paziņojums viens pats vēl neapstrādā pieprasījumu.
Organizēt atbildību un pakalpojumu sniedzējus.
VDAR 24.–30. pants nosaka organizatoriskos pienākumus, integrētu datu aizsardzību, lomas un reģistrus. Apstrādei uzdevumā saskaņā ar 28. pantu līdzās piemērotam līgumiskajam pamatam nepieciešamas pietiekamas pakalpojumu sniedzēja garantijas. Novērtējumā jāietver faktiski izmantotie apakšapstrādātāji un datu ceļi, ne tikai vispārējie līguma noteikumi.
Pārvērst VDAR 32. pantu efektīvos aizsardzības pasākumos.
Tehniskajiem un organizatoriskajiem pasākumiem jānodrošina riskam atbilstošs drošības līmenis. VDAR 32. pants ņem vērā apstrādes kontekstu, tehnikas attīstības līmeni, izmaksas un iespējamo seku cilvēkiem varbūtību un smagumu. Atkarībā no riska tas ietver piekļuves aizsardzību, šifrēšanu, atjaunojamību un regulāru efektivitātes pārbaudi; fiksēts universāls saraksts nav pietiekams.
Pārbaudīt īpašos riskus un konsultēšanu.
Novērtējums par ietekmi uz datu aizsardzību saskaņā ar VDAR 35. pantu ir vajadzīgs pirms apstrādes, ja tā varētu radīt augstu risku tiesībām un brīvībām. Pārbaudiet arī datu aizsardzības speciālista nepieciešamības priekšnoteikumus saskaņā ar 37. pantu un papildus § 38 BDSG. Konsultatīvā funkcija neaizstāj atbildību par apstrādi.
Novērtēt datu aizsardzības pārkāpumus un ziņot par tiem.
VDAR 33. pants principā pieprasa ziņot kompetentajai uzraudzības iestādei, izņemot, ja pārkāpums, visticamāk, neradīs risku tiesībām un brīvībām. 34. pants atsevišķi regulē datu subjektu informēšanu, ja iespējams augsts risks. Apstrādātāji informē pārzini bez nepamatotas kavēšanās; incidenta dokumentēšana paliek atsevišķs pienākums.
Atsevišķi nodrošināt nosūtīšanu uz trešām valstīm.
VDAR V nodaļa nosaka papildu prasības nosūtīšanai uz trešām valstīm. Pārbaudiet faktiskos saņēmējus, piekļuves un attiecīgo nosūtīšanas mehānismu. Pieļaujama nosūtīšana neaizstāj ne apstrādes tiesisko pamatu, ne pārējos datu aizsardzības pienākumus; arī mitināšana ES neatbild uz visiem ārējās piekļuves jautājumiem.
VDAR ieviešana kā nepārtraukts process.
Norobežot apstrādi un lomas.
Praktiski sākot darbu, apziniet konkrētas darbības mērķus, datu subjektus, datus, sistēmas un saņēmējus un noskaidrojiet, kurš atbild par katru lēmumu.
Pārbaudīt pieļaujamību un informāciju.
Novērtējiet tiesiskos pamatus, nepieciešamību un glabāšanu un salīdziniet faktisko apstrādi ar datu subjektiem sniegto informāciju.
Novērtēt riskus un īpašos pienākumus.
Pirms apstrādes ieviešanas vai būtiskas mainīšanas pārbaudiet riskus cilvēkiem un priekšnoteikumus ietekmes novērtējumam, datu aizsardzības speciālistam, apstrādei uzdevumā un nosūtīšanai uz trešām valstīm.
Ieviest un pārbaudīt pasākumus.
Sasaistiet juridiskos un organizatoriskos lēmumus ar piemērotiem tehniskajiem pasākumiem un pārbaudiet, vai izvērtētajā pakalpojumā darbojas, piemēram, piekļuves noteikumi, dzēšana un atjaunošana.
Praktiski sagatavot tiesību un incidentu procedūras.
Izmēģiniet, kā atpazīst, eskalē, novērtē un noteiktajā termiņā apstrādā pieprasījumus un datu aizsardzības pārkāpumus, tostarp nodošanu starp uzņēmumiem un pakalpojumu sniedzējiem.
Atjaunināt dokumentāciju līdz ar izmaiņām.
Atjauniniet lēmumus un pierādījumus, mainoties mērķiem, saņēmējiem vai riskiem, un nosakiet, kurš seko nepabeigtajiem pasākumiem un ierosina nākamo pārbaudi.
VDAR pierādījumi un brīvprātīga sertifikācija.
Pārskatatbildība saskaņā ar VDAR 5. panta 2. punktu nozīmē spēju izskaidrot un pierādīt principu ievērošanu. Piemēroti dokumenti var ietvert apstrādes darbību reģistrus, pamatotus tiesiskos pamatus, līgumus, datu aizsardzības informāciju, ietekmes novērtējumus un aizsardzības pasākumu pārbaudes. Izšķiroši ir tas, vai tie atspoguļo reālo apstrādi un ļauj saprast, kāds lēmums uz kāda pamata pieņemts.
Datu aizsardzības uzraudzības iestādei ir izmeklēšanas un korektīvās pilnvaras saskaņā ar VDAR 58. pantu. Tāpēc dokumentācijai jābūt atrodamai, saprotamai un aktuālai. Regula nerada vispārēju sertifikāta pienākumu, ar kuru uzņēmums varētu galīgi pabeigt visu datu aizsardzības darbu; atbildība paliek pārzinim un attiecīgi pienākumu subjektiem.
Sertifikācija saskaņā ar VDAR 42. pantu ir brīvprātīga un attiecas uz apstrādes darbībām atbilstoši apstiprinātiem kritērijiem. Saskaņā ar 4. punktu tā nemazina likumā noteikto atbildību; 7. punkts ierobežo tās derīgumu līdz ne vairāk kā trim gadiem ar iespēju pagarināt. Informācijas drošības sertifikāts automātiski nav šāda datu aizsardzības sertifikācija.
Lēmums ziņot par datu aizsardzības pārkāpumu jāpamato atsevišķi. 33. pants paredz ziņošanu bez nepamatotas kavēšanās un, ja iespējams, 72 stundu laikā pēc uzzināšanas, ja vien nav piemērojams riska izņēmums. Dokumentācija saskaņā ar 5. punktu aptver arī neziņotos pārkāpumus; informēšanai saskaņā ar 34. pantu ir sava riska robeža un tajā paredzētie izņēmumi.
Lasiet vairāk emuārā.
- VDAR un drošībaSasaistiet apstrādi, juridisko vērtējumu un aizsardzības pasākumus ikdienas darbībā.
- Apstrādes uzdevumā pārbaudeSalīdziniet līgumiskās saistības ar pakalpojumu sniedzēja faktiskajiem datu ceļiem.
- Ziņošana par datu aizsardzības pārkāpumuRūpīgāk sagatavojiet incidenta novērtēšanu, ziņošanas lēmumu un dokumentāciju.
- Piekļuves pieprasījumu apstrādeOrganizējiet meklēšanu, pārbaudi un drošu informācijas nosūtīšanu.
VDAR un citi ietvari.
ISO 27001 palīdz organizēt informācijas drošību, bet neaizstāj tiesisko pamatu un datu subjektu tiesību pārbaudi. NIS2 ir savi adresāti un ziņošanas pienākumi; vienam incidentam var būt vajadzīgi atsevišķi novērtējumi abu regulējumu ietvaros. ES MI akts papildina prasības noteiktām MI sistēmām, neaizstājot personas datu apstrādes pārbaudi no datu aizsardzības viedokļa.
Secani vidē.
Secani piedāvā datu aizsardzības profilu lomām, apstrādes kontekstam un nosūtīšanai, kā arī pašu izstrādātu VDAR pārbaudes katalogu. Profils fiksē uzņēmuma sniegto informāciju un palīdz strukturēti apzināt stāvokli. Faktiskās apstrādes un tās likumības profesionālais vērtējums paliek patstāvīgs uzdevums; profils nav iestādes atļauja vai automātiska juridiskā pārbaude.
Nākamais solis.
Sāciet ar skaidri norobežotu apstrādi, piemēram, atbalsta pieprasījumu izskatīšanu. Aprakstiet mērķi, datus, datu subjektus, iesaistītos pakalpojumus un saņēmējus un kopā ar atbildīgajiem speciālistiem pārbaudiet piemēroto tiesisko pamatu. Pēc tam fiksējiet, kādi aizsardzības pasākumi un tiesību un incidentu procedūras tam faktiski ir nepieciešami.
Avoti.
- Regula (ES) 2016/679: Vispārīgā datu aizsardzības regula
- BfDI: VDAR — BDSG, Info 1, 2026. gada marts
- Eiropas Komisija: VDAR piemērošanas joma un lomas
- Eiropas Komisija: apstrādes principi
- Eiropas Komisija: uzņēmumu pienākumi
- EDAK: personas datu drošība
- EDAK: datu aizsardzības pārkāpumi
- EDAK: datu subjektu tiesības
- § 38 BDSG: nepublisko struktūru datu aizsardzības speciālisti
Biežākie jautājumi.
Nē. VDAR 6. pants paredz dažādus tiesiskos pamatus ar saviem priekšnoteikumiem. Piemērotais pamats atkarīgs no konkrētā mērķa un apstākļiem; papildu prasības, piemēram, īpašām datu kategorijām, jāpārbauda atsevišķi.
Nē. Saskaņā ar VDAR 33. pantu ziņošanu uzraudzības iestādei var neveikt, ja pārkāpums, visticamāk, neradīs risku tiesībām un brīvībām. Tomēr pārkāpums jādokumentē; datu subjektu informēšana saskaņā ar 34. pantu jāvērtē atsevišķi.
Nē. ISMS var palīdzēt nodrošināt apstrādes drošību, bet automātiski neatbild uz tiesiskā pamata, pārredzamības vai datu subjektu tiesību jautājumiem. Tās darbības joma un faktiskā apstrāde jāpārbauda atsevišķi.
Jā, ja to apstrāde ietilpst materiālajā un teritoriālajā piemērošanas jomā. Uzņēmuma lielums vien nerada vispārēju izņēmumu; atsevišķi pienākumi ir atkarīgi no papildu priekšnoteikumiem.
Organizējiet datu aizsardzības darbu izsekojamā veidā.
Iepazīstiet datu aizsardzības profilu un pašu izstrādāto VDAR katalogu Secani vidē.
Šī lapa sniedz vispārīgu skaidrojumu un neaizstāj atsevišķa gadījuma juridisku pārbaudi. Noteicoši ir spēkā esošie tiesību akti un konkrētā apstrāde.