28. pants
Personas datu nosūtīšana, piemērojot atbilstošas garantijas

(1) Ja Eiropas Komisija nav pieņēmusi lēmumu par personas datu aizsardzības līmeņa pietiekamību, pārzinis var nosūtīt personas datus uz trešo valsti vai starptautisku organizāciju, ja ir ievērots kāds no šādiem nosacījumiem:

1) pārzinim saistošā tiesību aktā vai līgumā ir paredzētas atbilstošas personas datu aizsardzības garantijas;

2) pārzinis ir izvērtējis visus ar personas datu nosūtīšanu saistītos apstākļus un secinājis, ka ir sniegtas atbilstošas personas datu aizsardzības garantijas.

(2) Ja personas datus nosūta, pamatojoties uz šā panta pirmās daļas 2. punktu, pārzinim ir pienākums:

1) dokumentēt šādu personas datu nosūtīšanu, norādot vismaz nosūtītos personas datus, nosūtīšanas pamatojumu, nosūtīšanas datumu un laiku, kā arī informāciju par kompetento iestādi, kura saņem personas datus. Attiecīgo dokumentāciju pārzinis pēc pieprasījuma sniedz Datu valsts inspekcijai;

2) informēt Datu valsts inspekciju par nosūtīto personas datu kategorijām.

(3) Ciktāl likums nenosaka citādi un netiek pārkāpti starptautiskie līgumi un Eiropas Savienības tieši piemērojamie normatīvie akti, kompetentās iestādes, neievērojot šā panta pirmās daļas 2. punktā minēto, var nosūtīt personas datus tādiem saņēmējiem, kuri trešās valstīs veic komercdarbību, ja ir ievēroti visi šādi nosacījumi:

1) personas datu nosūtīšana ir absolūti nepieciešama kāda kompetentās iestādes uzdevuma veikšanai šā likuma 2. pantā minētajos nolūkos;

2) datu subjekta tiesības nav svarīgākas par sabiedrības interesēm, kuru dēļ konkrētajā gadījumā nepieciešams nosūtīt personas datus;

3) personas datu nosūtīšana iestādei, kuras kompetencē ir datu apstrāde šā likuma 2. pantā minētajos nolūkos trešā valstī, ir neefektīva vai nepiemērota, it īpaši tādēļ, ka nav veicama laikus;

4) iestādi, kuras kompetencē ir datu apstrāde šā likuma 2. pantā minētajos nolūkos trešā valstī, informē bez nepamatotas kavēšanās, ja vien tas nav neefektīvi vai nepiemēroti;

5) kompetentā iestāde informē saņēmēju par to, kādam nolūkam vai nolūkiem tā drīkst apstrādāt personas datus, ja šāda datu apstrāde ir nepieciešama;

6) ir ievērotas citas šā likuma prasības.

(4) Šā panta trešajā daļā minētajā gadījumā kompetentā iestāde, kura nosūta personas datus, dokumentē to nosūtīšanu, norādot vismaz nosūtītos personas datus, nosūtīšanas pamatojumu, nosūtīšanas datumu un laiku, informāciju par kompetento iestādi, kura saņem personas datus, kā arī informē Datu valsts inspekciju par personas datu nosūtīšanu.

29