2018. gada 25. maijā visā Eiropas Savienībā sāka piemērot Vispārīgo datu aizsardzības regulu, kuras noteikumus nacionālā mērogā regulē Fizisko personu datu apstrādes likums.

Atbilstoši regulas 4. panta 7. punktam par personas datu apstrādes atbilstību regulai ir atbildīgs pārzinis, šajā gadījumā tūrisma aģentūra, kas nosaka personas datu apstrādes nolūkus un līdzekļus. 

Pārzinim (tūrisma aģentūrai), veicot personas datu apstrādi, ir jāievēro regulas 6. panta 1. punktā noteiktais, proti, apstrāde ir likumīga tikai tādā apmērā un tikai tad, ja ir piemērojams vismaz viens no 6. panta pirmajā punktā minētajiem pamatojumiem:

• [datu subjekta] piekrišana;
• līguma izpilde;
• juridisks pienākums;
• sabiedrības intereses;
• vitālo interešu aizsardzība;
• leģitīmo interešu ievērošana.

Papildus tiesiskā pamata nodrošināšanai pārzinim ir jāievēro arī regulas 5. pants, saskaņā ar kuru personas dati ir jāapstrādā likumīgā un pārredzamā veidā, nodrošinot godprātību pret tām personām, kuru datus apstrādā (plašāk LV portāla skaidrojumā “Personas datu apstrādes principi. Vispārīgā datu aizsardzības regula III”).

Jāuzsver, ka regula ievērojami paplašina ikvienas personas, kuras dati tiek apstrādāti (datu subjekta), kontroles tiesības pār saviem datiem. Tas nozīmē, ka Jums kā datu subjektam ir tiesības ne tikai saņemt skaidru un saprotamu informāciju par to, kas apstrādā jūsu datus, kādi dati tiek apstrādāti un kāpēc, bet arī tiesības jebkurā brīdī vērsties pie konkrētā pārziņa (tūrisma aģentūras) un pieprasīt piekļuvi saviem personas datiem, kas ir tā rīcībā, bez maksas saņemt šo datu kopiju un iegūt jebkādu citu papildu informāciju par savu personas datu apstrādi, piemēram, kāds ir to apstrādes iemesls, kam ir pieeja jūsu datiem u. tml. Ja personas dati vairs nav nepieciešami tam nolūkam, kam tie tika sākotnēji vākti, to apstrādei nav tiesiska pamata, Jums ir tiesības pieprasīt savus datus dzēst (plašāk LV portāla skaidrojumā “Personas jaunās tiesības. Vispārīgā datu aizsardzības regula V”).

Ja persona ir izmantojusi regulā noteiktās tiesības un tiek konstatēta nelikumīga datu apstrāde, tad pastāv iespēja vērsties Datu valsts inspekcijā ar attiecīgu lūgumu, savai sūdzībai pievienojot dokumentus (piemēram, datu subjekta pieprasījuma pārzinim un datu subjektam sniegtās pārziņa atbildes kopijas). Savukārt Datu valsts inspekcija saskaņā ar regulas 57. panta 1. punkta “f” apakšpunktu izskata sūdzību un īsteno tai regulā piešķirtās pilnvaras.

Par nelikumīgām darbībām ar fiziskās personas datiem un informācijas nesniegšanu ir paredzēta administratīvā atbildība saskaņā ar Latvijas Administratīvo pārkāpumu kodeksa 204.⁷ panta pirmo daļu un 204.⁸ pantu.