პროგრამული მომსახურების პლატფორმები, რომლებიც მომხმარებლების მონაცემებს ღრუბლოვან გარემოში ამუშავებენ, ხშირად საერთაშორისო სერტიფიკაციების ჩარჩოში ფიქრობენ შესაბამისობაზე. ქართულ სამართალში ასეთი სერტიფიკაციის სტატუტი არ არსებობს: შესაბამისობა ნიშნავს პერსონალურ მონაცემთა დაცვის შესახებ კანონის კონკრეტულ ვალდებულებათა შესრულებას და ამ შესრულების დასაბუთების უნარს. სწორედ ეს კანონი ქმნის აუდიტირებად ჩარჩოს — უსაფრთხოების ზომებიდან და აღრიცხვიდან ინციდენტების შეტყობინებებამდე — რომელზეც მომსახურების მიმწოდებელი უნდა აგებდეს პასუხს, და ამ გვერდზე ჩვენ ამ ჩარჩოს თითოეულ ელემენტს კანონის მუხლების საფუძველზე ვხსნით.
დამუშავების პრინციპები და ლეგიტიმური საფუძვლები
კანონის მე-4 მუხლი დამუშავების პრინციპებს ადგენს: მონაცემები უნდა დამუშავდეს კანონიერად, სამართლიანად და გამჭვირვალედ; შეგროვდეს კონკრეტული, მკაფიოდ განსაზღვრული მიზნებისთვის; დამუშავდეს აუცილებელი მოცულობით; იყოს ზუსტი; შეინახოს მხოლოდ საჭირო ვადით და დაიცვას ტექნიკური და ორგანიზაციული ზომებით. დამუშავებისთვის პასუხისმგებელი პირი ამ პრინციპებთან შესაბამისობის დასაბუთების უნარითაა ვალდებული.
მე-5 მუხლი დამუშავების ლეგიტიმურ საფუძვლებს ათვლის: სუბიექტის თანხმობა, გარიგებით ნაკისრი ვალდებულების შესრულება ან გარიგების დადებისთვის საჭირო ნაბიჯები, კანონით გათვალისწინებული დამუშავება, სავალდებულო მოვალეობა, საჯაროდ ხელმისაწვდომი მონაცემი, სასიცოცხლო ინტერესები, საჯარო ინტერესი ან მნიშვნელოვანი ლეგიტიმური ინტერესი. პლატფორმისთვის ეს იმას ნიშნავს, რომ თითოეული ფუნქცია — ანგარიშის შექმნიდან ანალიტიკამდე — წინასწარ უნდა მიებას კონკრეტულ საფუძველს, და ეს ბმა დოკუმენტირებული უნდა იყოს.
უსაფრთხოების ზომები და აღრიცხვა — აუდიტირებადი ჩარჩო
მე-27 მუხლი მოითხოვს შესაბამის ტექნიკურ და ორგანიზაციულ ზომებს და კანონთან შესაბამისობის დადასტურების უნარს: ფსევდონიმიზაცია, მონაცემებზე წვდომის აღრიცხვა, კონფიდენციალურობის, მთლიანობისა და ხელმისაწვდომობის მექანიზმები, ყველა მოქმედების აღრიცხვა ელექტრონულ მონაცემებზე და თანამშრომლების კონფიდენციალურობის ვალდებულება სამსახურებრივი ურთიერთობის შეწყვეტის შემდეგაც.
მე-28 მუხლი კი ქმნის იმ დოკუმენტურ ფენას, რომელიც აუდიტს ათმობელს: დამუშავებისთვის პასუხისმგებელი პირი და მისი წარმომადგენელი წერილობით ან ელექტრონულად აღრიცხავს ვინაობებს და კონტაქტებს, დამუშავების მიზნებს, სუბიექტთა და მონაცემთა კატეგორიებს, მიმღებებს, სხვა სახელმწიფოებში გადაცემებს, შენახვის ვადებს, უსაფრთხოების ზომებს და ინციდენტებს. აღრიცხული ინფორმაცია სახელმწიფო აუდიტის სამსახურის მოთხოვნისას დაუყოვნებლივ, მაგრამ არაუგვიანეს 3 სამუშაო დღისა უნდა მიეწოდოს — ეს ვადა სწორედ ის გამოწვევაა, რომელიც მზა რეესტრის გარეშე პრაქტიკულად დაუძლეველია.