პროგრამული მომსახურების პლატფორმები, რომლებიც მომხმარებლების მონაცემებს ღრუბლოვან გარემოში ამუშავებენ, ხშირად საერთაშორისო სერტიფიკაციების ჩარჩოში ფიქრობენ შესაბამისობაზე. ქართულ სამართალში ასეთი სერტიფიკაციის სტატუტი არ არსებობს: შესაბამისობა ნიშნავს პერსონალურ მონაცემთა დაცვის შესახებ კანონის კონკრეტულ ვალდებულებათა შესრულებას და ამ შესრულების დასაბუთების უნარს. სწორედ ეს კანონი ქმნის აუდიტირებად ჩარჩოს — უსაფრთხოების ზომებიდან და აღრიცხვიდან ინციდენტების შეტყობინებებამდე — რომელზეც მომსახურების მიმწოდებელი უნდა აგებდეს პასუხს, და ამ გვერდზე ჩვენ ამ ჩარჩოს თითოეულ ელემენტს კანონის მუხლების საფუძველზე ვხსნით.
დამუშავების პრინციპები და ლეგიტიმური საფუძვლები
კანონის მე-4 მუხლი დამუშავების პრინციპებს ადგენს: მონაცემები უნდა დამუშავდეს კანონიერად, სამართლიანად და გამჭვირვალედ; შეგროვდეს კონკრეტული, მკაფიოდ განსაზღვრული მიზნებისთვის; დამუშავდეს აუცილებელი მოცულობით; იყოს ზუსტი; შეინახოს მხოლოდ საჭირო ვადით და დაიცვას ტექნიკური და ორგანიზაციული ზომებით. დამუშავებისთვის პასუხისმგებელი პირი ამ პრინციპებთან შესაბამისობის დასაბუთების უნარითაა ვალდებული.
მე-5 მუხლი დამუშავების ლეგიტიმურ საფუძვლებს ათვლის: სუბიექტის თანხმობა, გარიგებით ნაკისრი ვალდებულების შესრულება ან გარიგების დადებისთვის საჭირო ნაბიჯები, კანონით გათვალისწინებული დამუშავება, სავალდებულო მოვალეობა, საჯაროდ ხელმისაწვდომი მონაცემი, სასიცოცხლო ინტერესები, საჯარო ინტერესი ან მნიშვნელოვანი ლეგიტიმური ინტერესი. პლატფორმისთვის ეს იმას ნიშნავს, რომ თითოეული ფუნქცია — ანგარიშის შექმნიდან ანალიტიკამდე — წინასწარ უნდა მიებას კონკრეტულ საფუძველს, და ეს ბმა დოკუმენტირებული უნდა იყოს.
უსაფრთხოების ზომები და აღრიცხვა — აუდიტირებადი ჩარჩო
მე-27 მუხლი მოითხოვს შესაბამის ტექნიკურ და ორგანიზაციულ ზომებს და კანონთან შესაბამისობის დადასტურების უნარს: ფსევდონიმიზაცია, მონაცემებზე წვდომის აღრიცხვა, კონფიდენციალურობის, მთლიანობისა და ხელმისაწვდომობის მექანიზმები, ყველა მოქმედების აღრიცხვა ელექტრონულ მონაცემებზე და თანამშრომლების კონფიდენციალურობის ვალდებულება სამსახურებრივი ურთიერთობის შეწყვეტის შემდეგაც.
მე-28 მუხლი კი ქმნის იმ დოკუმენტურ ფენას, რომელიც აუდიტს ათმობელს: დამუშავებისთვის პასუხისმგებელი პირი და მისი წარმომადგენელი წერილობით ან ელექტრონულად აღრიცხავს ვინაობებს და კონტაქტებს, დამუშავების მიზნებს, სუბიექტთა და მონაცემთა კატეგორიებს, მიმღებებს, სხვა სახელმწიფოებში გადაცემებს, შენახვის ვადებს, უსაფრთხოების ზომებს და ინციდენტებს. აღრიცხული ინფორმაცია სახელმწიფო აუდიტის სამსახურის მოთხოვნისას დაუყოვნებლივ, მაგრამ არაუგვიანეს 3 სამუშაო დღისა უნდა მიეწოდოს — ეს ვადა სწორედ ის გამოწვევაა, რომელიც მზა რეესტრის გარეშე პრაქტიკულად დაუძლეველია.
ინციდენტები: 72 საათი და სუბიექტის ინფორმირება
ინციდენტის აღმოჩენისას მე-29 მუხლი ითხოვს მისი აღრიცხვას და სახელმწიფო აუდიტის სამსახურისთვის წერილობითი ან ელექტრონული შეტყობინების გაგზავნას აღმოჩენიდან არაუგვიანეს 72 საათისა, თუ მნიშვნელოვანი ზიანის ან საფრთხის სავარაუდო არაა. შეტყობინება შეიცავს გარემოებებს, დაზარალებული მონაცემების კატეგორიებსა და რაოდენობას, მიღებულ ღონისძიებებს და საკონტაქტო პირს; სრული ინფორმაციის შეუძლებლობისას დგინდება ეტაპობრივი მიწოდება სამსახურთან შეთანხმებით.
თუ ინციდენტი მაღალი ალბათობით მნიშვნელოვან ზიანს გამოიწვევს, მე-30 მუხლი სუბიექტის ინფორებას ავალდებულებს: პირველი შესაძლებლობისთანავე, გაუმართლებელი დაყოვნების გარეშე, მარტივ ენაზე — ზოგადი აღწერით, სავარაუდო ზიანით, ღონისძიებებით და საკონტაქტო მონაცემებით. ინფორმირების ვალდებულება არ წარმოიშობა, თუ მიღებული ზომებით საფრთხე აღმოიფხვრა ან კანონით დაცული ინტერესები შეუფერხებელია; დიდ ხარჯებთან შედარებისას კი საჯარო გავრცელებაც კმარა.
ზეგავლენის შეფასება და დაცვის ოფიცერი
ახალი ტექნოლოგიებით მასშტაბური დამუშავების მაღალი რისკის შემთხვევაში მე-31 მუხლი სავალდებულოა: წერილობითი შეფასება მონაცემების კატეგორიებით, მიზნებით, პროპორციულობით და რისკებით, რომელიც ინახება დამუშავების განმავლობაში და შეწყვეტის შემდეგ არანაკლებ 1 წლის ვადით. დიდ რაოდენობად სუბიექტთა არანაკლებ 3 პროცენტი მიიჩნევა; თუ ზომებით რისკი არ მცირდება — დამუშავება არ უნდა მოხდეს.
ზოგიერთი სექტორისთვის და მასშტაბური მონიტორინგისთვის მე-33 მუხლი პერსონალურ მონაცემთა დაცვის ოფიცრის დანიშვნას ავალდებულებს — სხვებისთვის ეს ნებაყოფლობითი შესაძლებლობაა, რომელიც მართვის სტრუქტურის უმაღლეს დონესთან ანგარიშვალდებულებით მუშაობს. ოფიცრის დანიშვნა ან შეცვლა სახელმწიფო აუდიტის სამსახურს უნდა ეცნობოს 10 სამუშაო დღის ვადაში და მისი ვინაობა ვებგვერდზეც ქვეყნდება.
ხშირად დასმული კითხვები
პლატფორმები შესაბამისობაზე საუბრისას ყველაზე ხშირად სწორედ ამას გვეკითხებიან. ქვემოთ პასუხები პერსონალურ მონაცემთა დაცვის შესახებ კანონის ნორმებით.
არსებობს თუ არა ქართული სერტიფიკაცია ასეთი პლატფორმებისთვის?
არა. შესაბამისობა ქართულ სამართალში სერტიფიკატით კი არა, კანონით დადგენილი ვალდებულებების შესრულებით და ამ შესრულების დასაბუთების უნარით მიიღწევა — უსაფრთხოების ზომებით, აღრიცხვით და ინციდენტების მართვით.
რამდენად სწრაფად უნდა ეცნობოს ინციდენტი?
სახელმწიფო აუდიტის სამსახურს — აღმოჩენიდან არაუგვიანეს 72 საათისა; მონაცემთა სუბიექტს — პირველი შესაძლებლობისთანავე, თუ ზიანი მაღალი ალბათობით მნიშვნელოვანია.
რა უნდა აღრიცხავდეს პლატფორმა მუდმივად?
დამუშავებასთან დაკავშირებულ ინფორმაციას — მიზნები, კატეგორიები, მიმღებლები, გადაცემები, შენახვის ვადები, ზომები და ინციდენტები — რომელიც მოთხოვნისას არაუგვიანეს 3 სამუშაო დღისა მიეწოდება სახელმწიფო აუდიტის სამსახურს.
ვინ არის პერსონალურ მონაცემთა დაცვის ოფიცერი?
პირი, რომელიც პლატფორმაში დაცვის საკითხებს კოორდინირებს: ინფორმირებას, შიდა რეგულაციების მონიტორინგს და სახელმწიფო აუდიტის სამსახურთან ურთიერთობას. ზოგიერთ შემთხვევაში მისი დანიშვნა სავალდებულოა.
როგორ დაგეხმარებით Legal.ge-ზე
Legal.ge-ის იურისტები აგებენ პლატფორმის შესაბამისობის სრულ სისტემას: ვაანალიზებთ თითოეული დამუშავების საფუძველს, ვქმნით აღრიცხვის რეესტრს, ვაწყობთ ინციდენტებზე რეაგირების პროცედურას 72 საათიანი ვადის კონტროლით, ვმზადებთ ზეგავლენის შეფასებას და გირჩევთ დაცვის ოფიცრის საკითხში. დაგვიკავშირდით — და თქვენი პლატფორმის შესაბამისობა დასაბუთებული და შემოწმებადი იქნება.