დოკუმენტების განადგურება, როგორც მონაცემთა დამუშავების სახე
დოკუმენტების განადგურება ხშირად აღიქმება, როგორც უბრალო ტექნიკური ოპერაცია — ქაღალდის შრეიფერში გატარება ან ფაილის წაშლა. ქართული სამართლით ეს ასე არ არის: „პერსონალურ მონაცემთა დაცვის შესახებ“ კანონის მე-3 მუხლით განსაზღვრული დამუშავების ცნება პირდაპირ მოიცავს წაშლას და განადგურებას, ისევე როგორც შეგროვებას, შენახვას, შეცვლას, გამოყენებას და გამჟღავნებას. ამიტომ განადგურება სრულფასოვანი დამუშავებაა: ის უნდა იყოს კანონიერი, დაგეგმილი და დოკუმენტირებული.
ამავე მუხლში განსაზღვრულია დეპერსონალიზაციის ცნებაც — მონაცემთა ისეთი დამუშავება, რომლის შედეგადაც მათი მიკავშირება კონკრეტულ პირთან შეუძლებელი ხდება. დეპერსონალიზაცია განადგურების ალტერნატივას წარმოადგენს იმ შემთხვევებში, როდესაც მონაცემთა ანონიმური სახე კვლავ საჭიროა სტატისტიკისთვის ან ანალიტიკისთვის, მაგრამ პიროვნებასთან კავშირი — არა.
როდის ხდება განადგურება სავალდებულო
კანონის მე-4 მუხლის პირველი პუნქტის შესაბამისი ქვეპუნქტი შენახვის ვადის შეზღუდვის პრინციპს აწესრიგებს: მონაცემები შეიძლება შენახულ იქნეს მხოლოდ იმ ვადით, რომელიც აუცილებელია შესაბამისი ლეგიტიმური მიზნის მისაღწევად. მიზნის მიღწევის შემდეგ ისინი უნდა წაიშალოს, განადგურდეს ან დეპერსონალიზებული ფორმით შეინახოს — გარდა იმ შემთხვევისა, როდესაც დამუშავება განსაზღვრულია კანონით ან კანონქვემდებარე ნორმატიული აქტით და შენახვა აუცილებელი და პროპორციული ზომაა.
ეს ნიშნავს, რომ განადგურების გეგმა მიზნებიდან იწყება: თითოეული დოკუმენტის კატეგორიისთვის უნდა იყოს ცნობილი, რომელი მიზანს ის ემსახურება, როდის ითქმის ეს მიზანი მიღწეულად და რა ხდება შემდეგ — წაშლა, განადგურება თუ დეპერსონალიზაცია. კანონიერი შენახვის ვადის გასვლის შემდეგ დოკუმენტის შენახვა აღარ არის ნეიტრალური ქმედება: ის პრინციპის დარღვევაა.
სუბიექტის მოთხოვნა და ვადები
მე-16 მუხლის პირველი პუნქტის მიხედვით, მონაცემთა სუბიექტს უფლება აქვს, დამუშავებისთვის პასუხისმგებელ პირს მოსთხოვოს მის შესახებ მონაცემთა დამუშავების, მათ შორის პროფაილინგის, შეწყვეტა, წაშლა ან განადგურება. ამ მოთხოვნაზე პასუხის ვადა მკაფიოა: არაუგვიანეს 10 სამუშაო დღისა უნდა შეწყდეს დამუშავება ან მონაცემები წაიშალოს ან განადგურდეს, ან სუბიექტს ეცნობოს უარის საფუძველი და განემარტოს გასაჩივრების წესი.
განადგურების პროცესი აქაც არ სცილდება ორგანიზაციის საზღვრებს. მე-16 მუხლის შესაბამისი პუნქტების მიხედვით, დამუშავებისთვის პასუხისმგებელი პირი ვალდებულია დამუშავების შეწყვეტის ან მონაცემთა წაშლის ან განადგურების შესახებ შეატყობინოს ყველა მონაცემთა მიმღებს და ყველა იმ პირს, რომლებსაც თავად გადასცა მონაცემები — გარდა იმ შემთხვევისა, როდესაც ეს შეუძლებელია პირთა სიმრავლის ან არაპროპორციული დანახარჯების გამო. ინფორმაციის მიღების შემდეგ ეს პირები ვალდებული არიან შეწყვიტონ დამუშავება და წაშალონ ან გაანადგურონ თავიანთი ასლები.
დამუშავებაზე უფლებამოსილი პირის როლი
როდესაც მონაცემებს ამუშავებს გარე პარტნიორი, განადგურების წესი ხელშეკრულებით არის დადგენილი. მე-36 მუხლის მე-2 პუნქტის შესაბამისი ქვეპუნქტის მიხედვით, წერილობითი შეთანხმება უნდა ითვალისწინებდეს დამუშავებაზე უფლებამოსილი პირის ვალდებულებას — შეთანხმების გაუქმების ან მოქმედების შეწყვეტის შემთხვევაში წაშალოს მონაცემები ან გადასცეს ისინი დამუშავებისთვის პასუხისმგებელ პირს და წაშალოს ასლები, თუ მათი შენახვის ვალდებულება კანონმდებლობით არ არის დადგენილი.
ხელშეკრულების დასრულებისას ეს ნორმა პრაქტიკულ მნიშვნელობას იძენს: ყველა ასლი, სარეზერვო ეგზემპლარი და წარმოების არქივი უნდა ან განადგურდეს, ან სრულად გადაეცეს დამკვეთს. ნაწილობრივი შენახვა „შემთხვევითობის გამო“ კანონიერ საფუძველს მოითხოვს — და ასეთი არ არსებობს, თუ კანონი პირდაპირ არ ითხოვს შენახვას.
როგორ ავაწყოთ განადგურების პროცესი
პრაქტიკული საფეხურები შემდეგია. პირველი: დოკუმენტთა ინვენტარიზაცია და კატეგორიზაცია — რომელი მონაცემებს შეიცავს თითოეული სახეობა. მეორე: თითოეული კატეგორიისთვის შენახვის ვადის ან კრიტერიუმის განსაზღვრა მიზნის მიხედვით. მესამე: კანონით დადგენილი შენახვის ვადების გამოყოფა — ეს ნაწილი წაშლის ვალდებულებისგან თავისუფლდება. მეოთხე: განადგურების მეთოდების შერჩევა — ქაღალდისთვის და ელექტრონული მონაცემებისთვის სხვადასხვა. მეხუთე: აქტის წარმოება — რა განადგურდა, როდის, ვინ ასრულებდა. მეექვსე: სუბიექტის მოთხოვნებზე რეაგირების პროცედურა 10 სამუშაო დღის ვადით.
განადგურების კანონიერების შემოწმებისას საკვანძო კითხვები სამია. პირველი: არსებობდა თუ არა განადგურების საფუძველი — მიზნის ამოწურვა, სუბიექტის მოთხოვნა თუ ხელშეკრულების დასრულება. მეორე: დაცული იყო თუ არა ვადა — განსაკუთრებით 10 სამუშაო დღის კანონიერი მოთხოვნების შემთხვევაში. მესამე: დამოწმებულია თუ არა შედეგი — აქტი, აღრიცხვა ან სხვა დოკუმენტი, რომელიც განადგურების ფაქტს ადასტურებს. ამ სამი კითხვის დადებითი პასუხი ნიშნავს, რომ განადგურება არ იყო არამართლზომიერი დამუშავება, არამედ კანონით დადგენილი პროცედურის შედეგი.
გამოცდილება აჩვენებს, რომ ყველაზე ხშირად სწორედ მესამე ეტაპი არის სუსტი: ორგანიზაციები შესანიშნავად ანადგურებენ დოკუმენტებს, მაგრამ ვერ ადასტურებენ ამას წლების შემდეგ, როდესაც კონტროლი ხდება. Legal.ge-ს გუნდი დაგეხმარებათ განადგურების პოლიტიკის შემუშავებაში და მისი გამოყენების დოკუმენტირებაში, რათა თითოეული განადგურებული დოკუმენტის შემთხვევაში შესაძლებელი იყოს კანონიერების დადასტურება.
ხშირად დასმული კითხვები
არის თუ არა განადგურება მონაცემთა დამუშავება?
დიახ. კანონის მე-3 მუხლის მიხედვით, დამუშავების ცნება მოიცავს წაშლასა და განადგურებას. ამიტომ განადგურება კანონიერი, დაგეგმილი და დოკუმენტირებული უნდა იყოს.
როდის ხდება განადგურება სავალდებულო?
მიზნის მიღწევის შემდეგ მონაცემები უნდა წაიშალოს, განადგურდეს ან დეპერსონალიზდეს — თუ კანონი შენახვას არ ითხოვს. სუბიექტის მოთხოვნით კი ეს არაუგვიანეს 10 სამუშაო დღისა უნდა მოხდეს ან უარი უნდა იყოს დასაბუთებული.
რა ხდება მონაცემების მიმღებებთან?
დამუშავების შეწყვეტის, წაშლის ან განადგურების შესახებ ყველა მიმღებს ეცნობება, და მათაც უნდა გაანადგურონ საკუთარი ასლები. დამუშავებაზე უფლებამოსილი პირი ხელშეკრულების დასრულებისას წაშლის ასლებს ან სრულად გადასცემს მათ.
როგორ დაგეხმარებით Legal.ge-ზე
დოკუმენტების განადგურება მონაცემთა დაცვის კომპლაიენსის ერთ-ერთი ყველაზე დეტალურად შემოწმებადი ნაწილია. Legal.ge-ის სპეციალისტები დაგეხმარებით განადგურების პროცესის დოკუმენტირებაში, ვადების გამოთვლაში, სუბიექტის მოთხოვნებზე პასუხების მომზადებასა და მიმღებებთან ურთიერთობების მოწესრიგებაში. დაგვიკავშირდით Legal.ge-ზე — დაგეგმილი და დასაბუთებული განადგურება ჯარიმისა და მონაცემთა გაჟონვის რისკს ერთდროულად ამცირებს.