ევროპული სტანდარტი და ქართული კანონი: რა არის შესაბამისობის ობიექტი
ევროკავშირის მონაცემთა დაცვის ზოგადი რეგულაცია საქართველოში პირდაპირ არ მოქმედებს — ქართული ბაზრისთვის ოპერატიული კანონი პერსონალურ მონაცემთა დაცვის შესახებ საქართველოს კანონია. ამავე დროს, ბევრი ქართული კომპანია ევროპელ მომხმარებლებთან მუშაობს და ევროპულ პარტნიორებს მონაცემებს გადასცემს, ამიტომ მათი შესაბამისობის პროგრამა ორივე რეგულაციის მოთხოვნებს უნდა უპასუხებდეს. პრაქტიკული გზა ასეთია: შიდა დოკუმენტები და პროცესები აგებული უნდა იყოს ქართული კანონის კონკრეტულ მოთხოვნებზე, ხოლო ევროპული სტანდარტის ექვივალენტური დონე უზრუნველყოფილია იქ, სადაც ორივე რეგულაცია ერთსა და იმავეს ითხოვს.
საინტერესოა, რომ ქართული კანონის ძირითადი ბლოკები ევროპული რეგულაციის არქიტექტურას იმეორებს: დამუშავების პრინციპები, საფუძვლები, სუბიექტის უფლებები ინფორმაციაზე, გასწორებაზე და წაშლაზე, და გასაჩივრების უფლება. სხვაობა დეტალებშია — ვადებში, ზედამხედველობის ორგანოში და სანქციების რეჟიმში. ამიტომ შესაბამისობის აუდიტი ორ ფენად ტარდება: ჯერ ქართული კანონით განსაზღვრული ვალდებულებების შემოწმება, შემდეგ კი ევროპულ პარტნიორთან მონაცემთა გადაცემის საფუძვლების განმარტება.
დამუშავების პრინციპები: კანონიერება, პროპორციულობა, ზუსტი ვადები
კანონის მუხლი 4 აყენებს დამუშავების პრინციპებს: მონაცემები უნდა დამუშავდეს კანონიერად, სამართლიანად, მონაცემთა სუბიექტისთვის გამჭვირვალედ და მისი ღირსების შეულახავად. მონაცემები შეგროვდეს მხოლოდ კონკრეტული, მკაფიოდ განსაზღვრული და ლეგიტიმური მიზნებისთვის, და დაუშვებელია შემდგომი დამუშავება თავდაპირველ მიზანთან შეუთავსებელი მიზნით. მონაცემები უნდა დამუშავდეს მხოლოდ იმ მოცულობით, რომელიც აუცილებელია ლეგიტიმური მიზნის მისაღწევად, და იყოს ამ მიზნის თანაზომიერი. მონაცემები უნდა იყოს ნამდვილი და ზუსტი — არაზუსტი მონაცემები გასწორდეს, წაიშალოს ან განადგურდეს გაუმართლებელი დაყოვნების გარეშე.
იმავე მუხლით მონაცემები შეიძლება შენახულ იქნეს მხოლოდ იმ ვადით, რომელიც აუცილებელია მიზნის მისაღწევად; მიზნის მიღწევის შემდეგ ისინი უნდა წაიშალოს, განადგურდეს ან დეპერსონალიზებული ფორმით შეინახოს, გარდა კანონით გათვალისწინებული შემთხვევებისა. უსაფრთხოებისთვის მიღებული უნდა იყოს ტექნიკური და ორგანიზაციული ზომები, რომლებიც მონაცემებს დაიცავს უნებართვო ან უკანონო დამუშავებისგან, შემთხვევითი დაკარგვისგან, განადგურებისგან ან დაზიანებისგან. დამუშავებისთვის პასუხისმგებელი პირი პასუხისმგებელია ამ პრინციპების დაცვაზე და უნდა შეძლოს მათთან შესაბამისობის დასაბუთება — ეს სწორედ ის მოთხოვნაა, რომლის გამოც შესაბამისობის პროგრამა დოკუმენტურად უნდა იყოს გაფორმებული.
დამუშავების საფუძვლები: რაზე დგას თქვენი პროცესი
მუხლი 5 განსაზღვრავს დამუშავების დასაშვებ საფუძვლებს: მონაცემთა სუბიექტის თანხმობა ერთი ან რამდენიმე კონკრეტული მიზნით; გარიგებით ნაკისრი ვალდებულების შესრულება ან სუბიექტის მოთხოვნით გარიგების დადება; კანონით გათვალისწინებული დამუშავება; კანონმდებლობით დაკისრებული მოვალეობების შესრულება; მონაცემის საჯაროდ ხელმისაწვდომობა; სუბიექტის ან სხვა პირის სასიცოცხლო ინტერესების დაცვა; მნიშვნელოვანი საჯარო ინტერესის დაცვა; საჯარო ინტერესის სფეროს ამოცანების შესრულება; პასუხისმგებელი ან მესამე პირის ლეგიტიმური ინტერესები, გარდა სუბიექტის უფლებების აღმატებული ინტერესისა; და სუბიექტის განცხადების განხილვა. აუცილებელია თითოეული პროცესისთვის საფუძვლის არჩევა და მისი დაფიქსირება, რადგან სამართლიანი საფუძვლის დასაბუთების ვალდებულება პასუხისმგებელ პირს ეკისრება.
სუბიექტის უფლებები და ვადები: 10 სამუშაო დღის რეჟიმი
მუხლი 13 აძლევს სუბიექტს ინფორმაციის მიღების უფლებას: მოთხოვნის შესაბამისად და უსასყიდლოდ მას უნდა მიეწოდოს ინფორმაცია იმ მონაცემებზე, რომლებიც მუშავდება, დამუშავების საფუძვლისა და მიზნის, შეგროვების წყაროს, შენახვის ვადის ან ვადის განსაზღვრის კრიტერიუმების, მისი უფლებების, გადაცემის საფუძვლების და მონაცემთა მიმღებლების შესახებ. ეს ინფორმაცია სუბიექტს ეძლევა მოთხოვნიდან არაუგვიანეს 10 სამუშაო დღისა, და ეს ვადა განსაკუთრებულ შემთხვევებში სათანადო დასაბუთებით შეიძლება გაგრძელდეს არაუმეტეს 10 სამუშაო დღით, რის შესახებაც სუბიექტს დაუყოვნებლივ უნდა ეცნობოს.
მუხლი 15 უზრუნველყოფს გასწორების, განახლებისა და შევსების უფლებას: სუბიექტს უფლება აქვს მოითხოვოს მცდარი, არაზუსტი ან არასრული მონაცემების გასწორება, და მოთხოვნიდან არაუგვიანეს 10 სამუშაო დღისა მონაცემები უნდა გასწორდეს ან სუბიექტს ეცნობოს უარის საფუძველი. მუხლი 16 კი განსაზღვრავს დამუშავების შეწყვეტის, წაშლის ან განადგურების უფლებას: მოთხოვნიდან არაუგვიანეს 10 სამუშაო დღისა დამუშავება უნდა შეწყდეს ან მონაცემები წაიშალოს, ანდა სუბიექტს ეცნობოს უარის საფუძველი და გასაჩივრების წესი. უარი შესაძლებელია მხოლოდ კანონით დასაშვებ შემთხვევებში — მაგალითად, როცა საფუძველი კანონით არსებობს, მონაცემები სამართლიანი მოთხოვნის დასაბუთებისთვის იმუშავებს, გამოხატვის თავისუფლება იწყებს, ან დამუშავება არქივირების, სამეცნიერო ან სტატისტიკური მიზნებისთვის ხორციელდება და უფლების განხორციელება მიზნის მიღწევას შეუძლებელს გახდის. უარის თითოეულ შემთხვევაში საფუძვლის დასაბუთება პასუხისმგებელ პირს ეკისრება.
გასაჩივრება და ზედამხედველობა
მუხლი 22 აღწერს გასაჩივრების უფლებას: კანონით გათვალისწინებული უფლებებისა და წესების დარღვევის შემთხვევაში სუბიექტს უფლება აქვს მიმართოს სახელმწიფო აუდიტის სამსახურს, სასამართლოს ან ზემდგომ ადმინისტრაციულ ორგანოს. სუბიექტს ასევე შეუძლია სახელმწიფო აუდიტის სამსახურს მოსთხოვოს მონაცემთა დაბლოკვის შესახებ გადაწყვეტილების მიღება განცხადების განხილვის დასრულებამდე, ხოლო სამსახურის გადაწყვეტილება სასამართლოში გასაჩივრდება. ორგანიზაციისთვის ეს ნიშნავს, რომ სუბიექტის მოთხოვნებზე პასუხის პროცესი და ვადები დოკუმენტურად უნდა იყოს დადგენილი, რადგან თითოეული არაპასუხი საჩივრის საფუძველი ხდება.
ხშირად დასმული კითხვები
რომელი კანონი მოქმედებს საქართველოში?
საქართველოში ოპერატიული კანონი პერსონალურ მონაცემთა დაცვის შესახებ საქართველოს კანონია; ევროპული რეგულაცია პირდაპირ არ ვრცელდება, მაგრამ ევროპელ მომხმარებლებთან მუშაობისას მისი მოთხოვნები გათვალისწინებული უნდა იყოს.
რა ვადაში უნდა ვუპასუხოთ სუბიექტს?
ინფორმაციის მიწოდება, გასწორება და დამუშავების შეწყვეტა მოთხოვნიდან არაუგვიანეს 10 სამუშაო დღისა ხდება; განსაკუთრებულ შემთხვევებში ვადა ერთხელ შეიძლება გაგრძელდეს არაუმეტეს 10 სამუშაო დღით.
როდის შეიძლება წაშლაზე უარი?
მხოლოდ კანონით დასაშვებ შემთხვევებში — მაგალითად, არსებული საფუძვლის, სამართლიანი მოთხოვნის დასაბუთების, გამოხატვის თავისუფლების ან არქივირებისა და კვლევითი მიზნების დროს. თითოეული უარი დასაბუთებული უნდა იყოს და გასაჩივრების წესი განმარტებული.
სად ჩივის სუბიექტი?
სახელმწიფო აუდიტის სამსახურში, სასამართლოში ან ზემდგომ ადმინისტრაციულ ორგანოში. განხილვამდე მონაცემთა დაბლოკვის მოთხოვნაც შესაძლებელია.
როგორ დაგეხმარებით Legal.ge-ზე
Legal.ge-ზე თანამშრომლობენ მონაცემთა დაცვის სფეროს იურისტები, რომლებიც ატარებენ შესაბამისობის აუდიტს, აგებენ დამუშავების რეესტრს, ამზადებენ შიდა პოლიტიკებს და სუბიექტების მოთხოვნებზე პასუხის პროცედურებს. განვაფასებთ თქვენი პროცესების საფუძვლებს, განვსაზღვრავთ ევროპულ პარტნიორებთან გადაცემის საფუძვლებს და წარვადგენთ გამოსწორების გეგმას. დაგვიკავშირდით — შესაბამისობის პროგრამა თქვენი ბიზნეს-პროცესების მიხედვით ავაგოთ.