ინფორმაციული მმართველობის სამართლებრივი ჩარჩო საქართველოში
ინფორმაციული მმართველობა ნიშნავს ორგანიზაციაში მონაცემების მართვის ისეთ სისტემას, რომელიც უზრუნველყოფს მონაცემთა კანონიერად შეგროვებას, სიზუსტეს, უსაფრთხოებას და ამ ყველაფრის დასაბუთების შესაძლებლობას. საქართველოში ამ სფეროსთვის ცალკე დარგობრივი კანონი არ არსებობს — ინფორმაციული მმართველობის სამართლებრივი ჩარჩო აგებულია „პერსონალურ მონაცემთა დაცვის შესახებ“ საქართველოს კანონზე, რომელიც ევროკავშირის ზოგადი მონაცემთა დაცვის რეგლამენტის მიდგომებს იზიარებს, მაგრამ სწორედ ეს კანონი ქმნის სავალდებულო წესებს ქართული ორგანიზაციებისთვის. პრაქტიკულად ეს ჩარჩო ოთხი სვეტისგან შედგება: დამუშავების პრინციპები და პასუხისმგებლობა, დაცვა დიზაინის დონეზე, დამუშავების აღრიცხვა და პერსონალურ მონაცემთა დაცვის ოფიცრის ინსტიტუტი, აგრეთვე უსაფრთხოების ზომები. ქვემოთ თითოეულს დეტალურად განვხილავთ.
მონაცემთა დამუშავების პრინციპები და პასუხისმგებლობა
კანონის მე-4 მუხლის პირველი პუნქტი ასახელებს იმ პრინციპებს, რომლებიც ყოველი დამუშავებისას უნდა იყოს დაცული: მონაცემები მუშავდება კანონიერად, სამართლიანად, სუბიექტისთვის გამჭვირვალედ და მისი ღირსების შეულახავად; მონაცემები შეგროვდება მხოლოდ კონკრეტული, მკაფიოდ განსაზღვრული და ლეგიტიმური მიზნებისთვის და შემდგომი დამუშავება თავდაპირველ მიზანთან შეუთავსებელი მიზნით დაუშვებელია; მონაცემები მუშავდება მხოლოდ იმ მოცულობით, რომელიც ლეგიტიმური მიზნისთვის არის აუცილებელი; მონაცემები უნდა იყოს ნამდვილი და ზუსტი, ხოლო არაზუსტი მონაცემები უნდა გასწორდეს, წაიშალოს ან განადგურდეს გაუმართლებელი დაყოვნების გარეშე; მონაცემები ინახება მხოლოდ იმ ვადით, რაც მიზნის მისაღწევად არის საჭირო, ხოლო მიზნის მიღწევის შემდეგ ისინი იშლება, ნადგურდება ან დეპერსონალიზებული ფორმით ინახება; და ბოლოს, უსაფრთხოებისთვის მიღებული უნდა იყოს შესაბამისი ტექნიკური და ორგანიზაციული ზომები.
განსაკუთრებით მნიშვნელოვანია იმავე მუხლის მე-7 პუნქტი: დამუშავებისთვის პასუხისმგებელი პირი პასუხისმგებელია ამ პრინციპების დაცვაზე და მან უნდა შეძლოს მათთან შესაბამისობის დასაბუთება. ეს არის პასუხისმგებლობის პრინციპი — კანონიერება არ უნდა იყოს მხოლოდ რეალურად არსებული, ის დასაბუთებადიც უნდა იყოს. თუ მონაცემები საწყისი მიზნისგან განსხვავებული მიზნით მუშავდება და ეს არ ხდება სუბიექტის თანხმობით ან კანონის საფუძველზე, პასუხისმგებელმა პირმა უნდა გაითვალისწინოს თავდაპირველ და ახალ მიზანს შორის კავშირი, მისი და სუბიექტის ურთიერთობის ხასიათი, სუბიექტის გონივრული მოლოდინი, განსაკუთრებული კატეგორიის მონაცემთა დამუშავების ფაქტი, შესაძლო შედეგები და უსაფრთხოების არსებული ზომები.
დაცვა დიზაინის დონეზე და საწყისი პარამეტრებით
კანონის მე-26 მუხლი მოითხოვს, რომ ახალი პროდუქტის ან მომსახურების შექმნისას დამუშავებისთვის პასუხისმგებელმა პირმა როგორც საშუალებების განსაზღვრისას, ისე უშუალოდ დამუშავების პროცესში მიიღოს სათანადო ტექნიკური და ორგანიზაციული ზომები — მათ შორის, ფსევდონიმიზაცია. ამ ზომებმა უნდა უზრუნველყონ დამუშავების პრინციპების ეფექტიანი განხორციელება და დაცვის მექანიზმების ინტეგრირება სუბიექტის უფლებების დასაცავად. ამავე მუხლის მე-2 პუნქტი აფიქსირებს საწყისი პარამეტრების წესს: მონაცემთა რაოდენობის, მასშტაბის, შენახვის ვადებისა და წვდომის განსაზღვრისას უზრუნველყოფილი უნდა იყოს, რომ ავტომატურად დამუშავდეს მონაცემების მხოლოდ ის მოცულობა, რომელიც კონკრეტული მიზნისთვის არის აუცილებელი, და რომ ალტერნატიული მიდგომის არჩევამდე პირთა განუსაზღვრელი წრისთვის ავტომატურად მხოლოდ მინიმალურ მონაცემებზე იქნება წვდომა უზრუნველყოფილი. ინფორმაციული მმართველობის თვალსაზრისით ეს ნიშნავს, რომ სისტემების პროექტირება სწორედ მონაცემთა მინიმიზაციით უნდა დაიწყოს.
დამუშავების აღრიცხვა და მიწოდება სახელმწიფო აუდიტის სამსახურისთვის
კანონის მე-28 მუხლის პირველი პუნქტით, დამუშავებისთვის პასუხისმგებელი პირი და მისი სპეციალური წარმომადგენელი ვალდებული არიან წერილობით ან ელექტრონულად უზრუნველყონ დამუშავებასთან დაკავშირებული ინფორმაციის აღრიცხვა: პასუხისმგებელი პირის, სპეციალური წარმომადგენლის, დაცვის ოფიცრის, თანადამუშავებისთვის პასუხისმგებელი პირებისა და დამუშავებაზე უფლებამოსილი პირის ვინაობა და კონტაქტები; დამუშავების მიზნები; მონაცემთა სუბიექტებისა და მონაცემთა კატეგორიები; მიმღებთა კატეგორიები, მათ შორის სხვა სახელმწიფოში არსებულები; სხვა სახელმწიფოსთვის ან საერთაშორისო ორგანიზაციასთვის გადაცემა და შესაბამისი გარანტიები, ნებართვის ჩათვლით; შენახვის ვადები ან მათი განსაზღვრის კრიტერიუმები; უსაფრთხოების ორგანიზაციულ-ტექნიკური ზომების ზოგადი აღწერა და ინციდენტების შესახებ ინფორმაცია. მსგავსი აღრიცხვა ეკისრება დამუშავებაზე უფლებამოსილ პირსაც. მოთხოვნის შემთხვევაში ეს ინფორმაცია სახელმწიფო აუდიტის სამსახურს უნდა მიეწოდოს დაუყოვნებლივ, მაგრამ არაუგვიანეს 3 სამუშაო დღისა. იმავე მუხლი აწესრიგებს სპეციალურ შემთხვევებსაც: ელექტრონული კომუნიკაციის კომპანია სამართალდამცავ ორგანოსთვის მაიდენტიფიცირებელი მონაცემების გადაცემის შესახებ სახელმწიფო აუდიტის სამსახურს უცნობებს გადაცემიდან 24 საათში, ხოლო გადაუდებელი აუცილებლობისას ფარული საგამოძიებო მოქმედების შესახებ პროკურორის დადგენილება წარედგინება მასში მითითებული დაწყების დროიდან არაუგვიანეს 12 საათისა.
პერსონალურ მონაცემთა დაცვის ოფიცერი
კანონის მე-33 მუხლის პირველი პუნქტით, საჯარო დაწესებულება, სადაზღვევო ორგანიზაცია, კომერციული ბანკი, მიკროსაფინანსო ორგანიზაცია, საკრედიტო ბიურო, ელექტრონული კომუნიკაციის კომპანია, ავიაკომპანია, აეროპორტი და სამედიცინო დაწესებულება, აგრეთვე ის პირი, რომელიც ამუშავებს დიდი რაოდენობით მონაცემთა სუბიექტების მონაცემებს ან ახორციელებს მათი ქცევის სისტემატურ და მასშტაბურ მონიტორინგს, ვალდებულია დანიშნოს ან განსაზღვროს პერსონალურ მონაცემთა დაცვის ოფიცერი. ოფიცერი უზრუნველყოფს თანამშრომლების ინფორმირებასა და კონსულტირებას, მონაწილეობს შიდა რეგულაციებისა და დაცვაზე ზეგავლენის შეფასების დოკუმენტის შემუშავებაში და ამოწმებს კანონმდებლობისა და შიდა დოკუმენტების შესრულებას, აანალიზებს განცხადებებსა და საჩივრებს, წარმოადგენს ორგანიზაციას სახელმწიფო აუდიტის სამსახურთან ურთიერთობაში და აწვდის სუბიექტს ინფორმაციას დამუშავების პროცესებისა და მისი უფლებების შესახებ. მნიშვნელოვანია, რომ ოფიცრის ფუნქცია შეიძლება შეასრულოს თანამშრომელმა ან სხვა პირმა მომსახურების ხელშეკრულების საფუძველზე — ანუ ფუნქციის აუთსორსინგი დაშვებულია — და რამდენიმე პირს შეიძლება საერთო ოფიცერი ჰყავდეთ. ოფიცერი მაქსიმალურად მაღალი დონის მმართველობის სტრუქტურის წინაშე ანგარიშვალდებული უნდა იყოს, უნდა ჰქონდეს სათანადო ცოდნა, ჩაერთოს მნიშვნელოვანი გადაწყვეტილებების მიღებაში და დამოუკიდებელი იყოს. დანიშვნიდან, შეცვლიდან 10 სამუშაო დღის ვადაში მისი ვინაობა და კონტაქტი ეცნობება სახელმწიფო აუდიტის სამსახურს და პროაქტიულად ქვეყნდება ვებგვერდზე.
მონაცემთა უსაფრთხოების ზომები
კანონის მე-27 მუხლი უსაფრთხოების ბლოკს ასრულებს: დამუშავებისთვის პასუხისმგებელი პირი ვალდებულია მიიღოს სათანადო ტექნიკური და ორგანიზაციული ზომები კანონთან შესაბამისობის უზრუნველსაყოფად და შეძლოს ამ შესაბამისობის დადასტურება. ზომები უნდა შეესაბამებოდეს შესაძლო და თანამდევ საფრთხეებს და მოიცავდეს, მათ შორის, ფსევდონიმიზაციას, მონაცემებზე წვდომის აღრიცხვას და ინფორმაციული უსაფრთხოების მექანიზმებს — კონფიდენციალურობას, მთლიანობას და ხელმისაწვდომობას. ზომების განსაზღვრისას გაითვალისწინება მონაცემთა კატეგორიები, მოცულობა, დამუშავების მიზანი, ფორმა, საშუალებები და სუბიექტის უფლებების დარღვევის შესაძლო საფრთხეები, ხოლო მათი ეფექტიანობა პერიოდულად შეიფასება და საჭიროების შემთხვევაში ახლდება. ელექტრონული ფორმის მონაცემებზე შესრულებული ყველა მოქმედება აღირიცხება — შეგროვება, შეცვლა, წვდომა, გამჟღავნება, დაკავშირება და წაშლა, ინციდენტების ჩათვლით; თანამშრომლები ვალდებული არიან დაიცვან მონაცემთა საიდუმლოება და კონფიდენციალურობა, მათ შორის უფლებამოსილების შეწყვეტის შემდეგაც, ხოლო წვდომის ფარგლები განისაზღვრება მათი უფლებამოსილებების მიხედვით. სწორედ ეს აღრიცხვები და ზომები ქმნის იმ სამტექნიკო საფუძველს, რომლის გარეშეც პასუხისმგებლობის დასაბუთება შეუძლებელია.
Legal.ge-ის გუნდი დაგეხმარებით ინფორმაციული მმართველობის სისტემის აგებაში — დამუშავების აღრიცხვის წარმოებიდან დაცვის ოფიცრის დანიშვნამდე და უსაფრთხოების ზომების დოკუმენტირებამდე.