ინფორმაციული მმართველობის სამართლებრივი ჩარჩო საქართველოში
ინფორმაციული მმართველობა ნიშნავს ორგანიზაციაში მონაცემების მართვის ისეთ სისტემას, რომელიც უზრუნველყოფს მონაცემთა კანონიერად შეგროვებას, სიზუსტეს, უსაფრთხოებას და ამ ყველაფრის დასაბუთების შესაძლებლობას. საქართველოში ამ სფეროსთვის ცალკე დარგობრივი კანონი არ არსებობს — ინფორმაციული მმართველობის სამართლებრივი ჩარჩო აგებულია „პერსონალურ მონაცემთა დაცვის შესახებ“ საქართველოს კანონზე, რომელიც ევროკავშირის ზოგადი მონაცემთა დაცვის რეგლამენტის მიდგომებს იზიარებს, მაგრამ სწორედ ეს კანონი ქმნის სავალდებულო წესებს ქართული ორგანიზაციებისთვის. პრაქტიკულად ეს ჩარჩო ოთხი სვეტისგან შედგება: დამუშავების პრინციპები და პასუხისმგებლობა, დაცვა დიზაინის დონეზე, დამუშავების აღრიცხვა და პერსონალურ მონაცემთა დაცვის ოფიცრის ინსტიტუტი, აგრეთვე უსაფრთხოების ზომები. ქვემოთ თითოეულს დეტალურად განვხილავთ.
მონაცემთა დამუშავების პრინციპები და პასუხისმგებლობა
კანონის მე-4 მუხლის პირველი პუნქტი ასახელებს იმ პრინციპებს, რომლებიც ყოველი დამუშავებისას უნდა იყოს დაცული: მონაცემები მუშავდება კანონიერად, სამართლიანად, სუბიექტისთვის გამჭვირვალედ და მისი ღირსების შეულახავად; მონაცემები შეგროვდება მხოლოდ კონკრეტული, მკაფიოდ განსაზღვრული და ლეგიტიმური მიზნებისთვის და შემდგომი დამუშავება თავდაპირველ მიზანთან შეუთავსებელი მიზნით დაუშვებელია; მონაცემები მუშავდება მხოლოდ იმ მოცულობით, რომელიც ლეგიტიმური მიზნისთვის არის აუცილებელი; მონაცემები უნდა იყოს ნამდვილი და ზუსტი, ხოლო არაზუსტი მონაცემები უნდა გასწორდეს, წაიშალოს ან განადგურდეს გაუმართლებელი დაყოვნების გარეშე; მონაცემები ინახება მხოლოდ იმ ვადით, რაც მიზნის მისაღწევად არის საჭირო, ხოლო მიზნის მიღწევის შემდეგ ისინი იშლება, ნადგურდება ან დეპერსონალიზებული ფორმით ინახება; და ბოლოს, უსაფრთხოებისთვის მიღებული უნდა იყოს შესაბამისი ტექნიკური და ორგანიზაციული ზომები.
განსაკუთრებით მნიშვნელოვანია იმავე მუხლის მე-7 პუნქტი: დამუშავებისთვის პასუხისმგებელი პირი პასუხისმგებელია ამ პრინციპების დაცვაზე და მან უნდა შეძლოს მათთან შესაბამისობის დასაბუთება. ეს არის პასუხისმგებლობის პრინციპი — კანონიერება არ უნდა იყოს მხოლოდ რეალურად არსებული, ის დასაბუთებადიც უნდა იყოს. თუ მონაცემები საწყისი მიზნისგან განსხვავებული მიზნით მუშავდება და ეს არ ხდება სუბიექტის თანხმობით ან კანონის საფუძველზე, პასუხისმგებელმა პირმა უნდა გაითვალისწინოს თავდაპირველ და ახალ მიზანს შორის კავშირი, მისი და სუბიექტის ურთიერთობის ხასიათი, სუბიექტის გონივრული მოლოდინი, განსაკუთრებული კატეგორიის მონაცემთა დამუშავების ფაქტი, შესაძლო შედეგები და უსაფრთხოების არსებული ზომები.
დაცვა დიზაინის დონეზე და საწყისი პარამეტრებით
კანონის მე-26 მუხლი მოითხოვს, რომ ახალი პროდუქტის ან მომსახურების შექმნისას დამუშავებისთვის პასუხისმგებელმა პირმა როგორც საშუალებების განსაზღვრისას, ისე უშუალოდ დამუშავების პროცესში მიიღოს სათანადო ტექნიკური და ორგანიზაციული ზომები — მათ შორის, ფსევდონიმიზაცია. ამ ზომებმა უნდა უზრუნველყონ დამუშავების პრინციპების ეფექტიანი განხორციელება და დაცვის მექანიზმების ინტეგრირება სუბიექტის უფლებების დასაცავად. ამავე მუხლის მე-2 პუნქტი აფიქსირებს საწყისი პარამეტრების წესს: მონაცემთა რაოდენობის, მასშტაბის, შენახვის ვადებისა და წვდომის განსაზღვრისას უზრუნველყოფილი უნდა იყოს, რომ ავტომატურად დამუშავდეს მონაცემების მხოლოდ ის მოცულობა, რომელიც კონკრეტული მიზნისთვის არის აუცილებელი, და რომ ალტერნატიული მიდგომის არჩევამდე პირთა განუსაზღვრელი წრისთვის ავტომატურად მხოლოდ მინიმალურ მონაცემებზე იქნება წვდომა უზრუნველყოფილი. ინფორმაციული მმართველობის თვალსაზრისით ეს ნიშნავს, რომ სისტემების პროექტირება სწორედ მონაცემთა მინიმიზაციით უნდა დაიწყოს.