სერვისის შესახებ
მონაცემთა ინციდენტი — უსაფრთხოების ხარვეზი, რომლის შედეგადაც მონაცემები შემთხვევით ან უკანონოდ ნადგურდება, იკარგება, იშლება, იცვლება, გამჟღავნდება ან მათზე ხდება წვდომა — ორგანიზაციისთვის არა მხოლოდ ტექნიკური, არამედ სამართლებრივი მოვლენაა. „პერსონალურ მონაცემთა დაცვის შესახებ“ საქართველოს კანონი დამუშავებისთვის პასუხისმგებელ პირს ავალდებულებს ინციდენტის აღრიცხვას და მის შესახებ შეტყობინებას. ამასთან, მნიშვნელოვანია ერთი გარემოება ადრევე ითქვას: მოქმედი კანონმდებლობით მონაცემთა დაცვის სფეროში ზედამხედველობას სახელმწიფო აუდიტის სამსახური ახორციელებს და შეტყობინებაც ზუსტად მას ეგზავნება — „ინსპექტორის“ სახელწოდება ძველი ინსტიტუტის დარჩენილი მემკვიდრეობაა. ჩვენი სერვისი ორგანიზაციებს ინციდენტზე სამართლებრივ რეაგირებაში ეხმარება: ვალდებულებების დადგენა, შეტყობინების მომზადება და სანქციების რისკის მართვა.
შეტყობინების ვალდებულება — 72 საათი
კანონის 29-ე მუხლი ძირითად წესს ადგენს: დამუშავებისთვის პასუხისმგებელი პირი ვალდებულია აღრიცხოს ინციდენტი, დამდგარი შედეგი, მიღებული ზომები და ინციდენტის აღმოჩენიდან არაუგვიანეს 72 საათისა მის შესახებ წერილობით ან ელექტრონულად შეატყობინოს სახელმწიფო აუდიტის სამსახურს — გარდა იმ შემთხვევისა, როდესაც ნაკლებად სავარაუდოა, რომ ინციდენტი მნიშვნელოვან ზიანს გამოიწვევს ან მნიშვნელოვან საფრთხეს შეუქმნის ადამიანის ძირითად უფლებებსა და თავისუფლებებს. ანუ საათები ინციდენტის აღმოჩენის მომენტიდან ითვლება და არა მისი სრული გამოძიების დასრულებიდან — ეს განსხვავება პრაქტიკაში გადამწყვეტია. ამასთან, თუ ერთიანად და სრულად მოთხოვნილი ინფორმაციის მიწოდება შეუძლებელია, დამუშავებისთვის პასუხისმგებელ პირს უფლება აქვს სახელმწიფო აუდიტის სამსახურთან შეთანხმებით, გონივრულ ვადაში, ეტაპობრივად მიაწოდოს ინფორმაცია.
რა უნდა შეიძლებოდეს შეტყობინებაში
კანონი შეტყობინების შინაარსს ზუსტად აღწერს. ის უნდა შეიცავდეს: ინციდენტის გარემოებების, სახისა და დროის შესახებ ინფორმაციას; ინციდენტის შედეგად უნებართვოდ გამჟღავნებული, დაზიანებული, წაშლილი, განადგურებული, მოპოვებული, დაკარგული ან შეცვლილი მონაცემების სავარაუდო კატეგორიებისა და რაოდენობის, აგრეთვე იმ მონაცემთა სუბიექტების სავარაუდო კატეგორიებისა და რაოდენობის შესახებ, რომლებსაც ინციდენტის შედეგად საფრთხე შეექმნათ; ინციდენტით გამოწვეული სავარაუდო ზიანისა და მისი შემცირების ან აღმოფხვრის მიზნით განხორციელებული ან დაგეგმილი ღონისძიებების შესახებ; იმის შესახებ, გეგმავს თუ არა დამუშავებისთვის პასუხისმგებელი პირი მონაცემთა სუბიექტის ინფორმირებას და რა ვადაში; და პერსონალურ მონაცემთა დაცვის ოფიცრის ან სხვა საკონტაქტო პირის მონაცემებს. სწორედ ეს ხუთი ელემენტი წარმოადგენს იმ მინიმუმს, რომლის გარეშეც შეტყობინება არასრულად ითვლება.