სერვისის შესახებ
მონაცემთა ინციდენტი — უსაფრთხოების ხარვეზი, რომლის შედეგადაც მონაცემები შემთხვევით ან უკანონოდ ნადგურდება, იკარგება, იშლება, იცვლება, გამჟღავნდება ან მათზე ხდება წვდომა — ორგანიზაციისთვის არა მხოლოდ ტექნიკური, არამედ სამართლებრივი მოვლენაა. „პერსონალურ მონაცემთა დაცვის შესახებ“ საქართველოს კანონი დამუშავებისთვის პასუხისმგებელ პირს ავალდებულებს ინციდენტის აღრიცხვას და მის შესახებ შეტყობინებას. ამასთან, მნიშვნელოვანია ერთი გარემოება ადრევე ითქვას: მოქმედი კანონმდებლობით მონაცემთა დაცვის სფეროში ზედამხედველობას სახელმწიფო აუდიტის სამსახური ახორციელებს და შეტყობინებაც ზუსტად მას ეგზავნება — „ინსპექტორის“ სახელწოდება ძველი ინსტიტუტის დარჩენილი მემკვიდრეობაა. ჩვენი სერვისი ორგანიზაციებს ინციდენტზე სამართლებრივ რეაგირებაში ეხმარება: ვალდებულებების დადგენა, შეტყობინების მომზადება და სანქციების რისკის მართვა.
შეტყობინების ვალდებულება — 72 საათი
კანონის 29-ე მუხლი ძირითად წესს ადგენს: დამუშავებისთვის პასუხისმგებელი პირი ვალდებულია აღრიცხოს ინციდენტი, დამდგარი შედეგი, მიღებული ზომები და ინციდენტის აღმოჩენიდან არაუგვიანეს 72 საათისა მის შესახებ წერილობით ან ელექტრონულად შეატყობინოს სახელმწიფო აუდიტის სამსახურს — გარდა იმ შემთხვევისა, როდესაც ნაკლებად სავარაუდოა, რომ ინციდენტი მნიშვნელოვან ზიანს გამოიწვევს ან მნიშვნელოვან საფრთხეს შეუქმნის ადამიანის ძირითად უფლებებსა და თავისუფლებებს. ანუ საათები ინციდენტის აღმოჩენის მომენტიდან ითვლება და არა მისი სრული გამოძიების დასრულებიდან — ეს განსხვავება პრაქტიკაში გადამწყვეტია. ამასთან, თუ ერთიანად და სრულად მოთხოვნილი ინფორმაციის მიწოდება შეუძლებელია, დამუშავებისთვის პასუხისმგებელ პირს უფლება აქვს სახელმწიფო აუდიტის სამსახურთან შეთანხმებით, გონივრულ ვადაში, ეტაპობრივად მიაწოდოს ინფორმაცია.
რა უნდა შეიძლებოდეს შეტყობინებაში
კანონი შეტყობინების შინაარსს ზუსტად აღწერს. ის უნდა შეიცავდეს: ინციდენტის გარემოებების, სახისა და დროის შესახებ ინფორმაციას; ინციდენტის შედეგად უნებართვოდ გამჟღავნებული, დაზიანებული, წაშლილი, განადგურებული, მოპოვებული, დაკარგული ან შეცვლილი მონაცემების სავარაუდო კატეგორიებისა და რაოდენობის, აგრეთვე იმ მონაცემთა სუბიექტების სავარაუდო კატეგორიებისა და რაოდენობის შესახებ, რომლებსაც ინციდენტის შედეგად საფრთხე შეექმნათ; ინციდენტით გამოწვეული სავარაუდო ზიანისა და მისი შემცირების ან აღმოფხვრის მიზნით განხორციელებული ან დაგეგმილი ღონისძიებების შესახებ; იმის შესახებ, გეგმავს თუ არა დამუშავებისთვის პასუხისმგებელი პირი მონაცემთა სუბიექტის ინფორმირებას და რა ვადაში; და პერსონალურ მონაცემთა დაცვის ოფიცრის ან სხვა საკონტაქტო პირის მონაცემებს. სწორედ ეს ხუთი ელემენტი წარმოადგენს იმ მინიმუმს, რომლის გარეშეც შეტყობინება არასრულად ითვლება.
დამუშავებაზე უფლებამოსილი პირის როლი
თუ დამუშავებას ახორციელებს ან ხელს უწყობს მას სხვა პირი — მაგალითად, გარე სერვისის მომწოდებელი — კანონი მასზეც ავრცელებს მკაფიო მოთხოვნას: დამუშავებაზე უფლებამოსილი პირი ვალდებულია ინციდენტის შესახებ დაუყოვნებლივ აცნობოს დამუშავებისთვის პასუხისმგებელ პირს. ეს ნიშნავს, რომ ინციდენტის აღმოჩენის დრო და გადაცემის ჯაჭვი ხელშეკრულებით უნდა იყოს აწყობილი ისე, რომ პასუხისმგებელ პირს 72 საათი რეალურად ეყოს — ხელშეკრულებაში განსაზღვრული ერთი დღეც კი, სერიოზული ინციდენტისას, დროის მესამედს შეჭამს.
მონაცემთა სუბიექტის ინფორმირება
ორგანიზაციის ვალდებულება ხელისუფლებასთან არ ამოიწურება. კანონის 30-ე მუხლის თანახმად, თუ ინციდენტი მაღალი ალბათობით გამოიწვევს მნიშვნელოვან ზიანს ან მნიშვნელოვან საფრთხეს შეუქმნის ადამიანის ძირითად უფლებებსა და თავისუფლებებს, დამუშავებისთვის პასუხისმგებელი პირი ვალდებულია ინციდენტის აღმოჩენიდან პირველი შესაძლებლობისთანავე, გაუმართლებელი დაყოვნების გარეშე აცნობოს მონაცემთა სუბიექტს ინციდენტის შესახებ და მარტივ და მისთვის გასაგებ ენაზე მიაწოდოს ინფორმაცია: ინციდენტისა და მასთან დაკავშირებული გარემოებების ზოგადი აღწერა, სავარაუდო ან დამდგარი ზიანი და მის შესამცირებლად ან აღმოსაფხვრელად განხორციელებული ან დაგეგმილი ღონისძიებები, აგრეთვე საკონტაქტო პირის მონაცემები. თუ ცალ-ცალკე ინფორმირება არაპროპორციულად დიდ ხარჯებს მოითხოვს, ინფორმაცია საჯაროდ უნდა გავრცელდეს ისე, რომ სუბიექტებმა მისი მიღების რეალური შესაძლებლობა ჰქონდეთ. კანონი გამონაკლისებსაც იძლევა — მაგალითად, როცა მიღებული უსაფრთხოების ზომების შედეგად ადამიანის უფლებების დარღვევის მნიშვნელოვანი საფრთხე თავიდან იქნა აცილებული — მაგრამ ამ შეფასების დასაბუთება პასუხისმგებელი პირის ტვირთია.
ჯარიმები
სახელმწიფო აუდიტის სამსახურისთვის შეტყობინების ვალდებულების შეუსრულებლობა ადმინისტრაციულ პასუხისმგებლობას იწვევს: გაფრთხილება ან ჯარიმა 2 000 ლარის ოდენობით მათთვის, ვისაც წლიური ბრუნვა 500 000 ლარს არ აღემატება, და გაფრთხილება ან ჯარიმა 3 000 ლარის ოდენობით მათთვის, ვისაც ბრუნვა 500 000 ლარს აღემატება. დამამძიმებელი გარემოებების არსებობისას ეს თანხები იზრდება — შესაბამისად 3 000 და 5 000 ლარამდე. ანუ დაგვიანებული ან გამოტოვებული შეტყობინება ზუსტად გაზომილ ფინანსურ შედეგს ქმნის.
მნიშვნელოვანია კიდევ ერთი დეტალი: სახელმწიფო აუდიტის სამსახურს შეტყობინების საფუძველზე შეუძლია ინციდენტის შესახებ მის ხელთ არსებული ინფორმაციის გასაჯაროებაც, თუ პასუხისმგებელი პირი სუბიექტების ინფორმირებას არ უზრუნველყოფს — ხოლო გარკვეული სახელმწიფო ან საზოგადოებრივი ინტერესების არსებობის შემთხვევაში ეს გამონაკლისად რჩება. ამიტომ სწორი საკომუნიკაციო გეგმა ინციდენტის სამართლებრივი რეაგირების განუყოფელი ნაწილია.როგორ დაგეხმარებით
ჩვენი სპეციალისტები დაგეხმარებით ინციდენტის სამართლებრივი კვალიფიკაციაში — არის თუ არა მოვლენა კანონის გაგებით ინციდენტი, ექვემდებარება თუ არა შეტყობინებას და რომელი ვადა მოქმედებს; მოვამზადებთ სახელმწიფო აუდიტის სამსახურისთვის წარსადგენ შეტყობინებას კანონით განსაზღვრული ხუთი ელემენტის სრულად დაცვით; დაგეხმარებთ მონაცემთა სუბიექტების ინფორმირების გადაწყვეტილების მიღებასა და ტექსტის მომზადებაში. ინციდენტის წინასწარ მოსამზადებლად კი ვხატავთ რეაგირების გეგმას, რომელიც ვადებს, პასუხისმგებლობებს და შეტყობინების შაბლონებს ორგანიზაციაში ადრეულ ეტაპზე აწყობს. მიმართეთ — და მიიღეთ კონკრეტული ნაბიჯები თქვენი სიტუაციისთვის, ინციდენტის დადგომის პირველივე საათებიდან დაწყებული.