სერვისის შესახებ
ციფრული მონაცემების შენახვა თითქმის ყოველი ორგანიზაციის ყოველდღიურობაა, მაგრამ სამართლებრივად ეს ერთ-ერთი ყველაზე ნაკლებად გააზრებული პროცესია: მონაცემები ინახება იმიტომ, რომ „ასე იყო ჩართული“, და არა იმიტომ, რომ ამას რომელიმე მიზანი მოითხოვს. საქართველოში მონაცემთა შენახვის სამართლებრივი ჩარჩო განსაზღვრავს „პერსონალურ მონაცემთა დაცვის შესახებ“ საქართველოს კანონი — მისი პრინციპების, უსაფრთხოების, მეტად დაფარვის და აღრიცხვის ნორმები ერთად ქმნის იმ წესებს, რომლებითაც უნდა ინახებოდეს ციფრული მონაცემები. ჩვენი სერვისი სწორედ ამ ჩარჩოზე მორგებული იურიდიული კონსულტაციაა: ვაანალიზებთ, როგორ და რამდენ ხნით ინახება თქვენი მონაცემები, რამდენად შეესაბამება ეს კანონს და როგორ გამოიყურება სწორად აწყობილი შენახვის რეჟიმი.
შენახვის შეზღუდვის პრინციპი — მონაცემი ინახება მიზნის მიღწევამდე
კანონის მეოთხე მუხლი ადგენს მონაცემთა დამუშავების პრინციპებს, რომელთა შორის შენახვის თვალსაზრისით გადამწყვეტია შემდეგი: მონაცემები შეიძლება შენახულ იქნეს მხოლოდ იმ ვადით, რომელიც აუცილებელია დამუშავების შესაბამისი ლეგიტიმური მიზნის მისაღწევად. იმ მიზნის მიღწევის შემდეგ, რომლისთვისაც მუშავდება მონაცემები, ისინი უნდა წაიშალოს, განადგურდეს ან შენახულ უნდა იქნეს დეპერსონალიზებული ფორმით — გარდა იმ შემთხვევისა, თუ მონაცემთა დამუშავება განსაზღვრულია კანონით ან კანონის შესაბამისად გამოცემული კანონქვემდებარე ნორმატიული აქტით და შენახვა აუცილებელი და პროპორციული ზომაა. თანახმად ამავე პრინციპებს, მონაცემები უნდა იყოს ნამდვილი და ზუსტი: არაზუსტი მონაცემები უნდა გასწორდეს, წაიშალოს ან განადგურდეს გაუმართლებელი დაყოვნების გარეშე. ეს კონკრეტულ სამუშაოს ნიშნავს: ორგანიზაციამ უნდა იცოდეს, ყველა მონაცემთა კატეგორიისთვის — რომელია შენახვის მიზანი, რომელია მიზნის მიღწევის მომენტი და რა ხდება ამ მომენტის შემდეგ.
უსაფრთხოების ზომები — რა უნდა იყოს დაცული შენახვისას
კანონის ოცდაშვიდე მუხლი უსაფრთხოების ვალდებულებას აწესრიგებს: დამუშავებისთვის პასუხისმგებელი პირი ვალდებულია მიიღოს სათანადო ტექნიკური და ორგანიზაციული ზომები მონაცემთა კანონის შესაბამისად დამუშავების უზრუნველსაყოფად და შეძლოს შესაბამისობის დადასტურება. კონკრეტულად დასახელებულია ის ზომებიც, რომლებიც ციფრული შენახვისთვისაა მნიშვნელოვანი: დამუშავებისთვის პასუხისმგებელი პირი და დამუშავებაზე უფლებამოსილი პირი ვალდებული არიან მიიღონ შესაძლო და თანამდევი საფრთხეების შესაბამისი ორგანიზაციული და ტექნიკური ზომები — მათ შორის, მონაცემთა ფსევდონიმიზაცია, მონაცემებზე წვდომის აღრიცხვა, ინფორმაციული უსაფრთხოების მექანიზმები, რომლებიც უზრუნველყოფს კონფიდენციალურობას, მთლიანობას და ხელმისაწვდომობას. ზომები უნდა იყოს პროპორციული: გათვალისწინებულ უნდა იყოს მონაცემთა კატეგორიები, მოცულობა, დამუშავების მიზანი, ფორმა და საშუალებები, ასევე მონაცემთა სუბიექტის უფლებების დარღვევის შესაძლო საფრთხეები, და პერიოდულად უნდა ფასდებოდეს აღებული ზომების ეფექტიანობა. ციფრული შენახვის კონსულტაციისას სწორედ ამ ელემენტებს ვამოწმებთ: არის თუ არა წვდომა ლოგირებული, არის თუ არა სათანადო რეზერვირება, ვინ ხედავს რას და როგორ იცავს სისტემა მონაცემებს კარგვისა და გამჟღავნებისგან.
მეტად დაფარვა — მინიმიზაცია, როგორც ავტომატურად გამოყენებული საწყისი მეთოდი
ციფრული სისტემების პროექტირებისას და განახლებისას მოქმედებს ოცდაექვსე მუხლით დადგენილი მოთხოვნა: დამუშავებისთვის პასუხისმგებელმა პირმა, ახალი ტექნოლოგიების, ხარჯების, დამუშავების ხასიათის, მასშტაბის, კონტექსტისა და მიზნების, აგრეთვე მონაცემთა სუბიექტის უფლებებისთვის მოსალოდნელი რისკების გათვალისწინებით, როგორც დამუშავების საშუალებების განსაზღვრის, ისე უშუალოდ დამუშავების პროცესში უნდა მიიღოს შესაბამისი ტექნიკური და ორგანიზაციული ზომები, მათ შორის ფსევდონიმიზაცია. კანონი ამას იმით ამთავრებს, რომ მონაცემთა რაოდენობის, დამუშავების მასშტაბის, შენახვის ვადებისა და მონაცემებზე წვდომის განსაზღვრისას უნდა უზრუნველყოფილი იყოს ისეთი ზომების მიღება, რომ ავტომატურად დამუშავდეს მონაცემების მხოლოდ ის მოცულობა, რომელიც აუცილებელია კონკრეტული მიზნისთვის, და ნებადართული ალტერნატიული მიდგომის არჩევამდე ავტომატურად უზრუნველყოფილი იქნება წვდომა მხოლოდ მინიმალურ მოცულობაზე. პრაქტიკული ენით: ახალი სისტემის აწყობისას თავიდანვე უნდა იყოს დაყენებული ისეთი კონფიგურაცია, რომელიც არაფერს არ აგროვებს ზედმეტს — და არა ისეთი, რომელიც ყველაფერს ინახავს და შემდეგ „გავასუფთავებთ“.
აღრიცხვა — შენახვა დოკუმენტურად უნდა არსებობდეს
ოცდარვა მუხლი მოითხოვს მონაცემთა დამუშავებასთან დაკავშირებული ინფორმაციის წერილობით ან ელექტრონულ აღრიცხვას: დამუშავებისთვის პასუხისმგებელი პირი და მისი სპეციალური წარმომადგენელი ვალდებულია უზრუნველყოს ისეთი ცნობების აღრიცხვას, როგორიცაა დამუშავების მიზნები, მონაცემთა სუბიექტებისა და კატეგორიების შესახებ ინფორმაცია, მონაცემთა მიმღებთა კატეგორიები, შენახვის ვადები, ხოლო თუ კონკრეტული ვადის განსაზღვრა შეუძლებელია — მათი განსაზღვრის კრიტერიუმები, ასევე მიღებული უსაფრთხოების ზომების აღწერა და ინციდენტების შესახებ ინფორმაცია. ეს აღრიცხვა სწორედ ის დოკუმენტია, რომელშიც შენახვის რეჟიმი თვალსაჩინო ხდება — და კანონით დადგენილი წესით, შესაბამისი მოთხოვნისთანავე, დაუყოვნებლივ, მაგრამ არაუგვიანეს 3 სამუშაო დღისა, უნდა მიეწოდოს სახელმწიფო აუდიტის სამსახურს. ანუ ჩანაწერები ისე უნდა იყოს შედგენილი, რომ მოთხოვნის დროს სწრაფად წარდგენადი იყოს.
რას ვაკეთებთ კონსულტაციის ფარგლებში
კონსულტაცია იწყება არსებული მდგომარეობის ანალიზით: რომელი სისტემები ინახავს მონაცემებს, რომელი მიზნებით, რა ვადით და რომელი წვდომებით. შემდეგ ვადგენთ შესაბამისობის ხარვეზებს — განსაზღვრული ვადის არქონა, მიზნის მიღწევის შემდეგ დარჩენილი მონაცემები, არასათანადო უსაფრთხოების ზომები, აღრიცხვაში არაასახული პროცესები — და გაძლევთ კონკრეტულ რეკომენდაციებს: რომელი მონაცემები უნდა წაიშალოს ან დეპერსონალიზდეს, როგორ უნდა განისაზღვროს შენახვის ვადები და კრიტერიუმები, რა უნდა ჩაიწეროს აღრიცხვაში. შედეგად მიიღებთ არა ზოგად რჩევას, არამედ თქვენი ორგანიზაციის შენახვის რეჟიმის სრულ სურათს და გამართვის გეგმას.
როგორ დაიწყოთ
მომართეთ ჩვენთან იმ მასალით, რაც გაქვთ — სისტემების ჩამონათვალი, არსებული პოლიტიკები, მიზნების აღწერა. პირველივე შეხვედრაზე შევაფასებთ მდგომარეობას და დავგეგმავთ შემდგომ ნაბიჯებს. თუ მონაცემების შენახვა უკვე დავის ან შემოწმების საგანია, იმავე ჩარჩოზე დაყრდნობით შევაფასებთ თქვენს პოზიციას და მოვამზადებთ სათანადო პასუხს. გაითვალისწინეთ: სწორად აწყობილი შენახვის რეჟიმი არა მხოლოდ კანონთან შესაბამისობაა, არამედ ზარალისგან დაცვაც — ზედმეტად და უმიზნოდ შენახული მონაცემები თავადვე ხდება რისკი.