რა არის კონფიდენციალობის ზემოქმედების შეფასება ქართულ სამართალში
კონფიდენციალობის ზემოქმედების შეფასება არის სისტემური ანალიზი, რომელიც განისაზღვრებს, რა გავლენას მოახდენს დაგეგმილი ან მიმდინარე მონაცემთა დამუშავება მონაცემთა სუბიექტის უფლებებსა და თავისუფლებებზე და რომელი ტექნიკური თუ ორგანიზაციული ზომებია საჭირო რისკების მართვისთვის. მნიშვნელოვანია გაითვალისწინოთ, რომ საქართველოში ცალკე, სპეციალურად ამ სახელწოდების მქონე კანონი არ არსებობს: შეფასების ვალდებულება და მისი მეთოდოლოგია ეყრდნობა „პერსონალურ მონაცემთა დაცვის შესახებ“ საქართველოს კანონს, უწინარეს ყოვლისა კი ამ კანონის მე-4, მე-26, მე-27 და 31-ე მუხლებს. ეს გვერდი სწორედ ამ ნორმების საფუძველზე ხსნის, როგორ უნდა ააწყოს ორგანიზაციამ რისკზე ორიენტირებული მიდგომა კონფიდენციალურობის დაცვისთვის.
საერთაშორისო ტერმინოლოგია ამ პროცესს ხშირად ევროპული მოდელის სახელით მოიხსენიებს, თუმცა ქართულ სამართლებრივ კონტექსტში გადამწყვეტია ქართული კანონის ნორმები: ევროპული რეგულაცია აქ მხოლოდ შედარების ჩარჩოა, რომლისკენაც ქართული კანონი მიმართულია. შესაბამისად, ნებისმიერი შიდა დოკუმენტი — იქნება ეს კონფიდენციალურობის შეფასების ანგარიში თუ რისკების რეესტრი — უნდა იყოს მიბმული ამ კანონის ზუსტ მუხლებზე და არა უცხოურ სტანდარტებზე.
დამუშავების პრინციპები, როგორც შეფასების საზომი ჩარჩო
შეფასების საწყისი წერტილი კანონის მე-4 მუხლით განსაზღვრული დამუშავების პრინციპებია. პირველი პუნქტის თანახმად, მონაცემები უნდა დამუშავდეს კანონიერად, სამართლიანად, მონაცემთა სუბიექტისთვის გამჭვირვალედ და მისი ღირსების შეულახავად. მონაცემები შეგროვდება მხოლოდ კონკრეტული, მკაფიოდ განსაზღვრული და ლეგიტიმური მიზნებისთვის და დაუშვებელია მათი შემდგომი დამუშავება თავდაპირველ მიზანთან შეუთავსებელი მიზნით. ამავე პუნქტში განსაზღვრულია მონაცემთა მხოლოდ აუცილებელი მოცულობით დამუშავებისა და მიზანთან თანაზომიერების მოთხოვნა, მონაცემთა ნამდვილობის, ზუსტობისა და საჭიროების შემთხვევაში განახლების მოთხოვნა, შენახვის ვადის შეზღუდვა და მონაცემთა უსაფრთხოების პრინციპი, რომლის მიხედვითაც მიღებული უნდა იქნეს ისეთი ტექნიკური და ორგანიზაციული ზომები, რომლებიც უზრუნველყოფს დაცვას უნებართვო ან უკანონო დამუშავებისგან, შემთხვევითი დაკარგვისგან, განადგურებისგან ან დაზიანებისგან.
მე-4 მუხლის მე-7 პუნქტი შეფასების ანგარიშვალდებულების საყრდენს ქმნის: დამუშავებისთვის პასუხისმგებელი პირი პასუხისმგებელია ამ პრინციპების დაცვაზე და მან უნდა შეძლოს მათთან შესაბამისობის დასაბუთება. ეს ნიშნავს, რომ შეფასება არ არის მხოლოდ სასურველი პრაქტიკა — ის პრინციპების დაცვის დასაბუთების ინსტრუმენტია, რომლის გარეშეც ორგანიზაციას უჭირს კანონიერების დემონსტრირება.
ცალკე უნდა აღინიშნოს მე-4 მუხლის მე-2 პუნქტი, რომელიც განსხვავებული მიზნით დამუშავების შესაბამისობის ტესტს აწესებს: უნდა გაითვალისწინოს არსებობს თუ არა კავშირი თავდაპირველ და შემდგომ მიზანს შორის; დამუშავებისთვის პასუხისმგებელ პირსა და მონაცემთა სუბიექტს შორის არსებული ურთიერთობის ხასიათი; აქვს თუ არა სუბიექტს შემდგომი დამუშავების გონივრული მოლოდინი; ხორციელდება თუ არა განსაკუთრებული კატეგორიის მონაცემთა დამუშავება; შესაძლო შედეგები და უსაფრთხოების ზომების არსებობა. ეს ექვსი ფაქტორი ზუსტად ის კითხვებია, რომლებზეც კონფიდენციალობის შეფასებამაც უნდა უპასუხოს.
კონფიდენციალურობის დაპროექტება და ნაგულისხმევი დაცვა
კანონის მე-26 მუხლი წარმოადგენს შეფასების ინჟინერიულ განზომილებას. მისი პირველი პუნქტის თანახმად, ახალი ტექნოლოგიების, განხორციელების ხარჯების, დამუშავების ხასიათის, მასშტაბის, კონტექსტისა და მიზნების, აგრეთვე მონაცემთა სუბიექტის უფლებებისა და თავისუფლებებისთვის მოსალოდნელი რისკების გათვალისწინებით, დამუშავებისთვის პასუხისმგებელმა პირმა, როგორც დამუშავების საშუალებების განსაზღვრისას, ისე უშუალოდ დამუშავების პროცესში, უნდა მიიღოს სათანადო ტექნიკური და ორგანიზაციული ზომები, მათ შორის ფსევდონიმიზაცია. ამ ზომების მიღება უნდა უზრუნველყოფდეს დამუშავების პრინციპების ეფექტიან განხორციელებას და დაცვის მექანიზმების ინტეგრირებას დამუშავების პროცესში.
მეორე პუნქტი ნაგულისხმევ დაცვას აწესრიგებს: მონაცემთა რაოდენობის, დამუშავების მასშტაბის, შენახვის ვადებისა და მონაცემებზე წვდომის განსაზღვრისას უნდა უზრუნველყოფილი იყოს ისეთი ზომების მიღება, რომ ავტომატურად დამუშავდეს მონაცემების მხოლოდ ის მოცულობა, რომელიც აუცილებელია კონკრეტული მიზნისთვის. ზომები ისე უნდა გამოიყენებოდეს, რომ ალტერნატიული მიდგომის არჩევამდე პირთა განუსაზღვრელი წრისთვის ავტომატურად უზრუნველყოფილი იყოს წვდომა მონაცემთა მხოლოდ მინიმალურ მოცულობაზე. კონფიდენციალურობის შეფასებისას სწორედ ამ მოთხოვნების შესრულებას ამოწმებთ თითოეული ახალი პროდუქტის ან მომსახურების შექმნისას.
უსაფრთხოების ზომები და მოქმედებების აღრიცხვა
მე-27 მუხლი შეფასების ტექნიკურ ბლოკს ქმნის. მისი პირველი პუნქტის მიხედვით, დამუშავებისთვის პასუხისმგებელი პირი ვალდებულია მიიღოს სათანადო ტექნიკური და ორგანიზაციული ზომები კანონთან შესაბამისობის უზრუნველსაყოფად და შეძლოს ამ შესაბამისობის დადგენა. მე-2 პუნქტი დამუშავების შესაძლო და თანამდევ საფრთხეებთან შესაბამისობას მოითხოვს: ზომები, მათ შორის მონაცემთა ფსევდონიმიზაცია, მონაცემებზე წვდომის აღრიცხვა და ინფორმაციული უსაფრთხოების მექანიზმები — კონფიდენციალურობა, მთლიანობა, ხელმისაწვდომობა — უნდა უზრუნველყოფდნენ დაცვას მონაცემთა დაკარგვისგან და უკანონო დამუშავებისგან, მათ შორის განადგურებისგან, წაშლისგან, შეცვლისგან, გამჟღავნებისგან ან გამოყენებისგან.
მე-3 პუნქტი ზომების განსაზღვრისას მოითხოვს მონაცემთა კატეგორიების, მოცულობის, დამუშავების მიზნის, ფორმისა და საშუალებების, აგრეთვე სუბიექტის უფლებების დარღვევის შესაძლო საფრთხეების გათვალისწინებას და პერიოდულად მიღებული ზომების ეფექტიანობის შეფასებას. მე-4 პუნქტი აღრიცხვას აწესებს: ელექტრონული ფორმით არსებულ მონაცემებთან შესრულებული ყველა მოქმედება — ინციდენტების, შეგროვების, შეცვლის, წვდომის, გამჟღავნების, დაკავშირებისა და წაშლის შესახებ — უნდა აღირიცხებოდეს, ხოლო არაელექტრონული ფორმის შემთხვევაში აღირიცხება გამჟღავნებასთან ან ცვლილებასთან დაკავშირებული ყველა მოქმედება.
ადამიანური განზომილებაც მნიშვნელოვანია. მე-5 პუნქტის მიხედვით, დამუშავებაში მონაწილე ან მონაცემებზე წვდომის მქონე თითოეული თანამშრომელი ვალდებულია არ გასცდეს მინიჭებული უფლებამოსილების ფარგლებს, დაიცვას მონაცემთა საიდუმლოება და კონფიდენციალურობა, მათ შორის სამსახურებრივი უფლებამოსილების შეწყვეტის შემდეგაც. მე-6 პუნქტი კი ორგანიზაციას ავალდებულებს თანამშრომელთა უფლებამოსილებების შესაბამისად განსაზღვროს წვდომის ფარგლები და მიიღოს ღონისძიებები უკანონო დამუშავების ფაქტების თავიდან ასაცილებლად, გამოსავლენად და აღსაკვეთად.
როდის გადაიზრდება შეფასება სავალდებულო ფორმალურ დოკუმენტში
კონფიდენციალურობის შეფასების ზოგადი პრაქტიკა სავალდებულო ფორმად გარდაიქმნება მაშინ, როდესაც რისკი მაღალია. კანონის 31-ე მუხლის პირველი პუნქტის მიხედვით, თუ დამუშავებისას ახალი ტექნოლოგიების, მონაცემთა კატეგორიის, მოცულობის, მიზნებისა და საშუალებების გათვალისწინებით მაღალი ალბათობით იქმნება ადამიანის ძირითადი უფლებებისა და თავისუფლებების შელახვის საფრთხე, დამუშავებისთვის პასუხისმგებელი პირი ვალდებულია წინასწარ განახორციელოს მონაცემთა დაცვაზე ზეგავლენის შეფასება. გარდა ამისა, შეფასება უპირობოდ სავალდებულოა სამ შემთხვევაში: სრულად ავტომატიზებული გადაწყვეტილებების, მათ შორის პროფაილინგის დროს; დიდი რაოდენობით განსაკუთრებული კატეგორიის მონაცემების დამუშავებისას; და საზოგადოებრივი თავშეყრის ადგილებში სისტემატური და მასშტაბური მონიტორინგისას. დიდი რაოდენობად მიიჩნევა საქართველოს მოსახლეობის არანაკლებ 3 პროცენტი, გამოთვლილი მოსახლეობის აღწერის ბოლო შედეგების მიხედვით.
ამ დონეზე შეფასება წერილობითი დოკუმენტის ფორმას იძენს, რომელიც მოიცავს მონაცემთა კატეგორიის, დამუშავების მიზნების, პროპორციულობის, პროცესისა და საფუძვლების აღწერას, აგრეთვე შესაძლო საფრთხეების შეფასებას და უსაფრთხოების ორგანიზაციულ-ტექნიკური ზომების აღწერას. დოკუმენტი განახლდება დამუშავების პროცესის არსებითი ცვლილებისას და ინახება დამუშავების მთელი პერიოდის განმავლობაში, ხოლო დამუშავების შეწყვეტისას არანაკლებ 1 წლის ვადით. თუ საფრთხე დამატებითი ზომებით არსებითად ვერ შემცირდება, მონაცემები არ უნდა დამუშავდეს, ხოლო საჭიროების შემთხვევაში კონსულტაციისთვის სახელმწიფო აუდიტის სამსახურს მიმართავენ.
როგორ ავაწყოთ შეფასების პროცესი ორგანიზაციაში
პრაქტიკული მიმდევრობა შემდეგია. პირველ ეტაპზე აღიწერება არსებული და დაგეგმილი დამუშავებები: მონაცემთა კატეგორიები, მიზნები, საფუძვლები და საშუალებები. მეორე ეტაპზე თითოეული დამუშავება გადაამოწმებს მე-4 მუხლის პრინციპებთან შესაბამისობას — კანონიერება, მიზნის შეზღუდვა, მოცულობის მინიმიზაცია, სიზუსტე, შენახვის ვადა და უსაფრთხოება. მესამე ეტაპზე ფსევდონიმიზაციისა და მინიმიზაციის საშუალებები დგინდება მე-26 მუხლით დადგენილი დაპროექტების ლოგიკით. მეოთხე ეტაპზე ამოწმებთ მე-27 მუხლით გათვალისწინებულ აღრიცხვასა და წვდომის მართვას. და ბოლოს, მაღალი რისკის შემთხვევაში პროცესი კულმინაციას 31-ე მუხლით გათვალისწინებულ ვალდებულებაში პოვებს.
Legal.ge-ს გუნდი დაგეხმარებათ კონფიდენციალურობის ზემოქმედების შეფასების ამოცანის გადაჭრაში: დამუშავებების აღწერიდან და რისკების იდენტიფიკაციიდან დაწყებული, ზომების შერჩევითა და დოკუმენტაციის მომზადებით დამთავრებული, რათა თქვენი ორგანიზაციის მიდგომა ეყრდნობოდეს ქართული კანონმდებლობის ზუსტ მოთხოვნებს და არა მხოლოდ საერთაშორისო პრაქტიკას.