ვინ არის დამუშავებაზე უფლებამოსილი პირი
„პერსონალურ მონაცემთა დაცვის შესახებ“ კანონის მე-3 მუხლის განმარტებით, დამუშავებაზე უფლებამოსილი პირი არის ფიზიკური პირი, იურიდიული პირი ან საჯარო დაწესებულება, რომელიც მონაცემებს ამუშავებს დამუშავებისთვის პასუხისმგებელი პირისთვის ან მისი სახელით. მნიშვნელოვანი განმარტებაა: პასუხისმგებელ პირთან შრომით ურთიერთობაში მყოფი ფიზიკური პირი დამუშავებაზე უფლებამოსილ პირად არ მიიჩნევა — ანუ სტატუსი აუთსორსინგს ეხება, და არა საკუთარ თანამშრომლებს. საერთაშორისო ვოკაბულარში ამ როლს ხშირად „პროცესორს“ უწოდებენ; ქართული კანონის ტერმინი ზუსტად „დამუშავებაზე უფლებამოსილი პირია“ და სწორედ ის გამოიყენება სამართლებრივ ანალიზში. იმავე მუხლით ინციდენტიც არის განმარტებული: მონაცემთა უსაფრთხოების დარღვევა, რომელიც იწვევს მონაცემების არამართლზომიერ ან შემთხვევით დაზიანებას, დაკარგვას, უნებართვო გამჟღავნებას, განადგურებას, შეცვლას, მათზე წვდომას ან სხვაგვარ უნებართვო დამუშავებას.
მოქმედების საფუძველი, სავალდებულო პირობები და უსაფრთხოება
მე-36 მუხლის პირველი პუნქტით, დამუშავებაზე უფლებამოსილი პირი მონაცემებს ამუშავებს მხოლოდ სამართლებრივი აქტის ან პასუხისმგებელ პირთან დადებული წერილობითი შეთანხმების საფუძველზე, რომლითაც განისაზღვრება დამუშავების საფუძვლები და მიზნები, დასამუშავებელ მონაცემთა კატეგორიები, ვადა და მხარეთა უფლებები-ვალდებულებები. შეთანხმება ასევე უნდა შეიცავდეს ხუთ სავალდებულო პირობას: დამუშავება მხოლოდ პასუხისმგებელი პირის წერილობითი დავალებით ან მითითებით; პირდაპირ დამუშავებაში მონაწილე ფიზიკურ პირთა კონფიდენციალურობის ვალდებულება; უსაფრთხოება კანონის შესაბამისად; შეთანხმების გაუქმების ან მოქმედების შეწყვეტისას მონაცემების წაშლა ან პასუხისმგებელი პირისთვის გადაცემა — ასლების ჩათვლით, თუ შენახვის ვალდებულება კანონმდებლობით არ არის დადგენილი; და პასუხისმგებელი პირისთვის ინფორმაციის მიწოდება და მონიტორინგის ხელშეწყობა.
დაუშვებელია მიზნებისგან განსხვავებული მიზნით შემდგომი დამუშავება. დამუშავება დამუშავებაზე უფლებამოსილი პირის მეშვეობით დასაშვებია მხოლოდ იმ შემთხვევაში, თუ ის უზრუნველყოფს შესაბამის ორგანიზაციულ და ტექნიკურ ზომებს სუბიექტის უფლებებისა და კანონის მოთხოვნების დასაცავად; ხოლო თუ მისი საქმიანობიდან ან მიზნებიდან გამომდინარე არსებობს მონაცემთა არამიზმობრივი დამუშავების ან სუბიექტის უფლებების შელახვის მაღალი საფრთხე, შეთანხმების დადება თავად არის დაუშვებელი. უფლება-მოვალეობების სხვა პირზე გადაცემა შესაძლებელია მხოლოდ პასუხისმგებელი პირის წინასწარი წერილობითი თანხმობით, და ეს თანხმობა ვალდებულებებისგან არ ათავისუფლებს; დავის წარმოშობისას დამუშავება დაუყოვნებლივ წყდება და მონაცემები სრულად გადაიცემა, ხელშეკრულების ან სამართლებრივი აქტის გაუქმებისას — კიდევ უფრო მკაცრად: დამუშავებული მონაცემები დაუყოვნებლივ და სრულად უნდა გადაეცეს პასუხისმგებელ პირს.
პასუხისმგებელი პირის მხრიდანაც არსებობს ვალდებულება: მან წინასწარ უნდა მოითხოვოს ინფორმაცია მონაცემთა კანონის შესაბამისად დამუშავების შესახებ და მონიტორინგი გაუწიოს დამუშავებას. მე-36 მუხლის მე-10 პუნქტით დამუშავებაზე უფლებამოსილი პირი ვალდებულია მიიღოს სათანადო ორგანიზაციულ-ტექნიკური ზომები, რათა დაეხმაროს პასუხისმგებელ პირს სუბიექტის უფლებების განხორციელებასთან დაკავშირებული ვალდებულებების შესრულებაში — სუბიექტის მოთხოვნა ორგანიზაციებს შორის ურთიერთობაში არ უნდა ჩავარდეს. ამიტომ თითოეული აუთსორსინგ გეგმისას ორივე როლის სცენარი ჯერ კიდევ ხელშეკრულებამდე უნდა გაითამაშოს: ვინ აღრიცხავს, ვინ ატყობინებს და როგორ ხდება გასვლა ურთიერთობიდან.
საკუთარი აღრიცხვა და სახელმწიფო აუდიტის სამსახური
მე-28 მუხლის მე-2 პუნქტი დამუშავებაზე უფლებამოსილ პირს საკუთარ აღრიცხვას ავალდებულებს: წერილობით ან ელექტრონულად უზრუნველყოფილი უნდა იყოს ინფორმაცია მისივე, დაცვის ოფიცრის, პასუხისმგებელი და თანადამუშავებისთვის პასუხისმგებელი პირებისა და სპეციალური წარმომადგენლის ვინაობისა და კონტაქტების; პასუხისმგებელი პირისთვის ან მისი სახელით განხორციელებული დამუშავების სახეების; საერთაშორისო გადაცემაში მონაწილეობისას — გადაცემისა და გარანტიების შესახებ; უსაფრთხოების ზომების ზოგადი აღწერისა და ინციდენტების შესახებ. ვალდებულება ვრცელდება დამუშავებაში მე-36 მუხლის მე-7 პუნქტით ჩართულ პირზეც. მოთხოვნის შემთხვევაში ეს ინფორმაცია სახელმწიფო აუდიტის სამსახურს მიეწოდება დაუყოვნებლივ, მაგრამ არაუგვიანეს 3 სამუშაო დღისა — ისევე როგორც პასუხისმგებელი პირის აღრიცხვა. ანუ დამუშავებაზე უფლებამოსილი პირი კანონის თვალში სრულფასოვანი მონაწილეა, პასუხისმგებლის „ჩრდილი“ კი არა.
ინციდენტებთან დაკავშირებული მოვალეობა
მე-29 მუხლის მე-2 პუნქტი ინციდენტების კომუნიკაციას აწესრიგებს: დამუშავებაზე უფლებამოსილი პირი ვალდებულია ინციდენტის შესახებ დაუყოვნებლივ აცნობოს დამუშავებისთვის პასუხისმგებელ პირს. ეს მოკლე, მაგრამ გადამწყვეტი ნორმაა: 72 საათიანი ვადა, რომლითაც პასუხისმგებელი პირი ინციდენტის აღმოჩენიდან სახელმწიფო აუდიტის სამსახურს უნდა შეატყობინოს, სწორედ დამუშავებაზე უფლებამოსილი პირისგან დაუყოვნებელი ინფორმირებით იწყება. თუ ინციდენტი სწორედ მის სისტემებში მოხდა, დაგვიანება მთელ ჯაჭვს აფერხებს — და ჯარიმის რისკსაც ზრდის.
დამუშავებაზე უფლებამოსილი პირის როლი ორმხრივია: ის კლიენტებს ემსახურება, მაგრამ საკუთარი აღრიცხვა, უსაფრთხოების ზომები და დაუყოვნებელი შეტყობინება მისი პირადი პასუხისმგებლობის სფეროა — სახელმწიფო აუდიტის სამსახური სწორედ ამ ელემენტებს ამოწმებს.
ხშირად დასმული კითხვები
ქვემოთ — ხშირად დასმული კითხვები დამუშავებაზე უფლებამოსილი პირის შესახებ.
განსხვავდება თუ არა დამუშავებაზე უფლებამოსილი პირი თანამშრომლისგან?
დიახ. პასუხისმგებელ პირთან შრომით ურთიერთობაში მყოფი ფიზიკური პირი დამუშავებაზე უფლებამოსილ პირად არ მიიჩნევა — სტატუსი მესამე პირზე გადაცემულ დამუშავებას ეხება.
რამდენი სავალდებულო პირობა უნდა შეიცავდეს შეთანხმებამ?
ხუთს: დავალებით დამუშავება, პერსონალის კონფიდენციალურობა, უსაფრთხოება, დასრულებისას მონაცემების წაშლა ან გადაცემა და ინფორმაციის მიწოდება მონიტორინგისთვის.
უნდა ჰქონდეს თუ არა მას საკუთარი აღრიცხვა?
დიახ — მე-28 მუხლის მე-2 პუნქტით: მხარეთა ვინაობა-კონტაქტები, დამუშავების სახეები, გადაცემები და გარანტიები, უსაფრთხოების ზომები და ინციდენტები. მოთხოვნისას ის სახელმწიფო აუდიტის სამსახურს 3 სამუშაო დღეში ეწოდება.
როგორ ეცნობება ინციდენტი?
დამუშავებაზე უფლებამოსილი პირი ინციდენტის შესახებ პასუხისმგებელ პირს დაუყოვნებლივ აცნობებს — სწორედ აქედან იწყება 72 საათიანი ვადა სახელმწიფო აუდიტის სამსახურისთვის შეტყობინებისას.
შეიძლება თუ არა დავალების გადაცემა სხვა პირს?
მხოლოდ პასუხისმგებელი პირის წინასწარი წერილობითი თანხმობით — და ეს თანხმობა უფლებამოსილ პირს მისი ვალდებულებებისგან არ ათავისუფლებს.
როგორ დაგეხმარებით Legal.ge-ზე
Legal.ge-ის გუნდი დაგეხმარებით როგორც დამუშავებაზე უფლებამოსილი პირის ვალდებულებების სწორად აგებაში, ისე პასუხისმგებელი პირის მხრიდან ჯაჭვის მართვაში: შევადგენთ შეთანხმების სავალდებულო პირობებს, აღვწერთ აღრიცხვას და ავაწყობთ ინციდენტებზე რეაგირების პროცედურას.
თუ თქვენი ორგანიზაცია მონაცემებს ამუშავებს სხვისთვის ან აუთსორსინგავდება დამუშავება — მოგვწერეთ Legal.ge-ზე: შევაფასებთ შეთანხმებებს კანონის მოთხოვნებთან, გავაანალიზებთ აღრიცხვას და მოვამზადებთ შესწორებებს.