ვინ არის დამუშავებაზე უფლებამოსილი პირი
„პერსონალურ მონაცემთა დაცვის შესახებ“ კანონის მე-3 მუხლის განმარტებით, დამუშავებაზე უფლებამოსილი პირი არის ფიზიკური პირი, იურიდიული პირი ან საჯარო დაწესებულება, რომელიც მონაცემებს ამუშავებს დამუშავებისთვის პასუხისმგებელი პირისთვის ან მისი სახელით. მნიშვნელოვანი განმარტებაა: პასუხისმგებელ პირთან შრომით ურთიერთობაში მყოფი ფიზიკური პირი დამუშავებაზე უფლებამოსილ პირად არ მიიჩნევა — ანუ სტატუსი აუთსორსინგს ეხება, და არა საკუთარ თანამშრომლებს. საერთაშორისო ვოკაბულარში ამ როლს ხშირად „პროცესორს“ უწოდებენ; ქართული კანონის ტერმინი ზუსტად „დამუშავებაზე უფლებამოსილი პირია“ და სწორედ ის გამოიყენება სამართლებრივ ანალიზში. იმავე მუხლით ინციდენტიც არის განმარტებული: მონაცემთა უსაფრთხოების დარღვევა, რომელიც იწვევს მონაცემების არამართლზომიერ ან შემთხვევით დაზიანებას, დაკარგვას, უნებართვო გამჟღავნებას, განადგურებას, შეცვლას, მათზე წვდომას ან სხვაგვარ უნებართვო დამუშავებას.
მოქმედების საფუძველი, სავალდებულო პირობები და უსაფრთხოება
მე-36 მუხლის პირველი პუნქტით, დამუშავებაზე უფლებამოსილი პირი მონაცემებს ამუშავებს მხოლოდ სამართლებრივი აქტის ან პასუხისმგებელ პირთან დადებული წერილობითი შეთანხმების საფუძველზე, რომლითაც განისაზღვრება დამუშავების საფუძვლები და მიზნები, დასამუშავებელ მონაცემთა კატეგორიები, ვადა და მხარეთა უფლებები-ვალდებულებები. შეთანხმება ასევე უნდა შეიცავდეს ხუთ სავალდებულო პირობას: დამუშავება მხოლოდ პასუხისმგებელი პირის წერილობითი დავალებით ან მითითებით; პირდაპირ დამუშავებაში მონაწილე ფიზიკურ პირთა კონფიდენციალურობის ვალდებულება; უსაფრთხოება კანონის შესაბამისად; შეთანხმების გაუქმების ან მოქმედების შეწყვეტისას მონაცემების წაშლა ან პასუხისმგებელი პირისთვის გადაცემა — ასლების ჩათვლით, თუ შენახვის ვალდებულება კანონმდებლობით არ არის დადგენილი; და პასუხისმგებელი პირისთვის ინფორმაციის მიწოდება და მონიტორინგის ხელშეწყობა.
დაუშვებელია მიზნებისგან განსხვავებული მიზნით შემდგომი დამუშავება. დამუშავება დამუშავებაზე უფლებამოსილი პირის მეშვეობით დასაშვებია მხოლოდ იმ შემთხვევაში, თუ ის უზრუნველყოფს შესაბამის ორგანიზაციულ და ტექნიკურ ზომებს სუბიექტის უფლებებისა და კანონის მოთხოვნების დასაცავად; ხოლო თუ მისი საქმიანობიდან ან მიზნებიდან გამომდინარე არსებობს მონაცემთა არამიზმობრივი დამუშავების ან სუბიექტის უფლებების შელახვის მაღალი საფრთხე, შეთანხმების დადება თავად არის დაუშვებელი. უფლება-მოვალეობების სხვა პირზე გადაცემა შესაძლებელია მხოლოდ პასუხისმგებელი პირის წინასწარი წერილობითი თანხმობით, და ეს თანხმობა ვალდებულებებისგან არ ათავისუფლებს; დავის წარმოშობისას დამუშავება დაუყოვნებლივ წყდება და მონაცემები სრულად გადაიცემა, ხელშეკრულების ან სამართლებრივი აქტის გაუქმებისას — კიდევ უფრო მკაცრად: დამუშავებული მონაცემები დაუყოვნებლივ და სრულად უნდა გადაეცეს პასუხისმგებელ პირს.
პასუხისმგებელი პირის მხრიდანაც არსებობს ვალდებულება: მან წინასწარ უნდა მოითხოვოს ინფორმაცია მონაცემთა კანონის შესაბამისად დამუშავების შესახებ და მონიტორინგი გაუწიოს დამუშავებას. მე-36 მუხლის მე-10 პუნქტით დამუშავებაზე უფლებამოსილი პირი ვალდებულია მიიღოს სათანადო ორგანიზაციულ-ტექნიკური ზომები, რათა დაეხმაროს პასუხისმგებელ პირს სუბიექტის უფლებების განხორციელებასთან დაკავშირებული ვალდებულებების შესრულებაში — სუბიექტის მოთხოვნა ორგანიზაციებს შორის ურთიერთობაში არ უნდა ჩავარდეს. ამიტომ თითოეული აუთსორსინგ გეგმისას ორივე როლის სცენარი ჯერ კიდევ ხელშეკრულებამდე უნდა გაითამაშოს: ვინ აღრიცხავს, ვინ ატყობინებს და როგორ ხდება გასვლა ურთიერთობიდან.