სამართლებრივი საფუძველი — რატომ არის წერილობითი შეთანხმება აუცილებელი
როდესაც ორგანიზაცია მონაცემების დამუშავებას მესამე პირს ანდობს — ბრუნავს მომსახურებას, ღრუბელს, ხელშეკრულებით შესრულებას — „პერსონალურ მონაცემთა დაცვის შესახებ“ კანონის მე-36 მუხლი მკაცრად განსაზღვრავს ფორმას: დამუშავებაზე უფლებამოსილმა პირმა მონაცემები შეიძლება დაამუშაოს მხოლოდ სამართლებრივი აქტის ან დამუშავებისთვის პასუხისმგებელ პირთან დადებული წერილობითი შეთანხმების საფუძველზე. ხელშეკრულების არსებობა სუბიექტური სიფრთხილი არ არის — ეს კანონით დადგენილი პირობაა, რომლის გარეშეც დამუშავება უკანონოა. სწორედ ამიტომ მონაცემთა დამუშავების ხელშეკრულება ყველა აუთსორსინგ ურთიერთობის სამართლებრივი ბარიკადია.
მე-36 მუხლის პირველი პუნქტით, შეთანხმებით უნდა განისაზღვროს: მონაცემთა დამუშავების საფუძვლები და მიზნები; დასამუშავებელ მონაცემთა კატეგორიები; დამუშავების ვადა; დამუშავებისთვის პასუხისმგებელი პირისა და დამუშავებაზე უფლებამოსილი პირის უფლებები და ვალდებულებები. ანუ შეთანხმება როგორც მინიმუმ პასუხობს ოთხ კითხვას — რატომ, რა, რამდენ ხნით და ვინ რას აკეთებს. თუ ეს ელემენტები არ არის განსაზღვრული, შეთანხმება კანონის მოთხოვნას ვერ აკმაყოფილებს, თუმცა მხარეთა შორის სხვა პირობები თავისუფლად შეიძლება დაიწეროს.
სავალდებულო პირობები — ხუთი ვალდებულება, რაც ხელშეკრულებაში უნდა აისახოს
მე-36 მუხლის მე-2 პუნქტი აწესრიგებს დამუშავებაზე უფლებამოსილი პირის ვალდებულებებს, რომლებიც შეთანხმებაში უნდა შევიდეს: პირველი — მონაცემები დამუშავდეს მხოლოდ პასუხისმგებელი პირის წერილობითი დავალების ან მითითების შესაბამისად; მეორე — უშუალოდ დამუშავებაში მონაწილე ფიზიკურ პირს ჰქონდეს კონფიდენციალურობის დაცვის ვალდებულება; მესამე — უზრუნველყოფილი იყოს მონაცემთა უსაფრთხოება კანონის შესაბამისად; მეოთხე — შეთანხმების გაუქმების ან მოქმედების შეწყვეტისას მონაცემები წაიშალოს ან პასუხისმგებელ პირს გადაეცეს, ასლებიც კი წაიშალოს, თუ შენახვის ვალდებულება კანონმდებლობით არ დგინდება; მეხუთე — პასუხისმგებელ პირს მიეწოდოს შესაბამისობის უზრუნველყოფისთვის სათანადო ინფორმაცია და ხელი შეეწყოს მის მიერ დამუშავების მონიტორინგს. ეს ხუთი პუნქტი ხელშეკრულების მინიმალური „ჩარჩო“ა — მათ გარეშე დოკუმენტი არაკომპეტენტურია.
დავალების ფარგლები და ქვედამუშავებლები
კანონი აქტიურად იცავს დავალების საზღვრებს: დაუშვებელია შეთანხმებით ან სამართლებრივი აქტით განსაზღვრული მიზნებისგან განსხვავებული მიზნით მონაცემთა შემდგომი დამუშავება. დამუშავება დამუშავებაზე უფლებამოსილი პირის მეშვეობით დასაშვებია მხოლოდ მაშინ, თუ ის სუბიექტის უფლებებისა და კანონის მოთხოვნების დასაცავად შესაბამის ორგანიზაციულ და ტექნიკურ ზომებს იღებს; ხოლო თუ მისი საქმიანობიდან არსებობს არამიზნობრივი დამუშავების ან უფლებების შელახვის მაღალი საფრთხე — შეთანხმების დადება დაუშვებელია. პასუხისმგებელი პირი ვალდებულია წინასწარ მოითხოვოს ინფორმაცია კანონის შესაბამისად დამუშავების შესახებ და მონიტორინგი გაუწიოს მას. უფლება-მოვალეობების სხვა პირზე გადაცემა — ქვედამუშავებელზე — შესაძლებელია მხოლოდ პასუხისმგებელი პირის წინასწარი წერილობითი თანხმობით, და ეს თანხმობა დამუშავებაზე უფლებამოსილ პირს ვალდებულებებისგან არ ათავისუფლებს. დავის შემთხვევაში დამუშავება დაუყოვნებლივ შეწყდება და მონაცემები სრულად გადაეცემა პასუხისმგებელ პირს; შეთანხმების ამოქმედების შეწყვეტისასაც იგივე ხდება.
თანადამუშავება და უსაფრთხოება
მე-35 მუხლი აწესრიგებს თანადამუშავებისთვის პასუხისმგებელ პირებს: თუ დამუშავებაში ჩართულია ერთზე მეტი პასუხისმგებელი პირი, ისინი ვალდებული არიან წინასწარ წერილობით განსაზღვრონ თითოეულის ვალდებულებები და პასუხისმგებლობა — სუბიექტის უფლებების დაცვისა და ინფორმირების ვალდებულებების ჩათვლით; ეს ინფორმაცია სუბიექტისთვის ხელმისაწვდომი უნდა იყოს, და სუბიექტს თითოეულ მათგანს ინდივიდუალურადაც შეუძლია მიმართოს. მე-27 მუხლი კი უსაფრთხოებას ორივე მხარეს ავალდებულებს: პასუხისმგებელი და უფლებამოსილი პირები ერთად იღებენ შესაძლო და თანამდევ საფრთხეების შესაბამის ორგანიზაციულ-ტექნიკურ ზომებს — ფსევდონიმიზაციის, წვდომის აღრიცხვისა და კონფიდენციალურობა-მთლიანობა-ხელმისაწვდომობის მექანიზმების ჩათვლით. ანუ უსაფრთხოების პასუხისმგებლობა ხელშეკრულებით ვერ „გადაიტანება“ მხოლოდ ერთ მხარეზე.
ხელშეკრულება ერთხელ დაწერით არ მთავრდება. კანონი განიხილავს მის მთელ სიცოცხლეს: შეთანხმება შეიძლება ითვალისწინებდეს დამუშავებაზე უფლებამოსილი პირის მიერ პასუხისმგებელი პირისთვის დახმარების გაწევის ვალდებულებას უსაფრთხოებისა და სუბიექტის უფლებების დაცვის მიზნით; დამუშავებაზე უფლებამოსილი პირი ვალდებულია მიიღოს სათანადო ორგანიზაციულ-ტექნიკური ზომები იმისთვისაც, რომ პასუხისმგებელ პირს დაეხმაროს სუბიექტის უფლებების განხორციელებასთან დაკავშირებული ვალდებულებების შესრულებაში — მაგალითად, წაშლის, გასწორების ან გადატანის მოთხოვნებზე რეაგირებაში. შეთანხმების გაუქმების ან მოქმედების შეწყვეტის შემთხვევაში დამუშავება უნდა შეწყდეს და დამუშავებული მონაცემები დაუყოვნებლივ და სრულად გადაეცეს პასუხისმგებელ პირს. დავის წარმოშობისას კი — მხარეთა შორის ურთიერთობის დაძაბვის მომენტში — კანონი მკაფიოა: დამუშავება დაუყოვნებლივ წყდება და მონაცემები სრულად გადაიცემა. ეს ნიშნავს, რომ „გადასახად მდგომარეობაში“ მონაცემების ჩაყოლა კანონით გამორიცხულია.
პრაქტიკული რეკომენდაცია ორგანიზაციებისთვის: არსებული აუთსორსინგ ხელშეკრულებები ღირს გადამოწმდეს კანონის ამ მოთხოვნებზე — ხშირად ბევრი მათგანი საერთო სამსახურებრივ ენაზეა დაწერილი და ის ელემენტები, რაც კანონი აუცილებლად მოითხოვს, ასახული არ აქვს. ხელშეკრულების გადამოწმება იაფია; ჯარიმა და სახელმწიფო აუდიტის სამსახურთან განმარტება — არა.
ჯარიმები და რატომ არის ეს მნიშვნელოვანი
მე-84 მუხლი მე-35 და მე-36 მუხლებით გათვალისწინებული ვალდებულებების შეუსრულებლობას ჯარიმას უკავშირებს: ბრუნვით 500 000 ლარამდე პირებისთვის — გაფრთხილება ან 1 000 ლარის ჯარიმა; ბრუნვით 500 000 ლარზე მეტი იურიდიული პირებისთვის — გაფრთხილება ან 2 000 ლარი; დამამძიმებელი გარემოებების არსებობისას — შესაბამისად 2 000 და 4 000 ლარი. Legal.ge-ის გუნდი დაგეხმარებით მონაცემთა დამუშავების ხელშეკრულების შედგენასა და არსებული ხელშეკრულებების კანონთან შესაბამისობაში მოყვანაში.
ხშირად დასმული კითხვები
ქვემოთ — მონაცემთა დამუშავების ხელშეკრულებებთან დაკავშირებით ხშირად დასმული კითხვები.
შესაძლებელია თუ არა დამუშავების ანდობა ზეპირი შეთანხმებით?
არა — კანონის მე-36 მუხლით დამუშავება ხელმისაწვდომია მხოლოდ სამართლებრივი აქტით ან წერილობითი შეთანხმებით.
რა ჯარიმაა გათვალისწინებული?
მე-84 მუხლით — გაფრთხილება ან 1 000 ლარის ჯარიმა 500 000 ლარამდე ბრუნვის მქონე პირებისთვის, გაფრთხილება ან 2 000 ლარი — უფრო მსხვილი ბრუნვის შემთხვევაში.
რა უნდა შედიოდეს ხელშეკრულებაში აუცილებლად?
დამუშავების საფუძვლები და მიზნები, მონაცემთა კატეგორიები, ვადა, მხარეთა უფლებებ-ვალდებულებები და ხუთი სავალდებულო პირობა.
როგორ დაგეხმარებით Legal.ge-ზე
ხელშეკრულების ტექსტი დავის პრევენციაა: სწორად აწყობილი პირობები მომავალ კონფლიქტს წინასწარ კრავს. Legal.ge-ზე შეგიძლიათ დაუკავშირდეთ მონაცემთა დაცვის სპეციალისტს, რომელიც შეამოწმებს ან მოამზადებს ხელშეკრულებას.