მონაცემთა დამუშავების ხელშეკრულება: რა ხდება ხელმოწერის შემდეგ
მონაცემთა დამუშავების ხელშეკრულება დამუშავებისთვის პასუხისმგებელ პირსა და დამუშავებაზე უფლებამოსილ პირს შორის სამართლებრივ კავშირს აყალიბებს. „პერსონალურ მონაცემთა დაცვის შესახებ“ საქართველოს კანონის 36-ე მუხლის პირველი პუნქტის თანახმად, დამუშავებაზე უფლებამოსილმა პირმა მონაცემები შეიძლება დაამუშაოს მხოლოდ სამართლებრივი აქტის ან წერილობითი შეთანხმების საფუძველზე, რომლითაც განისაზღვრება დამუშავების საფუძვლები და მიზნები, დასამუშავებელი მონაცემთა კატეგორიები, დამუშავების ვადა და მხარეთა უფლებები და ვალდებულებები. თუმცა ამ გვერდის ფოკუსი ხელშეკრულების ტექსტზე კი არა, მის სიცოცხლის ციკლზეა: რა ვალდებულებები აქვთ მხარეებს ხელშეკრულების მოქმედების განმავლობაში, დავებისას და მისი მოქმედების შეწყვეტისას.
კანონი აქ მკაფიო როლებს ანაწილებს. დამუშავებაზე უფლებამოსილი პირი მონაცემებს მხოლოდ დამუშავებისთვის პასუხისმგებელი პირის წერილობითი დავალების ან მითითების შესაბამისად ამუშავებს; ის უზრუნველყოფს, რომ დამუშავებაში უშუალოდ მონაწილე ფიზიკურ პირს კონფიდენციალურობის დაცვის ვალდებულება ჰქონდეს; უზრუნველყოფს მონაცემთა უსაფრთხოებას კანონის შესაბამისად; შეთანხმების გაუქმების ან მოქმედების შეწყვეტისას წაშლის მონაცემებს ან გადასცემს მათ დამუშავებისთვის პასუხისმგებელ პირს და წაშლის ასლებს, თუ მათი შენახვის ვალდებულება კანონმდებლობით არ არის დადგენილი. დაუშვებელია შეთანხმებით განსაზღვრული მიზნებისგან განსხვავებული მიზნით მონაცემთა შემდგომი დამუშავება.
წინასწარი შემოწმება და მონიტორინგი
პარტნიორის არჩევა ხელშეკრულების დადების მომენტით არ ამოიწურება. 36-ე მუხლის მე-6 პუნქტის მიხედვით, დამუშავებისთვის პასუხისმგებელი პირი ვალდებულია დამუშავებაზე უფლებამოსილ პირს წინასწარ მოსთხოვოს ინფორმაცია მონაცემთა კანონის შესაბამისად დამუშავების შესახებ და მონიტორინგი გაუწიოს მის მიერ მონაცემთა დამუშავებას. ეს ნიშნავს, რომ კონტროლის უფლება და მოვალეობა ორმხრივია: ის იწყება ხელშეკრულებამდე და გრძელდება მის მთელი მოქმედების განმავლობაში.
გარდა ამისა, თუ დამუშავებაზე უფლებამოსილი პირის საქმიანობიდან ან მიზნებიდან გამომდინარე არსებობს მონაცემთა არამიზნობრივი დამუშავების ან სუბიექტის უფლებების შელახვის მაღალი საფრთხე, დაუშვებელია ასეთ პირთან შეთანხმების დადება საერთოდ. ხელშეკრულების მართვა ამიტომ იწყება რისკის შეფასებით: ვინ არის პარტნიორი, რას აკეთებს და რამდენად შეესაბამება მისი საქმიანობა იმ მიზნებს, რომლებისთვისაც მონაცემები გადაეცემა.
ქვედამმუშავებლები და თანხმობის წესი
მონაცემთა დამუშავების ჯაჭვი ხშირად ერთ მონაცემზე არ წყდება. 36-ე მუხლის მე-7 პუნქტის თანახმად, თუ საქართველოს კანონმდებლობით სხვა რამ არ არის დადგენილი, დაუშვებელია, დამუშავებაზე უფლებამოსილმა პირმა თავისი უფლება-მოვალეობები სრულად ან ნაწილობრივ გადასცეს სხვა პირს დამუშავებისთვის პასუხისმგებელი პირის წინასწარი წერილობითი თანხმობის გარეშე. მნიშვნელოვანი დამატებაა: დამუშავებისთვის პასუხისმგებელი პირის თანხმობა დამუშავებაზე უფლებამოსილ პირს არ ათავისუფლებს შესაბამისი ვალდებულებებისა და პასუხისმგებლობისგან.
პრაქტიკული ეფექტი მკაფიოა: თანხმობა ქვედამმუშავებელზე გადაცემის ფორმალური ნებართვაა და არა პასუხისმგებლობის გადანაწილება. დამუშავებისთვის პასუხისმგებელი პირი კვლავ პასუხს აგებს მთელი ჯაჭვის ქცევაზე, ამიტომ ქვედამმუშავებლების ჩამონათვალი, მათი შესაბამისობის შემოწმება და ცვლილებებზე თანხმობის პროცედურა ხელშეკრულების მართვის აუცილებელი ნაწილია.
დავა და მონაცემების გადაცემა
მხარეთა შორის დავის წარმოშობის შემთხვევაში კანონი პროცესს აჩერებს: 36-ე მუხლის მე-8 პუნქტის მიხედვით, დამუშავებაზე უფლებამოსილი პირი ვალდებულია დაუყოვნებლივ შეწყვიტოს მონაცემთა დამუშავება და დამუშავებისთვის პასუხისმგებელ პირს სრულად გადასცეს მის ხელთ არსებული მონაცემები. იმავე მუხლის მე-9 პუნქტი კი განსაზღვრავს შეთანხმების ან სამართლებრივი აქტის გაუქმების ან მოქმედების შეწყვეტის შედეგს: დამუშავება უნდა შეწყდეს და დამუშავებული მონაცემები დაუყოვნებლივ და სრულად უნდა გადაეცეს დამუშავებისთვის პასუხისმგებელ პირს.
ეს ნორმები გამორიცხავს იმ გავრცელებულ პრაქტიკას, როდესაც თანამშრომლობის დასრულების შემდეგ მონაცემები ყოფილ პარტნიორთან რჩება „საწყობში“. გამოსავალი ან წაშლაა, ან სრული გადაცემა — მესამე ვარიანტი კანონს არ შეესაბამება. დამუშავებაზე უფლებამოსილი პირი აგრეთვე ვალდებულია მიიღოს ორგანიზაციულ-ტექნიკური ზომები, რათა დაეხმაროს დამუშავებისთვის პასუხისმგებელ პირს მონაცემთა სუბიექტის უფლებების განხორციელებასთან დაკავშირებული ვალდებულებების შესრულებაში.
უსაფრთხოება და ინციდენტების შესახებ დაუყოვნებელი ინფორმირება
ხელშეკრულების სიცოცხლის ციკლში უსაფრთხოების ვალდებულება ორივე მხარეს აქვს. კანონის მე-27 მუხლის მე-2 პუნქტის მიხედვით, დამუშავებისთვის პასუხისმგებელი პირი და დამუშავებაზე უფლებამოსილი პირი ვალდებული არიან მიიღონ შესაძლო და თანამდევ საფრთხეების შესაბამისი ორგანიზაციული და ტექნიკური ზომები — მათ შორის მონაცემთა ფსევდონიმიზაცია, მონაცემებზე წვდომის აღრიცხვა და ინფორმაციული უსაფრთხოების მექანიზმები. ეს ზომები უნდა შეფასდეს პერიოდულად და საჭიროების შემთხვევაში განახლდეს.
ინციდენტის შემთხვევაში დრო გადამწყვეტია. 29-ე მუხლის მე-2 პუნქტის მიხედვით, დამუშავებაზე უფლებამოსილი პირი ვალდებულია ინციდენტის შესახებ დაუყოვნებლივ აცნობოს დამუშავებისთვის პასუხისმგებელ პირს, რადგან სწორედ უკანასკნელს ეკისრება ინციდენტის აღრიცხვა და სახელმწიფო აუდიტის სამსახურისთვის შეტყობინება აღმოჩენიდან არაუგვიანეს 72 საათის ვადაში. შესაბამისად, ხელშეკრულება და შიდა პროცედურები ამ გადაცემის არხს წინასწარ უნდა ითვალისწინებდნენ.
კანონის 84-ე მუხლი 35-ე და 36-ე მუხლებით გათვალისწინებული ვალდებულებების შეუსრულებლობას სანქციას უკავშირებს. ზოგად შემთხვევაში ეს ქმედება იწვევს ფიზიკური პირის, საჯარო დაწესებულების, არასამეწარმეო იურიდიული პირის, იურიდიული პირის, უცხო ქვეყნის საწარმოს ფილიალისა და ინდივიდუალური მეწარმისთვის, რომელთა წლიური ბრუნვა 500 000 ლარს არ აღემატება, გაფრთხილებას ან დაჯარიმებას 1 000 ლარის ოდენობით; 500 000 ლარს გადაცილებული ბრუნვის შემთხვევაში — გაფრთხილებას ან ჯარიმას 2 000 ლარის ოდენობით. დამამძიმებელი გარემოების არსებობისას ჯარიმა 2 000 და 4 000 ლარამდე იზრდება.
ხშირად დასმული კითხვები
მონაცემთა დამუშავების ხელშეკრულებებთან დაკავშირებით ყველაზე ხშირად დასმულ კითხვებს ქვემოთ ვპასუხობთ.
რამდენი დრო აქვს დამუშავებისთვის პასუხისმგებელ პირს ინციდენტის შესახებ სახელმწიფო აუდიტის სამსახურისთვის შეტყობინებისთვის?
29-ე მუხლის პირველი პუნქტის თანახმად, ინციდენტის აღმოჩენიდან არაუგვიანეს 72 საათისა — წერილობით ან ელექტრონულად, თუ ნაკლებად სავარაუდოა, რომ ინციდენტი მნიშვნელოვან ზიანს გამოიწვევს ან ადამიანის ძირითად უფლებებსა და თავისუფლებებს მნიშვნელოვან საფრთხეს შეუქმნის.
ათავისუფლებს თუ არა თანხმობა ქვედამმუშავებელზე გადაცემაზე დამუშავებაზე უფლებამოსილ პირს ვალდებულებებისგან?
არა. 36-ე მუხლის მე-7 პუნქტის თანახმად, დამუშავებისთვის პასუხისმგებელი პირის თანხმობა დამუშავებაზე უფლებამოსილ პირს შესაბამისი ვალდებულებებისა და პასუხისმგებლობისგან არ ათავისუფლებს.
შესაძლებელია თუ არა გაფრთხილება ჯარიმის ნაცვლად?
დიახ — 84-ე მუხლის პირველი პუნქტი ზოგად შემთხვევაში გაფრთხილებას ან დაჯარიმებას ითვალისწინებს; დამამძიმებელი გარემოების არსებობისას კი ჯარიმა 2 000 და 4 000 ლარის ოდენობით იზრდება.
როგორ დაგეხმარებით Legal.ge-ზე
Legal.ge-ს გუნდი დაგეხმარებათ მონაცემთა დამუშავების ხელშეკრულებების მთელი ციკლის მართვაში: პარტნიორის შემოწმებიდან და ხელშეკრულების სტრუქტურირებიდან დაწყებული, მონიტორინგის, ქვედამმუშავებლების თანხმობების და გამოსავლის პროცედურების დოკუმენტირებით დამთავრებული.