რატომ არის საჭირო მონაცემთა დარღვევაზე რეაგირების გეგმა
მონაცემთა დარღვევაზე რეაგირების გეგმა არის წინასწარ მომზადებული დოკუმენტი, რომელიც განსაზღვრავს, ვინ, როდის, რომელ ვადებში და რომელი შინაარსით რეაგირებს ინციდენტზე. განსხვავებით ცოცხალი რეაგირებისგან, რომელიც უკვე მომხდარი ფაქტის მართვაა, გეგმა ექს-ანტე ინსტრუმენტია: ის იქმნება მაშინ, როცა არაფერი მომხდარა, რათა კრიზისის დროს გადაწყვეტილებები არ იყოს იმპროვიზაციის შედეგი. „პერსონალურ მონაცემთა დაცვის შესახებ“ საქართველოს კანონი გეგმის არსებობას ცალკე არ მოითხოვს, მაგრამ მისი ყველა ელემენტი კანონით დადგენილ ვალდებულებებს ეყრდნობა — და სწორედ ამ ვალდებულებების დარღვევა იწვევს სანქციებს, რომელთაგანაც გეგმა იცავს.
გეგმის სამართლებრივი საფუძველი ორ საყრდენზეა აგებული. პირველი — უსაფრთხოების ვალდებულება: კანონის მე-27 მუხლის მე-2 პუნქტის მიხედვით, დამუშავებისთვის პასუხისმგებელი პირი და დამუშავებაზე უფლებამოსილი პირი ვალდებული არიან მიიღონ შესაძლო და თანამდევ საფრთხეების შესაბამისი ორგანიზაციული და ტექნიკური ზომები, მათ შორის ფსევდონიმიზაცია, წვდომის აღრიცხვა და ინფორმაციული უსაფრთხოების მექანიზმები. მეორე — ინციდენტის აღრიცხვისა და შეტყობინების ვალდებულებები 29-ე და 30-ე მუხლებით.
რა უნდა აისახოს გეგმაში უსაფრთხოების ბაზისური დონიდან
გეგმა იწყება იმ ზომების ჩამონათვალით, რომლებიც მე-27 მუხლითაა დადგენილი და რომლებიც ინციდენტის დროს გააქტიურდება: მონაცემთა ფსევდონიმიზაცია, მონაცემებზე წვდომის აღრიცხვა, კონფიდენციალურობის, მთლიანობისა და ხელმისაწვდომობის მექანიზმები. ამავე მუხლის მე-3 პუნქტი მოითხოვს ამ ზომების ეფექტიანობის პერიოდულ შეფასებას — გეგმაში ეს შეფასების განრიგის სახით უნდა აისახოს.
ცალკე აქცენტი — აღრიცხვაზე. მე-27 მუხლის მე-4 პუნქტის მიხედვით, ელექტრონული ფორმით არსებულ მონაცემებთან შესრულებული ყველა მოქმედება, მათ შორის ინციდენტების შესახებ ინფორმაცია, აღირიცხება. გეგმა განსაზღვრავს, ვინ აწარმოებს აღრიცხვას ინციდენტის დროს და სად ფიქსირდება დამდგარი შედეგი და მიღებული ზომები — რადგან სწორედ ეს ჩანაწერი ხდება შეტყობინების საფუძველი.
72 საათიანი შეტყობინება და მისი შინაარსი
გეგმის ცენტრალური დროითი პარამეტრი 72 საათია: 29-ე მუხლის პირველი პუნქტის მიხედვით, დამუშავებისთვის პასუხისმგებელი პირი ვალდებულია ინციდენტის აღმოჩენიდან არაუგვიანეს 72 საათისა მის შესახებ წერილობით ან ელექტრონულად შეატყობინოს სახელმწიფო აუდიტის სამსახურს, გარდა იმ შემთხვევისა, როდესაც ნაკლებად სავარაუდოა მნიშვნელოვანი ზიანი ან საფრთხე ძირითადი უფლებებისთვის. ინციდენტის აღმოჩენის მომენტის ფიქსირება ამიტომ გეგმის ცალკეული პროცედურაა.
გეგმა წინასწარ აყალიბებს შეტყობინების შაბლონს იმ შინაარსით, რომელსაც 29-ე მუხლის მე-3 პუნქტი მოითხოვს: ინციდენტის გარემოებები, სახე და დრო; დაზიანებული ან გამჟღავნებული მონაცემთა სავარაუდო კატეგორიები და რაოდენობა, დაზარალებულ სუბიექტთა სავარაუდო წრე; სავარაუდო ზიანი და განხორციელებული ან დაგეგმილი ღონისძიებები; განზრახვა სუბიექტების ინფორმირების შესახებ; საკონტაქტო პირი. თუ ინფორმაციის ერთად წარდგენა შეუძლებელია, გეგმა წინასწარვე ითვალისწინებს ეტაპობრივ მიწოდებას სახელმწიფო აუდიტის სამსახურთან შეთანხმებით.
თუ დამუშავება ხორციელდება დამუშავებაზე უფლებამოსილი პირის მეშვეობით, 29-ე მუხლის მე-2 პუნქტი მისგან დაუყოვნებელ ინფორმირებას მოითხოვს — გეგმაში ეს არხი ხელშეკრულებით უნდა იყოს დადგენილი.