რატომ არის საჭირო მონაცემთა დარღვევაზე რეაგირების გეგმა
მონაცემთა დარღვევაზე რეაგირების გეგმა არის წინასწარ მომზადებული დოკუმენტი, რომელიც განსაზღვრავს, ვინ, როდის, რომელ ვადებში და რომელი შინაარსით რეაგირებს ინციდენტზე. განსხვავებით ცოცხალი რეაგირებისგან, რომელიც უკვე მომხდარი ფაქტის მართვაა, გეგმა ექს-ანტე ინსტრუმენტია: ის იქმნება მაშინ, როცა არაფერი მომხდარა, რათა კრიზისის დროს გადაწყვეტილებები არ იყოს იმპროვიზაციის შედეგი. „პერსონალურ მონაცემთა დაცვის შესახებ“ საქართველოს კანონი გეგმის არსებობას ცალკე არ მოითხოვს, მაგრამ მისი ყველა ელემენტი კანონით დადგენილ ვალდებულებებს ეყრდნობა — და სწორედ ამ ვალდებულებების დარღვევა იწვევს სანქციებს, რომელთაგანაც გეგმა იცავს.
გეგმის სამართლებრივი საფუძველი ორ საყრდენზეა აგებული. პირველი — უსაფრთხოების ვალდებულება: კანონის მე-27 მუხლის მე-2 პუნქტის მიხედვით, დამუშავებისთვის პასუხისმგებელი პირი და დამუშავებაზე უფლებამოსილი პირი ვალდებული არიან მიიღონ შესაძლო და თანამდევ საფრთხეების შესაბამისი ორგანიზაციული და ტექნიკური ზომები, მათ შორის ფსევდონიმიზაცია, წვდომის აღრიცხვა და ინფორმაციული უსაფრთხოების მექანიზმები. მეორე — ინციდენტის აღრიცხვისა და შეტყობინების ვალდებულებები 29-ე და 30-ე მუხლებით.
რა უნდა აისახოს გეგმაში უსაფრთხოების ბაზისური დონიდან
გეგმა იწყება იმ ზომების ჩამონათვალით, რომლებიც მე-27 მუხლითაა დადგენილი და რომლებიც ინციდენტის დროს გააქტიურდება: მონაცემთა ფსევდონიმიზაცია, მონაცემებზე წვდომის აღრიცხვა, კონფიდენციალურობის, მთლიანობისა და ხელმისაწვდომობის მექანიზმები. ამავე მუხლის მე-3 პუნქტი მოითხოვს ამ ზომების ეფექტიანობის პერიოდულ შეფასებას — გეგმაში ეს შეფასების განრიგის სახით უნდა აისახოს.
ცალკე აქცენტი — აღრიცხვაზე. მე-27 მუხლის მე-4 პუნქტის მიხედვით, ელექტრონული ფორმით არსებულ მონაცემებთან შესრულებული ყველა მოქმედება, მათ შორის ინციდენტების შესახებ ინფორმაცია, აღირიცხება. გეგმა განსაზღვრავს, ვინ აწარმოებს აღრიცხვას ინციდენტის დროს და სად ფიქსირდება დამდგარი შედეგი და მიღებული ზომები — რადგან სწორედ ეს ჩანაწერი ხდება შეტყობინების საფუძველი.
72 საათიანი შეტყობინება და მისი შინაარსი
გეგმის ცენტრალური დროითი პარამეტრი 72 საათია: 29-ე მუხლის პირველი პუნქტის მიხედვით, დამუშავებისთვის პასუხისმგებელი პირი ვალდებულია ინციდენტის აღმოჩენიდან არაუგვიანეს 72 საათისა მის შესახებ წერილობით ან ელექტრონულად შეატყობინოს სახელმწიფო აუდიტის სამსახურს, გარდა იმ შემთხვევისა, როდესაც ნაკლებად სავარაუდოა მნიშვნელოვანი ზიანი ან საფრთხე ძირითადი უფლებებისთვის. ინციდენტის აღმოჩენის მომენტის ფიქსირება ამიტომ გეგმის ცალკეული პროცედურაა.
გეგმა წინასწარ აყალიბებს შეტყობინების შაბლონს იმ შინაარსით, რომელსაც 29-ე მუხლის მე-3 პუნქტი მოითხოვს: ინციდენტის გარემოებები, სახე და დრო; დაზიანებული ან გამჟღავნებული მონაცემთა სავარაუდო კატეგორიები და რაოდენობა, დაზარალებულ სუბიექტთა სავარაუდო წრე; სავარაუდო ზიანი და განხორციელებული ან დაგეგმილი ღონისძიებები; განზრახვა სუბიექტების ინფორმირების შესახებ; საკონტაქტო პირი. თუ ინფორმაციის ერთად წარდგენა შეუძლებელია, გეგმა წინასწარვე ითვალისწინებს ეტაპობრივ მიწოდებას სახელმწიფო აუდიტის სამსახურთან შეთანხმებით.
თუ დამუშავება ხორციელდება დამუშავებაზე უფლებამოსილი პირის მეშვეობით, 29-ე მუხლის მე-2 პუნქტი მისგან დაუყოვნებელ ინფორმირებას მოითხოვს — გეგმაში ეს არხი ხელშეკრულებით უნდა იყოს დადგენილი.
სუბიექტების ინფორმირების პროცედურა
30-ე მუხლის პირველი პუნქტის მიხედვით, თუ ინციდენტი მაღალი ალბათობით გამოიწვევს მნიშვნელოვან ზიანს ან საფრთხეს, სუბიექტი ინფორმირებული უნდა იქნეს აღმოჩენიდან პირველი შესაძლებლობისთანავე, მარტივ და გასაგებ ენაზე. გეგმა მოიცავს ამ შეტყობინების შაბლონსაც: ინციდენტისა და გარემოებების ზოგადი აღწერა, სავარაუდო ზიანი და ღონისძიებები, საკონტაქტო პირის მონაცემები.
გეგმა ასევე ასახავს ორ გამონაკლისს, რომელიც 30-ე მუხლის მე-3 პუნქტითაა გათვალისწინებული: ინფორმირება არ წარმოიშობა, თუ ის საფრთხეს შეუქმნის ჩამოთვლილ დაცულ ინტერესებს, ან თუ უსაფრთხოების ზომებმა მნიშვნელოვანი საფრთხე თავიდან აიცილა. ხოლო მე-2 პუნქტის მიხედვით, ინდივიდუალური ინფორმირების არაპროპორციულობის შემთხვევაში ინფორმაცია გავრცელდება საჯაროდ ან სხვა ეფექტიანი ფორმით.
სანქციები, რომლებისგანაც გეგმა იცავს
კანონის 76-ე მუხლი უსაფრთხოების ვალდებულების შეუსრულებლობას ასე ასაწყვეტებს: გაფრთხილება ან 2 000 ლარის ჯარიმა 500 000 ლარამდე წლიური ბრუნვის მქონე პირებისთვის და გაფრთხილება ან 4 000 ლარის ჯარიმა მაღალი ბრუნვისას; დამამძიმებელი გარემოებისას — 3 000 და 5 000 ლარი. 78-ე მუხლი კი სახელმწიფო აუდიტის სამსახურისთვის შეტყობინების ვალდებულების შეუსრულებლობაზეა: გაფრთხილება ან 2 000 ლარის ჯარიმა 500 000 ლარამდე ბრუნვისას და გაფრთხილება ან 3 000 ლარის ჯარიმა მაღალი ბრუნვისას; დამამძიმებელი გარემოებისას — 3 000 და 5 000 ლარი.
ეს ციფრები გეგმის ეკონომიკური გამართლებაა: წინასწარ მომზადებული პროცედურები ცვლის არა მხოლოდ რეაგირების სისწრაფეს, არამედ იმ რისკს, რომ ვადები და ფორმალობები დაირღვევა. Legal.ge-ს გუნდი დაგეხმარებათ მონაცემთა დარღვევაზე რეაგირების გეგმის შემუშავებაში — როგორც დოკუმენტის დონეზე, ისე განახლებისა და შემოწმების პროცესის ჩამოყალიბებაში.
ხშირად დასმული კითხვები
მონაცემთა დარღვევაზე რეაგირებასთან დაკავშირებით ყველაზე ხშირად სწორედ ეს კითხვები ისმის.
რამდენ დროში უნდა შეტყობინდეს სახელმწიფო აუდიტის სამსახურს?
ინციდენტის აღმოჩენიდან არაუგვიანეს 72 საათისა, წერილობით ან ელექტრონულად — თუ ნაკლებად სავარაუდოა, რომ ინციდენტი მნიშვნელოვან ზიანს ან საფრთხეს ქმნის.
რა უნდა შეიცავდეს შეტყობინება?
ინციდენტის გარემოებებს, სახისა და დროის აღწერას; დაზიანებული მონაცემებისა და სუბიექტების კატეგორიებსა და რაოდენობას; განხორციელებულ ღონისძიებებს; ინფორმირების გეგმას და საკონტაქტო პირს; შეუძლებლობისას — ეტაპობრივად.
როდის ინფორმირდებიან მონაცემთა სუბიექტები?
თუ ინციდენტი მაღალი ალბათობით მნიშვნელოვან ზიანს ან საფრთხეს ქმნის — პირველი შესაძლებლობისთანავე, მარტივ და გასაგებ ენაზე; დიდი ხარჯებისას — საჯარო გავრცელებით, ხოლო გარკვეულ შემთხვევებში ვალდებულება საერთოდ არ წარმოიშობა.
რა სანქციაა დადგენილი?
უსაფრთხოების ვალდებულების შეუსრულებლობა — გაფრთხილება ან ჯარიმა 2 000-დან 4 000 ლარამდე, დამამძიმებელი გარემოებისას — 3 000-დან 5 000 ლარამდე; 72 საათის შეტყობინების გამოტოვებაც იმავე ჩარჩოთი ისჯება.
როგორ დაგეხმარებით Legal.ge-ზე
მონაცემთა დარღვევაზე რეაგირების გეგმა დოკუმენტი კი არა, უნარიანობაა: 72 საათის კალენდრის, შეტყობინების შაბლონების, სუბიექტების ინფორმირების წესისა და სანქციების წინასწარ განლაგება. Legal.ge-ის იურისტები შეადგენენ თქვენი ორგანიზაციის ზომისა და ბრუნვის შესაბამის გეგმას და დაგეხმარებიან ინციდენტის რეალურ კრიზისშიც. შეავსეთ მოთხოვნა საიტზე.