მონაცემთა უსაფრთხოების დარღვევა სამი ტალღით მოდის: თავად ინციდენტი, შემდგომი აღდგენითი ღონისძიებები და სამართლებრივი პასუხისმგებლობა. „პერსონალურ მონაცემთა დაცვის შესახებ“ კანონი ამ სამივე ეტაპს აწესრიგებს: ინციდენტი აღირიცხება და სახელმწიფო აუდიტის სამსახურს ეცნობება, მონაცემთა სუბიექტი ინფორმირდება, ხოლო დარღვევის გამო სამსახური შესაბამის ღონისძიებებს იყენებს და ჯარიმას ნიშნავს. ამ გვერდზე საუბარია სწორედ მეორე და მესამე ტალღაზე — როგორ უნდა აღიდგინოს ორგანიზაციამ მდგომარეობა და რა ემუქრება, თუ ამას ვერ მოახერხებს.
ინციდენტის აღრიცხვა და 72 საათიანი შეტყობინება
კანონის მე-29 მუხლით, დამუშავებისთვის პასუხისმგებელი პირი ვალდებულია აღრიცხოს ინციდენტი, დამდგარი შედეგი და მიღებული ზომები, და ინციდენტის აღმოჩენიდან არაუგვიანეს 72 საათისა მის შესახებ წერილობით ან ელექტრონულად შეატყობინოს სახელმწიფო აუდიტის სამსახურს — გარდა იმ შემთხვევისა, როცა ნაკლებად სავარაუდოა, რომ ინციდენტი მნიშვნელოვან ზიანს გამოიწვევს ან ადამიანის ძირითად უფლებებს მნიშვნელოვან საფრთხეს შეუქმნის. დამუშავებაზე უფლებამოსილი პირი ინციდენტის შესახებ დაუყოვნებლივ აცნობებს პასუხისმგებელ პირს. შეტყობინება უნდა შეიცავდეს ინციდენტის გარემოებებს, სახისა და დროის შესახებ; დაზარალებულ მონაცემთა და სუბიექტთა სავარაუდო კატეგორიებსა და რაოდენობას; სავარაუდო ზიანსა და განხორციელებულ ან დაგეგმილ ღონისძიებებს; სუბიექტების ინფორმირების გეგნას და ვადას; დაცვის ოფიცრის საკონტაქტო მონაცემებს. სრული ინფორმაციის ერთბაშად მიწოდება შეუძლებელია — სამსახურთან შეთანხმებით ეტაპობრივად წარედგინება; ხოლო თუ პასუხისმგებელი პირი სუბიექტებს არ აინფორმირებს, სახელმწიფო აუდიტის სამსახური თავად არის უფლებამოსილი ინფორმაცია გაასაჯაროოს.
სუბიექტის ინფორმირება
მე-30 მუხლით, თუ ინციდენტი მაღალი ალბათობით მნიშვნელოვან ზიანს გამოიწვევს ან ადამიანის ძირითად უფლებებს შეუქმნის საფრთხეს, პასუხისმგებელი პირი ვალდებულია აღმოჩენიდან პირველი შესაძლებლობისთანავე, გაუმართლებელი დაყოვნების გარეშე აცნობოს სუბიექტს ინციდენტის შესახებ და მარტივ ენაზე მიაწოდოს ინფორმაცია: ინციდენტისა და გარემოებების ზოგადი აღწერა; სავარაუდო ან დამდგარი ზიანი და მის შესამცირებლად ან აღმოსაფხვრელად განხორციელებული ან დაგეგმილი ღონისძიებები; დაცვის ოფიცრის ან სხვა პირის საკონტაქტო მონაცემები. ინფორმირება არაპროპორციულად დიდ ხარჯებს თუ მოითხოვს — ინფორმაცია საჯაროდ გავრცელდება. ინფორმირების ვალდებულება არ არსებობს, თუ შეტყობინება საფრთხეს უქმნის სახელმწიფო ან საზოგადოებრივი უსაფრთხოების, გამოძიების ან სხვა დაცულ ინტერესს, ან თუ მიღებული უსაფრთხოების ზომებით ძირითად უფლებებთან დარღვევის მნიშვნელოვანი საფრთხე თავიდან აცილებულია.
სახელმწიფო აუდიტის სამსახურის ღონისძიებები
მე-52 მუხლი სამსახურს აძლევს სრულ არსენალს დარღვევის აღმოფხვრისთვის: მოითხოვოს დარღვევისა და ნაკლოვანებების გამოსწორება მითითებული ფორმით და ვადაში; მოითხოვოს დამუშავების დროებით ან სამუდამოდ შეწყვეტა, თუ უსაფრთხოების ზომები კანონმდებლობას არ შეესაბამება; მოითხოვოს დამუშავების შეწყვეტა, მონაცემთა დაბლოკვა, წაშლა, განადგურება ან დეპერსონალიზაცია, თუ დამუშავება კანონმდებლობის დარღვევით ხორციელდება; მოითხოვოს სხვა სახელმწიფოსთვის გადაცემის შეწყვეტა; მისცეს წერილობითი რჩევები უმნიშვნელო დარღვევის შემთხვევაში; და დააკისროს ადმინისტრაციული პასუხისმგებლობა. პასუხისმგებელი პირი ვალდებულია მოთხოვნები მითითებულ ვადაში შეასრულოს და აცნობოს; უსრულებლობის შემთხვევაში სამსახური სასამართლოს, სამართალდამცავ ორგანოს ან რეგულატორს მიმართავს. სამსახურის გადაწყვეტილება სავალდებულოა და მხოლოდ სასამართლოში გასაჩივრდება.
აღდგენითი ღონისძიებები — რა უნდა მოიცავდეს
შეტყობინებები მხოლოდ პირველი ნაბიჯია; კანონი აღდგენასაც მოითხოვს. სახელმწიფო აუდიტის სამსახურისთვის წარდგენილ შეტყობინებაში პასუხისმგებელი პირი მიუთითებს ზიანის შესამცირებლად ან აღმოსაფხვრელად განხორციელებულ ან დაგეგმილ ღონისძიებებს — და ეს დაგეგმვა რეალური უნდა იყოს, რადგან სამსახურის მიერ გამოყენებადი ღონისძიებები სწორედ ამ ნაკლოვანებების გამოსწორებაზეა მიმართული. აღდგენითი პაკეტი, ჩვეულებრივ, მოიცავს ხარვეზის წყაროს აღმოფხვრას, დაზარალებული მონაცემების იდენტიფიკაციასა და აღდგენას, წვდომების გადახედვას და პერსონალის ინფორმირებას. გარდა ამისა, კანონი ითვალისწინებს ინციდენტის განსაზღვრის კრიტერიუმებს გენერალური აუდიტორის ნორმატიული აქტით — ანუ ორგანიზაციამ უნდა იცოდეს, რომ საზღვრები ადმინისტრაციულადვე არის დაწვრილებით განსაზღვრული.
მეორე მნიშვნელოვანი გარემოება გამჭვირვალობის რისკია: თუ პასუხისმგებელი პირი სუბიექტებს არ აინფორმირებს, სახელმწიფო აუდიტის სამსახური თავად არის უფლებამოსილი ხელთ არსებული ინფორმაცია გაასაჯაროოს. ანუ ინფორმაციის დამალვა ორმაგად ზიანს აყენებს ორგანიზაციას: ჯარიმა იზრდება და საჯაროობას ვეღარ მართავს თვითონ. სწორად აწყობილი პროცესი — აღრიცხვა, 72 საათიანი შეტყობინება, სუბიექტების ინფორმირება და დაგეგმილი ღონისძიებების შესრულება — ერთადერთი გზაა, რომ ინციდენტი მოკლე ეპიზოდად დარჩეს და ხანგრძლივ სამართლებრივ პრობლემად არ გადაიზარდოს.
ჯარიმები სუბიექტის არაინფორმირებისთვის
მე-79 მუხლი სუბიექტის ინფორმირების ვალდებულების შეუსრულებლობას საკმაოდ მძიმე ჯარიმეს უკავშირებს: ბრუნვით 500 000 ლარამდე პირებისთვის — გაფრთხილება ან 3 000 ლარის ჯარიმა; ბრუნვით 500 000 ლარზე მეტისთვის — გაფრთხილება ან 5 000 ლარი; დამამძიმებელი გარემოებებით — შესაბამისად 5 000 და 10 000 ლარი. ანუ დავალებული ინფორმირების გაუცხადებლობა ჯარიმას ორმაგად აძვირებს. Legal.ge-ის გუნდი დაგეხმარებით ინციდენტის შემდგომ პროცედურებში — 72 საათიანი შეტყობინების მომზადებიდან სუბიექტებთან კომუნიკაციამდე და სახელმწიფო აუდიტის სამსახურთან ურთიერთობამდე.
ხშირად დასმული კითხვები
ქვემოთ — მონაცემთა დარღვევასთან დაკავშირებით ყველაზე ხშირად დასმული კითხვები.
რამდენ დროში ეცნობება ინციდენტი სახელმწიფო აუდიტის სამსახურს?
აღმოჩენიდან არაუგვიანეს 72 საათისა, წერილობით ან ელექტრონულად — გარდა იმ შემთხვევისა, როცა ნაკლებად სავარაუდოა მნიშვნელოვანი ზიანი ან საფრთხე.
რა უნდა შეიცავდეს სუბიექტისთვის შეტყობინებამ?
ინციდენტისა და გარემოებების ზოგად აღწერას, სავარაუდო/დამდგარ ზიანსა და ღონისძიებებს და პერსონალურ მონაცემთა დაცვის ოფიცრის საკონტაქტო მონაცემებს — მარტივ და გასაგებ ენაზე.
როდის არ არსებობს ინფორმირების ვალდებულება?
როცა ინფორმირება საფრთხეს უქმნის სახელმწიფო უსაფრთხოების ან სხვა დაცულ ინტერესებს, ან როცა მიღებული უსაფრთხოების ზომებით ძირითად უფლებებზე მნიშვნელოვანი საფრთხე თავიდან აცილებულია.
შეიძლება თუ არა ინციდენტის გასაჯაროება?
დიახ — თუ პასუხისმგებელი პირი სუბიექტს ვერ აღწერს ინფორმირებას, სახელმწიფო აუდიტის სამსახური ხელთ არსებულ ინფორმაციას გაასაჯაროებს, გარდა კანონით დაცული შემთხვევებისა.
როგორ დაგეხმარებით Legal.ge-ზე
მონაცემთა დარღვევის შემდგომი ყველა ნაბიჯი — აღრიცხვა, 72 საათიანი შეტყობინება, სუბიექტების ინფორმირება და აღდგენითი ღონისძიებები — ზუსტ დოკუმენტურ ფიქსაციას მოითხოვს. Legal.ge-ის იურისტები დაგეხმარებით ამ პროცესის გავლაში და ჯარიმის რისკის შეფასებაში. მიმართეთ კონსულტაციისთვის ინციდენტის აღმოჩენისთანავე.