რა არის მონაცემთა დაცვაზე ზეგავლენის შეფასება და რომელი კანონი აწესრიგებს მას
მონაცემთა დაცვაზე ზეგავლენის შეფასება არის წინასწარი, წერილობით დოკუმენტირებული ანალიზი, რომლის მიზანიცაა, დამუშავებისთვის პასუხისმგებელმა პირმა დროულად გამოიანგარიშოს, რა საფრთხეს უქმნის დაგეგმილი მონაცემთა დამუშავება ადამიანის ძირითად უფლებებსა და თავისუფლებებს და რა ორგანიზაციულ-ტექნიკური ზომებია საჭირო ამ საფრთხის ასაცილებლად ან შესამცირებლად. საქართველოში ეს ინსტიტუტი ხელშეკრულებითი ან კერძო სტანდარტის სახით კი არა, პირდაპირ კანონით არის დაწესებული: „პერსონალურ მონაცემთა დაცვის შესახებ“ საქართველოს კანონის 31-ე მუხლი განსაზღვრავს როდის, როგორ და რომელ ფორმატში უნდა განხორციელდეს ეს შეფასება. სწორედ ამ მუხლზე არის ამოგებული თქვენი ორგანიზაციის კანონიერების საფუძველიც და ადმინისტრაციული პასუხისმგებლობის საზღვრებიც.
საერთაშორისო პრაქტიკაში ამ ინსტიტუტს ხშირად უწოდებენ ზეგავლენის შეფასების აბრევიატურით, რომელიც ევროკავშირის ზოგადი მონაცემთა დაცვის რეგულამენტის ტერმინოლოგიიდან გავრცელდა. მნიშვნელოვანია მკაფიოდ გამოიყოს: ქართულ სამართალში შემსრულებელი ნორმა „პერსონალურ მონაცემთა დაცვის შესახებ“ კანონია, რომელიც ევროპულ მიდგომას ასახავს, ხოლო ევროპული რეგულამენტი ამ კონტექსტში მხოლოდ შედარების ჩარჩოდ სახავს. ამავე კანონის 31-ე მუხლის მე-5 პუნქტი კონსულტაციებისთვის პირდაპირ მიუთითებს სახელმწიფო აუდიტის სამსახურზე, როგორც ზემდგომ სახელმწიფო ორგანოზე, ხოლო შეფასების ვალდებულების წარმომშობი კრიტერიუმები დგინდება გენერალური აუდიტორის ნორმატიული აქტით.
როდის ხდება შეფასების განხორციელება სავალდებულო
კანონის 31-ე მუხლის პირველი პუნქტის თანახმად, თუ მონაცემთა დამუშავებისას ახალი ტექნოლოგიების, მონაცემთა კატეგორიის, მოცულობის, დამუშავების მიზნებისა და საშუალებების გათვალისწინებით მაღალი ალბათობით იქმნება ადამიანის ძირითადი უფლებებისა და თავისუფლებების შელახვის საფრთხე, დამუშავებისთვის პასუხისმგებელი პირი ვალდებულია წინასწარ განახორციელოს მონაცემთა დაცვაზე ზეგავლენის შეფასება. ეს ნიშნავს, რომ შეფასება დაგეგმილი დამუშავების დაწყებამდე ტარდება და არა უკვე მომხდარი დარღვევის შემდეგ.
გარდა ამ ზოგადი კრიტერიუმისა, 31-ე მუხლის მე-2 პუნქტი სამ შემთხვევას სახავს, როდესაც შეფასება ყოველგვარი დამატებითი განმარტების გარეშეა სავალდებულო. პირველი: როდესაც დამუშავებისთვის პასუხისმგებელი პირი მონაცემთა სუბიექტისთვის სამართლებრივი, ფინანსური ან სხვა სახის არსებითი მნიშვნელობის შედეგის მქონე გადაწყვეტილებას იღებს სრულად ავტომატიზებულად, მათ შორის პროფაილინგის საფუძველზე. მეორე: როდესაც ის ამუშავებს დიდი რაოდენობით მონაცემთა სუბიექტების განსაკუთრებული კატეგორიის მონაცემებს. მესამე: როდესაც ახორციელებს მონაცემთა სუბიექტების ქცევის სისტემატურ და მასშტაბურ მონიტორინგს საზოგადოებრივი თავშეყრის ადგილებში.
იმისთვის, რომ „დიდი რაოდენობის“ ცნება სუბიექტური ინტერპრეტაციის საგანი არ გახდეს, 31-ე მუხლის მე-7 პუნქტი პირდაპირ აწესებს რაოდენობრივ ზღვარს: მონაცემთა სუბიექტთა დიდ რაოდენობად მიიჩნევა საქართველოს მოსახლეობის არანაკლებ 3 პროცენტი, რომელიც გამოითვლება მოსახლეობის აღწერის ბოლო შედეგების მიხედვით. პრაქტიკულად, თუ თქვენი დამუშავება ამ ზღვარს ეხება განსაკუთრებული კატეგორიის მონაცემებზე, შეფასება სავალდებულოა. შეფასების ვალდებულების წარმომშობი გარემოებების დადგენის კრიტერიუმები და შეფასების განხორციელების წესი დეტალურად დგინდება გენერალური აუდიტორის ნორმატიული აქტით, ამიტომ დოკუმენტის მომზადებამდე აუცილებელია ამ აქტებთან შეჯერება.
შეფასების დოკუმენტის აუცილებელი შინაარსი და შენახვის ვადა
მონაცემთა დაცვაზე ზეგავლენის შეფასება არ არის მხოლოდ ტექნიკური დასკვნა ან შიდა მემორანდუმი. 31-ე მუხლის მე-3 პუნქტის თანახმად, დამუშავებისთვის პასუხისმგებელი პირი ვალდებულია შექმნას წერილობითი დოკუმენტი, რომელიც შეიცავს ორ მჭიდროდ დაკავშირებულ ბლოკს. პირველია მონაცემთა კატეგორიის, მათი დამუშავების მიზნების, პროპორციულობის, პროცესისა და საფუძვლების აღწერა. მეორეა ადამიანის ძირითადი უფლებებისა და თავისუფლებების შელახვის შესაძლო საფრთხეების შეფასება და მონაცემთა უსაფრთხოების დაცვის მიზნით გათვალისწინებული ორგანიზაციულ-ტექნიკური ზომების აღწერა. ამრიგად, დოკუმენტი ერთდროულად პასუხობს კითხვას, რას ამუშავებთ, რატომ და რა რისკებთან ერთად.
დოკუმენტს აქვს სამართლებრივად მნიშვნელოვანი ვადაც. 31-ე მუხლის მე-4 პუნქტის თანახმად, მონაცემთა დამუშავების პროცესის არსებითი ცვლილების შემთხვევაში დამუშავებისთვის პასუხისმგებელი პირი ვალდებულია განაახლოს შეფასების დოკუმენტი, ხოლო შენახვის წესი ორიენტირს განსაზღვრავს: დოკუმენტი ინახება მონაცემთა დამუშავების მთელი პერიოდის განმავლობაში, ხოლო დამუშავების შეწყვეტის შემთხვევაში არანაკლებ 1 წლის ვადით. ეს ნიშნავს, რომ ზემდგომი ორგანოს მოთხოვნაზე დოკუმენტის წარდგენა ვერ გახდება პრობლემა იმ დამუშავებებისთვისაც კი, რომლებიც უკვე დასრულებულია.
მაღალი საფრთხე: დამატებითი ზომები, კონსულტაცია და დამუშავების აკრძალვა
თუ შეფასების შედეგად გამოვლინდება ადამიანის ძირითადი უფლებებისა და თავისუფლებების შელახვის მაღალი საფრთხე, 31-ე მუხლის მე-5 პუნქტი კანონით დადგენილ ქმედებათა თანმიმდევრობას აწესებს. ჯერ უნდა მიიღოთ ყველა აუცილებელი ზომა საფრთხეების არსებითად შესამცირებლად და, საჭიროების შემთხვევაში, კონსულტაციის მიზნით მიმართოთ სახელმწიფო აუდიტის სამსახურს. თუ დამატებითი ორგანიზაციულ-ტექნიკური ზომებით მაინც შეუძლებელია საფრთხის არსებითი შემცირება, კანონი კატეგორიულია: მონაცემები არ უნდა დამუშავდეს. ეს აკრძალვა შეფასების ინსტიტუტის ერთ-ერთი უმკაცრესი შედეგია და მას არ გააჩნია დამატებითი შეთანხმების შესაძლებლობა.
სახელმწიფო აუდიტის სამსახურისთვის მიმართვის შემთხვევაში 31-ე მუხლის მე-6 პუნქტი განსაზღვრავს წარსადგენ ინფორმაციას: დამუშავებისთვის პასუხისმგებელი პირის, თანადამუშავებისთვის პასუხისმგებელი პირებისა და დამუშავებაზე უფლებამოსილი პირის უფლებამოსილების შესახებ ინფორმაცია; დაგეგმილი დამუშავების მიზნებისა და საშუალებების შესახებ ინფორმაცია; მონაცემთა სუბიექტის უფლებების დასაცავად განსაზღვრული უსაფრთხოების ზომების შესახებ ინფორმაცია; პერსონალურ მონაცემთა დაცვის ოფიცრის საკონტაქტო ინფორმაცია, თუ ის არსებობს; თავად მონაცემთა დაცვაზე ზეგავლენის შეფასება და სხვა დამატებითი ინფორმაცია, თუ ამის მოთხოვნა იქნება.
ცალკე უნდა აღინიშნოს დოკუმენტის კონფიდენციალურობის საკითხი. 31-ე მუხლის მე-8 პუნქტით განსაზღვრული დოკუმენტი არ ექვემდებარება გასაჯაროებას, თუ ამით შეიძლება საფრთხე შეექმნას სახელმწიფო უსაფრთხოების, ინფორმაციული უსაფრთხოებისა და კიბერუსაფრთხოების ან თავდაცვის ინტერესებს, საზოგადოებრივი უსაფრთხოების ინტერესებს, დანაშაულის თავიდან აცილებას, ოპერატიულ-სამძებრო საქმიანობას, გამოძიებას, სისხლისსამართლებრივ დევნას, მართლმსაჯულების განხორციელებას და სხვა ჩამოთვლილ ინტერესებს. ამიტომ შეფასების მომზადებისას გამოყენებული დეტალური ტექნიკური ინფორმაცია არ იწვევს მის აუცილებლობაზე ზემდგომი ორგანოსთვის წარდგენის ვალდებულების შემცირებას.
კონფიდენციალურობის დაპროექტება, როგორც შეფასების შემავსებელი ვალდებულება
შეფასება არ არსებობს ვაკუუმში. კანონის 26-ე მუხლი აწესრიგებს მონაცემთა მეტად დაფარვის პრიორიტეტს, როგორც ალტერნატიული მიდგომის არჩევამდე ავტომატურად გამოყენებულ საწყის მეთოდს ახალი პროდუქტის ან მომსახურების შექმნისას. კონკრეტულად, დამუშავებისთვის პასუხისმგებელმა პირმა ახალი ტექნოლოგიების, განხორციელების ხარჯების, დამუშავების ხასიათის, მასშტაბის, კონტექსტისა და მიზნების, აგრეთვე მოსალოდნელი რისკების გათვალისწინებით, როგორც დამუშავების საშუალებების განსაზღვრისას, ისე უშუალოდ დამუშავების პროცესში უნდა მიიღოს შესაბამისი ტექნიკური და ორგანიზაციული ზომები, მათ შორის ფსევდონიმიზაცია.
იმავე მუხლის მე-2 პუნქტი მოითხოვს, რომ მონაცემთა რაოდენობის, დამუშავების მასშტაბის, შენახვის ვადებისა და მონაცემებზე წვდომის განსაზღვრისას მიღებული იყოს ისეთი ზომები, რომ ავტომატურად დამუშავდეს მონაცემების მხოლოდ ის მოცულობა, რომელიც აუცილებელია კონკრეტული მიზნისთვის. შეფასების დოკუმენტში აღწერილი რისკები და ზომები სწორედ ამ მოთხოვნებზე უნდა იყოს მიბმული, რადგან ორივე ინსტიტუტი ერთსა და იმავე ლოგიკას ემსახურება: დაცვა არ უნდა იყოს დამატებული შემდეგ, ის დაპროექტებული უნდა იყოს თავიდანვე.
ადმინისტრაციული პასუხისმგებლობა შეფასების არგანხორციელებლობისთვის
კანონის 80-ე მუხლი 31-ე მუხლით გათვალისწინებული შეფასების ვალდებულების შეუსრულებლობას ადმინისტრაციულ სანქციას უკავშირებს. ზოგად შემთხვევაში ეს ქმედება იწვევს ფიზიკური პირის, საჯარო დაწესებულების, არასამეწარმეო იურიდიული პირის, იურიდიული პირის, უცხო ქვეყნის საწარმოს ფილიალისა და ინდივიდუალური მეწარმისთვის, რომელთა წლიური ბრუნვა 500 000 ლარს არ აღემატება, გაფრთხილებას ან დაჯარიმებას 2 000 ლარის ოდენობით. იმავე პუნქტის თანახმად, იურიდიული პირის, უცხო ქვეყნის საწარმოს ფილიალისა და ინდივიდუალური მეწარმისთვის, რომელთა წლიური ბრუნვა 500 000 ლარს აღემატება, დგინდება გაფრთხილება ან ჯარიმა 3 000 ლარის ოდენობით. გაფრთხილება და ჯარიმა აქ ალტერნატიული სანქციებია და არჩევანი გარემოებებზეა დამოკიდებული.
ქმედება, ჩადენილი დამამძიმებელი გარემოების არსებობისას, უფრო მკაცრ შედეგს იწვევს: ფიზიკური პირის, საჯარო დაწესებულების, არასამეწარმეო იურიდიული პირის, იურიდიული პირის, ფილიალისა და ინდივიდუალური მეწარმისთვის, რომელთა წლიური ბრუნვა 500 000 ლარს არ აღემატება, დაჯარიმება 3 000 ლარის ოდენობით, ხოლო 500 000 ლარს გადაცილებული ბრუნვის შემთხვევაში ჯარიმა 5 000 ლარამდე იწვევს. რეალურად, დაგვიანებული ან ხარისხიანი შეფასება არა მხოლოდ სანქციის რისკია, არამედ იმ დამუშავების კანონიერების საფუძველსაც ასუსტებს, რომლის დასაცავაც შეფასება საერთოდ იყო დაწესებული.
გარდამავალი წესები და პრაქტიკული რეკომენდაციები
კანონის 88-ე მუხლი გარდამავალ დებულებებს შეიცავს. მათ შორისაა წესი, რომლის მიხედვითაც დამუშავებისთვის პასუხისმგებელი პირი თავისუფლდება 26-ე მუხლით გათვალისწინებული ვალდებულების შესრულებისგან იმ პროგრამულ უზრუნველყოფასთან მიმართებით, რომელიც გამოიყენება მონაცემთა დამუშავებისთვის და შეიქმნა 2024 წლის 1 მარტამდე, გარდა იმ შემთხვევისა, როდესაც 2024 წლის 1 მარტის შემდეგ ეს პროგრამული უზრუნველყოფა მნიშვნელოვნად განახლდა და ვალდებულების შესრულება გაუმართლებელ ხარჯებს არ მოითხოვს. ასევე დადგენილია, რომ მონაცემთა დაცვაზე ზეგავლენის შეფასების ვალდებულების წარმომშობი გარემოებების დადგენის კრიტერიუმებისა და შეფასების წესის შესახებ ნორმატიული აქტი 2024 წლის 1 მარტამდე უნდა გამოცემულიყო.
პრაქტიკული გეგმა ორგანიზაციისთვის შემდეგი ეტაპებისგან შედგება: დამუშავებების აღწერა და კლასიფიკაცია; 31-ე მუხლის მე-2 პუნქტში ჩამოთვლილი ტრიგერების შემოწმება; მაღალი რისკის დადგენის შემთხვევაში დოკუმენტის მომზადება მე-3 პუნქტის შესაბამისად; საჭიროებისას სახელმწიფო აუდიტის სამსახურთან კონსულტაცია მე-6 პუნქტით განსაზღვრული შინაარსით; დოკუმენტის განახლება ყოველი არსებითი ცვლილებისას და მისი შენახვა მოთხოვნილი ვადებით. Legal.ge-ს ჯგუფი დაგეხმარებათ ამ პროცესის გავლაში, რათა შეფასება არ იყოს ფორმალური დოკუმენტი, არამედ რეალური რისკების მართვის ინსტრუმენტი.