რა არის მონაცემთა დაცვაზე ზეგავლენის შეფასება და რომელი კანონი აწესრიგებს მას
მონაცემთა დაცვაზე ზეგავლენის შეფასება არის წინასწარი, წერილობით დოკუმენტირებული ანალიზი, რომლის მიზანიცაა, დამუშავებისთვის პასუხისმგებელმა პირმა დროულად გამოიანგარიშოს, რა საფრთხეს უქმნის დაგეგმილი მონაცემთა დამუშავება ადამიანის ძირითად უფლებებსა და თავისუფლებებს და რა ორგანიზაციულ-ტექნიკური ზომებია საჭირო ამ საფრთხის ასაცილებლად ან შესამცირებლად. საქართველოში ეს ინსტიტუტი ხელშეკრულებითი ან კერძო სტანდარტის სახით კი არა, პირდაპირ კანონით არის დაწესებული: „პერსონალურ მონაცემთა დაცვის შესახებ“ საქართველოს კანონის 31-ე მუხლი განსაზღვრავს როდის, როგორ და რომელ ფორმატში უნდა განხორციელდეს ეს შეფასება. სწორედ ამ მუხლზე არის ამოგებული თქვენი ორგანიზაციის კანონიერების საფუძველიც და ადმინისტრაციული პასუხისმგებლობის საზღვრებიც.
საერთაშორისო პრაქტიკაში ამ ინსტიტუტს ხშირად უწოდებენ ზეგავლენის შეფასების აბრევიატურით, რომელიც ევროკავშირის ზოგადი მონაცემთა დაცვის რეგულამენტის ტერმინოლოგიიდან გავრცელდა. მნიშვნელოვანია მკაფიოდ გამოიყოს: ქართულ სამართალში შემსრულებელი ნორმა „პერსონალურ მონაცემთა დაცვის შესახებ“ კანონია, რომელიც ევროპულ მიდგომას ასახავს, ხოლო ევროპული რეგულამენტი ამ კონტექსტში მხოლოდ შედარების ჩარჩოდ სახავს. ამავე კანონის 31-ე მუხლის მე-5 პუნქტი კონსულტაციებისთვის პირდაპირ მიუთითებს სახელმწიფო აუდიტის სამსახურზე, როგორც ზემდგომ სახელმწიფო ორგანოზე, ხოლო შეფასების ვალდებულების წარმომშობი კრიტერიუმები დგინდება გენერალური აუდიტორის ნორმატიული აქტით.
როდის ხდება შეფასების განხორციელება სავალდებულო
კანონის 31-ე მუხლის პირველი პუნქტის თანახმად, თუ მონაცემთა დამუშავებისას ახალი ტექნოლოგიების, მონაცემთა კატეგორიის, მოცულობის, დამუშავების მიზნებისა და საშუალებების გათვალისწინებით მაღალი ალბათობით იქმნება ადამიანის ძირითადი უფლებებისა და თავისუფლებების შელახვის საფრთხე, დამუშავებისთვის პასუხისმგებელი პირი ვალდებულია წინასწარ განახორციელოს მონაცემთა დაცვაზე ზეგავლენის შეფასება. ეს ნიშნავს, რომ შეფასება დაგეგმილი დამუშავების დაწყებამდე ტარდება და არა უკვე მომხდარი დარღვევის შემდეგ.
გარდა ამ ზოგადი კრიტერიუმისა, 31-ე მუხლის მე-2 პუნქტი სამ შემთხვევას სახავს, როდესაც შეფასება ყოველგვარი დამატებითი განმარტების გარეშეა სავალდებულო. პირველი: როდესაც დამუშავებისთვის პასუხისმგებელი პირი მონაცემთა სუბიექტისთვის სამართლებრივი, ფინანსური ან სხვა სახის არსებითი მნიშვნელობის შედეგის მქონე გადაწყვეტილებას იღებს სრულად ავტომატიზებულად, მათ შორის პროფაილინგის საფუძველზე. მეორე: როდესაც ის ამუშავებს დიდი რაოდენობით მონაცემთა სუბიექტების განსაკუთრებული კატეგორიის მონაცემებს. მესამე: როდესაც ახორციელებს მონაცემთა სუბიექტების ქცევის სისტემატურ და მასშტაბურ მონიტორინგს საზოგადოებრივი თავშეყრის ადგილებში.
იმისთვის, რომ „დიდი რაოდენობის“ ცნება სუბიექტური ინტერპრეტაციის საგანი არ გახდეს, 31-ე მუხლის მე-7 პუნქტი პირდაპირ აწესებს რაოდენობრივ ზღვარს: მონაცემთა სუბიექტთა დიდ რაოდენობად მიიჩნევა საქართველოს მოსახლეობის არანაკლებ 3 პროცენტი, რომელიც გამოითვლება მოსახლეობის აღწერის ბოლო შედეგების მიხედვით. პრაქტიკულად, თუ თქვენი დამუშავება ამ ზღვარს ეხება განსაკუთრებული კატეგორიის მონაცემებზე, შეფასება სავალდებულოა. შეფასების ვალდებულების წარმომშობი გარემოებების დადგენის კრიტერიუმები და შეფასების განხორციელების წესი დეტალურად დგინდება გენერალური აუდიტორის ნორმატიული აქტით, ამიტომ დოკუმენტის მომზადებამდე აუცილებელია ამ აქტებთან შეჯერება.
შეფასების დოკუმენტის აუცილებელი შინაარსი და შენახვის ვადა
მონაცემთა დაცვაზე ზეგავლენის შეფასება არ არის მხოლოდ ტექნიკური დასკვნა ან შიდა მემორანდუმი. 31-ე მუხლის მე-3 პუნქტის თანახმად, დამუშავებისთვის პასუხისმგებელი პირი ვალდებულია შექმნას წერილობითი დოკუმენტი, რომელიც შეიცავს ორ მჭიდროდ დაკავშირებულ ბლოკს. პირველია მონაცემთა კატეგორიის, მათი დამუშავების მიზნების, პროპორციულობის, პროცესისა და საფუძვლების აღწერა. მეორეა ადამიანის ძირითადი უფლებებისა და თავისუფლებების შელახვის შესაძლო საფრთხეების შეფასება და მონაცემთა უსაფრთხოების დაცვის მიზნით გათვალისწინებული ორგანიზაციულ-ტექნიკური ზომების აღწერა. ამრიგად, დოკუმენტი ერთდროულად პასუხობს კითხვას, რას ამუშავებთ, რატომ და რა რისკებთან ერთად.
დოკუმენტს აქვს სამართლებრივად მნიშვნელოვანი ვადაც. 31-ე მუხლის მე-4 პუნქტის თანახმად, მონაცემთა დამუშავების პროცესის არსებითი ცვლილების შემთხვევაში დამუშავებისთვის პასუხისმგებელი პირი ვალდებულია განაახლოს შეფასების დოკუმენტი, ხოლო შენახვის წესი ორიენტირს განსაზღვრავს: დოკუმენტი ინახება მონაცემთა დამუშავების მთელი პერიოდის განმავლობაში, ხოლო დამუშავების შეწყვეტის შემთხვევაში არანაკლებ 1 წლის ვადით. ეს ნიშნავს, რომ ზემდგომი ორგანოს მოთხოვნაზე დოკუმენტის წარდგენა ვერ გახდება პრობლემა იმ დამუშავებებისთვისაც კი, რომლებიც უკვე დასრულებულია.