РАЗДЕЛ 1: ПЕРЕВЕДЕННЫЙ ДОКУМЕНТ

Введение: что изменилось «2» марта 2026 г.?

С «2» марта 2026 г. Служба защиты персональных данных была упразднена, а её функции — надзор, проверки, рассмотрение инцидентов и прием заявлений от субъектов данных — были переданы Службе государственного аудита.

Данное изменение вызывает открытые вопросы. Служба защиты персональных данных являлась специализированным, отдельно учрежденным органом, тогда как основным мандатом Службы государственного аудита является контроль государственных финансов. Специализированная компетенция и оперативность новой структуры ещё подлежат проверке на практике. Представители бизнеса и гражданского общества должны внимательно следить за развитием данной ситуации.

Что осталось неизменным: требования Закона — обязательства, штрафы и права субъектов данных — остаются в полной силе.

Официальный контакт: Служба государственного аудита — sao.ge

Закон «О защите персональных данных» (далее — «Закон») применяется к любому лицу или организации, которые:

• обрабатывают данные на территории Грузии автоматическими или полуавтоматическими средствами;

• либо учреждены за пределами Грузии, но обрабатывают местные данные с использованием технических средств, расположенных на территории Грузии.

Это означает, что Закон применяется ко всем компаниям и учреждениям, в которых осуществляется обработка персональных данных физического лица. Сюда также относится видео- и аудиомониторинг.

Исключение: исключительно личная и бытовая деятельность физического лица, не имеющая связи с предпринимательской или профессиональной деятельностью. Кроме того, действие Закона не распространяется на обработку персональных данных юридического лица. Предметом регулирования Закона являются персональные данные физического лица.

Стандартные персональные данные

Имя, фамилия, личный идентификационный номер, адрес электронной почты, номер телефона, IP-адрес, идентификаторы файлов cookie, данные геолокации, номера счетов.

Данные особой категории

Закон относит к особой категории данные, касающиеся:

• состояния здоровья и психического состояния;

• расового или этнического происхождения;

• политических взглядов, религии, философских убеждений;

• членства в профессиональных союзах;

• интимной жизни и сексуальной ориентации;

• биометрических и генетических данных (изображение лица, дактилоскопические данные);

• судимости, осуждения и оправдания.

⚠️ Практическое предупреждение: видеомониторинг, используемый для биометрической идентификации лица (например, системы распознавания лиц), представляет собой данные особой категории, и его непосредственное использование в учреждении сопряжено со значительными рисками.

Данные принципы являются «основой» Закона — все остальные обязательства строятся на этом фундаменте:

Наиболее часто нарушаемый принцип на практике: компании не ограничивают хранение персональных данных сроком, предусмотренным для достижения конкретной цели, и не удаляют их даже после истечения указанного срока. Кроме того, они обрабатывают больше данных, чем им необходимо.

Любая обработка должна опираться на одно из следующих оснований.

Для стандартных данных

1. Согласие — должно быть конкретным, информированным и добровольным. Субъект данных вправе отозвать его в любое время. Согласие считается полученным только посредством активного действия субъекта данных.

2. Исполнение договора — применяется в случаях, когда обработка непосредственно необходима для исполнения договора, заключённого с субъектом данных. Важно отметить: данное основание не применяется автоматически к дополнительной обработке — например, в маркетинговых целях; для последней требуется отдельное основание.

3. Юридическое обязательство — применяется в случаях, когда обработка является прямым требованием законодательства (например, Налогового кодекса, Трудового кодекса).

4. Защита жизненно важных интересов — узкое, исключительное основание, которое в основном применяется в ситуациях оказания неотложной медицинской помощи, когда субъект данных физически или юридически не в состоянии выразить согласие. На практике оно неприменимо для коммерческих целей.

5. Общественный интерес — основание, в первую очередь предназначенное для государственных учреждений.

6. Законный интерес — лицо, ответственное за обработку данных, или третье лицо может иметь обоснованный интерес в обработке данных при условии, что этот интерес преобладает над основными правами и интересами субъекта данных. Непосредственная оценка вышеизложенного является достаточно сложной задачей и требует предварительного изучения полной документации.

Для данных особой категории

Обработка данных этой категории по умолчанию запрещена, за исключением случаев, прямо предусмотренных Законом. Наиболее часто используемым основанием является письменное согласие, которое отличается от стандартного согласия: устного или подразумеваемого согласия недостаточно — Закон требует подписанной или электронной формы.

1. Прозрачность и предоставление информации

Наличие политики обработки персональных данных является обязательным, однако она не может заменить собой краткое и понятное уведомление в момент сбора данных. При заполнении формы или открытии счёта субъект данных должен получить информацию о следующем:

• кто обрабатывает данные;

• для какой цели они обрабатываются;

• на каком правовом основании;

• контактные данные инспектора по защите данных (если таковой назначен);

• получатели данных (третьи лица, страны-получатели при трансграничной передаче);

• срок хранения;

• права субъекта данных.

Важные аспекты, требующие внимания: практический контрольный список для бизнеса

Соблюдение требований Закона начинается не с юридических документов, а с простых вопросов: что вы обрабатываете, почему и как. Ниже приведены вопросы, которые обязана проверить каждая компания.

Инвентаризация данных. Проверьте, какими категориями персональных данных вы располагаете — данными клиентов, сотрудников, посетителей. Выясните, где они хранятся (на локальном сервере, в облаке, в электронной почте), кто имеет к ним доступ и, что особенно важно — в течение какого срока. Данные, которые хранятся сверх установленного срока, представляют собой нарушение Закона. Если невозможно определить конкретный срок, должна быть определена конкретная цель, для достижения которой хранятся данные, и после достижения указанной цели они должны быть удалены и/или сохранены в обезличенном виде.

Видеомониторинг. Если в компании используются видеокамеры, Закон устанавливает строгие требования: должна быть определена цель видеозаписи, субъекты данных должны быть проинформированы посредством видимого предупреждающего знака, а срок хранения записи должен быть фиксированным. Особая осторожность требуется, если камера ведет наблюдение за рабочим местом — в таком случае требуется дополнительное основание. Аргумент о том, что видеомониторинг в рабочем пространстве необходим исключительно для проверки эффективности работы сотрудников, является необоснованным.

Аудиомониторинг. Вышеупомянутое является весьма чувствительным аспектом и влечет за собой риски. Компания должна учитывать, что аудиомониторинг допускается в следующих случаях: а) с согласия субъекта данных; б) для ведения протокольной записи; в) для защиты существенного законного интереса лица, ответственного за обработку (далее — «Контролер»), при условии, что определены надлежащие и конкретные меры по защите прав и интересов субъекта данных; г) в иных случаях, прямо предусмотренных законодательством Грузии. Таким образом, в случае возникновения желания осуществлять аудиомониторинг компании рекомендуется получить подробную консультацию

Прямой маркетинг. Проверьте, на каком основании вы рассылаете рекламные SMS-сообщения или электронные письма. Базы данных, «когда-то собранной» или «купленной напрямую», недостаточно. Требуется предварительное, отзываемое согласие. Кроме того, если согласие не было получено от конкретного лица и оно отказалось от обработки данных в целях прямого маркетинга, игнорирование вышеизложенного повлечет за собой наложение санкций.

Информирование сотрудников. Наиболее частой «уязвимостью» в защите персональных данных является человеческий фактор. В обязательном порядке каждый сотрудник должен пройти обучение и быть проинформирован как об обработке его персональных данных, так и о политике компании, существующей в данном направлении.

РАЗДЕЛ 2: ПРИМЕЧАНИЯ ПЕРЕВОДЧИКА

• Принцип «Accountability» (Подотчетность / Ответственность): В оригинальном тексте присутствует примечание о том, что грузинский термин буквально означает "liability/responsibility", но концептуально соответствует принципу "Accountability". В российской юридической практике в сфере защиты персональных данных этот принцип переводится как «Подотчетность» (в контексте GDPR и аналогичных законов). Для сохранения обоих смыслов в переводе использована формулировка «Подотчетность (Ответственность)».

• «Legitimate interest» (Законный интерес): Примечание в оригинале указывает, что грузинское слово «ჭარბობს» означает «outweighs/prevails over». В переводе использован стандартный юридический оборот «преобладает над» (соответствует формулировке «интерес преобладает над основными правами и интересами субъекта данных»).

• Термин «Controller» (Контролер): В абзаце «Аудиомониторинг» термин «person responsible for processing» [Controller (დამუშავებისთვის პასუხისმგებელი პირი)] переведен с введением сокращения (далее — «Контролер») согласно устоявшейся терминологии в сфере защиты персональных данных.

• Отсутствие точки в конце абзаца об аудиомониторинге: В соответствии с прямым указанием в исходном тексте («Translator's note: The original text ends abruptly without terminal punctuation; translated as written»), перевод предложения об аудиомониторинге также оставлен без завершающего знака препинания (точки).

• Встроенные в исходный текст комментарии переводчика на английском языке (в квадратных скобках) были учтены при формировании перевода, но исключены из самого итогового документа для сохранения его официально-делового стиля и читабельности, и перенесены в данный блок примечаний.