Облачные сервисные платформы, обрабатывающие данные клиентов, обычно осмысливают соответствие через международные сертификационные схемы. В грузинском праве такого сертификационного статута нет: соответствие означает выполнение — и способность подтвердить выполнение — конкретных обязанностей по закону о защите персональных данных. Именно этот закон создаёт аудируемый каркас, на котором стоит поставщик услуги: меры безопасности, учёт обработки, уведомление об инцидентах, оценка воздействия и, при достижении порогов, офицер по защите данных. На этой странице юристы Legal.ge разбирают каждый элемент этого каркаса по статьям закона применительно к платформенному бизнесу.
Принципы и законные основания
Статья 4 закрепляет принципы: данные обрабатываются законно, справедливо и прозрачно; собираются для конкретных, чётко определённых целей; обрабатываются в необходимом объёме; остаются точными; хранятся не дольше нужного; защищаются техническими и организационными мерами. Оператор отвечает за соблюдение принципов и обязан уметь его обосновать.
Статья 5 перечисляет законные основания: согласие субъекта, исполнение договора или действия по его запросу, предписание закона, правовая обязанность, общедоступные данные, жизненные интересы, значимый публичный интерес и законные интересы. Для платформы это значит, что каждая функция — от создания аккаунта до аналитики — заранее привязывается к конкретному основанию, и эта привязка документируется, а не предполагается.
Меры безопасности и учёт — аудируемое ядро
Статья 27 требует надлежащих технических и организационных мер и способности подтверждать соответствие: псевдонимизация, учёт доступа к данным, механизмы конфиденциальности, целостности и доступности, учёт всех операций над электронными данными и конфиденциальность сотрудников после увольнения.
Статья 28 добавляет документальный слой, делающий аудит осмысленным: оператор и его представитель письменно либо электронно учитывают сведения и контакты, цели обработки, категории субъектов и данных, получателей, передачи в другие государства, сроки хранения, меры безопасности и инциденты. По запросу Государственной службы аудита эта информация предоставляется незамедлительно, но не позднее 3 рабочих дней — срок, который без поддерживаемого в актуальном состоянии реестра практически невыполним. Поэтому подготовка реестра до первого запроса — не усердие, а базовое управление риском.