Об этой услуге
Аудит защиты персональных данных — работа, которая ставит организацию на ноги до прихода проверки. В Грузии надзор в сфере защиты данных осуществляет Служба государственного аудита — уполномоченный орган, определённый действующим законодательством, который может проверить вас как по собственной инициативе, так и на основании заявления заинтересованного лица, а решение о проведении проверки принимает генеральный аудитор. Проверка — не формальность: её результатом могут стать требование устранить нарушения, прекращение обработки, блокирование, удаление, уничтожение или деперсонализация данных и административная ответственность. Наша услуга построена именно на этой реальности: мы готовим организацию, проверяя те же точки, которые рассматривает Служба государственного аудита.
Что проверяет Служба государственного аудита
Закон точно определяет содержание проверки. Проверка предполагает: установление соблюдения принципов обработки данных и наличия законных оснований обработки; проверку соответствия осуществлённых для защиты данных организационных и технических мероприятий и процедур установленным законодательством требованиям; проверку законности передачи данных другому государству или международной организации; проверку соблюдения установленных законом и иными нормативными актами правил и требований защиты данных. В ходе проверки Служба может истребовать документ или информацию у любого учреждения, физического или юридического лица — включая сведения, содержащие государственную, налоговую, банковскую, коммерческую или профессиональную тайну, — войти в любое учреждение и ознакомиться с любым документом независимо от содержания и формы хранения.
Сроки предоставления информации
Проверка сопровождается жёсткими сроками. Информация учёта, связанного с обработкой данных, должна предоставляться Службе государственного аудита незамедлительно по соответствующему требованию, но не позднее 3 рабочих дней. Если же запрошенный материал требуется разыскать в другом учреждении или подразделении либо информация имеет значительный объём, ответственное или уполномоченное лицо обязано предоставить материал незамедлительно, но не позднее 10 рабочих дней; на основании обоснованного обращения этот срок может быть продлён не более чем на 10 рабочих дней. При подготовке к аудиту мы проверяем именно это: сможет ли ваша организация собрать документы в эти сроки, или учёт не выстроен так, чтобы быстро представить его по требованию.
Что требуют учёт и безопасность
Предмет проверки — и документальная основа, которую организация обязана иметь. Учёт информации, связанной с обработкой, должен существовать письменно или в электронном виде и охватывать: данные об ответственном лице, его специальном представителе и офицере по защите персональных данных; цели обработки; сведения о категориях субъектов и данных; категории получателей; сведения о передачах другому государству или международной организации и о соответствующих гарантиях, включая разрешение Службы; сроки хранения или критерии их определения; общее описание мер безопасности; сведения об инцидентах. Со стороны безопасности закон требует мер, соразмерных возможным рискам, — включая псевдонимизацию, учёт доступа, механизмы конфиденциальности, целостности и доступности — и периодической оценки их эффективности.
Какие меры может применить Служба
Если Служба государственного аудита выявляет нарушение, она вправе применить одну или несколько мер: потребовать устранения нарушения и недостатков в указанной ею форме и срок; потребовать временного или постоянного прекращения обработки, если меры безопасности не соответствуют требованиям; потребовать прекращения обработки, блокирования, удаления, уничтожения или деперсонализации данных, если обработка осуществляется с нарушением закона; потребовать прекращения передачи другому государству или международной организации; дать письменные рекомендации при незначительном нарушении; либо привлечь к административной ответственности. Требования должны быть выполнены в установленный срок с уведомлением Службы; при неисполнении Служба обращается в суд, правоохранительный орган или отраслевой регулятор. Решение Службы обязательно и обжалуется только в суде.
Штрафы за воспрепятствование
Закон устанавливает административную ответственность за воспрепятствование проверке, нарушение порядка предоставления информации или предоставление ложной информации. Нарушение порядка представления информации либо предоставление ложных сведений влечёт предупреждение или штраф: для лиц с годовым оборотом, не превышающим 500 000 лари, — 1 000 лари, а для юридических лиц с оборотом свыше 500 000 лари — 2 000 лари. Повторение того же действия в течение одного года повышает штраф соответственно до 3 000 и 5 000 лари. Воспрепятствование проверке в любой форме штрафуется до 2 000 лари, а при крупном обороте — до 4 000 лари, при повторении — соответственно до 4 000 и 6 000 лари. Такова цена, которую неподготовленная организация может заплатить за единственную ошибку.
Чем мы можем помочь
Наша цель — чтобы всё перечисленное было сбалансировано до начала проверки: мы проверяем принципы и основания обработки, меры безопасности и международные передачи; оцениваем полноту учёта и скорость его представления; выявляем недостатки и даём план устранения с точными сроками. Если проверка уже идёт, мы поможем подготовить и предоставить материалы в срок и правильно реагировать на требования Службы. Обратитесь к нам и получите конкретную оценку того, где ваша организация стоит по отношению к возможной проверке.