Правовая рамка информационного управления в Грузии
Информационное управление означает такую систему работы с данными в организации, которая обеспечивает законный сбор, точность, безопасность и возможность обоснования всего этого. Отдельного отраслевого закона для этой сферы в Грузии нет — правовая рамка информационного управления строится на грузинском законе «О защите персональных данных», который разделяет подходы Общего регламента Европейского союза о защите данных, однако обязательные правила для грузинских организаций создаёт именно этот закон. На практике рамка состоит из четырёх опор: принципы обработки вместе с подотчётностью, защита на этапе проектирования, учёт обработки вместе с институтом офицера по защите данных и меры безопасности. Каждая из них рассмотрена ниже.
Принципы обработки данных и подотчётность
Пункт 1 статьи 4 закона называет принципы, которые должны соблюдаться при любой обработке: данные обрабатываются законно, справедливо, прозрачно для субъекта и без нарушения его достоинства; данные собираются только для конкретных, чётко определённых и законных целей, а дальнейшая обработка с несовместимой с первоначальной целью недопустима; данные обрабатываются лишь в объёме, необходимом для достижения законной цели; данные должны быть достоверными и точными, а неточные данные подлежат исправлению, удалению или уничтожению без неоправданной задержки; данные хранятся только тот срок, который необходим для достижения цели, после чего удаляются, уничтожаются или хранятся в деперсонализированной форме; наконец, в целях безопасности принимаются надлежащие технические и организационные меры.
Особо важен пункт 7 той же статьи: ответственное за обработку лицо отвечает за соблюдение этих принципов и должно уметь обосновать их соблюдение. Это принцип подотчётности — законность должна не только существовать, но и быть доказуемой. Когда данные обрабатываются с целью, отличной от первоначальной, и это делается не с согласия субъекта и не на основании закона, ответственное лицо должно взвесить связь между первоначальной и новой целью, характер отношений с субъектом, его разумные ожидания, факт обработки данных особой категории, возможные последствия и существующие меры безопасности.
Защита на этапе проектирования и по умолчанию
Статья 26 закона требует, чтобы при создании нового продукта или услуги ответственное лицо принимало надлежащие технические и организационные меры — в том числе псевдонимизацию — как при определении средств обработки, так и в самой обработке. Эти меры должны обеспечивать эффективную реализацию принципов обработки и встраивание защитных механизмов для охраны прав субъекта. Пункт 2 той же статьи закрепляет правило по умолчанию: при определении объёма, масштаба, сроков хранения и доступа к данным должно обеспечиваться, чтобы автоматически обрабатывался только необходимый для конкретной цели объём данных, а неопределённому кругу лиц до выбора альтернативного подхода автоматически обеспечивался доступ лишь к минимальным данным. С точки зрения информационного управления это означает, что проектирование систем должно начинаться именно с минимизации данных.