Право на запрос информации: рамка грузинского закона
Институт запроса информации субъектом данных часто обозначают иностранной аббревиатурой, однако в Грузии это право прямо и подробно определено законом «О защите персональных данных»: субъект может потребовать от ответственного за обработку лица подтверждения, обрабатываются ли данные о нём, получить подробную информацию об обработке и ознакомиться с данными вместе с копиями. На этой странице мы разъясняем, что субъект вправе требовать, в какие сроки и в какой форме должен прийти ответ и какая обязанность лежит на компании при реагировании на такие запросы.
Какую информацию может получить субъект
По закону субъект вправе потребовать подтверждения, обрабатываются ли данные о нём и обоснованна ли обработка, и — соответственно запросу и безвозмездно — получить следующую информацию: какие данные обрабатываются и каковы основание и цель обработки; источник сбора или получения данных; срок хранения, а если конкретный срок определить невозможно — критерии его определения; свои права; правовое основание и цели передачи и надлежащие гарантии, если данные передаются другому государству или международной организации; личность или категории получателей; логику решения, принятого в результате автоматизированной обработки, включая профилирование, её влияние и ожидаемые последствия. Перечень полон: в одном ответе субъект получает полную картину того, кто, зачем и как долго использует данные.
Сроки и форма
Информация должна быть предоставлена субъекту не позднее 10 рабочих дней с момента запроса. В особых случаях, при надлежащем обосновании, этот срок может быть продлён ещё не более чем на 10 рабочих дней, о чём субъект уведомляется незамедлительно. Если законодательством не предусмотрено иное, субъект вправе сам выбрать форму предоставления информации; если иная форма не запрошена, информация предоставляется в той же форме, в какой был сделан запрос. Практически это значит, что электронный запрос по умолчанию влечёт электронный ответ — если сам субъект не желает иного.
Ознакомление и копии
Ознакомление урегулировано отдельно: субъект вправе у ответственного лица ознакомиться с имеющимися о нём персональными данными и безвозмездно получить их копии. Закон допускает два исключения из безвозмездного правила: когда плата за ознакомление или выдачу копий предусмотрена законодательством Грузии, и когда ответственное лицо устанавливает разумную плату из-за ресурса, затраченного на выдачу данных в иной форме, или из-за частоты запросов. Плата не должна превышать размер фактически затраченного ресурса, а бремя доказывания её разумности и обоснованности лежит на самом ответственном за обработку лице. Копии могут выдаваться и в иной форме — за разумную плату, если это технически возможно.
Параллельная обязанность при сборе данных
Подготовка к ответам начинается раньше: закон обязывает ответственное лицо до сбора или непосредственно при его начале предоставить субъекту минимальную информацию: собственные личность и контакты, а также представителя и уполномоченное на обработку лицо, если они есть; цели и правовое основание обработки; обязательность предоставления данных и последствия отказа; законные интересы, если обработка на них опирается; личность и контакты офицера по защите данных, если он назначен; личность или категории получателей; планируемые передачи и гарантии; срок хранения или его критерии; права субъекта. Эта информация должна подаваться простым и понятным языком, особенно для несовершеннолетних. Надлежащее исполнение этой обязанности облегчает и последующие запросы.
Обязанность организации обеспечить права
Наконец, закон обязывает ответственное лицо по запросу субъекта в установленном порядке обеспечить осуществление определённых главой прав, в том числе принять все меры для соответствия и при необходимости — для его демонстрации. Обязанность распространяется и на уполномоченное на обработку лицо в отношении имеющейся у него информации. Мы помогаем выстроить процедуры ответов на запросы, готовим тексты информирования и разумно определяем плату — обратитесь за консультацией — мы оценим текущие процедуры вашей организации и укажем, каких элементов недостаёт.
Как подготовить организацию к запросам
Ответственность за ответы — установленный законом процесс, и его упорядочение в руках организации. Первый шаг — выстраивание реестра обработки: чтобы ответ был возможен в течение 10 рабочих дней, компания должна знать, где и в каких системах хранятся данные субъекта, кто получатели и каков срок хранения, — именно та информация, которую закон обязывает предоставлять. Второй — контроль сроков: продление допускается лишь в особых случаях, с надлежащим обоснованием и незамедлительным уведомлением, поэтому фиксация каждого запроса и отслеживание его срока обязательны. Третий — политика платы: если компания взимает плату за иную форму предоставления или за частые запросы, она должна уметь учитывать затраченный ресурс, поскольку бремя доказывания разумности платы лежит на ней. Четвёртый — демонстрация: закон требует не только соответствия, но и способности его обосновать, поэтому документирование каждого запроса и ответа должно стать регулярной практикой, а не разовой мерой перед проверкой.