Правовая природа политики куки в Грузии
Куки и связанные с ними технологии отслеживания при каждом посещении сайта оставляют персональные данные, поэтому их использование должно регулироваться политикой куки или заявлением о конфиденциальности. Отдельного закона о куках в Грузии нет — эта сфера полностью подчинена грузинскому закону «О защите персональных данных», который построен на принципах Общего регламента Европейского союза о защите данных, но обязательным в Грузии является именно этот закон. В системе закона политика куки — это форма исполнения информационной обязанности: документ, через который ответственное за обработку лицо информирует субъекта данных об обработке касающихся его данных. Ниже мы рассматриваем, что именно должен содержать такой документ, чтобы быть законным.
Минимальная информация, которую должна содержать политика куки
Когда данные собираются непосредственно у субъекта данных — в том числе через куки или формы на сайте — пункт 1 статьи 24 закона обязывает ответственное лицо до сбора или в момент его начала предоставить субъекту как минимум следующую информацию:
- наименование и контактные данные ответственного лица, его представителя и, при наличии, уполномоченного на обработку лица;
- цели и правовое основание обработки данных;
- обязательность предоставления данных, а если оно обязательно — правовые последствия отказа, а также сведения о том, что сбор предусмотрен грузинским законодательством или является необходимым условием заключения договора;
- существенные законные интересы ответственного лица или третьего лица, когда обработка основана на законном интересе;
- наименование и контактные данные офицера по защите персональных данных, если он назначен;
- наименование получателей данных или категории получателей;
- планируемую передачу данных другому государству или международной организации вместе с надлежащими гарантиями защиты, включая разрешение на передачу;
- срок хранения данных, а если конкретный срок определить невозможно — критерии его определения;
- права субъекта данных, предусмотренные законом.
Политика куки, не отражающая этот перечень, не исполняет информационную обязанность — баннер «мы используем куки» требованиям закона не отвечает. Информация предоставляется субъекту простым и понятным ему языком, особенно при взаимодействии с несовершеннолетними, устно или письменно, в том числе в электронной форме, если субъект не требует письменной формы.
Информирование, когда данные собираются не у субъекта
Нередко куки и рекламные инструменты получают данные не от потребителя напрямую, а от третьих лиц. В этом случае пункт 1 статьи 25 требует, чтобы субъект получил всю информацию, предусмотренную статьёй 24, а также был уведомлён о том, какие касающиеся его данные обрабатываются, об источнике их получения и о том, получены ли они из общедоступного источника. Требование ко времени точное: информация предоставляется в разумный срок; если данные используются для связи с субъектом — при первом коммуникации; при планируемом раскрытии — до раскрытия, но не позднее 10 рабочих дней с момента получения данных, если отсутствуют предусмотренные законом основания ограничения права.
Когда информирование не обязательно
Закон предусматривает и исключения. Согласно пункту 2 статьи 24, предоставление информации не требуется, если есть разумное предположение, что субъект уже ею располагает. Если специальное законодательство устанавливает иной порядок информирования при сборе и это не нарушает основных прав субъекта, то по его письменному требованию информация предоставляется в течение 10 рабочих дней с момента требования; в исключительных случаях этот срок может быть продлён не более чем на 10 рабочих дней, о чём субъекту сообщается незамедлительно. Пункт 3 статьи 25 освобождает от обязанности, когда субъект уже располагает информацией; когда сбор или раскрытие установлены законом либо необходимы для исполнения возложенной законодательством обязанности; или когда информирование невозможно, требует непропорционально больших усилий либо наносит существенный вред законной цели обработки — и в этих случаях всё равно должны быть приняты надлежащие меры для защиты прав субъекта, включая публичное размещение общей информации о получении данных.
Право субъекта данных — информация бесплатно
Политика куки — не пассивное уведомление: по статье 13 закона субъект вправе потребовать от ответственного лица подтверждения, обрабатываются ли касающиеся его данные, и в соответствии с требованием безвозмездно получить информацию о том, какие данные обрабатываются, об основании и цели обработки, источнике сбора, сроке хранения или критериях его определения, правах субъекта, основании и гарантиях при передачах, получателях, а также о решениях, принятых в результате автоматизированной обработки, включая профилирование, и о применяемой при этом логике. Эта информация предоставляется не позднее 10 рабочих дней с момента требования; в исключительных случаях срок может быть продлён не более чем на 10 рабочих дней с незамедлительным уведомлением субъекта. Если субъект не потребует иного, информация предоставляется в той же форме, в которой было сделано требование.
Штрафы за неисполнение обязанности информирования
Статья 74 закона прямо связывает штраф с неисполнением обязанности информирования по статьям 24 и 25, причём меры различаются по годовой выручке. Для физического лица, государственного учреждения, неформышленного юридического лица, филиала иностранного предприятия и индивидуального предпринимателя с годовой выручкой, не превышающей 500 000 лари, предусмотрены предупреждение или штраф в размере 1 000 лари. Для юридического лица — кроме неформышленного — филиала иностранного предприятия и индивидуального предпринимателя с выручкой свыше 500 000 лари мерой является предупреждение или штраф в размере 1 500 лари. При совершении того же деяния при отягчающих обстоятельствах штраф возрастает: для лиц с выручкой до 500 000 лари он составляет 2 000 лари, а для лиц с выручкой свыше 500 000 лари — 3 000 лари. Неполноценная политика куки — это, следовательно, не только репутационный, но и прямой финансовый риск.
Специалисты Legal.ge помогут составить политику куки и заявление о конфиденциальности, отражающие все требования закона и защищающие ваш бизнес от риска штрафов.