Содержание политики — что должно быть написано
Политика конфиденциальности — не юридическая литература, а исполнение установленного законом перечня сведений. Согласно статье 24, при сборе данных непосредственно у субъекта ответственное лицо обязано до сбора или при его начале предоставить как минимум следующее: сведения о личности и контактные данные ответственного лица, его представителя или уполномоченного на обработку лица; цели и правовое основание обработки; обязательность предоставления данных и последствия отказа; значимые законные интересы; сведения о должностном лице по защите данных, если оно есть; получателя или категории получателей; планируемую передачу в другое государство; срок хранения или критерии его определения; и права субъекта.
Этот перечень — именно тот каркас, на котором пишется хорошая политика: каждый пункт должен быть подогнан под реальную практику бизнеса и сформулирован простым, понятным языком — закон особо подчёркивает простой язык и тогда, когда субъект несовершеннолетний. Вместе с тем информация может предоставляться устно или письменно — включая электронную форму — кроме случая, когда субъект требует письменного получения; а если форму субъект сам не выбирает, информация предоставляется в той же форме, в какой была запрошена.
Когда данные получены из другого источника
Если данные собираются не непосредственно у субъекта, то согласно статье 25 ответственное лицо обязано предоставить информацию статьи 24 и сообщить, какие данные обрабатываются и каков источник их получения — в том числе, получены ли они из общедоступного источника. Эта информация предоставляется в разумный срок либо — если данные используются для связи с субъектом — при первом контакте, а при планируемом раскрытии — до раскрытия, но не позднее 10 рабочих дней с момента получения данных.
У обязанности есть исключения: предоставление информации не требуется, если субъект уже ею владеет, если сбор установлен законом или если предоставление невозможно, требует непропорциональных усилий и повредит законной цели — в этих случаях ответственное лицо обязано принять надлежащие меры, включая публичное размещение общей информации.
Запрос субъекта и сроки
Согласно статье 13, субъект вправе потребовать от ответственного лица подтверждения, обрабатываются ли данные о нём, и безвозмездно получить подробную информацию: какие данные обрабатываются, основание и цель обработки, источник сбора, срок хранения или критерии, его права, основания и гарантии передач, личность получателей и логику автоматизированных решений. Эта информация предоставляется не позднее 10 рабочих дней с момента запроса; в особых случаях срок может быть продлён не более чем на 10 рабочих дней — с обоснованием и немедленным уведомлением субъекта.
Хорошо составленная политика — это именно готовность отвечать на такие запросы: если информация отражена в политике изначально, индивидуальные запросы удовлетворяются быстро и единообразно; если нет — каждый запрос превращается в отдельный административный процесс.
Ответственность за неинформирование
Неисполнение обязанности информировать завершается штрафом: согласно статье 74, нарушение обязанностей, предусмотренных статьями 24 и 25, влечёт предупреждение или штраф — до 1 000 лари для субъектов с годовым оборотом, не превышающим 500 000 лари, и до 1 500 лари для юридических лиц с оборотом свыше 500 000 лари; при отягчающих обстоятельствах — соответственно до 2 000 и 3 000 лари.
Сказывается и характер самой обязанности: это не единственное техническое положение, нарушение которого касается лишь отдельного случая — отсутствие информации напрямую вредит прозрачности, а прозрачность — именно та ценность, на которой построена политика.
Часто задаваемые вопросы
Что должно быть в политике как минимум?
Перечень статьи 24: личность и контакты, цели и основание, обязательность предоставления, законные интересы, офицер по защите, получатели, передача, срок хранения и права.
Что происходит с непрямо полученными данными?
Согласно статье 25 — та же информация плюс источник; сообщается не позднее 10 рабочих дней с момента получения, кроме исключений.
В какой срок отвечает лицо на запрос?
Согласно статье 13 — в 10 рабочих дней, с возможностью продления ещё на 10 рабочих дней при обосновании и немедленном уведомлении.
Какой штраф за неинформирование?
Согласно статье 74 — предупреждение или штраф до 1 000-1 500 лари; при отягчающих — до 2 000-3 000 лари по обороту.
Как мы помогаем на Legal.ge
Составление политики конфиденциальности — баланс двух требований: законности — отражения всех элементов статей 24, 25 и 13 — и понятности, формулировки простым языком. Без первого политика неправомерна, без второго бесполезна: документ, который субъект не может прочитать, информацией не считается.
Юристы, работающие на Legal.ge, помогут подготовить проект политики, провести аудит существующих документов, инвентаризировать процессы обработки и подогнать формы к реальным каналам сбора данных — от форм на сайте до партнёрских баз. Обратитесь за консультацией — хорошая политика решает одним документом то, что иначе потребует тысячи запросов.