Цель закона и объект защиты
Согласно статье 1 Закона Грузии о защите персональных данных, цель закона — защита при обработке персональных данных основных прав и свобод человека, включая права на неприкосновенность личной и семейной жизни, личного пространства и коммуникации. Такая формулировка важна: защита данных здесь не техническая тема, а часть системы прав человека, и именно под этим углом закон оценивает каждый акт обработки — от клиентской базы малого бизнеса до государственных реестров. Эта цель объединяет все последующие нормы закона и служит общей призмой оценки законности любой обработки данных.
Сфера действия закона
По статье 2 закон распространяется на обработку данных автоматическими и полуавтоматическими средствами, а также на неавтоматическую обработку данных, предназначенных для включения в картотеку. Он применяется и к обработке лицом, зарегистрированным за рубежом, с использованием технических средств, находящихся в Грузии, кроме случая, когда средства используются только для транзита. Вместе с тем закон не распространяется на обработку физическим лицом сугубо для личных или семейных целей, на обработку в целях государственной безопасности, обороны, разведки и контрразведки, на обработку в судебном процессе, на обработку СМИ в целях информирования общества, а также на обработку в академических, художественных и литературных целях. Кроме того, любое лицо, случайно получившее не предназначенные ему данные, обязано уважать права субъекта данных и не пытаться обрабатывать их незаконно. Такая сфера создаёт баланс между частным пространством и публичными интересами.
Принципы обработки
Статья 4 устанавливает шесть основных принципов: данные должны обрабатываться законно, справедливо, прозрачно и без ущемления достоинства; собираться только для конкретных, чётко определённых и легитимных целей; обрабатываться в необходимом объёме; быть достоверными и при необходимости актуальными; храниться только необходимый для цели срок; и защищаться надлежащими техническими и организационными мерами. Особое внимание уделено дальнейшей обработке: если данные обрабатываются для иной цели без согласия или законного основания, ответственное лицо должно учесть связь между первоначальной и новой целью, характер отношений, разумные ожидания субъекта и возможные последствия. Использование данных, собранных правоохранительными органами для общего анализа преступной деятельности, — признанное исключение, а длительное хранение для архивирования, научных или статистических целей допустимо при надлежащих мерах безопасности. Ответственное лицо отвечает за соблюдение принципов и должно уметь его обосновать, причём соблюдение проверяется в отношении каждой конкретной операции с данными, а не системы в целом; нарушение принципов делает обработку незаконной даже при формальном наличии основания.
Основания обработки
По статье 5 обработка допустима при наличии одного из оснований: согласие субъекта на конкретные цели; исполнение обязательства по договору или подготовка договора по просьбе субъекта; обработка, предусмотренная законом; общедоступные данные; защита жизненно важных интересов; защита значимого публичного интереса; выполнение задач в сфере публичного интереса; законные интересы ответственного или третьего лица, если не превалируют интересы субъекта; либо рассмотрение заявления субъекта. Обязанность обосновать правовое основание лежит на ответственном лице, что на практике означает: каждая компания на рынке должна уметь указать, на каком основании она обрабатывает данные.
Специальное правило закона не распространяется на обработку специальных категорий данных в целях переписи населения, что служит потребностям официальной статистики, а учреждения, действующие в целях безопасности, разведки или правосудия, всё равно охватываются законом, если обрабатывают данные автоматическими или полуавтоматическими средствами либо готовят их для картотеки. Несмотря на переходный характер, эта норма важна и для международных платформ, работающих на грузинском рынке. При применении принципов ответственное лицо должно отличать данные, основанные на фактах, от данных, основанных на личной оценке, поскольку строгого соблюдения принципа точности для данных личной оценки не требуется. Перечень же оснований исчерпывающий: обработка на любом ином основании незаконна, поэтому сначала определяется основание и лишь затем собираются данные.
Часто задаваемые вопросы о законе
Распространяется ли закон на личную переписку?
Нет. Он не применяется к обработке физическим лицом сугубо для личных или семейных целей, включая переписку.
Что происходит после достижения цели?
Данные должны быть удалены, уничтожены или сохранены в обезличенной форме, если хранение не предусмотрено законом иначе. Обезличенная форма означает данные, по которым идентификация конкретного лица уже невозможна.
Можно ли использовать данные для другой цели?
Дальнейшая обработка с несовместимой с первоначальной целью недопустима; отдельные цели, например архивирование, исследования или статистика, считаются совместимыми. Совместимость оценивается с учётом связи целей и разумных ожиданий субъекта.
Кто доказывает правомерность обработки?
Обоснование основания и подтверждение соблюдения принципов — обязанность ответственного лица, и это бремя не переходит на субъект данных.
Как мы помогаем на Legal.ge
Если ваша компания обрабатывает данные клиентов или сотрудников и вам нужна оценка соответствия, команда Legal.ge поможет определить основания обработки, проанализировать принципы и подготовить внутренние процедуры.