Европейский стандарт и грузинский закон: предмет соответствия
Общий регламент Европейского союза по защите данных не применяется в Грузии напрямую — операционным законом для грузинского рынка является Закон Грузии о защите персональных данных. В то же время многие грузинские компании обслуживают европейских потребителей и передают данные европейским партнёрам, поэтому программа соответствия должна отвечать обоим режимам. Практический путь таков: внутренние документы и процессы строятся на конкретных требованиях грузинского закона, а эквивалентный европейский уровень защиты обеспечивается там, где оба режима требуют одного и того же — законных оснований, прозрачности, прав субъектов и мер безопасности.
Показательно, что ключевые блоки грузинского закона повторяют архитектуру европейского регламента: принципы обработки, основания обработки, права субъектов на информацию, исправление и удаление, право на жалобу. Различия — в деталях: сроках, надзорном органе и режиме санкций. Поэтому аудит соответствия идёт в два слоя: сначала проверка обязанностей по грузинскому закону, затем — определение оснований передачи данных европейским партнёрам.
Принципы обработки: законность, соразмерность, сроки хранения
Статья 4 закона закрепляет принципы обработки. Данные должны обрабатываться законно, справедливо, прозрачно для субъекта и без нарушения его достоинства. Данные собираются только для конкретных, чётко определённых и легитимных целей; недопустима дальнейшая обработка в целях, несовместимых с первоначальной. Данные обрабатываются лишь в объёме, необходимом для достижения соответствующей легитимной цели, и должны быть соразмерны этой цели. Данные должны быть достоверными и точными — неточные данные подлежат исправлению, удалению или уничтожению без неоправданной задержки.
Та же статья устанавливает: данные могут храниться только в течение срока, необходимого для достижения цели; после достижения цели они подлежат удалению, уничтожению или хранению в деперсонализированной форме, кроме предусмотренных законом случаев. Для безопасности принимаются технические и организационные меры, должным образом обеспечивающие защиту данных, в том числе от несанкционированной или незаконной обработки, случайной утраты, уничтожения или повреждения. Ответственное за обработку лицо отвечает за соблюдение этих принципов и должно уметь обосновать соответствие — именно это требование делает документированную программу соответствия незаменимой.
Основания обработки: на чём стоят ваши процессы
Статья 5 определяет допустимые основания: согласие субъекта на одну или несколько конкретных целей; исполнение обязательства по договору с субъектом либо заключение договора по его требованию; обработка, предусмотренная законом; исполнение возложенных законодательством обязанностей; общедоступные данные; защита жизненно важных интересов субъекта или иного лица, включая мониторинг эпидемий, гуманитарные кризисы и катастрофы; защита значимого публичного интереса; выполнение задач в сфере публичного интереса; защита легитимных интересов ответственного или третьего лица, если не превалирует интерес прав субъекта; рассмотрение заявления субъекта. Для каждого процесса нужно выбрать и зафиксировать основание — бремя обоснования правового основания лежит на ответственном лице.