Правовая рамка международной передачи данных
Международная передача данных объединяет два разных, но тесно связанных вопроса: первый — когда допустима передача данных другому государству или международной организации; второй — как закон Грузии «О защите персональных данных» распространяется на ответственных лиц, зарегистрированных за рубежом. Эта страница ориентирована именно на второе, международное измерение: на иностранные компании, обрабатывающие данные в Грузии, и на грузинские организации, сотрудничающие с ними.
Согласно первому пункту статьи 2 закона, его действие распространяется на обработку данных на территории Грузии автоматическими и полуавтоматическими средствами, на неавтоматическую обработку данных, входящих в картотечную систему, а также на обработку с использованием технических средств, находящихся в Грузии, ответственным лицом, зарегистрированным за пределами Грузии. Исключение — случай, когда технические средства используются исключительно для транзита данных. Это значит, что иностранные сервисы, использующие серверы или иные технические средства в Грузии, подпадают под грузинский закон.
Специальный представитель: кому и когда нужен
Согласно первому пункту статьи 34, если зарегистрированное за пределами Грузии ответственное или уполномоченное лицо обрабатывает данные с помощью находящихся в Грузии технических средств, оно обязано до обработки назначить или определить в Грузии специального представителя. Представитель регистрируется в порядке, установленном нормативным актом, изданным Службой государственного аудита.
Последовательность здесь определена ясно: право на обработку данных возникает у ответственного лица только после регистрации специального представителя. Иначе говоря, сначала регистрация — потом обработка. Представитель обязан выполнять требования, предъявленные генеральным аудитором в установленном законом порядке, и его назначение не освобождает иностранное лицо от этой обязанности.
Субъект данных вправе требовать осуществления своих прав в отношении иностранного ответственного лица через специального представителя. При этом обязанность назначения не распространяется на лиц, учреждённых в государствах — членах Европейского союза, к которым применяются действующие в Евросоюзе правила защиты персональных данных, и на лиц, учреждённых в государствах, признанных Евросоюзом государствами с адекватной защитой данных.
Правила допустимости передачи
Законность самой международной передачи устанавливается статьёй 37. Передача допустима, если существуют предусмотренные законом требования и в соответствующем государстве обеспечены надлежащие гарантии защиты данных и прав субъекта. Кроме того, закон называет допустимые исключительные основания, включая международные договоры, договорные гарантии с разрешением Службы государственного аудита, информированное письменное согласие, жизненно важные интересы и значимый публичный интерес.
Во всех случаях ответственное лицо обязано принять организационные и технические меры, необходимые для безопасной передачи данных, а последующая передача переданных данных третьей стороне допустима только если она служит первоначальным целям и удовлетворяет тем же основаниям и гарантиям.