Правовая рамка международной передачи данных
Международная передача данных объединяет два разных, но тесно связанных вопроса: первый — когда допустима передача данных другому государству или международной организации; второй — как закон Грузии «О защите персональных данных» распространяется на ответственных лиц, зарегистрированных за рубежом. Эта страница ориентирована именно на второе, международное измерение: на иностранные компании, обрабатывающие данные в Грузии, и на грузинские организации, сотрудничающие с ними.
Согласно первому пункту статьи 2 закона, его действие распространяется на обработку данных на территории Грузии автоматическими и полуавтоматическими средствами, на неавтоматическую обработку данных, входящих в картотечную систему, а также на обработку с использованием технических средств, находящихся в Грузии, ответственным лицом, зарегистрированным за пределами Грузии. Исключение — случай, когда технические средства используются исключительно для транзита данных. Это значит, что иностранные сервисы, использующие серверы или иные технические средства в Грузии, подпадают под грузинский закон.
Специальный представитель: кому и когда нужен
Согласно первому пункту статьи 34, если зарегистрированное за пределами Грузии ответственное или уполномоченное лицо обрабатывает данные с помощью находящихся в Грузии технических средств, оно обязано до обработки назначить или определить в Грузии специального представителя. Представитель регистрируется в порядке, установленном нормативным актом, изданным Службой государственного аудита.
Последовательность здесь определена ясно: право на обработку данных возникает у ответственного лица только после регистрации специального представителя. Иначе говоря, сначала регистрация — потом обработка. Представитель обязан выполнять требования, предъявленные генеральным аудитором в установленном законом порядке, и его назначение не освобождает иностранное лицо от этой обязанности.
Субъект данных вправе требовать осуществления своих прав в отношении иностранного ответственного лица через специального представителя. При этом обязанность назначения не распространяется на лиц, учреждённых в государствах — членах Европейского союза, к которым применяются действующие в Евросоюзе правила защиты персональных данных, и на лиц, учреждённых в государствах, признанных Евросоюзом государствами с адекватной защитой данных.
Правила допустимости передачи
Законность самой международной передачи устанавливается статьёй 37. Передача допустима, если существуют предусмотренные законом требования и в соответствующем государстве обеспечены надлежащие гарантии защиты данных и прав субъекта. Кроме того, закон называет допустимые исключительные основания, включая международные договоры, договорные гарантии с разрешением Службы государственного аудита, информированное письменное согласие, жизненно важные интересы и значимый публичный интерес.
Во всех случаях ответственное лицо обязано принять организационные и технические меры, необходимые для безопасной передачи данных, а последующая передача переданных данных третьей стороне допустима только если она служит первоначальным целям и удовлетворяет тем же основаниям и гарантиям.
Учёт передач
Согласно первому пункту статьи 28, ответственное лицо и его специальный представитель обязаны письменно или в электронной форме обеспечить учёт информации, связанной с обработкой, включающей сведения о сторонах, целях, категориях субъектов и данных, получателях данных, сведения о передаче в другое государство и о надлежащих гарантиях — включая разрешение Службы государственного аудита, — о сроках хранения, мерах безопасности и инцидентах.
Учтённая информация должна предоставляться немедленно по соответствующему запросу Службы государственного аудита, но не позднее 3 рабочих дней. Для международных передач этот учёт особенно значим: это инструмент, с помощью которого организация подтверждает надзорному органу, что передачи осуществлялись на законных основаниях.
Что должен знать иностранное лицо при работе в Грузии
С практической точки зрения выход иностранной организации на грузинский рынок в части обработки данных требует поэтапного плана. Первый: определение сферы действия закона — обрабатывает ли организация данные с использованием технических средств в Грузии или использует только транзит. Второй: если средства действительно используются, оценка того, исключается ли организация из обязанности назначения специального представителя из-за членства в Европейском союзе или статуса адекватной защиты. Третий: если обязанность существует, начинается подбор и регистрация представителя, поскольку обработка допустима только после этого. Четвёртый: налаживание учёта, потому что запрос надзорного органа должен быть закрыт в течение 3 рабочих дней.
Для грузинских организаций, сотрудничающих с иностранными партнёрами, важно проверить статус партнёра: есть ли у него зарегистрированный в Грузии специальный представитель и на каком основании происходит передача. Надёжное сотрудничество начинается именно с этой проверки. Команда Legal.ge поможет как иностранным лицам в процессе назначения и регистрации специального представителя, так и грузинским организациям в вопросах учёта и обоснования международных передач.
Часто задаваемые вопросы
Кому не нужен специальный представитель?
Лицу, учреждённому в государстве — члене Европейского союза, на которое распространяются действующие в Евросоюзе правила защиты персональных данных, а также лицу, учреждённому в признанном Евросоюзом государстве с адекватной защитой данных.
Когда возникает право на обработку?
Только после регистрации специального представителя — до обработки данных техническими средствами, находящимися в Грузии, представитель должен быть назначен или определён.
Освобождает ли представитель иностранное лицо от всех обязанностей?
Нет — обязанность реагировать на требование или решение генерального аудитора остаётся у ответственного лица; субъект данных также вправе требовать осуществления своего права через представителя.
Как мы помогаем на Legal.ge
Юристы Legal.ge определяют, нужен ли вашей структуре специальный представитель, готовят его назначение и регистрацию, выстраивают основания допустимости передачи и обеспечивают через представителя коммуникацию с надзорным органом.