Об этой услуге
Хранение цифровых данных — будничный процесс почти каждой организации, но юридически один из наименее осмысленных: данные хранятся, потому что «так настроено», а не потому что этого требует цель. В Грузии правовую рамку хранения данных определяет грузинский закон о защите персональных данных — его нормы о принципах, безопасности, защите данных при проектировании и учёте вместе создают правила, по которым должны храниться цифровые данные. Наша услуга — юридическая консультация, построенная именно на этой рамке: мы анализируем, как и как долго хранятся ваши данные, насколько это соответствует закону и как должен выглядеть правильно выстроенный режим хранения.
Принцип ограничения хранения — данные хранятся до достижения цели
Статья 4 закона устанавливает принципы обработки данных, и для хранения решающий следующий: данные могут храниться только тот срок, который необходим для достижения соответствующей законной цели обработки. После достижения цели данные должны быть удалены, уничтожены или сохранены в деперсонализированной форме — если только обработка не определена законом или изданным на его основании подзаконным актом и хранение не является необходимой и соразмерной мерой. Те же принципы добавляют требование точности: неточные данные должны быть исправлены, удалены или уничтожены без неоправданной задержки. Практически это конкретная работа: организация должна знать для каждой категории данных, какова цель хранения, когда цель достигнута и что происходит после этого момента.
Меры безопасности — что должно быть защищено при хранении
Статья 27 закона регулирует обязанность безопасности: ответственное за обработку лицо обязано принять надлежащие технические и организационные меры для обеспечения соответствующей закону обработки данных и уметь подтверждать это соответствие. Конкретно названы и меры, значимые именно для цифрового хранения: ответственное лицо и уполномоченное на обработку лицо обязаны принять соответствующие возможным и сопутствующим угрозам организационные и технические меры — включая псевдонимизацию данных, учёт доступа к данным и механизмы информационной безопасности, обеспечивающие конфиденциальность, целостность и доступность. Меры должны быть соразмерными: учитываются категории и объём данных, цель, форма и средства обработки, а также возможные угрозы правам субъектов данных; эффективность мер должна периодически оцениваться. На консультации мы проверяем именно эти элементы: ведётся ли лог доступа, адекватно ли резервирование, кто и что видит и как система защищает данные от утраты и раскрытия.