კომპანიებისთვის

ფიზიკური პირებისთვის

ჩვენს შესახებ

ძებნა

პერსონალურ მონაცემთა დაცვის საკითხები საქართველოში: აქტუალური მოთხოვნები და საერთაშორისო სტანდარტები

საქართველოს კანონმდებლობის საფუძველზე, 2025 წლის 29 იანვრის მდგომარეობით

29 იანვარი 2025

ანა ბაქრაძე

1. შესავალი

საქართველო, გლობალური ტენდენციების შესაბამისად, აქტიურად აუმჯობესებს ეროვნულ კანონმდებლობას, რომელიც მიმართულია მონაცემთა სუბიექტთა უფლებების დაცვაზე და ინფორმაციის გაჟონვის პრევენციაზე. 2023 წლიდან „პერსონალური მონაცემების დაცვის შესახებ“ კანონში შეტანილი იქნა ცვლილებები, რომლებიც ძალაში 2024 წელს შევიდა, რის შედეგადაც დარგი განახლებული საკანონმდებლო გარემოში ფუნქციონირებს.

ეს მიმოხილვა დაეხმარება მკითხველს გაიგოს კანონის ძირითადი დებულებები, კომპანიებისთვის დაწესებული მოთხოვნები და პერსონალურ მონაცემთა დაცვის სამსახურის (შემდგომში – სერვისი) მიერ 2025 წლისთვის გამოცემული შემოწმების გეგმა. ჩვენ განვიხილავთ პრაქტიკულ ასპექტებს, შევეხებით საქართველოში მონაცემთა დიდი გაჟონვის შემთხვევებს და შევადარებთ ადგილობრივ რეგულაციებს ევროკავშირის, აშშ-სა და რუსეთის პრაქტიკას.

2. პერსონალური მონაცემების დაცვის სამართლებრივი რეგულირება საქართველოში: მდგომარეობა 2025 წელს

2.1. 2023-2024 წლების ცვლილებების მოკლე მიმოხილვა

2023 წლიდან საქართველომ განახორციელა ცვლილებები „პერსონალური მონაცემების დაცვის შესახებ“ კანონში. ძირითადი დებულებები ძალაში შევიდა 2024 წლის მარტსა და ივნისში, ხოლო დღესდღეობით ისინი სრულად გამოიყენება როგორც ბიზნესში, ასევე სახელმწიფო სექტორში.
მნიშვნელოვან ცვლილებებს შორისაა:

პერსონალური მონაცემების დაცვის ოფიცრის (DPO) დანიშვნის ვალდებულება რიგ ორგანიზაციებში;
რეკლამასა და მარკეტინგულ შეტყობინებებზე თანხმობის მკაცრი რეგულირება;
ჯარიმების მკაფიო რეგლამენტაცია, კომპანიის ბრუნვასთან მიმართებით;
სამსახურის უფლებამოსილებების დაზუსტება, რომელიც მოიცავს როგორც გეგმიურ, ასევე არაგეგმიურ შემოწმებებს და ჯარიმების დაწესებას პირველივე დარღვევის აღმოჩენისთანავე.

2025 წელს ახალი ცვლილებები არ იქნა მიღებული, თუმცა კანონის პრაქტიკული გამოყენება აჩვენებს, რომ სამსახური გააძლიერა კონტროლი, განსაკუთრებით მონაცემთა გაჟონვის გახშირებული შემთხვევების ფონზე.

2.2. მონაცემთა დამუშავების ძირითადი პრინციპები

ქართული კანონმდებლობა განსაზღვრავს მონაცემთა შეგროვებისა და გამოყენების ექვს ძირითად პრინციპს:

კანონიერება, გამჭვირვალობა, სამართლიანობა – მონაცემთა დამუშავება ნებადართულია მხოლოდ კანონიერ საფუძველზე და უნდა იყოს გასაგები მონაცემთა სუბიექტისთვის.
მიზნობრივი შეზღუდვა – მონაცემები გროვდება მხოლოდ წინასწარ განსაზღვრული მიზნებისთვის.
მინიმიზაცია – დამუშავებული ინფორმაციის მოცულობა უნდა იყოს მინიმალურად აუცილებელი.
სიზუსტე და აქტუალობა – მონაცემთა დამმუშავებლებმა უნდა უზრუნველყონ მათი რეგულარული განახლება და უზუსტობების აღმოფხვრა.
შენახვის ვადების შეზღუდვა – მიზნის მიღწევის შემდეგ მონაცემები უნდა განადგურდეს ან ანონიმიზებული იქნეს.
უსაფრთხოება – კომპანიებმა და სახელმწიფო უწყებებმა უნდა მიიღონ ტექნიკური და ორგანიზაციული ზომები მონაცემთა უკანონო წვდომის, გაჟონვისა და დაზიანების პრევენციისთვის.

2.3. პერსონალური მონაცემების დაცვის ოფიცერი (DPO)

2.3.1. ვინ არის მონაცემთა დაცვის ოფიცერი
პერსონალური მონაცემების დაცვის ოფიცერი (Data Protection Officer, DPO) არის სპეციალისტი, რომელიც პასუხისმგებელია კანონმდებლობის მოთხოვნების დაცვაზე და მონაცემთა სუბიექტთა უფლებების უზრუნველყოფაზე. მის ფუნქციებში შედის:

შიდა პოლიტიკის კონტროლი და დარღვევების პრევენცია;
რეკომენდაციების შემუშავება;
კომუნიკაცია რეგულატორთან;
მონაცემთა დაცვის უსაფრთხოების ინციდენტებზე დროული რეაგირება.

2.3.2. DPO-ს ძირითადი მოვალეობები

კანონმდებლობისა და შიდა რეგულაციების მონიტორინგი;
მონაცემთა დამუშავებასთან დაკავშირებული რისკების შეფასება;
პერსონალის სწავლება და კონსულტაცია;
სამსახურთან თანამშრომლობა;
მონაცემთა სუბიექტთა მოთხოვნების დამუშავება (წაშლა, შესწორება, წვდომა და ა.შ.).

2.3.3. ვის ევალება DPO-ს დანიშვნა?
DPO-ს დანიშვნა სავალდებულოა შემდეგ ორგანიზაციებში:

სახელმწიფო უწყებები;
სადაზღვევო კომპანიები;
კომერციული ბანკები;
მიკროსაფინანსო ორგანიზაციები;
საკრედიტო ბიუროები;
სატელეკომუნიკაციო კომპანიები;
ავიაკომპანიები და აეროპორტები;
სამედიცინო დაწესებულებები;
ორგანიზაციები, რომლებიც ამუშავებენ დიდი მოცულობის მონაცემებს (მოსახლეობის 3%-ზე მეტი);
სუბიექტები, რომლებიც ახორციელებენ ფართომასშტაბიან და სისტემურ მონიტორინგს.

2.4. თანხმობა მარკეტინგულ შეტყობინებებზე
კანონი კომპანიებს ავალდებულებს, რომ მონაცემთა სუბიექტისგან მიიღონ ცალსახა თანხმობა მარკეტინგულ შეტყობინებებზე (email, SMS, მესენჯერები). ასევე, უნდა არსებობდეს მარტივი და ხელმისაწვდომი უარის თქმის პროცესი.

2.5. პასუხისმგებლობა და ჯარიმები
კანონის დარღვევისთვის დაწესებულია ადმინისტრაციული ჯარიმები, რომელთა მოცულობა დამოკიდებულია კომპანიის ბრუნვაზე. მაქსიმალური ჯარიმა ერთ შემოწმებაზე არ შეიძლება აღემატებოდეს 20,000 ლარს.

2.6. სამსახურის კონტროლი
2024 წელს სამსახურმა განახორციელა 265 შემოწმება, მათ შორის:

83 გეგმიური (31%);
182 არაგეგმიური (69%).

სამსახური იყენებს ჯარიმებს პირველივე დარღვევის აღმოჩენისას, განსაკუთრებით მონაცემთა გაჟონვის შემთხვევების ფონზე.

3. შედარება საერთაშორისო პრაქტიკასთან

ძირითადი ნორმატიული აქტი: მონაცემთა დაცვის ზოგადი რეგულაცია (GDPR), რომელიც ძალაში შევიდა 2018 წელს.

მნიშვნელოვანი ასპექტები:

პრინციპები და სუბიექტთა უფლებები. რეგულაცია განსაზღვრავს გამჭვირვალობის, მიზნობრივი შეზღუდვის, მოქალაქეთა ინფორმირების და მათი უფლებების დაცვას (მათ შორის: წვდომა, შესწორება, წაშლა, მონაცემთა გადატანა).
ჯარიმები. GDPR ითვალისწინებს სანქციებს 20 მილიონ ევრომდე ან კომპანიის გლობალური ბრუნვის 4%-მდე (რომელიც უფრო მაღალია). ეს არის მსოფლიოში ერთ-ერთი ყველაზე მკაცრი სანქცია.
მონაცემთა დაცვის ოფიცერი (DPO). ორგანიზაციებში, რომლებიც მასშტაბურად ამუშავებენ მონაცემებს ან სპეციალურ კატეგორიის მონაცემებს, აუცილებელია DPO-ს დანიშვნა, რომელსაც ენიჭება განსაზღვრული უფლებები და დამოუკიდებელი სტატუსი.
ექსტერიტორიულობა. GDPR ვრცელდება ევროკავშირის ფარგლებს გარეთაც იმ კომპანიებზე, რომლებიც ამუშავებენ ევროკავშირის რეზიდენტების მონაცემებს.

3.2. აშშ (შტატური და სექტორული რეგულირება)

განსაკუთრებული მახასიათებლები:

ფრაგმენტული კანონმდებლობა. არ არსებობს ერთიანი ფედერალური კანონი, რომელიც GDPR-ს ანალოგიურია. არსებობს ცალკეული შტატების კანონები (მაგალითად, კალიფორნიის CCPA/CPRA, კოლორადო, ვირჯინია და სხვ.), აგრეთვე სექტორული აქტები: HIPAA (ჯანმრთელობის მონაცემებისთვის), GLBA (ფინანსური სექტორი), FERPA (განათლება) და სხვა.
ჯარიმები. განსხვავდება რეგულაციის მიხედვით. მაგალითად, კალიფორნიაში CCPA/CPRA-ს დარღვევისთვის სანქციები ხშირად მრავალმილიონიან ნიშნულს აღწევს, განსაკუთრებით კოლექტიური სარჩლების შემთხვევაში.
მონაცემთა დაცვის ოფიცერი. ფედერალურ დონეზე სავალდებულო არ არის, თუმცა მსხვილი კომპანიები ნერგავენ CPO-ს (Chief Privacy Officer) პოზიციას საუკეთესო პრაქტიკებისა და ზოგიერთი შტატის მოთხოვნების შესაბამისად.
ინფორმირება მონაცემთა გაჟონვის შესახებ. დიდი ყურადღება ექცევა დროული გაფრთხილების ვალდებულებას მონაცემთა გაჟონვის (data breach notification) შემთხვევაში, წინააღმდეგ შემთხვევაში, შესაძლოა სანქციები მნიშვნელოვნად გაიზარდოს.

3.3. რუსეთი (ფედერალური კანონი „პერსონალურ მონაცემთა შესახებ“ და ბოლო ცვლილებები)

ძირითადი კანონი: ფედერალური კანონი № 152-ФЗ „პერსონალურ მონაცემთა შესახებ“ (მიღებული 2006 წელს, არაერთხელ შესწორებული).

მთავარი თავისებურებები:

სავალდებულო „პასუხისმგებელი პირი პერსონალური მონაცემების დამუშავების ორგანიზებისთვის“ – GDPR-ის DPO-ს ანალოგი, თუმცა დამოუკიდებლობისა და უფლებამოსილების მოცულობის მოთხოვნები ნაკლებად დეტალიზებულია.
ჯარიმები – ადრე შედარებით დაბალი იყო, მაგრამ 2025 წლის ცვლილებების გათვალისწინებით მნიშვნელოვნად გაიზარდა.
1 000–10 000 ადამიანის მონაცემების უკანონო გადაცემისთვის ჯარიმები:
400 000 რუბლამდე საჯარო მოხელეებისა და არასამთავრობო ორგანიზაციებისთვის;
5 000 000 რუბლამდე ინდივიდუალური მეწარმეებისა და კომპანიებისთვის.
სპეციალური კატეგორიის მონაცემების უკანონო გავრცელებისთვის ჯარიმა 15 000 000 რუბლამდე შეიძლება გაიზარდოს.
ასევე დაწესდა მკაცრი სანქციები Roskomnadzor-ისთვის მონაცემთა გაჟონვის შესახებ არარაპორტირების შემთხვევაში.
ოპერატორების რეგისტრაცია – ყველა ორგანიზაცია, რომელიც პერსონალურ მონაცემებს ამუშავებს, ვალდებულია Roskomnadzor-ს აცნობოს, თუ არ ექვემდებარება დადგენილ გამონაკლისებს.
ამრიგად, რუსეთი მიდის უფრო მკაცრი რეგულირებისკენ, ზრდის ჯარიმებს და ამკაცრებს კონტროლს პერსონალური მონაცემების დამუშავებაზე, განსაკუთრებით სპეციალური კატეგორიის მონაცემებსა და გაჟონვებზე.

4. პრაქტიკული შემთხვევები: მონაცემთა გაჟონვა საქართველოში

4.1. 2025 წლის იანვრის მასშტაბური გაჟონვა
2025 წლის იანვარში აღმოჩენილ იქნა დიდი არაჩვეულებრივი ბაზა გერმანული ღრუბლოვანი პროვაიდერის სერვერზე, ბაზა შეიცავდა 5 მილიონზე მეტ ჩანაწერს პერსონალური მონაცემებით, მათ შორის:

7,2 მილიონზე მეტი ტელეფონის ნომერი
1,45 მილიონი ავტომობილის მფლობელის ინფორმაცია

საქართველოში, რომლის მოსახლეობა დაახლოებით 4 მილიონია, ეს ფაქტი მიუთითებს ძველი და ახალი მონაცემთა ბაზების შერწყმაზე.

4.2. 2020 წლის გაჟონვა: მონაცემთა ბაზების გაერთიანება
2020 წელს გაჟონა საქართველოს ცენტრალური საარჩევნო კომისიის ბაზამ (~5 მილიონი ჩანაწერი).
ამ მონაცემების ახალი გაჟონვა, როგორც ჩანს, "შერწყმული" ბაზა იყო, რომელიც მოიცავდა:

2020 წლის მონაცემებს,
ავტომფლობელთა ახალ ინფორმაციას,
სადაზღვევო ნომრებს და სხვა პერსონალურ მონაცემებს.

4.3. რისკები და შედეგები
მონაცემთა გაჟონვას თან ახლავს სერიოზული საფრთხეები:
ფინანსური თაღლითობა და პირადობის ქურდობა (სესხების გაფორმება, ყალბი დოკუმენტების შექმნა).

სოციალური ინჟინერია (თაღლითები რეალური მონაცემების გამოყენებით მოქალაქეების მოტყუებას ცდილობენ).
პოლიტიკური მანიპულაციები, განსაკუთრებით გეოპოლიტიკური დაძაბულობის პირობებში.
რეპუტაციის დანაკარგი იმ კომპანიებისა და სახელმწიფო უწყებებისთვის, რომლებიც მონაცემთა გაჟონვაში მონაწილეობდნენ ან არ უზრუნველყოფენ სათანადო დაცვას.

5. პერსონალურ მონაცემთა დაცვის სამსახურის 2025 წლის შემოწმებების გეგმა

წლის დასაწყისში პერსონალურ მონაცემთა დაცვის სამსახურმა გამოაქვეყნა შემოწმებების გეგმა – ოფიციალური დოკუმენტი, რომელიც განსაზღვრავს გეგმური შემოწმებების ძირითად მიმართულებებს და სპეციფიკურ სფეროებს, რომლებზეც რეგულატორი ამახვილებს ყურადღებას. თუმცა, გეგმური შემოწმებების გარდა, ყოველთვის არსებობს რისკი არაგეგმიურის, რომლებიც დადგენილია მოქალაქეთა განცხადებებით ან დიდი ინციდენტის შემდეგ.

მონაცემთა დამუშავების მოცულობა და უსაფრთხოება
სპეციალური კატეგორიის მონაცემების გამოყენება
მოქალაქეთა უფლებები (მონაცემებზე წვდომა, წაშლა, კორექტირება და ა.შ.)
მონაცემთა გამჟღავნება და საერთაშორისო გადაცემა
პერსონალურ მონაცემთა დაცვის ოფიცრის (DPO) დანიშვნა და საქმიანობა

5.2. შემოწმებადი ორგანიზაციების ძირითადი კატეგორიები

2025 წლის შემოწმებების გეგმაში პირდაპირ მითითებულია შემდეგი სტრუქტურები:

სახელმწიფო უწყებები:
ეკონომიკის სამინისტრო
ფინანსთა სამინისტრო
ჯანდაცვის სამინისტრო
განათლების სამინისტრო

მუნიციპალური ორგანოები:

5 მუნიციპალიტეტის მერია

სამართალდამცავი უწყებები:

შინაგან საქმეთა სამინისტრო (შსს)
გენერალური პროკურატურა
თავდაცვის სამინისტრო

კომერციული ორგანიზაციები და ბიზნეს სექტორი:

ვებსაიტებისა და აპლიკაციების მქონე კომპანიები
სამედიცინო დაწესებულებები
ფიტნეს ცენტრები და აფთიაქები
სასტუმროები და რესტორნები
საგანმანათლებლო დაწესებულებები
კერძო სამართლის კომპანიები

5.3. არაგეგმიური შემოწმებების რისკები და ძირითადი დასკვნები
რეგულატორი არ შემოიფარგლება მხოლოდ წინასწარ გამოქვეყნებული სიით. ნებისმიერი ორგანიზაცია შეიძლება მოულოდნელი შემოწმების ობიექტი გახდეს, თუ:

მოქალაქემ შეიტანა ოფიციალური საჩივარი
დაფიქსირდა მონაცემთა გაჟონვა ან სხვა ინციდენტი, რომელიც საჯაროდ გახდა ცნობილი
მივიღეთ სიგნალები კანონმდებლობის დარღვევის შესახებ (მაგალითად, DPO-ს არარსებობა იმ ორგანიზაციებში, სადაც მისი დანიშვნა სავალდებულოა)

ამიტომ, ყველა კომპანიამ უნდა შეინარჩუნოს მონაცემთა დაცვის სათანადო დონე და მზად იყოს შემოწმებისთვის.

6. რეკომენდაციები ქართული ბიზნესისთვის

შეასრულეთ შიდა პროცესების აუდიტი – შეამოწმეთ, შეესაბამება თუ არა მონაცემთა დამუშავების პრაქტიკა კანონმდებლობის ძირითად პრინციპებს და ხომ არ არის უსაფრთხოების „სუსტი წერტილები“.
დანიშნეთ პერსონალურ მონაცემთა დაცვის ოფიცერი (DPO) – თუ თქვენი ორგანიზაცია ვალდებულია გააკეთოს ეს (სახელმწიფო უწყებები, ბანკები, სადაზღვევო კომპანიები, მონაცემთა მსხვილი მფლობელები და სხვ.), დარწმუნდით, რომ სპეციალისტს აქვს საკმარისი ცოდნა, დრო და უფლებამოსილება.
დოკუმენტურად შეიმუშავეთ კონფიდენციალურობის და მონაცემთა დაცვის პოლიტიკა – გაწერეთ მონაცემთა დამუშავების პროცედურები, თანხმობების მიღების წესები, მონაცემთა წაშლისა და კორექტირების მოთხოვნების განხილვის პროცესი, შენახვის ვადები და სხვა მნიშვნელოვანი საკითხები.
გაიარეთ თანამშრომლების ტრენინგი – პერსონალი უნდა იყოს ინფორმირებული არა მხოლოდ კანონმდებლობის შესახებ, არამედ პრაქტიკულ საფრთხეებზეც (მაგალითად, სოციალური ინჟინერია, ფიშინგი და სხვა კიბერთაღლითობები).
გაითვალისწინეთ გეგმური შემოწმებების თავისებურებები – თუ თქვენი ბიზნესი შედის სამიზნე სექტორებში, წინასწარ მოამზადეთ შესაბამისობის დამადასტურებელი დოკუმენტები: ხელშეკრულებები, რეგლამენტები, აუდიტის შედეგები, მოთხოვნების ჟურნალები და სხვა.
იყავით მზად გეგმგარე შემოწმებებისთვის – რეგულატორს შეუძლია მოულოდნელი შემოწმების ჩატარება, ამიტომ მართეთ მონაცემთა დამუშავების რეესტრები, აღრიცხეთ მონაცემებზე წვდომის ყველა ქმედება, განაახლეთ ინფორმაცია და უზრუნველყავით შესაბამისობის ყველა მტკიცებულება.

7. იურიდიული მხარდაჭერის და კონსულტანტების როლი

თანამედროვე რეალობაში კომპანიები სულ უფრო ხშირად მიმართავენ პროფესიონალურ იურიდიულ მხარდაჭერას, რათა შეამცირონ ჯარიმები და რეპუტაციული რისკები. პერსონალურ მონაცემთა დაცვის სპეციალისტები კომპანიებს სთავაზობენ:

აუდიტისა და შიდა დოკუმენტაციის (პოლიტიკები, ინსტრუქციები, შეთანხმებები) მომზადებას
DPO-ს დანიშვნისა და ტრენინგის ორგანიზებას
კონსულტაციას მონაცემთა საერთაშორისო გადაცემასა და უცხოელ რეგულატორებთან (განსაკუთრებით GDPR-თან) ურთიერთობაზე
გეგმურ და არაგეგმიურ შემოწმებებისთვის მომზადებას (პროცედურების ჩამოყალიბება, რეესტრების წარმოება)
რისკების შეფასებასა და კიბერუსაფრთხოების სტრატეგიის შექმნას საერთაშორისო საუკეთესო პრაქტიკის გათვალისწინებით

8. დასკვნა

2025 წელს საქართველოში პერსონალურ მონაცემთა დაცვის რეგულაციები კვლავ ეფუძნება 2024 წელს მიღებულ ცვლილებებს, თუმცა მათი პრაქტიკული გამოყენება მკაცრდება და სამსახურს უკვე აქვს უფლება დააწესოს ჯარიმები დარღვევის პირველივე გამოვლენისას.

ბოლო წლების მონაცემთა მასშტაბური გაჟონვები (განსაკუთრებით 2025 წლის იანვრის ინციდენტი) ზრდის როგორც რეგულატორის, ასევე საზოგადოების ყურადღებას უსაფრთხოების საკითხების მიმართ.
ევროკავშირთან, აშშ-სა და რუსეთთან შედარებამ აჩვენა, რომ მონაცემთა დამუშავების მოთხოვნების გლობალური გამკაცრების ტენდენცია აქტიურად გრძელდება.
DPO-ს დანიშვნა სულ უფრო მეტ ორგანიზაციაში ხდება სავალდებულო და ამცირებს სამართლებრივ რისკებს.
2025 წლის შემოწმებების გეგმა მკაფიოდ განსაზღვრავს, რომელი სექტორები და უწყებები იქნებიან ზედამხედველობის განსაკუთრებული ყურადღების ქვეშ. თუმცა ნებისმიერი კომპანია შეიძლება გახდეს არაგეგმიური ინსპექტირების ობიექტი, თუ მოქალაქე შეიტანს საჩივარს ან დაფიქსირდება დარღვევა.

დროული იურიდიული მხარდაჭერა და მონაცემთა დაცვის წესების სწორად დანერგვა არა მხოლოდ ამცირებს ჯარიმებისა და რეპუტაციული ზიანის რისკს, არამედ აძლიერებს მომხმარებელთა ნდობას. მონაცემთა უსაფრთხოება დღეს ერთ-ერთი მთავარი ფაქტორია ბიზნესის მდგრადობისთვის ციფრულ ეპოქაში.

მოგეწონათ სტატია? გაგვიზიარე შენი აზრი

გაქვთ შეკითხვა?

მარია გუსეინოვა
კომერციული განყოფილების წამყვანი მენეჯერი

უბრალოდ შეავსეთ ფორმა ქვემოთ მოცემული ღილაკის დახმარებით ან მოგვწერეთ თქვენთვის მოსახერხებელ მესენჯერში: WhatsApp, Telegram

დაგვიკავშირდით