პერსონალურ მონაცემთა დაცვის სამართლებრივი რეგულირება საქართველოში

ანა დევიდსონი, JUST Advisors-ის დამფუძნებელი და მმართველი პარტნიორი
2023 წლის 25 ივლისი
პერსონალურ მონაცემთა დაცვის კანონმდებლობა მოქმედებს და ის თანაბრად ვრცელდება, როგორც საჯარო, ისე კერძო ორგანიზაციებზე. პრაქტიკულად არ არსებობს ორგანიზაცია, რომელიც არ ამუშავებს პერსონალურ მონაცემებს. რა საქმიანობასაც არ უნდა ეწეოდეს უწყება, რა პროდუქტსაც არ უნდა აწარმოებდეს კომპანია, ამ პროცესში იგი აგროვებს, ინახავს და იყენებს ინფორმაციას მომხმარებლების, თანამშრომლებისა და პარტნიორების შესახებ. ეს ორგანიზაციას მონაცემთა დამმუშავებლის სტატუსს და შესაბამისად, გარკვეულ პასუხისმგებლობებს აკისრებს - როგორც კანონის, ისე ყველა იმ ადამიანის წინაშე, რომლის მონაცემებიც მის ხელში მოხვდება.
პერსონალურია ნებისმიერი მონაცემი, რომლითაც შესაძლებელია პირის იდენტიფიცირება. მაგალითად, თქვენი თანამშრომლის სახელი და გვარი, პირადი ნომერი, რომელიც ხელშეკრულებაშია მითითებული, მისი ანაზღაურების ოდენობა. პერსონალური მონაცემია მომხმარებლის ელექტრონული ფოსტა, რომლითაც ის თქვენი მომსახურების მისაღებად რეგისტრირდება; მისი საბანკო ანგარიშის ნომერი, როდესაც ონლაინ ყიდულობს თქვენს პროდუქტს. პერსონალურ მონაცემებს შეიცავს ის ვიდეოჩანაწერიც, რომელიც თქვენს მიერ დამონტაჟებულმა ვიდეოკამერამ გადაიღო, მიმოწერა, რომელიც თქვენსა და მომხმარებელს შორის ელექტრონული ფოსტით შედგა.

არსებობს განსაკუთრებული კატეგორიის მონაცემებიც. რომელიც დაკავშირებულია პირის რასობრივ ან ეთნიკურ კუთვნილებასთან, პოლიტიკურ შეხედულებებთან, რელიგიურ ან ფილოსოფიურ მრწამსთან, პროფესიული კავშირის წევრობასთან, ჯანმრთელობის მდგომარეობასთან, სქესობრივ ცხოვრებასთან, ნასამართლობასთან, ადმინისტრაციულ პატიმრობასთან, აღკვეთის ღონისძიების შეფარდებასთან, საპროცესო შეთანხმების დადებასთან, განრიდებასთან, დანაშაულის მსხვერპლად აღიარებასთან ან დაზარალებულად ცნობასთან. განსაკუთრებულ კატეგორიაში შედის, ასევე, ბიომეტრიული და გენეტიკური მონაცემები, რომლებიც ზემოაღნიშნული ნიშნებით ფიზიკური პირის იდენტიფიცირების საშუალებას იძლევა.

პერსონალურ მონაცემებს ამუშავებს პერსონალურ მონაცემთა დამმუშავბელი პირი, რომელიც შესაძლებელია იყოს ფიზიკური პირი და აღნიშნულ პერსონალურ მონაცემებს ამუშავებდეს მისი სამეწარმეო ან პროფესიული საქმიანობიდან გამომდინარე (მაგალითად, ექსპერტი, აუდიტი ან ადვოკატი) და არა პირადი მიზნით.  მონაცემების დამუშავება ასევე შესაძლებელია უფლებამოსილი პირის მეშვეობითაც. უფლებამოსილი პირი არის ნებისმიერი ფიზიკური თუ იურიდიული პირი, რომელიც ამუშავებს მონაცემებს დამმუშავებლისათვის ან მისი სახელით. მაგალითად, თუ თქვენ გადაწყვიტეთ, რომ ახალი პროდუქტის შესახებ მომხმარებლებს მოკლე ტექსტური შეტყობინებების საშუალებით აცნობოთ და SMS-ების გასაგზავნად კომპანია დაიქირავეთ - ის თქვენი უფლებამოსილი პირია.
უფლებამოსილი პირი მონაცემებს ამუშავებს სამართლებრივი აქტის ან მონაცემთა დამმუშავებელთან დადებული წერილობითი ხელშეკრულების საფუძველზე, სადაც გაწერილია პერსონალური მონაცემების დამმუშავებლისა და უფლებამოსილი პირს შორის მონაცემების დამუშავების ფარგლები და პასუხისმგებლობის გადანაწილების რისკები.

თავის უფლებამოსილების ფარგლებში უფლებამოსილი პირი ან დამმუშავებელი პირი აწარმოებს ფაილურ სისტემათა კატალოგს, რომელიც რეგისტრირებულია პერსონალურ მონაცემთა დაცვის რეესტრში და ფაილური სისტემის შექმნამდე ან მასში ახალი კატეგორიის მონაცემთა შეტანამდე ინფორმაციას აწვდის პერსონალურ მონაცემთა დაცვის სამსახურს.
მონაცემთა დამუშავება თავის მხრივ, არის ნებისმიერი ქმედება, რომელიც პერსონალური მონაცემების მიმართ ხორციელდება: შეგროვება, ჩაწერა, შენახვა, გამოყენება, გამჟღავნება, მესამე პირისთვის გადაცემა, გავრცელება, წაშლა, განადგურება და სხვა.

სუბიქტების მონაცემების დამუშავებისას. აუცილებელია დაცული იყოს მონაცემთა დამუშავების პრინციპები და საფუძვლები. ამ წესების დარღვევით მონაცემთა შეგროვება, შენახვა, გამოყენება, გავრცელება კანონდარღვევაა და შესაძლოა გახდეს ადმინისტრაციული პასუხისმგებლობის დაკისრების საფუძველი

მონაცემთა დამუშავება დასაშვებია, თუ:
  • არსებობს მონაცემთა სუბიექტის თანხმობა - პირის ნებაყოფლობითი, ინფორმირებული და მკაფიოდ გამოხატული თანხმობა მისი პერსონალური მონაცემების დამუშავებაზე. მაგალითად, დათანხმება ვებგვერდზე განთავსებულ კონფიდენციალურობის პოლიტიკაზე, ან ხელმოწერა ხელშეკრულებაზე, რომელშიც განმარტებულია რა მონაცემები გროვდება, რა მიზნებით და სხვა;
  • მონაცემთა დამუშავება გათვალისწინებულია კანონით;
  • მონაცემთა დამუშავება საჭიროა მონაცემთა დამმუშავებლის მიერ მისთვის კანონმდებლობით დაკისრებული მოვალეობების შესასრულებლად - მაგალითად, საგადასახადო მიზნებით მონაცემთა გარკვეული ვადით შენახვა
  • მონაცემთა დამუშავება საჭიროა მონაცემთა სუბიექტის სასიცოცხლო ინტერესების დასაცავად - მაგალითად თუ საგანგებო სიტუაციის დროს ადამიანის სიცოცხლეს საფრთხე ემუქრება და მის გადასარჩენად აუცილებელია ადგილმდებარეობის დადგენა;
  • მონაცემთა დამუშავება აუცილებელია მონაცემთა დამმუშავებლის ან მესამე პირის კანონიერი ინტერესების დასაცავად, გარდა იმ შემთხვევისა, როდესაც არსებობს მონაცემთა სუბიექტის უფლებებისა და თავისუფლებების დაცვის აღმატებული ინტერესი;
  • კანონის თანახმად, მონაცემები საჯაროდ ხელმისაწვდომია ან მონაცემთა სუბიექტმა ისინი ხელმისაწვდომი გახადა - მაგალითად, სოციალურ ქსელში თქვენს მიერ საჯაროდ განთავსებული ფოტო ან საკონტაქტო ინფორმაცია;
  • მონაცემთა დამუშავება აუცილებელია კანონის შესაბამისად მნიშვნელოვანი საჯარო ინტერესის დასაცავად - მაგალითად დანაშაულის პრევენცია, საკუთრების ან არასრულწლოვნების მავნე ზეგავლენისაგან დაცვის მიზნით;
  • მონაცემთა დამუშავება აუცილებელია მონაცემთა სუბიექტის განცხადების განსახილველად ან მისთვის მომსახურების გასაწევად.
პერსონალური მონაცემები ინახება კანონით განსაზღვრული ვადით ან იმ ვადით, რაც აუცილებელია მიზნის მისაღწევად, ხოლო შემდეგ ისინი უნდა წაიშალოს, ან შენახული იქნეს პირის იდენტიფიცირების გამომრიცხავი ფორმით.

მონაცემთა სუბიექტის მოთხოვნის შემთხვევაში მონაცემთა დამმუშავებელი ვალდებულია გაასწოროს, განაახლოს, დაამატოს, დაბლოკოს, წაშალოს ან გაანადგუროს მონაცემები, თუ ისინი არასრულია, არაზუსტია, არ არის განახლებული ან თუ მათი შეგროვება და დამუშავება განხორციელდა კანონის საწინააღმდეგოდ. თუ დამმუშავებელი არ გაითვალისწინებს აღნიშნულ მოთხოვნას, მონაცემთა სუბიექტს უფლება აქვს მიმართოს პერსონალურ მონაცემთა დაცვის სამსახურს ან სასამართლოს, ხოლო თუ მონაცემთა დამმუშავებელი საჯარო დაწესებულებაა, საჩივრის წარდგენა შესაძლებელია აგრეთვე იმავე ან ზემდგომ ადმინისტრაციულ ორგანოში.
უსაფრთხოების ზომების ადეკვატურობა და რისკების შეფასება
მონაცემთა უსაფრთხოებისათვის მიღებული ზომები უნდა იყოს მონაცემთა დამუშვებასთან დაკავშირებული რისკების შესაბამისი. რისკების შეფასებისას  სასურველია, მხედველობაში მიიღოთ:
  • 1
    დამუშავებული მონაცემების კატეგორია
  • 2
    დამუშავებული მონაცემების მოცულობა;
  • 3
    ორგანიზაციის თანამშრომელთა რაოდენობა და მონაცემებთან მათი წვდომის ხარისხი;
  • 4
    მონაცემებთან წვდომის მქონე მესამე პირების მიერ მონაცემთა უსაფრთხოების წესების დაცვა.
აუცილებელია მონაცემთა ბაზის უსაფრთხოებაზე პასუხისმგებელი პირი/პირები განსაზღვრა და შესაბამისი ტექნიკური ინფრასტრუქტურის და უსაფრთხოების სისტემის დანერგვა.
უსაფრთხოების წესების დარღვევის შემთხვევისთვის უნდა არსებობდეს სწრაფი რეაგირების მექანიზმი - მაგალითად, ორგანიზაციას უნდა ჰქონდეს უნარი, აღადგინოს მონაცემები და მაქსიმალურად შეამციროს ზიანი
პერსონალურ მონაცემთა დაცვის სამსახური უფლებამოსილია საკუთარი ინიციატივით ან დაინტერესებული პირის განცხადების საფუძველზე შევიდეს ნებისმიერ დაწესებულებასა და ორგანიზაციაში და გაეცნოს ნებისმიერ დოკუმენტსა და ინფორმაციას, მათ შორის, სახელმწიფო, საგადასახადო, საბანკო, კომერციული, პროფესიული საიდუმლოებების ან/და მონაცემების შემცველ ინფორმაციას, აგრეთვე ოპერატიულ-სამძებრო საქმიანობისა და დანაშაულის გამოძიების ამსახველ მასალას ან/და დოკუმენტაციას ან/და ინფორმაციას, რომელიც სახელმწიფო საიდუმლოებას მიეკუთვნება, მიუხედავად მათი შინაარსისა და შენახვის ფორმისა.

მონაცემთა დამმუშავებელი ან/და უფლებამოსილი პირი ვალდებულია პერსონალურ მონაცემთა დაცვის სამსახურს ნებისმიერი მასალა, ინფორმაცია ან/და დოკუმენტი მიაწოდოს დაუყოვნებლივ, არაუგვიანეს 10 სამუშაო დღისა

თუ პერსონალურ მონაცემთა დაცვის სამსახური გამოავლენს ამ კანონის ან მონაცემთა დამუშავების მომწესრიგებელი სხვა ნორმატიული აქტის დარღვევას, იგი უფლებამოსილია გამოიყენოს შემდეგ ღონისძიებათაგან ერთ-ერთი ან ერთდროულად რამდენიმე: გაფრთხილება, ადმინისტრაციული ჯარიმა, წერილობითი რეკომენდაცია

თუ პერსონალურ მონაცემთა დაცვის სამსახური გამოავლენს ადმინისტრაციულ სამართალდარღვევას, იგი უფლებამოსილია შეადგინოს ადმინისტრაციული სამართალდარღვევის ოქმი და, შესაბამისად, მონაცემთა დამმუშავებელს ან/და უფლებამოსილ პირს დააკისროს ადმინისტრაციული პასუხისმგებლობა
თუ პერსონალურ მონაცემთა დაცვის სამსახური საქმიანობის განხორციელებისას მიიჩნევს, რომ არსებობს დანაშაულის ნიშნები, იგი ვალდებულია ამის შესახებ კანონით დადგენილი წესით აცნობოს უფლებამოსილ სახელმწიფო ორგანოს.

 მონაცემთა დაცვის სფეროში პერსონალურ მონაცემთა დაცვის სამსახურის გადაწყვეტილების შესრულება სავალდებულოა და იგი კანონით დადგენილი წესით შეიძლება გასაჩივრდეს მხოლოდ სასამართლოში.
ადმინისტრაციული პასუხისმგებლობა ამ კანონის დარღვევისათვის
  • მონაცემთა კანონით გათვალისწინებული საფუძვლების გარეშე დამუშავება − გამოიწვევს გაფრთხილებას ან დაჯარიმებას 500 ლარის ოდენობით. 1 წლის განმავლობაში განმეორების შემთხვევაში კი 2000 ლარი
  • კანონით გათვალისწინებული მონაცემთა დამუშავების პრინციპების დარღვევა − გამოიწვევს გაფრთხილებას ან დაჯარიმებას 500 ლარის ოდენობით. 1 წლის განმავლობაში განმეორების შემთხვევაში კი 2000 ლარი
  • განსაკუთრებული კატეგორიის მონაცემთა ამ კანონით გათვალისწინებული საფუძვლების გარეშე დამუშავება − გამოიწვევს დაჯარიმებას 1 000 ლარის ოდენობით. 1 წლის განმავლობაში განმეორების შემთხვევაში კი 5000 ლარი
  • მონაცემთა უსაფრთხოების დაცვისათვის ამ კანონით დადგენილი მოთხოვნების შეუსრულებლობა − გამოიწვევს გაფრთხილებას ან დაჯარიმებას 500 ლარის ოდენობით. 1 წლის განმავლობაში განმეორების შემთხვევაში კი 2000 ლარი
  • მონაცემთა პირდაპირი მარკეტინგის მიზნებისათვის გამოყენება ამ კანონით დადგენილი წესების დარღვევით – გამოიწვევს დაჯარიმებას 3000 ლარის ოდენობით. 1 წლის განმავლობაში განმეორების შემთხვევაში კი 10 000 ლარი
  • კანონით დადგენილი ვიდეოთვალთვალის წესების დარღვევა − გამოიწვევს გაფრთხილებას ან დაჯარიმებას 500 ლარის ოდენობით. 1 წლის განმავლობაში განმეორების შემთხვევაში კი 2000 ლარი
  • საჯარო და კერძო დაწესებულებათა შენობაში შესვლისა და შენობიდან გამოსვლის შესახებ მონაცემთა დამუშავების ამკანონით დადგენილი წესების დარღვევა − გამოიწვევს გაფრთხილებას ან დაჯარიმებას 100 ლარის ოდენობით.
  • მონაცემთა დამმუშავებლის მიერ მონაცემთა სუბიექტის ინფორმირების ამ კანონით დადგენილი წესებ ის დარღვევა − გამოიწვევს გაფრთხილებას ან დაჯარიმებას 100 ლარის ოდენობით. 1 წლის განმავლობაში განმეორების შემთხვევაში კი 500 ლარი
  • მონაცემთა დამმუშავებლის მიერ მონაცემთა დამუშავების უფლებამოსილი პირისათვის დავალება ამ კანონით დადგენილი წესების დარღვევით − გამოიწვევს დაჯარიმებას 500 ლარის ოდენობით. 1 წლის განმავლობაში განმეორების შემთხვევაში კი 2000 ლარი
  • უფლებამოსილი პირის მიერ ამ კანონით გათვალისწინებული მონაცემთა დამუშავების წესების დარღვევა − გამოიწვევს დაჯარიმებას 1000 ლარის ოდენობით. 1 წლის განმავლობაში განმეორების შემთხვევაში კი 3000 ლარი
  • მონაცემთა დამმუშავებლის ან უფლებამოსილი პირის მიერ პერსონალურ მონაცემთა დაცვის სამსახურისთვის ინფორმაციისა და დოკუმენტის წარდგენის წესის დარღვევა, მათ შორის, კერძო სამართლის იურიდიული პირისა და ფიზიკური პირის მიერ ბიომეტრიულ მონაცემთა დამუშავებით განსაზღვრული ინფორმაციის მიუწოდებლობა და ფაილური სისტემის შექმნამდე და ახალი კატეგორიის მონაცემებით გათვალისწინებული შეტყობინების ვალდებულების შეუსრულებლობა, − გამოიწვევს დაჯარიმებას 500 ლარის ოდენობით. 1 წლის განმავლობაში განმეორების შემთხვევაში კი 2000 ლარი
  • მონაცემთა არაავტომატური საშუალებებით დამუშავება კანონით დადგენილი წესის დარღვევა − გამოიწვევს დაჯარიმებას 500 ლარის ოდენობით. 1 წლის განმავლობაში განმეორების შემთხვევაში კი 2000 ლარი
  • მონაცემთა სხვა სახელმწიფოსა და საერთაშორისო ორგანიზაციისთვის გადაცემის წესის დარღვევა გამოიწვევს დაჯარიმებას 1000 ლარის ოდენობით. 1 წლის განმავლობაში განმეორების შემთხვევაში კი 3000 ლარი
2023 წლის 14 ივნისს საქართველოს პარლამენტმა სამი მოსმენით მხარი დაუჭირა პერსონალურ მონაცემთა დაცვის შესახებ ახალ კანონის პროექტს, რომელიც პერსონალური მონაცემების დაცვის მიმართულებით ბევრ სიახლეს ითვალისწინებს, და შესაბამისობაშია საუკეთესო საერთაშორისო სტანდარტებთან. განხორციელებული ცვლილებებეით მნიშვნელოვნად იზრდება მონაცემთა სუბიექტის უფლებები და ფართოვდება მათი დაცვის გარანტიები.  აღნიშნულ ინფორმაციას შეგიძლიათ გაეცნოთ ჩვენს მომდევნო სტატიაში.

მოგეწონათ სტატია? გაგვიზიარე შენი აზრი

გაქვთ შეკითხვა?
მარია გუსეინოვა
კომერციული განყოფილების წამყვანი მენეჯერი
უბრალოდ შეავსეთ ფორმა ქვემოთ მოცემული ღილაკის დახმარებით ან მოგვწერეთ თქვენთვის მოსახერხებელ მესენჯერში: WhatsApp, Telegram