პერსონალურ მონაცემთა დაცვის საკითხები საქართველოში: აქტუალური მოთხოვნები და საერთაშორისო სტანდარტები

2.3. პერსონალური მონაცემების დაცვის ოფიცერი (DPO)

2.3.1. ვინ არის მონაცემთა დაცვის ოფიცერი
პერსონალური მონაცემების დაცვის ოფიცერი (Data Protection Officer, DPO) — სპეციალისტია, რომელსაც ორგანიზაცია ნიშნავს იმისათვის, რომ მან უზრუნველყოს კანონმდებლობის მოთხოვნებისა და მონაცემთა სუბიექტების უფლებების დაცვა. ის ამოწმებს შიდა პოლიტიკების შესრულებას და იძლევა რეკომენდაციებს დარღვევების აღმოსაფხვრელად, უზრუნველყოფს კომუნიკაციას მარეგულირებელთან და დროულ რეაგირებას პერსონალური მონაცემების უსაფრთხოებასთან დაკავშირებულ ინციდენტებზე.

2.3.2. DPO-ს ძირითადი მოვალეობები
კანონი და კანონქვემდებარე აქტები ოფიცერს შემდეგ ძირითად ფუნქციებს აკისრებს:

• კანონმდებლობისა და შიდა პოლიტიკების დაცვის მონიტორინგი. ოფიცერი აკონტროლებს, რომ მონაცემთა დამუშავების ყველა პროცესი შეესაბამებოდეს როგორც საქართველოს კანონმდებლობის ნორმებს, ასევე კორპორატიულ სტანდარტებს.
• რისკებთან დაკავშირებული დოკუმენტების მომზადებაში მონაწილეობა. DPO ეხმარება მონაცემთა დამუშავებასთან დაკავშირებული რისკების გამოვლენასა და შეფასებას, ასევე აკონტროლებს შიდა ინსტრუქციების შესრულებას.
• თანამშრომლების სწავლება და კონსულტაცია;
• სამსახურთან თანამშრომლობა; ოფიცერი ახორციელებს ტრენინგების ორგანიზებას, აძლევს განმარტებას თანამშრომლებს მონაცემთა დაცვის სფეროში არსებული უფლებებისა და მოვალეობების შესახებ;
• კომუნიკაცია სამსახურთან. მარეგულირებლის მხრიდან შემოწმებების ან მოთხოვნების შემთხვევაში DPO მოქმედებს, როგორც საკონტაქტო პირი, აწვდის განმარტებებს და უზრუნველყოფს შესაბამისი დოკუმენტაციის გადაცემას.
• სუბიექტების მოთხოვნების დამუშავება. თუ პირს სურს თავისი უფლებების რეალიზება (წვდომა, წაშლა, შესწორება და სხვა), სწორედ ოფიცერი უწევს კოორდინაციას ამ პროცესს.

2.3.3. ვის ევალება DPO-ს დანიშვნა?
კანონმდებლობაში განხორციელებული ცვლილებების თანახმად, DPO-ს დანიშვნა სავალდებულოა შემდეგ ორგანიზაციებში:

• სახელმწიფო დაწესებულებები;
• სადაზღვევო კომპანიები;
• კომერციული ბანკები;
• მიკროსაფინანსო ორგანიზაციები;
• საკრედიტო ბიუროები;
• სატელეკომუნიკაციო კომპანიები(სატელეფონო კომუნიკაციის ოპერატორები, ინტერნეტ-პროვაიდერები და სხვ.);
• ავიაკომპანიები და აეროპორტები;
• სამედიცინო დაწესებულებები;
• პირები, რომლებიც ამუშავებენ დიდი მოცულობის მონაცემებს (საქართველოს საერთო მოსახლეობის 3%-ზე მეტი ან განსაკუთრებული კატეგორიის მონაცემების 1%-ზე მეტი);
• პირები, რომლებიც ახორციელებენ სისტემურ და მასშტაბურ მონიტორინგს.

განსაკუთრებული კატეგორიის მონაცემები მოიცავს ინფორმაციას რასობრივი და ეთნიკური კუთვნილების, პოლიტიკური და რელიგიური შეხედულებების, ჯანმრთელობის მდგომარეობის, ბიომეტრიული მონაცემებისა და სხვა ისეთ მონაცემებზე, რომლებიც შესაძლოა ზეგავლენას ახდენდეს პირთა უფლებებსა და თავისუფლებებზე.

სისტემატურ და მასშტაბურ მონიტორინგად მიიჩნევა:
• ინტერნეტში აქტივობის მონიტორინგი (ტრექინგი, მომხმარებლების პროფაილების შექმნა);
• პროფაილინგი ან ქულების მინიჭება რისკების შეფასების მიზნით;
• ბავშვების (ბაგა-ბაღებში, სკოლებში, უნივერსიტეტებში) ან სხვა კატეგორიის პირების ქცევის მონიტორინგი;
• ქცევითი რეკლამა (მომხმარებლის ქმედებების შეგროვებასა და ანალიზზე დაფუძნებული რეკლამა).

2.4. თანხმობა მარკეტინგულ შეტყობინებებზე
კანონი ითვალისწინებს ვალდებულებას, რომ მონაცემთა სუბიექტისგან მიღებულ იქნას ცალსახა თანხმობა ნებისმიერ მარკეტინგულ შეტყობინებაზე (email, SMS, მესენჯერები). ასევე, უნდა არსებობდეს მარტივი და ხელმისაწვდომი უარის თქმის პროცესი. ამ ნორმების დარღვევამ შესაძლოა გამოიწვიოს ჯარიმების დაკისრება, განსაკუთრებით თუ საქმე ეხება შეტყობინებების მასიურ გაგზავნას.

2.5. პასუხისმგებლობა და ჯარიმები
მონაცემების დამუშავების რეგლამენტების დარღვევის, უსაფრთხოების მოთხოვნების დაუცველობის, DPO-ის (თუ მისი დანიშვნა სავალდებულოა) არარსებობისა და სხვა დარღვევების შემთხვევაში კანონი ითვალისწინებს ადმინისტრაციულ პასუხისმგებლობას. კანონით დადგენილია ფიქსირებული ჯარიმები სხვადასხვა დარღვევებისათვის. სერიოზული ან განმეორებული დარღვევების შემთხვევაში ჯარიმები იზრდება ბრუნვის პროპორციულად. თუმცა, ერთჯერადი შემოწმების შედეგად მაქსიმალური ჯარიმის ოდენობა ჯამურად არ შეიძლება აღემატებოდეს 20 000 ლარს.


2.6. კონტროლი პერსონალურ მონაცემთა დაცვის სამსახურის მხრიდან
სამსახური აქტიურად ახორციელებს გეგმურ და არაგეგმურ შემოწმებებს. ოფიციალური სტატისტიკის მიხედვით, 2024 წელს განხორციელდა 265 შემოწმება. მათგან 31% (83) იყო გეგმური, ხოლო 69% (182) — არაგეგმური. შემოწმების შედეგების ანალიზი მიუთითებს, რომ მარეგულირებელი იყენებს ჯარიმის დაკისრების უფლებას უკვე პირველი დარღვევის აღმოჩენისთანავე და არ შემოიფარგლება მხოლოდ გაფრთხილებით. ეს, მათ შორის, დაკავშირებულია მონაცემთა მოცულობითი გაჟონვის შემთხვევების გახშირებასთან და სამსახურის მისწრაფებასთან, რომ თავიდან აიცილოს პოტენციური რისკიც კი.

ძირითადი ნორმატიული აქტი: მონაცემთა დაცვის ზოგადი რეგულაცია (GDPR), რომელიც ძალაში შევიდა 2018 წელს.

მნიშვნელოვანი ასპექტები:

• ·პრინციპები და სუბიექტთა უფლებები. რეგულაცია განსაზღვრავს გამჭვირვალობის, მიზნების შეზღუდვის, მონაცემთა სუბიექტების ინფორმირების და მათი უფლებების დაცვას (მათ შორის: წვდომა, შესწორება, წაშლა, მონაცემთა გადატანა).
• ჯარიმები. GDPR ითვალისწინებს სანქციებს 20 მილიონ ევრომდე ან კომპანიის გლობალური ბრუნვის 4%-მდე (რომელიც უფრო მაღალია). ეს არის მსოფლიოში ერთ-ერთი ყველაზე მკაცრი სანქცია.
• ·მონაცემთა დაცვის ოფიცერი (DPO). ორგანიზაციებში, რომლებიც ამუშავებენ მნიშვნელოვანი ოდენობის მონაცემებს ან განსაკუთრებული კატეგორიის მონაცემებს, აუცილებელია DPO-ს დანიშვნა, რომელსაც ენიჭება განსაზღვრული უფლებები და დამოუკიდებელი სტატუსი.
• ექსტერიტორიულობა. GDPR ვრცელდება ევროკავშირის ფარგლებს გარეთაც იმ კომპანიებზე, რომლებიც ამუშავებენ ევროკავშირის რეზიდენტების მონაცემებს.

3.2. აშშ (საშტატო და სექტორული რეგულირება)

განსაკუთრებული მახასიათებლები:

• ფარგლოვანი კანონმდებლობა. არ არსებობს ერთიანი ფედერალური კანონი, რომელიც GDPR-ს ანალოგიურია. არსებობს ცალკეული შტატების კანონები (მაგალითად, კალიფორნიის CCPA/CPRA, კოლორადო, ვირჯინია და სხვ.), აგრეთვე სექტორული აქტები: HIPAA (ჯანმრთელობის მონაცემებისთვის), GLBA (ფინანსური სექტორი), FERPA (განათლება) და სხვა.
• ჯარიმები. განსხვავდება რეგულაციის მიხედვით. მაგალითად, კალიფორნიაში CCPA/CPRA-ს დარღვევისთვის სანქციები ხშირად მრავალმილიონიან ნიშნულს აღწევს, განსაკუთრებით კოლექტიური სარჩელების შემთხვევაში.
• მონაცემთა დაცვის ოფიცერი. ფედერალურ დონეზე სავალდებულო არ არის, თუმცა მსხვილი კომპანიები ნერგავენ CPO-ს (Chief Privacy Officer) პოზიციას საუკეთესო პრაქტიკებისა და ზოგიერთი შტატის მოთხოვნების შესაბამისად.
• ინფორმირება მონაცემთა გაჟონვის შესახებ. დიდი ყურადღება ექცევა დროული გაფრთხილების ვალდებულებას მონაცემთა გაჟონვის (data breach notification) შემთხვევაში, წინააღმდეგ შემთხვევაში, შესაძლოა სანქციები მნიშვნელოვნად გაიზარდოს.

3.3. რუსეთი (ფედერალური კანონი „პერსონალურ მონაცემთა შესახებ“ და ბოლო ცვლილებები)

ძირითადი კანონი: ფედერალური კანონი № 152-ФЗ „პერსონალურ მონაცემთა შესახებ“ (მიღებული 2006 წელს, არაერთხელ შესწორებული).
მთავარი თავისებურებები:

• სავალდებულო „პასუხისმგებელი პირი პერსონალური მონაცემების დამუშავების ორგანიზებისთვის“ – GDPR-ის DPO-ს ანალოგი, თუმცა დამოუკიდებლობისა და უფლებამოსილების მოცულობის მოთხოვნები ნაკლებად დეტალიზებულია.
• ·ჯარიმები – ადრე შედარებით დაბალი იყო, მაგრამ 2025 წლის ცვლილებების გათვალისწინებით მნიშვნელოვნად გაიზარდა.
• 1 000–10 000 ადამიანის მონაცემების უკანონო გადაცემისთვის გათვალისწინებულია ჯარიმა 400 000 რუბლამდე თანამდებობის პირებისათვის (სახელმწიფო ორგანოები და ა(ა)იპ);
• 5 000 000 რუბლამდე ინდივიდუალური მეწარმეებისა და კომპანიებისთვის. სპეციალური კატეგორიის მონაცემების უკანონო გავრცელებისთვის ჯარიმა 15 000 000 რუბლამდე შეიძლება აღწევდეს. ასევე დაწესდა მკაცრი სანქციები Roskomnadzor-ისთვის მონაცემთა გაჟონვის შესახებ ინფორმაციის შეუტყობინებლობის შემთხვევაში.
• ოპერატორების რეგისტრაცია – ყველა ორგანიზაცია, რომელიც პერსონალურ მონაცემებს ამუშავებს, ვალდებულია Roskomnadzor-ს აცნობოს, თუ არ ექვემდებარება დადგენილ გამონაკლისებს.

ამრიგად, რუსეთი მიდის უფრო მკაცრი რეგულირებისკენ, ზრდის ჯარიმებს და ამკაცრებს კონტროლს პერსონალური მონაცემების დამუშავებაზე, განსაკუთრებით სპეციალური კატეგორიის მონაცემებსა და გაჟონვებზე.