საქართველოს პერსონალური მონაცემების დაცვის კანონი ვრცელდება ყველა ორგანიზაციაზე, რომელიც ამუშავებს პერსონალურ მონაცემებს, მიუხედავად მოცულობისა. შესაბამისობა არ შემოიფარგლება ფორმალური პოლიტიკებით – ის მოითხოვს მკაფიო შიდა პროცესებს, დოკუმენტირებულ გადაწყვეტილებებს და უწყვეტ ზედამხედველობას.
ეს საკონტროლო სია პრაქტიკული ტერმინებით განმარტავს, როგორ შეუძლია ბიზნესს თავისი ვალდებულებების შესრულება.
დაიწყეთ ყველა პერსონალური მონაცემის გამოვლენით, რომელსაც თქვენი ბიზნესი ამუშავებს. ეს მოიცავს მომხმარებელთა და თანამშრომელთა მონაცემებს, მომწოდებლებისა და კონტრაქტორების ინფორმაციას, ვიდეოთვალთვალის ჩანაწერებს, სატელეფონო ჩანაწერებს, მარკეტინგულ მონაცემთა ბაზებს და ნებისმიერ ბიომეტრიულ ან ჯანმრთელობის მონაცემს.
თითოეული დამუშავების პროცესისთვის დააფიქსირეთ:
ეს მიმოხილვა (ხშირად სახელდება მონაცემთა ინვენტარად ან დამუშავების ოპერაციების რეესტრად) აუცილებელია ანგარიშვალდებულებისა და შესაბამისობისთვის.
პერსონალური მონაცემები შეიძლება დამუშავდეს მხოლოდ კანონიერ საფუძველზე. ეს მოიცავს თანხმობას, ხელშეკრულების შესრულებას, სამართლებრივი ვალდებულების შესრულებას, სასიცოცხლო ინტერესების დაცვას, საზოგადოებრივ ინტერესს ან ლეგიტიმურ ინტერესს.
თითოეული დამუშავების ოპერაცია უნდა ეფუძნებოდეს ერთ მკაფიოდ განსაზღვრულ სამართლებრივ საფუძველს, და დასაბუთება უნდა იყოს დოკუმენტირებული.
ფიზიკურ პირებს უნდა მიეწოდოთ ინფორმაცია მათი მონაცემების გამოყენების შესახებ. ბიზნესმა უნდა უზრუნველყოს მკაფიო და ხელმისაწვდომი ინფორმაცია, რომელიც განმარტავს:
ეს ინფორმაცია ჩვეულებრივ მიეწოდება კონფიდენციალურობის შეტყობინებით ვებგვერდზე, ხელშეკრულებებში ან მონაცემთა შეგროვების მომენტში. ის უნდა იყოს დაწერილი მარტივ და გასაგებ ენაზე.
როდესაც დამუშავება ეფუძნება თანხმობას, ის უნდა იყოს თავისუფლად გაცემული, კონკრეტული, ინფორმირებული და აშკარა. წინასწარ მონიშნული ველები ან დუმილი არ წარმოადგენს მოქმედ თანხმობას. ბიზნესმა უნდა შეინახოს ჩანაწერები, რომლებიც აჩვენებს, როდის და როგორ იქნა მიღებული თანხმობა.
ფიზიკურ პირებს ნებისმიერ დროს უნდა შეეძლოთ თანხმობის მარტივად გაუქმება, და თანხმობაზე დაფუძნებული დამუშავება უნდა შეწყდეს თანხმობის გაუქმების შემდეგ.
ბავშვებზე ვრცელდება სპეციალური წესები: ბავშვი შეიძლება გასცეს მოქმედი თანხმობა მხოლოდ 16 წლიდან. 16 წლამდე ბავშვებისთვის თანხმობა უნდა მიიღოთ მშობლისგან ან კანონიერი მეურვისგან.
პერსონალური მონაცემების სპეციალური კატეგორიები — როგორიცაა ჯანმრთელობის მონაცემები, ბიომეტრიული და გენეტიკური მონაცემები, ნასამართლობის ინფორმაცია, რელიგიური შეხედულებები ან ეთნიკური წარმოშობა — საჭიროებს უფრო მკაცრ დაცვას.
უმეტეს შემთხვევაში ასეთი მონაცემების დამუშავება მოითხოვს აშკარა წერილობით თანხმობას ან სპეციალურ სამართლებრივ ვალდებულებას.
ვიდეო და აუდიო მონიტორინგი შეიძლება გამოყენებულ იქნეს მხოლოდ იქ, სადაც ეს აუცილებელია და პროპორციულია, მაგალითად უსაფრთხოების მიზნებისთვის. ბიზნესმა უნდა მკაფიოდ განსაზღვროს მონიტორინგის მიზანი, შეზღუდოს შენახვის ვადები და შეზღუდოს წვდომა ჩანაწერებზე.
ფიზიკური პირები უნდა იყვნენ ინფორმირებული თვალსაჩინო ნიშნებით, ხოლო თანამშრომლებმა უნდა მიიღონ წინასწარი წერილობითი შეტყობინება.
ფიზიკურ პირებს (მონაცემთა სუბიექტებს) აქვთ უფლება:
მოთხოვნები, როგორც წესი, უნდა დამუშავდეს 10 სამუშაო დღის განმავლობაში. უარის შემთხვევაში პირს უნდა ეცნობოს უარის სამართლებრივი საფუძველი და გასაჩივრების უფლება. ბიზნესს უნდა ჰქონდეს შიდა პროცედურები მოთხოვნების დროულად იდენტიფიცირებისა და დამუშავებისთვის.
პირდაპირი მარკეტინგი ჩვეულებრივ მოითხოვს წინასწარ თანხმობას. ფიზიკურ პირებს უნდა ჰქონდეთ შესაძლებლობა მარტივად და უფასოდ უარის თქმის.
უარის მიღების შემდეგ მარკეტინგული კომუნიკაცია უნდა შეწყდეს შვიდი სამუშაო დღის განმავლობაში.
უარის პრეფერენციები ასევე უნდა იყოს დაცული ნებისმიერი მესამე მხარის მარკეტინგული პარტნიორების მიერ.
ბიზნესს უნდა ჰქონდეს შიდა პროცედურა პერსონალური მონაცემების დარღვევების გამოვლენის, შეზღუდვის, შეფასებისა და დოკუმენტირებისათვის. ყველა დარღვევა უნდა ჩაიწეროს, მიუხედავად იმისა, საჭიროა თუ არა შეტყობინება.
პერსონალური მონაცემების დარღვევა უნდა ეცნობოს პერსონალური მონაცემების დაცვის სამსახურს არაუგვიანეს 72 საათისა მას შემდეგ, რაც კონტროლერი შეიტყობს ამის შესახებ.
მონაცემთა დაცვის ოფიცერი (DPO) უნდა დაინიშნოს, თუ სრულდება მინიმუმ ერთი პირობა:
თუ ეს პირობები არ ვრცელდება, DPO-ის დანიშვნა სავალდებულო არ არის. თუმცა, ბიზნესმა მაინც უნდა დანიშნოს პასუხისმგებელი საკონტაქტო პირი მონაცემთა დაცვის საკითხებზე.
როდესაც პერსონალურ მონაცემებს ამუშავებენ მესამე მხარეები, უნდა არსებობდეს წერილობითი მონაცემთა დამუშავების შეთანხმება.
პერსონალური მონაცემების საზღვარგარეთ გადაცემა დასაშვებია მხოლოდ საქართველოს კანონით დადგენილი მოთხოვნებისა და გარანტიების დაცვით.
პერსონალური მონაცემები არ უნდა ინახებოდეს იმაზე დიდხანს, ვიდრე საჭიროა მათი მიზნისთვის, თუ შენახვა სხვა კანონის მიხედვით არ არის მოთხოვნილი.
ტექნიკური და ორგანიზაციული უსაფრთხოების ზომები უნდა ასახავდეს შესაბამის რისკებს. ისინი შეიძლება მოიცავდეს წვდომის კონტროლს, ავთენტიფიკაციის მექანიზმებს, დაშიფვრას საჭიროების შემთხვევაში, რეგულარულ სარეზერვო კოპირებას, სისტემების განახლებას და პერსონალის ცნობიერების ამაღლებას. უსაფრთხოება პერიოდულად უნდა გადაიხედოს.
ბიზნესმა ნებისმიერ დროს უნდა შეძლოს შესაბამისობის დემონსტრირება. ეს მოიცავს დამუშავების ოპერაციების ჩანაწერებს, თანხმობის ჟურნალებს, დარღვევების ჩანაწერებს, DPIA-ს საჭიროების შემთხვევაში და პერსონალის ტრენინგის დოკუმენტაციას.
საქართველოში მონაცემთა დაცვის შესაბამისობა უწყვეტი პროცესია და არა ერთჯერადი ამოცანა. ბიზნესი, რომელიც სწორად აყალიბებს შესაბამისობას, ამცირებს რეგულატორულ რისკს, აუმჯობესებს ოპერაციულ დისციპლინას და აყალიბებს ნდობას მომხმარებლებთან, თანამშრომლებთან და პარტნიორებთან.
Author: Melano Svanidze, Oksana Iashagyan.
