მონაცემთა დაცვის ოფიცრის (DPO) სავალდებულო დანიშვნა საქართველოში: როდის არის ის აუცილებელი

მოკლედ

მონაცემთა დაცვის ოფიცერი სავალდებულოა საჯარო დაწესებულებებისთვის, ზოგიერთი რეგულირებადი სექტორისთვის — მაგალითად, ბანკებისთვის, სადაზღვევო ორგანიზაციებისთვის, ელექტრონული კომუნიკაციის კომპანიებისთვის, ავიაკომპანიებისა და სამედიცინო დაწესებულებებისთვის — ასევე იმ ორგანიზაციებისთვის, რომლებიც ახორციელებენ ფართომასშტაბიან სისტემურ მონიტორინგს ან განსაკუთრებული კატეგორიის მონაცემების ფართომასშტაბიან დამუშავებას. გადამწყვეტია დამუშავების ხასიათი და არა ორგანიზაციის ზომა.

პერსონალურ მონაცემთა დაცვა საქართველოში მოქმედი ორგანიზაციებისთვის მარეგულირებელ მოთხოვნებთან შესაბამისობის სულ უფრო მნიშვნელოვანი ნაწილი ხდება. „პერსონალურ მონაცემთა დაცვის შესახებ“ საქართველოს კანონი დამუშავებისთვის პასუხისმგებელ პირებსა და დამუშავებაზე უფლებამოსილ პირებს არაერთ ვალდებულებას აკისრებს, რათა პერსონალური მონაცემები კანონიერად და უსაფრთხოდ დამუშავდეს.

ამ სისტემაში შესაბამისობის ერთ-ერთი მთავარი მექანიზმია მონაცემთა დაცვის ოფიცრის (DPO) დანიშვნა. გარკვეულ შემთხვევებში ორგანიზაცია ვალდებულია, განსაზღვროს მონაცემთა დაცვის ოფიცერი, რომელიც ზედამხედველობას გაუწევს მონაცემთა დაცვის ვალდებულებების შესრულებას და საკონტაქტო პირის ფუნქციას შეასრულებს საზედამხედველო ორგანოსა და მონაცემთა სუბიექტებთან ურთიერთობაში.

ამ სტატიაში განვმარტავთ, როდის არის მონაცემთა დაცვის ოფიცრის დანიშვნა სავალდებულო ქართული კანონმდებლობით და მიმოვიხილავთ ამ როლის ძირითად ფუნქციებს.

სამართლებრივი ჩარჩო და საზედამხედველო ორგანო

საქართველოში მონაცემთა დაცვის ოფიცრის დანიშვნა და ფუნქციები, უპირველეს ყოვლისა, რეგულირდება:

• „პერსონალურ მონაცემთა დაცვის შესახებ“ საქართველოს კანონით (მიღებულია 2023 წელს და ძალაშია 2024 წლის 1 მარტიდან); და
• შესაბამისი კანონქვემდებარე აქტებითა და საქართველოს პერსონალურ მონაცემთა დაცვის სამსახურის მიერ გამოცემული სახელმძღვანელო დოკუმენტებით.

საზედამხედველო ორგანოს ფუნქციას ასრულებს საქართველოს პერსონალურ მონაცემთა დაცვის სამსახური. იგი აკონტროლებს მონაცემთა დაცვის მოთხოვნების შესრულებას და დარღვევის შემთხვევაში შეუძლია გასცეს რეკომენდაციები ან დააკისროს სანქციები.

მონაცემთა დაცვის ოფიცრის დანიშნულება

მონაცემთა დაცვის ოფიცერი შიდა შესაბამისობისა და ზედამხედველობის მექანიზმია. მისი მთავარი მიზანია, დაეხმაროს ორგანიზაციას პერსონალურ მონაცემთა დაცვის მოთხოვნების შესრულებაში და მინიმუმამდე შეამციროს მონაცემთა დამუშავებასთან დაკავშირებული სამართლებრივი და ოპერაციული რისკები. ოფიცერი ასევე არის საკონტაქტო პირი ორგანიზაციას, მონაცემთა სუბიექტებსა და საზედამხედველო ორგანოს შორის.

მონაცემთა დაცვის ოფიცრის ძირითადი ფუნქციები

მონაცემთა დაცვის ოფიცრის ამოცანები, როგორც წესი, მოიცავს:

• ორგანიზაციისა და მისი თანამშრომლების ინფორმირებასა და კონსულტირებას მონაცემთა დაცვის ვალდებულებებთან დაკავშირებით;
• კანონმდებლობისა და ორგანიზაციის მონაცემთა დაცვის შიდა პოლიტიკის შესრულების მონიტორინგს;
• მაღალი რისკის მქონე დამუშავებისას მონაცემთა დაცვის ზეგავლენის შეფასებასთან დაკავშირებით რჩევების მიცემას;
• მონაცემთა დამუშავებაში ჩართული თანამშრომლების ცნობიერების ამაღლებასა და გადამზადებას;
• მონაცემთა სუბიექტების შეკითხვებისა და მოთხოვნების განხილვას; და
• პერსონალურ მონაცემთა დაცვის სამსახურთან საკონტაქტო პირის ფუნქციის შესრულებასა და მასთან თანამშრომლობას.

როლის ზუსტ ფარგლებს კანონი ადგენს და ისინი მონაცემთა დაცვის ოფიცრის დანიშვნის დოკუმენტებში ან მომსახურების ხელშეკრულებაში უნდა აისახოს.

როდის არის მონაცემთა დაცვის ოფიცრის დანიშვნა სავალდებულო?

მონაცემთა დაცვის ოფიცრის დანიშვნა სავალდებულოა იმ შემთხვევებში, როცა მონაცემთა დამუშავების ხასიათი, მასშტაბი ან რისკები შესაბამისობაზე გაძლიერებულ ზედამხედველობას მოითხოვს. კერძოდ, ოფიცერი საჭიროა, როდესაც:

• პერსონალურ მონაცემებს ამუშავებს საჯარო დაწესებულება ან საჯარო ხელისუფლების ორგანო;
• პერსონალურ მონაცემებს ამუშავებს სადაზღვევო ორგანიზაცია, კომერციული ბანკი, მიკროსაფინანსო ორგანიზაცია, საკრედიტო ბიურო, ელექტრონული კომუნიკაციის კომპანია, ავიაკომპანია, აეროპორტი ან სამედიცინო დაწესებულება;
• ორგანიზაცია ფიზიკური პირების ფართომასშტაბიან სისტემურ მონიტორინგს ახორციელებს; ან
• ორგანიზაციის ძირითადი საქმიანობა განსაკუთრებული კატეგორიის პერსონალური მონაცემების ფართომასშტაბიან დამუშავებას მოიცავს.

ვალდებულება დამუშავების საქმიანობის მახასიათებლებზეა დამოკიდებული და არა მხოლოდ ორგანიზაციის ზომაზე.

განსაკუთრებული კატეგორიის პერსონალური მონაცემები

ეს მოთხოვნა განსაკუთრებით აქტუალურია, როცა ორგანიზაცია ამუშავებს სენსიტიურ, ანუ განსაკუთრებული კატეგორიის პერსონალურ მონაცემებს, მათ შორის:

• ჯანმრთელობასთან დაკავშირებულ ინფორმაციას;
• ბიომეტრიულ ან გენეტიკურ მონაცემებს;
• ნასამართლობასთან ან სამართალდარღვევასთან დაკავშირებულ მონაცემებს; და
• ინფორმაციას, რომელიც ავლენს რასობრივ ან ეთნიკურ კუთვნილებას, პოლიტიკურ შეხედულებებს, რელიგიურ მრწამსს ან პროფესიული კავშირის წევრობას.

ასეთი მონაცემების ფართომასშტაბიანად დამმუშავებელ ორგანიზაციებზე ქართული კანონმდებლობით, როგორც წესი, შესაბამისობის უფრო მკაცრი ვალდებულებები ვრცელდება.

მონაცემთა დაცვის ოფიცრის სტატუსი და დამოუკიდებლობა

მონაცემთა დაცვის ოფიცარს უნდა შეეძლოს თავისი ფუნქციების დამოუკიდებლად და ინტერესთა კონფლიქტის გარეშე შესრულება. ორგანიზაციისგან, როგორც წესი, მოელიან, რომ უზრუნველყოს ოფიცრის:

1. შესაბამისი პროფესიული კვალიფიკაცია და მონაცემთა დაცვის კანონმდებლობის ცოდნა;
2. მონაცემთა დაცვის საკითხებში დროული ჩართულობა; და
3. საჭირო რესურსებსა და ინფორმაციაზე წვდომა.

მონაცემთა დაცვის ოფიცერი შეიძლება იყოს ორგანიზაციის თანამშრომელი ან გარე მომსახურების მიმწოდებელი — ორგანიზაციის სტრუქტურისა და ოპერაციული საჭიროებების მიხედვით.

პასუხისმგებლობა და შესაბამისობის რისკები

თუ ორგანიზაცია არ დანიშნავს მონაცემთა დაცვის ოფიცერს იქ, სადაც ამას კანონი მოითხოვს, ამან შეიძლება გამოიწვიოს სამართლებრივი და მარეგულირებელი შედეგები, მათ შორის ადმინისტრაციული ჯარიმები ან სანქციები, საზედამხედველო ორგანოს გაძლიერებული ყურადღება, ასევე რეპუტაციული და ოპერაციული რისკები. ამიტომ კვალიფიციური მონაცემთა დაცვის ოფიცრის დანიშვნა შესაბამისობის მნიშვნელოვანი გარანტიაა ნებისმიერი ორგანიზაციისთვის, რომელიც პერსონალურ მონაცემებს ამუშავებს.

დასკვნა

მონაცემთა დაცვის ოფიცერი საქართველოში პერსონალურ მონაცემთა დაცვის სისტემის მნიშვნელოვანი კომპონენტია. მაღალი რისკის ან ფართომასშტაბიანი დამუშავების განმახორციელებელმა ორგანიზაციებმა გულდასმით უნდა შეაფასონ, ავალდებულებთ თუ არა კანონი მონაცემთა დაცვის ოფიცრის დანიშვნას, და უზრუნველყონ, რომ დანიშნულმა პირმა ეს როლი ეფექტიანად შეასრულოს. სათანადო შიდა ზედამხედველობის დანერგვითა და მონაცემთა დაცვის მოთხოვნების შესრულებით ორგანიზაციებს შეუძლიათ სამართლებრივი რისკების შემცირება, ანგარიშვალდებულების გაძლიერება და მონაცემთა დამუშავების პრაქტიკისადმი ნდობის ამაღლება.

ხშირად დასმული კითხვები

სჭირდება თუ არა მცირე კომპანიას მონაცემთა დაცვის ოფიცერი?

ავტომატურად — არა. ვალდებულება დამოკიდებულია ორგანიზაციის ხასიათსა და მის მიერ მონაცემთა დამუშავებაზე და არა მის ზომაზე. მცირე ზომის საბანკო ტიპის დაწესებულება ან მცირე კლინიკა შეიძლება ამ ვალდებულების ქვეშ მოექცეს, მაშინ როცა მცირე ბიზნესი შეზღუდული და დაბალი რისკის მქონე დამუშავებით, როგორც წესი, არ ექცევა.

შეიძლება თუ არა მონაცემთა დაცვის ოფიცერი გარე მომსახურების მიმწოდებელი იყოს?

დიახ. მონაცემთა დაცვის ოფიცერი შეიძლება იყოს თანამშრომელი ან გარე მომსახურების მიმწოდებელი, თუ ამ როლის შესრულება დამოუკიდებლად და ინტერესთა კონფლიქტის გარეშე შეიძლება.

შეუძლია თუ არა კომპანიის დირექტორს ან IT მენეჯერს ერთდროულად მონაცემთა დაცვის ოფიცრის ფუნქციის შესრულება?

როგორც წესი, ეს მიზანშეწონილი არ არის. პირს, რომელიც განსაზღვრავს დამუშავების მიზნებსა და საშუალებებს, შეიძლება ინტერესთა კონფლიქტი ჰქონდეს, რაც ამ როლის დამოუკიდებლობას აზიანებს.

გჭირდებათ დახმარება მონაცემთა დაცვის ოფიცერთან დაკავშირებული მოთხოვნების შესრულებაში?

არ ხართ დარწმუნებული, ავალდებულებს თუ არა ქართული კანონმდებლობა თქვენს ორგანიზაციას მონაცემთა დაცვის ოფიცრის დანიშვნას? ჩვენი სპეციალისტები შეაფასებენ თქვენს მიერ მონაცემთა დამუშავების საქმიანობას და დაგეხმარებიან შესაბამისობის ვალდებულებების შესრულებაში. პროფესიული კონსულტაციისთვის დაუკავშირდით SB Legal Solution-ს.

ეს სტატია ზოგადი ინფორმაციაა და არ წარმოადგენს ინდივიდუალურ იურიდიულ რჩევას. კანონები, ტარიფები და პროცედურები შეიძლება შეიცვალოს; მოქმედებამდე გადაამოწმეთ მოქმედი მოთხოვნები.