Обязательное назначение уполномоченного по защите персональных данных (DPO) в Грузии: когда это необходимо

Коротко

Назначение DPO обязательно для публичных учреждений, ряда регулируемых секторов — например, банков, страховых организаций, компаний электронных коммуникаций, авиакомпаний и медицинских учреждений, — а также для организаций, которые осуществляют крупномасштабный систематический мониторинг или крупномасштабную обработку данных особых категорий. Решающее значение имеет характер обработки, а не размер организации.

Защита персональных данных становится всё более важной частью соблюдения регуляторных требований для организаций, работающих в Грузии. Закон Грузии «О защите персональных данных» возлагает на лиц, ответственных за обработку, и на уполномоченных лиц (обработчиков) ряд обязанностей, направленных на то, чтобы персональные данные обрабатывались законно и безопасно.

Одним из ключевых механизмов соблюдения этих требований является назначение уполномоченного по защите персональных данных (DPO). В определённых случаях организация обязана назначить DPO, который контролирует выполнение обязанностей по защите данных и выступает контактным лицом для надзорного органа и субъектов данных.

В этой статье объясняется, когда назначение DPO является обязательным по законодательству Грузии, и описываются основные функции этой роли.

Правовая база и надзорный орган

Назначение и функции уполномоченного по защите персональных данных в Грузии регулируются прежде всего:

Законом Грузии «О защите персональных данных» (принят в 2023 году и действует с 1 марта 2024 года); и
соответствующими подзаконными актами и руководящими документами Службы по защите персональных данных Грузии.

Функции надзорного органа выполняет Служба по защите персональных данных Грузии. Она контролирует соблюдение требований в сфере защиты данных и в случае нарушений может давать рекомендации или применять санкции.

Назначение роли DPO

DPO — это внутренний механизм обеспечения соответствия и надзора. Его основная задача — помогать организации соблюдать требования о защите персональных данных и сводить к минимуму правовые и операционные риски, связанные с обработкой данных. DPO также является контактным лицом между организацией, субъектами данных и надзорным органом.

Основные функции DPO

Задачи DPO, как правило, включают:

информирование и консультирование организации и её сотрудников по вопросам их обязанностей в сфере защиты данных;
мониторинг соблюдения законодательства и внутренних политик организации по защите данных;
консультирование по оценке воздействия на защиту данных при обработке с высоким риском;
повышение осведомлённости и обучение сотрудников, участвующих в обработке данных;
рассмотрение запросов и обращений субъектов данных; и
выполнение функций контактного лица для Службы по защите персональных данных и сотрудничество с ней.

Точный объём функций определяется законом и должен быть отражён в документах о назначении DPO или в договоре об оказании услуг.

Когда назначение DPO обязательно?

Назначение DPO обязательно в тех случаях, когда характер, масштаб или риски обработки данных требуют усиленного контроля за соблюдением требований. В частности, DPO необходим, если:

персональные данные обрабатывает публичное учреждение или орган публичной власти;
персональные данные обрабатывает страховая организация, коммерческий банк, микрофинансовая организация, кредитное бюро, компания электронных коммуникаций, авиакомпания, аэропорт или медицинское учреждение;
организация осуществляет крупномасштабный систематический мониторинг физических лиц; или
основная деятельность организации связана с крупномасштабной обработкой персональных данных особых категорий.

Обязанность зависит от характеристик деятельности по обработке, а не только от размера организации.

Персональные данные особых категорий

Это требование особенно актуально, если организация обрабатывает чувствительные персональные данные, то есть данные особых категорий, в том числе:

информацию о здоровье;
биометрические или генетические данные;
данные о судимости или правонарушениях; и
информацию, раскрывающую расовое или этническое происхождение, политические взгляды, религиозные убеждения или членство в профессиональном союзе.

На организации, обрабатывающие такие данные в больших масштабах, по законодательству Грузии, как правило, распространяются более строгие обязанности по обеспечению соответствия.

Статус и независимость DPO

DPO должен иметь возможность выполнять свои функции независимо и без конфликта интересов. Как правило, от организации ожидается, что она обеспечит, чтобы DPO:

обладал надлежащей профессиональной квалификацией и знанием законодательства о защите данных;
своевременно привлекался к вопросам защиты данных; и
имел доступ к необходимым ресурсам и информации.

DPO может быть сотрудником организации или внешним поставщиком услуг — в зависимости от её структуры и операционных потребностей.

Ответственность и риски несоблюдения

Если организация не назначила DPO в случаях, когда этого требует закон, это может повлечь правовые и регуляторные последствия, включая административные штрафы или санкции, повышенное внимание надзорного органа, а также репутационные и операционные риски. Поэтому назначение квалифицированного DPO — важная гарантия соблюдения требований для любой организации, обрабатывающей персональные данные.

Заключение

DPO — важный элемент системы защиты персональных данных в Грузии. Организации, осуществляющие обработку с высоким риском или в больших масштабах, должны тщательно оценить, обязывает ли их закон назначить DPO, и обеспечить, чтобы назначенное лицо могло эффективно выполнять свою роль. Выстроив надлежащий внутренний контроль и соблюдая требования о защите данных, организации могут снизить правовые риски, укрепить подотчётность и повысить доверие к своей практике обработки данных.

Часто задаваемые вопросы

Нужен ли DPO небольшой компании?

Не автоматически. Обязанность зависит от характера организации и осуществляемой ею обработки, а не от её размера. Небольшое учреждение банковского типа или небольшая клиника могут подпадать под это требование, тогда как малый бизнес с ограниченной обработкой данных и низким уровнем риска, как правило, не подпадает.

Может ли DPO быть внешним поставщиком услуг?

Да. DPO может быть сотрудником или внешним поставщиком услуг при условии, что эта роль может выполняться независимо и без конфликта интересов.

Может ли директор компании или IT-менеджер одновременно выполнять функции DPO?

Как правило, это нецелесообразно. У лица, которое определяет цели и средства обработки, может возникнуть конфликт интересов, что подрывает независимость этой роли.

Нужна помощь с соблюдением требований о DPO?

Не уверены, обязана ли ваша организация по законодательству Грузии назначить уполномоченного по защите персональных данных? Наши специалисты оценят вашу деятельность по обработке данных и помогут выполнить обязанности по обеспечению соответствия. Обратитесь в SB Legal Solution за профессиональной консультацией.

Эта статья носит общий информационный характер и не является индивидуальной юридической консультацией. Законы, тарифы и процедуры могут меняться; перед принятием решений уточняйте действующие требования.