მონაცემთა დაცვის პოლიტიკა

წინასიტყვაობა

„როგორ ავითარებს და განაახლებს ASF სტანდარტებს“-ის მე-11 განყოფილება ეხება განმცხადებელი ორგანიზაციების ინფორმაციის კონფიდენციალურობას. ASF-ის IT და მონაცემთა უსაფრთხოების პოლიტიკა ეხება ASF-ის სისტემების ტექნიკურ და ორგანიზაციულ უსაფრთხოებას. არცერთი არ არის ყოვლისმომცველი მონაცემთა დაცვის პოლიტიკა იმ გაგებით, რასაც ზოგადი მონაცემთა დაცვის რეგულაცია სინამდვილეში მოითხოვს: ASF-ის მიერ დამუშავებული პერსონალური მონაცემების ყოველი კატეგორიისთვის დოკუმენტირებული სამართლებრივი საფუძველი, განსაზღვრული შენახვის ვადები, მონაცემთა სუბიექტების უფლებების მკაფიო განცხადება და — ASF-ის ფაქტობრივ ფეხის ნაბიჯს პარიზში, ჟენევასა და თბილისში გათვალისწინებით — მონაცემთა საერთაშორისო გადაცემის გულწრფელი განხილვა. ეს დოკუმენტი არის ის პოლიტიკა.

1. მიზანი და მოქმედების სფერო

ეს პოლიტიკა არეგულირებს, როგორ ამუშავებს ASF პერსონალურ მონაცემებს მის მიერ შენახული ყოველი კატეგორიით — საჩივრების შემტანის ვინაობა ASF-ის საჯარო საჩივრებისა და უკუკავშირის პოლიტიკით, შეტყობინებები ზარზე მომხსენებლების შესახებ ASF-ის შიდა დაცვის პოლიტიკით, კვლევისა და პერსონალის ჩანაწერები და განმცხადებელი ორგანიზაციების მონაცემები — ზოგადი მონაცემთა დაცვის რეგულაციის, რეგულაცია (EU) 2016/679-ის [1] შესაბამისად.

2. რატომ არის ეს მნიშვნელოვანი: რეალური სააღსრულებო მტკიცებულება

ეს თეორიული შესაბამისობის სავარჯიშო არ არის. Commission Nationale de l’Informatique et des Libertés — საფრანგეთის საკუთარი მონაცემთა დაცვის ორგანო, რომელსაც ASF-ის პარიზში რეგისტრაციის გამო პირდაპირი იურისდიქცია აქვს ASF-ზე — 2025 წელს გამოსცა ოთხმოცდასამი სანქცია, სულ €486.8 მილიონის ოდენობით, წინა წელს დაახლოებით €55 მილიონის წინააღმდეგ: ერთ წელიწადში თითქმის ცხრაჯერ გაზრდა [2]. ევროკავშირში მთლიანობაში, მონაცემთა დაცვის ორგანოებმა 2025 წელს თითქმის €1.2 მილიარდის GDPR ჯარიმა შეაფასეს, ხოლო რეგულაციის შემოღების შემდეგ დაგროვილი სანქციები €7.1 მილიარდს აღემატება [3].

GDPR-ის აღსრულებაში ერთი კონკრეტული და განმეორებადი დასკვნა პირდაპირ ეხება ამ პოლიტიკის სტრუქტურას: დოკუმენტირებული არმქონე, „უბრალოდ იქნება“ მონაცემთა შენახვა — პერსონალური მონაცემების შენახვა ნებისმიერი რეალური მიზნის საჭიროებაზე მეტ ხანს, დოკუმენტირებული დასაბუთების გარეშე — ახლა განიხილება, როგორც სანქციის დამოუკიდებელი საფუძველი, ნებისმიერი სხვა დარღვევისგან განცალკევებით [2]. სწორედ ამიტომ განსაზღვრავს ამ პოლიტიკის მე-4 განყოფილება კონკრეტულ შენახვის ვადას ASF-ის მიერ შენახული მონაცემების ყოველი კატეგორიისთვის და არა „გონივრული“ შენახვის ზოგად ვალდებულებას.

3. დამუშავების სამართლებრივი საფუძველი

GDPR-ის მე-6 მუხლის შესაბამისად, ASF-ში პერსონალური მონაცემების დამუშავების ყოველი შემთხვევა დასაბუთებულია ექვსი სამართლებრივი საფუძვლიდან ერთ-ერთით, რომელიც განისაზღვრება და დოკუმენტირდება დამუშავების დაწყებამდე [4–5]:

• თანხმობა — პირმა მკაფიოდ დათანხმდა კონკრეტულ დამუშავების მიზანს
• ხელშეკრულების შესრულება — დამუშავება აუცილებელია პირის მიერ მოთხოვნილი მომსახურების მისაწოდებლად
• სამართლებრივი ვალდებულება — დამუშავება საჭიროა კანონით დაწესებული მოთხოვნის შესასრულებლად
• სასიცოცხლო ინტერესები — დამუშავება აუცილებელია ვინმეს სიცოცხლის დასაცავად
• საჯარო ამოცანა — დამუშავება აუცილებელია საზოგადოებრივი ინტერესის ამოცანის შესასრულებლად
• legitimate interests — დამუშავება ემსახურება ASF-ის ნამდვილ ინტერესს, დაბალანსებულს პირის საკუთარ უფლებებსა და თავისუფლებებთან

4. მონაცემთა კატეგორიები, საფუძველი და შენახვა

თუ კონკრეტული დოკუმენტი (ASF-ის სენტინელური მოვლენის პოლიტიკა, ASF-ის საჯარო საჩივრებისა და უკუკავშირის პოლიტიკა) უკვე განსაზღვრავს შენახვის ან კონფიდენციალურობის წესს თავისი მონაცემთა კატეგორიისთვის, ეს წესი მოქმედებს; ეს ცხრილი არსებობს იმისთვის, რომ ყოველი კატეგორია ერთ ადგილას ჩანდეს და არა იმისთვის, რომ რომელიმე უფრო კონკრეტული არსებული წესი გადაფაროს.

5. მონაცემთა სუბიექტის უფლებები

GDPR-ის 15-დან 22-ე მუხლის შესაბამისად, ნებისმიერ პირს, რომლის პერსონალურ მონაცემებსაც ASF ინახავს, შეუძლია განახორციელოს შემდეგი უფლებები, და ASF პასუხობს მოთხოვნიდან ერთი თვის ფარგლებში [1, 6]:

• წვდომის უფლება — დადასტურება, ამუშავებს თუ არა ASF მათ მონაცემებს, და მათი ასლი
• შესწორების უფლება — არაზუსტი ან არასრული მონაცემების გასწორება
• წაშლის უფლება — მონაცემების წაშლა, როცა შენახვის გაგრძელების სამართლებრივი საფუძველი არ არსებობს
• შეზღუდვის უფლება — იმის შეზღუდვა, თუ როგორ იყენებს ASF მონაცემებს, სანამ მასთან დაკავშირებული დავა გადაწყდება
• მონაცემთა გადატანადობის უფლება — მონაცემების მიღება გადატანად ფორმატში, სადაც ტექნიკურად შესაძლებელია
• გასაჩივრების უფლება — legitimate interest-ზე დაფუძნებული დამუშავების გასაჩივრება, რომლის შემდეგაც ASF წყვეტს, თუ მას დამაჯერებელი დასაბუთება არ გადაწონის

6. საერთაშორისო გადაცემები — თბილისის საკითხი

ASF ნამდვილად მოქმედებს სამ იურისდიქციაში: პარიზი, საფრანგეთი, ევროკავშირის ფარგლებში; ჟენევა, შვეიცარია, რომელსაც ევროკომისიამ მონაცემთა დაცვის adequate დონე აღიარა; და თბილისი, საქართველო, რომელიც ევროპული ეკონომიკური სივრცის გარეთაა და ევროკავშირის adequacy გადაწყვეტილება არ მიუღია. GDPR-ის V თავის შესაბამისად, ნებისმიერ პერსონალურ მონაცემს, რომელსაც ASF გადასცემს თავის თბილისის ოპერაციებს ან იღებს მათგან, სჭირდება საკუთარი დოკუმენტირებული გარანტია — სტანდარტული სახელშეკრულებო პირობები ან სხვა დამტკიცებული გადაცემის მექანიზმი — და არა ვარაუდი, რომ მონაცემები სამივე ადგილს შორის თავისუფლად გადაადგილდება ერთი და იგივე პირობებით [1, 7].

7. მონაცემთა დაცვის საკონტაქტო პირი

GDPR-ის 37-ე მუხლის შესაბამისად, ASF ნიშნავს მონაცემთა დაცვის საკონტაქტო პირს, რომელიც პასუხისმგებელია ამ პოლიტიკის გამოყენების ზედამხედველობაზე, მონაცემთა დაცვის საკითხებზე კონსულტაციაზე და მონაცემთა სუბიექტის უფლებების მოთხოვნის ან ზედამხედველი ორგანოს შეკითხვის საკონტაქტო წერტილად ყოფნაზე [1]. იმ შემთხვევაშიც კი, თუ ASF-ის დამუშავება არ აღწევს იმ კონკრეტულ ზღვარს, რომელიც მონაცემთა დაცვის ოფიცრის ფორმალურ დანიშვნას მოითხოვს, ASF მაინც ინარჩუნებს ამ დანიშნულ საკონტაქტო პირს ნამდვილი ანგარიშვალდებულების საკითხად და არა მხოლოდ მინიმალური სამართლებრივი შესაბამისობის გამო.

8. ანგარიშვალდებულება და ჩანაწერები

GDPR-ის მე-5(2) მუხლის ანგარიშვალდებულების პრინციპის შესაბამისად — ვალდებულება, არა მხოლოდ შესაბამისობისა, არამედ მოთხოვნისთანავე შესაბამისობის დემონსტრირების უნარისა — ASF ინახავს დამუშავების საქმიანობების ჩანაწერს, რომელიც მოიცავს მე-4 განყოფილების მონაცემთა ყოველ კატეგორიას და წლიური ASF-ის მენეჯმენტის მიმოხილვის პროცედურის ნაწილად განიხილება [1, 7].

9. კავშირი ASF-ის სხვა პროცესებთან

• ამ მონაცემების დაცვის ტექნიკურ და ორგანიზაციულ უსაფრთხოების ზომებს არეგულირებს ASF-ის IT და მონაცემთა უსაფრთხოების პოლიტიკა და აქ ხელახლა არ არის გადმოცემული
• მონაცემთა დაცვის ინციდენტი მუშავდება ASF-ის IT და მონაცემთა უსაფრთხოების პოლიტიკის მე-6 განყოფილების შესაბამისად, მათ შორის 72-საათიანი მარეგულირებელი შეტყობინების მოთხოვნით
• საჩივრის შემტანის ან ზარზე მომხსენებლის ვინაობის სპეციფიკურ კონფიდენციალურობას, შესაბამისად, არეგულირებს ASF-ის საჯარო საჩივრებისა და უკუკავშირის პოლიტიკა და ASF-ის შიდა ზარზე მომხსენებელთა დაცვის პოლიტიკა; ეს პოლიტიკა არეგულირებს უფრო ფართო მონაცემთა დაცვის ჩარჩოს, რომელშიც ეს სპეციფიკური დაცვები ჯდება

წყაროები

1. ევროკავშირი. ზოგადი მონაცემთა დაცვის რეგულაცია (EU) 2016/679. 2016.
2. Legiscope. GDPR Compliance Guide 2026: Data Storage & Retention, CNIL-ის 2025 წლის სანქციების მონაცემებზე მითითებით.
3. CNiC Solutions. Cybersecurity Compliance Statistics 2026: GDPR, HIPAA, PCI & CMMC Data. 2026.
4. Drata. GDPR for US Companies: A Practical Guide to Compliance. 2026.
5. Usercentrics. GDPR Data Retention: Compliance Guidelines and Best Practices. 2026.
6. GDPR Local. Data Subject Rights and Responsibilities.
7. Skillcast. Legal Basis for Data Processing under GDPR.

დანართი A — მონაცემთა სუბიექტის უფლებების მოთხოვნის ფორმა

მომთხოვნის სახელი: ________________________________________

ურთიერთობის ხასიათი ASF-თან (საჩივრის შემტანი / ზარზე მომხსენებელი / პერსონალი / სხვა): ___________________________________

მოთხოვნილი უფლება(ები)

წვდომა

შესწორება

წაშლა

შეზღუდვა

გადატანადობა

გასაჩივრება

მიღების თარიღი: ______________________________

პასუხის ვადა (ერთი თვის ფარგლებში): ______________________________

პასუხი მოწოდებულია: ______________________________

ინდექსი

ანგარიშვალდებულების პრინციპი (მუხ. 5(2)), 8

CNIL-ის აღსრულება (რეალური მტკიცებულება), 2

მონაცემთა დაცვის საკონტაქტო პირი, 7

მონაცემთა სუბიექტის უფლებები, 5

საერთაშორისო გადაცემები, 6

სამართლებრივი საფუძველი (მუხ. 6), 3

შენახვის გრაფიკი, 4

თბილისის გადაცემის საკითხი, 6

ყოველი ASF-დოკუმენტი, რომელიც კონფიდენციალურობას ახსენებს, გულისხმობს, რომ მის ქვეშ რეალური მონაცემთა დაცვის ჩარჩო დგას. ეს არის ის ჩარჩო, რომელიც აშკარად არის ჩამოყალიბებული და არა ნავარაუდევი.