თუ თქვენი ბიზნესი აგროვებს, ინახავს ან სხვაგვარად ამუშავებს მომხმარებლების, თანამშრომლების ან პარტნიორების პერსონალურ მონაცემებს პერსონალურ მონაცემთა დაცვის შესახებ საქართველოს კანონმდებლობა თქვენზეც ვრცელდება. კანონის მოთხოვნების უგულებელყოფამ შესაძლოა გამოიწვიოს არა მხოლოდ ფინანსური სანქციები, არამედ მნიშვნელოვანი ზიანი მიაყენოს ბიზნესის რეპუტაციას. ქვემოთ განვმარტავთ, რა ვალდებულებებს ითვალისწინებს კანონი და როგორ დაიცვათ თქვენი კომპანია შესაძლო სამართლებრივი რისკებისგან.
1. რატომ არის აქტუალური მონაცემთა დაცვის საკითხი საქართველოში
მიუხედავად იმისა, რომ საქართველო არ წარმოადგენს ევროკავშირის წევრ სახელმწიფოს, ევროპის მონაცემთა დაცვის ზოგადი რეგულაცია (GDPR) მნიშვნელოვან გავლენას ახდენს ქართულ კანონმდებლობაზეც, სწორედ მისი პრინციპების საფუძველზე ჩამოყალიბდა მონაცემთა დაცვის ეროვნული სტანდარტები.
საქართველოს პარლამენტმა 2023 წლის 14 ივნისს მიიღო ახალი კანონი „პერსონალურ მონაცემთა დაცვის შესახებ“, რომელმაც მთლიანად ჩაანაცვლა კანონის ადრინდელი რედაქცია და დააახლოვა ქართული რეგულირება GDPR-ის სტანდარტებთან.
ამასთან, საქართველოს 2006 წლიდან რატიფიცირებული აქვს “პერსონალური მონაცემების ავტომატური დამუშავებისას ფიზიკური პირების დაცვის შესახებ” სტრასბურგის 1981 წლის 28 იანვრის კონვენცია, ხოლო 2014 წლიდან – ამ კონვენციის დამატებითი ოქმი (“ზედამხედველობით ორგანოებთან და მონაცემთა ტრანსსასაზღვრო გადადინებასთან დაკავშირებით”).
მნიშვნელოვანია ისიც, რომ 2026 წლის 2 მარტს შეიცვალა საზედამხედველო ორგანო: პერსონალურ მონაცემთა დაცვის სამსახურის ლიკვიდაციის შემდეგ, ამ ფუნქციას ახლა სახელმწიფო აუდიტის სამსახური ახორციელებს.
2. ვისზე ვრცელდება კანონი
პერსონალურ მონაცემთა დაცვის შესახებ კანონი კანონი ვრცელდება ნებისმიერ პირზე, რომელიც პერსონალურ მონაცემებს ამუშავებს საქართველოს ტერიტორიაზე. მოქმედების არეალი გაცილებით ფართოა, ვიდრე ერთი შეხედვით ჩანს, ის ასევე მოიცავს საზღვარგარეთ რეგისტრირებულ პირებს, რომლებიც საქართველოში განთავსებული ტექნიკური საშუალებებით ამუშავებენ მონაცემებს.
საზღვარგარეთ რეგისტრირებული დამმუშავებელი, რომელიც საქართველოში არსებული ტექნიკური საშუალებებით ამუშავებს მონაცემებს, ზოგიერთ შემთხვევაში ვალდებულია დამუშავებამდე დანიშნოს ან განსაზღვროს სპეციალური წარმომადგენელი საქართველოში.
გამონაკლისები: კანონის მოქმედება არ ვრცელდება:
- ფიზიკური პირის მიერ აშკარად პირადი მიზნით ან/და ოჯახური საქმიანობის ფარგლებში მონაცემთა დამუშავებაზე, რომელიც დაკავშირებული არ არის მის სამეწარმეო ან/და ეკონომიკურ, პროფესიულ საქმიანობასთან ან სამსახურებრივი მოვალეობის შესრულებასთან.
- მასობრივი ინფორმაციის საშუალებების მიერ საზოგადოების ინფორმირების მიზნით მონაცემთა დამუშავებაზე (გარდა ამ კანონის მე-4 მუხლის პირველი პუნქტის „ვ“ ქვეპუნქტისა და 27-ე მუხლისა);
- აკადემიური, სახელოვნებო და ლიტერატურული მიზნებისთვის მონაცემთა დამუშავებაზე.
3. მონაცემთა დამუშავების მონაწილეები
კანონი განასხვავებს რამდენიმე როლს, რომელთა სწორად იდენტიფიცირება პირველი ნაბიჯია შესაბამისობის უზრუნველსაყოფად.
დამუშავებისთვის პასუხისმგებელი პირი – ეს არის ფიზიკური პირი, ორგანიზაცია ან საჯარო დაწესებულება, რომელიც განსაზღვრავს მონაცემთა დამუშავების მიზანსა და საშუალებებს. სწორედ ეს პირი წყვეტს, რა ინფორმაცია უნდა შეგროვდეს, რატომ, როგორ და რა ვადით უნდა დამუშავდეს იგი.
დამუშავებაზე უფლებამოსილი პირი – ეს არის პირი, რომელიც მონაცემებს ამუშავებს პასუხისმგებელი პირისთვის ან მისი სახელით. ასეთმა პირმა დამუშავება შეიძლება განახორციელოს მხოლოდ სამართლებრივი აქტის საფუძველზე, ან პასუხისმგებელ პირთან დადებული წერილობითი შეთანხმებით.
თანადამუშავებისთვის პასუხისმგებელი პირები – როდესაც ორი ან მეტი პირი ერთობლივად განსაზღვრავს დამუშავების მიზნებსა და საშუალებებს, ისინი მიიჩნევიან თანადამუშავებისთვის პასუხისმგებელ პირებად. მათ წინასწარ წერილობით უნდა განსაზღვრონ თავიანთი უფლებები და ვალდებულებები, ხოლო ეს ინფორმაცია ხელმისაწვდომი უნდა იყოს მონაცემთა სუბიექტებისთვის.
4. რა ითვლება პერსონალურ მონაცემად
პერსონალური მონაცემია ნებისმიერი ინფორმაცია, რომელიც შესაძლებელს ხდის ფიზიკური პირის იდენტიფიცირებას – სახელი, გვარი, პირადი ნომერი, დაბადების თარიღი, მისამართი, სამუშაო ადგილი, ხელფასის მონაცემები, პირადი გამოსახულება და სხვა. თავის მხრივ ფიზიკური პირის იდენტიფიცირება შესაძლებელია ორი გზით: პირდაპირ, როდესაც მონაცემი უშუალოდ ავლენს ვინაობას, ან არაპირდაპირ – როდესაც რამდენიმე მონაცემის ერთობლიობა შესაძლებელს ხდის კონკრეტული პირის ვინაობის დადგენას.
(i) განსაკუთრებული კატეგორიის მონაცემები
აღსანიშნავია, რომ ზოგიერთი პერსონალური მონაცემი ითვლება განსაკუთრებული კატეგორიის მონაცემებად და მათი დამუშავება დამატებით გარანტიებს და უფრო მკაცრ სამართლებრივ საფუძვლებს მოითხოვს. კერძოდ, განსაკუთრებული კატეგორიის მონაცემს წარმოადგენს მონაცემი, რომელიც უკავშირდება:
- რასობრივ ან ეთნიკურ კუთვნილებას, პოლიტიკურ შეხედულებებს, რელიგიურ, ფილოსოფიურ ან სხვაგვარ მრწამსს, პროფესიული კავშირის წევრობას;
- ჯანმრთელობასა და სქესობრივ ცხოვრებას;
- ბრალდებულის, მსჯავრდებულის, გამართლებულის ან დაზარალებულის სტატუსს სისხლის სამართლის პროცესში, ნასამართლობას, განრიდებას, პატიმრობასა და სასჯელის აღსრულებას;
- ადამიანით ვაჭრობის (ტრეფიკინგის) ან ოჯახში ძალადობის მსხვერპლად ცნობას;
- ბიომეტრიულ და გენეტიკურ მონაცემებს, რომლებიც ფიზიკური პირის უნიკალური იდენტიფიცირების მიზნით მუშავდება.
5. რას მოიცავს „მონაცემთა დამუშავება“
ბევრი ორგანიზაცია ცდება, როდესაც ფიქრობს, რომ პერსონალურ მონაცემებს არ ამუშავებს. სინამდვილეში, კანონის თანახმად, დამუშავება მოიცავს პრაქტიკულად ნებისმიერ მოქმედებას მონაცემებთან მიმართებით – მათ შეგროვებას, მოპოვებას, მათზე წვდომას, ფოტოგადაღებას, ვიდეო- და აუდიომონიტორინგს, ორგანიზებას, დაჯგუფებას, ურთიერთდაკავშირებას, შენახვას, შეცვლას, აღდგენას, გამოთხოვას, გამოყენებას, დაბლოკვას, წაშლას ან განადგურებას, ასევე გამჟღავნებას – გადაცემით, გასაჯაროებით, გავრცელებით თუ სხვაგვარად ხელმისაწვდომად გახდომით.
6. როგორ უნდა მოხდეს მონაცემების დამუშავება
მონაცემთა დამუშავება დასაშვებია მხოლოდ კანონით გათვალისწინებული საფუძვლის არსებობისას და მხოლოდ კანონით დადგენილი პრინციპების დაცვით.
პრაქტიკული რჩევის სახით, გირჩევთ ორგანიზაციაში შემუშავდეს პერსონალურ მონაცემთა დაცვის შიდა პოლიტიკა. ეს ერთდროულად ორმაგ ფუნქციას ასრულებს: ერთი მხრივ, თანამშრომლებისთვის წინასწარ ნათელი ხდება, რა ფარგლებში შეუძლიათ მონაცემების დამუშავება და რა ვალდებულებები აკისრიათ, ხოლო მეორე მხრივ, ასეთი დოკუმენტი კომპანიის დამატებით დაცვას წარმოადგენს შესაძლო შემოწმების ან აუდიტის დროს.
7. პერსონალურ მონაცემთა დაცვის ოფიცერი (DPO)
კანონის მიხედვით, მონაცემთა დაცვის ოფიცრის დანიშვნა სავალდებულოა შემდეგი კატეგორიის სუბიექტებისთვის:
- საჯარო დაწესებულება;
- სადაზღვევო ორგანიზაცია, კომერციული ბანკი, მიკროსაფინანსო ორგანიზაცია, საკრედიტო ბიურო;
- ელექტრონული კომუნიკაციის კომპანია;
- ავიაკომპანია, აეროპორტი;
- სამედიცინო დაწესებულება;
- ორგანიზაცია, რომელიც ამუშავებს საქართველოს მოსახლეობის 3 პროცენტზე მეტის პერსონალურ მონაცემებს;
- ორგანიზაცია, რომელიც ამუშავებს საქართველოს მოსახლეობის არაუმეტეს 1 პროცენტის განსაკუთრებული კატეგორიის პერსონალურ მონაცემებს;
- ორგანიზაცია, რომელიც ახორციელებს მონაცემთა სუბიექტების ქცევის სისტემატურ და მასშტაბურ მონიტორინგს.
სისტემატურ და მასშტაბურ მონიტორინგად მიიჩნევა, მათ შორის: ინტერნეტაქტივობის თვალთვალი („თრექინგი“) სადაც ხდება მონაცემთა სუბიექტის წინასწარი რეგისტრაცია (მომხმარებლის შექმნა/აქტივაცია); პროფაილინგი ან რისკის ქულების მინიჭება; საგანმანათლებლო დაწესებულებების მიერ ბავშვთა/მოსწავლეთა/სტუდენტთა ქცევის მონიტორინგი; პერსონალურ მონაცემებზე დაფუძნებული ქცევითი რეკლამირება. ეს ჩამონათვალი ამომწურავი არ არის – შეფასება ხდება კონკრეტული აქტივობის შინაარსობრივი ანალიზის საფუძველზე.
მონაცემთა დაცვის ოფიცერი შეიძლება იყოს როგორც ორგანიზაციის თანამშრომელი (იმ პირობით, რომ ეს არ წარმოშობს ინტერესთა კონფლიქტს), ისე მომსახურების ხელშეკრულებით განსაზღვრული პირი.
8. პერსონალურ მონაცემთა საერთაშორისო გადაცემა
პერსონალური მონაცემების სხვა სახელმწიფოს და საერთაშორისო ორგანიზაციისთვის გადაცემა ნიშნავს მონაცემების გადატანას ან გაზიარებას საქართველოს ტერიტორიიდან სხვა
იურისდიქციაში.
ასეთი გადაცემისთვის დამტკიცებულია იმ ქვეყნების ნუსხა, რომლებსაც გააჩნიათ პერსონალურ მონაცემთა დაცვის სათანადო გარანტიები. გადაცემა ზოგადად დასაშვებია მხოლოდ მაშინ, როცა დაცულია კანონისმიერი მოთხოვნები და მიმღებ სახელმწიფოში ან ორგანიზაციაში უზრუნველყოფილია მონაცემთა და მონაცემთა სუბიექტების უფლებების დაცვის სათანადო გარანტიები.
პერსონალურ მონაცემთა სხვა სახელმწიფოსთვის გადაცემის მიზნით, დამტკიცებულია პერსონალურ მონაცემთა დაცვის სათანადო გარანტიების მქონე ქვეყნების ნუსხა.
9. რა სანქციებია გათვალისწინებული ვალდებულებების დარღვევის შემთხვევაში
კანონის მოთხოვნების დარღვევა ითვალისწინებს სანქციებს, რომელთა ტიპი და ოდენობა დამოკიდებულია დარღვევის ხასიათსა და სიმძიმეზე. ჯარიმის ოდენობა 1,000 ლარიდან იწყება და ფიზიკური პირისთვის შეიძლება მიაღწიოს 10,000 ლარს, ხოლო იურიდიული პირისთვის 20,000 ლარს.
დასკვნა
პერსონალურ მონაცემთა დაცვის მოთხოვნები მხოლოდ დიდ კორპორაციებს არ ეხება. ისინი ვრცელდება პრაქტიკულად ყველა ბიზნესზე, რომელიც კლიენტების ან თანამშრომლების მონაცემებს ამუშავებს. სწორად შემუშავებული პროცესები, დაწყებული შიდა პოლიტიკიდან, დამთავრებული, საჭიროების შემთხვევაში, მონაცემთა დაცვის ოფიცრის დანიშვნით დამთავრებული, არა მხოლოდ გიცავთ სანქციებისგან, არამედ ზრდის კლიენტის მხრიდან თქვენს მიმართ ნდობას. ჩვენი იურიდიული გუნდი ეხმარება ბიზნესს პერსონალურ მონაცემთა დაცვის კანონმდებლობასთან შესაბამისობის მიღწევაში.
პასუხისმგებლობის შეზღუდვის განაცხადი: წინამდებარე სტატია მომზადებულია მხოლოდ ინფორმაციული მიზნით და არ წარმოადგენს იურიდიულ კონსულტაციას. სტატიაში განხილული საკითხები არ ქმნის ადვოკატ-კლიენტის ურთიერთობას თქვენსა და ჩვენს კომპანიას შორის. სტატიაში მოცემული ინფორმაცია ეფუძნება 2026 წლის ივლისის მდგომარეობით მოქმედ კანონმდებლობას. კონკრეტულ სამართლებრივ საკითხთან დაკავშირებით ინდივიდუალური კონსულტაციისთვის, გთხოვთ, დაგვიკავშირდეთ.
წყაროები:
- საქართველოს კანონი “პერსონალურ მონაცემთა დაცვის შესახებ”;
- სახელმწიფო აუდიტის სამსახურის გენერალური აუდიტორის 2026 წლის 14 აპრილის ბრძანება №007 ”პერსონალურ მონაცემთა დაცვის სათანადო გარანტიების მქონე ქვეყნების ნუსხის დამტკიცების თაობაზე”;
- სახელმწიფო აუდიტის სამსახურის გენერალური აუდიტორის 2026 წლის 30 მარტის ბრძანება №005 “დამუშავებისთვის პასუხისმგებელ პირთა და დამუშავებაზე უფლებამოსილ პირთა წრის განსაზღვრის შესახებ, რომლებსაც არ აქვთ ვალდებულება დანიშნონ ან განსაზღვრონ პერსონალურ მონაცემთა დაცვის ოფიცერი”;
- სახელმწიფო აუდიტის სამსახურის გენერალური აუდიტორის 2026 წლის 30 მარტის ბრძანება №006 “მონაცემთა დაცვაზე ზეგავლენის შეფასების ვალდებულების წარმომშობი გარემოებების დადგენის კრიტერიუმებისა და შეფასების წესის დამტკიცების შესახებ”;
- სახელმწიფო აუდიტის სამსახურის გენერალური აუდიტორის 2026 წლის 17 აპრილის ბრძანება №008 “ადამიანის ძირითადი უფლებებისა და თავისუფლებებისთვის მნიშვნელოვანი საფრთხის შემცველი ინციდენტის განსაზღვრის კრიტერიუმებისა და სახელმწიფო აუდიტის სამსახურისთვის ინციდენტის შეტყობინების წესის დამტკიცების შესახებ”;
- Regulation (EU) 2016/679 (General Data Protection Regulation).
ავტორი – ანანო ნიკოლაძე