საქართველოს პერსონალურ მონაცემთა დაცვის კანონი და ISO 27701: როგორ შევუსაბამოთ ერთმანეთს
საქართველოს კანონი „პერსონალურ მონაცემთა დაცვის შესახებ“ ადგენს სამართლებრივ ვალდებულებებს. ISO/IEC 27701 გაძლევთ მართვის სისტემას, რომ ისინი შეასრულოთ და ეს დაამტკიცოთ. ერთად გამოყენებისას ისინი ორი პარალელური შესაბამისობის პროექტისგან გიცავთ.
კანონი მოკლედ
პარლამენტმა საქართველოს მოქმედი კანონი „პერსონალურ მონაცემთა დაცვის შესახებ“ 2023 წლის 14 ივნისს მიიღო. მისი უმეტესი ნაწილი 2024 წლის 1 მარტიდან ამოქმედდა, ხოლო პერსონალურ მონაცემთა დაცვის ოფიცრის შესახებ დებულებები 2024 წლის 1 ივნისიდან. კანონმა ქართული წესები GDPR-ს მნიშვნელოვნად დაუახლოვა: უფრო მკაფიო სამართლებრივი საფუძვლები, მონაცემთა სუბიექტის უფრო ძლიერი უფლებები, ინციდენტების შეტყობინება, ზეგავლენის შეფასება და სავალდებულო პერსონალურ მონაცემთა დაცვის ოფიცრები გარკვეული ორგანიზაციებისთვის.
შეიცვალა ზედამხედველობაც. 2025 წლის ბოლოს მიღებული ცვლილებების თანახმად, პერსონალურ მონაცემთა დაცვის სამსახურის ფუნქციები 2026 წლის მარტში საქართველოს სახელმწიფო აუდიტის სამსახურს გადაეცა. შეტყობინებები, ოფიცრების რეგისტრაცია და საჩივრები ახლა იქ იგზავნება. ძველ შაბლონებსა და ფორმებზე დაყრდნობამდე გადაამოწმეთ სახელმწიფო აუდიტის სამსახურის მიმდინარე მითითებები.
ვალდებულებები, რომლებსაც პროცესი სჭირდება და არა პოლიტიკა
- პერსონალურ მონაცემთა დაცვის ოფიცერი. სავალდებულოა საჯარო დაწესებულებებისთვის, კომერციული ბანკების, სადაზღვევო კომპანიების, მიკროსაფინანსო ორგანიზაციების, საკრედიტო ბიუროების, ელექტრონული კომუნიკაციების კომპანიების, ავიაკომპანიების, აეროპორტებისა და სამედიცინო დაწესებულებებისთვის, ასევე ორგანიზაციებისთვის, რომლებიც ადამიანთა დიდი რაოდენობის მონაცემებს ამუშავებენ ან სისტემატურ მონიტორინგს ახორციელებენ. ოფიცრის მონაცემები ზედამხედველ ორგანოს დანიშვნიდან ან შეცვლიდან 10 სამუშაო დღის განმავლობაში უნდა ეცნობოს.
- ინციდენტების მართვა. დამმუშავებელმა უნდა აღრიცხოს პერსონალური მონაცემების ყველა ინციდენტი და ზედამხედველ ორგანოს ინციდენტის შესახებ შეტყობიდან 72 საათში აცნობოს, გარდა იმ შემთხვევისა, როცა ნაკლებად სავარაუდოა, რომ ინციდენტი მნიშვნელოვან ზიანს გამოიწვევს. უფლებამოსილმა პირმა დამმუშავებელს დაუყოვნებლივ უნდა აცნობოს. მაღალი რისკის შემთხვევაში ინფორმაცია დაზარალებულ პირებსაც უნდა მიეწოდოთ.
- ზეგავლენის შეფასება. მაღალი რისკის დამუშავებას დაწყებამდე დოკუმენტირებული შეფასება სჭირდება.
- უცხოელი დამმუშავებლები. საქართველოს ფარგლებს გარეთ არსებულ დამმუშავებელს ან უფლებამოსილ პირს, რომელიც საქართველოში ტექნიკურ საშუალებებს იყენებს, შეიძლება დასჭირდეს სპეციალური წარმომადგენლის დანიშვნა და რეგისტრაცია. გამონაკლისები ვრცელდება ევროკავშირისა და ევროპის ეკონომიკური ზონის სუბიექტებზე და იმ ქვეყნებზე, რომლებიც დაცვის ადეკვატური დონის მქონედ არის აღიარებული.
- საერთაშორისო გადაცემა. დაშვებულია იმ ქვეყნებსა თუ ორგანიზაციებში, სადაც ადეკვატური გარანტიებია, ან კანონით გათვალისწინებული სხვა საფუძვლით, მაგალითად სახელშეკრულებო გარანტიებით.
- მონაცემთა სუბიექტის უფლებები. გაცნობა, გასწორება, წაშლა, დამუშავების შეზღუდვა, დამუშავების შეწყვეტის მოთხოვნა და მონაცემთა გადატანა: თითოეულს სჭირდება პასუხისმგებელი პირი, მიმართვის არხი და პასუხების ჩანაწერები.
სად ჯდება ISO/IEC 27701
ISO/IEC 27701:2025 დამოუკიდებელი სტანდარტია კონფიდენციალურობის ინფორმაციის მართვის სისტემისთვის (PIMS). წინა გამოცემებით სერტიფიცირება შესაძლებელი იყო მხოლოდ ISO/IEC 27001-ის გაფართოების სახით; 2025 წლის გამოცემა შეიძლება დამოუკიდებლად დაინერგოს, თუმცა ბევრი ორგანიზაცია მას კვლავ არსებულ ინფორმაციული უსაფრთხოების მართვის სისტემასთან (ISMS) აერთიანებს. 2019 წლის გამოცემით გაცემული სერტიფიკატები ახალ გამოცემაზე 2028 წლის ოქტომბრამდე უნდა გადავიდეს.
სტანდარტი საქართველოს კანონი არ არის და სერტიფიცირება არ ნიშნავს, რომ ზედამხედველმა ორგანომ თქვენი საქმიანობა დაამტკიცა. მისი ღირებულება ისაა, რომ კანონიდან გამომდინარე სამუშაოს ორგანიზებას, გადანაწილებას, გაზომვასა და ყოველწლიურ აუდიტს მოითხოვს.
კანონის დაკავშირება მართვის სისტემასთან
- პირველ რიგში ინვენტარიზაცია. შექმენით დამუშავების ქმედებების რეესტრი: მიზნები, სამართლებრივი საფუძვლები, მონაცემებისა და მონაცემთა სუბიექტების კატეგორიები, მიმღებები, გადაცემები და შენახვის ვადები. საქართველოს კანონი რეგისტრაციის ზოგად ვალდებულებას არ აწესებს, მაგრამ ამ რეესტრის გარეშე ვერც ინსპექტორს უპასუხებთ და ვერც მონაცემთა სუბიექტს. ISO/IEC 27701 მის არსებობას ელის.
- როლები. განსაზღვრეთ, სად ხართ დამმუშავებელი და სად უფლებამოსილი პირი. თბილისელი სახელფასო მომსახურების მიმწოდებელი, როგორც წესი, თავისი კლიენტებისთვის უფლებამოსილი პირია, ხოლო საკუთარი თანამშრომლებისთვის დამმუშავებელი. PIMS-ის კონტროლის ზომები თითოეული როლისთვის განსხვავდება.
- რისკების შეფასება. ინფორმაციული უსაფრთხოების რისკების შეფასება გააფართოეთ ფიზიკური პირების კონფიდენციალურობის რისკებზე და მისი მეშვეობით გადაწყვიტეთ, როდის არის საჭირო ზეგავლენის შეფასება.
- ინციდენტების პროცედურა. ერთი პროცედურა უსაფრთხოების ინციდენტებისა და პერსონალური მონაცემების ინციდენტებისთვის, ვადის ათვლით, რომელიც ინციდენტის შესახებ შეტყობის მომენტიდან იწყება, და გადაწყვეტილების ეტაპით, ეცნობოს თუ არა სახელმწიფო აუდიტის სამსახურს 72 საათში.
- მომწოდებლებისა და გადაცემის კონტროლი. ხელშეკრულების პუნქტები უფლებამოსილი პირებისთვის, საქართველოს ფარგლებს გარეთ გადაცემების სია და თითოეულისთვის გამოყენებული საფუძველი.
- ოფიცერი და ანგარიშვალდებულება. ოფიცრის როლი, დამოუკიდებლობა და დაქვემდებარება დოკუმენტირებულია; ხელმძღვანელობის მიერ ანალიზი კონფიდენციალურობის შედეგებსაც მოიცავს.
- მტკიცებულებები. ტრენინგების ჩანაწერები, წვდომების გადახედვა, მონაცემთა სუბიექტების მოთხოვნებზე პასუხები და აუდიტის შედეგები გაძლევთ მასალას, რომლის ჩვენებაც შეგიძლიათ როგორც სასერტიფიკაციო ორგანოსთვის, ისე მარეგულირებლისთვის.
თუ ევროკავშირის კლიენტებსაც ემსახურებით
ბევრი ქართული IT და აუთსორსინგის კომპანია ამუშავებს ევროკავშირის რეზიდენტების მონაცემებს. ასეთ დამუშავებაზე ქართულ კანონთან ერთად GDPR-იც ვრცელდება. ერთ PIMS-ს შეუძლია ორივეს მოცვა, თუ სამართლებრივ რეესტრში ორივე რეჟიმი იქნება ჩამოთვლილი. იხილეთ ჩვენი GDPR გვერდი, სადაც აღწერილია, რას ითხოვენ ევროკავშირის კლიენტები ჩვეულებრივ ხელშეკრულებებსა და აუდიტებში.
როგორ გეხმარებათ BALTUM-ი
ვიწყებთ ხარვეზების ანალიზით საქართველოს კანონისა და ISO/IEC 27701-ის მიმართ, ვქმნით დამუშავების ქმედებების რეესტრს, ვაწყობთ ინციდენტებისა და მონაცემთა სუბიექტების მოთხოვნების პროცედურებს, ვატარებთ ტრენინგს ოფიცრისა და პერსონალისთვის და აკრედიტებული ორგანოს მიერ სერტიფიცირებამდე ვატარებთ შიდა აუდიტს. სფერო და ხანგრძლივობა პირველი შეფასების შემდეგ განისაზღვრება. დეტალები იხილეთ ჩვენს ISO 27701 გვერდზე.
ეს სტატია ზოგადი ინფორმაციაა და არა იურიდიული რჩევა. თქვენი ორგანიზაციის შეფასებისთვის გამოიყენეთ ამ საიტის ფორმა ან მოგვწერეთ მისამართზე info@baltum.org.
ხშირად დასმული კითხვები
ვინ ახორციელებს პერსონალური მონაცემების დაცვის ზედამხედველობას საქართველოში 2026 წელს?
2026 წლის მარტიდან ყოფილი პერსონალურ მონაცემთა დაცვის სამსახურის ფუნქციებს, მათ შორის ინციდენტების შეტყობინებების მიღებასა და ოფიცრების რეგისტრაციას, საქართველოს სახელმწიფო აუდიტის სამსახური ასრულებს.
ამტკიცებს თუ არა ISO 27701 სერტიფიცირება საქართველოს კანონთან შესაბამისობას?
არა. ის აჩვენებს, რომ თქვენ მართავთ კონფიდენციალურობის მართვის სისტემას, რომელიც აუდიტს გადის. კანონთან შესაბამისობა ცალკე სამართლებრივი საკითხია, მაგრამ სისტემა ქმნის იმ მტკიცებულებების უმეტესობას, რომლებსაც მარეგულირებელი მოითხოვდა.
შეიძლება თუ არა ISO 27701-ით სერტიფიცირება ISO 27001-ის გარეშე?
დიახ. 2025 წლის გამოცემა დამოუკიდებელი სტანდარტია. ორგანიზაციები, რომლებსაც უკვე აქვთ ISO 27001, ხშირად აერთიანებენ ორივეს, რათა რისკების მართვა და კონტროლის ზომები ხელახლა გამოიყენონ.
