GDPR შესაბამისობა საქართველოს კომპანიებისთვის

როდის ვრცელდება GDPR ქართულ კომპანიაზე

ევროკავშირის მონაცემთა დაცვის ზოგადი რეგულაცია (GDPR) შეიძლება გავრცელდეს კომპანიაზე, რომელსაც ევროკავშირში ოფისი არ აქვს. მე-3 მუხლის მე-2 პუნქტის თანახმად, ის ვრცელდება, როცა ევროკავშირის გარეთ არსებული კომპანია ევროკავშირში მყოფ პირებს სთავაზობს საქონელს ან მომსახურებას, ან იქ მათ ქცევას აკვირდება. გარდა ამისა, ბევრი ქართული IT, აუთსორსინგისა და BPO კომპანია ევროკავშირის კლიენტების სახელით ამუშავებს პერსონალურ მონაცემებს. ამ შემთხვევაში ევროკავშირის კლიენტი GDPR-ის დაცვის ვალდებულებას ინარჩუნებს და საკუთარ ვალდებულებებს ქართველ უფლებამოსილ პირს მონაცემთა დამუშავების შესახებ ხელშეკრულებით გადასცემს, 28-ე მუხლის შესაბამისად.

საქართველოს არ აქვს ევროკავშირის ადეკვატურობის გადაწყვეტილება. როცა ევროკავშირის კლიენტი პერსონალურ მონაცემებს ქართულ კომპანიას გადასცემს, გადაცემა, როგორც წესი, ეფუძნება ევროკომისიის სტანდარტულ სახელშეკრულებო დებულებებს და გადაცემის ზეგავლენის შეფასებას. ევროკავშირის კლიენტები გთხოვენ, ხელი მოაწეროთ ამ დებულებებს და უპასუხოთ კითხვებს თქვენი უსაფრთხოებისა და მონაცემებზე სახელმწიფო ორგანოების წვდომის შესახებ.

რა ადგილი უჭირავს საქართველოს კანონს

საქართველოს კანონი „პერსონალურ მონაცემთა დაცვის შესახებ“, რომელიც 2023 წლის ივნისში მიიღეს და 2024 წლის 1 მარტიდან მოქმედებს, ბევრ სფეროში GDPR-ს მიჰყვება: დამუშავების სამართლებრივი საფუძვლები, მონაცემთა სუბიექტის უფლებები, პერსონალურ მონაცემთა დაცვის ოფიცრები, მონაცემთა დაცვაზე ზეგავლენის შეფასება, ინციდენტების აღრიცხვა და მნიშვნელოვანი ინციდენტების შესახებ შეტყობინება 72 საათში. 2026 წლის მარტიდან ზედამხედველობას ახორციელებს საქართველოს სახელმწიფო აუდიტის სამსახური, რომელმაც პერსონალურ მონაცემთა დაცვის სამსახურის ფუნქციები გადაიბარა.

განსხვავებები მაინც რჩება განმარტებებში, ზღვრებში, გადაცემის წესებსა და პროცედურებში, ამიტომ ამ ორ კანონს იდენტურად არ განვიხილავთ. ჩვენი მიდგომაა პოლიტიკებისა და ჩანაწერების ერთი ნაკრების შექმნა, რომელიც თითოეულ საკითხზე უფრო მკაცრ მოთხოვნას აკმაყოფილებს, შენიშვნებით იმ ადგილებში, სადაც საქართველოს ან ევროკავშირის წესები რაიმე სპეციფიკურს მოითხოვს.

ვის სჭირდება ეს მომსახურება

• IT და პროგრამული უზრუნველყოფის კომპანიებს, რომლებიც ევროკავშირის კლიენტებისთვის სისტემებს ავითარებენ ან მასპინძლობენ.
• BPO, საკონტაქტო ცენტრებისა და დამხმარე ოფისის მომსახურების მიმწოდებლებს თბილისსა და ბათუმში, რომლებიც ევროკავშირის მომხმარებელთა მონაცემებს ამუშავებენ.
• ონლაინ ბიზნესებს, ტურიზმისა და სტუმართმასპინძლობის კომპანიებს, რომლებიც ევროკავშირის რეზიდენტებს პირდაპირ ყიდიან.
• ევროკავშირის ჯგუფების ქართულ შვილობილ კომპანიებს, რომლებიც ჯგუფის კონფიდენციალურობის წესებს უნდა მიჰყვნენ.

რას აკეთებს BALTUM

1. გავრცელების სფეროსა და როლის ანალიზი. ვადგენთ, ვრცელდება თუ არა GDPR თქვენზე პირდაპირ, როგორც დამმუშავებელზე მე-3 მუხლის მე-2 პუნქტის მიხედვით, თუ ირიბად, როგორც უფლებამოსილ პირზე, და გჭირდებათ თუ არა წარმომადგენელი ევროკავშირში 27-ე მუხლის მიხედვით.
2. მონაცემთა აღწერა. ვქმნით დამუშავების საქმიანობების რეესტრს, რომელიც როგორც GDPR-ს, ისე საქართველოს კანონს მოიცავს.
3. ხარვეზების ანალიზი. ვადარებთ არსებულ პრაქტიკას ორივე კანონს და ხარვეზებს პრიორიტეტების მიხედვით ვალაგებთ.
4. დოკუმენტაცია. კონფიდენციალურობის შეტყობინებები, მონაცემთა დამუშავების ხელშეკრულებები, სტანდარტული სახელშეკრულებო დებულებები და გადაცემის ზეგავლენის შეფასებები, მონაცემთა სუბიექტის მოთხოვნების პროცედურა, შენახვის ვადების განრიგი, მონაცემთა დაცვაზე ზეგავლენის შეფასების მეთოდოლოგია და ინციდენტების პროცედურა ორივე კანონით გათვალისწინებული 72-საათიანი ვადებით.
5. უსაფრთხოების ზომები. ვამოწმებთ ტექნიკურ და ორგანიზაციულ ზომებს 32-ე მუხლის მიხედვით, ხშირად ISO/IEC 27001-ის კონტროლის ზომების საბაზისოდ გამოყენებით.
6. ტრენინგი და მონაცემთა დაცვის ოფიცრის მხარდაჭერა. ვატარებთ თანამშრომლების ტრენინგს და მხარს ვუჭერთ თქვენს მონაცემთა დაცვის ოფიცერს ან მონაცემთა დაცვაზე პასუხისმგებელ პირს.
7. კლიენტების აუდიტების მხარდაჭერა. გეხმარებით ევროკავშირის კლიენტების კითხვარებზე პასუხის გაცემასა და ადგილზე ჩატარებულ აუდიტებში.

ვადები დამოკიდებულია დამუშავების საქმიანობების, კლიენტებისა და სისტემების რაოდენობაზე. გეგმაზე პირველი შეფასების შემდეგ ვთანხმდებით.

სერტიფიცირება და მტკიცებულებები

არ არსებობს ზოგადი „GDPR სერტიფიკატი“, რომელსაც ევროკავშირის კლიენტები შესაბამისობის მტკიცებულებად აღიარებენ. პრაქტიკაში ქართული კომპანიები კონფიდენციალურობის სფეროში სიმწიფეს აჩვენებენ ISO/IEC 27701-ის სერტიფიკატით, რომელიც ISO/IEC 27001-ის ინფორმაციული უსაფრთხოების სისტემას ეფუძნება, ასევე ხელმოწერილი შეთანხმებებითა და დოკუმენტირებული ჩანაწერებით. დეტალებისთვის წაიკითხეთ, როგორ შევუსაბამოთ საქართველოს პერსონალურ მონაცემთა დაცვის კანონი ISO 27701-ს, და ISO 27001 საზღვარგარეთ გამყიდველი ქართული IT კომპანიებისთვის.

თქვენი კლიენტებისა და მონაცემთა ნაკადების განსახილველად გამოგვიგზავნეთ მოკლე აღწერა მოთხოვნის ფორმით ან მისამართზე info@baltum.org.

ხშირად დასმული კითხვები

ევროკავშირის კლიენტებისთვის მხოლოდ კონტრაქტორად ვმუშაობთ. ვრცელდება თუ არა ჩვენზე GDPR?

როგორც წესი, თქვენ უფლებამოსილი პირი ხართ. ევროკავშირის კლიენტები ვალდებული არიან, ხელშეკრულებით დაგაკისრონ GDPR-ის დონის ვალდებულებები, მათ შორის უსაფრთხოება, კონფიდენციალურობა, ქვეუფლებამოსილი პირების ჩართვის დამტკიცება და ინციდენტების შესახებ შეტყობინება. პრაქტიკაში ხელშეკრულებების შესანარჩუნებლად ეს მოთხოვნები უნდა შეასრულოთ.

გვჭირდება თუ არა წარმომადგენელი ევროკავშირში?

მხოლოდ იმ შემთხვევაში, თუ GDPR თქვენზე პირდაპირ ვრცელდება მე-3 მუხლის მე-2 პუნქტის მიხედვით, მაგალითად, იმიტომ, რომ ევროკავშირში მყოფ პირებს ყიდით ან მათ ქცევას აკვირდებით, და გამონაკლისი არ მოქმედებს. ამას თითოეულ შემთხვევაში ინდივიდუალურად ვაფასებთ.

ნიშნავს თუ არა საქართველოს კანონთან შესაბამისობა GDPR-თან შესაბამისობას?

ავტომატურად არა. ორი კანონი ერთმანეთთან ახლოსაა, მაგრამ განსხვავებებია მოქმედების სფეროში, ზღვრებსა და გადაცემის წესებში. პრაქტიკული გამოსავალია ერთი გაერთიანებული პროგრამა, რომელიც ორივეს მოიცავს.

არსებობს თუ არა GDPR სერტიფიკატი, რომელიც კლიენტებს შეგვიძლია ვაჩვენოთ?

ფართოდ აღიარებული ზოგადი GDPR სერტიფიკატი არ არსებობს. ISO/IEC 27701-ისა და ISO/IEC 27001-ის სერტიფიკატები, ხელმოწერილი შეთანხმებები და განახლებული ჩანაწერები ის მტკიცებულებებია, რომლებსაც ევროკავშირის კლიენტები, როგორც წესი, იღებენ.