Закон Грузии о персональных данных и ISO 27701: как их согласовать

Закон Грузии «О защите персональных данных» устанавливает правовые обязательства. ISO/IEC 27701 даёт систему менеджмента, которая помогает их выполнять и подтверждать. Применяя их вместе, вы избегаете двух параллельных проектов по соответствию.

Коротко о законе

Парламент принял действующий Закон Грузии «О защите персональных данных» 14 июня 2023 года. Большая часть его положений применяется с 1 марта 2024 года, а положения об ответственных за защиту данных с 1 июня 2024 года. Закон значительно приблизил грузинские правила к GDPR: более чёткие правовые основания, расширенные права субъектов данных, уведомление об инцидентах, оценки воздействия и обязательные ответственные за защиту данных для ряда организаций.

Изменился и надзор. По поправкам, принятым в конце 2025 года, функции Службы по защите персональных данных в марте 2026 года перешли к Государственной аудиторской службе Грузии. Уведомления, регистрация ответственных за защиту данных и жалобы теперь направляются туда. Прежде чем пользоваться старыми шаблонами или формами, проверьте актуальные разъяснения Государственной аудиторской службы.

Обязательства, для которых нужен процесс, а не только политика

• Ответственный за защиту данных (DPO). Обязателен для государственных учреждений, коммерческих банков, страховщиков, микрофинансовых организаций, кредитных бюро, компаний электронных коммуникаций, авиакомпаний, аэропортов и медицинских учреждений, а также для организаций, обрабатывающих данные большого числа людей или осуществляющих систематический мониторинг. Сведения об ответственном нужно сообщить надзорному органу в течение 10 рабочих дней после назначения или замены.
• Реагирование на инциденты. Контролёры обязаны регистрировать каждый инцидент с персональными данными и уведомлять надзорный орган в течение 72 часов с момента, когда о нём стало известно, если только инцидент вряд ли причинит значительный вред. Обработчики должны немедленно сообщить контролёру. При высоком риске нужно также уведомить затронутых лиц.
• Оценки воздействия. Обработка с высоким риском требует документированной оценки до её начала.
• Иностранные контролёры. Контролёру или обработчику за пределами Грузии, который использует технические средства в Грузии, может потребоваться назначить и зарегистрировать специального представителя; исключения предусмотрены для организаций из ЕС и ЕЭЗ и из стран, признанных обеспечивающими надлежащий уровень защиты.
• Трансграничная передача. Допускается в страны или организации с надлежащими гарантиями либо на других основаниях, предусмотренных законом, например при договорных гарантиях.
• Права субъектов данных. Для доступа, исправления, удаления, ограничения обработки, возражения и переносимости данных нужны ответственное лицо, канал для обращений и записи об ответах.

Место ISO/IEC 27701

ISO/IEC 27701:2025 это самостоятельный стандарт системы управления информацией о конфиденциальности (PIMS). Прежние редакции можно было сертифицировать только как расширение ISO/IEC 27001; редакцию 2025 года можно внедрять отдельно, хотя многие организации по-прежнему совмещают её с действующей СМИБ. Сертификаты, выданные по редакции 2019 года, должны быть переведены на новую редакцию до октября 2028 года.

Стандарт не является грузинским законом, а сертификация не означает, что надзорный орган вас одобрил. Его ценность в том, что работа, которую подразумевает закон, становится организованной, распределённой по ответственным, измеряемой и ежегодно проверяемой.

Как соотнести закон с системой менеджмента

1. Сначала реестр. Составьте реестр операций обработки: цели, правовые основания, категории данных и субъектов, получатели, передачи и сроки хранения. Грузинский закон не устанавливает общей обязанности регистрации, но без этого реестра вы не сможете ответить ни инспектору, ни субъекту данных. ISO/IEC 27701 его ожидает.
2. Роли. Определите, где вы контролёр, а где обработчик. Тбилисская компания, которая ведёт расчёт заработной платы для клиентов, обычно является обработчиком для своих клиентов и контролёром для своих сотрудников. Меры PIMS для каждой роли различаются.
3. Оценка рисков. Расширьте оценку рисков информационной безопасности на риски для конфиденциальности отдельных людей и используйте её, чтобы решать, когда нужна оценка воздействия.
4. Процедура реагирования на инциденты. Одна процедура для инцидентов безопасности и инцидентов с персональными данными, с отсчётом времени с момента, когда вам стало известно об инциденте, и этапом принятия решения об уведомлении Государственной аудиторской службы в течение 72 часов.
5. Контроль поставщиков и передачи данных. Договорные условия для обработчиков, перечень передач за пределы Грузии и основание для каждой из них.
6. Ответственный за защиту данных и подотчётность. Документально закреплённые роль, независимость и порядок подчинения ответственного; анализ со стороны руководства, охватывающий результаты в области защиты персональных данных.
7. Доказательства. Записи об обучении, пересмотры прав доступа, ответы на запросы субъектов данных и результаты аудитов дают вам, что показать и органу по сертификации, и регулятору.

Если вы также обслуживаете клиентов из ЕС

Многие грузинские IT-компании и аутсорсинговые компании обрабатывают данные жителей ЕС. В этом случае к такой обработке наряду с грузинским законом применяется GDPR. Одна система управления конфиденциальностью может охватывать оба режима, если в реестре законодательных требований указаны оба. На нашей странице о GDPR описано, что клиенты из ЕС обычно запрашивают в договорах и на аудитах.

Чем помогает BALTUM

Мы начинаем с оценки несоответствий относительно грузинского закона и ISO/IEC 27701, составляем реестр операций обработки, выстраиваем процедуры реагирования на инциденты и обработки запросов субъектов данных, обучаем ответственного за защиту данных и персонал и проводим внутренний аудит перед сертификацией в аккредитованном органе. Область и продолжительность определяются после первичной оценки. Подробнее на нашей странице ISO 27701.

Эта статья носит общий информационный характер и не является юридической консультацией. Для оценки вашей организации воспользуйтесь формой на этом сайте или напишите на info@baltum.org.

Частые вопросы

Кто осуществляет надзор за защитой персональных данных в Грузии в 2026 году?

С марта 2026 года функции бывшей Службы по защите персональных данных выполняет Государственная аудиторская служба Грузии, в том числе принимает уведомления об инцидентах и регистрирует ответственных за защиту данных.

Подтверждает ли сертификат ISO 27701 соответствие грузинскому закону?

Нет. Он показывает, что у вас действует проверяемая аудитом система управления конфиденциальностью. Соответствие закону это отдельный правовой вопрос, но система даёт большую часть доказательств, которые запросил бы регулятор.

Можно ли сертифицироваться по ISO 27701 без ISO 27001?

Да. Редакция 2025 года является самостоятельным стандартом. Организации, у которых уже есть ISO 27001, часто совмещают два стандарта, чтобы повторно использовать управление рисками и меры обеспечения безопасности.

Другие статьи в блоге BALTUM