Соответствие GDPR для компаний в Грузии

Когда GDPR распространяется на грузинскую компанию

Общий регламент ЕС по защите данных (GDPR) может применяться к компании, у которой нет офиса в ЕС. Согласно статье 3(2), он действует, если компания за пределами ЕС предлагает товары или услуги людям, находящимся в ЕС, или отслеживает их поведение там. Кроме того, многие грузинские IT-компании, аутсорсинговые компании и поставщики услуг аутсорсинга бизнес-процессов (BPO) обрабатывают персональные данные по поручению клиентов из ЕС. В этом случае обязательства по GDPR остаются за клиентом из ЕС, и он передаёт их грузинскому обработчику через договор об обработке данных по статье 28.

В отношении Грузии нет решения ЕС об адекватности уровня защиты. Когда клиент из ЕС передаёт персональные данные грузинской компании, такая передача обычно основана на стандартных договорных условиях Европейской комиссии и оценке последствий передачи. Клиенты из ЕС попросят вас подписать эти условия и ответить на вопросы о мерах безопасности и о доступе государственных органов к данным.

Как с этим соотносится грузинский закон

Закон Грузии «О защите персональных данных», принятый в июне 2023 года и действующий с 1 марта 2024 года, во многом следует GDPR: правовые основания обработки, права субъектов данных, ответственные за защиту данных, оценка воздействия на защиту данных, учёт инцидентов и уведомление о значительных инцидентах в течение 72 часов. С марта 2026 года надзор осуществляет Государственная аудиторская служба Грузии, к которой перешли функции Службы по защите персональных данных.

Между двумя законами остаются различия в определениях, пороговых значениях, правилах передачи данных и процедурах, поэтому мы не считаем их одинаковыми. Наш подход: один комплект политик и записей, который по каждому пункту отвечает более строгому требованию, с пометками там, где грузинские или европейские правила требуют чего-то особого.

Кому нужна эта услуга

• IT-компаниям и разработчикам программного обеспечения, которые создают или размещают системы для клиентов из ЕС.
• Поставщикам услуг BPO, контакт-центрам и бэк-офисам в Тбилиси и Батуми, работающим с данными клиентов из ЕС.
• Интернет-магазинам, туристическим и гостиничным компаниям, которые продают напрямую жителям ЕС.
• Грузинским дочерним компаниям европейских групп, обязанным соблюдать групповые правила защиты данных.

Что делает BALTUM

1. Анализ применимости и роли. Определяем, распространяется ли GDPR на вас напрямую, как на контролёра по статье 3(2), или косвенно, как на обработчика, и нужен ли вам представитель в ЕС по статье 27.
2. Карта данных. Составляем реестр операций обработки, который охватывает и GDPR, и грузинский закон.
3. Оценка несоответствий. Сравниваем текущую практику с требованиями обоих законов и расставляем приоритеты.
4. Документация. Уведомления о конфиденциальности, договоры об обработке данных, стандартные договорные условия и оценки последствий передачи, процедура обработки запросов субъектов данных, график сроков хранения, методика DPIA и процедура реагирования на инциденты со сроком 72 часа по обоим законам.
5. Меры безопасности. Проверяем технические и организационные меры на соответствие статье 32, часто принимая за основу меры ISO/IEC 27001.
6. Обучение и поддержка ответственного за защиту данных. Обучаем сотрудников и поддерживаем вашего ответственного за защиту данных (DPO) или лицо, отвечающее за это направление.
7. Сопровождение проверок клиентов. Помогаем отвечать на опросники клиентов из ЕС и проходить их выездные аудиты.

Продолжительность зависит от количества операций обработки, клиентов и систем. План мы согласуем после первичной оценки.

Сертификация и подтверждение

Общего «сертификата GDPR», который клиенты из ЕС признавали бы доказательством соответствия, не существует. На практике грузинские компании подтверждают зрелость в вопросах защиты данных сертификатом ISO/IEC 27701 поверх системы информационной безопасности по ISO/IEC 27001, а также подписанными договорами и актуальными записями. Подробнее читайте о том, как согласовать грузинский закон о персональных данных с ISO 27701, и об ISO 27001 для IT-компаний Грузии, работающих на зарубежные рынки.

Чтобы обсудить ваших клиентов и потоки данных, отправьте краткое описание через форму заявки или на info@baltum.org.

Частые вопросы

Мы работаем только как подрядчик для клиентов из ЕС. Распространяется ли на нас GDPR?

Как правило, вы выступаете обработчиком. Клиенты из ЕС обязаны по договору возложить на вас обязательства на уровне GDPR, включая безопасность, конфиденциальность, согласование субобработчиков и уведомление об инцидентах. На практике, чтобы сохранить контракты, эти требования нужно выполнять.

Нужен ли нам представитель в ЕС?

Только если GDPR распространяется на вас напрямую по статье 3(2), например потому что вы продаёте товары или услуги людям в ЕС или отслеживаете их поведение, и при этом исключения не применяются. Мы оцениваем каждый случай отдельно.

Если мы соблюдаем грузинский закон, значит ли это, что мы соблюдаем GDPR?

Не автоматически. Законы близки, но различаются по сфере действия, пороговым значениям и правилам передачи данных. Практичное решение: одна общая программа, которая охватывает оба закона.

Есть ли сертификат GDPR, который можно показать клиентам?

Общепризнанного сертификата GDPR нет. Клиенты из ЕС обычно принимают в качестве подтверждения сертификаты ISO/IEC 27701 и ISO/IEC 27001, подписанные договоры и актуальные записи.