პერსონალური მონაცემების დამუშავება იწყება სამართლებრივი საფუძვლის, მიზნისა და შენახვის ვადის განსაზღვრით; კონფიდენციალურობის ტექსტი მხოლოდ ერთი ნაწილია.
ნორმატიული საფუძველი: კანონი „პერსონალურ მონაცემთა დაცვის შესახებ“
DPO და პასუხისმგებლობების განაწილება
მონაცემთა დაცვის ოფიცრის დანიშვნის საკითხი არ უნდა გადაწყდეს მხოლოდ იმით, რამდენი თანამშრომელი ჰყავს კომპანიას. საჭიროა დამუშავების საქმიანობის, სუბიექტთა კატეგორიების, მასშტაბის და კანონით ჩამოთვლილი საფუძვლების გაანალიზება. ოფიცრის დანიშვნა კომპანიას არ ათავისუფლებს დამუშავების კანონიერების უზრუნველყოფის ვალდებულებისგან.
ბიზნესს პრაქტიკულად სჭირდება დამუშავების პროცესების რუკა: კანდიდატების CV, დასაქმებულის ფაილები, ვიდეოთვალთვალი, ვებფორმები, მარკეტინგული სია და კონტრაქტორებისთვის გადაცემული მონაცემები. თითოეულ პროცესს განუსაზღვრეთ მიზანი, სამართლებრივი საფუძველი, შენახვის ვადა, წვდომის მქონე პირი და წაშლის პროცედურა.
კანონის შესაბამისი მუხლიმონაცემთა ინვენტარიზაცია და საფუძველი
მონაცემის კატეგორიები გამოყავით ცალკე: თანამშრომლები, მომხმარებლები, მიმწოდებლები, საიტის ვიზიტორები. თითოეულზე მიუთითეთ დამუშავების მიზანი, სამართლებრივი საფუძველი, შენახვის პერიოდი, წვდომის მქონე თანამშრომლები და მესამე მხარეები. მაგალითად, ხელფასის ჩარიცხვისათვის აუცილებელი საბანკო ანგარიში და მარკეტინგული შეტყობინების მისამართი ერთსა და იმავე წესს ვერ დაექვემდებარება.
DPO: როდის არის აუცილებელი
პერსონალურ მონაცემთა დაცვის ოფიცრის საჭიროება უნდა გადაწყდეს ქართული კანონის შესაბამისი კატეგორიების და საქმიანობის ტიპის მიხედვით, არა ყველა კომპანიაზე გავრცელებული ავტომატური წესით. თუ ოფიცერი ინიშნება, განსაზღვრეთ მისი დამოუკიდებლობა, ინტერესთა კონფლიქტის თავიდან აცილება, ანგარიშგების არხი და მონაცემთა სუბიექტის საკონტაქტო მისამართი.
GDPR-ის ტერიტორიული ფარგლები
ევროკავშირის GDPR საქართველოს კანონს ავტომატურად არ ანაცვლებს. თუმცა ევროკავშირში მყოფი პირებისთვის საქონლის ან მომსახურების შეთავაზება ან მათი ქცევის მონიტორინგი შესაძლოა GDPR-ის ექსტრატერიტორიულ გამოყენებას უკავშირდებოდეს. მხოლოდ საიტის ინგლისური ენა ან ევროპელი ვიზიტორი თავისთავად საკმარისი მტკიცებულება არ არის; შეამოწმეთ დამიზნება, სერვისის მიწოდება და ანალიტიკა.
ინციდენტი და მოთხოვნებზე პასუხი
შექმენით ინციდენტების ჟურნალი: აღმოჩენის დრო, რომელი მონაცემი დაზიანდა, რამდენი ადამიანი დაზარალდა, ვის ჰქონდა წვდომა და როგორ შეიზღუდა რისკი. ცალკე განსაზღვრეთ მონაცემის გაცნობის, გასწორებისა და წაშლის მოთხოვნის მიღების პროცესი. შეტყობინების ვადები გადაამოწმეთ მოქმედ ქართულ კანონთან და საჭიროებისას GDPR-თან, რათა სხვადასხვა რეჟიმის საათები არ აგერიოთ.
კონტრაქტი დამუშავებაზე
თუ მომხმარებელთა მონაცემებს ამუშავებს CRM, ელფოსტის, ჰოსტინგის ან ბუღალტრული მომსახურების კომპანია, აღწერეთ დამუშავების ინსტრუქციები, უსაფრთხოების მოთხოვნები, ქვეპროცესორები, მონაცემთა დაბრუნება და ინციდენტის შეტყობინება. პრაქტიკული შეცდომაა პოსტფაქტუმ შეტყობინება ისე, რომ ხელშეკრულებაში წვდომის ფარგლები საერთოდ არ არის განსაზღვრული.