პერსონალურ მონაცემთა დამუშავების პოლიტიკა

პერსონალურ მონაცემთა დაცვის პოლიტიკა

პრეამბულა

შპს მონაცემთა დაცვის ოფიცერი (შემდგომ - ორგანიზაცია) მიზნად ისახავს, პერსონალური მონაცემების დამუშავებისას პატივი სცეს და დაიცვას ადამიანის ძირითადი უფლებები და თავისუფლებები, მათ შორის, პირადი და ოჯახური ცხოვრების, პირადი სივრცისა და კომუნიკაციის ხელშეუხებლობის უფლებები.

ამ პოლიტიკით განსაზღვრულია ის ძირითადი ღონისძიებები, რომლითაც ორგანიზაცია უზრუნველყოფს მის მიერ DPO Care Card-ის ფაგლებში პერსონალურ მონაცემთა დამუშავების პროცესების „პერსონალურ მონაცემთა დაცვის შესახებ“ საქართველოს კანონთან (შემდგომში - კანონი) შესაბამისობას, ზემოაღნიშნული მიზნის მისაღწევად.

 

მუხლი 1. მოქმედების სფერო

წინამდებარე პოლიტიკა ვრცელდება ორგანიზაციის მიერ DPO Care Card-ის ფაგლებში პერსონალური მონაცემების (შემდგომში - მონაცემები) დამუშავების ყველა პროცესზე, მათ შორის, თანადამუშავებისთვის პასუხისმგებელ პირებთან ერთად და დამუშავებაზე უფლებამოსილი პირების მეშვეობით წარმართულ პერსონალური მონაცემების დამუშავების პროცესებზე.

 

მუხლი 2. ტერმინთა განმარტება

წინამდებარე პოლიტიკაში გამოყენებულ ტერმინებს აქვთ კანონით განსაზღვრული მნიშვნელობა.

 

მუხლი 3. მონაცემთა დამუშავების პრინციპები

1. ორგანიზაცია მონაცემებს ამუშავებს კანონის შესაბამისად, კანონით განსაზღვრული მონაცემთა დამუშავების საფუძვლის არსებობის პირობებში და შემდეგი პრინციპების დაცვით:

ა) მონაცემები უნდა დამუშავდეს კანონიერად, სამართლიანად, გამჭვირვალედ და მონაცემთა სუბიექტის ღირსების შეულახავად;

ბ) მონაცემები უნდა შეგროვდეს მხოლოდ კონკრეტული, მკაფიოდ განსაზღვრული და ლეგიტიმური მიზნისთვის და არ უნდა იქნეს გამოყენებული ამ მიზანთან შეუთავსებელი მიზნით;

გ) მონაცემები უნდა დამუშავდეს მხოლოდ იმ მოცულობით, რომელიც აუცილებელია შესაბამისი ლეგიტიმური მიზნის მისაღწევად;

დ) მონაცემები უნდა იყოს ნამდვილი, ზუსტი და, საჭიროების შემთხვევაში, განახლებული;

ე) მონაცემები შენახულ უნდა იქნეს მხოლოდ იმ ვადით, რაც აუცილებელია მონაცემთა დამუშავების შესაბამისი ლეგიტიმური მიზნის მისაღწევად;

ვ) მონაცემების არამართლზომიერი დამუშავებისგან დასაცავად მიღებულ უნდა იქნეს თანმდევი საფრთხეების შესაბამისი ტექნიკური და ორგანიზაციული ზომები.

2. ორგანიზაცია უზრუნველყოფს მონაცემების დამუშავებას იმგვარად, რომ შეძლოს პროცესის ზემოთ ჩამოთვლილ პრინციპებთან შესაბამისობის დასაბუთება.

 

მუხლი 4. კანონიერად დამუშავების უზრუნველმყოფი ძირითადი ღონისძიებები

მონაცემების ამ პოლიტიკის მე-3 მუხლის შესაბამისად დამუშავებისთვის, ორგანიზაცია:

ა) მონაცემების უსაფრთხოების უზრუნველსაყოფად იღებს საფრთხეების შესაბამის ტექნიკურ და ორგანიზაციულ ზომებს, მათ შორის, განსაზღვრავს ორგანიზაციაში არსებული თითოეული ინფორმაციული აქტივის მფლობელს და უზრუნველყოფს ინფორმაციულ აქტივებზე წვდომების კონტროლს;

ბ) უზრუნველყოფს ორგანიზაციაში დასაქმებული პირების პერიოდულ გადამზადებას მონაცემთა დაცვის წესებთან დაკავშირებით;

გ) ინციდენტის აღმოჩენის შემთხვევაში, ინციდენტით გამოწვეული სავარაუდო ზიანის შემცირების ან აღმოფხვრის მიზნით უზრუნველყოფს დროულ რეაგირებას და ინციდენტის შესახებ მონაცემთა სუბიექტების კანონით დადგენილი წესით ინფორმირებას;

დ) გამჭვირვალობის პრინციპის შესაბამისად, მონაცემთა სუბიექტების ინფორმირების მიზნით, ორგანიზაციის ვებგვერდზე საჯაროდ ხელმისაწვდომად ათავსებს ინფორმაციას მის მიერ მონაცემთა დამუშავების პროცესების შესახებ. ასევე, საჭიროების შემთხვევაში, ორგანიზაცია მიმართავს დამატებით ზომებს მონაცემთა სუბიექტების ინფორმირებისთვის;

ე) ორგანიზაციაში დასაქმებული პირების ინფორმირების მიზნით, მათთვის ხელმისაწვდომად ათავსებს ინფორმაციას ორგანიზაციის მიერ მათი მონაცემების დამუშავების პროცესების შესახებ;

ვ) უზრუნველყოფს კანონით გათვალისწინებული უფლებების რეალიზების მიზნით ორგანიზაციაში მონაცემთა სუბიექტების მიერ წარმოდგენილ მომართვებზე დროულ და ჯეროვან რეაგირებას;

ზ) აფასებს მონაცემთა დამუშავების შედეგად ადამიანის ძირითადი უფლებების და თავისუფლებების შელახვის საფრთხის შექმნის ალბათობას და, მაღალი ალბათობის გამოვლენის შემთხვევაში, ახორციელებს მონაცემთა დაცვაზე ზეგავლენის შეფასებას;

თ) ყველა პროდუქტში, პროექტში და მომსახურებაში ითვალისწინებს მონაცემთა მეტად დაფარვის პრიორიტეტს;

ი) კანონის შესაბამისად აღრიცხავს მის მიერ მონაცემთა დამუშავებასთან დაკავშირებულ ინფორმაციას;

კ) დამუშავებაზე უფლებამოსილი პირების მეშვეობით მონაცემებს ამუშავებს მხოლოდ სამართლებრივი აქტის ან/და წერილობითი შეთანხმების საფუძველზე, რომლითაც მკაფიოდ განსაზღვრავს დამუშავების საფუძვლებს და მიზნებს, დასამუშავებელ მონაცემთა კატეგორიებს, დამუშავების ვადას და მხარეთა ვალდებულებებს;

ლ) უზრუნველყოფს სხვა შესაბამისი ღონისძიებების გატარებას.

 

მუხლი 5. აღსრულება

1. ამ პოლიტიკის მე-4 მუხლით გათვალისწინებული ღონისძიებების უზრუნველსაყოფად ორგანიზაცია შეიმუშავებს დამატებით წერილობით დოკუმენტებს და იღებს სხვა შესაბამის ზომებს.
2. ორგანიზაციის მიერ მონაცემთა წინამდებარე პოლიტიკის შესაბამისად დამუშავების მიმართ წარმოშობილი რისკების იდენტიფიცირების და სათანადო ღონისძიებების გატარების კოორდინირების მიზნით:

ა) პერსონალურ მონაცემთა დაცვის ოფიცერი - ახორციელებს ორგანიზაციის მიერ მონაცემთა დამუშავების პროცესების კანონთან და წინამდებარე პოლიტიკასთან შესაბამისობის მონიტორინგს და გასცემს შესაბამის რეკომენდაციებს;

ბ) ინფორმაციული აქტივის მფლობელები - უზრუნველყოფენ მათ მფლობელობაში არსებული, მონაცემების შემცველი ინფორმაციული აქტივების კანონთან და წინამდებარე პოლიტიკასთან შესაბამისობას.

 

მუხლი 6. გადახედვა

ეს პოლიტიკა გადაიხედება სულ მცირე, წელიწადში ერთხელ, საჭიროების შემთხვევაში, მასში სათანადო ცვლილებების შეტანის გზით