სს ოპპა

პერსონალური მონაცემების დაცვისა და უსაფრთხოების პოლიტიკა

პროცედურა

შესაბამისობის დეპარტამენტი

6/25/2024

  

 

შიდა რეგულაციის დეტალები

შიდა რეგულაციის დასახელება	პერსონალური მონაცემების დაცვისა და უსაფრთხოების პოლიტიკა;
კომპანია:	სს ოპპა;
საიდენტიფიკაციო კოდი:	248429598;
პასუხისმგებელი დანაყოფი/ქვე-დანაყოფი:	კომპანიის შესაბამისობის დეპარტამენტი - იურიდიული განყოფილება;
იდენტიფიკატორი/დოკუმენტი ნომერი:	DP001-06.24;
ტიპი:	პოლიტიკა;
კატეგორია:	ზოგადი;
ავტორი:	შპს ფორესი (ს/კ: 406310291);
დოკუმენტის მფლობელი:	კომპანიის  შესაბამისობის დეპარტამენტი - იურიდიული განყოფილება;
დამტკიცების თარიღი:	25.06.2024;
ძალაშია :	განუსაზღვრელი ვადით;

დოკუმენტის ისტორია
ვერსია	შეცვლის მიზეზი	დამტკიცების თარიღი	დამტკიცებულია
1.0	საწყისი ვერსია

 

შემფასებლები
დოკუმენტი განიხილა და შეაფასა:	სს ოპპას შესაბამისობის დეპარტამენტი - იურიდიული განყოფილება;       შპს ფორესი - პერსონალური მონაცემების დაცვის ოფიცერი/დირექტორი სალომე ჯოჯუა;

 

დამტკიცებები
დამამტკიცებელი ორგანო	სს ოპპა-ს დირექტორთა საბჭოს თავმჯდომარე - ლევან კირვალიძე;

 

 

გავრცელების არეალი

კომპანიის ყველა თანამშრომლისთვის;

 

 სარჩევი

1.   ზოგადი დებულებები

1.1.     მიზანი და მოცულობა

1.2.     ვის ეხება პოლიტიკა

2.   განმარტებები და შემოკლებები

3.   კომპანიის მიზნები

4.   მოქმედი კანონმდებლობა

5.   პერსონალური მონაცემები

6.   კომპანიის მიერ განხორციელებული საქმიანობის ფარგლებში პერსონალური მონაცემების დამუშავების ძირითადი ოპერაციები და დამუშავების მიზანი

6.1.     დამუშავების ძირითადი ოპერაციები/ოპერაციების ნაკრები

6.2.     პერსონალური მონაცემების დამუშავების მიზანი

7.   პერსონალური მონაცემების გამოყენება

8.   პერსონალურ მონაცემთა დაცვის ოფიცერი

9.   მონაცემთა დაცვის პრინციპები

10.            დამუშავებული მონაცემთა სუბიექტების უფლებები

11.            კომპანიის მიერ განხორციელებული ტექნიკური და ორგანიზაციული ღონისძიებები, რათა უზრუნველყოს მონაცემთა „კონფიდენციალურობა სისტემურად დაგეგმარებისას“ (Privacy by Design) და “კონფიდენციალურობა პირველადი პარამეტრების დონეზე” (Privacy by Default)

12.            დამუშავების უსაფრთხოება. მონაცემთა დაცვა და უსაფრთხოების ინციდენტები

13.            ტრენინგი პერსონალური მონაცემების დაცვისა და უსაფრთხოების შესახებ

14.            CCTV და წვდომის კონტროლის სპეციფიკური საკითხები

15.            შესაბამისობა, დისციპლინარული პროცედურები

16.            დასკვნითი დებულებები 

 

1. ზოგადი დებულებები

1.1. მიზანი და მოცულობა

მოცემული პერსონალური მონაცემების დაცვისა და უსაფრთხოების პოლიტიკა (შემდგომში „პერსონალურ მონაცემთა დაცვის პოლიტიკა“ ან „პოლიტიკა“) ძირითადად მიმართულია სს ოპპა-ს („კომპანია“) პერსონალური მონაცემების დაცვასთან, რომელსაც კომპანია ამუშავებს თანამშრომლებთან, კლიენტებთან ან მონაცემთა სხვა სუბიექტებთან თავის საქმიანობაში. პერსონალურ მონაცემთა დაცვის პოლიტიკა დანერგილია და ის მკაცრად უნდა დაიცვან კომპანიის თანამშრომლებმა ან/და ბიზნესპარტნიორებმა, როდესაც ისინი ამუშავებენ პერსონალურ მონაცემებს სამსახურებრივი მოვალეობების შესრულებისას. კომპანია აგროვებს, ინახავს და იყენებს პერსონალურ მონაცემებს თავის ყოველდღიურ საქმიანობაში. ამრიგად, პერსონალური მონაცემები მუშავდება კანონის ფარგლებში, ისეთ შემთხვევებში, როგორებიცაა: ინდივიდუალური შრომითი ხელშეკრულებების ან იურიდიული ან კომერციული შეთანხმების შესრულება, რომლის მხარესაც წარმოადგენს კომპანია; მარკეტინგული და სხვა მიზნებისთვის, მოქმედი რეგულაციების მოთხოვნების შესაბამისად.

 

პერსონალური მონაცემების დაცვის შესახებ კანონის მოთხოვნების შესაბამისად, ისევე როგორც მასთან დაკავშირებული კანონმდებლობის თანახმად, კომპანიისთვის უაღრესად მნიშვნელოვანია საკუთარი თანამშრომლების, მომხმარებლების სახელშეკრულებო პარტნიორების პერსონალური მონაცემების დაცვა.

 

აღნიშნულ პოლიტიკაში მოცემულია პერსონალურ მონაცემთა დაცვის მინიმალური მოთხოვნები და ინსტრუქცია. ეს დოკუმენტი ასევე წარმოადგენს პერსონალური მონაცემების კონფიდენციალურობისა და მთლიანობის შესანარჩუნებლად საჭირო ორგანიზაციულ-ტექნიკური ღონისძიებების მიღებისა და განხორციელების საფუძველს.

 

1.2.          ვის ეხება პოლიტიკა

ეს პოლიტიკა განკუთვნილია და უნდა ეცნობოს სს ოპპას ყველა შვილობილ კომპანიას, თანადამმუშავებელ კომპანიას, თანამშრომლებს, მიუხედავად მონაცემთა მდებარეობისა თუ მოწყობილობის ტიპისა, რომელზედაც ისინი ინახება. ამიტომ, პოლიტიკით გათვალისწინებული წესები უნდა დაიცვას და გამოიყენოს ყველა თანამშრომელმა, კონტრაქტორმა, სს ოპპას-თან დაკავშირებულმა პირებმა და მესამე მხარეებმა, რომლებსაც აქვთ წვდომა კომპანიის მიერ შენახულ ან დამუშავებულ ინფორმაციაზე, ან/და IT სისტემებზე, რომლებიც გამოიყენება მათი შენახვისთვის და დამუშავებისთვის.

 

2. განმარტებები და შემოკლებები

კომპანია	სს ოპპა
ხელშეკრულება	ნებისმიერი ხელშეკრულება, რომლის ერთ-ერთ მხარეს წარმოადგენს კომპანია.
აქტივები	ნებისმიერი მატერიალური ან არამატერიალური აქტივი, რომელსაც ფლობს კომპანია.
ხელმისაწვდომობა	ნებისმიერმა საინფორმაციო სისტემამ თავისი მიზნის მისაღწევად უნდა დაუშვას ინფორმაციის ხელმისაწვდომობა, როდესაც ეს აუცილებელია. ამიტომ, ინფორმაციის შესანახად და დასამუშავებლად გამოყენებული საინფორმაციო სისტემები, უსაფრთხოების კონტროლი, რომელიც გამოიყენება მის დასაცავად და მასზე წვდომისთვის გამოყენებული საკომუნიკაციო არხები, სწორად უნდა მუშაობდეს.
ბიზნეს ერთეული	კომპანიის დეპარტამენტი, განყოფილება ან დანაყოფი, რომელიც ასახულია კომპანიის ორგანიზაციულ სქემაში (მაგ. მარკეტინგი, HR, ბუღალტერია, IT და ა.შ.).
კომპანიის მონაცემები/ინფორმაცია	მოიცავს, თუმცა არ შემოიფარგლება: კომპანიის მიერ წარმოებულ მონაცემებს/ინფორმაციას; მონაცემებს/ინფორმაციას, რომელზეც კომპანია ფლობს ინტელექტუალური საკუთრების უფლებებს; მონაცემებს/ინფორმაციას, რომელსაც კომპანია ფლობს ან ინახავს არქივებში; კომპანიიდან გაგზავნილ და კომპანიაში მიღებულ კომუნიკაციებს, განურჩევლად იმ მატარებლისა, რომელზეც ისინი ინახება, მაგ.: სისტემები, რომლებიც დაკავშირებულია კომპანიის კორპორატიულ მონაცემებთან ან სატელეფონო ქსელებთან; სისტემები, რომლებსაც მართავს კომპანია ან მესამე პირი კომპანიის სახელით; მობილური მოწყობილობები, რომლებიც გამოიყენება კომპანიის ქსელთან დასაკავშირებლად ან რომლებზეც ინახება კომპანიის მონაცემები; cloud სერვისებს, რომლებსაც მესამე მხარე ახორციელებს კომპანიის სახელით.
კომპიუტერი	ნებისმიერი კომპიუტერი ან ლეპტოპი, მობილური მოწყობილობა (მაგ. მობილური ტელეფონი, სმარტფონი, ტაბლეტი და ა.შ.), სერვერი ან/და სხვა შესანახი მოწყობილობა, რომელიც: i.             გამოყენებულია მომსახურების შესრულებისას ii.            შეიძლება გამოყენებულ იქნეს ქსელში ან ინფორმაციის მატარებელზე წვდომისთვის, ან iii.           კონფიდენციალურ ინფორმაციაზე წვდომის ან მისი შენახვის საშუალებას იძლება
კონფიდენციალური ინფორმაცია	ნებისმიერი ინფორმაცია, განურჩევლად ფორმატისა, რომელშიც ის წარმოდგენილია (მაგ. ზეპირად, ქაღალდზე ან სხვა არამატერიალურ ფორმატში), მათ შორის, მაგრამ არ შემოიფარგლება: მონაცემები, პერსონალური ინფორმაცია, ინტელექტუალური საკუთრება, პაროლები, ინფორმაცია კომპანიის მომხმარებლები, პროვაიდერების, პარტნიორებისა და პერსონალის შესახებ; ინფორმაცია კომპანიის პროდუქტების შესახებ, რომელიც ჯერ არ გასაჯაროვებულა. საგადახდო მომსახურების პროცესში განხორციელებული ტრანზაქციების, მათ შორის, მომხმარებლის ფულადი სახსრებისა და მასთან დაკავშირებული ინფორმაცია, აგრეთვე განხორციელებული ოპერაციის შესახებ (მათ შორის, ოპერაციის განხორციელების მცდელობის შემთხვევაში არსებული) ინფორმაცია;
კონფიდენციალურობა	ინფორმაციის უსაფრთხოების მოთხოვნების შესასრულებლად უზრუნველყოფა, რათა ის არ უნდა იყოს გამჟღავნებული საზოგადოებისთვის ან/და გადაცემული არაავტორიზებულ პირებზე, კომპანიებზე და არ უნდა იყოს გადაცემული/გამოყენებული ნებისმიერ არაავტორიზებულ პროცესებში.
ინფორმაციის საშუალება/მატარებელი	ინფორმაციის ნებისმიერი საშუალება/მატარებელი, მათ შორის, შემუშავება, ტესტირება, შედარებითი ანალიზი, დამხმარე აპლიკაციის ან ინფორმაციის მატარებლის შექმნა ან/და მხარდაჭერა, რომელზეც პროვაიდერს აქვს წვდომა კონტრაქტის მიხედვით ან რომელიც გამოიყენება სერვისების მიწოდებისთვის და შეიცავს ბიზნესთან დაკავშირებულ კონფიდენციალურ ან საკუთრებაში არსებულ ინფორმაციას.
ობიექტები	(ა) ნებისმიერი ოფისი, მონაცემთა ცენტრი და სხვა ლოკაცია (კომპანიის, კომპანიის ბიზნეს პარტნიორის, პროვაიდერის ან მესამე მხარის საკუთრებაში ან მართვაში), რომლებზეც კომპანიის კონფიდენციალურ ინფორმაციაზე, მედიასა თუ ქსელებზე წვდომა შეიძლება, ან (ბ) კომპანიის ნებისმიერი მუდმივი ან დროებითი დამუშავების ან შენახვის აქტივები.
საინფორმაციო ტექნოლოგიები  IT	კომპანიის საინფორმაციო ტექნოლოგიები (IT) კომპანიასა და მის პერსონალს სთავაზობთ ტექნოლოგიური და დამხმარე სერვისების ფართო სპექტრს. IT პასუხისმგებელია კომპანიის ინფრასტრუქტურის უზრუნველყოფაზე საიმედო, მოქნილი და უსაფრთხო ინფრასტრუქტურის შექმნასა და ინფორმაციული ტექნოლოგიების სერვისების მიწოდებაზე.
ინფორმაციული უსაფრთხოების ინციდენტი	ინციდენტი არის კომპანიის ინფორმაციის უსაფრთხოების პოლიტიკის ან წინამდებარე პოლიტიკის აშკარა ან ფარული დარღვევა: ·        სისტემაზე ან მის მონაცემებზე არაავტორიზებული წვდომის მოპოვების მცდელობები (წარუმატებელი ან წარმატებული); ·        მომსახურების არასასურველი შეწყვეტა ან შეჩერება; ·        სერვისის არასანქცირებული გამოყენება მონაცემების დამუშავების ან მათი შენახვის მიზნით; ·        ცვლილებები სისტემის ტექნიკაში, პროგრამულ უზრუნველყოფასა ან პროგრამული უზრუნველყოფის მახასიათებლებში მფლობელის ნებართვის, მითითების ან თანხმობის გარეშე.
უსაფრთხოების ინციდენტი, რომელიც გავლენას ახდენს მონაცემთა დაცვაზე	ინცირენტი - ნიშნავს პერსონალური მონაცემების უსაფრთხოების დარღვევას, რომელმაც გამოიწვია (შემთხვევით ან უკანონოდ) გაგზავნილი, შენახული ან სხვაგვარად დამუშავებული პერსონალური მონაცემების განადგურება, დაკარგვა, შეცვლა, მონაცემების უსაფრთხოების დარღვევა, მონაცემების შეგროვება/მოპოვება ან სხვაგვარი უნებერთვო დამუშავება ან არასანქცირებული გამჟღავნება, ან მათზე არაავტორიზებული წვდომა. ამ გარემოებების აღმოჩენა ფაქტობრივად წარმოადგენს უსაფრთხოების ინციდენტის აღმოჩენას, რომელიც გავლენას ახდენს მონაცემთა დაცვაზე.
მთლიანობა	ინფორმაციის უსაფრთხოებაში მონაცემთა მთლიანობა ნიშნავს მონაცემთა სიზუსტისა და მთლიანობის შენარჩუნებას და უზრუნველყოფას მთელი სიცოცხლის ციკლის განმავლობაში (მონაცემების შეცვლა შეუძლებელია ავტორიზაციის ან გამჟღავნების გარეშე).
პერსონალი	კომპანიის ყველა თანამშრომელი, კონტრაქტორი, ქვეკონტრაქტორი და წარმომადგენელი, რომლებსაც აქვთ წვდომა ობიექტებზე, ქსელებზე, მედიაზე ან/და კონფიდენციალურ ან საკუთრებაში არსებულ ინფორმაციაზე.
პროდუქტი	მზა პროდუქტი ან პროგრამული კომპონენტი, ან პროდუქტი, რომელიც შექმნილია, დამზადებულია ან მიეწოდება კომპანიას.
მომსახურება/სერვისები	კომპანიასა და მესამე მხარეს შორის დადებულ ხელშეკრულებაში, შეთანხმებაში ან საქმიანობის განრიგში განსაზღვრული სამუშაოები.
პროვაიდერი	კომპანია (მათ შორის მისი პერსონალი), რომელიც: i.             ახორციელებს მომსახურებას ხელშეკრულების საფუძველზე ან/და ii.            აქვს წვდომა კომპანიის ობიექტებზე, ქსელებზე, მედიაზე ან/და კონფიდენციალურ ან/და საკუთრებაში არსებულ ინფორმაციაზე.
სისტემური ადმინისტრატორი/მენეჯერი	ჯგუფი, რომელიც უზრუნველყოფს კომპანიის სისტემის ყოველდღიურ ტექნიკურ ფუნქციონირებას: მონაცემთა ბაზის მენეჯმენტს, პროგრამული უზრუნველყოფის გავრცელებას და განახლებას, ვერსიების კონტროლს, სარეზერვო ასლებს და აღდგენას, ვირუსებისგან დაცვას და შესაძლებლობების შესრულებას და დაგეგმვას. კომპანიაში ამ სერვისს უზრუნველყოფს  IT დეპარტამენტი
მომხმარებელი	პირი, რომელიც იყენებს სარგებლობს კომპანიის მომსახურებით.
პერსონალური მონაცემები	წარმოადგენს ნებისმიერ ინფორმაციას, რომელიც ეხება იდენტიფიცირებულ ან იდენტიფიცირებად ფიზიკურ პირს. იდენტიფიცირებადი ფიზიკური პირი არის ის, ვისი იდენტიფიცირებაც შესაძლებელია, პირდაპირ ან ირიბად, კერძოდ, ისეთი იდენტიფიკატორების გამოყენებით, როგორებიცაა: სახელი, გვარი, საიდენტიფიკაციო ნომერი, მდებარეობის მონაცემები, ონლაინ იდენტიფიკატორი ან ამ ფიზიკური პირის ფიზიკური, ფიზიოლოგიური, გენეტიკური, გონებრივი, ეკონომიკური, კულტურული ან სოციალური იდენტობის მახასიათებელი სპეციფიკური ერთი ან მეტი ფაქტორი.
იდენტიფიცირებული	როგორც წესი, ნიშნავს სახელით იდენტიფიცირებულს, მაგრამ იდენტიფიკაცია არ შემოიფარგლება პირის სახელითა და გვარით, არამედ „პერსონალური მონაცემების“ ტერმინი მოიცავს მონაცემთა სუბიექტის იდენტობის ყველა ელემენტს, როგორც ზემოთ იყო ჩამოთვლილი.
იდენტიფიცირებადი	ნიშნავს, რომ პირის იდენტიფიცირება შესაძლებელია იმ ელემენტების/მონაცემების ანალიზით, რომლებიც უკვე არის ხელმისაწვდომი ან მოიპოვება სხვა წყაროებიდან.
მონაცემთა სუბიექტი	არის ფიზიკური პირი, რომლის პერსონალურ მონაცემებს ამუშავებს კომპანია (მაგ.: თანამშრომლები, მომხმარებლები ან ბიზნესპარტნიორები – ფიზიკური პირები).
პერსონალური მონაცემების დამუშავება	ნიშნავს ნებისმიერ ოპერაციას ან ოპერაციების ერთობლიობას, რომელიც შესრულებულია პერსონალურ მონაცემებზე ან პერსონალურ მონაცემთა ჯგუფებზე, ავტომატური ან სხვა საშუალებებით, როგორიცაა შეგროვება, ჩაწერა, ორგანიზება, სტრუქტურირება, შენახვა, ადაპტაცია ან შეცვლა, მოძიება, კონსულტაცია, გამოყენება, გამჟღავნება, გავრცელება ან სხვაგვარად ხელმისაწვდომობა, ჩასწორება ან გაერთიანება, შეზღუდვა, წაშლა ან განადგურება და სხვა.
პერსონალური მონაცემების შენახვის სისტემა	პერსონალური მონაცემების ნებისმიერი სტრუქტურირებული ნაკრები, რომელიც ხელმისაწვდომია კონკრეტული კრიტერიუმების მიხედვით, იქნება ეს ცენტრალიზებული, დეცენტრალიზებული თუ განაწილებული ფუნქციონალური ან გეოგრაფიული ლოგიკით.
საჩივარი	ნიშნავს საჩივარს, განცხადებას, რომლითაც მონაცემთა სუბიექტი ახორციელებს პერსონალური მონაცემების დაცვის უფლებების რეალიზაციას მოქმედი რეგულაციებით.
ფსევდონიმიზირებული მონაცემები	ნიშნავს პერსონალური მონაცემების დამუშავებას ისე, რომ პერსონალური მონაცემები აღარ შეიძლება მიეკუთვნოს მონაცემთა კონკრეტულ სუბიექტს დამატებითი ინფორმაციის გამოყენების გარეშე, იმ პირობით, რომ ასეთი დამატებითი ინფორმაცია ინახება ცალკე და ექვემდებარება ტექნიკურ და ორგანიზაციულ ზომებს, რათა უზრუნველყოს, რომ პერსონალური მონაცემები არ მიეკუთვნებოდეს იდენტიფიცირებულ ან იდენტიფიცირებად ფიზიკურ პირს.
მონაცემთა დეპერსონალიზაცია	მონაცემთა იმგვარი დამუშავება, როდესაც შეუძლებელია მონაცემთა სუბიექტთან მათი დაკავშირება ან ასეთი კავშირის დადგენა არაპროპორციულად დიდ ძალისხმევას, ხარჯებს ან/და დროს საჭიროებს.“ანონიმური მონაცემები არ წარმოადგენს პერსონალურ მონაცემებს.
დამუშავებისთვის პასუხისმგებელი პირი	არის ფიზიკური, კერძო ან საჯარო იურიდიული პირი, მათ შორის საჯარო ორგანოები, დაწესებულებები და მათი ტერიტორიული ერთეულები, რომელიც განსაზღვრავს პერსონალური მონაცემების დამუშავების მიზნებსა და საშუალებებს. უშუალოდ ან დამუშავებაზე უფლებამოსილი პირის მეშვეობით ახორციელებს მონაცემთა დამუშავებას
დამუშავებაზე უფლებამოსილი პირი	არის ფიზიკური, კერძო ან საჯარო იურიდიული პირი, რომელიც ამუშავებს პერსონალურ მონაცემებს კომპანიისთვის და კომპანიის სახელით. ეს შეიძლება იყოს კომპანიის პროვაიდერი ან მისი შვილობილი კომპანია, რომელსაც წვდომა აქვთ მონაცემთა სუბიექტების მონაცემებზე. მაგ.: სასწავლო სერვისის პროვაიდერი, სარეკლამო სააგენტო ან სხვა კომპანია, რომელიც ამუშავებს პერსონალურ მონაცემებს კომპანიის სახელით.
მონაცემთა თანადამმუშავებელი	კომპანიასთან ერთად დამუშავებისთვის პასუხისმგებელი პირი, რომელთან ერთადაც, მხარეები ერთობლივად განსაზღვრავენ მონავემთა დამუშავების მიზნებსა და საშუალებებს.
მონაცემთა მიმღები	შეიძლება იყოს საჯარო ორგანო ან სხვა ორგანო, რომელსაც გადაეცა პერსონალური მონაცემები, კანონმდებლობის შესაბამისად, მიუხედავად იმისა, წარმოადგენს მესამე მხარეს თუ არა.
პროფაილინგი	მონაცემთა ავტომატური დამუშავების ნებისმიერი ფორმა, რომელიც გულისხმობს მონაცემების გამოყენებას ფიზიკურ პირთან დაკავშირებული გარკვეული პიროვნული მახასიათებლების შესაფასებლად, კერძოდ, იმ მახასიათებლების ანალიზსა და პროგნოზირებას, რომლებიც შეეხება ფიზიკური პირის მიერ სამუშაოს შესრულების ხარისხს, მის ეკონომიკურ მდგომარეობას, ჯანმრთელობას, პირად ინტერესებს, სანდოობას, ქცევას, ადგილსამყოფელს ან გადაადგილებას;

 

3. კომპანიის მიზნები

 

ამ პოლიტიკით, კომპანია მიზნად ისახავს:

 

-        უზრუნველყოს პერსონალური მონაცემების დამუშავება იმ ლეგიტიმური მიზნების შესაბამისად, რისთვისაც ისინი შეგროვდა;

-        უზრუნველყოს, რომ ყველა პერსონალური მონაცემი ადეკვატურად იყოს დაცული თავდასხმებისგან/საფრთხისგან, რათა უზრუნველყოფილი იყოს პერსონალური მონაცემების უსაფრთხოება;

-        შექმნას პერსონალური მონაცემების დაცვის მოთხოვნებთან დაკავშირებული ინფორმირებულობის პროცესი, რათა ის ინტეგრირებულ იქნეს თანამშრომლების მიერ განხორციელებულ ყოველდღიურ საქმიანობაში; ასევე რათა უზრუნველყოს ყველა თანამშრომლის ინფორმირებულობა პროცედურების შესახებ, რომლებიც უნდა დაიცვან პერსონალური მონაცემების შეგროვების, ლეგიტიმური დამუშავების, გამჟღავნების, გადაცემის, შენახვის, დაარქივებისა და განადგურების დროს;

-        უზრუნველყოს, რომ კომპანიის ყველა თანამშრომელმა გააცნობიეროს პერსონალური მონაცემების დაცვასთან დაკავშირებული პრაქტიკის მნიშვნელობა, ასევე საკუთარი ვალდებულებები, რომლებიც პერსონალური მონაცემების უსაფრთხოების დაცვასთანაა დაკავშირებული,;

-        უზრუნველყოს, რომ ყველა ბიზნეს პარტნიორი, რომლებიც აგროვებენ, ინახავენ და ამუშავებენ პერსონალურ მონაცემებს კომპანიისთვის და კომპანიის სახელით, აკმაყოფილებდნენ და ახორციელებდნენ პერსონალური მონაცემების დაცვისა და უსაფრთხოების ადეკვატურ ზომებს. პერსონალური მონაცემები არავითარ შემთხვევაში არ უნდა იყოს გამჟღავნებული, შემთხვევით ან სხვაგვარად, არაუფლებამოსილ ადგილობრივ პირთან ან მესამე მხარესთან.

 

ამ პოლიტიკის ან კომპანიის არსებული ინსტრუქციების ნებისმიერმა დარღვევამ ან შეუსრულებლობამ, კერძოდ, პერსონალური მონაცემების განზრახ გამჟღავნებამ ნებისმიერი არაავტორიზებული პირისთვის ან მესამე მხარისთვის, შეიძლება გამოიწვიოს დისციპლინარული ან სხვა ადეკვატური ქმედებები.

 

პერსონალურ მონაცემებზე არასანქცირებული წვდომის ან გამჟღავნების, ან სხვა შემთხვევების შესახებ, უნდა ეცნობოს კომპანიის პერსონალური მონაცემების დაცვის ოფიცერს, იურიდიულ დეპარტამენტს, კომპანიის შესაბამისობის დეპარტამენტს ან კომპანიის ინფორმაციის უსაფრთხოების დეპარტამენტს, უმოკლეს ვადებში.

 

4. მოქმედი კანონმდებლობა

-        ადამიანის უფლებათა და ფუნდამენტური თავისუფლებების დაცვის კონვენცია რატიფიცირებული რომში 1950 წლის 4 ნოემბერს.

 

-        კონვენცია პერსონალური მონაცემების ავტომატიზირებულ დამუშავებასთან დაკავშირებით პირთა დაცვის შესახებ, მიღებული სტრასბურგში 1981 წლის 28 იანვარს, რატიფიცირებული კანონით No. 682/2001.

 

-        მონაცემთა დაცვის ევროპული ზედამხედველის სახელმძღვანელო ვიდეომეთვალყურეობის შესახებ, გამოქვეყნებული 2010 წლის 17 მარტს.

 

-        საქართველოს კანონი „პერსონალური მონაცემთა დაცვის შესახებ.“

 

5. პერსონალური მონაცემები

 

კომპანიის მიერ განხორციელებულ საქმიანობაში შედის სხვადასხვა ტიპის ინფორმაცია, რომელიც ეხება: ფიზიკური პირების საიდენტიფიკაციო მონაცემებს, ბიზნეს ინფორმაციას და ინფორმაციას მომსახურების/პროდუქტის განვითარების, მარკეტინგისა და ბიზნეს გეგმების შესახებ, ინფორმაცია კლიენტების, ადამიანური რესურსების, კონსულტაციების, პარტნიორობის, კონტრაქტების, შერწყმისა და შესყიდვების შესახებ.

 

კონფიდენციალური მონაცემების ფართო სპექტრის გათვალისწინებით, რომელსაც კომპანია მართავს, მნიშვნელოვანია, რომ თანამშრომლებმა გაიგონ მათ მიერ დამუშავებული პერსონალური მონაცემების კატეგორია/კატეგორიები, რათა შეძლონ შესაბამისი მონაცემების დაცვის მოქმედი წესების და რისკების მართვის მეთოდების განსაზღვრა.

 

ეს პოლიტიკა განსაზღვრავს კომპანიის მიერ დამუშავებულ პერსონალურ მონაცემებს მისი ბიზნეს საქმიანობის ფარგლებში და მის შესრულების დროს, ამავდროულად ამ კატეგორიაში ხვდება კონფიდენციალური ინფორმაციაც.

 

ა) პერსონალური მონაცემები მოიცავს იდენტიფიცირებულ ან იდენტიფიცირებად ფიზიკურ პირთან დაკავშირებულ ნებისმიერ ინფორმაციას, მაგალითად, როგორებიცაა (თუმცა, არ შემოიფარგლება):

 

-        სახელი, გვარი,

-        მშობლებისა და ოჯახის წევრების ვინაობა (ქმარი/ცოლი, შვილები, მონაცემთა სუბიექტზე დამოკიდებულები),

-        მისამართი (ფიზიკური ან იურიდიული),

-        მონაცემები პირადობის დამადასტურებელი დოკუმენტებიდან, დაბადების მოწმობებიდან, ქორწინების მოწმობებიდან, მართვის მოწმობიდან, პასპორტიდან, ბინადრობის ნებართვიდან, აღნიშნული დოკუმენტების ასლებიდან და ა.შ.;

-        მოქალაქეობა,

-        განათლება, პროფესია, რეზიუმე, დიპლომების ასლები, საკვალიფიკაციო მოწმობების ასლები,

-        პერსონალური მონაცემები ფინანსური მდგომარეობის შესახებ (მაგ. მონაცემები შემოსავლების, ყოველთვიური ხარჯების, მონაცემთა სუბიექტების საკუთრებაში არსებული აქტივების შესახებ, ლიზინგის ხელშეკრულებები, შეღავათები, ხელფასები, ბონუსი, მიზნების შესრულების ბონუსი),

-        ფოსტა, ტელეფონის ნომერი,

-        მომხმარებლის ანგარიშები კომპანიის აპლიკაციებისთვის,

-        საბანკო მონაცემები (სახელფასო ანგარიში)

-        მონაცემები შეძენილი ან შესასყიდი სერვისებისა და პროდუქტების შესახებ (მაგ. მონაცემები საწვავის სავარაუდო მოხმარების შესახებ, საწვავის ყოველთვიური ხარჯები, გამოყენებული საწვავის ტიპი, სადგური, სადაც მომხმარებლები იყენებენ დაგროვების ბარათს და ა.შ.),

-        გეოლოკაციის მონაცემები (მაგ. სადგური, სადაც ისინი ავსებენ საწვავს, მარშრუტი სახლიდან სამსახურში და უკან, სამსახურში მგზავრობის და უკან დაბრუნების დრო),

-        მონაცემები სამუშაო ადგილის შესახებ, მათ შორის დამსაქმებლის დასახელება და საიდენტიფიკაციო მონაცემები, სამუშაო ტელეფონის ნომერი, სამუშაო ელ-ფოსტა, თანამდებობა, განყოფილება, მენეჯერის სახელი, შიდა ID ნომერი, დასაქმების თარიღი/კომპანიიდან წასვლის თარიღი)

-        მონაცემები დასაქმებულის სტატუსის შესახებ (ინდივიდუალური შრომითი ხელშეკრულების ნომერი და თარიღი, დაკავებული თანამდებობები, სამუშაო ადგილი, შიდა ID ნომერი, მიმდინარე სამუშაოს დაწყების თარიღი).

 

პერსონალური მონაცემები მოიცავს ინფორმაციას, რომელიც შეიძლება მოიძებნოს ნებისმიერი ფორმით, იქნება ეს ანბანური, რიცხვითი, გრაფიკული, ფოტოგრაფიული თუ აკუსტიკური, და შეიძლება მოიძებნოს ფიზიკურად (ქაღალდზე), ან ელექტრონულ ფორმატში (კომპიუტერის მეხსიერებაზე), ან თუნდაც ვიდეო და აუდიო ჩანაწერების სახით.

 

ბ) პერსონალური მონაცემების განსაკუთრებული კატეგორიები

 

განსაკუთრებული კატეგორიის მონაცემი არის მონაცემი, რომელიც ეხება პირის რასობრივ ან ეთნიკურ წარმომავლობას, პოლიტიკურ, რელიგიურ, ფილოსოფიურ ან მსგავს შეხედულებებს, პროფკავშირის წევრობას, ჯანმრთელობას ან სქესობრივ ცხოვრებას, აგრეთვე სისხლის სამართლის პროცესში პირის სტატუსს, ნასამართლობასთან დაკავშირებულ ინფორმაციას, დანაშაულის მსხვერპლად ცნობას, პატიმრობას და სასჯელის აღსრულებას.

 

ამავდროულად, განსაკუთრებული კატეგორიის მონაცემად მიიჩნევა ბიომეტრიული მონაცემი, რაც გულისხმობს მონაცემთა სუბიექტის როგორც ფიზიკურ და ფიზიოლოგიურ (მაგ. თითის ანაბეჭდი, სახის გამოსახულება, დეენემი), ისე ქცევის მახასიათებლებს (მაგ. სიარულის მანერა), რომელიც მისი უნიკალური იდენტიფიცირების ან ვინაობის დადასტურების შესაძლებლობას იძლევა.

განსაკუთრებული კატეგორიის მონაცემებია (თუმცა, არ შემოიფარგლება):

-        მონაცემები პირის პოლიტიკური შეხედულების შესახებ,

 

6. კომპანიის მიერ განხორციელებული საქმიანობის ფარგლებში შესრულებული პერსონალური მონაცემების დამუშავების ძირითადი ოპერაციები და დამუშავების მიზანი

 

6.1. ძირითადი დამუშავების ოპერაციები/ოპერაციების ნაკრები შეიძლება შედგებოდეს შემდეგისგან:

 

-        პერსონალური მონაცემების შეგროვება, ჩაწერა და ორგანიზება

-        შეგროვებული პერსონალური მონაცემების შენახვა, და, შესაბამისად, ნებისმიერი ტიპის ინფორმაციის მატარებელზე შენახვა

-        მათი ადაპტაცია, შეცვლა ან გამოყენება,

-        პირადი მონაცემების მოპოვება

-        გამჟღავნება მესამე პირებისთვის გადაცემის, გავრცელების ან სხვა გზით

-        პერსონალური მონაცემების გაერთიანება ან დაკავშირება

-        პერსონალური მონაცემების დაბლოკვა, წაშლა ან განადგურება.

 

6.2. პერსონალური მონაცემების დამუშავების მიზანი

 

მომხმარებლების, პოტენციური მომხმარებლების, მომხმარებელთა/პოტენციური მომხმარებლების კანონიერი წარმომადგენლების პერსონალური მონაცემები შეიძლება შეგროვდეს და გამოყენებულ იქნეს კონკრეტული აქტივობებისა და პროექტების განხორციელებისას, როგორებიცაა:

 

-        კრედიტუნარიანობის შეფასება და საკრედიტო რისკის შეფასება კომპანიის მიერ მიწოდებული კონკრეტული პროდუქტებისთვის კომპანიის წინაშე დავალიანების ასანაზღაურებლად,

-        ხელშეკრულებების გაფორმება და შესრულება, მათ შორის მომსახურების ხელშეკრულებები და სხვა ნებისმიერი ხელშეკრულება.

-        სამართლებრივი ვალდებულების შესრულება, როგორიცაა ფისკალური ანგარიშ-ფაქტურების ან ქვითრების და საგადახდო/ინკასო დავალების გაცემა,

-        მარკეტინგული საქმიანობის განხორციელება, საინფორმაციო ბიულეტენების ან სხვა კომერციული კომუნიკაციების გაგზავნით ელექტრონული ფოსტით, ტექსტური შეტყობინებით ან ფოსტით,

-        მომხმარებლის პროფილის შესწავლა მორგებული შეთავაზებების გასაგზავნად,

-        შიდა და გარე ღონისძიებების ორგანიზება,

-        კომპანიის გარე პარტნიორების (როგორიცაა სარეკლამო სააგენტოები) მიერ განხორციელებული დამუშავების ოპერაციები,

-        მომხმარებლებთან ხელშეკრულებების დადება – ფიზიკური პირები, რომლებიც სარგებლობენ კომპანიისა და მისი შვილობილი კომპანიების მომსახურებით.

-        თანადამმუშავებლისთვის ინფორმაციის მიწოდება და მათგან მიღება.

 

თანამშრომლების პერსონალური მონაცემების შეგროვება და გამოყენება შესაძლებელია კომპანიის მიერ კონკრეტული აქტივობებისა და პროექტების განსახორციელებლად, როგორიცაა:

 

-        რეკრუტინგის პროცესის განხორციელება,

-        ინდივიდუალური შრომითი ხელშეკრულებების გაფორმება და შესრულება; ხელფასისა და სარგებლის გადახდა; სამსახურში ყოფნასთან დაკავშირებული საქმიანობის განხორციელება; სასწავლო პროგრამების განხორციელება; სამუშაო ამოცანების შესასრულებლად საჭირო აღჭურვილობის მართვა; მივლინებები; ყოველწლიური შვებულების ან სხვა ტიპის შვებულების დაგეგმვა და განხორციელება.

-        საკანონმდებლო ვალდებულების შესრულება, როგორიცაა დასაქმებამდე სამედიცინო გამოკვლევის ჩატარება და შრომის ჯანმრთელობისა და უსაფრთხოების უზრუნველსაყოფად რეგულარული შემოწმების ჩატარება; შრომის ჯანმრთელობისა და უსაფრთხოების ფაილების შევსება; პროფესიული სწავლებისა და სასწავლო პროგრამების გავლა; რევიზიის რეესტრის შევსება; კანონით დადგენილი გადასახადების დაკავება და გადახდა; აპლიკაციის რეგლამენტით გათვალისწინებული შემწეობების გადახდა.

-        მონაცემთა მაკონტროლებლის კანონიერი ინტერესების განხორციელება; ვიდეომეთვალყურეობის შემთხვევაში აქტივებისა და პირების დაცვის უზრუნველყოფა; მონაცემთა დაკარგვის თავიდან აცილების მიზნით, საინფორმაციო სისტემების უსაფრთხოების უზრუნველყოფა;

-        სპეციალიზებული კვლევების ჩატარება, როგორიცაა ხელფასის დონის გადახედვა, განვითარება და შრომითი ურთიერთობების გაუმჯობესება; მონაცემთა დამუშავების IT სისტემების შემუშავება, მათ შორის ხელფასის გაანგარიშება, ყოველწლიური შვებულების მართვა;

-        კომპანიისთვის სხვა კომპეტენტური ორგანოებისა და ორგანოებისადმი ანგარიშგების განხორციელება და ა.შ.

-        პროფესიული გამოცდილების განხილვა და ტრენინგი პროფესიული განვითარების პროგრამების შემუშავების მიზნით, პროფესიული და ტექნიკური ტესტების საფუძველზე,

-        რელიგიური დღესასწაულების განსაზღვრა;

-        დასაქმებულის შვილების ან ოჯახის სხვა წევრებისთვის ფულადი დანამატების გაანგარიშება ან გადახდა,

-        შრომითი ურთიერთობისგან წარმოქმნილი ზიანის ან კომპანიის მიერ მიყენებული ზიანის ანაზღაურება; პერსონალური მონაცემების გაგზავნა კომპეტენტურ ორგანოებში,

-        სტატისტიკური მიზნებისთვის.

 

7. პერსონალური მონაცემების გამოყენება

 

პერსონალური მონაცემების კატეგორიის მიუხედავად, მონაცემები უნდა იქნეს გამოყენებული მხოლოდ იმ მიზნისთვის, რისთვისაც ისინი შეგროვდა მონაცემთა სუბიექტებისგან (კომპანიის მომხმარებლები, არამომხმარებლები, თანამშრომლები ან კონტრაქტორები, პარტნიორები) და იმ პერიოდის განმავლობაში, რომელიც საჭიროა ამ მიზნების მისაღწევად, და, შესაბამისად, იმ პერიოდის განმავლობაში, რომელიც საჭიროა კანონიერი ვალდებულების შესასრულებლად ან კომპანიის ინტერესების დასაცავად.

 

მაგალითად, როდესაც პერსონალური მონაცემების დამუშავება ხორციელდება მომხმარებლის მკაფიო და კონკრეტული თანხმობით (მაგ., შემთხვევა, როდესაც მომხმარებელი თანახმაა კომპანიის მიერ პერსონალური მონაცემების მარკეტინგული მიზნებისთვის დამუშავებაზე), მონაცემების დამუშავების მიზნები აღწერილი უნდა იყოს მონაცემთა სუბიექტის მიერ გამოთქმულ თანხმობაში.

 

ამავე მიზნით, კომპანიის მიერ პერსონალური მონაცემების დამუშავების ლეგიტიმურობის უზრუნველსაყოფად, იმ შემთხვევაში, თუ მონაცემთა სუბიექტი აუქმებს თანხმობას მისი მონაცემების დამუშავებაზე მარკეტინგული ან სხვა ლეგიტიმური მიზნებისთვის, რისთვისაც აუცილებელი იყო მისი წინასწარი თანხმობა, კომპანია უზრუნველყოფს პერსონალური მონაცემების წაშლას მოქმედი რეგულაციების შესაბამისად.

 

8. პერსონალურ მონაცემთა დაცვის ოფიცერი

 

კომპანიას ყავს მონაცემთა დაცვის ოფიცერი („მონაცემთა დაცვის ოფიცერი“), რომელიც ადეკვატურად და დროულად უნდა იყოს ჩართული პერსონალური მონაცემების დაცვასთან დაკავშირებულ ყველა ასპექტში.

 

მონაცემთა დაცვის ოფიცერს აქვს მინიმუმ შემდეგი პასუხისმგებლობები:

 

(ა) მოთხოვნის შესაბამისად, კონსულტაცია გაუწიოს კომპანიას და, ასევე, იმ თანამშრომლებს, რომლებიც ახორციელებენ პერსონალური მონაცემების დაცვასთან დაკავშირებულ ვალდებულებებს;

 

(ბ) განახორციელოს მონაცემთა დაცვის შესახებ საკანონმდებლო დებულებებთან და კომპანიის პერსონალური მონაცემების დაცვის შესახებ პოლიტიკასთან შესაბამისობის მონიტორინგი,  გაუწიოს დახმარება და გასცეს რეკომენდაციები კომპანიისთვის და მისი შიდა განყოფილებების თანამშრომლებისთვის მონაცემთა დაცვასთან დაკავშირებული ვალდებულებების შესრულების უზრუნველსაყოფად (მაგ. უსაფრთხოების ინციდენტების შემთხვევაში, უზრუნველყოს აუცილებელი დახმარება ზედამხედველობის ორგანოსა და მონაცემთა დაზარალებული სუბიექტების ინფორმირებაში);

 

(გ) უზრუნველყოს დახმარება პერსონალური მონაცემების დამუშავების ოპერაციების შიდა რეგულირებისთვის საჭირო შიდა პოლიტიკისა და პროცედურების შემუშავებაში;

 

(დ) კონსულტაცია გაუწიოს მონაცემთა დაცვაზე ზეგავლენის შეფასების საკითხთან დაკავშირებით და უზრუნველყოს მისი ფუნქციონირების მონიტორინგი (მისცეს რჩევა პირადი მონაცემების ზემოქმედების შეფასების შემთხვევაში, რამდენად არის კომპანია ვალდებული შეასრულოს ეს შეფასება, ასევე უზრუნველყოს ამ შეფასებისთვის გამოსაყენებელი მეთოდოლოგია, საჭირო რესურსების არსებობა, უსაფრთხოების, ტექნიკური და ორგანიზაციული ზომების გამოყენება მონაცემთა სუბიექტის უფლებებისა და თავისუფლებების რისკების შესამცირებლად);

 

(ე) ის არის პერსონალური მონაცემების დაცვის საზედამხედველო ორგანოსთან ძირითადი საკონტაქტო პირი.

 

 

კომპანია ასაჯაროებს პერსონალურ მონაცემთა დაცვის ოფიცრის საკონტაქტო ინფორმაციას და აწვდის მას საზედამხედველო ორგანოს.

9. მონაცემთა დამუშავების საფუძვლები

 

ხშირ შემთხვევაში, პერსონალური მონაცემების შეგროვება და კომპანიის მიერ ასეთი მონაცემების შემდგომი დამუშავების ოპერაციები მიიღწევა მონაცემთა სუბიექტის აშკარა და ცალსახა თანხმობის საფუძველზე. როდესაც მონაცემთა სუბიექტის თანხმობაა საჭირო, კომპანია მონაცემთა სუბიექტს აწვდის სრულ, წინასწარ და ზუსტ ინფორმაციას, რათა მისი თანხმობა შეესაბამებოდეს თავისუფალი, კონკრეტული, ინფორმირებული და ცალსახა ნების გამოვლენის პირობებს.

 

ასევე არის შემთხვევები, როდესაც დამუშავების სამართლებრივი საფუძველი სხვაა, და არა თანხმობა, კერძოდ:

-        ყოველთვის, როდესაც დამუშავება საჭიროა ხელშეკრულების გასაფორმებლად, რომლის მხარესაც მონაცემთა სუბიექტი წარმოადგენს, ან ხელშეკრულების გაფორმებამდე გარკვეული ნაბიჯების გადადგმა მონაცემთა სუბიექტის მოთხოვნით;  

-        როდესაც დამუშავება გათვალისწინებულია კანონით.

-        როდესაც დამუშავება საჭიროა მონაცემთა სუბიექტის ან სხვა სუბიექტების სასიცოცხლო ინტერესების დასაცავად

-        როდესაც დამუშავება საჭიროა იმ ამოცანის შესასრულებლად, რომელიც ემსახურება საჯარო ინტერესებს ან გამომდინარეობს საჯარო უფლებამოსილების პრეროგატივების განხორციელებიდან, რომელიც მინიჭებული აქვს დამუშავებისთვის პასუხისმგებელ პირს;

-        როდესაც მონაცემების სუბიექტმა ეს ინფორმაცია საჯარო გახადა ან ისედაც მისაწვდომი იყო საჯაროდ.

-        როდესაც მონაცემთა დამუშავება აუცილებელია საქართველოს კანონმდებლობით განსაზღვრული საჯარო ინტერესის სფეროსთვის მიკუთვნებული ამოცანების შესასრულებლად.

-        როდესაც მონაცემების დამუშავება აუცილებელია მონაცემთა სუბიექტის განცხადების განსახილველად (მისთვის მომსახურების მიწოდების უზრუნველსაყოფად)

-        როდესაც დამუშავება საჭიროა კომპანიის ან მესამე მხარის ლეგიტიმური ინტერესების განსახორციელებლად, რომელსაც ეს მონაცემები ეცნობა, იმ პირობით, რომ ასეთი ინტერესი არ აზიანებს მონაცემთა სუბიექტის ინტერესებს ან ფუნდამენტურ უფლებებსა და თავისუფლებებს.

 

სპეციალური კატეგორიის მონაცემების დამუშავება მკაცრად აკრძალულია, გარდა შემდეგი შემთხვევებისა:

-        როდესაც მონაცემთა სუბიექტი პირდაპირ თანხმდება ასეთ დამუშავებაზე

-        როდესაც დამუშავება საჭიროა კომპანიის ან მონაცემთა სუბიექტის მოვალეობების შესრულებისა და კონკრეტული უფლებების განხორციელების მიზნით, დასაქმების და სოციალური უზრუნველყოფის ან სოციალური დაცვის სფეროში.

-        როდესაც დამუშავება საჭიროა მონაცემთა სუბიექტის ან ნებისმიერი სხვა სასიცოცხლოდ მნიშვნელოვანი სუბიექტის სიცოცხლის, ფიზიკური ხელშეუხებლობის ან ჯანმრთელობის ინტერესების დასაცავად, თუ მონაცემთა სუბიექტს ფიზიკური ან იურიდიული მიზეზებით არ შეუძლია შესაბამისი თანხმობის გამოხატვა.

-        როდესაც დამუშავება ეხება მონაცემთა სუბიექტის მიერ ღიად გასაჯაროებულ მონაცემებს

-        როდესაც დამუშავება საჭიროა სასამართლოში უფლების დადგენის, განხორციელების ან დაცვისთვის

-        როდესაც დამუშავება საჭიროა პრევენციული მედიცინის, შრომის მედიცინის, თანამშრომლის შრომისუნარიანობის შეფასებისთვის, სამედიცინო დიაგნოზის დასადგენად, სამედიცინო ან სოციალური დახმარების ან სამედიცინო მკურნალობისთვის, პროფესიული კავშირის კანონის ან შიდა კანონმდებლობის საფუძველზე ან კლინიკური პერსონალის წევრთან დადებული შეთანხმების საფუძველზე პროფესიულ საიდუმლოებაზე, ან სხვა სუბიექტის მიერ ან ზედამხედველობის ქვეშ, რომელიც ექვემდებარება ეკვივალენტურ საიდუმლოებას.

-        როდესაც დამუშავება საჭიროა საზოგადოებრივი ინტერესის არქივის, სამეცნიერო და ისტორიული კვლევის ან სტატისტიკური მიზნებისთვის.

 

კომპანიის თანამშრომლებმა/პარტნიორებმა უნდა შეამოწმონ პერსონალური მონაცემების მოხვედრა ზემოხსენებულ კატეგორიებში და დაიცვან პერსონალური მონაცემები კანონმდებლობით გათვალისწინებული წესების თანახმად.

 

როდესაც კომპანია წარადგენს ახალ სერვისს, პროდუქტს ან ოპერაციულ პროცესს, რომელიც მოიცავს პერსონალური მონაცემების დამუშავებას, მათ უნდა მოითხოვონ ნებართვა პერსონალური მონაცემების დაცვასთან დაკავშირებით მონაცემთა დაცვის ოფიცრისგან.

 

10. მონაცემთა დამუშავების პრინციპები

 

კომპანიის თანამშრომლებმა, როგორც კომპანიის სახელით მონაცემთა დამუშავების პროცესში ჩართულმა პირებმა, უნდა დაიცვან პერსონალური მონაცემების დამუშავების კანონიერი პრინციპები, როგორც ეს მოცემულია მონაცემთა დაცვის კანონმდებლობით და როგორც ქვემოთ არის მითითებული.

  

ა) პერსონალური მონაცემების დამუშავების კანონიერების პრინციპი

 

მონაცემები უნდა დამუშავდეს კანონიერად, სამართლიანად და მონაცემთა სუბიექტის ღირსების შეულახავად. აღნიშნული პრინციპი მოითხოვს, რომ მონაცემების დამუშავების პროცესი თანხვედრაში იყოს კანონით დადგენილ წესებთან, მათ შორის, „პერსონალურ მონაცემთა დაცვის შესახებ“ საქართველოს კანონით დადგენილ მოთხოვნებთან.

 

ბ) პერსონალური მონაცემების დამუშავების გამჭვირვალობის პრინციპი

 

მონაცემთა სუბიექტს წინასწარ უნდა ეცნობოს დასამუშავებელ პერსონალურ მონაცემებთან დაკავშირებით, დამუშავების მიზანსა და მისი სამართლებრივი საფუძვლების შესახებ; მაკონტროლებლის და დამმუშავებლების ვინაობის შესახებ; ასევე მაკონტროლებლის მიერ პერსონალური მონაცემების დამუშავების კანონიერი ინტერესის შესახებ. აუცილებლობის შემთხვევაში, ასეთი მონაცემების ნებისმიერი მიმღების ან მიმღებთა კატეგორიის შესახებ, აუცილებლობის შემთხვევაშ, კომპანიის განზრახვის შესახებ პერსონალური მონაცემები გადასცეს მესამე მხარეს ან საერთაშორისო ორგანიზაციას, თუ ყველა მოთხოვნილი მონაცენების მიწოდება აუცილებელს წარმოადგენს, და ასეთი მონაცემების წარდგენაზე უარის შედეგების შესახებ, იმ ვადების შესახებ რომლის მანძილზეც იქნება შენახული ასეთი პერსონალური მონაცემები ან, თუ შეუძლებელია, იმ კრიტერიუმების შესახებ, რომელიც ასეთი პერიოდის განსასაზღვრად გამოიყენება, გადაწყვეტილების მიღების ავტომატიზირებული პროცესის არსებობის შესახებ, პროფილების შექმნია ჩათვლით, ასევე, როგორც მინიმუმ, ასეთი შემთხვევებისთვის, ინფორმაცია გამოყენებული ლოგიკის, მოსალოდნელი შედეგებისა და ასეთი დამუშავების მნიშვნელოვნების შესახებ მონაცენების სუბიექტისთვის, მონაცემთა სუბიექტის უფლებების შესახებ, რომელიც მონაცემთა დაცვის სფეროშია კანონით გათვალისწინებული (ჩამონათვალი იხილეთ ქვემოთ, განყოფილებაში 10), ასევე იმ პირობების შესახებ, რომელთა დროსაც შეიძლება ისინი განხორციელდეს, ასევე სხვა ნებისმიერ ინფორმაციასთან დაკავშირებით, რომელიც თავად დამუშავების მიზანს შეეხება.

 

გამჭვირვალობის პრინციპიდან გამომდინარე, მონაცემთა სუბიექტებს - კლიენტებს/პოტენციურ კლიენტებს/თანამშრომლებს/პარტნიორებს - ეცნობებათ ადვილად გასაგები და მკაფიო ენით, რითაც ექნებათ პერსონალური მონაცემების დამუშავების ოპერაციებთან დაკავშირებულ ინფორმაციაზე წვდომის უფლება.

 

ინფორმაციის შეტყობინება, რომელიც მიმართულია მონაცემთა სუბიექტ(-ებ-)ისადმი მათი პერსონალური მონაცემების დამუშავებასთან დაკავშირებით, უნდა მოიცავდეს საკონტაქტო პუნქტებს, სადაც მათ შეუძლიათ განცხადების წარდგენა, შემდეგნაირად:

 

-        მომხმარებლის/პოტენციური მომხმარებლის, ბიზნესპარტნიორების, თანამშრომლების, ფიზიკური პირების მიერ წარმოდგენილი განაცხადები შეიძლება წარდგენილი იქნეს კომპანიის რეგისტრირებულ ოფისებში, ელექტრონული ფოსტის მეშვეობით, მისამართზე: info@paybox.ge;

 

როდესაც მონაცემთა სუბიექტი, რომლის მონაცემებიც მუშავდება, ითხოვს ინფორმაციას მისი მონაცემების დამუშავების შესახებ, დეპარტამენტი, რომელიც იღებს ასეთ განცხადებას, ითხოვს მონაცემთა დაცვის ოფიცრის აზრს.

 

კომპანიამ უნდა უპასუხოს ნებისმიერ ასეთ განაცხადს მისი მიღებიდან მაქსიმუმ 10 დღის განმავლობაში, მონაცემთა დაცვის კანონების დებულებების შესაბამისად. ეს ვადა განსაკუთრებულ შემთხვევებში და სათანადო დასაბუთებით შეიძლება გაგრძელდეს არაუმეტეს 10 სამუშაო დღით, რის შესახებაც მონაცემთა სუბიექტს დაუყოვნებლივ უნდა ეცნობოს

 

მონაცემთა სუბიექტის პრეტენზია/მოთხოვნა განიხილება მონაცემთა სუბიექტის განაცხადების განხილვის სპეციფიკური პროცედურის შესაბამისად.

 

გ) მონაცემებთა დამუშავების მიზნის შეზღუდვის პრინციპი

 

მონაცემები უნდა შეგროვდეს/მოპოვებული უნდა იქნეს მხოლოდ კონკრეტული, მკაფიოდ განსაზღვრული და ლეგიტიმური მიზნებისთვის. დაუშვებელია მონაცემთა შემდგომი დამუშავება სხვა, მონაცემთა დამუშავების თავდაპირველ მიზანთან შეუთავსებელი მიზნით.

 

თუ მონაცემები უნდა დამუშავდეს მათი შეგროვების/მოპოვების მიზნისგან განსხვავებული მიზნით და დამუშავება მონაცემთა სუბიექტის თანხმობით ან კანონის საფუძველზე არ ხორციელდება, მონაცემთა შეგროვების/მოპოვების მიზნისგან განსხვავებული მიზნით მონაცემთა დამუშავების საკითხის გადაწყვეტისას დამუშავებისთვის პასუხისმგებელმა პირმა უნდა გაითვალისწინოს შემდეგი გარემოებები:

 

-        არსებობს თუ არა მონაცემთა შეგროვების/მოპოვების თავდაპირველ მიზანსა და შემდგომ მიზანს შორის კავშირი;

 

-        მონაცემთა შეგროვებისას/მოპოვებისას დამუშავებისთვის პასუხისმგებელ პირსა და მონაცემთა სუბიექტს შორის არსებული ურთიერთობის ხასიათი;

 

-        აქვს თუ არა მონაცემთა სუბიექტს მის შესახებ მონაცემთა შემდგომი დამუშავების გონივრული მოლოდინი;

 

-        ხორციელდება თუ არა განსაკუთრებული კატეგორიის მონაცემთა დამუშავება;

 

-        მონაცემთა სუბიექტისთვის შესაძლო შედეგები, რომლებიც შეიძლება თან ახლდეს მონაცემთა შემდგომ დამუშავებას;

 

-        მონაცემთა ტექნიკური და ორგანიზაციული უსაფრთხოების ზომების არსებობა.

 

დ) პერსონალური მონაცემების დამუშავების პროპორციულობის პრინციპი

 

პერსონალური მონაცემები უნდა დამუშავდეს მხოლოდ იმ მოცულობით, რომელიც აუცილებელია შესაბამისი ლეგიტიმური მიზნის მისაღწევად. მონაცემები იმ მიზნის თანაზომიერი უნდა იყოს, რომლის მისაღწევადაც ისინი მუშავდება.

 

ზემოაღნიშნულიდან გამომდინარე, კომპანია ამუშავებს პერსონალურ მონაცემებს გონივრულად, მხოლოდ იმ მოცულობით, რაც აუცილებელია შესაბამისი დამუშავების მიზნისთვის.

 

პერსონალური მონაცემების დამუშავებამდე კომპანია, მისი შესაბამისი განყოფილებების (მაგ. მარკეტინგის დეპარტამენტის) მიერ, მონაცემთა დაცვის ოფიცრის თანხმობით, განსაზღვრავს არის თუ არა, და რამდენად საჭიროა პერსონალური მონაცემების დამუშავება იმ მიზნის მისაღწევად, რისთვისაც შეგროვდა ეს მონაცემები.

  

ე) კანონიერი შენახვის ვადის გასვლის შემდეგ მონაცემთა წაშლის პრინციპი

 

მონაცემები შეიძლება შენახულ იქნეს მხოლოდ იმ ვადით, რომელიც აუცილებელია მონაცემთა დამუშავების შესაბამისი ლეგიტიმური მიზნის მისაღწევად. იმ მიზნის მიღწევის შემდეგ, რომლისთვისაც მუშავდება მონაცემები, ისინი უნდა წაიშალოს, განადგურდეს ან შენახული უნდა იქნეს დეპერსონალიზებული ფორმით, გარდა იმ შემთხვევისა, თუ მონაცემთა დამუშავება განსაზღვრულია კანონით ან/და კანონის შესაბამისად გამოცემული კანონქვემდებარე ნორმატიული აქტით და მონაცემთა შენახვა აუცილებელი და პროპორციული ზომაა დემოკრატიულ საზოგადოებაში აღმატებული ინტერესების დასაცავად.

   

რაც შეეხება პერსონალური მონაცემების დაარქივების საკითხს, ისინი უნდა ინახებოდეს კომპანიის სისტემებში დამუშავების ლეგიტიმური მიზნების განსახორციელებლად, დამუშავების მიზნისთვის საჭირო დროით ან მოქმედი კანონმდებლობით გათვალისწინებული პერიოდით, რომელიც პერსონალური მონაცემების თითოეული კატეგორიისთვის ცალ-ცალკე არის განსაზღვრული. შენახვის ვადა: თანამშრომლების შემთხვევაში 5 წელი, პარტნიორებისა და მომხმარებლების შემთხვევაში 15 წელი.

 

მაგალითად, რაც შეეხება მონაცემთა სუბიექტების ვიდეომასალას მიღებული მაკონტროლებლის ლოკაციებიდან, ვიდეომეთვალყურეობის სისტემის საშუალებით მიღებული მონაცემები ინახება დამუშავების მიზნისთვის საჭირო ვადის პროპორციულად, მაგრამ არაუმეტეს 30 დღისა, რის შემდეგაც ისინი უნდა განადგურდეს (წაიშალოს). გამონაკლისის სახით, მაგალითად, კანონით პირდაპირ რეგულირებულ ან სრულიად გამართლებულ შემთხვევებში (მაგ. უსაფრთხოების ინციდენტის შემთხვევა), ზემოაღნიშნული ვადა შეიძლება გაგრძელდეს კანონით აუცილებელი და დაშვებული ვადით და მონაცემთა დაცვის ოფიცრის თანხმობის საფუძველზე.

 

კომპანიამ უნდა შეინახოს კლიენტის/პოტენციური კლიენტების/თანამშრომლების/ბიზნეს პარტნიორების მიერ გამოხატული თანხმობის დამადასტურებელი საბუთი, თუ მათი პერსონალური მონაცემების დამუშავება ხდება ასეთი თანხმობით.

 

პერსონალური მონაცემები არ უნდა ინახებოდეს იმაზე მეტი ხნით, ვიდრე საჭიროა ან დაწესებულია პერსონალური მონაცემების დამუშავების მიზნებით. მონაცემთა შენახვის ვადის გაგრძელება მოხდება მხოლოდ მონაცემთა დაცვის ოფიცრის თანხმობით.

 

ლეგიტიმური დამუშავებისა და შენახვის მიზნების დასრულების და პერსონალური მონაცემების შემცველი მონაცემების/დოკუმენტების არქივის კანონიერი ვადის გასვლის შემდეგ, თუ მონაცემთა სუბიექტი არ დათანხმდა შემდგომ დამუშავებაზე და მასზე არ ვრცელდება მონაცემთა დაცვის კანონმდებლობით გათვალისწინებული არცერთი გამონაკლისი, განხორციელდება შემდეგი ქმედება:

 

-        პერსონალური მონაცემები უნდა წაიშალოს ჩანაწერებიდან/IT აპლიკაციების სისტემებიდან ან

-        უნდა განხორციელდეს ჩანაწერებში/IT აპლიკაციების სისტემებში არსებული პერსონალური მონაცემების დეპერსონალიზაცია, რაც ნიშნავს იმას, რომ ისინი უნდა გარდაიქმნას ანონიმურ მონაცემებად, საიდანაც შეუძლებელი იქნება კონკრეტული მონაცემთა სუბიექტის ვინაობის იდენტიფიცირება;

-        ბეჭდურ დოკუმენტებზე არსებული მონაცემები უნდა განადგურდეს საიდუმლო დოკუმენტებისთვის (მაგ., კონფიდენციალური/შეზღუდული დოკუმენტების) განკუთვნილი სპეციალური დამქუცმაცებლების გამოყენებით.