ბლოგი

2026 წლის 2 მარტიდან საქართველოში პერსონალურ მონაცემთა დამუშავების კანონიერების ზედამხედველი ორგანოა სახელმწიფო აუდიტის სამსახური. პერსონალურ მონაცემთა დაცვის სამსახური გაუქმდა და მისი ფუნქციები სრულად გადავიდა სახელმწიფო აუდიტის სამსახურზე. კომპანიების მატერიალური ვალდებულებები: მონაცემთა დაცვის ოფიცრის დანიშვნა, ინციდენტის შეტყობინება 72 საათში, გამჭვირვალობა და ზეგავლენის შეფასება, უცვლელი დარჩა.

ქართული ბიზნესის დიდი ნაწილი პერსონალურ მონაცემთა დაცვის კანონმდებლობას დღემდე იმ ლოგიკით უყურებს, რომლითაც ხანძარსაწინააღმდეგო ინსტრუქციას, ანუ ფორმალობად, რომელიც კედელზე უნდა გამოიკრას და დაივიწყოს. ეს დამოკიდებულება 2024 წლის 1 მარტამდე შედარებით უსაფრთხო იყო. დღეს აღარ არის.

კანონი „პერსონალურ მონაცემთა დაცვის შესახებ“ ძალაში 2024 წლის 1 მარტიდან შევიდა და ქართულ სამართალში პირველად შემოიტანა ინსტიტუტები, რომლებიც აქამდე მხოლოდ ევროკავშირის GDPR-ის კონტექსტში განიხილებოდა: მონაცემთა დაცვის ოფიცერი, ინციდენტის სავალდებულო შეტყობინება 72 საათში, მონაცემთა დამუშავების ზეგავლენის შეფასება. 2026 წლის 2 მარტიდან კი შეიცვალა ის, ვინც ამ ვალდებულებების შესრულებას ამოწმებს.

ვინ ზედამხედველობს პერსონალურ მონაცემთა დაცვას საქართველოში 2026 წლიდან?

2026 წლის 2 მარტიდან საქართველოში პერსონალურ მონაცემთა დამუშავების კანონიერების ზედამხედველი ორგანოა სახელმწიფო აუდიტის სამსახური. პერსონალურ მონაცემთა დაცვის სამსახური, როგორც დამოუკიდებელი საჯარო სამართლის იურიდიული პირი, 2026 წლის 2 მარტს გაუქმდა 2025 წლის 17 დეკემბრის საკანონმდებლო ცვლილებების საფუძველზე. სახელმწიფო აუდიტის სამსახური ამავე თარიღიდან ახორციელებს ასევე ფარული საგამოძიებო მოქმედებებისა და ელექტრონული კომუნიკაციის მაიდენტიფიცირებელ მონაცემთა ცენტრალურ ბანკში განხორციელებული აქტივობების ზედამხედველობას.

ბიზნესისთვის აქ პრინციპულად მნიშვნელოვანია ერთი რამ: მატერიალური ვალდებულებები არ შემსუბუქებულა. კანონის ის ნაწილი, რომელიც განსაზღვრავს, თუ რა საფუძვლით შეგიძლიათ დაამუშაოთ თანამშრომლის ან კლიენტის მონაცემი, რა ვადაში უნდა შეატყობინოთ ინციდენტი და ვინ უნდა დანიშნოთ ოფიცრად, უცვლელი დარჩა. შეიცვალა მისამართი, სადაც შეტყობინება იგზავნება, საჩივარი შედის და შემოწმება ინიცირდება.

პრაქტიკაში ეს ნიშნავს, რომ თუ თქვენს შიდა დოკუმენტებში: კონფიდენციალურობის პოლიტიკაში, ინციდენტზე რეაგირების წესში, თანამშრომლის ინფორმირების ფორმაში კვლავ „პერსონალურ მონაცემთა დაცვის სამსახური“ წერია, ეს დოკუმენტები მოძველებულია. ეს არის იმ ტიპის ხარვეზი, რომელიც შემოწმებისას პირველივე წუთებში იკვეთება და ორგანიზაციის ზოგად კეთილსინდისიერებაზე ქმნის შთაბეჭდილებას.

ვის ევალება პერსონალურ მონაცემთა დაცვის ოფიცრის დანიშვნა?

პერსონალურ მონაცემთა დაცვის ოფიცრის დანიშვნა 2024 წლის 1 ივნისიდან ევალებათ იმ კომპანიებს, რომლებიც დიდი მოცულობით ამუშავებენ მონაცემებს ან სისტემატურად ამუშავებენ განსაკუთრებული კატეგორიის მონაცემებს: ჯანმრთელობის, ბიომეტრიულ, სასამართლო განაჩენთან დაკავშირებულ ინფორმაციას. ეს ვალდებულება დადგენილია კანონის 33-ე მუხლით.

L&L Consulting-ის პრაქტიკიდან გამომდინარე, ამ განსაზღვრებაში ყველაზე ხშირად ხვდებიან სამედიცინო დაწესებულებები და კლინიკები, საფინანსო ორგანიზაციები, , სადაზღვევო კომპანიები, საჯარო ორგანიზაციები. ხშირად კომპანიის ხელმძღვანელობა გულწრფელად თვლის, რომ „ჩვენ ხომ დიდი მონაცემთა ბაზა არ გვაქვს“, ვიდრე არ დაითვლის, რამდენი კანდიდატის რეზიუმე, ვიდეოჩანაწერი და კლიენტის საიდენტიფიკაციო დოკუმენტი ინახება მის სერვერზე.

შეიძლება თუ არა მონაცემთა დაცვის ოფიცერი იყოს გარე პირი? დიახ. კანონის თანახმად, პერსონალურ მონაცემთა დაცვის ოფიცრის ფუნქცია შეიძლება შესრულდეს მომსახურების ხელშეკრულების საფუძველზე, გარე პროვაიდერის მიერ. მცირე და საშუალო ბიზნესისთვის გარე ოფიცერი, როგორც წესი, უფრო რაციონალურია, ვიდრე ცალკე საშტატო ერთეულის შექმნა.

სჭირდება თუ არა ოფიცერს სერტიფიკატი? არა. კანონი პერსონალურ მონაცემთა დაცვის ოფიცრის სავალდებულო სერტიფიცირებას არ ითხოვს და კონკრეტულ საკვალიფიკაციო მოთხოვნებს არ ადგენს, თუმცა მოითხოვს, რომ პირს ჰქონდეს სათანადო ცოდნა მონაცემთა დაცვის სფეროში. ფორმალურად დანიშნული, მაგრამ არაკომპეტენტური ოფიცერი ვალდებულების შესრულებად ვერ ჩაითვლება.

ცალკე ყურადღება ინტერესთა კონფლიქტს სჭირდება. მონაცემთა დაცვის ოფიცერს არ უნდა ჰქონდეს ინტერესთა კონფლიქტი, რაც შიდა კადრის შემთხვევაში ხშირად სწორედ პრობლემად იქცევა: IT-დირექტორი ან HR-ის ხელმძღვანელი, რომელიც თავად განსაზღვრავს დამუშავების პროცესებს, საკუთარი გადაწყვეტილებების ობიექტური მაკონტროლებელი ვერ იქნება.

რა ვადაში უნდა შევატყობინოთ მონაცემთა უსაფრთხოების ინციდენტი?

მონაცემთა უსაფრთხოების დარღვევის შესახებ ზედამხედველ ორგანოს უნდა ეცნობოს ინციდენტის აღმოჩენიდან არაუგვიანეს 72 საათისა. გარდა შეტყობინებისა, ორგანიზაცია ვალდებულია აღრიცხოს მონაცემთა უსაფრთხოების დარღვევის ყველა ინციდენტი, დამდგარი შედეგი და მიღებული ზომები.

72 საათი მოკლე ვადაა მაშინ, როცა ორგანიზაციას წინასწარ განსაზღვრული პროცედურა არ აქვს: ვინ იღებს გადაწყვეტილებას, ვინ აფასებს რისკს, ვინ ამზადებს შეტყობინებას, ვინ ურთიერთობს ზედამხედველ ორგანოსთან. ეს პროცედურა უნდა არსებობდეს ინციდენტამდე, არა მის შემდეგ.

აღსანიშნავია, რომ საქართველოში ინციდენტების შეტყობინების სტატისტიკა მკვეთრად ჩამორჩება ევროკავშირის ქვეყნებს. ეს ჩამორჩენა უფრო ნაკლებ შეტყობინებაზე მიუთითებს, ვიდრე ნაკლებ ინციდენტზე.

რომელი ვალდებულებები ირღვევა ყველაზე ხშირად?

ქართულ კომპანიებში პერსონალურ მონაცემთა დაცვის სამი ვალდებულება ირღვევა ყველაზე ხშირად: გამჭვირვალობის ვალდებულება, ინციდენტზე რეაგირების ვალდებულება და ვიდეო-აუდიომონიტორინგის წესები.

გამჭვირვალობა. კანონი მოითხოვს, რომ მონაცემთა სუბიექტს: თანამშრომელს, კლიენტს, კანდიდატს მონაცემთა შეგროვების მომენტში მიეწოდოს გასაგები ინფორმაცია იმის შესახებ, თუ ვინ, რა მიზნით, რა სამართლებრივი საფუძვლით და რა ვადით ამუშავებს მის მონაცემს, ვის გადაეცემა იგი და რა უფლებები აქვს თავად სუბიექტს. ვებგვერდზე განთავსებული ერთგვერდიანი კონფიდენციალურობის პოლიტიკა, რომელიც სხვა საიტიდან არის გადმოკოპირებული, ამ ვალდებულებას ვერ ასრულებს.

ვიდეო და აუდიომონიტორინგი. ეს არის სფერო, სადაც დარღვევა ყველაზე თვალსაჩინოა და ყველაზე ადვილად დასაფიქსირებელი. კანონი ადგენს, თუ სად შეიძლება კამერის განთავსება, რა შემთხვევაში დაიშვება ხმის ჩაწერა, როგორ უნდა მოხდეს გამაფრთხილებელი ნიშნის განთავსება და რამდენ ხანს შეიძლება ჩანაწერის შენახვა. სამუშაო სივრცეში თანამშრომელზე მიმართული უწყვეტი ვიდეომონიტორინგი დამსაქმებლის ნების საკითხი აღარ არის, ის ცალკე დასაბუთებას მოითხოვს.

საჭიროა თუ არა ნებართვა მონაცემთა საზღვარგარეთ გადაცემისთვის?

მონაცემთა ტრანსსასაზღვრო გადაცემა დასაშვებია, თუ მიმღებ ქვეყანაში უზრუნველყოფილია მონაცემთა დაცვის სათანადო გარანტიები, ან თუ ასეთი გარანტიები დამმუშავებელსა და მიმღებს შორის დადებული ხელშეკრულებით არის უზრუნველყოფილი. ხელშეკრულებაზე დაფუძნებული გადაცემისთვის საჭიროა ზედამხედველი ორგანოს სპეციალური ნებართვა.

ეს არის საკითხი, რომელსაც ქართული კომპანიების უმრავლესობა საერთოდ ვერ ამჩნევს, რადგან სუბიექტურად „გადაცემად“ არ აღიქვამს. თუ თქვენი CRM ამერიკულ სერვერზეა, HR-სისტემა ევროპულ ღრუბელში, ხოლო სააღრიცხვო პროგრამა მესამე ქვეყანაში, თქვენ ახორციელებთ მონაცემთა ტრანსსასაზღვრო გადაცემას და ეს ცალკე სამართლებრივ საფუძველს საჭიროებს. ნებართვის პროცედურა წინასწარ უნდა დაიგეგმოს, არა მაშინ, როცა შემოწმება უკვე დაწყებულია.

VASP-ის ლიცენზიის მაძიებელი ან უკვე ლიცენზირებული კომპანიებისთვის ეს განსაკუთრებით მგრძნობიარე თემაა: KYC/AML პროცედურები, დიდი მოცულობის საიდენტიფიკაციო მონაცემის დამუშავებას გულისხმობს, ხოლო ტექნოლოგიური ინფრასტრუქტურა თითქმის ყოველთვის საზღვარგარეთაა განთავსებული. ეროვნული ბანკის მოთხოვნების შესრულება მონაცემთა დაცვის ვალდებულებას არ ანაცვლებს, ეს ორი პარალელური რეჟიმია.

როდის არის სავალდებულო ზეგავლენის შეფასება?

მონაცემთა დამუშავების ზეგავლენის შეფასება სავალდებულოა, როცა დამუშავება, განსაკუთრებით ახალი ტექნოლოგიების გამოყენებით მაღალ რისკს ქმნის ფიზიკური პირის უფლებებისა და თავისუფლებებისთვის. პრაქტიკულად ზეგავლენის შეფასება ეხება პროფაილინგს, ავტომატიზებულ გადაწყვეტილებებს, ბიომეტრიული იდენტიფიკაციის სისტემებს, ფართომასშტაბიან ვიდეომონიტორინგსა და ხელოვნური ინტელექტის ინსტრუმენტების დანერგვას.

ბოლო წელიწადში ქართულ ბიზნესში AI-ინსტრუმენტების დანერგვის ტემპი შესამჩნევად გაიზარდა. კომპანიების უმეტესობა ამ პროცესს IT- ან ოპერაციულ გადაწყვეტილებად აღიქვამს. სამართლებრივად კი ეს ხშირად სწორედ ის შემთხვევაა, როცა ზეგავლენის შეფასება წინასწარ უნდა ჩატარდეს დანერგვამდე და არა შემდეგ.

შესაბამისობის მოთხოვნები 

კანონი კომპანიას ხუთ ძირითად ვალდებულებას აკისრებს და თითოეულს განსხვავებული ადრესატი და განსხვავებული ვადა აქვს. მოკლედ თუ შევაჯამებთ, სურათი ასეთია.

პერსონალურ მონაცემთა დაცვის ოფიცრის დანიშვნა ევალებათ იმ ორგანიზაციებს, რომლებიც დიდი მოცულობით ამუშავებენ მონაცემებს ან სისტემატურად ამუშავებენ განსაკუთრებული კატეგორიის მონაცემებს. ეს ვალდებულება დადგენილია კანონის 33-ე მუხლით და ძალაშია 2024 წლის 1 ივნისიდან. სხვა ვალდებულებებისგან განსხვავებით, ოფიცრის დანიშვნა შერჩევითია და ის ყველა კომპანიას არ ეხება.

მონაცემთა უსაფრთხოების ინციდენტის შეტყობინება, პირიქით, ყველა დამმუშავებელს ეხება, გამონაკლისის გარეშე. ვადა არის ინციდენტის აღმოჩენიდან არაუგვიანეს 72 საათისა და ეს არის ერთადერთი ვალდებულება, რომელიც საათებში იზომება, შესაბამისად, ერთადერთი, რომლის შესრულებაც წინასწარი პროცედურის გარეშე პრაქტიკულად შეუძლებელია.

გამჭვირვალობის ვალდებულება ასევე ყველა დამმუშავებელს ეხება და სრულდება მონაცემთა შეგროვების მომენტში: სუბიექტს სწორედ მაშინ უნდა მიეწოდოს ინფორმაცია დამუშავების მიზნის, საფუძვლის, ვადისა და საკუთარი უფლებების შესახებ, და არა მოგვიანებით, მოთხოვნის შემთხვევაში.

მონაცემთა დამუშავების ზეგავლენის შეფასება ეხება მხოლოდ მაღალი რისკის დამუშავებას: პროფაილინგს, ავტომატიზებულ გადაწყვეტილებებს, ბიომეტრიულ იდენტიფიკაციას, ფართომასშტაბიან ვიდეომონიტორინგსა და AI-ინსტრუმენტების დანერგვას. აქ კრიტიკულია დროის მომენტი: შეფასება უნდა ჩატარდეს დამუშავების დაწყებამდე, არა მის შემდეგ.

ტრანსსასაზღვრო გადაცემის ნებართვა საჭიროა მაშინ, როცა გადაცემა ხელშეკრულებით უზრუნველყოფილ გარანტიებს ეფუძნება. ნებართვა მიღებული უნდა იყოს გადაცემის დაწყებამდე. თუ მიმღებ ქვეყანაში მონაცემთა დაცვის სათანადო გარანტიებია უზრუნველყოფილი, ცალკე ნებართვა არ მოითხოვება.

ზუსტი ნორმატიული ფორმულირებისთვის იხილეთ კანონის კონსოლიდირებული ტექსტი საქართველოს საკანონმდებლო მაცნეზე.

როგორ მოვემზადოთ შემოწმებისთვის: ოთხი ეტაპი

პერსონალურ მონაცემთა დაცვის შესაბამისობის მიღწევა საშუალო ზომის კომპანიისთვის, როგორც წესი, ორ-სამ კვირას მოითხოვს და ოთხ ეტაპად იყოფა: მონაცემთა აუდიტი, სამართლებრივი საფუძვლის განსაზღვრა, დოკუმენტაციის შექმნა და ოფიცრის განსაზღვრა თანამშრომელთა ინსტრუქტაჟთან ერთად.

პირველი ეტაპი — მონაცემთა აუდიტი. რეალური სურათის აღწერა: რა მონაცემს აგროვებთ, სად ინახება, ვისთვის არის ხელმისაწვდომი, რომელ მესამე პირს გადაეცემა და რა ვადით ინახება. ეს ხშირად ყველაზე გამომაფხიზლებელი ეტაპია, რადგან აღმოჩნდება ხოლმე, რომ წლების წინ წასული თანამშრომლების ფაილებზე ხუთ ადამიანს აქვს წვდომა.

მეორე ეტაპი — სამართლებრივი საფუძვლის განსაზღვრა თითოეული დამუშავების პროცესისთვის. თანხმობა არ არის უნივერსალური პასუხი: შრომით ურთიერთობაში თანხმობა, მხარეთა უთანასწორობის გამო, ხშირად სუსტი საფუძველია და მისი ჩანაცვლება კანონისმიერი ან ხელშეკრულებისმიერი საფუძვლით უფრო მდგრადია.

მესამე ეტაპი — დოკუმენტაციის შექმნა ან განახლება: კონფიდენციალურობის პოლიტიკა, თანამშრომლის ინფორმირების ფორმა, ვიდეომონიტორინგის წესი, ინციდენტზე რეაგირების პროცედურა, მონაცემთა შენახვის ვადების პოლიტიკა და დამუშავებაზე უფლებამოსილ პირებთან, ღრუბლოვან პროვაიდერებთან, აუთსორსინგულ ბუღალტერიასთან, HR-სააგენტოებთან დადებული ხელშეკრულებების შესაბამისობის შემოწმება.

მეოთხე ეტაპი — ოფიცრის განსაზღვრა შიდა თუ გარე რესურსით და თანამშრომლების ინსტრუქტაჟი. ინსტრუქტაჟი ფორმალობად არ უნდა იქცეს: დარღვევათა უმეტესობა ბოროტი განზრახვით არ ხდება, არამედ იმიტომ, რომ თანამშრომელმა არ იცის, რომ კლიენტის პირადობის ასლის პირად ტელეფონზე გადაგზავნა დარღვევაა.

ხშირად დასმული კითხვები

შეიცვალა თუ არა კომპანიების ვალდებულებები ზედამხედველი ორგანოს ცვლილების შემდეგ? არა. 2026 წლის 2 მარტს შეიცვალა ზედამხედველი ორგანო, არა კომპანიების მატერიალური ვალდებულებები. შესაცვლელია მხოლოდ შიდა დოკუმენტებში მითითებული ორგანოს დასახელება და შეტყობინების არხები.

ევალება თუ არა შპს-ს, რომელსაც 10 თანამშრომელი ჰყავს, მონაცემთა დაცვის ოფიცრის დანიშვნა? დამოკიდებულია დამუშავების ხასიათზე, არა თანამშრომელთა რაოდენობაზე. თუ კომპანია სისტემატურად ამუშავებს განსაკუთრებული კატეგორიის მონაცემებს ან დიდი მოცულობით ამუშავებს მონაცემებს, ვალდებულება წარმოიშობა თანამშრომელთა მცირე რაოდენობის მიუხედავად.

რა ხდება, თუ კომპანიამ ოფიცერი არ დანიშნა? კანონი ითვალისწინებს ადმინისტრაციულ პასუხისმგებლობას. პირველად დარღვევაზე გათვალისწინებულია გაფრთხილება, ხოლო მონაცემთა დამმუშავებლის/უფლებამოსილი პირის მიერ პერსონალურ მონაცემთა დაცვის ოფიცრის დანიშვნასთან დაკავშირებული ვალდებულების შეუსრულებლობა გენერალური აუდიტორის მიერ ადმინისტრაციული სახდელის დადებიდან 1 წლის განმავლობაში, გამოიწვევს სამართალდამრღვევის დაჯარიმებას 3 000 ლარის ოდენობით.

საკმარისია თუ არა GDPR-თან შესაბამისობა ქართული კანონის მოთხოვნების დასაკმაყოფილებლად? არა. ქართული კანონი GDPR-ის მიხედვითაა შედგენილი, მაგრამ იდენტური არ არის. განსხვავებები არსებობს ტრანსსასაზღვრო გადაცემის, ვიდეომონიტორინგისა და ზედამხედველ ორგანოსთან ურთიერთობის პროცედურებში.

ვინ არის ზედამხედველი ორგანო, სადაც საჩივარი უნდა შევიტანო? 2026 წლის 2 მარტიდან განსაზღვრულია სახელმწიფო აუდიტის სამსახური.

დასკვნა

ზედამხედველი ორგანოს ცვლილება არ არის მიზეზი, ვივარაუდოთ, რომ კონტროლი შესუსტდება. ინსტიტუციური გარდამავალი პერიოდის შემდეგ საზედამხედველო აქტივობა, როგორც წესი, ინტენსიური ხდება, ხოლო ის კომპანიები, რომლებმაც 2024 წლიდან დღემდე არაფერი გააკეთეს, ყველაზე მოწყვლადები არიან.

პერსონალურ მონაცემთა დაცვის შესაბამისობა არ არის ერთჯერადი პროექტი. ეს არის მუდმივი პროცესი, რომელიც კომპანიის ზრდასთან, ახალი სისტემის დანერგვასთან და პროცესის ცვლილებასთან ერთად უნდა განახლდეს.

L&L Consulting-ი გთავაზობთ პერსონალურ მონაცემთა დაცვის სრულ სამართლებრივ მხარდაჭერას: მონაცემთა აუდიტს, შესაბამისობის დოკუმენტაციის მომზადებას, გარე მონაცემთა დაცვის ოფიცრის მომსახურებას, ტრანსსასაზღვრო გადაცემის სამართლებრივი საფუძვლის მოწესრიგებას და წარმომადგენლობას ზედამხედველ ორგანოსთან ურთიერთობაში.

დაგვიკავშირდით პირველადი კონსულტაციისთვის →

ავტორი

ზურაბ ლორია — ადვოკატი, L&L Consulting-ის მმართველი პარტნიორი.