2024-07-02

ფინეთის პერსონალურ მონაცემთა დაცვის საზედამხედველო ორგანომ არასრულწლოვანთა პერსონალური მონაცემების დამუშავების პროცესის შესწავლისას, პასუხისმგებელ და უფლებამოსილ პირებს შორის ხელშეკრულების არარსებობის ფაქტი გამოავლინა

---

ფინეთის პერსონალურ მონაცემთა დაცვის საზედამხედველო ორგანომ დაადგინა, რომ დამუშავებისთვის პასუხისმგებელი პირი ― ჰელსინკის ადმინისტრაცია,[1] დამუშავებაზე უფლებამოსილი პირის ― ერთ-ერთი კომპანიის დახმარებით ამუშავებდა არასრულწლოვნების, კერძოდ, სკოლის მოსწავლეთა პერსონალურ მონაცემებს.

მონაცემები მუშავდებოდა ელექტრონული აპლიკაციის საშუალებით, რომლითაც მონაცემთა სუბიექტებს შესაძლებლობა ჰქონდათ, დაკავშირებოდნენ სკოლის ადმინისტრაციას ან ფსიქოლოგს.[2] ფაქტობრივი გარემოებების შესწავლის შედეგად დადგინდა, რომ აპლიკაციის შემუშავებიდან საქმის განხილვის დროისთვის დამუშავებისთვის პასუხისმგებელ და დამუშავებაზე უფლებამოსილ პირებს შორის ევროკავშირის „მონაცემთა დაცვის ძირითადი რეგულაციის“ (“GDPR”) 28-ე მუხლით განსაზღვრული ხელშეკრულება არ იყო დადებული.[3] დამუშავებისთვის პასუხისმგებელმა პირმა განმარტა, რომ იგი უკვე აღარ სარგებლობდა დამუშავებაზე უფლებამოსილი პირის ― ერთ-ერთი კომპანიის მომსახურებით, თუმცა აპლიკაციის გამოყენების უზრუნველსაყოფად, იგი სხვა უფლებამოსილ პირს დაუკავშირდა. აღნიშნულის მიუხედავად, სხვა უფლებამოსილ პირთან გაფორმებული შეთანხმებაც არ შეიცავდა ევროკავშირის „მონაცემთა დაცვის ძირითადი რეგულაციის“ 28-ე მუხლით გათვალისწინებულ მოთხოვნებს.

რეგულაციის 28-ე მუხლის მე-3 პუნქტი განსაზღვრავს, რომ უფლებამოსილი პირის მიერ მონაცემების დამუშავების პროცესი წესრიგდება ხელშეკრულებით ან ევროკავშირის ან წევრი სახელმწიფოების კანონმდებლობით დადგენილი სხვა სამართლებრივი აქტით, რომელიც უფლებამოსილ პირს მონაცემთა დამუშავებისთვის პასუხისმგებელი პირის წინაშე აკისრებს გარკვეულ ვალდებულებებს და განსაზღვრავს მონაცემთა დამუშავების მიზანს, ხასიათს, ხანგრძლივობას, დასამუშავებელ მონაცემთა და მონაცემთა სუბიექტების კატეგორიებს, მონაცემთა დამუშავებისთვის პასუხისმგებელი პირის უფლებებსა და ვალდებულებებს.[4]

ზემოაღნიშნულის გათვალისწინებით, ფინეთის პერსონალურ მონაცემთა დაცვის საზედამხედველო ორგანომ დამუშავებისთვის პასუხისმგებელი პირი ევროკავშირის „მონაცემთა დაცვის ძირითადი რეგულაციის“ 28-ე მუხლის მე-3 პუნქტის დამრღვევად მიიჩნია, თუმცა არ დააკისრა ჯარიმა ფინეთის „მონაცემთა დაცვის შესახებ კანონის“ 24-ე მუხლის მე-2 პუნქტიდან გამომდინარე,[5] რომლის თანახმად, საჯარო ორგანოს ადმინისტრაციული ჯარიმა არ ეკისრება.