2025-02-18

„მონაცემთა დაცვის ევროპული საბჭოს“ (“EDPB") მოსაზრება მონაცემთა დამუშავებისთვის პასუხისმგებელი პირისა და დამუშავებისთვის პასუხისმგებელი პირის ქვე-დამმუშავებლის (“Sub-Processor”) ვალდებულებების შესახებ

---

2024 წლის 7 ოქტომბერს „მონაცემთა დაცვის ევროპულმა საბჭომ“ გამოაქვეყნა მოსაზრება[1] მონაცემთა დამუშავებისთვის პასუხისმგებელი პირის და დამუშავებისთვის პასუხისმგებელი პირის ქვე-კონტრაქტორის ან ქვე-დამმუშავებლის (“Sub-Processor”) შესახებ.

საბჭოს მოსაზრება შეეხება მონაცემთა დამუშავებისთვის პასუხისმგებელ პირსა და მის თანა-დამმუშავებელთან, აგრეთვე  ქვე-დამმუშავებელთან ურთიერთობების საკითხებს.

ქვე-კონტრაქტორი ან ქვე-დამმუშავებელი დამუშავებაზე უფლებამოსილი პირის დავალების მიხედვით მოქმედი პირია,[2] რომელიც  პერსონალურ მონაცემებს ამუშავებს დამუშავებაზე უფლებამოსილი პირისათვის. ქვე-დამმუშავებელი შეიძლება იყოს იურიდიული პირი, მაგალითად, მცირე და საშუალო ბიზნესი, საჯარო დაწესებულება, სააგენტო ან სხვა ორგანო.

ქვე-დამმუშავებლის დანიშვნა:

ქვე-დამმუშავებლის დასანიშნად აუცილებელი წინაპირობაა წერილობითი თანხმობა, რომელიც გაიცემა მონაცემთა დამუშავებისთვის უფლებამოსილი პირის ან თანა-დამმუშავებლის მიერ.  დამუშავებისთვის პასუხისმგებელმა პირმა უნდა შეადგინოს ხელშეკრულება ქვე-დამმუშავებელთან, რომლითაც განისაზღვრება ქვე-დამმუშავებელის ვალდებულებები.

წინამდებარე ხელშეკრულება დამუშავებაზე უფლებამოსილ პირსა და ქვე-დამმუშავებელს შორის უნდა უზრუნველყოფდეს მონაცემთა სუბიექტების უფლებების დაცვის იგივე ხარისხს, რაც უზრუნველყოფილია მონაცემთა დამუშავებისთვის უფლებამოსილ პირსა და დამუშავებაზე პასუხისმგებელ პირს შორის არსებული ხელშეკრულებით.

საბჭოს მიერ მომზადებულ სარეკომენდაციო ხასიათის დოკუმენტში განხილულია სხვადასხვა შემთხვევა, როდესაც საჭიროა დამუშავებისთვის პასუხისმგებელი პირის გარკვეული უფლებებისა და მოვალეობების განმარტების საკითხი, აგრეთვე, მხარეთა შორის დასადები ხელშეკრულების ტექსტის შედგენის საკითხი.[3]

საბჭოს მოსაზრება შეიცავს პრაქტიკულ ინფორმაციას მონაცემთა დამუშავებისთვის პასუხისმგებელი პირის ვალდებულებების შესახებ.

საკონტაქტო ინფორმაციის შენახვის ვალდებულება:

მონაცემთა დამუშავებისთვის პასუხისმგებელ პირს, უნდა ჰქონდეს ყველა დამუშავებაზე უფლებამოსილი  პირისა და ქვე-დამმუშავებელის შესახებ ინფორმაცია (მაგალითად, სახელი, მისამართი, საკონტაქტო პირის ვინაობა). [4]

უსაფრთხოების გარანტიებთან შესაბამისობის შემოწმების ვალდებულება:

დამუშავებისთვის პასუხისმგებელი პირი ვალდებულია, გადაამოწმოს დამუშავებაზე უფლებამოსილი პირის და ქვე-დამმუშავებლის მიერ მონაცემთა უსაფრთხოების დაცვის სათანადო გარანტიებთან შესაბამისობის საკითხი.

გადამოწმების ვალდებულება  წარმოიშვება განუსაზღვრელად იმისა, აყენებს თუ არა დამუშავების პროცესი მონაცემთა სუბიექტების უფლებებს და თავისუფლებებს მაღალი რისკის ქვეშ. 

მონაცემთა დამუშავებისთვის პასუხისმგებელი პირი, როგორც გადაწყვეტილების მიმღები პირი:

დამუშავებისთვის პასუხისმგებელი პირი ვალდებულია, მიაღწიოს შეთანხმებას ქვე-დამმუშავებელთან „უსაფრთხოების დაცვის სათანადო გარანტიების“ შესახებ, თუმცა, წინამდებარე საკითხებზე საბოლოო გადაწყვეტილებების მიღების ვალდებულება და მისგან მომდინარე პასუხისმგებლობები ქვე-დამმუშავებელთან თანამშრომლობის თვალსაზრისით, კვლავ მონაცემთა  დამუშავებისთვის უფლებამოსილი პირის (და არა დამუშავებაზე პასუხისმგებელი პირის) ვალდებულების ნაწილში ექცევა.

საბჭოს მოსაზრებით, ევროპის „მონაცემთა დაცვის ძირითადი რეგულაცია“ არ ავალდებულებს მონაცემთა დამუშავებისთვის პასუხისმგებელ პირს სისტემატიურად მოითხოვოს ხელშეკრულებების ასლები, რათა შეამოწმოს, თუ რამდენად გაითვალისწინეს მასთან თანამშრომლობაში მყოფმა ქვე-დამმუშავებლებმა  მონაცემთა დაცვის შესაბამისი კანონმდებლობის მიერ განსაზღვრული ვალდებულებები.

მონაცემთა დამუშავებისთვის პასუხისმგებელმა პირმა უნდა შეაფასოს, სიტუაციიდან გამომდინარე, საჭიროა თუ არა  ხელშეკრულებების ასლების მოთხოვნა და გაცნობა, რათა შეძლოს ევროპის „მონაცემთა დაცვის ძირითადი რეგულაციის“ მოთხოვნებთან შესაბამისობის უზრუნველყოფა უფლებამოსილი პირებისა და საზედამხედველო ორგანო(ები)სათვის.

ვალდებულებები მონაცემთა საერთაშორისო გადაცემასთან მიმართებით:

თუ ქვე-დამმუშავებელი პერსონალურ მონაცემებს ევროპის ეკონომიკური სივრცის გარეთ გადასცემს,  დამუშავებისთვის პასუხისმგებელმა პირმა უნდა მოამზადოს შესაბამისი დოკუმენტი, სადაც გადაცემის შესახებ ყველა საკითხი დეტალურად იქნება გათვალისწინებული.  

მონაცემთა გადაცემის შესახებ დოკუმენტში საჭიროა აღიწეროს მონაცემთა გადაცემის ფორმა, გადაცემის მონაცემთა სუბიექტების უფლებებზე  ზეგავლენის შეფასება და მონაცემთა უსაფრთხოების უზრუნველსაყოფად განხორციელებული ზომების შესახებ ინფორმაცია.[5]

ამავდროულად, მონაცემთა დაცვის საზედამხედველო ორგანოს მოთხოვნის საფუძველზე, დამუშავებისთვის პასუხისმგებელი პირი ვალდებულია, ადაადასტუროს მონაცემთა დაცვის სათანადო გარანტიებთან შესაბამისობა.[6] მონაცემთა დამუშავებისთვის პასუხისმგებელმა პირმა აღნიშნული დოკუმენტი, მოთხოვნისამებრ, უნდა მიაწოდოს  საზედამხედველო ორგანოს.