2025-03-18

საფრანგეთის პერსონალურ მონაცემთა დაცვის საზედამხედველო ორგანომ „მონაცემთა საერთაშორისო გადაცემის ზეგავლენის შეფასების“ სახელმძღვანელო რეკომენდაცია გამოაქვეყნა

საფრანგეთის პერსონალურ მონაცემთა დაცვის საზედამხედველო ორგანომ ორგანიზაციებისა და დაწესებულებებისათვის ევროპის ეკონომიკური სივრცის გარეთ პერსონალურ მონაცემთა გადაცემის შემთხვევაში გამოსაყენებელი სახელმძღვანელო რეკომენდაცია გამოაქვეყნა,[1] რომელშიც ყურადღება გამახვილებულია დამუშავების აღნიშნულ პროცესში მონაცემთა დაცვის შესაბამისი გარანტიების უზრუნველყოფაზე.

სახელმძღვანელო რეკომენდაციაში განხილულია შემდეგი საკითხები:

პერსონალურ მონაცემთა საერთაშორისო გადაცემის მაკვალიფიცირებელი მოთხოვნები;
მონაცემთა საერთაშორისო გადაცემის ზეგავლენის შეფასება;
მონაცემთა საერთაშორისო გადაცემის ზეგავლენის შეფასებაზე პასუხისმგებელი პირი;
მონაცემთა საერთაშორისო გადაცემის ზეგავლენის შეფასების ფარგლები, მათ შორის, მონაცემთა შემდგომ გადაცემებთან მიმართებით;
გადაცემის „მონაცემთა დაცვის ძირითადი რეგულაციით“ გათვალისწინებულ პრინციპებთან შესაბამისობის საკითხი.

მონაცემთა საერთაშორისო გადაცემის ზეგავლენის შეფასების პროცესში, სახელმძღვანელო რეკომენდაციის თანახმად, მიზანშეწონილია შემდეგი ეტაპების გათვალისწინება:

მონაცემთა გადაცემის შესახებ დეტალური ინფორმაციის მხედველობაში მიღება;
„მონაცემთა გადაცემის საშუალების“ (“Transfer Tool” ) იდენტიფიცირება (იგულისხმება იმგვარი საშუალებები, მაგალითად, როგორებიცაა: ხელშეკრულების სტანდარტული პირობები, სავალდებულო კორპორაციული წესები და სხვა);
მონაცემთა მიმღები ქვეყნის კანონმდებლობისა და პრაქტიკის, ასევე, მონაცემთა უსაფრთხოების დაცვის დამატებითი საშუალებების და მონაცემთა გადაცემის საშუალების ეფექტიანობის შეფასება;
შესაბამისი დამატებითი ზომებისა და პროცედურების განხორციელება;
პერიოდულად მონაცემთა დაცვის გარანტიების შემოწმება, ასევე, ისეთი გარემოებების გათვალისწინება, რომელთაც შესაძლოა მოახდინონ მასზე ზეგავლენა.

პერსონალურ მონაცემთა დაცვის მაღალი ხარისხის გარანტია

პერსონალურ მონაცემთა საერთაშორისო, მათ შორის, ევროპის ეკონომიკური სივრცის გარეთ გადაცემის საკითხი აქტუალურობას ინარჩუნებს, როგორც მცირე, აგრეთვე, საშუალო ზომის ორგანიზაციებისა და დაწესებულებებისათვის. მზარდია პერსონალურ მონაცემთა მესამე ქვეყნებში გადაცემის შემთხვევებიც, სადაც ევროკავშირის კანონმდებლობა და „მონაცემთა დაცვის ძირითადი რეგულაცია“ ყოველთვის არ ვრცელდება.

ევროკავშირის „მონაცემთა დაცვის ძირითადი რეგულაციის“ თანახმად, საერთაშორისო გადაცემის შემთხვევაშიც, საჭიროა შენარჩუნდეს მონაცემთა უსაფრთხოების დაცვის რეგულაციით განსაზღვრული სტანდარტი. ევროკავშირის მართლმსაჯულების სასამართლოს პრაქტიკაში, კერძოდ, გადაწყვეტილებაში სახელწოდებით ― “Schrems II” შეფასებულია იმ მონაცემთა გადამცემი ორგანიზაციების პასუხისმგებლობის საკითხი, რომლებიც პერსონალურ მონაცემებს ევროპის ეკონომიკური სივრცის გარეთ გადასცემენ, აგრეთვე, ხაზგასმულია მიმღებ სახელმწიფოში, პერსონალურ მონაცემთა უსაფრთხოების დაცვის მიმართულებით მონაცემთა მიმღები პირების პასუხისმგებლობაზე. მათი ვალდებულებაა დარწმუნდნენ, რომ მონაცემები, მათ შორის, მათი გადაცემის პროცესშიც, მუშავდება ევროპის ეკონომიკური სივრცის საკანონმდებლო ჩარჩოს მოთხოვნების შესაბამისად. ევროკავშირის მართლმსაჯულების სასამართლოს განმარტებით, მონაცემთა გადამცემი დამუშავებისთვის პასუხისმგებელი პირის ვალდებულებაა მონაცემთა საერთაშორისო გადაცემის შეწყვეტა და შესაბამისი ხელშეკრულების მოშლა იმ შემთხვევაში, თუ იმპორტიორი არ/აღარ ასრულებს ნაკისრ ვალდებულებებს პერსონალურ მონაცემთა დაცვის შესახებ.

მონაცემთა საერთაშორისო გადაცემის ზეგავლენის შეფასების საკითხი

მონაცემთა გადამცემი დამუშავებისთვის პასუხისმგებელი პირის ვალდებულებაა მონაცემთა საერთაშორისო გადაცემისას (მათ შორის, მესამე ქვეყნებში) შეამოწმოს მათი დაცვის ხარისხი და რამდენად არსებობს დამატებითი მექანიზმების გამოყენების საჭიროება აღნიშნულ საკითხთან მიმართებით. ეს პროცესი ცნობილია მონაცემთა საერთაშორისო გადაცემის ზეგავლენის შეფასების სახელწოდებით (“Data Transfer Impact Assessment – TIA”).

საფრანგეთის საზედამხედველო ორგანოს სახელმძღვანელო რეკომენდაცია მონაცემთა ექსპორტიორებისათვის მონაცემთა საერთაშორისო გადაცემის რისკის შეფასების პროცესში დასახმარებლად იქნა შემუშავებული. მასში „ევროპის მონაცემთა დაცვის საბჭოს“ (“EDPB”) „მონაცემთა საერთაშორისო გადაცემის ინსტრუმენტთა დამატებითი ზომების შესახებ“ სახელმძღვანელო რეკომენდაცია იქნა გათვალისწინებული.

მონაცემთა საერთაშორისო გადაცემის ზეგავლენის შეფასების საჭიროება

მონაცემთა გადამცემი ორგანიზაცია (დამუშავებისთვის პასუხისმგებელი პირი), რომელზეც ევროკავშირის „პერსონალურ მონაცემთა დაცვის ძირითადი რეგულაცია“ ვრცელდება, ცალკეულ შემთხვევებში ვალდებულია, განახორციელოს მონაცემთა საერთაშორისო გადაცემის ზეგავლენის შეფასება. იგი შეფასებას მონაცემთა მიმღები ორგანიზაციის დახმარებით ახორციელებს. მაგალითად, ევროპის ეკონომიკური სივრცის გარეთ მონაცემთა გადაცემამდე, საჭიროა შეფასდეს მონაცემთა საერთაშორისო გადაცემის ზეგავლენა, თუ მონაცემთა გადაცემა ძირითადი რეგულაციის 46-ე მუხლით განსაზღვრული საშუალებით ხორციელდება (მაგალითად: ხელშეკრულების სტანდარტული პირობები, სავალდებულო კორპორაციული წესები და სხვა მსგავსი საშუალებით).[2] მონაცემთა გადამცემი ორგანიზაცია აღნიშნული ვალდებულებისაგან შემდეგ ორ შემთხვევაში თავისუფლდება:

თუ მიმღები ქვეყანა ექცევა ევროკომისიის მიერ შემუშავებულ მონაცემთა დაცვის სათანადო დაცვის გარანტიების ნუსხაში;

მონაცემთა საერთაშორისო გადაცემა ეფუძნება ძირითადი რეგულაციის 49-ე მუხლით განსაზღვრულ ერთ-ერთ გამონაკლისს.

მონაცემთა საერთაშორისო გადაცემის ზეგავლენის შეფასების მიზანი

მონაცემთა საერთაშორისო გადაცემის ზეგავლენის შეფასების გადამცემი ორგანიზაციის მიერ მონაცემთა დაცვის ვალდებულებებთან შესაბამისობის კონკრეტული საშუალებით (მაგალითად: ხელშეკრულების სტანდარტული პირობები, სავალდებულო კორპორაციული წესები და სხვა) მიწევის შესაძლებლობის დასაბუთება. საჭიროა მხედველობაში იქნას მიღებული მესამე ქვეყნის კანონმდებლობა და მონაცემთა დაცვის სტანდარტები. განსაკუთრებული ყურადღებით უნდა შეფასდეს მესამე ქვეყანაში ადგილობრივ მთავრობათა მიერ გადაცემულ მონაცემებზე წვდომის საკითხი.

მონაცემთა საერთაშორისო გადაცემის ზეგავლენის შეფასების დოკუმენტი, ზოგიერთ შემთხვევაში, საჭიროა ამოწმებდეს შერჩეული დამატებითი უსაფრთხოების ზომების ადეკვატურობას, რათა ევროკავშირისა და მესამე ქვეყნის კანონმდებლობათა მოთხოვნების განსხვავებების შემთხვევაში, სათანადოდ იქნას უზრუნველყოფილი გადაცემულ მონაცემთა უსაფრთხოება.

სახელმძღვანელო რეკომენდაციის მიზანი და ფარგლები

სახელმძღვანელო რეკომენდაცია ითვალისწინებს საერთაშორისო გადაცემის ზეგავლენის შეფასებამდე განსახორციელებელი მოქმედებების შესახებ ინფორმაციას. იგი წარმოადგენს ერთგვარ გზამკვლევს, თუ როგორ უნდა იქნას გათვალისწინებული „მონაცემთა დაცვის ევროპული საბჭოს“ შესაბამისი რეკომენდაციები, აგრეთვე, აღნიშნულ თემატიკაზე დამატებითი სასარგებლო წყაროებსა და რესურსებს. საგულისხმოა, რომ მას მხოლოდ სარეკომენდაციო ხასიათი აქვს.