2024-12-13

გამჭვირვალობის პრინციპი

---

სამსახურს განცხადებით მომართა ფიზიკურმა პირმა და მოითხოვა ერთ-ერთი კომპანიის მიერ მისი მონაცემების დამუშავების კანონიერების შესწავლა და ინფორმირების წესების დარღვევაზე რეაგირება.

განმცხადებლის განმარტებით, მან კომპანიისაგან მოითხოვა საკუთარი მონაცემების (მათ შორის – საკრედიტო „რეპორტისა“ და საკრედიტო ქულის) დამუშავების თაობაზე კანონის მე-13 მუხლით განსაზღვრული ინფორმაცია, რაც კომპანიამ სრულყოფილად არ მიაწოდა.

კომპანიის წარმომადგენელმა საქმისწარმოების ფარგლებში განმარტა, რომ კომპანია მონაცემთა სუბიექტს აწვდიდა ინფორმაციას მის მიერ კომპანიისგან საკრედიტო „რეპორტის“ ან/და საკრედიტო ქულის შესახებ ინფორმაციის გამოთხოვის შესაძლებლობის თაობაზე. აღნიშნული მოთხოვნა კომპანიას შეიძლება წარედგინოს როგორც წერილობით, ისე – ზეპირად, სათანადო იდენტიფიკაციის/ვერიფიკაციის პროცედურის გავლის საფუძველზე, ელექტრონული ფოსტის ან ფოსტის საშუალებით გაგზავნილი განცხადებით, ასევე, ტელეფონით ან კომპანიის პორტალის საშუალებით. კომპანიის წარმომადგენლის განმარტებით, ზემოაღნიშნული ინფორმაციის მიღების გზების თაობაზე მონაცემთა სუბიექტს შეუძლია ნებისმიერი ინფორმაცია მიიღოს კომპანიის ვებგვერდების მეშვეობით ან კომპანიის მიერ პორტალის საშუალებით. საკრედიტო „რეპორტის“ და საკრედიტო ქულის შესახებ ინფორმაციის გაცემისათვის დადგენილია შესაბამისი საფასური (საკრედიტო „რეპორტთან“ დაკავშირებით, საქართველოს ეროვნული ბანკის რეგულაციიდან გამომდინარე, მოქმედებს კომპანიის მიერ მონაცემთა სუბიექტისათვის წელიწადში სამჯერ უფასოდ გაცემის ვალდებულება). თუ მონაცემთა სუბიექტი წერილობით, ზეპირად, სატელეფონო კომუნიკაციის, ელექტრონული ფოსტის ან ფოსტის საშუალებით მიმართავს კომპანიას და მოითხოვს მისი საკრედიტო ისტორიის (საკრედიტო „რეპორტის“) შესახებ ინფორმაციასა და საკრედიტო ქულას, კომპანია იმოქმედებს კანონის მე-13 მუხლის შესაბამისად და დაინტერესებულ პირს ყოველგვარი საფასურის გარეშე მიაწვდის მოთხოვნილ ინფორმაციას.
განცხადების განხილვის ფარგლებში დადგინდა, რომ ერთმანეთთან თანხვედრაში არ იყო კომპანიის წარმომადგენლის განმარტება, კომპანიისაგან ინფორმაციის გამოთხოვის, მონაცემთა სუბიექტისათვის განკუთვნილი საშუალებების შესახებ და ვებგვერდზე არსებული ინფორმაცია. ერთი მხრივ, კომპანიის წარმომადგენელი განმარტების სახით მიუთითებდა კომპანიისაგან ინფორმაციის (მათ შორის – საკრედიტო „რეპორტის“ და საკრედიტო ქულის შესახებ) გამოთხოვის საშუალებებზე, მაგრამ, მეორე მხრივ, ვებგვერდზე არსებული ინფორმაცია ეხებოდა „პრეტენზიების ეფექტურ და დროულ მართვას“, კომპანიის „საქმიანობაში არსებული ხარვეზების გამოვლენას“ და „მომხმარებლის უფლებას, დააფიქსიროს პრეტენზია“ სხვადასხვა ფორმით. მსგავს შემთხვევებში, ერთია მონაცემთა სუბიექტის მიერ კომპანიისაგან ინფორმაციის მოთხოვნა, ხოლო მეორეა, ამავე სუბიექტის მიერ პრეტენზიის, უკმაყოფილების დაფიქსირება კომპანიის მიერ განხორციელებულ ქმედებაზე. აქედან გამომდინარე, სამსახურმა მიიჩნია, რომ მონაცემთა სუბიექტისათვის პრეტენზიის რეალიზების გზების შესახებ მისთვის ინფორმაციის მიწოდება ვერ ჩაითვლებოდა მის შესახებ მონაცემების გამოთხოვის გზების შესახებ ინფორმაციის მიწოდებად.

ამასთან, კომპანიის პორტალსა და ვებგვერდზე არ იყო განთავსებული ინფორმაცია, რომლითაც დადასტურდებოდა მონაცემთა სუბიექტის კომპანიის მიერ ინფორმირებულობა. აღნიშნულის დამადასტურებელი მტკიცებულებები არც კომპანიის წარმომადგენელს მოუწოდებია, გარდა განმარტებისა. როგორც კომპანიის ვებგვერდზე, ასევე პორტალზე დომინირებდა ინფორმაცია პორტალის საშუალებით უფასო და ფასიანი პაკეტებით სარგებლობის, საკრედიტო „რეპორტის“ და საკრედიტო ქულის შესახებ ინფორმაციის მიღების თაობაზე და ა. შ. კომპანია საჯაროდ არ უზრუნველყოფდა მონაცემთა სუბიექტის ინფორმირებას იმის თაობაზე, რომ არსებობდა პორტალის საშუალებით შეთავაზებული ფასიანი პაკეტით გათვალისწინებული სერვისის უფასოდ მიღების შესაძლებლობის ალტერნატიული გზები; მონაცემთა სუბიექტისათვის კანონით მინიჭებული უფლებების რეალიზებისათვის კი მნიშვნელოვანია კომპანიის მიერ მისი ინფორმირება, რათა სუბიექტმა გააზრებული გადაწყვეტილება მიიღოს საკუთარი მონაცემების შესახებ ინფორმაციის გამოთხოვის თაობაზე.

გარდა მონაცემთა სუბიექტისათვის მისაწოდებელი ინფორმაციის შინაარსისა, მნიშვნელოვანია ინფორმაციის მიწოდების ფორმა. ხშირ შემთხვევაში, ასეთ ინფორმაციას შეიცავს დოკუმენტები, რომლებსაც უწოდებენ მონაცემთა დაცვის შესახებ შეტყობინებას, კონფიდენციალურობის პოლიტიკას და ა. შ. ევროკავშირის „მონაცემთა დაცვის ძირითადი რეგულაცია“ არ ითვალისწინებს ამ ინფორმაციის მონაცემთა სუბიექტისათვის მიწოდების კონკრეტულ ფორმატს, თუმცა მასში მკაფიოდ არის მითითებული, რომ დამუშავებისათვის პასუხისმგებელ პირს ევალება „სათანადო ზომების“ მიღება გამჭვირვალობისთვის საჭირო ინფორმაციის უზრუნველყოფის კუთხით. კერძოდ, დამუშავებისთვის პასუხისმგებელმა პირმა უნდა გაითვალისწინოს მონაცემთა დამუშავებასთან დაკავშირებული ყველა გარემოება და ისე მიიღოს გადაწყვეტილება მონაცემთა სუბიექტისათვის ინფორმაციის შესაფერისი ფორმატით მიწოდების უზრუნველყოფის თაობაზე. შესაბამისად, სამსახურმა მიიჩნია, რომ კომპანიის მიერ მონაცემთა სუბიექტისათვის ინფორმაციის საფასურის გადახდის გარეშე მიღების მექანიზმის არსებობა, სუბიექტის ინფორმირების გარეშე, ზღუდავდა გამჭვირვალობის პრინციპის პრაქტიკულ ქმედითობას და ხელს უშლიდა მონაცემთა დაცვის უფლების რეალიზებას.

გამჭვირვალობის პრინციპის თანახმად, დამუშავებისათვის პასუხისმგებელი პირი ვალდებულია, რომ მონაცემთა სუბიექტისათვის განკუთვნილი ინფორმაცია შეიმუშაოს „გასაგებად“, რაც ნიშნავს, რომ ინფორმაციის გაგება უნდა შეეძლოს სამიზნე აუდიტორიის „საშუალო“ სტატისტიკურ წევრს, ხოლო აღნიშნული მჭიდროდ უკავშირდება მკაფიო და მარტივი ენის გამოყენების მოთხოვნას.
განცხადების განხილვის ფარგლებში, სამსახურმა დაადგინა, რომ კომპანიის მიერ მონაცემთა დამუშავების პროცესში მონაცემთა სუბიექტებისათვის არ იყო უზრუნველყოფილი გამჭვირვალობის პრინციპის მოთხოვნები, რაც ეწინააღმდეგებოდა კანონის მე-4 მუხლით დადგენილ წესს და წარმოადგენდა 66-ე მუხლით გათვალისწინებულ ადმინისტრაციულ სამართალდარღვევასა და ადმინისტრაციული პასუხისმგებლობის დაკისრების საფუძველს. დამატებით, კომპანიას შესასრულებლად მიეცა სავალდებულო დავალებები.
ერთ-ერთი საქმის განხილვის დროს დადგინდა, რომ კომპანიის მიერ მიღებული შიდაორგანიზაციული დოკუმენტები და კომპანიასა და დასაქმებულს შორის დადებული შრომითი ხელშეკრულება არ შეიცავდა ინფორმაციას კომპანიის მხრიდან თანამშრომლის სამსახურებრივი ელექტრონული ფოსტის შესაძლო კონტროლის/წვდომის, თანამშრომლის სამსახურიდან გათავისუფლების შემთხვევაში, სამსახურებრივი ელექტრონული ფოსტის გამოყენების, მასზე არსებული ინფორმაციის შენახვისა და შენახვის ხანგრძლივობის შესახებ. შესაბამისად, კომპანიის მიერ ზემოაღნიშნული დოკუმენტაციის განმცხადებლისათვის გაცნობის შემთხვევაში, კომპანია ვერ უზრუნველყოფდა კანონის მე-4 მუხლით განსაზღვრული გამჭვირვალობის პრინციპის მოთხოვნების რეალიზებას. კომპანიის წარმომადგენლის განმარტება, განმცხადებლის ზეპირი ინფორმირების თაობაზე, ვერ იქნებოდა მიჩნეული კანონის მე-4 მუხლის მე-7 პუნქტის მიზნებისათვის გათვალისწინებულ ობიექტურ მტკიცებულებად, რაც დაადასტურებდა კომპანიის, როგორც დამუშავებისთვის პასუხისმგებელი პირის მიერ მონაცემთა დამუშავებისას კანონით განსაზღვრული პრინციპების (მათ შორის, გამჭვირვალობის პრინციპის) დაცვის და მათთან შესაბამისობის დასაბუთების კანონისმიერი ვალდებულების შესრულების ფაქტს. სამსახურმა მიიჩნია, რომ კომპანიის მიერ მონაცემთა დამუშავების პროცესში მონაცემთა სუბიექტისათვის არ იყო უზრუნველყოფილი გამჭვირვალობის პრინციპის მოთხოვნები და დაევალა წესების შემუშავება, რომლებითაც კომპანიის თანამშრომლები ინფორმირებულნი იქნებიან სამსახურებრივი ელექტრონული ფოსტის კომპანიის მხრიდან შესაძლო კონტროლის/წვდომის, თანამშრომლის სამსახურიდან გათავისუფლების შემთხვევაში, სამსახურებრივი ელექტრონული ფოსტის გამოყენების, მასზე არსებული ინფორმაციის შენახვისა და შენახვის ხანგრძლივობის შესახებ.

სამსახურმა შეისწავლა საქმე, რომელიც ეხებოდა სამედიცინო დაწესებულების მიერ გარდაცვლილი პირის მონაცემების გაცემის გზით დამუშავებას. სამედიცინო დაწესებულების წარმომადგენელმა განმარტა, რომ არ ევალებოდათ მონაცემთა სუბიექტის ან მონაცემთა სუბიექტის მშობლის, შვილის, შვილიშვილის ან მეუღლის ინფორმირება პირის გარდაცვალების შემთხვევაში მონაცემების დამუშავების აკრძალვის უფლების შესახებ. შესაბამისად, ვინაიდან დაწესებულებაში არ მოიპოვებოდა აკრძალვის შესახებ ინფორმაცია, მათ
დასაშვებად მიიჩნიეს მესამე პირზე ინფორმაციის გაცემა. მონაცემთა დამუშავების პროცესში კანონის მე-4 მუხლით განსაზღვრული პრინციპები და კონკრეტულად, გამჭვირვალობის პრინციპი, არა მხოლოდ ნორმატიულად მბოჭავ ელემენტს წარმოადგენს, რომლითაც იზღუდება დამუშავებისათვის პასუხისმგებელი/დამუშავებაზე უფლებამოსილი პირის მოქმედების ფარგლები, არამედ კანონის ნორმების განმარტების ფუნქციითაც არის აღჭურვილი. შესაბამისად, სამსახურმა მიიჩნია, რომ კანონის მე-8 მუხლის პირველი პუნქტის „ბ“ ქვეპუნქტში უშუალოდ არ არის რა მითითებული მონაცემთა დამუშავებისთვის პასუხისმგებელი პირის მხრიდან განსახორციელებელი ზემოაღნიშნული ინფორმირების ვალდებულების თაობაზე, თუმცა დასახელებული ნორმის გამჭვირვალობის პრინციპის საშუალებით განმარტებისას საფუძველს მოკლებული იქნებოდა ნორმის შინაარსობრივი იდეა - პირის გარდაცვალების შემდეგ მისი მონაცემების დაცვის შესახებ.