Офицер по защите данных: кто обязан назначить
Закон о защите данных 2023 года создал предусмотренную законом должность, которую многие компании до сих пор не заполнили. Какие секторы обязаны назначить офицера, пороги по численности населения, которые охватывают всех остальных, и задачи, которые несёт эта роль.
Грузия переписала закон о защите данных в 2023 году, и одно из изменений легко упустить, потому что оно создаёт человека, а не политику: определённые организации обязаны назначить офицера по защите персональных данных. Это предусмотренная законом роль с определёнными задачами и требуемой степенью независимости, а не строка в должностной инструкции, и спустя год после вступления в силу большое число подпадающих под неё компаний по-прежнему никого не назначило.
1 марта 2024
Основные положения в силе
Закон принят 14 июня 2023 года
1 июня 2024
Роль офицера действует
Обязанность назначения начинается здесь
3% / 1%
Пороги по населению
Обычные данные / особые категории данных
Откуда берётся обязанность
Закон Грузии «О защите персональных данных» принят 14 июня 2023 года, его основные положения действуют с 1 марта 2024 года. Положения об офицере вступили в силу с 1 июня 2024 года. Правоприменение возложено на Службу государственного аудита, которая со 2 марта 2026 года является правопреемником ликвидированной Службы защиты персональных данных; это надзорный орган с полномочиями по проверкам, а не консультативная структура.
Контролёр данных и обработчик данных в установленных законом случаях назначают офицера по защите персональных данных, который действует независимо при выполнении возложенных задач, не получает указаний о том, как их выполнять, и подотчётен высшему уровню руководства организации.
Кто обязан назначить
К обязанности ведут два пути. Первый - сектор, в котором вы работаете: закон называет категории, где назначение требуется независимо от размера. Второй - масштаб, который охватывает организации любого сектора, как только они обрабатывают достаточно данных или систематически отслеживают поведение.
| Путь | Кого охватывает | Критерий |
|---|---|---|
| По сектору | Публичные учреждения, коммерческие банки, микрофинансовые организации, кредитные бюро, страховые организации, компании электронных коммуникаций, авиакомпании и аэропорты, медицинские учреждения | Названная категория - размер не имеет значения |
| По масштабу | Любая организация, обрабатывающая большие объёмы персональных данных | Выше порогов по населению, установленных надзорным органом |
| По деятельности | Любая организация, ведущая систематический и масштабный мониторинг поведения | Характер обработки, а не сектор |
Пороги, определяющие второй путь
- Обработка персональных данных менее 3 процентов населения Грузии указывает на отсутствие обязанности.
- Обработка данных особых категорий менее 1 процента населения указывает в ту же сторону.
- Отсутствие систематического и масштабного мониторинга поведения субъектов данных - третье условие.
- Они сформулированы как условия, при которых обязанность назначения не возникает, поэтому читаются вместе, а не как меню, - и установлены приказом Генерального аудитора, руководителя Службы государственного аудита (№ 005 от 30 марта 2026 года; он заменил приказ прежней Службы защиты персональных данных 2024 года и сохранил те же цифры), а значит, могут меняться без изменения самого закона.
Обратите внимание, какие секторы названы: коммерческие банки и микрофинансовые организации в списке. Если у вас есть разрешение на финансовые услуги в Грузии, вопрос об офицере почти наверняка уже ваш, и он отделён от всех обязанностей по ПОД/ФТ, которые вы уже выполняете.
Next step
Если обязанность распространяется на вас
Назначенным должен быть конкретный человек, независимый от процессов, которые он контролирует, и служба должна иметь возможность с ним связаться. Trustlex берёт эту роль на аутсорсинг с независимостью, которой требует закон.
Смотреть услугу внешнего DPOЧто офицер должен делать на самом деле
- Контролировать соблюдение организацией законодательства о защите данных и собственных внутренних политик.
- Консультировать по оценкам воздействия на защиту данных и по обработке, несущей повышенный риск.
- Выступать контактным лицом для Службы государственного аудита как надзорного органа и сотрудничать с ней.
- Выступать контактным лицом для субъектов данных, реализующих свои права.
- Делать всё это независимо, без указаний о том, как приходить к выводам, отчитываясь перед высшим руководством организации.
Микрофинансовая организация, считавшая себя слишком маленькой
Небольшая МФО с несколькими тысячами заёмщиков читает пороги по населению, подсчитывает, что обрабатывает данные гораздо менее 3 процентов граждан Грузии, и делает вывод, что обязанности у неё нет.
- 1Путь через пороги - не единственный путь. Микрофинансовые организации - названная категория, где назначение требуется из-за того, чем организация является, а не из-за объёма данных.
- 2Расчёт был верным и не имеющим значения - он ответил на вопрос о масштабе для организации, которой никогда не нужно было до него доходить.
- 3Пробел вскрывается при контакте с надзором, где первый вопрос - кто назначенный офицер и когда сделано назначение.
- 4Организация назначает кого-то задним числом, что исправляет положение на будущее и ничего не делает с периодом, когда назначение требовалось, а никого не было.
Прочтите список секторов до того, как заниматься арифметикой. Для названных категорий пороги просто не являются критерием, и верный расчёт неверного вопроса - самый убедительный способ ошибиться.
Иллюстративный пример. Уточните актуальный список названных категорий, который изменялся после принятия закона.
Продуктовая компания, которая вела мониторинг, не называя его мониторингом
Грузинская софтверная компания встраивает аналитику в свой продукт: запись сессий, поведенческий скоринг и профили для таргетирования предложений внутри приложения. Она не относится ни к одному названному сектору, и число пользователей у неё скромное.
- 1Путь по сектору не применяется, а путь по объёму выглядит спокойно, поэтому компания считает, что обязанность не возникает.
- 2Третье условие - систематический и масштабный мониторинг поведения, а это описание того, что делает аналитический стек, а не категория компании.
- 3Запись сессий плюс поведенческое профилирование плюс автоматическое таргетирование - хрестоматийный пример деятельности, ради которой это условие существует.
- 4Оценка зависит от того, что делает обработка, поэтому она должна быть задокументирована как оценка, а не предположена как ответ.
Компании редко называют собственную аналитику мониторингом - именно поэтому это условие упускают. Более безопасная привычка - письменно зафиксировать, почему обязанность не применяется, потому что именно этот документ запрашивает надзорный орган.
Иллюстративный пример. Является ли конкретная обработка систематическим и масштабным мониторингом, оценивается по фактам.
Что эта статья не решает
Подпадает ли ваша организация и по какому пути, зависит от того, что вы фактически обрабатываете, и от нормативных актов, действующих на основании закона, которые со 2 марта 2026 года применяет Служба государственного аудита. Назначение офицера также не делает организацию соответствующей требованиям: офицер контролирует соблюдение, и офицер, назначенный над программой, которой не существует, просто лучше видит пробел.
Общая информация, а не юридическая консультация. Категории, пороги и задачи установлены Законом Грузии «О защите персональных данных» и актами надзорного органа и меняются.