Закон о персональных данных в Грузии: обязанности

Компания с иностранным владельцем, зарегистрированная в Грузии, становится контролёром данных по грузинскому праву в тот день, когда у неё появляется первый список клиентов, зарплатная ведомость или форма регистрации. Закон Грузии «О защите персональных данных», основные положения которого действуют с 1 марта 2024 года, не соизмеряет основные обязанности с размером: правовое основание для каждого использования персональных данных, ответы людям в установленные сроки, безопасность, учёт, письменный договор с каждым обработчиком и уведомление о серьёзных инцидентах. Он читается почти как GDPR, но это не GDPR. Иностранные учредители ошибаются именно на различиях.

Когда закон распространяется на вашу компанию

Закон охватывает обработку персональных данных на территории Грузии автоматическими средствами и бумажные записи, которые ведутся в файловой системе. Грузинское ООО подпадает под него в том, что обрабатывает здесь, о чьих бы данных ни шла речь. Контролёр данных решает, зачем и как обрабатываются данные; обработчик работает с ними от имени контролёра. Закон дотягивается и до компании, зарегистрированной за пределами Грузии, если она обрабатывает данные техническими средствами, находящимися в Грузии, кроме простого транзита. Такая компания назначает в Грузии специального представителя и регистрирует его до начала обработки, если только она не учреждена в Европейском союзе и не подчиняется правилам ЕС либо не учреждена в стране, за которой ЕС признал надлежащий уровень защиты.

Одно изменение касается каждого старого шаблона. Законом от 17 декабря 2025 года Служба защиты персональных данных ликвидирована 2 марта 2026 года. С этой даты её правопреемником является Служба государственного аудита, которая продолжает начатые ею дела, и Закон называет эту Службу везде, где раньше называл прежнюю: уведомления, жалобы и проверки идут туда, а нормативные акты и решения в этой сфере издаёт Генеральный аудитор. Правила, изданные на основании Закона и действовавшие на 1 марта 2026 года, сохраняют силу до их замены; право менять или отменять их перешло к Генеральному аудитору. Сроки и суммы ниже приведены по Закону в редакции после этой поправки.

Основания, на которые реально опирается небольшая компания

• Договор: учётные записи клиентов, заказы, счета и поддержка - в той мере, в какой данные нужны для исполнения договора.
• Обязанность по закону: зарплатные, налоговые и пенсионные записи, а также досье по проверке клиентов, если компания - подотчётное лицо по закону о противодействии отмыванию денег.
• Согласие: всё, что для услуги не нужно. Оно должно быть свободным, конкретным и информированным; отзыв согласия должен быть бесплатным, простым и возможным в той же форме, в которой согласие дано; а доказывать, что согласие есть, приходится контролёру.
• Прямой маркетинг: согласие требуется независимо от источника данных. Для всего, кроме имени, адреса, номера телефона и адреса электронной почты, оно должно быть письменным, а просьбу прекратить нужно исполнить не позднее семи рабочих дней.
• Значимые законные интересы, если права человека их не перевешивают. Особым категориям данных, среди которых данные о здоровье и сведения о судимости, нужно более узкое основание, обычно письменное согласие или специальный закон.

О чём может попросить человек и как быстро нужно ответить

В момент сбора компания простым языком сообщает человеку, кто она, зачем и на каком основании обрабатывает данные, кто их получает, уходят ли они за рубеж, как долго хранятся и какие у человека права; на практике это уведомление о конфиденциальности. А человек, получивший отказ, может обратиться с жалобой в Службу государственного аудита или в суд, где бремя доказывания несёт компания.

Постоянное досье: учёт, безопасность, обработчики и оценка воздействия

• Учёт обработки: цели, категории данных и людей, получатели, передачи за рубеж и их гарантии, сроки хранения, общее описание мер безопасности и инциденты. Надзорный орган может его запросить и должен получить в течение трёх рабочих дней.
• Безопасность, соразмерная риску: доступ по ролям, журнал действий с электронными данными и обязанность сотрудников соблюдать конфиденциальность.
• Письменный договор с каждым обработчиком с указанием оснований и целей, категорий данных и срока. Обработчик действует только по письменным указаниям, в конце возвращает или удаляет данные и привлекает субобработчика только с предварительного письменного согласия; контролёр следит за его работой.
• Письменная оценка воздействия на защиту данных, сделанная заранее, если обработка с высокой вероятностью создаёт угрозу основным правам, и в любом случае для полностью автоматизированных решений со значимыми последствиями, для особых категорий данных большого числа людей, которое Закон определяет как 3 процента населения Грузии и более, и для систематического масштабного мониторинга в общественных местах.
• Защита данных, встроенная в новые продукты: по умолчанию обрабатываются только необходимые данные. Как правило, программное обеспечение, созданное до 1 марта 2024 года, под эту обязанность не подпадает, если с тех пор оно существенно не обновлялось.

Обязана ли компания ещё и назначить офицера по защите персональных данных - отдельный тест, по сектору и по масштабу; ему на этом сайте посвящены две статьи: о том, кто обязан назначить офицера, и о передаче этой роли на аутсорсинг.

Инцидент всегда фиксируют, а часто и сообщают о нём в течение 72 часов

Закон называет утечку инцидентом: это нарушение безопасности, которое ведёт к утрате, раскрытию, уничтожению или изменению данных либо к несанкционированному доступу к ним. Контролёр фиксирует каждый инцидент, его последствия и принятые меры. Если нельзя сказать, что инцидент вряд ли причинит существенный вред или создаст существенную угрозу основным правам и свободам, контролёр также уведомляет Службу государственного аудита не позднее 72 часов после обнаружения, а обработчик сообщает своему контролёру немедленно. Если существенный вред высоковероятен, затронутым людям сообщают без неоправданной задержки и простым языком.

Передача данных за пределы Грузии

Большинство компаний с иностранным владельцем отправляют данные за рубеж каждый день: в клиентскую систему материнской компании, облачному провайдеру, зарплатному провайдеру. Передача допускается, если сама обработка законна, а в принимающем государстве или международной организации обеспечены надлежащие гарантии защиты; перечень таких государств устанавливается нормативным актом надзорного органа, и читать его нужно в актуальной редакции. Контролёр может обеспечить гарантии договором с получателем, но для этого до передачи нужно разрешение Службы государственного аудита. Человек может дать письменное согласие после того, как ему сообщили об отсутствии гарантий и о возможных рисках. Остальные пути - международный договор, передача, предусмотренная одним из законов, которые перечисляет Закон, жизненно важные интересы человека, когда он не может дать согласие, и значимый публичный интерес.

Насколько закон близок к GDPR

Грузинская компания, предлагающая услуги людям в Европейском союзе, может подпадать и под GDPR - по его собственному территориальному критерию. Соблюдение грузинского закона на этот вопрос не отвечает, а в программу защиты данных, построенную под GDPR, всё равно нужно вписать грузинские сроки, грузинский надзорный орган и грузинские правила передачи.

Как выглядят проверка и штраф

Служба государственного аудита вправе проверить любого контролёра или обработчика. Она может запросить любой документ и войти в помещения, а запрошенные материалы нужно передать сразу или в течение 10 рабочих дней, если их требуется собрать. Обнаружив нарушение, она может потребовать его устранения, приостановить или прекратить обработку, прекратить передачу за рубеж или наложить взыскание. Взыскания - это фиксированные суммы двух уровней, в зависимости от того, превышает ли годовой оборот 500 000 лари. На момент написания за обработку без правового основания предусмотрено предупреждение или штраф 1 000 лари на нижнем уровне и 2 000 лари на верхнем, за нарушение требований безопасности или незаконную передачу за рубеж - 2 000 и 4 000 лари; суммы растут при отягчающих обстоятельствах, например при повторном нарушении в течение года. Штрафы за несколько нарушений, выявленных одной проверкой, ограничены 10 000 и 20 000 лари. Прекращение нарушения, возмещение вреда и сотрудничество снижают штраф на 20, 30 или 50 процентов. Взыскание можно наложить не позднее четырёх месяцев со дня нарушения, а при длящемся нарушении - со дня его выявления, и решение можно обжаловать в суд в течение месяца со дня официального ознакомления с ним.

На какие вопросы эта статья не отвечает

У видео- и аудиомониторинга, биометрических данных и данных детей в Законе свои правила. Поверх него действуют отраслевые правила: банковская тайна, врачебная тайна, хранение записей по противодействию отмыванию денег. Применяется ли к вашей компании наряду с грузинским законом GDPR или иной иностранный закон, зависит от того, где находятся ваши пользователи, и это вопрос к юристу там. Не воспроизводит эта статья и нормативные акты надзорного органа, например критерии инцидента и перечень стран с надлежащими гарантиями.