დამუშავებისთვის პასუხისმგებელ პირთა და დამუშავებაზე უფლებამოსილ პირთა წრის განსაზღვრის შესახებ, რომლებსაც არ აქვთ ვალდებულება დანიშნონ ან განსაზღვრონ პერსონალურ მონაცემთა დაცვის ოფიცერი

2. ძალადაკარგულად გამოცხადდეს „დამუშავებისთვის პასუხისმგებელ პირთა და დამუშავებაზე უფლებამოსილ პირთა წრის განსაზღვრის შესახებ, რომლებსაც არ აქვთ ვალდებულება დანიშნონ ან განსაზღვრონ პერსონალურ მონაცემთა დაცვის ოფიცერი“ პერსონალურ მონაცემთა დაცვის სამსახურის უფროსის 2024 წლის 28 თებერვლის №22 ბრძანება.

2. ამ მუხლის პირველი პუნქტით გათვალისწინებული პირთა წრის განსაზღვრისას გენერალური აუდიტორი ითვალისწინებს „პერსონალურ მონაცემთა დაცვის შესახებ“ საქართველოს კანონის 33-ე მუხლის პირველი პუნქტით დადგენილ კრიტერიუმებს.

ა) არ არის საჯარო დაწესებულება, სადაზღვევო ორგანიზაცია, კომერციული ბანკი, მიკროსაფინანსო ორგანიზაცია, საკრედიტო ბიურო, ელექტრონული კომუნიკაციის კომპანია, ავიაკომპანია, აეროპორტი, სამედიცინო დაწესებულება;

ბ) ამუშავებს შემდეგი რაოდენობის მონაცემთა სუბიექტის პერსონალურ მონაცემებს:

ბ.ა) საქართველოს მოსახლეობის არაუმეტეს 3 პროცენტისა, რომელიც გამოითვლება მოსახლეობის საყოველთაო აღწერის ბოლო შედეგების მიხედვით;

ბ.ბ) საქართველოს მოსახლეობის არაუმეტეს 1 პროცენტის განსაკუთრებული კატეგორიის პერსონალურ მონაცემებს, რომელიც გამოითვლება მოსახლეობის საყოველთაო აღწერის ბოლო შედეგების მიხედვით;

გ) არ ახორციელებს მონაცემთა სუბიექტების ქცევის სისტემატურ და მასშტაბურ მონიტორინგს.

2. პერსონალურ მონაცემთა დაცვის შესახებ“ საქართველოს კანონის მე-2 მუხლის მე-2 პუნქტის „ბ“ ქვეპუნქტით განსაზღვრული საქმიანობების განმახორციელებელ დაწესებულებას მონაცემთა დაცვის ოფიცრის დანიშვნა/განსაზღვრა არ ევალება იმ შემთხვევაში, თუ იგი მონაცემებს ამუშავებს უშუალოდ იმავე ქვეპუნქტით განსაზღვრული საქმიანობების ფარგლებში.

3. ამ მუხლის მიზნებისთვის, მონაცემთა სუბიექტებად არ ითვლებიან დამუშავებისთვის პასუხისმგებელი პირის/დამუშავებაზე უფლებამოსილი პირის დასაქმებულები, მიუხედავად მათი რაოდენობისა.

ა) ინტერნეტაქტივობის თვალთვალი (ე.წ. „თრექინგი“, სადაც ხდება მონაცემთა სუბიექტის წინასწარი რეგისტრაცია (მომხმარებლის შექმნა/აქტივაცია));

ბ) პროფაილინგი ან ქულების მინიჭება რისკების შეფასების მიზნით;

გ) ადრეული აღზრდისა და განათლების ან/და სკოლამდელი აღზრდისა და განათლების დაწესებულების, ზოგადსაგანმანათლებლო დაწესებულების, პროფესიული საგანმანათლებლო დაწესებულების, პროფესიული მომზადების/პროფესიული გადამზადების პროგრამის განხორციელების უფლებამოსილების მქონე იურიდიული პირის, უმაღლესი საგანმანათლებლო დაწესებულების მიერ ბავშვების, მოსწავლეების, პროფესიული სტუდენტების/მსმენელებისა და სტუდენტების ქცევის მონიტორინგი;

დ) პერსონალურ მონაცემებზე დაფუძნებული ქცევითი რეკლამირება.

2. გარდა ამ მუხლის პირველი პუნქტით გათვალისწინებული ჩამონათვალისა, მონაცემთა სუბიექტების ქცევის სისტემატური და მასშტაბური მონიტორინგი შეიძლება განხორციელდეს სხვა აქტივობითაც, რომლის სისტემატური და მასშტაბური ხასიათის შეფასების პროცესში მონაცემთა დამუშავებისთვის პასუხისმგებელმა პირმა/დამუშავებაზე უფლებამოსილმა პირმა უნდა იხელმძღვანელოს ამ მუხლის მე-3 და მე-4 პუნქტებში ჩამოთვლილი კრიტერიუმებით.

3. მონიტორინგის სისტემატურობის შეფასებისას გათვალისწინებული უნდა იქნეს:

ა) მონაცემთა დამუშავების სიხშირე, მისი განგრძობადობა და პერიოდულად განმეორებადი ხასიათი;

ბ) მონაცემთა დამუშავების წინასწარ დაგეგმილი ხასიათი, ორგანიზებულობა და თანმიმდევრულობა;

გ) წარმოადგენს თუ არა მონაცემთა დამუშავება დამუშავებისთვის პასუხისმგებელი პირის/დამუშავებაზე უფლებამოსილი პირის ძირითადი საქმიანობის ნაწილს.

4. ამ აქტის მიზნებისთვის, მონაცემთა სუბიექტების ქცევის მონიტორინგის მასშტაბურობის შეფასებისას გათვალისწინებული უნდა იქნეს:

ა) მონაცემთა სუბიექტების რაოდენობა;

ბ) დამუშავებული მონაცემების მოცულობა ან/და დამუშავებული მონაცემების სახეობათა სიმრავლე;

გ) მონაცემთა დამუშავების პროცესის ხანგრძლივობა;

დ) მონაცემთა დამუშავების პროცესის გეოგრაფიული დაფარვა.

5. ამ მუხლის მიზნებისთვის მონაცემთა სუბიექტების სისტემატურ და მასშტაბურ მონიტორინგად არ მიიჩნევა დამუშავებისთვის პასუხისმგებელი პირის/დამუშავებაზე უფლებამოსილი პირის ადმინისტრაციული/სამუშაო ადგილის ან დამხმარე ინფრასტრუქტურის ვიდეომონიტორინგის ფარგლებში მონაცემთა დამუშავება, გარდა ე.წ. „ჭკვიანი ვიდეოკამერების“ მეშვეობით მონაცემთა დამუშავებისა.