О защите персональных данных

Закон Грузии

О защите персональных данных

Глава I

Общие положения

Статья 1. Цели Закона

Целью настоящего Закона является обеспечение при обработке персональных данных защиты прав и свобод человека, в том числе − неприкосновенности личной жизни.

Статья 2. Разъяснение терминов

Термины, использованные в настоящем Законе, имеют следующие значения:

а) персональные данные (далее − данные) − любая информация, связанная с идентифицированным или идентифицируемым физическим лицом. Лицо является идентифицируемым, когда возможно его идентифицировать прямо или косвенно, в частности, по идентификационному номеру или характерным физическим, физиологическим, психологическим, экономическим, культурным либо социальным признакам;

б) данные особой категории − данные, связанные с расовой или этнической принадлежностью, политическими убеждениями, религиозными или философскими взглядами, членством в профессиональных организациях, состоянием здоровья, сексуальной жизнью или судимостью, а также биометрические данные, при помощи которых возможна идентификация лица по вышеуказанным признакам;

в) биометрические данные − любые физические, психические или поведенческие характеристики, которые уникальны и постоянны для каждого физического лица и по которым возможна идентификация указанного лица (отпечатки пальцев, радужная оболочка глаза, роговая оболочка глаза (изображение роговицы глаза), характеристики лица и код ДНК);

г) обработка данных − любое действие, выполняемое в отношении данных с использованием автоматических или не автоматических средств, в частности, сбор, запись, фотографирование, аудио- или видеозапись, организация, хранение, замена, восстановление, истребование, использование или разглашение в целях передачи, распространения данных либо обеспечения доступа к ним иным образом, группировка либо комбинация, блокирование, удаление или уничтожение;

д) автоматическая обработка данных − обработка данных с применением информационных технологий;

е) субъект данных − любое физическое лицо, данные о котором обрабатываются;

ж) согласие − добровольное согласие субъекта данных на обработку данных о нем в определенных целях, выраженное в устной форме, при помощи телекоммуникационных или иных соответствующих средств после получения соответствующей информации, позволяющее четко установить волеизъявление субъекта данных;

з) письменное согласие субъекта данных − выраженное субъектом данных после получения им соответствующей информации добровольное согласие на обработку данных о нем, подписанное, либо подтвержденное им иным образом в письменной или приравненной к ней форме;

 и) лицо, обрабатывающее данные – публичное учреждение,

физические или юридические лица, определяющие индивидуально или вместе с другими лицами цели и средства обработки персональных данных, непосредственно или при помощи уполномоченного лица осуществляют обработку данных; (25.05.2012 N6325)

к) уполномоченное лицо − любые физические или юридические лица, обрабатывающие данные для лица, обрабатывающего данные или от его имени;

л) получатель данных − частное или публичное учреждение, физическое или юридическое лицо, сотрудник частного или публичного сектора, которому были переданы данные, кроме инспектора по охране персональных данных;

м) третье лицо − любое физическое или юридическое лицо, публичное учреждение, кроме субъекта данных, инспектора по охране персональных данных, лица, обрабатывающего данные и уполномоченного лица;

н) файловая система − структуризованный ряд данных, расположенных и доступных по конкретным критериям;

о) каталог файловой системы − детальное описание структуры и содержания файловой системы;

п) реестр каталогов файловых систем − реестр, обеспечивающий детальный учет имеющихся файловых систем;

р) блокирование данных − временное приостановление обработки данных;

с) обезличивание данных − модификация данных, в результате которой определение их связи с субъектом данных невозможно, либо требует несоразмерных усилий, затрат средств и времени;

т) идентификационный номер − личный идентификационный номер или любой иной определенный законом связанный с физическим лицом идентификационный номер, при помощи которого возможно отыскать данные в файловой системе (в которой идентификационный номер также обработан) или разглашать;

у) инспектор по охране персональных данных − должностное лицо, ответственное по надзору за исполнением законодательства, регулирующего охрану данных;

ф) прямой маркетинг − предложение товаров, услуг, постоянной или временной работы при помощи почты, телефона, электронной почты или иных телекоммуникационных средств.

Статья 3. Сфера действия Закона

1. Действие настоящего Закона распространяется на обработку данных при помощи автоматических или полуавтоматических средств на территории Грузии, а также обработку при помощи не автоматических средств данных, являющихся частью файловой системы или обрабатываемых в целях внесения в файловую систему.

2. Действие настоящего Закона распространяется также:

а) на обработку данных дипломатическими представительствами и консульскими учреждениями Грузии за рубежом;

б) на деятельность лица, обрабатывающего данные, которое не зарегистрировано на территории Грузии, но использует для обработки данных технические средства, имеющиеся в Грузии, кроме случая, когда указанные технические средства используются только для транзита данных. В таком случае лицо, обрабатывающее данные, должно назначить/определить представителя, зарегистрированного в Грузии.

3. Действие настоящего Закона не распространяется:

а) на обработку данных физическим лицом явно для личных целей, когда обработка данных не связана с предпринимательской или профессиональной деятельностью лица;

б) за обработку данных в целях судопроизводства в суде; (25.05.2012 N6325)

в) на обработку информации относящейся к государственной тайне;

г) на обработку данных для целей мероприятий по общественной и государственной безопасности (в том числе − экономической безопасности), обороне, оперативно-следственных мероприятий и расследования преступлений.

4. Действие настоящего Закона (кроме статьи 17) не распространяется на обработку данных медиа средствами в целях информирования общественности, а также для целей, касающихся сферы искусства и литературы.

5. Действие статей 19 и 20 настоящего Закона не распространяется на обработку политическими партиями, профессиональными или иными союзами и религиозными организациями данных, связанных с членами указанных субъектов.

Статья 4. Принципы обработки данных

 При обработке данных должны соблюдаться следующие принципы:

а) данные должны обрабатываться справедливо и законно без унижения достоинства субъекта данных;

б) данные могут обрабатываться только для четко определенных законных целей;

в) данные могут обрабатываться только в объеме, необходимом для достижения соответствующих законных целей. Данные должны быть адекватны и пропорциональны целям, для достижения которых обрабатываются;

г) данные должны быть достоверными и точными. Недостоверные и неточные данные должны быть исправлены, а данные, собранные без законного основания и несоответствующие целям обработки, должны быть заблокированы, удалены либо уничтожены;

д) данные могут храниться только в течение срока, необходимого для достижения целей обработки данных. По достижении цели, для которой обрабатывались данные, они должны быть заблокированы, удалены либо уничтожены или храниться в форме, исключающей возможность идентификации лица, если законом не установлено иное.

Глава II

Правила обработки данных

Статья 5. Основания для обработки данных

Обработка данных допускается если:

а) имеется согласие субъекта данных;

б) обработка данных предусмотрена законом;

в) обработка данных необходима для исполнения лицом, обрабатывающим данные, обязанностей, возложенных на него законодательством;

г) обработка данных необходима для защиты жизненных интересов субъекта данных;

д) обработка данных необходима для защиты законных интересов лица, обрабатывающего данные, или третьего лица, за исключением случая наличия преобладающего интереса защиты прав и свобод субъекта данных;

е) согласно закону данные публично доступны или доступ к ним обеспечен субъектом данных;

ж) обработка данных необходима для соблюдения значительного публичного интереса в соответствии с законом;

з) обработка данных необходима для рассмотрения заявления субъекта данных (оказания ему услуг).

Статья 6. Обработка данных особой категории (25.05.2012 N6325)

1. Запрещается обработка данных особой категории.
2. Запрет, предусмотренный пунктом первым настоящей статьи, не

 действует, если:

а) субъект данных выразил письменное согласие на обработку данных особой категории;

б) субъект предал огласке данные о себе без явного запрета на их использование;

в) обработка данных необходима для осуществления лицом, обрабатывающим данные, трудовых обязательств или связанных с ним прав;

г) обработка данных необходима для защиты жизненных интересов субъекта данных или третьего лица и субъект данных физически или в правовом отношении не в состоянии выразить согласие на обработку данных;

д) обработка данных осуществляется для целей общественного здравоохранения, охраны здоровья физических лиц учреждением (работником) здравоохранения, а также если это необходимо для управления системой здравоохранения или ее функционирования;

е) обработка данных осуществляется политическим, философским, религиозным или торговым объединением, ассоциацией или другой некоммерческой организацией при осуществлении легитимной деятельности. В таком случае обработка данных может быть связана лишь с членами организации или лицами, имеющими постоянную связь с указанной организацией.

3. В случае обработки данных на основании подпункта «е» пункта 2 настоящей статьи не допускается разглашение данных третьим лицам без согласия субъекта данных.

Статья 7. Защита данных об умерших лицах

1. Обработка данных о субъекте данных после его смерти, кроме наличия оснований, определенных статьями 5 и 6 настоящего Закона, допускается с согласия родителей, детей, внуков или супругов субъектов данных либо, если после смерти субъекта данных прошло 30 лет.

2. Обработка данных о субъекте данных после его смерти допускается также, если это необходимо для реализации прав, связанных с наследством.

3. Не допускается обработка данных по основаниям, определенным пунктом первым и 2 настоящей статьи, если субъектом данных в письменной форме была выражена воля запретить обработку после его смерти данных о нем, кроме случаев обработки по основаниям, определенным статьями 5 и 6 настоящего Закона.

4. Для обработки данных, касающихся имени, пола, дат рождения и смерти умершего лица не требуется наличия предусмотренных настоящим Законом оснований для обработки данных.

5. Данные об умерших лицах могут разглашаться для исторических, статистических и исследовательских целей, кроме случаев, когда лицом в письменной форме было запрещено их разглашение.

Статья 8. Обработка данных для целей прямого маркетинга

1. Для целей прямого маркетинга могут обрабатываться данные, добытые из публично доступных источников.

2. Независимо от целей сбора данных для целей прямого маркетинга могут обрабатываться следующие данные: имя (имена), адрес, номер телефона, адрес электронной почты, номер факса.

3. На основании согласия, данного субъектом данных в порядке, установленном настоящим Законом, для целей прямого маркетинга могут обрабатываться любые данные.

4. Субъект данных вправе в любое время в письменной форме требовать от лица, обрабатывающего данные, прекращения использования данных для целей прямого маркетинга.

5. Лицо, обрабатывающее данные, обязано прекратить обработку данных субъекта данных для целей прямого маркетинга не позднее 10 рабочих дней после получения требования субъекта данных.

6. При обработке данных для целей прямого маркетинга лицо, обрабатывающее данные, обязано сообщить субъекту данных о праве, предусмотренном пунктом 4 настоящей статьи.

Статья 9. Обработка биометрических данных публичным учреждением

1. Обработка биометрических данных публичным учреждением допускается только для целей защиты безопасности и собственности лица, а также во избежание разглашения секретной информации, если достижение указанных целей иными средствами не представляется возможным или сопряжено с несоразмерными усилиями.

2. Невзирая на условия, предусмотренные пунктом первым настоящей статьи, обработка биометрических данных может осуществляться для целей выдачи в порядке, установленном законом, документа, удостоверяющего личность, или идентификации лиц, пересекающих государственную границу. (25.05.2012 N6325)

 Статья 10. Обработка биометрических данных частными лицами

Обработка биометрических данных частными лицами может осуществляться только в случае, если это необходимо для осуществления деятельности, защиты безопасности и собственности лица, а также во избежание разглашения секретной информации, если достижение указанных целей иными средствами невозможно или сопряжено с несоразмерными усилиями. Если законом не установлено иное, до использования биометрических данных лицо, обрабатывающее данные, должно предоставлять инспектору по охране персональных данных детальную информацию об обработке биометрических данных, в том числе − информацию, предоставляемую субъекту данных, причину, обработки данных и гарантии защиты данных.

Статья 11. Осуществление уличного видеонаблюдения

1. Осуществление уличного видеонаблюдения допускается лишь в целях превенции преступления, а также защиты безопасности и собственности лица, охраны общественного порядка и защиты несовершеннолетних от вредного влияния.

2. В случае установки системы видеонаблюдения публичные и частные учреждения обязаны размещать в доступном для обозрения месте соответствующий предупредительный знак. В таком случае субъект данных считается информированным по поводу обработки данных о нем.

3. Система видеонаблюдения и видеоматериалы должны охраняться от противоправного посягательства и использования.

Статья 12. Видеонаблюдение зданий публичных и частных учреждений

1. Публичные и частные учреждения в целях осуществления соответствующего мониторинга могут осуществлять видеонаблюдение своих зданий, если это необходимо для защиты безопасности и собственности лиц, защиты несовершеннолетних от вредного влияния и охраны секретной информации.

2. При помощи системы видеонаблюдения может осуществляться только мониторинг наружного периметра здания и входа в здание.

3. Установка системы видеонаблюдения на рабочем месте допускается только в исключительных случаях, если это необходимо для защиты безопасности и собственности лиц, охраны секретной информации и достижение указанных целей другими средствами не представляется возможным.

4. Осуществление видеонаблюдения не допускается в помещениях для смены одежды и местах для гигиенических нужд.

5. Все лица, занятые в соответствующих частных или публичных учреждениях, должны быть проинформированы в письменной форме об осуществлении видеонаблюдения и своих правах.

6. Лицо, обрабатывающее данные, обязано создать файловую систему,

предназначенную для хранения видеозаписей. Помимо записей (изображение/звук) в системе должна содержаться информация о дате, месте и времени обработки данных.(25.05.2012 N6325)

Статья 13. Видеонаблюдение жилых помещений

1. Для установки системы видеонаблюдения в жилых помещениях необходимо письменное согласие более, чем половины собственников указанного помещения.

2. Установка в жилом помещении системы видеонаблюдения допускается только для целей безопасности лица и имущества.

3. При помощи установленной в жилом помещении системы видеонаблюдения может осуществляться лишь мониторинг входа и общего пространства. Мониторинг квартир собственников не допускается.

3. Осуществление при помощи системы видеонаблюдения мониторинга прихожей в квартире допускается только по решению собственника квартиры или на основании его письменного согласия.

Статья 14. Обработка данных в целях учета входа и выхода лиц из зданий публичных и частных учреждений

1. Публичные и частные учреждения в целях учета входа и выхода лиц из здания могут собирать следующие данные: имя, номер и вид идентификационного документа, адрес, дату и время входа и выхода, а также причины входа и выхода из здания.

2. Срок хранения данных, предусмотренных пунктом первым настоящей статьи, не должен превышать три года со дня их записи, если законом не предусмотрено иное. По истечении трехлетнего срока они должны быть стерты или уничтожены.

Глава III

Права и обязанности лица, обрабатывающего данные,

и уполномоченного лица

Статья 15. Предоставление информации субъекту данных

1. Если сбор данных осуществляется непосредственно от субъекта данных, лицо, обрабатывающее данные, или уполномоченное лицо обязаны предоставлять субъекту данных следующую информацию:

а) личность и зарегистрированный адрес лица, обрабатывающего информацию, и уполномоченного лица (в случае наличия такового);

б) цель обработки данных;

в) является ли обязательным или добровольным предоставление данных, если обязательным – правовые последствия отказа от него;

г) право субъекта данных на получение информации об обработанных данных о нем, на требование их исправления, обновления, дополнения, блокирования, удаления или уничтожения.

2. Предоставление информации, указанной в пункте первом настоящей статьи, не является обязательным, если у субъекта данных она уже имеется.

3. Если сбор данных осуществляется не от субъекта данных непосредственно, лицо, обрабатывающее данные, или уполномоченное лицо обязаны в случае требования предоставлять субъекту данных информацию, указанную в пункте первом настоящей статьи.

4. При сборе информации в статистических, научных и исторических целях ее предоставление не является обязательным, если предоставление информации субъекту данных сопряжено с несоразмерными усилиями.

Статья 16. Обработка данных уполномоченным лицом

1. Уполномоченное лицо может обработать данные на основании правового акта или письменного договора, заключенного с лицом, обрабатывающим данные, который должен соответствовать требованиям, установленным настоящим Законом, и другими нормативными актами, и предусмотренным настоящим Законом правилам и запретам.

2. Уполномоченное лицо должно обрабатывать данные в пределах, установленных соответствующим нормативным актом или договором. Не допускается последующая обработка уполномоченным лицом данных в иных целях. Не допускается передача уполномоченным лицом права на обработку данных другому лицу без согласия лица, обрабатывающего данные.

3. Не допускается заключение договора об обработке данных при наличии исходя из деятельности или(и) целей уполномоченного лица опасности нецелевой обработки данных.

4. Лицо, обрабатывающее данные, должно удостовериться, что уполномоченным лицом будут приняты соответствующие организационные и технические меры для защиты данных. Оно обязано осуществлять мониторинг обработки данных уполномоченным лицом.

5. В случае возникновения спора между уполномоченным лицом и лицом, обрабатывающим данные, уполномоченное лицо обязано по требованию передать имеющиеся у него данные лицу, обрабатывающему данные.

6. В случае прекращения уполномоченным лицом деятельности данные незамедлительно должны быть переданы лицу, обрабатывающему данные.

7. В договоре, заключенном с уполномоченным лицом, должно быть предусмотрено обязательство по принятию мер по безопасности данных.

Статья 17. Безопасность данных

1. Лицо, обрабатывающее данные, обязано принимать организационные и технические меры, обеспечивающие защиту данных от случайного или незаконного уничтожения, изменения, разглашения, добывания, незаконного использования иным образом и случайной либо незаконной утраты.

2. Лицо, обрабатывающее данные, обязано обеспечить учет всех действий, осуществляемых с данными в электронной форме, при обработке данных не в электронной форме лицо, обрабатывающее данные, обязано обеспечить учет всех действий, связанных с разглашением или (и) изменением данных.

3. Меры по безопасности данных должны быть адекватны рискам, связанным с обработкой данных.

4. Любые сотрудники лица, обрабатывающего данные, и уполномоченного лица, участвующие в обработке данных, обязаны не выходить за пределы предоставленных им полномочий. При этом на них возлагается обязательство по соблюдению тайны данных. В том числе и после прекращения служебных полномочий.

5. Меры по защите безопасности данных определяются законодательством Грузии.

Статья 18. Обязательства лица, обрабатывающего данные, и уполномоченного лица, касающиеся разглашения данных

При разглашении данных лицо, обрабатывающее данные, и уполномоченное лицо обязаны обеспечить регистрацию следующей информации: какие данные были разглашены, кому, когда и на каком правовом основании. Указанная информация должна храниться вместе с данными о субъекте данных в течение всего срока их хранения.

 Статья 19. Каталог файловой системы

1. Лицо, обрабатывающее данные, обязано по каждой файловой системе вести каталог файловой системы и учитывать следующую информацию:

а) наименование файловой системы;

б) наименования и адреса лица, обрабатывающего данные, и уполномоченного лица, место хранения или(и) обработки данных;

в) правовые основания обработки данных;

г) категория субъекта данных;

д) категория данных в файловой системе;

е) цели обработки данных;

ж) срок хранения данных;

з) факт и основания ограничения прав субъекта данных;

и) получатели данных, размещенных в файловой системе, и их категории;

к) информация о передаче данных другим государствам и международным организациям и правовые основания такой передачи;

л) общее описание процедуры, установленной для защиты безопасности данных.

2. Лицо, обрабатывающее данные, обязано обеспечить систематическое обновление информации, предусмотренной пунктом первым настоящей статьи.

Статья 20. Обязательство по извещению инспектора по охране персональных данных

1. Лицо, обрабатывающее данные, обязано до создания файловой системы и внесения в нее данных новой категории в письменной или электронной форме сообщить инспектору по охране персональных данных информацию, предусмотренную статьей 19 настоящего Закона.

2. Лицо, обрабатывающее данные, обязано сообщить инспектору по охране персональных данных о внесении изменений в информацию, предусмотренную статьей 19 настоящего Закона, не позднее 30 дней после осуществления изменения.

3. Лицо, обрабатывающее данные, число сотрудников которого не более 20, освобождается от исполнения обязательства, предусмотренного пунктом первым настоящей статьи.

Глава IV

Права субъекта данных

Статья 21. Право истребования информации субъектом данных

1. Субъект данных вправе требовать от лица, обрабатывающего данные, информацию об обработке данных о нем. Лицо, обрабатывающее данные, должно предоставить субъекту данных следующую информацию:

а) какие данные о нем обрабатываются;

б) цели обработки данных;

в) правовые основания для обработки данных;

г) каким способом были собраны данные;

д) кому были выданы данные, основания и цели их выдачи.

2. Предоставление субъекту данных информации, предусмотренной подпунктом «д» пункта первого настоящей статьи, не является обязательным, если указанные данные публичны согласно закону.

 3. Субъекту данных информация, предусмотренная пунктом первым

настоящей статьи, должна быть предоставлена незамедлительно, не позднее 10-дневного срока после поступления требования. (25.05.2012 N6325)

4. Форму предоставления информации, предусмотренной пунктом первым настоящей статьи, выбирает субъект данных.

 5. Лицо вправе ознакомиться с имеющимися в публичном учреждении персональными данными о нем и безвозмездно получать копии указанных данных, кроме данных, для выдачи которых законодательством Грузии предусмотрено внесение платы. (25.05.2012 N6325)

 Статья 22. Право субъекта данных на требование исправления, обновления, дополнения, блокирования, удаления и уничтожения данных

1. По требованию субъекта данных лицо, обрабатывающее данные, обязано исправить, обновить, дополнить, блокировать, удалить или уничтожить данные, если они неполные, неточные, необновленные или собраны и обработаны противозаконно.

2. Лицо, обрабатывающее данные, должно известить всех получателей об исправлении, обновлении, дополнении, блокировании, удалении или уничтожении данных, кроме случая, когда предоставление такой информации невозможно ввиду множества получателей и несоразмерных расходов. О последнем обстоятельстве должен быть извещен инспектор по защите персональных данных.

3. В случае получения информации согласно пункту 2 настоящей статьи получатель обязан соответствующим образом исправить, обновить, дополнить, блокировать, удалить или уничтожить данные.

Статья 23. Процедура исправления, обновления, дополнения, блокирования, удаления и уничтожения данных

1. Требование, предусмотренное пунктом первым статьи 22 настоящего Закона, может быть представлено в письменной, устной форме или с использованием электронных средств.

2. В 15-дневный срок после получения требования субъекта данных лицо, обрабатывающее данные, обязано исправить, обновить, дополнить, блокировать, удалить или уничтожить данные либо сообщить субъекту данных об основании отказа.

3. Если лицо, обрабатывающее данные без получения требования субъекта данных, сочтет, что имеющиеся у него данные неполные, неточные или не обновлены, оно должно их соответственно исправить или обновить и сообщить об этом субъекту данных.

4. После представления субъектом данных требования, предусмотренного пунктом первым статьи 22 настоящего Закона, лицо, обрабатывающее данные, правомочно заблокировать данные на основании обращения заявителя.

5. Решение о блокировании данных принимается в 3-дневный срок после подачи соответствующего требования и в силе до принятия лицом, обрабатывающим данные, решения об исправлении, обновлении, дополнении, удалении или уничтожении данных.

6. Решение о блокировании данных в течение периода наличия причины блокирования должно прилагаться к соответствующим данным.

Статья 24. Ограничение прав субъекта данных

1. Права субъекта данных, предусмотренные статьями 15, 21 и 22 настоящего Закона, могут ограничиваться законодательством Грузии, если реализация указанных прав может создать угрозу:

а) интересам национальной безопасности или обороны страны;

б) интересам общественной безопасности;

в) выявлению, расследованию и пресечению преступлений;

г) значительным финансовым и экономическим (в том числе, связанным с монетарными, бюджетными и налоговыми вопросами) интересам страны;

д) правам и свободам субъекта данных и других лиц.

2. Меры, предусмотренные пунктом первым настоящей статьи, могут применяться только в объеме, необходимом, для достижения целей ограничения.

3. При наличии оснований, предусмотренных пунктом первым настоящей статьи, о решении лица, обрабатывающего данные, или инспектора по охране персональных данных субъект данных должен быть извещен таким образом, чтобы это не повредило цели ограничения права.

Статья 25. Отказ в даче согласия

1. Субъект данных вправе в любое время, без объяснений отказаться от данного им же согласия и требовать прекращения обработки данных или(и) уничтожения обработанных данных.

2. Лицо, обрабатывающее данные, обязано в соответствии с требованием субъекта данных прекратить обработку данных или (и) уничтожить обработанные данные в 5-дневный срок после подачи заявления, если нет другого основания для обработки данных.

3. Действие настоящей статьи не распространяется на информацию об исполнении субъектом данных денежных обязательств, обработанную с его же согласия.

Статья 26. Право на обжалование

1. Субъект данных вправе в случае нарушения прав, предусмотренных

 настоящим Законом, обратиться в порядке, установленном законом, к инспектору по защите персональных данных или в суд, а если лицом, обрабатывающим данные, является публичное учреждение, подача жалобы также возможна в этот же или вышестоящий административный орган. (25.05.2012 N6325)

2. Субъект данных вправе требовать от органа, рассматривающего дело, заблокировать данные до вынесения решения.

3. Субъект данных вправе в порядке, установленном законом, обжаловать в суд решение вышестоящего административного органа или инспектора по охране персональных данных.

4. В случае возникновения спора по поводу наличия согласия субъекта данных на обработку данных на лицо, обрабатывающее данные, возлагается бремя доказывания факта согласия субъекта данных. (25.05.2012 N6325)

Глава V

Инспектор по охране персональных данных

Статья 27. Основные задачи деятельности инспектора по охране данных

1. Контроль за законностью обработки данных в Грузии осуществляет инспектор по охране персональных данных (далее – инспектор), основными задачами деятельности которого являются:

а) проведение для публичных и частных учреждений (лиц) консультаций по вопросам, связанным с охраной данных;

б) рассмотрение заявлений, связанных с защитой данных; (25.05.2012 N6325)

в) проверка (инспектирование) законности обработки данных в публичных и частных учреждениях;

г) информирование общественности о положении с охраной данных в Грузии и значительных явлениях, связанных с ней.

2. Порядок осуществления деятельности инспектора и его полномочий определяется положением, которое утверждает Правительство Грузии.

Статья 28. Назначение инспектора на должность и прекращение его полномочий

1. Инспектор назначается на должность в порядке открытого конкурса.

2. Конкурсную комиссию по подбору инспектора утверждает Премьер-министр Грузии. В состав комиссии с соблюдением принципа пропорциональности входят представители Правительства Грузии, Парламента Грузии, судебной власти, аппарата Народного Защитника Грузии, а также неправительственного сектора.(25.05.2012 N6325)

 3. Инспектором может быть гражданин Грузии с надлежащим высшим

 образованием, соответствующим профессиональным опытом, деловые и моральные качества которого соответствуют задаче исполнения функций инспектора. (25.05.2012 N6325)

4. Конкурсная комиссия по отбору инспектора большинством голосов избирает кандидатуру инспектора и представляет Премьер-министру Грузии на утверждение.

5. Премьер-министр в 10-дневный срок назначает инспектора или объявляет новый конкурс.

6. Инспектор назначается сроком на 3 года. Одно и то же лицо может назначаться на должность инспектора не более двух раз подряд.

7. Инспектор должен быть избран не ранее 60 дней до истечения срока полномочий и не позднее 30 дней после истечения срока полномочий инспектора, занимающего должность.

8. Полномочия вновь избранного инспектора начинаются после истечения срока полномочий инспектора, занимающего должность, если он был назначен до истечения указанного срока, и на следующий день после назначения, если он был назначен по истечении указанного срока либо полномочия предыдущего инспектора были прекращены досрочно.

9. Полномочия инспектора прекращаются по истечении трех лет после назначения или с досрочным прекращением срока его полномочий.

10. У инспектора есть заместитель, которого назначает на должность инспектор.

Статья 29. Должностная несовместимость инспектора

1. Должность инспектора несовместима с членством в органах государственной власти Грузии и представительных органах местного самоуправления, любой должностью на государственной службе и вознаграждаемой деятельностью, кроме научной, педагогической деятельности и деятельности в сфере искусства. Он не должен быть членом политической партии или участвовать в политической деятельности.

2. В месячный срок после избрания инспектор обязан прекратить несовместимую с его должностью деятельность. Если инспектор в указанный срок не выполнит установленного требования, его полномочия прекращаются и конкурсная комиссия по отбору инспектора представляет Премьер-министру Грузии новую кандидатуру инспектора.

Статья 30. Досрочное прекращение полномочий инспектора

1. Полномочия инспектора прекращаются досрочно в случае:

а) утраты гражданства Грузии;

б) неисполнения возложенных обязанностей в течение 4 месяцев подряд;

в) вступления в отношении него в законную силу обвинительного приговора суда;

г) признания его судом недееспособным, безвестно отсутствующим либо объявления умершим;

д) если он занял или занимает должность, несовместимую с должностью инспектора, или занимается несовместимой деятельностью;

е) добровольной отставки с должности;

ж) смерти;

2. В случаях, предусмотренных пунктом первым настоящей статьи, полномочия инспектора считаются прекращенными с момента установления указанного обстоятельства, о чем незамедлительно должен быть извещен Премьер-министр Грузии. Премьер-министр Грузии издает соответствующий административно-правовой акт о прекращении полномочий инспектора. (25.05.2012 N6325)

3. В случаях, предусмотренных подпунктами «б» и «д» пункта первого настоящей статьи, полномочия инспектора прекращаются по решению Премьер-министра Грузии.

4. В случае досрочного прекращения полномочий инспектора его обязанности до избрания конкурсной комиссией по отбору инспектора нового инспектора исполняет заместитель инспектора, который пользуется предоставленными инспектору правами и правовыми гарантиями.

Статья 31. Независимость инспектора

1. Инспектор при осуществлении своих полномочий независим и не подчиняется каким-либо другим должностным лицам и органам. Инспектор руководствуется Конституцией, международными договорами Грузии, настоящим Законом, другими нормативными актами и положением. Какое-либо воздействие на инспектора или вмешательство в его детальность запрещается и наказывается законом.

2. В целях обеспечения независимости инспектора государство обязано создать ему надлежащие условия работы.

3. Инспектор вправе не давать показаний по фактам, доверенным ему как инспектору. Указанное право сохраняется за ним и после прекращения полномочий.

Статья 32. Финансовое и организационное обеспечение деятельности инспектора

1. Инспектор осуществляет свои права и исполняет обязанности при помощи Аппарата инспектора (далее − Аппарат).

2. Структуру, порядок деятельности и распределения полномочий между сотрудниками Аппарата устанавливает инспектор Положением об Аппарате.

3. Аппаратом руководит непосредственно инспектор или по его поручению заместитель инспектора.

4. Деятельность инспектора и Аппарата финансируется из государственного бюджета Грузии. Проект сметы в порядке, установленном законом, представляет инспектор. Ассигнования, необходимые для деятельности инспектора и Аппарата, определены под отдельным кодом государственного бюджета Грузии.

5. Инспектор правомочен для осуществления прав и исполнения обязанностей, предусмотренных настоящим Законом, получать гранты и пожертвования в порядке, установленном законодательством Грузии.

Статья 33. Проведение инспектором консультаций и осуществление просветительской деятельности

1. Инспектор обязан при наличии соответствующего обращения проводить для органов государственной власти Грузии и местного самоуправления, других публичных учреждений, юридических лиц частного права и физических лиц консультации по любым вопросам, связанным с обработкой и защитой данных.

2. Инспектор осуществляет просветительскую деятельность по вопросам, связанным с обработкой и защитой данных.

Статья 34. Рассмотрение инспектором заявления  субъекта данных

1. Инспектор обязан рассмотреть заявление субъекта данных по поводу обработки данных и принять меры, предусмотренные настоящим Законом.

2. В 10-дневный срок после получения заявления субъекта данных инспектор принимает решение о мероприятиях, подлежащих проведению, и извещает об этом заявителя.

3. Инспектор правомочен проводить проверку в целях изучения и исследования обстоятельств, связанных с заявлением субъекта данных. Лицо, обрабатывающее данные, и уполномоченное лицо по требованию инспектора обязаны передать ему соответствующую информацию и документы.

4. Срок рассмотрения инспектором заявления субъекта данных не должен превышать 2 месяца. По обоснованному решению инспектора срок рассмотрения заявления может быть продлен не более, чем на месяц.

5. Инспектор правомочен до завершения рассмотрения заявления субъекта данных принимать решение о блокировании данных. Независимо от блокирования данных обработка указанных данных может продолжаться, если это необходимо для защиты жизненных интересов субъекта данных или третьих лиц, а также для целей государственной безопасности и обороны.

6. После рассмотрения заявления субъекта данных инспектор принимает решение о применении одного из мероприятий, предусмотренных статьей 39 настоящего Закона, о чем незамедлительно должны быть извещены субъект данных и лицо, обрабатывающее данные.

Статья 35. Осуществление проверки инспектором

1. Инспектор вправе как по собственной инициативе, так и на основании заявления заинтересованного лица осуществлять проверку лица, обрабатывающего данные и уполномоченного лица.

2. Осуществление проверки инспектором подразумевает:

а) установление наличия соблюдения принципов обработки данных и законных оснований для обработки данных;

б) проверку соответствия процедур по защите данных и организационных и технических мер требованиям настоящего Закона;

в) проверку исполнения установленных настоящим Законом требований, касающихся каталогов файловых систем, реестра каталогов файловых систем и учета выдачи данных;

г) проверку законности передачи данных другим государствам и иностранным организациям;

д) проверку соблюдения правил по защите данных, установленных настоящим Законом и другими нормативными актами.

3. Инспектор правомочен в процессе проверки истребовать от любых учреждений, физических и юридических лиц документы и информацию, необходимые для осуществления проверки в пределах, установленных пунктом 2 настоящей статьи.

4. Лицо, обрабатывающее данные, и уполномоченное лицо обязаны незамедлительно предоставлять инспектору любую информацию и документы. В случае невозможности указанного ввиду физических либо правовых причин они могут предоставлять инспектору информацию или документы не позднее 15 дней после требования.

5. Инспектор правомочен в целях осуществления проверки входить в любые учреждения и организации и знакомиться с любыми документами и информацией, независимо от их содержания и формы хранения, кроме случаев, предусмотренных пунктом 6 настоящей статьи.

6. Инспектор обязан заблаговременно, не менее чем тремя днями ранее известить о планируемой проверке и ее пределах учреждение, деятельность которого связана с государственной безопасностью и обороной, или которое осуществляет оперативно-розыскную деятельность.

7. С учетом результатов проверки инспектор правомочен принимать меры, предусмотренные статьей 39 настоящего Закона.

8. Инспектор, его заместитель и сотрудники Аппарата обязаны не допускать разглашение или иную незаконную обработку информации, ставшей им известной в процессе проверки либо в результате другой служебной деятельности.

Статья 36. Участие инспектора в правотворческом процессе

Инспектор правомочен по собственной инициативе представлять Парламенту Грузии и другим публичным учреждениям предложения в целях совершенствования законодательства и готовить заключения по законам и другим нормативным актам, связанным с обработкой данных.

Статья 37. Сотрудничество инспектора с другими организациями и учреждениями

Инспектор правомочен сотрудничать с другими учреждениями, международными организациями и соответствующими учреждениями других государств по любым вопросам, связанным с защитой данных.

Статья 38. Годовой отчет инспектора

1. Инспектор раз в год представляет Правительству Грузии отчет о положении с защитой данных в стране. Отчет инспектора публичен и инспектор обеспечивает его опубликование.

2. Отчет инспектора должен содержать общие оценки, заключения и рекомендации, касающиеся положения с защитой данных в стране, а также информацию о выявленных в течение года значительных нарушениях и осуществленных мероприятиях.

Статья 39. Меры, принимаемые инспектором в целях исполнения закона

1. Если инспектор обнаружит нарушение настоящего Закона или других нормативных актов, регулирующих обработку данных, он правомочен:

а) требовать исправления нарушения и связанных с обработкой данных недостатков в форме и сроки, указанные им;

б) требовать временного или окончательного прекращения обработки данных, если осуществляемые лицом, обрабатывающим данные, или уполномоченным лицом меры по безопасности данных и процедуры не соответствуют требованиям закона;

в) требовать прекращения обработки данных, их блокирования, удаления, уничтожения или обезличивания, если сочтет, что данные обрабатываются противозаконно;

г) требовать прекращения передачи данных другим государствам и международным организациям, если их передача осуществляется с нарушением требований, установленных настоящим Законом;

д) в письменной форме давать советы и рекомендации лицу, обрабатывающему данные, и уполномоченному лицу в случае незначительного нарушения ими правил, связанных с обработкой данных.

2. Лицо, обрабатывающее данные, и уполномоченное лицо обязаны в сроки, указанные инспектором, выполнять его требования и сообщать об этом инспектору.

3. Если лицо, обрабатывающее данные, или уполномоченное лицо не исполняют требований инспектора, он правомочен обратиться в суд.

4. В случае выявления инспектором административного правонарушения он правомочен составить протокол об административном правонарушении и соответственно возложить на лицо, обрабатывающее данные, или уполномоченное лицо административную ответственность в порядке, установленном законом.

5. Если в процессе деятельности инспектор сочтет, что есть признаки преступления, он обязан сообщить об этом уполномоченному государственному органу в порядке, установленном законом.

6. Решение инспектора обязательно к исполнению и может быть обжаловано только в суд, в порядке, установленном законом.

Статья 40. Реестр каталогов файловых систем

1. Инспектор обязан вести реестр каталогов файловых систем, в который должна быть внесена информация, предусмотренная пунктом первым статьи 19 настоящего Закона.

2. Информация, внесенная в реестр каталогов файловых систем, публична и инспектор обеспечивает ее опубликование в надлежащем порядке.

Глава VI

Передача данных другим государствам и

международным организациям

Статья 41. Передача данных другим государствам и международным организациям

1. Передача данных другим государствам и международным организациям возможна при наличии предусмотренных настоящим Законом оснований для обработки данных и надлежащих гарантий защиты данных в соответствующем государстве или международной организации.

2. Передача данных другому государству или международной организации, кроме пункта первого настоящей статьи, возможна также в случае, если:

а) передача данных предусмотрена международным договором и соглашением Грузии;

б) лицо, обрабатывающее данные, обеспечивает надлежащие гарантии защиты данных и основных прав субъекта данных на основании договора, заключенного лицом, обрабатывающим данные, и соответствующим государством, юридическим или физическим лицом такого государства или международной организацией.

3. Передача данных на основании подпункта «б» пункта 2 настоящей статьи возможна только после дачи разрешения инспектором.

Статья 42. Установление надлежащих гарантий защиты данных

Наличие надлежащих гарантий защиты данных в другом государстве или(и) международной организации оценивает и решение принимает инспектор на основании анализа законодательства, регулирующего обработку данных, и практики.

Глава VII

Административная ответственность за нарушение

настоящего Закона

Статья 43. Обработка данных за отсутствием оснований, предусмотренных настоящим Законом

1. Обработка данных за отсутствием оснований, предусмотренных настоящим Законом, -

влечет предупреждение или наложение штрафа в размере 500 лари.

2. То же деяние, совершенное лицом, к которому в течение года было применено административное взыскание за нарушение, предусмотренное пунктом первым настоящей статьи, -

влечет наложение штрафа в размере 2000 лари.

Статья 44. Нарушение принципов обработки данных

1. Нарушение предусмотренных настоящим Законом принципов обработки данных –

влечет предупреждение или наложение штрафа в размере 500 лари.

2. То же деяние, совершенное лицом, к которому в течение года было применено административное взыскание за нарушение, предусмотренное пунктом первым настоящей статьи, -

влечет наложение штрафа в размере 2000 лари.

Статья 45. Обработка данных особой категории за отсутствием оснований, предусмотренных настоящим Законом

1. Обработка данных особой категории за отсутствием оснований, предусмотренных настоящим Законом, -

влечет наложение штрафа в размере 1000 лари.

2. То же деяние, совершенное лицом, к которому в течение года было применено административное взыскание за нарушение, предусмотренное пунктом первым настоящей статьи, -

влечет наложение штрафа в размере 5000 лари.

Статья 46. Невыполнение требований по соблюдению безопасности данных

1. Невыполнение предусмотренных настоящим Законом требований по соблюдению безопасности данных-

влечет предупреждение или наложение штрафа в размере 500 лари.

2. То же деяние, совершенное лицом, к которому в течение года было применено административное взыскание за нарушение, предусмотренное пунктом первым настоящей статьи, -

влечет наложение штрафа в размере 2000 лари.

Статья 47. Использование данных для целей прямого маркетинга в нарушение правил

1. Использование данных для целей прямого маркетинга в нарушение правил, установленных настоящим Законом, -

влечет наложение штрафа в размере 3000 лари.

2. То же деяние, совершенное лицом, к которому в течение года было применено административное взыскание за нарушение, предусмотренное пунктом первым настоящей статьи, -

влечет наложение штрафа в размере 10000 лари.

Статья 48. Нарушение правил видеонаблюдения

1. Нарушение правил видеонаблюдения, установленных настоящим Законом, −

влечет предупреждение или наложение штрафа в размере 500 лари.

2. То же деяние, совершенное лицом, к которому в течение года было применено административное взыскание за нарушение, предусмотренное пунктом первым настоящей статьи, −

влечет наложение штрафа в размере 2000 лари.

Статья 49. Нарушение правил обработки данных о входе и выходе из зданий публичных и частных учреждений

 Нарушение правил обработки данных о входе и выходе из зданий публичных и частных учреждений, установленных настоящим Законом, −

 влечет предупреждение или наложение штрафа в размере 100 лари.

Статья 50. Нарушение правил информирования субъекта данных лицом, обрабатывающим данные

1. Нарушение установленных настоящим Законом правил информирования субъекта данных лицом, обрабатывающим данные, −

влечет предупреждение или наложение штрафа в размере 100 лари.

2. То же деяние, совершенное лицом, к которому в течение года было применено административное взыскание за нарушение, предусмотренное пунктом первым настоящей статьи, -

влечет наложение штрафа в размере 500 лари.

Статья 51. Поручение обработки данных лицом, обрабатывающим данные, уполномоченному лицу в нарушение правил

1. Поручение обработки данных лицом, обрабатывающим данные, уполномоченному лицу в нарушение правил, установленных настоящим Законом, −

влечет наложение штрафа в размере 500 лари.

2. То же деяние, совершенное лицом, к которому в течение года было применено административное взыскание за нарушение, предусмотренное пунктом первым настоящей статьи, −

влечет наложение штрафа в размере 2000 лари.

Статья 52. Нарушение уполномоченным лицом правил, предусмотренных статьей 16 настоящего Закона

1. Нарушение уполномоченным лицом правил, предусмотренных статьей 16 настоящего Закона −

влечет наложение штрафа в размере 1000 лари.

2. То же деяние, совершенное лицом, к которому в течение года было применено административное взыскание за нарушение, предусмотренное пунктом первым настоящей статьи, −

влечет наложение штрафа в размере 3000 лари.

Статья 53. Невыполнение требования инспектора

1. Нарушение лицом, обрабатывающим данные, или уполномоченным лицом правил предоставления инспектору или уполномоченному им лицу информации и документа –

влечет предупреждение или наложение штрафа в размере 500 лари.

2. То же деяние, совершенное лицом, к которому в течение года было применено административное взыскание за нарушение, предусмотренное пунктом первым настоящей статьи, −

влечет наложение штрафа в размере 2000 лари.

Статья 54. Нарушение иных правил, связанных  с обработкой данных

Нарушения правил, установленных настоящим Законом, кроме деяний, предусмотренных статьями 43-54 настоящего Закона, −

влечет предупреждение или наложение штрафа в размере 100 лари.

Статья 55. Рассмотрение дел об административных правонарушениях

1. Право на рассмотрение дел об административных правонарушениях, предусмотренных статьями 43-54 настоящего Закона, и наложение административных взысканий имеет инспектор.

2. Протокол об административном правонарушении составляет инспектор.

3.Лицо, уполномоченное инспектором, составляет протокол об административном правонарушении и рассматривает дело в порядке, установленном Кодексом Грузии об административных правонарушениях.

Глава VIII

Заключительные положения

Статья 56. Введение Закона в действие

1. Настоящий Закон, кроме статьей 43-55, ввести в действие с 1 мая 2012 года.

2. Статьи 43-55 настоящего Закона ввести в действие с 1 января 2013 года.

3. Статьи 34, 35 и 39 настоящего Закона применительно к частному сектору ввести в действие с 1 января 2016 года.

Президент Грузии                                              Михаил Саакашвили

Тбилиси

28 декабря 2011 года

№ 5669-вс