О защите персональных данных

Контролный   текст  по  состоянию  на  29.06.2018 N2765

 Закон Грузии

О защите персональных данных

Глава I

Общие положения

Статья 1. Цели Закона

Целью настоящего Закона является обеспечение при обработке персональных  данных защиты прав и свобод человека, в том числе − неприкосновенности личной жизни.

Статья 2. Разъяснение терминов

Термины, использованные в настоящем Законе, имеют следующие значения:

а)  персональные данные (далее − данные) − любая информация, связанная с идентифицированным или  идентифицируемым физическим лицом. Лицо является идентифицируемым, когда возможно его идентифицировать прямо или косвенно, в частности, по идентификационному номеру или характерным физическим, физиологическим, психологическим, экономическим, культурным либо социальным признакам;

б) данные особой категории − данные, связанные с расовой или этнической принадлежностью, политическими убеждениями, религиозными или философскими взглядами, членством в профессиональных союзах, состоянием здоровья, сексуальной жизнью, судимостью, административным арестом, назначением лицу мер пресечения, заключением с лицом процессуального соглашения, с устранением, признанием лица жертвой преступления или потерпевшим, а также биометрические и генетические данные, которые позволяют идентифицировать физических лиц по вышеуказанным признакам;  (1.08.2014 N2639)

в) биометрические данные −  физические, психические или поведенческие характеристики, которые уникальны и постоянны для каждого физического лица и по которым можно идентифицировать указанное лицо (отпечатки пальцев, отпечатки стоп, радужная оболочка глаза, роговая оболочка глаза (изображение роговицы глаза), характеристики лица); (1.08.2014 N2639)

в1) генетические данные – уникальные и постоянные данные,  касающиеся генетического наследия или (и) кода ДНК субъекта данных, по которым можно идентифицировать указанное лицо; (1.08.2014 N2639)

г) обработка данных  − любое действие, выполняемое в отношении данных с использованием автоматических, полуавтоматических или неавтоматических средств, в частности сбор, запись,  фотографирование, аудио-, видеозапись, организация, хранение, замена, восстановление, истребование, использование или разглашение в целях передачи, распространения данных либо обеспечения  доступа к ним иным образом, группировка либо комбинация, блокирование, удаление или уничтожение данных; (1.08.2014 N2639)

д) автоматическая обработка данных − обработка данных с применением информационных технологий;

д1) полуавтоматическая обработка данных – обработка данных с использованием информационных технологий или при помощи неавтоматических средств; (1.08.2014 N2639)

 е) субъект данных −  любое физическое лицо, данные о котором  обрабатываются;

ж) согласие − добровольное согласие субъекта данных на обработку данных о нем в определенных целях, выраженное в устной форме, при помощи телекоммуникационных или иных соответствующих средств после получения соответствующей информации, позволяющее четко установить волеизъявление субъекта данных;

з) письменное согласие субъекта данных  − выраженное субъектом данных после  получения   им соответствующей информациидобровольное согласие на обработку данных о нем, подписанное, либо подтвержденное им иным образом в письменной или приравненной к ней форме;

и) лицо, обрабатывающее данные – публичное учреждение,

физические или юридические лица, определяющие индивидуально или вместе с другими лицами цели и средства обработки персональных данных, непосредственно или при помощи уполномоченного лица осуществляют обработку данных; (25.05.2012 N6325)

к) уполномоченное лицо −  любые физические или юридические лица, обрабатывающие данные для лица, обрабатывающего данные или от его имени;

л) получатель данных − частное или публичное учреждение, физическое или юридическое лицо, сотрудник частного или публичного сектора, которому были переданы данные, кроме инспектора по охране персональных данных;

м) третье лицо −  любое  физическое или юридическое лицо, публичное учреждение, кроме субъекта данных, инспектора по охране персональных данных, лица, обрабатывающего данные и уполномоченного лица;

н) файловая система −  структуризованный  ряд данных, расположенных и доступных по конкретным критериям;

о) каталог файловой системы − детальное описание структуры и содержания файловой системы;

п) реестр каталогов файловых систем −  реестр, обеспечивающий детальный учет имеющихся файловых систем;

р) блокирование данных − временное приостановление обработки данных;

с) обезличивание данных − модификация данных, в результате которой определение  их связи  с субъектом данных невозможно, либо требует несоразмерных усилий, затрат средств и времени;

т) идентификационный номер −  личный идентификационный номер или любой иной определенный законом связанный с физическим лицом идентификационный номер, при помощи которого возможно отыскать данные в файловой системе (в которой идентификационный номер также обработан) или  разглашать;

у) инспектор по охране персональных данных − должностное лицо, ответственное по надзору за исполнением законодательства, регулирующего охрану данных;

ф) прямой маркетинг −  предложение товаров, услуг, постоянной или временной работы при помощи почты, телефона, электронной почты или  иных телекоммуникационных средств.

 х) юридическое лицо публичного права – Оперативно-техническое агентство Грузии (далее – Агентство) – орган, обладающий эксклюзивным полномочием на  производство тайных следственных действий, предусмотренных подпунктами «а»–«г» части первой статьи 143¹ Уголовно-процессуального кодекса Грузии; (22.03.2017 N479, ввести в действие с 30 марта 2017 года.)

 ц) электронная система контроля – система, предусмотренная подпунктом «и» статьи 2 Закона Грузии«О юридическом лице публичного права – Оперативно-техническом агентстве Грузии»; (22.03.2017 N479, ввести в действие с 30 марта 2017 года.)

  ч) электронная система контроля за центральным банком данных, идентифицирующих электронную коммуникацию, – система, предусмотренная подпунктом «л» статьи 2 Закона Грузии «О юридическом лице публичного права – Оперативно-техническом агентстве Грузии»; (22.03.2017 N479, ввести в действие с 30 марта 2017 года.)

ш) специальная электронная система контроля за определением геолокации в реальном времени – система, предусмотренная подпунктом «о» статьи 2 Закона Грузии «О юридическом лице публичного права – Оперативно-техническом агентстве Грузии»; (22.03.2017 N479, ввести в действие с 30 марта 2020 года.)

щ) специальная электронная система контроля – система, предусмотренная подпунктом «к» статьи 2  Закона Грузии «О юридическом лице публичного права – Оперативно-техническом агентстве Грузии»; (22.03.2017 N479, ввести в действие с 30 марта 2017 года.)

ы) компания электронной коммуникации – компания, предусмотренная подпунктом «я⁶⁵» статьи 2 Закона Грузии «Об электронных коммуникациях» (22.03.2017 N479, ввести в действие с 30 марта 2017 года.)

Статья 3. Сфера действия Закона

1. Действие настоящего Закона распространяется на обработку на территории Грузии данных при помощи автоматических или полуавтоматических средств, обработку при помощи неавтоматических средств данных, являющихся частью файловой системы или обрабатываемых с целью внесения в файловую систему, а также на автоматическую обработку данных, относящихся к государственной тайне, для целей предупреждения и расследования преступлений, оперативно-розыскных мероприятий и защиты правопорядка, кроме исключений, предусмотренных настоящей статьей.(1.08.2014 N2639)

11. Не допускается обработка данных при помощи неавтоматических средств, если ее целью является уклонение от исполнения требований настоящего Закона.(1.08.2014 N2639)

 2. Действие настоящего Закона распространяется также:

а) на обработку данных дипломатическими представительствами и консульскими учреждениями Грузии за рубежом;

б) на деятельность лица, обрабатывающего данные, которое не зарегистрировано на территории Грузии, но использует для обработки данных технические средства, имеющиеся в Грузии, кроме случая, когда  указанные технические средства используются только для транзита данных. В таком случае лицо, обрабатывающее данные, должно назначить/определить представителя, зарегистрированного в Грузии.

3. Действие настоящего Закона не распространяется:

а) на обработку данных физическим лицом явно для личных целей, когда обработка данных не связана с предпринимательской или профессиональной деятельностью лица;

б) обработку данных для целей судопроизводства в суде, поскольку это может создавать препятствия судопроизводству до вынесения судом окончательного решения. (1.08.2014 N2636)

в) на обработку данных, относящихся к государственной тайне, для целей государственной безопасности (в том числе – экономической безопасности), обороны, разведывательной и контрразведывательной деятельности; (1.08.2014 N2639)

г) на обработку информации, относящейся к государственной тайне (кроме данных, предусмотренных пунктом первым настоящей статьи). (1.08.2014 N2639)

4. Действие настоящего Закона (кроме статьи 17) не распространяется на обработку данных медиа средствами в целях информирования общественности, а также для целей, касающихся сферы искусства и литературы.

5. Действие статей 19 и 20 настоящего Закона не распространяется на обработку политическими партиями, профессиональными или иными союзами и религиозными организациями данных, связанных с членами указанных субъектов.

6. Действие статьи 6 настоящего Закона не распространяется на обработку данных для целей общественной безопасности, оперативно-розыскных мероприятий и расследования преступлений, если вопрос прямо и специально регулируется Уголовно-процессуальным кодексом Грузии или Законом Грузии «Об оперативно-розыскной деятельности» либо другим специальным законом. (1.08.2014 N2639)

7. Действие статьи 6 настоящего Закона не распространяется на обработку данных с целью предусмотренной Законом Грузии «Об официальной статистике» всеобщей переписи населения. (1.08.2014 N2639)

Статья 4. Принципы обработки данных

 При обработке данных должны соблюдаться следующие принципы:

а) данные должны обрабатываться справедливо и законно без унижения достоинства субъекта данных;

б) данные могут обрабатываться только для конкретных, четко определенных,  законных целей. Не допускается последующая обработка данных для других целей, не совместимых с первоначальной целью; (1.08.2014 N2639)

в) данные могут обрабатываться только в объеме, необходимом для достижения соответствующих законных целей. Данные должны быть адекватны и пропорциональны целям, для достижения которых обрабатываются;

 г) данные должны быть достоверными и точными и при необходимости обновляться. Данные, собранные без законного основания и не соответствующие цели обработки, должны быть заблокированы, удалены  либо уничтожены; (1.08.2014 N2639)

д) данные могут храниться только в течение срока, необходимого для достижения цели обработки данных. По достижении цели, для которой обрабатывались данные, они должны быть заблокированы, удалены либо уничтожены или храниться в форме, исключающей возможность идентификации лица, если законом не установлено иное. (1.08.2014 N2639)

Глава II

Правила обработки данных

Статья 5. Основания для обработки данных

Обработка данных допускается если:

а) имеется согласие субъекта данных;

б) обработка данных предусмотрена законом;

в) обработка данных необходима для исполнения лицом, обрабатывающим данные, обязанностей, возложенных на него законодательством;

г)  обработка данных необходима для защиты жизненных интересов субъекта данных;

д) обработка данных необходима для защиты законных интересов лица, обрабатывающего данные, или третьего лица, за исключением случая наличия преобладающего интереса защиты прав и свобод субъекта данных;

е) согласно закону данные публично доступны или доступ к ним обеспечен субъектом данных;

ж)   обработка данных необходима для соблюдения значительного публичного интереса в соответствии с законом;

з) обработка данных необходима для рассмотрения заявления субъекта данных (оказания ему услуг).

Статья 6. Обработка данных особой категории (25.05.2012 N6325)

1. Запрещается обработка данных особой категории.

2.Обработка данных, предусмотренных пунктом первым настоящей статьи, может производиться с письменного согласия субъекта данных или в случаях, когда: (1.08.2014 N2636)

а) обработка данных, связанных с судимостью и состоянием здоровья, необходима исходя из характера трудовых обязательств и отношений, в том числе для принятия решения, касающегося трудоустройства;

б) обработка данных необходима для защиты жизненных интересов субъекта данных или третьего лица и субъект данных физически или в правовом отношении не в состоянии выразить согласие на обработку данных;

в) обработка данных осуществляется для целей общественного здравоохранения, здравоохранения или охраны здоровья физических лиц учреждением (работником), а также если это необходимо для управления системой здравоохранения или ее функционирования;

г) субъект данных предал огласке данные о себе без явного запрета на их использование;

д) обработка данных осуществляется политическим, философским, религиозным  или профессиональным объединением или некоммерческой организацией при осуществлении легитимной деятельности. В таком случае обработка данных может быть связана лишь с членами объединения (организации) или лицами, имеющими постоянную связь с указанным объединением (организацией).

е) производится обработка данных с целью рассмотрения вопросов, связанных с ведением личных дел и реестров обвиняемых/осужденных, индивидуальным планированием для осужденного отбывания им наказания или (и) условно-досрочным освобождением осужденного от отбывания наказания и заменой неотбытой им части наказания более мягким видом наказания.(1.05.2015 N3534)

 ж) данные обрабатываются с целью исполнения правовых актов, предусмотренных статьей 2 Закона Грузии «О порядке исполнения наказаний, не связанных с заключением под стражу, и пробации». (27.04.2016 N5017)

 з) данные обрабатываются в случаях, прямо предусмотренных Законом Грузии «О международной защите».(1.12.2016 N54, ввести в действие с 1 февраля 2017 года)

и) обработка данных осуществляется с целью функционирования единой аналитической системы данных.(21.04.2017 N669)

3. В случае обработки данных на основании пункта 2 настоящей статьи не допускается разглашение и предоставление третьим лицам данных без согласия субъекта данных. (1.08.2014N 2636)

Статья 7. Защита данных об умерших лицах

1. Обработка данных о субъекте данных после его смерти, кроме наличия оснований, определенных статьями 5 и 6 настоящего Закона, допускается с согласия родителей, детей, внуков или супругов субъектов данных либо, если после смерти субъекта данных прошло 30 лет.

2. Обработка данных о субъекте данных после его смерти допускается также, если это необходимо для реализации прав, связанных с наследством.

3. Не допускается обработка данных по основаниям, определенным пунктами первым и 2 настоящей статьи, если субъектом данных еще при жизни была выражена в письменной форме воля запретить обработку данных о нем после его смерти, кроме случаев обработки данных по основаниям, определенным статьями 5 и 6 настоящего Закона.(1.08.2014 N2639)

4. Для обработки данных, касающихся  имени, пола, дат рождения и смерти умершего лица не требуется наличия предусмотренных настоящим Законом  оснований  для обработки данных.

5. Данные об умерших лицах могут разглашаться для исторических, статистических и исследовательских целей, кроме случаев, когда  лицом в письменной форме было запрещено их разглашение.

Статья 8. Обработка данных для целей прямого маркетинга

1. Для целей прямого маркетинга могут обрабатываться данные, добытые из публично доступных источников.

2. Независимо от целей сбора данных для целей прямого маркетинга могут обрабатываться следующие данные: имя (имена), адрес, номер телефона, адрес электронной почты, номер факса.

3. На основании письменного согласия, данного субъектом данных в порядке, установленном настоящим Законом, для целей прямого маркетинга могут обрабатываться любые данные. (1.08.2014 N2639)

4. Субъект данных вправе в любое время требовать от лица, обрабатывающего данные, прекращения использования данных о нем для целей прямого маркетинга. (1.08.2014 N2639)

5. Лицо, обрабатывающее данные, обязано прекратить обработку данных для целей прямого маркетинга или (и) обеспечить  прекращение обработки данных для целей прямого маркетинга уполномоченным лицом не позднее 10 рабочих дней после получения требования субъекта данных. (1.08.2014 N2639)

6. При обработке данных для целей прямого маркетинга лицо, обрабатывающее данные, обязано сообщить субъекту данных о праве, предусмотренном пунктом 4 настоящей статьи, и обеспечить, чтобы у субъекта данных была возможность в той же форме, в которой осуществляется прямой маркетинг, требовать прекращения обработки данных для целей прямого маркетинга или (и) определить доступное и адекватное средство для требования о прекращении обработки данных для целей прямого маркетинга. (1.08.2014 N2639)

Статья 9. Обработка биометрических данных публичным  учреждением

1. Обработка биометрических данных публичным учреждением допускается только для целей защиты безопасности и  собственности лица, а также во избежание разглашения секретной информации, если достижение указанных целей иными средствами не представляется возможным или сопряжено с несоразмерными усилиями.2.  Невзирая на условия, предусмотренные пунктом первым настоящей статьи, обработка биометрических данных может осуществляться для целей выдачи в порядке, установленном законом, документа, удостоверяющего личность, или идентификации лиц, пересекающих государственную границу, а также в случаях, прямо предусмотренных законодательным актом Грузии.  (1.12.2016 N54, ввести в действие с 1 февраля 2017 года)

Статья 10. Обработка биометрических данных юридическими

 лицами частного права и физическими лицами (1.08.2014 N2639)

Обработка биометрических данных юридическими лицами частного права и физическими лицами может вестись только в случае, если это необходимо для осуществления деятельности, защиты безопасности и собственности, а также во избежание разглашения секретной информации, если достижение указанных целей иными средствами невозможно или сопряжено с несоразмерными усилиями. Если законом не установлено иное, до использования биометрических данных лицо, обрабатывающее данные, должно предоставлять Инспектору по защите персональных данных ту же информацию, которая предоставляется субъекту данных, в частности о цели  обработки данных и мерах безопасности, принимаемых для защиты данных.

Статья 11. Осуществление видеонаблюдения на улице и в общественном транспорте (1.08.2014 N2639)

1. Осуществление видеонаблюдения на улице (в том числе в парках, скверах, на игровых площадках, остановках общественного транспорта и в других местах массового скопления людей) и в общественном транспорте допускается лишь в целях превенции преступления, а также защиты безопасности и  собственности лиц, охраны общественного порядка и защиты несовершеннолетних от вредного влияния. (1.08.2014 N2639)

2. В случае установки системы видеонаблюдения публичные и частные учреждения обязаны размещать в доступном для обозрения месте соответствующий предупредительный знак. В таком случае субъект данных считается информированным по поводу обработки данных о нем.

3. Система видеонаблюдения и видеоматериалы должны охраняться от противоправного посягательства и использования.

Статья 12. Видеонаблюдение зданий публичных и частных учреждений

1. Публичные и частные учреждения в целях осуществления соответствующего мониторинга могут осуществлять видеонаблюдение своих зданий, если это необходимо для защиты безопасности и собственности лиц, защиты несовершеннолетних от вредного влияния и охраны секретной информации.

2. При помощи системы видеонаблюдения может осуществляться только мониторинг внешнего периметра и входа в здание. Лицо, обрабатывающее данные, обязано поместить на видном месте соответствующий предупредительный знак. В таком случае субъект данных считается информированным об обработке касающихся его данных.(1.08.2014 N2639)

3. Установка системы видеонаблюдения на рабочем месте допускается только в исключительных случаях, если это необходимо для защиты безопасности и собственности лиц, охраны секретной информации и достижение указанных целей другими средствами не представляется возможным.

4. Осуществление видеонаблюдения не допускается в помещениях для смены одежды и местах для гигиенических нужд.

5. При использовании системы видеонаблюдения на рабочих местах в случае, предусмотренном пунктом 3 настоящей статьи, все лица, занятые в соответствующих частных или публичных учреждениях, должны быть в письменной форме проинформированы об осуществлении видеонаблюдения и своих правах.(1.08.2014 N2639)

6. Лицо, обрабатывающее данные, обязано создать файловую систему,

предназначенную для хранения видеозаписей. Помимо записей (изображение/звук) в системе должна содержаться информация о дате, месте и времени обработки данных.(25.05.2012 N6325)

Статья 13. Видеонаблюдение жилых помещений

1. Для установки системы видеонаблюдения  в жилых помещениях необходимо письменное согласие более половины собственников указанного помещения. Об установке системы видеонаблюдения должны быть уведомлены жильцы этого помещения. (1.08. 2014 N2636)

2. Установка в жилом помещении системы видеонаблюдения допускается только для целей безопасности лица и имущества.

3. При помощи установленной в жилом помещении системы видеонаблюдения может осуществляться лишь мониторинг входа и общего пространства. Мониторинг квартир собственников не допускается.

4. Осуществление при помощи системы видеонаблюдения мониторинга прихожей в квартире допускается только по решению собственника квартиры или на основании его письменного согласия.

Статья 14. Обработка данных в целях учета входа и выхода лиц

   из зданий публичных и частных учреждений

1. Публичные и частные учреждения в целях учета входа и выхода лиц из здания могут собирать следующие данные: имя, номер и вид  идентификационного документа, адрес, дату и время входа и выхода, а также причины входа и выхода из здания.

2. Срок хранения данных, предусмотренных пунктом первым настоящей статьи, не должен превышать три года со дня их записи, если законом не предусмотрено иное. По истечении трехлетнего срока они должны быть стерты или уничтожены.

Глава III

Права и обязанности лица, обрабатывающего данные,

и уполномоченного лица

Статья 15. Предоставление информации субъекту данных

1. Если сбор данных осуществляется непосредственно от субъекта данных, лицо, обрабатывающее данные, или уполномоченное лицо обязаны предоставлять субъекту данных следующую информацию:

а) личность и зарегистрированный адрес лица, обрабатывающего информацию, и уполномоченного лица (в случае наличия такового);

б) цель обработки данных;

в) является ли обязательным или добровольным предоставление данных, если обязательным – правовые последствия отказа от него;

г) право субъекта данных на получение информации об обработанных данных о нем, на требование их исправления, обновления, дополнения, блокирования, удаления или уничтожения.

2. Предоставление информации, указанной в пункте первом настоящей статьи, не является обязательным, если у субъекта данных она уже имеется.

3. Если сбор данных осуществляется не от субъекта данных непосредственно, лицо, обрабатывающее данные, или уполномоченное лицо обязаны в случае требования предоставлять субъекту данных информацию, указанную в пункте первом настоящей статьи.

4. При сборе информации в статистических, научных и исторических целях ее предоставление не является обязательным, если предоставление информации субъекту данных сопряжено с несоразмерными усилиями.

Статья 16. Обработка данных уполномоченным лицом

1. Уполномоченное лицо может обработать данные на основании правового акта или письменного договора, заключенного с лицом, обрабатывающим данные, который должен соответствовать требованиям, установленным настоящим Законом, и другими нормативными актами, и предусмотренным настоящим Законом правилам и запретам.

2. Уполномоченное лицо должно обрабатывать данные в пределах, установленных соответствующим правовым актом или договором. Не допускается последующая обработка уполномоченным лицом данных в каких-либо иных целях. Не допускается передача уполномоченным лицом права на обработку данных другому лицу без согласия лица, обрабатывающего данные. (1.08.2014 N2639)

3. Не допускается заключение договора об обработке данных при наличии исходя из деятельности или(и) целей уполномоченного лица опасности нецелевой обработки данных.

4. Лицо, обрабатывающее данные, должно удостовериться, что уполномоченным лицом будут приняты соответствующие организационные и технические меры для защиты данных. Оно обязано осуществлять мониторинг обработки данных уполномоченным лицом.

5. В случае возникновения спора между уполномоченным лицом и лицом, обрабатывающим данные, уполномоченное лицо обязано по требованию передать имеющиеся у него данные лицу, обрабатывающему данные.

6. В случае отмены уполномоченным лицом основания, предусмотренного пунктом первым настоящей статьи, или прекращения деятельности обработка данных должна быть прекращена, и данные, обработанные до отмены указанного основания или прекращения деятельности, должны быть незамедлительно переданы лицу, обрабатывающему данные. (1.08.2014 N2639)

7. В договоре, заключенном с уполномоченным лицом, должно быть предусмотрено обязательство по принятию мер по безопасности данных.

Статья 17. Безопасность данных

1. Лицо, обрабатывающее данные, обязано принимать организационные и технические меры, обеспечивающие защиту данных от случайного или незаконного уничтожения, изменения, разглашения, добывания, незаконного использования иным образом и случайной либо незаконной утраты.

2. Лицо, обрабатывающее данные, обязано обеспечить учет всех действий, осуществляемых с данными в электронной форме, при обработке данных не в электронной форме лицо, обрабатывающее данные, обязано обеспечить учет всех действий, связанных с разглашением или (и) изменением данных.

3. Меры по безопасности данных должны быть адекватны рискам, связанным с обработкой данных.

4. Любые сотрудники лица, обрабатывающего данные, и уполномоченного лица, участвующие в обработке данных, обязаны не выходить за пределы  предоставленных им полномочий. При этом на них возлагается обязательство по соблюдению тайны данных. В том числе и после прекращения служебных полномочий.

5. Меры по защите безопасности данных определяются законодательством Грузии.

Статья 18. Обязательства лица, обрабатывающего данные,

  и уполномоченного лица, касающиеся разглашения данных

При  разглашении данных лицо, обрабатывающее данные, и уполномоченное лицо обязаны обеспечить регистрацию следующей информации: какие данные были разглашены, кому, когда и на каком правовом основании. Указанная информация должна храниться вместе с данными о субъекте данных в течение всего срока их хранения.

Статья 19. Каталог файловой системы

1. Лицо, обрабатывающее данные, обязано по каждой файловой системе вести каталог файловой системы и учитывать следующую информацию:

а) наименование файловой системы;

б) наименования и адреса лица, обрабатывающего данные, и уполномоченного лица, место хранения или(и) обработки данных;

в) правовые основания обработки данных;

г) категория субъекта данных;

д) категория данных в файловой системе;

е) цели обработки данных;

ж) срок хранения данных;

з) факт и основания ограничения прав субъекта данных;

и) получатели данных, размещенных в файловой системе, и их категории;

к) информация о передаче данных другим государствам и международным организациям и правовые основания такой передачи;

л) общее описание процедуры, установленной для защиты безопасности данных.

2. Лицо, обрабатывающее данные, обязано обеспечить систематическое обновление информации, предусмотренной пунктом первым настоящей статьи.

Статья 20. Обязательство по извещению инспектора по охране

 персональных данных

1. Лицо, обрабатывающее данные, обязано до создания файловой системы и внесения в нее данных новой категории в письменной или электронной форме сообщить инспектору по охране персональных данных информацию, предусмотренную статьей 19 настоящего Закона.

2.  Лицо, обрабатывающее данные, обязано сообщить инспектору по охране персональных данных о внесении изменений в информацию, предусмотренную статьей 19 настоящего  Закона, не позднее 30 дней после осуществления изменения.

3. Один экземпляр определения судьи о выдаче разрешения на производство требуемого правоохранительным органом тайного следственного действия или отказе в выдаче разрешения на его производство, содержащий только реквизиты и резолютивную часть, а также один экземпляр определения судьи о признании законным/незаконным тайного следственного действия, произведенного правоохранительным органом без разрешения суда, содержащий  только реквизиты и резолютивную часть, предоставляются Инспектору по защите персональных данных в порядке, установленном Уголовно-процессуальным кодексом Грузии. (22.03.2017 N479, ввести в действие с 30 марта 2017 года.)

    4. Компания электронной коммуникации должна известить Инспектора по защите персональных данных о передаче правоохранительному органу в порядке, установленном статьей 136 Уголовно-процессуального кодекса Грузии, данных, идентифицирующих электронную коммуникацию, в течение 24 часов после их передачи. (22.03.2017 N479, ввести в действие с 30 марта 2017 года.)

5. Постановление прокурора о производстве тайного следственного действия, в случае безотлагательной необходимости, содержащее только реквизиты и резолютивную часть, прокурор или по поручению прокурора – следователь предоставляет в материальном (документальном) виде Инспектору по защите персональных данных не позднее 12 часов со времени начала тайного следственного действия, указанного в постановлении. (22.03.2017 N479, ввести в действие с 30 марта 2017 года.)

6. Электронный экземпляр определения судьи о выдаче разрешения на производство тайного следственного действия, предусмотренного подпунктом «а» части первой статьи 143¹ Уголовно-процессуального кодекса Грузии, содержащий только реквизиты и резолютивную часть, а также электронный экземпляр постановления прокурора о производстве указанного тайного следственного действия, содержащий только реквизиты и резолютивную часть, незамедлительно по принятии предоставляется Агентством Инспектору по защите персональных данных через электронную систему контроля. (22.03.2017 N479, ввести в действие с 30 марта 2017 года.)

Глава IV

 Права субъекта данных

Статья 21. Право истребования информации субъектом

 данных

1. Субъект данных вправе требовать от лица, обрабатывающего данные, информацию об обработке данных о нем. Лицо, обрабатывающее данные, должно предоставить субъекту данных следующую информацию:

а) какие данные о нем обрабатываются;

б) цели обработки данных;

в) правовые основания для обработки данных;

г) каким способом были собраны данные;

д) кому были выданы данные, основания и цели их выдачи.

2. Предоставление субъекту данных информации, предусмотренной подпунктом «д» пункта первого настоящей статьи, не является обязательным, если указанные данные публичны согласно закону.

3. Информация, предусмотренная пунктом первым настоящей статьи, должна предоставляться субъекту данных по требованию, незамедлительно  или  не позднее 10 дней после запроса, если для ответа на запрос информации требуются: (1.08.2014 N2636)

а) сбор и обработка информации в другом учреждении или структурной единице или консультация с ними;

б) сбор и обработка не связанных друг с другом значительных по объему документов;

 в) консультации с его структурной единицей, находящейся в другом населенном пункте, или другим публичным учреждением.

4. Форму предоставления информации, предусмотренной пунктом первым настоящей статьи, выбирает субъект данных.

5. Лицо вправе ознакомиться с имеющимися в публичном учреждении персональными данными о нем  и безвозмездно получать копии указанных данных, кроме данных, для выдачи которых законодательством Грузии предусмотрено внесение платы. (25.05.2012 N6325)

Статья 22. Право субъекта данных на требование исправления,

обновления, дополнения, блокирования, удаления

и уничтожения данных

1. По требованию субъекта данных лицо, обрабатывающее данные, обязано исправить, обновить, дополнить, блокировать, удалить или уничтожить данные, если они  неполные, неточные, необновленные или собраны и обработаны противозаконно.

2. Лицо, обрабатывающее данные, должно известить всех получателей об исправлении, обновлении, дополнении, блокировании, удалении или уничтожении данных, кроме случая, когда предоставление такой информации невозможно ввиду множества получателей и несоразмерных расходов. О последнем обстоятельстве должен быть извещен инспектор по защите персональных данных.

3. В случае получения информации согласно пункту 2 настоящей статьи получатель обязан соответствующим образом исправить, обновить, дополнить, блокировать, удалить или уничтожить данные. 

Статья 23. Процедура исправления, обновления, дополнения,

блокирования, удаления и уничтожения данных

1. Требование, предусмотренное пунктом первым статьи 22 настоящего Закона, может быть представлено в письменной, устной форме или с использованием  электронных средств.

2. В 15-дневный срок после получения требования субъекта данных лицо, обрабатывающее данные, обязано исправить, обновить, дополнить, блокировать, удалить или уничтожить данные либо сообщить субъекту данных об основании отказа.

3. Если лицо, обрабатывающее данные без получения требования субъекта данных, сочтет, что имеющиеся у него данные неполные, неточные или не обновлены, оно должно их соответственно исправить или обновить и сообщить об этом субъекту данных.

4. После представления субъектом данных требования, предусмотренного пунктом первым статьи 22 настоящего Закона, лицо, обрабатывающее данные, правомочно заблокировать данные на основании обращения заявителя.

5. Решение о блокировании данных принимается в 3-дневный срок после подачи соответствующего требования и в силе до принятия лицом, обрабатывающим данные, решения об исправлении, обновлении, дополнении,  удалении или уничтожении данных.

6. Решение о блокировании данных в течение периода наличия причины блокирования должно прилагаться к соответствующим данным.

Статья 24. Ограничение прав субъекта данных

1. Права субъекта данных, предусмотренные статьями 15, 21 и 22 настоящего Закона, могут ограничиваться законодательством Грузии, если реализация указанных прав может создать угрозу:

а) интересам национальной безопасности или обороны страны;

а) интересам государственной безопасности или обороны; (29.06.2018 N2765, ввести в действие с принятием присяги Президентом Грузии, избранным в результате следующих выборов Президента Грузии.)

б) интересам общественной безопасности;

в) выявлению, расследованию и пресечению преступлений;

г) значительным финансовым и экономическим  (в том числе, связанным с монетарными, бюджетными и налоговыми вопросами) интересам страны;

д) правам и свободам субъекта данных и других лиц.

2. Меры, предусмотренные пунктом первым настоящей статьи, могут применяться только в объеме, необходимом, для достижения целей ограничения.

3. При наличии оснований, предусмотренных пунктом первым настоящей статьи, о  решении лица, обрабатывающего данные, или инспектора по охране  персональных данных субъект данных должен быть извещен таким образом, чтобы это не повредило цели ограничения права.

Статья 25. Отказ в даче согласия

1. Субъект данных вправе в любое время, без объяснений отказаться от данного им же согласия и требовать прекращения обработки данных или(и) уничтожения обработанных данных.

2. Лицо, обрабатывающее данные, обязано в соответствии с требованием субъекта данных прекратить обработку данных или (и) уничтожить обработанные данные в 5-дневный срок после подачи заявления, если нет другого основания для обработки данных.

3. Действие настоящей статьи не распространяется на информацию об исполнении субъектом данных денежных обязательств, обработанную с его же согласия.

Статья 26. Право на обжалование

1. Субъект данных вправе в случае нарушения прав, предусмотренных

 настоящим Законом, обратиться в порядке, установленном законом, к инспектору по защите персональных данных или в суд, а если лицом, обрабатывающим данные, является публичное учреждение, подача жалобы также возможна в этот же или вышестоящий административный орган. (25.05.2012 N6325)

2. Субъект данных вправе требовать от органа, рассматривающего дело, заблокировать данные до вынесения решения.

3. Субъект данных вправе в порядке, установленном законом, обжаловать в суд решение вышестоящего административного органа или инспектора по охране персональных данных.

4. В случае возникновения спора по поводу наличия согласия субъекта данных на обработку данных на лицо, обрабатывающее данные, возлагается бремя доказывания факта согласия субъекта данных. (25.05.2012 N6325)

Статья 26¹. Искл. (22.03.2017 N479, ввести в действие с 30 марта 2017 года.)

Глава V

Инспектор по охране персональных данных

Статья 27. Основные задачи деятельности Инспектора по защите

 Данных (1.08.2014 N2639)

1. Контроль за законностью обработки данных в Грузии осуществляет Инспектор по защите персональных данных (далее – Инспектор), основными направлениями деятельности которого являются:

а) проведение для публичных и частных учреждений, а также физических лиц консультаций по вопросам, связанным с защитой данных;

б) рассмотрение заявлений, связанных с защитой данных;

в) проверка (инспектирование) законности обработки данных в публичных и частных учреждениях;

г) информирование общественности о положении с защитой данных в Грузии и значительных явлениях, связанных с ней.

2. В своей деятельности Инспектор руководствуется Конституцией Грузии, международными договорами и соглашениями Грузии, общепризнанными принципами и нормами международного права, настоящим Законом, Положением о порядке осуществления деятельности Инспектора и его полномочий и другими правовыми актами.

3. Принципами деятельности Инспектора являются:

а) законность;

б) уважение и защита прав и свобод человека;

в) независимость и политический нейтралитет;

г) объективность и беспристрастность;

д) профессионализм;

е) защита профессиональной тайны и соблюдение конфиденциальности.

4. Инспектор в пределах своих полномочий издает подзаконные нормативные акты, в том числе – по поводу рассмотрения уведомлений, разрешений и заявлений, методе и форме инспектирования, по вопросам, связанным с деятельностью аппарата Инспектора.

5. Инспектор на основании и во исполнение настоящего Закона, Положения о порядке осуществления деятельности Инспектора и его полномочий и других нормативных актов издает индивидуальные административные акты, в том числе решения, приказы, инструкции, указания.

6. Порядок деятельности Инспектора и осуществления им своих полномочий определяется соответствующим Положением, которое утверждает Правительство Грузии.

7. У Инспектора имеется заместитель, которого в порядке конкурса назначает на должность Инспектор. В случае истечения срока полномочий Инспектора или досрочного прекращения его полномочий заместитель Инспектора исполняет обязанности Инспектора и пользуется предоставленными Инспектору правами и правовыми гарантиями до избрания Парламентом Грузии нового Инспектора.

Статья 28. Назначение инспектора на должность и прекращение

его полномочий

1. Инспектором может быть избран гражданин Грузии с высшим юридическим образованием, не менее, чем с 5-летним опытом работы в сфере защиты прав человека и соответствующими деловыми и моральными качествами. (1.08.2014 N2636)

2.Конкурсная комиссию по подбору Инспектора создается приказом Премьер-министра Грузии. В состав комиссии входят: (1.08.2014 N2636)

а) представитель Правительства Грузии;

б) Председатель Комитета Парламента Грузии по защите прав человека и гражданской интеграции;

 в) Заместитель Председателя Верховного Суда Грузии (назначаемый членом Комиссии Председателем Верховного Суда Грузии);

г) Народный Защитник Грузии или представитель Народного Защитника  Грузии;

д) имеющее надлежащий опыт лицо, назначенное Народным Защитником Грузии из числа членов непредпринимательского (некоммерческого) юридического лица с опытом работы в сфере защиты персональных данных.

3. Не ранее 11 и не позднее 10 недель до истечения срока полномочий Инспектора, а в случае досрочного прекращения полномочий – в недельный срок после прекращения полномочий лица, определенные пунктом 2 настоящей статьи, представляют Премьер-министру Грузии членов Конкурсной комиссии по подбору Инспектора. В 3-дневный срок после представления всех членов Комиссии Премьер-министр Грузии созывает первое заседание Комиссии. Комиссия на первом заседании из числа своих членов избирает Председателя Комиссии и в недельный срок утверждает Положение о комиссии, которым определяются порядок деятельности Комиссии, а также срок и порядок представления ей кандидатур на пост Инспектора. (1.08.2014 N2636)

4.  Конкурсная комиссия по подбору Инспектора большинством голосов избирает не менее 2 и не более 5  кандидатур на пост Инспектора и представляет Премьер-министру  Грузии. (1.08.2014 N2636)

5. Премьер-министр Грузии в 10-дневный срок  представляет Парламенту Грузии 2 кандидатуры для избрания на должность Инспектора. Парламент Грузии в порядке, установленном Регламентом Парламента Грузии, не позднее 14 дней после представления кандидатур избирает Инспектора. Если ни один из кандидатов не получит необходимого для избрания числа голосов, Премьер-министр Грузии в 2-недельный срок объявляет повторный конкурс. (1.08.2014 N2636)

6. Инспектор назначается сроком на 3 года. Одно и то же лицо  может назначаться на должность инспектора не более двух раз подряд.

7. Инспектор должен быть избран не ранее 60 дней до истечения срока полномочий и не позднее 30 дней после истечения срока полномочий инспектора, занимающего должность.

8. Полномочия вновь избранного инспектора начинаются после истечения срока полномочий инспектора, занимающего должность, если он был назначен до истечения указанного срока, и на следующий день после назначения, если он был назначен   по истечении указанного срока либо полномочия предыдущего инспектора были прекращены досрочно.

9. Полномочия инспектора прекращаются  по истечении трех лет после назначения или с досрочным прекращением срока его полномочий.

10. У инспектора есть заместитель, которого назначает на должность инспектор.

Статья 29. Должностная несовместимость инспектора

1. Должность инспектора несовместима с членством в органах государственной власти Грузии и представительных органах местного самоуправления, любой должностью на государственной службе и вознаграждаемой деятельностью, кроме научной, педагогической деятельности и деятельности в сфере искусства. Он не должен быть членом политической партии или участвовать в политической деятельности.

2. В месячный срок после избрания Инспектор обязан прекратить несовместимую с его должностью деятельность. Если Инспектор в указанный срок не выполнит указанного требования, его полномочия прекращаются досрочно, и Премьер-министр Грузии в порядке, установленном настоящим Законом, представляет Парламенту Грузии новые кандидатуры для избрания. (1.08.2014 N2639)

 Статья 30.  Неприкосновенность Инспектора и досрочное

прекращение его полномочий (1.08.2014 N2636)

1. Инспектор неприкосновенен. Не допускается его привлечение к уголовной ответственности, задержание или заключение под стражу, обыск его квартиры, машины, места работы или личный обыск без согласия Парламента Грузии. Исключение составляет случай задержания на месте преступления, о чем незамедлительно должен быть извещен Парламент Грузии. Если Парламент Грузии не даст согласия, задержанный или заключенный под стражу Инспектор незамедлительно должен быть освобожден. Парламент Грузии принимает решение по указанному вопросу не позднее 14 дней со дня обращения.

2. В случае дачи согласия Парламентом Грузии на задержание или заключение под стражу Инспектора с согласия Парламента Грузии приостанавливаются его полномочия до вынесения постановления о прекращении уголовного дела или вступления судебного приговора в законную силу.

3. Полномочия Инспектора прекращаются досрочно в случае:

а) утраты им гражданства Грузии;

б) неисполнения им своих обязанностей в течение 4 месяцев подряд;

в) вступления в отношении  него в законную силу обвинительного приговора суда;

г) в случае признания его судом безвестно отсутствующим, объявления умершим или признания поддерживаемым лицом, если решением суда не определено иное; (20.03.2015 N3350)

д) занятия им должности, несовместимой со статусом Инспектора, или несовместимой деятельности;

е) добровольной отставки с должности;

ж) смерти;

4. В случаях, предусмотренных пунктом 3 настоящей статьи, полномочия Инспектора считаются прекращенными с момента установления указанного обстоятельства, о чем незамедлительно должны  быть извещены Премьер-министр Грузии и Парламент Грузии.

5. В случаях, предусмотренных подпунктами «б» и «д» пункта 3 настоящей статьи, полномочия Инспектора прекращает Парламент Грузии по собственной инициативе или на основании обращения Премьер-министра Грузии.

Статья 31. Независимость инспектора

1. Инспектор при осуществлении своих полномочий независим и не подчиняется ни одному должностному лицу и органу. Какое-либо воздействие на Инспектора или вмешательство в деятельность Инспектора запрещается и наказывается законом. (1.08.2014 N2639)

2. В целях обеспечения независимости инспектора государство обязано создать ему надлежащие условия работы.

3. Инспектор вправе не давать показаний по фактам, доверенным ему как инспектору. Указанное право сохраняется за ним и после прекращения полномочий.

Статья 32. Финансовое и организационное обеспечение

деятельности инспектора

1. Инспектор осуществляет свои права и исполняет обязанности при помощи Аппарата инспектора (далее − Аппарат).

2. Структуру, порядок деятельности и распределения полномочий  между сотрудниками Аппарата устанавливает  инспектор Положением об Аппарате.

3. Аппаратом руководит непосредственно инспектор или по его поручению заместитель инспектора.

4. Деятельность инспектора и Аппарата финансируется из государственного бюджета Грузии. Проект сметы в порядке,  установленном законом, представляет инспектор. Ассигнования, необходимые для деятельности инспектора и Аппарата, определены под отдельным кодом государственного бюджета Грузии.

5. Инспектор правомочен для осуществления прав и исполнения обязанностей, предусмотренных настоящим Законом, получать гранты и пожертвования в порядке, установленном законодательством Грузии.

Статья 33. Проведение инспектором консультаций и

осуществление просветительской  деятельности

1. Инспектор обязан при наличии соответствующего обращения проводить для органов государственной власти Грузии и местного самоуправления, других публичных учреждений, юридических лиц частного права и физических лиц консультации по любым вопросам, связанным с обработкой и защитой данных.

2. Инспектор  осуществляет просветительскую деятельность по  вопросам, связанным с обработкой и защитой данных.

Статья 34. Рассмотрение инспектором заявления

субъекта данных

1. Инспектор обязан рассмотреть заявление субъекта данных по поводу   обработки данных и принять меры, предусмотренные настоящим Законом.

2. В 10-дневный срок после получения заявления  субъекта данных инспектор принимает решение о мероприятиях, подлежащих проведению, и извещает об этом заявителя.

3. Инспектор правомочен проводить проверку в целях изучения и исследования обстоятельств, связанных с заявлением субъекта данных. Лицо, обрабатывающее данные, и уполномоченное лицо по требованию инспектора обязаны передать ему соответствующую информацию и документы.

4. Срок рассмотрения инспектором заявления  субъекта данных не должен превышать 2 месяца. По обоснованному решению инспектора срок рассмотрения заявления может быть продлен не более, чем на месяц.

4¹. Инспектор правомочен при рассмотрении заявления субъекта данных приостановить производство по делу по основанию истребования дополнительной документации, о чем он извещает субъекта данных. Рассмотрение заявления субъекта данных продолжается с отменой указанного основания. Период приостановления производства по делу не засчитывается в срок, предусмотренный пунктом 4 настоящей статьи.(1.08.2014 N2639)

 5. Инспектор правомочен до завершения рассмотрения заявления  субъекта данных принимать решение о блокировании данных. Независимо от блокирования данных обработка указанных данных может продолжаться, если это необходимо для защиты жизненных интересов субъекта данных или третьих лиц, а также для целей государственной безопасности и обороны.

6. После рассмотрения заявления  субъекта данных инспектор принимает решение о применении одного из мероприятий, предусмотренных статьей 39 настоящего Закона, о чем незамедлительно должны быть извещены субъект данных и лицо, обрабатывающее данные.

Статья 35. Осуществление проверки инспектором

1. Инспектор вправе как по собственной инициативе, так и на основании заявления заинтересованного лица осуществлять проверку лица, обрабатывающего данные и уполномоченного лица.

2.  Осуществление проверки инспектором подразумевает:

а) установление наличия соблюдения принципов обработки данных и законных оснований для обработки данных;

б) проверку соответствия процедур по защите данных и организационных и технических мер требованиям настоящего Закона;

в) проверку исполнения установленных настоящим Законом  требований, касающихся каталогов файловых систем, реестра каталогов файловых систем и учета выдачи данных;

г) проверку законности передачи данных другим государствам и иностранным организациям;

д) проверку соблюдения правил по защите данных, установленных настоящим Законом и другими нормативными актами.

3. Инспектор правомочен при осуществлении проверки истребовать из любых учреждений, у физических или юридических лиц документы и информацию, в том числе информацию, содержащую коммерческую и профессиональную тайну, а также материалы, отражающие оперативно-розыскную деятельность и расследование преступлений, относящиеся к государственной тайне и необходимые для осуществления проверки в пределах, установленных пунктом 2 настоящей статьи. (1.08.2014 N2639)

4. Лицо, обрабатывающее данные, и уполномоченное лицо обязаны предоставлять Инспектору любые информацию и документы незамедлительно или не позднее 10 дней, если для ответа на запрос информации требуются: (1.08.2014 N2639)

а) сбор и обработка информации в другом учреждении или структурной единице либо консультации с ними;

б) сбор и обработка информации (документа, значительного по объему).

Примечание. На основании обращения лица, обрабатывающего данные, или (и) уполномоченного лица Инспектор может продлить срок, указанный в пункте 4 настоящей статьи, не более чем на 10 дней.

5. Инспектор правомочен в целях осуществления проверки входить в любые учреждения и  организации  и знакомиться с любыми документами и информацией, в том числе информацией, содержащей коммерческую и профессиональную тайну, а также материалами, отражающими оперативно-розыскную деятельность и расследование преступлений, относящимися к государственной тайне, независимо от их содержания  и формы хранения. (1.08.2014 N2639)

6. (1.08.2014 N2636)

7. С учетом результатов проверки инспектор правомочен принимать меры, предусмотренные статьей 39 настоящего Закона.

8. Инспектор обязан защищать безопасность информации, содержащей коммерческую, профессиональную и государственную тайну, и не разглашать секретную информацию, доверенную или ставшую ему известной при исполнении служебных обязанностей. Указанное обязательство сохраняется за ним и после прекращения полномочий Инспектора.(1.08.2014 N2639)

Статья 351. Контроль за тайными следственными действиями и действиями, осуществляемыми в центральном банке данных, идентифицирующих электронную коммуникацию»;

(22.03.2017 N479, ввести в действие с 30 марта 2017 года.)

 1. Производство тайных следственных действий, предусмотренных подпунктом «а» части первой статьи 143¹ Уголовно-процессуального кодекса Грузии, – скрытого прослушивания и записи телефонных переговоров – Инспектор контролирует:    (22.03.2017 N479, ввести в действие с 30 марта 2017 года.)

а) посредством электронной системы контроля, путем проверки законности обработки данных;

 б) посредством специальной электронной системы контроля, путем проверки законности обработки данных;

 в) путем проверки (инспектирования) законности обработки данных лицом, обрабатывающим данные (уполномоченным лицом).»;

 2. Надзор за осуществлением следственных действий, предусмотренных статьями  136–138  Уголовно-процессуального кодекса Грузии, Инспектор по защите персональных данных осуществляет путем сопоставления информации,   предоставленной судом, прокуратурой и поставщиком электронных коммуникационных услуг, и проверки (инспектирования) законности обработки данных лицом, обрабатывающим данные (уполномоченным лицом).

 3. Надзор за производством тайных следственных действий, предусмотренных подпунктами «б», «г» и «е» части первой статьи 143¹ Уголовно-процессуального кодекса Грузии, Инспектор осуществляет путем проверки (инспектирования) законности обработки данных лицом, обрабатывающим данные (уполномоченным лицом).    (22.03.2017 N479, ввести в действие с 30 марта 2017 года.)

3¹.  Надзор за производством тайного следственного действия, предусмотренного подпунктом «д» части первой статьи 143¹ Уголовно-процессуального кодекса Грузии, Инспектор осуществляет путем проверки (инспектирования) законности обработки данных лицом, обрабатывающим данные (уполномоченным лицом), в порядке, установленном статьей 35 настоящего Закона. Во время проверки (инспектирования) в случае, предусмотренном настоящим пунктом,  истребование информации о данных лица, участвующего в производстве тайного следственного действия (кроме субъекта данных, следователя и прокурора) и участие в процессе его проверки (инспектирования), а также истребование информации о характеристиках оперативного и оперативно-технического оснащения, используемого в ходе тайного следственного действия, предусмотренного настоящим пунктом, допускается только с согласия руководителя органа, производящего следственное действие. В случае, предусмотренном настоящим пунктом, проверка (инспектирование) не включает непосредственного участия в процессе подготовки/производства тайного следственного действия и проверку на местах замаскированного жилого или служебного либо иного замаскированного объекта, здания и сооружения. (22.03.2017 N479, ввести в действие с 30 марта 2017 года.)

 3². Тайное следственное действие, предусмотренное подпунктом «в» части первой статьи 143¹ Уголовно-процессуального кодекса Грузии, а также мероприятие, предусмотренное подпунктом «б» пункта 3 статьи 7 Закона Грузии «Об оперативно-следственной деятельности», Инспектор контролирует при помощи специальной электронной системы контроля за системой определения геолокации в реальном времени и путем проверки (инспектирования) законности обработки данных лицом, обрабатывающим данные (уполномоченным лицом). (22.03.2017 N479, ввести в действие с 30 марта 2020 года.)

4. Активности, осуществляемые в центральном банке данных, идентифицирующих электронную коммуникацию, Инспектор контролирует посредством электронной системы контроля за центральным банком данных, идентифицирующих электронную коммуникацию, и путем проверки (инспектирования) законности обработки данных лицом, обрабатывающим данные (уполномоченным лицом). (22.03.2017 N479, ввести в действие с 30 марта 2017 года.)

4¹. При осуществлении проверки (инспектирования) Агентства Инспектор правомочен: (22.03.2017 N479, ввести в действие с 30 марта 2017 года.)

а) входить в ареалы ограниченного доступа Агентства и в текущем режиме наблюдать за осуществлением уполномоченными органами своей деятельности;

б) ознакамливаться с правовыми документами и техническими инструкциями, регулирующими деятельность Агентства (в том числе, содержащими государственную тайну);

в) получать информацию, касающуюся технической инфраструктуры, используемой для целей тайных следственных действий, и проверять указанную инфраструктуру;

г) требовать от служащих Агентства объяснений по отдельным вопросам, возникающим в процессе проверки (инспектирования);

 д) осуществлять другие полномочия, предусмотренные настоящим Законом.

4². Служащие Агентства обязаны сотрудничать с Инспектором и предоставлять ему требуемые информацию и документы в полном объеме, а также давать объяснения по отдельным вопросам, возникающим в процессе проверки (инспектирования); (22.03.2017 N479, ввести в действие с 30 марта 2017 года.)

5. Инспектор раз в год представляет Комитету Парламента Грузии по защите прав человека и гражданской интеграции отчет о результатах контроля за производством следственных действий, предусмотренных статьями 136–138 и тайных следственных действий, предусмотренных подпунктами «а» и «б» части первой статьи 143¹ Уголовно-процессуального кодекса Грузии. Статистическая информация, отражающая результаты указанного контроля вносится в годовой отчет Инспектора. (22.03.2017 N479, ввести в действие с 30 марта 2017 года.)

 Статья 36. Участие инспектора в правотворческом процессе

Инспектор правомочен по собственной инициативе представлять Парламенту Грузии и другим публичным учреждениям предложения в целях совершенствования законодательства и готовить заключения по законам и другим нормативным актам, связанным с обработкой данных.

Статья 37. Сотрудничество инспектора с другими организациями

и учреждениями

Инспектор правомочен сотрудничать с другими учреждениями, международными организациями и соответствующими учреждениями других государств по любым вопросам, связанным с защитой данных.

Статья 38. Годовой отчет инспектора

1. Инспектор раз в год, не позднее 1 марта представляет Правительству Грузии и Парламенту Грузии отчет о положении с защитой персональных данных в стране и деятельности, осуществленной Инспектором. Отчет Инспектора является публичным. Опубликование отчета Инспектора обеспечивает Инспектор. (1.08.2014 N2636)

2. Отчет инспектора должен содержать общие оценки, заключения и рекомендации, касающиеся положения с защитой данных в стране, а также информацию о выявленных в течение года значительных нарушениях и осуществленных мероприятиях.

Статья 39. Меры, принимаемые инспектором в целях

исполнения закона

1. Если инспектор обнаружит нарушение настоящего Закона или других нормативных актов, регулирующих обработку данных, он правомочен:

а) требовать исправления нарушения и связанных с обработкой данных недостатков в форме и сроки, указанные им;

б) требовать временного или окончательного прекращения обработки данных, если осуществляемые лицом, обрабатывающим данные, или уполномоченным лицом меры по безопасности данных и процедуры не соответствуют требованиям закона;

в) требовать прекращения обработки данных, их блокирования, удаления, уничтожения или обезличивания, если сочтет, что данные обрабатываются противозаконно;

г) требовать прекращения передачи данных другим государствам и международным организациям, если их передача осуществляется с нарушением требований, установленных настоящим Законом;

д) в письменной форме давать советы и рекомендации лицу, обрабатывающему данные, и уполномоченному лицу в случае незначительного нарушения ими правил, связанных с обработкой данных.

2. Лицо, обрабатывающее данные, и уполномоченное лицо обязаны в сроки, указанные инспектором, выполнять его требования и сообщать об этом инспектору.

3. Если лицо, обрабатывающее данные, или уполномоченное лицо не исполняют требований инспектора, он правомочен обратиться в суд.

4. В случае выявления инспектором административного правонарушения он правомочен составить протокол об административном правонарушении и соответственно возложить на лицо, обрабатывающее данные, или уполномоченное лицо административную ответственность в порядке, установленном законом.

5. Если в процессе деятельности инспектор сочтет, что есть признаки преступления, он обязан сообщить об этом уполномоченному государственному органу в порядке, установленном законом.

6. Решение инспектора обязательно к исполнению и может быть обжаловано только в суд, в порядке, установленном законом.

Статья 40. Реестр каталогов файловых систем

1. Инспектор обязан вести реестр каталогов файловых систем, в который должна быть внесена информация, предусмотренная пунктом первым статьи 19 настоящего Закона.

2. Информация, внесенная в реестр каталогов файловых систем, публична и инспектор обеспечивает ее опубликование в надлежащем порядке.

Глава VI

Передача данных другим государствам и

международным организациям

Статья 41. Передача данных другим государствам

 и международным организациям

1. Передача данных другим государствам и международным организациям возможна при наличии предусмотренных настоящим Законом оснований для обработки данных и надлежащих гарантий защиты данных в соответствующем государстве или международной организации.

2. Передача данных другому государству или международной организации, кроме пункта первого настоящей статьи, возможна также в случае, если:

а) передача данных предусмотрена международным договором и соглашением Грузии;

б) лицо, обрабатывающее данные, обеспечивает надлежащие гарантии защиты данных и основных прав субъекта данных на основании договора, заключенного лицом, обрабатывающим данные, и соответствующим государством, юридическим или  физическим лицом такого государства или международной организацией.

3. Передача данных на основании подпункта «б» пункта 2 настоящей статьи возможна только после дачи разрешения инспектором.

Статья 42. Установление надлежащих гарантий защиты данных

Наличие надлежащих гарантий защиты данных в другом государстве или(и) международной организации оценивает  и решение принимает инспектор на основании анализа законодательства, регулирующего обработку данных, и практики.

Глава VII

Административная ответственность за нарушение

настоящего Закона

Статья 43. Обработка данных за отсутствием оснований,

 предусмотренных настоящим Законом

1. Обработка данных за отсутствием оснований, предусмотренных настоящим Законом, -

влечет предупреждение или наложение штрафа в размере 500 лари.

2. То же деяние, совершенное лицом, к которому в течение года было применено административное взыскание за нарушение, предусмотренное пунктом первым настоящей статьи, -

влечет наложение штрафа в размере 2000 лари.

Статья 44. Нарушение принципов обработки данных

1. Нарушение предусмотренных настоящим Законом принципов обработки данных –

влечет предупреждение или наложение штрафа в размере 500 лари.

2. То же деяние, совершенное лицом, к которому в течение года было применено административное взыскание за нарушение, предусмотренное пунктом первым настоящей статьи, -

влечет наложение штрафа в размере 2000 лари.

Статья 45. Обработка данных особой категории за отсутствием

оснований, предусмотренных настоящим Законом

1. Обработка данных особой категории за отсутствием оснований, предусмотренных настоящим Законом, -

влечет наложение штрафа в размере 1000 лари.

2. То же деяние, совершенное лицом, к которому в течение года было применено административное взыскание за нарушение, предусмотренное пунктом первым настоящей статьи, -

влечет наложение штрафа в размере 5000 лари.

Статья 46. Невыполнение требований по соблюдению

безопасности данных

1. Невыполнение предусмотренных настоящим Законом требований по соблюдению безопасности данных-

влечет предупреждение или наложение штрафа в размере 500 лари.

2. То же деяние, совершенное лицом, к которому в течение года было применено административное взыскание за нарушение, предусмотренное пунктом первым настоящей статьи, -

влечет наложение штрафа в размере 2000 лари.

Статья 47. Использование данных для целей прямого маркетинга

 в нарушение правил

1. Использование данных для целей прямого маркетинга в нарушение правил, установленных настоящим Законом, -

влечет наложение штрафа в размере 3000 лари.

2. То же деяние, совершенное лицом, к которому в течение года было применено административное взыскание за нарушение, предусмотренное пунктом первым настоящей статьи, -

влечет наложение штрафа в размере 10000 лари.

Статья 48. Нарушение правил видеонаблюдения

1. Нарушение правил видеонаблюдения, установленных настоящим Законом, −

влечет предупреждение или наложение штрафа в размере 500 лари.

2. То же деяние, совершенное лицом, к которому в течение года было применено административное взыскание за нарушение, предусмотренное пунктом первым настоящей статьи, −

влечет наложение штрафа в размере 2000 лари.

Статья 49. Нарушение правил обработки данных о входе и выходе

 из зданий публичных и частных учреждений

 Нарушение правил обработки данных о входе и выходе из зданий публичных и частных учреждений, установленных настоящим Законом, −

 влечет предупреждение или наложение штрафа в размере 100 лари.

Статья 50. Нарушение правил информирования субъекта данных

лицом, обрабатывающим данные

1. Нарушение установленных настоящим Законом правил информирования субъекта данных лицом, обрабатывающим данные, −

влечет предупреждение или наложение штрафа в размере 100 лари.

2. То же деяние, совершенное лицом, к которому в течение года было применено административное взыскание за нарушение, предусмотренное пунктом первым настоящей статьи, -

влечет наложение штрафа в размере 500 лари.

Статья 51. Поручение обработки данных лицом,

обрабатывающим данные, уполномоченному лицу

в нарушение правил

1. Поручение обработки данных лицом, обрабатывающим данные, уполномоченному лицу в нарушение правил,  установленных настоящим Законом, − 

влечет наложение штрафа в размере 500 лари.

2. То же деяние, совершенное лицом,  к которому в течение года было применено административное взыскание за нарушение, предусмотренное пунктом первым настоящей статьи, −

влечет наложение штрафа в размере 2000 лари.

Статья 52. Нарушение уполномоченным лицом правил,

предусмотренных статьей 16 настоящего Закона

1. Нарушение уполномоченным лицом правил, предусмотренных статьей 16 настоящего Закона −

влечет наложение штрафа в размере 1000 лари.

2. То же деяние, совершенное лицом, к которому в течение года было применено административное взыскание за нарушение, предусмотренное пунктом первым настоящей статьи, −

влечет наложение штрафа в размере 3000 лари.

Статья 521. Нарушение порядка передачи данных другим

государствам и международным организациям (1.08.2014 N2639)

1. Передача данных в нарушение порядка, установленного статьей

41 настоящего Закона, –   

влечет наложение штрафа в размере 1000 лари.

2. То же деяние, совершенное лицом, которому в течение года было

 назначено административное взыскание за нарушение, предусмотренное пунктом первым настоящей статьи, – 

влечет наложение штрафа в размере 3000 лари.

Статья 53. Невыполнение требования инспектора

1. Нарушение лицом, обрабатывающим данные, или уполномоченным лицом порядка предоставления Инспектору информации и документа, в том числе – непредоставление информации, определенной статьей 10, и невыполнение обязательства по уведомлению, предусмотренному статьей 20 настоящего Закона, – 

влечет наложение штрафа в размере 500 лари.(1.08.2014 N2639)

2. То же деяние, совершенное лицом,  к которому в течение года было применено административное взыскание за нарушение, предусмотренное пунктом первым настоящей статьи, −

влечет наложение штрафа в размере 2000 лари.

Статья 54. Нарушение иных правил, связанных

с обработкой данных (1.08.2014 N2639)

1. Нарушение порядка, установленного пунктом 11 статьи 3 настоящего Закона,

− влечет наложение штрафа в размере 500 лари.

2. То же деяние, совершенное лицом, которому в течение года было назначено административное взыскание за нарушение, предусмотренное пунктом первым настоящей статьи, – 

влечет наложение штрафа в размере 2000 лари.

Статья 55. Рассмотрение дел об административных

 правонарушениях

1. Право на рассмотрение дел об административных правонарушениях, предусмотренных статьями 43-54 настоящего Закона, и наложение административных взысканий имеет инспектор.

2. Протокол об административном правонарушении составляет инспектор.

3.Лицо, уполномоченное инспектором, составляет протокол об административном правонарушении и рассматривает дело в порядке, установленном Кодексом Грузии об административных правонарушениях.

  Глава VII¹. Переходные положения (30.11.2014 N2869)

Статья 551. Переходные положения(30.11.2014 N2869)

Министерству внутренних дел Грузии до 31 марта 2015 года обеспечить осуществление технико-организационных мероприятий, необходимых для функционирования электронной системы контроля и специальной электронной системы контроля за банками данных, а также создание соответствующих программных средств обеспечения.

Глава VIII

Заключительные положения

Статья 56. Введение Закона в действие

1. Настоящий Закон, кроме статьей 43-55, ввести  в действие с 1 мая 2012 года.

2. Статьи 43-55 настоящего Закона ввести в действие с 1 января 2013 года.

3. Статьи 34, 35 и 39 настоящего Закона применительно к частному сектору ввести  в действие с 1 января 2014 года. (1.08.2014 N2639)

Президент Грузии                             Михаил Саакашвили

Тбилиси

28 декабря 2011 года

№5669-вс