«Անձնական տվյալների պաշտպանության մասին» ՀՀ օրենքում փոփոխությունների նախագիծը ներառում է մի շարք նոր հասկացություններ և մեխանիզմներ, որոնք Հայաստանի իրավակարգավորումները մոտեցնում են ԵՄ Տվյալների պաշտպանության ընդհանուր կանոնակարգին (GDPR):
Միևնույն ժամանակ, նախագիծը չի կրկնօրինակում GDPR-ը, և երկու կարգավորումների միջև պահպանվում են մի շարք էական տարբերություններ։
Ահա հիմնական փոփոխություններից մի քանիսը.
1. Մշակման իրավական հիմքերը
Նախագիծը նախատեսում է անձնական տվյալների մշակման երեք իրավական հիմք.
- համաձայնություն,
- երբ մշակումն ուղղակիորեն նախատեսված է օրենքով, և
- երբ տվյալները ձեռք են բերվել հանրամատչելի աղբյուրներից։
Սա էականորեն տարբերվում է GDPR-ի 6-րդ հոդվածից, որը նախատեսում է վեց իրավական հիմք, այդ թվում՝ պայմանագրի կատարումը, իրավական պարտավորությունները, կենսական շահերը, հանրային շահը և օրինական շահերը։
2. Տվյալների վերահսկողի և մշակողի տարբերակումը
Նախագիծը չի նախատեսում GDPR-ին բնորոշ՝ տվյալների վերահսկողի (controller) և տվյալների մշակողի (processor) հստակ տարբերակում, ինչպես նաև այդ տարբերակումից բխող պատասխանատվության բաշխման և պայմանագրային պահանջների ամբողջական շրջանակ։
Սա հատկապես կարևոր է այն բիզնեսների համար, որոնք օգտագործում են ամպային տեխնոլոգիաներ, ՏՏ ծառայություններ, աշխատավարձի հաշվարկման համակարգեր, արհեստական բանականություն (ԱԲ) և երրորդ կողմի այլ ծառայություններ։
3. Անձնական տվյալների պաշտպանության պատասխանատու (DPO)
Նախագիծը ներդնում է անձնական տվյալների պաշտպանության պատասխանատուի (DPO) ինստիտուտը և նախատեսում պետական և տեղական ինքնակառավարման մարմինների կողմից առնվազն մեկ այդպիսի պատասխանատու նշանակելու պարտականություն։
Ի տարբերություն GDPR-ի՝ նախագիծը չի նախատեսում մասնավոր հատվածի որոշակի կազմակերպությունների կողմից DPO նշանակելու պարտադիր պահանջ՝ կախված տվյալների մշակման բնույթից, ծավալից և ռիսկերից։
4. Անձնական տվյալների պաշտպանության ազդեցության գնահատում (DPIA)
Նախագիծը նախատեսում է DPIA-ի իրականացում հատուկ կատեգորիայի կամ կենսաչափական տվյալների մշակման, անձանց իրավունքների և ազատությունների համար բարձր ռիսկ պարունակող մշակման, ինչպես նաև իրավասու մարմնի կողմից բարձր ռիսկային ճանաչված այլ մշակման դեպքերում։
Սա արտացոլում է GDPR-ի 35-րդ հոդվածով սահմանված՝ ռիսկի վրա հիմնված մոտեցումը։
5. Ավտոմատացված որոշումների կայացում
Նախագիծը նախատեսում է երաշխիքներ բացառապես ավտոմատացված մշակման հիման վրա կայացվող որոշումների դեպքում՝ ներառյալ մարդու միջամտության, սեփական դիրքորոշումը ներկայացնելու, բացատրություն ստանալու և որոշումը վիճարկելու իրավունքը։
Այս մոտեցումը որոշ առումներով մոտենում է GDPR-ի 22-րդ հոդվածին և հատկապես արդիական է արհեստական բանականության ու ավտոմատացված որոշումների կայացման գործիքների արագ տարածման պայմաններում։
6. Համաձայնություն
Նախագիծը համաձայնությանը ներկայացվող պահանջներին ավելացնում է «տեղեկացված» լինելու պահանջը։
Այնուամենայնիվ, ի տարբերություն GDPR-ի 4(11)-րդ հոդվածի, նախագիծն ուղղակիորեն չի ամրագրում, որ համաձայնությունը լինի ազատ կամարտահայտմամբ տրված, կոնկրետ և միանշանակ։
Հետևաբար, թեև առաջարկվող կարգավորումը որոշակիորեն մոտենում է GDPR-ի չափանիշներին, վավեր համաձայնության համար GDPR-ին համարժեք բոլոր չափանիշները չեն ամրագրվում։
7. Վերահսկողության շրջանակը
Նախագիծը հստակեցնում է Անձնական տվյալների պաշտպանության հանձնաժողովի դերը՝ որպես համապատասխան ոլորտում վերահսկողություն իրականացնող իրավասու մարմնի՝ նախատեսելով, որ դրա կարգավիճակը և լիազորությունները կարգավորվում են առանձին օրենքով։
Անցում դեպի ավելի ռիսկերի վրա հիմնված տվյալների պաշտպանության իրավակարգավորումներ
Ընդհանուր առմամբ, նախագիծը Հայաստանի անձնական տվյալների պաշտպանության իրավակարգավորման զարգացման կարևոր քայլ է և ներառում է GDPR-ի ազդեցությամբ ձևավորված մի շարք հասկացություններ և մեխանիզմներ։
Հայաստանում գործող բիզնեսների, մասնավորապես՝ կենսաչափական կամ հատուկ կատեգորիայի տվյալներ մշակող տեխնոլոգիական, ֆինանսական, առողջապահական և այլ կազմակերպությունների համար առաջարկվող փոփոխությունները կարող են պահանջել տվյալների պաշտպանության գործող քաղաքականությունների, գործընթացների և համապատասխանության մեխանիզմների վերանայում։