პერსონალურ მონაცემთა დაცვის სამსახურის 2024 წლის ანგარიშში, რომელიც პარლამენტს უკევ გადაეგზავნა, საუბარია იმ ხარვეზებზე, რომლებიც სკოლებსა და პროფესიულ დაწესებულებებში ვიდეომონიტორინგის განხორციელებისას გამოვლინდა.

„საჯარო სკოლები არასწორად ცდილობდნენ მოსწავლეთა წარმომადგენლების თანხმობის მოპოვებას“

„სკოლებსა და პროფესიულ საგანმანათლებლო დაწესებულებებში (კოლეჯებში) ვიდეომონიტორინგის განხორციელებისას ხშირია შემთხვევები, როდესაც კონკრეტული შენობა-ნაგებობის შიდა ან გარე პერიმეტრზე ვიდეომონიტორინგის სივრცეებში კანონით გათვალისწინებული გამაფრთხილებელი ნიშნები არასაკმარისი ოდენობით, ან საერთოდ არ არის განთავსებული; ის გამაფრთხილებელი ნიშნები კი, რომლებიც განთავსებულია, არ აკმაყოფილებს „პერსონალურ მონაცემთა დაცვის შესახებ“ საქართველოს კანონის მე-10 მუხლის მე-9 პუნქტით გათვალისწინებულ მოთხოვნებს (კერძოდ, ხშირ შემთხვევაში არ შეიცავს დამუშავებისთვის პასუხისმგებელი პირის სახელწოდებასა და მის საკონტაქტო მონაცემებს)“, - აღნიშნულია ანგარიშში.

კანონით კი გასათვალისწინებელია, რომ მონაცემთა სუბიექტების უფლებების რეალიზების მიზნით დამუშავებისთვის პასუხისმგებელი პირი/დამუშავებაზე უფლებამოსილი პირი ვალდებულია იმგვარად განათავსოს ვიდეომონიტორინგის მიმდინარეობის შესახებ გამაფრთხილებელი ნიშნები,  მასზე დატანილი წარწერა და გამოსახულება აღქმადი იყოს ვიდეომონიტორინგის სივრცეში მოხვედრილი ნებისმიერი ფიზიკური პირისთვის. ამასთან, მონაცემთა სუბიექტების ინფორმირებულობის თვალსაზრისით, გამაფრთხილებელი ნიშნის თვალსაჩინო ადგილას განთავსების გარდა, მნიშვნელოვანია, აღნიშნული ნიშნები იყოს მარტივად აღქმადი და აკმაყოფილებდეს კანონის ზემოხსენებული ნორმის მოთხოვნებს.

გთავაზობთ ამონარიდს ანგარიშიდან:

სკოლებსა და პროფესიულ საგანმანათლებლო დაწესებულებებში (კოლეჯებში) მრავლად არის დამონტაჟებული ისეთი ვიდეოკამერები, რომლებიც არ არის დაკავშირებული ვიდეოჩამწერ მოწყობილობასთან და არ ფუნქციონირებს. ნიშანდობლივია, რომ ვიდეოკამერის განთავსების ფაქტი, თუნდაც ვიდეოჩაწერის განხორციელების გარეშე, ქმნის მონაცემთა სუბიექტის მცდარ წარმოდგენას მისი პერსონალური მონაცემების დამუშავების თაობაზე. აღნიშნულის საფუძველზე მონაცემთა სუბიექტს უყალიბდება მისი პირადი ცხოვრების ხელშეუხებლობის უფლებაში ჩარევის ცრუ მოლოდინი. საანგარიშო პერიოდში გამოვლინდა შემთხვევა, როცა ვიდეომონიტორინგთან ერთად სკოლაში ასევე ხორციელდებოდა აუდიომონიტორინგიც, რომლის თაობაზეც ინფორმაციას არ ფლობდა არც სკოლა და არც ვიდეოსათვალთვალო სისტემაზე კონტროლის განმახორციელებელი დაწესებულება (სსიპ „საგანმანათლებლო დაწესებულების მანდატურის სამსახური“). შესაბამისად, მნიშვნელოვანი მოცულობის პერსონალური მონაცემების შემცველი აუდიოჩანაწერები უკანონოდ მუშავდებოდა.

გარკვეულ შემთხვევებში სკოლებში/კოლეჯებში ვიდეომონიტორინგი მიმდინარეობს სასწავლო სივრცეებში (საკლასო ოთახებში/სასწავლო აუდიტორიებში). აღსანიშნავია, რომ მონაცემთა დამუშავებისთვის პასუხისმგებელი პირები შემოწმებების ფარგლებში ამგვარი სივრცეების მონიტორინგის მიზნად მიუთითებდნენ პირთა უსაფრთხოების უზრუნველყოფას, საკუთრების დაცვასა და ზიანის ანაზღაურებაზე პასუხისმგებელი პირის იდენტიფიცირების ინტერესს; თუმცა ნიშანდობლივია, რომ საკლასო ოთახები/აუდიტორიები, საკუთარი ფუნქციური დატვირთვიდან გამომდინარე, წარმოადგენს სტუდენტებისთვის სასწავლო და პედაგოგებისთვის სამუშაო სივრცეს, სადაც მათ შორის კომუნიკაციის საგანს არა მხოლოდ უშუალოდ დარგობრივი სასწავლო, არამედ სხვა, პირადი და ზოგადი ხასიათის საკითხებიცაა (მაგალითად, შესვენების პერიოდში პირადი ხასიათის კომუნიკაცია სტუდენტებთან ან პირადი მიზნით სხვადასხვა აქტივობის განხორციელება). გარდა სწავლებისა, პედაგოგები აღნიშნულ სივრცეში კომუნიკაციას ამყარებენ სტუდენტებთან, რაც უმნიშვნელოვანესია პიროვნების თავისუფალი განვითარების უფლების რეალიზაციისათვის და ექცევა პირადი ცხოვრების უფლებით დაცულ სფეროში; მონაცემთა სუბიექტის პირადი ცხოვრების სფეროში ჩარევა კი უნდა განხორციელდეს თანაზომიერების პრინციპის დაცვით.

ასევე, მონაცემთა დამუშავებისთვის პასუხისმგებელი პირების მიერ დასახელებული მიზნების მიღწევა შესაძლებელია სხვა ისეთი საშუალებებითაც, რომლებიც მონაცემთა სუბიექტების პირადი ცხოვრების სფეროში ნაკლებ ჩარევას გამოიწვევს. რიგ შემთხვევებში სკოლები და უნივერსიტეტები არასრულწლოვნების/ახალგაზრდების (მათ შორის, შშმ პირის) მონაცემებს ინახავდნენ მუდმივად, ვინაიდან არ ჰქონდათ განსაზღვრული მონაცემთა შენახვის ვადები და ამ ვადების ამოწურვის შემდგომ მონაცემთა მიმართ განსახორციელებელი ღონისძიებები. ასეთი ინფორმაციის განუსაზღვრელი ვადით შენახვა, ერთი მხრივ, არ შეესაბამება კანონის მე-4 მუხლის პირველი პუნქტის „ე“ ქვეპუნქტით გათვალისწინებულ პრინციპს, მეორე მხრივ კი, მონაცემთა ხანგრძლივად და უვადოდ შენახვის შემთხვევაში იზრდება მასზე არასანქცირებული წვდომის, მონაცემთა დამუშავების წესების დარღვევის ან მათი გაჟონვის რისკი.

ასევე გამოვლინდა შემთხვევა, როდესაც ელექტრონული ფორმით არსებული მონაცემების შენახვისთვის გათვალისწინებული ვადის გასვლის შემდგომ ეს მონაცემები იშლებოდა მექანიკურად (ხელით). გასათვალისწინებელია, რომ ჩანაწერების არაავტომატურად (ხელით) წაშლის შემთხვევაში (მით უფრო მოცულობითი მონაცემებთან მიმართებით), ადამიანური ჩართულობის მუდმივი საჭიროებიდან გამომდინარე, არსებობს შეცდომების და, შესაბამისად, მონაცემთა არამართლზომიერი დამუშავების მომეტებული რისკები. ამასთანავე, გამოვლინდა მუნიციპალური ორგანოებისა და საგანმანათლებლო დაწესებულებების მიერ ვებგვერდებზე ან/და სოციალური ქსელის გვერდებზე არასრულწლოვნებისა და ახალგაზრდების მონაცემების უკანონო გამოქვეყნების შემთხვევები (მაგალითად: უნივერსიტეტის მიერ გამოცდაზე დაშვებული სტუდენტების სია და მათ მიერ მიღებული შედეგები; საბავშვო ბაღებში სარეგისტრაციო პორტალზე რეგისტრირებული ბაღების აღსაზრდელთა პერსონალური მონაცემები; განათლების მუნიციპალური პროგრამების ბენეფიციარების მონაცემები).

ნიშანდობლივია, რომ ხშირ შემთხვევაში დამუშავებისთვის პასუხისმგებელი პირები მონაცემთა გამოქვეყნების საფუძვლად მიუთითებდნენ მონაცემთა სუბიექტის თანხმობის არსებობაზე, თუმცა მათ ვერ შეძლეს აღნიშნულის კანონის მოთხოვნათა შესაბამისად მოპოვების ფაქტის დადასტურება. ამასთან, ზემოხსენებულ შემთხვევებში ვერ დასაბუთდა მონაცემთა გამჟღავნების ლეგიტიმური მიზნების არსებობაც. სამსახურის მიერ ჩატარებულმა შემოწმებებმა ცხადყო, რომ სკოლებს, კოლეჯებს, უნივერსიტეტებსა და მუნიციპალიტეტებს ხშირ შემთხვევაში არ აქვთ მიღებული ახალგაზრდების, არასრულწლოვნებისა და შშმ პირების ელექტრონული და მატერიალური ფორმის მონაცემების უსაფრთხოებისთვის საჭირო ორგანიზაციულ-ტექნიკური ზომები. კერძოდ, გამოიკვეთა შემთხვევები, როდესაც მატერიალური ფორმით დამუშავებული მონაცემები შენახული იყო იმ ფორმით, რომლითაც ის ხელმისაწვდომი ხდებოდა არაუფლებამოსილი პირებისთვის; ელექტრონული ფორმით არსებული მონაცემების მიმართ კი ორგანიზაციები არ აღრიცხავენ ან არასრულად აღრიცხავენ (მათ შორის, მონაცემთა ბაზაზე პირდაპირი წვდომის შემთხვევაში) მონაცემების მიმართ შესრულებულ მოქმედებებს. ხშირ შემთხვევაში, მონაცემებზე წვდომის მიზნით, ელექტრონულ სისტემებში არ არის შექმნილი ინდივიდუალური მომხმარებლის ანგარიშები, ხოლო მის ნაცვლად გამოიყენება საერთო მომხმარებლის ანგარიში და პაროლი.

დაფიქსირდა შემთხვევები, როდესაც ელექტრონულ სისტემას არ ჰქონდა რთული (კომპლექსური) ტიპის პაროლები, რომლებიც არ ინახებოდა დაშიფრული ფორმით. ამასთანავე, ელექტრონულ სისტემაში პაროლის შეცვლა არ შეეძლო თავად მომხმარებელს და ამისათვის მას უნდა მიემართა სისტემის ადმინისტრატორისთვის. ასევე გამოიკვეთა, რომ ზოგიერთი დაწესებულების თანამშრომლები, საკუთარი სამსახურებრივი ფუნქცია-მოვალეობების განხორციელების პროცესში, იყენებენ პირად ელექტრონულ ფოსტებს და მათი მეშვეობით ამუშავებდნენ არასრულწლოვანი ბენეფიციარების შესახებ მოპოვებულ მონაცემებს. ამასთან, გამოიკვეთა მონაცემებზე წვდომის შემთხვევები იმ პირების მხრიდან, რომლებსაც აღნიშნული წვდომა არ ესაჭიროებათ საკუთარი სამსახურებრივი მოვალეობების განსახორციელებლად; აღნიშნული გარემოებები კი, განსაკუთრებით მონაცემთა სენსიტიური ბუნების გათვალისწინებით, ქმნის მონაცემთა კანონდარღვევით დამუშავებისა და მათი არასამსახურებრივი მიზნით გამოყენების რისკებს.