Données personnelles, caméras, fuite de données : que faire selon le droit géorgien

Que faire

1. Qui est le responsable du traitement et sur quel fondement : le traitement n'est licite que s'il repose sur l'un des fondements prévus (consentement, contrat, loi, intérêt légitime, etc.) ; c'est le responsable du traitement qui en apporte la preuve (loi sur la protection des données personnelles, art. 5). Les catégories particulières de données (santé, casier judiciaire) sont soumises à des règles plus strictes.
2. Demande écrite au responsable : accès et copies gratuites — au plus tard dans un délai de 10 jours ouvrables (art. 14) ; cessation du traitement ou suppression — au plus tard dans un délai de 10 jours ouvrables, ou refus motivé (art. 16) ; pour les données publiées — exiger la restriction de l'accès, la suppression des copies et des liens internet (art. 16) ; prospection directe — uniquement avec consentement ; cessation sur demande dans un délai de 7 jours ouvrables (art. 12).
3. Vidéosurveillance : à l'égard des salariés — uniquement dans des cas exceptionnels (art. 10) ; interdite dans les vestiaires et les sanitaires (art. 10) ; dans les parties communes d'un immeuble — avec le consentement écrit de plus de la moitié des copropriétaires (art. 10) ; caméra à l'entrée de son propre appartement — sans porter atteinte aux intérêts légitimes d'autrui (art. 10) ; un panneau d'information est nécessaire.
4. Fuite : le responsable notifie la fuite (l'incident) au Service d'audit de l'État au plus tard dans les 72 heures suivant sa détection (art. 29) ; en cas de risque élevé — immédiatement aussi aux personnes concernées.
5. Protection : plainte auprès du Service d'audit de l'État, du tribunal ou de l'autorité supérieure (art. 22) ; examen — jusqu'à 2 mois (+ un mois au maximum) (art. 50) ; le Service peut imposer de cesser le traitement, de supprimer les données et d'appliquer une sanction (art. 52) ; atteinte aux droits de la personne concernée — avertissement ou amende de 1 000 laris (chiffre d'affaires jusqu'à 500 000 laris ; pour les grandes entreprises, montant supérieur) (art. 72). Ensuite, recours judiciaire contre la décision — dans un délai d'un mois à compter de sa notification (art. 22 du Code de procédure administrative, CPA). Voie civile : action en protection de la vie privée ; en cas de faute — également réparation du préjudice (art. 18 du Code civil, CC).
6. Où s'adresser : Service d'audit de l'État ; tribunal de district (municipal).
7. Preuves : demande au responsable avec preuve d'envoi et sa réponse ; captures d'écran avec l'URL et la date ; photos des caméras et de leur champ de vision ; enregistrements d'appels ou SMS.
8. Pièges : ne pas envoyer d'abord une demande écrite — sans elle, il n'y a pas de preuve du refus ; confondre la protection des données et la diffamation — ce sont des mécanismes distincts.

À vérifier absolument

• fondement légal du traitement et la charge de la preuve qui incombe au responsable
• droits de la personne concernée et délais de réponse du responsable
• autorité de contrôle — Service d'audit de l'État — et sanctions
• voie de recours : demande → Service → tribunal ; réparation du préjudice