Компания допустила утечку моих данных: компенсация: что делать по законодательству Грузии

Что делать

1. Квалификация — нарушена обязанность: контролёр обязан принять технические и организационные меры против утраты и незаконного раскрытия данных (Закон о защите персональных данных ст. 27); если выписку выдал сотрудник банка, нарушена и банковская тайна — никто не вправе допускать к конфиденциальной информации клиента или разглашать её (Закон о деятельности коммерческих банков ст. 17). Первым шагом — письменный запрос компании: субъект вправе узнать, какие его данные обрабатываются и кому переданы (Закон о защите персональных данных ст. 13); ответ — не позднее 10 рабочих дней (продление — не более чем на 10 рабочих дней) (Закон о защите персональных данных ст. 13).
2. Проверить, выполнила ли компания обязанность: при риске значительного вреда компания должна сама без задержки сообщить субъекту об инциденте (Закон о защите персональных данных ст. 30). Молчание — отдельный довод в жалобе и иске.
3. Жалоба — жалоба — в Государственную аудиторскую службу, суд или вышестоящий орган (Закон о защите персональных данных ст. 22); не тянуть — наказать нарушителя можно не позднее 4 месяцев с нарушения (длящегося — с выявления) (Закон о защите персональных данных ст. 65). Санкция: за нарушение безопасности данных компании с оборотом свыше 500 000 лари — предупреждение или штраф 4 000 лари (Закон о защите персональных данных ст. 76). Служба штрафует и предписывает, но деньги пострадавшему не присуждает.
4. Компенсация — только гражданский иск к компании: причинивший вред противоправно, умышленно или по неосторожности обязан его возместить (ГК ст. 992); компания отвечает за вред от противоправных действий работника при исполнении обязанностей (ГК ст. 997). Учесть: моральный вред — только в прямо указанных законом случаях (ГК ст. 413); основание — при виновном нарушении частной жизни — и моральный вред (ГК ст. 18). Срок: давность иска о вреде — 3 года с момента, когда узнал о вреде или обязанном лице (ГК ст. 1008).
5. Умышленный слив сотрудником — заявление в полицию: слив данных лицом, обязанным их охранять по службе, — квалифицированное преступление (УК ст. 157).
6. Куда обращаться: компания (офицер по защите данных) → Государственная аудиторская служба → районный (городской) суд; умышленный слив — полиция.
7. Доказательства: запрос компании и её ответ; уведомление об инциденте; скриншоты и записи звонков мошенников с датами; расходы и иной вред.
8. Ловушки: ждать компенсации от Службы аудита — деньги взыскивает только суд; искать норму о компенсации в законе о ПДн — её там нет, основание — ГК; не доказать связь утечки с мошенничеством и размер вреда.

Обязательно проверьте

• письменный запрос компании — что утекло и кому передано, с ответом в 10 рабочих дней
• обязанность компании обеспечить безопасность и уведомить пострадавших
• жалоба в Государственную аудиторскую службу — штраф и предписания, но без компенсации
• компенсация (в т.ч. морального вреда) — гражданский иск к компании, которая отвечает и за сотрудника; давность 3 года
• умышленный слив сотрудником — уголовно наказуем, заявление в полицию