ინფორმაციის მოპოვება თანამშრომლების სამუშაო კომპიუტერებიდან - პერსონალურმა ერთ-ერთი სამინისტრო სამართალდამრღვევად ცნო 

პერსონალურ მონაცემთა დაცვის სამსახურმა, ანონიმური შეტყობინების საფუძველზე ერთ-ერთ სამინისტროში არაგეგმური შემოწმება ჩაატარა - დადგინდა „პერსონალურ მონაცემთა დაცვის შესახებ“ საქართველოს კანონის მე-17 მუხლის (მონაცემების უსაფრთხოება) დარღვევა, რის გამოც  სამინისტრო სამართალდამრღვევად იქნა ცნობილი, „პერსონალურ მონაცემთა დაცვის შესახებ“ საქართველოს კანონის 46-ე მუხლით გათვალისწინებული სამართალდარღვევისთვის.

სამინისტროს მიეცა შესასრულებლად სავალდებულო დავალებები, მათ შორის დაევალა აღნიშნული პროგრამული საშუალებით სამინისტროს თანამშრომელთა მონიტორინგის/თვითმონიტორინგის მიზნით მონაცემების დამუშავების შეწყვეტა და უკვე დამუშავებული მონაცემების წაშლა.

"შესწავლის ფარგლებში დადგინდა, რომ სამინისტროს და მის სისტემაში შემავალი 10-ზე მეტი იურიდიულ პირის თანამშრომლების 3000-მდე კომპიუტერზე გააქტიურებული იყო სპეციალური ტექნიკური მხარდაჭერის პროგრამა, რომელიც IT მოთხოვნის, სამსახურიდან დროებითი დათხოვნის და საშვის მოთხოვნის გასაგზავნად გამოიყენებოდა, თუმცა ამავდროულად აგროვებდა სამინისტროს სისტემაში დასაქმებული პირების მიერ კომპიუტერების საშუალებით განხორციელებული ქმედებების თაობაზე დეტალურ ინფორმაციას.

 შეგროვებული მონაცემები მოიცავდა დასაქმებულების მიერ კომპიუტერში გამოყენებული ელექტრონული პროგამების (მაგალითად: „Opera“ „Google Chrome“, „Pdf“, „Word“, „Exel“,) დასახელებას, აღნიშნული პროგრამების გამოყენების პერიოდს, პროგრამებში გახსნილი აქტიური ფანჯრების (ე.წ „Tab“) დასახელებას (რაც გულისხმობდა მაგალითად ვებგვერდის სათაურზე წვდომის და ამ ვებგვერდზე განთავსებული ინფორმაციის მარტივად გაცნობის შესაძლებლობასაც) და სხვა.

 შემოწმების შედეგად ასევე გამოვლინდა, რომ ტექნიკური მხარდაჭერის პროგრამაში ჩართული თითოეული თანამშრომლისათვის, სპეციალური ვებგვერდის საშუალებით ხელმისაწვდომი იყო მის მიერ ბოლო 60 დღის მანძილზე განხორციელებული აქტივობების შესახებ სტატისტიკური ინფორმაცია, კერძოდ - თანამშრომლის მიერ ყველაზე ხანგრძლივად გამოყენებული 15 პროგრამის (მაგ: „Excel”, „Teamviewer“, „Photoshop“, „Powerpoint“ და სხვა).

ტექნიკური მხარდაჭერის პროგრამის საშუალებით შესაბამისი უწყების მასშტაბით შეგროვებული დეტალური ინფორმაცია კი ხელმისაწვდომი იყო სამინისტროს სისტემაში შემავალი დაწესებულებების (მათ შორის HR დეპარტამენტების) 30-მდე თანამშრომლისთვის.",- ნათქვამია განცახდებაში. 

პერსონალურ მონაცემთა დაცვის სამსახურმა, დაადგინა: 

• სამინისტროს მიერ ტექნიკური მხარდაჭერის პროგრამის მეშვეობით დამუშავებული მონაცემების ნაწილი შესაძლოა შეიცავდეს ადამიანის არა სამსახურებრივ, არამედ პირად/პრივატულ ინფორმაციას, ვინაიდან სამსახურეობრივი საქმიანობის პროცესშიც არსებობს სხვა ადამიანებთან ურთიერთობის ისეთი ზონა, რომელიც მისი პირადი ცხოვრების ნაწილად უნდა იქნეს მოაზრებული. იმ პირობებში, როდესაც სამსახურებრივი მონიტორინგის მიზნების მიღწევა პირადი ცხოვრების უფლებაში ნაკლები ჩარევის გზითაც შესაძლებელია (მაგალითად, უშუალო ხელმძღვანელის მიერ თანამშრომელთან კომუნიკაციით, ან პერიოდული (მაგალითად, ყოველკვირეული) ზეპირი ან წერილობითი ანგარიშის წარდგენის პროცედურის დანერგვით, მივლინებების დროს მენეჯერული მოვალეობის სხვა შესაბამის თანამშრომელზე დელეგირების გზით და სხვა) თანმშრომლების პერსონალური მონაცემების მითითებული ფორმით მოპოვება და დამუშავება არ იქნა მიჩნეული თანამშრომელთა სამსახურებრივი მონიტორინგის მიზნის მიღწევის თანაზომიერ საშუალებად;
• ტექნიკური მხარდაჭერის პროგრამის საშუალებით შეგროვებული მონაცემების თანამშრომელთა თვითმონიტორინგის მიზნით დამუშავება არ ეფუძნებოდა აღნიშნულ პირთა სურვილსა და ნებას, არ იყვნენ ჯეროვნად ინფორმირებულნი და დასახელებული შესაძლებლობით აქტიურად არც სარგებლობდნენ. სამსახურის შეფასებით, თანამშრომელთა სათანადოდ ინფორმირების პირობებშიც კი მოპოვებული კომპიუტერული მონაცემების გამოყენებით სამუშაო დროის უკეთ ორგანიზება მხოლოდ დასაქმებულის ნებაზე იქნებოდა დამოკიდებული. შესაბამისად, თვითმონიტორინგის მიზნით ტექნიკური მხარდაჭერის პროგრამის საშუალებით კომპიუტერული აქტივობების შესახებ მონაცემების მოპოვება და შემდგომი დამუშავება მხოლოდ დასაქმებულების სურვილის, ინიციატივის საფუძველზე შეიძლებოდა განხორციელებულიყო;
• რაც შეეხება ინფორმაციული უსაფრთხოების მიზნით მონაცემების მოპოვებას, დადგინდა, რომ სამინისტრო იყო კრიტიკული ინსფრასტრუქტურის პირველი ხარისხის სუბიექტი, ის იყენებდა რამდენიმე სახის და სხვადასხვა დონის ლიცენზირებულ თანამედროვე მოწყობილობებს და პროგრამულ უზრუნველყოფას. შესაბამისად, სადავო პროგრამით მოპოვებული მონაცემები იშვიათად იქნებოდა გამოსადეგი ინფორმაციული უსაფრთხოების მიზნების მისაღწევად, რის გამოც, ამ გზით თანამშრომლების სამუშაო კომპიუტერებიდან მონაცემები მხოლოდ მინიმალური მოცულობით უნდა შეგროვებულიყო, ხოლო აღრიცხულ ინფორმაციაზე წვდომები მაქსიმალურად შეზღუდულიყო.