Azərbaycanın fərdi məlumatlar haqqında qanunu: məlumat toplanmazdan əvvəl uyğunluq çek-listi

Azərbaycanda müştəri məlumatlarının toplanılması verilənlər bazasında qeyd yaradılmazdan xeyli əvvəl başlayır. Biznes potensial müştəri müraciətlərini qəbul etdikdə, əməliyyatları emal etdikdə və ya tətbiqi istifadəyə verdikdə, hüquqi tələblər ilk qeyddən etibarən tətbiq olunur. Azərbaycan qanunvericiliyinə əsasən, müəyyən edilmiş ilkin şərtlər olmadan fərdi məlumatların saxlanılması təşkilatı tənzimləyici tədbirlər və mülki məsuliyyət riski ilə üz-üzə qoyur.

Hüquqi əsas və razılıq: məlumat toplama formanız nə tələb edir

Azərbaycan Respublikasının «Fərdi məlumatlar haqqında» Qanununun (№ 998-IIIQ, 2010-cu il) Maddə 2.1.1-nə əsasən, fərdi məlumatlar şəxsi birbaşa və ya dolayısı ilə müəyyənləşdirməyə imkan verən istənilən məlumatdır (rəsmi mətn, e-qanun.az). Aşağıdakı maddə nömrələri bu qanuna istinad edir. Telefon nömrəsi, e-poçt ünvanı və ya fiziki ünvanla birlikdə müştəri adı fərdi məlumat hesab olunur.

Maddə 8.1 müəyyən edir ki, fərdi məlumatların toplanılması və işlənilməsi üçün subyektin açıq yazılı razılığı tələb olunur. Qanun gücləndirilmiş elektron imza ilə təsdiqlənmiş elektron sənədi yazılı razılığa bərabər tutur. İstifadəçi öz məlumatlarını birbaşa yazılı şəkildə təqdim etdikdə, həmin təqdimat da hüquqi əsas rolunu oynaya bilər.

Standart qeyd xanaları tənzimləyici tələbləri ödəmir. Maddə 8.2 etibarlı yazılı razılıq üçün altı məcburi tərkib hissəsi müəyyən edir:

1. Subyektin şəxsiyyətini müəyyənləşdirən məlumatlar.
2. Mülkiyyətçini və ya təyin edilmiş operatoru müəyyənləşdirən məlumatlar.
3. Məlumatların toplanılması və işlənilməsinin dəqiq məqsədi.
4. Razılıq verilən fərdi məlumatların siyahısı və onların üzərində aparılan konkret işlənilmə əməliyyatları.
5. Razılığın qüvvədə olma müddəti və onun geri götürülməsi şərtləri.
6. Saxlanma müddəti bitdikdən sonra məlumatların məhv edilməsi və ya arxivləşdirilməsi şərtləri.

Maddə 8.4-ə əsasən, subyektin razılığının alındığını sübut etmək vəzifəsi tamamilə şirkətin üzərinə düşür. Praktikada məlumat toplama formanız istifadəçinin gördüyü siyasət versiyası ilə əlaqələndirilmiş və vaxt möhürü olan razılıq qeydini saxlamalıdır.

Maddə 11.2 həmçinin məlumat toplanmazdan əvvəl məlumatlandırmanı tələb edir. Məlumatları toplamazdan əvvəl siz istifadəçilərə özünüz haqqında məlumatları, işlənilmə məqsədini, sisteminizin təhlükəsizlik tədbirlərini və onların qanunla müəyyən edilmiş hüquqlarını bildirməlisiniz.

Məqsəd və məlumatların minimallaşdırılması: saxladığınız məlumatların məhdudlaşdırılması

Həddindən artıq müştəri məlumatının toplanılması əməliyyat və hüquqi risk yaradır. Maddə 9.1 işlənilmə məqsədlərinin əvvəlcədən aydın şəkildə bəyan edilməsini tələb edir. Biznes gələcəkdəki qeyri-müəyyən layihələr üçün məlumat toplaya bilməz.

Maddə 9.2 mütənasiblik prinsipini müəyyən edir. İşlənilən məlumatların həcmi və xarakteri bəyan edilmiş məqsədə ciddi şəkildə uyğun olmalıdır. Əgər sifariş rəsmiləşdirmə prosesiniz çatdırılma bildirişləri üçün yalnız telefon nömrəsi tələb edirsə, şəxsiyyət vəsiqəsinin nömrəsini və ya doğum yerini istəmək bu tələbi pozur.

Xüsusi kateqoriyalı məlumatlara daha ciddi məhdudiyyətlər tətbiq edilir. Maddə 2.1.6 xüsusi kateqoriyalı fərdi məlumatları irqi və ya milli mənsubiyyətə, ailə həyatına, dini etiqada, sağlamlığa və ya məhkumluğa aid məlumatlar kimi müəyyən edir. Maddə 9.7 göstərilən istisnalar xaricində bu kateqoriyaların toplanılmasını qadağan edir: məsələn, qanun bunu tələb etdikdə və ya şəxs yazılı razılıq verdikdə. Kommersiya veb-saytlarının və istehlakçı tətbiqlərinin əksəriyyətinə bu xanalar ümumiyyətlə lazım deyil, ona görə də ən sadə qayda onları formaya daxil etməməkdir.

Məlumatların saxlanılması standart olaraq müvəqqəti xarakter daşıyır. Maddə 9.4 işlənilmə məqsədinə çatdıqdan sonra məlumatların gecikdirilmədən məhv edilməsini tələb edir. Verilənlər bazanızın sxemi və tətbiq məntiqi avtomatlaşdırılmış saxlanma qrafiklərini və birdəfəlik silinmə prosedurlarını dəstəkləməlidir. Strukturlaşdırılmış tədqiqat mərhələsi zamanı bu məhdudiyyətlərin müəyyən edilməsi proqram təminatının tərtibatı başlamazdan əvvəl uyğunluq boşluqlarının qarşısını alır.

İnformasiya sistemləri və məcburi dövlət qeydiyyatı

Maddə 2.1.3-ə əsasən, fərdi məlumatları saxlayan və ya işləyən istənilən proqram təminatı fərdi məlumatların informasiya sistemi hesab olunur. Bu anlayış fərdi veb-tətbiqləri, mobil tətbiqlərin server hissələrini, üçüncü tərəf CRM platformalarını və müştəri verilənlər bazalarını əhatə edir.

Maddə 15.2 qəti qadağa müəyyən edir: informasiya sistemi dövlət qeydiyyatından keçmədən fərdi məlumatların toplanılması və işlənilməsi qanunsuzdur.

Maddə 15.3 qeydiyyatdan azad olunan məhdud halları sadalayır. Dövlət sirri təşkil edən məlumatlarla işləyən sistemlər və iş yerinə buraxılış üçün işçilərin qeydlərini işləyən daxili işəgötürən sistemləri qeydiyyat tələb etmir. Lakin müştərilər üçün nəzərdə tutulmuş tətbiqlər, marketinq bazaları və e-ticarət mağazaları bu müddəalar üzrə qeydiyyatdan azad deyil.

Dövlət qeydiyyatı Maddə 15.4-ə əsasən səlahiyyətli dövlət orqanı tərəfindən yazılı müraciət daxil olduqdan sonra bir ay müddətində həyata keçirilir. Müraciətdə on üç bənd üzrə ətraflı məlumat tələb olunur, o cümlədən:

• Sistemin yaradılmasının hüquqi əsasları və məqsədi.
• İşlənilən fərdi məlumatların kateqoriyaları və istifadəçi qrupları.
• Təşkilati və texniki mühafizə tədbirlərinin icmalı.
• Kənar məlumat alıcılarının dairəsi və audit mexanizmləri.
• Tətbiq olunduğu halda, məlumatların transsərhəd ötürülmə istiqamətləri.

Maddə 15.5-ə əsasən, qeydiyyatdan keçmiş sistem parametrlərindəki istənilən dəyişiklik üç iş günü ərzində yazılı şəkildə təqdim edilməlidir. Məlumat modellərinizin rəsmi tərtibatdan əvvəl layihə planında sənədləşdirilməsi qeydiyyat müraciətlərini sadələşdirir.

Mülkiyyətçi və operator: infrastruktur və lisenziyalaşdırma

Azərbaycan qanunvericiliyi fərdi məlumatların mülkiyyətçisi ilə operatorunu bir-birindən fərqləndirir. Maddə 2.1.9 mülkiyyətçini informasiya sistemi üzərində tam hüquqları həyata keçirən və işlənilmə məqsədini müəyyən edən şəxs kimi tərif edir. Maddə 2.1.10 isə operatoru məlumatları toplayan, işləyən və mühafizə edən şəxs kimi müəyyən edir.

Şirkət özü operator kimi çıxış edə bilər və ya Maddə 9.9-a əsasən bu funksiyanı üçüncü tərəfə həvalə edə bilər. Bununla belə, Maddə 9.14-ə əsasən fərdi məlumatların informasiya sistemlərinin hazırlanması və onlara xidmət göstərilməsi üçün xüsusi razılıq tələb olunur. Bu lisenziya Azərbaycan Respublikasının Rəqəmsal İnkişaf və Nəqliyyat Nazirliyi tərəfindən verilir.

Məlumatlarla bağlı əməliyyatların üçüncü tərəfə həvalə edilməsi mülkiyyətçinin məsuliyyətini aradan qaldırmır. Maddə 10.1-ə əsasən, mülkiyyətçi məlumatların qanuni və təhlükəsiz işlənilməsi üzrə qanunvericiliklə müəyyən edilmiş vəzifəni daşıyır və maddi və ya mənəvi ziyana görə məhkəmə qarşısında birbaşa məsuliyyət daşıyır. Maddə 10.3 operatorun vəzifələrinin qanundan və yazılı operator müqaviləsindən irəli gəldiyini müəyyən edir.

Webiland Rəqəmsal İnkişaf və Nəqliyyat Nazirliyi tərəfindən verilmiş fərdi məlumatların operatoru lisenziyasına malikdir. Fərdi məlumatların idarə edilməsi xidmətlərimiz çərçivəsində biz müştəri məlumatlarını yazılı operator müqavilələri əsasında, Bakıdakı öz serverlərimizdə işləyirik.

Məlumatların yerləşdiyi məkan da uyğunluğa təsir göstərir. Bu qanunun özü hostinqin Azərbaycanda olmasını tələb etmir. Sahəvi qaydalar və Maddə 5.9-a əsasən qəbul edilmiş mühafizə tələbləri əlavə şərtlər müəyyən edə bilər, ona görə də öz sahəniz üzrə tələbləri yoxlayın. Maddə 14.2 transsərhəd ötürülməni məhdudlaşdırır. Məlumatların xaricə ötürülməsi milli təhlükəsizliyə təhdid yaratdıqda və ya Azərbaycandan daha aşağı hüquqi mühafizə səviyyəsi təklif edən ölkələrə yönəldikdə qadağandır. Maddə 14.3 subyektin açıq razılığı olduğu halda transsərhəd ötürülməyə icazə verir. Verilənlər bazasının Azərbaycanda, məsələn yerli infrastrukturda yerləşdirilməsi onu transsərhəd ötürülmə qaydalarının təsir dairəsindən kənarda saxlayır.

Əməliyyat nəzarəti: giriş, audit jurnalları və subyektin hüquqları

Hüquqi uyğunluq kod bazanızda və server mühitinizdə texniki nəzarət mexanizmlərinin olmasını tələb edir. Maddə 5.8 mülkiyyətçilərin və operatorların üzərinə icazəsiz girişin, itkinin və ya qanunsuz dəyişdirilmənin qarşısını alan texniki və təşkilati tədbirlər görmək öhdəliyi qoyur. Bundan əlavə, Maddə 5.5 fərdi məlumatlarla işləyən bütün əməkdaşların əmək münasibətləri bitdikdən sonra da qüvvədə qalan yazılı məxfilik öhdəliyi imzalamasını tələb edir.

Maddə 9.12 qanunvericiliklə icbari jurnal qeydiyyatı tələbini müəyyən edir. Sistemlər məlumatların toplanılmasını, işlənilməsini, istifadəçi sorğularını, sistem inzibatçılığını və təhlükəsizlik hadisələrini qeydə alan nəzarət-audit jurnallarını aparmalıdır. Dəyişdirilməz jurnal qeydiyyatının istismar arxitekturanıza daxil edilməsi tənzimləyici yoxlamalar zamanı təsdiqlənə bilən qeydlərin mövcudluğunu təmin edir.

Əməliyyat prosesləriniz həmçinin Maddə 7.1-də təsbit edilmiş subyekt hüquqlarını təmin etməlidir. İstifadəçilər öz qeydləri ilə tanış olmaq, hüquqi əsasları yoxlamaq, düzəlişlər tələb etmək və ya məlumatların silinməsini istəmək hüququna malikdirlər.

Maddə 12 sorğuların cavablandırılması prosedurlarını tənzimləyir:

• Maddə 12.1 və Maddə 12.4-ə əsasən, şirkətlər subyektin sorğularını yeddi iş günü ərzində ödənişsiz cavablandırmalıdır. Üçüncü tərəflərə sorğu göndərmək zərurəti yarandıqda bu müddət əlavə yeddi iş günü uzadıla bilər.
• Maddə 12.5-ə əsasən, qeydlər dəyişdirildikdə və ya məhdudlaşdırıldıqda, məlumatların ötürüldüyü üçüncü tərəflər üç iş günü ərzində məlumatlandırılmalıdır.
• Maddə 12.6-ya əsasən, subyektin sorğusundan imtina edildikdə beş iş günü ərzində əsaslandırılmış yazılı cavab təqdim edilməlidir.

Təhlükəsizlik insidentləri ilə bağlı qanun qarşısının alınması (Maddə 5.8) və məlumatların qanuni, təhlükəsiz işlənilməsi (Maddə 10.1) vəzifələrini müəyyən edir. Qanun məlumat sızması barədə müştərilərin məlumatlandırılması üçün konkret müddət müəyyən etmir. Operatorun insidenti necə aşkar etməsi və mülkiyyətçini necə məlumatlandırması yazılı operator müqaviləsində (Maddə 10.3) öz əksini tapmalıdır.

Məlumat toplanmazdan əvvəl uyğunluq çek-listi

Məlumat toplama formalarını dərc etməzdən və ya müştəri hesablarını qeydiyyata almazdan əvvəl hazırlığınızı bu strukturlaşdırılmış çek-list üzrə yoxlayın:

• Hüquqi əsas və razılıq. Normativ istinad: Qanun № 998-IIIQ, Maddə 8.1, 8.2. Məcburi tədbir: Qanunla tələb olunan bütün altı məlumat bəndini əhatə edən yazılı və ya elektron imzalı razılıq əldə edin.
• Razılığın sübut qeydi. Normativ istinad: Qanun № 998-IIIQ, Maddə 8.4. Məcburi tədbir: Sübut etmək vəzifəsini yerinə yetirmək üçün dəyişdirilməz vaxt möhürlərini, istifadəçi identifikatorlarını və siyasət versiyalarını saxlayın.
• Məqsədin müəyyənləşdirilməsi. Normativ istinad: Qanun № 998-IIIQ, Maddə 9.1, 9.2. Məcburi tədbir: Dəqiq əməliyyat işlənilmə məqsədlərini müəyyən edin və məlumat toplama formalarından artıq xanaları çıxarın.
• Xüsusi kateqoriyaların yoxlanılması. Normativ istinad: Qanun № 998-IIIQ, Maddə 2.1.6, 9.7. Məcburi tədbir: Qanun tələb etmədiyi və ya şəxs yazılı razılıq vermədiyi halda, sağlamlıq, milli mənsubiyyət, dini etiqad, ailə həyatı və ya məhkumluq barədə xanaları çıxarın.
• Sistemin qeydiyyatı. Normativ istinad: Qanun № 998-IIIQ, Maddə 15.1, 15.4. Məcburi tədbir: Real müştəri məlumatlarını toplamazdan əvvəl informasiya sisteminin qeydiyyatı üçün on üç bəndlik müraciəti təqdim edin.
• Operator müqavilələri. Normativ istinad: Qanun № 998-IIIQ, Maddə 9.9, 9.14. Məcburi tədbir: Sistemi hazırlayan və ya ona xidmət göstərən təchizatçının lisenziyaya malik olduğunu yoxlayın və yazılı operator müqaviləsi imzalayın.
• Audit jurnalının aparılması. Normativ istinad: Qanun № 998-IIIQ, Maddə 9.12. Məcburi tədbir: Bütün qeyd yaradılmalarını, sorğuları, dəyişiklikləri və inzibati hadisələri izləyən giriş jurnallarını tətbiq edin.
• Subyekt sorğularının icrası prosesləri. Normativ istinad: Qanun № 998-IIIQ, Maddə 12.4, 12.6. Məcburi tədbir: Subyektin məlumatlarla tanış olmaq və silinmə sorğularını yeddi iş günü ərzində yerinə yetirən iş axınları qurun.
• Saxlanma və məhv edilmə. Normativ istinad: Qanun № 998-IIIQ, Maddə 9.4. Məcburi tədbir: Saxlanma müddəti bitmiş fərdi məlumat qeydlərini gecikdirmədən məhv etmək üçün avtomatlaşdırılmış silinmə prosedurlarını tənzimləyin.
• Əməkdaşların öhdəlikləri. Normativ istinad: Qanun № 998-IIIQ, Maddə 5.5. Məcburi tədbir: Sistem məlumatlarına çıxışı olan bütün əməkdaşlar və podratçılarla yazılı məxfilik öhdəlikləri imzalayın.

Bu məqalə rəsmi hüquqi məsləhət deyil, tənzimləyici tələblərin praktiki mühəndislik və idarəetmə icmalını təqdim edir. Xidmət şərtləriniz və qeydiyyat müraciətləriniz hüquqşünas tərəfindən yoxlanılmalıdır.

Uyğunluq hazırlıqlarına məhsul istifadəyə verildikdən sonra deyil, sistemin həcminin müəyyənləşdirilməsi mərhələsində başlayın. Məlumat inventarınızı xəritələndirin, təsdiqlənə bilən razılıq mexanizmləri qurun və hostinq infrastrukturunuzun qanunvericilik standartlarına cavab verdiyinə əmin olun. Tətbiq arxitekturanızı və fərdi məlumatların işlənilməsi proseslərinizi qiymətləndirmək üçün konsultasiyadan sonra maddələr üzrə bölünmüş yazılı smeta təqdim edirik.