Logo WCR Consulting
WCR Consulting
Защита персональных данных в Грузии: GDPR-подобный закон 2024
Олег Просин
10 мая, 2026
11:03 дп
🇬🇪 Грузия · PDPS · DPO · DPIA · EU-кандидат 2024

Защита персональных данных в Грузии: GDPR-подобный закон 2024

С 1 марта 2024 года в Грузии действует новый Закон о защите персональных данных (14.06.2023). С 1 июня 2024 года обязательны DPO и DPIA. За отсутствие DPO — штраф GEL 1 000–3 000. Разбираем принципы, PDPS, трансграничную передачу и triple compliance для IT-релокантов в Тбилиси.
  • Закон 14.06.2023 · в силе 01.03.2024
  • PDPS · DPO · DPIA с 01.06.2024
  • Штрафы GEL 1K–20K · 10 рабочих дней
  • EU-кандидат · Adequacy на горизонте
  1. 1Новый закон 2024: почему заменили, что изменилось
  2. 29 GDPR-принципов в грузинском праве
  3. 3PDPS — регулятор: 265 проверок, 69% внеплановые
  4. 4DPO с 01.06.2024: для кого, штраф GEL 3K
  5. 510 отличий от GDPR: сроки, штрафы, регулятор
  6. 6DPIA с 01.06.2024: когда обязателен, как проводить
  7. 7Трансграничная передача: нет локализации, нет списка
  8. 8IT-релоканты в Тбилиси: три закона одновременно
  9. 9EU adequacy: что даст бизнесу статус кандидата
  10. 10Чек-лист: 10 пунктов compliance для Грузии
  11. ?FAQ

1Новый закон 2024: почему заменили, что изменилось

14 июня 2023 года парламент Грузии принял новый Закон о защите персональных данных. В силу он вступил 1 марта 2024 года, заменив закон 2011 года, который к тому времени устарел: он не учитывал облачные технологии, автоматизированную обработку данных и современные требования к надзорным органам.

2011
Первый закон о ПДн
Базовые принципы, ограниченный охват, слабые санкции, нет DPO / DPIA
2023
Новый закон принят
14 июня 2023 · 9 принципов GDPR · DPO · DPIA · обновлены полномочия PDPS
2024
Закон в силе
01.03.2024 — основной текст · 01.06.2024 — DPO и DPIA становятся обязательными

Основная причина замены — курс на евроинтеграцию. В ноябре 2023 года Грузия получила статус кандидата в члены ЕС. Один из обязательных блоков переговоров — приведение законодательства о ПДн в соответствие с европейскими стандартами. Новый закон — прямой ответ на это требование.

Закон 2011 — отсутствовало
  • Принцип accountability (подотчётность)
  • Обязательное назначение DPO
  • Оценка воздействия (DPIA)
  • Уведомление об утечках данных
  • Права на переносимость и забвение
Закон 2024 — добавлено
  • 9 принципов обработки — зеркало GDPR
  • DPO для определённых категорий (с 01.06.2024)
  • DPIA для высокорисковой обработки (с 01.06.2024)
  • Уведомление PDPS в течение 72 часов
  • Право на переносимость и ограничение обработки
Важно для бизнеса: Закон распространяется на любого обработчика ПДн физических лиц, находящихся на территории Грузии, — независимо от того, зарегистрирована ли компания в Грузии. Если ваш сайт собирает данные грузинских пользователей, закон применяется.

29 GDPR-принципов в грузинском праве

Новый грузинский закон почти дословно воспроизводит статью 5 GDPR. Все девять принципов присутствуют. Если вы уже настроили compliance под GDPR, перенести его на грузинский закон будет значительно проще.

⚖️
Lawfulness
Законность обработки
Наличие правового основания: согласие, договор, законный интерес, юридическая обязанность
🤝
Fairness
Добросовестность
Обработка не должна нарушать разумные ожидания субъекта относительно использования его данных
👁️
Transparency
Прозрачность
Субъект должен быть информирован о целях, контроллере, сроках хранения, правах
🎯
Purpose Limitation
Ограничение цели
Данные собираются для конкретных, явных и законных целей и не обрабатываются несовместимо с ними
✂️
Data Minimisation
Минимизация данных
Только данные, необходимые для достижения цели. «Собрать всё на всякий случай» — нарушение
✅
Accuracy
Точность
Данные должны быть точными, актуальными. Устаревшие — исправлены или удалены без задержки
🗓️
Storage Limitation
Ограничение хранения
Не дольше, чем необходимо. Нужны политика хранения и расписание удаления
🔒
Integrity & Confidentiality
Безопасность
Технические и организационные меры: шифрование, контроль доступа, резервное копирование
📋
Accountability
Подотчётность
Контроллер должен уметь доказать соответствие. Документация — не опция, а обязанность
🇬🇪 vs 🇪🇺 Что осталось за рамками грузинского закона
В отличие от GDPR, грузинский закон не использует концепцию legitimate interest balancing test в том же объёме. Основания обработки аналогичны (согласие, договор, законная обязанность, жизненно важный интерес, публичный интерес), но практика применения законного интереса ещё формируется. Пока безопаснее опираться на согласие и договор как основные правовые основания.

Грузинский закон также прямо требует, чтобы Политика конфиденциальности для сайта в Грузии охватывала все девять принципов и раскрывала каждый из них применительно к конкретной деятельности компании. Шаблонный документ «под GDPR» без адаптации может не пройти проверку PDPS.

3PDPS — регулятор: 265 проверок, 69% внеплановые

Personal Data Protection Service (PDPS) — грузинский регулятор в области персональных данных, сокращённо PDPS или по-грузински სდა. Создан ещё в 2012 году, но с новым законом 2024 года получил значительно расширенные полномочия, в том числе право штрафовать с первого нарушения без предварительных предупреждений.

265
инспекций в 2024 году
69%
внеплановые проверки по жалобам и инициативе PDPS
72ч
срок уведомления PDPS об утечке данных
GEL 20K
максимальный штраф по новому закону

Ключевая особенность PDPS — реакционный режим: большинство внеплановых проверок инициируются жалобами субъектов данных. Это означает, что недовольный пользователь, чьи права нарушены (не ответили на запрос, продали данные, не дали доступ), может напрямую инициировать проверку вашей компании. Эффективно и дёшево для субъекта — дорого для контроллера.

🔍
Плановые и внеплановые проверки
Запрос документов, доступ к помещениям и ИТ-системам, допрос сотрудников. Предупреждение о внеплановой проверке — не обязательно
💰
Штрафы без предупреждения
GEL 1 000–20 000 за нарушения закона. Штраф назначается при первом выявленном нарушении, без обязательного предписания
🛑
Приостановление обработки
Вправе временно запретить или ограничить обработку ПДн до устранения нарушения
📢
Публичные рекомендации и решения
Публикует методические рекомендации, решения по делам, ежегодные отчёты — формирует правоприменительную практику
Отличие от GDPR: У PDPS нет механизма «lead supervisory authority» как в GDPR (когда компания взаимодействует с одним регулятором при трансграничной деятельности в ЕС). PDPS — единственный регулятор в Грузии, и все жалобы грузинских субъектов обрабатывает именно он, независимо от страны регистрации компании.

4DPO с 01.06.2024: для кого, штраф GEL 3K

С 1 июня 2024 года грузинский закон ввёл обязательное назначение ответственного за защиту персональных данных (DPO) для ряда категорий контроллеров. Это прямое отражение GDPR Art. 37. Отличие — чёткие числовые пороги вместо расплывчатых критериев.

DPO обязателен
Масштабная обработка
Систематическая обработка ПДн в масштабе, существенно затрагивающем права субъектов — B2C-платформы, маркетплейсы, медиа
DPO обязателен
Специальные категории
Обработка чувствительных данных в большом объёме: биометрия, здоровье, религия, политические взгляды, сексуальная ориентация
DPO обязателен
Систематический мониторинг
Регулярное и систематическое профилирование или мониторинг поведения субъектов — аналитические платформы, рекламные сети, AdTech
DPO не обязателен
Малый бизнес и стартапы
Компания обрабатывает ПДн только своих сотрудников и ограниченного круга клиентов — без масштабного профилирования
DPO не обязателен
B2B без публичных данных
SaaS-сервис для бизнеса, где субъектами данных являются исключительно сотрудники клиентов-юрлиц
Рекомендуется
Средний онлайн-бизнес
Даже если DPO формально не обязателен, назначение ответственного лица упрощает взаимодействие с PDPS и снижает риски
🏢 Внутренний DPO (сотрудник)
  • Доступен 24/7, глубоко знает процессы
  • Не может контролировать самого себя — нет конфликта с ролью контроллера
  • Не должен совмещать с ролью CEO/CTO/юридический директор
  • Нужно обучение и актуализация знаний
🌐 Внешний DPO (аутсорсинг)
  • Независимость, нет конфликта интересов
  • Актуальная экспертиза без затрат на обучение
  • Подходит для стартапов и компаний без GDPR-опыта
  • Требует DPA-соглашения и регламента взаимодействия
⚠️
Штраф за отсутствие DPO: GEL 1 000 — 3 000
При выявлении PDPS того, что обязательный DPO не назначен, штраф налагается немедленно без предупреждения. Учитывая, что 69% проверок в 2024 году были внеплановыми — риск реальный. По курсу 2025 года GEL 3 000 ≈ USD 1 100.

510 отличий от GDPR: сроки, штрафы, регулятор

Грузинский закон — не копия GDPR. Несмотря на идентичные принципы, операционный режим существенно отличается — особенно в части сроков, санкций и организации надзора. Если вы привыкли к GDPR, обратите внимание на расхождения.

Параметр🇬🇪 Грузия 2024🇪🇺 GDPR
Ответ субъекту10 рабочих дней1 месяц (+ продление до 3 мес.)
Исправление данныхУведомить всех получателей в обязательном порядкеУведомить при наличии возможности
Максимальный штрафGEL 20 000 (≈ USD 7 400)€20 000 000 или 4% оборота
Штраф — первое нарушениеСразу, без предупрежденияЧасто — предписание + срок исполнения
Уведомление об утечке72 часа — PDPS; субъект — «без задержки»72 часа — регулятор; 30 дней — субъект (при высоком риске)
Регулятор1 орган — PDPSПо одному в каждой стране ЕС + механизм одного окна
Lead supervisory authorityНе применяетсяДа — при трансграничной деятельности в ЕС
Реестр обработчиковНет обязательного публичного реестраНет обязательного реестра (только внутренний RoPA)
Legitimate interestПризнаётся, но практика формируетсяПолноценное основание с развитой практикой LIA
Adequacy decisionsКонтроллер оценивает самСписок стран с adequate protection (ст. 45)

Важный нюанс: 10 рабочих дней на ответ субъекту — это строже, чем 30 календарных дней GDPR. При среднем рабочем расписании это фактически 2 рабочие недели. Если у вас нет автоматизированного процесса обработки DSR (Data Subject Requests), такой срок становится реальным операционным риском.

6DPIA с 01.06.2024: когда обязателен, как проводить

Оценка воздействия на защиту данных (DPIA) стала обязательной с 1 июня 2024 года для высокорисковых видов обработки. Логика та же, что в GDPR Art. 35: прежде чем запустить новый продукт или функцию, которая несёт значительный риск для прав субъектов, нужно оценить этот риск письменно.

🧠
Автоматическое профилирование
Системы, которые автоматически принимают решения, значимо влияющие на субъекта — кредитный скоринг, HR-системы, таргетинг
👆
Биометрические данные
Распознавание лиц, отпечатки пальцев, системы СКУД на основе биометрии — обязательный DPIA до запуска
📡
Масштабный мониторинг
Систематическое наблюдение за общественными пространствами, поведением в интернете в большом масштабе
  • 1
    Описание обработки
    Что собираем, зачем, как используем, кто имеет доступ, как долго храним, кому передаём
  • 2
    Оценка необходимости и соразмерности
    Нет ли менее инвазивного способа достичь той же цели? Соответствует ли объём обработки заявленным целям?
  • 3
    Выявление рисков
    Что может пойти не так: утечка, несанкционированный доступ, дискриминация, финансовый ущерб субъекту. Оценка вероятности и серьёзности
  • 4
    Меры по снижению рисков
    Технические (шифрование, псевдонимизация, MFA) и организационные (политики, обучение, разграничение доступа)
  • 5
    Документирование и пересмотр
    DPIA — живой документ. Пересматривается при существенном изменении обработки. Хранится для предъявления PDPS
Когда консультировать PDPS: Если после DPIA остаются высокие резидуальные риски, которые не удаётся устранить, — до запуска обработки необходимо проконсультироваться с PDPS. Это отражение GDPR Art. 36 (prior consultation).

7Трансграничная передача: нет локализации, нет списка

Грузинский закон о ПДн не требует хранить данные на территории Грузии. Нет и официального списка стран, которые признаются «безопасными» с точки зрения уровня защиты данных — в отличие от ЕС, где Еврокомиссия публикует adequacy decisions. Это одновременно свобода и ответственность: контроллер оценивает уровень защиты в стране-реципиенте самостоятельно.

Механизм передачиПрименимость в ГрузииКомментарий
Согласие субъектаПрименяетсяНаиболее часто используемый механизм. Субъект должен быть информирован о стране назначения и рисках
Договор с получателем (контрактные гарантии)ПрименяетсяАналог SCCs GDPR. Получатель договорно принимает на себя обязанность обеспечить должный уровень защиты
Adequacy decision регулятораНе применяетсяPDPS не публикует официальных решений об адекватности. Контроллер оценивает самостоятельно
Binding Corporate Rules (BCR)ПрименяетсяДля многонациональных групп — внутригрупповые правила. Должны быть задокументированы и доступны PDPS
Законный интерес / публичный интересПрименяетсяВ ограниченных случаях — передача необходима для исполнения договора или защиты жизненно важных интересов
Практический вывод: Грузинская компания, использующая AWS (Ирландия/Франкфурт), Google Workspace, Stripe или любой другой зарубежный процессор — должна иметь DPA-соглашение (Data Processing Agreement) с каждым таким процессором. Само по себе нахождение данных на серверах ЕС не делает передачу автоматически законной по грузинскому праву — нужен документальный след.

Всё это — часть юридической упаковки сайта: Политика конфиденциальности должна явно указывать, в каких странах обрабатываются данные и на каком основании. Без этого раздела документ не будет соответствовать закону.

8IT-релоканты в Тбилиси: три закона одновременно

Тбилиси стал одним из главных направлений для релокации российских IT-компаний. По нашей оценке, только за 2022–2024 годы более 500 технологических стартапов перебрались в Грузию. У них всех одна и та же структура данных — и три применимых закона одновременно.

🇬🇪
Грузинский закон 2024
Данные грузинских сотрудников
  • HR-данные, зарплата, медицинские
  • Клиенты из Грузии
  • Пользователи в Грузии
  • DPO если масштаб/чувствительность
🇷🇺
152-ФЗ России
Данные клиентов из РФ
  • Хранение ПДн граждан РФ в России
  • Уведомление Роскомнадзора
  • Политика ПДн на русском языке
  • Роскомнадзор может заблокировать сайт
🇪🇺
GDPR ЕС
Данные клиентов из ЕС
  • Применяется при обслуживании ЕС-пользователей
  • Представитель в ЕС (Art. 27)
  • SCCs для передачи из ЕС в Грузию
  • Штрафы до €20M или 4% оборота
🗂️ Типичный сценарий: SaaS-компания, переехавшая из Москвы в Тбилиси
1️⃣Регистрация в Грузии — грузинский закон применяется к данным грузинских сотрудников и грузинских пользователей. Нужны: Privacy Policy под грузинский закон, DPA с облачными провайдерами, DPO (если SaaS масштабный)
2️⃣Продолжают обслуживать клиентов из РФ — 152-ФЗ требует локализации ПДн граждан РФ. Если серверов в России нет — нужен российский co-processor или риск блокировки. Подробнее о соответствии 152-ФЗ →
3️⃣Выходят на рынок ЕС — GDPR применяется экстерриториально. Нужны: представитель в ЕС, SCCs для передачи данных из ЕС на серверы компании в Грузии / AWS, Cookie Banner по GDPR
✅Решение — единый пакет документов с юрисдикционными блоками: три Политики конфиденциальности (или одна с блоками), три DPA, согласие под каждый закон, DPO или ответственное лицо. Заказать пакет под Грузию →

Соседняя Армения также активно принимает IT-релокантов — и там своя система dual-regulation (PDPA + ЦБА для финтех). Если ваша структура охватывает несколько постсоветских юрисдикций, потребуется комплексный мультиюрисдикционный анализ.

9EU adequacy: что даст бизнесу статус кандидата

В ноябре 2023 года Грузия получила статус кандидата на вступление в ЕС. Это открывает путь к adequacy decision — официальному решению Еврокомиссии о том, что уровень защиты данных в Грузии эквивалентен европейскому. Новый закон 2024 года — прямая подготовка к этому шагу.

✓
Ноябрь 2023
Статус кандидата в ЕС получен
Совет ЕС присвоил Грузии официальный статус кандидата на вступление
✓
Март 2024
Новый закон о ПДн вступил в силу
Приведение к стандартам GDPR — обязательное условие переговоров о вступлении
→
2024–2026
Формирование правоприменительной практики PDPS
ЕС оценивает не только текст закона, но и реальную работу регулятора: количество проверок, независимость, ресурсы
?
~2027+
Adequacy decision Еврокомиссии (ожидаемый)
После adequacy — свободный трансфер персональных данных между ЕС и Грузией без SCCs и дополнительных механизмов
🔓
Свободная передача ПДн ЕС ↔ Грузия
После adequacy — никаких SCCs, BCRs, согласий как оснований для трансфера. Данные ходят свободно, как между странами ЕС
💼
Доверие европейских клиентов и партнёров
Грузинская компания с adequacy статусом воспринимается как «безопасная» платформа для обработки ПДн европейцев
📉
Снижение compliance-нагрузки
Отпадает необходимость в представителе ЕС, переговорах по SCCs с каждым партнёром, двойной документации
🚀
Конкурентное преимущество
«Мы — adequacy-страна» станет аргументом в пользу выбора грузинского SaaS/аутсорса перед компаниями из неadequacy-юрисдикций

Пока adequacy не получена, трансфер из ЕС в Грузию требует стандартных механизмов GDPR — прежде всего SCCs (Standard Contractual Clauses). Если вы получаете данные европейских пользователей на грузинские серверы, это обязательный элемент вашего DPA с европейскими партнёрами. Подробнее о выстраивании GDPR-compliance →

10Чек-лист: 10 пунктов compliance для Грузии

Используйте этот чек-лист как базовый план действий. Пункты с меткой обязательно — требования закона. Метка с 01.06.2024 — введены поправками 2024 года.

  • 1
    Политика конфиденциальности под грузинский законобязательно
    Охватывает все 9 принципов, раскрывает правовые основания, перечисляет права субъектов, сроки хранения, трансграничные передачи и контактные данные контроллера
  • 2
    Согласие на обработку данныхобязательно
    Отдельное, информированное, свободно данное согласие для каждой цели обработки. Для чувствительных данных — явное согласие. Хранить доказательства согласия
  • 3
    Процесс обработки запросов субъектов (DSR)обязательно
    Ответ на запросы о доступе, исправлении, удалении, ограничении обработки — в течение 10 рабочих дней. Нужен внутренний процесс, шаблоны ответов
  • 4
    Уведомление об утечках данныхобязательно
    Процедура: обнаружение → оценка риска → уведомление PDPS в течение 72 часов → уведомление субъектов при высоком риске. Нужен Incident Response Plan
  • 5
    DPA со всеми процессорами данныхобязательно
    AWS, Google Workspace, Stripe, Hubspot, Intercom, Mixpanel — каждый сторонний сервис, получающий ваши данные, требует подписанного DPA. Без него — нарушение
  • 6
    Назначение DPO (если применимо)с 01.06.2024
    Оцените критерии: масштаб, чувствительность данных, систематический мониторинг. Если обязателен — назначить, уведомить PDPS, обеспечить независимость
  • 7
    DPIA для высокорисковой обработкис 01.06.2024
    Если профилирование, биометрия или масштабный мониторинг — провести DPIA до запуска. Задокументировать. Хранить для PDPS
  • 8
    Реестр деятельности по обработке (RoPA)с 01.06.2024
    Внутренний реестр: цели обработки, категории данных и субъектов, получатели, сроки хранения, технические меры. Предъявляется PDPS при проверке
  • 9
    Cookie Banner и управление согласиемобязательно
    Аналитика, ретаргетинг, соцсети-пиксели требуют согласия до установки cookies. Нужен Cookie Banner с гранулированным управлением и хранением состояния согласия
  • 10
    Обучение сотрудников и политики безопасностиbest practice
    Принцип accountability требует документального подтверждения соответствия. Политика безопасности ПДн, тренинги для команды, логи доступа к персональным данным

?FAQ: защита данных в Грузии

Грузинский закон о ПДн распространяется на иностранные компании?
Да, экстерриториально. Если компания — пусть даже зарегистрированная в другой стране — обрабатывает персональные данные физических лиц, находящихся на территории Грузии, грузинский закон применяется. Это аналог принципа GDPR «по месту нахождения субъекта данных». Для IT-компании с грузинскими пользователями факт регистрации в другой юрисдикции не освобождает от обязанностей перед PDPS.
Когда нужен DPO по грузинскому закону и каков штраф за его отсутствие?
DPO обязателен с 1 июня 2024 года для контроллеров, которые (а) ведут масштабную обработку персональных данных, (б) систематически обрабатывают специальные категории данных (биометрия, здоровье, религия и пр.) или (в) осуществляют систематический мониторинг поведения субъектов. Штраф за отсутствие обязательного DPO — от GEL 1 000 до GEL 3 000 (≈ USD 375–1 100 по курсу 2025 года). PDPS вправе наложить штраф при первой проверке без предварительного предписания.
Нужно ли хранить данные грузинских пользователей на серверах в Грузии?
Нет. Грузинский закон не содержит требования о локализации данных — нет аналога российского 152-ФЗ в части ст. 18.1. Данные можно хранить за рубежом. Однако при трансграничной передаче необходимо: (1) раскрыть это в Политике конфиденциальности, (2) иметь правовое основание передачи (согласие, договор, BCR или контрактные гарантии) и (3) убедиться, что получатель обеспечивает надлежащий уровень защиты.
Сколько времени есть на ответ субъекту данных по его запросу?
По грузинскому закону — 10 рабочих дней с момента получения запроса. Это строже, чем в GDPR, где срок составляет 1 календарный месяц (с возможностью продления до 3 месяцев). При 5-дневной рабочей неделе 10 рабочих дней — это фактически 2 недели. Рекомендуем внедрить автоматизированную систему обработки DSR или хотя бы шаблоны ответов с назначенным ответственным.
Что даст Грузии adequacy decision Евросоюза?
После получения adequacy decision от Еврокомиссии передача персональных данных между ЕС и Грузией станет свободной — без необходимости в SCCs, BCRs или согласии субъекта как механизме трансфера. Для грузинских IT-компаний, работающих с европейскими клиентами, это означает значительное снижение compliance-нагрузки и рост доверия со стороны европейских партнёров. Ожидается, что процесс adequacy может быть инициирован в 2026–2027 годах по мере продвижения переговоров о вступлении в ЕС.
Если компания уже соответствует GDPR, нужно ли что-то дополнительно для грузинского закона?
GDPR-compliant компании находятся в хорошей стартовой позиции, но адаптация нужна. Ключевые отличия: (1) срок ответа субъекту — 10 рабочих дней вместо 30 календарных; (2) при исправлении данных обязательно уведомить всех получателей; (3) нет механизма lead supervisory authority — все жалобы грузинских субъектов направляются в PDPS напрямую; (4) нет официального списка adequate countries — контроллер сам оценивает уровень защиты в стране-реципиенте. Потребуется также адаптация Privacy Policy под реквизиты грузинского закона.
📋
Закон с 01.03.2024
GDPR-принципы, DPO и DPIA с 01.06.2024, 10 рабочих дней на DSR
🏛️
PDPS · 265 проверок / год
69% внеплановые · штрафы GEL 1K–20K без предупреждения
🌍
Путь к EU Adequacy
Кандидат ЕС с 2023 · соответствие закону готовит почву для свободного трансфера с ЕС
🇬🇪 Нужна юридическая упаковка для работы в Грузии?
Политика конфиденциальности под грузинский закон, DPA с процессорами, Cookie Banner, назначение DPO — разработаем полный пакет за 5–7 рабочих дней.
Работаем с IT-компаниями, SaaS-стартапами и релокантами в Тбилиси.
Заказать юридическую упаковку для Грузии →
Бесплатная консультация · Фиксированная цена · Срок от 5 дней
Category : Персональные данные
Tags : DPO EU-кандидат GDPR PDPS Грузия персональные данные