Qısa cavab: Azərbaycanda şirkətlərin fərdi məlumatlarla işini "Fərdi məlumatlar haqqında" 11 may 2010-cu il tarixli 998-IIIQ nömrəli Qanun tənzimləyir. Əsas qayda budur: məlumat yalnız qanuni əsasla, ilk növbədə subyektin yazılı (o cümlədən gücləndirilmiş elektron imzalı) razılığı ilə toplanır (maddə 8, 9.6). Subyektin sorğusuna 7 iş günü ərzində cavab verilməlidir (maddə 12.4). Qeydiyyat tələb olunan informasiya sistemini dövlət qeydiyyatından keçirmədən məlumat toplamaq qadağandır (maddə 15.2). İnzibati Xətalar Məcəlləsinin 375-ci maddəsi mülkiyyətçi və operatorlar üçün 300–500 manat cərimə nəzərdə tutur.
Əsas anlayışlar, hüquqi əsaslar və razılıq
Fərdi məlumat şəxsin kimliyini birbaşa və ya dolayısı ilə müəyyənləşdirməyə imkan verən istənilən məlumatdır (maddə 2.1.1). Buraya müştərinin adı, telefonu, CRM-dəki tarixçəsi, işçinin şəxsi işi və kamera görüntüsü daxildir. Barəsində məlumat toplanan şəxs subyektdir (maddə 2.1.2). Emalın məqsədini müəyyən edən şirkət mülkiyyətçidir (maddə 2.1.9). Məlumatı faktiki emal edən şəxs isə operatordur. Bu, şirkətin özü və ya müqavilə ilə işi həvalə etdiyi hostinq, CRM və mühasibat podratçısı ola bilər (maddə 2.1.10, 9.9). Adı, soyadı və atasının adı daimi açıq məlumatdır (maddə 5.3). Konfidensial məlumat isə qanunla nəzərdə tutulan hallar istisna olmaqla, üçüncü şəxsə yalnız razılıqla verilir (maddə 5.2).
Emal yalnız dörd əsasla mümkündür (maddə 9.6):
- subyektin razılığı varsa və ya məlumat açıqdırsa;
- emal qanunvericiliyə əsaslanırsa;
- məlumat elmi və ya statistik məqsədlə adsızlaşdırılırsa;
- emal həyat və sağlamlığı qorumaq üçün lazımdırsa.
Razılıq yazılı formada və ya gücləndirilmiş elektron imzalı sənədlə verilir (maddə 8.1). Razılıqda bunlar göstərilməlidir (maddə 8.2):
- subyektin və mülkiyyətçinin kimliyi;
- emalın məqsədi;
- məlumatların və əməliyyatların siyahısı;
- razılığın müddəti və geri götürülmə şərtləri;
- saxlama müddəti bitdikdən sonra məlumatın məhv edilməsi və ya arxivləşdirilməsi şərtləri.
Razılığın sübutu mülkiyyətçinin və ya operatorun üzərindədir (maddə 8.4). 2024-cü ildə razılığın Elektron Hökumət İnformasiya Sistemi üzərindən verilməsi və geri çağırılması da qanuna əlavə edilib (maddə 8.6).
Xüsusi kateqoriyalı məlumatlar irqi və ya milli mənsubiyyət, ailə həyatı, din, səhhət və məhkumluqla bağlıdır (maddə 2.1.6). Bu məlumatların emalı yalnız istisna hallarda mümkündür. Məsələn, qanunla məcburi olduqda, yazılı razılıq olduqda və ya həyatı qorumaq lazım olduqda (maddə 9.7). Barmaq izi, üz təsviri və səs kimi biometrik məlumatlara da qanunun şərtləri tam tətbiq olunur (maddə 9.5).
Subyektin hüquqları və cavab müddətləri
Subyekt öz məlumatlarının mövcudluğunu və məzmununu öyrənmək, emalın məqsədini, müddətini və məlumatı alanların dairəsini bilmək, məlumatın dəqiqləşdirilməsini və ya məhv edilməsini, emala qadağa qoyulmasını tələb etmək hüququna malikdir (maddə 7.1). Qanunla məcburi olan hallar istisna olmaqla, subyekt emala yazılı etiraz edə bilər. Etirazı əsaslandırmaq tələb olunmur və şirkət emalı dərhal dayandırmalıdır (maddə 7.2). Məlumat ödənişsiz verilir (maddə 12.1).
| Öhdəlik | Müddət | Maddə |
|---|---|---|
| Subyektin sorğusuna cavab | 7 iş günü; üçüncü şəxsə müraciət lazımdırsa daha 7 iş günü uzadıla bilər | 12.4 |
| Sorğunun icrasından əsaslandırılmış imtina | 5 iş günü | 12.6 |
| Görülən tədbir barədə əvvəllər məlumat ötürülmüş üçüncü şəxsə bildiriş | 3 iş günü | 12.5 |
| Emala etiraz və ya razılığın geri çağırılması | Dərhal dayandırmaq | 7.2, 13.3 |
| İnformasiya sisteminin dövlət qeydiyyatı | Müraciətdən sonra 1 ay | 15.4 |
| Qeydiyyat məlumatlarında dəyişiklik barədə bildiriş | 3 iş günü | 15.5 |
Subyekt bu hüquqları kağız formatında yazılı ərizə və şəxsiyyət sənədi ilə və ya gücləndirilmiş elektron imzalı sorğu ilə həyata keçirir (maddə 7.5). Hüququ pozulan şəxs səlahiyyətli orqana və ya məhkəməyə şikayət edə, maddi və mənəvi ziyanın ödənilməsini tələb edə bilər (maddə 7.4, 10.1).
Təhlükəsizlik, informasiya sisteminin qeydiyyatı və transsərhəd ötürmə
Təhlükəsizlik. Mülkiyyətçi və operator məlumatları məhv edilmədən, itirilmədən, qanunsuz müdaxilədən və dəyişdirilmədən qoruyan texniki-təşkilati tədbirlər görməlidir (maddə 5.8). Əməliyyatlar audit jurnalında qeydə alınmalıdır (maddə 9.12). Məqsəd əldə edildikdə məlumat təxirə salınmadan məhv edilməlidir (maddə 9.4). Texniki tələblər Nazirlər Kabinetinin 2010-cu il 6 sentyabr tarixli 161 nömrəli qərarı ilə müəyyən edilib. Onlara giriş hüquqlarının bölgüsü, istifadəçilərin uçotu, lisenziyalı proqram təminatı və ötürmədə ən azı 256 bitlik şifrələmə açarı daxildir. Məlumatla işləyən işçilər yaymamaq barədə yazılı iltizam verir (maddə 5.5).
Qeydiyyat. Fərdi məlumatların informasiya sistemi dövlət qeydiyyatından keçməlidir və qeydiyyatsız məlumat toplamağa yol verilmir (maddə 15.1, 15.2). Əmək münasibətində olan şəxslərə aid sistemlər, yəni HR və buraxılış sistemləri qeydiyyatdan azaddır. Səlahiyyətli orqanın məqsəd və subyektlərin sayına görə müəyyən etdiyi hallar da istisnadır (maddə 15.3). Reyestri Rəqəmsal İnkişaf və Nəqliyyat Nazirliyi aparır. Müştəri bazası olan CRM və ya onlayn mağaza üçün qeydiyyat ehtiyacı ayrıca qiymətləndirilməlidir.
Xaricə ötürmə. Transsərhəd ötürmə iki halda qadağandır: milli təhlükəsizliyə təhdid yaratdıqda və ya qəbul edən ölkə Azərbaycan səviyyəsində mühafizə təmin etmədikdə (maddə 14.2). Subyektin razılığı olduqda və ya həyat və sağlamlığı qorumaq lazım olduqda isə ötürmə mümkündür (maddə 14.3). Təhlükəsizliyə yenə də mülkiyyətçi və operator cavabdehdir (maddə 14.4). Qanunda ümumi lokalizasiya tələbi yoxdur. Lakin qeydiyyat ərizəsində xaricə ötürülən məlumat kateqoriyaları göstərilir (maddə 15.4.13).
Biznes saytı və daxili proseslər üçün yoxlama siyahısı
- Məlumat xəritəsi tərtib edin: formalar, CRM, HR, kameralar, marketinq siyahıları üzrə məqsəd, əsas və saxlama müddəti (maddə 9.1–9.4).
- Məxfilik siyasəti dərc edin: şirkətin kimliyi, məqsəd və əsas, mühafizə səviyyəsi, məlumatı alanlar, subyektin hüquqları (maddə 11.2).
- Razılıq formalarını maddə 8.2-yə uyğunlaşdırın. Marketinq üçün ayrıca razılıq alın, razılığın sübutunu saxlayın (maddə 8.4).
- Yalnız lazım olanı toplayın: formada artıq sahələr olmasın (maddə 11.1).
- Podratçılarla müqavilə bağlayın. Hostinq, CRM və mühasibat xidməti göstərənlərlə operator müqaviləsində mühafizə öhdəliklərini yazın (maddə 9.9, 10.3).
- Sorğu prosedurunu qurun. Sorğunu kim qəbul edir, 7 iş günü müddətinə necə nəzarət olunur, bunu əvvəlcədən müəyyən edin (maddə 12).
- Qeydiyyat ehtiyacını yoxlayın və lazım olduqda sistemi reyestrə daxil edin (maddə 15).
- Təhlükəsizlik tədbirləri görün: giriş hüquqları, audit jurnalı, şifrələmə, işçilərdən iltizam (maddə 5.5, 5.8, 9.12).
- Xaricə ötürmələri müəyyən edin və razılıq mətninə daxil edin (maddə 14).
Cookie-lər haqqında: Qanunda cookie-lər üçün ayrıca qayda yoxdur. Cookie və ya analitika şəxsi müəyyənləşdirən məlumat toplayırsa, ümumi tələblər tətbiq olunur. AB-dəki müştərilərə xidmət göstərirsinizsə, GDPR və AB cookie qaydaları ayrıca tətbiq oluna bilər. Bu, Azərbaycan qanununun tələbi deyil. Şirkət alarkən fərdi məlumatlar üzrə uyğunluğu yoxlamaq da vacibdir, bu barədə hüquqi due diligence yoxlama siyahısına baxın. Xarici şirkətlər üçün ümumi çərçivə Azərbaycanda biznes qurmaq bələdçisində təsvir edilib.
Məsuliyyət
Qanunu pozan şəxslər qanunvericiliyə uyğun məsuliyyət daşıyır (maddə 19). İnzibati Xətalar Məcəlləsinin 375-ci maddəsi iki halda mülkiyyətçi və ya operatora 300–500 manat cərimə nəzərdə tutur:
| Pozuntu | Nəticə |
|---|---|
| Qeydiyyat tələb olunan halda dövlət qeydiyyatından keçməmiş sistemdə məlumat toplamaq və ya emal etmək (İXM 375.0.1) | 300–500 manat cərimə |
| Məlumatların mühafizəsini təmin etməmək, qanunla tələb olunan hallarda və müddətdə məlumatı məhv etməmək və ya emalı dayandırmamaq (İXM 375.0.2) | 300–500 manat cərimə |
| Subyektə vurulmuş zərər | Məbləği məhkəmə tərəfindən müəyyən edilən maddi və mənəvi ziyanın ödənilməsi (maddə 10.1) |
Cərimə aşağıdır. Praktikada daha böyük risklər ziyan iddiası, emalın dayandırılması və nüfuz itkisidir.
Tez-tez verilən suallar
Saytda əlaqə forması üçün də razılıq lazımdırmı?
Bəli, başqa qanuni əsas yoxdursa. Formada məqsədi göstərin, məxfilik siyasətinə keçid verin və razılığın sübutunu saxlayın (maddə 8.4).
İşçilərin şəxsi işlərini reyestrdə qeydiyyatdan keçirməliyikmi?
Xeyr. Əmək münasibətində olan şəxslərə aid və iş ərazisinə buraxılış üçün lazım olan informasiya sistemləri dövlət qeydiyyatından azaddır (maddə 15.3.2). Lakin mühafizə öhdəlikləri qüvvədə qalır.
Müştəri məlumatlarını xaricdəki serverdə saxlaya bilərikmi?
Qanunda ümumi lokalizasiya tələbi yoxdur, lakin qəbul edən ölkə adekvat mühafizə təmin etməlidir, əks halda subyektin razılığı lazımdır (maddə 14.2–14.3). Sektor qaydaları əlavə tələblər qoya bilər.
Müştəri məlumatlarının silinməsini istəsə, nə qədər vaxtımız var?
Sorğuya 7 iş günü ərzində cavab verilməlidir (maddə 12.4). Məlumat əvvəllər üçüncü şəxsə ötürülübsə, görülən tədbir barədə ona 3 iş günü ərzində bildirilməlidir (maddə 12.5).
Video müşahidə kameraları fərdi məlumat sayılırmı?
Şəxsi tanımağa imkan verən görüntü fərdi məlumatdır (maddə 2.1.1). Üz təsviri isə biometrik məlumat kimi ayrıca qeyd olunub (maddə 9.5). Kameraların məqsədini, saxlama müddətini və görüntülərə kimin baxa biləcəyini daxili qaydada yazın.
Necə kömək edə bilərik
Affidacons fərdi məlumatlar üzrə audit aparır, məxfilik siyasəti, razılıq formaları və operator müqavilələri hazırlayır, qeydiyyat ehtiyacını qiymətləndirir və sorğulara cavab prosedurunu qurur. Ətraflı məlumat üçün texnologiya və rəqəmsal hüquq xidmətimizə baxın və ya bizimlə əlaqə saxlayın.
Bu məqalə ümumi məlumat xarakteri daşıyır və hüquqi məsləhət deyil. Məlumatlar "Fərdi məlumatlar haqqında" Azərbaycan Respublikası Qanununun (11 may 2010, № 998-IIIQ, 2024-cü il dəyişiklikləri daxil olmaqla) 2, 5, 7–15 və 19-cu maddələrinə, İnzibati Xətalar Məcəlləsinin 375-ci maddəsinə və Nazirlər Kabinetinin 2010-cu il 6 sentyabr tarixli 161 nömrəli qərarına əsaslanır (Oktyabr 2026); qanunvericilik dəyişə bilər. Qərar qəbul etməzdən əvvəl konkret halınız üzrə hüquqi məsləhət alın.
Bir şərh yazın
Bir şərh yazın
Görüş təyin edin