Защита ПО и персональных данных при разработке в Грузии

Авторское право на программное обеспечение в Грузии регулируется Законом об авторском праве и смежных правах (საავტორო და მომიჯნავე უფლებების შესახებ კანონი) 1999 года с поправками 2023 года. Закон относит программный код к объектам авторского права наравне с литературными произведениями - охрана возникает с момента создания, без регистрации. Параллельно обработку персональных данных регулирует Закон о защите персональных данных (პერსონალური მონაცემების დაცვის შესახებ კანონი) 2011 года в редакции 2023 года, существенно сблизившей грузинские требования с европейским регламентом GDPR. По состоянию на май 2026 года оба закона действуют в актуальной редакции и применяются к компаниям, работающим в грузинской юрисдикции, включая резидентов Virtual Zone.

Для IT-компаний и финтех-стартапов в Грузии пересечение двух правовых режимов - интеллектуальной собственности и защиты данных - создаёт специфические риски: неверно оформленные трудовые договоры лишают компанию прав на код, написанный сотрудниками; отсутствие политики обработки данных влечёт предписания инспектора; а работа в режиме Virtual Zone не освобождает от требований по персональным данным. Статья разбирает: правовую основу охраны ПО, распределение IP-прав в командах, требования к обработке персональных данных, специфику финтех-сектора и практические инструменты защиты.

Авторское право на программный код в Грузии возникает автоматически в момент создания произведения - регистрация не является обязательным условием охраны согласно статье 6 Закона об авторском праве. Тем не менее добровольная депонирование кода в Национальном агентстве интеллектуальной собственности (Sakpatenti, საქართველოს საკუთრების ეროვნული სააგენტო) создаёт доказательную базу с фиксированной датой и существенно упрощает защиту прав в суде.

Закон охраняет исходный код, объектный код, подготовительные материалы и документацию как единое произведение. Алгоритм как таковой охраной не пользуется - защищается конкретная форма его выражения в коде. Это принципиальное отличие от патентной охраны: в Грузии патентование программных алгоритмов практически невозможно, поскольку Закон о патентах (1999) не признаёт программы для ЭВМ патентоспособными объектами. Единственный реальный инструмент - авторское право плюс режим коммерческой тайны.

На практике грузинские суды при разрешении споров об авторстве кода опираются на косвенные доказательства: git-историю, переписку, технические задания, акты приёмки. Компании, не ведущие документированную историю разработки, проигрывают споры даже при наличии трудовых договоров. Неочевидный риск для финтех-стартапов - использование open-source компонентов с лицензиями GPL или AGPL: такой код при включении в коммерческий продукт может обязать компанию раскрыть весь исходный код, что несовместимо с коммерческой тайной.

Депонирование кода в Sakpatenti стоит от 50 до 150 лари в зависимости от объёма материалов и занимает 5-10 рабочих дней. Это минимальная инвестиция для компании, которая планирует лицензировать продукт или привлекать инвестиции.

Чтобы получить чек-лист запуска защиты ПО для IT-компании в Грузии, отправьте запрос на info@interlawfirm.ru

Многие финтех-основатели полагают, что регистрация компании в режиме Virtual Zone автоматически решает вопросы IP-охраны. Это не так: Virtual Zone - налоговый режим, а не правовой щит для интеллектуальной собственности. Структура прав на код требует отдельного юридического оформления.

Распределение авторских прав между разработчиком и компанией в Грузии определяется статьёй 14 Закона об авторском праве. Имущественные права на служебное произведение - созданное в рамках трудовых обязанностей - переходят к работодателю, если иное не предусмотрено договором. Личные неимущественные права (право авторства) остаются у разработчика навсегда и не могут быть переданы.

Ключевая проблема - понятие «трудовые обязанности» трактуется судами узко. Если разработчик написал модуль, не предусмотренный должностной инструкцией, суд может признать его личным произведением автора. Для финтех-компаний, где задачи меняются быстро и должностные инструкции отстают от реальности, это системный риск.

С подрядчиками ситуация принципиально иная: по умолчанию права на код, написанный по договору подряда (ნარდობის ხელშეკრულება), остаются у исполнителя. Передача прав заказчику требует явного письменного условия в договоре. Частая ошибка русскоязычных предпринимателей - перенос российской практики, где «заказной» характер работы подразумевает переход прав. В Грузии это не работает: без прямой нормы в договоре права остаются у подрядчика.

Чек-лист «что подготовить» для оформления IP-прав в команде:

• Трудовые договоры с расширенным описанием трудовых обязанностей, охватывающим все направления разработки
• Договоры с подрядчиками с явной нормой о передаче исключительных имущественных прав заказчику
• NDA (соглашение о неразглашении) с каждым участником команды, включая стажёров
• Акты приёмки-передачи результатов работ с описанием конкретных программных компонентов
• Внутренняя политика использования open-source с реестром применяемых лицензий

Компании из Тбилиси (зима 2024-2025) помогли урегулировать спор с бывшим подрядчиком, претендовавшим на авторские права на ключевой модуль платёжной системы. Подрядчик требовал выкупа прав на сумму свыше 40 000 лари. После анализа переписки, технических заданий и git-истории удалось доказать, что разработка велась в рамках фактических трудовых отношений, а не подряда, - суд отказал в иске.

Закон о защите персональных данных Грузии обязывает любую компанию, обрабатывающую данные физических лиц на территории Грузии, соблюдать принципы законности, соразмерности и целевого ограничения - статьи 4-6 Закона. Это касается как грузинских компаний, так и иностранных, чьи продукты направлены на пользователей в Грузии. Надзор осуществляет Инспектор по защите персональных данных (პერსონალური მონაცემების დაცვის ინსპექტორი, PDPO).

Для IT-компаний и финтех-стартапов обязательны три базовых элемента: правовое основание обработки данных (согласие, договор или законный интерес), политика конфиденциальности на языке, понятном пользователю, и реестр операций обработки. Компании, обрабатывающие чувствительные категории данных (биометрия, финансовые данные в расширенном понимании), обязаны назначить ответственного за защиту данных (DPO).

Грузинский закон существенно сближен с GDPR, но имеет отличия. Во-первых, трансграничная передача данных регулируется статьёй 22 Закона: передача в страны без «адекватного уровня защиты» требует стандартных договорных условий или явного согласия субъекта. Во-вторых, сроки уведомления об инцидентах - 72 часа для уведомления PDPO - совпадают с GDPR, но порядок уведомления субъектов данных менее детализирован. В-третьих, штрафы значительно ниже европейских: максимальный административный штраф по состоянию на 2026 год составляет 5 000 лари за нарушение, однако PDPO вправе выдавать предписания об устранении нарушений с угрозой приостановления обработки данных - что для работающего продукта критичнее любого штрафа.

Неочевидный риск для финтех-компаний: обработка данных пользователей из ЕС через грузинскую компанию не снимает обязательств по GDPR, если продукт направлен на европейский рынок. Грузинская регистрация не является «щитом» от европейского регулятора.

Чтобы получить чек-лист требований PDPO для финтех-компании в Грузии, отправьте запрос на info@interlawfirm.ru

Соответствие требованиям по персональным данным - не разовая задача, а процесс. Компании, прошедшие первичный аудит, через год-два обнаруживают, что продукт вырос, появились новые функции сбора данных, а политика конфиденциальности осталась прежней. PDPO при проверке оценивает фактическое состояние, а не документы на момент запуска.

Грамотно составленный IT-контракт в Грузии решает три задачи одновременно: фиксирует переход IP-прав, ограничивает ответственность разработчика и устанавливает режим конфиденциальности. Гражданский кодекс Грузии (სამოქალაქო კოდექსი) 1997 года предоставляет широкую свободу договора, однако ряд условий, стандартных для российского или американского права, в Грузии либо не работает, либо требует специальной формулировки.

Три ключевых блока IT-контракта по грузинскому праву:

Блок 1: IP-права. Условие о передаче прав должно быть сформулировано как «передача исключительных имущественных прав» (ექსკლუზიური ქონებრივი უფლებების გადაცემა) с перечислением конкретных способов использования. Общая фраза «все права переходят заказчику» без детализации может быть оспорена. Для SaaS-продуктов, где код постоянно обновляется, рекомендуется рамочный договор с автоматическим распространением условий на все версии.

Блок 2: Ответственность. Грузинский ГК не содержит специальных норм об ограничении ответственности в IT-контрактах - применяются общие нормы о возмещении убытков (статьи 394-411 ГК). Ограничение ответственности суммой вознаграждения по договору допустимо, но должно быть явно согласовано. Без такого условия исполнитель несёт полную ответственность за прямые убытки заказчика.

Блок 3: Конфиденциальность. NDA в Грузии не требует нотариального удостоверения и может быть частью основного договора или отдельным соглашением. Срок действия NDA после окончания договора рекомендуется устанавливать явно - суды толкуют «бессрочные» NDA ограничительно. Оптимальный срок для IT-сектора - 3-5 лет.

Для компаний в режиме Virtual Zone дополнительный нюанс: договоры с иностранными заказчиками, как правило, подчинены иностранному праву. Это означает, что грузинские нормы об авторском праве применяются к созданию произведения, но не к условиям лицензирования - здесь действует выбранное сторонами право. Смешение юрисдикций в одном контракте без чёткой коллизионной нормы - распространённая ошибка, которая проявляется при первом же споре.

Компании из Батуми (лето 2025) помогли структурировать рамочный договор с европейским заказчиком на разработку финтех-платформы. Первоначальный вариант договора не содержал нормы о передаче прав на промежуточные версии кода - при расторжении контракта заказчик рисковал остаться без прав на уже разработанные модули стоимостью около 60 000 лари. После переработки договора права на каждую итерацию фиксировались актом приёмки с автоматическим переходом к заказчику.

Финтех-компании и провайдеры услуг виртуальных активов (VASP) в Грузии работают на пересечении трёх регуляторных режимов: Национальный банк Грузии (საქართველოს ეროვნული ბანკი, NBG) регулирует платёжные услуги и VASP-деятельность, PDPO - обработку персональных данных, а Закон об авторском праве - IP-активы. Несогласованность между этими режимами создаёт специфические риски, которые не очевидны при стандартном юридическом аудите.

Для VASP особую проблему представляет обработка биометрических данных при KYC-верификации. Биометрия относится к чувствительным категориям данных по статье 6 Закона о персональных данных и требует явного согласия субъекта с описанием целей, сроков хранения и порядка удаления. NBG при лицензировании проверяет наличие политики обработки данных, однако не заменяет надзор PDPO - компания обязана соответствовать обоим регуляторам одновременно.

IP-активы финтех-компании включают не только код, но и алгоритмы скоринга, модели машинного обучения и базы данных. Базы данных в Грузии охраняются как самостоятельные объекты смежных прав по статье 44 Закона об авторском праве при условии, что их создание потребовало существенных инвестиций. Это важно для компаний, формирующих собственные датасеты для обучения моделей: права на базу данных возникают независимо от прав на код.

Три сценария для разных типов финтех-бизнеса:

Сценарий 1: Стартап на стадии MVP (когорта E, малая команда). Приоритет - оформление IP-прав с основателями и первыми разработчиками, базовая политика конфиденциальности, NDA. Регистрация кода в Sakpatenti желательна перед первым раундом инвестиций. Затраты на юридическое сопровождение - от 1 500 до 3 000 лари.

Сценарий 2: Компания с продуктом и пользователями (когорта E/D). Полный аудит IP-структуры и соответствия требованиям PDPO, назначение DPO (если обрабатываются чувствительные данные), актуализация договоров с командой. Затраты - от 3 000 до 8 000 лари в зависимости от объёма.

Сценарий 3: VASP или платёжный сервис с лицензией NBG (когорта E). Комплексное сопровождение: IP-аудит, политика обработки данных для KYC/AML, договоры с поставщиками технологий, подготовка к проверкам NBG и PDPO. Затраты - от 8 000 лари, сроки - 4-8 недель.

Матрица решений: ситуация - инструмент - срок - затраты - риски:

• Нет документов на IP → IP-аудит + пакет договоров → 2-4 недели → 2 000-5 000 лари → риск потери прав на продукт
• Нет политики данных → разработка политики + реестр операций → 1-2 недели → 800-2 000 лари → предписание PDPO, приостановление обработки
• Спор с подрядчиком по IP → судебная защита → 3-12 месяцев → от 5 000 лари → риск утраты ключевого компонента продукта
• Проверка PDPO → сопровождение проверки → 10-30 дней → от 2 000 лари → штраф до 5 000 лари или приостановление

Направления практики по теме

• Интеллектуальная собственность и IT-право - регистрация ПО, IP-аудит, IT-контракты
• Защита персональных данных - соответствие Закону о персональных данных Грузии, сопровождение проверок PDPO
• Финтех и лицензирование - VASP-регистрация, NBG-комплаенс, KYC/AML-политики

Регистрация программного кода в Грузии не является обязательным условием возникновения авторского права - охрана возникает автоматически с момента создания произведения согласно статье 6 Закона об авторском праве. Однако добровольное депонирование в Sakpatenti стоит от 50 до 150 лари и занимает до 10 рабочих дней. Без депонирования компания вынуждена доказывать авторство через косвенные доказательства - git-историю, переписку, акты, - что в судебном споре значительно сложнее и дороже. Для компаний, планирующих привлечение инвестиций или лицензирование продукта, депонирование является минимально необходимым шагом до начала переговоров с инвесторами.

Режим Virtual Zone в Грузии является исключительно налоговым - он освобождает от налога на прибыль и НДС при экспорте IT-услуг, но не создаёт изъятий из требований Закона о защите персональных данных. Компания в статусе Virtual Zone, обрабатывающая данные пользователей на территории Грузии или направляющая продукт на грузинских пользователей, обязана соблюдать все требования Закона 2011 года в редакции 2023 года, включая назначение DPO при обработке чувствительных данных и уведомление PDPO об инцидентах в течение 72 часов. Надзор PDPO распространяется на все компании без исключений по налоговому статусу.

Алгоритм как математическая концепция не охраняется авторским правом в Грузии - защищается только конкретная форма его выражения в коде. Для защиты скоринговой модели или ML-алгоритма применяется комбинация инструментов: авторское право на код (статья 6 Закона об авторском праве), режим коммерческой тайны через NDA и ограничение доступа, а также охрана базы данных как объекта смежных прав по статье 44 Закона при условии существенных инвестиций в её создание. Патентование алгоритмов в Грузии практически недоступно - Закон о патентах не признаёт программы патентоспособными объектами. Наиболее надёжная стратегия для финтех-компании - сочетание депонирования кода в Sakpatenti, режима коммерческой тайны и чётких договорных ограничений для команды.

Имущественные права на код, созданный в рамках трудовых обязанностей, принадлежат работодателю согласно статье 14 Закона об авторском праве и не зависят от факта увольнения сотрудника. Однако если разработчик создавал компоненты, выходящие за рамки должностной инструкции, суд может признать их личным произведением автора - и тогда компания обязана выкупить права или прекратить использование. Для минимизации риска необходимо при увольнении подписывать акт, подтверждающий, что все созданные в период работы программные продукты разработаны в рамках трудовых обязанностей. Без такого акта спор возможен в течение трёх лет с момента увольнения - срок исковой давности по статье 128 Гражданского кодекса Грузии.

Инспектор по защите персональных данных Грузии вправе применять административные штрафы до 5 000 лари за нарушение, выдавать предписания об устранении нарушений и - в крайних случаях - требовать приостановления обработки данных. Для работающего продукта приостановление обработки означает фактическую остановку сервиса, что несопоставимо с размером штрафа. Помимо административной ответственности, субъект данных вправе обратиться в суд с иском о возмещении ущерба по статье 18 Закона о персональных данных. Для финтех-компаний с европейскими пользователями дополнительно действует GDPR - европейский регулятор не связан грузинскими лимитами штрафов и вправе применять санкции до 4% от глобального оборота компании независимо от юрисдикции регистрации.

Защита программного обеспечения и персональных данных в Грузии требует одновременной работы в двух правовых режимах: авторское право фиксирует принадлежность IP-активов, а законодательство о персональных данных определяет допустимые границы работы с пользовательской информацией. Для финтех-компаний и VASP несоответствие хотя бы одному из режимов создаёт риски, способные заблокировать продукт или лишить компанию прав на ключевые активы.

Юридическая фирма Inter Law Firm сопровождает IT-компании и финтех-стартапы в Грузии по вопросам защиты интеллектуальной собственности и персональных данных. Мы можем помочь с IP-аудитом, оформлением договоров с командой, разработкой политики конфиденциальности и сопровождением проверок PDPO.

Чтобы получить чек-лист правовой защиты IT-продукта в Грузии, отправьте запрос на info@interlawfirm.ru

Тамара Беридзе, Юрист, IT и интеллектуальная собственность, info@interlawfirm.ru 5 мая 2026 года