GDPR। क्या रूस में इसे प्रदर्शन करना आवश्यक है?

GDPR क्या है?

25 मई, 2018 को, यूरोपियन यूनियन जनरल डेटा प्रोटेक्शन रेगुलेशन (GDPR; इसके बाद GDPR, रेगुलेशन के रूप में संदर्भित) लागू हुआ। बहुत से लोग मानते हैं कि जीडीपीआर केवल यूरोपीय संगठनों या कंपनियों पर लागू होता है जो यूरोपीय संघ में व्यक्तिगत डेटा (पीडी) की प्रक्रिया करते हैं। लेकिन वास्तव में, नियमन अलौकिक है और यूरोपीय संघ में स्थित संगठनों पर लागू नहीं होता है।

नियम, साथ ही रूसी संघ संख्या 152-Personal "व्यक्तिगत डेटा पर" संघीय कानून, व्यक्तिगत डेटा के स्वचालित प्रसंस्करण के संबंध में व्यक्तियों के संरक्षण के लिए कन्वेंशन में तैयार की गई अवधारणाओं और दृष्टिकोणों का उपयोग करते हैं।
विनियमन में मुख्य जोर उनके व्यक्तिगत डेटा के प्रसंस्करण में व्यक्तियों के अधिकारों और स्वतंत्रता की सुरक्षा पर है।

जीडीपीआर के दायरे में आने वाले रूसी संगठन खुद को "दो आग के बीच" पाते हैं: उन्हें रूसी कानून और नए यूरोपीय विनियमन दोनों का पालन करना आवश्यक है। इस लेख में, हम यह प्रकट करने का प्रयास करेंगे कि रूस में जीडीपीआर आवश्यकताओं का अनुपालन करने की आवश्यकता क्यों है, क्यों, और उनसे नहीं मिलने के क्या परिणाम हो सकते हैं।

GDPR किस पर लागू होता है?

विनियमन के अनुच्छेद 3 के अनुसार, GDPR इस पर लागू होता है:

1. यूरोपीय संघ (ईयू) के क्षेत्र पर ऑपरेटर या प्रोसेसर (जिस व्यक्ति को ऑपरेटर ने पीडी को सौंपा है) की गतिविधियों के दौरान पीडी प्रसंस्करण, भले ही प्रसंस्करण प्रदर्शन किया हो - यूरोपीय संघ के क्षेत्र में या इसके बाहर।

2. प्रसंस्करण के साथ जुड़ा हुआ है, तो यूरोपीय संघ के बाहर स्थित एक ऑपरेटर या प्रोसेसर द्वारा पीडी प्रसंस्करण:

एक। यूरोपीय संघ में स्थित पीडी विषयों के लिए वस्तुओं या सेवाओं (भुगतान या मुफ्त) की पेशकश;

ख। यूरोपीय संघ में पीडी विषयों के कार्यों (व्यवहार, गतिविधि) की निगरानी करना।

3. यूरोपीय संघ के बाहर स्थित एक ऑपरेटर द्वारा पीडी प्रसंस्करण, यदि अंतरराष्ट्रीय सार्वजनिक कानून के अनुसार एक सदस्य राज्य के कानून पर लागू होता है।

यदि ऑपरेटरों के साथ जो स्पष्ट रूप से खंड 1 के अंतर्गत आते हैं (आपको यूरोपीय संघ में रहने की आवश्यकता है) और खंड 3 (यूरोपीय संघ के सदस्य राज्यों के राजनयिक मिशन और वाणिज्य दूतावास) अधिक या कम स्पष्ट हैं, तो खंड 2 बहुत सारे प्रश्न उठाता है, क्योंकि यह रूसी के लिए जीडीपीआर की प्रयोज्यता को निर्धारित करता है। कंपनियों।

इन सवालों के जवाब खोजने के लिए, विनियमन के मुख्य पाठ के अलावा, इस तथ्य पर भी ध्यान देने योग्य है कि जीडीपीआर में एक प्रस्तावना है जो बताती है कि जीडीपीआर में वर्णित मानकों को सेट करते समय विधायक द्वारा क्या निर्देशित किया गया था। विशेष रूप से, प्रस्तावना के अनुच्छेद 23 में, यह कहा गया है कि हम कैसे निर्धारित कर सकते हैं कि ऑपरेटर (या डेटा प्रोसेसर) यूरोपीय संघ में स्थित व्यक्तियों को सामान या सेवाएं प्रदान करता है। ईयू में गतिविधि की दिशा निर्धारित करने के लिए संभव बनाने वाले कारक ईयू सदस्य राज्य की भाषा या मुद्रा में वस्तुओं या सेवाओं की पेशकश और बिक्री में उपयोग, यूरोपीय संघ में स्थित ग्राहकों या उपयोगकर्ताओं का उल्लेख माना जा सकता है। और प्रस्तावना के पैराग्राफ 24 में, यह कहा गया है कि पीडी विषय की क्रियाओं की निगरानी का मतलब इंटरनेट उपयोगकर्ताओं पर नज़र रखना है, जिसमें विशेष रूप से व्यक्तियों की प्रोफाइल के संभावित निर्माण, वरीयताओं के विश्लेषण या भविष्यवाणी, व्यवहार आदि के उद्देश्य से शामिल हैं।

इसके अलावा, GDPR के अनुच्छेद 2 में कहा गया है कि विनियमन उन गतिविधियों पर लागू नहीं होता है जो यूरोपीय संघ के कानून के अधीन नहीं हैं।

ऊपर से, एक रूसी संगठन को GDPR की प्रत्यक्ष प्रयोज्यता के लिए निम्नलिखित मानदंड निर्धारित कर सकते हैं:

1. संगठन यूरोपीय संघ में स्थित है (एक रूसी कंपनी की एक शाखा या प्रतिनिधि कार्यालय है)।
2. संगठन यूरोपीय संघ में स्थित नहीं है, लेकिन यूरोपीय संघ में शारीरिक रूप से गतिविधियों का संचालन करता है, और इस गतिविधि में व्यक्तिगत डेटा (उदाहरण के लिए, रूस से यूरोपीय संघ में व्यक्तियों के लिए माल की डिलीवरी के साथ एक परिवहन कंपनी) का प्रसंस्करण शामिल है।
3. संगठन यूरो (पीएलएन, एसईके, आदि) में भुगतान की संभावना के साथ यूरोपीय संघ को डिलीवरी के साथ सामान प्रदान करता है।
4. संगठन यूरोपीय संघ की आधिकारिक भाषाओं में से एक में व्यक्तियों को सेवाएं प्रदान करता है, उस भाषा में एक वेबसाइट है। सेवाओं के लिए भुगतान करने के लिए, आप यूरोपीय संघ के देशों की मुद्रा का उपयोग कर सकते हैं या भुगतान की आवश्यकता नहीं है।
5. संगठन ईयू से वेबसाइट आगंतुकों के बारे में जानकारी एकत्र करता है और उसका विश्लेषण करता है, और अन्य लोगों को अपने स्वयं के या बेचने (ट्रांसफर) पर विश्लेषण के परिणामों का उपयोग करता है।

2-5 खंडों के अंतर्गत आने वाले संगठनों के लिए, GDPR इस हद तक वैध है कि यूरोपीय संघ में स्थित व्यक्तियों के PD प्रसंस्करण की प्रक्रिया होती है। उदाहरण के लिए, कर्मियों के रिकॉर्ड के हिस्से के रूप में व्यक्तिगत डेटा का प्रसंस्करण, यदि संगठन के सभी कर्मचारी रूस में काम करते हैं, तो जीडीपीआर के विनियमन के तहत नहीं आते हैं, और मापदंड में निर्दिष्ट व्यावसायिक प्रक्रियाएं गिर जाती हैं।
वे संगठन जो ऑपरेटर की ओर से व्यक्तिगत डेटा को संसाधित करते हैं जो कि GDPR विनियमन का विषय है, GDPR के अधीन एक राशि है जो इस बात पर निर्भर करता है कि प्रसंस्करण का कौन सा हिस्सा ओर से स्थानांतरित किया गया है। यदि संगठन प्रसंस्करण प्रक्रियाओं का हिस्सा (उदाहरण के लिए, व्यक्तिगत डेटा एकत्र करना, व्यक्तिगत डेटा का विश्लेषण करना, आदि) करता है, तो यह GDPR के प्रभाव में आता है। यदि संगठन होस्टिंग सेवाएँ (DPC) प्रदान करता है, तो केवल उन GDPR आवश्यकताओं को जो ऑपरेटर इसे प्रस्तुत करेंगे, सीधे उस पर लागू होते हैं।

हम यह भी ध्यान देना चाहते हैं कि निम्नलिखित मामले, जो अक्सर GDPR के बारे में सामग्री में पाए जाते हैं, नियामक के प्रयोज्यता के लिए मानदंड नहीं हैं:

1. पीडी विषयों की नागरिकता GDPR की प्रयोज्यता को प्रभावित नहीं करती है (उदाहरण के लिए, EU के नागरिक कार्यकर्ताओं की उपस्थिति का मतलब यह नहीं है कि संगठन GDPR के अंतर्गत आता है);
2. ईयू में संगठन की वेबसाइट की उपलब्धता का मतलब जीडीपीआर की स्वचालित प्रयोज्यता नहीं है। यदि संगठन प्रोफाइलिंग नहीं करता है, और एकत्रित आँकड़े विशिष्ट उपयोगकर्ताओं से बंधे नहीं हैं, तो इसकी गतिविधि GDPR के अंतर्गत नहीं आनी चाहिए।
3. यदि सेवा यूरोपीय संघ के बाहर प्रदान की जाती है (उदाहरण के लिए, रूस में स्थित एक होटल के कमरे को यूरोपीय संघ से दूरस्थ रूप से बुक किया जा सकता है), संगठन को जीडीपीआर के अधीन नहीं होना चाहिए, क्योंकि इसकी गतिविधियां यूरोपीय संघ में नहीं की जाती हैं और यूरोपीय संघ के कानून के अधीन नहीं हैं।

यदि आपको अभी भी अपने संगठन के विनियमन की प्रयोज्यता के बारे में संदेह है, तो आप NIP Informzashita CJSC से संपर्क कर सकते हैं और हम आपको यह निर्धारित करने में मदद करेंगे कि आपके संगठन की GDPR आवश्यकताओं को कैसे और क्या देखा जाना चाहिए।

रूस में GDPR के अनुपालन की निगरानी और गैर-अनुपालन के परिणाम

प्रत्येक ईयू देश में पीडी विषयों के अधिकारों की रक्षा के लिए, पीडी निकायों के अधिकारों की रक्षा के लिए राज्य निकाय बनाए गए हैं (विनियमन के पाठ में - पर्यवेक्षी प्राधिकरण, सामान्य रूप में ऐसे निकायों को डेटा सुरक्षा प्राधिकरण (डीपीए) कहा जाता है)। अन्य के अलावा, डीपीए अनुच्छेद 58 GDPR के भाग 1 के अनुसार निम्नलिखित शक्तियों से संपन्न है:

• पीडी प्रसंस्करण के संबंध में किसी भी जानकारी का अनुरोध;
• पीडी का सुरक्षा ऑडिट करना;
• ऑपरेटर और प्रोसेसर से प्राप्त करने के लिए सभी पीडी और उनके कार्यों को पूरा करने के लिए आवश्यक सभी जानकारी प्राप्त करने के लिए;
• किसी भी उपकरण और डेटा प्रोसेसिंग सुविधाओं सहित किसी भी ऑपरेटर और प्रोसेसर के परिसर तक पहुँच प्राप्त करें।

विशिष्ट नियंत्रण प्रक्रियाएं यूरोपीय संघ के देशों द्वारा स्वतंत्र रूप से स्थापित की जाती हैं। डीपीए विनियमन के प्रावधानों के उल्लंघन के मामले में, जीडीपीआर के अनुच्छेद 58 के भाग 2 के अनुसार अंतर, वे निम्न हो सकते हैं:

• एक चेतावनी या ऑपरेटर या प्रोसेसर को एक टिप्पणी जारी करें कि पीडी प्रसंस्करण के लिए मौजूदा प्रक्रिया विनियमन के प्रावधानों का उल्लंघन करती है;
• विषय के अनुरोध को पूरा करने की आवश्यकता के बारे में एक आदेश जारी करें, सुरक्षा पीडी के उल्लंघन के बारे में विषय को सूचित करने की आवश्यकता के बारे में;
• यह मांग करने के लिए कि व्यक्तिगत डेटा के प्रसंस्करण को एक निर्दिष्ट अवधि के भीतर विनियमन के अनुरूप लाया जाए;
• प्रसंस्करण पर एक अस्थायी या स्थायी प्रतिबंध लागू करना, प्रसंस्करण पर प्रतिबंध सहित ;
• पीडी को हटाने या स्पष्ट करने का आदेश जारी करना;
• अन्य उपायों के साथ या उनके बजाय एक साथ प्रशासनिक जुर्माना लगाने के लिए;
• एक तीसरे देश या एक अंतरराष्ट्रीय संगठन के लिए पीडी के हस्तांतरण को रोकने की मांग।

विनियमन यूरोपीय संघ के बाहर स्थित संगठनों की आवश्यकता को यूरोपीय संघ में एक प्रतिनिधि नियुक्त करने के लिए स्थापित करता है जिसके माध्यम से डीपीए संगठन के साथ बातचीत करेगा, लेकिन इस बात पर जोर दिया जाता है कि पीडी प्रसंस्करण के लिए जिम्मेदारी प्रतिनिधि नहीं है, बल्कि संगठन है।

GDPR यूरोपीय संघ के बाहर स्थित संगठनों द्वारा विनियमन के अनुपालन की निगरानी के लिए प्रक्रिया का खुलासा नहीं करता है और एक प्रतिनिधि नियुक्त नहीं करता है, साथ ही यूरोपीय संघ के बाहर स्थित संगठन व्यक्तिगत डेटा को संसाधित करने के लिए नियमों के उल्लंघन के लिए कैसे जिम्मेदार होंगे।

हमने EU के बाहर GDPR के अनुपालन की निगरानी पर यूरोपीय संघ के देशों के DPA के साथ साक्षात्कार की एक श्रृंखला आयोजित की। उत्तर अलग थे, लेकिन कुल मिलाकर कोई स्पष्टता नहीं थी। डीपीए के एक प्रतिनिधि ने एक आरक्षण दिया कि ऐसे मामलों को उन देशों के डीपीए के सहयोग से विनियमित किया जाएगा जहां ऑपरेटर या प्रोसेसर स्थित है। वर्तमान भूराजनीतिक स्थिति और GDPR के साथ रूसी संगठनों के अनुपालन की आवश्यकता पर Roskomnadzor A. Zharov के प्रमुख की स्थिति कुछ संदेह पैदा करती है कि EU DPA और Roskomnadzor के बीच इस तरह के सहयोग के प्रयास उत्पादक होंगे।

मैं इस तथ्य की ओर ध्यान आकर्षित करना चाहता हूं कि जीडीपीआर में निर्दिष्ट मल्टीमिलियन-डॉलर का जुर्माना, जो कि ज्यादातर सभी डराते हैं, ऊपरी पट्टी हैं। GDPR का कहना है कि लगाए गए जुर्माना (और अन्य प्रतिबंध) उल्लंघन, प्रभावी और दोहराया उल्लंघन को रोकने के लिए आनुपातिक होना चाहिए। जुर्माना की विशिष्ट राशि व्यक्तिगत रूप से निर्धारित की जाएगी, बड़ी संख्या में कारकों को ध्यान में रखते हुए। एक संगठन पर बहु-मिलियन डॉलर का जुर्माना लगाया जा सकता है अगर यह जानबूझकर और दुर्भावनापूर्ण रूप से विषयों के अधिकारों का उल्लंघन करता है, ध्यान से इसे छिपा रहा है और इस तरह के पीडी प्रसंस्करण से उच्च लाभ प्राप्त कर रहा है।

रूसी संगठनों के लिए GDPR की गैर-पूर्ति का सबसे अधिक संभावना (लेकिन एकमात्र नहीं) और महत्वपूर्ण परिणाम है कि यूरोपीय संघ में प्रतिनिधि कार्यालय या सहायक (साथ ही पीडी प्रसंस्करण के लिए एक नियुक्त प्रतिनिधि) ठीक नहीं है, लेकिन यूरोपीय संघ या व्यक्तिगत राज्यों में संगठन की वेबसाइट को अवरुद्ध करना; यूरोपीय संघ के सदस्य। इस तथ्य के बावजूद कि जीडीपीआर में किसी साइट को अवरुद्ध करने की संभावना स्पष्ट रूप से नहीं बताई गई है, यह पीडी प्रसंस्करण को प्रतिबंधित करने का एक स्वाभाविक तरीका लगता है ताकि बार-बार उल्लंघन को रोका जा सके, खासकर अगर ऑपरेटर को प्रभावित करने के लिए कोई अन्य तरीका नहीं है।

रूसी संगठनों को जीडीपीआर का अनुपालन क्यों करना चाहिए?

GDPR के कार्यान्वयन से यूरोपीय संघ के DPA द्वारा संभावित प्रतिबंधों से बचने के स्पष्ट अवसर के अलावा संगठनों के लिए अन्य फायदे हैं।

सबसे पहले, यह संगठन में सूचना सुरक्षा और डेटा प्रबंधन के समग्र स्तर में वृद्धि है। अक्सर व्यक्तिगत डेटा की सुरक्षा के लिए आवश्यकताओं के अनुपालन को लाने की प्रक्रिया में, पहली बार एक संगठन अपनी मौजूदा व्यावसायिक प्रक्रियाओं का एक रजिस्टर बनाता है, मौजूदा डेटा प्रवाह को समझता है, एक नेटवर्क आरेख बनाता है, जो मौजूदा सूचना सुरक्षा प्रणाली का वर्णन करता है। ये क्रियाएं न केवल पीडी, बल्कि अन्य प्रकार की गोपनीय सूचनाओं की सुरक्षा के साथ-साथ व्यावसायिक प्रक्रियाओं के अनुकूलन की नींव बन जाती हैं।

यदि संगठन GDPR के अधीन प्रतिपक्ष द्वारा हस्तांतरित व्यक्तिगत डेटा को संसाधित करता है, तो प्रतिपक्ष व्यक्तिगत डेटा प्रोसेसर के लिए GDPR आवश्यकताओं के अनुपालन से इसकी मांग करेगा। जीडीपीआर का अनुपालन सेवा प्रदाता को यूरोपीय संघ में सेवाओं के प्रावधान के लिए सुलभ बाजार का विस्तार करने की अनुमति देगा, साथ ही उन रूसी संगठनों को भी सेवाएं प्रदान करेगा जो जीडीपीआर की आवश्यकताओं के तहत आते हैं।

GDPR के साथ अनिवार्य अनुपालन की आवश्यकता मूल कंपनी से आ सकती है जब GDPR उन कंपनियों के समूह के संगठनों पर लागू होता है जिनके साथ रूसी संगठन व्यक्तिगत डेटा का आदान-प्रदान करता है। लेकिन इस मामले में, सबसे पहले, यह स्पष्ट करना उचित है कि क्या यूरोपीय संघ में स्थित व्यक्तियों के व्यक्तिगत डेटा को वास्तव में संसाधित किया जाता है, और दूसरी बात, यदि उन्हें संसाधित किया जाता है, तो उन प्रक्रियाओं के विनियमन की आवश्यकताओं को विस्तारित करने के लिए जिनमें इस तरह के व्यक्तिगत डेटा को संसाधित किया जाता है, और पूरी तरह से नहीं। संगठन।

जीडीपीआर पीडी विषयों के कई अधिकारों का सम्मान करने और विषयों के लिए पीडी प्रसंस्करण की पारदर्शिता सुनिश्चित करने की आवश्यकता को स्थापित करता है। संघीय कानून "व्यक्तिगत डेटा पर" की तुलना में, GDPR अधिक विस्तार से बताता है कि पीडी के विषयों को अपने पीडी के प्रसंस्करण के बारे में कैसे सूचित किया जाए, साथ ही वे इस प्रसंस्करण के संबंध में अपने अधिकारों का उपयोग कैसे कर सकते हैं। व्यक्तिगत डेटा के प्रसंस्करण की नीति में व्यक्तिगत डेटा के प्रसंस्करण के साथ-साथ व्यक्तिगत डेटा के प्रसंस्करण पर जानकारी के संग्रह में इन मुद्दों का प्रतिबिंब, संगठन की पारदर्शिता को बढ़ा सकता है और व्यक्तिगत डेटा के सभी विषयों के हिस्से पर अधिक विश्वास प्रदान कर सकता है।

सारांश

यदि आपका संगठन रूस में स्थित है, तो इसका मतलब यह नहीं है कि GDPR उस पर लागू नहीं है। आप उपरोक्त मानदंडों का उपयोग करके अपने संगठन को नियमों की आवश्यकताओं की प्रयोज्यता की जांच कर सकते हैं।

विनियमन अभी लागू हुआ है, और सिमेंटेक के अनुसार, यूरोपीय संघ के 80% संगठन जीडीपीआर आवश्यकताओं को पूरा नहीं करते हैं। जीडीपीआर उल्लंघन के संबंध में यूरोपीय संघ के संगठन को यूरोपीय संघ द्वारा कैसे मंजूरी दी जा सकती है, फिर भी स्पष्ट नहीं है, लेकिन फिर भी, विनियमन को गंभीरता से लिया जाना चाहिए।

अंत में, हम यह नोट करना चाहते हैं कि पीडी प्रसंस्करण पर रूसी कानून में यूरोपीय कानून के साथ निकटता के लिए निकट भविष्य में एक उच्च संभावना के साथ, जीडीपीआर आवश्यकताओं के समान शब्दांकन दिखाई देगा।

Alisa Gorinova, वरिष्ठ सलाहकार, परामर्श और लेखा परीक्षा विभाग, Informzaschita द्वारा पोस्ट किया गया। यदि आपके पास अभी भी प्रश्न हैं, तो हम आपके साथ बात करने के लिए तैयार हैं। हम a.gorinova@infosec.ru पर आपके पत्रों की प्रतीक्षा कर रहे हैं।