छूटी हुई समय सीमा, या क्यों आधे से अधिक कंपनियां जीडीपीआर के लिए तैयार नहीं थीं

हाल के दिनों में, विभिन्न कंपनियों, एप्लिकेशन, सेवाओं और साइटों के पत्र जिनका आपने कभी उपयोग किया है या जहां आपने खाते खोले हैं, वे नियमित रूप से मेल में आते हैं। पत्र उसी के बारे में हैं - वे गोपनीयता नीति में बदलाव की रिपोर्ट करते हैं और बताते हैं कि कंपनी व्यक्तिगत डेटा कैसे संसाधित करती है।

हमने पहले ही लिखा है कि बड़ी आईटी कंपनियों: व्हाट्सएप, फेसबुक, इंस्टाग्राम और ट्विटर की डाटा प्रोसेसिंग नीतियों में वास्तव में क्या बदलाव हो रहा है। अब हम समझते हैं कि क्यों कई सेवाओं के दर्जनों पत्र औपचारिक GDPR की समय सीमा के बाद ही आने लगे, क्यों न सभी कंपनियां समय पर ढंग से बदलाव के लिए तैयार हो पाईं और उन्हें किन समस्याओं का सामना करना पड़ा।


/ फोटो डेनिस वैन डेर हाइजेन सीसी बाय

क्या चल रहा है

25 मई को GDPR - जनरल डेटा प्रोटेक्शन रेगुलेशन - लागू हुआ। यह यूरोपीय संघ के देशों के निवासियों के व्यक्तिगत डेटा की सुरक्षा को नियंत्रित करता है और 1995 से एक निर्देश, डेटा सुरक्षा निर्देश की जगह लेता है।

जीडीपीआर सभी को प्रभावित करता है, क्योंकि यह न केवल यूरोपीय संघ में पंजीकृत कंपनियों पर लागू होता है, बल्कि उन सभी के लिए भी है जो यूरोपीय संघ के नागरिकों के पीडी को स्टोर, प्रोसेस और उपयोग करते हैं।

कंपनियों ने पहले से ही तैयार करना शुरू कर दिया था, जिनके व्यापार मॉडल पीडी के साथ काम करने पर अत्यधिक निर्भर हैं - उदाहरण के लिए, जीडीपीआर की शुरुआत से पहले ही फेसबुक ने कहा कि नए विनियमन के अनुपालन के लिए क्या किया जाएगा: सभी उपयोगकर्ताओं से उनकी गोपनीयता सेटिंग्स की समीक्षा करने के लिए कहा जाएगा। वे स्वयं के लिए भी चयन करने में सक्षम होंगे कि क्या वे लक्षित विज्ञापन के उद्देश्यों के लिए अपनी जानकारी साझा करने के लिए तैयार हैं, और यदि ऐसा है, तो कौन सा। इसके अलावा, सामाजिक नेटवर्क ने चेहरे की पहचान को वापस करने की योजना बनाई , जिसे अदालत के फैसले से अक्षम किया गया था कि सामाजिक नेटवर्क का यह टूलकिट व्यक्तिगत डेटा कानूनों का उल्लंघन करता है।

लेकिन सभी कंपनियों ने एक ही बढ़े हुए ध्यान के साथ नए विनियमन पर प्रतिक्रिया नहीं की। अप्रैल में, पॉम्मन इंस्टीट्यूट ने हजारों कंपनियों के बीच एक सर्वेक्षण किया, जिनमें से आधे ने स्वीकार किया कि वे समय सीमा के लिए तैयार नहीं होंगे। आईटी कंपनियों में, उनमें से 60% थे।

नतीजतन, कई वास्तव में समय पर नियमन की आवश्यकताओं को पूरा नहीं कर सके - हालांकि समय सीमा लंबे समय से ज्ञात थी (जीडीपीआर का अंतिम संस्करण 2 साल पहले प्रकाशित हुआ था)। यूरोपीय कंपनी TrustArc द्वारा अलग-अलग देशों और उद्योगों के दो सौ व्यवसायों के बीच एक साल पहले किए गए सर्वेक्षण के अनुसार, 61% कंपनियों ने जीडीपीआर की तैयारी शुरू भी नहीं की ।

बराबरी करना इतना मुश्किल क्यों है

कई कंपनियों के पास समय सीमा के लिए समय नहीं था, केवल इसलिए नहीं कि उन्होंने सब कुछ अंतिम करने का फैसला किया। कई अपेक्षाकृत उद्देश्य कारण हैं।

कानून बहुत जटिल है

और कभी-कभी यह व्यक्तिगत डेटा के प्रसंस्करण से संबंधित स्थानीय कानूनी कृत्यों के साथ प्रतिच्छेद करता है। वकीलों का कहना है कि नियामक की आवश्यकताओं को समझना वास्तव में कठिन है - और इससे भी अधिक आपके व्यवसाय के पुनर्निर्माण के लिए ताकि यह उनसे मेल खाता हो।

उदाहरण के लिए, कानून के लिए महत्वपूर्ण बिंदुओं में कुछ योगों ने गर्म बहस का कारण बना: साधारण व्यक्तिगत डेटा के उपयोग के लिए सहमति "असंदिग्ध" (अर्थात, स्पष्ट, समझ में नहीं आने वाली) होनी चाहिए, और "संवेदनशील" व्यक्तिगत डेटा के उपयोग के लिए सहमति "स्पष्ट" होनी चाहिए (स्पष्ट रूप से इंगित) संपूर्ण)।

लेकिन क्या इन दो परिभाषाओं के बीच अंतर है, और परिणामस्वरूप, दो "सहमति", और यदि हां, तो अभ्यास के लिए आवेदन में क्या और क्या व्यक्त किया जाना चाहिए? सवाल बिल्कुल निष्क्रिय नहीं है - यह सही (कानूनी दृष्टिकोण से) उदाहरण पर निर्भर करता है, उदाहरण के लिए, यह कैसे संभव है और पीडी के प्रसंस्करण के लिए उपयोगकर्ता की सहमति को चिह्नित करने वाले इंटरफेस में चेकबॉक्स के लिए साइन अप करना असंभव है।


/ छवि Giulia Forsythe पीडी

इसके अलावा, कानून स्थानीय बारीकियों को ध्यान में नहीं रखता है: उदाहरण के लिए, विभिन्न देशों में व्यक्तिगत डेटा के लिए अलग-अलग दृष्टिकोण हैं। यह आंशिक रूप से क्यों कानून के कई हिस्सों को जानबूझकर सुव्यवस्थित किया जाता है - जो इसकी विभिन्न व्याख्याओं के लिए जगह बनाता है।

और जीडीपीआर विरोधाभास के कुछ बिंदु, उदाहरण के लिए, रूसी नंबर 152-एफजेड "ऑन पर्सनल डेटा", जो रूसी कंपनियों के लिए भी मुश्किलें पैदा करता है जो किसी तरह यूरोपीय नागरिकों के पीडी को इकट्ठा और उपयोग करते हैं।

प्रक्रिया ओवरहाल

और न केवल प्रौद्योगिकी के दृष्टिकोण से, बल्कि व्यापार के दृष्टिकोण से भी। कुछ कंपनियों को डर है कि अगर वे उपयोगकर्ताओं को वास्तव में बताते हैं कि वे अपने व्यक्तिगत डेटा का उपयोग कैसे करते हैं, तो लोग उन्हें कभी नहीं देंगे।

इसलिए, उपयोगकर्ता की अनुमति प्राप्त करने के लिए फेसबुक ने जिस दृष्टिकोण की शुरुआत की, उसकी अंततः आलोचना की गई : पूरे उपयोगकर्ता का मार्ग उसे नए नियमों से जल्दी सहमत होने और सेवा के साथ अपनी जानकारी साझा करने के लिए प्रेरित करता है।

"सहमत और जारी रखें" बटन सबसे सुंदर और ध्यान देने योग्य है, और यहां विपरीत समाधान पहले से ही मुश्किल दिखता है: "डेटा सेटिंग्स प्रबंधित करें"। यदि आप इस पर क्लिक करते हैं, तो फेसबुक पहले उपयोगकर्ता को यह समझाने के लिए प्रयास करेगा कि वह सब कुछ छोड़ दे। इसके अलावा, फेसबुक उपयोगकर्ता को अपने पेज पर कुछ व्यक्तिगत जानकारी साझा करने के अवसर से वंचित करता है, लेकिन साथ ही सामाजिक नेटवर्क को विज्ञापन उद्देश्यों के लिए इस जानकारी का उपयोग करने की अनुमति नहीं देता है।

इसके अलावा, छोटे और मध्यम आकार के व्यवसायों में अक्सर कानून की आवश्यकताओं को समझने और सभी आवश्यक तैयारी करने के लिए तकनीकी और मानव संसाधन नहीं होते हैं - इसलिए, उनके लिए, GDPR की आवश्यकताओं के अनुसार सभी प्रणालियों को लाने की प्रक्रिया बहुत महंगी हो जाती है।

कानून अब नई तकनीकों को ध्यान में नहीं रखता है

विनियमन को कई वर्षों के लिए विकसित और अपनाया गया था, इसलिए तकनीक की वर्तमान स्थिति के बारे में कई विचार पहले से ही पुराने हैं: उदाहरण के लिए, यह स्पष्ट नहीं है कि बिग डेटा और मशीन सीखने के साथ क्या करना है।

इसलिए, जीडीपीआर को मशीन लर्निंग एल्गोरिदम से पारदर्शिता की आवश्यकता होती है - डेवलपर्स को यह समझाने में सक्षम होना चाहिए कि एल्गोरिथ्म ने यह या उस निर्णय को क्यों किया। दूसरे शब्दों में, कानून यह बताता है कि उपयोगकर्ता किसी भी समय अपनी निजी जानकारी का उपयोग करने के लिए तंत्र का एक विस्तृत विवरण प्राप्त कर सकता है ताकि वह सूचित निर्णय ले सके - चाहे उसे सहमत होना है या नहीं।

मशीन लर्निंग एल्गोरिदम के मामले में, यह करना इतना आसान नहीं है - एआई सिस्टम इस विशेष निर्णय को उसी क्षण क्यों बनाते हैं, यहां तक ​​कि इसके इंजीनियर भी कभी-कभी समझा नहीं सकते हैं। यह GDPR द्वारा विनियमित नहीं है। और ऐसी चीजें अधिक से अधिक हो जाएंगी - कानून को लगातार अद्यतन करना होगा, लेकिन वास्तव में कानून हमेशा प्रौद्योगिकी के विकास में पिछड़ जाएगा।

सबसे मुश्किल काम यह था कि स्मार्ट असिस्टेंट विकसित करने वाली कंपनियां हैं - गूगल असिस्टेंट, एलेक्सा, सिरी।

ये सेवाएं हमेशा (पृष्ठभूमि में रहने वाली) उनके आस-पास होने वाली हर चीज़ को सुनती हैं - ताकि सही समय पर "जाग" और एक कोड वर्ड का उपयोग करके एक कमांड निष्पादित हो सके। तकनीक अभी भी अपूर्ण है - उदाहरण के लिए, बहुत पहले नहीं, अमेज़ॅन ने एक अप्रत्याशित समस्या का सामना किया: एलेक्सा समय-समय पर हंसने लगी, क्योंकि वह अपने आस-पास के भाषण में "एलेक्स, हंसी" वाक्यांश को समझ सकती थी।

यह हास्यास्पद लगता है, लेकिन जीडीपीआर के ढांचे के भीतर, यह स्थिति एक ग्रे ज़ोन है, जो अभी भी स्पष्ट नहीं है कि कैसे नियंत्रित किया जाए। औपचारिक रूप से, स्मार्ट सहायक ध्वनि को रिकॉर्ड नहीं करते हैं और इसे कहीं भी प्रसारित नहीं करते हैं - लेकिन उसी एलेक्सा के साथ हाल ही में एक मामला, जो एक तकनीकी बग के कारण, घर के निवासियों की एक व्यक्तिगत बातचीत की ऑडियो रिकॉर्डिंग को फोन बुक में संपर्कों में से एक में प्रसारित करता है, दिखाता है कि परिस्थितियां अलग हो सकती हैं।

ऐसे मामलों में, सब कुछ इस बात पर निर्भर करेगा कि उपयोगकर्ताओं को परिणाम के रूप में भुगतना पड़ा या नहीं: उदाहरण के लिए, यदि सूचना का उपयोग नहीं किया गया था और सेवा ने तुरंत "प्रतिक्रिया" दी और इसे हटा दिया। एलेक्सा डेवलपर्स ने खुद आवाज पहचान एल्गोरिदम में सुधार करने का वादा किया है ताकि इस तरह की अप्रत्याशित घटना फिर से न हो।


/ फोटो ओलिवर हेन्ज सीसी BY-ND

जीडीपीआर अनुपालन के संदर्भ में ऐसी सेवाओं के संचालन को कैसे विनियमित किया जाएगा यह अभी तक स्पष्ट नहीं है। विशेषज्ञ और पत्रकार सहमत हैं: ऐसी सेवाओं को संभवतः उपयोगकर्ताओं से सहमति प्राप्त करनी होगी जो स्मार्ट सहायक हमेशा सुनता है, हमेशा रिकॉर्ड करता है और संभवतः , तीसरे पक्ष को जानकारी स्थानांतरित करता है।

क्या होगा

उन कंपनियों का क्या इंतजार है जिनके पास व्यापार प्रक्रियाओं को कानून के अनुरूप लाने का समय नहीं है या इसका उल्लंघन किया है? कुछ का मानना ​​है कि 25 मई एक "नरम शुरुआत" थी, और नियामक उन कंपनियों का पीछा नहीं करेगा जो समय सीमा का प्रबंधन नहीं करते थे (विशेषकर यदि उनके पास इसके लिए उद्देश्य कारण हैं)। यद्यपि नियमों के अनुपालन न करने का दंड पहले ही संकेत दिया जा चुका है, और यह बहुत महत्वपूर्ण है - कंपनी के वार्षिक राजस्व का 4% तक।

हालांकि, एक कठिनाई है - सभी नियंत्रण अब पूरी तरह से नियामक के साथ नहीं रहते हैं। उपयोगकर्ताओं के पास स्वयं भी शक्ति है: उदाहरण के लिए, उन्हें अपने सभी पीडी को प्राप्त करने, संशोधित करने या हटाने के लिए सेवा की आवश्यकता हो सकती है। यदि ये प्रक्रियाएं स्थापित नहीं हैं और सेवा तकनीकी रूप से उपयोगकर्ता की आवश्यकताओं को पूरा करने में असमर्थ है, तो मुकदमेबाजी का खतरा है, जिसे उपयोगकर्ता अच्छी तरह से जीत सकता है।

कई विशेषज्ञ अभी भी मानते हैं कि बाजार जीडीपीआर आवश्यकताओं का पूरी तरह से पालन करने में सक्षम नहीं होगा। कम से कम क्योंकि क्षेत्र अत्यधिक अस्पष्ट है - कानून, हालांकि अपने इरादों में सही है, कई महत्वपूर्ण मामलों और व्यक्तिगत डेटा के उपयोग और ठहराव के तरीकों को प्रभावित नहीं करता है। यदि इस तरह के अध्ययन (विस्तृत और विस्तृत) फिर भी दिखाई देते हैं, तो वे कानून को अंतिम रूप देने के लिए एक अच्छा आधार बन जाएंगे।

हालांकि, GPDR का आगमन प्राथमिकता शिफ्टिंग का एक महत्वपूर्ण संकेतक है। यदि पहले व्यक्तिगत डेटा प्रबंधन लगभग किसी भी व्यवसाय का "छाया घटक" था, और कंपनियां इसे वैसे ही प्रबंधित कर सकती थीं जैसा कि वे चाहते थे, तो अब उपयोगकर्ताओं को वेब पर अपने स्वयं के डेटा को नियंत्रित करने के लिए कम से कम कुछ उपकरण मिल गए हैं।

पुनश्च हम पहले कॉर्पोरेट IaaS ब्लॉग के बारे में और क्या लिख ​​रहे हैं:

• क्या रूसी नियामक के दृष्टिकोण से व्यक्तिगत डेटा से संबंधित है
• क्लाउड में व्यक्तिगत डेटा: प्रसंस्करण सिद्धांत
• व्यक्तिगत डेटा संरक्षण: एक यूरोपीय दृष्टिकोण

PPS Habré पर हमारे ब्लॉग के एक विषय पर कुछ सामग्री:

• पीडी के साथ काम करने के सिद्धांतों को सामाजिक नेटवर्क कैसे बदल रहे हैं
• पीडी संरक्षण पर नया यूरोपीय संघ का विनियमन बल में प्रवेश करता है
• "गुमनामी का अधिकार" बहस: क्या खोज इंजन को पत्रकारिता माना जाना चाहिए?
• CLOUD AST: न्यू यूएस बिल पर्सनल डेटा एब्रोड में प्रवेश करता है