जीडीपीआर के बारे में 5 गलत धारणाएं

1. जीडीपीआर को अपनाने का मुख्य लक्ष्य व्यवसाय के लिए जीवन को कठिन बनाना है

वास्तव में, GDPR का मुख्य लक्ष्य उपयोगकर्ताओं को यह नियंत्रित करने में सक्षम बनाता है कि वे अपने व्यक्तिगत डेटा का उपयोग किस प्रकार और कैसे कर सकते हैं और आसानी से और किसी भी समय विपणन उद्देश्यों के लिए व्यक्तिगत डेटा का उपयोग करने के लिए शर्तों के उपयोग या परिवर्तन को प्रतिबंधित कर सकते हैं।

विपणन में सुधार करने और इसे व्यक्तिगत बनाने के लिए कंपनियों द्वारा व्यक्तिगत डेटा एकत्र किया जाता है - प्रत्येक विशिष्ट उपयोगकर्ता के उद्देश्य से, उसकी प्राथमिकताओं और रुचियों को ध्यान में रखते हुए, जो कि इंटरनेट पर उपयोगकर्ता के व्यवहार के आधार पर एकत्र किए जाते हैं: साइटों पर विज़िट, पसंद की पसंद, पृष्ठ पर माउस की आवाजाही। इंटरनेट पर, आप सक्रिय औसत उपयोगकर्ता के बारे में ऐसे डेटा एकत्र कर सकते हैं जैसे: लिंग, आयु, वैवाहिक स्थिति, पेशा, रुचियां, उपभोक्ता आदतें। यदि हम इसमें जियोलोकेशन मॉनिटरिंग जोड़ते हैं, तो प्रत्येक व्यक्ति के बारे में जानकारी जो कुछ कंपनियों के हाथों में है, भयावह हो जाती है, खासकर जब इस डेटा के रिसाव के बारे में सोचते हैं। उपयोगकर्ता व्यवहार और निर्णयों के संभावित हेरफेर के बारे में सोचते समय यह और भी बुरा हो जाता है - कैम्ब्रिज एनालिटिका की गतिविधियों से संबंधित समाचार का एक उदाहरण।

कुछ प्रकाशन एक कार्यक्रम का एक उदाहरण प्रदान करते हैं, जो केवल 10 पसंदों के विश्लेषण के आधार पर आपको किसी व्यक्ति को उसके सहयोगियों से बेहतर जानने की अनुमति देता है। 70 पसंद से, कार्यक्रम किसी व्यक्ति के बारे में सीखता है जितना कि उसका करीबी दोस्त, 150 पसंद से - जैसे माता-पिता, भाई या बहन, और 300 या अधिक पसंद - अपने पति से बेहतर जानता है।

उपयोगकर्ता के दृष्टिकोण से इसके बारे में सोचकर, आप GDPR को अपनाने में बिना शर्त लाभ देख सकते हैं। इसका मुख्य लक्ष्य व्यावसायिक उद्देश्यों के लिए व्यक्तिगत डेटा के अनियंत्रित उपयोग को सीमित करना है, जब इस तरह के डेटा के विषय का कोई पता नहीं है कि कौन किस उद्देश्य से और कैसे विभिन्न स्रोतों से इंटरनेट पर उसके बारे में एकत्रित जानकारी का उपयोग करता है।

2. जीडीपीआर रूसी कंपनियों पर लागू होता है जो यूरोपीय संघ के सदस्य राज्य के कम से कम एक नागरिक के व्यक्तिगत डेटा को संसाधित करते हैं

यह भी एक पतन है। GDPR यूरोपीय संघ के नागरिकों के व्यक्तिगत डेटा के साथ काम को नियंत्रित करता है, लेकिन यूरोपीय संघ में स्थित सभी व्यक्तियों के

" यह विनियमन उन डेटा विषयों के व्यक्तिगत डेटा के प्रसंस्करण पर लागू होता है जो संघ में हैं ... "।

जीडीपीआर, कला। ३ (२) ।
यूरोपीय आयोग के प्रतिनिधि के अनुसार (जो जून 2018 [1] में अनौपचारिक रूप से अंतर्राष्ट्रीय सम्मेलन में कुछ प्रश्न पूछते हैं) के अनुसार, जीडीपीआर उन व्यक्तियों के व्यक्तिगत डेटा के प्रसंस्करण पर लागू नहीं होता है जो यूरोपीय संघ से बाहर हैं, भले ही वे अस्थायी रूप से छोड़ दिए गए हों। इसी समय, यूरोप में यात्रा करने वाले रूसी नागरिकों के व्यक्तिगत डेटा का प्रसंस्करण जीडीपीआर के अधीन है।

फिर, यूरोपीय आयोग के प्रतिनिधि के अनौपचारिक स्पष्टीकरण के संदर्भ में, नियामक का ध्यान आकर्षित करने के लिए, मुख्य रूप से यूरोपीय उपयोगकर्ताओं के डेटा की एक बड़ी मात्रा को संसाधित करना आवश्यक है। यदि एक रूसी कंपनी का लक्ष्य यूरोपीय लोगों से डेटा एकत्र करना या संसाधित करना नहीं है, और जिनके डेटा की प्रक्रिया यह कभी-कभी यूरोप में समाप्त होती है, तो नियामक को जीडीपीआर के अनुपालन के मामले में ऐसी कंपनी की गतिविधियों में रुचि होने की संभावना नहीं है।

एक विपरीत राय है कि अगर यूरोपीय संघ के बाहर सेवाएं प्रदान की जाती हैं (उदाहरण के लिए, रूस में स्थित एक होटल के कमरे को यूरोपीय संघ से दूर से बुक किया जा सकता है), संगठन को जीडीपीआर के अधीन नहीं होना चाहिए, क्योंकि इसकी गतिविधियां यूरोपीय संघ में बाहर नहीं की जाती हैं और नहीं होती हैं। यूरोपीय संघ के कानून के अधीन। यह राय जीडीपीआर के प्रावधानों का पूरी तरह से अनुपालन नहीं करती है: यदि ऐसी कंपनी मुख्य रूप से यूरोप में रहने वाले व्यक्तियों के डेटा का उपयोग करती है, तो जीडीपीआर उस पर लागू होता है। यदि आप एक होटल का उदाहरण लेते हैं, तो होटल में ठहरने के समय, यूरोपीय वास्तव में यूरोप में नहीं है। लेकिन अगर उनकी वापसी के बाद होटल अपने डेटा को संसाधित करना जारी रखता है और उदाहरण के लिए, उसे विपणन सामग्री भेजें, तो यह पता चलता है कि वह यूरोप में रहने वाले व्यक्ति के डेटा के साथ काम करता है। ठीक है, यदि डेटा का उपयोग विपणन उद्देश्यों के लिए नहीं किया जाता है, लेकिन केवल आरक्षण और निवास के पंजीकरण के लिए एकत्र किया जाता है, तो यह कोई समस्या नहीं है: जीडीपीआर अनुबंध के निष्पादन के लिए डेटा के संग्रह और प्रसंस्करण की अनुमति देता है, और इस मामले में व्यक्तिगत डेटा के विषय पर सहमति आवश्यक नहीं है।

3. अपने डेटा का उपयोग करने के लिए उपयोगकर्ताओं की सहमति हमेशा आवश्यक होती है

वास्तव में ऐसा नहीं है। एक गैर-यूरोपीय कंपनी के मामले में, GDPR केवल विपणन उद्देश्यों (माल या सेवाओं की पेशकश) और यूरोप में उपयोगकर्ता के व्यवहार की निगरानी के लिए व्यक्तिगत डेटा का उपयोग करते समय लागू किया जाता है। यदि इन उद्देश्यों के लिए डेटा का उपयोग नहीं किया जाता है, तो GDPR के प्रावधान लागू नहीं होंगे।

यह विनियमन उन डेटा विषयों के व्यक्तिगत डेटा के प्रसंस्करण पर लागू होता है जो संघ में स्थापित नियंत्रक या प्रोसेसर द्वारा नहीं होते हैं , जहां प्रसंस्करण गतिविधियाँ संबंधित हैं:
(ए) माल या सेवाओं की पेशकश , चाहे वह डेटा विषय का भुगतान आवश्यक हो, संघ में ऐसे डेटा विषयों के लिए; या
(b) उनके व्यवहार की निगरानी जहाँ तक उनका व्यवहार संघ के भीतर होता है।

जीडीपीआर, कला। ३ (२) ।
जब अनुबंध निष्पादन के उद्देश्य से डेटा प्राप्त किया जाता है, तो सहमति की आवश्यकता नहीं होती है। ऐसे अन्य मामले भी हैं जहां व्यक्तिगत डेटा के उपयोग के लिए सहमति की आवश्यकता नहीं होती है । लेकिन अगर अनुबंध के निष्पादन के बाद डेटा कंपनी के पास रहता है और इसके द्वारा संग्रहीत किया जाता है (उदाहरण के लिए, CRM में), तो इस मामले में उपयोगकर्ता की सहमति की आवश्यकता होगी।

4. जीडीपीआर के उल्लंघन पर तुरंत जुर्माना लगाया जाएगा, जुर्माना बहुत अधिक होगा

अभी किसी पर जुर्माना नहीं लगाया जाएगा। विभिन्न देशों में नियामक नए नियमों के साथ काम करना शुरू कर रहे हैं और एक दूसरे पर नजर रखने के साथ प्रथाओं के निर्माण से सावधान रहेंगे। वे तुरंत जुर्माना लगाने की जल्दी में होने की संभावना नहीं रखते हैं, बल्कि, पहले चेतावनी और निर्देश होंगे। जीडीपीआर में इंगित जुर्माना ऊपरी सीमा है, उल्लंघन के मामले में, जुर्माना हमेशा लागू नहीं हो सकता है और छोटा हो सकता है। इस तथ्य के आधार पर जुर्माना की सबसे अधिक संभावना होगी कि उन्हें आनुपातिक और प्रभावी होना चाहिए, और मुख्य लक्ष्य व्यवसाय का गला घोंटना नहीं है, बल्कि इसे सही रास्ते पर निर्देशित करना है।

इसके अलावा, एक न्यायिक अभ्यास (लक्समबर्ग कोर्ट ऑफ जस्टिस सहित) समानांतर में गठित किया जाएगा, जिसकी उपस्थिति भी बड़े निरीक्षण और प्रतिबंधों की शुरुआत से पहले नियामकों द्वारा प्रतीक्षा की जाएगी।

सम्मेलन में यूरोपीय आयोग के एक प्रतिनिधि के साथ एक अनौपचारिक बातचीत के दौरान, इस विचार को आवाज दी गई कि कुछ दिग्गजों पर कई शो परीक्षणों का संचालन करना संभव होगा, ताकि व्यवहार में यह स्पष्ट हो जाए कि कौन सा व्यवहार अस्वीकार्य है और इससे क्या हो सकता है।

जीडीपीआर के उल्लंघन के लिए जुर्माना लगाने के मुद्दे पर, निम्नलिखित पद सबसे सही हैं:

"सामान्य तौर पर, कानून में बड़ी मात्रा में जुर्माना एक बैराज उपाय के रूप में महसूस करना आवश्यक है, और यूरोपीय संघ के देशों के स्थानीय बजट को फिर से भरने का एक नया तरीका नहीं है"

“बड़ी संख्या में कारकों को ध्यान में रखते हुए, जुर्माना की विशिष्ट राशि व्यक्तिगत रूप से निर्धारित की जाएगी। एक संगठन पर बहु-डॉलर का जुर्माना लगाया जा सकता है अगर यह जानबूझकर और दुर्भावनापूर्ण रूप से विषयों के अधिकारों का उल्लंघन करता है, ध्यान से इसे छिपा रहा है और इस तरह के पीडी प्रसंस्करण से उच्च लाभ प्राप्त कर रहा है ”

इस तथ्य के बारे में रूसी कंपनियों की चिंताओं के लिए कि उन्हें जीडीपीआर के अनुपालन न करने के लिए जुर्माना लगाया जा सकता है, इन चिंताओं को सबसे अधिक महसूस किया जाता है। नियामक के लिए उन कंपनियों को पकड़ना आसान नहीं होगा जिनके पास यूरोप में प्रतिनिधि कार्यालय नहीं है। एक ऐसे राज्य के क्षेत्र पर लगाए गए प्रतिबंधों को लागू करना और भी मुश्किल होगा जो यूरोपीय संघ का हिस्सा नहीं है। इसलिए, GDPR के संबंध में भविष्यवाणी की जाने वाली मुख्य विनियमन उद्योग में स्व-विनियमन के माध्यम से होगी: यूरोपीय व्यवसाय धीरे-धीरे उन कंपनियों के साथ काम करने से इनकार कर देगा जो GDPR आवश्यकताओं का अनुपालन नहीं करते हैं। तदनुसार, जीडीपीआर के अनुपालन न करने का मुख्य नकारात्मक परिणाम जुर्माना नहीं है, लेकिन यूरोपीय बाजार में प्रतिस्पर्धा का नुकसान है।

5. व्यक्तिगत डेटा को उपयुक्त पर्यवेक्षण और अनुमति के बिना अन्य देशों में स्थानांतरित नहीं किया जा सकता है।

यदि डेटा स्थानांतरित करने वाली कंपनी के साथ कोई अनुबंध है, और यदि इस तरह के समझौते के लिए कुछ गारंटी प्रदान की जाती है, तो डेटा स्थानांतरित किया जा सकता है। इसके अलावा, यूरोप कन्वेंशन 108 (जिसमें रूस एक पार्टी है) की परिषद है , यह निम्नलिखित संकेत देता है:

"एक पार्टी गोपनीयता की रक्षा के एकमात्र उद्देश्य के लिए किसी अन्य पार्टी के क्षेत्र में जाने वाले व्यक्तिगत डेटा के विशेष अनुमति सीमा-पार प्रवाह द्वारा निषेध या सशर्त नहीं करेगी"

कन्वेंशन 108 के प्रावधान कैसे संबंधित हैं और डेटा ट्रांसमिशन पर जीडीपीआर प्रतिबंध के बारे में कोई सटीक जवाब नहीं है, उनके बीच विरोधाभास हो सकता है। लेकिन किसी भी स्थिति में, डेटा को एक समझौते की उपस्थिति में, साथ ही जीडीपीआर में निर्दिष्ट कुछ अन्य मामलों में स्थानांतरित किया जा सकता है।

[१] यूरोपीय आयोग में महानिदेशक के भविष्य नियंत्रक निदेशालय के कार्यवाहक निदेशक, पीयर्स ओ'डोन्यू।