रूसी संघ में पीडी को कैसे संभालना है और कानून नहीं तोड़ना है

हमारे ब्लॉग में, हम अक्सर व्यक्तिगत डेटा के साथ काम करने से संबंधित मुद्दों पर संपर्क करते हैं। हमने यूरोपीय जीडीपीआर विनियमन के बल में प्रवेश से जुड़े परिवर्तनों के बारे में बात की, इस बात की जांच की कि कई कंपनियां इसके लिए तैयार नहीं थीं , और नए कानून से जुड़े सोशल मीडिया नवाचारों के बारे में भी बात की।

आज के लेख में, हमने रूस में प्रसंस्करण उपयोगकर्ताओं के पीडी की पेचीदगियों पर ध्यान देने का फैसला किया।


/ फोटो AJEL पीडी

क्या रूस में पीडी माना जाता है

रूसी संघ में, उपयोगकर्ताओं के व्यक्तिगत डेटा के साथ काम कानून नंबर 152-एफजेड "ऑन पर्सनल डेटा" द्वारा विनियमित है। अनुच्छेद 3 के अनुसार, एक पीडी को प्रत्यक्ष या अप्रत्यक्ष रूप से किसी विशिष्ट व्यक्ति (पीडी के विषय) से संबंधित किसी भी जानकारी के रूप में समझा जाना चाहिए। हालांकि, दुर्भाग्य से, कानून में एक सूची नहीं है जो यह इंगित करेगी कि क्या संभव है और क्या व्यक्तिगत डेटा नहीं माना जा सकता है।

हालाँकि, नेटवर्क में आप विभिन्न विभागों और संगठनों द्वारा संकलित विभिन्न सूचियाँ पा सकते हैं जो स्थिति को स्पष्ट करती हैं। उदाहरण के लिए, कामचटका क्षेत्र में ILV नियंत्रण साइट पर , व्यक्तिगत श्रेणी के अंतर्गत आने वाले डेटा की एक सूची दी गई है: इसमें नाम, शिक्षा और आय स्तर शामिल हैं। अलग-अलग एपी ऑपरेटर भी अपनी सूची बनाते हैं। उदाहरण के लिए, ईस्ट-साइबेरियन ट्रांसपोर्ट कमर्शियल बैंक JSC की इसमें लगभग 30 श्रेणियां हैं । बहु-विषयक स्कूल नंबर 17 में पीडी की लगभग 40 श्रेणियां हैं जो सूचना प्रणालियों द्वारा संसाधित की जाती हैं।

कानून के ऐसे शब्दों और व्यक्तिगत संगठनों द्वारा उत्पन्न सबसे विविध उदाहरण इस तथ्य की ओर ले जाते हैं कि यह स्थापित करना मुश्किल है कि क्या डेटा को व्यक्तिगत माना जाता है। इसलिए, ILV एक समाधान प्रदान करता है। हमें एक प्रश्न पूछने की आवश्यकता है: क्या ये डेटा हमें ठीक से समझने की अनुमति देते हैं कि वे किसके हैं? उदाहरण के लिए, सिर्फ एक नाम इस बात की समझ नहीं देता है कि प्रश्न में किस तरह का व्यक्ति है, लेकिन एक पूर्ण नाम पहले से ही देता है (ज़ाहिर है, यह दृष्टिकोण एक अलग चर्चा के योग्य है)।

व्यक्तिगत डेटा के साथ कैसे काम करें

कानून संख्या 152-that में कहा गया है कि पीडी ऑपरेटर एक राज्य या नगर निकाय, कानूनी या प्राकृतिक व्यक्ति है, स्वतंत्र रूप से या संयुक्त रूप से अन्य व्यक्तियों के साथ, व्यक्तिगत डेटा को संसाधित करने के साथ-साथ उनके प्रसंस्करण और संरचना के उद्देश्यों का निर्धारण करता है। और ऐसी कंपनियां उक्त कानून के अनुच्छेद 5 और 6 के अधीन हैं, जो पीडी उपयोगकर्ताओं के साथ काम के सिद्धांतों और शर्तों का वर्णन करती हैं।

वे कहते हैं कि ऑपरेटरों को कुछ नियमों का पालन करना चाहिए:

1. ऑपरेटर को उनके प्रसंस्करण के लिए पीडी के मालिक की सहमति लेनी होगी। एक व्यक्ति को पता होना चाहिए कि वह अपने बारे में क्या जानकारी प्रदान करता है और किसके लिए ("हैबे" पर, उदाहरण के लिए, पीडी प्रसंस्करण के लिए नीतियां लिखी जाती हैं, जहां ये बिंदु इंगित किए जाते हैं)। उसी समय, ऑपरेटर अनुरोध पर, उपयोगकर्ता को यह सूचित करने के लिए बाध्य करता है कि वह किस डेटा को संग्रहीत करता है।
2. ऑपरेटर को नीतियों में निर्दिष्ट डेटा प्रोसेसिंग लक्ष्यों का पालन करना चाहिए, अर्थात वह केवल उस डेटा का अनुरोध कर सकता है जो किसी विशेष कार्य को करने के लिए आवश्यक है। अतिरिक्त डेटा "बस के मामले में" निषिद्ध है। उदाहरण के लिए, ऑनलाइन स्टोर में उपयोगकर्ता खाते को पंजीकृत करने के लिए, आप पासपोर्ट नंबर नहीं मांग सकते। हालांकि, अगर हम किसी राज्य संगठन के संसाधन के बारे में बात कर रहे हैं, तो पासपोर्ट डेटा के अनुरोध को उचित ठहराया जा सकता है।
3. डेटा को तब तक संग्रहीत किया जा सकता है जब तक कि इसके प्रसंस्करण के उद्देश्य को पूरा करने के लिए आवश्यक हो। इसके बाद, ऑपरेटर को उन्हें हटाना या उनका प्रतिरूपण करना होगा।

/ फोटो कैल चोट वकील पीडी

क्लाउड में डेटा कैसे प्रोसेस करें

ऐसा होता है कि पीडी के प्रसंस्करण के लिए सभी आवश्यकताओं को महसूस करना काफी कठिन और समय लेने वाला है। हालांकि, FZ-152 यह नहीं कहता है कि डेटा को संसाधित करते समय ऑपरेटर का उपयोग करने के लिए तकनीकी साधन का क्या मतलब है। FZ-152 के अनुच्छेद 6 के खंड 3 में कहा गया है कि यदि वह पीडी के मालिक को अपनी सहमति देता है, तो वह किसी और को पीडी का प्रसंस्करण सौंप सकता है।

इसलिए, कई कंपनियां आउटसोर्सिंग पर कानून की आवश्यकताओं को पूरा करने का काम देती हैं: उदाहरण के लिए, क्लाउड प्रदाताओं को जो क्लाउड FZ-152 सेवा प्रदान करते हैं। यह आपको प्रशासनिक (और तकनीकी) पीडी सुरक्षा तंत्र के पूर्ण सेट के साथ बुनियादी ढांचे को किराए पर लेने की अनुमति देता है।

हालांकि, इस मामले में भी ध्यान में रखने की बारीकियां हैं। सबसे पहले, आपको क्लाउड प्रदाता के साथ एक समझौते पर हस्ताक्षर करने की आवश्यकता होती है, जिसमें आप डेटा प्रोसेसिंग के लक्ष्यों, पीडी पर किए गए कार्यों की सूची और उनकी सुरक्षा के लिए तंत्र का संकेत देते हैं। इसके अलावा, पीडी कानून के अनुच्छेद 19 में वर्णित नियमों के अनुसार सुरक्षात्मक उपायों का एक सेट बनाया जाना चाहिए।

इसके अलावा, अनुबंध में जिम्मेदारी के क्षेत्रों को निर्धारित करना महत्वपूर्ण है: जिसके लिए ऑपरेटर जिम्मेदार है, और जिसके लिए प्रदाता।

ऐसा करने के लिए, ऑपरेटर को यह करना होगा:

1. सूचना प्रणाली पीडी की सुरक्षा का स्तर निर्धारित करें;
2. समझें कि अनुच्छेद 19 से वह कौन से सुरक्षा उपाय प्रदान कर सकेगा, और कौन-कौन से प्रदाता को सौंपने की आवश्यकता है;
3. सूचना प्रणाली के अपने खंड में वास्तविक खतरों का एक मॉडल बनाएं और इसके हिस्से के लिए आवश्यक सुरक्षा उपायों को लागू करें।

बदले में, क्लाउड प्रदाता को निम्नलिखित कार्य करना चाहिए:

1. संचार मंत्रालय के लाइसेंस प्राप्त करें (यदि ऑपरेटर डेटा को स्थानांतरित करने या टेलीमैटिक सेवाओं के साथ काम करने की योजना बना रहा है), साथ ही साथ एफएसबी और एफएसटीईसी;
2. समझें कि क्लाउड में डेटा को क्या खतरा हो सकता है और इसे जितना संभव हो उतना संरक्षित कर सकता है;
3. ग्राहक पक्ष पर सुरक्षा उपायों के कार्यान्वयन के साथ ग्राहक की मदद करें और उसे अतिरिक्त सुरक्षा उपकरण तैनात करने का अवसर प्रदान करें (PaaS या IaaS का उपयोग करके)।

यह याद रखना महत्वपूर्ण है कि ऑपरेटर उपयोगकर्ताओं के व्यक्तिगत डेटा के प्रसंस्करण के लिए भी सहमति प्राप्त करता है - यह क्लाउड प्रदाता की जिम्मेदारियों की सूची में शामिल नहीं है। इस कानून को संघीय कानून के अनुच्छेद 6 के तीसरे और चौथे पैराग्राफ में लिखा गया है। इस प्रकार, प्रदाता के कार्यों के लिए पीडी के मालिक की जिम्मेदारी ऑपरेटर के पास होती है।

हालांकि, प्रदाता ऑपरेटर को अपने कार्यों के लिए जिम्मेदार है। उदाहरण के लिए, प्रदाता ने अनुबंध की शर्तों को पूरा नहीं किया और पीडी को लीक कर दिया। पीडी मालिक इससे बहुत दुखी हैं। इस मामले में, प्रदाता प्रभावित लोगों को ऑपरेटर, और ऑपरेटर को परिणाम के लिए जिम्मेदार होगा।

क्लाउड प्रदाता चुनते समय अप्रिय स्थितियों की संख्या को कम करने के लिए, ऑपरेटर को प्रदाता से एक दस्तावेज का अनुरोध करना चाहिए जो सुरक्षा के घोषित स्तर के अनुपालन के लिए ऑडिट की पुष्टि करता है। यह उन्हें संभावित खतरों से क्लाउड के चयनित खंड की रक्षा करने का एक मॉडल दिखाने के साथ-साथ डेटा का बैकअप लेने और पुनर्स्थापित करने के तरीकों का मूल्यांकन करने के लिए भी कहने योग्य है।

पीडी के साथ काम करने के लिए नियमों के उल्लंघन के लिए जुर्माना

पिछले साल जुलाई में, एक नया संघीय कानून लागू हुआ, जिसके अनुसार रूस में व्यक्तिगत डेटा के प्रसंस्करण पर कानून का उल्लंघन करने के लिए जुर्माना 1 से 75 हजार रूबल तक है। उदाहरण के लिए, उपयोगकर्ता की सहमति के बिना पीडी प्रसंस्करण के लिए जुर्माना व्यक्तियों के लिए 3 से 5 हजार रूबल और कानूनी संस्थाओं के लिए 30 से 75 हजार रूबल से है। पीडी के मालिक को इस बात की जानकारी देने से इनकार करना कि उसका डेटा कैसे संसाधित किया जाता है, कानूनी इकाई को 20-40 हजार रूबल से वंचित कर सकता है।

पहले से ही ऐसे मामले हैं जब कंपनियों ने पीडी के प्रसंस्करण के क्षेत्र में उल्लंघन के लिए जुर्माना लगाया। उदाहरण के लिए, TGYUK LLC का मामला , जहां कंपनी को इस तथ्य के लिए उत्तरदायी ठहराया गया था कि गोपनीयता समझौते को उसकी वेबसाइट पर फीडबैक फॉर्म के साथ संलग्न नहीं किया गया था।

पीडी को कैसे संभालना है और कानून को कैसे नहीं तोड़ना है

यह उन सभी लोगों के लिए महत्वपूर्ण है जो कानून के अनुपालन के लिए इन सभी प्रक्रियाओं का मूल्यांकन करने के लिए पीडी, या अन्य व्यक्तियों के साथ संचालन, संग्रह, भंडारण या उनके लिए कार्य सौंपते हैं। ऐसा करने के लिए, हम निम्नलिखित चेकलिस्ट का उपयोग करने का सुझाव देते हैं:

• PD ऑपरेटर के रूप में Roskomnadzor के साथ रजिस्टर करें।
• पीडी के प्रसंस्करण के उद्देश्य को परिभाषित करें और "अन्य उद्देश्यों के लिए" उपयोगकर्ता डेटा का उपयोग न करें (उदाहरण के लिए, आपको ई-मेल द्वारा शेयरों के बारे में जानकारी के साथ समाचार पत्र में उपयोगकर्ता को शामिल नहीं करना चाहिए, जिसे वह प्राप्त करने के लिए सहमत नहीं था)।
• उपयोगकर्ता को चेतावनी दें कि उसका व्यक्तिगत डेटा संसाधित किया जाएगा। इसके लिए उनकी सहमति लें।
• यदि आप "क्लाउड -152" सेवा का उपयोग करने की योजना बनाते हैं, तो प्रदाता के साथ एक उपयुक्त समझौता करें, जिसमें आप पार्टियों के दायित्वों और उपयोगकर्ता डेटा के उपयोग के उद्देश्य को इंगित करते हैं।
• संघीय कानून -152 के अनुच्छेद 19 में निर्दिष्ट सुरक्षात्मक उपायों को लागू करें।
• पुराने या अधूरे ग्राहक डेटा के लिए अपने सिस्टम की जाँच करें। उन्हें हटाने या अज्ञात करने की आवश्यकता है।
• इसके अतिरिक्त, उपयोगकर्ता पीडी के प्रसंस्करण की जटिलताओं पर कंपनी कर्मियों को निर्देश दें।

यह संभावित कमजोरियों को उजागर करेगा, लापता सुरक्षात्मक उपायों को लागू करेगा, और जुर्माना या संभावित मुकदमों से बच सकता है।

---

पहले कॉर्पोरेट IaaS ब्लॉग से PS संबंधित सामग्री:

• क्या रूसी नियामक के दृष्टिकोण से व्यक्तिगत डेटा से संबंधित है
• व्यक्तिगत डेटा को संसाधित करने के सिद्धांत: कानून क्या कहता है
• व्यक्तिगत डेटा संरक्षण: एक यूरोपीय दृष्टिकोण

PPS Habré पर हमारे ब्लॉग के अन्य लेख:

• "GDPR के अनुसार": कैसे सामाजिक नेटवर्क गोपनीयता नीतियों को बदलते हैं
• छूटी हुई समय सीमा, या क्यों आधे से अधिक कंपनियां जीडीपीआर के लिए तैयार नहीं थीं
• कैसे यूरोपीय संघ के कॉपीराइट सुधार वेब बदल जाएगा

---

IT-GRAD कंपनी की मुख्य गतिविधि क्लाउड सेवाओं का प्रावधान है:

वर्चुअल इन्फ्रास्ट्रक्चर (IaaS) | PCI DSS होस्टिंग | क्लाउड FZ-152 | क्लाउड में 1C किराए पर लें

---