बेलारूस में प्रस्तुत व्यक्तिगत डेटा की सुरक्षा पर एक बिल - इसका "अंदर" क्या है

वसंत के अंत में, यूरोपीय संघ में GDPR विनियमन लागू हुआ। एक महीने पहले, संयुक्त राज्य अमेरिका ने ग्राहकों और अधिकारियों को डेटा "लीक" के बारे में सूचित करने के लिए घटना के एक महीने बाद की तुलना में बिल बाध्य करने वाली कंपनियों पर हस्ताक्षर किए ।

इस साल, पीडी से संबंधित नए बिल भी बेलारूस में दिखाई दिए। इस वर्ष के पहले अप्रैल में, सांसदों ने मीडिया कानून में संशोधन पारित किया, जिसमें उपयोगकर्ताओं को मंचों पर टिप्पणियां छोड़ने से पहले प्रमाणित करने की आवश्यकता थी। और अब अधिकारियों ने "व्यक्तिगत डेटा पर" एक मसौदा कानून प्रस्तुत किया है।

बिल्ली के नीचे, हम इसके सार और समुदाय की प्रतिक्रिया के बारे में बात करते हैं।


/ Pxhere / पीडी

बिल का सार

बिल को नेशनल सेंटर फॉर लेजिस्लेशन एंड लीगल रिसर्च ऑफ बेलारूस गणराज्य ( NZPPI ) में प्रस्तावित किया गया था। जून में, केंद्र के एक प्रतिनिधिमंडल ने यूरोपीय सहयोगियों के अनुभव से सीखने के लिए फ्रांसीसी डेटा संरक्षण आयोग ( CNIL ) के सदस्यों के साथ बैठक करने के लिए पेरिस की यात्रा की और इसे तुरंत व्यवहार में लाया।

जुलाई की शुरुआत में एक मसौदा कानून पेश किया गया था। इसके छह अध्याय और बाईस लेख हैं जो बेलारूस में पीडी के साथ काम करने के नियमों का वर्णन करते हैं। बिल की चर्चा इस साल 11 अगस्त तक चलेगी।

दस्तावेज़ में मुख्य अभिनेता व्यक्तिगत डेटा के विषय और ऑपरेटर हैं। पीडी विषय एक ऐसा व्यक्ति है जिसका डेटा एकत्र, संग्रहीत या संसाधित किया जाता है। एक पीडी ऑपरेटर बेलारूस में एक कंपनी या व्यक्तिगत उद्यमी प्रसंस्करण पीडी है। व्यक्तिगत डेटा द्वारा सीधे नियामक किसी भी जानकारी को समझता है जिसके आधार पर किसी व्यक्ति की पहचान की जा सकती है। सहित यह जानकारी, बायोमेट्रिक (फिंगरप्रिंट्स) और जेनेटिक इंडिकेटर (डीएनए) हो सकती है।

आप इन और अन्य परिभाषाओं को श्वेत पत्र के पेज 1 और 2 पर पहले लेख में पा सकते हैं।

विधेयक के पाठ के अनुसार, पीडी के विषय का अधिकार है:

• पीडी के प्रसंस्करण के लिए अपनी सहमति दें और इसे रद्द करें;
• पीडी में परिवर्तन की मांग, साथ ही उन्हें हटाने या प्रसंस्करण बंद करना;
• जानकारी प्राप्त करें कि उसका पीडी तीसरे पक्ष को स्थानांतरित कर दिया गया है;
• ऑपरेटर के साथ नियंत्रक को शिकायत करें।

पीडी ऑपरेटर, बदले में, पीडी को संसाधित करने के लिए विषय से सहमति प्राप्त करने के लिए बाध्य है, यह बताएं कि यह डेटा किन उद्देश्यों के लिए उपयोग किया जाता है और उन्हें समझौते से बचाता है।

अनुच्छेद 17 ( दस्तावेज़ के पृष्ठ 16-17 पर ) इसके लिए आवश्यक उपायों को सूचीबद्ध करता है। उनमें से: सुरक्षा नीतियों का निर्माण, पीडी तक पहुंच की स्थापना, सूचना और अन्य की तकनीकी और क्रिप्टोग्राफिक सुरक्षा की शुरूआत। यह भी ध्यान दिया जाता है कि इसके लिए, कंपनियों को बेलारूस गणराज्य ( OAC नंबर 62 ) के अध्यक्ष के तहत संचालन और विश्लेषणात्मक केंद्र के प्रावधानों द्वारा निर्देशित करने की आवश्यकता होगी - यह बेलारूस का एक राज्य निकाय है जो सूचना सुरक्षा गतिविधियों को नियंत्रित करता है।

ओएसी द्वारा स्थापित एक सूचना सुरक्षा प्रणाली बनाने के लिए आवश्यकताओं की सूची बल्कि जटिल है और इसमें 50 से अधिक बिंदु शामिल हैं। और आवश्यक सुरक्षा तंत्र के संगठन को समय और धन की आवश्यकता होती है। इसके आधार पर, यह माना जा सकता है कि छोटे और मध्यम आकार के उद्यमों के लिए स्वतंत्र रूप से सभी शर्तों को पूरा करना मुश्किल होगा।

हालांकि, नए कानून में कहा गया है कि ऑपरेटर पीडी के संग्रह, प्रसंस्करण और वितरण को किसी तीसरे पक्ष को सौंप सकता है, अर्थात इसे आउटसोर्सिंग पर स्थानांतरित कर सकता है। यह तीसरा पक्ष हो सकता है, उदाहरण के लिए, एक क्लाउड प्रदाता जो व्यक्तिगत डेटा सुरक्षा आवश्यकताओं के अनुपालन की निगरानी करेगा।

"क्लाउड प्रदाता के उपकरण सख्त एक्सेस कंट्रोल और बैकअप सिस्टम के साथ बड़े डेटा केंद्रों में स्थित हैं, यह स्वचालित रूप से भौतिक डेटा सुरक्षा से संबंधित विनियमन की आवश्यकताओं का हिस्सा बंद कर देता है, वर्चुअल इन्फ्रास्ट्रक्चर सुरक्षा सुनिश्चित करता है और ऑडिट आयोजित करता है," सर्गेई बेल्किन , विकास विभाग के प्रमुख 1 क्लाउड कहते हैं। ।

उदाहरण के लिए, हमने हाल ही में मिन्स्क के उपनगरीय इलाके में स्थित beCloud डेटा सेंटर में 1 उपकरण में अपना उपकरण रखा । यह डेटा सेंटर टीयर III मानक के अनुसार प्रमाणित है, जो बेलारूस गणराज्य के कानून के अनुसार डेटा और सूचना प्रणालियों की सुरक्षा और पहुंच सुनिश्चित करता है।

प्रारंभ में, हमारे हार्डवेयर को बेलारूसी डेटा सेंटर में रखने का हमारा निर्णय नए बिल से जुड़ा नहीं था - बेलारूस के ग्राहकों ने हमसे इस बारे में पूछा। तथ्य यह है कि बेलारूस गणराज्य के राष्ट्रपति के निर्णय के अनुसार 60 नंबर और बेलारूस गणराज्य के मंत्रियों की संख्या 644 की परिषद की डिक्री के अनुसार, बेलारूस गणराज्य में वाणिज्यिक साइटों को देश में स्थित उपकरणों पर रखा जाना चाहिए। हालाँकि, अब इन आवश्यकताओं को पीडी प्रसंस्करण कार्यों द्वारा पूरक किया गया है, जिनमें से कुछ को स्थानीय क्लाउड प्रदाता को "प्रत्यायोजित" किया जा सकता है:

सर्गेई कहते हैं, '' वेंडर के कंधों पर कार्यों का हिस्सा बदलकर, कंपनी समय और संसाधनों की बचत करती है, जिससे व्यापार प्रक्रियाओं को बेहतर बनाने पर ध्यान केंद्रित करने का अवसर मिलता है। ", हालांकि, यह याद रखना महत्वपूर्ण है कि भौतिक सुरक्षा के अलावा, आपको क्लाउड प्रदाता डेटा सेंटर की अवसंरचना सुविधाओं पर भी ध्यान देना चाहिए: प्रशीतन इकाइयों की क्षमता, महत्वपूर्ण प्रणालियों का दोहराव और बैकअप घटकों की उपलब्धता - यह सब डेटा सेंटर सिस्टम की दोषपूर्णता को प्रभावित करता है।"

जुर्माना और जुर्माना

ध्यान दें कि ऑपरेटरों को किसी भी रजिस्ट्री में पंजीकरण करने की आवश्यकता नहीं है। बेलारूसियों के डेटा को स्थानीय रूप से संग्रहीत करना आवश्यक नहीं है (नए ड्राफ्ट कानून के अनुसार), हालांकि, उसी डिक्री नंबर 60 और रिज़ॉल्यूशन नंबर 644 की आवश्यकताओं को ध्यान में रखना महत्वपूर्ण है - डोमेन की परवाह किए बिना, कानूनी संस्थाओं के सभी साइटों या बेलारूस में व्यक्तिगत उद्यमियों को बेलारूसी होस्टिंग पर स्विच करना चाहिए। इसके अलावा, कंपनियों को पीडी (जीडीपीआर के रूप में) की सुरक्षा के लिए जिम्मेदार व्यक्ति को नियुक्त करना होगा, जो व्यक्तिगत डेटा के साथ काम के आयोजन के लिए जिम्मेदार होगा (यह या तो एक व्यक्तिगत कर्मचारी या एक पूरा विभाग हो सकता है)।

जुर्माना "कानून के पत्र के साथ असंगतता के लिए" जुर्माना का आकार अभी तक स्पष्ट नहीं किया गया है, हालांकि, यह ज्ञात है कि उल्लंघनकर्ता विधायी कृत्यों के तहत उत्तरदायी होंगे और नैतिक और भौतिक क्षति के लिए पीडी विषयों की प्रतिपूर्ति करेंगे ( लेख 20, पीपी 18-19 )।

यदि उपयोगकर्ता डेटा चोरी हो जाता है, तो ऑपरेटर घटना के ज्ञात होने के तीन दिनों के भीतर "रिसाव" के नियामक को सूचित करने के लिए बाध्य है। हालांकि, अगर घटना मामूली थी और पीडी के विषय के अधिकारों को नुकसान नहीं पहुंचाती है, तो इसकी रिपोर्ट करना आवश्यक नहीं होगा। इस मामले में, नियामक पीडी विषयों के अधिकारों की सुरक्षा के लिए अधिकृत निकाय है। पृष्ठ 17-18 के अनुच्छेद 18 के अनुसार , वह व्यक्तिगत डेटा मालिकों के अधिकारों की रक्षा करेगा, उनकी शिकायतों पर विचार करेगा, और कानून के अनुपालन के लिए ऑपरेटरों के अनुपालन की निगरानी करेगा (उदाहरण के लिए, गलत डेटा को हटाना या अवरुद्ध करना)।

अपवाद

कानून पीडी (आईपी, कानूनी संस्थाओं, वेबसाइट के मालिकों और अन्य) के साथ काम करने वाले सभी संगठनों को प्रभावित करेगा: उन्हें पीडी के साथ काम करने के लिए नीतियां बनाने, डीपीओ नियुक्त करने, सुरक्षात्मक उपायों को लागू करने, आदि की आवश्यकता होगी।

जब कैटलॉग और फ़ाइल अलमारियाँ में जानकारी एकत्र की जाती है तो कानून की आवश्यकताएं स्वचालित डेटा प्रसंस्करण और गैर-स्वचालित दोनों पर लागू होंगी।

हालांकि, कानून कई अपवादों के लिए प्रदान करता है। उदाहरण के लिए, पीडी प्रसंस्करण के लिए सहमति प्राप्त करना आवश्यक नहीं है यदि विषय का जीवन और स्वास्थ्य खतरे में है। अपवाद तब भी पत्रकारों पर लागू होता है जब वे अपनी वैध व्यावसायिक गतिविधियों का संचालन करते हैं, और उन वैज्ञानिकों के लिए जो सांख्यिकीय अनुसंधान करते हैं (डेटा के अनिवार्य प्रतिरूपण के साथ)। आधिकारिक दस्तावेज़ के लेख 6, 9 में अपवादों की पूरी सूची पाई जा सकती है।


/ फ़्लिकर / बुक कैटलॉग / सीसी

बिल पर राय

प्रस्तुत कानून की सार्वजनिक चर्चा में भाग लेने वाले लोग ध्यान दें कि बिल में कुछ शब्द "लंगड़ा" है। एक उपयोगकर्ता, उदाहरण के लिए, पीडी के साथ संचालन के लिए शर्तों की अतिरेक के बारे में शिकायत की। यह पूरी तरह से स्पष्ट नहीं है कि हर बार "संग्रह, प्रसंस्करण और भंडारण" जैसी अवधारणाओं को बाहर करने के लिए क्यों, जब केवल "प्रसंस्करण" शब्द का उपयोग किया जा सकता है, जैसा कि जीडीपीआर या रूसी संघ के कानून में किया गया है ।

बेलारूसी लीगल फोरम के एक अन्य उपयोगकर्ता ने अनुच्छेद 17 के पैराग्राफ 3 और 5 में पीडी के संरक्षण के लिए आवश्यकताओं में विसंगति का उल्लेख किया। तीसरे पैराग्राफ को ओएसी के आदेश द्वारा निर्देशित किए जाने के लिए तकनीकी और क्रिप्टोग्राफिक सुरक्षा के संगठन की आवश्यकता होती है, हालांकि, पांचवें पैराग्राफ का कहना है कि सूचना प्रणालियों के वर्गीकरण (और, तदनुसार, सुरक्षा की डिग्री) एक अन्य राज्य एजेंसी द्वारा निर्धारित की जाएगी।

उपयोगकर्ताओं ने यह भी माना कि एक पीडी ऑपरेटर की परिभाषा यह नहीं बताती है कि वह कौन है या वह क्या करता है। उन्होंने यह भी कहा कि इस क्षेत्र में गणतंत्र गणराज्य के राष्ट्रपति और मंत्रिपरिषद की शक्तियों को स्थापित करने वाले कानूनी मानदंडों का अभाव है, और आशा व्यक्त की कि भविष्य में पाठ में उचित परिवर्धन, स्पष्टीकरण और परिवर्तन किए जाएंगे।

समय

विधेयक की चर्चा 11 अगस्त तक चलेगी। उसके बाद, यदि कानून को अपनाया जाता है, तो ऑपरेटरों को बल में प्रवेश के लिए तैयार करने के लिए एक वर्ष होगा।

---

1cloud के कॉर्पोरेट ब्लॉग पर हम और क्या लिख ​​रहे हैं:

• क्लाउड डेटा कैसे सुरक्षित किया जाता है
• नेटवर्क न्यूट्रिलिटी के सिद्धांतों के बारे में आप सभी को पता होना चाहिए
• हमारे नए उत्पादों का अवलोकन: सिस्को यूसीएस बी 480 एम 5

Yandex.Zen पर हमारे ब्लॉग से पोस्ट:

• "क्लाउड" के साथ काम करने के लिए अतिरिक्त कर्मचारियों को काम पर रखने की आवश्यकता क्यों नहीं है
• क्लाउड में कंपनियां पैसा कैसे बचाती हैं