भारत ने नए पीडी संरक्षण विधेयक का परिचय दिया - GDPR का एक और एनालॉग?

हमारे ब्लॉग में, हमने पहले से ही GDPR , इसके " पीड़ितों " और समग्र रूप से IT सेक्टर के कड़े विनियमन के साथ स्थिति के बारे में लिखा था। इस लेख में हम भारत में पीडी के संरक्षण के बारे में बात करेंगे।

विशेष रूप से, हम इस साल जुलाई के अंत में प्रस्तुत एक नए बिल पर चर्चा करेंगे।

इसके मुख्य बिंदुओं पर विचार करें और समुदाय में आलोचना के बारे में बात करें।


/ फोटो रूबी एलेक्जेंडर सीसी

मुख्य बिंदु

जस्टिस कमेटी के सदस्यों द्वारा पर्सनल डेटा प्रोटेक्शन बिल (2018) लगभग एक साल के लिए ड्राफ्ट किया गया है। श्रीकृष्ण (न्याय श्रीकृष्ण समिति)। दस्तावेज़ को भारत में आईटी विनियमन की ख़ासियत को ध्यान में रखते हुए तैयार किया गया था, लेकिन विदेशी अनुभव भी पेश किया गया था। इसलिए, दस्तावेज़ को पढ़ने वालों ने तुरंत नोट किया कि यह काफी हद तक जीडीपीआर की याद दिलाता है।

दस्तावेज़ में उल्लिखित प्रमुख प्रावधानों पर विचार करें:

नागरिक पीडी पर अधिक नियंत्रण हासिल करेंगे

दस्तावेज़ में व्यक्तिगत मालिकों को डेटा प्रिंसिपल (और GDPR में डेटा विषय नहीं) कहा जाता है। और उनके पास निम्नलिखित अधिकार हैं ( पृष्ठ 14, अध्याय 6 ):

• यह जानने का अधिकार कि क्या ऑपरेटर कुछ पीडी की प्रक्रिया करता है;
• गलत या पुराना होने पर डेटा बदलने का अधिकार;
• इलेक्ट्रॉनिक प्रारूप में उनके डेटा के प्रावधान की मांग करने का अधिकार;
• प्रचार को भूल जाने / प्रतिबंधित करने या पीडी का उपयोग बंद करने का अधिकार।

यह ध्यान देने योग्य है कि समिति ने बच्चों की देखभाल भी की: एक अलग अध्याय उनके डेटा की सुरक्षा के लिए समर्पित है, जो पीडी ऑपरेटरों की जिम्मेदारियों को पूरा करता है ( पृष्ठ 13, अध्याय 5 )। उदाहरण के लिए, यह बताता है कि ऑपरेटर उम्र की जाँच के लिए तंत्र को व्यवस्थित करने के लिए बाध्य है, साथ ही व्यवहार की ट्रैकिंग और साइट पर लक्षित विज्ञापन के प्रदर्शन को सीमित करने के लिए भी।

पीडी ऑपरेटरों के लिए नई आवश्यकताएं

जो कोई भी भारत के निवासियों के व्यक्तिगत डेटा को एकत्र करता है और संसाधित करता है, उसे दस्तावेज़ के पाठ में डेटा फ़िड्युसरी कहा जाता है - जिस व्यक्ति ने डेटा सौंपा है (वकील उसे "फ़्यूडूसरी" या "फ़्यूडूसरी" कहते हैं): वह किसी अन्य व्यक्ति की संपत्ति के लिए जिम्मेदार है - इस मामले में, संपत्ति विषय का डेटा है )।

और जब पीडी ( पृष्ठ 17, अध्याय 7 ) प्रसंस्करण करते हैं तो उन पर कई आवश्यकताएं लागू होती हैं। उदाहरण के लिए, उन्हें डिजाइन अवधारणा द्वारा गोपनीयता का पालन करना आवश्यक है। इसका मतलब यह है कि सभी लागू प्रौद्योगिकियां, सुरक्षा नीतियां और व्यवसाय प्रबंधन पीडी की अखंडता को बनाए रखने और उनके मालिकों के लिए संभावित अप्रिय परिणामों को रोकने के लिए "तेज" किया जाना चाहिए (उदाहरण के लिए, डेटा लीक)।

इसके अलावा, fiduciaries को पीडी के साथ सभी लेनदेन के बारे में जानकारी संग्रहीत करने के लिए, साथ ही साथ एक विशेष पर्यवेक्षक प्राधिकरण द्वारा स्थापित समय सीमा के भीतर डेटा लीक की सूचना और ऑडिट से गुजरने के लिए, उनकी कंपनी में एक डेटा सुरक्षा अधिकारी ( डीपीओ ) नियुक्त करना आवश्यक है।

वैसे, पर्यवेक्षकों के बारे में

कानून के अनुपालन की निगरानी के लिए, देश में एक डेटा सुरक्षा प्राधिकरण (डीपीए) बनाया जाएगा। कानून की आवश्यकताओं के अनुपालन के लिए जुर्माना की मात्रा लगभग यूरोपीय कानून द्वारा निर्धारित की गई राशि के बराबर है। उदाहरण के लिए, पीडी ऑपरेटरों को डेटाबेस हैक करने की अनुमति देने के लिए $ 2 मिलियन (या वार्षिक कारोबार का 4%) तक की वसूली का सामना करना पड़ता है।

उसी समय, अनुच्छेद 10 ( दस्तावेज़ का पृष्ठ 29 ) कहता है कि डीपीए सदस्यों को डेटा सुरक्षा और संबंधित क्षेत्रों के क्षेत्र में दस वर्ष से अधिक के अनुभव वाले लोग होने चाहिए। इसलिए, हम यह मान सकते हैं कि तकनीकी कार्य के सिद्धांतों के गहन तकनीकी ज्ञान और समझ वाले लोग पदों पर कब्जा कर लेंगे।

पीडी की प्रतियां भारत में सर्वर पर संग्रहीत करने की आवश्यकता होगी

यह लेख 8 ( पृष्ठ 23 ) में बताया गया है। यह "साइबर संप्रभुता" की नीति के बारे में है, जिसे अधिकारियों ने पालन करने का फैसला किया । बिल देश के बाहर डेटा स्थानांतरित करने से कंपनियों को प्रतिबंधित करता है जब तक कि पीडी इकाई, डीपीए, या राज्य से अनुमति नहीं ली गई है और अन्य सूक्ष्मताओं का सम्मान नहीं किया जाता है। संभावित रूप से, यह आवश्यकता स्थानीय कंपनियों और विदेशी क्लाउड प्रदाताओं दोनों के लिए अतिरिक्त मुश्किलें पैदा कर सकती है।

पीडी को केवल आपातकाल के मामले में विदेश में संग्रहीत किया जा सकता है (पीडी के मालिक के स्वास्थ्य की स्थिति, उसके जीवन के लिए खतरा, आदि, जब आपको तुरंत कार्रवाई करने की आवश्यकता होती है)।

आपने बिल कैसे पास किया?

मसौदा कानून के साथ, न्याय समिति ने नाम दिया श्रीकृष्ण ने देश में पीडी की सुरक्षा के लिए सभी प्रावधानों और उनकी सिफारिशों के लिए औचित्य प्रदान किया । लेखक स्पष्ट करते हैं कि दस्तावेज विकसित करते समय, उन्होंने एक त्रिकोण की अवधारणा का उपयोग किया , जिसमें से चोटी भारतीय नागरिकों के हित हैं, और आधार व्यवसाय और राज्य के हित हैं। इसके द्वारा, वे शायद इस बात पर जोर देना चाहते हैं कि बिल उन सभी के अधिकारों को ध्यान में रखता है जिन्हें वह छूता है।

हालांकि, सभी "त्रिभुज कोने" उनसे सहमत नहीं हैं। बिल के कई प्रावधानों की आलोचना की गई है।

मोज़िला फाउंडेशन के अध्यक्ष मिशेल बेकर ने दस्तावेज़ ( अध्याय 9 ) में वर्णित राज्य के अपवादों के बारे में अपनी चिंताओं को व्यक्त किया - सरकारी एजेंसियों द्वारा पीडी के प्रसंस्करण के कारण और कार्य (उदाहरण के लिए, अभिलेखीय या सांख्यिकीय विश्लेषण) अस्पष्ट हैं।

"पुनः पहचान" अध्ययन के संचालन पर प्रतिबंध की गंभीर आलोचना की गई थी, जब उनके मालिक की पहचान अज्ञात डेटा द्वारा निर्धारित की गई थी। इस तरह के अध्ययन से पीडी संरक्षण प्रौद्योगिकियों को बेहतर बनाने और लीक या कंपनी में डेटा सुरक्षा के स्तर पर आंकड़े प्रदान करने में मदद मिलती है ।

नए बिल के पाठ के अनुसार, इस तरह के परीक्षण अब केवल पीडी ऑपरेटर की सहमति से किए जा सकते हैं (अन्यथा, 3 हजार डॉलर का जुर्माना लगाया जाएगा)। यह भारतीय निवासियों के पीडी के साथ डेटाबेस के संभावित "डंप" से बचने में मदद करना चाहिए। दूसरी ओर, सूचना सुरक्षा विशेषज्ञ इस बात पर जोर देते हैं कि प्रतिबंध की पहचान से समस्या का समाधान नहीं होता है।

यह सब इस तथ्य को जन्म दे सकता है कि व्यक्तिगत डेटा को संसाधित करने वाली कंपनियां परीक्षण का संचालन करने से इनकार कर देंगी यदि वे अपने डीनोमिनेशन की "गुणवत्ता" के बारे में सुनिश्चित नहीं हैं। जब हैकर्स द्वारा ऐसी कंपनियों के हैकिंग सिस्टम (जो स्पष्ट रूप से हैक करने की अनुमति की आवश्यकता नहीं है), तो परिणाम गंभीर हो सकते हैं।

उदाहरण के लिए, यूके में 2017 में उन्होंने पुनर्मूल्यांकन अध्ययन पर प्रतिबंध लगाने का प्रस्ताव किया, लेकिन सुरक्षा कारणों से इसके बारे में दो बार सोचा।

आगे क्या है

नए विधेयक को कई उदाहरणों से गुजरना होगा: आईटी और संचार मंत्रालय से लेकर भारतीय संसद, राज्यसभा के ऊपरी सदन तक , और उनकी स्वीकृति प्राप्त करना। यह संभावना है कि अपने मौजूदा स्वरूप में आलोचना के कारण इसे स्वीकार नहीं किया जाएगा, क्योंकि बल में प्रवेश का समय अभी भी सवाल में है।

---

पुनश्च IaaS ब्लॉग में हमारे पास विषय पर और क्या है:

• क्लाउड में पीडी को कैसे संभालना है
• रूसी नियामक के दृष्टिकोण से पीडी पर क्या विचार करें
• क्लाउड में पीडी: ग्राहक और जिम्मेदारी के क्लाउड प्रदाता क्षेत्र

---

हमारी गतिविधि की मुख्य दिशा क्लाउड सेवाओं का प्रावधान है:

वर्चुअल इन्फ्रास्ट्रक्चर (IaaS) | PCI DSS होस्टिंग | क्लाउड FZ-152 | SAP होस्टिंग | वर्चुअल स्टोरेज | क्लाउड में डेटा एन्क्रिप्शन क्लाउड स्टोरेज