GDPR का अमेरिकन एनालॉग: CCPA के बारे में आपको क्या जानना चाहिए

दुनिया में GDPR के अधिक से अधिक एनालॉग हैं। हाल ही में, भारत में एक समान बिल विकसित किया गया था, अब संयुक्त राज्य अमेरिका लाइन में है। कैलिफ़ोर्निया ने यूरोप से एक उदाहरण लिया, जिसमें उपयोगकर्ताओं के व्यक्तिगत डेटा के साथ काम करने के नियमों को नियंत्रित करने वाले अपने स्वयं के कानून को मंजूरी दी गई थी ।

कैलिफोर्निया उपभोक्ता गोपनीयता अधिनियम, या CCPA, 1 जनवरी 2020 को लागू होगा। अगला, हम कानून के मुख्य प्रावधानों पर विचार करते हैं, जिसे केवल एक सप्ताह में विकसित और अपनाया गया था।


/ फोटो रयान ब्रिस्को पीडी

जो कानून के दायरे में आता है

नया कानून यूरोपीय निर्देश के समान कठोर नहीं है, लेकिन यह अभी भी व्यावसायिक जीवन में बड़े बदलावों को दर्शाता है। कैलिफ़ोर्निया में प्रत्येक इंटरनेट उपयोगकर्ता को कंपनी से उस जानकारी की मांग करने का अधिकार है जो उसने उसके बारे में एकत्र की है, और तीसरे पक्ष की एक सूची जिसे वह जानता है।

उसी कानून के आधार पर, उपयोगकर्ता अब एक ऐसे संगठन पर मुकदमा कर सकता है जिसने गैर-कानूनी रूप से अपने पीडी का उपयोग किया या समय पर अपने किसी भी अनुरोध को पूरा करने में विफल रहा।

CCPA उन कंपनियों को शामिल करता है जो कैलिफोर्निया के निवासियों (राज्य और विदेश दोनों में हो सकते हैं) के व्यक्तिगत डेटा की प्रक्रिया करते हैं और वार्षिक राजस्व में न्यूनतम $ 25 मिलियन प्राप्त करते हैं। लेकिन एक अति सूक्ष्म अंतर है: यदि कंपनी की आय कम है, लेकिन यह 50 हजार से अधिक लोगों के व्यक्तिगत डेटा को संग्रहीत करता है, तो इसकी गतिविधि SSRA के अंतर्गत आती है।

नया कानून उन कंपनियों की गतिविधियों को भी नियंत्रित करता है जो पीडी की बिक्री से आधे से अधिक लाभ (कोई फर्क नहीं पड़ता) प्राप्त करते हैं। संगठन का स्थान कोई फर्क नहीं पड़ता: यह कोई फर्क नहीं पड़ता कि यह कैलिफोर्निया में स्थित है या राज्य के बाहर है।

व्यक्तिगत डेटा क्या माना जाता है

व्यक्तिगत पहचानकर्ता कोई भी पहचानकर्ता, बायोमेट्रिक्स, जियोलोकेशन, इंटरनेट पर गतिविधि का इतिहास और रोजगार या शिक्षा के बारे में जानकारी है। सामान्य तौर पर, कोई भी डेटा जो किसी व्यक्ति की पहचान कर सकता है वह वहां पहुंच जाता है।

इसी समय, कानून में काफी अस्पष्ट सूत्र पाए जाते हैं। उदाहरण के लिए, एक व्यक्तिगत पहचानकर्ता में उपयोगकर्ता के परिवार के बारे में जानकारी शामिल हो सकती है। इसके अलावा, पीडी किसी भी जानकारी को वर्गीकृत करता है जो आपको उपयोगकर्ता प्रोफाइल संकलित करने की अनुमति देता है: केवल मनोवैज्ञानिक, व्यवहारिक आदि।

उपयोगकर्ता अधिकार

कानून के अनुसार, उपयोगकर्ता को अधिकारों का एक "पारंपरिक" सेट प्राप्त होता है:

• सही पहुँचें। उपयोगकर्ता एक अनुरोध भेज सकता है और वह सभी जानकारी प्राप्त कर सकता है जो कंपनी ने उसके बारे में एकत्र की है;
• विस्मरण का अधिकार। उपयोगकर्ता को कंपनी के सर्वर और तीसरे पक्ष के सर्वर से अपने बारे में जानकारी निकालने की आवश्यकता हो सकती है;
• जानने का अधिकार। अनुरोध पर, कंपनी को व्यक्तिगत डेटा और उनके स्रोतों को इकट्ठा करने के उद्देश्यों का खुलासा करना चाहिए;
• मना करने का अधिकार। उपयोगकर्ता अपने डेटा को तीसरे पक्ष को स्थानांतरित करने से मना कर सकते हैं।

यहां GDPR से एक महत्वपूर्ण अंतर है - यूरोपीय निर्देश के अनुसार, एक कंपनी को पीडी प्रसंस्करण के लिए उपयोगकर्ता की सहमति प्राप्त करने की आवश्यकता है। कैलिफोर्निया कानून के तहत, एक संगठन को केवल उपयोगकर्ताओं से अनुरोधों को संसाधित करने की आवश्यकता होती है।

यदि उपयोगकर्ता डेटा खो गया था या चोरी हो गया था, तो कंपनी को प्रत्येक पीड़ित को 100 से 750 डॉलर का भुगतान करना होगा।

यदि उपयोगकर्ता ने अपने व्यक्तिगत डेटा से संबंधित उल्लंघन के बारे में कंपनी को शिकायत भेजी है, तो वह एक महीने के भीतर समस्या का समाधान करने के लिए बाध्य है। नहीं तो उस पर जुर्माना लगाया जाएगा। अब यह 7.5 हजार डॉलर है।
हालांकि, CCRA के तहत, कंपनियों को उल्लंघन के किसी भी तथ्य का खुलासा करने की आवश्यकता नहीं है, अगर उन्हें उपयोगकर्ताओं से संबंधित अनुरोध नहीं मिला है।

जुर्माना और भुगतान की मात्रा अभी भी बदल सकती है, लेकिन किसी भी मामले में (सभी तकनीकी और कानूनी लागतों को ध्यान में रखते हुए), एसएसआरए कई कंपनियों के अस्तित्व के लिए वित्तीय खतरा बन सकता है।


/ फोटो जस्टिन लिम पीडी

छूट

एक और दिलचस्प बारीकियों - कानून कंपनियों को उन उपयोगकर्ताओं के खिलाफ भेदभाव करने से रोकता है जो अपने व्यक्तिगत डेटा प्रदान करने से इनकार करते हैं। लेकिन एक ही समय में, यह उन लोगों के लिए एक इनाम प्रणाली शुरू करने की संभावना का सुझाव देता है जो सहमत थे।

औपचारिक रूप से, इसका मतलब है (यदि आइटम नहीं बदलता है) कि कंपनियां उन लोगों को छूट दे सकती हैं जो अपने डेटा को तीसरे पक्ष के साथ साझा करते हैं और उपयोगकर्ताओं के लिए उनकी गोपनीयता सेटिंग्स के आधार पर अलग-अलग मूल्य निर्धारित करते हैं।

यह न केवल एक दिलचस्प तकनीकी मिसाल कायम करता है, बल्कि एक सांस्कृतिक भी है: वास्तव में CCPA नए गेम नियम बनाता है, जिसके द्वारा कंपनियां उन उपयोगकर्ताओं से जानकारी खरीद सकती हैं, जो उन्हें पहले मुफ्त में मिले थे।

सूखे अवशेषों में

औपचारिक रूप से, कानून 1 जनवरी, 2020 से लागू होता है। लेकिन जैसे ही यह काम करना शुरू करता है, कंपनी को तुरंत पिछले 12 महीनों में उपयोगकर्ताओं को उनके बारे में एकत्र किए गए डेटा प्रदान करने में सक्षम होना चाहिए। तदनुसार, इसके लिए सभी आवश्यक तकनीकी समाधानों के कार्यान्वयन की समय सीमा एक साल पहले - यानी केवल चार महीने बाद आती है।

इस दृष्टिकोण के साथ, निर्देश के पहले दिन पहले मुकदमों की उम्मीद की जा सकती है। जैसा कि जीडीपीआर और फेसबुक और गूगल को हुआ था ।


/ फोटो बुक कैटलॉग सी.सी.

बड़े आईटी दिग्गज धीरे-धीरे हैं, लेकिन बहुत खुले तौर पर इस कानून का विरोध नहीं कर रहे हैं। विशेष रूप से, वे एक सार्वजनिक संगठन को वित्त देते हैं जो इसके खिलाफ लड़ रहा है।

विशेषज्ञों का मानना ​​है कि इस तरह की हड़बड़ी में अपनाए गए कानून में दो साल में संशोधन और मसौदा तैयार किया जाएगा। हालांकि, उन्हें यकीन नहीं है कि बदलाव महत्वपूर्ण होंगे। प्रमुख बिंदु बरकरार रहने की संभावना है।

इस प्रकार, एसएसआरए अमेरिका में सूचना सुरक्षा की पूरी तरह से नई समझ और अधिकांश प्रथाओं के संशोधन की दिशा में पहला कदम है जो कई वर्षों से बुनियादी और अपरिवर्तित माने जाते थे।

---

हमारे IaaS ब्लॉग से PS संबंधित पोस्ट:

• क्लाउड में पीडी को कैसे संभालना है और कानून को नहीं तोड़ना है
• रूसी नियामक के दृष्टिकोण से पीडी पर क्या विचार करें
• क्लाउड में पीडी: जिसके लिए ग्राहक और क्लाउड प्रदाता जिम्मेदार हैं

HPSé पर हमारे ब्लॉग में PPS की नई पोस्ट:

• क्लाउड प्रदाता सॉफ्टवेयर लाइसेंस का प्रबंधन कैसे करता है, और ब्लॉकचैन की आवश्यकता यहां क्यों है
• तीन महीने बाद: GDPR ने कुकीज़ को कैसे प्रभावित किया