रूसी व्यक्तिगत डेटा ऑपरेटरों पर GDPR का प्रभाव

द्वारा पोस्ट किया गया: Anastasia Zavedenskaya, सहायक विश्लेषक, UTSB LLC का विश्लेषणात्मक केंद्र
समीक्षक: एकातेरिना रुबलेवा और कोंस्टेंटिन समतोव, दिशा के प्रमुख, यूटीएसबी एलएलसी के विश्लेषणात्मक केंद्र

एक कंपनी जो व्यक्तिगत डेटा संसाधित करती है, उसे इसका ऑपरेटर माना जाता है। सबसे अधिक संभावना है, यह कंपनी 27 जुलाई, 2006 नंबर 152-एफजेड "ऑन पर्सनल डेटा" और इसकी आवश्यकताओं के संघीय कानून के बारे में जानती है। और अगर कंपनी के पास यूरोपीय संघ में ग्राहक हैं या क्या उन्हें आकर्षित करने की इच्छा है? या उपयोगकर्ता द्वारा भरने के लिए फॉर्म के साथ इंटरनेट पर बस एक वेबसाइट है? फिर आपको यह समझने की जरूरत है कि जीडीपीआर और इसका दायरा क्या है।

1995 में वापस, यूरोपीय संघ के देशों ने व्यक्तिगत डेटा के प्रसंस्करण में व्यक्तियों के अधिकारों के संरक्षण पर निर्देश संख्या 95/46 / यूरोपीय संघ को अपनाया। लेकिन सब कुछ बदल रहा है, और 25 मई, 2018 को, इसे अप्रैल 2016 में यूरोपीय संसद द्वारा अपनाया गया सामान्य डेटा संरक्षण विनियमन द्वारा बदल दिया गया, बस जीडीपीआर संक्षिप्त किया गया।

GDPR के उपयोग को यूरोपीय मुक्त व्यापार संघ (EFTA) के तीन और देशों में और विशेष रूप से आइसलैंड, लिकटेंस्टीन, नॉर्वे में अनुमोदित किया जाएगा, जो यूरोपीय संघ के सदस्य नहीं हैं। ईएफटीए वेबसाइट (ईएफटीए), "ईईए ​​(यूरोपीय आर्थिक क्षेत्र) में जीडीपीआर को शामिल करने और निर्देश 95/46 / ईसी को लागू करने" पर एक लेख में कहा गया है कि ईपीआर को ईईए संयुक्त समिति (ईईए) द्वारा अपनाए जाने की उम्मीद है। संयुक्त समिति) और EEA EFTA में इसका प्रवेश जुलाई 2018 के मध्य में होता है। तब तक, डेटा सुरक्षा निर्देश संख्या 95/46 / EC ईईए समझौते में लागू रहता है, जिससे ईईए ईएफटीए और ईयू सदस्य राज्यों के बीच डेटा के निर्बाध वितरण की संभावना की गारंटी होती है।

GDPR किसके लिए लागू होता है?

पहले आपको यह समझने की आवश्यकता है कि जीडीपीआर की आवश्यकताओं का पालन करने की आवश्यकता किसे है, और कौन उसकी आवश्यकताओं के अंतर्गत नहीं आता है।



चित्रा 1 - जीडीपीआर के दायरे को निर्धारित करने के लिए एल्गोरिदम

दस्तावेज के पाठ के आधार पर, इसकी आवश्यकताएं न केवल यूरोपीय संगठनों पर लागू होती हैं, बल्कि यूरोपीय संघ के नागरिकों या यूरोपीय संघ में स्थित व्यक्तियों के व्यक्तिगत डेटा के साथ काम करने वाली कंपनियों के लिए भी हैं (देखें चित्र 1)। इसी समय, कंपनी का स्थान खुद ही मायने नहीं रखता है।

इसलिए, यदि कोई कंपनी यूरोपीय संघ में पंजीकृत है या, उदाहरण के लिए, उपरोक्त आइसलैंड, लिकटेंस्टीन, नॉर्वे में, तो, प्रसंस्करण प्रक्रिया के स्थान की परवाह किए बिना, यह स्पष्ट रूप से GDPR है।

यह समझने के लिए कि क्या कोई संगठन यूरोपीय संघ में स्थित व्यक्तियों को सेवाएं या सामान प्रदान करता है, यहां तक ​​कि सेवाओं / वस्तुओं की पेशकश करने का उसका इरादा पर्याप्त होगा। जीडीपीआर के अनुसार, यह इरादा स्पष्ट हो जाता है कि यदि कंपनी की वेबसाइट राष्ट्रीय भाषा और यूरोपीय संघ के सदस्य राज्य की मुद्रा का उपयोग करती है, और उस भाषा में एक आदेश संभव है। या उन उपभोक्ताओं या उपयोगकर्ताओं के संदर्भ हैं जो यूरोपीय संघ में हैं।

हालांकि भले ही साइट पूरी तरह से रूसी में है, और अपने आप में यूरोपीय संघ के लोगों के लिए इसकी उपलब्धता इरादों को नहीं दिखाती है, आप पूरी तरह से सुनिश्चित नहीं हो सकते हैं कि कोई भी यूरोपीय संघ में नहीं है, अपनी सेवाओं का उपयोग करेगा। इसलिए, यह अनुशंसा की जाती है कि आप वैसे भी GDPR आवश्यकताओं का अनुपालन करें।

एक और अवधारणा जो जीडीपीआर के संदर्भ में दिलचस्प और प्रासंगिक है, निगरानी कर रही है। जीडीपीआर में निगरानी, ​​वरीय डेटा का विश्लेषण करने या वरीयताओं, व्यक्तिगत विशेषताओं और व्यवहार संबंधी विशेषताओं का अनुमान लगाने के लिए व्यक्तिगत डेटा को संसाधित करने के लिए विभिन्न तकनीकों के उपयोग या संभावित अनुप्रयोग के साथ इंटरनेट पर ट्रैकिंग करने वाले व्यक्तियों को संदर्भित करता है। यही है, अगर कंपनी यूरोपीय संघ में स्थित व्यक्तियों के व्यवहार का अध्ययन करने के लिए, विपणन उद्देश्यों के लिए, आँकड़ों के लिए, आदि। - यह निगरानी कर रहा है। उदाहरण के लिए, Yandex.Metrica, Google Analytics इत्यादि संगठन की वेबसाइट पर स्थापित हैं, इसलिए GDPR को लागू किया जाना चाहिए। क्योंकि, जैसा कि पहले ही उल्लेख किया गया है, इस बात की कोई गारंटी नहीं है कि यूरोपीय संघ का कोई व्यक्ति उस साइट पर नहीं जाएगा जिस पर इन सेवाओं का उपयोग किया जाता है।

यह जानना महत्वपूर्ण है कि संगठन को यूरोपीय संघ में एक प्रतिनिधि नियुक्त करना चाहिए, जब निम्न में से कम से कम एक शर्तें पूरी हों:

1. प्रसंस्करण जारी है;
2. व्यक्तिगत डेटा की विशेष श्रेणियों के बड़े पैमाने पर प्रसंस्करण;
3. आपराधिक आक्षेप या अपराधों से संबंधित संसाधित व्यक्तिगत डेटा;
4. मानव अधिकारों और स्वतंत्रता के उल्लंघन का उच्च जोखिम है।

जीडीपीआर के अनुसार, व्यक्तिगत डेटा की विशेष श्रेणियों को रूसी कानून के समान परिभाषित किया गया है। इस तथ्य को छोड़कर कि दोषियों और अपराधों पर डेटा अलग से जारी किए जाते हैं, एक आधिकारिक निकाय द्वारा या राज्य कानून द्वारा अधिकृत के रूप में उनके प्रसंस्करण को नियंत्रित करने के दायित्व के साथ।

एक प्रतिनिधि एक प्राकृतिक या कानूनी व्यक्ति हो सकता है जो विशेष रूप से प्रासंगिक दस्तावेजों के आधार पर अधिकृत है। प्रतिनिधि को यूरोपीय संघ के देश में स्थित होना चाहिए जिसमें डेटा विषय स्थित हैं। कंपनी की ओर से उसका कार्य यूरोपीय संघ के अधिकारियों और नागरिकों के साथ बातचीत करना है, ताकि कंपनी के निर्देशों का पालन किया जा सके। इसी तरह वह उल्लंघन के लिए जिम्मेदार ठहराया जाता है।

उदाहरण के लिए, एक रूसी कंपनी जिसके पास फिनलैंड में सहायक नहीं है, लगातार अपने नागरिकों को अपनी सेवाएं प्रदान करता है। इसका मतलब यह है कि कंपनी को आधिकारिक तौर पर फिनलैंड में स्थित एक प्रतिनिधि को नियुक्त करना चाहिए। यदि कोई सहायक है, तो उसे प्रतिनिधि नियुक्त किया जा सकता है।

यह पता चला है कि जनरल डेटा प्रोटेक्शन रेगुलेशन में काफी व्यापक कवरेज है, और यदि सब कुछ यूरोपीय संघ की कंपनियों के साथ काफी तार्किक है, तो अन्य देश भी वितरण में आ गए हैं। यह स्पष्ट हो जाता है कि रूसी संगठन, यूरोपीय संघ के ग्राहक-उन्मुख, को भी GDPR की आवश्यकताओं का अनुपालन करना चाहिए।

मान लीजिए कि एक छोटी रूसी कंपनी का ऑनलाइन स्टोर है, और एक लातवियाई नागरिक अपना माल खरीदता है। इसका मतलब है कि इस ऑनलाइन स्टोर पर जीडीपीआर की आवश्यकताएं लागू होती हैं, क्योंकि यूरोपीय संघ के नागरिक के व्यक्तिगत डेटा को इसमें संसाधित किया जाएगा। यदि इस कंपनी की साइट पर शुरू में एक अंग्रेजी संस्करण है और उपयोगकर्ता की स्थिति के अनुसार मुद्रा में मूल्य निर्धारित करता है, तो यह जीडीपीआर के दायरे में भी आता है। और किसी भी मामले में, यदि कंपनी प्रत्येक ग्राहक के साथ व्यक्तिगत रूप से काम नहीं करती है, तो आप ठीक से नहीं जान सकते कि ग्राहक कहाँ से है। इसका मतलब यह है कि एक छोटी सी कंपनी की पूरी तरह से रूसी वेबसाइट को भी जीडीपीआर की आवश्यकताओं को पूरा करने के लिए तैयार रहना होगा।

जीडीपीआर द्वारा कवर की गई कंपनियों की सूची को लंबे समय तक जारी रखा जा सकता है, लेकिन अभी तक कोई कानून प्रवर्तन अभ्यास नहीं है, लेखक के अनुसार, यह विश्लेषण करना आवश्यक है कि कंपनी के कार्यों का उद्देश्य किसके साथ और किसके साथ बातचीत करता है।

जीडीपीआर क्या भूमिका प्रदान करता है?

किसी भी प्रक्रिया की तरह, डेटा प्रोसेसिंग के दो पक्ष होते हैं - एक जिसका डेटा संसाधित होता है, अर्थात्। व्यक्तिगत डेटा का विषय, और जो इस डेटा को संसाधित करता है। आइए हम दूसरे पर अधिक विस्तार से ध्यान दें। एक नियंत्रक (अंग्रेजी डेटा नियंत्रक) और एक प्रोसेसर (अंग्रेजी डेटा प्रोसेसर) की अवधारणाओं को जीडीपीआर में पेश किया जाता है।

हम जीडीपीआर और यूरोपीय आयोग की वेबसाइट पर दी गई व्याख्याओं के आधार पर इन शर्तों से निपटेंगे।

नियंत्रक, GDPR के अनुच्छेद 4 के पैराग्राफ (7) के अनुसार, व्यक्तियों, व्यक्तियों या कानूनी संस्थाओं, विभिन्न निकायों और एजेंसियों को निर्धारित करता है कि किस उद्देश्य और किस माध्यम से डेटा संसाधित किया जाता है।

व्यक्तिगत डेटा के प्रसंस्करण और संरक्षण के लिए आवश्यकताओं को पूरा करने के लिए सभी जिम्मेदारी नियंत्रक के साथ निहित है। नियंत्रक अनुपालन को सत्यापित करने में सक्षम होना चाहिए।

यह पता चला है कि अगर कंपनी "क्यों?" और "कैसे?" व्यक्तिगत डेटा संसाधित, यह एक डेटा नियंत्रक है। प्रोसेसिंग कंपनी के कर्मचारी इसे डेटा कंट्रोलर के रूप में करते हैं।

यदि एक कंपनी, एक या एक से अधिक संगठनों के साथ, संयुक्त रूप से "क्यों?" और "कैसे?" संसाधित व्यक्तिगत डेटा, इसे एक संयुक्त नियंत्रक (अंग्रेजी संयुक्त नियंत्रक) कहा जा सकता है। संयुक्त पर्यवेक्षकों ने GDPR आवश्यकताओं का पालन करने के लिए दायित्वों को बताते हुए एक समझौता किया। इस समझौते के मुख्य पहलुओं को उन व्यक्तियों को हस्तांतरित किया जाना चाहिए जिनके डेटा को संसाधित किया गया है।

GDPR के अनुच्छेद 4 के पैरा (8) के अनुसार प्रोसेसर (प्रोसेसर), व्यक्ति, व्यक्ति या कानूनी संस्थाएं, विभिन्न निकाय और एजेंसियां ​​हैं जो नियंत्रक की ओर से व्यक्तिगत डेटा के प्रसंस्करण में लगे हुए हैं।

यह पता चला है कि प्रोसेसर को केवल नियंत्रक की ओर से व्यक्तिगत डेटा को संसाधित करने का अधिकार है। एक डेटा प्रोसेसिंग प्रोसेसर, उदाहरण के लिए, डेटा प्रोसेसिंग में शामिल एक तृतीय-पक्ष कंपनी हो सकती है।

एक संगठन एक डेटा नियंत्रक या डेटा प्रोसेसर, या एक ही समय में दोनों हो सकता है।

27 जुलाई, 2006 के संघीय कानून में 152-एफजेड "व्यक्तिगत डेटा" पर, एक ऑपरेटर की एक अवधारणा है, जो एक नियंत्रक के समान है, और एक प्रोसेसर उस व्यक्ति के समान है जो ऑपरेटर की ओर से व्यक्तिगत डेटा संसाधित करता है।

GDPR और नंबर 152-FZ "व्यक्तिगत डेटा पर"। सामान्य और अंतर

कोई भी नियामक दस्तावेज़ परिभाषा के अपने नियमों का उपयोग करता है, उन पर विचार करें और उनकी तुलना करें।

व्यक्तिगत डेटा, संघीय कानून "ऑन पर्सनल डेटा" के अनुच्छेद 3 के अनुसार, कोई भी जानकारी है जो प्रत्यक्ष या अप्रत्यक्ष रूप से आपको किसी व्यक्ति की पहचान करने की अनुमति देती है। जीडीआर के अनुच्छेद 4 का खंड (1) एक समान परिभाषा प्रदान करता है, सिवाय इसके कि शब्द "परिभाषित", "पहचान" का उपयोग किया जाता है।

शर्तें समान हैं, लेकिन जीडीपीआर व्यक्तिगत डेटा से संबंधित जानकारी के बारे में अधिक विस्तार से बात करता है। हम कहां से प्राप्त करते हैं कि डेटा विषय की पहचान निर्धारित करने की अनुमति देने वाली जानकारी व्यक्तिगत डेटा है। इससे कोई फर्क नहीं पड़ता कि विषय सीधे उनके द्वारा पहचाना जा सकता है या क्या विशेष उपकरण या कार्यक्रमों की आवश्यकता है।

GDPR में व्यक्तिगत डेटा की निम्नलिखित सूची है:

1. पहला नाम;
2. पहचान संख्या;
3. स्थान डेटा;
4. ऑनलाइन पहचानकर्ता;
5. पहचानकर्ताओं / संकेतकों का संयोजन।

ऑनलाइन पहचानकर्ताओं के साथ सबसे मुश्किल काम है। इनमें आईपी एड्रेस, कुकीज आदि शामिल हैं। एक आईपी पते, उदाहरण के लिए, इंटरनेट तक पहुंचने वाले एक निश्चित व्यक्ति को जन्म दे सकता है, या यह केवल नेटवर्क तक पहुंच बिंदु दिखा सकता है, अर्थात। कुछ मामलों में, इसका उपयोग किसी व्यक्ति को केवल अन्य डेटा के साथ संयोजन में निर्धारित करने के लिए किया जा सकता है। एक आईपी पता व्यक्तिगत डेटा से संबंधित है या नहीं, यह एक बिंदु है और स्थिति के संदर्भ पर निर्भर करता है। लेकिन चूंकि जीडीपीआर ऑनलाइन पहचानकर्ताओं पर केंद्रित है, इसलिए यह अनुशंसा की जाती है कि आप उनकी भी रक्षा करें।

सिद्धांतों और प्रसंस्करण की स्थिति संघीय कानून "व्यक्तिगत डेटा पर" के 5, 6 और जीडीपीआर के अनुच्छेद 5.6 में उल्लिखित हैं।

रूसी संघ के व्यक्तिगत डेटा पर कानून में 7 प्रसंस्करण सिद्धांत शामिल हैं, और जीडीपीआर में 6 शामिल हैं। सभी सिद्धांत तुलनीय हैं, सिवाय इसके कि रूसी कानून असंगत उद्देश्यों के लिए बनाए गए डेटाबेस के संयोजन के निषेध को स्पष्ट करता है। जीडीपीआर में सिद्धांतों का एक महत्वपूर्ण पूरक पारदर्शिता / पारदर्शिता का सिद्धांत है। अर्थात्, व्यक्तिगत डेटा के प्रसंस्करण से संबंधित कोई भी जानकारी और संदेश विषय के लिए आसानी से सुलभ था और उसकी समझ के लिए स्पष्ट है, अर्थात, एक स्पष्ट और सरल भाषा का उपयोग किया गया था। इसके अलावा, जीडीपीआर एक सिद्धांत के रूप में व्यक्तिगत डेटा की सुरक्षा को परिभाषित करता है [पी। (च), कला। ५, जीडीपीआर,], लेकिन हमारे साथ यह एक कर्तव्य के रूप में प्रस्तुत किए जाने की अधिक संभावना है।

जिन शर्तों के तहत प्रसंस्करण वैध है, वे भी तुलनीय हैं। ऐसा करने के लिए, GDPR राज्यों को अपनी प्रसंस्करण आवश्यकताओं को लागू करने की अनुमति देता है।

संघीय कानून के अनुच्छेद 9 "व्यक्तिगत डेटा पर" और जीडीपीआर के अनुच्छेद 7 में व्यक्तिगत डेटा के प्रसंस्करण के लिए विषय की सहमति का वर्णन है। दोनों दस्तावेज़ संक्षिप्तता, जागरूकता और चेतना की बात करते हैं। यह महत्वपूर्ण है कि जीडीपीआर के लिए आवश्यक है कि आम सहमति ऐसी भाषा में संकलित हो जो समझने योग्य और आसानी से सुलभ हो। डेटा की प्रोसेसिंग से सहमति अन्य शर्तों और समझौतों से अलग से दी जानी चाहिए। इसमें सभी प्रसंस्करण लक्ष्य शामिल होने चाहिए। सहमति वापस लेने की प्रक्रिया इसे प्राप्त करने के समान सरल होनी चाहिए - यह बॉक्स को चेक करने और इसे हटाने का तरीका है।

यह पता चला है कि समझौता अस्पष्ट नहीं होना चाहिए, लेकिन सटीक - "मैं सहमत हूं ..."। इसमें विशिष्ट प्रसंस्करण लक्ष्यों की एक सूची शामिल होनी चाहिए। उदाहरण के लिए, डिफ़ॉल्ट सहमति सेट करने के साथ चेकबॉक्स का उपयोग करना भी असंभव है। यह सहमति की स्वतंत्रता के विपरीत है। और ऑपरेटर को हमेशा यह पुष्टि करने के लिए तैयार रहना होगा कि विषय ने उसकी सहमति दी है।

GDPR के मुख्य अंतरों में से एक यह है कि यह नाबालिगों को सूचना समाज सेवाओं के प्रावधान के लिए सहमति के लिए विशेष नियम स्थापित करता है। यदि 16 वर्ष की आयु का बच्चा व्यक्तिगत डेटा के प्रसंस्करण में शामिल है, तो यह कानूनी है। 16 वर्ष से कम आयु के बच्चों के लिए, माता-पिता या अभिभावक के कार्यों का पालन करने वाले व्यक्ति द्वारा सहमति दी जानी चाहिए।

विचाराधीन दोनों दस्तावेज़ डेटा विषय के अधिकारों का काफी विस्तार से वर्णन करते हैं। वहां और वहां, दोनों व्यक्ति अपने डेटा और जानकारी प्राप्त कर सकते हैं कि उन्हें कैसे संसाधित किया जाता है, सही कर सकते हैं, अपने बारे में जानकारी हटा सकते हैं। मुख्य बात यह है कि संघीय कानून "व्यक्तिगत डेटा पर" के अनुसार, एक इकाई अनुरोध पर डेटा एकत्र करते समय व्यक्तिगत डेटा के प्रसंस्करण के बारे में जानकारी प्राप्त कर सकती है। और जीडीपीआर के अनुसार, संगठन व्यक्तिगत डेटा प्राप्त करने के समय प्रसंस्करण के बारे में सभी जानकारी प्रदान करने के लिए बाध्य है। GDPR विषय के अधिकार के रूप में सूचना के विलोपन और परिवर्तन, और ऑपरेटर के कर्तव्य के रूप में रूसी कानून का वर्णन करता है। व्यक्तिगत डेटा विषय हमेशा प्रसंस्करण के लिए अपनी सहमति वापस ले सकता है और इससे संबंधित डेटा को हटाने का अनुरोध कर सकता है।

GDPR का एक और महत्वपूर्ण अंतर यह है कि इसके डेटा को स्थानांतरित करने का एक अलग अधिकार है। जीडीपीआर के ढांचे के भीतर काम करने वाली एक कंपनी को यह समझना चाहिए कि जब कोई विषय पहले उन्हें प्रदान की गई जानकारी का अनुरोध करता है, तो उन्हें बिना बाधा के इसे प्रदान करना आवश्यक है। जीडीपीआर यह स्पष्ट करता है कि इन आंकड़ों को संरचित किया जाना चाहिए और मशीन-पठनीय प्रारूप होना चाहिए। साथ ही, उपयोगकर्ता के अनुरोध पर, संगठन को अपना डेटा किसी अन्य संगठन में स्थानांतरित करना होगा। यह सब कानूनी आवश्यकताओं के लिए नया है।

डेटा सुरक्षा अधिकारी के बारे में GDPR में एक अलग सेक्शन है। यह भूमिका रूसी कानून से व्यक्तिगत डेटा के प्रसंस्करण के आयोजन के लिए जिम्मेदार व्यक्ति के समान है। जीडीपीआर के अनुसार, यदि कोई संगठन लगातार बड़े पैमाने पर विशेष श्रेणियों की संस्थाओं या प्रक्रियाओं की निगरानी करता है, तो उसे डेटा सुरक्षा अधिकारी नियुक्त करना आवश्यक है। अन्यथा, नियुक्ति संगठन के विवेक पर या उसके राज्य के कानूनों के आधार पर की जाती है। संघीय कानून "व्यक्तिगत डेटा पर" के अनुसार, ऑपरेटर किसी भी मामले में डेटा के प्रसंस्करण के आयोजन के लिए जिम्मेदार व्यक्ति को नियुक्त करने के लिए बाध्य है।

सुरक्षा उपायों की गणना करते समय, संघीय कानून "व्यक्तिगत डेटा पर" व्यक्तिगत डेटा के प्रसंस्करण के लिए लेखांकन को संदर्भित करता है। बदले में, जीडीपीआर ऐसे रिकॉर्डों को एक दस्तावेज रूप में रखने के लिए बाध्य करता है, जिसमें इलेक्ट्रॉनिक रूप भी शामिल है। 250 से कम कर्मचारियों वाले संगठनों पर दायित्व नहीं लगाया जाता है, यदि वे निरंतर आधार पर प्रसंस्करण का संचालन नहीं करते हैं, तो बड़े पैमाने पर विशेष श्रेणियों या दोषियों, अपराधों पर डेटा पर कार्रवाई नहीं करते हैं। लेखक के अनुसार, किसी भी मामले में इस तरह के रिकॉर्ड रखने की सलाह दी जाती है।

यदि कंपनी एक नियंत्रक है, तो लेखांकन में शामिल होना चाहिए:

1. नियंत्रक, उसके प्रतिनिधि और डेटा संरक्षण अधिकारी (यदि कोई हो) के बारे में जानकारी;
2. प्रसंस्करण लक्ष्य;
3. डेटा विषयों और संसाधित व्यक्तिगत डेटा की श्रेणियों के बारे में जानकारी;
4. व्यक्तिगत डेटा के अन्य प्राप्तकर्ताओं के बारे में जानकारी;
5. यदि संभव हो तो डेटा हटाने की तारीखें;
6. यदि संभव हो तो सुरक्षा उपायों का विवरण।

यदि कंपनी एक प्रोसेसर है, तो लेखांकन में शामिल होना चाहिए:

1. प्रोसेसर, नियंत्रक और, यदि संभव हो तो, इसके प्रतिनिधि और डेटा संरक्षण अधिकारी के बारे में जानकारी;
2. प्रसंस्करण की जानकारी;
3. व्यक्तिगत डेटा के अन्य प्राप्तकर्ताओं के बारे में जानकारी;
4. यदि संभव हो तो डेटा हटाने की तारीखें;
5. यदि संभव हो तो सुरक्षा उपायों का विवरण।

संगठन को किसी भी समय पर्यवेक्षक को यह जानकारी प्रदान करने के लिए तैयार रहना चाहिए।

व्यक्तिगत डेटा ही क्या है, फिर "कैसे?", "क्यों?" और "क्यों?" उन्हें संसाधित किया जा रहा है, जानकारी की सुरक्षा के लिए कौन से उपायों का उपयोग किया जाता है, विषय क्या कर सकता है और ऑपरेटर क्या करने के लिए बाध्य है - ये प्रमुख बिंदु संघीय कानून "व्यक्तिगत डेटा" और जीडीपीआर में समान हैं। लेकिन यहाँ क्या करना है अगर, फिर भी, एक अवांछित डेटा रिसाव हुआ है, यह विशेष रूप से केवल GDPR में बताया गया है। इसलिए, यदि कोई कंपनी अभी भी व्यक्तिगत डेटा के रिसाव की अनुमति देती है, तो यह पर्यवेक्षक और उस इकाई को बताने के लिए बाध्य है जिसने थोड़े समय में इसके बारे में नुकसान का सामना किया। अन्यथा कंपनी पर जुर्माना लगाया जाएगा। जीडीपीआर के तहत, प्रासंगिक नियामक कानूनी कृत्यों द्वारा प्रत्येक देश में एक पर्यवेक्षक नियुक्त किया जाता है। इन ओवरसाइट निकायों के नेता यूरोपीय डेटा सुरक्षा परिषद का गठन करते हैं।

और सबसे दिलचस्प: मानदंडों के अनिवार्य अनुपालन को मजबूत करने के लिए, जीडीपीआर किसी भी उल्लंघन के लिए जुर्माना पेश करता है। जुर्माने की राशि 20 मिलियन यूरो या कंपनी के नकदी प्रवाह का 4% (उच्चतम राशि चयनित है) तक पहुंचती है। लेकिन वास्तव में - सब कुछ इतना डरावना नहीं है। ऐसे मामलों में जहां उल्लंघन मामूली है, बस फटकार लगाई जा सकती है। अमूर्त प्रतिबंधों में व्यक्तिगत डेटा (या प्रतिपक्ष को उनके स्थानांतरण) के प्रसंस्करण पर पर्यवेक्षक द्वारा एक निषेध भी शामिल हो सकता है जब तक कि उल्लंघन को ठीक नहीं किया जाता है।

जुर्माना, सबसे पहले, एक ठोस प्रभाव होना चाहिए, जिसका अर्थ है कि यह स्थापित राशि के भीतर व्यापक रूप से भिन्न हो सकता है। जुर्माना की राशि उल्लंघन की विशेषताओं के आधार पर निर्धारित की जाती है:

1. उल्लंघन की प्रकृति, गंभीरता और अवधि;
2. जानबूझकर या लापरवाही के माध्यम से, एक पूर्ण उल्लंघन;
3. क्षति को कम करने के उपाय;
4. सुरक्षा उपायों का इस्तेमाल किया;
5. पिछले उल्लंघन;
6. उल्लंघन से प्रभावित व्यक्तिगत डेटा की श्रेणियां;
7. उल्लंघन कैसे ज्ञात हुआ;
8. अन्य आक्रामक और कम करने वाले कारक।

उदाहरण के लिए, सजा को कम करने के लिए पहले से माना गया रिसाव अधिसूचना एक महत्वपूर्ण कारक है।

संक्षेप में देना

सामान्य डेटा संरक्षण विनियमन एक लंबी प्रस्तावना और 99 लेखों के साथ एक नया बड़ा दस्तावेज़ है, जिसे हर कोई अपने तरीके से व्याख्या कर सकता है। लेकिन अगर कोई कंपनी बहु-मिलियन-डॉलर के जुर्माना के अधीन नहीं होना चाहती है, तो यह आवश्यक है कि वह GDPR आवश्यकताओं का अनुपालन करे, और निश्चित रूप से, संघीय कानून "ऑन पर्सनल डेटा" और इसके उप-कानूनों के बारे में नहीं भूलना चाहिए।

यदि आप एक रूसी कंपनी हैं, तो पहले आपको यह निर्धारित करने की आवश्यकता है कि संगठन का दायरा जीडीपीआर के दायरे में है या नहीं।

यदि शामिल है, तो नई आवश्यकताओं को लाइन में लाने के लिए प्राथमिकता वाले कार्यों को निम्नानुसार होना चाहिए: यह

निर्धारित करें कि क्या यूरोपीय संघ में एक प्रतिनिधि की आवश्यकता है। यदि आवश्यक हो तो इसे असाइन करें।
प्रसंस्करण प्रक्रिया (लक्ष्य, भंडारण अवधि, डेटा विषय के अधिकारों के बारे में जानकारी, आदि) के साथ-साथ व्यक्तिगत डेटा विषयों के उपचार के लिए संरचित और प्रलेखित प्रक्रियाओं के अस्तित्व की जानकारी की उपलब्धता की जाँच करें।
GDPR आवश्यकताओं के अनुपालन के लिए व्यक्तिगत डेटा के प्रसंस्करण के लिए सहमति की जाँच करें। इसे एक समझदार भाषा में कहा जाना चाहिए, विशेष रूप से, सभी प्रसंस्करण उद्देश्य शामिल होते हैं, जो अन्य स्थितियों / समझौतों से अलग स्थित होते हैं। सहमति सक्रिय क्रियाओं के आधार पर दी जाती है, न कि "डिफ़ॉल्ट रूप से" या निष्क्रियता के कारण। यदि आवश्यक हो, तो इसे अपडेट करें।

निर्दिष्ट प्रसंस्करण लक्ष्यों के अनुपालन के लिए संसाधित व्यक्तिगत डेटा की जाँच करें।
सभी व्यक्तिगत डेटा प्रोसेसिंग गतिविधियों का रिकॉर्ड रखें।

डेटा सुरक्षा प्रभाव मूल्यांकन करें, अर्थात एक खराबी के दौरान हुए नुकसान का आकलन करके व्यक्तिगत डेटा के प्रसंस्करण से संबंधित प्रत्येक विशिष्ट व्यवसाय प्रक्रिया के महत्व की डिग्री निर्धारित करें।

GDPR के अनुपालन के लिए सुरक्षा उपायों की जाँच करें। यदि आवश्यक हो, तो उन्हें सुधारें।

पर्यवेक्षक द्वारा किसी घटना की सूचना के लिए सुव्यवस्थित और प्रलेखित प्रक्रियाओं का परिचय दें, अधिमानतः पता लगाने के 72 घंटे के भीतर। लीक की प्रकृति की जानकारी, फीडबैक की जानकारी, संभावित परिणाम, सूचनाओं में रिसाव को खत्म करने के उपाय शामिल करें। यदि संभव हो, व्यक्तिगत डेटा के विषय को सूचित करें यदि उसके अधिकारों और स्वतंत्रता के लिए कोई जोखिम है और डेटा को उचित समय के भीतर एन्क्रिप्ट नहीं किया गया है।

पीडी प्रसंस्करण गतिविधियों की वैधता का प्रमाण प्रदान करने के लिए तैयार रहें।