गोपनीयता नीति टेम्पलेट आपके लिए सही क्यों नहीं है?

सर्गेई वोरोन्केविच, एमबीए, सीआईपीपी / ई

गोपनीयता नीतियों को कॉपी और जेनरेट करना

एक टेम्पलेट गोपनीयता नीति की नकल करना या जनरेटर (स्वचालित संकलन) का उपयोग करना एक बहुत ही आम बात है। वास्तव में, कुछ मामलों में यह समय बचा सकता है जब यह दोहराया जानकारी की नकल करने की बात आती है जो कई साइटों के लिए सार्वभौमिक है। लेकिन यह केवल तभी सच है जब आप इसे किसी विश्वसनीय स्रोत से कॉपी करते हैं या उच्च गुणवत्ता वाले जनरेटर का उपयोग करते हैं।

नकल

यदि आप अभी भी टेम्पलेट गोपनीयता नीति की नकल करते हैं, तो आपको जीडीपीआर के अनुच्छेद 13 और 14 (सामान्य डेटा संरक्षण विनियमन - व्यक्तिगत डेटा के संरक्षण के लिए यूरोपीय संघ का सामान्य विनियमन) के साथ-साथ प्रत्येक कंपनी के लिए अलग-अलग पैराग्राफ बदलने के साथ इस दस्तावेज़ के अनुपालन को दोबारा जांचने की आवश्यकता है:

1. प्रसंस्करण के उद्देश्य
2. वैध प्रसंस्करण आधार
3. प्रसंस्करण समय

आपकी कंपनी की सभी प्रक्रियाओं और उसी समय GDPR से मेल खाने वाली गोपनीयता नीति खोजना कठिन है। अधिकांश गोपनीयता नीतियां, यहां तक ​​कि यूरोपीय कंपनियां, जीडीपीआर अनुपालन नहीं हैं।

कॉपी की गई गोपनीयता नीति में व्यक्तिगत डेटा का प्रसंस्करण शामिल हो सकता है जो कंपनी नहीं करती है और न ही हो सकती है। यह डेटा विषयों के अधिकारों के कार्यान्वयन में बड़ी समस्याएं पैदा करता है। उदाहरण के लिए, आपकी सेवा का एक उपयोगकर्ता डेटा पोर्टेबिलिटी के अपने अधिकार का उपयोग करना चाहता है, लेकिन आप इसे महसूस नहीं कर पा रहे हैं।

यह भी ध्यान दें कि कई गोपनीयता नीति टेम्पलेट अन्य कानूनों के तहत लिखे गए हैं। अक्सर ऐसे मामले होते हैं जब "GDPR" शब्द को एक और आदर्श कानूनी अधिनियम के बजाय उनमें डाला जाता है।

नतीजतन, आप किसी टेम्पलेट को खोजने और संपादित करने के लिए अधिक समय बिताते हैं जब यह एक नीति लिखने या किसी विशेषज्ञ से परामर्श करने के लिए बहुत तेज़ (या शायद सस्ता) होगा।

जनरेटर

मान लीजिए कि आपको एक गुणवत्ता गोपनीयता नीति जनरेटर मिल गया है। इसके लिए तैयार संस्करण का उत्पादन करने के लिए, आपको अभी भी अपनी प्रक्रियाओं का विस्तार से वर्णन करना होगा, लक्ष्य तैयार करना होगा और कानूनी आधारों की रूपरेखा तैयार करनी होगी। आमतौर पर, गोपनीयता नीति जनरेटर के लिए व्यक्तिगत डेटा के प्रसंस्करण के बारे में सभी विभिन्न जानकारी को जोड़ना असंभव है। कुछ में, पेशेवर साइनटू जनरेटर की तरह, आप ऐसा कर सकते हैं, लेकिन कुछ उत्पन्न करने के लिए, आपको दर्जनों जटिल सवालों के जवाब देने होंगे, जिनके लिए जीडीपीआर के गहन ज्ञान की आवश्यकता होती है।

एक गोपनीयता नीति बनाना

यदि आप दवाओं की खरीद के साथ एक मंच के उपयोग की तुलना करते हैं, तो गोपनीयता नीति निर्देशों के साथ एक सम्मिलित है। इस निर्देश के साथ, उपयोगकर्ता जानते हैं कि इस दवा का सही तरीके से उपयोग कैसे किया जाए और खुद को नुकसान न पहुंचे।

इसी तरह, गोपनीयता नीतियों को काम करना चाहिए। यह दस्तावेज़ मुख्य रूप से उपयोगकर्ताओं के लिए लिखा गया है। यह याद रखें जब आप अपने वकील को हुक करते हैं। पाठक के लिए समझने योग्य भाषा में गोपनीयता नीति लिखी जानी चाहिए।

गोपनीयता नीति डिजाइन करते समय, सबसे पहले, आपके प्रसंस्करण के लिए लागू कानून का संदर्भ लें। वहां आपको आवश्यकताएं मिलेंगी और समझेंगी कि आपको अपने दस्तावेज़ में कौन सी जानकारी इंगित करनी है। इस लेख में हम GDPR के बारे में बात कर रहे हैं।
GDPR के लिए गोपनीयता नीति की सामग्री के लिए बुनियादी आवश्यकताएं कला में निहित हैं। नियमों के 13 और 14, साथ ही साथ अनुच्छेद 29 वर्किंग पार्टी, पैन-यूरोपीय ओवरसाइट निकाय से " पारदर्शिता पर दिशानिर्देश " की व्याख्या में। दस्तावेज़ के अंत में एक तालिका है जिसके द्वारा आप अपनी गोपनीयता नीति की जांच कर सकते हैं।

किसी नीति का प्रारूपण करते समय, गलती अलग-अलग खंडों में अलग-अलग प्रसंस्करण के बारे में जानकारी फैलाने की होती है, जब कंपाइलर लक्ष्यों से अलग संसाधित डेटा की श्रेणियों का वर्णन करता है, और प्रसंस्करण के लिए कानूनी आधार से अलग लक्ष्य (सहमति, वैध ब्याज, अनुबंध, कानूनी आवश्यकता आदि)। यह निषिद्ध है, क्योंकि व्यक्ति (डेटा विषय) स्पष्ट नहीं है कि किस उद्देश्य के लिए डेटा की श्रेणियों को संसाधित किया जाता है। यह वही है यदि आप सड़क पर किसी राहगीर के पास गए और फोन मांगा। उनके पास एक उचित प्रश्न है: "क्यों?" वह तय करेगा कि आप फोन का उपयोग कैसे करना चाहते हैं, इस पर निर्भर करता है। इसी तरह, उपयोगकर्ता आपके लक्ष्यों के आधार पर व्यक्तिगत डेटा के प्रसंस्करण के लिए सहमत है।

दूसरे शब्दों में, व्यक्तिगत उपचार के लिए गोपनीयता नीति के पाठ की संरचना करना बेहतर है।
उदाहरण के लिए, 2019 की शुरुआत में, GOOGLE को फ्रेंच पर्यवेक्षक CNIL से 50 मिलियन जुर्माना मिला। उल्लंघन में से एक यह था कि प्रसंस्करण, भंडारण अवधि, संसाधित किए जाने वाले व्यक्तिगत डेटा की श्रेणियों के उद्देश्यों के बारे में महत्वपूर्ण जानकारी विभिन्न दस्तावेजों में बिखरी हुई थी। नतीजतन, आवश्यक जानकारी प्राप्त करने के लिए डेटा विषय को 5-6 कार्रवाई करने की आवश्यकता होती है।

यह ध्यान देने योग्य है कि गोपनीयता नीति केवल हिमशैल की नोक है। गोपनीयता नीति संकलित करने से पहले, आपको कई चरणों से गुजरना होगा:

1. व्यक्तिगत डेटा प्रोसेसिंग (नियमों के अनुच्छेद 30) का एक संकलन संकलित करना।
2. प्रसंस्करण लक्ष्यों का निर्माण। उदाहरण के लिए, आप जिम्मेदार विभागों से पूछते हैं कि वे इस या उस डेटा को क्यों संसाधित करते हैं। यह पता चल सकता है कि उन्होंने कुछ डेटा "भविष्य के लिए" लिया, अब एक विशिष्ट लक्ष्य नहीं है;
3. प्रसंस्करण के लिए कानूनी आधार का चयन (नियमों के अनुच्छेद 6)। यह चरण सिर्फ "एक कैमोमाइल पर भाग्य-बताने" नहीं है, बल्कि एक जटिल कानूनी विश्लेषण है;
4. प्रत्येक प्रक्रिया के लिए प्रसंस्करण समय का निर्धारण;
5. तीसरे पक्ष की सूची (आउटसोर्सर्स, साझेदार, आपूर्तिकर्ता, प्रदाता) जिन्हें आप व्यक्तिगत डेटा तक पहुंच देते हैं।

इन प्रारंभिक अवस्थाओं में की गई त्रुटियां बहुत बार गोपनीयता नीतियों में स्पष्ट रूप से दिखाई देती हैं।

गलत गोपनीयता नीति का उपयोग करने का जोखिम

1. पर्यवेक्षक द्वारा निरीक्षण के बाद लगाया गया जुर्माना । और यह कंपनी के कुल वैश्विक कारोबार का 20% यूरो या 4% है।
2. एक डेटा विषय से शिकायत करना जिसने आपकी गोपनीयता नीति को पर्यवेक्षक को नहीं समझा है। आगे क्या होगा - पैरा 1 देखें।
3. ख्याति अर्जित की । गोपनीयता नीति में स्पष्ट त्रुटियों की उपस्थिति एक सार्वजनिक कंपनी के उद्धरण छोड़ सकती है। निवेशकों को इतना डर ​​नहीं है कि कंपनी ने किसी भी नियम का उल्लंघन किया है, लेकिन इससे भारी प्रतिबंधों का खतरा है। आपकी कंपनी का कोई भी अंशदाता इस जोखिम की सराहना नहीं करेगा, और प्रतिपक्ष निश्चित रूप से आपके दिवालियापन से खुश नहीं होंगे।
4. यदि आप गलत तरीके से कानूनी आधार चुनते हैं, तो डेटा विषय पर अधिकार हो सकता है, जिसके कार्यान्वयन से वास्तव में आपकी कंपनी में प्रक्रियाओं को अवरुद्ध किया जाएगा। उदाहरण: आपने सहमति को एक ऐसी स्थिति में प्रसंस्करण के लिए कानूनी आधार के रूप में चुना है जहां केवल एक अनुबंध संभव है। यदि उपयोगकर्ता अपनी सहमति वापस लेता है, तो आप उसे एक सेवा प्रदान करने में सक्षम नहीं होंगे। अंत में, आप अपने आप को एक कानूनी जाल में पाते हैं: एक तरफ, आपको विषय के अधिकार को महसूस करने की जरूरत है, और दूसरी तरफ, उसे एक पक्ष प्रदान करने के लिए। उसे भूल जाने का अधिकार न दें - आप पर जुर्माना लगाया जाएगा, और उसे एक सेवा प्रदान नहीं करेंगे - आपको एक अनुबंध के तहत मंजूरी दी जाएगी जो आपने इस इकाई के साथ हस्ताक्षरित की थी।

इस प्रकार, गोपनीयता नीति:

1. यह एक विशेष संगठन की प्रक्रियाओं के लिए व्यक्तिगत रूप से विकसित किया जाता है,
2. यह एक समझने योग्य भाषा में लिखा गया है और इसकी एक स्पष्ट संरचना है,
3. विनियमों का अनुपालन करने के लिए पहली घटना से केवल कई और दूर,
4. GDPR और के युग में कंपनी के अस्तित्व के लिए आवश्यक है
5. गलतियों को माफ नहीं करता है।