2019 में जीडीपीआर के बारे में आपको क्या जानने की जरूरत है

आज हम "महान और भयानक" GDPR (सामान्य डेटा सुरक्षा विनियमन) या व्यक्तिगत डेटा की सुरक्षा के लिए सामान्य विनियमन के बारे में बात करेंगे। इस तथ्य के बावजूद कि कानून मई 2018 में अपनाया गया था, कई कंपनियां अभी भी अपनी सभी आवश्यकताओं को पूरा नहीं करती हैं।

हम अपने डीपीओ (डेटा प्रोटेक्शन ऑफिसर) से मिले ताकि वह सरल शब्दों में समझा सके कि जीडीपीआर क्या है और बड़े जुर्माना से बचने के लिए कंपनियों को क्या करना चाहिए।
लेख में कानून की मूल परिभाषा का हवाला देते हुए फुटनोट्स हैं।

- जीडीपीआर एक अंतरराष्ट्रीय कानून है जो पूरी दुनिया पर लागू होता है, हालांकि इसे यूरोपीय संघ में अपनाया गया था। यह एक ऐसा कानून है जो इंटरनेट पर उपयोगकर्ताओं के अधिकारों की रक्षा करता है, विशेष रूप से, विनियमन, प्रसंस्करण, प्रसंस्करण, प्रत्येक व्यक्ति के व्यक्तिगत डेटा का भंडारण, जो यूरोपीय संघ में है या यूरोपीय संघ का नागरिक है।

- हां, अंतरराष्ट्रीय स्थिति आपको यूरोपीय संघ में न केवल कानून के प्रभाव को बढ़ाने की अनुमति देती है। यदि कोई ईयू के क्षेत्र से उसके लिए उपलब्ध संसाधनों का उपयोग करता है या यूरोपीय संघ का नागरिक है, लेकिन अन्य राज्यों के क्षेत्र में है, तो भी वह इस कानून के अधीन है।

- GDPR को अपनाने से पहले डेटा दुरुपयोग के कई मामले सामने आए थे, जिनमें व्यक्तिगत भी शामिल थे। विपणक विभिन्न प्रकार के अनुसंधान वाले लोगों को "आतंकित" करने लगे। उन्होंने एक व्यक्ति के व्यवहार और आदतों का अध्ययन करना शुरू किया और इस ज्ञान का उपयोग किया, इस प्रकार उसे और अधिक रक्षाहीन बना दिया। जब किसी व्यक्ति ने साइट पर कुछ क्रियाएं कीं, तो सिफारिश प्रणाली ने, उदाहरण के लिए, उसे एक निश्चित व्यवहार के लिए उकसाया।

फेसबुक, कुछ बिंदु पर, अनुसंधान के लिए उपयोगकर्ता डेटा को कानूनी रूप से बेचना शुरू कर दिया। इसके अलावा, सभी बायोमेट्रिक डेटा संरक्षण में आए, और यह बहुत महत्वपूर्ण है यूरोपीय संघ में इलेक्ट्रॉनिक पासपोर्ट पेश किए गए।

- उन नियमों का पालन करना आवश्यक है जिन्हें यह कानून परिभाषित करता है। सबसे पहले, आपको जानकारी के संग्रह के उपयोगकर्ताओं को सूचित करने की आवश्यकता है। यह मुठभेड़ करने वाला पहला संसाधन आगंतुक है। कंपनी को स्पष्ट रूप से और आसानी से (डिजाइन समाधानों सहित) उपयोगकर्ता को यह बताना होगा कि वे उससे क्या चाहते हैं, उसका डेटा क्या एकत्र किया गया है और उन्हें इसकी आवश्यकता क्यों है। यदि, उदाहरण के लिए, वजन पैरामीटर एकत्र किए जाते हैं, तो यह इंगित करना आवश्यक है कि उनका उपयोग क्यों किया जाएगा (यदि उनका वास्तविक लक्ष्य वजन घटाने के लिए दवा की पेशकश करना है, तो इसे लिखा जाना चाहिए)।

- कानून डेटा को अज्ञात करने और उसे विभिन्न स्थानों में संग्रहीत करने के लिए बाध्य करता है। लेकिन तथ्य यह है कि यहां दो मुख्य भूमिकाएं हैं - प्रोसेसर there और नियंत्रक there।

नियंत्रक वह है जो इस डेटा को इकट्ठा करता है और उसका उपयोग करता है, इसे गुमनाम और अलग-अलग जगहों पर संग्रहीत करने के लिए बाध्य किया जाता है, ताकि उदाहरण के लिए, हमलावर, कुछ डेटाबेस तक पहुंच प्राप्त कर सकें, इस डेटा की वास्तविक व्यक्ति के साथ तुलना करने में सक्षम नहीं होंगे। उदाहरण के लिए, आपका नाम, पता, बैंक कार्ड नंबर, ऊंचाई, वजन, वैवाहिक स्थिति आदि। प्रत्येक आइटम को अलग-अलग डेटाबेस में संग्रहीत किया जाना चाहिए। एक नाम में, दूसरे वैवाहिक स्थिति में, तीसरे संबोधन में आदि।

लेकिन प्रत्येक कंपनी के पास एल्गोरिदम हैं जो आपको यह सब कनेक्ट करने और अपने स्वयं के प्रयोजनों के लिए उपयोग करने की अनुमति देते हैं। इस प्रकार, डेटा भंडारण प्रदान करना एक बात है। लेकिन प्रसंस्करण ⁴ यह पूरी तरह से अलग है। डेटा एक्सेस प्रोटोकॉल होना चाहिए। यदि वे नहीं हैं, तो रिसाव की स्थिति में, यह आयोग द्वारा स्पष्ट किया जाएगा, और यदि आपके पास प्रोटोकॉल नहीं थे, तो आयोग यह तय करेगा कि आप इसे अच्छी तरह से रखते हैं और इसे बहुत अच्छी तरह से संसाधित नहीं करते हैं, और वे उपाय करेंगे।

- सबसे पहले, डेटा संग्रह और प्रसंस्करण की वर्तमान स्थिति का विश्लेषण करना आवश्यक है। तदनुसार, यदि वर्तमान में केवल एक सर्वर का उपयोग किया जाता है, तो इसे कई में विभाजित करना आवश्यक है, ताकि सभी डेटाबेस को एक स्रोत से हैक करना असंभव हो। संरक्षण सूचना के इनपुट पर होना चाहिए, और एंटीवायरस सॉफ़्टवेयर द्वारा सर्वर की लगातार निगरानी की जाती है। इंटरनेट के साथ दूसरा चैनल प्रदान करने की सलाह दी जाती है, ताकि किसी एक चैनल के माध्यम से लीक होने की स्थिति में इसे बंद कर दें और दूसरे चैनल पर सभी समस्याओं को खत्म करने के लिए काम करें। एक्सेस केवल एक सुरक्षित वीपीएन कनेक्शन के माध्यम से होना चाहिए। अब सभी प्रमुख ब्राउज़र बिना https के पेज एक्सेस करने की कोशिश करने पर चेतावनी लिखते हैं।
यदि https का उपयोग किया जाता है, तो सब ठीक है। वैसे, Google, जिसने लंबे समय तक इस कानून की कुछ आवश्यकताओं को अनदेखा किया था, खोज में रैंकिंग कारकों में से एक के रूप में एक ssl प्रमाणपत्र की उपस्थिति को ध्यान में रखता है ।

- अगर हम यूरोपीय संघ के निवासी के बारे में बात कर रहे हैं, तो निश्चित रूप से यह दंड, आदेश होंगे जो नियामक अधिकारियों द्वारा विश्लेषण और जांच के बाद जारी किए जाएंगे। सिद्धांत रूप में, वृहद स्तर पर, यह सब EUR 20 मिलियन के उच्च जुर्माना या वार्षिक टर्नओवर के 4% द्वारा नियंत्रित किया जाता है। यूरोपीय अदालत, जो इस मामले पर विचार करेगी, बल्कि 20 मिलियन यूरो की तुलना में 4% कारोबार करना पसंद करेगी।

लेकिन यह अधिकतम है। कानून के लागू होने के बाद एक साल बीत चुका है, और पहले से ही व्यावहारिक मामले हैं। उन मामलों में जहां रिसाव न्यूनतम था और किसी को चोट नहीं पहुंची थी, हमलावर पकड़े गए थे और कंपनी को बस चेतावनी जारी की गई थी। अगर, लापरवाही से, कुछ नहीं किया गया था, तो उन्होंने एक जोड़ी से लेकर सैकड़ों हजारों यूरो तक जुर्माना दिया। आज तक, Google ने कानून की कुछ आवश्यकताओं की निरंतर उपेक्षा के लिए € 50 मिलियन का सबसे बड़ा जुर्माना जारी किया है। विशेष रूप से बायोमेट्रिक डेटा के नुकसान के लिए गंभीर रूप से दंडित किया जाता है, उदाहरण के लिए, चिकित्सा संस्थानों, यह तुरंत चेतावनी दी गई थी।

- वह व्यक्ति जो व्यक्तिगत डेटा को संग्रहीत नहीं करता है one - वह डेटा जो आपको किसी व्यक्ति की पहचान करने या उसके स्थान का निर्धारण करने की अनुमति देता है, उदाहरण के लिए आईपी यहां भी शामिल है, लेकिन फिलहाल आयोग आईपी को व्यक्तिगत डेटा के रूप में नहीं मानता है। नाम और फोन नंबर व्यक्तिगत डेटा हैं यदि उन्हें न केवल व्यक्ति से संपर्क करने के इरादे से एकत्र किया जाता है, बल्कि उनका उपयोग किसी अन्य तरीके से भी किया जाता है। यदि केवल संचार के लिए, डेटा में प्रतिधारण अवधि पर बल और सीमाएं नहीं हैं। इन लक्ष्यों में सामान बेचना या उपयोगकर्ता के व्यवहार की भविष्यवाणी करना शामिल नहीं है।

यह भी याद रखने योग्य है कि मेल, लॉगिन या पासवर्ड, अलग-अलग, व्यक्तिगत डेटा नहीं हैं। केवल विशेष रूप से वे पैरामीटर जो आपको किसी व्यक्ति को निजीकृत करने या यह निर्धारित करने की अनुमति देते हैं कि वह कहां है, उदाहरण के लिए आईपी + मैक पते।

सोवियत के बाद के स्थान में, हम इस तथ्य के आदी हैं कि "यदि इसकी अनुमति नहीं है, तो यह निषिद्ध है", उदार देशों में, इसके विपरीत, "क्या निषिद्ध नहीं है"। ये दो पूरी तरह से अलग प्रतिमान हैं, और कानून के प्रति दृष्टिकोण। और, तदनुसार, निर्दोषता का अनुमान यहां मान्य है - जब तक सिद्ध नहीं किया जाता है, आप दोषी नहीं हैं।

- यह सिर्फ आईपी एड्रेस का सवाल है। आईपी ​​के माध्यम से, आप यह निर्धारित कर सकते हैं कि व्यक्ति कहां है, उपकरण का संपूर्ण कॉन्फ़िगरेशन। लेकिन साथ ही, इस कानून का किसी तरह से सम्मान होना चाहिए। अब आईपी इस कानून के दायरे से बाहर चला गया है । लेकिन वे नहीं छोड़ते हैं, सवाल खुला रहता है, क्योंकि इसे अभी भी विनियमन की आवश्यकता है। उनके दो संस्करण पहले से ही थे, जल्द ही एक तीसरा होगा। उनका उपयोग अंडरकट करने के लिए बहुत अच्छा है। ग्रेट ब्रिटेन पहले ही इस दिशा में आंदोलन शुरू कर चुका है।

यदि वर्तमान संस्करण में कानून को अपनाया जाता है, तो Google और इसी तरह की कंपनियां केवल EU में काम नहीं कर पाएंगी। अब हर कोई इस कानून के शमन के लिए पैरवी कर रहा है। लेकिन यह यूरोपीय संघ को श्रद्धांजलि देने के लायक है, वे लोगों, उनके नागरिकों और निवासियों पर बहुत ध्यान दे रहे हैं, और वे लोगों के पक्ष में इस कानून को बढ़ावा दे रहे हैं। जबकि कानून को अपनाया नहीं गया है, और पढ़ने के अंतिम चरण में भी नहीं है। लेकिन अभ्यास द्वारा निर्देशित, भले ही इसे 2019 में स्वीकार किया गया हो, आमतौर पर सभी मामलों को क्रम में लाने के लिए 1-2 साल दिए जाते हैं।

अब पूरा सवाल केवल यह है कि लोगों के निजी जीवन में कितनी गहरी कंपनियों को घुसने दिया जाएगा।

- आमतौर पर यह आंशिक रोजगार का अर्थ है, दुर्लभ मामलों में पूरी टीम को पूरे समय में शामिल करना आवश्यक है। विश्लेषक कंपनी में मामलों की वर्तमान स्थिति का ऑडिट करेगा, साथ ही निष्पादन के लिए विनिर्देश भी तैयार करेगा। एक सिस्टम प्रशासक या DevOps जो हार्डवेयर, संचार चैनलों और अधिक के लिए जिम्मेदार होगा, और एक प्रोग्रामर , साइट को अंतिम रूप देगा।

- सबसे पहले, व्यक्तिगत डेटा (प्रसंस्करण) के साथ काम को बदल दिया जाएगा: संग्रह, प्रसंस्करण, भंडारण को कानून के अनुपालन में लाया जाएगा। उच्च स्तर की संभावना के साथ, ग्राहक की कंपनी में एक नया स्थान दिखाई देगा - डेटा सुरक्षा अधिकारी (डीपीओ)। कंपनी की वेबसाइट और उपयोगकर्ताओं (सुरक्षा कथन, गोपनीयता नीति, कुकी प्रसंस्करण नीति, आदि) के लिए उपलब्ध दस्तावेज पर काम किया जाएगा। उपयोगकर्ताओं के व्यक्तिगत डेटा तक पहुंच और प्रसंस्करण के लिए आंतरिक प्रोटोकॉल दिखाई देंगे।

आप लिंक पर क्लिक करके GDPR के बारे में अधिक जान सकते हैं: https://www.gdpreu.org/ (संसाधन केवल अंग्रेजी में उपलब्ध है)।