डिफ़ॉल्ट रूप से डिज़ाइन और गोपनीयता द्वारा गोपनीयता (GDPR द्वारा डेटा सुरक्षा और डिफ़ॉल्ट गोपनीयता डिज़ाइन किया गया)

मई 2018 में, व्यक्तिगत डेटा के संरक्षण पर एक नया कानून लागू हुआ - सामान्य डेटा संरक्षण विनियमन या यूरोपीय संसद और यूरोपीय संघ की 2016/679 की परिषद का विनियमन 27 अप्रैल, 2016 को व्यक्तिगत डेटा के प्रसंस्करण में व्यक्तियों की सुरक्षा पर और ऐसे डेटा के मुक्त संचलन पर, और निर्देश 95/46 / EC (इसके बाद GDPR ) का निरसन, जो यूरोपीय संघ के निवासियों को उनके व्यक्तिगत डेटा पर पूर्ण नियंत्रण के लिए उपकरण प्रदान करता है, जिसकी सुरक्षा यूरोपीय संघ में एक मौलिक अधिकार है। अनुच्छेद 25 जीडीपीआर को कंपनियों को डिफ़ॉल्ट रूप से व्यक्तिगत डेटा और गोपनीयता प्रणाली के अंतर्निहित सुरक्षा के साथ सिस्टम बनाने की आवश्यकता है - डिफ़ॉल्ट रूप से गोपनीयता और डिफ़ॉल्ट रूप से गोपनीयता । वर्तमान सामग्री में हम इन अवधारणाओं का विश्लेषण करेंगे।

अंग्रेजी में और रूसी में नियमों के अनुच्छेद 25 का पाठ:

1. कला की स्थिति, कार्यान्वयन की लागत और प्रसंस्करण की प्रकृति, गुंजाइश, संदर्भ और उद्देश्यों के साथ-साथ प्रसंस्करण द्वारा उत्पन्न प्राकृतिक व्यक्तियों के अधिकारों और स्वतंत्रता के लिए बदलती संभावना और गंभीरता के जोखिमों को ध्यान में रखते हुए, नियंत्रक प्रसंस्करण के लिए साधनों के निर्धारण के समय और प्रसंस्करण के समय, दोनों उचित तकनीकी और संगठनात्मक उपायों को लागू करते हैं, जैसे कि छद्म नामकरण, जो डेटा-सुरक्षा सिद्धांतों को लागू करने के लिए डिज़ाइन किए गए हैं, जैसे डेटा न्यूनता, एक प्रभावी तरीके से और इस विनियमन की आवश्यकताओं को पूरा करने और डेटा विषयों के अधिकारों की सुरक्षा के लिए आवश्यक सुरक्षा उपायों को प्रसंस्करण में एकीकृत करना।

1. विज्ञान और प्रौद्योगिकी के विकास की स्थिति को ध्यान में रखते हुए, कार्यान्वयन की लागत, प्रसंस्करण की प्रकृति, मात्रा, विशेषताएं और लक्ष्य, साथ ही प्रसंस्करण के परिणामस्वरूप व्यक्तियों और अधिकारों और स्वतंत्रता के लिए जोखिम और खतरों की संभावित घटना, नियंत्रक के प्रसंस्करण के साधनों के निर्धारण के दौरान, होनी चाहिए। और प्रसंस्करण के दौरान, उपयुक्त तकनीकी और संगठनात्मक उपायों को पेश करें, उदाहरण के लिए, छद्म नामकरण, जो डेटा संरक्षण के सिद्धांतों को प्रभावी ढंग से लागू करने के लिए, उदाहरण के लिए, डेटा को कम करने और एकीकृत करने के लिए डिज़ाइन किए गए हैं। इस विनियमन की आवश्यकताओं को पूरा करने और डेटा विषयों के अधिकारों की सुरक्षा के लिए प्रसंस्करण के लिए आवश्यक गारंटी।

2. नियंत्रक यह सुनिश्चित करने के लिए उपयुक्त तकनीकी और संगठनात्मक उपायों को लागू करेगा कि डिफ़ॉल्ट रूप से, केवल व्यक्तिगत डेटा जो प्रसंस्करण के प्रत्येक विशिष्ट उद्देश्य के लिए आवश्यक हैं, संसाधित किया जाता है। यह दायित्व एकत्र किए गए व्यक्तिगत डेटा की मात्रा, उनके प्रसंस्करण की सीमा, उनके भंडारण की अवधि और उनकी पहुंच पर लागू होता है। विशेष रूप से, ऐसे उपाय यह सुनिश्चित करेंगे कि डिफ़ॉल्ट रूप से व्यक्तिगत डेटा को प्राकृतिक व्यक्तियों की अनिश्चित संख्या के हस्तक्षेप के बिना सुलभ नहीं बनाया जाए।

2. नियंत्रक को यह सुनिश्चित करने के लिए उपयुक्त तकनीकी और संगठनात्मक उपायों को लागू करना चाहिए कि डिफ़ॉल्ट रूप से केवल उन व्यक्तिगत डेटा को संसाधित किया जाता है जो प्रत्येक विशिष्ट प्रसंस्करण लक्ष्य के लिए आवश्यक हैं। यह दायित्व बड़ी संख्या में एकत्र किए गए व्यक्तिगत डेटा, उनके प्रसंस्करण की मात्रा, उनके भंडारण की अवधि और उस तक पहुंच की संभावना पर लागू होता है। विशेष रूप से, इन उपायों को यह सुनिश्चित करना चाहिए कि व्यक्तिगत डेटा तक डिफ़ॉल्ट पहुंच किसी व्यक्ति की भागीदारी के बिना अनिश्चित संख्या में व्यक्तियों को प्रदान नहीं की जाएगी।

3. अनुच्छेद 42 के लिए अनुमोदित प्रमाणन तंत्र इस अनुच्छेद के पैराग्राफ 1 और 2 में निर्धारित आवश्यकताओं के अनुपालन को प्रदर्शित करने के लिए एक तत्व के रूप में उपयोग किया जा सकता है।

3. अनुच्छेद 42 के अनुसार एक अनुमोदित प्रमाणन तंत्र का उपयोग इस अनुच्छेद के पैराग्राफ 1 और 2 में निर्धारित आवश्यकताओं के अनुपालन की पुष्टि करने के लिए एक तत्व के रूप में किया जा सकता है।

यह क्या है

डिजाइन द्वारा गोपनीयता

इसका मतलब यह है कि डेटा कंट्रोलर अपने डिजाइन के प्रारंभिक चरण में डेटा सुरक्षा प्रणाली को सभी व्यावसायिक प्रक्रियाओं (उत्पाद या सेवा विकास प्रक्रियाओं सहित) में एकीकृत करने का काम करता है और भविष्य में इस तरह की प्रणाली को बनाए रखने के लिए कार्य करता है। इसके डिजाइन में निर्मित डेटा सुरक्षा कंपनी के सभी कार्यों, उपक्रमों और निर्णयों में अग्रिम रूप से व्यक्तिगत डेटा की सुरक्षा प्रदान करने के लिए एक दायित्व है। उदाहरण के लिए, मोबाइल एप्लिकेशन बनाते समय, गोपनीयता से जुड़े संभावित जोखिमों का विश्लेषण और रोकथाम करना आवश्यक है, और कोड लिखने से पहले इस तरह के जोखिमों के प्रबंधन के लिए तंत्र स्थापित करना।

डिजाइन द्वारा गोपनीयता के दर्शन के अनुसार, गोपनीयता से जुड़े जोखिमों को कम करने का सबसे अच्छा तरीका है, सबसे पहले, उन्हें बनाना नहीं।

डिफ़ॉल्ट रूप से गोपनीयता

डिफ़ॉल्ट रूप से, गोपनीयता का अर्थ है कि उपयोगकर्ता को अपनी गोपनीयता की सुरक्षा के लिए कोई कार्रवाई करने की आवश्यकता नहीं है। गोपनीयता बनाए रखने और तदनुसार अपने व्यक्तिगत डेटा की सुरक्षा के लिए सेटिंग्स डिफ़ॉल्ट रूप से सेट की जाती हैं। पर्यवेक्षकों को स्वचालित रूप से यह नहीं मानना ​​चाहिए कि उपयोगकर्ता डेटा के आदान-प्रदान के लिए सहमत है। केवल डेटा जो विशिष्ट प्रसंस्करण लक्ष्यों को प्राप्त करने के लिए आवश्यक है, संग्रह के अधीन है। इस गोपनीयता को सुनिश्चित करने के लिए, डिफ़ॉल्ट रूप से, पर्यवेक्षकों को उपयुक्त तकनीकी और संगठनात्मक उपायों को लागू करना चाहिए।

तीसरे पक्ष को अपने डेटा के हस्तांतरण के लिए उपयोगकर्ता की सहमति पर चेकबॉक्स को उपयोगकर्ता की प्रोफ़ाइल में साइट पर स्वचालित रूप से चिह्नित नहीं किया जाना चाहिए। उपयोगकर्ता को स्वयं इस चेकबॉक्स को चिह्नित करना होगा, जिससे स्पष्ट सहमति व्यक्त हो सके (लेख 4 (11), 6 (1) (ए), 7 जीडीपीआर पर स्पष्ट सहमति देखें)। या, उदाहरण के लिए, उपयोगकर्ता पंजीकरण के लिए आवश्यक डेटा एकत्र करते समय, एप्लिकेशन को उपयोगकर्ता को डेटा प्रदान करने की आवश्यकता नहीं होनी चाहिए जो पंजीकरण के लिए आवश्यक नहीं है।

कम डेटा एक कंपनी एकत्र करती है और प्रक्रिया करती है, जीडीपीआर का उल्लंघन करने का जोखिम कम होता है।

डिजाइन द्वारा गोपनीयता का इतिहास, डिफ़ॉल्ट रूप से गोपनीयता

यूरोपीय डेटा संरक्षण पर्यवेक्षक (इसके बाद EDPS के रूप में संदर्भित) के अनुसार, 1990 के दशक में "कैव्यू-इन प्राइवेसी" और "डिफ़ॉल्ट गोपनीयता" शब्द विकसित किए गए थे। ओंटारियो के कनाडाई प्रांत में। 2009 में, उसने एकीकृत गोपनीयता: 7 मौलिक सिद्धांत प्रकाशित किए, जो बताता है कि "एम्बेडेड गोपनीयता" का अर्थ है कि कंपनियों को डिज़ाइन चरण से शुरू होने वाले अपने डेटा जीवनचक्र में गोपनीयता के मुद्दों पर सक्रिय रूप से विचार करना चाहिए। यह "पूर्ण जीवनचक्र सुरक्षा" सुनिश्चित करता है कि सभी डेटा को सुरक्षित रूप से संग्रहीत किया जाए और फिर समय पर नष्ट किया जाए। इस तरह, डिजाइन द्वारा गोपनीयता शुरू से अंत तक निरंतर और सुरक्षित डेटा जीवन चक्र प्रबंधन प्रदान करता है। इन सिद्धांतों के अनुसार, यह सुरक्षा व्यवसाय या प्रणाली की कार्यक्षमता से समझौता किए बिना कार्य कर सकती है।

कवुक्यान ने निम्नलिखित सिद्धांत विकसित किए:

1. निवारक (सक्रिय) उपाय, केवल शमन नहीं
2. डिफ़ॉल्ट गोपनीयता
3. एकीकृत गोपनीयता
4. आपसी लाभ के साथ पूर्ण कार्यक्षमता
5. अपने संग्रह, भंडारण, प्रसंस्करण और विनाश के पूरे चक्र में व्यक्तिगत जानकारी का संरक्षण
6. पहुंच और पारदर्शिता
7. उपयोगकर्ता गोपनीयता के लिए सम्मान: सिस्टम उपयोगकर्ता-उन्मुख होना चाहिए

डिफ़ॉल्ट गोपनीयता, बदले में, का अर्थ है कि अंतर्निहित गोपनीयता के सिद्धांत को किसी भी प्रणाली या व्यवसाय में डिफ़ॉल्ट रूप से शामिल किया जाना चाहिए - ताकि डेटा विषय के हिस्से पर किसी भी कार्रवाई के बिना व्यक्तिगत डेटा स्वचालित रूप से सुरक्षित हो। एक व्यक्ति को अपनी गोपनीयता की रक्षा के लिए कोई कार्रवाई करने की आवश्यकता नहीं होनी चाहिए - सब कुछ डिफ़ॉल्ट रूप से सिस्टम में बनाया गया है।

EDPS बताते हैं कि इस डिफ़ॉल्ट सेटिंग का मतलब है कि डेटा विषय को किसी भी सेवा या उत्पादों का उपयोग करते समय अपने डेटा की सुरक्षा का भार नहीं उठाना चाहिए। डिफ़ॉल्ट सेटिंग के रूप में गोपनीयता के अधिकार को "स्वचालित रूप से" संरक्षित किया जाएगा।

डिजाइन और गोपनीयता द्वारा गोपनीयता के सिद्धांत, कावुयान द्वारा विकसित, जल्द ही यूरोपीय सांसदों द्वारा व्यक्तिगत डेटा संरक्षण के क्षेत्र में एक मानक के रूप में अपनाया गया था।

ड्राफ्ट की सिफारिशें
यूरोपीय डेटा संरक्षण बोर्ड 13 नवंबर 2019

13 नवंबर, 2019 को, एक स्वतंत्र यूरोपीय-स्तरीय व्यक्तिगत डेटा संरक्षण प्राधिकरण, यूरोपीय डेटा प्रोटेक्शन बोर्ड (EDPB) ने एम्बेडेड गोपनीयता प्रणाली पर GDPR के अनुच्छेद 25 के आवेदन पर मसौदा सिफारिशों को प्रकाशित किया । यह संस्करण अंतिम नहीं है, ईडीपीबी 16 जनवरी, 2020 तक किसी भी इच्छुक पार्टियों की टिप्पणियों को स्वीकार करता है, जिसके बाद ऐसी टिप्पणियों को ध्यान में रखते हुए, सिफारिशों के अंतिम संस्करण को प्रकाशित करता है। सिफारिशों में कानून का बल नहीं है, लेकिन उनके गैर-मानक प्रकृति के बावजूद, यूरोपीय संघ के देशों और कंपनियों में डेटा संरक्षण नियामक उनका पालन करते हैं।

नीचे सूचीबद्ध इन सिफारिशों के मुख्य बिंदु हैं जो जीडीपीआर के अनुच्छेद 25 की आवश्यकताओं को सही ढंग से व्याख्या और समझने में मदद करेंगे।

1. डिजाइन द्वारा गोपनीयता

• पर्यवेक्षक प्रदर्शन संकेतकों का उपयोग करके अंतर्निहित गोपनीयता की आवश्यकता को पूरा करने के उद्देश्य से उपायों की प्रभावशीलता दिखा सकते हैं। उदाहरण के लिए, मात्रात्मक संकेतक: शिकायतों की संख्या में कमी, उनकी गोपनीयता के लिए उपयोगकर्ता के अनुरोधों के प्रतिक्रिया समय में कमी। या गुणवत्ता संकेतक: प्रदर्शन विश्लेषण, रेटिंग तराजू या विशेषज्ञ राय का उपयोग।
• तकनीकी या संगठनात्मक उपाय उन्नत एकीकृत प्रौद्योगिकियों और कर्मचारियों के लिए बुनियादी प्रशिक्षण दोनों का उपयोग हो सकता है, उदाहरण के लिए, डेटा विषयों (उपयोगकर्ताओं) के डेटा को कैसे संभालना है। यही है, जटिल उपाय करने की आवश्यकता नहीं है - मुख्य बात यह है कि उपाय प्रभावी ढंग से काम करते हैं।
• उपायों में शामिल हो सकते हैं: अपने डेटा के प्रसंस्करण में हस्तक्षेप करने के अवसर के साथ डेटा विषय प्रदान करना, डेटाबेस में डेटा के भंडारण के बारे में एक अनुस्मारक, एक मालवेयर डिटेक्शन सिस्टम की शुरूआत और बुनियादी साइबर स्वच्छता।
• एक तकनीकी उपाय का एक उदाहरण: डेटा छद्म नामकरण (लेख 4 (5) GDPR देखें)। यह, विशेष रूप से, हैशिंग और एन्क्रिप्शन है।
• यद्यपि उन्नत तकनीकों का उपयोग करने की कोई आवश्यकता नहीं है, उपायों को प्रौद्योगिकियों के विकास को ध्यान में रखना चाहिए ( 'कला की स्थिति ' एक सेवा या उत्पाद का तकनीकी स्तर है जो बाजार पर मौजूद है और अपने लक्ष्यों को प्राप्त करने में सबसे प्रभावी है)। इसका मतलब यह है कि नियंत्रकों को नवीनतम तकनीकी विकास के बारे में पता होना चाहिए, साथ ही साथ संगठनात्मक उपायों को लेना चाहिए। पर्याप्त संगठनात्मक उपायों का अभाव चयनित तकनीकी माप की प्रभावशीलता को कम या पूरी तरह से कम कर सकता है। इस प्रकार, ज्ञात कमजोरियों के साथ सुरक्षा सॉफ्टवेयर का उपयोग सबसे अधिक संभावना है कि इसे एक उपाय नहीं माना जाए जो आधुनिक प्रौद्योगिकियों को ध्यान में रखता है।
• चर्चा के तहत जीडीपीआर के अनुच्छेद 25 (1) में कहा गया है कि लागू किए जाने वाले उपायों को चुनते समय कार्यान्वयन की लागत को ध्यान में रखा जाना चाहिए। सिफारिशें स्पष्ट करती हैं कि इस तरह की लागतों को व्यापक अर्थों में माना जाना चाहिए। इस प्रकार, हम न केवल नकद लागतों के बारे में, बल्कि समय की लागतों, मानव संसाधनों के बारे में भी बात कर रहे हैं। "लागत वहन करने में विफलता GDPR आवश्यकताओं के अनुपालन को उचित नहीं ठहराती है।" हालांकि, EDPB यह भी चेतावनी देता है कि प्रौद्योगिकी की उच्च लागत का मतलब यह नहीं है कि यह आवश्यक रूप से प्रभावी है। वास्तव में, कुछ मामलों में, महंगी प्रौद्योगिकियों के परिणामस्वरूप सरल कम लागत वाले समाधान अधिक प्रभावी हो सकते हैं।

2. डिफ़ॉल्ट रूप से गोपनीयता

• शब्द "तकनीकी और संगठनात्मक उपायों" को केवल डेटा न्यूनतमकरण के सिद्धांत के ढांचे के भीतर माना जाना चाहिए, जैसा कि डिजाइन द्वारा गोपनीयता।
• कंप्यूटर विज्ञान में "डिफ़ॉल्ट रूप से" का अर्थ है एक पूर्व-चयनित मूल्य, एक विन्यास योग्य पैरामीटर जो कंप्यूटर प्रोग्राम या डिवाइस को सौंपा गया है। इसलिए, EDPB के अनुसार, "डिफ़ॉल्ट डेटा सुरक्षा" प्रीसेट स्थापित करने के लिए नियंत्रक का कार्य है । इस तरह की पूर्व-सेटिंग्स को विशेष रूप से एकत्र किए गए व्यक्तिगत डेटा की मात्रा, उनके प्रसंस्करण की डिग्री, शेल्फ जीवन और उपलब्धता को विनियमित करना चाहिए। यदि कोई डिफ़ॉल्ट सेटिंग्स नहीं थीं, तो डेटा विषयों को विभिन्न विकल्पों के साथ अतिभारित किया जाएगा जो वे विश्लेषण और समझ नहीं सकते हैं।
• संगठनात्मक उपायों को यह सुनिश्चित करने के लिए भी किया जाना चाहिए कि शुरुआत से ही व्यक्तिगत डेटा की न्यूनतम राशि संसाधित होती है या केवल व्यक्तिगत डेटा जो विशिष्ट संचालन और उद्देश्यों के लिए आवश्यक है।
• इस तरह के उपायों से व्यक्तिगत डेटा के अनावश्यक प्रसंस्करण को कम करना चाहिए, व्यक्तिगत डेटा तक प्रासंगिक व्यक्तियों तक पहुंच को प्रतिबंधित करना चाहिए।

3. डिजाइन नियंत्रक द्वारा गोपनीयता के अनुपालन की जिम्मेदारी, डेटा नियंत्रक के साथ निहित है, लेकिन ईडीपीबी जोर देता है कि प्रोसेसर और आपूर्तिकर्ता भी सिद्धांतों का पालन करने में महत्वपूर्ण भूमिका निभाते हैं । नियंत्रकों अक्सर प्रोसेसर (जैसे, क्लाउड सेवा प्रदाता) के प्रसंस्करण के लिए डेटा संचारित करते हैं या डेटा प्रोसेसिंग के लिए तकनीकी समाधान प्राप्त करते हैं (उदाहरण के लिए, एक उपकरण जो बायोमेट्रिक डेटा को संसाधित करने की अनुमति देता है)। ये व्यक्ति किसी सेवा के उपयोग के हिस्से के रूप में व्यक्तिगत डेटा से जुड़े जोखिमों की पहचान करने में सक्षम हैं। प्रोसेसर और आपूर्तिकर्ताओं को अपने अनुभव का उपयोग उन उत्पादों को विकसित करने के लिए करना चाहिए जो डिजाइन, डिफ़ॉल्ट रूप से गोपनीयता का प्रतीक हैं। विक्रेता निर्णयों के उदाहरण: संग्रह के बाद डेटा के एक निश्चित समय या तत्काल छद्म नामकरण के बाद डेटा को स्वचालित हटाना।

4. जीडीपीआर के अनुच्छेद 42 के अनुसार प्रमाणन का उपयोग डिफ़ॉल्ट रूप से डिजाइन और गोपनीयता के अनुपालन के साथ-साथ आपूर्तिकर्ता बाजार में प्रतिस्पर्धी लाभ प्रदान करने के लिए किया जा सकता है। यह जोड़ना महत्वपूर्ण है कि EDPB द्वारा विकसित GDPR के अनुच्छेद 42, 43 के लिए प्रमाणन सिफारिशें हैं।

5. सिफारिशें डिजाइन द्वारा गोपनीयता के महत्वपूर्ण तत्वों पर व्यावहारिक उदाहरण भी प्रदान करती हैं, डिफ़ॉल्ट रूप से गोपनीयता: पारदर्शिता, वैधता, अखंडता, उद्देश्य की सीमा, सटीकता, भंडारण की सीमा, अखंडता और गोपनीयता।

उदाहरण के लिए, "सटीकता" तत्व के लिए, EDPB ने निम्नलिखित स्थिति और इसके संभावित समाधान प्रस्तुत किए:

नियंत्रक एक चिकित्सा संस्थान है जो अपने ग्राहक रजिस्टरों में व्यक्तिगत डेटा की अखंडता और सटीकता सुनिश्चित करने के तरीकों की तलाश कर रहा है। ऐसी स्थितियों में जहां दो लोग एक ही समय पर संस्थान में पहुंचते हैं और एक ही उपचार प्राप्त करते हैं, केवल एक ही पैरामीटर को पहचानने में त्रुटि का खतरा होता है। सटीकता सुनिश्चित करने के लिए, नियंत्रक को प्रत्येक व्यक्ति के लिए एक विशिष्ट पहचानकर्ता की आवश्यकता होती है और इसलिए, ग्राहक के नाम से अधिक जानकारी। संस्था ग्राहकों की व्यक्तिगत जानकारी वाली कई प्रणालियों का उपयोग करती है, और यह सुनिश्चित करना चाहिए कि ग्राहक से संबंधित जानकारी किसी भी समय सभी प्रणालियों में सही, सटीक और सुसंगत हो। कई जोखिमों की पहचान की गई जो कि सूचना एक प्रणाली में बदल सकती है, लेकिन दूसरे में नहीं। जोखिमों को कम करने के लिए, उपचार के रिकॉर्ड में डेटा की अखंडता को सुनिश्चित करने के लिए नियंत्रक एक हैशिंग विधि का उपयोग करने का निर्णय लेता है। स्थायी हैश हस्ताक्षर उपचार रिकॉर्ड और संबंधित कर्मचारी के लिए बनाए जाते हैं ताकि किसी भी परिवर्तन को आवश्यक होने पर पहचाना, सहसंबद्ध और ट्रैक किया जा सके।

जैसा कि ऊपर उल्लेख किया गया है, यह सिफारिशों का अंतिम संस्करण नहीं है, इसलिए आपको इच्छुक पार्टियों की टिप्पणियों को ध्यान में रखते हुए अपडेट का पालन करने की आवश्यकता है।

कला के तहत बड़ा जुर्माना। 25 जी.डी.पी.आर.

30 अक्टूबर, 2019 को, जर्मन रियल एस्टेट कंपनी ड्यूश वोहेन एसई को अनुच्छेद 25 (1) जीडीपीआर के संदर्भ में गलत डेटा भंडारण के लिए € 14.5 मिलियन का जुर्माना लगाया गया था । कंपनी ने किरायेदारों के व्यक्तिगत डेटा को संग्रहीत करने के लिए एक संग्रह प्रणाली का उपयोग किया, जो डेटा को हटाने की क्षमता प्रदान नहीं करता था जिसकी अब आवश्यकता नहीं थी। किरायेदारों का व्यक्तिगत डेटा उनके आगे के भंडारण की वैधता की जांच के बिना संग्रहीत किया गया था। इस प्रकार, व्यक्तिगत डेटा तक पहुंच संभव था, जो वर्षों तक संग्रहीत किया गया था, क्योंकि वे अब अपने प्रारंभिक संग्रह के उद्देश्य की सेवा नहीं करते थे। जानकारी किरायेदारों की व्यक्तिगत और वित्तीय स्थिति, वेतन प्रमाण पत्र, स्व-प्रकटीकरण रूपों, रोजगार और प्रशिक्षण अनुबंधों के अर्क, करों पर डेटा, सामाजिक सुरक्षा और चिकित्सा बीमा, साथ ही बैंक विवरणों पर संग्रहीत की गई थी। ।

जीडीपीआर के अनुच्छेद 25 (1) के उल्लंघन पर अधिकतम जुर्माना 10 मिलियन यूरो या विश्व टर्नओवर का 2% है। € 14.5 मिलियन का जुर्माना बीबीडीआई (जर्मन डेटा प्रोटेक्शन अथॉरिटी, बर्लिनर ब्यूफट्रागेट फर डाटेंसचुट्ज़ अन इंफोर्मेशनफ्रीहिट) द्वारा पहले प्रकाशित दिशानिर्देशों का उपयोग करके गणना की गई थी।

इस साइट (GDPR प्रवर्तन ट्रैकर) पर आप GDPR के तहत यूरोपीय संघ में लगाए गए जुर्माना और दंड की निगरानी कर सकते हैं।

निष्कर्ष

जीडीपीआर का अनुच्छेद 25 डिफ़ॉल्ट अंतर्निहित व्यक्तिगत डेटा सुरक्षा और गोपनीयता प्रदान करने पर एक महत्वपूर्ण बोझ डालता है। इस मानदंड की आवश्यकताओं का पालन करने और बड़े जुर्माने से बचने के लिए, नियंत्रकों को विश्लेषण करना चाहिए कि वे कैसे, कहाँ और कब जानकारी की प्रक्रिया करते हैं, और यह सुनिश्चित करते हैं कि उत्पाद / सेवा के डिजाइन से शुरू होकर, प्रसंस्करण के प्रत्येक चरण में गोपनीयता के अधिकार को ध्यान में रखा जाता है। इसमें निम्नलिखित शामिल होना चाहिए:

• संपूर्ण संगठन के लिए एक गोपनीयता कार्यक्रम का विकास, जो निर्धारित करता है कि व्यक्तिगत डेटा कहाँ और कब संसाधित किया जाता है, और यह सुनिश्चित करता है कि प्रत्येक विभाग जो व्यक्तिगत डेटा को संसाधित करता है, उसकी व्यक्तिगत डेटा सुरक्षा योजना है।
• एक व्यक्तिगत डेटा सुरक्षा योजना जो किसी भी नई व्यावसायिक प्रक्रिया का हिस्सा होनी चाहिए जिसमें व्यक्तिगत डेटा का प्रसंस्करण शामिल हो सकता है।
• व्यक्तिगत डेटा के प्रसंस्करण का न्यूनतमकरण (केवल उन व्यक्तिगत डेटा को संसाधित करना जो प्रसंस्करण लक्ष्यों को प्राप्त करने के लिए आवश्यक हैं)।
• जब संभव हो तब डेटा को Pseudonymize या एन्क्रिप्ट करें।
• डेटा विषयों के लिए व्यक्तिगत डेटा के किसी भी प्रसंस्करण की पारदर्शिता सुनिश्चित करना और डेटा विषयों को सूचित करना कि उनके व्यक्तिगत डेटा का उपयोग कैसे किया जाता है।
• .
• , , .
• EDPB.