जीडीपीआर अंतर्गत नियंत्रक किंवा प्रक्रियाकर्ता: कोण कोण आहे हे कसे ओळखावे

नियंत्रक ठरवतो की वैयक्तिक डेटावर का आणि कशी प्रक्रिया करायची; प्रोसेसर केवळ नियंत्रकाच्या लेखी सूचनांनुसार वैयक्तिक डेटावर प्रक्रिया करतो (कलम ४(७) आणि (८) GDPR). तुमची भूमिका करारातील नावानुसार नव्हे, तर तथ्यांनुसार ठरते आणि कायदेशीर आधाराची कोणाला गरज आहे, डेटा धारकाच्या विनंत्यांना कोण उत्तर देतो, उल्लंघनाची तक्रार कोण करतो आणि काही चूक झाल्यास कोण जबाबदार असेल, हे ती ठरवते.

कंट्रोलर आणि प्रोसेसर यांतील फरक कसा ओळखायचा?

डेटावर प्रक्रिया का आणि मूलतः कशी केली जाते, हे कोण ठरवते हे विचारा. नियंत्रक प्रक्रियेचा उद्देश आणि आवश्यक साधने निश्चित करतो; प्रोसेसर केवळ नियंत्रकाच्या लेखी सूचनांनुसार कार्य करतो आणि स्वतःच्या उद्देशांसाठी डेटा वापरत नाही.

ठराविक प्रक्रिया करणारे: होस्टिंग प्रदाता, केवळ सूचनांचे पालन करणारी वेतन संस्था, ईमेल वितरण सेवा. ठराविक नियंत्रक, जरी ते दुसऱ्या पक्षाने नियुक्त केलेले असले तरी: वैधानिक लेखापरीक्षण करणारा लेखापाल, खटला चालवणारा वकील, स्वतःची व्यावसायिक कर्तव्ये पार पाडणारी व्यावसायिक आरोग्य सेवा.

करार तुमची भूमिका ठरवतो का?

नाही. करारामध्ये स्वतःला प्रोसेसर म्हटल्याने तुम्ही तसे बनत नाही. जर एखादा पुरवठादार डेटाचा वापर स्वतःच्या उद्देशांसाठी करत असेल, जसे की आपले उत्पादन सुधारणे, प्रोफाइल तयार करणे किंवा संबंधित व्यक्तींना मार्केटिंग करणे, तर तो त्या प्रक्रियेसाठी कंट्रोलर असतो. GDPR चे कलम २८(१०) हे स्पष्टपणे सांगते: जो प्रोसेसर उद्देश आणि साधने निश्चित करतो, त्याला कंट्रोलर मानले जाते.

जर तुम्ही आणि दुसरी एखादी व्यक्ती मिळून उद्देश ठरवले तर काय?

त्यानंतर तुम्ही GDPR च्या कलम २६ अंतर्गत संयुक्त नियंत्रक बनता. तुम्ही एका व्यवस्थेमध्ये तुमच्या जबाबदाऱ्या स्पष्ट केल्या पाहिजेत, विशेषतः डेटा धारकांचे हक्क आणि कलम १३ व १४ मधील माहितीविषयक कर्तव्ये, आणि त्या व्यवस्थेचे सार संबंधित व्यक्तींना उपलब्ध करून दिले पाहिजे.

संस्थांच्या अपेक्षेपेक्षा संयुक्त नियंत्रण अधिक वेळा उद्भवते. Wirtschaftsakademie (C-210/16, 5 जून 2018) प्रकरणात, युरोपियन युनियनच्या न्याय न्यायालयाने फेसबुक फॅन पेजच्या प्रशासकाला फेसबुकसोबत एक संयुक्त नियंत्रक मानले. GDPR च्या कलम 26(3) नुसार, डेटा धारक अंतर्गत सहमतीनुसार कोणत्याही संयुक्त नियंत्रकाविरुद्ध आपले हक्क वापरू शकतो.

प्रक्रिया करारामध्ये काय समाविष्ट असले पाहिजे?

जर तुम्ही प्रोसेसरची नियुक्ती केली, तर GDPR च्या कलम 28(3) आणि (9) अंतर्गत लेखी करार अनिवार्य आहे आणि त्याची सामग्री विहित केलेली आहे. त्यामध्ये प्रक्रियेचा विषय आणि कालावधी, तिचे स्वरूप आणि उद्देश, डेटाचे प्रकार आणि डेटा धारकांच्या श्रेणी, आणि नियंत्रक म्हणून तुमच्या सूचना यांचा समावेश असणे आवश्यक आहे.

त्यामध्ये गोपनीयता, कलम 32 अंतर्गत सुरक्षा उपाय, उप-प्रक्रियाकर्त्यांना नियुक्त करण्याच्या अटी, डेटा विषयक विनंत्यांसाठी सहाय्य आणि उल्लंघनाची सूचना, शेवटी डेटा परत करणे किंवा हटवणे आणि तुमचे ऑडिट अधिकार यांचाही समावेश असणे आवश्यक आहे.

वाद सहसा कुठून सुरू होतात?

दोन कलमांमुळे सर्वाधिक अडचण येते. उप-प्रक्रियेच्या बाबतीत, GDPR चे कलम २८(२) सर्वसाधारण लेखी अधिकृततेस परवानगी देते, परंतु प्रक्रिया करणाऱ्याने तुम्हाला अपेक्षित बदलांविषयी माहिती दिली पाहिजे आणि आक्षेप घेण्याची संधी दिली पाहिजे. परत करण्याच्या किंवा हटवण्याच्या बाबतीत, या दोन्हींपैकी कोणते लागू होईल आणि कोणत्या स्वरूपात, हे वादाच्या वेळी नव्हे, तर संबंध संपुष्टात येण्यापूर्वीच ठरवावे.

उल्लंघनाची सूचना हा तिसरा दबावबिंदू आहे. प्रोसेसरने तुम्हाला विनाकारण विलंब न लावता माहिती दिली पाहिजे (कलम ३३(२)); त्यानंतर कलम ३३(१) अंतर्गत डच डेटा संरक्षण प्राधिकरणाला (Autoriteit Persoonsgegevens) सूचित करण्यासाठी तुमच्याकडे ७२ तास असतात. प्रोसेसरसाठी एक छोटी अंतर्गत अंतिम मुदत ठरवा, उदाहरणार्थ २४ किंवा ४८ तास.

प्रक्रियेत चूक झाल्यास जबाबदार कोण?

GDPR च्या कलम ८२(२) नुसार, नियंत्रक म्हणून तुम्ही GDPR चे उल्लंघन करणाऱ्या प्रक्रियेमुळे झालेल्या नुकसानीसाठी जबाबदार आहात. एखादा प्रोसेसर केवळ तेव्हाच जबाबदार असतो, जेव्हा त्याने GDPR ने विशेषतः प्रोसेसरवर लादलेल्या जबाबदाऱ्यांचे पालन केलेले नसते, किंवा तुमच्या कायदेशीर सूचनांच्या बाहेर किंवा विरुद्ध कृती केलेली असते.

जेव्हा तुम्ही दोघेही एकाच प्रक्रियेत सामील असता आणि नुकसानीसाठी जबाबदार असता, तेव्हा प्रत्येकाला त्या व्यक्तीच्या संपूर्ण नुकसानीसाठी जबाबदार धरले जाऊ शकते (कलम ८२(४)). पैसे देणारा पक्ष नंतर दुसऱ्या पक्षाचा वाटा वसूल करू शकतो (कलम ८२(५)), म्हणूनच प्रक्रिया करारातील नुकसानभरपाईच्या कलमावर काळजीपूर्वक वाटाघाटी करणे महत्त्वाचे आहे.

नियंत्रक म्हणून तुम्ही काय तपासले पाहिजे?

• तुमच्यासाठी वैयक्तिक डेटा हाताळणाऱ्या प्रत्येक पुरवठादाराने कलम 28(3) ची पूर्तता करणाऱ्या प्रक्रिया करारावर स्वाक्षरी केली आहे की नाही.
• कोणताही पुरवठादार स्वतःच्या उद्देशांसाठी डेटा वापरतो का, ज्यामुळे तो नियंत्रक बनतो.
• तुमच्याकडे उप-प्रोसेसरची यादी आणि बदलांना आक्षेप घेण्याची प्रक्रिया आहे की नाही.
• प्रोसेसरने तुम्हाला ठराविक तासांच्या आत उल्लंघनांची माहिती देणे आवश्यक आहे की नाही.
• तुमच्याकडे सामायिक प्लॅटफॉर्म किंवा मोहिमांसाठी संयुक्त नियंत्रक व्यवस्था आहे की नाही.

प्रोसेसर म्हणून तुम्ही काय तपासले पाहिजे?

• तुम्ही ग्राहकांचा डेटा केवळ लेखी सूचनांनुसार वापरता की नाही, आणि तुमच्या स्वतःच्या उत्पादनासाठी किंवा विश्लेषणासाठी वापरत नाही.
• तुमचे उप-प्रक्रिया करणारे तुमच्यासारख्याच जबाबदाऱ्यांनी बांधील आहेत की नाही.
• कराराच्या शेवटी तुम्ही मान्य केलेल्या फॉरमॅटमध्ये डेटा परत करू शकता किंवा हटवू शकता की नाही.
• तुमची दायित्व मर्यादा आणि नुकसानभरपाई कलम 82(2) अंतर्गत मर्यादित दायित्व दर्शवते की नाही.

कंट्रोलर आणि प्रोसेसरच्या भूमिकांमध्ये आम्ही तुमच्यासाठी काय करू शकतो?

आमच्या आयटी वकील सेवेद्वारे आम्ही तुम्हाला मदत करू शकतो, उदाहरणार्थ:

• आम्ही तुमच्या डेटा चेनमधील प्रत्येक घटकाची भूमिका, प्रत्येक प्रक्रिया कार्यानुसार निश्चित करतो.
• आम्ही प्रक्रिया करार आणि संयुक्त नियंत्रक व्यवस्था यांचा मसुदा तयार करतो आणि त्यांचे पुनरावलोकन करतो.
• आम्ही उप-प्रक्रिया, उल्लंघन सूचना आणि दायित्व कलमांवर वाटाघाटी करतो.
• डेटा चोरीनंतर पक्षांमधील दायित्व आणि दाद मागण्याबाबत आम्ही सल्ला देतो.
• Autoriteit Personsgegevens च्या प्रश्नांना आम्ही तुमचे प्रतिसाद तयार करतो.

सारांश

• तुमची भूमिका तुमच्या करारातील नावाप्रमाणे नव्हे, तर तथ्यांनुसार असते: जो कोणी उद्देश आणि आवश्यक साधने ठरवतो, तोच नियंत्रक असतो.
• जर तुम्ही दुसऱ्या पक्षासोबत संयुक्तपणे उद्देश ठरवत असाल तर, तुम्ही संयुक्त नियंत्रक आहात आणि तुमच्या जबाबदाऱ्यांच्या विभागणीची नोंद करणे आवश्यक आहे (कलम 26 GDPR).
• जेव्हाही तुम्ही प्रोसेसर वापरता तेव्हा GDPR च्या कलम 28(3) च्या सामग्रीसह एक लेखी प्रक्रिया करार अनिवार्य आहे.
• प्रोसेसर तुम्हाला विनाकारण विलंब न करता उल्लंघनाची माहिती देतो; तुम्ही ७२ तासांच्या आत Autoriteit Persoonsgegevens ला सूचित करता.
• व्यक्तीला झालेल्या संपूर्ण नुकसानीसाठी दोन्ही पक्ष जबाबदार असू शकतात, म्हणून सही करण्यापूर्वी नुकसानभरपाईच्या कलमावर वाटाघाटी करा.

सतत विचारले जाणारे प्रश्न