नीदरलैंड्स में साइबर सुरक्षा और दायित्व: डेटा उल्लंघन की जिम्मेदारी की व्याख्या

नीदरलैंड्स में हर रोज डेटा लीक की घटनाएं होती हैं। जब ऐसा होता है, तो किसी न किसी को जिम्मेदारी लेनी ही पड़ती है ।

डच कानून और GDPR के तहत, व्यक्तिगत डेटा को नियंत्रित करने वाले संगठन इसकी सुरक्षा के लिए प्राथमिक रूप से जिम्मेदार होते हैं और डेटा लीक होने पर उन्हें भारी कानूनी जवाबदेही का सामना करना पड़ता है। यदि आपके व्यवसाय पर साइबर हमला होता है , तो आपको 20 मिलियन यूरो तक का जुर्माना या आपके वैश्विक वार्षिक कारोबार का 4% तक का जुर्माना देना पड़ सकता है, जो भी राशि अधिक हो।

नीदरलैंड्स में कार्यरत किसी भी संगठन के लिए यह समझना अत्यंत आवश्यक है कि डेटा उल्लंघन के बाद कौन ज़िम्मेदार होता है। इसका उत्तर हमेशा सीधा नहीं होता, क्योंकि दायित्व केवल आपकी कंपनी तक ही सीमित नहीं रहता, बल्कि इसमें तृतीय-पक्ष सेवा प्रदाता, कर्मचारी और डेटा प्रसंस्करण में शामिल अन्य पक्ष भी शामिल हो सकते हैं।

डच डेटा संरक्षण प्राधिकरण और अन्य नियामक, डेटा नियंत्रक या प्रोसेसर के रूप में आपकी भूमिका, आपके द्वारा अपनाए गए सुरक्षा उपायों और घटना पर आपकी प्रतिक्रिया की गति के आधार पर जिम्मेदारी निर्धारित करते हैं।

यह लेख नीदरलैंड्स में साइबर सुरक्षा को नियंत्रित करने वाले कानूनी ढांचे का विस्तृत विवरण देता है और बताता है कि उल्लंघन के बाद दायित्व कैसे निर्धारित किया जाता है। आप अपने अधिसूचना दायित्वों, अनुपालन न करने पर होने वाले दंडों और साइबर हमलों और कानूनी परिणामों से अपने संगठन को बचाने के लिए उठाए जा सकने वाले व्यावहारिक कदमों के बारे में जानेंगे।

साइबर सुरक्षा और डेटा संरक्षण के लिए कानूनी ढांचा

नीदरलैंड्स में साइबर सुरक्षा और डेटा संरक्षण संबंधी कानूनों की कई परतें लागू हैं, जिनमें यूरोपीय संघ के व्यापक नियमों के साथ-साथ राष्ट्रीय कार्यान्वयन कानून भी शामिल हैं। ये कानून व्यक्तिगत डेटा का प्रबंधन करने वाले और महत्वपूर्ण बुनियादी ढांचे का संचालन करने वाले संगठनों के लिए स्पष्ट दायित्व निर्धारित करते हैं।

वे दूरसंचार, वित्त और कानून प्रवर्तन सहित विभिन्न क्षेत्रों के लिए विशिष्ट आवश्यकताएं निर्धारित करते हैं।

सामान्य डेटा संरक्षण विनियमन (जीडीपीआर) और डच कार्यान्वयन

GDPR नीदरलैंड सहित पूरे यूरोपीय संघ में प्राथमिक डेटा सुरक्षा ढांचा है। यह व्यक्तिगत डेटा के प्रसंस्करण के लिए व्यापक नियम स्थापित करता है और संगठनों को सूचना की सुरक्षा के लिए उचित तकनीकी और संगठनात्मक उपाय लागू करने की आवश्यकता होती है।

नीदरलैंड्स ने डच जीडीपीआर कार्यान्वयन अधिनियम ( Uitvoeringswet AVG ) के माध्यम से जीडीपीआर को लागू किया, जो यूरोपीय संघ की आवश्यकताओं को डच कानून के अनुरूप ढालता है। यह अधिनियम यूरोपीय मानकों के साथ सामंजस्य बनाए रखते हुए राष्ट्रीय परिस्थितियों के लिए विशिष्ट प्रावधान प्रदान करता है।

इसमें डच डेटा संरक्षण प्राधिकरण ( Autoriteit Persoonsgegevens ) को प्रवर्तन के लिए जिम्मेदार पर्यवेक्षी निकाय के रूप में नामित किया गया है।

GDPR के तहत, आपको डेटा उल्लंघन की जानकारी मिलने के 72 घंटों के भीतर इसकी सूचना संबंधित प्राधिकारी को देनी होगी। यदि उल्लंघन से व्यक्तियों के अधिकारों और स्वतंत्रता को गंभीर खतरा है, तो आपको प्रभावित व्यक्तियों को भी बिना किसी देरी के सूचित करना होगा।

ये अधिसूचना संबंधी आवश्यकताएं नीदरलैंड्स में उल्लंघन दायित्व का आधार बनती हैं।

सामूहिक डेटा संरक्षण अधिनियम ( Verzamelwet Gegevensbescherming ) विभिन्न डच कानूनों को GDPR मानकों के अनुरूप बनाने के लिए उन्हें और परिष्कृत करता है। इससे विभिन्न कानूनी क्षेत्रों में एकरूपता सुनिश्चित होती है।

साइबर सुरक्षा अधिनियम और एनआईएस2 निर्देश

NIS2 निर्देश यूरोपीय संघ भर में आवश्यक और महत्वपूर्ण संस्थाओं के लिए साइबर सुरक्षा आवश्यकताओं का व्यापक विस्तार करता है। नीदरलैंड इस निर्देश को साइबरबेवेइलिगिंग्सवेट (डच साइबर सुरक्षा अधिनियम) में अद्यतन करके लागू कर रहा है, जिसने मूल रूप से पहले NIS निर्देश को लागू किया था।

NIS2 के अंतर्गत आने वाले क्षेत्रों का दायरा बढ़ाया गया है और इसमें सख्त सुरक्षा आवश्यकताएं, घटना रिपोर्टिंग दायित्व और प्रबंधन जवाबदेही प्रावधान शामिल किए गए हैं। आपको विशिष्ट जोखिम प्रबंधन उपाय लागू करने होंगे और महत्वपूर्ण घटनाओं की जानकारी मिलने के 24 घंटों के भीतर उनकी रिपोर्ट करनी होगी।

नेटवर्क और सूचना प्रणाली सुरक्षा अधिनियम और इसके साथ जारी नेटवर्क और सूचना प्रणाली सुरक्षा अध्यादेश आवश्यक सेवाओं के संचालकों और डिजिटल सेवा प्रदाताओं के लिए विस्तृत आवश्यकताएं निर्धारित करते हैं। ये कानून बुनियादी सुरक्षा उपायों, नियमित ऑडिट और राष्ट्रीय साइबर सुरक्षा अधिकारियों के साथ समन्वय को अनिवार्य बनाते हैं।

इस कानून में विभिन्न क्षेत्रों के लिए विशिष्ट सक्षम प्राधिकारियों का प्रावधान है। इससे साइबर सुरक्षा प्रथाओं की विशेष निगरानी सुनिश्चित होती है।

अन्य प्रासंगिक कानून और निर्देश

यूरोपीय संघ का ई-प्राइवेसी निर्देश इलेक्ट्रॉनिक संचार गोपनीयता को संबोधित करके GDPR का पूरक है। यह कुकीज़ और इसी तरह की तकनीकों के लिए सहमति अनिवार्य करता है और संचार डेटा की गोपनीयता की रक्षा करता है।

दूरसंचार अधिनियम ( टेलीकम्युनिकेटिव ) दूरसंचार प्रदाताओं पर विशिष्ट सुरक्षा दायित्व लागू करता है, जिसमें नेटवर्क की अखंडता और उपयोगकर्ता डेटा की सुरक्षा की आवश्यकताएं शामिल हैं। यह अधिनियम संचार क्षेत्र में व्यापक सुरक्षा सुनिश्चित करने के लिए डेटा संरक्षण कानूनों के साथ मिलकर काम करता है।

क्रिटिकल एंटिटीज रेजिलिएंस एक्ट (सीआरए) सार्वजनिक सुरक्षा और आर्थिक स्थिरता के लिए महत्वपूर्ण मानी जाने वाली संस्थाओं के लिए भौतिक और साइबर सुरक्षा आवश्यकताओं को मजबूत करता है। यह मानक साइबर सुरक्षा प्रावधानों से परे जोखिम आकलन और लचीलापन उपायों की मांग करता है।

ये रूपरेखाएँ परस्पर परस्पर जुड़ी हुई जिम्मेदारियों को जन्म देती हैं। अनेक क्षेत्रों में कार्य करते समय या विभिन्न प्रकार के डेटा को संभालते समय आपको इनका सही ढंग से पालन करना होगा।

क्षेत्र-विशिष्ट विनियम

वित्तीय पर्यवेक्षण अधिनियम ( Wet op het financieel toezicht ) वित्तीय संस्थानों के लिए कड़े साइबर सुरक्षा और डेटा संरक्षण संबंधी आवश्यकताएँ निर्धारित करता है। वित्तीय क्षेत्र में काम करते समय आपको मजबूत सुरक्षा नियंत्रण, घटना प्रतिक्रिया प्रक्रियाएँ और नियमित परीक्षण प्रोटोकॉल लागू करने होंगे।

पुलिस डेटा अधिनियम ( Wet politiegegevens ) और न्यायिक एवं आपराधिक प्रक्रिया डेटा अधिनियम ( Wet justitiële en strafvorderlijke gegevens ) के तहत कानून प्रवर्तन संगठनों को विशेष आवश्यकताओं का सामना करना पड़ता है । ये कानून यह नियंत्रित करते हैं कि पुलिस और न्यायिक प्राधिकरण जांच और आपराधिक कार्यवाही के दौरान व्यक्तिगत डेटा को कैसे एकत्र करते हैं, संसाधित करते हैं और उसकी सुरक्षा करते हैं।

स्वास्थ्य सेवा प्रदाताओं को मानक GDPR आवश्यकताओं के अलावा अतिरिक्त गोपनीयता सुरक्षा उपायों का पालन करना होगा। यह चिकित्सा जानकारी की संवेदनशील प्रकृति को दर्शाता है।

एनआईएस2 के कार्यान्वयन के तहत ऊर्जा, परिवहन और जल क्षेत्रों को विशिष्ट दायित्वों का सामना करना पड़ता है, जिनके लिए उनके परिचालन जोखिमों के अनुरूप सुरक्षा उपाय तैयार किए गए हैं।

प्रत्येक क्षेत्र-विशिष्ट विनियमन के अनुपालन संबंधी दायित्व भी अलग-अलग होते हैं। यह पहचानना आवश्यक है कि आपकी संस्था की विशिष्ट गतिविधियों और डेटा प्रोसेसिंग कार्यों पर कौन से कानून लागू होते हैं।

डेटा उल्लंघन के बाद दायित्व निर्धारण

नीदरलैंड्स में, डेटा उल्लंघन के लिए दायित्व व्यक्तिगत डेटा को संसाधित करने में आपकी भूमिका, आपके द्वारा लागू किए गए सुरक्षा उपायों और रिपोर्टिंग आवश्यकताओं के पालन पर निर्भर करता है। डच डेटा संरक्षण प्राधिकरण और अन्य पर्यवेक्षी निकाय GDPR और राष्ट्रीय साइबर सुरक्षा कानूनों के तहत कानूनी दायित्वों के आधार पर जिम्मेदारी निर्धारित करते हैं ।

जिम्मेदारी का निर्धारण: नियंत्रक, संसाधक और तृतीय पक्ष

व्यक्तिगत डेटा के उल्लंघन के बाद आपकी ज़िम्मेदारी इस बात पर निर्भर करती है कि आप डेटा नियंत्रक हैं या संसाधक। नियंत्रक यह तय करते हैं कि व्यक्तिगत डेटा को कैसे और क्यों संसाधित किया जाए, जिससे सुरक्षा संबंधी घटनाओं के लिए वे मुख्य रूप से उत्तरदायी होते हैं।

प्रोसेसर नियंत्रकों की ओर से डेटा को संभालते हैं और यदि वे निर्देशों का उल्लंघन करते हैं या पर्याप्त सुरक्षा उपायों को लागू करने में विफल रहते हैं तो उन्हें जवाबदेही का सामना करना पड़ता है।

डिजिटल सेवा प्रदाताओं जैसे तृतीय पक्षों की अलग-अलग जिम्मेदारियां होती हैं। यदि आप बाहरी आपूर्तिकर्ताओं का उपयोग करते हैं, तो आपके लिए डेटा संसाधित करते समय उनके कार्यों के लिए आप ही उत्तरदायी रहेंगे।

आपके अनुबंधों में सुरक्षा दायित्वों और घटना से निपटने की प्रक्रियाओं का स्पष्ट उल्लेख होना चाहिए।

जब कई पक्ष शामिल होते हैं, तो दायित्व साझा किया जा सकता है। यदि आप और आपका प्रोसेसर दोनों तकनीकी और संगठनात्मक उपायों को लागू करने में विफल रहते हैं, तो आप दोनों को Autoriteit Persoonsgegevens द्वारा दंड का सामना करना पड़ सकता है।

पर्यवेक्षी प्राधिकरण उल्लंघन में प्रत्येक पक्ष की भूमिका की जांच करके जिम्मेदारी निर्धारित करता है।

पर्यवेक्षी प्राधिकरण और नियामक भूमिकाएँ

ऑटोरिटेट पर्सून्सगेगेवेन्स डच डेटा संरक्षण प्राधिकरण है जो GDPR के अनुपालन को लागू करने के लिए जिम्मेदार है। आपको व्यक्तिगत डेटा उल्लंघन की जानकारी घटना की जानकारी होने के 72 घंटों के भीतर इस पर्यवेक्षी प्राधिकरण को देनी होगी।

घटना की रिपोर्टिंग की समय सीमा का पालन न करने से आपकी जवाबदेही बढ़ जाती है।

राष्ट्रीय साइबर सुरक्षा केंद्र (एनसीएससी) आवश्यक सेवाओं के संचालकों को प्रभावित करने वाले व्यापक साइबर सुरक्षा खतरों से निपटता है । यदि आप महत्वपूर्ण बुनियादी ढांचा या डिजिटल सेवाएं प्रदान करते हैं, तो आपको भी महत्वपूर्ण सुरक्षा घटनाओं की रिपोर्ट एनसीएससी को देनी होगी।

ये रिपोर्टें साइबर खतरों के प्रति राष्ट्रीय स्तर पर समन्वय स्थापित करने में सहायक होती हैं।

दोनों प्राधिकरण सुरक्षा संबंधी घटनाओं के बाद जांच करते हैं। Autoriteit Persoonsgegevens 20 मिलियन यूरो तक या आपके वार्षिक वैश्विक कारोबार के 4% तक का जुर्माना लगा सकता है, जो भी अधिक हो।

वे उल्लंघन की प्रकृति, प्रभावित व्यक्तियों की संख्या और आपके द्वारा उठाए गए प्रतिक्रियात्मक उपायों जैसे कारकों पर विचार करते हैं।

ENISA के दिशानिर्देश इस बात को प्रभावित करते हैं कि डच अधिकारी साइबर सुरक्षा आवश्यकताओं के साथ आपके अनुपालन का आकलन कैसे करते हैं।

संगठनात्मक और तकनीकी उपाय

तकनीकी और संगठनात्मक उपायों को लागू करने से दायित्व निर्धारण पर सीधा प्रभाव पड़ता है। इन उपायों में एन्क्रिप्शन, एक्सेस कंट्रोल, नियमित सुरक्षा परीक्षण और कर्मचारियों का प्रशिक्षण शामिल हैं।

न्यायालय और पर्यवेक्षी प्राधिकरण इस बात का मूल्यांकन करते हैं कि आपकी सुरक्षा व्यवस्था संबंधित जोखिमों के लिए उपयुक्त थी या नहीं।

आपको अपने सुरक्षा उपायों का दस्तावेजीकरण करना होगा और व्यावसायिक निरंतरता योजना का प्रदर्शन करना होगा। यदि आप पर्याप्त सावधानियों को साबित नहीं कर पाते हैं, तो दायित्व काफी बढ़ जाता है।

नियमित जोखिम मूल्यांकन से आपको सुरक्षा उल्लंघनों से पहले कमजोरियों की पहचान करने में मदद मिलती है।

घटना से निपटने की प्रक्रियाएँ अत्यंत महत्वपूर्ण हैं। व्यक्तिगत डेटा उल्लंघनों का पता लगाने, उनकी जांच करने और उन पर प्रतिक्रिया देने के लिए स्पष्ट प्रोटोकॉल आवश्यक हैं।

सुरक्षा संबंधी घटनाओं को नियंत्रित करने में आपकी प्रतिक्रिया का समय और प्रभावशीलता दंड संबंधी निर्णयों को प्रभावित करती है।

Autoriteit Persoonsgegevens आपसे अपने सुरक्षा ढांचे के प्रमाण बनाए रखने की अपेक्षा करता है। उचित दस्तावेज़ीकरण के बिना, जांच के दौरान उचित सावधानी साबित करना मुश्किल हो जाता है।

आपूर्ति श्रृंखला और सेवा प्रदाताओं का प्रभाव

आपूर्ति श्रृंखला सुरक्षा जटिल दायित्व संबंधी मुद्दे उत्पन्न करती है। जब आपके सेवा प्रदाताओं द्वारा आपके डेटा को प्रभावित करने वाले उल्लंघन होते हैं, तो आपको इसके परिणाम भुगतने पड़ सकते हैं।

आपको आपूर्तिकर्ताओं की पूरी जांच-पड़ताल करनी चाहिए और उनकी सुरक्षा प्रक्रियाओं की लगातार निगरानी करनी चाहिए।

आवश्यक सेवाओं के संचालकों को विक्रेता प्रबंधन के लिए सख्त आवश्यकताओं का सामना करना पड़ता है। आपको यह सुनिश्चित करना होगा कि आपकी आपूर्ति श्रृंखला में डिजिटल सेवा प्रदाता आपके स्वयं के दायित्वों के अनुरूप मानकों का पालन करें।

संविदात्मक समझौतों में घटना की रिपोर्टिंग संबंधी कर्तव्यों और दायित्व के आवंटन को स्पष्ट रूप से परिभाषित किया जाना चाहिए।

यदि कोई उल्लंघन आपकी आपूर्ति श्रृंखला से उत्पन्न होता है, तो प्राधिकरण (Autoriteit Persoonsgegevens) यह जांच करता है कि क्या आपने विक्रेता का पर्याप्त मूल्यांकन किया था। आपकी जवाबदेही इस बात पर निर्भर करती है कि क्या आपने आपूर्तिकर्ता की सुरक्षा सत्यापित करने के लिए उचित कदम उठाए थे।

आप थर्ड-पार्टी प्रोसेसर का उपयोग करते समय भी जिम्मेदारी को पूरी तरह से सौंप नहीं सकते।

बहुस्तरीय आपूर्ति श्रृंखलाओं में अतिरिक्त सतर्कता की आवश्यकता होती है। आपको उप-प्रोसेसरों और उनके सुरक्षा उपायों की पूरी जानकारी होनी चाहिए ताकि कई संगठनों में व्यक्तिगत डेटा को खतरे में डालने वाली क्रमिक विफलताओं से बचाव किया जा सके।

डेटा उल्लंघन अधिसूचना दायित्व

नीदरलैंड्स में GDPR और राष्ट्रीय साइबर सुरक्षा कानूनों के तहत एक बहुस्तरीय अधिसूचना ढांचा लागू है। डेटा नियंत्रकों को डेटा विषय के अधिकारों के लिए जोखिम होने पर 72 घंटों के भीतर व्यक्तिगत डेटा प्राधिकरण (PDA) को उल्लंघन की रिपोर्ट देनी होगी ।

उच्च जोखिम वाले उल्लंघनों के लिए प्रभावित व्यक्तियों को सीधे सूचित करना आवश्यक है।

समयसीमा और प्रक्रियात्मक आवश्यकताएँ

आपको व्यक्तिगत डेटा उल्लंघन की जानकारी प्राप्त होने के बाद बिना किसी अनावश्यक देरी के और संभव होने पर 72 घंटों के भीतर पीडीए को सूचित करना होगा। यह दायित्व तब तक लागू होता है जब तक कि उल्लंघन से प्राकृतिक व्यक्तियों के अधिकारों और स्वतंत्रता को कोई खतरा होने की संभावना न हो।

जहां तक ​​संभव हो, अधिसूचना में विशिष्ट जानकारी शामिल होनी चाहिए। आपको संबंधित डेटा विषयों की श्रेणियां और अनुमानित संख्या, प्रभावित व्यक्तिगत डेटा रिकॉर्ड की श्रेणियां और अनुमानित संख्या, और अपने डेटा संरक्षण अधिकारी या अन्य संपर्क बिंदु का नाम प्रदान करना होगा।

आपको उल्लंघन के संभावित परिणामों और उससे निपटने के लिए उठाए गए या प्रस्तावित उपायों का भी वर्णन करना होगा।

यदि आप 72 घंटे की समय सीमा के भीतर सभी आवश्यक जानकारी प्रदान नहीं कर सकते हैं, तो आप इसे चरणों में जमा कर सकते हैं। आपको अपनी पहली सूचना में किसी भी देरी का कारण बताना होगा।

किसे और कब सूचित करना आवश्यक है

व्यक्तिगत डेटा के उल्लंघन से संबंधित किसी भी स्थिति में, जब डेटा के उल्लंघन से उनके अधिकारों और स्वतंत्रता को गंभीर खतरा होने की संभावना हो, तो आपको प्रभावित डेटा विषयों को सीधे सूचित करना होगा। यह सूचना बिना किसी अनावश्यक देरी के और स्पष्ट भाषा में दी जानी चाहिए।

तीन विशिष्ट परिस्थितियों में डेटा विषयों को प्रत्यक्ष सूचना देना आवश्यक नहीं है। यदि आपने उचित तकनीकी और संगठनात्मक सुरक्षा उपाय (जैसे एन्क्रिप्शन) लागू किए हैं जो अनधिकृत व्यक्तियों के लिए डेटा को अपठनीय बनाते हैं, तो आपको सूचित करने की आवश्यकता नहीं है।

यदि आपने डेटा विषय अधिकारों के लिए उच्च जोखिम की संभावना को समाप्त करने वाले उपाय किए हैं, या यदि प्रत्यक्ष संचार में अत्यधिक प्रयास लगेगा, तो आपको सूचित करने की आवश्यकता नहीं है। ऐसे मामलों में, सार्वजनिक संचार या इसी तरह के उपाय आवश्यक हैं।

वित्तीय पर्यवेक्षण अधिनियम के अंतर्गत आने वाली वित्तीय कंपनियों को डेटा विषय अधिसूचना दायित्व से छूट प्राप्त है। फिर भी उन्हें पीडीए को रिपोर्ट करना होगा।

प्रोसेसरों के विशिष्ट दायित्व होते हैं। व्यक्तिगत डेटा के किसी भी उल्लंघन की जानकारी मिलते ही, जोखिम के स्तर की परवाह किए बिना, आपको तुरंत नियंत्रक को सूचित करना होगा।

यह GDPR के तहत एक वैधानिक आवश्यकता भी है और इसे आपके प्रोसेसिंग समझौते में शामिल किया जाना चाहिए।

क्षेत्रीय और राष्ट्रीय अधिसूचना आवश्यकताएँ

GDPR के दायित्वों के अलावा, आपके क्षेत्र के आधार पर आपको अतिरिक्त रिपोर्टिंग आवश्यकताओं का सामना करना पड़ सकता है। WBNI (नेटवर्क और सूचना प्रणाली सुरक्षा अधिनियम) के तहत कुछ संस्थाओं को साइबर सुरक्षा अधिकारियों को सुरक्षा घटनाओं की रिपोर्ट करना अनिवार्य है, भले ही ये घटनाएं व्यक्तिगत डेटा उल्लंघन की श्रेणी में न आती हों।

सार्वजनिक इलेक्ट्रॉनिक संचार नेटवर्क के प्रदाताओं को मानव पर्यावरण और परिवहन निरीक्षणालय (आईएलटी) को रिपोर्ट करना अनिवार्य है। स्वास्थ्य सेवा संगठनों को चिकित्सा उपकरण सुरक्षा या रोगी डेटा को प्रभावित करने वाली घटनाओं के संबंध में स्वास्थ्य और युवा देखभाल निरीक्षणालय को सूचित करना अनिवार्य है।

वित्तीय सेवा प्रदाताओं को वित्तीय पर्यवेक्षण कानून के तहत क्षेत्र-विशिष्ट आवश्यकताओं का अनुपालन करना होगा।

विश्व स्वास्थ्य संगठन नीति (WBNI) के तहत महत्वपूर्ण अवसंरचना प्रदाताओं के दायित्व बढ़ गए हैं। आपको कंप्यूटर सुरक्षा घटना प्रतिक्रिया दल (CSIRT) को उन महत्वपूर्ण घटनाओं की रिपोर्ट करनी होगी जो आवश्यक सेवाओं को काफी हद तक बाधित कर सकती हैं।

सार्वजनिक कंपनियों को उन सुरक्षा घटनाओं की सूचना देने की आवश्यकता हो सकती है जो निवेशकों के निर्णयों को महत्वपूर्ण रूप से प्रभावित कर सकती हैं।

ये क्षेत्रीय आवश्यकताएँ अक्सर GDPR दायित्वों के साथ-साथ काम करती हैं, न कि उनका प्रतिस्थापन करती हैं। आपके संगठन की गतिविधियों और उल्लंघन की प्रकृति के आधार पर, आपको एक ही घटना के लिए विभिन्न अधिकारियों को कई सूचनाएँ देनी पड़ सकती हैं।

अनुपालन न करने पर प्रवर्तन और दंड

डच अधिकारियों के पास साइबर सुरक्षा संबंधी विफलताओं की जांच करने और व्यक्तिगत डेटा की सुरक्षा करने या सुरक्षा आवश्यकताओं को पूरा करने में विफल रहने वाले संगठनों पर पर्याप्त वित्तीय दंड लगाने की स्पष्ट शक्तियां हैं।

प्रवर्तन ढांचे में विशिष्ट निगरानी जिम्मेदारियों वाले कई नियामक, संरचित दंड योजनाएं और प्रतिबंधों का सामना करने वाले संगठनों के लिए परिभाषित अपील प्रक्रियाएं शामिल हैं।

जांच और निगरानी शक्तियां

डच डेटा संरक्षण प्राधिकरण (Autoriteit Persoonsgegevens, या AP) डेटा उल्लंघनों और GDPR उल्लंघनों की जांच करने के लिए प्राथमिक रूप से जिम्मेदार है।

एपी शिकायतों, मीडिया रिपोर्टों या नियमित ऑडिट के आधार पर जांच शुरू कर सकता है।

जांच के दौरान, प्राधिकरण दस्तावेज़ मांग सकता है, मौके पर जाकर निरीक्षण कर सकता है और कर्मचारियों का साक्षात्कार ले सकता है।

नए साइबर सुरक्षा कानून के तहत साइबर सुरक्षा दायित्वों के लिए, क्षेत्र-विशिष्ट नियामक निगरानी करते हैं।

उपभोक्ता एवं बाजार प्राधिकरण (एसीएम) डिजिटल अवसंरचना और दूरसंचार प्रदाताओं की निगरानी करता है।

डच सेंट्रल बैंक (डीएनबी) वित्तीय संस्थानों की देखरेख करता है।

आर्थिक मामलों और जलवायु मंत्री, अवसंरचना और जल प्रबंधन मंत्री और स्वास्थ्य मंत्री, प्रत्येक अपने-अपने क्षेत्रों में प्रवर्तन शक्तियां रखते हैं।

ये नियामक आपके सिस्टम का ऑडिट कर सकते हैं, घटना प्रतिक्रिया प्रक्रियाओं की समीक्षा कर सकते हैं और यह आकलन कर सकते हैं कि आपका जोखिम प्रबंधन कानूनी मानकों को पूरा करता है या नहीं।

उल्लंघन पाए जाने पर वे आपके संगठन से प्रवर्तन लागत भी वसूल सकते हैं।

नेशनल साइबर सिक्योरिटी सेंटर (एनसीएससी) नियामकों के बीच समन्वय स्थापित करता है लेकिन सीधे तौर पर जुर्माना नहीं लगाता है।

प्रशासनिक और वित्तीय दंड

वित्तीय दंड कानूनी ढांचे और उल्लंघन की गंभीरता के आधार पर भिन्न-भिन्न होते हैं।

GDPR के प्रवर्तन के तहत, AP 20 मिलियन यूरो तक या आपके वार्षिक वैश्विक कारोबार के 4% तक का जुर्माना लगा सकता है, जो भी अधिक हो।

प्राधिकरण उल्लंघन की प्रकृति, प्रभावित व्यक्तियों की संख्या और जांच के दौरान आपके सहयोग जैसे कारकों पर विचार करता है।

साइबर सुरक्षा कानून के तहत, दंड एक स्तरीय संरचना का अनुसरण करते हैं:

नियामक आपको निर्धारित समयसीमा के भीतर विशिष्ट सुरक्षा उपायों को लागू करने के लिए सुधारात्मक आदेश भी जारी कर सकते हैं।

बार-बार असफल होने पर उल्लंघनों का सार्वजनिक रूप से खुलासा करके नाम उजागर किया जा सकता है और बदनामी का सामना करना पड़ सकता है।

आवश्यक संस्थाओं के रूप में वर्गीकृत संगठनों के निदेशकों को गंभीर मामलों में बोर्ड के पदों से व्यक्तिगत रूप से अयोग्य घोषित किया जा सकता है।

सार्वजनिक क्षेत्र के संगठनों को वित्तीय दंड से छूट प्राप्त है, लेकिन उन्हें सुधारात्मक प्रवर्तन कार्रवाइयों और संभावित संसदीय जांच का सामना करना पड़ सकता है।

कानूनी उपाय और अपीलें

आपको प्रशासनिक अपीलों के माध्यम से प्रवर्तन निर्णयों को चुनौती देने का अधिकार है ।

जुर्माना नोटिस प्राप्त होने के बाद, आप छह सप्ताह के भीतर जारी करने वाले प्राधिकरण को आपत्ति (बेज़वार) दर्ज करा सकते हैं।

नियामक को अपने फैसले पर पुनर्विचार करना होगा और औपचारिक प्रतिक्रिया देनी होगी।

यदि आप पुनर्विचार के परिणाम से असहमत हैं, तो आप जिला न्यायालय (रेचटबैंक) में अपील कर सकते हैं।

अदालत इस बात की समीक्षा करती है कि क्या नियामक ने उचित प्रक्रियाओं का पालन किया और कानून को सही ढंग से लागू किया।

इसके बाद आप राज्य परिषद के प्रशासनिक क्षेत्राधिकार प्रभाग (Afdeling bestuursrechtspraak van de Raad van State) में अदालती फैसलों के खिलाफ अपील कर सकते हैं, जो सर्वोच्च प्रशासनिक अदालत के रूप में कार्य करता है।

अपील की पूरी प्रक्रिया के दौरान, आपको नियामकों द्वारा आदेशित किसी भी सुधारात्मक उपाय को लागू करना जारी रखना होगा।

अदालतें अपील के नतीजों तक वित्तीय दंड को निलंबित कर सकती हैं, लेकिन यह स्वचालित नहीं है।

साइबर सुरक्षा प्रबंधन में प्रमुख भूमिकाएँ और जिम्मेदारियाँ

संगठनों को यह स्पष्ट रूप से परिभाषित करना होगा कि साइबर सुरक्षा कार्यों का प्रबंधन कौन करता है, जिसमें डेटा सुरक्षा अधिकारियों की नियुक्ति से लेकर बोर्ड स्तर पर जवाबदेही तय करना और कर्मचारियों को सुरक्षा प्रोटोकॉल पर प्रशिक्षण देना शामिल है।

डेटा संरक्षण अधिकारी और उनकी नियुक्तियाँ

यदि आपका संगठन बड़े पैमाने पर संवेदनशील व्यक्तिगत डेटा संसाधित करता है या व्यक्तियों की व्यवस्थित रूप से निगरानी करता है, तो आपको एक डेटा सुरक्षा अधिकारी (डीपीओ) नियुक्त करना होगा।

डेटा सुरक्षा अधिकारी (डीपीओ) डेटा संरक्षण अधिकारियों और डेटा विषयों के लिए आपके प्राथमिक संपर्क बिंदु के रूप में कार्य करता है।

आपके डेटा प्रोटेक्शन ऑफिसर (डीपीओ) को डेटा संरक्षण कानून और सूचना सुरक्षा प्रथाओं में विशिष्ट योग्यताएं होनी चाहिए।

उन्हें सीधे आपके उच्चतम प्रबंधन स्तर को रिपोर्ट करना होगा और अपने कर्तव्यों का पालन करने के लिए उन्हें बर्खास्त नहीं किया जा सकता है।

इस भूमिका में GDPR अनुपालन की निगरानी करना, डेटा सुरक्षा प्रभाव आकलन करना और एन्क्रिप्शन और क्रिप्टोग्राफी आवश्यकताओं पर सलाह देना शामिल है।

आपको डीपीओ की जिम्मेदारियों को स्पष्ट रूप से दस्तावेजित करना चाहिए।

इसमें आपके डिजिटल इंफ्रास्ट्रक्चर का ऑडिट करने और आपकी घटना प्रतिक्रिया योजना की समीक्षा करने का उनका अधिकार शामिल है।

यदि आप कई यूरोपीय संघ देशों में काम करते हैं, तो आप उनके पेशेवर गुणों और संबंधित क्षेत्राधिकारों के ज्ञान के आधार पर एक ही डीपीओ (डेटा प्रोटेक्शन ऑफिसर) को नामित कर सकते हैं।

कॉर्पोरेट प्रशासन और जवाबदेही

आपके निदेशक मंडल के पास साइबर सुरक्षा जोखिम प्रबंधन की अंतिम जिम्मेदारी है।

उन्हें सुरक्षा उपायों को मंजूरी देनी होगी, पर्याप्त संसाधन आवंटित करने होंगे और साइबर सुरक्षा प्रयासों की उचित निगरानी सुनिश्चित करनी होगी।

नेतृत्व की जवाबदेही में निम्नलिखित शामिल हैं:

• सुरक्षा नीतियों को मंजूरी देना सूचना सुरक्षा ढाँचों के लिए
• जोखिम आकलन की देखरेख करना और परिचालन लचीलापन योजना
• लेखापरीक्षा अनुपालन सुनिश्चित करना स्वतंत्र समीक्षाओं के माध्यम से
• बजट का आवंटन साइबर सुरक्षा प्रबंधन के लिए और कर्मचारी प्रशिक्षण

सुरक्षा संबंधी निर्णय लेने के लिए आपको अधिकार की स्पष्ट रेखाएं स्थापित करने की आवश्यकता है।

उन लोगों का दस्तावेजीकरण करें जो सुरक्षा उपायों को मंजूरी देते हैं, जो कार्यान्वयन की निगरानी करते हैं और जो ऑडिट करते हैं।

आपके प्रबंधन को नियमित रूप से साइबर सुरक्षा प्रदर्शन की समीक्षा करनी चाहिए और आपके डिजिटल बुनियादी ढांचे के लिए विकसित हो रहे खतरों के आधार पर रणनीतियों को समायोजित करना चाहिए।

आंतरिक नीतियां और कर्मचारी प्रशिक्षण

आपको ऐसे दस्तावेजी नीतियां बनानी होंगी जो आपके संगठन में सुरक्षा भूमिकाओं को परिभाषित करती हों।

इन नीतियों में डेटा सुरक्षा, घटना प्रतिक्रिया और साइबर लचीलापन बनाए रखने के लिए जिम्मेदारियों को स्पष्ट रूप से निर्दिष्ट किया जाना चाहिए।

आपकी सुरक्षा नीतियों में निम्नलिखित बातें शामिल होनी चाहिए:

• पहुँच नियंत्रण और प्रमाणीकरण आवश्यकताएँ
• डेटा वर्गीकरण और एन्क्रिप्शन मानक
• घटना रिपोर्टिंग प्रक्रिया
• नियमित सुरक्षा जागरूकता प्रशिक्षण

आपको सभी कर्मचारियों को सूचना सुरक्षा प्रथाओं पर निरंतर प्रशिक्षण प्रदान करना चाहिए।

इसमें फ़िशिंग के प्रयासों को पहचानना , संवेदनशील डेटा को सही ढंग से संभालना और अपनी घटना प्रतिक्रिया योजना का पालन करना शामिल है।

प्रशिक्षण को विशिष्ट भूमिकाओं के अनुरूप तैयार किया जाना चाहिए, जिसमें तकनीकी कर्मचारियों को क्रिप्टोग्राफी और सुरक्षा नियंत्रणों पर उन्नत निर्देश प्राप्त हों।

आपकी नीतियों की नियमित रूप से समीक्षा की जानी चाहिए और नियमों में बदलाव होने या नए जोखिम सामने आने पर उन्हें अपडेट किया जाना चाहिए।

आपको साइबर सुरक्षा प्रथाओं में नीति कार्यान्वयन और कर्मचारियों के विकास दोनों के लिए पर्याप्त संसाधन सुनिश्चित करने की आवश्यकता है।

साइबर सुरक्षा घटनाओं के प्रकार और उभरते खतरे

साइबर सुरक्षा से जुड़ी घटनाओं में भ्रामक ईमेल से लेकर बड़े पैमाने पर नेटवर्क व्यवधान तक शामिल हैं, जो पूरे संगठनों को खतरे में डाल सकते हैं।

इन खतरों को समझने से आपको कमजोरियों की पहचान करने और उल्लंघन होने पर जिम्मेदारी तय करने में मदद मिलती है।

फ़िशिंग, मैलवेयर और रैंसमवेयर

फिशिंग आज भी सबसे आम साइबर सुरक्षा खतरों में से एक है जिनका आपको सामना करना पड़ेगा।

हमलावर वैध कंपनियों की ओर से होने का दिखावा करते हुए ईमेल या संदेश भेजते हैं ताकि आपके पासवर्ड, वित्तीय जानकारी या अन्य संवेदनशील डेटा चुरा सकें।

ये हमले सोशल इंजीनियरिंग की 60 प्रतिशत से अधिक घटनाओं के लिए जिम्मेदार हैं।

मैलवेयर एक प्रकार का हानिकारक सॉफ्टवेयर है जो आपके कंप्यूटर सिस्टम या नेटवर्क को नुकसान पहुंचाता है।

इसमें वायरस, ट्रोजन और अन्य दुर्भावनापूर्ण कोड शामिल हैं जो आपके डेटा तक पहुंचने या आपके संचालन को बाधित करने के लिए डिज़ाइन किए गए हैं।

रैनसमवेयर एक विशेष प्रकार का मैलवेयर है जो आपकी फाइलों तक पहुंच को अवरुद्ध कर देता है और उन्हें पुनर्स्थापित करने के लिए भुगतान की मांग करता है।

अगर आप फिरौती भी दे देते हैं, तो भी इस बात की कोई गारंटी नहीं है कि हमलावर आपकी पहुंच बहाल कर देंगे या चुराए गए डेटा को हटा देंगे।

2020 और 2021 के बीच, संगठनों को वैश्विक स्तर पर लगभग 24,000 साइबर सुरक्षा घटनाओं का सामना करना पड़ा, जिसमें रैंसमवेयर ने वित्तीय नुकसान में महत्वपूर्ण भूमिका निभाई।

सेवा से इनकार (DoS) और वितरित DoS (DDoS) हमले

DoS हमले आपके सिस्टम को अत्यधिक ट्रैफिक से भर देते हैं जिससे वैध उपयोगकर्ताओं के लिए सेवाएं अनुपलब्ध हो जाती हैं।

एक ही स्रोत से इतनी अधिक संख्या में अनुरोध आते हैं कि वह क्रैश हो जाता है या इतना धीमा हो जाता है कि काम करना बंद कर देता है।

डीडीओएस हमले आपके बुनियादी ढांचे के खिलाफ समन्वित हमले शुरू करने के लिए कई समझौता किए गए सिस्टम का उपयोग करते हैं।

इन वितरित हमलों को रोकना अधिक कठिन है क्योंकि ये एक साथ कई स्थानों से होते हैं।

डीडीओएस हमले सरकारी वेबसाइटों से लेकर निजी क्षेत्र के संचालन तक, महत्वपूर्ण सेवाओं को बाधित कर सकते हैं।

आमतौर पर, किसी सुरक्षा घटना का पता चलने के बाद उसे एक बड़े उल्लंघन में बदलने से रोकने के लिए आपके पास 62 मिनट से भी कम समय होता है।

इस सीमित समय सीमा के कारण DoS या DDoS हमलों का सामना करते समय त्वरित प्रतिक्रिया देना आवश्यक हो जाता है।

धोखाधड़ी और अनधिकृत पहुंच

साइबर सुरक्षा में धोखाधड़ी में आपके सिस्टम या डेटा तक अनधिकृत पहुंच प्राप्त करने के लिए कपटपूर्ण तरीके अपनाना शामिल है।

इसमें पहचान की चोरी, भुगतान धोखाधड़ी और क्रेडेंशियल का दुरुपयोग शामिल है।

अनधिकृत पहुंच तब होती है जब कोई व्यक्ति आपकी सुरक्षा नीतियों का उल्लंघन करते हुए बिना अनुमति के नेटवर्क, सिस्टम या डेटा तक पहुंच प्राप्त करता है।

यह निम्न माध्यमों से हो सकता है:

• लॉगिन क्रेडेंशियल चोरी हो गए
• शोषित सॉफ्टवेयर कमजोरियाँ
• सुरक्षा नियंत्रणों को दरकिनार किया गया
• वर्तमान या पूर्व कर्मचारियों से आंतरिक खतरे

आंतरिक डेटा की चोरी को अक्सर नजरअंदाज कर दिया जाता है, लेकिन यह बाहरी हमलों जितनी ही हानिकारक हो सकती है।

2021 में, आंतरिक हमलों की औसत लागत 12.5 मिलियन पाउंड तक पहुंच गई।

कर्मचारियों द्वारा अनजाने में किए गए डेटा लीक को भी कंप्यूटर दुरुपयोग अधिनियम (1990) के तहत सुरक्षा घटना माना जाता है।

क्षेत्र और आपूर्ति श्रृंखला की कमजोरियाँ

महत्वपूर्ण अवसंरचना क्षेत्रों को साइबर अपराध से बढ़ते जोखिमों का सामना करना पड़ता है, जिनमें स्वास्थ्य सेवा, ऊर्जा और वित्तीय सेवाएं प्रमुख लक्ष्य हैं।

पेशेवर क्षेत्र में 2020 और 2021 के बीच लगभग 3,600 घटनाएं हुईं, जिससे यह सबसे अधिक लक्षित उद्योग बन गया।

आपूर्ति श्रृंखला सुरक्षा का महत्व लगातार बढ़ता जा रहा है क्योंकि हमलावर सीधे आप पर हमला करने के बजाय आपके साझेदारों और तृतीय-पक्ष विक्रेताओं को निशाना बना रहे हैं।

ये तृतीय-पक्ष विक्रेता हमले आपके ग्राहकों के डेटा तक पहुँचने के लिए आपके सहयोगी संगठनों में कमजोर सुरक्षा उपायों का फायदा उठाते हैं।

आपूर्ति श्रृंखला में मौजूद कमजोरियां हमलावरों को एक ही उल्लंघन के माध्यम से कई संगठनों को निशाना बनाने की अनुमति देती हैं।

जब आपके विक्रेता के सिस्टम आपके सिस्टम से जुड़ते हैं, तो उनकी सुरक्षा संबंधी कमजोरियां आपकी सुरक्षा संबंधी कमजोरियां बन जाती हैं।

इस परस्पर जुड़े जोखिम का मतलब है कि आपको न केवल अपने साइबर सुरक्षा उपायों का मूल्यांकन करना होगा, बल्कि अपनी आपूर्ति श्रृंखला में शामिल प्रत्येक संगठन के उपायों का भी मूल्यांकन करना होगा।

राष्ट्र-राज्य प्रतिद्वंद्वी साइबर क्षेत्रों का तेजी से परीक्षण और उनमें घुसपैठ कर रहे हैं, अक्सर निजी संस्थाओं के वेश में काम करते हुए सरकारों की ओर से कार्य कर रहे हैं।

अक्सर पूछे जाने वाले प्रश्न

डेटा लीक होने के बाद डच कंपनियों को सख्त रिपोर्टिंग आवश्यकताओं और अनुपालन मानकों का पालन करना होगा, जिसमें उनकी भूमिकाओं और जिम्मेदारियों के आधार पर कई पक्षों पर दायित्व का विस्तार होता है।

इन दायित्वों को समझने से संगठनों को राष्ट्रीय और यूरोपीय नियमों का अनुपालन बनाए रखते हुए स्वयं को और प्रभावित व्यक्तियों को सुरक्षित रखने में मदद मिलती है।

डेटा लीक होने की स्थिति में डच कंपनियों के कानूनी दायित्व क्या हैं?

आपके संगठन को डेटा उल्लंघन की जानकारी होने के 72 घंटों के भीतर डच डेटा संरक्षण प्राधिकरण (Autoriteit Persoonsgegevens) को सूचित करना होगा।

यह आवश्यकता जीडीपीआर के तहत लागू होती है, जो पूरे नीदरलैंड में डेटा सुरक्षा को नियंत्रित करता है।

आपको अपनी डेटा ब्रीच अधिसूचना में विशिष्ट जानकारी प्रदान करनी होगी।

इसमें उल्लंघन की प्रकृति, प्रभावित व्यक्तियों की संख्या, संभावित परिणाम और आपके द्वारा उठाए गए या उठाए जाने वाले उपाय शामिल हैं।

यदि आप 72 घंटों के भीतर सभी विवरण प्रदान नहीं कर सकते हैं, तो आपको देरी का कारण बताना होगा और शेष जानकारी यथाशीघ्र जमा करनी होगी।

जब उल्लंघन से व्यक्तियों के अधिकारों और स्वतंत्रता को उच्च जोखिम होता है, तो आपको प्रभावित व्यक्तियों को सीधे सूचित भी करना होगा।

आप उचित कारणों के बिना इस सूचना को विलंबित नहीं कर सकते।

प्रभावित व्यक्तियों के साथ आपका संचार स्पष्ट होना चाहिए और उसमें डेटा लीक के संभावित परिणामों और स्वयं को बचाने के लिए वे क्या कदम उठा सकते हैं, इसकी जानकारी होनी चाहिए।

आपको सभी डेटा उल्लंघनों का विस्तृत दस्तावेजीकरण बनाए रखना होगा, चाहे आप उनकी रिपोर्ट अधिकारियों को दें या न दें।

इस दस्तावेज़ में उल्लंघन से संबंधित तथ्य, इसके प्रभाव और किए गए सुधारात्मक उपायों को शामिल किया जाना चाहिए।

डच डेटा संरक्षण प्राधिकरण निरीक्षण या जांच के दौरान इस दस्तावेज़ का अनुरोध कर सकता है।

नीदरलैंड के कानून के तहत डेटा उल्लंघन के लिए दायित्व कैसे निर्धारित किया जाता है?

नीदरलैंड्स में डेटा उल्लंघन के लिए आपकी जिम्मेदारी डेटा नियंत्रक या डेटा प्रोसेसर के रूप में आपकी भूमिका पर निर्भर करती है।

डेटा नियंत्रक व्यक्तिगत डेटा को संसाधित करने के उद्देश्यों और साधनों को निर्धारित करते हैं, जबकि डेटा प्रोसेसर नियंत्रकों की ओर से डेटा को संभालते हैं।

इस वर्गीकरण के आधार पर आपकी कानूनी जिम्मेदारियां भिन्न-भिन्न होती हैं।

डेटा नियंत्रक के रूप में, डेटा सुरक्षा नियमों के अनुपालन को सुनिश्चित करने की प्राथमिक जिम्मेदारी आपकी है।

आपको व्यक्तिगत डेटा की सुरक्षा के लिए उचित तकनीकी और संगठनात्मक उपाय लागू करने होंगे।

न्यायालय इस बात का आकलन करते हैं कि क्या आपने उल्लंघन को रोकने के लिए उचित कदम उठाए और क्या आपने अपनी सुरक्षा प्रक्रियाओं में लापरवाही बरती।

डेटा प्रोसेसर को भी कानूनी जवाबदेही का सामना करना पड़ सकता है यदि वे नियंत्रक के निर्देशों का पालन करने में विफल रहते हैं या अपने संविदात्मक दायित्वों का उल्लंघन करते हैं।

हालांकि, प्रोसेसर की देयता आमतौर पर नियंत्रकों की तुलना में अधिक सीमित होती है।

यदि आप नियंत्रक से उचित प्राधिकरण के बिना डेटा संसाधित करते हैं या सहमत सुरक्षा उपायों को लागू करने में विफल रहते हैं, तो आपको सीधे तौर पर जिम्मेदार ठहराया जा सकता है।

डच अदालतें दायित्व का निर्धारण करते समय कई कारकों को ध्यान में रखती हैं।

इनमें उल्लंघन की गंभीरता, प्रभावित डेटा की संवेदनशीलता, उल्लंघन से पहले आपके द्वारा किए गए सुरक्षा उपाय और घटना का पता चलने के बाद आपकी प्रतिक्रिया शामिल हैं।

आपके संगठन का आकार और संसाधन भी इस बात को प्रभावित करते हैं कि अदालतें किन सुरक्षा उपायों को उचित मानती हैं।

संयुक्त दायित्व तब उत्पन्न हो सकता है जब कई पक्ष डेटा उल्लंघन में योगदान करते हैं।

यदि आप अन्य नियंत्रकों या प्रोसेसरों के साथ जिम्मेदारी साझा करते हैं, तो अदालतें प्रत्येक पक्ष को संपूर्ण क्षति के लिए उत्तरदायी ठहरा सकती हैं।

इसके बाद आप उल्लंघन में उनके योगदान के आधार पर अन्य जिम्मेदार पक्षों से मुआवजे की मांग कर सकते हैं।

नीदरलैंड्स में डेटा सुरक्षा संबंधी घटनाओं के लिए किन पक्षों को जवाबदेह ठहराया जा सकता है?

डेटा सुरक्षा संबंधी घटनाओं के लिए डेटा नियंत्रक प्राथमिक रूप से उत्तरदायी होते हैं।

एक नियंत्रक के रूप में, आप यह निर्णय लेते हैं कि व्यक्तिगत डेटा को कैसे संसाधित किया जाए और आपको यह सुनिश्चित करना होगा कि उचित सुरक्षा उपाय लागू हों।

किसी भी उल्लंघन के बाद आपके संगठन को प्रशासनिक जुर्माना, नागरिक दायित्व और प्रतिष्ठा को नुकसान का सामना करना पड़ सकता है।

डेटा प्रोसेसर अपने संविदात्मक और कानूनी दायित्वों को पूरा करने में विफल रहने पर जवाबदेह ठहराए जा सकते हैं।

यदि आप किसी नियंत्रक की ओर से डेटा संसाधित करते हैं, तो आपको अपने समझौते में निर्दिष्ट सुरक्षा उपायों को लागू करना होगा और नियंत्रक के कानूनी निर्देशों का पालन करना होगा।

यदि आप अपने अधिकार क्षेत्र से बाहर कार्य करते हैं या पर्याप्त सुरक्षा बनाए रखने में विफल रहते हैं तो आप प्रत्यक्ष रूप से उत्तरदायी होंगे।

कुछ परिस्थितियों में आपके संगठन के निदेशकों और अधिकारियों को व्यक्तिगत दायित्व का सामना करना पड़ सकता है।

नीदरलैंड्स में एनआईएस2 निर्देश के कार्यान्वयन के तहत, साइबर सुरक्षा शासन में विफलताओं के लिए प्रबंधन को व्यक्तिगत रूप से जिम्मेदार ठहराया जा सकता है।

इसमें गंभीर उल्लंघन होने की स्थिति में निदेशक के रूप में कार्य करने से संभावित अयोग्यता भी शामिल है।

तृतीय-पक्ष सेवा प्रदाता भी सुरक्षा संबंधी घटनाओं के लिए जवाबदेह हो सकते हैं।

यदि आप क्लाउड सेवाओं, आईटी सहायता, या अन्य बाहरी प्रदाताओं पर निर्भर हैं, तो उनकी विफलताओं के कारण डेटा उल्लंघन होने पर वे भी जिम्मेदारी साझा कर सकते हैं।

इन सेवा प्रदाताओं के साथ आपके अनुबंधों में सुरक्षा संबंधी जिम्मेदारियों और देयता शर्तों को स्पष्ट रूप से परिभाषित किया जाना चाहिए।

डच डेटा संरक्षण प्राधिकरण प्राथमिक प्रवर्तन निकाय के रूप में कार्य करता है।

यद्यपि प्राधिकरण प्रत्यक्ष रूप से उल्लंघनों के लिए उत्तरदायी नहीं है, फिर भी वह घटनाओं की जांच करता है, सुधारात्मक आदेश जारी करता है और अनुपालन न करने वाले संगठनों पर प्रशासनिक जुर्माना लगाता है।

डच डेटा संरक्षण नियमों का पालन न करने पर संगठनों को किन परिणामों का सामना करना पड़ता है?

आपके संगठन पर 20 मिलियन यूरो तक या आपके वैश्विक वार्षिक कारोबार के 4% तक का प्रशासनिक जुर्माना लगाया जा सकता है, जो भी राशि अधिक हो। डच डेटा संरक्षण प्राधिकरण जुर्माने की राशि का निर्धारण उल्लंघन की प्रकृति, गंभीरता, अवधि और जांच के दौरान आपके सहयोग के आधार पर करता है।

वित्तीय दंड के अलावा, प्राधिकरण ऐसे सुधारात्मक उपाय भी लागू कर सकता है जिनसे आपके संचालन में बाधा उत्पन्न हो सकती है। इन उपायों में डेटा प्रोसेसिंग गतिविधियों पर अस्थायी प्रतिबंध, विशिष्ट उल्लंघनों को सुधारने के आदेश और अनिवार्य ऑडिट शामिल हैं।

अनुपालन साबित होने तक आपको कुछ व्यावसायिक गतिविधियों को निलंबित करना पड़ सकता है। अनुपालन न करने पर आपके संगठन की प्रतिष्ठा को भारी नुकसान हो सकता है।

डेटा उल्लंघनों और नियामक दंडों का सार्वजनिक खुलासा ग्राहकों के भरोसे को कम कर सकता है और व्यावसायिक संबंधों को नुकसान पहुंचा सकता है। डच डेटा संरक्षण प्राधिकरण प्रवर्तन निर्णयों को प्रकाशित करता है, जो जनता और मीडिया के लिए सुलभ रहते हैं।

आपको प्रभावित व्यक्तियों द्वारा क्षतिपूर्ति की मांग करते हुए दीवानी मुकदमों का सामना करना पड़ सकता है। व्यक्ति डेटा सुरक्षा उल्लंघनों के परिणामस्वरूप होने वाली भौतिक और गैर-भौतिक क्षति के लिए दावा कर सकते हैं।

डच अदालतों ने प्रत्यक्ष वित्तीय नुकसान के बिना भी, व्यक्तिगत डेटा पर नियंत्रण खोने और मानसिक पीड़ा से संबंधित दावों को मान्यता देना शुरू कर दिया है। गंभीर उल्लंघनों के बाद आपके व्यावसायिक अवसर सीमित हो सकते हैं।

कुछ क्षेत्रों को अनुबंधों को बनाए रखने के लिए सुरक्षा प्रमाणपत्रों या अनुपालन रिकॉर्ड की आवश्यकता होती है, विशेष रूप से सरकारी संस्थाओं या विनियमित उद्योगों के साथ व्यवहार करते समय।

नीदरलैंड्स में डेटा लीक होने के बाद प्रभावित व्यक्ति किन तरीकों से न्याय मांग सकते हैं?

यदि आपको लगता है कि किसी संगठन ने आपके डेटा सुरक्षा अधिकारों का उल्लंघन किया है, तो आप डच डेटा संरक्षण प्राधिकरण के पास शिकायत दर्ज करा सकते हैं। प्राधिकरण शिकायतों की जांच करता है और नियमों का उल्लंघन करने वाले संगठनों के खिलाफ कार्रवाई कर सकता है।

इस प्रक्रिया में आपका कोई खर्च नहीं होगा और इसके लिए कानूनी प्रतिनिधित्व की आवश्यकता नहीं है। आपको जिम्मेदार संगठन के खिलाफ दीवानी मुकदमा चलाने का अधिकार है।

डच कानून आपको डेटा सुरक्षा उल्लंघनों के परिणामस्वरूप होने वाले भौतिक और गैर-भौतिक दोनों प्रकार के नुकसानों के लिए मुआवज़ा मांगने की अनुमति देता है। भौतिक नुकसानों में वित्तीय हानियां शामिल हैं, जबकि गैर-भौतिक नुकसानों में मानसिक पीड़ा, चिंता और अपने व्यक्तिगत डेटा पर नियंत्रण खोना शामिल है।

आप अपनी कानूनी कार्यवाही के लिए किसी वकील को नियुक्त कर सकते हैं, या यदि आप वित्तीय पात्रता मानदंडों को पूरा करते हैं तो कानूनी सहायता प्राप्त कर सकते हैं। नीदरलैंड्स में कई कानूनी फर्म डेटा सुरक्षा मामलों में विशेषज्ञता रखती हैं और आपके दावे की मजबूती के बारे में आपको सलाह दे सकती हैं।

सामूहिक कार्रवाई तंत्र प्रभावित व्यक्तियों के समूहों को सामूहिक रूप से दावे दायर करने की अनुमति देता है। आप अदालत में जाए बिना सीधे संगठन से मुआवज़ा मांग सकते हैं।

कई संगठन मुकदमेबाजी के खर्च और बदनामी से बचने के लिए मुकदमों का निपटारा निजी तौर पर करना पसंद करते हैं। यदि संगठन ने डेटा सुरक्षा नियमों का स्पष्ट रूप से उल्लंघन किया है या डेटा लीक से महत्वपूर्ण नुकसान हुआ है, तो आपकी बातचीत की स्थिति मजबूत हो जाती है।

यदि डेटा प्रोसेसर्स डेटा उल्लंघन के लिए ज़िम्मेदार हैं, तो आप उनके खिलाफ भी दावा कर सकते हैं। GDPR के तहत, डेटा नियंत्रक और प्रोसेसर्स दोनों को नुकसान के लिए उत्तरदायी ठहराया जा सकता है।

यदि डेटा लीक में कई पक्षों का योगदान रहा हो, तो आप किसी भी जिम्मेदार पक्ष से पूरी राशि का दावा कर सकते हैं।

नीदरलैंड्स में कार्यरत संस्थाओं के लिए डेटा उल्लंघन की स्थिति में GDPR किस प्रकार दायित्व और जिम्मेदारियों को प्रभावित करता है?

GDPR व्यक्तिगत डेटा की सुरक्षा के संबंध में संगठनों के लिए स्पष्ट दायित्व स्थापित करता है।

संस्थाओं को डेटा सुरक्षा सुनिश्चित करने के लिए उचित तकनीकी और संगठनात्मक उपाय लागू करने होंगे।

डेटा लीक होने की स्थिति में, संगठनों को 72 घंटों के भीतर संबंधित पर्यवेक्षी प्राधिकरण को सूचित करना आवश्यक है।

यदि उल्लंघन से व्यक्तियों के अधिकारों और स्वतंत्रता को उच्च जोखिम होता है, तो प्रभावित व्यक्तियों को भी सूचित किया जाना चाहिए।

इन आवश्यकताओं का पालन न करने पर संगठन को भारी जुर्माना और प्रतिष्ठा को नुकसान हो सकता है।

GDPR के तहत डेटा नियंत्रकों और संसाधकों दोनों की अलग-अलग जिम्मेदारियां होती हैं, और अनुबंधों में इन भूमिकाओं को स्पष्ट रूप से परिभाषित किया जाना चाहिए।