डेटा प्रोसेसिंग समझौता

डेटा प्रोसेसिंग समझौता एक लिखित अनुबंध है जिसमें नियंत्रक उन शर्तों को निर्धारित करता है जिनके तहत प्रोसेसर उसकी ओर से व्यक्तिगत डेटा को संभालेगा। GDPR के अनुसार, प्रोसेसिंग को आउटसोर्स करते ही यह अनुबंध अनिवार्य हो जाता है और इसमें शामिल किए जाने वाले विषयों को भी निर्धारित किया गया है।

कानूनी आधार

यह दायित्व सामान्य डेटा संरक्षण विनियमन के अनुच्छेद 28(3) में निहित है। समझौते में प्रसंस्करण के विषय, अवधि, प्रकृति और उद्देश्य का वर्णन होना चाहिए, और व्यक्तिगत डेटा के प्रकार और डेटा विषयों की श्रेणियों की पहचान होनी चाहिए। इसमें आठ विशिष्ट वचन भी शामिल होने चाहिए: केवल दस्तावेजित निर्देशों पर प्रसंस्करण, गोपनीयता, अनुच्छेद 32 GDPR के तहत सुरक्षा, उप-प्रसंस्करणकर्ताओं को नियुक्त करने की शर्तें, डेटा विषय अनुरोधों में सहायता, उल्लंघनों और प्रभाव आकलन में सहायता, समाप्ति के बाद वापसी या विलोपन, और लेखापरीक्षाओं के लिए जानकारी उपलब्ध कराना। अनुच्छेद 28(1) में यह भी कहा गया है कि आप केवल पर्याप्त गारंटी प्रदान करने वाले प्रोसेसरों का ही उपयोग कर सकते हैं।

यह व्यवहार में कैसे काम करता है

लगभग हर आउटसोर्सिंग व्यवस्था इसमें शामिल है: पेरोल, होस्टिंग, आपका CRM सप्लायर, और आपके आर्काइव को नष्ट करने वाली कंपनी। अधिकांश सप्लायर अपने स्वयं के टेम्पलेट का उपयोग करते हैं, जो मुख्य अनुबंध के साथ एक शेड्यूल के रूप में संलग्न होता है। यह टेम्पलेट, भले ही निश्चित बताया गया हो, परक्राम्य होता है। प्रोसेसिंग कार्यों का वर्णन करने वाले शेड्यूल पर विशेष ध्यान दें: इसमें वास्तव में जो होता है, वही प्रतिबिंबित होना चाहिए, न कि कोई सामान्य विवरण जो हर ग्राहक पर लागू हो। यूरोपीय आर्थिक क्षेत्र के बाहर स्थानांतरण के लिए एक अतिरिक्त आधार की आवश्यकता होती है, जो आमतौर पर यूरोपीय आयोग के मानक अनुबंध खंड होते हैं।

गलती कहाँ होती है?

तीन गलतियाँ बार-बार दोहराई जाती हैं। पहली गलती है किसी ऐसे पक्ष के साथ प्रोसेसिंग समझौता करना जो वास्तव में प्रोसेसर नहीं है, बल्कि उद्देश्यों और साधनों का निर्धारण स्वयं करता है; इससे वह एक संयुक्त नियंत्रक बन जाता है, जिसके नियम अलग होते हैं। दूसरी गलती है उप-प्रोसेसरों को व्यापक प्राधिकरण देना, जिसका अर्थ है कि आप यह नहीं जान पाते कि आपका डेटा भौतिक रूप से कहाँ स्थित है। तीसरी गलती है एक सुरक्षा अनुसूची जो किसी ठोस मानक का नाम लिए बिना केवल "उचित उपायों" का उल्लेख करती है, जिससे घटना घटित होने पर कोई ठोस आधार नहीं बचता।