व्यक्तिगत डेटा उल्लंघन एक सुरक्षा उल्लंघन है जिसके परिणामस्वरूप व्यक्तिगत डेटा का आकस्मिक या गैरकानूनी विनाश, हानि, परिवर्तन, अनधिकृत प्रकटीकरण या उस तक पहुंच होती है। हर घटना की सूचना देना अनिवार्य नहीं है, लेकिन आपको यह साबित करना होगा कि आप इस निष्कर्ष पर कैसे पहुंचे।
कानूनी आधार
परिभाषा GDPR के अनुच्छेद 4(12) में दी गई है। अनुच्छेद 33 के अनुसार, नियंत्रक को डेटा उल्लंघन की जानकारी प्राप्त होने के 72 घंटों के भीतर, बिना किसी अनुचित देरी के डच डेटा संरक्षण प्राधिकरण को सूचित करना आवश्यक है, बशर्ते कि इससे व्यक्तियों के अधिकारों और स्वतंत्रता को कोई खतरा न हो। अनुच्छेद 34 में उच्च जोखिम की स्थिति में व्यक्तियों को स्वयं सूचित करने का दायित्व जोड़ा गया है। प्रोसेसर नियामक को नहीं, बल्कि नियंत्रक को सूचित करते हैं, और उन्हें ऐसा बिना किसी देरी के करना होगा। अनुच्छेद 33(5) के अनुसार, सभी उल्लंघनों का एक रजिस्टर रखना अनिवार्य है, जिसमें वे उल्लंघन भी शामिल हैं जिनकी सूचना नहीं दी गई है।
यह व्यवहार में कैसे काम करता है
72 घंटे की समयसीमा तब शुरू होती है जब आपको यह पक्का यकीन हो जाता है कि व्यक्तिगत डेटा से जुड़ी कोई सुरक्षा घटना घटी है, न कि तब जब जांच पूरी हो जाती है। इसलिए सूचना चरणबद्ध तरीके से दी जा सकती है: पहले आपको जो जानकारी है, फिर उसके अतिरिक्त। आकलन इस बात पर निर्भर करता है कि व्यक्ति पर इसका क्या प्रभाव पड़ेगा: क्या इसमें विशेष श्रेणी का डेटा, पहचान धोखाधड़ी को संभव बनाने वाले संयोजन, बड़ी संख्या में डेटा या संवेदनशील स्थिति वाले लोग शामिल हैं? एन्क्रिप्टेड डिस्क वाला खोया हुआ लैपटॉप आमतौर पर सूचित करने योग्य नहीं होता; लेकिन स्वास्थ्य संबंधी डेटा वाला गलत पते पर भेजा गया पत्र लगभग हमेशा सूचित करने योग्य होता है।
गलती कहाँ होती है?
अधिकांश प्रवर्तन संबंधी मामले उल्लंघन के बाद की स्थिति से संबंधित होते हैं, न कि स्वयं उल्लंघन से। संगठन सूचना देने में देरी करते हैं क्योंकि वे पहले आंतरिक रूप से यह निर्धारित करना चाहते हैं कि गलती किसकी है, या वे प्रतिष्ठा को नुकसान पहुँचने के डर से संबंधित व्यक्तियों को सूचित नहीं करते, भले ही जोखिम काफी अधिक हो। एक तीसरी समस्या आंतरिक रजिस्टर का अभाव है: इसके बिना आप यह साबित नहीं कर सकते कि किसी घटना की सूचना क्यों नहीं दी गई, और आपका आकलन मान्य नहीं होता।
संबंधित शर्तें
डेटा का उल्लंघन सीधे तौर पर डेटा प्रोसेसिंग समझौते से जुड़ा है , जिसमें आपके आपूर्तिकर्ता की रिपोर्टिंग की समय सीमा बताई जानी चाहिए, और डच साइबर सुरक्षा अधिनियम से भी जुड़ा है, जो कुछ क्षेत्रों पर अपनी खुद की कम समय सीमा लागू करता है।
क्या आप इस बात को लेकर अनिश्चित हैं कि किसी घटना की सूचना देना आवश्यक है या नहीं? हमारे आईटी कानून विशेषज्ञ 72 घंटे की समय सीमा के भीतर आपके साथ इसका आकलन करेंगे।
