તમે GDPR હેઠળ ફક્ત ત્યારે જ વ્યક્તિગત ડેટા શેર કરી શકો છો જો તમારી પાસે કલમ 6 હેઠળ કાનૂની આધાર હોય, પ્રાપ્તકર્તા પ્રોસેસર હોય કે નિયંત્રક હોય તે લેખિતમાં સમાધાન કર્યું હોય, અને શેરિંગ વિશે સંબંધિત લોકોને જણાવ્યું હોય. મુખ્ય અપવાદો યુરોપિયન ઇકોનોમિક એરિયા (EEA) ની બહાર ટ્રાન્સફર અને ઉચ્ચ-જોખમ પ્રક્રિયા છે, જે પ્રકરણ V અને કલમ 35 GDPR હેઠળ વધારાની આવશ્યકતાઓ લાવે છે.
નેધરલેન્ડ્સમાં, ડચ ડેટા પ્રોટેક્શન ઓથોરિટી ( Autoriteit Persoonsgegevens , AP) ડચ અમલીકરણ અધિનિયમ ( Uitvoeringswet AVG , UAVG) સાથે GDPR લાગુ કરે છે . વિદેશમાં ક્લાઉડ પ્રદાતા, પેરોલ બ્યુરો, દેવું કલેક્ટર અથવા જૂથ કંપની તરફનો દરેક પ્રવાહ એક અલગ પ્રક્રિયા કામગીરી છે જેને તેના પોતાના વાજબીપણાની જરૂર છે. નીચે અમે વ્યવહારમાં વારંવાર આવતા સાત જોખમો, તેમની પાછળની જોગવાઈઓ અને તમે દરેક વિશે શું કરી શકો છો તે દર્શાવેલ છે.
જોખમ ૧: શું તમે માન્ય કાનૂની આધાર વિના ડેટા શેર કરી રહ્યા છો?
વ્યક્તિગત ડેટાના દરેક ખુલાસાને કલમ 6(1) GDPR માં છ કાનૂની આધારોમાંથી એકની જરૂર પડે છે. વ્યાપારી કારણ તેમાંથી એક નથી.
છ આધારો સંપૂર્ણ છે: સંમતિ, કરારનું પાલન, કાનૂની જવાબદારી, મહત્વપૂર્ણ હિતો, જાહેર કાર્ય અને કાયદેસર હિતો. કલમ 5(1)(a) ઉમેરે છે કે પ્રક્રિયા કાયદેસર, ન્યાયી અને પારદર્શક હોવી જોઈએ, તેથી જે આધાર ક્યારેય કોઈને સમજાવવામાં આવ્યો ન હતો તે હજુ પણ એક અંતર છોડી દે છે.
કાયદેસર હિત શા માટે એક જાળ છે?
કાયદેસર હિતો એ પાયો છે જેનો ઉપયોગ ભાગીદારો સાથે શેર કરવા માટે મોટાભાગે થાય છે, અને મોટાભાગે ખોટી રીતે થાય છે. તેના માટે ત્રણ-પગલાંનું પરીક્ષણ જરૂરી છે:
- હિત કાયદેસર હોવું જોઈએ;
- તેની સેવા કરવા માટે વહેંચણી જરૂરી હોવી જોઈએ;
- સંબંધિત લોકોના અધિકારો અને સ્વતંત્રતાઓ દ્વારા હિતને ઓવરરાઇડ ન કરવું જોઈએ.
શેરિંગ શરૂ થાય તે પહેલાં તમારે આ પરીક્ષણ હાથ ધરવું અને રેકોર્ડ કરવું આવશ્યક છે, કારણ કે કલમ 5(2) GDPR પુરાવાનો ભાર નિયંત્રક (જવાબદારી) પર મૂકે છે. ફરિયાદ આવ્યા પછી લખાયેલ મૂલ્યાંકન ખૂબ જ ઓછું મૂલ્યવાન છે.
સંમતિ અને હેતુ મર્યાદા વિશે શું?
કર્મચારીઓની સંમતિ ભાગ્યે જ માન્ય હોય છે, કારણ કે શક્તિના અસંતુલનનો અર્થ એ છે કે તે મુક્તપણે આપવામાં આવતી નથી (કલમ 7(4) અને પાઠ 43 GDPR). કલમ 5(1)(b) હેઠળ હેતુ મર્યાદા શેરિંગ પર પણ લાગુ પડે છે: સેવા પહોંચાડવા માટે એકત્રિત કરવામાં આવેલ ડેટા ફક્ત માર્કેટિંગ માટે ભાગીદાર પાસે જઈ શકતો નથી. જ્યાં નવો હેતુ મૂળ હેતુ સાથે સુસંગત નથી, ત્યાં તમારે નવા આધારની જરૂર છે.
શું કરવું: તમારી સંસ્થામાંથી ડેટા બહાર નીકળે તે પહેલાં આધાર ઓળખો, તેને લખી લો અને તપાસો કે તમારી ગોપનીયતા સૂચના પહેલાથી જ શેરિંગનું વર્ણન કરે છે. સંમતિ મુક્તપણે આપવી જોઈએ, ચોક્કસ, જાણકાર, અસ્પષ્ટ અને પાછી ખેંચી શકાય તેટલી સરળ હોવી જોઈએ જેટલી આપવી જોઈએ (લેખ 4(11) અને 7(3) GDPR).
જોખમ ૨: શું તમારી પાસે કંટ્રોલર અને પ્રોસેસરની ભૂમિકા ખોટી છે?
એક નિયંત્રક પ્રક્રિયાના હેતુઓ અને માધ્યમો નક્કી કરે છે; એક પ્રોસેસર ફક્ત નિયંત્રકની દસ્તાવેજીકૃત સૂચનાઓ (લેખ 4(7) અને (8) GDPR) પર કાર્ય કરે છે. મહત્વનું એ છે કે ખરેખર કોણ નિર્ણય લે છે, કરાર પક્ષકારોને શું કહે છે તે નહીં.
સામાન્ય ભૂલ એ છે કે દરેક સપ્લાયરને પ્રોસેસર તરીકે લેબલ કરવામાં આવે છે. છતાં નીચેનામાંથી કોઈ પણ સંપૂર્ણપણે સૂચનાઓ પર કાર્ય કરતું નથી:
- એક SaaS પ્રદાતા જે પોતાના ઉત્પાદનને સુધારવા માટે ગ્રાહક ડેટાનો ઉપયોગ કરે છે;
- વ્યાવસાયિક નિયમો દ્વારા બંધાયેલ એકાઉન્ટન્ટ;
- ચુકવણી કરતી બેંક;
- એક જાહેરાત પ્લેટફોર્મ જે પોતાના પ્રેક્ષકોની પ્રોફાઇલ બનાવે છે.
દરેક સંસ્થા પ્રક્રિયાના ઓછામાં ઓછા ભાગ માટે નિયંત્રક છે. જ્યાં બે સંસ્થાઓ સંયુક્ત રીતે હેતુઓ અને માધ્યમો નક્કી કરે છે, ત્યાં તેઓ કલમ 26 GDPR હેઠળ સંયુક્ત નિયંત્રકો છે. તેમણે એક વ્યવસ્થામાં તેમની જવાબદારીઓ નક્કી કરવી જોઈએ અને તેનો સાર સંબંધિત લોકો માટે ઉપલબ્ધ કરાવવો જોઈએ.
EU કોર્ટ ઓફ જસ્ટિસ સંયુક્ત નિયંત્રણને કેટલી વ્યાપક રીતે વ્યાખ્યાયિત કરે છે?
વ્યાપકપણે. ફેશન ID (C-40/17) માં , ન્યાયાલયે ઠરાવ્યું હતું કે તૃતીય-પક્ષ સોશિયલ પ્લગ-ઇન એમ્બેડ કરતી વેબસાઇટ ઓપરેટર મુલાકાતીઓના ડેટાના સંગ્રહ અને પ્રસારણ માટે સંયુક્ત નિયંત્રક હતી, ભલે પછીથી તેની પાસે ડેટાની કોઈ ઍક્સેસ ન હતી. હેતુઓ પર આંશિક પ્રભાવ પૂરતો છે, અને પરિણામ એ ઉલ્લંઘન માટે સંયુક્ત જવાબદારી છે જે તમે કર્યું નથી.
શું કરવું: ડેટા ફ્લોનો નકશો બનાવો અને દરેક ફ્લો માટે રેકોર્ડ કરો, કોણ નક્કી કરે છે કે ડેટા શા માટે અને કેવી રીતે પ્રક્રિયા કરવામાં આવે છે. પ્રોસેસર્સ માટે કલમ 28 હેઠળ પ્રોસેસિંગ કરાર અને કલમ 26 હેઠળ સંયુક્ત નિયંત્રક વ્યવસ્થાનો ઉપયોગ કરો જ્યાં બંને પક્ષો નિર્ણય લે.
જોખમ ૩: શું તમારા ડેટા પ્રોસેસિંગ કરારમાં કોઈ ખામી છે કે ખૂટે છે?
જો કોઈ પ્રોસેસર તમારા માટે વ્યક્તિગત ડેટા હેન્ડલ કરે છે, તો કલમ 28(3) GDPR માટે લેખિત કરાર જરૂરી છે. તેના વિના, પ્રક્રિયા શરૂ થાય તે ક્ષણથી જ તમે ઉલ્લંઘનમાં છો, ભલે કોઈ ડેટા ક્યારેય લીક ન થાય.
સામગ્રી કાયદા દ્વારા નિર્ધારિત છે. સુસંગત ડેટા પ્રોસેસિંગ કરારમાં પ્રક્રિયાનો વિષય, સમયગાળો, પ્રકૃતિ અને હેતુ, વ્યક્તિગત ડેટાના પ્રકારો અને લોકોના વર્ગો અને નિયંત્રકના અધિકારો અને જવાબદારીઓ જણાવવામાં આવે છે. તે પ્રોસેસરને આનાથી પણ બંધનકર્તા હોવું જોઈએ:
- ફક્ત દસ્તાવેજીકૃત સૂચનાઓ પર જ પ્રક્રિયા કરો;
- તેના સ્ટાફ પર ગુપ્તતા લાદવી;
- કલમ 32 દ્વારા જરૂરી સુરક્ષા પગલાં લેવા;
- ડેટા વિષય વિનંતીઓ અને ભંગ સૂચનામાં મદદ;
- જોડાણના અંતે ડેટા કાઢી નાખો અથવા પરત કરો;
- પાલન દર્શાવવા માટે જરૂરી માહિતી પૂરી પાડવી, અને ઓડિટની મંજૂરી આપવી.
સબ-પ્રોસેસર કલમો વારંવાર કેમ નિષ્ફળ જાય છે?
કલમ 28(2) અને (4) હેઠળ, પ્રોસેસરને કોઈપણ સબ-પ્રોસેસર માટે તમારી પૂર્વ ચોક્કસ અથવા સામાન્ય લેખિત અધિકૃતતાની જરૂર છે. સામાન્ય અધિકૃતતા સાથે, તેણે તમને ઇચ્છિત ફેરફારોની જાણ કરવી જોઈએ અને તમને વાંધો ઉઠાવવાની તક આપવી જોઈએ; તેને ગમે તે કોઈપણને સામેલ કરવાની મંજૂરી આપતી કલમ તે ધોરણને પૂર્ણ કરતી નથી.
શું કરવું: કલમ 28(3) ની કલમ મુજબ કલમ પ્રમાણે કામ કરો અને સપ્લાયરની પોતાની શરતો પર આધાર રાખવાને બદલે હાલના કરારોની સમીક્ષા કરો. લાંબા સમયથી ચાલતા સંબંધો બિનદસ્તાવેજીકૃત હોવાની શક્યતા સૌથી વધુ હોય છે.
જોખમ ૪: શું તમે EEA ની બહાર સુરક્ષા વગર ડેટા ટ્રાન્સફર કરી રહ્યા છો?
EEA ની બહાર ટ્રાન્સફર ફક્ત પર્યાપ્તતા નિર્ણય (કલમ 45 GDPR) અથવા યોગ્ય સલામતી (કલમ 46), સામાન્ય રીતે કમિશનના માનક કરાર કલમો (SCCs) અથવા બંધનકર્તા કોર્પોરેટ નિયમોના આધારે જ માન્ય છે. કલમ 49 માં અપમાન, જેમ કે સ્પષ્ટ સંમતિ, પ્રસંગોપાત ટ્રાન્સફર માટે છે અને માળખાકીય ડેટા પ્રવાહને સમર્થન આપી શકતું નથી.
જ્યારે પણ EEA ની બહારથી ડેટા સુલભ બને છે ત્યારે ટ્રાન્સફર થાય છે, ફક્ત ત્યારે જ નહીં જ્યારે તે ત્યાં કોપી કરવામાં આવે છે. વિદેશમાં પેરેન્ટ કંપની દ્વારા રિમોટ એડમિનિસ્ટ્રેશન ટ્રાન્સફર છે, ભલે સર્વર્સ ફ્રેન્કફર્ટમાં રહે.
શ્રેમ્સ II અને ડેટા ગોપનીયતા ફ્રેમવર્કનો તમારા માટે શું અર્થ છે?
શ્રેમ્સ II (C-311/18) માં , ન્યાયાલયે EU-US ગોપનીયતા શીલ્ડને અમાન્ય ઠેરવ્યું અને ઠરાવ્યું કે માનક કરાર કલમો પોતાના માટે પૂરતી નથી. નિકાસકારે મૂલ્યાંકન કરવું જોઈએ કે શું ગંતવ્ય દેશનો કાયદો કલમોને નબળી પાડે છે અને જ્યાં તે કરે છે ત્યાં પૂરક પગલાં ઉમેરવા જોઈએ; કે ટ્રાન્સફર ઇમ્પેક્ટ એસેસમેન્ટ (TIA) હજુ પણ દરેક કલમ 46 ટ્રાન્સફર માટે જરૂરી છે.
કમિશને જુલાઈ 2023 માં EU-US ડેટા ગોપનીયતા ફ્રેમવર્ક (DPF) માટે પર્યાપ્તતાનો નિર્ણય અપનાવ્યો, અને 3 સપ્ટેમ્બર 2025 ના રોજ જનરલ કોર્ટે તેના રદ કરવા માટેની અરજીને ફગાવી દીધી ( Latombe , T-553/23). ફ્રેમવર્ક હેઠળ પ્રમાણિત યુએસ સંસ્થામાં ટ્રાન્સફર, તેના પ્રમાણપત્રને આવરી લેનારા ડેટા માટે, પર્યાપ્તતા પર આધાર રાખી શકે છે; અન્ય યુએસ પ્રાપ્તકર્તાઓને ટ્રાન્સફર કરી શકાતું નથી. કોર્ટ ઓફ જસ્ટિસમાં અપીલ શક્ય છે, તેથી પ્રમાણપત્ર તપાસો અને ફોલબેક રાખો.
શું કરવું: તમારી સપ્લાય ચેઇનમાં ત્રીજા-દેશના ટ્રાન્સફરની યાદી બનાવો, જેમાં સબ-પ્રોસેસર્સ અને સપોર્ટ વ્યવસ્થાનો સમાવેશ થાય છે. જ્યાં પર્યાપ્તતા લાગુ પડતી નથી, ત્યાં વર્તમાન SCC નો ઉપયોગ કરો, TIA દસ્તાવેજ કરો અને EEA માં રાખેલી ચાવીઓ સાથે એન્ક્રિપ્શન જેવા પૂરક પગલાં રેકોર્ડ કરો. AP કલમ 58(2)(j) GDPR હેઠળ ટ્રાન્સફરને સ્થગિત કરવાનો આદેશ આપી શકે છે.
જોખમ ૫: શું તમે ડેટા સુરક્ષા અસર મૂલ્યાંકન છોડી રહ્યા છો?
કલમ 35 GDPR મુજબ ડેટા પ્રોટેક્શન ઇમ્પેક્ટ એસેસમેન્ટ (DPIA) જરૂરી છે જ્યાં પ્રોસેસિંગથી વ્યક્તિઓ માટે ઉચ્ચ જોખમ હોવાની શક્યતા છે. ડેટા શેર કરવાથી ઘણીવાર સંસ્થાઓ અપેક્ષા કરતા વહેલા તે મર્યાદા પાર થઈ જાય છે.
કલમ 35(3) ત્રણ કેસોનો ઉલ્લેખ કરે છે: કાનૂની અથવા સમાન રીતે નોંધપાત્ર અસરો સાથે વ્યવસ્થિત અને વ્યાપક સ્વચાલિત મૂલ્યાંકન, ખાસ શ્રેણીઓ અથવા ગુનાહિત ડેટાની મોટા પાયે પ્રક્રિયા, અને જાહેર વિસ્તારનું મોટા પાયે વ્યવસ્થિત દેખરેખ. AP એવી કામગીરીની સૂચિ પણ પ્રકાશિત કરે છે જેના માટે DPIA હંમેશા જરૂરી છે. ડેટાસેટ્સને જોડવા, વિશ્લેષણ પ્રદાતા સાથે આરોગ્ય ડેટા શેર કરવા અથવા કર્મચારીઓનું નિરીક્ષણ કરવાથી ઘણીવાર તે પોતે જ મર્યાદા પાર કરી શકે છે.
DPIA માં શું હોવું જોઈએ?
કલમ 35(7) હેઠળ, DPIA પ્રક્રિયા અને તેના હેતુઓનું વર્ણન કરે છે, આવશ્યકતા અને પ્રમાણસરતાનું મૂલ્યાંકન કરે છે, સંબંધિત લોકો માટેના જોખમોને ઓળખે છે અને તેમને સંબોધવા માટેના પગલાં નક્કી કરે છે. જ્યાં ઉચ્ચ શેષ જોખમ રહે છે, ત્યાં કલમ 36 પ્રક્રિયા શરૂ કરતા પહેલા AP ની પૂર્વ સલાહ લેવાની જરૂર છે.
શું કરવું: કલમ 35(3) અને AP સૂચિ સામે દરેક નવી ડેટા-શેરિંગ વ્યવસ્થાની તપાસ કરો, અને જો તમારી પાસે હોય તો તમારા ડેટા સુરક્ષા અધિકારીને સામેલ કરો. પ્રક્રિયા બદલાય ત્યારે DPIA ની ફરી મુલાકાત લો; જરૂરી DPIA હાથ ધરવામાં નિષ્ફળ રહેવું એ પોતે જ એક ઉલ્લંઘન છે.
જોખમ ૬: શું તમે લોકોને શેરિંગ વિશે બહુ ઓછું જણાવી રહ્યા છો?
પારદર્શિતા એક અલગ જવાબદારી છે, જેનો ભંગ તમે ત્યાં પણ કરી શકો છો જ્યાં શેરિંગ પોતે કાયદેસર હોય. કલમ 13 અને 14 GDPR માટે તમારે હેતુઓ, કાનૂની આધાર અને પ્રાપ્તકર્તાઓ અથવા પ્રાપ્તકર્તાઓની શ્રેણીઓ જણાવવાની જરૂર છે.
"ડેટા "વિશ્વસનીય ભાગીદારો સાથે શેર કરી શકાય છે" એવું કહેતું વાક્ય કંઈપણ ઓળખતું નથી. શ્રેણીઓને ચોક્કસ રીતે નામ આપો, જેમ કે હોસ્ટિંગ પ્રદાતાઓ, પગારપત્રક સંચાલકો અથવા ક્રેડિટ સંદર્ભ એજન્સીઓ. EEA ની બહાર ટ્રાન્સફર માટે, કલમ 13(1)(f) અને 14(1)(f) માં નોટિસમાં આવું કહેવાની અને આધાર રાખેલ સુરક્ષા ઓળખવાની જરૂર છે.
જો તમે જાતે ડેટા એકત્રિત ન કર્યો હોય તો વધારાની કઈ બાબતો લાગુ પડે છે?
કલમ ૧૪ હેઠળ, નોટિસમાં ડેટાની શ્રેણીઓ અને તેમના સ્ત્રોતનો પણ ઉલ્લેખ હોવો જોઈએ. તમારે તે વાજબી સમયગાળામાં અને ઓછામાં ઓછા એક મહિનાની અંદર, અથવા જો તે વહેલા આવે તો વ્યક્તિ સાથેના પ્રથમ સંપર્ક સમયે પ્રદાન કરવું આવશ્યક છે. નેધરલેન્ડ્સમાં ગોપનીયતા નીતિ પરનું અમારું પૃષ્ઠ સંપૂર્ણ સામગ્રીનું વર્ણન કરે છે.
શું કરવું: નવા પ્રાપ્તકર્તાને ડેટા મળે તે પહેલાં સૂચના અપડેટ કરો, આગામી વાર્ષિક સમીક્ષામાં નહીં. કલમ ૧૨(૧) મુજબ સૂચનાઓ સંક્ષિપ્ત, સમજી શકાય તેવી અને સ્પષ્ટ અને સાદી ભાષામાં હોવી જરૂરી છે.
જોખમ ૭: શું તમે છુપાયેલા ડેટાને અનામી તરીકે ગણી રહ્યા છો?
જે સંસ્થા પાસે ચાવી છે, તેના માટે છુપાયેલ ડેટા વ્યક્તિગત ડેટા રહે છે. ફક્ત સાચું અનામીકરણ જ ડેટાને GDPR ની બહાર લઈ જાય છે.
કલમ 4(5) GDPR ઉપનામીકરણને ડેટાની પ્રક્રિયા તરીકે વ્યાખ્યાયિત કરે છે જેથી તેને અલગથી રાખવામાં આવેલી વધારાની માહિતી વિના કોઈ વ્યક્તિ સાથે લિંક કરી શકાય નહીં. પાઠ 26 પુષ્ટિ કરે છે કે આવા ડેટા GDPR ની અંદર રહે છે જે તેને ફરીથી ઓળખી શકે છે. તેથી, ગ્રાહક નંબરો સાથે નામ બદલવાથી કાનૂની આધાર, પ્રક્રિયા કરાર અથવા તમારા પક્ષે ગોપનીયતા સૂચનાની જરૂરિયાત દૂર થતી નથી.
શું ઉપનામી ડેટા પ્રાપ્તકર્તા માટે બિન-વ્યક્તિગત હોઈ શકે છે?
સંભવતઃ. EDPS v SRB (C-413/23 P, 4 સપ્ટેમ્બર 2025) માં , ન્યાયાલયે ઠરાવ્યું હતું કે ઉપનામીકૃત ડેટા એ પ્રાપ્તકર્તા માટે વ્યક્તિગત ડેટા હોવો જરૂરી નથી જે સંબંધિત લોકોને વાજબી રીતે ફરીથી ઓળખી શકતા નથી. કોર્ટે એમ પણ ઠરાવ્યું હતું કે જાહેર કરનાર નિયંત્રકે હજુ પણ સંગ્રહ સમયે તે લોકોને પ્રાપ્તકર્તા વિશે જાણ કરવી જોઈએ.
શું કરવું: પ્રાપ્તકર્તા દ્વારા ઉપયોગમાં લેવાતા વાજબી માધ્યમોનું મૂલ્યાંકન કરો, જેમાં તેની પાસે રહેલા અન્ય ડેટાસેટ્સનો સમાવેશ થાય છે; પોસ્ટકોડ, જન્મ તારીખ અને વ્યવહાર ઇતિહાસ ઘણીવાર ફરીથી ઓળખની મંજૂરી આપે છે. કી કેવી રીતે અલગ રાખવામાં આવી છે તેનું દસ્તાવેજીકરણ કરો. કલમ 32 સુરક્ષા માપદંડ તરીકે ઉપનામીકરણને નામ આપે છે, જે ઉલ્લંઘનનું મૂલ્યાંકન કરવામાં આવે તો તમારા પક્ષમાં ગણાય છે.
નેધરલેન્ડ્સમાં અમલીકરણ કેવું દેખાય છે?
કલમ 58 GDPR હેઠળ, AP ચેતવણી આપી શકે છે, ઠપકો આપી શકે છે, પાલનનો આદેશ આપી શકે છે, પ્રક્રિયા પર પ્રતિબંધ મૂકી શકે છે અને ટ્રાન્સફર સ્થગિત કરી શકે છે, અને કલમ 83 દંડની મંજૂરી આપે છે. જે વ્યવસાય ચોક્કસ ડેટા ફ્લો પર આધાર રાખે છે, તેના માટે પ્રતિબંધ ઘણીવાર દંડ કરતાં વધુ નુકસાનકારક હોય છે.
કલમ ૮૩ માં બે સ્તર છે, દરેક સ્તરમાં પાછલા નાણાકીય વર્ષમાં નિશ્ચિત મહત્તમ અથવા વિશ્વભરમાં વાર્ષિક ટર્નઓવરની ટકાવારી, જે વધારે હોય તે છે:
- નીચલું સ્તર: EUR 10 મિલિયન અથવા 2% સુધી, ઉદાહરણ તરીકે ગુમ થયેલ પ્રોસેસિંગ કરાર અથવા DPIA માટે (લેખ 25 થી 39).
- ઉચ્ચ સ્તર: સિદ્ધાંતો, કાનૂની આધારો, ડેટા વિષય અધિકારો અને ટ્રાન્સફર નિયમોના ભંગ બદલ 20 મિલિયન યુરો અથવા 4% સુધીનો દંડ.
કલમ 82 GDPR ભૌતિક અથવા બિન-ભૌતિક નુકસાન સહન કરનાર કોઈપણ વ્યક્તિને નિયંત્રક અથવા પ્રોસેસર પાસેથી વળતર મેળવવાનો અધિકાર આપે છે. નેધરલેન્ડ્સમાં, ફાઉન્ડેશનો વધુને વધુ આવા દાવાઓને સામૂહિક કાર્યવાહીમાં સામૂહિક નુકસાનીના સમાધાન પરના કાયદા હેઠળ સામૂહિક રીતે લાવે છે ( Wet afwikkeling massaschade in collectieve actie , WAMCA, કલમ 3:305a BW).
જો ગેરકાયદેસર શેરિંગ ડેટા ભંગ તરફ દોરી જાય છે, તો કલમ 33 મુજબ, AP ને બિનજરૂરી વિલંબ વિના અને જ્યાં શક્ય હોય ત્યાં 72 કલાકની અંદર સૂચના આપવાની જરૂર છે, સિવાય કે ભંગથી જોખમ થવાની શક્યતા ઓછી હોય. કલમ 34 હેઠળ, જો અસરગ્રસ્ત લોકો માટે જોખમ વધારે હોય તો તમારે તેમને પણ જાણ કરવી જોઈએ. દરેક ભંગનું આંતરિક રીતે દસ્તાવેજીકરણ કરો, જેમાં તમે સૂચિત ન કરતા હોય તેવા ભંગનો પણ સમાવેશ થાય છે.
સંસ્થા ડેટા શેર કરતી વખતે તમારે શું તપાસવું જોઈએ?
નિયંત્રક તરીકે, તમારી મુખ્ય જવાબદારી છે અને કલમ 5(2) GDPR હેઠળ પાલન સાબિત કરવા સક્ષમ હોવા જોઈએ. તમારી સંસ્થામાંથી ડેટા બહાર નીકળે તે પહેલાં આ મુદ્દાઓ તપાસો:
- કલમ 6 હેઠળ કાનૂની આધાર ઓળખવામાં આવ્યો છે અને, કાયદેસર હિત માટે, સંતુલન પરીક્ષણ ફાઇલ પર છે.
- કલમ 30 હેઠળ પ્રક્રિયા પ્રવૃત્તિઓના તમારા રેકોર્ડમાં પ્રાપ્તકર્તાની ભૂમિકા નોંધાયેલી છે.
- કલમ 28 હેઠળ પ્રક્રિયા કરાર અથવા કલમ 26 હેઠળની વ્યવસ્થા પર હસ્તાક્ષર કરવામાં આવે છે.
- EEA ની બહાર કોઈપણ ટ્રાન્સફર પર્યાપ્તતા અથવા SCC વત્તા TIA પર આધારિત છે.
- DPIA સ્ક્રીનીંગ કરવામાં આવ્યું છે અને તેનું દસ્તાવેજીકરણ કરવામાં આવ્યું છે.
- તમારી ગોપનીયતા સૂચના પ્રાપ્તકર્તા અથવા તેની શ્રેણીનું નામ આપે છે.
ડેટા પ્રાપ્તકર્તા તરીકે તમારે શું તપાસવું જોઈએ?
પ્રોસેસર અથવા રીસીવિંગ કંટ્રોલર તરીકે, તમારી પોતાની જવાબદારીઓ છે અને કલમ 83 GDPR હેઠળ સીધો દંડ થઈ શકે છે. ડેટા સ્વીકારતા પહેલા આ મુદ્દાઓ તપાસો:
- ભલે તમે ફક્ત સૂચનાઓ (પ્રોસેસર) પર કાર્ય કરો અથવા તમારા પોતાના હેતુઓ (નિયંત્રક) માટે ડેટાનો ઉપયોગ કરો.
- શું પ્રોસેસિંગ કરારમાંની સૂચનાઓ તમે ખરેખર ડેટા સાથે જે કરો છો તેની સાથે મેળ ખાય છે.
- શું તમારા સબ-પ્રોસેસર્સ કલમ 28(2) હેઠળ લેખિતમાં અધિકૃત છે.
- શું તમારા સુરક્ષા પગલાં કલમ 32 ની પૂર્ણતા ધરાવે છે અને તમે કોઈ પણ વિલંબ વિના નિયંત્રકને ભંગની જાણ કરી શકો છો (કલમ 33(2)).
- શું તમે કલમ ૩૦(૨) હેઠળ પ્રક્રિયાનો તમારો પોતાનો રેકોર્ડ રાખો છો?
GDPR ડેટા શેરિંગમાં અમે તમારા માટે શું કરી શકીએ છીએ?
અમારી આઇટી કાયદા ટીમ સપ્લાયર, જૂથ અને ભાગીદાર વ્યવસ્થાઓના ડેટા સુરક્ષા બાજુનું સંચાલન કરે છે. ચોક્કસ રીતે:
- અમે તમારા ડેટા ફ્લોનું મેપિંગ કરીએ છીએ અને દરેક પ્રાપ્તકર્તા માટે નક્કી કરીએ છીએ કે તે પ્રોસેસર છે, જોઈન્ટ કંટ્રોલર છે કે સ્વતંત્ર કંટ્રોલર છે.
- અમે કલમ 28 હેઠળ પ્રક્રિયા કરારો અને કલમ 26 હેઠળ સંયુક્ત નિયંત્રક વ્યવસ્થાઓનો મુસદ્દો તૈયાર કરીએ છીએ અથવા તેની સમીક્ષા કરીએ છીએ.
- અમે EEA ની બહાર ટ્રાન્સફરનું મૂલ્યાંકન કરીએ છીએ, DPF પ્રમાણપત્રો તપાસીએ છીએ અને ટ્રાન્સફર ઇમ્પેક્ટ એસેસમેન્ટનો મુસદ્દો તૈયાર કરીએ છીએ.
- અમે DPIA સ્ક્રીનીંગ અને DPIA નું જ મૂલ્યાંકન કરીએ છીએ અથવા તેની સમીક્ષા કરીએ છીએ.
- અમે તમારી ગોપનીયતા સૂચના અપડેટ કરીએ છીએ જેથી પ્રાપ્તકર્તાઓ અને ટ્રાન્સફરના નામ યોગ્ય રીતે રાખવામાં આવે.
- અમે તમને 72 કલાકની સમયમર્યાદામાં AP તપાસમાં અથવા ભંગની સૂચનામાં સહાય કરીએ છીએ.
સારાંશ
- કલમ 6 GDPR હેઠળ વ્યક્તિગત ડેટાના દરેક શેરિંગને કાનૂની આધારની જરૂર છે; વ્યાપારી કારણ પૂરતું નથી.
- દરેક પ્રાપ્તકર્તા માટે નક્કી કરો કે તે પ્રોસેસર છે, સંયુક્ત નિયંત્રક છે કે સ્વતંત્ર નિયંત્રક છે, અને તેનું દસ્તાવેજીકરણ કરો.
- પ્રોસેસર્સ માટે કલમ 28 હેઠળ પ્રોસેસિંગ કરાર ફરજિયાત છે; તેના વિના તમે પહેલા દિવસથી જ ઉલ્લંઘન કરશો.
- EEA ની બહાર ટ્રાન્સફર માટે પર્યાપ્તતા (જેમ કે DPF પ્રમાણપત્ર) અથવા સલામતીનાં પગલાં અને ટ્રાન્સફર અસર મૂલ્યાંકનની જરૂર પડે છે.
- છુપનામિત ડેટા ચાવી રાખનાર વ્યક્તિ માટે વ્યક્તિગત ડેટા રહે છે, અને તમારી ગોપનીયતા સૂચનામાં પ્રાપ્તકર્તાઓના નામ ચોક્કસ રીતે જણાવવા જોઈએ.
વારંવાર પૂછાતા પ્રશ્નો
GDPR હેઠળ ડેટા શેરિંગ ક્યારે માન્ય છે?
ફક્ત કલમ 6 GDPR હેઠળ માન્ય કાનૂની આધાર સાથે: સંમતિ, કરાર, કાનૂની જવાબદારી, મહત્વપૂર્ણ હિતો, જાહેર કાર્ય અથવા કાયદેસર હિતો. તમારે કલમ 5 માં સિદ્ધાંતોનો પણ આદર કરવો જોઈએ, જેમ કે હેતુ મર્યાદા અને પારદર્શિતા, અને કલમ 13 અને 14 હેઠળ સંબંધિત લોકોને જાણ કરવી જોઈએ.
કંટ્રોલર અને પ્રોસેસર વચ્ચે શું તફાવત છે?
એક નિયંત્રક પ્રક્રિયાના હેતુઓ અને માધ્યમો નક્કી કરે છે (લેખ 4(7) GDPR); એક પ્રોસેસર નિયંત્રકની સૂચનાઓ પર ડેટા પર પ્રક્રિયા કરે છે (લેખ 4(8)). પેરોલ પ્રદાતા સામાન્ય રીતે પ્રોસેસર હોય છે. એક સપ્લાયર જે પોતાના હેતુઓ માટે પણ ડેટાનો ઉપયોગ કરે છે તે તે ભાગ માટે નિયંત્રક અથવા સંયુક્ત નિયંત્રક હોય છે.
ડેટા પ્રોસેસિંગ કરાર ક્યારે ફરજિયાત છે?
જ્યારે પણ કોઈ પ્રોસેસર તમારા વતી વ્યક્તિગત ડેટાનું સંચાલન કરે છે, તમારી સંસ્થાનું કદ ગમે તે હોય (કલમ 28(3) GDPR). કરાર લેખિતમાં હોવો જોઈએ અને તેમાં ફરજિયાત સામગ્રી હોવી જોઈએ. તેના વિના તમે પ્રક્રિયા શરૂ થાય તે ક્ષણથી જ ઉલ્લંઘનમાં છો.
શું હું EU ની બહારના પક્ષ સાથે ગ્રાહક ડેટા શેર કરી શકું છું?
હા, જો ગંતવ્ય સ્થાન માટે પર્યાપ્તતાનો નિર્ણય હોય (કલમ 45 GDPR) અથવા યોગ્ય સલામતી જેમ કે માનક કરાર કલમો વત્તા ટ્રાન્સફર અસર મૂલ્યાંકન (કલમ 46). EU-US ડેટા ગોપનીયતા ફ્રેમવર્ક હેઠળ પ્રમાણિત યુએસ પ્રાપ્તકર્તાઓ જુલાઈ 2023 ના પર્યાપ્તતા નિર્ણય હેઠળ આવે છે.
જો ગેરકાયદેસર ડેટા શેરિંગ ડેટા ભંગ તરફ દોરી જાય તો મારે શું કરવું જોઈએ?
ભંગને રોકો, તેની અસરનું મૂલ્યાંકન કરો અને તેનું દસ્તાવેજીકરણ કરો. બિનજરૂરી વિલંબ કર્યા વિના અને જ્યાં શક્ય હોય ત્યાં, 72 કલાકની અંદર, જ્યાં સુધી ઉલ્લંઘન જોખમમાં પરિણમવાની શક્યતા ન હોય ત્યાં સુધી AP ને સૂચિત કરો (કલમ 33 GDPR). જો અસરગ્રસ્ત લોકો માટે જોખમ ઊંચું હોય, તો તેમને પણ બિનજરૂરી વિલંબ કર્યા વિના જાણ કરો (કલમ 34).
