त्वरित उत्तर: GDPR के तहत, एक डेटा कंट्रोलर यह निर्धारित करता है कि व्यक्तिगत डेटा को क्यों और कैसे संसाधित किया जाता है, जबकि एक डेटा प्रोसेसर केवल कंट्रोलर के निर्देशों पर डेटा को संभालता है। देयता में महत्वपूर्ण अंतर है: कंट्रोलर सबसे व्यापक जवाबदेही वहन करते हैं, जबकि प्रोसेसर को केवल तभी सीधी देयता का सामना करना पड़ता है जब वे वैध निर्देशों के बाहर कार्य करते हैं या विशेष रूप से उन पर निर्देशित GDPR दायित्वों का उल्लंघन करते हैं।
मुख्य बातें
- एक डेटा कंट्रोलर प्रसंस्करण के उद्देश्यों और साधनों का निर्णय लेता है; एक डेटा प्रोसेसर कंट्रोलर की ओर से कार्य करता है।
- कंट्रोलर प्राथमिक GDPR देयता वहन करते हैं; प्रोसेसर को अनुच्छेद 82 के तहत केवल विशिष्ट परिस्थितियों में सीधी देयता का सामना करना पड़ता है।
- दोनों भूमिकाएँ एक ही संगठन के भीतर एक साथ मौजूद हो सकती हैं, एक कंपनी अपने स्वयं के ग्राहकों के लिए एक कंट्रोलर और दूसरे व्यवसाय के लिए एक प्रोसेसर हो सकती है।
- जब भी कोई कंट्रोलर किसी प्रोसेसर को संलग्न करता है तो एक कानूनी रूप से बाध्यकारी डेटा प्रोसेसिंग एग्रीमेंट (DPA) अनिवार्य होता है।
- सब-प्रोसेसर को कंट्रोलर से पूर्व लिखित प्राधिकरण की आवश्यकता होती है; मुख्य प्रोसेसर सब-प्रोसेसर के आचरण के लिए पूरी तरह से उत्तरदायी रहता है।
- अपनी भूमिका का गलत वर्गीकरण एक अनुपालन जोखिम है जो आपके संगठन को नियामक दंड के लिए उजागर कर सकता है।
- जो प्रोसेसर अपने स्वयं के उद्देश्यों के लिए व्यक्तिगत डेटा का उपयोग करते हैं, वे उस प्रसंस्करण गतिविधि के लिए स्वचालित रूप से कंट्रोलर बन जाते हैं।
- यूके का डेटा (उपयोग और पहुंच) अधिनियम 2026 आगे के बदलाव पेश करता है जिनकी यूके GDPR के तहत काम करने वाले संगठनों को तुरंत समीक्षा करनी चाहिए।
GDPR के तहत डेटा कंट्रोलर और डेटा प्रोसेसर के बीच क्या अंतर है?
एक डेटा कंट्रोलर कोई भी इकाई है जो व्यक्तिगत डेटा को संसाधित करने के उद्देश्यों और साधनों को निर्धारित करती है। एक डेटा प्रोसेसर कोई भी इकाई है जो कंट्रोलर की ओर से व्यक्तिगत डेटा को संसाधित करती है, कंट्रोलर के निर्देशों का सख्ती से पालन करती है [1]।
यह अंतर निर्णय लेने के अधिकार पर निर्भर करता है। यदि आपका संगठन यह तय करता है कि डेटा क्यों एकत्र किया जाता है और कैसे इसका उपयोग किया जाएगा, तो आप कंट्रोलर हैं। यदि आपका संगठन केवल डेटा को इसलिए संभालता है क्योंकि किसी अन्य इकाई ने आपको ऐसा करने का निर्देश दिया है, और आपके पास उद्देश्य में कोई स्वतंत्र राय नहीं है, तो आप प्रोसेसर हैं।
व्यावहारिक उदाहरण:
| परिदृश्य | भूमिका |
|---|---|
| एक ई-कॉमर्स रिटेलर ग्राहक खरीद डेटा एकत्र कर रहा है | कंट्रोलर |
| एक क्लाउड होस्टिंग प्रदाता उस रिटेलर के डेटाबेस को संग्रहीत कर रहा है | प्रोसेसर |
| एक पेरोल SaaS प्लेटफॉर्म एक नियोक्ता के लिए कर्मचारी डेटा संसाधित कर रहा है | प्रोसेसर |
| एक मार्केटिंग एजेंसी अपनी स्वयं की संभावित ग्राहकों की सूची बना रही है | कंट्रोलर |
| एक CRM विक्रेता सहायता प्रदान करने के लिए क्लाइंट डेटा तक पहुंच रहा है | प्रोसेसर |
ICO इस बात पर जोर देता है कि अनुबंध में लेबल भूमिका निर्धारित नहीं करता है, वास्तविक आचरण करता है [1]। एक विक्रेता जिसे अनुबंध में "प्रोसेसर" कहा जाता है, लेकिन डेटा उपयोग के बारे में स्वतंत्र निर्णय लेता है, कानूनी रूप से एक कंट्रोलर है, भले ही समझौते में कुछ भी कहा गया हो।
GDPR के तहत डेटा कंट्रोलर की मुख्य जिम्मेदारियाँ क्या हैं?
GDPR के तहत कंट्रोलर सबसे भारी अनुपालन बोझ वहन करते हैं। वे पूरे डेटा जीवनचक्र के लिए जवाबदेह हैं और यह सुनिश्चित करना चाहिए कि वे जिस भी प्रोसेसर को संलग्न करते हैं वह GDPR मानकों को पूरा करता है [3]।
मुख्य कंट्रोलर दायित्वों में शामिल हैं:
- प्रत्येक प्रसंस्करण गतिविधि के लिए एक वैध आधार स्थापित करना और दस्तावेज़ करना
- डेटा विषयों को पारदर्शी गोपनीयता नोटिस प्रदान करना
- डेटा विषय अधिकारों, पहुंच, सुधार, मिटाने, पोर्टेबिलिटी और आपत्ति को सुविधाजनक बनाना
- उच्च जोखिम वाले प्रसंस्करण के लिए डेटा सुरक्षा प्रभाव आकलन (DPIAs) आयोजित करना
- जहां आवश्यक हो, एक डेटा संरक्षण अधिकारी (DPO) नियुक्त करना
- प्रोसेसर को संलग्न करने से पहले उचित परिश्रम करना और उनके चल रहे अनुपालन की निगरानी करना
- संलग्न प्रत्येक प्रोसेसर के साथ एक लिखित डेटा प्रोसेसिंग एग्रीमेंट निष्पादित करना [3]
कंट्रोलर जवाबदेही को आउटसोर्स नहीं कर सकते। यहां तक कि जब एक प्रोसेसर उल्लंघन का कारण बनता है, तब भी कंट्रोलर अपने प्रोसेसर के चुनाव और संविदात्मक सुरक्षा उपायों की पर्याप्तता के लिए पर्यवेक्षी अधिकारियों के प्रति जवाबदेह रहता है।
GDPR के तहत डेटा प्रोसेसर की मुख्य जिम्मेदारियाँ क्या हैं?
प्रोसेसर के पास सीधे GDPR दायित्व होते हैं, न कि केवल संविदात्मक दायित्व, और अनुपालन को केवल कंट्रोलर की समस्या के रूप में नहीं मान सकते हैं [3]।
GDPR के तहत प्रत्यक्ष प्रोसेसर दायित्वों में शामिल हैं:
- कंट्रोलर के दस्तावेजित निर्देशों पर ही डेटा को संसाधित करना
- उचित तकनीकी और संगठनात्मक सुरक्षा उपायों को लागू करना
- कंट्रोलर की ओर से की गई सभी प्रसंस्करण गतिविधियों का रिकॉर्ड बनाए रखना
- बिना किसी अनुचित देरी के कंट्रोलर को किसी भी डेटा उल्लंघन की सूचना देना
- डेटा विषय अधिकारों के अनुरोधों को पूरा करने में कंट्रोलर की सहायता करना
- अनुबंध समाप्त होने पर सभी व्यक्तिगत डेटा को हटाना या वापस करना
- कंट्रोलर से पूर्व लिखित प्राधिकरण के साथ ही सब-प्रोसेसर को संलग्न करना [3]
"प्रोसेसर के पास GDPR के तहत सीधे दायित्व होते हैं, न कि केवल संविदात्मक कर्तव्य, और यदि वे कंट्रोलर के वैध निर्देशों के बाहर कार्य करते हैं तो नियामक जोखिम का सामना करना पड़ता है।"
यदि डेटा उल्लंघन होता है तो कौन उत्तरदायी है: कंट्रोलर या प्रोसेसर?
दोनों उत्तरदायी हो सकते हैं, लेकिन दायरा अलग है। GDPR के अनुच्छेद 82 के तहत, किसी भी व्यक्ति को GDPR उल्लंघन से हुए नुकसान के लिए जिम्मेदार कंट्रोलर या प्रोसेसर से मुआवजे का दावा करने का अधिकार है [2]।
कंट्रोलर किसी भी प्रसंस्करण से हुए नुकसान के लिए उत्तरदायी होते हैं जो GDPR का उल्लंघन करता है। प्रोसेसर केवल तभी उत्तरदायी होते हैं जब वे विशेष रूप से प्रोसेसर पर निर्देशित GDPR दायित्वों का पालन करने में विफल रहे हों, या जब उन्होंने कंट्रोलर के वैध निर्देशों के बाहर या विपरीत कार्य किया हो [2]।
व्यवहार में देयता आवंटन:
- यदि एक प्रोसेसर को उल्लंघन का सामना करना पड़ता है क्योंकि कंट्रोलर ने अपर्याप्त सुरक्षा निर्देश दिए थे, तो कंट्रोलर की प्राथमिक देयता होने की संभावना है।
- यदि एक प्रोसेसर ने कंट्रोलर की सुरक्षा आवश्यकताओं को अनदेखा किया, तो प्रोसेसर की सीधी देयता है।
- दोनों को संयुक्त रूप से और कई तरह से उत्तरदायी ठहराया जा सकता है, जिसका अर्थ है कि एक डेटा विषय नुकसान की पूरी राशि के लिए किसी भी पक्ष का पीछा कर सकता है, जिससे उन्हें बाद में अपने बीच जिम्मेदारी बांटने के लिए छोड़ दिया जा सकता है।
एक प्रोसेसर यह साबित करके देयता से बच सकता है कि वह नुकसान का कारण बनने वाली घटना के लिए दोषी नहीं था [2]। यह एक उच्च बाधा है: प्रोसेसर को अपने GDPR दायित्वों के पूर्ण अनुपालन का प्रदर्शन करना होगा।
क्या कोई कंपनी एक ही समय में कंट्रोलर और प्रोसेसर दोनों हो सकती है?
हाँ। एक संगठन एक साथ कुछ प्रसंस्करण गतिविधियों के लिए कंट्रोलर और दूसरों के लिए प्रोसेसर के रूप में कार्य कर सकता है, यहां तक कि एक ही व्यावसायिक संबंध के भीतर भी [1]।
उदाहरण के लिए, एक डिजिटल मार्केटिंग एजेंसी कंट्रोलर के रूप में कार्य कर सकती है जब वह अपने स्वयं के कर्मचारी HR डेटा का प्रबंधन करती है, और एक प्रोसेसर के रूप में जब वह क्लाइंट के ग्राहक डेटा का उपयोग करके विज्ञापन अभियान चलाती है। भूमिका गतिविधि-दर-गतिविधि निर्धारित की जाती है, न कि कंपनी-दर-कंपनी।
क्या कोई प्रोसेसर कंट्रोलर बन सकता है यदि वे डेटा का उपयोग अपने स्वयं के उद्देश्यों के लिए करते हैं?
एक प्रोसेसर स्वचालित रूप से एक कंट्रोलर बन जाता है जिस क्षण वह कंट्रोलर के निर्देशों से परे उद्देश्यों के लिए व्यक्तिगत डेटा का उपयोग करता है [1]। यह व्यवहार में सबसे महत्वपूर्ण गलत वर्गीकरणों में से एक है।
यदि एक क्लाउड एनालिटिक्स विक्रेता बिना प्राधिकरण के अपने स्वयं के AI मॉडल को प्रशिक्षित करने के लिए क्लाइंट डेटा का खनन शुरू करता है, तो उसने प्रोसेसर की भूमिका से बाहर कदम रखा है और उस गतिविधि के लिए कंट्रोलर का दर्जा ग्रहण कर लिया है, जिसमें सभी संबंधित GDPR दायित्व और देयता जोखिम शामिल हैं। कोई भी अनुबंध खंड इस पुनर्वर्गीकरण को नहीं रोक सकता है; यह समझौते का नहीं, बल्कि तथ्य का मामला है।
डेटा प्रोसेसिंग एग्रीमेंट प्रोसेसर को देयता से कैसे बचाते हैं?
जब भी कोई कंट्रोलर किसी प्रोसेसर को संलग्न करता है तो एक डेटा प्रोसेसिंग एग्रीमेंट (DPA) GDPR के तहत एक अनिवार्य कानूनी साधन है [3]। प्रोसेसर के लिए, एक अच्छी तरह से मसौदा तैयार किया गया DPA देयता जोखिम को सीमित करने के लिए प्राथमिक तंत्र है।
एक अनुपालन DPA को निर्दिष्ट करना चाहिए:
- प्रसंस्करण का विषय वस्तु, अवधि, प्रकृति और उद्देश्य
- व्यक्तिगत डेटा का प्रकार और शामिल डेटा विषयों की श्रेणियां
- कंट्रोलर के दायित्व और अधिकार
- अधिकृत कर्मियों के लिए गोपनीयता आवश्यकताएँ
- लागू किए जाने वाले सुरक्षा उपाय
- सब-प्रोसेसर को संलग्न करने की शर्तें
- अनुबंध समाप्त होने पर डेटा को वापस करने या हटाने की प्रक्रियाएं [3]
जब एक प्रोसेसर DPA के दायरे में सख्ती से कार्य करता है, तो किसी भी परिणामी नुकसान के लिए देयता मुख्य रूप से कंट्रोलर पर स्थानांतरित हो जाती है। इसके विपरीत, यदि एक प्रोसेसर उन निर्देशों से अधिक कार्य करता है, तो DPA ढाल के बजाय विचलन का प्रमाण बन जाता है।
यदि कोई प्रोसेसर GDPR नियमों का उल्लंघन करता है तो क्या होता है?
GDPR का उल्लंघन करने वाले प्रोसेसर को नियामक जुर्माना और नुकसान के लिए नागरिक देयता दोनों का सामना करना पड़ता है। पर्यवेक्षी अधिकारी प्रोसेसर पर सीधे प्रशासनिक जुर्माना लगा सकते हैं, सबसे गंभीर उल्लंघनों के लिए EUR 20 मिलियन या वैश्विक वार्षिक कारोबार का 4% तक, जो भी अधिक हो [2]।
जुर्माने के अलावा, प्रोसेसर को अनुच्छेद 82 के तहत डेटा विषयों से दावों का सामना करना पड़ता है जिन्हें नुकसान हुआ है। उन्हें DPA के तहत कंट्रोलर के प्रति संविदात्मक देयता का भी सामना करना पड़ सकता है, जिसमें क्षतिपूर्ति दायित्व भी शामिल हैं।
क्या प्रोसेसर को अपने स्वयं के डेटा संरक्षण अधिकारी की आवश्यकता है?
प्रोसेसर कंट्रोलर के समान DPO नियुक्ति सीमा के अधीन हैं। एक प्रोसेसर को DPO नियुक्त करना होगा यदि वह व्यक्तियों की बड़े पैमाने पर, व्यवस्थित निगरानी करता है, या बड़े पैमाने पर विशेष श्रेणियों के डेटा या आपराधिक दोषसिद्धि डेटा को संसाधित करता है [1]।
प्रोसेसर होने से किसी संगठन को DPO आवश्यकता से छूट नहीं मिलती है। कई बड़े क्लाउड प्रदाता और SaaS प्लेटफॉर्म जो प्रोसेसर के रूप में कार्य करते हैं, उन्हें DPO बनाए रखने की आवश्यकता होती है, ठीक उसी डेटा की मात्रा और संवेदनशीलता के कारण जिसे वे संभालते हैं।
कंट्रोलर और प्रोसेसर के बीच GDPR जुर्माने में क्या अंतर है?
GDPR की दो-स्तरीय जुर्माना संरचना कंट्रोलर और प्रोसेसर दोनों पर समान रूप से लागू होती है। टियर वन कम गंभीर उल्लंघनों (EUR 10 मिलियन या वैश्विक कारोबार का 2% तक) को कवर करता है; टियर टू सबसे गंभीर उल्लंघनों को कवर करता है, जिसमें गैरकानूनी प्रसंस्करण और डेटा विषयों के अधिकारों का सम्मान करने में विफलता (EUR 20 मिलियन या वैश्विक कारोबार का 4% तक) शामिल है [2]।
प्रोसेसर के लिए कोई वैधानिक छूट नहीं है। हालांकि, व्यवहार में, पर्यवेक्षी अधिकारी जुर्माना राशि निर्धारित करते समय दोष, सहयोग और उल्लंघन की प्रकृति का आकलन करते हैं, ऐसे कारक जिनके परिणामस्वरूप एक ही घटना में कंट्रोलर बनाम प्रोसेसर के लिए अलग-अलग परिणाम हो सकते हैं।
क्या सब-प्रोसेसर की देयता मुख्य प्रोसेसर से अलग होती है?
सब-प्रोसेसर के पास मुख्य प्रोसेसर के समान GDPR दायित्व होते हैं, लेकिन वे सीधे कंट्रोलर के बजाय मुख्य प्रोसेसर से संविदात्मक रूप से बंधे होते हैं। महत्वपूर्ण अंतर: मुख्य प्रोसेसर सब-प्रोसेसर के प्रदर्शन के लिए कंट्रोलर के प्रति पूरी तरह से उत्तरदायी रहता है [3]।
यदि एक सब-प्रोसेसर उल्लंघन का कारण बनता है, तो कंट्रोलर का कानूनी सहारा मुख्य प्रोसेसर के खिलाफ चलता है। मुख्य प्रोसेसर को तब सब-प्रोसेसर का अलग से पीछा करना होगा। सब-प्रोसेसर को अपने स्वयं के GDPR उल्लंघनों के लिए पर्यवेक्षी अधिकारियों से सीधी नियामक कार्रवाई का भी सामना करना पड़ सकता है।
सब-प्रोसेसर नियम एक नज़र में:
- किसी भी सब-प्रोसेसर को संलग्न करने से पहले कंट्रोलर से पूर्व लिखित प्राधिकरण की आवश्यकता होती है
- मुख्य प्रोसेसर को सब-प्रोसेसर पर समान डेटा सुरक्षा दायित्व लागू करने होंगे
- मुख्य प्रोसेसर सब-प्रोसेसर की गलती की ओर इशारा करके देयता से बच नहीं सकता है
आप कैसे निर्धारित करते हैं कि आप अपने व्यवसाय के लिए कंट्रोलर या प्रोसेसर हैं?
निर्धारण एक ही प्रश्न पर निर्भर करता है: क्या आपका संगठन स्वतंत्र रूप से यह तय करता है कि व्यक्तिगत डेटा को क्यों संसाधित किया जा रहा है? यदि हाँ, तो आप एक कंट्रोलर हैं। यदि आप केवल डेटा को इसलिए संसाधित करते हैं क्योंकि किसी अन्य इकाई ने आपको ऐसा करने का निर्देश दिया है, और आपके पास कोई स्वतंत्र उद्देश्य नहीं है, तो आप एक प्रोसेसर हैं [1]।
एक व्यावहारिक निर्णय चेकलिस्ट:
- सबसे पहले इस डेटा को एकत्र करने का निर्णय किसने लिया?
- डेटा का उपयोग किस लिए किया जाएगा, यह किसने निर्धारित किया?
- क्या आपके संगठन के पास डेटा को कैसे संसाधित किया जाता है, इस पर विवेक है, या आप किसी अन्य पक्ष के विनिर्देशों का पालन कर रहे हैं?
- यदि दूसरा पक्ष अपने निर्देश वापस ले लेता तो क्या प्रसंस्करण बंद हो जाता?
- क्या आप डेटा का उपयोग किसी ऐसे उद्देश्य के लिए कर रहे हैं जिससे आपके संगठन को स्वतंत्र रूप से लाभ होता है?
यदि आपके उत्तर इन प्रश्नों के पार अलग-अलग दिशाओं में इंगित करते हैं, तो आप एक संयुक्त कंट्रोलर हो सकते हैं, एक ऐसी स्थिति जिसमें दूसरे पक्ष के साथ एक अलग पारदर्शिता व्यवस्था की आवश्यकता होती है [1]।
कंपनियां कंट्रोलर और प्रोसेसर की भूमिकाओं के साथ कौन सी सामान्य गलतियाँ करती हैं?
गलत वर्गीकरण सबसे प्रचलित त्रुटि है, और इसके वास्तविक अनुपालन परिणाम होते हैं। संगठन अक्सर यह मान लेते हैं कि अनुबंध में "विक्रेता" या "सेवा प्रदाता" कहलाने से वे एक प्रोसेसर बन जाते हैं, जबकि उनका वास्तविक आचरण उन्हें एक कंट्रोलर के रूप में योग्य बनाता है।
अन्य अक्सर होने वाली गलतियाँ:
- DPA छोड़ना: कंट्रोलर जो लिखित DPA के बिना प्रोसेसर को संलग्न करते हैं, वे GDPR का सीधा उल्लंघन करते हैं, भले ही प्रोसेसर के सिस्टम कितने भी सुरक्षित क्यों न हों।
- सब-प्रोसेसर की जांच करने में विफलता: कंट्रोलर अक्सर इस बात को नज़रअंदाज़ कर देते हैं कि उनके प्रोसेसर ने बिना प्राधिकरण या समान संविदात्मक सुरक्षा के सब-प्रोसेसर को संलग्न किया है।
- यह मानना कि प्रोसेसर डेटा विषय अधिकारों को संभालते हैं: कंट्रोलर डेटा विषय अनुरोधों का जवाब देने के लिए जिम्मेदार रहते हैं; प्रोसेसर केवल सहायता करते हैं।
- पुनर्वर्गीकरण जोखिम को अनदेखा करना: प्रोसेसर जो अपनी सेवाओं का विस्तार करते हैं और विश्लेषण, मॉडल प्रशिक्षण, या बेंचमार्किंग के लिए क्लाइंट डेटा का उपयोग करना शुरू करते हैं, वे बदलाव को पहचाने बिना अनजाने में कंट्रोलर बन सकते हैं।
वेबसाइटों और डिजिटल संपत्तियों पर सहमति और डेटा प्रवाह का प्रबंधन करने वाले संगठनों के लिए, Biscotti CMP जैसा एक सहमति प्रबंधन प्लेटफॉर्म कंट्रोलर को वैध आधारों को दस्तावेज़ करने और सहमति रिकॉर्ड का प्रबंधन करने में मदद कर सकता है, जो GDPR के तहत कंट्रोलर जवाबदेही का एक मूलभूत तत्व है।
एक छोटा व्यवसाय कंट्रोलर बनाम प्रोसेसर की जिम्मेदारियों को कैसे संभाले?
छोटे व्यवसाय GDPR के कंट्रोलर-प्रोसेसर ढांचे से मुक्त नहीं हैं। यदि एक छोटा व्यवसाय ग्राहक डेटा एकत्र करता है, यहां तक कि एक न्यूज़लेटर के लिए केवल ईमेल पते भी, तो वह एक कंट्रोलर है और उसे सभी कंट्रोलर दायित्वों का पालन करना होगा।
छोटे व्यवसायों के लिए व्यावहारिक कदम:
- हर उस उपकरण या विक्रेता का डेटा मैपिंग करें जो आपकी ओर से व्यक्तिगत डेटा को संभालता है (ईमेल प्लेटफॉर्म, एनालिटिक्स टूल, भुगतान प्रोसेसर, CRM)।
- पुष्टि करें कि प्रत्येक विक्रेता के साथ एक हस्ताक्षरित DPA मौजूद है।
- सत्यापित करें कि प्रत्येक विक्रेता का DPA GDPR न्यूनतम आवश्यकताओं को पूरा करता है।
- एक अनुपालन गोपनीयता नोटिस प्रकाशित करें जो आपकी प्रसंस्करण गतिविधियों का सटीक वर्णन करता है।
- 30-दिवसीय वैधानिक विंडो के भीतर डेटा विषय अनुरोधों का जवाब देने के लिए एक प्रक्रिया स्थापित करें।
यूके का डेटा (उपयोग और पहुंच) अधिनियम 2026, जिसे 19 जून, 2026 को रॉयल एसेंट प्राप्त हुआ, डेटा संरक्षण कानून में और संशोधन पेश करता है जिनकी यूके-आधारित छोटे व्यवसायों को कानूनी सलाह के साथ समीक्षा करनी चाहिए ताकि यह सुनिश्चित हो सके कि उनके कंट्रोलर दायित्व वर्तमान बने रहें [1]।
अक्सर पूछे जाने वाले प्रश्न
प्रश्न: क्या एक SaaS कंपनी हमेशा एक प्रोसेसर होती है? एक SaaS कंपनी केवल तभी एक प्रोसेसर होती है जब वह अपने ग्राहकों की ओर से और किसी स्वतंत्र उद्देश्य के लिए व्यक्तिगत डेटा को सख्ती से संसाधित करती है। यदि वह अपने स्वयं के विश्लेषण, उत्पाद सुधार, या विपणन के लिए ग्राहक डेटा का उपयोग करती है, तो वह उन गतिविधियों के लिए एक कंट्रोलर बन जाती है।
प्रश्न: क्या एक प्रोसेसर को पर्यवेक्षी प्राधिकरण के साथ पंजीकरण करने की आवश्यकता है? पंजीकरण आवश्यकताएं यूरोपीय संघ के सदस्य राज्यों के अनुसार भिन्न होती हैं। हालांकि, प्रोसेसर को GDPR के अनुच्छेद 30 के तहत आंतरिक प्रसंस्करण गतिविधियों के रिकॉर्ड (RoPA) को बनाए रखना चाहिए यदि वे 250 या अधिक लोगों को रोजगार देते हैं, या यदि प्रसंस्करण से डेटा विषयों को जोखिम होने की संभावना है।
प्रश्न: क्या एक प्रोसेसर कंट्रोलर के निर्देश को अस्वीकार कर सकता है? हाँ, यदि निर्देश का पालन करने के लिए प्रोसेसर को GDPR का उल्लंघन करना होगा। ऐसे मामलों में, प्रोसेसर को कंट्रोलर को सूचित करना चाहिए और, यदि निर्देश को ठीक नहीं किया जाता है, तो संबंध समाप्त करने की आवश्यकता हो सकती है।
प्रश्न: एक संयुक्त कंट्रोलर व्यवस्था क्या है? संयुक्त कंट्रोलर तब मौजूद होते हैं जब दो या दो से अधिक संस्थाएँ संयुक्त रूप से प्रसंस्करण के उद्देश्यों और साधनों को निर्धारित करती हैं। उन्हें एक पारदर्शी व्यवस्था में अपनी संबंधित जिम्मेदारियों को दस्तावेज़ करना चाहिए और उस व्यवस्था का सार डेटा विषयों को उपलब्ध कराना चाहिए [1]।
प्रश्न: एक DPA को कितने समय तक लागू रहना चाहिए? एक DPA को प्रसंस्करण संबंध की अवधि के लिए लागू रहना चाहिए। समाप्ति पर, यह सभी व्यक्तिगत डेटा को हटाने या वापस करने के प्रोसेसर के दायित्व को नियंत्रित करता है।
प्रश्न: क्या प्रोसेसर कंट्रोलर पर लगाए गए जुर्माने के लिए उत्तरदायी हैं? नहीं। जुर्माना उस इकाई के खिलाफ लगाया जाता है जिसने उल्लंघन किया है। हालांकि, प्रोसेसर को अपने स्वयं के उल्लंघनों के लिए अलग-अलग जुर्माने का सामना करना पड़ सकता है, और DPA के तहत कंट्रोलर से क्षतिपूर्ति दावों का सामना करना पड़ सकता है।
प्रश्न: क्या GDPR यूरोपीय संघ के बाहर स्थित प्रोसेसर पर लागू होता है? हाँ। GDPR यूरोपीय संघ के बाहर के प्रोसेसर पर लागू होता है जब वे यूरोपीय संघ-आधारित कंट्रोलर की ओर से यूरोपीय संघ के निवासियों के व्यक्तिगत डेटा को संसाधित करते हैं, या जब वे अन्यथा अनुच्छेद 3 के तहत GDPR के क्षेत्रीय दायरे के अधीन होते हैं।
प्रश्न: एक DPA और एक मानक संविदात्मक खंड के बीच क्या अंतर है? एक DPA घरेलू स्तर पर कंट्रोलर-प्रोसेसर संबंध को नियंत्रित करता है। मानक संविदात्मक खंड (SCCs) यूरोपीय संघ/EEA के बाहर तीसरे देशों में व्यक्तिगत डेटा स्थानांतरित करने के लिए विशिष्ट संविदात्मक तंत्र हैं जिनमें पर्याप्तता निर्णय का अभाव है।
निष्कर्ष
कंट्रोलर बनाम प्रोसेसर: GDPR के तहत अपनी देयता को समझना एक अमूर्त कानूनी अभ्यास नहीं है, यह निर्धारित करता है कि नियामक जुर्माने का सामना कौन करता है, डेटा विषयों को कौन मुआवजा देता है, और जब कुछ गलत होता है तो पर्यवेक्षी अधिकारियों के प्रति कौन जवाबदेह होता है। यह अंतर निर्णय लेने के अधिकार के बारे में एक तथ्यात्मक प्रश्न पर निर्भर करता है, न कि अनुबंध लेबल पर।
कार्रवाई योग्य अगले कदम:
- प्रत्येक प्रसंस्करण गतिविधि और प्रत्येक में आपके संगठन की भूमिका की पहचान करने के लिए एक डेटा मैपिंग अभ्यास करें।
- यह पुष्टि करने के लिए मौजूदा विक्रेता अनुबंधों का ऑडिट करें कि आपके द्वारा संलग्न प्रत्येक प्रोसेसर के साथ अनुपालन DPA मौजूद हैं।
- यह सुनिश्चित करने के लिए सब-प्रोसेसर व्यवस्थाओं की समीक्षा करें कि पूर्व प्राधिकरण मौजूद है और समान दायित्व लागू किए गए हैं।
- यदि आप विभिन्न गतिविधियों में कंट्रोलर और प्रोसेसर दोनों के रूप में कार्य करते हैं, तो प्रत्येक भूमिका को अलग से दस्तावेज़ करें।
- यूके संगठनों के लिए, योग्य कानूनी सलाह के साथ डेटा (उपयोग और पहुंच) अधिनियम 2026 के निहितार्थों की समीक्षा करें।
- Biscotti CMP जैसे सहमति प्रबंधन समाधान को तैनात करें ताकि ऑडिट करने योग्य सहमति रिकॉर्ड बनाए रखा जा सके और आपके कंट्रोलर दायित्वों का समर्थन किया जा सके।
गलत वर्गीकरण कोई तकनीकी बात नहीं है, यह प्रत्यक्ष वित्तीय और प्रतिष्ठा संबंधी परिणामों के साथ एक अनुपालन अंतर है। शुरुआत से ही भूमिकाओं को सही करना किसी भी संगठन द्वारा किया जा सकने वाला सबसे लागत प्रभावी GDPR निवेश है।
संदर्भ
[1] व्हाट आर कंट्रोलर्स एंड प्रोसेसर्स - https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/controllers-and-processors/controllers-and-processors/what-are-controllers-and-processors/?utm_source=openai
[2] आर्ट 82 GDPR - https://gdpr-info.eu/art-82-gdpr/?utm_source=openai
[3] कंट्रोलर एंड प्रोसेसर रिलेशनशिप्स - https://dataprotection.ie/en/organisations/know-your-obligations/controller-and-processor-relationships?utm_source=openai