त्वरित उत्तर: सीमा-पार डेटा स्थानांतरण में राष्ट्रीय सीमाओं के पार व्यक्तिगत डेटा को स्थानांतरित करना शामिल है, और यह EU के GDPR, दक्षिण कोरिया के PIPA, चीन के PIPL, और विभिन्न क्षेत्र-विशिष्ट व्यवस्थाओं सहित अतिव्यापी कानूनों के एक समूह द्वारा शासित होता है। संगठनों को यह पहचानना होगा कि कौन से फ्रेमवर्क उनके डेटा प्रवाह पर लागू होते हैं, फिर किसी भी स्थानांतरण से पहले अनुमोदित स्थानांतरण तंत्र जैसे कि मानक संविदात्मक खंड या पर्याप्तता निर्णय लागू करने होंगे। अनुपालन में विफलता के परिणामस्वरूप लाखों यूरो तक का जुर्माना, नियामक जांच और प्रतिष्ठा को नुकसान हो सकता है।
मुख्य बातें
- GDPR EEA से व्यक्तिगत डेटा के बाहर जाने पर प्रतिबंध लगाता है जब तक कि पर्याप्तता निर्णय, SCCs, या बाइंडिंग कॉर्पोरेट नियम लागू न हों।
- दक्षिण कोरिया के PIPA को सीमा-पार स्थानांतरण के लिए स्पष्ट सहमति या एक वैध आधार की आवश्यकता होती है और यह कई प्रक्रियात्मक तरीकों से GDPR से भिन्न है।
- चीन के PIPL और साइबर सुरक्षा कानून कुछ सबसे सख्त डेटा स्थानीयकरण आवश्यकताओं को लागू करते हैं, जिसमें कुछ बाहरी स्थानांतरणों के लिए अनिवार्य सुरक्षा आकलन शामिल हैं।
- जून 2021 में अपडेट किए गए मानक संविदात्मक खंड (SCCs), EEA के बाहर डेटा भेजने वाले संगठनों के लिए सबसे व्यापक रूप से उपयोग किया जाने वाला स्थानांतरण तंत्र बने हुए हैं।
- 10,080 मोबाइल ऐप्स का विश्लेषण करने वाले 2021 के एक अध्ययन में पाया गया कि 56% GDPR सीमा-पार स्थानांतरण आवश्यकताओं का संभावित रूप से अनुपालन नहीं कर रहे थे। [7]
- EU-US डेटा गोपनीयता फ्रेमवर्क ने अमान्य गोपनीयता शील्ड की जगह ली, लेकिन संगठनों को इसकी कानूनी स्थिति की निगरानी जारी रखनी चाहिए।
- डेटा स्थानीयकरण और डेटा स्थानांतरण प्रतिबंध संबंधित लेकिन अलग अवधारणाएं हैं: स्थानीयकरण यह अनिवार्य करता है कि डेटा कहाँ संग्रहीत किया जाता है, जबकि स्थानांतरण प्रतिबंध यह नियंत्रित करते हैं कि डेटा कब और कैसे स्थानांतरित हो सकता है।
- कर्मचारी डेटा सीमा-पार स्थानांतरण नियमों से मुक्त नहीं है; अक्सर अलग डेटा स्थानांतरण समझौतों या छूटों की आवश्यकता होती है।
- अनुपालन लागत कंपनी के आकार, डेटा की मात्रा और शामिल न्यायालयों की संख्या के आधार पर व्यापक रूप से भिन्न होती है।
- Biscotti CMP (www.biscotti-cmp.com) जैसे सहमति प्रबंधन प्लेटफ़ॉर्म सीमा-पार डेटा प्रवाह से संबंधित वैध आधारों और सहमति रिकॉर्ड के दस्तावेजीकरण में संगठनों का समर्थन कर सकते हैं।
सीमा-पार डेटा स्थानांतरण क्या है और यह क्यों मायने रखता है
एक सीमा-पार डेटा स्थानांतरण तब होता है जब व्यक्तिगत डेटा एक देश से दूसरे देश में स्थानांतरित होता है, चाहे वह क्लाउड स्टोरेज, SaaS प्लेटफॉर्म, ईमेल, या API एकीकरण के माध्यम से हो। यह मायने रखता है क्योंकि राष्ट्रीय गोपनीयता कानून डेटा से ही जुड़े होते हैं, न कि केवल उस देश से जहाँ संगठन निगमित है।
वैश्विक संचालन चलाने वाले उद्यमों के लिए, संयुक्त राज्य अमेरिका में होस्ट किया गया एक एकल HR प्लेटफॉर्म जो EU कार्यालयों से कर्मचारी रिकॉर्ड संसाधित करता है, पहले से ही GDPR के अधीन एक सीमा-पार स्थानांतरण का गठन करता है। यही बात मार्केटिंग एजेंसियों पर भी लागू होती है जो ग्राहक ईमेल सूचियों को US-आधारित स्वचालन उपकरण पर भेजती हैं, या डेवलपर्स जो गैर-EEA देशों में सर्वर के माध्यम से रूट की गई तृतीय-पक्ष विश्लेषण सेवाओं का उपयोग करते हैं।
दांव ऊंचे हैं। 2021 से कई न्यायालयों में नियामक प्रवर्तन तेज हो गया है, और डेटा संरक्षण कानूनों में अंतर्राष्ट्रीय सामंजस्य की कमी नियम ओवरलैप और प्रतिद्वंद्वी मानक बनाती है जो सीमाओं के पार काम करने वाले संगठनों के लिए अनुपालन को जटिल बनाती है। [8]
GDPR EU के बाहर डेटा भेजने को कैसे प्रभावित करता है
GDPR यूरोपीय आर्थिक क्षेत्र (EEA) से तीसरे देशों में व्यक्तिगत डेटा के स्थानांतरण पर प्रतिबंध लगाता है जब तक कि कई अनुमोदित तंत्रों में से एक लागू न हो। तीन प्राथमिक तंत्र पर्याप्तता निर्णय, मानक संविदात्मक खंड और बाइंडिंग कॉर्पोरेट नियम हैं। [1]
पर्याप्तता निर्णय यूरोपीय आयोग द्वारा तब जारी किए जाते हैं जब वह यह निर्धारित करता है कि एक तीसरा देश EEA के अनिवार्य रूप से समकक्ष डेटा संरक्षण का स्तर प्रदान करता है। 2026 तक, पर्याप्तता निर्णय यूनाइटेड किंगडम, जापान, दक्षिण कोरिया और कई अन्य सहित न्यायालयों को कवर करते हैं। [1] इन देशों में बिना किसी अतिरिक्त सुरक्षा के डेटा स्वतंत्र रूप से प्रवाहित हो सकता है।
मानक संविदात्मक खंड (SCCs) यूरोपीय आयोग द्वारा जारी किए गए पूर्व-अनुमोदित अनुबंध टेम्पलेट हैं। 4 जून, 2021 को प्रकाशित आधुनिक SCCs, चार स्थानांतरण परिदृश्यों को कवर करते हैं: नियंत्रक-से-नियंत्रक, नियंत्रक-से-प्रोसेसर, प्रोसेसर-से-नियंत्रक, और प्रोसेसर-से-प्रोसेसर। [2]
बाइंडिंग कॉर्पोरेट नियम (BCRs) बहुराष्ट्रीय कॉर्पोरेट समूहों द्वारा अंतर-समूह स्थानांतरणों को नियंत्रित करने के लिए अपनाई गई आंतरिक नीतियां हैं। BCRs को एक प्रमुख पर्यवेक्षी प्राधिकरण से अनुमोदन की आवश्यकता होती है और इसमें कानूनी आधार, डेटा विषय अधिकार और शिकायत प्रक्रियाओं पर प्रावधान शामिल होने चाहिए। [1]
"संगठनों को अपने डेटा प्रवाह को सभी स्थानांतरणों की पहचान करने और किसी भी व्यक्तिगत डेटा के EEA छोड़ने से पहले उचित सुरक्षा उपायों को लागू करने के लिए मैप करना चाहिए।" [1]
PIPA क्या है और यह किन देशों पर लागू होता है
दक्षिण कोरिया का व्यक्तिगत सूचना संरक्षण अधिनियम (PIPA) देश का प्राथमिक डेटा गोपनीयता कानून है, जो सार्वजनिक और निजी दोनों क्षेत्र की संस्थाओं द्वारा व्यक्तिगत जानकारी के संग्रह, उपयोग और सीमा-पार स्थानांतरण को नियंत्रित करता है। PIPA दक्षिण कोरियाई निवासियों के व्यक्तिगत डेटा को संसाधित करने वाले किसी भी संगठन पर लागू होता है, भले ही संगठन कहाँ स्थित हो।
PIPA को यह आवश्यक है कि डेटा विषयों को उनके व्यक्तिगत डेटा के विदेश स्थानांतरण के बारे में सूचित किया जाए और आम तौर पर सहमति दी जाए। विशिष्ट खुलासों में प्राप्तकर्ता की पहचान, स्थानांतरण का उद्देश्य, स्थानांतरित किए गए डेटा आइटम, प्रतिधारण अवधि, और डेटा विषय सहमति कैसे वापस ले सकते हैं, शामिल होना चाहिए।
डेटा स्थानांतरण के लिए GDPR और PIPA के बीच क्या अंतर है
GDPR और PIPA दोनों सीमा-पार डेटा स्थानांतरणों को विनियमित करते हैं, लेकिन वे कई प्रक्रियात्मक और महत्वपूर्ण बिंदुओं पर भिन्न होते हैं। [6]
| आयाम | GDPR (EU/EEA) | PIPA (दक्षिण कोरिया) |
|---|---|---|
| स्थानांतरण तंत्र | पर्याप्तता निर्णय, SCCs, BCRs, छूट | सहमति, संविदात्मक आवश्यकता, पर्याप्तता-समकक्ष व्यवस्थाएं |
| न्यायिक सहयोग स्थानांतरण | अंतर्राष्ट्रीय समझौतों के तहत अनुमत | स्पष्ट रूप से निर्दिष्ट नहीं |
| डेटा विषय अधिसूचना | SCCs और BCRs के लिए आवश्यक | संग्रह या स्थानांतरण के समय आवश्यक |
| पर्यवेक्षी प्राधिकरण | राष्ट्रीय DPAs / EDPB | व्यक्तिगत सूचना संरक्षण आयोग (PIPC) |
| जुर्माना | वैश्विक वार्षिक कारोबार का 4% तक | KRW 300 मिलियन (लगभग USD 220,000) प्रति उल्लंघन तक |
एक महत्वपूर्ण व्यावहारिक अंतर: GDPR कई स्थानांतरण तंत्रों के माध्यम से अधिक लचीलापन प्रदान करता है, जबकि PIPA की डिफ़ॉल्ट आवश्यकता स्पष्ट सहमति पर अधिक निर्भर करती है, जिससे दक्षिण कोरिया में काम करने वाले संगठनों के लिए सहमति प्रबंधन बुनियादी ढांचा विशेष रूप से महत्वपूर्ण हो जाता है। [6]
मानक संविदात्मक खंड क्या हैं और क्या आपको उनकी आवश्यकता है
मानक संविदात्मक खंड यूरोपीय आयोग द्वारा जारी किए गए पूर्व-अनुमोदित संविदात्मक प्रावधान हैं जो सीमा-पार स्थानांतरणों के दौरान व्यक्तिगत डेटा की सुरक्षा के लिए डेटा निर्यातक और आयातक को कानूनी रूप से बाध्य करते हैं। EEA से बिना पर्याप्तता निर्णय वाले देश में व्यक्तिगत डेटा भेजने वाले किसी भी संगठन को लगभग निश्चित रूप से SCCs की आवश्यकता होती है। [2]
2021 SCCs ने पुराने 2001 और 2010 संस्करणों की जगह ली और सभी डेटा स्थानांतरण संबंधों को कवर करने वाली एक मॉड्यूलर संरचना पेश की। विरासत SCCs का उपयोग करने वाले संगठनों के पास नए संस्करणों में माइग्रेट करने के लिए 27 दिसंबर, 2022 की संक्रमण समय सीमा थी।
जब आपको SCCs की आवश्यकता होती है:
- ग्राहक डेटा को US-आधारित CRM या मार्केटिंग प्लेटफॉर्म पर भेजना
- EEA के बाहर सर्वर वाले क्लाउड प्रदाता का उपयोग करना
- कर्मचारी डेटा को गैर-EEA मूल कंपनी के साथ साझा करना
- विश्लेषण, समर्थन या विकास के लिए गैर-EEA प्रोसेसर को शामिल करना
जब आपको SCCs की आवश्यकता नहीं हो सकती है:
- पर्याप्तता निर्णय वाले देश में डेटा स्थानांतरित करना
- अंतर-समूह स्थानांतरणों के लिए BCRs पर निर्भर रहना
- एक विशिष्ट छूट लागू करना (उदाहरण के लिए, कभी-कभार स्थानांतरणों के लिए स्पष्ट सहमति)
किन देशों में सबसे सख्त डेटा स्थानांतरण प्रतिबंध हैं
चीन और रूस विश्व स्तर पर सबसे प्रतिबंधात्मक सीमा-पार डेटा स्थानांतरण व्यवस्थाएं लागू करते हैं। चीन के PIPL (1 नवंबर, 2021 से प्रभावी) को स्पष्ट सहमति, कुछ स्थानांतरणों के लिए चीन के साइबरस्पेस प्रशासन (CAC) द्वारा किए गए सुरक्षा आकलन, और दूसरों के लिए मानक अनुबंधों की आवश्यकता होती है। [3] चीन का साइबर सुरक्षा कानून चीन के भीतर संचालन के माध्यम से एकत्र की गई व्यक्तिगत जानकारी और "महत्वपूर्ण डेटा" के सीमा-पार स्थानांतरण को और प्रतिबंधित करता है। [5]
रूस यह अनिवार्य करता है कि रूसी नागरिकों का व्यक्तिगत डेटा किसी भी सीमा-पार स्थानांतरण से पहले रूस के भीतर स्थित सर्वर पर संग्रहीत किया जाए।
अन्य न्यायालयों में उल्लेखनीय प्रतिबंध शामिल हैं:
- भारत: डिजिटल व्यक्तिगत डेटा संरक्षण अधिनियम (DPDPA) कुछ "ब्लैकलिस्टेड" देशों में स्थानांतरणों को प्रतिबंधित करता है।
- इंडोनेशिया: सरकारी विनियमन 71 कुछ इलेक्ट्रॉनिक सिस्टम ऑपरेटरों के लिए डेटा स्थानीयकरण की आवश्यकता है।
- वियतनाम: साइबर सुरक्षा कानून कुछ श्रेणियों के डेटा के लिए स्थानीय भंडारण अनिवार्य करता है।
क्या मैं GDPR के तहत व्यक्तिगत डेटा को US में स्थानांतरित कर सकता हूँ
हाँ, लेकिन केवल एक अनुमोदित तंत्र के माध्यम से। जुलाई 2023 में अपनाया गया EU-US डेटा गोपनीयता फ्रेमवर्क (DPF), प्रमाणित US संगठनों को SCCs के बिना स्थानांतरण की अनुमति देता है। [9] हालांकि, DPF को कानूनी चुनौतियों का सामना करना पड़ा है, और संगठनों को गोपनीयता शील्ड के 2020 में अमान्य होने के इतिहास को देखते हुए SCCs को एक बैकअप सुरक्षा के रूप में बनाए रखना चाहिए।
DPF के तहत प्रमाणित नहीं होने वाले US संगठनों के लिए, SCCs प्राथमिक तंत्र बने हुए हैं। HIPAA जैसे क्षेत्र-विशिष्ट US कानून भी US कवर की गई संस्थाओं की ओर से संरक्षित स्वास्थ्य जानकारी को संसाधित करने वाली विदेशी संस्थाओं पर दायित्व लागू करते हैं। [4]
डेटा स्थानीयकरण और डेटा स्थानांतरण प्रतिबंधों के बीच क्या अंतर है
डेटा स्थानीयकरण कानून यह आवश्यक करते हैं कि कुछ डेटा एक देश की सीमाओं के भीतर भौतिक रूप से स्थित सर्वर पर संग्रहीत किया जाए। डेटा स्थानांतरण प्रतिबंध उन शर्तों को नियंत्रित करते हैं जिनके तहत डेटा विदेश भेजा जा सकता है, भले ही वह कहाँ संग्रहीत हो।
एक कंपनी डेटा स्थानांतरण प्रतिबंधों का पालन कर सकती है जबकि अभी भी डेटा को देश की सीमाओं के बाहर संग्रहीत कर सकती है (यदि स्थानांतरण तंत्र वैध है)। इसके विपरीत, डेटा स्थानीयकरण आवश्यकताओं वाला देश अभी भी सीमा-पार स्थानांतरणों की अनुमति दे सकता है जब तक कि एक स्थानीय प्रतिलिपि बनाए रखी जाती है। चीन की व्यवस्था दोनों को जोड़ती है: यह कुछ डेटा श्रेणियों के लिए स्थानीय भंडारण अनिवार्य करती है और बाहरी स्थानांतरणों को अलग से प्रतिबंधित करती है। [5]
अनुपालन सीमा-पार डेटा स्थानांतरण स्थापित करने में कितना खर्च आता है
अनुपालन लागत संगठनात्मक आकार, डेटा जटिलता और शामिल न्यायालयों की संख्या पर निर्भर करती है। कोई एकल बेंचमार्क नहीं है, लेकिन निम्नलिखित लागत श्रेणियां अधिकांश संगठनों पर लागू होती हैं:
- कानूनी समीक्षा और SCC निष्पादन: छोटे संगठनों के लिए कुछ हजार डॉलर से लेकर सैकड़ों विक्रेता संबंधों वाले उद्यमों के लिए छह आंकड़े तक।
- डेटा मैपिंग और प्रवाह ऑडिट: आंतरिक स्टाफ समय या बाहरी सलाहकार शुल्क; मध्य-बाजार कंपनियां आमतौर पर एक व्यापक ऑडिट के लिए USD 20,000-100,000 खर्च करती हैं।
- BCR अनुमोदन: नियामक जुड़ाव से जुड़ी एक बहु-वर्षीय प्रक्रिया; संसाधन निवेश को देखते हुए आमतौर पर बड़े बहुराष्ट्रीय कंपनियों के लिए आरक्षित।
- चल रही अनुपालन निगरानी: पर्याप्तता निर्णयों, SCC अपडेट और नए क्षेत्राधिकार आवश्यकताओं की वार्षिक समीक्षा।
Biscotti CMP (www.biscotti-cmp.com) जैसे सहमति प्रबंधन प्लेटफॉर्म में निवेश करने से सहमति रिकॉर्ड को केंद्रीकृत करके और वैध स्थानांतरण आधारों के दस्तावेजीकरण का समर्थन करके चल रही अनुपालन लागत को कम किया जा सकता है।
यदि कोई कंपनी सीमा-पार डेटा स्थानांतरण नियमों का उल्लंघन करती है तो क्या होता है
सीमा-पार स्थानांतरणों से संबंधित GDPR उल्लंघन उच्च श्रेणी के जुर्माने के तहत आते हैं: EUR 20 मिलियन तक या वैश्विक वार्षिक कारोबार का 4%, जो भी अधिक हो। पर्यवेक्षी अधिकारियों ने विशेष रूप से अवैध स्थानांतरणों के लिए महत्वपूर्ण जुर्माना जारी किया है, जिसमें पर्याप्त सुरक्षा उपायों के बिना US को भेजे गए डेटा से जुड़े मामले भी शामिल हैं।
जुर्माने के अलावा, परिणामों में शामिल हैं:
- पर्यवेक्षी अधिकारियों द्वारा डेटा स्थानांतरण संचालन का निलंबन
- अनिवार्य ऑडिट और सुधारात्मक कार्य योजनाएं
- डेटा विषयों से नागरिक दावे
- प्रतिष्ठा को नुकसान और ग्राहक विश्वास का नुकसान
चीन के PIPL के तहत, उल्लंघनों के परिणामस्वरूप RMB 50 मिलियन तक का जुर्माना या पिछले वर्ष के वार्षिक राजस्व का 5% हो सकता है, साथ ही व्यावसायिक संचालन का संभावित निलंबन भी हो सकता है। [3]
क्या मुझे कर्मचारी डेटा के लिए डेटा स्थानांतरण समझौतों की आवश्यकता है
हाँ। कर्मचारी व्यक्तिगत डेटा GDPR और अधिकांश अन्य गोपनीयता फ्रेमवर्क के तहत ग्राहक डेटा के समान सीमा-पार स्थानांतरण नियमों के अधीन है। कई संगठन गलत तरीके से यह मानते हैं कि रोजगार अनुबंध या आंतरिक HR नीतियां पर्याप्त हैं; वे एक वैध स्थानांतरण तंत्र की आवश्यकता को प्रतिस्थापित नहीं करते हैं।
बहुराष्ट्रीय समूहों के लिए, BCRs अक्सर कर्मचारी डेटा के लिए सबसे व्यावहारिक समाधान होते हैं क्योंकि वे एक ही अनुमोदित फ्रेमवर्क के तहत सभी अंतर-समूह स्थानांतरणों को कवर करते हैं। वैकल्पिक रूप से, SCCs को नियोजित इकाई और समूह के भीतर प्राप्तकर्ता इकाई के बीच निष्पादित किया जा सकता है।
अंतर्राष्ट्रीय डेटा स्थानांतरणों में कंपनियां कौन सी सामान्य गलतियाँ करती हैं
सीमा-पार डेटा स्थानांतरणों में सबसे लगातार अनुपालन विफलताएं शामिल हैं:
- डेटा प्रवाह को मैप करने में विफलता: यदि संगठन यह नहीं जानते कि डेटा कहाँ जाता है तो वे सही तंत्र लागू नहीं कर सकते। 2021 के एक अध्ययन में पाया गया कि विश्लेषण किए गए मोबाइल ऐप्स में से 56% GDPR स्थानांतरण आवश्यकताओं का संभावित रूप से अनुपालन नहीं कर रहे थे, मुख्य रूप से अज्ञात तृतीय-पक्ष डेटा प्रवाह के कारण। [7]
- पुराने SCCs का उपयोग करना: जिन संगठनों ने दिसंबर 2022 की समय सीमा तक विरासत SCCs से 2021 संस्करणों में माइग्रेट नहीं किया, वे अमान्य अनुबंधों पर काम कर रहे हैं।
- यह मानना कि क्लाउड प्रदाता अनुपालन संभालते हैं: क्लाउड प्रदाता डेटा प्रोसेसिंग समझौते प्रदान करते हैं, लेकिन डेटा नियंत्रक यह सुनिश्चित करने के लिए जिम्मेदार रहता है कि एक वैध स्थानांतरण तंत्र मौजूद है।
- उप-प्रोसेसर श्रृंखलाओं को अनदेखा करना: जब एक प्रोसेसर किसी तीसरे देश में एक उप-प्रोसेसर को शामिल करता है, तो मूल नियंत्रक को यह सुनिश्चित करना चाहिए कि SCCs या समकक्ष सुरक्षा उपाय श्रृंखला में नीचे तक विस्तारित हों।
- कर्मचारी डेटा को अनदेखा करना: HR सिस्टम, पेरोल प्लेटफॉर्म और सहयोग उपकरण अक्सर उचित समझौतों के बिना कर्मचारी डेटा को सीमाओं के पार स्थानांतरित करते हैं।
मुझे कैसे पता चलेगा कि मेरे व्यवसाय को सीमा-पार प्रतिबंधों के बारे में चिंता करने की आवश्यकता है
कोई भी संगठन जो एक विनियमित क्षेत्राधिकार के निवासियों से व्यक्तिगत डेटा एकत्र करता है और उस क्षेत्राधिकार के बाहर स्थित उपकरणों, विक्रेताओं या बुनियादी ढांचे का उपयोग करता है, उसे सीमा-पार स्थानांतरण आवश्यकताओं को संबोधित करने की आवश्यकता है। यह छोटे व्यवसायों पर भी लागू होता है जो US-होस्टेड ईमेल मार्केटिंग प्लेटफॉर्म या विश्लेषण उपकरणों का उपयोग करते हैं।
इस निर्णय नियम का उपयोग करें:
- यदि आप EU/EEA निवासियों से डेटा एकत्र करते हैं और किसी भी गैर-EEA विक्रेता का उपयोग करते हैं, तो GDPR स्थानांतरण नियम लागू होते हैं।
- यदि आप दक्षिण कोरियाई निवासियों के डेटा को संसाधित करते हैं और इसे विदेशी संस्थाओं के साथ साझा करते हैं, तो PIPA लागू होता है।
- यदि आप चीन में काम करते हैं और व्यक्तिगत जानकारी या "महत्वपूर्ण डेटा" को चीन के बाहर स्थानांतरित करते हैं, तो PIPL और साइबर सुरक्षा कानून लागू होते हैं।
- यदि आप EU व्यक्तिगत डेटा प्राप्त करने वाली एक US इकाई हैं, तो आपको या तो DPF प्रमाणन या अपने EU भागीदारों से SCCs की आवश्यकता है।
APEC क्रॉस-बॉर्डर प्राइवेसी रूल्स (CBPR) प्रणाली एशिया-प्रशांत सदस्य अर्थव्यवस्थाओं में काम करने वाले संगठनों के लिए एक प्रमाणन मार्ग प्रदान करती है, जो अंतर-APEC स्थानांतरणों के लिए एक मान्यता प्राप्त अनुपालन फ्रेमवर्क प्रदान करती है। [9]
अक्सर पूछे जाने वाले प्रश्न
देशों के बीच डेटा स्थानांतरित करने का सबसे सरल कानूनी तरीका क्या है? EU पर्याप्तता निर्णय वाले देश में डेटा स्थानांतरित करना GDPR के तहत सबसे सरल मार्ग है, क्योंकि किसी अतिरिक्त अनुबंध या सुरक्षा उपायों की आवश्यकता नहीं होती है। अन्य गंतव्यों के लिए, डेटा प्राप्तकर्ता के साथ मानक संविदात्मक खंड निष्पादित करना सबसे सीधा विकल्प है।
क्या हर अंतर्राष्ट्रीय स्थानांतरण के लिए SCCs की आवश्यकता होती है? नहीं। SCCs की आवश्यकता तब होती है जब EEA से बिना पर्याप्तता निर्णय वाले देश में डेटा स्थानांतरित किया जाता है और जब कोई अन्य वैध तंत्र (BCRs, बाइंडिंग छूट) लागू नहीं होता है। पर्याप्तता-अनुमोदित देशों में स्थानांतरणों के लिए SCCs की आवश्यकता नहीं होती है।
क्या GDPR गैर-EU कंपनियों पर लागू होता है? हाँ। GDPR किसी भी संगठन पर लागू होता है जो EEA निवासियों के व्यक्तिगत डेटा को संसाधित करता है, भले ही संगठन कहाँ स्थापित हो, यदि वह EEA निवासियों को सामान या सेवाएं प्रदान करता है या उनके व्यवहार की निगरानी करता है।
EU-US डेटा गोपनीयता फ्रेमवर्क क्या है? EU-US डेटा गोपनीयता फ्रेमवर्क जुलाई 2023 में अपनाया गया एक पर्याप्तता तंत्र है जो प्रमाणित US संगठनों को SCCs के बिना EEA से व्यक्तिगत डेटा प्राप्त करने की अनुमति देता है। संगठनों को US वाणिज्य विभाग के साथ स्व-प्रमाणित होना चाहिए और विशिष्ट डेटा संरक्षण सिद्धांतों के लिए प्रतिबद्ध होना चाहिए।
क्या GDPR के तहत केवल सहमति ही सीमा-पार स्थानांतरण को उचित ठहरा सकती है? स्पष्ट सहमति कभी-कभार स्थानांतरणों के लिए एक छूट के रूप में काम कर सकती है, लेकिन यह व्यवस्थित या बड़े पैमाने पर स्थानांतरणों के लिए एक स्थायी तंत्र नहीं है। पर्यवेक्षी अधिकारियों ने नियमित व्यावसायिक संचालन के लिए प्राथमिक स्थानांतरण तंत्र के रूप में सहमति पर निर्भर रहने के खिलाफ चेतावनी दी है।
स्थानांतरण प्रभाव आकलन (TIA) क्या है? TIA एक विश्लेषण है जो संगठनों को SCCs पर निर्भर रहने से पहले यह आकलन करने के लिए करना चाहिए कि क्या गंतव्य देश का कानूनी ढांचा SCCs में सुरक्षा उपायों को कमजोर करता है। यह 2020 में श्रेम्स II के फैसले के बाद एक अनिवार्य कदम बन गया।
क्या PIPA B2B डेटा को कवर करता है? PIPA प्राकृतिक व्यक्तियों की व्यक्तिगत जानकारी को कवर करता है। व्यावसायिक संपर्क जानकारी (नाम, कार्य ईमेल, कार्य फोन) PIPA के दायरे में आ सकती है, यह इस बात पर निर्भर करता है कि इसे कैसे संसाधित किया जाता है, इसलिए संगठनों को यह नहीं मानना चाहिए कि B2B डेटा स्वचालित रूप से छूट प्राप्त है।
BCR अनुमोदन में कितना समय लगता है? BCR अनुमोदन में आमतौर पर दो से तीन साल लगते हैं, जो कॉर्पोरेट समूह की जटिलता और प्रमुख पर्यवेक्षी प्राधिकरण की प्रतिक्रिया पर निर्भर करता है। यह एक संसाधन-गहन प्रक्रिया है जो बड़े बहुराष्ट्रीय कंपनियों के लिए सबसे उपयुक्त है।
सीमा-पार अनुपालन में सहमति प्रबंधन प्लेटफॉर्म की क्या भूमिका है? Biscotti CMP (www.biscotti-cmp.com) जैसा एक सहमति प्रबंधन प्लेटफॉर्म संगठनों को वैध सहमति रिकॉर्ड को कैप्चर करने, संग्रहीत करने और प्रदर्शित करने में मदद करता है, जो तब प्रासंगिक होते हैं जब सहमति को प्रसंस्करण या स्थानांतरण के लिए कानूनी आधार के रूप में उपयोग किया जाता है। यह डेटा विषयों को तृतीय-पक्ष डेटा प्राप्तकर्ताओं का खुलासा करके पारदर्शिता दायित्वों का भी समर्थन करता है।
क्या पुराने SCCs का उपयोग करने के लिए दंड हैं? हाँ। 27 दिसंबर, 2022 की संक्रमण समय सीमा के बाद 2021 से पहले के SCCs का उपयोग करने से स्थानांतरण तंत्र अमान्य हो जाता है, जिससे संगठन को कोई तंत्र न होने के समान दंड का सामना करना पड़ता है।
निष्कर्ष
सीमा-पार डेटा स्थानांतरण व्यावसायिक संचालन और नियामक दायित्व के चौराहे पर स्थित हैं, और 2021 से अनुपालन परिदृश्य काफी अधिक जटिल हो गया है। GDPR, PIPA, चीन के PIPL, और राष्ट्रीय फ्रेमवर्क की बढ़ती संख्या प्रत्येक विशिष्ट आवश्यकताओं को लागू करती है, और जो संगठन अनुपालन को एक बार के अभ्यास के बजाय एक चल रहे कार्यक्रम के रूप में मानते हैं, उन्हें वास्तविक प्रवर्तन जोखिम का सामना करना पड़ता है।
2026 के लिए कार्रवाई योग्य अगले कदम:
- एक डेटा प्रवाह ऑडिट करें ताकि आपके संगठन द्वारा किए जाने वाले प्रत्येक सीमा-पार स्थानांतरण की पहचान की जा सके, जिसमें तृतीय-पक्ष विक्रेताओं और उप-प्रोसेसरों के माध्यम से किए गए स्थानांतरण भी शामिल हैं।
- अपने स्थानांतरण तंत्रों को सत्यापित करें कि वे वर्तमान हैं: पुष्टि करें कि SCCs 2021 संस्करण हैं, जांचें कि क्या पर्याप्तता निर्णय आपके गंतव्य देशों को कवर करते हैं, और किसी भी समाप्त या गुम समझौतों को अपडेट करें।
- चीन और APAC जोखिम का अलग से आकलन करें, क्योंकि PIPL और स्थानीय डेटा स्थानीयकरण कानूनों को GDPR-संरेखित उपायों से परे विशिष्ट अनुपालन चरणों की आवश्यकता होती है।
- सभी SCC-आधारित स्थानांतरणों के लिए गैर-पर्याप्त देशों में स्थानांतरण प्रभाव आकलन का दस्तावेजीकरण करें, विशेष रूप से संयुक्त राज्य अमेरिका में।
- एक सहमति प्रबंधन समाधान लागू करें जैसे Biscotti CMP (www.biscotti-cmp.com) ताकि ऑडिट करने योग्य सहमति रिकॉर्ड बनाए रखा जा सके और डेटा विषयों को पारदर्शिता खुलासों का समर्थन किया जा सके।
- नियामक विकासों की निगरानी करें जिसमें EU-US डेटा गोपनीयता फ्रेमवर्क की कानूनी स्थिति और यूरोपीय आयोग द्वारा जारी किए गए किसी भी नए पर्याप्तता निर्णय शामिल हैं।
जो संगठन सीमा-पार डेटा स्थानांतरण अनुपालन को अपनी परिचालन प्रक्रियाओं में शामिल करते हैं, बजाय इसके कि इसे एक कानूनी औपचारिकता के रूप में मानें, वे नियामक व्यवधान के बिना विश्व स्तर पर विस्तार करने के लिए बेहतर स्थिति में हैं।
संदर्भ
[1] Cross Border Transfers - https://provahq.io/frameworks/gdpr/cross-border-transfers/?utm_source=openai
[2] Standard Contractual Clauses Scc Sv - https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/standard-contractual-clauses-scc_sv?prefLang=sv&utm_source=openai
[3] Cross Borders Data Transfers PIPL - https://securiti.ai/blog/cross-borders-data-transfers-pipl/?utm_source=openai
[4] Cross Border Data Transfers Regulations And Compliance - https://legalclarity.org/cross-border-data-transfers-regulations-and-compliance/?utm_source=openai
[5] Summary Of The PRC Cybersecurity Law - https://www.crowell.com/en/insights/client-alerts/summary-of-the-prc-cybersecurity-law?utm_source=openai
[6] GDPR V PIPA May 2023 Update - https://www.dataguidance.com/sites/default/files/gdpr_v_pipa_may_2023_update.pdf?utm_source=openai
[7] arxiv - https://arxiv.org/abs/2103.07297?utm_source=openai
[8] Iss3 - https://digitalcommons.law.uw.edu/wilj/vol29/iss3/7/?utm_source=openai
[9] Cross Border Data Transfers Compliance - https://auditdss.com/blog/cross-border-data-transfers-compliance/?utm_source=openai