नियंत्रक आणि प्रक्रिया करणारा: GDPR अंतर्गत तुमची जबाबदारी समजून घेणे

जलद उत्तर: GDPR अंतर्गत, डेटा नियंत्रक ठरवतो की वैयक्तिक डेटा का आणि कसा प्रक्रिया केला जातो, तर डेटा प्रक्रिया करणारा नियंत्रकाच्या सूचनांनुसार डेटा हाताळतो. जबाबदारी महत्त्वाने भिन्न आहे: नियंत्रक सर्वात व्यापक जबाबदारी घेतात, तर प्रक्रिया करणारे थेट जबाबदारी फक्त तेव्हा घेतात जेव्हा ते कायदेशीर सूचनांच्या बाहेर कार्य करतात किंवा विशेषतः त्यांच्यावर लागू असलेल्या GDPR कर्तव्यांचे उल्लंघन करतात.

मुख्य मुद्दे

• डेटा नियंत्रक प्रक्रिया करण्याच्या उद्देश आणि साधने ठरवतो; डेटा प्रक्रिया करणारा नियंत्रकाच्या वतीने कार्य करतो.
• नियंत्रकांना प्राथमिक GDPR जबाबदारी असते; प्रक्रिया करणाऱ्यांना अनुच्छेद 82 अंतर्गत थेट जबाबदारी फक्त विशिष्ट परिस्थितीत असते.
• दोन्ही भूमिका एकाच संस्थेत एकत्रितपणे अस्तित्वात असू शकतात, एक कंपनी आपल्या स्वतःच्या ग्राहकांसाठी नियंत्रक असू शकते आणि दुसऱ्या व्यवसायासाठी प्रक्रिया करणारा असू शकतो.
• नियंत्रक एक प्रक्रिया करणाऱ्याला गुंतवताना कायदेशीर बंधनकारक डेटा प्रक्रिया करार (DPA) करणे अनिवार्य आहे.
• उप-प्रक्रिया करणाऱ्यांना नियंत्रकाकडून पूर्व लेखी अधिकृतता आवश्यक आहे; मुख्य प्रक्रिया करणारा उप-प्रक्रिया करणाऱ्याच्या आचारधिनीत पूर्णपणे जबाबदार राहतो.
• तुमची भूमिका चुकीची ठरवणे एक अनुपालन धोका आहे जो तुमच्या संस्थेला नियामक दंडाला सामोरे जाऊ शकतो.
• जे प्रक्रिया करणारे वैयक्तिक डेटा त्यांच्या स्वतःच्या उद्देशांसाठी वापरतात ते आपोआप त्या प्रक्रिया क्रियाकलापासाठी नियंत्रक बनतात.
• युकेचा डेटा (वापर आणि प्रवेश) कायदा 2026 आणखी बदल आणतो ज्याची पुनरावलोकन करणे आवश्यक आहे.

---

GDPR अंतर्गत डेटा नियंत्रक आणि डेटा प्रक्रिया करणाऱ्यातील फरक काय आहे?

डेटा नियंत्रक म्हणजे कोणतीही संस्था जी वैयक्तिक डेटा प्रक्रिया करण्याचे उद्देश आणि साधने ठरवते. डेटा प्रक्रिया करणारा म्हणजे कोणतीही संस्था जी नियंत्रकाच्या वतीने वैयक्तिक डेटा प्रक्रिया करते, नियंत्रकाच्या सूचनांचे काटेकोर पालन करताना [1].

या भेदाचा आधार निर्णय घेण्याच्या अधिकारावर आहे. जर तुमच्या संस्थेने ठरवले की डेटा का गोळा केला जातो आणि तो कसा वापरला जाईल, तर तुम्ही नियंत्रक आहात. जर तुमच्या संस्थेने फक्त डेटा हाताळला कारण दुसऱ्या संस्थेने तुम्हाला सूचित केले आहे, आणि तुम्हाला उद्देशाबद्दल स्वतंत्रपणे काहीही सांगता येत नाही, तर तुम्ही प्रक्रिया करणारे आहात.

व्यावहारिक उदाहरणे:

परिस्थिती	भूमिका
ग्राहक खरेदी डेटा गोळा करणारा ई-कॉमर्स रिटेलर	नियंत्रक
त्या रिटेलरचा डेटाबेस संग्रहित करणारा क्लाउड होस्टिंग प्रदाता	प्रक्रिया करणारा
नियोक्ता साठी कर्मचारी डेटा प्रक्रिया करणारा पेरोल SaaS प्लॅटफॉर्म	प्रक्रिया करणारा
स्वतःचा संभाव्य ग्राहक यादी तयार करणारी मार्केटिंग एजन्सी	नियंत्रक
ग्राहक डेटा प्रवेश करून समर्थन प्रदान करणारा CRM विक्रेता	प्रक्रिया करणारा

ICO ने स्पष्ट केले आहे की करारातील लेबल भूमिका ठरवत नाही, वास्तविक आचारधिनी ठरवते [1]. जर एका विक्रेत्याला करारात "प्रक्रिया करणारा" म्हटले असेल पण डेटा वापरावर स्वतंत्र निर्णय घेत असेल, तर तो कायदेशीरदृष्ट्या नियंत्रक आहे, करारात काय म्हटले आहे याची पर्वा न करता.

---

GDPR अंतर्गत डेटा नियंत्रकाची मुख्य जबाबदाऱ्या काय आहेत?

नियंत्रकांना GDPR अंतर्गत सर्वात मोठा अनुपालन भार आहे. ते संपूर्ण डेटा जीवनचक्रासाठी जबाबदार आहेत आणि त्यांनी कोणत्याही प्रक्रिया करणाऱ्याला गुंतवताना GDPR मानकांचे पालन करणे सुनिश्चित करणे आवश्यक आहे [3].

मुख्य नियंत्रक कर्तव्ये समाविष्ट आहेत:

• प्रत्येक प्रक्रिया क्रियाकलापासाठी कायदेशीर आधार स्थापित करणे आणि दस्तऐवजीकरण करणे
• डेटा विषयांना पारदर्शक गोपनीयता नोटिस प्रदान करणे
• डेटा विषयांच्या हक्कांची सुविधा, प्रवेश, सुधारणा, नष्ट करणे, पोर्टेबिलिटी, आणि विरोध
• उच्च-जोखमीच्या प्रक्रियेसाठी डेटा संरक्षण प्रभाव मूल्यांकन (DPIAs) करणे
• आवश्यकतेनुसार डेटा संरक्षण अधिकारी (DPO) नियुक्त करणे
• प्रक्रिया करणाऱ्यांना गुंतवण्यापूर्वी योग्य तपासणी करणे आणि त्यांच्या चालू अनुपालनाचे निरीक्षण करणे
• प्रत्येक प्रक्रिया करणाऱ्याबरोबर लेखी डेटा प्रक्रिया करार तयार करणे [3]

नियंत्रक जबाबदारी बाह्य स्रोतांकडे देऊ शकत नाहीत. जर एक प्रक्रिया करणारा उल्लंघन करतो, तरीही नियंत्रक त्याच्या प्रक्रिया करणाऱ्याच्या निवडीसाठी आणि कराराच्या सुरक्षिततेसाठी पर्यवेक्षकीय प्राधिकरणांसमोर उत्तरदायी राहतो.

GDPR अंतर्गत डेटा प्रक्रिया करणाऱ्याची मुख्य जबाबदाऱ्या काय आहेत?

प्रक्रिया करणाऱ्यांना थेट GDPR कर्तव्ये आहेत, फक्त करारात्मक कर्तव्ये नाहीत, आणि अनुपालनाला नियंत्रकाच्या समस्येप्रमाणेच मानू शकत नाहीत [3].

GDPR अंतर्गत थेट प्रक्रिया करणाऱ्याची कर्तव्ये समाविष्ट आहेत:

• डेटा फक्त नियंत्रकाच्या दस्तऐवजीकरण केलेल्या सूचनांनुसार प्रक्रिया करणे
• योग्य तांत्रिक आणि संघटनात्मक सुरक्षा उपाय लागू करणे
• नियंत्रकांच्या वतीने केलेल्या सर्व प्रक्रिया क्रियाकलापांचे रेकॉर्ड ठेवणे
• कोणत्याही डेटा उल्लंघनाबद्दल नियंत्रकाला त्वरित सूचित करणे
• डेटा विषयांच्या हक्कांच्या विनंत्या पूर्ण करण्यात नियंत्रकाला मदत करणे
• करार समाप्त झाल्यावर सर्व वैयक्तिक डेटा नष्ट करणे किंवा परत करणे
• नियंत्रकाकडून पूर्व लेखी अधिकृतता घेऊनच उप-प्रक्रिया करणाऱ्यांना गुंतवणे [3]

"प्रक्रिया करणाऱ्यांना GDPR अंतर्गत थेट कर्तव्ये आहेत, फक्त करारात्मक कर्तव्ये नाहीत, आणि ते नियंत्रकाच्या कायदेशीर सूचनांच्या बाहेर कार्य केल्यास नियामक जोखमीला सामोरे जाऊ शकतात."

डेटा उल्लंघन झाल्यास कोण जबाबदार आहे: नियंत्रक की प्रक्रिया करणारा?

दोन्ही जबाबदार असू शकतात, पण व्याप्ती भिन्न आहे. GDPR च्या अनुच्छेद 82 अंतर्गत, कोणतीही व्यक्ती जी GDPR उल्लंघनामुळे नुकसान भोगते ती नियंत्रक किंवा प्रक्रिया करणाऱ्यावर नुकसान भरपाईची मागणी करण्याचा अधिकार आहे [2].

नियंत्रकांना GDPR चा उल्लंघन करणाऱ्या कोणत्याही प्रक्रियेमुळे झालेल्या नुकसानीसाठी जबाबदार ठरवले जाते. प्रक्रिया करणाऱ्यांना फक्त तेव्हा जबाबदार ठरवले जाते जेव्हा त्यांनी विशेषतः प्रक्रिया करणाऱ्यांसाठी निर्देशित केलेल्या GDPR कर्तव्यांचे पालन करण्यात अपयश आले असेल, किंवा जेव्हा त्यांनी नियंत्रकाच्या कायदेशीर सूचनांच्या बाहेर किंवा त्यांच्याविरुद्ध कार्य केले असेल [2].

व्यवहारात जबाबदारीचे वितरण:

• जर एक प्रक्रिया करणारा उल्लंघन करतो कारण नियंत्रकाने असुरक्षित सुरक्षा सूचनांचे पालन केले, तर नियंत्रक प्राथमिक जबाबदारी घेतो.
• जर एक प्रक्रिया करणाऱ्याने नियंत्रकाच्या सुरक्षा आवश्यकता दुर्लक्ष केल्या, तर प्रक्रिया करणारा थेट जबाबदार ठरतो.
• दोन्ही एकत्रितपणे आणि स्वतंत्रपणे जबाबदार ठरवले जाऊ शकतात, म्हणजे डेटा विषय पूर्ण नुकसान भरपाईसाठी कोणत्याही पक्षावर दावा करू शकतो, त्यानंतर ते स्वतःच्या दरम्यान जबाबदारी वाटप करतात.

एक प्रक्रिया करणारा नुकसान झालेल्या घटनेसाठी दोषी नसल्याचे सिद्ध करून जबाबदारीपासून सुटू शकतो [2]. हे एक उच्च मानक आहे: प्रक्रिया करणाऱ्याने त्याच्या GDPR कर्तव्यांचे पूर्ण पालन केले असल्याचे दर्शवणे आवश्यक आहे.

---

एक कंपनी एकाच वेळी नियंत्रक आणि प्रक्रिया करणारा असू शकते का?

होय. एक संस्था काही प्रक्रिया क्रियाकलापांसाठी नियंत्रक म्हणून आणि इतरांसाठी प्रक्रिया करणारा म्हणून एकाच वेळी कार्य करू शकते, अगदी त्याच व्यवसाय संबंधात [1].

उदाहरणार्थ, एक डिजिटल मार्केटिंग एजन्सी तिच्या स्वतःच्या कर्मचाऱ्यांच्या HR डेटाचे व्यवस्थापन करताना नियंत्रक म्हणून कार्य करू शकते, आणि ग्राहकाच्या ग्राहक डेटा वापरून जाहिरात मोहीम चालवताना प्रक्रिया करणारा म्हणून कार्य करू शकते. भूमिका क्रियाकलापानुसार ठरवली जाते, कंपनीनुसार नाही.

जर प्रक्रिया करणारा त्यांच्या स्वतःच्या उद्देशांसाठी डेटा वापरला तर ते नियंत्रक बनू शकतात का?

एक प्रक्रिया करणारा आपोआप नियंत्रक बनतो ज्या क्षणी तो नियंत्रकाच्या सूचनांच्या पलीकडे वैयक्तिक डेटा वापरतो [1]. हे व्यावहारिक दृष्ट्या सर्वात परिणामकारक चुकीचे वर्गीकरण आहे.

जर एक क्लाउड विश्लेषण विक्रेता ग्राहक डेटा खाण्यासाठी त्याच्या स्वतःच्या AI मॉडेल्सचे प्रशिक्षण देण्यासाठी अधिकृततेशिवाय सुरुवात केली, तर त्याने प्रक्रिया करणाऱ्याच्या भूमिकेच्या बाहेर पाऊल ठेवले आहे आणि त्या क्रियाकलापासाठी नियंत्रकाची स्थिती स्वीकारली आहे, सर्व संबंधित GDPR कर्तव्ये आणि जबाबदारीसह. कोणतीही कराराची कलम या पुनर्वर्गीकरणाला थांबवू शकत नाही; हे एक तथ्य आहे, करार नाही.

डेटा प्रक्रिया करार प्रक्रिया करणाऱ्यांना जबाबदारीपासून कसे संरक्षित करतात?

डेटा प्रक्रिया करार (DPA) GDPR अंतर्गत अनिवार्य कायदेशीर साधन आहे जेव्हा एक नियंत्रक एक प्रक्रिया करणाऱ्याला गुंतवतो [3]. प्रक्रिया करणाऱ्यांसाठी, एक चांगल्या प्रकारे तयार केलेला DPA जबाबदारीच्या जोखमीला मर्यादित करण्यासाठी प्राथमिक यंत्रणा आहे.

एक अनुपालन DPA मध्ये स्पष्ट करणे आवश्यक आहे:

• प्रक्रिया करण्याचा विषय, कालावधी, स्वरूप, आणि उद्देश
• वैयक्तिक डेटा प्रकार आणि डेटा विषयांच्या श्रेणी
• नियंत्रकाची कर्तव्ये आणि हक्क
• अधिकृत कर्मचाऱ्यांसाठी गोपनीयता आवश्यकता
• लागू करावयाच्या सुरक्षा उपाय
• उप-प्रक्रिया करणाऱ्यांना गुंतवण्याच्या अटी
• कराराच्या समाप्तीवर डेटा परत करण्याची किंवा नष्ट करण्याची प्रक्रिया [3]

जेव्हा एक प्रक्रिया करणारा DPA च्या व्याप्तीत काटेकोरपणे कार्य करतो, तेव्हा कोणत्याही परिणामी हानीसाठी जबाबदारी मुख्यतः नियंत्रकाकडे वळते. उलट, जर एक प्रक्रिया करणारा त्या सूचनांच्या पलीकडे गेला, तर DPA हे विचलनाचे पुरावे बनते, संरक्षणाचे नाही.

जर एक प्रक्रिया करणारा GDPR नियमांचे उल्लंघन करतो तर काय होते?

GDPR चे उल्लंघन करणाऱ्या प्रक्रिया करणाऱ्यांना नियामक दंड आणि नुकसानासाठी नागरी जबाबदारी दोन्हीचा सामना करावा लागतो. पर्यवेक्षकीय प्राधिकरण थेट प्रक्रिया करणाऱ्यांवर प्रशासकीय दंड लावू शकतात, सर्वात गंभीर उल्लंघनांसाठी EUR 20 दशलक्ष किंवा जागतिक वार्षिक उलाढालीच्या 4% पर्यंत, जेही जास्त असेल [2].

दंडांव्यतिरिक्त, प्रक्रिया करणाऱ्यांना नुकसान भोगणाऱ्या डेटा विषयांकडून अनुच्छेद 82 अंतर्गत दावे येऊ शकतात. त्यांना DPA अंतर्गत नियंत्रकाकडे करारात्मक जबाबदारी देखील भोगावी लागू शकते, ज्यामध्ये नुकसान भरपाईची कर्तव्ये समाविष्ट आहेत.

प्रक्रिया करणाऱ्यांना त्यांचा स्वतःचा डेटा संरक्षण अधिकारी आवश्यक आहे का?

प्रक्रिया करणाऱ्यांना नियंत्रकांप्रमाणेच DPO नियुक्त करण्याच्या थ्रेशोल्डसाठी लागू आहे. जर एक प्रक्रिया करणारा व्यक्तींचे मोठ्या प्रमाणावर, प्रणालीबद्ध निरीक्षण करतो, किंवा विशेष श्रेणीतील डेटा किंवा गुन्हेगारी शिक्षा डेटा मोठ्या प्रमाणावर प्रक्रिया करतो, तर त्याला DPO नियुक्त करणे आवश्यक आहे [1].

प्रक्रिया करणारा असणे कोणत्याही संस्थेला DPO आवश्यकता पासून मुक्त करत नाही. अनेक मोठ्या क्लाउड प्रदात्या आणि SaaS प्लॅटफॉर्म जे प्रक्रिया करणारे आहेत, त्यांना त्यांच्याकडे हाताळलेल्या डेटा च्या प्रमाण आणि संवेदनशीलतेमुळे DPO ठेवणे आवश्यक आहे.

नियंत्रक आणि प्रक्रिया करणाऱ्यांमध्ये GDPR दंडांमध्ये काय फरक आहे?

GDPR चा दोन-स्तरीय दंड संरचना नियंत्रक आणि प्रक्रिया करणाऱ्यांवर समानपणे लागू होते. पहिला स्तर कमी गंभीर उल्लंघनांसाठी आहे (EUR 10 दशलक्ष किंवा जागतिक उलाढालीच्या 2% पर्यंत); दुसरा स्तर सर्वात गंभीर उल्लंघनांसाठी आहे, ज्यामध्ये बेकायदेशीर प्रक्रिया आणि डेटा विषयांच्या हक्कांचा आदर न करणे समाविष्ट आहे (EUR 20 दशलक्ष किंवा जागतिक उलाढालीच्या 4% पर्यंत) [2].

प्रक्रिया करणाऱ्यांसाठी कोणतीही कायदेशीर सवलत नाही. तथापि, व्यवहारात, पर्यवेक्षकीय प्राधिकरण दंडाच्या रकमेचा निर्धारण करताना दोष, सहकार्य, आणि उल्लंघनाची प्रकृती यांचा आढावा घेतात, जे घटक नियंत्रकांच्या तुलनेत प्रक्रिया करणाऱ्यांसाठी वेगवेगळे परिणाम देऊ शकतात.

उप-प्रक्रिया करणाऱ्यांची मुख्य प्रक्रिया करणाऱ्यांपेक्षा वेगळी जबाबदारी आहे का?

उप-प्रक्रिया करणाऱ्यांना मुख्य प्रक्रिया करणाऱ्यांप्रमाणेच GDPR कर्तव्ये असतात, परंतु ते मुख्य प्रक्रिया करणाऱ्याशी कराराने बंधनकारक असतात, नियंत्रकाशी थेट नाहीत. महत्त्वाचा भेद: मुख्य प्रक्रिया करणारा उप-प्रक्रिया करणाऱ्याच्या कार्यासाठी नियंत्रकाकडे पूर्णपणे जबाबदार राहतो [3].

जर उप-प्रक्रिया करणाऱ्याने उल्लंघन केले, तर नियंत्रकाची कायदेशीर उपाययोजना मुख्य प्रक्रिया करणाऱ्याविरुद्ध चालते. मुख्य प्रक्रिया करणाऱ्याला नंतर उप-प्रक्रिया करणाऱ्याचा वेगळा पाठपुरावा करावा लागतो. उप-प्रक्रिया करणाऱ्यांना त्यांच्या स्वतःच्या GDPR उल्लंघनांसाठी पर्यवेक्षकीय प्राधिकरणांकडून थेट नियामक कारवाईचा सामना करावा लागू शकतो.

उप-प्रक्रिया करणाऱ्यांचे नियम एक नजरेत:

• कोणत्याही उप-प्रक्रिया करणाऱ्याला गुंतवण्यापूर्वी नियंत्रकाकडून पूर्व लेखी अधिकृतता आवश्यक आहे
• मुख्य प्रक्रिया करणाऱ्याने उप-प्रक्रिया करणाऱ्यावर समकक्ष डेटा संरक्षण कर्तव्ये लागू करणे आवश्यक आहे
• मुख्य प्रक्रिया करणारा उप-प्रक्रिया करणाऱ्याच्या दोषाकडे इशारा करून जबाबदारीपासून सुटू शकत नाही

तुम्ही तुमच्या व्यवसायासाठी नियंत्रक की प्रक्रिया करणारा आहात हे कसे ठरवायचे?

निर्धारण एकाच प्रश्नावर अवलंबून आहे: तुमच्या संस्थेने स्वतंत्रपणे ठरवले की वैयक्तिक डेटा का प्रक्रिया केला जात आहे? जर होय, तर तुम्ही नियंत्रक आहात. जर तुम्ही फक्त डेटा प्रक्रिया करत असाल कारण दुसऱ्या संस्थेने तुम्हाला सूचित केले आहे, आणि तुम्हाला स्वतंत्र उद्देश नाही, तर तुम्ही प्रक्रिया करणारे आहात [1].

एक व्यावहारिक निर्णय चेकलिस्ट:

1. या डेटाचे संकलन करण्याचा निर्णय कोणता घेतला?
2. डेटा कशासाठी वापरला जाईल हे कोणाने ठरवले?
3. तुमच्या संस्थेकडे डेटा प्रक्रिया कशी केली जाते यावर निर्णय घेण्याची मुभा आहे का, किंवा तुम्ही दुसऱ्या पक्षाच्या विशिष्टतेचे पालन करत आहात?
4. दुसरा पक्ष त्यांच्या सूचनांचा मागे घेतल्यास प्रक्रिया थांबेल का?
5. तुम्ही तुमच्या संस्थेसाठी स्वतंत्रपणे लाभदायक कोणत्याही उद्देशासाठी डेटा वापरत आहात का?

जर तुमच्या उत्तरांनी या प्रश्नांमध्ये भिन्न दिशांकडे इशारा केला, तर तुम्ही एक संयुक्त नियंत्रक असू शकता, जी एक अशी स्थिती आहे जी दुसऱ्या पक्षाबरोबर स्वतंत्र पारदर्शक व्यवस्थापनाची आवश्यकता आहे [1].

कंपन्या नियंत्रक आणि प्रक्रिया करणाऱ्यांच्या भूमिकांबाबत सामान्य चुका काय करतात?

चुकीची वर्गीकरण ही सर्वात सामान्य चूक आहे, आणि यामुळे वास्तविक अनुपालन परिणाम होतात. संस्थांनी वारंवार असे गृहित धरले आहे की करारात "विक्रेता" किंवा "सेवा प्रदाता" म्हणून संबोधले जाणे त्यांना प्रक्रिया करणारा बनवते, जेव्हा त्यांचे वास्तविक आचारधिनी त्यांना नियंत्रक म्हणून पात्र ठरवते.

इतर सामान्य चुका:

• DPA वगळणे: लेखी DPA शिवाय प्रक्रिया करणाऱ्यांना गुंतवणूक करणारे नियंत्रक GDPR चा थेट उल्लंघन करतात, प्रक्रिया करणाऱ्याच्या प्रणाली कितीही सुरक्षित असल्या तरीही.
• उप-प्रक्रिया करणाऱ्यांची तपासणी न करणे: नियंत्रक अनेकदा दुर्लक्ष करतात की त्यांच्या प्रक्रिया करणाऱ्याने उप-प्रक्रिया करणाऱ्यांना अधिकृतता किंवा समकक्ष करारात्मक संरक्षणांशिवाय गुंतवले आहे.
• प्रक्रिया करणाऱ्यांना डेटा विषयांच्या हक्कांचे हाताळणे मानणे: नियंत्रक डेटा विषयांच्या विनंत्यांना प्रतिसाद देण्यासाठी जबाबदार राहतात; प्रक्रिया करणारे फक्त मदत करतात.
• पुनर्वर्गीकरण धोका दुर्लक्ष करणे: प्रक्रिया करणारे जे त्यांच्या सेवांचा विस्तार करतात आणि ग्राहक डेटा विश्लेषण, मॉडेल प्रशिक्षण, किंवा बेंचमार्किंगसाठी वापरायला सुरुवात करतात, ते अनवधानाने नियंत्रक बनू शकतात.

वेबसाइट्स आणि डिजिटल मालमत्तांमध्ये संमती आणि डेटा प्रवाह व्यवस्थापित करणाऱ्या संस्थांसाठी, Biscotti CMP सारखी संमती व्यवस्थापन प्लॅटफॉर्म नियंत्रकांना कायदेशीर आधार दस्तऐवजीकरण करण्यात आणि संमती रेकॉर्ड व्यवस्थापित करण्यात मदत करू शकते, जी GDPR अंतर्गत नियंत्रकाची जबाबदारीची एक मूलभूत बाब आहे.

लहान व्यवसायांनी नियंत्रक आणि प्रक्रिया करणाऱ्यांच्या जबाबदाऱ्यांचे व्यवस्थापन कसे करावे?

लहान व्यवसाय GDPR च्या नियंत्रक-प्रक्रिया करणारा फ्रेमवर्कपासून मुक्त नाहीत. जर एक लहान व्यवसाय ग्राहक डेटा गोळा करत असेल, अगदी फक्त न्यूजलेटरसाठी ईमेल पत्ते, तर तो नियंत्रक आहे आणि सर्व नियंत्रक कर्तव्यांचे पालन करणे आवश्यक आहे.

लहान व्यवसायांसाठी व्यावहारिक पायऱ्या:

1. तुमच्या वतीने वैयक्तिक डेटा हाताळणाऱ्या प्रत्येक साधन किंवा विक्रेत्याचे नकाशा तयार करा (ईमेल प्लॅटफॉर्म, विश्लेषण साधने, पेमेंट प्रक्रिया करणारे, CRM).
2. प्रत्येक विक्रेत्यासोबत साइन केलेला DPA अस्तित्वात आहे का हे पुष्टी करा.
3. प्रत्येक विक्रेत्याच्या DPA GDPR च्या किमान आवश्यकतांची पूर्तता करते का हे सत्यापित करा.
4. तुमच्या प्रक्रिया क्रियाकलापांचे अचूक वर्णन करणारा अनुपालन गोपनीयता नोटिस प्रकाशित करा.
5. डेटा विषयांच्या विनंत्यांना 30-दिवसीय कायदेशीर विंडोमध्ये प्रतिसाद देण्यासाठी प्रक्रिया स्थापित करा.

युकेचा डेटा (वापर आणि प्रवेश) कायदा 2026, ज्याला 19 जून 2026 रोजी रॉयल असेंट मिळाला, डेटा संरक्षण कायद्यात आणखी सुधारणा आणतो ज्याची पुनरावलोकन करणे आवश्यक आहे [1].

---

वारंवार विचारले जाणारे प्रश्न

प्रश्न: एक SaaS कंपनी नेहमीच प्रक्रिया करणारी असते का? एक SaaS कंपनी एक प्रक्रिया करणारी असते फक्त जेव्हा ती वैयक्तिक डेटा आपल्या ग्राहकांच्या वतीने आणि कोणत्याही स्वतंत्र उद्देशासाठी प्रक्रिया करते. जर ती ग्राहक डेटा आपल्या स्वतःच्या विश्लेषण, उत्पादन सुधारणा, किंवा मार्केटिंगसाठी वापरत असेल, तर ती त्या क्रियाकलापांसाठी नियंत्रक बनते.

प्रश्न: एक प्रक्रिया करणाऱ्याला पर्यवेक्षकीय प्राधिकरणासोबत नोंदणी करणे आवश्यक आहे का? नोंदणी आवश्यकताएँ EU सदस्य राज्यानुसार भिन्न असतात. तथापि, प्रक्रिया करणाऱ्यांना अनुच्छेद 30 अंतर्गत प्रक्रिया क्रियाकलापांचे आंतरिक रेकॉर्ड ठेवणे आवश्यक आहे, जर त्यांच्याकडे 250 किंवा त्याहून अधिक लोक असतील, किंवा जर प्रक्रिया डेटा विषयांना धोका निर्माण करण्याची शक्यता असेल.

प्रश्न: एक प्रक्रिया करणारा नियंत्रकाच्या सूचनेला नकार देऊ शकतो का? होय, जर सूचनेचे पालन करणे प्रक्रिया करणाऱ्याला GDPR चे उल्लंघन करणे आवश्यक असेल. अशा प्रकरणांमध्ये, प्रक्रिया करणाऱ्याने नियंत्रकाला सूचित करणे आवश्यक आहे आणि जर सूचना सुधारित केली गेली नाही, तर त्याला संबंध समाप्त करण्याची आवश्यकता असू शकते.

प्रश्न: संयुक्त नियंत्रक व्यवस्था म्हणजे काय? संयुक्त नियंत्रक तेव्हा अस्तित्वात असतात जेव्हा दोन किंवा अधिक संस्था एकत्रितपणे प्रक्रिया करण्याचे उद्देश आणि साधने ठरवतात. त्यांना त्यांच्या संबंधित जबाबदाऱ्यांचे दस्तऐवजीकरण पारदर्शक व्यवस्थेत करणे आवश्यक आहे आणि त्या व्यवस्थेचा सारांश डेटा विषयांना उपलब्ध करावा लागतो [1].

प्रश्न: DPA किती काळ प्रभावी राहावे लागते? DPA प्रक्रिया संबंधाच्या कालावधीसाठी प्रभावी राहावी. समाप्तीवर, ती प्रक्रिया करणाऱ्याच्या वैयक्तिक डेटा नष्ट करण्याची किंवा परत करण्याची कर्तव्ये नियंत्रित करते.

प्रश्न: प्रक्रिया करणारे नियंत्रकांवर लावलेल्या दंडांसाठी जबाबदार आहेत का? नाही. दंड त्या संस्थेवर लावले जातात जी उल्लंघन करते. तथापि, प्रक्रिया करणाऱ्यांना त्यांच्या स्वतःच्या उल्लंघनांसाठी स्वतंत्र दंडांचा सामना करावा लागू शकतो, आणि DPA अंतर्गत नियंत्रकांकडून नुकसान भरपाईच्या दाव्यांचा सामना करावा लागू शकतो.

प्रश्न: GDPR प्रक्रिया करणाऱ्यांवर बाहेरच्या EU मध्ये लागू आहे का? होय. GDPR प्रक्रिया करणाऱ्यांवर बाहेरच्या EU मध्ये लागू आहे जेव्हा ते EU निवासींचा वैयक्तिक डेटा EU-आधारित नियंत्रकांच्या वतीने प्रक्रिया करतात, किंवा जेव्हा ते अनुच्छेद 3 अंतर्गत GDPR च्या क्षेत्रीय व्याप्तीच्या अधीन असतात.

प्रश्न: DPA आणि मानक करारात्मक कलमांमध्ये काय फरक आहे? DPA देशांतर्गत नियंत्रक-प्रक्रिया करणारा संबंध नियंत्रित करते. मानक करारात्मक कलम (SCCs) तिसऱ्या देशांमध्ये वैयक्तिक डेटा हस्तांतरित करण्यासाठी विशिष्ट करारात्मक यंत्रणा आहेत ज्या EU/EEA मध्ये उपयुक्तता निर्णय नसलेल्या देशांमध्ये आहेत.

---

निष्कर्ष

नियंत्रक आणि प्रक्रिया करणारा: GDPR अंतर्गत तुमची जबाबदारी समजून घेणे हे एक अमूर्त कायदेशीर व्यायाम नाही, हे ठरवते की कोणाला नियामक दंडांचा सामना करावा लागतो, कोण डेटा विषयांना नुकसान भरपाई देतो, आणि जेव्हा काही चुकते होते तेव्हा कोण पर्यवेक्षकीय प्राधिकरणांसमोर उत्तरदायी आहे. भेद हा निर्णय घेण्याच्या अधिकाराबद्दल एक तथ्यात्मक प्रश्न आहे, कराराच्या लेबलांबद्दल नाही.

कार्यान्वयनासाठी पुढील पायऱ्या:

1. प्रत्येक प्रक्रिया क्रियाकलाप आणि तुमच्या संस्थेची प्रत्येक भूमिकेची ओळख पटवण्यासाठी डेटा नकाशा तयार करा.
2. तुम्ही गुंतवलेल्या प्रत्येक प्रक्रिया करणाऱ्याबरोबर अनुपालन DPA अस्तित्वात आहे का हे ऑडिट करा.
3. उप-प्रक्रिया करणाऱ्यांच्या व्यवस्थांचा आढावा घ्या जेणेकरून पूर्व अधिकृतता अस्तित्वात आहे आणि समकक्ष कर्तव्ये लागू आहेत याची खात्री करा.
4. जर तुम्ही विविध क्रियाकलापांमध्ये नियंत्रक आणि प्रक्रिया करणारा दोन्ही म्हणून कार्य करत असाल, तर प्रत्येक भूमिकेचे स्वतंत्रपणे दस्तऐवजीकरण करा.
5. यूकेच्या संस्थांसाठी, योग्य कायदेशीर सल्लागारासोबत डेटा (वापर आणि प्रवेश) कायदा 2026 च्या परिणामांचा आढावा घ्या.
6. Biscotti CMP सारखी संमती व्यवस्थापन उपाययोजना लागू करा जेणेकरून ऑडिटेबल संमती रेकॉर्ड ठेवता येतील आणि तुमच्या नियंत्रकाच्या कर्तव्यांना समर्थन मिळेल.

चुकीची वर्गीकरण ही एक तांत्रिकता नाही, ती एक अनुपालन गॅप आहे ज्याचे थेट आर्थिक आणि प्रतिष्ठात्मक परिणाम आहेत. सुरुवातीपासूनच योग्य भूमिका ठरवणे हे कोणत्याही संस्थेसाठी GDPR मध्ये सर्वात खर्चिक गुंतवणूक आहे.

---

संदर्भ

[1] What Are Controllers And Processors - https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/controllers-and-processors/controllers-and-processors/what-are-controllers-and-processors/?utm_source=openai

[2] Art 82 GDPR - https://gdpr-info.eu/art-82-gdpr/?utm_source=openai

[3] Controller And Processor Relationships - https://dataprotection.ie/en/organisations/know-your-obligations/controller-and-processor-relationships?utm_source=openai

---