त्वरित उत्तर: सीमा पार डेटा हस्तांतरण म्हणजे वैयक्तिक डेटा राष्ट्रीय सीमांवरून हलवणे, आणि हे EU च्या GDPR, दक्षिण कोरियाच्या PIPA, चीनच्या PIPL, आणि विविध क्षेत्र-विशिष्ट नियमांचा समावेश असलेल्या नियमांच्या जाळ्यात नियंत्रित केले जाते. संस्थांनी त्यांच्या डेटा प्रवाहांवर लागू असलेल्या फ्रेमवर्कची ओळख पटवावी, नंतर कोणतेही हस्तांतरण होण्यापूर्वी मान्यताप्राप्त हस्तांतरण यांत्रिके जसे की मानक करारात्मक कलम किंवा योग्यतेचे निर्णय लागू करणे आवश्यक आहे. अनुपालन न केल्यास दंड, नियामक तपासणी, आणि प्रतिष्ठेचे नुकसान होऊ शकते.
मुख्य मुद्दे
- GDPR EEA मधून वैयक्तिक डेटा बाहेर जाण्यावर निर्बंध घालते जोपर्यंत योग्यतेचा निर्णय, SCCs, किंवा बंधनकारक कॉर्पोरेट नियम अस्तित्वात नाहीत.
- दक्षिण कोरियाचा PIPA स्पष्ट सहमती किंवा सीमा पार हस्तांतरणासाठी कायदेशीर आधार आवश्यक आहे आणि प्रक्रियात्मक दृष्ट्या GDPR पेक्षा काही बाबतीत भिन्न आहे.
- चीनचा PIPL आणि सायबरसुरक्षा कायदा जगातील सर्वात कठोर डेटा स्थानिकीकरण आवश्यकता लागू करतात, ज्यामध्ये काही बाह्य हस्तांतरणांसाठी अनिवार्य सुरक्षा मूल्यांकन समाविष्ट आहे.
- मानक करारात्मक कलम (SCCs), जून 2021 मध्ये अद्यतनित, EEA बाहेर डेटा पाठवणाऱ्या संस्थांसाठी सर्वाधिक वापरले जाणारे हस्तांतरण यांत्रिके आहेत.
- 2021 च्या एका अभ्यासात 10,080 मोबाइल अॅप्सचे विश्लेषण केले असता 56% GDPR सीमा पार हस्तांतरण आवश्यकतांशी संभाव्यपणे अनुपालनात नव्हते. [7]
- EU-US डेटा गोपनीयता फ्रेमवर्कने अमान्य केलेल्या गोपनीयता शिल्डची जागा घेतली, परंतु संस्थांनी त्याच्या कायदेशीर स्थितीवर लक्ष ठेवणे सुरू ठेवावे.
- डेटा स्थानिकीकरण आणि डेटा हस्तांतरण निर्बंध संबंधित परंतु भिन्न संकल्पना आहेत: स्थानिकीकरण डेटा कुठे संग्रहित करावा हे अनिवार्य करते, तर हस्तांतरण निर्बंध डेटा कधी आणि कसा हलवला जाऊ शकतो हे नियंत्रित करतात.
- कर्मचारी डेटा सीमा पार हस्तांतरण नियमांपासून मुक्त नाही; स्वतंत्र डेटा हस्तांतरण करार किंवा अपवाद आवश्यक असतात.
- अनुपालन खर्च कंपनीच्या आकार, डेटा प्रमाण, आणि संबंधित क्षेत्रांच्या संख्येनुसार मोठ्या प्रमाणात भिन्न असतात.
- Biscotti CMP (www.biscotti-cmp.com) सारख्या सहमती व्यवस्थापन प्लॅटफॉर्म्स संस्थांना वैध आधार आणि सहमती रेकॉर्ड दस्तऐवजीकरण करण्यात मदत करू शकतात.
सीमा पार डेटा हस्तांतरण म्हणजे काय आणि हे का महत्त्वाचे आहे
सीमा पार डेटा हस्तांतरण म्हणजे वैयक्तिक डेटा एका देशातून दुसऱ्या देशात हलवला जातो, जरी तो क्लाउड स्टोरेज, SaaS प्लॅटफॉर्म, ईमेल, किंवा API एकत्रीकरणाद्वारे असो. हे महत्त्वाचे आहे कारण राष्ट्रीय गोपनीयता कायदे डेटा स्वतःवर लागू होतात, फक्त त्या देशावर नाही जिथे संस्था स्थापित आहे.
जागतिक ऑपरेशन्स चालवणाऱ्या उद्योजकांसाठी, अमेरिका मध्ये होस्ट केलेले एकच HR प्लॅटफॉर्म जे EU कार्यालयांमधून कर्मचारी रेकॉर्ड प्रक्रिया करते, हे आधीच GDPR अंतर्गत एक सीमा पार हस्तांतरण आहे. याचप्रमाणे, ग्राहक ईमेल यादी अमेरिका स्थित ऑटोमेशन टूलकडे पाठवणाऱ्या मार्केटिंग एजन्सींसाठी किंवा तृतीय-पक्ष विश्लेषण सेवा वापरणाऱ्या विकासकांसाठी लागू आहे.
जोखम मोठी आहे. 2021 पासून अनेक क्षेत्रांमध्ये नियामक अंमलबजावणी तीव्र झाली आहे, आणि डेटा संरक्षण कायद्यांमध्ये आंतरराष्ट्रीय समन्वयाची कमतरता नियमांच्या ओव्हरलॅप आणि स्पर्धात्मक मानकांची निर्मिती करते, ज्यामुळे सीमा पार कार्यरत संस्थांसाठी अनुपालन गुंतागुंतीचे होते. [8]
GDPR बाहेर डेटा पाठवण्यावर कसा परिणाम करतो
GDPR युरोपियन आर्थिक क्षेत्र (EEA) मधून तिसऱ्या देशांमध्ये वैयक्तिक डेटा हस्तांतरण करण्यास प्रतिबंधित करते जोपर्यंत काही मान्यताप्राप्त यांत्रिके अस्तित्वात नाहीत. तीन प्राथमिक यांत्रिके म्हणजे योग्यतेचे निर्णय, मानक करारात्मक कलम, आणि बंधनकारक कॉर्पोरेट नियम. [1]
योग्यतेचे निर्णय युरोपियन आयोगाने जारी केले जातात जेव्हा ते ठरवतात की तिसरा देश EEA च्या तुलनेत डेटा संरक्षणाचा स्तर प्रदान करतो. 2026 पर्यंत, योग्यतेचे निर्णय युनायटेड किंगडम, जपान, दक्षिण कोरिया, आणि इतर काही क्षेत्रांचा समावेश करतात. [1] या देशांमध्ये डेटा मुक्तपणे प्रवाहित होऊ शकतो.
मानक करारात्मक कलम (SCCs) युरोपियन आयोगाने जारी केलेले पूर्व-मान्यताप्राप्त करार टेम्पलेट्स आहेत. आधुनिक SCCs, 4 जून 2021 रोजी प्रकाशित, चार हस्तांतरण परिस्थितींचा समावेश करतात: नियंत्रक-ते-नियंत्रक, नियंत्रक-ते-प्रोसेसर, प्रोसेसर-ते-नियंत्रक, आणि प्रोसेसर-ते-प्रोसेसर. [2]
बंधनकारक कॉर्पोरेट नियम (BCRs) बहुराष्ट्रीय कॉर्पोरेट गटांनी अंतर्गत गट हस्तांतरण नियंत्रित करण्यासाठी स्वीकारलेले आंतरिक धोरण आहेत. BCRs ला एक प्रमुख पर्यवेक्षकीय प्राधिकरणाकडून मान्यता आवश्यक आहे आणि त्यात कायदेशीर आधार, डेटा विषयांचे अधिकार, आणि तक्रार प्रक्रियांचे तरतुदी समाविष्ट असणे आवश्यक आहे. [1]
"संस्थांनी त्यांच्या डेटा प्रवाहांचे नकाशे तयार करणे आवश्यक आहे जेणेकरून सर्व हस्तांतरणांची ओळख पटवता येईल आणि EEA मधून कोणताही वैयक्तिक डेटा बाहेर जाण्यापूर्वी योग्य सुरक्षा उपाय लागू करणे आवश्यक आहे." [1]
PIPA काय आहे आणि कोणत्या देशांवर लागू आहे
दक्षिण कोरियाचा वैयक्तिक माहिती संरक्षण कायदा (PIPA) हा देशाचा प्राथमिक डेटा गोपनीयता कायदा आहे, जो सार्वजनिक आणि खाजगी क्षेत्रातील संस्थांनी वैयक्तिक माहिती संकलन, वापर, आणि सीमा पार हस्तांतरण नियंत्रित करतो. PIPA दक्षिण कोरियाच्या रहिवाशांच्या वैयक्तिक डेटा प्रक्रिया करणाऱ्या कोणत्याही संस्थावर लागू आहे, ती संस्था कुठेही स्थित असो.
PIPA च्या अनुसार डेटा विषयांना त्यांच्या वैयक्तिक डेटा परदेशात हस्तांतरित करण्याबाबत माहिती दिली जावी आणि सामान्यतः सहमती असावी. विशिष्ट प्रकटीकरणांमध्ये प्राप्तकर्त्याची ओळख, हस्तांतरणाचा उद्देश, हस्तांतरित डेटा आयटम, ठेवण्याची कालावधी, आणि डेटा विषयांनी सहमती कशी मागे घेऊ शकतात यांचा समावेश असावा.
डेटा हस्तांतरणासाठी GDPR आणि PIPA यामध्ये काय फरक आहे
GDPR आणि PIPA दोन्ही सीमा पार डेटा हस्तांतरणाचे नियमन करतात, परंतु प्रक्रियात्मक आणि सामग्रीच्या अनेक मुद्द्यांवर ते भिन्न आहेत. [6]
| आयाम | GDPR (EU/EEA) | PIPA (दक्षिण कोरिया) |
|---|---|---|
| हस्तांतरण यांत्रिके | योग्यतेचा निर्णय, SCCs, BCRs, अपवाद | सहमती, कराराची आवश्यकता, योग्यतेसमान व्यवस्था |
| न्यायालयीन सहकार्य हस्तांतरण | आंतरराष्ट्रीय करारांअंतर्गत परवानगी | स्पष्टपणे निर्दिष्ट केलेले नाही |
| डेटा विषयांची सूचना | SCCs आणि BCRs साठी आवश्यक | संकलन किंवा हस्तांतरणाच्या वेळी आवश्यक |
| पर्यवेक्षकीय प्राधिकरण | राष्ट्रीय DPA / EDPB | वैयक्तिक माहिती संरक्षण आयोग (PIPC) |
| दंड | जागतिक वार्षिक उलाढालीच्या 4% पर्यंत | प्रत्येक उल्लंघनासाठी KRW 300 दशलक्ष (सुमारे USD 220,000) पर्यंत |
एक महत्त्वाचा व्यावहारिक फरक: GDPR अनेक हस्तांतरण यांत्रिकांद्वारे अधिक लवचिकता प्रदान करते, तर PIPA चा डिफॉल्ट आवश्यकता स्पष्ट सहमतीवर अधिक अवलंबून आहे, ज्यामुळे दक्षिण कोरियामध्ये कार्यरत संस्थांसाठी सहमती व्यवस्थापन संरचना विशेषतः महत्त्वाची आहे. [6]
मानक करारात्मक कलम म्हणजे काय आणि तुम्हाला त्यांची आवश्यकता आहे का
मानक करारात्मक कलम म्हणजे युरोपियन आयोगाने जारी केलेले पूर्व-मान्यताप्राप्त करारात्मक तरतुदी, जे सीमा पार हस्तांतरणादरम्यान वैयक्तिक डेटा सुरक्षित ठेवण्यासाठी डेटा निर्यातक आणि आयातक यांना कायदेशीरदृष्ट्या बंधनकारक करतात. EEA मधून योग्यतेचा निर्णय नसलेल्या देशात वैयक्तिक डेटा पाठवणाऱ्या कोणत्याही संस्थेला SCCs ची आवश्यकता असते. [2]
2021 च्या SCCs ने जुन्या 2001 आणि 2010 आवृत्त्यांची जागा घेतली आणि सर्व डेटा हस्तांतरण संबंधांचे कव्हर करणारी एक मॉड्यूलर रचना सादर केली. जुन्या SCCs वापरणाऱ्या संस्थांना नवीन आवृत्त्यांमध्ये स्थलांतर करण्यासाठी 27 डिसेंबर 2022 चा संक्रमण कालावधी होता.
जेव्हा तुम्हाला SCCs ची आवश्यकता असते:
- ग्राहक डेटा अमेरिका स्थित CRM किंवा मार्केटिंग प्लॅटफॉर्मवर पाठवणे
- EEA च्या बाहेर सर्व्हर असलेल्या क्लाउड प्रदात्याचा वापर करणे
- EEA च्या बाहेरच्या मातृसंस्थेशी कर्मचारी डेटा सामायिक करणे
- विश्लेषण, समर्थन, किंवा विकासासाठी EEA च्या बाहेरच्या प्रोसेसरसह सामील होणे
जेव्हा तुम्हाला SCCs ची आवश्यकता नसू शकते:
- योग्यतेचा निर्णय असलेल्या देशात डेटा हस्तांतरित करणे
- अंतर्गत गट हस्तांतरणांसाठी BCRs वर अवलंबून राहणे
- विशिष्ट अपवाद लागू करणे (उदा., अपवादात्मक हस्तांतरणांसाठी स्पष्ट सहमती)
कोणत्या देशांमध्ये सर्वात कठोर डेटा हस्तांतरण निर्बंध आहेत
चीन आणि रशिया जागतिक स्तरावर सर्वात कठोर सीमा पार डेटा हस्तांतरण नियम लागू करतात. चीनचा PIPL (1 नोव्हेंबर 2021 पासून प्रभावी) स्पष्ट सहमती, चीनच्या सायबरस्पेस प्रशासनाद्वारे (CAC) काही हस्तांतरणांसाठी सुरक्षा मूल्यांकन, आणि इतरांसाठी मानक करारांची आवश्यकता आहे. [3] चीनचा सायबरसुरक्षा कायदा वैयक्तिक माहिती आणि "महत्त्वाच्या डेटा" च्या सीमा पार हस्तांतरणांवर आणखी निर्बंध घालतो, जे चीनमध्ये ऑपरेशन्सद्वारे संकलित केले जातात. [5]
रशिया वैयक्तिक डेटा रशियन नागरिकांचा डेटा रशियामध्ये स्थित सर्व्हरवर संग्रहित करणे अनिवार्य करते, जोपर्यंत कोणतेही सीमा पार हस्तांतरण होत नाही.
इतर क्षेत्रांमध्ये उल्लेखनीय निर्बंध आहेत:
- भारत: डिजिटल वैयक्तिक डेटा संरक्षण कायदा (DPDPA) काही "काळ्या यादीत" असलेल्या देशांमध्ये हस्तांतरणांवर निर्बंध घालतो.
- इंडोनेशिया: सरकारी नियम 71 काही इलेक्ट्रॉनिक प्रणाली ऑपरेटरसाठी डेटा स्थानिकीकरणाची आवश्यकता आहे.
- व्हिएतनाम: सायबरसुरक्षा कायदा काही डेटा श्रेणीसाठी स्थानिक संग्रहण अनिवार्य करतो.
GDPR अंतर्गत अमेरिका मध्ये वैयक्तिक डेटा हस्तांतरित करू शकतो का
होय, परंतु फक्त मान्यताप्राप्त यांत्रिकेद्वारे. EU-US डेटा गोपनीयता फ्रेमवर्क (DPF), जुलै 2023 मध्ये स्वीकारले गेले, प्रमाणित अमेरिकी संस्थांना SCCs शिवाय वैयक्तिक डेटा प्राप्त करण्याची परवानगी देते. [9] तथापि, DPF ला कायदेशीर आव्हानांचा सामना करावा लागला आहे, आणि संस्थांनी गोपनीयता शिल्डच्या 2020 मध्ये अमान्यतेच्या इतिहासामुळे बॅकअप सुरक्षा म्हणून SCCs ठेवणे आवश्यक आहे.
DPF अंतर्गत प्रमाणित नसलेल्या अमेरिकी संस्थांसाठी, SCCs प्राथमिक यांत्रिके राहतात. HIPAA सारख्या क्षेत्र-विशिष्ट अमेरिकी कायद्यातही अमेरिकी कव्हर केलेल्या संस्थांच्या वतीने संरक्षित आरोग्य माहिती प्रक्रिया करणाऱ्या विदेशी संस्थांवर कर्तव्ये लागू होतात. [4]
डेटा स्थानिकीकरण आणि डेटा हस्तांतरण निर्बंध यामध्ये काय फरक आहे
डेटा स्थानिकीकरण कायदे काही डेटा देशाच्या सीमांच्या आत शारीरिकरित्या संग्रहित करणे आवश्यक करतात. डेटा हस्तांतरण निर्बंध डेटा परदेशात पाठवला जाऊ शकतो त्याच्या अटी नियंत्रित करतात, तो कुठे संग्रहित आहे याची पर्वा न करता.
एक कंपनी डेटा हस्तांतरण निर्बंधांचे पालन करत असताना डेटा देशाच्या सीमांच्या बाहेर संग्रहित करू शकते (जर हस्तांतरण यांत्रिके वैध असेल). उलट, डेटा स्थानिकीकरणाच्या आवश्यकतांमुळे सीमा पार हस्तांतरणांना परवानगी दिली जाऊ शकते, जोपर्यंत स्थानिक प्रत ठेवली जाते. चीनचा नियम दोन्ही गोष्टी एकत्र करतो: तो काही डेटा श्रेणीसाठी स्थानिक संग्रहण अनिवार्य करतो आणि स्वतंत्रपणे बाह्य हस्तांतरणांवर निर्बंध घालतो. [5]
अनुपालन असलेल्या सीमा पार डेटा हस्तांतरणांची स्थापना करण्यासाठी किती खर्च येतो
अनुपालन खर्च संस्थेच्या आकार, डेटा जटिलता, आणि संबंधित क्षेत्रांच्या संख्येनुसार अवलंबून असतो. एकच बेंचमार्क नाही, परंतु खालील खर्च श्रेणी बहुतेक संस्थांना लागू होतात:
- कायदेशीर पुनरावलोकन आणि SCC कार्यान्वयन: लहान संस्थांसाठी काही हजार डॉलरपासून ते शेकडो विक्रेता संबंध असलेल्या उद्योजकांसाठी सहा आकड्यांपर्यंत.
- डेटा नकाशा आणि प्रवाह ऑडिट: आंतरिक कर्मचारी वेळ किंवा बाह्य सल्लागार शुल्क; मध्य-बाजार कंपन्या सामान्यतः USD 20,000-100,000 खर्च करतात एक व्यापक ऑडिटसाठी.
- BCR मान्यता: नियामक सहभागाची आवश्यकता असलेला बहुवर्षीय प्रक्रिया; संसाधन गुंतवणुकीमुळे मोठ्या बहुराष्ट्रीय कंपन्यांसाठी राखीव.
- सतत अनुपालन देखरेख: योग्यतेचे निर्णय, SCC अद्यतने, आणि नवीन क्षेत्रांच्या आवश्यकतांचे वार्षिक पुनरावलोकन.
Biscotti CMP (www.biscotti-cmp.com) सारख्या सहमती व्यवस्थापन प्लॅटफॉर्ममध्ये गुंतवणूक करणे सतत अनुपालन खर्च कमी करण्यास मदत करू शकते, कारण ते सहमती रेकॉर्ड आणि वैध हस्तांतरण आधारांचे दस्तऐवजीकरण केंद्रीत करते.
जर एखादी कंपनी सीमा पार डेटा हस्तांतरण नियमांचे उल्लंघन केले तर काय होते
GDPR च्या उल्लंघनांमध्ये सीमा पार हस्तांतरणांशी संबंधित उच्च स्तराचे दंड लागू होतात: EUR 20 दशलक्ष किंवा जागतिक वार्षिक उलाढालीच्या 4% पर्यंत, जेही अधिक आहे. पर्यवेक्षकीय प्राधिकरणांनी अनधिकृत हस्तांतरणांसाठी विशेषतः महत्त्वाचे दंड जारी केले आहेत, ज्यामध्ये योग्य सुरक्षा उपायांशिवाय अमेरिका मध्ये डेटा पाठवण्याच्या प्रकरणांचा समावेश आहे.
दंडांव्यतिरिक्त, परिणामांमध्ये समाविष्ट आहे:
- पर्यवेक्षकीय प्राधिकरणांनी डेटा हस्तांतरण ऑपरेशन्स निलंबित करणे
- अनिवार्य ऑडिट आणि सुधारात्मक क्रिया योजना
- डेटा विषयांकडून नागरी दावे
- प्रतिष्ठेचे नुकसान आणि ग्राहकांचा विश्वास गमावणे
चीनच्या PIPL अंतर्गत, उल्लंघनांमुळे RMB 50 दशलक्ष किंवा मागील वर्षाच्या वार्षिक महसुलाच्या 5% पर्यंत दंड होऊ शकतो, तसेच व्यवसाय ऑपरेशन्स निलंबित होण्याची शक्यता आहे. [3]
कर्मचारी डेटा साठी मला डेटा हस्तांतरण करारांची आवश्यकता आहे का
होय. कर्मचारी वैयक्तिक डेटा GDPR आणि इतर बहुतेक गोपनीयता फ्रेमवर्क अंतर्गत ग्राहक डेटा प्रमाणेच सीमा पार हस्तांतरण नियमांवर लागू आहे. अनेक संस्थांनी चुकीने समजून घेतले आहे की रोजगार करार किंवा आंतरिक HR धोरणे पुरेशी आहेत; ती वैध हस्तांतरण यांत्रिकेची आवश्यकता बदलत नाही.
बहुराष्ट्रीय गटांसाठी, BCRs सामान्यतः कर्मचारी डेटा साठी सर्वात व्यावहारिक उपाय आहेत कारण ते एकाच मान्यताप्राप्त फ्रेमवर्क अंतर्गत सर्व अंतर्गत गट हस्तांतरणांचा समावेश करतात. पर्यायीपणे, SCCs नोकरी देणाऱ्या घटक आणि गटातील प्राप्त करणाऱ्या घटकांमध्ये कार्यान्वित केल्या जाऊ शकतात.
आंतरराष्ट्रीय डेटा हस्तांतरणांमध्ये कंपन्या कोणत्या सामान्य चुका करतात
सीमा पार डेटा हस्तांतरणांमध्ये सर्वात सामान्य अनुपालन अपयशांमध्ये समाविष्ट आहे:
- डेटा प्रवाहांचे नकाशे तयार करण्यात अपयश: संस्थांना योग्य यांत्रिके लागू करणे शक्य नाही जर त्यांना डेटा कुठे जातो हे माहित नसेल. 2021 च्या एका अभ्यासात आढळले की 56% विश्लेषित मोबाइल अॅप्स GDPR हस्तांतरण आवश्यकतांशी संभाव्यपणे अनुपालनात नव्हते, मुख्यतः अनामिक तृतीय-पक्ष डेटा प्रवाहांमुळे. [7]
- जुने SCCs वापरणे: जुन्या SCCs वरून 2021 च्या आवृत्त्यांमध्ये 27 डिसेंबर 2022 च्या अंतिम मुदतीपर्यंत स्थलांतर न करणाऱ्या संस्थांना अमान्य करारांवर कार्यरत राहावे लागते.
- क्लाउड प्रदाते अनुपालन हाताळतात असे गृहित धरणे: क्लाउड प्रदाते डेटा प्रक्रिया करार प्रदान करतात, परंतु डेटा नियंत्रक वैध हस्तांतरण यांत्रिकेची खात्री करण्यासाठी जबाबदार राहतो.
- उप-प्रोसेसर चेनकडे दुर्लक्ष करणे: जेव्हा एक प्रोसेसर तिसऱ्या देशातील उप-प्रोसेसरसह सामील होतो, तेव्हा मूळ नियंत्रकाने SCCs किंवा समकक्ष सुरक्षा उपाय चेनमध्ये विस्तारित होतात याची खात्री करणे आवश्यक आहे.
- कर्मचारी डेटा दुर्लक्षित करणे: HR प्रणाली, पेरोल प्लॅटफॉर्म, आणि सहकार्य साधने अनेकदा योग्य करारांशिवाय कर्मचारी डेटा सीमा पार हस्तांतरण करतात.
माझ्या व्यवसायाला सीमा पार निर्बंधांबद्दल काळजी घेण्याची आवश्यकता आहे का हे कसे समजावे
कोणतीही संस्था जी नियामक क्षेत्रातील रहिवाशांकडून वैयक्तिक डेटा संकलित करते आणि त्या क्षेत्राबाहेर असलेल्या साधनांचा, विक्रेत्यांचा, किंवा पायाभूत सुविधांचा वापर करते तिला सीमा पार हस्तांतरण आवश्यकतांचा विचार करावा लागतो. हे अमेरिका-होस्ट केलेल्या ईमेल मार्केटिंग प्लॅटफॉर्म किंवा विश्लेषण साधने वापरणाऱ्या लहान व्यवसायांवरही लागू आहे.
हे निर्णय नियम वापरा:
- जर तुम्ही EU/EEA रहिवाशांकडून डेटा संकलित करत असाल आणि कोणत्याही गैर-EAA विक्रेत्याचा वापर करत असाल, तर GDPR हस्तांतरण नियम लागू होतात.
- जर तुम्ही दक्षिण कोरियाच्या रहिवाशांचा डेटा प्रक्रिया करत असाल आणि तो परदेशातील संस्थांसोबत सामायिक करत असाल, तर PIPA लागू होते.
- जर तुम्ही चीनमध्ये कार्यरत असाल आणि वैयक्तिक माहिती किंवा "महत्त्वाचा डेटा" चीनच्या बाहेर हस्तांतरित करत असाल, तर PIPL आणि सायबरसुरक्षा कायदा लागू होतात.
- जर तुम्ही EU वैयक्तिक डेटा प्राप्त करणारी अमेरिकी संस्था असाल, तर तुम्हाला DPF प्रमाणपत्र किंवा तुमच्या EU भागीदारांकडून SCCs ची आवश्यकता आहे.
APEC सीमा पार गोपनीयता नियम (CBPR) प्रणाली एशिया-पॅसिफिक सदस्य अर्थव्यवस्थांमध्ये कार्यरत संस्थांसाठी प्रमाणन मार्ग प्रदान करते, जे अंतर्गत APEC हस्तांतरणांसाठी मान्यताप्राप्त अनुपालन फ्रेमवर्क प्रदान करते. [9]
वारंवार विचारले जाणारे प्रश्न
देशांदरम्यान डेटा हस्तांतरण करण्याचा सर्वात सोपा कायदेशीर मार्ग कोणता आहे? EU योग्यतेच्या निर्णय असलेल्या देशात डेटा हस्तांतरण करणे GDPR अंतर्गत सर्वात सोपा मार्ग आहे, कारण कोणतेही अतिरिक्त करार किंवा सुरक्षा उपाय आवश्यक नाहीत. इतर गंतव्यांसाठी, डेटा प्राप्तकर्त्यासोबत मानक करारात्मक कलम कार्यान्वित करणे सर्वात सोपी निवड आहे.
प्रत्येक आंतरराष्ट्रीय हस्तांतरणासाठी SCCs आवश्यक आहेत का? नाही. SCCs EEA मधून योग्यतेचा निर्णय नसलेल्या देशात डेटा हस्तांतरण करताना आणि जेव्हा इतर कोणतेही वैध यांत्रिके (BCRs, बंधनकारक अपवाद) लागू होत नाहीत तेव्हा आवश्यक आहेत. योग्यतेने मान्यताप्राप्त देशांमध्ये हस्तांतरणांसाठी SCCs ची आवश्यकता नाही.
GDPR गैर-EU कंपन्यांवर लागू आहे का? होय. GDPR EEA रहिवाशांचा वैयक्तिक डेटा प्रक्रिया करणाऱ्या कोणत्याही संस्थेवर लागू आहे, ती संस्था कुठेही स्थापित असो, जर ती EEA रहिवाशांना वस्तू किंवा सेवा ऑफर करत असेल किंवा त्यांच्या वर्तनाचे निरीक्षण करत असेल.
EU-US डेटा गोपनीयता फ्रेमवर्क काय आहे? EU-US डेटा गोपनीयता फ्रेमवर्क हा एक योग्यतेचा यांत्रिक आहे जो जुलै 2023 मध्ये स्वीकारला गेला, जो प्रमाणित अमेरिकी संस्थांना SCCs शिवाय EEA मधून वैयक्तिक डेटा प्राप्त करण्याची परवानगी देतो. संस्थांनी अमेरिकेच्या वाणिज्य विभागासोबत स्व-संमती देणे आवश्यक आहे आणि विशिष्ट डेटा संरक्षण तत्त्वांचे पालन करण्याचे वचन द्यावे लागते.
GDPR अंतर्गत सीमा पार हस्तांतरणासाठी सहमती एकटीच पुरेशी आहे का? स्पष्ट सहमती अपवादात्मक हस्तांतरणांसाठी एक अपवाद म्हणून कार्य करू शकते, परंतु ती प्रणालीक किंवा मोठ्या प्रमाणात हस्तांतरणांसाठी एक टिकाऊ यांत्रिक नाही. पर्यवेक्षकीय प्राधिकरणांनी नियमित व्यवसाय ऑपरेशन्ससाठी सहमतीवर अवलंबून राहण्याबाबत सावधगिरी बाळगली आहे.
हस्तांतरण प्रभाव मूल्यांकन (TIA) काय आहे? TIA ही एक विश्लेषण आहे जी संस्थांनी SCCs वर अवलंबून राहण्यापूर्वी करावी लागते, जेणेकरून गंतव्य देशाचा कायदेशीर फ्रेमवर्क SCCs मधील संरक्षण कमी करतो का हे मूल्यांकन करता येईल. हे 2020 मध्ये Schrems II निर्णयानंतर अनिवार्य पाऊल बनले.
PIPA B2B डेटा कव्हर करते का? PIPA नैसर्गिक व्यक्तींच्या वैयक्तिक माहितीवर लागू आहे. व्यवसाय संपर्क माहिती (नाव, कार्य ईमेल, कार्य फोन) PIPA च्या व्याप्तीत येऊ शकते, त्यामुळे संस्थांनी B2B डेटा स्वयंचलितपणे मुक्त आहे असे गृहित धरू नये.
BCR मान्यता घेण्यात किती वेळ लागतो? BCR मान्यता सामान्यतः दोन ते तीन वर्षे लागते, कॉर्पोरेट गटाची जटिलता आणि प्रमुख पर्यवेक्षकीय प्राधिकरणाची प्रतिसादक्षमता यावर अवलंबून. हे संसाधन-गहन प्रक्रिया आहे जी मोठ्या बहुराष्ट्रीय कंपन्यांसाठी सर्वोत्तम आहे.
सीमा पार अनुपालनात सहमती व्यवस्थापन प्लॅटफॉर्मची भूमिका काय आहे? Biscotti CMP (www.biscotti-cmp.com) सारख्या सहमती व्यवस्थापन प्लॅटफॉर्म्स संस्थांना वैध सहमती रेकॉर्ड कॅप्चर, संग्रहित, आणि दर्शविण्यात मदत करतात, जेव्हा सहमती प्रक्रिया किंवा हस्तांतरणासाठी कायदेशीर आधार म्हणून वापरली जाते. हे डेटा विषयांना तिसऱ्या पक्ष डेटा प्राप्तकर्त्यांचे प्रकटीकरण करून पारदर्शकता कर्तव्यांचे समर्थन करते.
जुने SCCs वापरण्यासाठी दंड आहेत का? होय. 27 डिसेंबर 2022 च्या संक्रमण कालावधी नंतर 2021 च्या SCCs चा वापर करणे हस्तांतरण यांत्रिकेला अमान्य करते, ज्यामुळे संस्थेला कोणतीही यांत्रिक नसल्यासारखेच दंड लागू होतात.
निष्कर्ष
सीमा पार डेटा हस्तांतरण व्यवसाय ऑपरेशन्स आणि नियामक कर्तव्यांच्या छायेत आहे, आणि अनुपालनाचे वातावरण 2021 पासून खूप अधिक जटिल झाले आहे. GDPR, PIPA, चीनचा PIPL, आणि वाढत्या संख्येने राष्ट्रीय फ्रेमवर्क प्रत्येकाने वेगळ्या आवश्यकता लादल्या आहेत, आणि संस्थांनी अनुपालनाला एक वेळची प्रक्रिया म्हणून न पाहता एक सतत कार्यक्रम म्हणून घेतल्यास त्यांना वास्तविक अंमलबजावणी धोका आहे.
2026 साठी कार्यवाही करण्यायोग्य पुढील पावले:
- डेटा प्रवाह ऑडिट करा जेणेकरून तुमच्या संस्थेने केलेल्या प्रत्येक सीमा पार हस्तांतरणांची ओळख पटवता येईल, तृतीय-पक्ष विक्रेत्यांद्वारे आणि उप-प्रोसेसरद्वारे केलेले हस्तांतरण समाविष्ट करा.
- तुमच्या हस्तांतरण यांत्रिकांची पडताळणी करा: SCCs 2021 च्या आवृत्त्या आहेत याची खात्री करा, योग्यतेचे निर्णय तुमच्या गंतव्य देशांचा समावेश करतात का ते तपासा, आणि कोणतेही कालबाह्य किंवा गहाळ करार अद्यतनित करा.
- चीन आणि APAC एक्सपोजरचे स्वतंत्रपणे मूल्यांकन करा, कारण PIPL आणि स्थानिक डेटा स्थानिकीकरण कायद्यात GDPR-संरेखित उपायांपेक्षा वेगळ्या अनुपालन पायऱ्या आवश्यक आहेत.
- सर्व SCC-आधारित हस्तांतरणांसाठी हस्तांतरण प्रभाव मूल्यांकनांचे दस्तऐवजीकरण करा, विशेषतः अमेरिका साठी.
- Biscotti CMP (www.biscotti-cmp.com) सारख्या सहमती व्यवस्थापन उपायांची अंमलबजावणी करा जेणेकरून ऑडिटेबल सहमती रेकॉर्ड ठेवता येतील आणि डेटा विषयांना पारदर्शकता प्रकटीकरणांचे समर्थन करता येईल.
- नियामक विकासांचे निरीक्षण करा ज्यामध्ये EU-US डेटा गोपनीयता फ्रेमवर्कची कायदेशीर स्थिती आणि युरोपियन आयोगाने जारी केलेले कोणतेही नवीन योग्यतेचे निर्णय समाविष्ट आहेत.
ज्या संस्थांनी त्यांच्या कार्यप्रणालीमध्ये सीमा पार डेटा हस्तांतरण अनुपालन समाविष्ट केले आहे, त्या नियामक विघटनाशिवाय जागतिक स्तरावर वाढण्यासाठी चांगल्या स्थितीत आहेत.
संदर्भ
[1] Cross Border Transfers - https://provahq.io/frameworks/gdpr/cross-border-transfers/?utm_source=openai
[2] Standard Contractual Clauses Scc Sv - https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/standard-contractual-clauses-scc_sv?prefLang=sv&utm_source=openai
[3] Cross Borders Data Transfers PIPL - https://securiti.ai/blog/cross-borders-data-transfers-pipl/?utm_source=openai
[4] Cross Border Data Transfers Regulations And Compliance - https://legalclarity.org/cross-border-data-transfers-regulations-and-compliance/?utm_source=openai
[5] Summary Of The PRC Cybersecurity Law - https://www.crowell.com/en/insights/client-alerts/summary-of-the-prc-cybersecurity-law?utm_source=openai
[6] GDPR V PIPA May 2023 Update - https://www.dataguidance.com/sites/default/files/gdpr_v_pipa_may_2023_update.pdf?utm_source=openai
[7] arxiv - https://arxiv.org/abs/2103.07297?utm_source=openai
[8] Iss3 - https://digitalcommons.law.uw.edu/wilj/vol29/iss3/7/?utm_source=openai
[9] Cross Border Data Transfers Compliance - https://auditdss.com/blog/cross-border-data-transfers-compliance/?utm_source=openai