जनरल डेटा प्रोटेक्शन रेग्युलेशनमध्ये वैयक्तिक डेटाच्या साठवण आणि प्रक्रियेबाबत मार्गदर्शक तत्त्वे देण्यात आली आहेत. वैयक्तिक डेटा म्हणजे एखाद्या ओळखल्या गेलेल्या किंवा ओळखल्या जाणाऱ्या व्यक्तीबद्दलची कोणतीही माहिती, ज्याला डेटा विषय देखील म्हटले जाते. वैयक्तिक डेटामध्ये खालील माहिती समाविष्ट आहे:  नाव पत्ता ओळखपत्र/पासपोर्ट क्रमांक उत्पन्न सांस्कृतिक आकृती इंटरनेट प्रोटोकॉल (आयपी) पत्ता रुग्णालय किंवा डॉक्टरांच्या ताब्यात असलेली माहिती (जे आरोग्यविषयक कारणांसाठी एखाद्या व्यक्तीची ओळख पटवते).  डेटाची विशेष श्रेणी आपण एखाद्या व्यक्तीच्या वैयक्तिक डेटावर प्रक्रिया करू शकत नाही:  जातीय किंवा जातीय मूळ लैंगिक आवड राजकीय मत धार्मिक किंवा तत्त्वज्ञानाची श्रद्धा ट्रेड युनियन सदस्यत्व अनुवांशिक, बायोमेट्रिक किंवा आरोग्यविषयक डेटा, विशिष्ट प्रकरणांशिवाय (उदाहरणार्थ, जेव्हा आपल्याला स्पष्ट संमती दिली गेली असेल किंवा जेव्हा सार्वजनिक हिताच्या कारणास्तव, ईयू किंवा राष्ट्रीय कायद्याच्या आधारे प्रक्रिया करणे आवश्यक असेल) गुन्हेगारी दोषी आणि गुन्हेगारीशी संबंधित वैयक्तिक डेटा, जोपर्यंत युरोपियन युनियन किंवा राष्ट्रीय कायद्याने परवानगी दिली नाही.  वैयक्तिक माहितीवर प्रक्रिया कोण करते? प्रक्रिया दरम्यान, वैयक्तिक डेटा विविध कंपन्या किंवा संस्थांमधून जाऊ शकतो. या चक्रात दोन मुख्य प्रोफाइल आहेत जे वैयक्तिक डेटाच्या प्रक्रियेशी संबंधित आहेतः  डेटा नियंत्रक - वैयक्तिक डेटावर प्रक्रिया करण्याचे उद्दीष्ट आणि मार्ग ठरवते. डेटा प्रोसेसर - डेटा नियंत्रकाच्या वतीने डेटा ठेवतो आणि त्यावर प्रक्रिया करतो. एखाद्या कंपनीमध्ये वैयक्तिक डेटाची प्रक्रिया कशी केली जाते याचे निरीक्षण कोण करते? कंपनीने नियुक्त केलेला डेटा प्रोटेक्शन ऑफिसर (डीपीओ), वैयक्तिक डेटाची प्रक्रिया कशी केली जाते याचे निरीक्षण करण्यासाठी आणि वैयक्तिक डेटाची प्रक्रिया करणाऱ्या कर्मचार्यांना त्यांच्या जबाबदाऱ्यांबद्दल माहिती देण्यासाठी आणि सल्ला देण्यासाठी जबाबदार आहे. डेटा प्रोटेक्शन ऑथॉरिटी (डीपीए) सोबत डीपीओ सहकार्य करतो आणि डीपीए आणि व्यक्ती यांच्यात संपर्क बिंदू म्हणून काम करतो.  दुसर्या कंपनीसाठी डेटा प्रोसेसिंग एक डेटा नियंत्रक केवळ डेटा प्रोसेसर वापरू शकतो जो पुरेशी हमी देतो, हे संबंधित पक्षांमधील लिखित करारामध्ये समाविष्ट केले पाहिजे. करारामध्ये अनेक अनिवार्य कलमेही असावीत, जसे की डेटा प्रोसेसर केवळ डेटा नियंत्रकाद्वारे असे करण्याचे निर्देश दिल्यासच वैयक्तिक डेटावर प्रक्रिया करेल.  युरोपियन युनियन बाहेर डेटा ट्रान्सफर जेव्हा वैयक्तिक डेटा युरोपियन युनियनच्या बाहेर हस्तांतरित केला जातो, तेव्हा जीडीपीआरद्वारे प्रदान केलेला संरक्षण डेटासह प्रवास केला पाहिजे. याचा अर्थ असा की जर तुम्ही परदेशात डेटा निर्यात करत असाल, तर तुमच्या कंपनीने खालीलपैकी एका उपाययोजनाचे पालन करणे आवश्यक आहे:  युरोपियन युनियनच्या बाहेरील देशाचे संरक्षण युरोपियन युनियनने पुरेसे मानले आहे. तुमच्या कंपनीने योग्य सुरक्षा उपाययोजना करण्यासाठी आवश्यक उपाययोजना केल्या आहेत, जसे की वैयक्तिक डेटाच्या बिगर-युरोपियन आयातकर्त्याशी झालेल्या करारामध्ये विशिष्ट कलमे समाविष्ट करणे. तुमची कंपनी हस्तांतरणासाठी विशिष्ट कारणांवर (अपवाद) अवलंबून असते जसे की व्यक्तीची संमती. डेटा प्रोसेसिंगची परवानगी कधी आहे? ईयू डेटा संरक्षण नियमांचा अर्थ असा आहे की आपण एका विशिष्ट आणि कायदेशीर हेतूसाठी डेटावर निष्पक्ष आणि कायदेशीर पद्धतीने प्रक्रिया केली पाहिजे आणि केवळ या हेतूची पूर्तता करण्यासाठी आवश्यक असलेल्या डेटावर प्रक्रिया केली पाहिजे. आपण हे सुनिश्चित केले पाहिजे की आपण वैयक्तिक डेटावर प्रक्रिया करण्यासाठी खालीलपैकी एक अटी पूर्ण करता; आपणः  याला संबंधित व्यक्तीची संमती मिळाली आहे वैयक्तिक व्यक्तीशी करारबद्ध बंधनांची पूर्तता करण्यासाठी वैयक्तिक डेटाची आवश्यकता आहे कायदेशीर बंधनांची पूर्तता करण्यासाठी वैयक्तिक डेटाची आवश्यकता आहे वैयक्तिक हितसंबंधांचे रक्षण करण्यासाठी वैयक्तिक डेटाची आवश्यकता आहे जनहिताच्या कार्यात वैयक्तिक डेटावर प्रक्रिया करणे तुमच्या कंपनीच्या कायदेशीर हितासाठी काम करत आहेत, जोपर्यंत ज्यांच्या डेटावर प्रक्रिया केली जाते त्या व्यक्तीच्या मूलभूत हक्क आणि स्वातंत्र्यावर गंभीर परिणाम होत नाही. जर त्या व्यक्तीचे हक्क तुमच्या कंपनीच्या हितापेक्षा जास्त असतील, तर तुम्ही वैयक्तिक डेटावर प्रक्रिया करू शकत नाही.   डेटा प्रोसेसिंगला संमती देणे - संमती प्रवेश करण्याचा अधिकार आणि डेटा पोर्टेबिलिटीचा अधिकार दुरुस्तीचा अधिकार आणि आक्षेप घेण्याचा अधिकार मिटवण्याचा अधिकार (विसरण्याचा अधिकार) स्वयंचलित निर्णय आणि प्रोफाइलिंग डेटा उल्लंघने <unk> योग्य सूचना प्रदान करणे विनंत्यांना प्रतिसाद परिणाम मूल्यांकन नोंदी ठेवणे
जीडीपीआर बद्दल संदर्भ मजकूर दिल्यास, जीडीपीआर वैयक्तिक डेटा सुरक्षित करण्यात कशी मदत करते ते सांगा.
Context:जनरल डेटा प्रोटेक्शन रेग्युलेशन (2016/679, "जीडीपीआर") हे युरोपियन युनियन आणि युरोपियन इकॉनॉमिक एरिया (ईईए) मधील डेटा प्रोटेक्शन आणि प्रायव्हसीवर युरोपियन युनियनच्या कायद्यातील एक नियमन आहे. जीडीपीआर हा ईयू गोपनीयता कायदा आणि मानवी हक्क कायद्याचा एक महत्त्वाचा घटक आहे, विशेषतः युरोपियन युनियनच्या मूलभूत हक्कांच्या चार्टरच्या अनुच्छेद 8 (1) चा भाग. यात ईयू आणि ईईए क्षेत्राबाहेर वैयक्तिक डेटाच्या हस्तांतरणाचाही समावेश आहे. जीडीपीआरचा मुख्य उद्देश म्हणजे वैयक्तिक डेटावरील व्यक्तींचे नियंत्रण आणि अधिकार वाढवणे आणि आंतरराष्ट्रीय व्यवसायासाठी नियामक वातावरण सुलभ करणे हा आहे. डेटा प्रोटेक्शन डायरेक्टिव्ह 95/46/ईसीच्या जागी, या नियमामध्ये ईईएमध्ये असलेल्या व्यक्तींच्या वैयक्तिक डेटाच्या प्रक्रियेशी संबंधित तरतुदी आणि आवश्यकता आहेत, ज्यांना अधिकृतपणे "डेटा विषय" म्हटले जाते, आणि ईईएमध्ये असलेल्या व्यक्तींच्या वैयक्तिक माहितीवर प्रक्रिया करणार्या कोणत्याही एंटरप्राइझवर लागू होते. जीडीपीआर 14 एप्रिल 2016 रोजी स्वीकारण्यात आला आणि 25 मे 2018 पासून अंमलबजावणीयोग्य झाला. जीडीपीआर हा एक नियम आहे, निर्देशक नाही, तो थेट बंधनकारक आणि लागू आहे, आणि नियमाच्या काही पैलूंसाठी लवचिकता प्रदान करतो जे वैयक्तिक सदस्य राज्यांमध्ये समायोजित केले जाऊ शकते.  युरोपियन कमिशनच्या मते, "वैयक्तिक डेटा ही अशी माहिती आहे जी एखाद्या ओळखलेल्या किंवा ओळखण्यायोग्य व्यक्तीशी संबंधित आहे. जर तुम्हाला त्या माहितीवरून एखाद्या व्यक्तीची थेट ओळख पटत नसेल, तर तुम्हाला विचार करावा लागेल की ती व्यक्ती अद्याप ओळखण्यायोग्य आहे का. आपण ज्या माहितीवर प्रक्रिया करीत आहात त्या माहितीचा आणि त्या व्यक्तीची ओळख पटविण्यासाठी आपण किंवा इतर कोणत्याही व्यक्तीने वापरल्या जाण्याची शक्यता असलेल्या सर्व माध्यमांचा आपण विचार केला पाहिजे. "वैयक्तिक डेटा", "प्रक्रिया", "डेटा विषय", "नियंत्रक" आणि "प्रक्रियाकर्ता" यासारख्या संज्ञांची अचूक व्याख्या नियमाच्या अनुच्छेद 4 मध्ये दिली आहे.  तत्त्वे वैयक्तिक डेटावर प्रक्रिया केली जाऊ शकत नाही, जर त्यासाठी किमान एक कायदेशीर आधार नसेल. अनुच्छेद ६ मध्ये असे म्हटले आहे की कायदेशीर हेतू खालीलप्रमाणे आहेतः  (अ) जर डेटा विषयाने त्याच्या वैयक्तिक डेटाच्या प्रक्रियेस सहमती दिली असेल तर; (ब) डेटा विषयाशी संबंधित कराराच्या बंधनांची पूर्तता करण्यासाठी, किंवा कराराच्या प्रक्रियेत असलेल्या डेटा विषयाच्या विनंतीनुसार कार्ये करण्यासाठी; (c) डेटा नियंत्रकाच्या कायदेशीर जबाबदाऱ्यांची पूर्तता करणे; (ड) डेटा विषयाचे किंवा अन्य व्यक्तीचे जीवनावश्यक हित जपण्यासाठी; (ई) सार्वजनिक हिताचे किंवा अधिकृत अधिकाराचे काम करणे; (एफ) डेटा नियंत्रक किंवा तृतीय पक्षाच्या कायदेशीर हितसंबंधांसाठी, जोपर्यंत या हितसंबंधांना डेटा विषयाचे हितसंबंध किंवा मूलभूत हक्कांच्या चार्टरनुसार त्याचे अधिकार (विशेषतः मुलांच्या बाबतीत) वगळले जात नाहीत.  वैयक्तिक डेटाची सुरक्षा डेटा संरक्षण तत्त्वांची अंमलबजावणी करण्यासाठी नियंत्रक आणि वैयक्तिक डेटा प्रोसेसरने योग्य तांत्रिक आणि संस्थात्मक उपाययोजना करणे आवश्यक आहे. वैयक्तिक डेटा हाताळणाऱ्या व्यावसायिक प्रक्रियेची रचना आणि निर्मिती या तत्त्वांचा विचार करून केली पाहिजे आणि डेटा संरक्षणासाठी सुरक्षा उपाययोजना (उदाहरणार्थ, आवश्यक असल्यास छद्मनाम किंवा पूर्ण अनामिक वापरणे) प्रदान करणे आवश्यक आहे. डेटा नियंत्रकांनी गोपनीयता लक्षात घेऊन माहिती प्रणाली तयार केल्या पाहिजेत. उदाहरणार्थ, सर्वोच्च शक्य गोपनीयता सेटिंग्ज वापरणे, जेणेकरून डेटासेट सार्वजनिकरित्या उपलब्ध नसतील आणि एखाद्या विषयाची ओळख पटविण्यासाठी वापरले जाऊ शकत नाहीत. कोणत्याही वैयक्तिक डेटावर प्रक्रिया केली जाऊ शकत नाही, जर ही प्रक्रिया नियमानुसार निर्दिष्ट केलेल्या सहा कायदेशीर कारणांपैकी एका आधारावर केली गेली नसेल (संमती, करार, सार्वजनिक कार्य, जीवनावश्यक हित, कायदेशीर हित किंवा कायदेशीर आवश्यकता). जेव्हा प्रक्रिया संमतीवर आधारित असते तेव्हा डेटा विषयाला कोणत्याही वेळी ती मागे घेण्याचा अधिकार असतो.  कलम ३३ नुसार, डेटा नियंत्रकाने विनाकारण विलंब न करता पर्यवेक्षी प्राधिकरणाला सूचित करण्याची कायदेशीर जबाबदारी आहे, जोपर्यंत उल्लंघनामुळे व्यक्तींच्या हक्क आणि स्वातंत्र्यांना धोका निर्माण होण्याची शक्यता नाही. डेटा उल्लंघनाची माहिती मिळाल्यानंतर अहवाल देण्यासाठी जास्तीत जास्त 72 तास आहेत. प्रतिकूल परिणामाचा उच्च धोका आढळल्यास व्यक्तींना सूचित करावे लागेल (कलम ३४). याव्यतिरिक्त, डेटा प्रोसेसरला वैयक्तिक डेटा उल्लंघनाची जाणीव झाल्यानंतर अनावश्यक विलंब न करता नियंत्रकाला सूचित करावे लागेल (कलम ३३). तथापि, डेटा नियंत्रकाने योग्य तांत्रिक आणि संस्थात्मक संरक्षण उपाययोजना अंमलात आणल्या आहेत ज्यामुळे वैयक्तिक डेटा कोणत्याही व्यक्तीस ज्याला त्यात प्रवेश करण्यास अधिकृत नाही अशा व्यक्तीस समजत नाही, जसे की एन्क्रिप्शन (कलम 34).  डेटा संरक्षण अधिकारी  कलम ३७ नुसार डेटा प्रोटेक्शन ऑफिसरची नियुक्ती करणे आवश्यक आहे. जर प्रक्रिया एखाद्या सार्वजनिक प्राधिकरणाद्वारे केली जाते (न्यायालय वगळता किंवा स्वतंत्र न्यायिक प्राधिकरणे जेव्हा त्यांच्या न्यायिक क्षमतांमध्ये कार्य करतात) किंवा जर प्रक्रिया ऑपरेशन्समध्ये डेटा विषयांचे नियमित आणि पद्धतशीर देखरेख मोठ्या प्रमाणात असते, किंवा जर गुन्हेगारी दोषी आणि गुन्हेगारीशी संबंधित डेटा आणि वैयक्तिक डेटाच्या विशेष श्रेणींची मोठ्या प्रमाणात प्रक्रिया केली जाते (अनुच्छेद 9 आणि अनुच्छेद 10) डेटा संरक्षण अधिकारी (डीपीओ) - डेटा संरक्षण कायद्याचे आणि पद्धतींचे तज्ज्ञ ज्ञान असलेली व्यक्ती - नियंत्रक किंवा प्रोसेसरला त्यांच्या अंतर्गत अनुपालनाचे निरीक्षण करण्यात मदत करण्यासाठी नियुक्त केली पाहिजे.  नियुक्त डीपीओ हा नियंत्रक किंवा प्रोसेसरचा सध्याचा कर्मचारी सदस्य असू शकतो, किंवा ही भूमिका सेवा कराराद्वारे बाह्य व्यक्ती किंवा एजन्सीला आउटसोर्स केली जाऊ शकते. कोणत्याही परिस्थितीत, प्रोसेसिंग बॉडीने हे सुनिश्चित केले पाहिजे की डीपीओच्या इतर भूमिका किंवा हितसंबंधांमध्ये हितसंबंधांचा संघर्ष नाही. डेटा प्रोसेसिंग संस्थेने डीपीओचे संपर्क तपशील प्रकाशित केले पाहिजेत (उदाहरणार्थ, गोपनीयता सूचनेमध्ये) आणि पर्यवेक्षी प्राधिकरणाकडे नोंदणीकृत केले पाहिजे.  डीपीओ हे अनुपालन अधिकाऱ्यांसारखेच आहेत आणि आयटी प्रक्रिया, डेटा सुरक्षा (सायबर हल्ल्यांचा सामना करण्यासह) आणि वैयक्तिक आणि संवेदनशील डेटाच्या संचय आणि प्रक्रियेशी संबंधित इतर गंभीर व्यवसाय सातत्य समस्यांचे व्यवस्थापन करण्यास सक्षम असणे अपेक्षित आहे. डेटा संरक्षण कायदे आणि नियमांचे कायदेशीर अनुपालन समजून घेण्यापेक्षा आवश्यक कौशल्यांचा संच वाढतो. डीपीओने संस्थेच्या वतीने गोळा केलेले आणि संग्रहित केलेले सर्व डेटाची एक जिवंत डेटा यादी ठेवली पाहिजे. 13 डिसेंबर 2016 रोजी (पुनरावलोकन 5 एप्रिल 2017) दिशानिर्देश दस्तऐवजात डेटा संरक्षण अधिकाऱ्याच्या कार्याबद्दल आणि भूमिकेबद्दल अधिक तपशील देण्यात आला.  ईयू बाहेर आधारित संस्था देखील एक प्रतिनिधी आणि त्यांच्या GDPR जबाबदाऱ्या संपर्क बिंदू म्हणून ईयू मध्ये आधारित व्यक्ती नियुक्त करणे आवश्यक आहे (कलम 27). ही एक डीपीओची वेगळी भूमिका आहे, जरी जबाबदाऱ्यांमध्ये आच्छादन आहे जे सूचित करते की ही भूमिका नियुक्त डीपीओद्वारे देखील केली जाऊ शकते.