ඔබට GDPR යටතේ පුද්ගලික දත්ත බෙදා ගත හැක්කේ 6 වන වගන්තිය යටතේ ඔබට නීතිමය පදනමක් තිබේ නම්, ලබන්නා සකසනයක් ද පාලකයෙක් ද යන්න ලිඛිතව විසඳා ඇත්නම් සහ බෙදා ගැනීම පිළිබඳව අදාළ පුද්ගලයින්ට පවසා ඇත්නම් පමණි. එම කොන්දේසි තුන වැරදී යන බොහෝ දේ ආවරණය කරයි. ප්‍රධාන ව්‍යතිරේක වන්නේ යුරෝපීය ආර්ථික ප්‍රදේශයෙන් (EEA) පිටත මාරුවීම් සහ ඉහළ අවදානම් සැකසුම් වන අතර එමඟින් අමතර අවශ්‍යතා ඉහළින් ගෙන එනු ලැබේ.
නෙදර්ලන්තයේ, ලන්දේසි දත්ත ආරක්ෂණ අධිකාරිය ( Autoriteit Persoonsgegevens , AP) ලන්දේසි ක්‍රියාත්මක කිරීමේ පනත ( Uitvoeringswet AVG , UAVG) සමඟ එක්ව GDPR බලාත්මක කරයි. පුද්ගලික දත්ත සෑම විටම ආයතනික සීමාවන් ඉක්මවා යයි: වලාකුළු සැපයුම්කරුවෙකුට, වැටුප් කාර්යාංශයකට, අලෙවිකරණ ආයතනයකට, ණය එකතු කරන්නෙකුට හෝ විදේශයන්හි සමූහ සමාගමකට. එම සෑම ප්‍රවාහයක්ම තමන්ගේම සාධාරණීකරණයක් අවශ්‍ය වෙනම සැකසුම් මෙහෙයුමකි. පහත අපි ප්‍රායෝගිකව පුනරාවර්තනය වන අවදානම් හතක්, ඒවා ක්‍රියාත්මක කරන විධිවිධාන සහ AP හෝ හිමිකම් පාන්නෙකු ප්‍රශ්නය මතු කිරීමට පෙර ඔබට ඒ සෑම එකක් ගැනම කළ හැකි දේ දක්වා ඇත.
අවදානම 1: ඔබ වලංගු නීතිමය පදනමක් නොමැතිව දත්ත බෙදා ගන්නවාද?
පුද්ගලික දත්තවල සෑම හෙළිදරව් කිරීමකටම 6(1) GDPR වගන්තියේ නීතිමය පදනම් හයෙන් එකක් අවශ්‍ය වේ. වාණිජ හේතුවක් ඉන් එකක් නොවේ.
මෙම පදනම් හය සවිස්තරාත්මක වේ: කැමැත්ත, කොන්ත්‍රාත්තුවක් ඉටු කිරීම, නීතිමය බැඳීමක්, වැදගත් අවශ්‍යතා, පොදු කාර්යයක් සහ නීත්‍යානුකූල අවශ්‍යතා. 5(1)(අ) වගන්තිය එකතු කරන්නේ සැකසීම සැමවිටම නීත්‍යානුකූල, සාධාරණ සහ විනිවිද පෙනෙන විය යුතු බවයි. කඩදාසි මත පවතින නමුත් කිසිවෙකුට කිසිදා පැහැදිලි නොකළ පදනමක් තවමත් පරතරයක් ඉතිරි කරයි.
නීත්‍යානුකූල උනන්දුව උගුලක් වන්නේ ඇයි?
හවුල්කරුවන් සහ සැපයුම්කරුවන් සමඟ බෙදා ගැනීම සඳහා බොහෝ විට භාවිතා කරන පදනම නීත්‍යානුකූල අවශ්‍යතා වන අතර, බොහෝ විට වැරදි ලෙස භාවිතා කරන එකකි. එයට පියවර තුනක පරීක්ෂණයක් අවශ්‍ය වේ:
- උනන්දුව නීත්‍යානුකූල විය යුතුය;
- එයට සේවය කිරීම සඳහා බෙදාගැනීම අවශ්‍ය විය යුතුය;
- අදාළ පුද්ගලයින්ගේ අයිතිවාසිකම් සහ නිදහස මගින් උනන්දුව යටපත් නොකළ යුතුය.
බෙදාගැනීම ආරම්භ වීමට පෙර ඔබ මෙම තුලන පරීක්ෂණය සිදු කර වාර්තා කළ යුතුය. 5(2) වගන්තිය GDPR අනුකූලතාවය පෙන්වීමේ බර පාලකයා මත පටවයි (වගවීම). පැමිණිල්ලක් ලැබුණු පසු ලියන ලද නීත්‍යානුකූල අවශ්‍යතා තක්සේරුවක් ඉතා සුළු වටිනාකමක් ඇත.
කැමැත්ත සහ අරමුණු සීමා කිරීම ගැන කුමක් කිව හැකිද?
තවත් උගුල් දෙකක් නම් කිරීම වටී. රැකියා සම්බන්ධතාවයක කැමැත්ත වලංගු වන්නේ කලාතුරකිනි, මන්ද බලයේ අසමතුලිතතාවය යනු එය නිදහසේ ලබා නොදෙන බැවිනි. දත්ත බෙදා ගැනීම සඳහා එය මත විශ්වාසය තබන සේවායෝජකයෙකු සාමාන්‍යයෙන් කිසිවක් මත රඳා නොපවතී.
5(1)(b) වගන්තිය යටතේ අරමුණු සීමා කිරීම මුල් එකතුවට සමානව බෙදා ගැනීමටද අදාළ වේ. වාණිජ තර්කනය ආකර්ශනීය බැවින් සේවාවක් ලබා දීම සඳහා රැස් කරන ලද දත්ත අලෙවිකරණය සඳහා හවුල්කරුවෙකුට ලබා දිය නොහැක. නව අරමුණ මුල් අරමුණ සමඟ නොගැලපෙන තැන, ඔබට නැවුම් පදනමක් අවශ්‍ය වේ.
කළ යුතු දේ: ඕනෑම පුද්ගලික දත්තයක් ඔබේ සංවිධානයෙන් ඉවත් වීමට පෙර, පදනම හඳුනාගෙන, එය ලියා තබා ඔබේ රහස්‍යතා නිවේදනය දැනටමත් බෙදාගැනීම විස්තර කර ඇත්දැයි පරීක්ෂා කරන්න. පදනම නීත්‍යානුකූල අවශ්‍යතා නම්, තක්සේරුව ගොනුවට අයත් වේ. එය කැමැත්ත නම්, එම කැමැත්ත නිදහසේ ලබා දිය යුතුය, නිශ්චිත, දැනුවත් සහ නොපැහැදිලි විය යුතු අතර, ලබා දීමට තරම් පහසුවෙන් ආපසු ලබා ගත යුතුය.
අවදානම 2: ඔබ පාලක සහ සකසනයේ භූමිකාවන් වැරදියට තේරුම් ගෙන තිබේද?
පාලකයෙකු සැකසීමේ අරමුණු සහ මාධ්‍යයන් තීරණය කරයි; සකසනයක් ක්‍රියා කරන්නේ පාලකයාගේ ලේඛනගත උපදෙස් මත පමණි (4(7) සහ (8) GDPR වගන්තිය). වැදගත් වන්නේ කොන්ත්‍රාත්තුවේ පාර්ශවයන් හඳුන්වන දේ නොව, ඇත්ත වශයෙන්ම තීරණය කරන්නේ කවුරුන්ද යන්නයි.
වැරදි වර්ගීකරණය කිසිවෙකු ඉටු නොකරන බැඳීම් නිර්මාණය කරයි. පොදු දෝෂය වන්නේ සෑම සැපයුම්කරුවෙකුම සකසනයක් ලෙස ලේබල් කිරීමයි. එහෙත් පහත සඳහන් කිසිවක් උපදෙස් මත පමණක් ක්‍රියා නොකරයි:
- තමන්ගේම නිෂ්පාදනය වැඩිදියුණු කිරීම සඳහා පාරිභෝගික දත්ත භාවිතා කරන SaaS සැපයුම්කරුවෙක්;
- වෘත්තීය නීතිරීතිවලට බැඳී සිටින ගණකාධිකාරීවරයෙකු;
- ගෙවීමක් ක්‍රියාත්මක කරන බැංකුවක්;
- තමන්ගේම ප්‍රේක්ෂක පැතිකඩ ගොඩනගා ගන්නා වෙළඳ දැන්වීම් වේදිකාවක්.
සෑම එකක්ම අවම වශයෙන් සැකසුම් කොටසකට තමන්ගේම අයිතියෙන් පාලකයෙකි. සංවිධාන දෙකක් ඒකාබද්ධව අරමුණු සහ මාධ්‍යයන් තීරණය කරන විට, ඔවුන් GDPR හි 26 වන වගන්තිය යටතේ ඒකාබද්ධ පාලකයන් වේ. ඔවුන් විධිවිධානයක් තුළ ඔවුන්ගේ අදාළ වගකීම් නියම කළ යුතු අතර, එම විධිවිධානයේ සාරය අදාළ පුද්ගලයින්ට ලබා ගත හැකි විය යුතුය.
EU අධිකරණය ඒකාබද්ධ පාලනය කෙතරම් පුළුල් ලෙස අර්ථ දක්වයිද?
පුළුල් ලෙස. විලාසිතා හැඳුනුම්පත (C-40/17) හි , අධිකරණ අධිකරණය තීරණය කළේ තෙවන පාර්ශවීය සමාජ ප්ලග්-ඉන් එකක් ඇතුළත් කරන වෙබ් අඩවි ක්‍රියාකරුවෙකු අමුත්තන්ගේ දත්ත රැස් කිරීම සහ සම්ප්‍රේෂණය කිරීම සඳහා ඒකාබද්ධ පාලකයෙකු බවයි. පසුව දත්ත වෙත ප්‍රවේශයක් නොතිබුණද සහ ඊළඟට සිදු වූ දේ තීරණය නොකළද එය එසේ විය. අරමුණු කෙරෙහි අර්ධ බලපෑමක් ප්‍රමාණවත්ය. ප්‍රායෝගික ප්‍රතිවිපාකය වන්නේ ඒකාබද්ධ වගකීමයි: ඔබ සිදු නොකළ සහ දැකීමට නොහැකි වූ උල්ලංඝනයක් සඳහා ඔබට වගකීම පැවරිය හැකිය.
කළ යුතු දේ: පළමුව දත්ත ප්‍රවාහ සිතියම්ගත කර, එක් එක් ප්‍රවාහය සඳහා, දත්ත සකසන ආකාරය සහ ඇයි යන්න තීරණය කරන්නේ කවුදැයි විමසන්න. නිගමනය සටහන් කර, පසුව එය නිවැරදිව ලේඛනගත කරන්න. සකසනයන් සඳහා 28 වන වගන්තිය යටතේ සැකසුම් ගිවිසුමක් සහ 26 වන වගන්තිය යටතේ ඒකාබද්ධ පාලක සැකසුමක් භාවිතා කරන්න, එහිදී දෙපාර්ශවයම තීරණය කරයි. ස්වාධීන පාලකයන් දෙදෙනෙකු දත්ත හුවමාරු කරන විට, සාමාන්‍ය කොන්ත්‍රාත්තු නියමයන් සහ එක් එක් පාර්ශවයේ තමන්ගේම අනුකූලතාවය සිදු කරනු ඇත.
අවදානම 3: ඔබගේ දත්ත සැකසුම් ගිවිසුම අස්ථානගත වී තිබේද නැතහොත් දෝෂ සහිතද?
සකසනයක් ඔබ වෙනුවෙන් පුද්ගලික දත්ත හසුරුවන්නේ නම්, 28(3) වගන්තිය GDPR ලිඛිත කොන්ත්‍රාත්තුවක් අවශ්‍ය කරයි. එය නොමැතිව, කිසිවක් වැරදුනත්, සැකසීම ආරම්භ වූ මොහොතේ සිට ඔබ උල්ලංඝනයකට ලක්ව ඇත.
කිසිදු හානියක් සිදුවී නොතිබිය යුතු අතර දත්ත කාන්දු වී නොතිබිය යුතුය. ගිවිසුම නොමැති වීමම උල්ලංඝනයක් වන අතර එය අධීක්ෂණ අධිකාරියකට ස්ථාපිත කිරීමට ඇති පහසුම එකකි.
අන්තර්ගතය නීතියෙන් නියම කර ඇති අතර පාර්ශවයන්ට ඉතිරි නොවේ. අනුකූල දත්ත සැකසුම් ගිවිසුමක සඳහන් විය යුත්තේ:
- සැකසීමේ විෂය සහ කාලසීමාව;
- එහි ස්වභාවය සහ අරමුණ;
- පුද්ගලික දත්ත වර්ග සහ අදාළ පුද්ගලයින්ගේ කාණ්ඩ;
- පාලකයාගේ බැඳීම් සහ අයිතිවාසිකම්.
එය සකසනය බැඳිය යුත්තේ:
- ලේඛනගත උපදෙස් මත පමණක් ක්‍රියාවලිය සිදු කරන්න;
- එහි කාර්ය මණ්ඩලයට රහස්‍යභාවය පනවන්න;
- 32 වන වගන්තිය මගින් අවශ්‍ය ආරක්ෂක පියවර ගැනීම;
- දත්ත විෂයයන්ගෙන් ලැබෙන ඉල්ලීම් සහ උල්ලංඝනය පිළිබඳ දැනුම්දීම් සම්බන්ධයෙන් සහාය වීම;
- සම්බන්ධතාවය අවසානයේ දත්ත මකා දැමීම හෝ ආපසු ලබා දීම;
- අනුකූලතාවය පෙන්වීමට අවශ්‍ය තොරතුරු පාලකයාට ලබා දී විගණනවලට ඉඩ දෙන්න.
උප-සකසන වගන්ති බොහෝ විට අසාර්ථක වන්නේ ඇයි?
28(2) සහ (4) වගන්ති යටතේ, ඕනෑම උප-සකසනයක් සඳහා සකසනයට ඔබේ පූර්ව නිශ්චිත හෝ සාමාන්‍ය ලිඛිත අවසරය අවශ්‍ය වේ. සාමාන්‍ය අවසරයක් සහිතව, සකසනය අපේක්ෂිත වෙනස්කම් පිළිබඳව ඔබට දැනුම් දිය යුතු අතර ඔබට විරෝධය දැක්වීමට අවස්ථාව ලබා දිය යුතුය.
සකසනයට තමන් කැමති ඕනෑම අයෙකු සම්බන්ධ කර ගැනීමට ඉඩ සලසන වගන්තියක් එම ප්‍රමිතිය සපුරාලන්නේ නැත. කිසිවෙකු තක්සේරු නොකළ රටකට සැපයුම්කරුවන්ගේ දාමයක් ළඟා වන විට එය හරියටම වැදගත් වන වගන්තියයි.
කළ යුතු දේ: 28(3) වගන්තියෙන් වගන්තිය අනුගමනය කරන සැකිල්ලකින් වැඩ කරන්න, සහ සැපයුම්කරුවෙකුගේම නියමයන් කරනු ඇතැයි උපකල්පනය කරනවාට වඩා දැනටමත් ක්‍රියාත්මක වන ගිවිසුම් සමාලෝචනය කරන්න. දිගුකාලීන සබඳතා ලේඛනගත නොවීමට බොහෝ දුරට ඉඩ ඇත්තේ සම්බන්ධතාවය තරුණ වියේදී ලේඛන කටයුතු කිසි විටෙකත් ප්‍රමුඛතාවයක් නොවූ බැවිනි.
අවදානම 4: ඔබ ආරක්ෂිත ක්‍රමවේද නොමැතිව EEA වෙතින් පිටතට දත්ත මාරු කරනවාද?
EEA වලින් පිටත මාරු කිරීමකට අවසර දෙනු ලබන්නේ ප්‍රමාණවත් තීරණයක් හෝ සම්මත ගිවිසුම් වගන්ති වැනි සුදුසු ආරක්ෂණ ක්‍රමවේදයන් මත පමණි. 49 වන වගන්තියේ ව්‍යතිරේක අවස්ථා සඳහා පමණි.
V වන පරිච්ඡේදය GDPR මගින් EEA වලින් පිටත රටවලට පුද්ගලික දත්ත මාරු කිරීම සීමා කරයි. යුරෝපීය කොමිසම ගමනාන්තය සඳහා ප්‍රමාණවත් තීරණයක් ගෙන ඇති විට මාරු කිරීමකට අවසර දෙනු ලැබේ (45 වන වගන්තිය). සුදුසු ආරක්ෂණ ක්‍රම ක්‍රියාත්මක වන විට ද එය අවසර දෙනු ලැබේ (46 වන වගන්තිය), සාමාන්‍යයෙන් කොමිසමේ සම්මත ගිවිසුම් වගන්ති (SCCs) හෝ බන්ධන ආයතනික නීති. කොන්ත්‍රාත්තුවක් සඳහා පැහැදිලි කැමැත්ත හෝ අවශ්‍යතාවය වැනි 49 වන වගන්තියේ ඇති අවඥාවන්ට ව්‍යුහාත්මක දත්ත ප්‍රවාහයකට සහාය විය නොහැක.
ව්‍යාපාර බොහෝ විට නොසලකා හරින්නේ දත්ත EEA වලින් පිටත සිට ප්‍රවේශ විය හැකි සෑම අවස්ථාවකම, එනම් එහි පිටපත් කළ විට පමණක් නොව, හුවමාරුවක් සිදුවන බවයි. වෙනත් මහාද්වීපයක සහායක කාර්ය මණ්ඩලයට දත්ත සමුදාය විවෘත කළ හැකි නම්, EU ආයතනයක් සමඟ ගිවිසුමක් උපකාරී නොවේ. විදේශයන්හි මව් සමාගමක් විසින් දුරස්ථව පරිපාලනය කිරීම යනු සේවාදායකයින් ෆ්‍රැන්ක්ෆර්ට් හි රැඳී සිටියත්, මාරු කිරීමකි.
Schrems II සහ දත්ත රහස්‍යතා රාමුව ඔබට අදහස් කරන්නේ කුමක්ද?
Schrems II (C-311/18) නඩුවේදී , අධිකරණ අධිකරණය EU-US රහස්‍යතා පලිහ අවලංගු කළේය. සම්මත ගිවිසුම් වගන්ති තනිවම ප්‍රමාණවත් නොවන බව ද එය තීරණය කළේය. අපනයනකරු ගමනාන්ත රටේ නීතිය වගන්ති පොරොන්දු වන ආරක්ෂාව අඩපණ කරන්නේද යන්න තක්සේරු කළ යුතු අතර, එය කරන තැන අතිරේක පියවර එකතු කළ යුතුය. 46 වන වගන්තිය මත පදනම් වූ සෑම මාරුවක් සඳහාම එම මාරු බලපෑම් තක්සේරුව (TIA) තවමත් අවශ්‍ය වේ.
එක්සත් ජනපදය සම්බන්ධයෙන්, ස්ථාවරය එක් අතකින් වෙනස් වී ඇත. කොමිසම 2023 ජූලි මාසයේදී EU-US දත්ත රහස්‍යතා රාමුව (DPF) සඳහා ප්‍රමාණවත්භාවය පිළිබඳ තීරණයක් සම්මත කළේය. 2025 සැප්තැම්බර් 3 වන දින EU හි මහා අධිකරණය එය අවලංගු කිරීම සඳහා වූ නඩුවක් ප්‍රතික්ෂේප කළේය ( Latombe , T-553/23). රාමුව යටතේ සැබවින්ම සහතික කර ඇති එක්සත් ජනපද සංවිධානයකට මාරු කිරීම්, එහි සහතිකයෙන් ආවරණය වන දත්ත සඳහා, එබැවින් ප්‍රමාණවත් බව මත විශ්වාසය තැබිය හැකිය. වෙනත් ඕනෑම එක්සත් ජනපද ලබන්නෙකුට මාරු කිරීම් කළ නොහැක. එය උපකල්පනය කරනවාට වඩා සහතිකය පරීක්ෂා කරන්න.
කළ යුතු දේ: උප-සකසනයන් සහ ආධාරක විධිවිධාන ඇතුළුව, ඔබේ සැපයුම් දාමයේ සැඟවී ඇති තුන්වන-රට මාරුවීම් ලැයිස්තුගත කරන්න. එක් එක් සඳහා, ප්‍රමාණවත් බව අදාළ වේද යන්න තහවුරු කරන්න. එසේ නොවේ නම්, සම්මත ගිවිසුම් වගන්තිවල වත්මන් අනුවාදය ක්‍රියාත්මක කරන්න, මාරු බලපෑම් තක්සේරුවක් සිදු කර ලේඛනගත කරන්න, සහ EEA හි තබා ඇති යතුරු සමඟ ශක්තිමත් සංකේතනය වැනි ඔබ විශ්වාස කරන අතිරේක පියවර වාර්තා කරන්න. AP හට මාරුවක් අත්හිටුවීමට නියෝග කළ හැකිය, එය බොහෝ විට දඩයකට වඩා බාධාකාරී වේ.
අවදානම 5: ඔබ දත්ත ආරක්ෂණ බලපෑම් තක්සේරුවක් මඟ හරිනවාද?
35 වන වගන්තිය GDPR දත්ත ආරක්ෂණ බලපෑම් තක්සේරුවක් (DPIA) අවශ්‍ය කරයි, එහිදී සැකසීම පුද්ගලයන්ට ඉහළ අවදානමක් ඇති කිරීමට ඉඩ ඇත. දත්ත බෙදා ගැනීම බොහෝ විට සංවිධාන අපේක්ෂා කරනවාට වඩා ඉක්මනින් එම සීමාව ඉක්මවා යයි.
35(3) වගන්තියේ අවස්ථා තුනක් පැහැදිලිවම නම් කර ඇත:
- නීතිමය හෝ ඒ හා සමාන සැලකිය යුතු බලපෑම් සහිත තීරණ පදනම් කරගත් පුද්ගලික අංශ පිළිබඳ ක්‍රමානුකූල සහ පුළුල් ස්වයංක්‍රීය ඇගයීම;
- විශේෂ කාණ්ඩ දත්ත හෝ අපරාධ වරදකරු දත්ත මහා පරිමාණයෙන් සැකසීම;
- මහා පරිමාණයෙන් මහජනතාවට ප්‍රවේශ විය හැකි ප්‍රදේශයක් ක්‍රමානුකූලව නිරීක්ෂණය කිරීම.
AP විසින් DPIA එකක් සැමවිටම අවශ්‍ය වන සැකසුම් මෙහෙයුම් ලැයිස්තුවක් ද ප්‍රකාශයට පත් කරයි. නව දත්ත බෙදා ගැනීමේ ව්‍යාපෘතියක් ආරම්භ කිරීමට පෙර සොයා බැලිය යුතු පළමු ස්ථානය එම ලැයිස්තුවයි.
සංවිධාන DPIA විශාල ව්‍යාපෘති සමඟ සම්බන්ධ කරන බැවින් මෙම අවශ්‍යතාවය බොහෝ විට අවතක්සේරු කරනු ලැබේ. ප්‍රායෝගිකව, විවිධ මූලාශ්‍රවලින් දත්ත කට්ටල ඒකාබද්ධ කිරීම, විශ්ලේෂණ සැපයුම්කරුවෙකු සමඟ සෞඛ්‍ය හෝ ජෛවමිතික දත්ත බෙදා ගැනීම, පැතිකඩකරණය හෝ ස්වයංක්‍රීය තීරණ ගැනීම භාවිතා කිරීම හෝ සේවකයින් නිරීක්ෂණය කරන මෙවලමක් හඳුන්වා දීම බොහෝ විට තනිවම සීමාව ඉක්මවා යනු ඇත.
DPIA එකක අඩංගු විය යුත්තේ කුමක්ද?
DPIA යනු ව්‍යුහගත අභ්‍යාසයකි, ආකෘතියක් නොවේ. එය සැකසීම සහ එහි අරමුණු විස්තර කළ යුතුය, අවශ්‍යතාවය සහ සමානුපාතිකත්වය තක්සේරු කළ යුතුය, අදාළ පුද්ගලයින්ට ඇති අවදානම් හඳුනාගෙන ඒවාට විසඳුම් ලබා දෙන පියවරයන් සකස් කළ යුතුය, ඒවාට ආරක්ෂණ සහ ආරක්ෂක පියවරයන් ඇතුළත් වේ.
තක්සේරුව මඟින් ඔබට අඩු කළ නොහැකි ඉහළ අවශේෂ අවදානමක් පෙන්නුම් කරන විට, 36 වන වගන්තිය මඟින් සැකසීම ආරම්භ කිරීමට පෙර AP හි පූර්ව උපදේශනය අවශ්‍ය වේ. සැකසීමේ ප්‍රතිඵලය කුමක් වුවත්, අවශ්‍ය DPIA සිදු කිරීමට අපොහොසත් වීමම උල්ලංඝනයකි.
කළ යුතු දේ: 35(3) වගන්තියේ නිර්ණායක සහ AP ලැයිස්තුවට එරෙහිව සෑම නව දත්ත බෙදාගැනීමේ විධිවිධානයක්ම පරීක්ෂා කරන්න. ඔබට දත්ත ආරක්ෂණ නිලධාරියෙකු සිටී නම් ඔහු සම්බන්ධ කරගන්න. තක්සේරුව ජීවමාන ලේඛනයක් ලෙස තබාගෙන සැකසීම වෙනස් වූ විට එය නැවත බලන්න. පිළිතුර සැබවින්ම අපැහැදිලි නම්, DPIA ක්‍රියාත්මක කිරීම නොකිරීමේ තීරණය ආරක්ෂා කිරීමට වඩා ලාභදායී වේ.
අවදානම 6: බෙදාගැනීම ගැන ඔබ මිනිසුන්ට කියන්නේ ඉතා අඩුවෙන්ද?
විනිවිදභාවය යනු වෙනම බැඳීමකි. බෙදාගැනීම සම්පූර්ණයෙන්ම නීත්‍යානුකූල වූ විට පවා ඔබට එය උල්ලංඝනය කළ හැකිය.
13 වන වගන්තිය GDPR මගින් පුද්ගලයාගෙන් රැස් කරන ලද දත්ත ආවරණය කරයි; 14 වන වගන්තිය වෙනත් මූලාශ්‍රයකින් ලබාගත් දත්ත ආවරණය කරයි. දෙකම පාලකයා විසින් පුද්ගලික දත්ත සැකසීමේ අරමුණු සහ නෛතික පදනම සහ ලබන්නන් හෝ ලබන්නන්ගේ කාණ්ඩ ප්‍රකාශ කිරීම අවශ්‍ය වේ.
මෙම කරුණ සම්බන්ධයෙන් රහස්‍යතා නිවේදන පුරෝකථනය කළ හැකි ආකාරයකින් අසාර්ථක වේ. දත්ත “විශ්වාසදායක හවුල්කරුවන් සමඟ බෙදා ගත හැකිය” යනුවෙන් පවසන වාක්‍යයකින් කිසිවක් හඳුනා නොගනී. දැන්වීම සත්කාරක සපයන්නන්, වැටුප් පරිපාලකයින් හෝ ණය යොමු ආයතන වැනි ලබන්නන්ගේ කාණ්ඩ සංයුක්තව නම් කළ යුතුය. බෙදාගැනීම එක් නිශ්චිත සංවිධානයක් සමඟ ඇති විට, එය නම් කිරීම සාමාන්‍යයෙන් පැහැදිලි වේ. EEA වෙතින් පිටත දත්ත මාරු කරන විට, 13(1)(f) සහ 14(1)(f) වගන්ති මගින් දැන්වීම එසේ පැවසීමට, රඳා පවතින ආරක්ෂාව හඳුනා ගැනීමට සහ පිටපතක් ලබා ගත හැකි ආකාරය පැහැදිලි කිරීමට අවශ්‍ය වේ.
ඔබ විසින්ම දත්ත රැස් නොකළ විට අදාළ වන අමතර දේ කුමක්ද?
14 වන වගන්තිය යටතේ, පුද්ගලික දත්ත කාණ්ඩ සහ ඒවායේ මූලාශ්‍රය ද දැන්වීමේ සඳහන් කළ යුතුය. ඔබ එය සාධාරණ කාලයක් තුළ සහ අවම වශයෙන් මාසයක් ඇතුළත හෝ එය ඉක්මනින් සිදුවුවහොත් පුද්ගලයා සමඟ පළමු සන්නිවේදනයේදී ලබා දිය යුතුය.
අලෙවිකරණ ලැයිස්තුවක් මිල දී ගෙන එහි සිටින පුද්ගලයින්ට කිසි විටෙකත් නොකියා එය භාවිතා කිරීම එහි ඇති පැහැදිලිම උල්ලංඝනයන්ගෙන් එකකි. නෙදර්ලන්තයේ රහස්‍යතා ප්‍රතිපත්තියක් සකස් කිරීම පිළිබඳ අපගේ මාර්ගෝපදේශය දැන්වීමේ අඩංගු විය යුතු දේ සම්පූර්ණයෙන්ම දක්වා ඇත.
කළ යුතු දේ: නව ලබන්නෙකු එකතු කරන සෑම අවස්ථාවකම දැන්වීම සමාලෝචනය කර, ඊළඟ වාර්ෂික සමාලෝචනයේදී නොව, බෙදාගැනීම ආරම්භ කිරීමට පෙර එය යාවත්කාලීන කරන්න. 12(1) වගන්තිය යටතේ, දැන්වීම් සංක්ෂිප්ත, තේරුම්ගත හැකි සහ පැහැදිලි සහ සරල භාෂාවෙන් ලියා තිබිය යුතුය. කිසිවෙකුට කියවිය නොහැකි ලේඛනයක සෑම සිතිය හැකි ලබන්නෙකුම ලැයිස්තුගත කිරීමෙන් ගැටළුව විසඳෙන්නේ නැත.
අවදානම 7: ඔබ ව්‍යාජ නම් කරන ලද දත්ත නිර්නාමික ලෙස සලකනවාද?
ව්‍යාජ නාමකරණය කළ දත්ත තවමත් පුද්ගලික දත්ත වේ. සැබෑ නිර්නාමිකකරණය පමණක් GDPR ට පිටත දත්ත ගනී.
4(5) වගන්තිය GDPR විසින් ව්‍යාජ නම් කිරීම යනු පුද්ගලික දත්ත සැකසීම ලෙස අර්ථ දක්වන අතර එමඟින් එය තවදුරටත් නිශ්චිත පුද්ගලයෙකුට සම්බන්ධ කළ නොහැකි වන අතර එය අතිරේක තොරතුරු නොමැතිව වෙන වෙනම තබා ආරක්ෂා කර ඇත. අර්ථ දැක්වීම උපකල්පනය කරන්නේ දත්ත නැවත සම්බන්ධ කිරීම කළ හැකි බවයි. එය නිර්නාමිකකරණයෙන් වෙන්කර හඳුනා ගන්නේ එයයි. අතිරේක තොරතුරු භාවිතා කරමින් පුද්ගලයෙකුට තවමත් ආරෝපණය කළ හැකි දත්ත GDPR හි විෂය පථය තුළ පවතින බව 26 වන පුනරාවර්තනය තහවුරු කරයි.
අවතාරකරණය නිදහසේ බෙදා ගැනීමට බලපත්‍රයක් ලෙස සලකන විට අවදානම පැන නගී. පාරිභෝගික අංක සමඟ නම් ප්‍රතිස්ථාපනය කිරීමෙන් නීතිමය පදනමක්, සැකසුම් ගිවිසුමක්, මාරු කිරීමේ ආරක්ෂාවක් හෝ රහස්‍යතා දැන්වීමක් අවශ්‍ය නොවේ. යතුර දරන්නේ කවුරුන්ද සහ ලබන්නා සතුව ඇති අනෙකුත් දත්ත කට්ටල මොනවාද යන්න ඉතා වැදගත් වේ. තැපැල් කේතයක්, උපන්දිනයක් සහ ගනුදෙනු ඉතිහාසයක් සමඟ ඒකාබද්ධව ව්‍යාජ නාමකරණය කළ වාර්තා බොහෝ විට නැවත හඳුනාගත හැකිය. තක්සේරුව මඟින් ඔබට පමණක් නොව, ලබන්නා විසින් සාධාරණ ලෙස භාවිතා කිරීමට ඉඩ ඇති මාධ්‍යයන් සලකා බැලිය යුතුය.
නැවත හඳුනා ගැනීම තවදුරටත් සාධාරණ ලෙස භාවිතා කිරීමට ඉඩ ඇති කිසිදු ආකාරයකින් කළ නොහැකි සැබෑ නිර්නාමිකකරණය, GDPR වෙතින් පිටත දත්ත ගනී. එය සාක්ෂාත් කර ගැනීම දුෂ්කර වන අතර හිමිකම් පෑමටද පහසුය. කුඩා කණ්ඩායම් එකතු කිරීම, ගුණාංගවල අද්විතීය සංයෝජන සහ පොහොසත් හැසිරීම් දත්ත යන සියල්ලම එය පරාජය කරයි.
කළ යුතු දේ: ලේඛනගත සහ තාක්ෂණිකව හොඳ නිර්නාමිකකරණ ක්‍රියාවලියක් වෙනත් ආකාරයකින් පෙන්නුම් කරන්නේ නම් මිස, දත්ත ව්‍යාජ ලෙස නම් කර ඇති ලෙස සලකන්න, එබැවින් පුද්ගලික දත්ත ලෙස සලකන්න. යතුර වෙන්ව තබා ගන්නා තාක්ෂණික සහ සංවිධානාත්මක පියවර සටහන් කරන්න. වාසිය සැබෑ ය: 32 වන වගන්තිය ව්‍යාජ ලෙස නම් කිරීම සුදුසු ආරක්ෂක පියවරක් ලෙස ලැයිස්තුගත කර ඇති අතර, උල්ලංඝනයක් තක්සේරු කළ විට එය ඔබට පක්ෂව ගණන් ගනී. එය කාන්දුවක ප්‍රතිවිපාක අඩු කරයි, නමුත් එකකට පෙර අදාළ වන බැඳීම් නොවේ.
නෙදර්ලන්තයේ බලාත්මක කිරීම කෙබඳුද?
AP ආයතනයට අනතුරු ඇඟවීමට, තරවටු කිරීමට, නියෝග අනුකූල වීමට, සැකසීම තහනම් කිරීමට, මාරුවීම් අත්හිටුවීමට සහ යුරෝ මිලියන 20 ක් දක්වා හෝ ලොව පුරා වාර්ෂික පිරිවැටුමෙන් 4% ක් දක්වා දඩ නියම කළ හැකිය. පුද්ගලයන්ට සහ පදනම්වලට ද හානි ඉල්ලා සිටිය හැකිය.
AP ආයතනය GDPR සහ UAVG සමඟ අනුකූලතාවය අධීක්ෂණය කරයි. එයට තමන්ගේම මුලපිරීම මත හෝ පැමිණිල්ලකින් පසුව විමර්ශනය කළ හැකිය. GDPR 58 වන වගන්තිය යටතේ එහි බලතල අනතුරු ඇඟවීමක් සහ තරවටු කිරීමක සිට, සැකසීම අනුකූලතාවයට ගෙන ඒමේ නියෝගයක් හරහා, සැකසීම තාවකාලික හෝ ස්ථිර තහනමක් සහ තුන්වන රටක ලබන්නෙකුට දත්ත ප්‍රවාහ අත්හිටුවීමේ නියෝගයක් දක්වා විහිදේ. දඩයක් යනු මෙවලම් වලින් එකක් පමණි. නිශ්චිත දත්ත ප්‍රවාහයක් මත රඳා පවතින ව්‍යාපාරයක් සඳහා, එය කලාතුරකින් වඩාත්ම හානිකර එකක් වේ.
දඩයක් කොපමණ ඉහළ විය හැකිද?
83 වන වගන්තිය GDPR හි උපරිම දඩ මට්ටම් දෙකක් ඇත. සෑම ස්ථරයකම උපරිමය යනු පෙර මූල්‍ය වර්ෂයේ ස්ථාවර මුදලක් හෝ ලොව පුරා වාර්ෂික පිරිවැටුමෙන් ප්‍රතිශතයක් වන අතර, එයින් වැඩි දෙය වේ.
- පහළ ස්ථරය: 25 සිට 39 දක්වා වගන්තිවල ඇති බැඳීම් කඩකිරීම් සඳහා යුරෝ මිලියන 10 ක් හෝ පිරිවැටුමෙන් 2% ක් දක්වා දඩ මුදල්. සැකසුම් ගිවිසුමක් හෝ අවශ්‍ය DPIA නොමැතිකම එයට ඇතුළත් වේ.
- ඉහළ ස්ථරය: මූලික මූලධර්ම, නීතිමය පදනම්, දත්ත විෂයයන්ගේ අයිතිවාසිකම් සහ ජාත්‍යන්තර මාරුවීම් පිළිබඳ නීති උල්ලංඝනය කිරීම සඳහා යුරෝ මිලියන 20 ක් හෝ පිරිවැටුමෙන් 4% ක් දක්වා දඩ.
සමාගම් සමූහයක් සඳහා, ස්ථාවර මුදලට වඩා ප්‍රතිශතය සාමාන්‍යයෙන් අදාළ අගය වේ. 83(2) වගන්තියේ, උල්ලංඝනයේ ස්වභාවය සහ කාලසීමාව, එය හිතාමතා හෝ නොසැලකිලිමත්ද යන්න, හානිය සීමා කිරීමට ගත් පියවර සහ අධිකාරිය සමඟ සහයෝගීතාවයේ මට්ටම ඇතුළුව මුදල තීරණය කරන සාධක ලැයිස්තුගත කර ඇත.
පුද්ගලයන්ට හානි ඉල්ලා සිටිය හැකිද?
ඔව්. 82 වන වගන්තිය GDPR මගින් ද්‍රව්‍යමය හෝ ද්‍රව්‍යමය නොවන හානිවලට ලක් වූ ඕනෑම අයෙකුට පාලකයෙන් හෝ සකසනයෙන් වන්දි ලබා ගැනීමේ අයිතිය ලබා දෙයි.
නෙදර්ලන්තයේ, සාමූහික ක්‍රියාවන්හි මහා පරිමාණ හානි පියවීම පිළිබඳ පනත ( Wet afwikkeling massaschade in collectieve actie , WAMCA) යටතේ, විශාල කණ්ඩායම් සඳහා ක්‍රියා කරන පදනම් මගින් එවැනි හිමිකම් වැඩි වැඩියෙන් සාමූහිකව ගෙන එනු ලැබේ. ප්‍රකාශිත AP තීරණයක් එවැනි හිමිකම් පෑමක් සඳහා පහසු ආරම්භක ලක්ෂ්‍යයකි.
නීති විරෝධී බෙදාගැනීම දත්ත කඩ කිරීමකට තුඩු දෙන්නේ නම් කුමක් කළ යුතුද?
පුද්ගලික දත්ත උල්ලංඝනයක් තමන්ගේම කාලසටහනක් ගෙන එයි. 33 වන වගන්තිය GDPR විසින් අනවශ්‍ය ප්‍රමාදයකින් තොරව AP වෙත දැනුම් දීම අවශ්‍ය කරන අතර, හැකි නම්, ඒ පිළිබඳව දැනුවත් වී පැය 72ක් ඇතුළත, උල්ලංඝනය පුද්ගලයන්ට අවදානමක් ඇති කිරීමට ඉඩක් නොමැති නම්.
34 වන වගන්තිය යටතේ, උල්ලංඝනය හේතුවෙන් ඔවුන්ට ඉහළ අවදානමක් ඇති විය හැකි නම්, ඔබ අනවශ්‍ය ප්‍රමාදයකින් තොරව බලපෑමට ලක් වූ පුද්ගලයින්ට දැනුම් දිය යුතුය. ඔබ දැනුම් නොදෙන ඒවා ඇතුළුව සියලුම උල්ලංඝනයන් අභ්‍යන්තරව ලේඛනගත කළ යුතු අතර, දැනුම් නොදීමට හේතුව එම වාර්තාවේ කොටසකි.
ඔබේ දත්ත හුවමාරුව පිළිවෙලට ගෙන එන්නේ කෙසේද?
ඔබගේ සැකසුම් ක්‍රියාකාරකම් පිළිබඳ වාර්තාවෙන් ආරම්භ කර, එක් එක් ලබන්නාගේ භූමිකාව, නෛතික පදනම, කොන්ත්‍රාත්තුව, මාරුවීම් සහ රහස්‍යතා දැන්වීම සඳහා පරීක්ෂා කරන්න. ඉන්පසු මෙම චෙක්පත් ඔබේ ප්‍රසම්පාදන ක්‍රියාවලියට ඇතුළත් කරන්න.
ඉහත අවදානම් හතටම එක් හේතුවක් ඇත. දත්ත ගෙනයාමට අවශ්‍ය කණ්ඩායම විසින් බෙදාගැනීම ක්‍රියාකාරීව සංවිධානය කරනු ලබන අතර, පසුව ලේඛනගත කරනු ලැබේද නැද්ද යන්න තීරණය කරනු ලැබේ. පිළියම සමානව ප්‍රායෝගික වේ:
- වාර්තාවෙන් පටන් ගන්න. 30 වන වගන්තිය යටතේ සැකසුම් ක්‍රියාකාරකම් පිළිබඳ වාර්තාව දැනටමත් පැවතිය යුතු අතර, එය සෑම ලබන්නෙකුම නම් කිරීමට ඔබට බල කරයි.
- සෑම ලබන්නෙකුම පරීක්ෂා කරන්න. එක් එක් සඳහා, භූමිකාව, නෛතික පදනම, කොන්ත්‍රාත්තුව, මාරු කිරීමේ ස්ථානය සහ රහස්‍යතා නිවේදනයේ පවසන දේ ස්ථාපිත කරන්න. බොහෝ සංවිධාන කිසිවෙකුට ගණන් දිය නොහැකි ප්‍රවාහ දෙකක් හෝ තුනක් සොයා ගනී.
- එය ප්‍රසම්පාදනයට ගොඩනඟන්න. සැකසුම් ගිවිසුමක්, මාරු විශ්ලේෂණයක් සහ DPIA පරීක්ෂාවක් නොමැතිව කිසිදු සැපයුම්කරුවෙකු බඳවා ගත නොහැකි බවට වග බලා ගන්න, සහ අසාර්ථක වන බඳවා ගැනීමක් නැවැත්වීමට යමෙකුට බලය ලබා දෙන්න.
- වෙනස පිළිබඳ සමාලෝචනය. නව උප සකසනයක්, නව අරමුණක් හෝ නව රටක් දිස්වන විට හෝ අත්පත් කර ගැනීමක් වෙනත් කෙනෙකුගේ දත්ත සමූහයට ගලා යන විට නැවත බලන්න.
5(2) වගන්තියට අනුව ඔබට අනුකූලතාව පෙන්වීමට හැකි වීම අවශ්‍ය වේ, එය වාර්තා සම්බන්ධයෙන් මෙන්ම හැසිරීම සම්බන්ධයෙන් ද බැඳීමකි. විශේෂයෙන් IT සැපයුම්කරුවන් සමඟ ගිවිසුම් සඳහා, අපගේ IT නීති පරිචය දත්ත ආරක්ෂණ නියමයන් වාණිජමය ඒවා සමඟ අන්තර් ක්‍රියා කරන ආකාරය පැහැදිලි කරයි.
සාරාංශයකින්
- GDPR හි 6 වන වගන්තිය යටතේ සෑම පුද්ගලික දත්ත හුවමාරුවකටම නීතිමය පදනමක් අවශ්‍ය වේ; වාණිජමය හේතුවක් ප්‍රමාණවත් නොවේ.
- එක් එක් ලබන්නා සඳහා එය සකසනයක්ද, ඒකාබද්ධ පාලකයක්ද හෝ ස්වාධීන පාලකයක්ද යන්න තීරණය කර, ඒ අනුව ලේඛනගත කරන්න.
- 28 වන වගන්තිය යටතේ සැකසුම් ගිවිසුමක් සකසනයන් සඳහා අනිවාර්ය වේ; එසේ නොමැති නම් ඔබ පළමු දිනයේ සිටම උල්ලංඝනය කරනු ලැබේ.
- EEA වලින් පිටත සිදු කරන මාරුවීම් සඳහා ප්‍රමාණවත් බව (DPF සහතිකයක් වැනි) හෝ ආරක්ෂණ ක්‍රම සහ මාරු බලපෑම් තක්සේරුවක් අවශ්‍ය වේ.
- ව්‍යාජ නාමකරණය කළ දත්ත තවමත් පුද්ගලික දත්ත වේ; ඔබගේ රහස්‍යතා නිවේදනය ලබන්නන් නිශ්චිතව නම් කළ යුතුය.
නිතර අසන ප්රශ්න
GDPR යටතේ දත්ත හුවමාරුවට අවසර දී ඇත්තේ කවදාද?
6 වන වගන්තිය යටතේ ඔබට වලංගු නෛතික පදනමක් තිබේ නම් පමණි GDPR: කැමැත්ත, කොන්ත්‍රාත්තුවක් ඉටු කිරීම, නීතිමය බැඳීමක්, වැදගත් අවශ්‍යතා, පොදු කාර්යයක් හෝ නීත්‍යානුකූල අවශ්‍යතා. 5 වන වගන්තියේ නීත්‍යානුකූලභාවය, සාධාරණත්වය, විනිවිදභාවය, අරමුණු සීමා කිරීම, දත්ත අවම කිරීම, නිරවද්‍යතාවය, ගබඩා සීමාව, අඛණ්ඩතාව සහ රහස්‍යභාවය වැනි මූලධර්මවලටද ඔබ ගරු කළ යුතුය. ප්‍රායෝගිකව: ඔබ දත්ත බෙදා ගන්නේ මන්දැයි ලේඛනගත කරන්න, අරමුණ ඔබ එය රැස් කළ හේතුවට ගැලපෙනවාද යන්න පරීක්ෂා කරන්න, සහ අදාළ පුද්ගලයින්ට දැනුම් දෙන්න.
පාලකයක් සහ සකසනයක් අතර වෙනස කුමක්ද?
පුද්ගලික දත්ත සැකසීමේ අරමුණු සහ ක්‍රම පාලකයෙකු විසින් තීරණය කරනු ලැබේ. පාලකයෙකු වෙනුවෙන් සහ එහි උපදෙස් මත සකසනයක් දත්ත සකසයි. GDPR අනුකූලතාව සඳහා පාලකයන් ප්‍රධාන වගකීම දරයි; සකසනයන්ට වඩා සීමිත රාජකාරි ඇත, ප්‍රධාන වශයෙන් ආරක්ෂාව, රහස්‍යභාවය සහ උපදෙස් අනුගමනය කිරීම. වැටුප් සැපයුම්කරුවෙකු හෝ වලාකුළු ගබඩා සේවාවක් සාමාන්‍යයෙන් සකසනයකි. තමන්ගේම අරමුණු සඳහා දත්ත භාවිතා කරන සැපයුම්කරුවෙකු පාලකයෙකු හෝ ඒකාබද්ධ පාලකයෙකු විය හැකිය. භූමිකාවන් වැරදි ලෙස ලබා ගැනීම වගවීමේ හිඩැස්වලට තුඩු දෙන අතර ඒකාබද්ධ වගකීම් නිර්මාණය කළ හැකිය.
දත්ත සැකසුම් ගිවිසුමක් (DPA) අනිවාර්ය වන්නේ කවදාද?
ඔබ වෙනුවෙන් පුද්ගලික දත්ත හැසිරවීමට සකසනයක් සම්බන්ධ කර ගන්නා සෑම අවස්ථාවකම (GDPR වගන්තිය 28), ඔබේ සංවිධානයේ ප්‍රමාණය හෝ දත්ත ප්‍රමාණය කුමක් වුවත්. ගිවිසුම ලිඛිතව තිබිය යුතු අතර විෂය කරුණු, කාලසීමාව, ස්වභාවය සහ සැකසීමේ අරමුණ, දත්ත වර්ග සහ අදාළ පුද්ගලයින් සහ ආරක්ෂාව, උල්ලංඝනය කිරීමේ දැනුම්දීම සහ උප-සකසනයන් පිළිබඳ බැඳීම් වැනි අනිවාර්ය අන්තර්ගතයන් අඩංගු විය යුතුය. අනුකූල ගිවිසුමක් නොමැතිව, කිසිවක් වැරදුනත්, සැකසීම ආරම්භ වූ මොහොතේ සිට ඔබ උල්ලංඝනයකට ලක්ව ඇත.
මට EU වලින් පිටත පාර්ශවයක් සමඟ පාරිභෝගික දත්ත බෙදා ගත හැකිද?
ඔව්, නමුත් දැඩි කොන්දේසි මත පමණි. GDPR හි 44 සිට 49 දක්වා වගන්ති යටතේ ඔබට ගමනාන්තය සඳහා ප්‍රමාණවත්තා තීරණයක් හෝ සම්මත ගිවිසුම් වගන්ති වැනි සුදුසු ආරක්ෂණ පියවරයන් අවශ්‍ය වේ. Schrems II සිට , ආරක්ෂණ නීතිවලට රජයේ නිරීක්ෂණ වැනි දේශීය නීතිය ආරක්ෂාව අඩපණ කරන්නේද යන්න පරීක්ෂා කිරීම සඳහා මාරු බලපෑම් තක්සේරුවක් සහ එය සිදු වන තැන සංකේතනය වැනි අතිරේක පියවරයන් අවශ්‍ය වේ. EU-US දත්ත රහස්‍යතා රාමුව යටතේ සහතික කර ඇති එක්සත් ජනපද ලබන්නන් සඳහා, ප්‍රමාණවත්තා තීරණය අදාළ වේ. අනාරක්ෂිත මාරුවීම් ඔවුන්ගේ අත්හිටුවීමට නියෝග කිරීමට AP වෙත යොමු කළ හැකිය.
දත්ත හුවමාරුව සඳහා DPIA අවශ්‍ය වන්නේ කවදාද?
සැකසීම පුද්ගලයන්ගේ අයිතිවාසිකම් සහ නිදහසට ඉහළ අවදානමක් ඇති කිරීමට ඉඩ ඇති විට (35 වන වගන්තිය GDPR). සෞඛ්‍ය, ජෛවමිතික හෝ ජානමය දත්ත වැනි විශේෂ කාණ්ඩවල දත්ත මහා පරිමාණයෙන් සැකසීම, පොදු ප්‍රදේශ ක්‍රමානුකූලව නිරීක්ෂණය කිරීම, නීතිමය හෝ සමාන බලපෑම් සහිත ස්වයංක්‍රීය තීරණ ගැනීම සහ නව තාක්ෂණයන් භාවිතා කිරීම උදාහරණ වේ. දත්ත කට්ටල ඒකාබද්ධ කිරීම, සංවේදී තොරතුරු බෙදා ගැනීම හෝ පැතිකඩ හෝ AI විශ්ලේෂණ සඳහා දත්ත භාවිතා කිරීම බොහෝ විට DPIA අවුලුවයි. AP ලැයිස්තුව පරීක්ෂා කරන්න; සැකයක් ඇත්නම්, එකක් ක්‍රියාත්මක කරන්න.
GDPR නීති උල්ලංඝනය කිරීම සම්බන්ධයෙන් සමාගම්වලට මුහුණ දිය හැකි දඩ මුදල් මොනවාද?
GDPR හි ස්ථර දෙකක් ඇත. පහළ ස්ථරය, යුරෝ මිලියන 10 ක් හෝ ලොව පුරා වාර්ෂික පිරිවැටුමෙන් 2% ක් දක්වා, ප්‍රමාණවත් ආරක්ෂාවක් නොමැති වීම හෝ අතුරුදහන් වූ DPIA හෝ සැකසුම් ගිවිසුමක් වැනි උල්ලංඝනයන් ආවරණය කරයි. ඉහළ ස්ථරය, යුරෝ මිලියන 20 ක් හෝ පිරිවැටුමෙන් 4% ක් දක්වා, නීතිමය පදනමක් නොමැතිව සැකසීම, නීති විරෝධී ජාත්‍යන්තර මාරුවීම් සහ දත්ත විෂයයන්ගේ අයිතිවාසිකම් උල්ලංඝනය කිරීම් වැනි උල්ලංඝනයන් ආවරණය කරයි. ස්ථර දෙකෙහිම මුදල් ප්‍රමාණයන් දෙකෙන් ඉහළ අගය අදාළ වේ. උල්ලංඝනයේ ස්වභාවය සහ බරපතලකම, අභිප්‍රාය හෝ නොසැලකිල්ල, බලපෑමට ලක් වූ පුද්ගලයින් සංඛ්‍යාව සහ ඔබ ගත් පියවර වැනි සාධක මත පදනම්ව AP මුදල නියම කරයි.
ව්‍යාජ නම් සහිත දත්ත සැමවිටම බෙදා ගැනීමට ආරක්ෂිතද?
නැත. ව්‍යාජ නාමකරණය අවදානම අඩු කරයි, නමුත් GDPR ඉවත් නොකරයි. දත්ත තවමත් පුද්ගලයෙකුට නැවත සම්බන්ධ කළ හැකි නම්, උදාහරණයක් ලෙස ඔබ හෝ ලබන්නා සතුව ඇති අමතර තොරතුරු සමඟ, එය පුද්ගලික දත්ත ලෙස පවතී (4(5) GDPR වගන්තිය සහ පුනරාවර්තනය 26). ඔබට තවමත් නීතිමය පදනමක් අවශ්‍ය වේ, අදාළ පුද්ගලයින්ට දැනුම් දිය යුතු අතර දත්ත නිසි ලෙස සුරක්ෂිත කළ යුතුය. නැවත හඳුනා ගැනීම තවදුරටත් සාධාරණ ලෙස කළ නොහැකි සැබෑ නිර්නාමිකකරණය පමණක් GDPR ට පිටත දත්ත ලබා ගන්නා අතර එය සාක්ෂාත් කර ගැනීම දුෂ්කර ය.
නීති විරෝධී දත්ත හුවමාරුව හේතුවෙන් මගේ ව්‍යාපාරයේ දත්ත කඩවීමක් සිදුවුවහොත් මා කළ යුත්තේ කුමක්ද?
උල්ලංඝනය පාලනය කරන්න, එහි විෂය පථය සහ බලපෑම තක්සේරු කරන්න, සහ සිදු වූ දේ සහ ඒ පිළිබඳව ඔබ කරන්නේ කුමක්ද යන්න ලේඛනගත කරන්න. අනවශ්‍ය ප්‍රමාදයකින් තොරව සහ හැකි නම්, ඒ පිළිබඳව දැනුවත් වී පැය 72ක් ඇතුළත AP වෙත දැනුම් දෙන්න, උල්ලංඝනය පුද්ගලයන්ට අවදානමක් ඇති කිරීමට ඉඩක් නොමැති නම් (33 වන වගන්තිය GDPR). උල්ලංඝනය බලපෑමට ලක් වූ පුද්ගලයින්ට ඉහළ අවදානමක් ඇති කිරීමට ඉඩ තිබේ නම්, අනවශ්‍ය ප්‍රමාදයකින් තොරව ඔවුන්ට දන්වන්න (34 වන වගන්තිය). දැනුම් දීමට අපොහොසත් වීම තමන්ගේම දඩයකට හේතු විය හැකි වෙනම උල්ලංඝනයකි.
දත්ත හුවමාරුව සහ GDPR සම්බන්ධයෙන් අපට උදව් කළ හැක්කේ කෙසේද?
Law & More දත්ත බෙදා ගැනීමේ නීතිමය පැත්ත පිළිබඳව නෙදර්ලන්තයේ ව්‍යාපාරවලට උපදෙස් දෙන්නෙමු. අපි පාලක සහ සකසන භූමිකාවන් තීරණය කරමු, සැකසුම් ගිවිසුම් සහ ඒකාබද්ධ පාලක විධිවිධාන කෙටුම්පත් කර සාකච්ඡා කරන්නෙමු, EEA වලින් පිටත මාරුවීම් තක්සේරු කරන්නෙමු, දත්ත ආරක්ෂණ බලපෑම් තක්සේරු කිරීම් සිදු කරන්නෙමු සහ රහස්‍යතා නිවේදන යාවත්කාලීන කරන්නෙමු. AP විසින් විමර්ශනය කරනු ලබන හෝ ක්‍රියාත්මක වන කාල සීමාවකට එරෙහිව දත්ත කඩ කිරීමක් දැනුම් දිය යුතු සංවිධානවලට ද අපි සහාය වෙමු.
නිශ්චිත දත්ත ප්‍රවාහයක් සාධාරණීකරණය කළ හැකිද යන්න ඔබට විශ්වාස නැද්ද, නැතහොත් ඔබ පුද්ගලික දත්ත සංවිධාන අතර මාරු වන විධිවිධානයකට එළඹෙනවාද? බෙදාගැනීම ආරම්භ කිරීමට පෙර තත්ත්වය දෙස බැලීම වටී. ඔබ සිටින්නේ කොතැනදැයි විශ්වාස නැද්ද? ඔබේ තත්වය ගැන අපට කියන්න. වැඩ කරන දිනක් ඇතුළත ඔබේ විකල්ප අපි ඔබට දන්වන්නෙමු.
