क्या "व्यक्तिगत डेटा पर" कानून से छिपाना संभव है?

27 जुलाई 2006 को पर्सनल डेटा पर कानून को अपनाया गया था। इसका गोद लेना व्यक्तिगत रूप से स्वत: प्रसंस्करण के संबंध में "यूरोप काउंसिल ऑफ प्रोटेक्शन ऑफ इंडिविजुअल्स ऑफ प्रोटेक्शन" के रूस द्वारा अनुसमर्थन से जुड़ा था। इस कानून को इस सम्मेलन में वर्णित व्यक्तिगत डेटा की सुरक्षा के लिए आवश्यकताओं को स्थापित करने के लिए डिज़ाइन किया गया था। विधायकों के अनुसार, कानून लागू होने से पहले जो कंप्यूटर सिस्टम बनाए गए थे, उन्हें 1 जनवरी, 2010 तक अपनी आवश्यकताओं के अनुरूप लाया जाना था। हालाँकि, जैसे-जैसे यह अवधि निकट आ रही थी, यह तेजी से स्पष्ट हो गया कि कई कंप्यूटर मालिक इससे सामना नहीं कर सकते। इसलिए, 2009 के अंत में, जब "एक्स-डे" तक बहुत कम बचा था, इसे 1 जनवरी, 2011 तक स्थानांतरित कर दिया गया था। और जब इस समय सीमा से पहले थोड़ा सा भी रह गया, तो कानून के बल पर "पूर्ण विकसित" प्रविष्टि को फिर से स्थगित कर दिया गया, अब केवल छह महीने के लिए।



मुझे लगता है कि कई साइट मालिक, पहले से ही पहले से ही इस कानून से भयभीत थे, किसी भी तरह से अपनी सभी-देखने वाली आंखों से बचने का अवसर तलाशने लगे। यह संभव है कि जून में हमारे कानून निर्माता एक और इसी तरह के युद्धाभ्यास करेंगे, हालांकि, यह उम्मीद के लायक नहीं है। आइए बेहतर देखें कि यह कानून हम सभी के लिए क्या खतरा है।



पीडी क्या है?



पहले, चलो शब्दावली को परिभाषित करते हैं। कानून में " सूचना प्रणाली " के तहत समझा जाता है " डेटाबेस में निहित व्यक्तिगत डेटा की समग्रता, साथ ही साथ सूचना प्रौद्योगिकी और तकनीकी का मतलब है कि ऐसे व्यक्तिगत डेटा के प्रसंस्करण की अनुमति देता है स्वचालन उपकरण या ऐसे उपकरणों का उपयोग किए बिना ।" यह भ्रामक शब्दांकन एक नियमित कंप्यूटर को छुपाता है जिस पर व्यक्तिगत डेटा संसाधित होता है। कानून में इस तरह के " डेटा " का अर्थ है " ऐसी जानकारी के आधार पर निर्धारित या निर्धारित एक विशिष्ट व्यक्ति से संबंधित "।



कानून सीधे व्यक्तिगत डेटा "उपनाम, प्रथम नाम, मध्य नाम, वर्ष, माह, तिथि और जन्म स्थान, पता, वैवाहिक, सामाजिक, संपत्ति की स्थिति, शिक्षा, पेशा, आय" को संदर्भित करता है, हालांकि, कानून में जानकारी की सूची संपूर्ण नहीं है। सीधे शब्दों में कहें, " व्यक्तिगत डेटा " किसी भी जानकारी है जिसका उपयोग किसी व्यक्ति की पहचान करने के लिए किया जा सकता है और ठीक इसमें कानून की सबसे बड़ी समस्याओं में से एक है: वास्तव में, इस तरह की परिभाषा को बहुत व्यापक रूप से व्याख्या की जा सकती है। किसी भी डेटा के आधार पर किसी व्यक्ति की पहचान करना संभव है या नहीं यह इस डेटा के प्रकार से निर्धारित होता है। उदाहरण के लिए, नाम और उपनाम पहचान के लिए पर्याप्त नहीं हो सकता है यदि आपको किसी व्यक्ति को अन्य लोगों के पर्याप्त रूप से बड़े सरणी में खोजने की आवश्यकता है: आप इंटरनेट पर अपने नाम के नाम खोजने और अपने लिए देखने की कोशिश कर सकते हैं। वहीं, अगर हम स्कूल की कक्षा की बात करें, तो नाम और उपनाम काफी हैं। कोई "पहचान बिल्कुल नहीं" है, यह हमेशा डेटा की एक विशिष्ट राशि और एक विशिष्ट स्थिति के आधार पर किया जाता है। कानून, अमूर्त "व्यक्तिगत डेटा" के साथ काम कर रहा है, इसे पूरी तरह से ध्यान में नहीं रखता है। इसलिए, इसके उल्लंघन के लिए प्रतिबंधों के तहत प्राप्त करने की संभावना निरीक्षक की व्यक्तिपरक राय पर निर्भर करती है।



व्यवहार में, कोई केवल यह सुनिश्चित कर सकता है कि कानून में निर्दिष्ट जानकारी की उन श्रेणियों को "व्यक्तिगत डेटा" में जोड़ा जाएगा। बाकी सब कुछ पीडी के रूप में माना जा सकता है, या स्थिति के अनुसार नहीं माना जा सकता है। यह एक और बारीकियों को ध्यान में रखने के लायक है: प्रत्येक लोगों के डेटा का उल्लेख नहीं करना पीडी कानून का उल्लंघन करता है। अधिवेशन में ही " स्वचालित डेटा प्रसंस्करण " की बात की जाती है, और कानून के पहले लेख में इसका प्रभाव उन कार्यों तक फैला हुआ है जो "स्वचालित उपकरण का उपयोग करना या ऐसे उपकरणों का उपयोग किए बिना , यदि ऐसे साधनों का उपयोग किए बिना व्यक्तिगत डेटा का प्रसंस्करण क्रियाओं (संचालन) के अनुरूप है। स्वचालन उपकरण का उपयोग कर व्यक्तिगत डेटा के साथ। " यह एक बहुत ही महत्वपूर्ण बिंदु है जिसे अक्सर भुला दिया जाता है: व्यक्तिगत डेटा के साथ कोई भी कार्रवाई कानून के विनियमन के तहत नहीं होती है, लेकिन केवल वे जो कि पर्याप्त रूप से बड़े सरणियों के प्रसंस्करण से जुड़े हैं।



स्वचालन के उपयोग के बिना प्रसंस्करण के लिए, यह कानून द्वारा उन मामलों में भी विनियमित होता है जहां कई लोगों के डेटा के साथ कार्रवाई की जाती है। इस मामले में, विभिन्न प्रकार की फ़ाइल अलमारियाँ, सूचियाँ और जैसे कानून के विनियमन के अंतर्गत आती हैं।



"ऑपरेटर" कौन है?



कानून की शब्दावली में "ऑपरेटर", किसी भी व्यक्ति या संगठन को कहा जाता है जो अन्य लोगों के डेटा के प्रसंस्करण में लगा हुआ है। यही है, अगर आपने एक साइट लॉन्च की है जिस पर एक उपयोगकर्ता नाम के साथ पंजीकरण है - बस इतना ही, आपको लगता है कि ... कानून के विनियमन के तहत। वैसे, यदि आपने कानून को अपनाने के बाद व्यक्तिगत डेटा को संसाधित करना शुरू कर दिया है, तो "जुलाई तक" शब्द, जिसे हमने शुरुआत में लिखा था, आपके लिए नहीं है। यह केवल उन लोगों के लिए कानून के अनुच्छेद 25 द्वारा स्थापित किया गया है, जिन्होंने बल में प्रवेश करने से पहले ऐसा किया था। आपको शुरू से ही आवश्यकताओं को पूरा करना था।



पहला काम जो हमारे ऑपरेटर को करना चाहिए वह है अधिकृत निकाय को सूचित करना जो कानून की आवश्यकताओं के अनुपालन की निगरानी करता है, फेडरल सर्विस ऑफ़ सुपरविजन ऑफ़ कम्यूनिकेशन, इन्फॉर्मेशन टेक्नोलॉजीज और मास कम्युनिकेशंस (शॉर्ट के लिए रोसकोमनादज़ोर)। इस तरह की अधिसूचना प्रस्तुत करने के लिए सेवा की वेबसाइट पर एक विशेष ऑनलाइन फॉर्म है , हालांकि, यह बहुत कम उपयोग है, क्योंकि इसे नियमित रूप से मेल द्वारा भेजा जाना होगा।



कानून का नौवां लेख कई स्थितियों के लिए प्रदान करता है जिसमें एक अधिसूचना को छोड़ा जा सकता है। यह नहीं किया जा सकता है यदि केवल अंतिम नाम, पहला नाम और संरक्षक सभी प्रकार के व्यक्तिगत डेटा से संसाधित होते हैं, जो कुछ मामलों में पर्याप्त हो सकता है। आम सीएमएस के आधार पर बनाए गए अधिकांश फ़ोरम और साइटें आम तौर पर केवल एक उपयोगकर्ता नाम और पासवर्ड संग्रहीत करने के लिए प्रदान करती हैं, जो कि कोई भी "व्यक्तिगत डेटा" नहीं है। इसलिए, यह अनुशंसा की जाती है कि वे सीमित रहें।



हालांकि, हमारे सामाजिक नेटवर्क के समय में, उपयोगकर्ता को साइटों पर अधिक से अधिक डेटा छोड़ने की आवश्यकता होती है। और ऐसी साइटों के मालिकों को "विषयों" से सहमति प्राप्त करने के रूप में निम्नलिखित बाधा का सामना करना पड़ता है। डेटा विषय की सहमति (अर्थात, वह व्यक्ति जिसे यह डेटा संबंधित है) लिखित और मौखिक हो सकता है। लिखित रूप में, मामलों की एक विशिष्ट सूची में सहमति प्राप्त की जानी चाहिए: कुछ सार्वजनिक रूप से उपलब्ध सूची में डेटा को शामिल करने के लिए ( अनुच्छेद 8 ); डेटा की विशेष श्रेणियों के प्रसंस्करण के लिए, उदाहरण के लिए, दौड़, राजनीतिक विचारों और इसी तरह (कला। 10 ) पर; बायोमेट्रिक डेटा के प्रसंस्करण में ( अनुच्छेद 11 ); विदेश में डेटा स्थानांतरित करते समय ( अनुच्छेद 12 ); अपने डेटा के स्वचालित प्रसंस्करण के दौरान विषय के बारे में निर्णय लेने के लिए जो उसके अधिकारों और स्वतंत्रता को प्रभावित करते हैं ( अनुच्छेद 16 )। इसके अलावा, कानून अन्य मामलों के लिए प्रदान कर सकता है। इसके अलावा, पीडी पर कानून ( कला। 9 ) इस तरह के एक लिखित रूप के लिए अतिरिक्त आवश्यकताओं को स्थापित करता है: सहमति में उस व्यक्ति का हस्तलिखित या इलेक्ट्रॉनिक हस्ताक्षर होना चाहिए जो सहमति देता है। इसलिए, इसे प्राप्त करने के लिए, नागरिक संहिता द्वारा स्थापित लिखित लेनदेन के लिए सामान्य प्रक्रिया लागू नहीं होती है जब अनुबंध की शर्तें एक अलग दस्तावेज़ में निर्धारित की जाती हैं, और उनके साथ कुछ कार्रवाई करके समझौते को व्यक्त किया जा सकता है।



इस प्रकार, सामाजिक नेटवर्क के मालिक जो या तो सभी को उपयोगकर्ता डेटा दिखाते हैं, या पर्याप्त संख्या में लोगों को इसे देखने की अनुमति देते हैं, कानून का उल्लंघन करते हैं। उनके पास या तो "कागज़" सहमति या इलेक्ट्रॉनिक हस्ताक्षर नहीं है ... उन्होंने इसका हाल ही में उल्लंघन करना शुरू कर दिया, पिछले साल जुलाई से: यह तब था जब कानून में संशोधन किए गए थे। और इस आवश्यकता को पूरा करने से बचना असंभव लगता है। सामान्य तौर पर, कोई भी साइट स्वामी इस स्थान को छोड़ देगा, और वह उन आवश्यकताओं के विवरण के लिए नहीं आएगा जो उसके कंप्यूटर को मिलना चाहिए, जिससे खुद को एक निश्चित मात्रा में कीमती तंत्रिका कोशिकाओं को बचाया जा सकता है (मुख्यतः क्योंकि उसे कभी पता नहीं चलेगा कि उसे कितना करना था भुगतान करेगा)।



व्यक्तिगत डेटा की सुरक्षा के लिए यह कैसे आवश्यक है व्यक्तिगत डेटा सूचना प्रणालियों में सूचना की सुरक्षा के तरीकों और तरीकों पर विनियमन में वर्णित है। सभी कंप्यूटर सिस्टम को चार "वर्गों" में विभाजित किया गया है, जिनमें से केवल एक, चौथे, सुरक्षात्मक उपकरण को मालिक के विवेक पर लागू किया जाता है। वर्गीकरण प्रक्रिया को एफएसटीईसी के आदेश द्वारा अनुमोदित किया गया है , और जिस वर्ग को सिस्टम सौंपा जाएगा, वह संसाधित डेटा की मात्रा, इसके प्रकार और अन्य कारकों पर निर्भर करता है। "चौथी श्रेणी" में वे प्रणालियाँ शामिल हैं जिनमें केवल अज्ञात या सार्वजनिक रूप से उपलब्ध व्यक्तिगत डेटा का प्रसंस्करण होता है, जिसका रिसाव किसी भी तरह से उनके विषयों को नुकसान नहीं पहुँचा सकता है।



हालाँकि, अगर आपको लगता है कि उपयोगकर्ता को चेतावनी देकर सुरक्षा उपायों से बचा जा सकता है कि जो डेटा उन्होंने दर्ज किया है, वह सार्वजनिक रूप से उपलब्ध होगा, तो तुरंत इसके बारे में भूल जाएं। डेटा संग्रह के चरण में, अर्थात, इसे उपयोगकर्ता से प्राप्त करने के बाद, वे अभी तक सार्वजनिक रूप से उपलब्ध नहीं हैं, अर्थात, डेटा एकत्र करने वाली कोई भी प्रणाली "चौथी श्रेणी" को नहीं दी जा सकती है। यद्यपि डेटा का प्रतिरूपण का उपयोग संरक्षण पर बचत के सबसे अधिक इस्तेमाल किए जाने वाले तरीकों में से एक पर आधारित है: केवल उन कंप्यूटरों पर, जिन पर डेटा दर्ज किया गया है, प्रमाणित है। फिर, प्रत्येक रिकॉर्ड को एक पहचानकर्ता सौंपा जाता है, जिसके साथ अन्य सभी कंप्यूटर काम करते हैं: उन्हें "चौथी श्रेणी" में सौंपा जाएगा, जिसके लिए सुरक्षा की आवश्यकता नहीं है।



और नियंत्रक कौन हैं?



पर्सनल डेटा पर कानून भी ऑपरेटरों पर मांग कर रहा था। पश्चिम में, इस क्षेत्र में विनियमन के लिए एक पूरी तरह से अलग दृष्टिकोण अपनाया गया है: इस घटना में कि ऑपरेटर के पास डेटा लीक है, उसे दंडित किया जाएगा, और कठोर। लेकिन जिस तरह से वह इस डेटा को संसाधित करता है वह उसकी समस्याएं हैं। रूसी दृष्टिकोण इसके ठीक विपरीत है: वे हर उस चीज़ को विनियमित करने की कोशिश कर रहे हैं जो संभव है, लेकिन कुछ भी पीडी के साथ काम करने की प्रक्रिया का उल्लंघन करने के लिए प्रशासनिक अपराधों के अनुच्छेद 13.11 के तहत प्रशासनिक जिम्मेदारी का उल्लंघन नहीं करता है (कानूनी संस्थाओं के लिए 10,000 रूबल तक का जुर्माना)। इसलिए, रूस में, यहां तक ​​कि सामान्य कानूनों के साथ गैर-अनुपालन की अपनी परंपराओं के लिए गौरवशाली, "व्यक्तिगत डेटा पर" के रूप में इस तरह के भ्रम के साथ, लोग रूसी में सभी से अधिक लड़ रहे हैं: वे बस इसे अनदेखा करते हैं, उम्मीद करते हैं कि वे सभी को सज़ा नहीं देंगे, धार उपयोगकर्ताओं के साथ सादृश्य द्वारा।



सच है, बहुत अधिक टॉरेंट उपयोगकर्ता हैं, और उनमें से प्रत्येक के पास क्रमशः दुख की कम संभावना है। लेकिन यदि आपकी साइट किसी विदेशी होस्टर पर कहीं स्थित है, तो सबसे अधिक संभावना है कि रोसकोम्नाडज़ोर के हाथ उस तक नहीं पहुंचेंगे। हालांकि, हाल ही में साइट के मालिक को जवाबदेह ठहराने के एक प्रयास से पता चला है कि नियंत्रक स्वयं कानून को अच्छी तरह से नहीं जानते हैं। जनवरी के अंत और फरवरी की शुरुआत में, मामले में दो परीक्षण हुए, जिनमें से वादी रोसकोम्नाडज़ोर के प्रतिनिधि थे, और प्रतिवादी ऑल-रूसी वंशावली ट्री साइट सेर्गेई कांटेलोरोव का मालिक था।



मुकदमा खुद साइट के आगंतुकों में से एक की शिकायत पर दायर किया गया था, जिसने इसे छह लोगों के व्यक्तिगत डेटा पर पाया था। इस प्रक्रिया में रोसकोमनादज़ोर ने अनिश्चितकालीन लोगों के हितों में काम किया, और मांग की कि उस समय तक साइट पर पोस्ट किए गए व्यक्तिगत डेटा को नष्ट कर दिया जाए। यह जानकारी रिश्तेदारों को खोजने के लिए प्रकाशित की गई थी, और साइट ही सबसे बड़ा रूसी वंशावली संसाधन है। स्वाभाविक रूप से, उपयोगकर्ता नाखुश थे। Kotelnikov और Roskomnadzor के साथ बातचीत के दौरान, उन्होंने यहां तक ​​कि एक समझौता समझौते को समाप्त करने की योजना बनाई, जिसमें यह शर्त शामिल थी कि जब डेटा पोस्ट किया गया था, तो उपयोगकर्ता इस तथ्य पर अपनी सहमति देगा कि वे सार्वजनिक हो गए थे।



इलेक्ट्रॉनिक हस्ताक्षर के वर्तमान वितरण के साथ, यह कार्य स्पष्ट रूप से असंभव था। लेकिन अदालत ने सरल किया: उसने आवेदन पर विचार नहीं किया। अदालत के फैसले में कहा गया है कि रोस्कोम्नादज़ोर के पास अनिश्चित काल के व्यक्तियों के हितों में दावा दायर करने का अधिकार नहीं है: यह केवल विशिष्ट "व्यक्तिगत डेटा विषयों" के हितों की रक्षा कर सकता है, यह अधिकार पीडी कानून के अनुच्छेद 23 में दिया गया है। वास्तव में, यदि "व्यक्तिगत डेटा" एक निश्चित व्यक्ति से संबंधित जानकारी है, तो ऐसे व्यक्तियों का "अनिश्चित चक्र" सिद्धांत में मौजूद नहीं हो सकता है। इस प्रकार, इस "सनसनीखेज" मुकदमे ने नियंत्रकों की कमजोरियों में से एक का खुलासा किया: उन्हें बस यह मांग करने का अधिकार नहीं है कि सभी उपयोगकर्ताओं के सभी डेटा साइट से हटा दिए जाएं, कानून उन्हें केवल विशिष्ट व्यक्तियों के हितों में कार्य करने की अनुमति देता है।