व्यापार अनुबंध क्लॉज पर गोपनीयता कानूनों का प्रभाव

ये कानून सामान्य उद्देश्यों को साझा करते हैं: व्यक्तियों को अपने डेटा पर अधिक नियंत्रण देते हुए, पारदर्शिता की आवश्यकता होती है, और डेटा हैंडलिंग के लिए जवाबदेही लागू होती है। व्यवसायों के लिए, परिणाम नाटकीय रूप से बदल गया अनुबंधात्मक वातावरण है। प्रत्येक समझौते में व्यक्तिगत डेटा शामिल होता है - विक्रेताओं, ग्राहकों या भागीदारों के साथ - अब उन प्रावधानों को शामिल करना चाहिए जो जिम्मेदारियों को आवंटित करते हैं, सुरक्षा मानकों को परिभाषित करते हैं, और उल्लंघन प्रतिक्रिया प्रोटोकॉल को रेखांकित करते हैं। Federal Trade Commission] ने उन कंपनियों के खिलाफ प्रवर्तन कार्यों को भी बढ़ाया है जो अपने गोपनीयता वादों को सम्मान देने में विफल हो गए हैं, अनुबंध का अनुपालन करते हुए एक बोर्ड-स्तर की चिंता।

प्रैक्टिकल टिप: कई संगठन अब एक गतिशील डीपीए को शामिल करते हैं जो विनियमों में परिवर्तन होने पर स्वचालित रूप से अपडेट करते हैं, अनुबंध की स्थिति को रोकने के लिए। उदाहरण के लिए, GDPR की आवश्यकता है कि किसी भी प्रसंस्करण शुरू होने से पहले डीपीए लिखित और निष्पादित किया जाए।

2. सुरक्षा उपाय

गोपनीयता कानून व्यक्तिगत डेटा की सुरक्षा के लिए उचित तकनीकी और संगठनात्मक उपायों को लागू करने के लिए कानूनी कर्तव्य को लागू करते हैं। अनुबंधों को सुरक्षा प्रथाओं को निर्दिष्ट करके इस कर्तव्य को प्रतिबिंबित करना चाहिए प्रत्येक पार्टी को बनाए रखने के लिए सहमत हो जाता है। उदाहरण के लिए, GDPR को आज्ञाकारी, एन्क्रिप्शन और सुरक्षा प्रणालियों के नियमित परीक्षण जैसे उपायों को लागू करने के लिए नियंत्रकों और प्रोसेसर की आवश्यकता होती है। CCPA स्पष्ट रूप से सुरक्षा उपायों को निर्धारित नहीं करता है लेकिन उचित सुरक्षा को बनाए रखने में असफलता के परिणामस्वरूप डेटा उल्लंघन के लिए कार्रवाई का एक निजी अधिकार बनाता है। CPRA ने इसे उचित सुरक्षा प्रक्रियाओं और प्रथाओं को लागू करने के लिए व्यवसायों की आवश्यकता के द्वारा बढ़ाया।

अनुबंध खंड होना चाहिए:

• न्यूनतम सुरक्षा मानकों को परिभाषित करें-जैसे, आईएसओ 27001 प्रमाणन, SOC 2 टाइप II रिपोर्ट, या NIST फ्रेमवर्क।
• आवधिक जोखिम आकलन और प्रवेश परीक्षण की आवश्यकता है, जिसके परिणामस्वरूप अनुरोध पर साझा किया गया है।
• पार्टियों को परिभाषित टाइमफ्रेम के भीतर किसी भी सुरक्षा घटनाओं में से एक दूसरे को सूचित करने के लिए बाध्य करें -आमतौर पर 24 से 48 घंटे।
• अनुपालन की पुष्टि करने के लिए लेखा परीक्षा अधिकार शामिल करें, उचित नोटिस और दायरे सीमाओं के साथ।
• बाकी और पारगमन दोनों में डेटा एन्क्रिप्शन को संबोधित करते हुए एल्गोरिदम और कुंजी प्रबंधन निर्दिष्ट करते हैं।
• प्रोसेसर को एक व्यापक घटना प्रतिक्रिया योजना बनाए रखने की आवश्यकता है।

अनुबंधों की बढ़ती संख्या में सुरक्षा के लिए सेवा-स्तर के समझौते (SLAs) भी शामिल हैं, जिसमें गैर-अनुपालन के लिए दंड शामिल हैं। यह एक चेकलिस्ट आइटम से सुरक्षा को एक मापने योग्य अनुबंधात्मक दायित्व में बदल देता है।

3. ब्रीच अधिसूचना

डेटा उल्लंघनों की समय-समय पर अधिसूचना आधुनिक गोपनीयता कानून का एक आधारशिला है। जीडीपीआर ने 72 घंटे के भीतर जागरूकता के साथ पर्यवेक्षकीय प्राधिकरण को अधिसूचना जारी की है। सीसीपीए को एक ऐसे उल्लंघन की खोज के बाद कैलिफोर्निया निवासियों को बिना किसी देरी के सूचित करने की आवश्यकता होती है जो व्यक्तिगत जानकारी से समझौता करता है। सभी 50 अमेरिकी राज्यों में राज्य उल्लंघन अधिसूचना कानून और जटिलता को जोड़ते हैं, प्रत्येक अपने समय की सीमा और सामग्री की आवश्यकताओं के साथ। इन कानूनी कर्तव्यों को अनुबंधित प्रावधानों में प्रतिबिंबित किया जाना चाहिए ताकि यह सुनिश्चित किया जा सके कि प्रत्येक पार्टी अपने रिपोर्टिंग दायित्वों को समझ सके और उस डाउनस्ट्रीम अधिसूचना ठीक से प्रवाहित हो।

अनुबंधित उल्लंघन अधिसूचना खंडों में शामिल होना चाहिए:

अंतर्राष्ट्रीय डेटा हस्तांतरण सबसे चुनौतीपूर्ण अनुबंध मुद्दों में से एक बन गया है। गोपनीयता शील्ड फ्रेमवर्क (Schrems II निर्णय) के अवैधकरण के बाद, कंपनियों को यूरोपीय आर्थिक क्षेत्र (EEA) से तीसरे देशों में व्यक्तिगत डेटा हस्तांतरण करने के लिए या Binding Corporate Rules (BCRs) ] को यूरोपीय आर्थिक क्षेत्र (EEA) से दूसरे देशों में व्यक्तिगत डेटा हस्तांतरण करने के लिए अनुबंधित किया गया है। यूरोपीय आयोग ने जून 2021 में SCC को एक मॉड्यूलर संरचना नियंत्रक-से-नियंत्रक, नियंत्रक-से-प्रोसेसरलों के लिए एक दायित्व को शामिल करने के लिए अद्यतन किया है।

ऐसे अनुबंध जिनमें क्रॉस-बॉर्डर डेटा प्रवाह शामिल होते हैं, उन्हें स्पष्ट रूप से इन तंत्रों का संदर्भ देना चाहिए और इसमें पूरक उपाय शामिल हैं जहां आवश्यक हो। EdPB पूरक उपायों पर सिफारिश तीसरे देशों में सुरक्षा की पर्याप्तता का आकलन करने के लिए एक रोडमैप प्रदान करते हैं।

क्लॉज को कवर करना चाहिए:

• हस्तांतरण तंत्र की पहचान (एससीसी, बीसीआर, यूरोपीय आयोग द्वारा पर्याप्त निर्णय)।
• इसके बाद समय-समय पर स्थानांतरण शुरू होने से पहले हस्तांतरण प्रभाव आकलन (TIA) आयोजित करने की बाध्यता।
• एस सी सी दायित्वों के प्रवाह-डाउन सहित उप-प्रसाधकों को आगे की आवश्यकताएँ।
• यदि हस्तांतरण तंत्र अमान्य हो जाता है, या यदि प्राप्त करने वाली पार्टी सुरक्षा के बराबर स्तर को सुनिश्चित नहीं कर सकती है-जिसे "संससेट क्लॉज" कहा जाता है।

बहु न्यायिक अनुबंधों में चुनौतियां

गोपनीयता-संगत अनुबंध का प्रारूपण कई अधिकार क्षेत्र शामिल होने पर तेजी से अधिक जटिल हो जाता है। सीमित आवश्यकताओं को उत्पन्न किया जा सकता है। उदाहरण के लिए, जीडीपीआर के डेटा न्यूनतमकरण सिद्धांत कुछ देशों में स्थानीय डेटा प्रतिधारण कानूनों के साथ संघर्ष कर सकते हैं। सीसीपीए डेटा से तैयार होने वाले अनुमानों को व्यापक रूप से शामिल करने के लिए "व्यक्तिगत जानकारी" को परिभाषित करता है, जबकि अन्य कानून उदार रूप से अलग-अलग डेटा की देखभाल करते हैं। इसके अलावा, प्राथमिकता प्रवर्तन भिन्नता: डच डेटा संरक्षण प्राधिकरण डीपीए पर विशेष रूप से आक्रामक रहा है, जबकि कैलिफोर्निया गोपनीयता संरक्षण एजेंसी (सीपीपीए) ने ऑप्ट-आउट तंत्र और डार्क पैटर्न पर ध्यान केंद्रित किया है।

सीमाओं के पार काम करने वाले व्यवसायों को स्तरित दृष्टिकोण को अपनाने की आवश्यकता है:

• एक "प्रीमिटी क्लॉज" का प्रयोग करें, जिसमें कहा गया है कि अनुबंध को सबसे अधिक प्रतिबंधात्मक लागू गोपनीयता कानून का पालन करने की व्याख्या की जाएगी। इससे संघर्षों को रोका जा सकता है लेकिन मुकदमेबाजी में अनिश्चितता पैदा हो सकती है।
• कानून में बदलाव को प्रतिबिंबित करने के लिए स्वचालित रूप से अद्यतन करने वाले प्रावधानों को शामिल करें, हर बार एक विनियमन में संशोधन किया जाता है। उदाहरण के लिए, एक क्लॉज का कहना है कि गोपनीयता कानूनों के संदर्भ में सबसे वर्तमान संस्करण का मतलब होगा।
• स्थानीय परामर्श को यह सत्यापित करने के लिए कि अनुबंध की शर्तों को प्रत्येक प्रासंगिक अधिकार क्षेत्र में लागू किया जा सकता है, विशेष रूप से क्षतिपूर्ति और डेटा हस्तांतरण खंडों के लिए।
• वैश्विक डेटा संरक्षण परिशिष्ट को अपनाने पर विचार करें जो आवश्यक रूप से एससीसी और अन्य हस्तांतरण तंत्र को शामिल करता है, साथ ही साथ एक अधिकार क्षेत्र-विशिष्ट अनुसूची जो स्थानीय कानून अनुपालन के लिए सामान्य प्रावधानों को ओवरराइड करती है।

गोपनीयता-समझ अनुबंध के प्रारूपण के लिए सर्वश्रेष्ठ अभ्यास

हिस्सेदारी को देखते हुए, संगठनों को अपने अनुबंधों में गोपनीयता को एकीकृत करने के लिए एक व्यवस्थित दृष्टिकोण अपनाने चाहिए। निम्नलिखित प्रथाओं जोखिम को कम कर सकते हैं और अनुपालन में सुधार कर सकते हैं:

1. ]एक डेटा मानचित्रण व्यायाम को शामिल किया गया - यह समझने के लिए कि प्रत्येक अनुबंध के संबंध में व्यक्तिगत डेटा किस तरह बहता है, और किस प्रकार से होता है। यह आधारशिला कदम अन्य सभी अनुबंध प्रावधानों को सूचित करता है।
2. Use standardized टेम्पलेट - DPAs, सुरक्षा उपायों और उल्लंघन अधिसूचना के लिए बॉयलरप्लेट क्लॉज विकसित करें, लेकिन विशिष्ट डेटा प्रसंस्करण गतिविधियों के आधार पर अनुकूलन की अनुमति दें। एक-आकार-फिट-सभी भाषा से बचें जो वास्तविक प्रसंस्करण के लिए फिट नहीं हो सकती है।
3. ]Negotiate first – प्रारंभिक बातचीत के दौरान गोपनीयता प्रावधानों पर चर्चा की जानी चाहिए, जिसे बाद में नहीं जोड़ा जाना चाहिए। इससे अंतिम मिनट के खंडों पर घोंसला होने से रोकता है जो सौदा समय-समय पर रोक सकता है और सुरक्षा को कमजोर कर सकता है।
4. ] भविष्य के नियामक परिवर्तनों के लिए लचीलापन शामिल - उन खंडों को जोड़ते हैं जिन्हें एक पूर्ण पुनर्व्यवस्था को ट्रिगर किए बिना नए कानूनों का पालन करने के लिए समझौते को अद्यतन करने में सहयोग की आवश्यकता होती है। उदाहरण के लिए, एक "विनियमित परिवर्तन" संशोधन प्रक्रिया जो स्वचालित रूप से अद्यतन SCCs को बुलाती है।
5. Asign आंतरिक जवाबदेही - निष्पादन से पहले व्यक्तिगत डेटा से जुड़े सभी अनुबंधों की समीक्षा करने के लिए एक गोपनीयता अधिकारी या कानूनी टीम के सदस्य को नामित किया गया। इस व्यक्ति को गैर-अनुपालन अनुबंधों को अवरुद्ध करने का अधिकार होना चाहिए।
6. Monitor and audit – नियमित रूप से लेखा परीक्षा विक्रेताओं और सेवा प्रदाताओं की पुष्टि करने के लिए वे अनुबंधित गोपनीयता और सुरक्षा दायित्वों को पूरा कर रहे हैं। दोहराई गई विफलताओं के लिए सुधारात्मक कार्रवाई योजनाओं और समाप्ति अधिकारों के प्रावधानों को शामिल करें।

भविष्य के रुझान

गोपनीयता कानून तेजी से गति से विकसित होने के लिए जारी है। ]Colado, वर्जीनिया, कनेक्टिकट, उटा, आयोवा, और अन्य अमेरिकी राज्यों ] में व्यापक राज्य कानूनों की घोषणा - कुछ समय बाद "मिनी-CCPA" के रूप में संदर्भित किया जाता है - जल्द ही आवश्यकताओं का एक समझौता तैयार करेगा, विस्तृत और अनुकूलन योग्य अनुबंध खंड की आवश्यकता को बढ़ा देगा। इन कानूनों में से कई में डेटा संरक्षण मूल्यांकन, उपभोक्ता अधिकार और प्रोसेसर के लिए अनुबंध की आवश्यकताओं पर प्रावधान शामिल हैं जो CCPA और CPRA को प्रतिबिंबित करते हैं। CCA की आधिकारिक स्थिति [FLT]