क्या आपको ईयू जीडीपीआर प्रतिनिधि की आवश्यकता है? अनुच्छेद 27 की व्याख्या

यदि आपकी कंपनी यूरोपीय संघ के बाहर स्थित है लेकिन यूरोपीय संघ में ग्राहकों को उत्पाद या सेवाएं बेचती है, तो भी जीडीपीआर आपके व्यवसाय पर लागू हो सकता है।

एक आवश्यकता जिसे अंतर्राष्ट्रीय व्यवसाय कभी-कभी अनदेखा कर देते हैं वह यह है: सामान्य डेटा संरक्षण विनियमन (जीडीपीआर) का अनुच्छेद 27. कुछ विशेष परिस्थितियों में, यूरोपीय संघ में कोई प्रतिष्ठान न रखने वाली कंपनी को यूरोपीय संघ के भीतर औपचारिक रूप से एक प्रतिनिधि नियुक्त करना होगा।

इससे ऑनलाइन दुकानें, सॉफ्टवेयर कंपनियां, सेवा प्रदाता, अंतरराष्ट्रीय ब्रांड और यूरोपीय ग्राहकों को लक्षित करने वाले अन्य व्यवसाय प्रभावित हो सकते हैं।

इस गाइड में हम समझाते हैं कि कब एक यूरोपीय संघ के जीडीपीआर प्रतिनिधि प्रतिनिधि क्या करता है और गैर-यूरोपीय संघ के व्यवसाय इस आवश्यकता को कैसे पूरा कर सकते हैं, इस बारे में क्या आवश्यक हो सकता है।

ईयू जीडीपीआर प्रतिनिधि कौन होता है?

ईयू जीडीपीआर प्रतिनिधि एक व्यक्ति या संगठन होता है जो यूरोपीय संघ के भीतर स्थापित होता है और जिसे औपचारिक रूप से यूरोपीय संघ के बाहर स्थित कुछ नियंत्रकों या प्रोसेसरों द्वारा नामित किया जाता है।

यह प्रतिनिधि कंपनी द्वारा व्यक्तिगत डेटा के प्रसंस्करण से संबंधित मामलों के लिए यूरोपीय संघ के भीतर एक सुलभ संपर्क बिंदु प्रदान करता है।

अनुच्छेद 27 के अनुसार प्रतिनिधि को नामित किया जाना आवश्यक है। लेखन में. प्रतिनिधि को यूरोपीय संघ के उस सदस्य राज्य में स्थापित होना चाहिए जहां संबंधित व्यक्ति स्थित हैं जिनके व्यक्तिगत डेटा को संसाधित किया जाता है।

इसके बाद प्रतिनिधि से यूरोपीय संघ के पर्यवेक्षी अधिकारियों और डेटा विषयों द्वारा कंपनी की प्रसंस्करण गतिविधियों से संबंधित मामलों पर बात की जा सकती है।

यूरोपीय संघ के बाहर की कंपनी पर जीडीपीआर क्यों लागू हो सकता है?

एक आम गलत धारणा यह है कि GDPR केवल यूरोपीय संघ के भीतर निगमित कंपनियों पर ही लागू होता है।

यह हमेशा की घटना नहीं है।

GDPR के अनुच्छेद 3(2) के तहत, यह विनियमन उन नियंत्रकों और प्रोसेसरों की कुछ प्रसंस्करण गतिविधियों पर भी लागू हो सकता है जो यूरोपीय संघ में स्थापित नहीं हैं, जहां वे गतिविधियां निम्नलिखित से संबंधित हैं:

• यूरोपीय संघ में व्यक्तियों को सामान की पेशकश करना;
• यूरोपीय संघ में व्यक्तियों को सेवाएं प्रदान करना; या
• यूरोपीय संघ के भीतर होने वाले व्यक्तियों के व्यवहार की निगरानी करना।

यह क्षेत्रीय दायरा विशेष रूप से अंतरराष्ट्रीय ई-कॉमर्स के लिए प्रासंगिक है।

उदाहरण: जर्मनी को सामान बेचने वाली एक अमेरिकी ऑनलाइन दुकान

मान लीजिए कि एक कंपनी संयुक्त राज्य अमेरिका में स्थापित है और उसका यूरोपीय संघ में कोई कार्यालय नहीं है।

यह कंपनी विशेष रूप से जर्मन ग्राहकों के लिए एक ऑनलाइन दुकान संचालित करती है, जर्मनी से ऑर्डर स्वीकार करती है, जर्मनी में उत्पादों की शिपिंग करती है और ग्राहकों की जानकारी जैसे नाम, पते, ईमेल पते और ऑर्डर की जानकारी को संसाधित करती है।

कंपनी का अमेरिका में स्थित होना स्वतः ही उन प्रसंस्करण गतिविधियों को GDPR के दायरे से बाहर नहीं कर देता है।

यदि अनुच्छेद 3(2) लागू होता है, तो व्यवसाय को यह आकलन करना चाहिए कि क्या अनुच्छेद 27 के तहत उसे यूरोपीय संघ के भीतर एक प्रतिनिधि नियुक्त करने की आवश्यकता है।

किसे आर्टिकल 27 GDPR प्रतिनिधि की आवश्यकता है?

अनुच्छेद 27 में आम तौर पर अनुच्छेद 3(2) GDPR के अंतर्गत आने वाले नियंत्रक या प्रोसेसर को यूरोपीय संघ में एक प्रतिनिधि नियुक्त करने की आवश्यकता होती है, जब तक कि कोई छूट लागू न हो।

इसका अर्थ यह है कि यह आवश्यकता संभावित रूप से उन देशों में स्थित व्यवसायों को प्रभावित कर सकती है, जैसे कि:

• संयुक्त राज्य अमेरिका;
• यूनाइटेड किंगडम;
• स्विट्जरलैंड;
• कनाडा;
• ऑस्ट्रेलिया;
• जापान;
• चीन;
• सिंगापुर; और
• यूरोपीय संघ से बाहर के अन्य देश।

कंपनी के निगमन देश के बजाय, उसकी गतिविधियों और प्रसंस्करण कार्यों का मूल्यांकन करने की आवश्यकता है।

क्या यूरोपीय संघ से बाहर की प्रत्येक कंपनी के लिए प्रतिनिधि नियुक्त करना अनिवार्य है?

नहीं।

अनुच्छेद 27 में एक छूट का प्रावधान है जहां प्रसंस्करण प्रासंगिक, इसमें व्यक्तिगत डेटा की विशेष श्रेणियों या आपराधिक दोषसिद्धि और अपराधों से संबंधित व्यक्तिगत डेटा का बड़े पैमाने पर प्रसंस्करण शामिल नहीं है, और प्रसंस्करण की प्रकृति, संदर्भ, दायरे और उद्देश्यों को ध्यान में रखते हुए, इससे व्यक्तियों के अधिकारों और स्वतंत्रता के लिए जोखिम उत्पन्न होने की संभावना नहीं है।

अनुच्छेद 27 के अंतर्गत सार्वजनिक प्राधिकरणों और निकायों को भी अलग से संबोधित किया गया है।

इसलिए इस छूट को सामान्य लघु व्यवसाय छूट के रूप में नहीं माना जाना चाहिए। किसी प्रतिनिधि की आवश्यकता नहीं है, यह निष्कर्ष निकालने से पहले किसी व्यवसाय को अपनी वास्तविक प्रसंस्करण गतिविधियों पर विचार करना चाहिए।

यूरोपीय संघ के प्रतिनिधि का स्थान कहाँ होना चाहिए?

अनुच्छेद 27(3) के तहत प्रतिनिधि को यूरोपीय संघ के सदस्य राज्यों में से किसी एक में स्थापित किया जाना चाहिए जहां संबंधित डेटा विषय स्थित हैं।

उदाहरण के लिए, यदि कोई गैर-ईयू ई-कॉमर्स कंपनी जर्मनी में उपभोक्ताओं को सक्रिय रूप से सामान बेचती है और उन बिक्री के संबंध में उनके व्यक्तिगत डेटा को संसाधित करती है, तो जर्मनी में स्थापित एक प्रतिनिधि एक उपयुक्त ईयू संपर्क बिंदु प्रदान कर सकता है।

यूरोपीय डेटा संरक्षण बोर्ड (ईडीपीबी) एक अच्छी प्रथा के रूप में यह भी अनुशंसा करता है कि प्रतिनिधि को उस सदस्य राज्य में स्थापित किया जाए जहां प्रभावित डेटा विषयों का एक महत्वपूर्ण अनुपात स्थित है।

यूरोपीय संघ के जीडीपीआर प्रतिनिधि क्या करते हैं?

प्रतिनिधि महज एक पता नहीं होता जिसे गोपनीयता नीति में जोड़ा जा सके।

यह भूमिका गैर-यूरोपीय संघ की कंपनी, यूरोपीय संघ में रहने वाले व्यक्तियों और सक्षम डेटा संरक्षण अधिकारियों के बीच एक यूरोपीय संघ संपर्क बिंदु का निर्माण करती है।

1. यूरोपीय संघ के संपर्क बिंदु के रूप में कार्य करता है

प्रतिनिधि, प्रतिनिधित्व प्राप्त कंपनी की प्रसंस्करण गतिविधियों से संबंधित GDPR मामलों के लिए यूरोपीय संघ के भीतर एक पहचान योग्य संपर्क प्रदान करता है।

2. डेटा विषयों के साथ संचार को सुगम बनाता है

यूरोपीय संघ के डेटा विषयों को प्रासंगिक प्रसंस्करण मामलों और GDPR के तहत अपने अधिकारों के प्रयोग के संबंध में प्रतिनिधि से संपर्क करने में सक्षम होना चाहिए।

प्रतिनिधि प्रासंगिक संचार प्राप्त कर सकता है और प्रतिनिधित्व की जा रही कंपनी के साथ उनका समन्वय कर सकता है।

3. पर्यवेक्षी अधिकारियों से संवाद करता है

प्रतिनिधि को नियुक्ति के अंतर्गत आने वाली प्रसंस्करण गतिविधियों के संबंध में सक्षम यूरोपीय संघ के पर्यवेक्षी अधिकारियों के लिए भी उपलब्ध रहना होगा।

इससे यूरोपीय अधिकारियों को संपर्क का एक सुलभ बिंदु मिल जाता है, भले ही नियंत्रक या प्रोसेसर स्वयं यूरोपीय संघ के बाहर स्थित हो।

4. अनुच्छेद 30 के अंतर्गत अभिलेखों के प्रसंस्करण का समर्थन करता है

GDPR के अनुच्छेद 30 के अनुसार नियंत्रकों और, जहां लागू हो, उनके प्रतिनिधियों को प्रसंस्करण गतिविधियों का रिकॉर्ड बनाए रखना आवश्यक है।

संगठन और उसकी भूमिका के आधार पर, इन अभिलेखों में निम्नलिखित से संबंधित जानकारी शामिल हो सकती है:

• नियंत्रक और प्रतिनिधि;
• प्रसंस्करण के प्रयोजन;
• डेटा विषयों की श्रेणियां;
• व्यक्तिगत डेटा की श्रेणियां;
• प्राप्तकर्ताओं की श्रेणियां;
• अंतर्राष्ट्रीय तबादले;
• जहां संभव हो, प्रतिधारण अवधि; और
• जहां संभव हो, प्रासंगिक तकनीकी और संगठनात्मक सुरक्षा उपायों का एक सामान्य विवरण।

आवश्यकता पड़ने पर ये अभिलेख सक्षम पर्यवेक्षी प्राधिकारी को उपलब्ध कराए जाने चाहिए।

क्या यूरोपीय संघ का GDPR प्रतिनिधि और डेटा संरक्षण अधिकारी एक ही व्यक्ति हैं?

नहीं। आर्टिकल 27 रिप्रेजेंटेटिव और डेटा प्रोटेक्शन ऑफिसर (डीपीओ) जीडीपीआर के अलग-अलग कार्य हैं।

एक यूरोपीय संघ प्रतिनिधि गैर-यूरोपीय संघ नियंत्रक या प्रोसेसर के जनादेश के तहत कार्य करता है और प्रासंगिक जीडीपीआर मामलों के लिए यूरोपीय संघ के भीतर उसके प्रतिनिधि के रूप में कार्य करता है।

जीडीपीओ की जीडीपीआर के अनुच्छेद 37 से 39 के तहत एक अलग भूमिका होती है और उसे उस भूमिका को अपेक्षित स्वतंत्रता के साथ निभाना चाहिए।

ईडीपीबी ने विशेष रूप से संकेत दिया है कि यूरोपीय संघ के प्रतिनिधि की भूमिका आम तौर पर एक ही संगठन के लिए बाहरी डीपीओ के रूप में एक साथ कार्य करने के अनुकूल नहीं है।

क्या प्रतिनिधि नियुक्त करने से GDPR की जिम्मेदारी हस्तांतरित हो जाती है?

नहीं।

यूरोपीय संघ के प्रतिनिधि की नियुक्ति से नियंत्रक या प्रोसेसर के जीडीपीआर दायित्वों का प्रतिनिधि पर हस्तांतरण नहीं होता है।

गैर-यूरोपीय संघ के व्यवसाय अपनी प्रसंस्करण गतिविधियों पर लागू होने वाली GDPR आवश्यकताओं का अनुपालन करने के लिए जिम्मेदार बने रहते हैं।

उदाहरण के लिए, व्यवसाय को अभी भी निम्नलिखित मुद्दों पर ध्यान देने की आवश्यकता हो सकती है:

• प्रसंस्करण के लिए वैध आधार;
• गोपनीयता संबंधी जानकारी;
• डेटा-विषय अधिकार;
• प्रोसेसर संबंध;
• अंतर्राष्ट्रीय डेटा स्थानांतरण;
• डेटा प्रतिधारण;
• सुरक्षा उपाय;
• डेटा उल्लंघन संबंधी दायित्व; और
• अन्य लागू जीडीपीआर आवश्यकताएँ।

इसलिए यूरोपीय संघ का प्रतिनिधि संगठन की व्यापक जीडीपीआर अनुपालन संरचना का एक हिस्सा है।

आपकी गोपनीयता सूचना में कौन सी जानकारी शामिल होनी चाहिए?

जहां किसी यूरोपीय संघ के प्रतिनिधि की नियुक्ति की गई है, वहां संगठन को यह सुनिश्चित करना चाहिए कि डेटा विषयों को प्रदान की गई जीडीपीआर जानकारी में प्रतिनिधि की उचित पहचान की गई हो।

इसका सामान्य अर्थ यह है कि प्रतिनिधि की पहचान और संपर्क विवरण प्रदान किए जाएं ताकि व्यक्तियों के पास संपर्क का एक सुलभ यूरोपीय बिंदु हो।

नियुक्ति के शेष समय तक विवरण को अद्यतन रखा जाना चाहिए।

ईज़सर्ट ईयू जीडीपीआर प्रतिनिधि सेवा

EaseCert अब एक सुविधा प्रदान करता है यूरोपीय संघ के जीडीपीआर के अनुच्छेद 27 के तहत प्रतिनिधि सेवा यूरोपीय संघ के बाहर स्थापित पात्र व्यवसायों के लिए।

ईज़सर्ट जीएमबीएच, जर्मनी में स्थापित, इसे औपचारिक रूप से आपके यूरोपीय संघ के प्रतिनिधि के रूप में नियुक्त किया जा सकता है और प्रतिनिधि कार्य के लिए आवश्यक यूरोपीय संपर्क बिंदु प्रदान कर सकता है।

इस सेवा में निम्नलिखित शामिल हैं:

• यूरोपीय संघ के जीडीपीआर प्रतिनिधि: GDPR के अनुच्छेद 27 के तहत EaseCert GmbH को आपके यूरोपीय संघ प्रतिनिधि के रूप में नियुक्त करना;
• यूरोपीय संघ का संपर्क बिंदु: यूरोपीय संघ के डेटा विषयों और सक्षम डेटा संरक्षण अधिकारियों के लिए संचार बिंदु; और
• अनुच्छेद 30 के रिकॉर्ड: आपके संगठन द्वारा प्रदान की गई जानकारी के आधार पर आपकी प्रसंस्करण गतिविधियों के रिकॉर्ड की स्थापना और रखरखाव।

वार्षिक सदस्यता शुल्क के बजाय एकमुश्त शुल्क

यूरोपीय बाजार में प्रवेश करने पर अंतरराष्ट्रीय व्यवसायों को पहले से ही कई आवर्ती लागतों का सामना करना पड़ता है।

इसलिए EaseCert एक सरल तरीके का उपयोग करके अपनी मानक EU GDPR प्रतिनिधि सेवा प्रदान करता है। एकमुश्त शुल्क मॉडल.

मानक सेवा के लिए कोई वार्षिक प्रतिनिधि सदस्यता शुल्क नहीं है।

EaseCert अपॉइंटमेंट प्रक्रिया कैसे काम करती है

चरण 1: अपना ऑर्डर दें

ईयू जीडीपीआर प्रतिनिधि सेवा का ऑर्डर करें और अपनी कंपनी की जानकारी प्रदान करें।

चरण 2: अपनी प्रसंस्करण संबंधी जानकारी प्रदान करें

हम आपकी यूरोपीय संघ की गतिविधियों और नियुक्ति के अंतर्गत आने वाली प्रसंस्करण प्रक्रियाओं को समझने के लिए आवश्यक जानकारी एकत्र करते हैं।

चरण 3: समीक्षा और प्रतिनिधि जनादेश

ईज़सर्ट उपलब्ध कराई गई जानकारी की समीक्षा करता है और प्रतिनिधि संबंध के लिए आवश्यक दस्तावेज़ तैयार करता है।

चरण 4: औपचारिक नियुक्ति

लिखित जनादेश औपचारिक रूप से ईज़सर्ट जीएमबीएच को जीडीपीआर के अनुच्छेद 27 के तहत आपके यूरोपीय संघ के प्रतिनिधि के रूप में नामित करता है।

चरण 5: अपनी गोपनीयता संबंधी जानकारी अपडेट करें

हम आपको संबंधित EaseCert प्रतिनिधि का विवरण प्रदान करते हैं ताकि आप अपने गोपनीयता दस्तावेज़ में अपने यूरोपीय संघ के प्रतिनिधि को शामिल कर सकें।

चरण 6: अपनी जानकारी को सुरक्षित रखें

आपके संगठन को नियुक्ति के अंतर्गत आने वाली प्रसंस्करण गतिविधियों में होने वाले महत्वपूर्ण परिवर्तनों के बारे में EaseCert को सूचित करते रहना चाहिए ताकि संबंधित प्रतिनिधि रिकॉर्ड अद्यतन रह सकें।

यूरोपीय संघ के उत्पाद अनुपालन और डेटा संरक्षण की सभी सुविधाएं एक ही स्थान पर उपलब्ध हैं।

अंतर्राष्ट्रीय ई-कॉमर्स व्यवसायों के लिए, GDPR अक्सर यूरोपीय बाजार में प्रवेश करने का केवल एक हिस्सा होता है।

उत्पादों और संबंधित देशों के आधार पर, व्यवसायों को उत्पाद सुरक्षा, यूरोपीय संघ के जिम्मेदार व्यक्तियों, अधिकृत प्रतिनिधियों, उत्पाद लेबलिंग, तकनीकी दस्तावेज, विस्तारित उत्पादक उत्तरदायित्व (ईपीआर) और अन्य बाजार पहुंच दायित्वों से संबंधित आवश्यकताओं का भी सामना करना पड़ सकता है।

ईज़सर्ट अपनी जर्मन इकाई के माध्यम से व्यावहारिक यूरोपीय संघ अनुपालन सेवाओं के साथ अंतरराष्ट्रीय व्यवसायों का समर्थन करता है, जिससे कंपनियां एक ही प्रदाता के माध्यम से कई यूरोपीय अनुपालन आवश्यकताओं का समन्वय कर सकती हैं।

यूरोपीय संघ के ग्राहकों को बिक्री शुरू करने से पहले तैयारी करें

यदि आपका व्यवसाय यूरोपीय संघ के बाहर स्थापित है और यूरोपीय संघ में ग्राहकों को लक्षित करने का इरादा रखता है, तो लॉन्च करने से पहले यह निर्धारित करें कि अनुच्छेद 27 लागू होता है या नहीं।

जहां यूरोपीय संघ के प्रतिनिधि की आवश्यकता होती है, वहां नियुक्ति की प्रक्रिया शीघ्र पूरी करने का अर्थ है कि उचित प्रतिनिधि का विवरण शुरू से ही आपके गोपनीयता दस्तावेज़ में शामिल किया जा सकता है।

EaseCert GmbH एकमुश्त शुल्क पर जर्मनी से योग्य गैर-यूरोपीय संघ व्यवसायों के लिए यूरोपीय संघ GDPR प्रतिनिधित्व प्रदान करती है।

आधिकारिक संदर्भ

• विनियमन (ईयू) 2016/679 (सामान्य डेटा संरक्षण विनियमन) – EUR-Lex
• यूरोपीय डेटा संरक्षण बोर्ड – GDPR के क्षेत्रीय दायरे पर दिशानिर्देश 3/2018

यह लेख यूरोपीय संघ के जीडीपीआर प्रतिनिधि आवश्यकता के संबंध में सामान्य जानकारी प्रदान करता है। अनुच्छेद 27 लागू होता है या नहीं, यह संबंधित संगठन की परिस्थितियों और उसकी प्रसंस्करण गतिविधियों पर निर्भर करता है। EaseCert की अनुच्छेद 27 सेवा यूरोपीय संघ की प्रतिनिधि सेवा है और इसे कानूनी सलाह या डेटा प्रोसेसिंग प्रतिनिधि सेवा नहीं माना जाना चाहिए।