उल्लंघनों का प्रबंधन

व्यवहार में GDPR: अनुपालन और जुर्माने

Mamnoon Hadi

Head of Analytics & Insights at Readdle

केस स्टडी: Marriott का GDPR उल्लंघन

उल्लंघन की खोज: सितंबर 2018 में, Marriott International ने पाया कि 2014 से उसकी Starwood गेस्ट रिजर्वेशन डेटाबेस में अनधिकृत एक्सेस हो रहा था

सम्प्राप्त डेटा: इस उल्लंघन में लगभग 500 मिलियन मेहमानों की व्यक्तिगत जानकारी उजागर हुई, जैसे नाम, पते, फोन नंबर, ईमेल, पासपोर्ट नंबर, जन्मतिथि, जेंडर, और पेमेंट कार्ड विवरण

देरी से सूचना: Marriott GDPR के अनुसार 72 घंटे की समय-सीमा में Information Commissioner's Office (ICO) को सूचित करने में विफल रहा. इस देरी के कारण कड़ी नियामकीय जांच और भारी जुर्माना लगा

¹ ico.org.uk

अनुच्छेद 33: पर्यवेक्षी प्राधिकरण को सूचना

मुख्य आवश्यकता:
- संगठनों को व्यक्तिगत डेटा उल्लंघन का पता चलते ही बिना अनावश्यक देरी के और 72 घंटे के भीतर पर्यवेक्षी प्राधिकरण को सूचित करना चाहिए
प्रदान की जाने वाली जानकारी:
- उल्लंघन का स्वरूप - क्या हुआ और यह कैसे पता चला
- प्रभावित डेटा सब्जेक्ट्स की श्रेणियाँ (उदा. ग्राहक, कर्मचारी)
- प्रभावित व्यक्तिगत डेटा के प्रकार
- संभावित परिणाम
- उठाए गए या नियोजित उपाय - उल्लंघन को कम करने और भविष्य की घटनाओं को रोकने के कदम

अनुच्छेद 34: डेटा सब्जेक्ट्स से संचार

डेटा सब्जेक्ट्स को कब सूचित करना है:
- यदि उल्लंघन से व्यक्तियों के अधिकारों और स्वतंत्रताओं पर उच्च जोखिम होने की संभावना है, तो प्रभावित व्यक्तियों को बिना अनावश्यक देरी के सूचित किया जाना चाहिए
सूचना की सामग्री:
- उल्लंघन का स्वरूप - स्पष्ट, सरल भाषा में विवरण
- संभावित परिणाम - उदा. धोखाधड़ी, पहचान की चोरी
- संगठन द्वारा उल्लंघन को रोकने के लिए उठाए गए कदम
- प्रभावित व्यक्तियों के लिए सलाह - उन्हें क्या करना चाहिए (उदा. पासवर्ड बदलना, बैंक खातों की निगरानी)
- संपर्क विवरण - आगे सहायता के लिए नामित संपर्क बिंदु

केस स्टडी: प्रभाव - Marriott उल्लंघन

आर्थिक दंड:

अक्टूबर 2020 में, UK के ICO ने Marriott International पर £18.4 मिलियन का जुर्माना लगाया

प्रतिष्ठा को क्षति:

ऐसे उल्लंघन साख को प्रभावित करते हैं, और ऊपर से मानक GDPR प्रक्रियाओं का पालन न करना भरोसे और ब्रांड प्रतिष्ठा को और कमजोर करता है

संचालनिक प्रभाव और लागत:

Marriott को रिकवरी पर लगभग $30 मिलियन खर्च करने पड़े, जिनमें जांच, प्रभावित ग्राहकों को सूचित करना, एक वर्ष के लिए सुरक्षा मॉनिटरिंग सॉफ्टवेयर की सुविधा देना, और एक अंतरराष्ट्रीय कॉल सेंटर विकसित करना शामिल था

डेटा ब्रीच प्रबंधन के लिए श्रेष्ठ अभ्यास

योजना और प्रक्रिया

डेटा ब्रीच प्रबंधन के लिए श्रेष्ठ अभ्यास

मजबूत incident response प्लान लागू करें: उल्लंघन के दौरान त्वरित कार्रवाई सुनिश्चित करने के लिए प्लान बनाएँ

कर्मचारियों को प्रशिक्षित करें: स्टाफ को डेटा सुरक्षा सिद्धांतों और ब्रीच रिपोर्टिंग प्रक्रियाओं पर शिक्षित करें

स्पष्ट संचार चैनल बनाए रखें: नियामकों और प्रभावित व्यक्तियों से समय पर, पारदर्शी संचार सुनिश्चित करें

सुरक्षा उपाय नियमित रूप से समीक्षा करें: सुरक्षा प्रोटोकॉल का लगातार आकलन और सुधार करें

प्रतिक्रिया

रूट कॉज़ एनालिसिस और डॉक्यूमेंटेशन: मूल कारण पहचानें और विस्तृत रिकॉर्ड रखें

अभ्यास करते हैं!

व्यवहार में GDPR: अनुपालन और जुर्माने