सामान्य डेटा संरक्षण विनियमन (2016/679, "जीडीपीआर") यूरोपीय संघ और यूरोपीय आर्थिक क्षेत्र (ईईए) में डेटा संरक्षण और गोपनीयता पर यूरोपीय संघ के कानून में एक विनियमन है। जीडीपीआर यूरोपीय संघ के गोपनीयता कानून और मानवाधिकार कानून का एक महत्वपूर्ण घटक है, विशेष रूप से यूरोपीय संघ के मौलिक अधिकारों के चार्टर के अनुच्छेद 8(1) में। यह EU और EEA क्षेत्रों के बाहर व्यक्तिगत डेटा के हस्तांतरण को भी संबोधित करता है। जीडीपीआर का प्राथमिक उद्देश्य व्यक्तियों के व्यक्तिगत डेटा पर उनके नियंत्रण और अधिकारों को बढ़ाना और अंतरराष्ट्रीय व्यापार के लिए नियामक वातावरण को सरल बनाना है। डेटा सुरक्षा निर्देश 95/46/ईसी का स्थान लेते हुए, विनियमन में व्यक्तियों के व्यक्तिगत डेटा के प्रसंस्करण से संबंधित प्रावधान और आवश्यकताएं शामिल हैं, जिन्हें औपचारिक रूप से "डेटा विषय" कहा जाता है, जो ईईए में स्थित हैं, और किसी भी उद्यम पर लागू होते हैं - चाहे वह किसी भी उद्यम का हो। स्थान और डेटा विषयों की नागरिकता या निवास-जो ईईए के अंदर व्यक्तियों की व्यक्तिगत जानकारी संसाधित कर रहा है।
जीडीपीआर 14 अप्रैल 2016 को अपनाया गया था और 25 मई 2018 से लागू हो गया। चूंकि जीडीपीआर एक विनियमन है, निर्देश नहीं, यह सीधे बाध्यकारी और लागू है, और व्यक्तिगत सदस्य राज्यों द्वारा समायोजित किए जाने वाले विनियमन के कुछ पहलुओं के लिए लचीलापन प्रदान करता है। .

यूरोपीय आयोग के अनुसार, "व्यक्तिगत डेटा वह जानकारी है जो किसी पहचाने गए या पहचाने जाने योग्य व्यक्ति से संबंधित है। यदि आप उस जानकारी से सीधे किसी व्यक्ति की पहचान नहीं कर सकते हैं, तो आपको यह विचार करने की आवश्यकता है कि क्या वह व्यक्ति अभी भी पहचानने योग्य है। आपको जानकारी को ध्यान में रखना चाहिए आप उस व्यक्ति की पहचान करने के लिए आपके या किसी अन्य व्यक्ति द्वारा उपयोग किए जाने वाले सभी साधनों के साथ मिलकर प्रसंस्करण कर रहे हैं।" विनियमन के अनुच्छेद 4 में "व्यक्तिगत डेटा", "प्रसंस्करण", "डेटा विषय", "नियंत्रक" और "प्रोसेसर" जैसे शब्दों की सटीक परिभाषाएँ दी गई हैं।

सिद्धांतों
व्यक्तिगत डेटा को तब तक संसाधित नहीं किया जा सकता जब तक कि ऐसा करने के लिए कम से कम एक कानूनी आधार न हो। अनुच्छेद 6 में कहा गया है कि वैध उद्देश्य हैं:

(ए) यदि डेटा विषय ने अपने व्यक्तिगत डेटा के प्रसंस्करण के लिए सहमति दी है;
(बी) किसी डेटा विषय के साथ संविदात्मक दायित्वों को पूरा करने के लिए, या किसी डेटा विषय के अनुरोध पर कार्यों के लिए जो अनुबंध में प्रवेश करने की प्रक्रिया में है;
(सी) डेटा नियंत्रक के कानूनी दायित्वों का अनुपालन करना;
(डी) किसी डेटा विषय या किसी अन्य व्यक्ति के महत्वपूर्ण हितों की रक्षा के लिए;
(ई) सार्वजनिक हित में या आधिकारिक प्राधिकरण में कोई कार्य करना;
(एफ) डेटा नियंत्रक या किसी तीसरे पक्ष के वैध हितों के लिए, जब तक कि ये हित मौलिक अधिकारों के चार्टर (विशेष रूप से बच्चों के मामले में) के अनुसार डेटा विषय या उसके अधिकारों के हितों से अधिक न हों।

व्यक्तिगत डेटा की सुरक्षा
व्यक्तिगत डेटा के नियंत्रकों और प्रोसेसरों को डेटा सुरक्षा सिद्धांतों को लागू करने के लिए उचित तकनीकी और संगठनात्मक उपाय करने चाहिए। व्यक्तिगत डेटा को संभालने वाली व्यावसायिक प्रक्रियाओं को सिद्धांतों पर विचार करके डिज़ाइन और निर्मित किया जाना चाहिए और डेटा की सुरक्षा के लिए सुरक्षा उपाय प्रदान करने चाहिए (उदाहरण के लिए, जहां उपयुक्त हो, छद्मनामकरण या पूर्ण गुमनामी का उपयोग करना)। डेटा नियंत्रकों को गोपनीयता को ध्यान में रखकर सूचना प्रणाली डिज़ाइन करनी चाहिए। उदाहरण के लिए, डिफ़ॉल्ट रूप से उच्चतम-संभव गोपनीयता सेटिंग्स का उपयोग करना, ताकि डेटासेट डिफ़ॉल्ट रूप से सार्वजनिक रूप से उपलब्ध न हों और किसी विषय की पहचान करने के लिए उपयोग नहीं किया जा सके। किसी भी व्यक्तिगत डेटा को तब तक संसाधित नहीं किया जा सकता जब तक कि यह प्रसंस्करण विनियमन (सहमति, अनुबंध, सार्वजनिक कार्य, महत्वपूर्ण हित, वैध हित या कानूनी आवश्यकता) द्वारा निर्दिष्ट छह वैध आधारों में से एक के तहत नहीं किया जाता है। जब प्रसंस्करण सहमति पर आधारित होता है तो डेटा विषय को किसी भी समय इसे रद्द करने का अधिकार होता है।

अनुच्छेद 33 में कहा गया है कि डेटा नियंत्रक बिना किसी देरी के पर्यवेक्षी प्राधिकारी को सूचित करने के लिए कानूनी दायित्व के तहत है, जब तक कि उल्लंघन के परिणामस्वरूप व्यक्तियों के अधिकारों और स्वतंत्रता के लिए जोखिम होने की संभावना न हो। डेटा उल्लंघन के बारे में पता चलने के बाद रिपोर्ट बनाने के लिए अधिकतम 72 घंटे का समय है। यदि प्रतिकूल प्रभाव का उच्च जोखिम निर्धारित किया जाता है तो व्यक्तियों को सूचित किया जाना चाहिए (अनुच्छेद 34)। इसके अलावा, डेटा प्रोसेसर को व्यक्तिगत डेटा उल्लंघन (अनुच्छेद 33) के बारे में पता चलने के बाद बिना किसी देरी के नियंत्रक को सूचित करना होगा। हालाँकि, डेटा विषयों को नोटिस की आवश्यकता नहीं है यदि डेटा नियंत्रक ने उचित तकनीकी और संगठनात्मक सुरक्षा उपाय लागू किए हैं जो व्यक्तिगत डेटा को किसी भी व्यक्ति के लिए समझ से बाहर कर देते हैं जो इसे एक्सेस करने के लिए अधिकृत नहीं है, जैसे एन्क्रिप्शन (अनुच्छेद 34)।

डेटा सुरक्षा अधिकारी

अनुच्छेद 37 के तहत डेटा सुरक्षा अधिकारी की नियुक्ति की आवश्यकता है। यदि प्रसंस्करण किसी सार्वजनिक प्राधिकरण द्वारा किया जाता है (अदालतों या स्वतंत्र न्यायिक अधिकारियों को छोड़कर जब वे अपनी न्यायिक क्षमता में कार्य करते हैं), या यदि प्रसंस्करण संचालन में बड़े पैमाने पर डेटा विषयों की नियमित और व्यवस्थित निगरानी शामिल होती है, या यदि बड़े पैमाने पर प्रसंस्करण होता है आपराधिक दोषसिद्धि और अपराधों से संबंधित डेटा और व्यक्तिगत डेटा की विशेष श्रेणियां (अनुच्छेद 9 और अनुच्छेद 10) एक डेटा सुरक्षा अधिकारी (डीपीओ) - डेटा संरक्षण कानून और प्रथाओं के विशेषज्ञ ज्ञान वाला एक व्यक्ति - को नियंत्रक या प्रोसेसर की सहायता के लिए नामित किया जाना चाहिए विनियम के साथ उनके आंतरिक अनुपालन की निगरानी करना।

एक नामित डीपीओ किसी नियंत्रक या प्रोसेसर के स्टाफ का वर्तमान सदस्य हो सकता है, या सेवा अनुबंध के माध्यम से भूमिका किसी बाहरी व्यक्ति या एजेंसी को आउटसोर्स की जा सकती है। किसी भी मामले में, प्रसंस्करण निकाय को यह सुनिश्चित करना होगा कि डीपीओ की अन्य भूमिकाओं या हितों में हितों का कोई टकराव न हो। डीपीओ के लिए संपर्क विवरण प्रसंस्करण संगठन द्वारा प्रकाशित किया जाना चाहिए (उदाहरण के लिए, गोपनीयता नोटिस में) और पर्यवेक्षी प्राधिकारी के साथ पंजीकृत होना चाहिए।

डीपीओ एक अनुपालन अधिकारी के समान है और उससे आईटी प्रक्रियाओं, डेटा सुरक्षा (साइबर हमलों से निपटने सहित) और व्यक्तिगत और संवेदनशील डेटा के भंडारण और प्रसंस्करण से जुड़े अन्य महत्वपूर्ण व्यावसायिक निरंतरता मुद्दों के प्रबंधन में भी कुशल होने की उम्मीद की जाती है। कौशल सेट की आवश्यकता डेटा संरक्षण कानूनों और विनियमों के साथ कानूनी अनुपालन को समझने से परे है। डीपीओ को संगठन की ओर से एकत्र और संग्रहीत सभी डेटा की एक जीवित डेटा सूची बनाए रखनी चाहिए। फ़ंक्शन और डेटा सुरक्षा अधिकारी की भूमिका पर अधिक विवरण 13 दिसंबर 2016 (संशोधित 5 अप्रैल 2017) को एक दिशानिर्देश दस्तावेज़ में दिया गया था।

यूरोपीय संघ के बाहर स्थित संगठनों को भी अपने जीडीपीआर दायित्वों के लिए एक प्रतिनिधि और संपर्क बिंदु के रूप में एक यूरोपीय संघ-आधारित व्यक्ति को नियुक्त करना होगा (अनुच्छेद 27)। यह डीपीओ से एक अलग भूमिका है, हालांकि जिम्मेदारियों में ओवरलैप है जो सुझाव देता है कि यह भूमिका नामित डीपीओ द्वारा भी निभाई जा सकती है।
सामान्य डेटा संरक्षण विनियमन व्यक्तिगत डेटा के भंडारण और प्रसंस्करण पर दिशानिर्देश प्रदान करता है। व्यक्तिगत डेटा किसी पहचाने गए या पहचान योग्य व्यक्ति के बारे में कोई भी जानकारी है, जिसे डेटा विषय के रूप में भी जाना जाता है। व्यक्तिगत डेटा में उनकी जानकारी शामिल है:

नाम
पता
आईडी कार्ड/पासपोर्ट नंबर
आय
सांस्कृतिक प्रोफ़ाइल
इंटरनेट प्रोटोकॉल (आईपी) पता
अस्पताल या डॉक्टर द्वारा रखा गया डेटा (जो स्वास्थ्य उद्देश्यों के लिए किसी व्यक्ति की विशिष्ट पहचान करता है)।

डेटा की विशेष श्रेणियां
आप किसी के बारे में व्यक्तिगत डेटा संसाधित नहीं कर सकते:

नस्लीय या जातीय मूल
यौन रुझान
राजनीतिक राय
धार्मिक या दार्शनिक मान्यताएँ
ट्रेड-यूनियन सदस्यता
विशिष्ट मामलों को छोड़कर आनुवंशिक, बायोमेट्रिक या स्वास्थ्य डेटा (उदाहरण के लिए जब आपको स्पष्ट सहमति दी गई हो या जब यूरोपीय संघ या राष्ट्रीय कानून के आधार पर पर्याप्त सार्वजनिक हित के कारणों के लिए प्रसंस्करण की आवश्यकता हो)
आपराधिक दोषसिद्धि और अपराधों से संबंधित व्यक्तिगत डेटा जब तक कि यह यूरोपीय संघ या राष्ट्रीय कानून द्वारा अधिकृत न हो।

व्यक्तिगत डेटा को कौन संसाधित करता है?
प्रसंस्करण के दौरान, व्यक्तिगत डेटा विभिन्न कंपनियों या संगठनों से होकर गुजर सकता है। इस चक्र के अंतर्गत दो मुख्य प्रोफ़ाइल हैं जो व्यक्तिगत डेटा के प्रसंस्करण से संबंधित हैं:

डेटा नियंत्रक - व्यक्तिगत डेटा को संसाधित करने का उद्देश्य और तरीका तय करता है।
डेटा प्रोसेसर - डेटा नियंत्रक की ओर से डेटा रखता है और संसाधित करता है।
किसी कंपनी के भीतर व्यक्तिगत डेटा कैसे संसाधित किया जाता है इसकी निगरानी कौन करता है?
डेटा सुरक्षा अधिकारी (डीपीओ), जिसे कंपनी द्वारा नामित किया गया हो सकता है, यह निगरानी करने के लिए जिम्मेदार है कि व्यक्तिगत डेटा कैसे संसाधित किया जाता है और व्यक्तिगत डेटा संसाधित करने वाले कर्मचारियों को उनके दायित्वों के बारे में सूचित और सलाह दी जाती है। डीपीओ डेटा प्रोटेक्शन अथॉरिटी (डीपीए) के साथ भी सहयोग करता है, जो डीपीए और व्यक्तियों के लिए संपर्क बिंदु के रूप में कार्य करता है।

किसी अन्य कंपनी के लिए डेटा संसाधित करना
एक डेटा नियंत्रक केवल उस डेटा प्रोसेसर का उपयोग कर सकता है जो पर्याप्त गारंटी प्रदान करता है, इन्हें शामिल पक्षों के बीच एक लिखित अनुबंध में शामिल किया जाना चाहिए। अनुबंध में कई अनिवार्य खंड भी शामिल होने चाहिए, जैसे डेटा प्रोसेसर केवल तभी व्यक्तिगत डेटा संसाधित करेगा जब डेटा नियंत्रक द्वारा ऐसा करने का निर्देश दिया जाएगा।

यूरोपीय संघ के बाहर डेटा स्थानांतरण
जब व्यक्तिगत डेटा को ईयू के बाहर स्थानांतरित किया जाता है, तो जीडीपीआर द्वारा दी गई सुरक्षा डेटा के साथ आनी चाहिए। इसका मतलब यह है कि यदि आप विदेश में डेटा निर्यात करते हैं, तो आपकी कंपनी को यह सुनिश्चित करना होगा कि निम्नलिखित उपायों में से एक का पालन किया जाए:

गैर-यूरोपीय संघ देश की सुरक्षा को यूरोपीय संघ द्वारा पर्याप्त माना जाता है।
आपकी कंपनी उचित सुरक्षा उपाय प्रदान करने के लिए आवश्यक उपाय करती है, जैसे व्यक्तिगत डेटा के गैर-यूरोपीय आयातक के साथ सहमत अनुबंध में विशिष्ट खंड शामिल करना।
आपकी कंपनी स्थानांतरण (अपमान) के लिए विशिष्ट आधारों पर निर्भर करती है जैसे कि व्यक्ति की सहमति।
डेटा प्रोसेसिंग की अनुमति कब है?
ईयू डेटा सुरक्षा नियमों का मतलब है कि आपको एक निर्दिष्ट और वैध उद्देश्य के लिए निष्पक्ष और वैध तरीके से डेटा संसाधित करना चाहिए और केवल इस उद्देश्य को पूरा करने के लिए आवश्यक डेटा संसाधित करना चाहिए। आपको यह सुनिश्चित करना होगा कि आप व्यक्तिगत डेटा को संसाधित करने के लिए निम्नलिखित शर्तों में से एक को पूरा करते हैं; आप:

संबंधित व्यक्ति की सहमति दे दी गई है
व्यक्ति के साथ संविदात्मक दायित्व को पूरा करने के लिए व्यक्तिगत डेटा की आवश्यकता होती है
कानूनी दायित्व को पूरा करने के लिए व्यक्तिगत डेटा की आवश्यकता है
व्यक्ति के महत्वपूर्ण हितों की रक्षा के लिए व्यक्तिगत डेटा की आवश्यकता है
जनता के हित में कार्य को पूरा करने के लिए व्यक्तिगत डेटा को संसाधित करें
आपकी कंपनी के वैध हितों में कार्य कर रहे हैं, जब तक कि जिस व्यक्ति का डेटा संसाधित किया जाता है उसके मौलिक अधिकार और स्वतंत्रता गंभीर रूप से प्रभावित न हों। यदि व्यक्ति के अधिकार आपकी कंपनी के हितों से ऊपर हैं, तो आप व्यक्तिगत डेटा को संसाधित नहीं कर सकते।


डेटा प्रोसेसिंग के लिए सहमति - सहमति
पहुंच का अधिकार और डेटा पोर्टेबिलिटी का अधिकार
सही करने का अधिकार और आपत्ति करने का अधिकार
मिटाने का अधिकार (भूल जाने का अधिकार)
स्वचालित निर्णय लेने और प्रोफ़ाइलिंग
डेटा उल्लंघन - उचित अधिसूचना प्रदान करना
अनुरोधों का जवाब देना
प्रभाव आकलन
रिकार्ड रखना
सामान्य डेटा संरक्षण विनियमन (2016/679, "जीडीपीआर") यूरोपीय संघ और यूरोपीय आर्थिक क्षेत्र (ईईए) में डेटा संरक्षण और गोपनीयता पर यूरोपीय संघ के कानून में एक विनियमन है। जीडीपीआर यूरोपीय संघ के गोपनीयता कानून और मानवाधिकार कानून का एक महत्वपूर्ण घटक है, विशेष रूप से यूरोपीय संघ के मौलिक अधिकारों के चार्टर के अनुच्छेद 8(1) में। यह EU और EEA क्षेत्रों के बाहर व्यक्तिगत डेटा के हस्तांतरण को भी संबोधित करता है। जीडीपीआर का प्राथमिक उद्देश्य व्यक्तियों के व्यक्तिगत डेटा पर उनके नियंत्रण और अधिकारों को बढ़ाना और अंतरराष्ट्रीय व्यापार के लिए नियामक वातावरण को सरल बनाना है। डेटा सुरक्षा निर्देश 95/46/ईसी का स्थान लेते हुए, विनियमन में व्यक्तियों के व्यक्तिगत डेटा के प्रसंस्करण से संबंधित प्रावधान और आवश्यकताएं शामिल हैं, जिन्हें औपचारिक रूप से "डेटा विषय" कहा जाता है, जो ईईए में स्थित हैं, और किसी भी उद्यम पर लागू होते हैं - चाहे वह किसी भी उद्यम का हो। स्थान और डेटा विषयों की नागरिकता या निवास-जो ईईए के अंदर व्यक्तियों की व्यक्तिगत जानकारी संसाधित कर रहा है।
जीडीपीआर 14 अप्रैल 2016 को अपनाया गया था और 25 मई 2018 से लागू हो गया। चूंकि जीडीपीआर एक विनियमन है, निर्देश नहीं, यह सीधे बाध्यकारी और लागू है, और व्यक्तिगत सदस्य राज्यों द्वारा समायोजित किए जाने वाले विनियमन के कुछ पहलुओं के लिए लचीलापन प्रदान करता है। .

यूरोपीय आयोग के अनुसार, "व्यक्तिगत डेटा वह जानकारी है जो किसी पहचाने गए या पहचाने जाने योग्य व्यक्ति से संबंधित है। यदि आप उस जानकारी से सीधे किसी व्यक्ति की पहचान नहीं कर सकते हैं, तो आपको यह विचार करने की आवश्यकता है कि क्या वह व्यक्ति अभी भी पहचानने योग्य है। आपको जानकारी को ध्यान में रखना चाहिए आप उस व्यक्ति की पहचान करने के लिए आपके या किसी अन्य व्यक्ति द्वारा उपयोग किए जाने वाले सभी साधनों के साथ मिलकर प्रसंस्करण कर रहे हैं।" विनियमन के अनुच्छेद 4 में "व्यक्तिगत डेटा", "प्रसंस्करण", "डेटा विषय", "नियंत्रक" और "प्रोसेसर" जैसे शब्दों की सटीक परिभाषाएँ दी गई हैं।

सिद्धांतों
व्यक्तिगत डेटा को तब तक संसाधित नहीं किया जा सकता जब तक कि ऐसा करने के लिए कम से कम एक कानूनी आधार न हो। अनुच्छेद 6 में कहा गया है कि वैध उद्देश्य हैं:

(ए) यदि डेटा विषय ने अपने व्यक्तिगत डेटा के प्रसंस्करण के लिए सहमति दी है;
(बी) किसी डेटा विषय के साथ संविदात्मक दायित्वों को पूरा करने के लिए, या किसी डेटा विषय के अनुरोध पर कार्यों के लिए जो अनुबंध में प्रवेश करने की प्रक्रिया में है;
(सी) डेटा नियंत्रक के कानूनी दायित्वों का अनुपालन करना;
(डी) किसी डेटा विषय या किसी अन्य व्यक्ति के महत्वपूर्ण हितों की रक्षा के लिए;
(ई) सार्वजनिक हित में या आधिकारिक प्राधिकरण में कोई कार्य करना;
(एफ) डेटा नियंत्रक या किसी तीसरे पक्ष के वैध हितों के लिए, जब तक कि ये हित मौलिक अधिकारों के चार्टर (विशेष रूप से बच्चों के मामले में) के अनुसार डेटा विषय या उसके अधिकारों के हितों से अधिक न हों।

व्यक्तिगत डेटा की सुरक्षा
व्यक्तिगत डेटा के नियंत्रकों और प्रोसेसरों को डेटा सुरक्षा सिद्धांतों को लागू करने के लिए उचित तकनीकी और संगठनात्मक उपाय करने चाहिए। व्यक्तिगत डेटा को संभालने वाली व्यावसायिक प्रक्रियाओं को सिद्धांतों पर विचार करके डिज़ाइन और निर्मित किया जाना चाहिए और डेटा की सुरक्षा के लिए सुरक्षा उपाय प्रदान करने चाहिए (उदाहरण के लिए, जहां उपयुक्त हो, छद्मनामकरण या पूर्ण गुमनामी का उपयोग करना)। डेटा नियंत्रकों को गोपनीयता को ध्यान में रखकर सूचना प्रणाली डिज़ाइन करनी चाहिए। उदाहरण के लिए, डिफ़ॉल्ट रूप से उच्चतम-संभव गोपनीयता सेटिंग्स का उपयोग करना, ताकि डेटासेट डिफ़ॉल्ट रूप से सार्वजनिक रूप से उपलब्ध न हों और किसी विषय की पहचान करने के लिए उपयोग नहीं किया जा सके। किसी भी व्यक्तिगत डेटा को तब तक संसाधित नहीं किया जा सकता जब तक कि यह प्रसंस्करण विनियमन (सहमति, अनुबंध, सार्वजनिक कार्य, महत्वपूर्ण हित, वैध हित या कानूनी आवश्यकता) द्वारा निर्दिष्ट छह वैध आधारों में से एक के तहत नहीं किया जाता है। जब प्रसंस्करण सहमति पर आधारित होता है तो डेटा विषय को किसी भी समय इसे रद्द करने का अधिकार होता है।

अनुच्छेद 33 में कहा गया है कि डेटा नियंत्रक बिना किसी देरी के पर्यवेक्षी प्राधिकारी को सूचित करने के लिए कानूनी दायित्व के तहत है, जब तक कि उल्लंघन के परिणामस्वरूप व्यक्तियों के अधिकारों और स्वतंत्रता के लिए जोखिम होने की संभावना न हो। डेटा उल्लंघन के बारे में पता चलने के बाद रिपोर्ट बनाने के लिए अधिकतम 72 घंटे का समय है। यदि प्रतिकूल प्रभाव का उच्च जोखिम निर्धारित किया जाता है तो व्यक्तियों को सूचित किया जाना चाहिए (अनुच्छेद 34)। इसके अलावा, डेटा प्रोसेसर को व्यक्तिगत डेटा उल्लंघन (अनुच्छेद 33) के बारे में पता चलने के बाद बिना किसी देरी के नियंत्रक को सूचित करना होगा। हालाँकि, डेटा विषयों को नोटिस की आवश्यकता नहीं है यदि डेटा नियंत्रक ने उचित तकनीकी और संगठनात्मक सुरक्षा उपाय लागू किए हैं जो व्यक्तिगत डेटा को किसी भी व्यक्ति के लिए समझ से बाहर कर देते हैं जो इसे एक्सेस करने के लिए अधिकृत नहीं है, जैसे एन्क्रिप्शन (अनुच्छेद 34)।

डेटा सुरक्षा अधिकारी

अनुच्छेद 37 के तहत डेटा सुरक्षा अधिकारी की नियुक्ति की आवश्यकता है। यदि प्रसंस्करण किसी सार्वजनिक प्राधिकरण द्वारा किया जाता है (अदालतों या स्वतंत्र न्यायिक अधिकारियों को छोड़कर जब वे अपनी न्यायिक क्षमता में कार्य करते हैं), या यदि प्रसंस्करण संचालन में बड़े पैमाने पर डेटा विषयों की नियमित और व्यवस्थित निगरानी शामिल होती है, या यदि बड़े पैमाने पर प्रसंस्करण होता है आपराधिक दोषसिद्धि और अपराधों से संबंधित डेटा और व्यक्तिगत डेटा की विशेष श्रेणियां (अनुच्छेद 9 और अनुच्छेद 10) एक डेटा सुरक्षा अधिकारी (डीपीओ) - डेटा संरक्षण कानून और प्रथाओं के विशेषज्ञ ज्ञान वाला एक व्यक्ति - को नियंत्रक या प्रोसेसर की सहायता के लिए नामित किया जाना चाहिए विनियम के साथ उनके आंतरिक अनुपालन की निगरानी करना।

एक नामित डीपीओ किसी नियंत्रक या प्रोसेसर के स्टाफ का वर्तमान सदस्य हो सकता है, या सेवा अनुबंध के माध्यम से भूमिका किसी बाहरी व्यक्ति या एजेंसी को आउटसोर्स की जा सकती है। किसी भी मामले में, प्रसंस्करण निकाय को यह सुनिश्चित करना होगा कि डीपीओ की अन्य भूमिकाओं या हितों में हितों का कोई टकराव न हो। डीपीओ के लिए संपर्क विवरण प्रसंस्करण संगठन द्वारा प्रकाशित किया जाना चाहिए (उदाहरण के लिए, गोपनीयता नोटिस में) और पर्यवेक्षी प्राधिकारी के साथ पंजीकृत होना चाहिए।

डीपीओ एक अनुपालन अधिकारी के समान है और उससे आईटी प्रक्रियाओं, डेटा सुरक्षा (साइबर हमलों से निपटने सहित) और व्यक्तिगत और संवेदनशील डेटा के भंडारण और प्रसंस्करण से जुड़े अन्य महत्वपूर्ण व्यावसायिक निरंतरता मुद्दों के प्रबंधन में भी कुशल होने की उम्मीद की जाती है। कौशल सेट की आवश्यकता डेटा संरक्षण कानूनों और विनियमों के साथ कानूनी अनुपालन को समझने से परे है। डीपीओ को संगठन की ओर से एकत्र और संग्रहीत सभी डेटा की एक जीवित डेटा सूची बनाए रखनी चाहिए। फ़ंक्शन और डेटा सुरक्षा अधिकारी की भूमिका पर अधिक विवरण 13 दिसंबर 2016 (संशोधित 5 अप्रैल 2017) को एक दिशानिर्देश दस्तावेज़ में दिया गया था।

यूरोपीय संघ के बाहर स्थित संगठनों को भी अपने जीडीपीआर दायित्वों के लिए एक प्रतिनिधि और संपर्क बिंदु के रूप में एक यूरोपीय संघ-आधारित व्यक्ति को नियुक्त करना होगा (अनुच्छेद 27)। यह डीपीओ से एक अलग भूमिका है, हालांकि जिम्मेदारियों में ओवरलैप है जो सुझाव देता है कि यह भूमिका नामित डीपीओ द्वारा भी निभाई जा सकती है।