Q2 में रोज़ाना जुर्माने की औसत दर Q1 से तीन गुना से अधिक रही। हालांकि, किसी एक तिमाही का कुल आंकड़ा कुछ बहुत बड़े मामलों से काफी प्रभावित हो सकता है। इसलिए इसे हर कंपनी या हर प्रवर्तन कार्रवाई पर लागू होने वाला सामान्य जुर्माना नहीं समझना चाहिए।

नीदरलैंड्स का Yango मामला सबसे बड़ा

डेटा ट्रांसफर पर MLU B.V. पर €100 मिलियन की कार्रवाई

Q2 का सबसे बड़ा व्यक्तिगत मामला MLU B.V. से जुड़ा था, जो नीदरलैंड्स में Yango टैक्सी ऐप का संचालन करने वाली कंपनी है। डच डेटा संरक्षण प्राधिकरण ने लगभग €100 मिलियन का जुर्माना लगाया और उन परिस्थितियों में रूस को व्यक्तिगत डेटा भेजना रोकने का आदेश दिया, जहां GDPR की आवश्यकताएं पूरी नहीं होती थीं।

मामले का केंद्र तीसरे देशों में डेटा ट्रांसफर के लिए अपर्याप्त सुरक्षा उपाय थे। रिपोर्टों के अनुसार, प्रभावित जानकारी फिनलैंड और नॉर्वे के Yango उपयोगकर्ताओं से संबंधित थी। यह फैसला उन कंपनियों के लिए महत्वपूर्ण चेतावनी है जो सीमा-पार डेटा प्रवाह या यूरोप के बाहर स्थित समूह की कंपनियों पर निर्भर हैं।

इस मामले से व्यावहारिक सबक यह है कि केवल ट्रांसफर से जुड़े दस्तावेज़ या अनुबंध तैयार कर लेना पर्याप्त नहीं है। कंपनियों को यह भी परखना होगा कि डेटा पाने वाला पक्ष, गंतव्य देश और तकनीकी व संगठनात्मक सुरक्षा उपाय व्यवहार में पर्याप्त सुरक्षा दे रहे हैं या नहीं।

फ्रांस: Free Mobile और Free पर कुल €42 मिलियन

फ्रांसीसी नियामकों ने दूरसंचार कंपनियों Free Mobile और Free पर कुल €42 मिलियन का जुर्माना लगाया। इसमें Free Mobile पर €27 मिलियन की कार्रवाई शामिल थी। रिपोर्ट किए गए कारणों में डेटा सुरक्षा से जुड़ी कमियां भी थीं।

दूरसंचार कंपनियां ग्राहकों और खातों से जुड़ी बड़ी मात्रा में जानकारी संभालती हैं। इसलिए सब्सक्राइबर डेटा की सुरक्षा में कमजोरी का असर गंभीर हो सकता है। Q1 के प्रवर्तन आंकड़ों में भी फ्रांस और यूनाइटेड किंगडम मिलकर कुल रिपोर्ट किए गए जुर्मानों के 94% के लिए जिम्मेदार थे।

इटली: Intesa Sanpaolo पर €31.8 मिलियन

इटली में Intesa Sanpaolo पर ग्राहकों के बैंकिंग डेटा की सुरक्षा में कमियों के मामले में €31.8 मिलियन का जुर्माना लगाया गया।

यह मामला वित्तीय संस्थानों के सामने मौजूद जोखिम को रेखांकित करता है। बैंक पहचान, लेन-देन और खातों से जुड़ी अत्यंत संवेदनशील जानकारी संभालते हैं और उन्हें बड़े, जटिल डेटा वातावरण में लगातार मजबूत नियंत्रण बनाए रखने पड़ते हैं।

यूनाइटेड किंगडम: Reddit पर £14.47 मिलियन का जुर्माना

यूके के सूचना आयुक्त कार्यालय (ICO) ने Reddit पर £14.47 मिलियन का जुर्माना लगाया। जांच में पाया गया कि प्लेटफॉर्म ने बच्चों की व्यक्तिगत जानकारी का गैरकानूनी इस्तेमाल किया। ICO के अनुसार, Reddit ने प्लेटफॉर्म इस्तेमाल करने वालों की उम्र की पर्याप्त जांच नहीं की और बच्चों की सुरक्षा के लिए मजबूत उपाय लागू नहीं किए। Reddit ने इस मौद्रिक दंड नोटिस के खिलाफ अपील की है।

यह निर्णय ऑनलाइन प्लेटफॉर्म के लिए उम्र की पुष्टि और बच्चों की निजता को प्राथमिकता बनाता है—ये किसी सामान्य प्राइवेसी कार्यक्रम में जोड़े जाने वाले वैकल्पिक फीचर नहीं हैं। इससे यह भी स्पष्ट होता है कि नियामक सिर्फ डेटा लीक नहीं देखते; वे यह भी जांच सकते हैं कि प्लेटफॉर्म कम उम्र के उपयोगकर्ताओं की पहचान कैसे करते हैं और उनके डेटा का इस्तेमाल किस तरह होता है।

सुरक्षा और वैध डेटा-प्रसंस्करण बड़े जोखिम बने हुए हैं

Q2 के मामलों में बार-बार सामने आने वाली समस्याएं इस प्रकार हैं:

• तकनीकी और संगठनात्मक सुरक्षा उपायों की कमी, जिसमें ग्राहक या सब्सक्राइबर डेटा की अपर्याप्त सुरक्षा शामिल है।
• पर्याप्त कानूनी आधार के बिना डेटा संसाधित करना, जैसे अमान्य सहमति या किसी अन्य असमर्थित वैध आधार पर निर्भर रहना।
• बच्चों की निजता से जुड़े कमजोर नियंत्रण, जिनमें अप्रभावी उम्र-जांच और बच्चों की जानकारी का गैरकानूनी इस्तेमाल शामिल है।
• अंतरराष्ट्रीय डेटा ट्रांसफर के लिए अपर्याप्त सुरक्षा, खासकर ऐसे देश में डेटा भेजना जहां सुरक्षा का पर्याप्त स्तर उपलब्ध न हो।

ये समस्याएं अलग-अलग खानों में बंटी हुई नहीं हैं। किसी कंपनी की लिखित प्राइवेसी नीति अच्छी हो सकती है, फिर भी उसके खिलाफ कार्रवाई हो सकती है अगर वास्तविक परिचालन नियंत्रण, उपयोगकर्ता को दी गई जानकारी, सहमति लेने की प्रक्रिया या वेंडर व्यवस्था उस नीति के अनुरूप न हो।

मीडिया, वित्त और डेटा-गहन क्षेत्रों पर अधिक नजर

Finbold की Q2 रिपोर्टिंग के अनुसार, मीडिया और वित्त क्षेत्र की कंपनियां 10 सबसे बड़े जुर्मानों में से छह मामलों के लिए जिम्मेदार थीं। दूरसंचार और टेक्नोलॉजी से जुड़े मामलों के साथ यह पैटर्न दिखाता है कि बड़े उपयोगकर्ता आधार और विस्तृत, संवेदनशील या व्यावसायिक रूप से मूल्यवान व्यक्तिगत डेटा वाली संस्थाओं पर जोखिम अधिक है।

इसका अर्थ यह नहीं है कि प्रवर्तन केवल कुछ चुनिंदा उद्योगों तक सीमित है। बल्कि, जो कंपनियां बड़े पैमाने पर उपभोक्ता डेटा संसाधित करती हैं, उनके सामने सुरक्षा, प्रोफाइलिंग, सहमति, डेटा रखने की अवधि, एक्सेस कंट्रोल और अंतरराष्ट्रीय ट्रांसफर से जुड़ी चूक की संभावनाएं अधिक होती हैं।

यूरोप में काम करने वाली कंपनियों की प्राथमिकताएं

Q2 के प्रवर्तन रुझान कंपनियों के लिए एक व्यावहारिक अनुपालन चेकलिस्ट पेश करते हैं:

1. हर डेटा-प्रसंस्करण गतिविधि को वैध आधार से जोड़ें। यह दर्ज करें कि व्यक्तिगत डेटा की प्रत्येक श्रेणी क्यों एकत्र और इस्तेमाल की जा रही है। जहां सहमति जरूरी हो, वहां उसकी वैधता भी जांचें।
2. सुरक्षा नियंत्रणों की वास्तविक स्थिति परखें। केवल लिखित नीतियों की समीक्षा न करें; एक्सेस मैनेजमेंट, प्रमाणीकरण, घटना-प्रतिक्रिया, एन्क्रिप्शन और वेंडर नियंत्रणों का व्यावहारिक परीक्षण करें।
3. बच्चों की निजता के लिए अलग प्रक्रिया बनाएं। जिन सेवाओं तक नाबालिगों की पहुंच हो सकती है, उन्हें उम्र-पुष्टि के तरीकों का आकलन करना चाहिए और बच्चों के डेटा के लिए अतिरिक्त सुरक्षा लागू करनी चाहिए।
4. तीसरे देशों में डेटा ट्रांसफर का दोबारा मूल्यांकन करें। ट्रांसफर-रिस्क असेसमेंट बनाए रखें, उचित संविदात्मक और तकनीकी सुरक्षा उपाय अपनाएं और यह सुनिश्चित करें कि प्राप्तकर्ता गंतव्य देश में आवश्यकताओं का पालन कर सकता है।
5. उच्च जोखिम वाले डेटा-प्रसंस्करण को बोर्ड स्तर तक पहुंचाएं। खासकर मीडिया, टेक्नोलॉजी, वित्त और दूरसंचार क्षेत्रों में प्राइवेसी जोखिम को परिचालन, साइबर सुरक्षा और एंटरप्राइज-रिस्क रिपोर्टिंग से जोड़ना चाहिए।

Q2 का सबसे स्पष्ट संदेश यह है कि किसी बड़े नियंत्रण के विफल होने पर वित्तीय नुकसान कितना बड़ा हो सकता है। अकेले Yango से जुड़ा €100 मिलियन का फैसला तिमाही में रिपोर्ट की गई कुल जुर्माना राशि के लगभग आधे के बराबर था। फिर भी, इस कुल आंकड़े को सावधानी से पढ़ना चाहिए, क्योंकि कुछ बहुत बड़े जुर्माने पूरे प्रवर्तन आंकड़े को असामान्य रूप से बढ़ा सकते हैं।

Q2 की कुल राशि और Q1 की तुलना Finbold की उपलब्ध रिपोर्टिंग पर आधारित हैं। कंपनी-स्तर के कुछ विस्तृत आंकड़े और क्षेत्रवार विश्लेषण द्वितीयक या उपयोगकर्ता-निर्मित सारांशों से लिए गए हैं। इसलिए उन हिस्सों को रिपोर्ट किए गए निष्कर्ष के रूप में पढ़ना चाहिए, न कि संबंधित नियामकों के मूल निर्णयों की समीक्षा का विकल्प मानना चाहिए।

Q2 में रोज़ाना जुर्माने की औसत दर Q1 से तीन गुना से अधिक रही। हालांकि, किसी एक तिमाही का कुल आंकड़ा कुछ बहुत बड़े मामलों से काफी प्रभावित हो सकता है। इसलिए इसे हर कंपनी या हर प्रवर्तन कार्रवाई पर लागू होने वाला सामान्य जुर्माना नहीं समझना चाहिए।

नीदरलैंड्स का Yango मामला सबसे बड़ा

डेटा ट्रांसफर पर MLU B.V. पर €100 मिलियन की कार्रवाई

Q2 का सबसे बड़ा व्यक्तिगत मामला MLU B.V. से जुड़ा था, जो नीदरलैंड्स में Yango टैक्सी ऐप का संचालन करने वाली कंपनी है। डच डेटा संरक्षण प्राधिकरण ने लगभग €100 मिलियन का जुर्माना लगाया और उन परिस्थितियों में रूस को व्यक्तिगत डेटा भेजना रोकने का आदेश दिया, जहां GDPR की आवश्यकताएं पूरी नहीं होती थीं।

मामले का केंद्र तीसरे देशों में डेटा ट्रांसफर के लिए अपर्याप्त सुरक्षा उपाय थे। रिपोर्टों के अनुसार, प्रभावित जानकारी फिनलैंड और नॉर्वे के Yango उपयोगकर्ताओं से संबंधित थी। यह फैसला उन कंपनियों के लिए महत्वपूर्ण चेतावनी है जो सीमा-पार डेटा प्रवाह या यूरोप के बाहर स्थित समूह की कंपनियों पर निर्भर हैं।

इस मामले से व्यावहारिक सबक यह है कि केवल ट्रांसफर से जुड़े दस्तावेज़ या अनुबंध तैयार कर लेना पर्याप्त नहीं है। कंपनियों को यह भी परखना होगा कि डेटा पाने वाला पक्ष, गंतव्य देश और तकनीकी व संगठनात्मक सुरक्षा उपाय व्यवहार में पर्याप्त सुरक्षा दे रहे हैं या नहीं।

फ्रांस: Free Mobile और Free पर कुल €42 मिलियन

फ्रांसीसी नियामकों ने दूरसंचार कंपनियों Free Mobile और Free पर कुल €42 मिलियन का जुर्माना लगाया। इसमें Free Mobile पर €27 मिलियन की कार्रवाई शामिल थी। रिपोर्ट किए गए कारणों में डेटा सुरक्षा से जुड़ी कमियां भी थीं।

दूरसंचार कंपनियां ग्राहकों और खातों से जुड़ी बड़ी मात्रा में जानकारी संभालती हैं। इसलिए सब्सक्राइबर डेटा की सुरक्षा में कमजोरी का असर गंभीर हो सकता है। Q1 के प्रवर्तन आंकड़ों में भी फ्रांस और यूनाइटेड किंगडम मिलकर कुल रिपोर्ट किए गए जुर्मानों के 94% के लिए जिम्मेदार थे।

इटली: Intesa Sanpaolo पर €31.8 मिलियन

इटली में Intesa Sanpaolo पर ग्राहकों के बैंकिंग डेटा की सुरक्षा में कमियों के मामले में €31.8 मिलियन का जुर्माना लगाया गया।

यह मामला वित्तीय संस्थानों के सामने मौजूद जोखिम को रेखांकित करता है। बैंक पहचान, लेन-देन और खातों से जुड़ी अत्यंत संवेदनशील जानकारी संभालते हैं और उन्हें बड़े, जटिल डेटा वातावरण में लगातार मजबूत नियंत्रण बनाए रखने पड़ते हैं।

यूनाइटेड किंगडम: Reddit पर £14.47 मिलियन का जुर्माना

यूके के सूचना आयुक्त कार्यालय (ICO) ने Reddit पर £14.47 मिलियन का जुर्माना लगाया। जांच में पाया गया कि प्लेटफॉर्म ने बच्चों की व्यक्तिगत जानकारी का गैरकानूनी इस्तेमाल किया। ICO के अनुसार, Reddit ने प्लेटफॉर्म इस्तेमाल करने वालों की उम्र की पर्याप्त जांच नहीं की और बच्चों की सुरक्षा के लिए मजबूत उपाय लागू नहीं किए। Reddit ने इस मौद्रिक दंड नोटिस के खिलाफ अपील की है।

यह निर्णय ऑनलाइन प्लेटफॉर्म के लिए उम्र की पुष्टि और बच्चों की निजता को प्राथमिकता बनाता है—ये किसी सामान्य प्राइवेसी कार्यक्रम में जोड़े जाने वाले वैकल्पिक फीचर नहीं हैं। इससे यह भी स्पष्ट होता है कि नियामक सिर्फ डेटा लीक नहीं देखते; वे यह भी जांच सकते हैं कि प्लेटफॉर्म कम उम्र के उपयोगकर्ताओं की पहचान कैसे करते हैं और उनके डेटा का इस्तेमाल किस तरह होता है।

सुरक्षा और वैध डेटा-प्रसंस्करण बड़े जोखिम बने हुए हैं

Q2 के मामलों में बार-बार सामने आने वाली समस्याएं इस प्रकार हैं:

• तकनीकी और संगठनात्मक सुरक्षा उपायों की कमी, जिसमें ग्राहक या सब्सक्राइबर डेटा की अपर्याप्त सुरक्षा शामिल है।
• पर्याप्त कानूनी आधार के बिना डेटा संसाधित करना, जैसे अमान्य सहमति या किसी अन्य असमर्थित वैध आधार पर निर्भर रहना।
• बच्चों की निजता से जुड़े कमजोर नियंत्रण, जिनमें अप्रभावी उम्र-जांच और बच्चों की जानकारी का गैरकानूनी इस्तेमाल शामिल है।
• अंतरराष्ट्रीय डेटा ट्रांसफर के लिए अपर्याप्त सुरक्षा, खासकर ऐसे देश में डेटा भेजना जहां सुरक्षा का पर्याप्त स्तर उपलब्ध न हो।

ये समस्याएं अलग-अलग खानों में बंटी हुई नहीं हैं। किसी कंपनी की लिखित प्राइवेसी नीति अच्छी हो सकती है, फिर भी उसके खिलाफ कार्रवाई हो सकती है अगर वास्तविक परिचालन नियंत्रण, उपयोगकर्ता को दी गई जानकारी, सहमति लेने की प्रक्रिया या वेंडर व्यवस्था उस नीति के अनुरूप न हो।

मीडिया, वित्त और डेटा-गहन क्षेत्रों पर अधिक नजर

Finbold की Q2 रिपोर्टिंग के अनुसार, मीडिया और वित्त क्षेत्र की कंपनियां 10 सबसे बड़े जुर्मानों में से छह मामलों के लिए जिम्मेदार थीं। दूरसंचार और टेक्नोलॉजी से जुड़े मामलों के साथ यह पैटर्न दिखाता है कि बड़े उपयोगकर्ता आधार और विस्तृत, संवेदनशील या व्यावसायिक रूप से मूल्यवान व्यक्तिगत डेटा वाली संस्थाओं पर जोखिम अधिक है।

इसका अर्थ यह नहीं है कि प्रवर्तन केवल कुछ चुनिंदा उद्योगों तक सीमित है। बल्कि, जो कंपनियां बड़े पैमाने पर उपभोक्ता डेटा संसाधित करती हैं, उनके सामने सुरक्षा, प्रोफाइलिंग, सहमति, डेटा रखने की अवधि, एक्सेस कंट्रोल और अंतरराष्ट्रीय ट्रांसफर से जुड़ी चूक की संभावनाएं अधिक होती हैं।

यूरोप में काम करने वाली कंपनियों की प्राथमिकताएं

Q2 के प्रवर्तन रुझान कंपनियों के लिए एक व्यावहारिक अनुपालन चेकलिस्ट पेश करते हैं:

1. हर डेटा-प्रसंस्करण गतिविधि को वैध आधार से जोड़ें। यह दर्ज करें कि व्यक्तिगत डेटा की प्रत्येक श्रेणी क्यों एकत्र और इस्तेमाल की जा रही है। जहां सहमति जरूरी हो, वहां उसकी वैधता भी जांचें।
2. सुरक्षा नियंत्रणों की वास्तविक स्थिति परखें। केवल लिखित नीतियों की समीक्षा न करें; एक्सेस मैनेजमेंट, प्रमाणीकरण, घटना-प्रतिक्रिया, एन्क्रिप्शन और वेंडर नियंत्रणों का व्यावहारिक परीक्षण करें।
3. बच्चों की निजता के लिए अलग प्रक्रिया बनाएं। जिन सेवाओं तक नाबालिगों की पहुंच हो सकती है, उन्हें उम्र-पुष्टि के तरीकों का आकलन करना चाहिए और बच्चों के डेटा के लिए अतिरिक्त सुरक्षा लागू करनी चाहिए।
4. तीसरे देशों में डेटा ट्रांसफर का दोबारा मूल्यांकन करें। ट्रांसफर-रिस्क असेसमेंट बनाए रखें, उचित संविदात्मक और तकनीकी सुरक्षा उपाय अपनाएं और यह सुनिश्चित करें कि प्राप्तकर्ता गंतव्य देश में आवश्यकताओं का पालन कर सकता है।
5. उच्च जोखिम वाले डेटा-प्रसंस्करण को बोर्ड स्तर तक पहुंचाएं। खासकर मीडिया, टेक्नोलॉजी, वित्त और दूरसंचार क्षेत्रों में प्राइवेसी जोखिम को परिचालन, साइबर सुरक्षा और एंटरप्राइज-रिस्क रिपोर्टिंग से जोड़ना चाहिए।

Q2 का सबसे स्पष्ट संदेश यह है कि किसी बड़े नियंत्रण के विफल होने पर वित्तीय नुकसान कितना बड़ा हो सकता है। अकेले Yango से जुड़ा €100 मिलियन का फैसला तिमाही में रिपोर्ट की गई कुल जुर्माना राशि के लगभग आधे के बराबर था। फिर भी, इस कुल आंकड़े को सावधानी से पढ़ना चाहिए, क्योंकि कुछ बहुत बड़े जुर्माने पूरे प्रवर्तन आंकड़े को असामान्य रूप से बढ़ा सकते हैं।

Q2 की कुल राशि और Q1 की तुलना Finbold की उपलब्ध रिपोर्टिंग पर आधारित हैं। कंपनी-स्तर के कुछ विस्तृत आंकड़े और क्षेत्रवार विश्लेषण द्वितीयक या उपयोगकर्ता-निर्मित सारांशों से लिए गए हैं। इसलिए उन हिस्सों को रिपोर्ट किए गए निष्कर्ष के रूप में पढ़ना चाहिए, न कि संबंधित नियामकों के मूल निर्णयों की समीक्षा का विकल्प मानना चाहिए।