👩🏼 🖥️ ☀️ GDPR: व्यक्तिगत डेटा के प्रसंस्करण के लिए सहमति 🙆🏿 🏂🏿 👨‍👨‍👧‍👦

यह यूरोपीय आयोग कार्य समूह के व्यक्तिगत डेटा (दिशानिर्देश 2016/679 wp259rev.01 के तहत दिशानिर्देश पर सहमति) के प्रसंस्करण के लिए आधिकारिक सहमति मैनुअल का अनुवाद है। मूल यूरोपीय संघ की 23 आधिकारिक भाषाओं में प्रकाशित हुआ है। इस तथ्य के बावजूद कि रूसी उनमें से एक नहीं है, यह यूरोप में बहुत आम है। यदि आपका व्यवसाय यूरोपीय संघ से ग्राहकों की सेवा करता है, तो आप व्यक्तिगत डेटा (सामान्य डेटा संरक्षण विनियमन) के संरक्षण के सामान्य नियमों का पालन करने के लिए बाध्य हैं , जो 25 मई 2018 को लागू हुआ।

व्यक्तिगत डेटा के प्रसंस्करण से सहमति आपके ग्राहक से पहली बात है। स्पष्ट सादगी के बावजूद, गाइड को 30 पृष्ठ लगते हैं और अभी भी कठिनाइयों का कारण बनता है: यूरोपीय संघ की वेबसाइटों पर व्यक्तिगत डेटा का रिसाव 12% से 41% तक है , और नियामकों से हजारों से लेकर दस लाख यूरो तक जुर्माना है। वकीलों और इंजीनियरों के कर्मचारियों वाली बड़ी कंपनियों के पास कारोबारी माहौल में बदलाव का तुरंत जवाब देने की क्षमता है, लेकिन व्यक्तिगत उद्यमियों और छोटे व्यवसायों को अक्सर सभी जोखिमों को लेकर केवल खुद पर निर्भर रहना पड़ता है।

लेखक ने गाइड के प्रावधानों को मूल रूप से जितना संभव हो उतना करीब लाने की कोशिश की, विशेष रूप से कठोर लिपिक को नरम किया। अनुवाद दो भाषाओं में मूल से किया गया है, कोई कानूनी बल नहीं है। लेखक गारंटी प्रदान नहीं करता है, और किसी भी दावे, नुकसान या खोए मुनाफे के लिए जिम्मेदार नहीं है। लेकिन वह समझदार टिप्पणियों और शब्दों के सुधार को प्राप्त करने में प्रसन्न होंगे।

1। परिचय

यह गाइड विनियम 2016/679 में निहित सहमति की अवधारणा का गहन विश्लेषण प्रदान करता है - व्यक्तिगत डेटा (GDPR) के संरक्षण पर सामान्य विनियमन। आज तक, डेटा प्रोटेक्शन डायरेक्टिव (डायरेक्टिव 95/46 / EC) और कॉन्फिडेंस ऑन कॉन्फिडेंसिटी एंड इलेक्ट्रॉनिक कम्युनिकेशंस (डायरेक्टिव 2002/58 / EC) में इस्तेमाल होने वाले कंसेंट की अवधारणा विकसित हुई है। जीडीपीआर कानूनी रूप से बाध्यकारी सहमति प्राप्त करने और प्रदर्शित करने के लिए आवश्यकताओं की और अधिक स्पष्टीकरण और स्पष्टीकरण प्रदान करता है। यह गाइड इन परिवर्तनों पर ध्यान केंद्रित करता है, निष्कर्ष 15/2011 के आधार पर GDPR के अनुपालन को सुनिश्चित करने के लिए व्यावहारिक मार्गदर्शन प्रदान करता है। व्यक्तिगत डेटा नियंत्रकों का कर्तव्य नवाचारों को लागू करना और कानून के ढांचे के भीतर नए समाधानों की खोज करना है,जो व्यक्तिगत डेटा की सुरक्षा और डेटा विषयों के हितों में योगदान देता है।

जीडीपीआर के अनुच्छेद 6 के अनुसार, व्यक्तिगत डेटा की वैध प्रसंस्करण के लिए सहमति छह आधारों में से एक है। व्यक्तिगत डेटा के प्रसंस्करण से संबंधित गतिविधियों को शुरू करते समय, नियंत्रक को हमेशा इच्छित प्रसंस्करण के लिए कानूनी आधार को ध्यान में रखना चाहिए।

एक नियम के रूप में, सहमति केवल एक वैध कारण हो सकती है यदि डेटा विषय को प्रतिकूल परिणामों के बिना प्रस्तावित शर्तों की स्वीकृति या अस्वीकृति के संबंध में नियंत्रण और मुक्त विकल्प की पेशकश की जाती है। सहमति का अनुरोध करते समय, नियंत्रक को मूल्यांकन करना आवश्यक है कि क्या यह सभी उपलब्ध आवश्यकताओं का अनुपालन करेगा। GDPR के पूर्ण अनुपालन में प्राप्त सहमति, यह एक उपकरण है जो डेटा विषयों को इस बात पर नियंत्रण देता है कि उनके व्यक्तिगत डेटा को संसाधित किया जाएगा या नहीं। अन्यथा, डेटा विषय पर वास्तविक नियंत्रण नहीं होगा, और इस तरह की सहमति को प्रसंस्करण के लिए गैरकानूनी आधार माना जाता है।

सहमति पर काम करने वाले समूह (WP29) के मौजूदा निष्कर्ष तब तक प्रासंगिक बने रहते हैं जब तक वे नए कानून के अनुरूप होते हैं, क्योंकि दिशानिर्देश और सिफारिशें GDPR द्वारा संहिताबद्ध होती हैं, साथ ही सहमति के प्रमुख तत्व GDPR में अपरिवर्तित रहते हैं। इस प्रकार, इस दस्तावेज़ में WP29 बल्कि सहमति के विशिष्ट पहलुओं पर पिछले निष्कर्ष निकालता है और पूरक करता है, जो निर्देश 95/46 / EC की व्याख्या में समझौते को संदर्भित करता है, और उन्हें प्रतिस्थापित नहीं करता है।

जैसा कि कंसेंट शब्द की परिभाषा पर निष्कर्ष 15/2011 में कहा गया है, डेटा प्रोसेसिंग ऑपरेशन को स्वीकार करने का प्रस्ताव सख्त नियमों के अधीन होना चाहिए, क्योंकि यह डेटा विषयों की मूलभूत स्वतंत्रता और इन ऑपरेशनों में भाग लेने की नियंत्रक की इच्छा से संबंधित है, जो डेटा विषय की सहमति के बिना अवैध होगा। यूरोपीय संघ के चार्टर के मौलिक अधिकारों के अनुच्छेद 7 और 8 में सहमति की महत्वपूर्ण भूमिका पर जोर दिया गया है। इसके अलावा, प्राप्त सहमति को बहिष्कृत नहीं करता है और किसी भी तरह से GDPR में निहित सिद्धांतों के अनुपालन के लिए नियंत्रक के दायित्व को बदलता है, विशेष रूप से अनुच्छेद 5 में, निष्पक्षता, आवश्यकता, आनुपातिकता और डेटा की गुणवत्ता के संबंध में। यहां तक कि अगर व्यक्तिगत डेटा का प्रसंस्करण डेटा विषय की सहमति पर आधारित है, तो यह डेटा के संग्रह को वैध नहीं करता है जो प्रसंस्करण के घोषित उद्देश्य के लिए आवश्यक नहीं है, इस प्रकार अनुचित हो जाता है।

उसी समय, WP29 को निर्देश 2002/58 / EC के संशोधन के बारे में पता है। इस निर्देश के मसौदे में सहमति की अवधारणा अभी भी जीडीपीआर के अनुरूप है। कुकीज़, एप्लिकेशन या अन्य सॉफ़्टवेयर के उपयोग सहित अधिकांश मार्केटिंग संदेशों, कॉल और इंटरनेट ट्रैकिंग विधियों के लिए संगठनों को ऐसा करने के लिए सहमति की आवश्यकता होती है। सहमति के बारे में, WP29 पहले ही यूरोपीय विधायक को अपने प्रस्ताव और निर्देश सौंप चुका है।

डायरेक्टिव 2002/58 / EC के वर्तमान संस्करण के बारे में, WP29 नोट करता है कि निरस्त निर्देश 95/46 / EC के संदर्भों को जीडीपीआर के संदर्भ में माना जाना चाहिए। यह निर्देश 2002/58 / EC में सहमति के संदर्भ में भी लागू होता है, क्योंकि यह 25 मई, 2018 को समाप्त हो रहा है। जीडीपीआर के अनुच्छेद 95 के अनुसार, सार्वजनिक संचार नेटवर्क में सार्वजनिक रूप से उपलब्ध इलेक्ट्रॉनिक सेवाओं के प्रावधान के संदर्भ में दायित्वों को "अतिरिक्त" नहीं माना जाता है, बल्कि प्रारंभिक कानूनी स्थिति है। इसलिए, GDPR में सहमति प्राप्त करने की आवश्यकताएं निर्देश 2002/58 / EC के ढांचे के भीतर स्थितियों में भी लागू होती हैं।

2. अनुच्छेद 4 (11) जीडीपीआर में सहमति

जीडीपीआर का अनुच्छेद 4 (11) इस प्रकार है: "एक स्वैच्छिक, विशिष्ट, सूचित और असमान अभिव्यक्ति, जिसमें डेटा विषय, एक बयान या स्पष्ट सकारात्मक कार्रवाई का उपयोग करके, सहमति व्यक्त करता है, अपने व्यक्तिगत डेटा के प्रसंस्करण के लिए सहमति देता है।"

सहमति के आधार की समझ डायरेक्टिव 95/46 / EC में बनी हुई है, और सहमति एक कानूनी आधार है, जिस पर व्यक्तिगत डेटा का प्रसंस्करण GDPR के अनुच्छेद 6 के अनुसार होना चाहिए। अनुच्छेद 4 (11) में संशोधित परिभाषा के अलावा, जीडीपीआर अनुच्छेद 7 और पैराग्राफ 32, 33, 42 और 43 में और अधिक मार्गदर्शन प्रदान करता है कि नियंत्रक के तत्वों के अनुपालन को सुनिश्चित करने के लिए नियंत्रक को कैसे कार्य करना चाहिए।

अंत में, सहमति की वापसी पर विशिष्ट नियमों का समावेश इस बात की पुष्टि करता है कि सहमति डेटा विषय द्वारा एक प्रतिवर्ती और नियंत्रित निर्णय होना चाहिए।

3. कानूनी सहमति के तत्व

GDPR के अनुच्छेद 4 (11) में विषय की सहमति को परिभाषित किया गया है:

स्वैच्छिक
विशिष्ट
सूचित किया और
इच्छा की स्पष्ट अभिव्यक्ति, जिसमें डेटा विषय, एक बयान या स्पष्ट सकारात्मक कार्रवाई का उपयोग करते हुए, अपने व्यक्तिगत डेटा के प्रसंस्करण के लिए सहमति देता है।

निम्नलिखित GDPR के अनुच्छेद 4 (11) का हद तक विश्लेषण करता है, ताकि GDPR का अनुपालन सुनिश्चित करने के लिए सहमति के लिए अपने अनुरोधों / रूपों को संशोधित करने के लिए नियंत्रकों की आवश्यकता हो।

3.1। स्वैच्छिक

यह तत्व डेटा विषयों के लिए वास्तविक विकल्प और नियंत्रण का अर्थ है। जीडीपीआर यह प्रदान करता है कि यदि डेटा विषय के पास वास्तविक विकल्प नहीं है, तो सहमत नहीं होने के कारण सहमत होने या नुकसान का सामना करने के लिए मजबूर महसूस करता है, तो ऐसे सहमति को अवैध माना जाता है। यदि सहमति को सेवा के शर्तों के रूप में शामिल किया जाता है, तो इसे स्वैच्छिक नहीं माना जाता है। तदनुसार, सहमति को स्वैच्छिक नहीं माना जाता है यदि डेटा विषय स्वयं के लिए प्रतिकूल परिणामों के बिना इसे अस्वीकार या वापस नहीं ले सकता है। GDPR में नियंत्रक और डेटा विषय के बीच असंतुलन की अवधारणा को भी ध्यान में रखा गया है।

मूल्यांकन करते समय कि क्या सहमति स्वेच्छा से दी गई है, किसी को उस विशिष्ट स्थिति को भी ध्यान में रखना चाहिए जिसमें वह सेवा समझौतों से जुड़ा हुआ है, जैसा कि अनुच्छेद 7 (4) में वर्णित है। अनुच्छेद 7 (4) गलत शब्दों में "विशेष रूप से," शब्दों के साथ है, जिसका अर्थ है कि इस नियम के दायरे में कई स्थितियां हो सकती हैं। सामान्य तौर पर, डेटा विषय पर दबाव या प्रभाव का कोई भी तत्व (जो विभिन्न तरीकों से हो सकता है) जो डेटा विषय को अपनी स्वतंत्र इच्छा का उपयोग करने से रोकता है, सहमति को अवैध बनाता है।

1

GPS- . , . , . , .

3.1.1.

अनुच्छेद 43 स्पष्ट रूप से इंगित करता है कि यह संभावना नहीं है कि सरकारी एजेंसियां सहमति पर भरोसा कर सकती हैं, क्योंकि जब राज्य डेटा नियंत्रक है, तो अक्सर उसके और डेटा विषय के बीच स्पष्ट असंतुलन होता है। इसके अलावा, ज्यादातर मामलों में यह स्पष्ट है कि डेटा विषय में ऐसे नियंत्रक की शर्तों को स्वीकार करने के लिए कोई वास्तविक विकल्प नहीं है। WP29 मानता है कि अन्य कानूनी आधार हैं, जो सिद्धांत रूप में, राज्य निकायों की गतिविधियों के लिए अधिक उपयुक्त हैं।

हालांकि, सरकारी अधिकारियों द्वारा डेटा के प्रसंस्करण के लिए कानूनी आधार के रूप में सहमति का उपयोग GDPR के लिए कोई अपवाद नहीं है। निम्नलिखित उदाहरण बताते हैं कि कुछ परिस्थितियों में सहमति उचित हो सकती है।

2

. , , . , , . , , , , . .

3

, , , , . , . , . , . , , - , . , .

4

. , - , .

रोजगार के संदर्भ में असंतुलन भी दिखाई देता है। नियोक्ता और कर्मचारी के बीच संबंधों को देखते हुए, यह संभावना नहीं है कि डेटा विषय इनकार के परिणामस्वरूप नकारात्मक परिणामों के डर या जोखिम के बिना व्यक्तिगत डेटा को संसाधित करने के लिए अपने या उसके सहमति से इनकार कर सकता है। यह संभावना नहीं है कि एक कर्मचारी स्वेच्छा से सहमत हो सकता है, उदाहरण के लिए, निगरानी प्रणाली को सक्रिय करने के लिए, जैसे कार्यस्थल में निगरानी कैमरे, या बिना किसी दबाव का अनुभव किए मूल्यांकन मूल्यांकन भरने के लिए। इस प्रकार, WP29 नियोक्ताओं के लिए सहमति के आधार पर कर्मचारियों के व्यक्तिगत डेटा को संसाधित करने के लिए समस्याग्रस्त मानता है, क्योंकि इसे शायद ही स्वैच्छिक डेटा माना जा सकता है। उत्पादन में प्रसंस्करण डेटा के अधिकांश मामलों के लिए, श्रमिकों की सहमति (अनुच्छेद 6 (1) (ए) जीडीपीआर) संबंध की प्रकृति के कारण वैध कारण नहीं हो सकता है।

हालांकि, इसका मतलब यह नहीं है कि नियोक्ता व्यक्तिगत डेटा के प्रसंस्करण के लिए कानूनी आधार के रूप में सहमति पर भरोसा नहीं कर सकते हैं। स्थिति उत्पन्न हो सकती है जहां नियोक्ता यह प्रदर्शित कर सकता है कि सहमति वास्तव में स्वेच्छा से दी गई है। नियोक्ता और उसके कर्मचारियों के बीच असंतुलन को देखते हुए, कर्मचारी केवल उन परिस्थितियों में स्वेच्छा से सहमति दे सकते हैं, जहां इसका कोई नकारात्मक परिणाम नहीं होगा, चाहे वे सहमति दें या नहीं।

उदाहरण 5

एक फिल्म चालक दल कार्यालय के एक विशिष्ट हिस्से में शूटिंग करेगा। नियोक्ता उन सभी कर्मचारियों से पूछता है जो इस क्षेत्र में शूटिंग के लिए अपनी सहमति देते हैं, क्योंकि वे वीडियो की पृष्ठभूमि में दिखाई दे सकते हैं। जो लोग किसी भी तरह से अभिनय नहीं करना चाहते हैं, उन्हें दंडित नहीं किया जाता है, बल्कि शूटिंग की अवधि के लिए कार्यालय के किसी अन्य भाग में समकक्ष नौकरी प्राप्त करते हैं।

असंतुलन केवल राज्य निकायों और नियोक्ताओं तक सीमित नहीं है, यह अन्य स्थितियों में भी हो सकता है। WP29 जोर देता है कि सहमति केवल तभी कानूनी है जब डेटा विषय धोखाधड़ी, धमकी, जबरदस्ती या नकारात्मक परिणामों के जोखिम के बिना वास्तविक विकल्प बनाने में सक्षम हो। सहमति तब स्वैच्छिक नहीं होगी जब स्वतंत्र इच्छा-शक्ति का प्रयोग करने के लिए किसी भी तरह का जोर, दबाव या अक्षमता हो।

3.1.2। ऐच्छिक

अनुच्छेद 7 (4) जीडीपीआर यह आकलन करने में महत्वपूर्ण भूमिका निभाता है कि क्या सहमति स्वैच्छिक है। वह विशेष रूप से इंगित करती है, कि सेवा की शर्तों को स्वीकार करने के लिए सहमति "जोड़ने" या अनुबंध के निष्पादन के लिए आवश्यक व्यक्तिगत डेटा को संसाधित करने के लिए सहमति के अनुरोध के लिए सेवा का प्रावधान "अत्यधिक" अवांछनीय है। ऐसी स्थिति में दी गई सहमति को स्वैच्छिक (पैराग्राफ 43) नहीं माना जाता है। अनुच्छेद 7 (4) का उद्देश्य यह सुनिश्चित करना है कि व्यक्तिगत डेटा को संसाधित करने का उद्देश्य प्रच्छन्न नहीं है या किसी अनुबंध से जुड़ा हुआ है जिसके लिए इस डेटा की आवश्यकता नहीं है। जीडीपीआर का दावा है कि व्यक्तिगत डेटा का प्रसंस्करण जिसके लिए सहमति का अनुरोध किया गया है, प्रत्यक्ष या अप्रत्यक्ष रूप से प्रतिवाद नहीं बन सकता है।व्यक्तिगत डेटा के वैध प्रसंस्करण के दो कारण - सहमति और सेवाओं का प्रावधान - संयुक्त और धुंधला नहीं हो सकता।

आवश्यक डेटा से परे व्यक्तिगत डेटा के उपयोग के लिए सहमति के लिए डेटा विषय की पसंद को सीमित करता है और स्वतंत्र इच्छा के व्यायाम को बाधित करता है। चूंकि कानून मौलिक अधिकारों की रक्षा करना चाहता है, इसलिए डेटा नियंत्रण महत्वपूर्ण है। यह तर्क दिया जाता है कि किसी अनुबंध के निष्पादन या सेवाओं के प्रावधान के बदले में आवश्यक से अधिक व्यक्तिगत डेटा के उपयोग पर सहमति अनिवार्य नहीं हो सकती है।

जब भी सहमति अनुबंध के निष्पादन से संबंधित होती है, तो डेटा विषय, जो व्यक्तिगत डेटा प्रदान नहीं करना चाहता है, सेवा से इनकार करते हुए जोखिम।

यह आकलन करने के लिए कि "बाध्यकारी" या "बाध्यकारी" है, अनुबंध के दायरे और इसके निष्पादन के लिए आवश्यक डेटा निर्धारित करना महत्वपूर्ण है। निष्कर्ष 06/2014 WP29 के अनुसार, "अनुबंध के निष्पादन के लिए आवश्यक" शब्द की व्याख्या संकीर्ण रूप से की जानी चाहिए। प्रत्येक व्यक्तिगत डेटा विषय के साथ अनुबंध निष्पादित करने के लिए प्रसंस्करण आवश्यक होना चाहिए। उदाहरण के लिए, एक ऑनलाइन स्टोर के संदर्भ में, यह माल या क्रेडिट कार्ड विवरण के वितरण का पता हो सकता है। रोजगार के संदर्भ में, यह वेतन की जानकारी और बैंक खाते का विवरण हो सकता है। अनुबंध में डेटा और उनके उपयोग के उद्देश्य के बीच एक सीधा और उद्देश्य संबंध होना चाहिए।

यदि नियंत्रक व्यक्तिगत डेटा को संसाधित करना चाहता है जो वास्तव में अनुबंध के निष्पादन के लिए आवश्यक है, तो सहमति एक अनिवार्य आधार नहीं है।

अनुच्छेद 7 (4) केवल उन मामलों में लागू होता है जहां अनुबंध के निष्पादन के लिए अनुरोधित डेटा आवश्यक नहीं है, और सहमति सहमति के माध्यम से इस डेटा की प्राप्ति पर निर्भर है। इसके विपरीत, यदि अनुबंध के प्रदर्शन के लिए डेटा आवश्यक है, तो अनुच्छेद 7 (4) लागू नहीं होता है।

उदाहरण 6 एक

बैंक ग्राहकों से सहमति के लिए तीसरे पक्ष को प्रत्यक्ष विपणन के लिए अपने विवरण का उपयोग करने की अनुमति देता है। अनुबंध के निष्पादन और सामान्य सेवाओं के प्रावधान के लिए यह गतिविधि आवश्यक नहीं है। यदि किसी ग्राहक द्वारा सहमति देने से इनकार करने पर बैंकिंग सेवाएं, खाता बंद करने या कमीशन में वृद्धि प्रदान करने से इनकार कर दिया जाता है, तो ऐसे सहमति को स्वैच्छिक नहीं माना जाता है।

सहमति की स्वतंत्रता की कमी के रूप में मुखरता पर ध्यान केंद्रित करने से पता चलता है कि इसकी घटना की शर्तों को सावधानीपूर्वक जांचना चाहिए। अनुच्छेद 7 (4) में "सबसे अधिक ध्यान दें" शब्द का मतलब है कि जब अनुबंध में व्यक्तिगत डेटा के प्रसंस्करण के लिए सहमति का अनुरोध होता है, तो नियंत्रक को विशेष सावधानी बरतनी चाहिए।

चूँकि अनुच्छेद 7 (4) का शब्द निरपेक्ष नहीं है, ऐसे मामले भी हो सकते हैं जहाँ वैकल्पिकता सहमति को अवैध नहीं बनाती है। हालाँकि, अनुच्छेद 43 में "कथित" शब्द इंगित करता है कि ऐसे मामले अत्यंत दुर्लभ होंगे।

किसी भी स्थिति में, अनुच्छेद 7 (4) के लिए प्रदान किए गए प्रमाण का भार नियंत्रक के पास है। यह नियम जवाबदेही के सामान्य सिद्धांत को दर्शाता है, जो पूरे जीडीपीआर में काम करता है। हालांकि, अनुच्छेद 7 (4) को लागू करते समय, नियंत्रक के लिए यह साबित करना अधिक कठिन होगा कि डेटा विषय ने स्वेच्छा से उसकी सहमति दी है।

नियंत्रक यह तर्क दे सकता है कि संगठन डेटा विषयों को एक वास्तविक विकल्प प्रदान करता है यदि वे एक ऐसी सेवा के बीच चयन कर सकते हैं जिसमें अतिरिक्त उद्देश्यों के लिए व्यक्तिगत डेटा का उपयोग करने के लिए सहमति की आवश्यकता होती है, और एक समान सेवा जिसे ऐसे सहमति की आवश्यकता नहीं होती है। जब तक अतिरिक्त डेटा का उपयोग करने के लिए सहमति प्राप्त किए बिना किसी अनुबंध को निष्पादित करना संभव है, तब तक इसे वैकल्पिक नहीं माना जाता है। इस मामले में, दोनों सेवाएं लगभग समान होनी चाहिए।

WP29 मानता है कि सहमति को स्वैच्छिक नहीं माना जाता है यदि नियंत्रक का दावा है कि एक सेवा के बीच एक विकल्प है जिसे अतिरिक्त उद्देश्यों के लिए व्यक्तिगत डेटा का उपयोग करने के लिए सहमति की आवश्यकता होती है और किसी अन्य नियंत्रक से समान सेवा की आवश्यकता होती है जिसे ऐसे सहमति की आवश्यकता नहीं है। इस मामले में, पसंद की स्वतंत्रता इस बात पर निर्भर करेगी कि डेटा विषय सेवाओं को लगभग समान पाता है या नहीं। इसके अलावा, नियंत्रक को ऐसे सहमति की निरंतर वैधता सुनिश्चित करने के लिए बाजार की निगरानी करने की आवश्यकता होगी, क्योंकि एक प्रतियोगी बाद में सेवा बदल सकता है। इसलिए, इस तरह के तर्क का अर्थ है कि सहमति GDPR की आवश्यकताओं का अनुपालन नहीं करती है।

3.1.3। विस्तार

एक सेवा में एक से अधिक उद्देश्यों के लिए कई डेटा प्रोसेसिंग ऑपरेशन शामिल हो सकते हैं। ऐसे मामलों में, डेटा विषयों को यह चुनने में सक्षम होना चाहिए कि वे किस उद्देश्य से अलग से सहमति देते हैं। GDPR के अनुसार, कई कंसेंट को सेवा प्रदान करने के लिए अनुरोध किया जा सकता है।

अनुच्छेद 43 स्पष्ट करता है कि सहमति को स्वैच्छिक नहीं माना जाता है यदि प्राप्ति प्रक्रिया डेटा लेनदेन को कुछ लेनदेन के लिए सहमति नहीं देती है। खण्ड 32 में लिखा है: “सहमति एक ही लक्ष्य को प्राप्त करने के लिए किए गए व्यक्तिगत डेटा को संसाधित करने के सभी तरीकों को कवर करेगी। इस घटना में कि व्यक्तिगत डेटा के प्रसंस्करण के कई उद्देश्य हैं, उनमें से प्रत्येक के लिए सहमति प्राप्त करना आवश्यक है। "

यदि नियंत्रक ने कई प्रसंस्करण लक्ष्यों को संयोजित किया और उनमें से प्रत्येक के लिए एक अलग सहमति प्राप्त करने का प्रयास नहीं किया, तो इसका मतलब स्वतंत्रता की कमी है। डिटेलिंग सहमति की आवश्यकता के साथ निकटता से संबंधित है, जो कि खंड 3.2 में वर्णित है। नीचे। जब डेटा प्रसंस्करण कई उद्देश्यों के लिए किया जाता है, तो कानूनी सहमति की एक शर्त इन लक्ष्यों को अलग करना और प्रत्येक के लिए सहमति प्राप्त करना है।

7

, . , . . (. 3.3.1), , , .

3.1.4.

नियंत्रक डेटा विषय को प्रदर्शित करने के लिए बाध्य है कि वह खुद को पूर्वाग्रह के बिना सहमति को वापस ले सकता है (पैराग्राफ 42)। उदाहरण के लिए, नियंत्रक को यह साबित करने की आवश्यकता है कि सहमति को रद्द करने से डेटा विषय के लिए लागत नहीं आती है और उसके लिए स्पष्ट असुविधा पैदा नहीं होती है।

क्षति के अन्य उदाहरण धोखे, धमकी, जबरदस्ती या महत्वपूर्ण नकारात्मक परिणाम हैं यदि डेटा विषय उसकी सहमति नहीं देता है। नियंत्रक को यह साबित करने की आवश्यकता है कि डेटा विषय के पास इस बात की स्वतंत्र पसंद है कि क्या सहमति दें, और यह कि वह इसे बिना किसी पूर्वाग्रह के वापस ले सकता है।

यदि नियंत्रक दिखाता है कि सेवा में नकारात्मक परिणामों के बिना सहमति को रद्द करने की क्षमता शामिल है, उदाहरण के लिए, गुणवत्ता से समझौता किए बिना, यह एक स्वैच्छिक सहमति के प्रमाण के रूप में काम कर सकता है। जीडीपीआर में सभी प्रोत्साहन शामिल नहीं हैं, लेकिन इस सहमति के स्वैच्छिकता के प्रमाण का बोझ सभी मामलों में नियंत्रक के पास है।

8

lifestyle-, . , , . , , . , 42, , ( , ).

9

. , , . , . , .

10

. , . , . , , . , . , , .

3.2.

अनुच्छेद 6 (1) (क) इस बात की पुष्टि करता है कि सहमति “एक या अधिक विशिष्ट” लक्ष्यों के संबंध में दी जानी चाहिए और उनमें से प्रत्येक के संबंध में डेटा विषय एक विकल्प है। यह आवश्यक है कि सहमति विशिष्ट होनी चाहिए, जिसका उद्देश्य डेटा विषय के लिए उपयोगकर्ता नियंत्रण और पारदर्शिता सुनिश्चित करना है। जीडीपीआर ने इस आवश्यकता को नहीं बदला है, और यह सूचित सहमति की आवश्यकता से निकटता से जुड़ा हुआ है। उसी समय, स्वैच्छिक सहमति प्राप्त करने के लिए विस्तार की आवश्यकता के अनुसार इसकी व्याख्या की जानी चाहिए। सामान्य तौर पर, विशिष्ट होने के लिए, नियंत्रक को चाहिए:

लक्ष्य को इसके विस्तार के खिलाफ सुरक्षात्मक उपाय के रूप में इंगित करें,
सहमति और, के लिए अनुरोध का विस्तार करें
किसी अन्य से सहमति प्राप्त करने से संबंधित जानकारी को स्पष्ट रूप से अलग करें।

अनुपूरक 1. जीडीपीआर के अनुच्छेद 5 (1) (बी) के अनुसार, सहमति की प्राप्ति हमेशा इच्छित डेटा प्रसंस्करण के विशिष्ट, स्पष्ट और कानूनी उद्देश्य के निर्धारण से पहले होती है। एक विशिष्ट सहमति की आवश्यकता, अनुच्छेद 5 (1) (बी) में लक्ष्य प्रतिबंध की अवधारणा के साथ मिलकर, इकाई को सहमति देने के बाद डेटा संग्रह के लक्ष्य के क्रमिक विस्तार के खिलाफ सुरक्षा प्रदान करता है। यह घटना, जिसे कार्यात्मक रेंगना भी कहा जाता है, डेटा विषयों के लिए जोखिम पैदा करती है, क्योंकि यह नियंत्रक या तीसरे पक्ष द्वारा व्यक्तिगत डेटा के अप्रत्याशित उपयोग और नियंत्रण के नुकसान का कारण बन सकता है।

यदि नियंत्रक अनुच्छेद 6 (1) (ए) पर निर्भर करता है, तो डेटा विषयों को हमेशा प्रसंस्करण के विशिष्ट उद्देश्य से सहमति होनी चाहिए। लक्ष्य प्रतिबंध की अवधारणा के अनुसार, अनुच्छेद 5 (1) (बी) और पैराग्राफ 32, सहमति एक ही उद्देश्य से काम करने पर विभिन्न कार्यों को कवर कर सकती है। बेशक, एक विशिष्ट सहमति केवल तब प्राप्त की जा सकती है जब डेटा विषयों को इच्छित प्रसंस्करण उद्देश्यों के बारे में सटीक रूप से सूचित किया जाता है।

लक्ष्यों को संयोजित करने की क्षमता के बावजूद, सहमति प्रत्येक के लिए विशिष्ट होनी चाहिए। डेटा विषयों को इस समझ से सहमत होना होगा कि वे स्थिति को नियंत्रित करते हैं, और उनके डेटा को केवल निर्दिष्ट उद्देश्यों के लिए संसाधित किया जाएगा। यदि नियंत्रक वैध रूप से डेटा को एक उद्देश्य के लिए संसाधित करता है और इसे दूसरे के लिए भी संसाधित करना चाहता है, तो नियंत्रक को इसके लिए अतिरिक्त सहमति का अनुरोध करना आवश्यक है, जब तक कि कोई अन्य कानूनी आधार न हो जो बेहतर स्थिति को दर्शाता है।

11

, , . , ( ) . .

अनुपूरक २. सहमति तंत्र केवल "स्वैच्छिक" की आवश्यकता को पूरा करने के लिए विस्तृत नहीं होना चाहिए, बल्कि "विशिष्टता" के तत्व का भी पालन करना चाहिए। इसका मतलब यह है कि नियंत्रक जो विभिन्न उद्देश्यों के लिए सहमति का अनुरोध करता है, उनमें से प्रत्येक को एक विशिष्ट प्रसंस्करण उद्देश्य के लिए उपयोगकर्ताओं को सहमति देने की अनुमति देने के लिए एक विकल्प प्रदान करना चाहिए।

3. के लिए अनुपूरक। अंत में, पर्यवेक्षकों को प्रत्येक उद्देश्य के लिए प्रत्येक व्यक्तिगत सहमति अनुरोध में विशिष्ट जानकारी प्रदान करने की आवश्यकता होती है, ताकि डेटा विषयों को विभिन्न विकल्पों के प्रभाव के बारे में पता हो। इसलिए डेटा विषयों को विशिष्ट सहमति देने का अवसर दिया जाता है। यह बिंदु खंड 3.3 में स्पष्ट जानकारी प्रदान करने के दायित्व से संबंधित है। नीचे।

3.3। सूचित किया

GDPR की आवश्यकता है कि सहमति सूचित की जानी चाहिए। जीडीपीआर के अनुच्छेद 5 के आधार पर, पारदर्शिता की आवश्यकता मूलभूत सिद्धांतों में से एक है जो न्याय और कानूनीता के सिद्धांतों से निकटता से संबंधित हैं। उनके सहमति प्राप्त करने से पहले डेटा विषयों के बारे में जानकारी प्रदान करना उनके लिए एक महत्वपूर्ण निर्णय लेने के लिए महत्वपूर्ण है, यह समझने के लिए कि वे क्या सहमति देते हैं और अपने सहमति को वापस लेने के अधिकार को समझते हैं। यदि नियंत्रक सुलभ जानकारी प्रदान नहीं करता है, तो डेटा विषय को वास्तविक नियंत्रण प्राप्त नहीं होता है, और ऐसी सहमति को प्रसंस्करण के लिए गैरकानूनी आधार माना जाता है।

सूचित सहमति की आवश्यकता के अनुपालन न करने का परिणाम इसकी अवैधता है, और नियंत्रक जीडीपीआर के अनुच्छेद 6 का उल्लंघन हो सकता है।

3.3.1। सूचित सहमति प्राप्त करने के लिए न्यूनतम सामग्री आवश्यकताएँ

सहमति व्यक्त करने के लिए, डेटा तत्व को कई तत्वों के साथ प्रदान करना आवश्यक है जो निर्णय लेने के लिए उसके लिए महत्वपूर्ण हैं। इसलिए, WP29 की राय है कि कानूनी सहमति प्राप्त करने के लिए कम से कम निम्नलिखित जानकारी की आवश्यकता है:

नियंत्रक का नाम
व्यक्तिगत डेटा के उद्देश्य से प्रसंस्करण के उद्देश्य,
एकत्रित और उपयोग किए जाने वाले डेटा के प्रकार,
सहमति वापस लेने का अधिकार,
अनुच्छेद 22 (2) (ग) के अनुसार स्वचालित डेटा प्रसंस्करण की जानकारी, जहाँ उपयुक्त हो, और
अनुच्छेद 46 में वर्णित एक पर्याप्त समाधान और सुरक्षात्मक उपायों की कमी के कारण डेटा ट्रांसमिशन के संभावित जोखिमों की जानकारी।

पैराग्राफ 1 और 3 के बारे में, WP29 नोट करता है कि मामले में जब अनुरोधित सहमति कई (संयुक्त) नियंत्रकों द्वारा प्राप्त की जानी चाहिए, या यदि डेटा को अन्य नियंत्रकों द्वारा प्रेषित या संसाधित किया जाना चाहिए जो इस तरह के सहमति में शामिल होना चाहते हैं, तो उन सभी को होना चाहिए। सूचीबद्ध हैं। डेटा प्रोसेसरों को इंगित नहीं किया जा सकता है, हालांकि नियंत्रकों को जीडीपीआर के अनुच्छेद 13 और 14 के अनुपालन के लिए प्रोसेसर सहित डेटा प्राप्तकर्ताओं या उनकी श्रेणियों की पूरी सूची प्रदान करना आवश्यक है। अंत में, WP29 नोट करता है कि, परिस्थितियों के आधार पर, डेटा प्रोसेसिंग ऑपरेशन को स्पष्ट रूप से समझने के लिए डेटा विषय को अतिरिक्त जानकारी की आवश्यकता हो सकती है।

3.3.2। जानकारी कैसे प्रदान करें

जीडीपीआर सूचित सहमति की आवश्यकता के अनुपालन के लिए फॉर्म या प्रकार का वर्णन नहीं करता है कि जानकारी कैसे प्रदान की जानी चाहिए। इसका मतलब यह है कि इसे विभिन्न तरीकों से दर्शाया जा सकता है, जैसे कि लिखित या मौखिक बयान, ऑडियो या वीडियो संदेश। हालाँकि, GDPR में सूचित सहमति के लिए कई आवश्यकताएं हैं, मुख्य रूप से अनुच्छेद 7 (2) और खंड 32 में। यह स्पष्टता और पहुंच को बढ़ाता है।

सहमति का अनुरोध करते समय, नियंत्रक को हमेशा स्पष्ट और सरल भाषा का उपयोग करना चाहिए। इसका मतलब है कि संदेश को एक साधारण व्यक्ति द्वारा आसानी से समझा जाना चाहिए, न कि केवल एक वकील द्वारा। पर्यवेक्षकों को लंबी गोपनीयता नीतियों का उपयोग नहीं करना चाहिए जिन्हें समझना मुश्किल है, या कानूनी शब्दजाल। सहमति को स्पष्ट होना चाहिए, अन्य मुद्दों से अलग, और समझने और आसानी से सुलभ तरीके से प्रदान किया जाना चाहिए। इस आवश्यकता का अर्थ है कि सहमति या असहमति पर एक सूचित निर्णय को अपनाने से संबंधित जानकारी को सेवा की सामान्य शर्तों में छिपाया नहीं जा सकता है।

नियंत्रक को यह सुनिश्चित करने की आवश्यकता है कि सहमति जानकारी के आधार पर प्राप्त की जाती है जो डेटा विषय को आसानी से पहचानने की अनुमति देता है कि नियंत्रक कौन है और वास्तव में वे किस बात से सहमत हैं। नियंत्रक स्पष्ट रूप से उस प्रसंस्करण के उद्देश्य का वर्णन करेगा जिसके लिए सहमति का अनुरोध किया गया है।

अन्य विशिष्ट अभिगम्यता दिशानिर्देश WP29 द्वारा पारदर्शिता के संदर्भ में शामिल किए गए हैं। यदि सहमति इलेक्ट्रॉनिक रूप से दी जाती है, तो इसके लिए अनुरोध स्पष्ट और संक्षिप्त होना चाहिए। व्यापक और विस्तृत जानकारी द्विपक्षीय दायित्वों के लिए अधिक उपयुक्त है - एक तरफ सटीक और पूर्ण, और दूसरी तरफ समझने योग्य।

लक्ष्य दर्शकों का मूल्यांकन करने के लिए नियंत्रक की आवश्यकता होती है, जो व्यक्तिगत डेटा को प्रसारित करता है। उदाहरण के लिए, यदि इसमें नाबालिग शामिल हैं, तो नियंत्रक को यह सुनिश्चित करना चाहिए कि जानकारी उनके लिए समझने योग्य है। इस तरह के मूल्यांकन के बाद, नियंत्रक को यह निर्धारित करने की आवश्यकता होती है कि डेटा विषयों को क्या जानकारी और कैसे प्रदान करनी चाहिए।

अनुच्छेद 7 (2) अग्रिम में तैयार सहमति के लिखित बयानों पर विचार करता है जो अन्य मामलों से संबंधित हैं। जब सहमति एक (कागज) अनुबंध के तहत अनुरोध की जाती है, तो इस तरह के अनुरोध को अन्य मुद्दों से स्पष्ट रूप से अलग किया जाना चाहिए। यदि पेपर अनुबंध में ऐसे पहलू शामिल हैं जो सहमति से संबंधित नहीं हैं, तो इसके सवाल पर इस तरह से विचार किया जाना चाहिए कि यह स्पष्ट रूप से बाहर खड़ा है या एक अलग दस्तावेज़ के रूप में प्रस्तावित है। इसी प्रकार, यदि सहमति इलेक्ट्रॉनिक रूप से अनुरोध की जाती है, तो अनुरोध अलग होना चाहिए और अनुच्छेद 32 के अनुसार, सेवा के संदर्भ में सिर्फ एक पैराग्राफ नहीं हो सकता है। जब छोटे स्क्रीन पर या सीमित स्थान पर रखा जाता है, तो अत्यधिक बातचीत से बचने के लिए जानकारी प्रदान करने का एक व्यापक तरीका उपयुक्त हो सकता है। उपयोगकर्ता या उत्पाद डिज़ाइन उल्लंघन।

नियंत्रक, जो सहमति को संदर्भित करता है, को भी GDPR के अनुपालन के लिए अनुच्छेद 13 और 14 में उल्लिखित आवश्यकताओं का अनुपालन करना आवश्यक है। व्यवहार में, इन आवश्यकताओं के अनुपालन के लिए और सूचित सहमति की आवश्यकता के अनुपालन के लिए एक एकीकृत दृष्टिकोण लिया जा सकता है। हालांकि, गाइड के इस खंड को इस संदर्भ में लिखा गया है कि वैध "सूचित" सहमति तब प्राप्त की जा सकती है, भले ही लेख 13 और / या 14 के सभी तत्वों को रसीद की प्रक्रिया में उल्लिखित किया गया हो (ये बिंदु, निश्चित रूप से, अन्यत्र उल्लेख किया जाना चाहिए, उदाहरण के लिए, गोपनीयता नीति)। WP29 ने पारदर्शिता के संबंध में अलग-अलग सिफारिशें जारी कीं।

उदाहरण 12

X , , , . , . X , . , , . , . , , . X . X , , .

13

. , . . , . 6, «» , 13(1)(b) 14(1)(b) GDPR.

3.4.

जीडीपीआर निर्धारित करता है कि सहमति के लिए डेटा विषय द्वारा एक बयान या स्पष्ट सकारात्मक कार्रवाई की आवश्यकता है। यह स्पष्ट होना चाहिए कि डेटा विषय ने विशिष्ट प्रसंस्करण के लिए अपनी सहमति दी है।
निर्देश 95/46 / EC के अनुच्छेद 2 (एच) ने सहमति को "इच्छा की अभिव्यक्ति" के रूप में वर्णित किया है, जिसके द्वारा डेटा विषय उसके संबंधित व्यक्तिगत डेटा के प्रसंस्करण के लिए अपनी सहमति व्यक्त करता है। WPD29 के पिछले निर्देशों के अनुसार, GDPR का अनुच्छेद 4 (11) इस परिभाषा पर आधारित है, जिसमें स्पष्ट किया गया है कि कानूनी सहमति के लिए कथन की अभिव्यक्ति या स्पष्ट पुष्टित्मक कार्रवाई की आवश्यकता होती है।

"स्पष्ट सकारात्मक कार्रवाई" का अर्थ है कि विषय सचेत रूप से एक विशिष्ट उपचार के लिए सहमत है। धारा 32 इस विषय पर और मार्गदर्शन प्रदान करती है। सहमति लिखित या दर्ज (मौखिक), साथ ही इलेक्ट्रॉनिक रूप से प्राप्त की जा सकती है।

शायद "लिखित कथन" की आवश्यकता को पूरा करने का सबसे आसान तरीका यह सुनिश्चित करना है कि डेटा विषय ने नियंत्रक को समझाया है कि वह पत्र या ईमेल से सहमत है। अक्सर यह संभव नहीं है। संबंधित GDPR लिखित कथन भिन्न हो सकते हैं।

मौजूदा (राष्ट्रीय) अनुबंध कानून के पक्षपात के बिना, सहमति दर्ज की गई मौखिक संचार द्वारा प्राप्त की जा सकती है, पहले से डेटा विषय के लिए उपलब्ध जानकारी को ध्यान में रखते हुए। जीडीपीआर के अनुसार, पूर्व-चयनित विकल्पों के उपयोग की अनुमति नहीं है। सेवा के साथ चुप्पी, निष्क्रियता या निरंतर काम को पसंद का संकेत नहीं माना जाता है।

उदाहरण 14

स्थापना के दौरान, अनुप्रयोग व्यक्तिगत गुणवत्ता क्रैश रिपोर्ट का उपयोग करके उसकी गुणवत्ता में सुधार करने के लिए सहमति के लिए डेटा विषय पूछता है। सभी आवश्यक जानकारी युक्त एक व्यापक गोपनीयता नीति सहमति अनुरोध से जुड़ी हुई है। "I सहमत" शिलालेख के साथ वैकल्पिक फ़ील्ड को सक्रिय रूप से टिक करके, उपयोगकर्ता एक स्पष्ट सकारात्मक कार्रवाई करता है, जो प्रसंस्करण के लिए अपनी सहमति देता है।

नियंत्रक को इस बात का ध्यान रखना चाहिए कि सेवाओं के प्रावधान के लिए अनुबंध के साथ सहमति प्राप्त नहीं की जा सकती है। सेवा की शर्तों की स्वीकृति को व्यक्तिगत डेटा के उपयोग पर एक स्पष्ट सकारात्मक कार्रवाई के रूप में नहीं माना जा सकता है। जीडीपीआर पूर्व-चयनित विकल्पों (उदाहरण के लिए, "अनसब्सक्राइब" फ़ील्ड) या अन्य तरीकों को प्रतिबंधित करता है, जिन्हें सहमति को रद्द करने के लिए डेटा विषय के हस्तक्षेप की आवश्यकता होती है।

जब सहमति इलेक्ट्रॉनिक रूप से दी जाती है, तो अनुरोध को अनावश्यक रूप से सेवा के साथ कार्य को बाधित नहीं करना चाहिए। एक स्पष्ट सकारात्मक कार्रवाई जिसके द्वारा डेटा विषय प्रदान करता है सहमति आवश्यक हो सकती है यदि इसे प्राप्त करने का कम व्यवधानपूर्ण तरीका अस्पष्टता की ओर जाता है। इस प्रकार, सहमति का अनुरोध करने के लिए, अनुरोध को वैध बनाने के लिए उपयोगकर्ता के साथ सहभागिता को आंशिक रूप से निलंबित करना आवश्यक हो सकता है।

जीडीपीआर के अनुसार, पर्यवेक्षकों को यह अधिकार है कि वे संगठन के लिए सबसे अच्छी तरह से सहमत होने वाली सहमति प्रक्रिया को स्वतंत्र रूप से विकसित करें। इस नस में, शारीरिक क्रियाएं स्पष्ट पुष्टि के रूप में योग्य हो सकती हैं।

पर्यवेक्षकों को कंसेंट मैकेनिज्म को इस तरह से डिजाइन करना चाहिए कि वे डेटा विषयों द्वारा समझे जा सकें। पर्यवेक्षकों को अस्पष्टता से बचना चाहिए और यह सुनिश्चित करना चाहिए कि जिसके द्वारा सहमति दी गई है उसे अन्य कार्यों से अलग किया जा सकता है। इस प्रकार, वेबसाइट का सामान्य रूप से निरंतर उपयोग एक ऐसी कार्रवाई नहीं है, जिससे हम यह निष्कर्ष निकाल सकते हैं कि डेटा विषय प्रसंस्करण संचालन के लिए अपनी सहमति व्यक्त करना चाहता है।

15

, , , , , (, , X Y. ). , , , .

16
- . , « », / , , .

डिजिटल दुनिया में, कई सेवाओं के लिए व्यक्तिगत डेटा की आवश्यकता होती है, इसलिए डेटा विषयों को कई सहमति अनुरोध प्राप्त होते हैं, जिन्हें स्क्रीन पर क्लिक और स्वाइप करके हर दिन जवाब देने की आवश्यकता होती है। इससे कुछ उदासीनता हो सकती है: जब अनुरोधों को बहुत बार पूरा किया जाता है, तो उनका वास्तविक चेतावनी प्रभाव कम हो जाता है।

यह एक ऐसी स्थिति की ओर जाता है जहां सहमति अनुरोध अब पढ़ा नहीं जाता है। यह स्थिति डेटा विषयों के लिए एक उच्च जोखिम है, क्योंकि सहमति आमतौर पर प्रसंस्करण के लिए अनुरोध की जाती है जो इसके बिना अवैध होगी। जीडीपीआर पर्यवेक्षकों पर इस समस्या को हल करने के तरीकों को विकसित करने के लिए एक दायित्व देता है।

ऐसी स्थिति का एक प्रसिद्ध उदाहरण अपने ब्राउज़र में सेटिंग्स के माध्यम से एक इंटरनेट उपयोगकर्ता की सहमति प्राप्त कर रहा है। ऐसी सेटिंग्स को GDPR के अनुसार डिज़ाइन किया जाना चाहिए। उदाहरण के लिए, सहमति प्रत्येक लक्ष्यों के लिए विस्तृत होनी चाहिए और इसमें पर्यवेक्षकों के नाम होने चाहिए।

किसी भी मामले में, व्यक्तिगत डेटा के प्रसंस्करण के साथ नियंत्रक आय से पहले सहमति प्राप्त की जानी चाहिए। पिछली सिफारिशों में, WP29 ने लगातार यह सुनिश्चित किया है कि प्रसंस्करण गतिविधियों को शुरू करने से पहले सहमति दी जानी चाहिए। इस तथ्य के बावजूद कि जीडीपीआर का अनुच्छेद 4 (11) प्रसंस्करण शुरू होने से पहले वस्तुतः सहमति की प्राप्ति को निर्धारित नहीं करता है, यह स्पष्ट रूप से निहित है। अनुच्छेद 6 (1) का शीर्षक और अनुच्छेद 6 (1) (क) में "दिए गए" शब्द इस तरह की व्याख्या का समर्थन करते हैं। अनुच्छेद 6 और पैराग्राफ 40 से यह तार्किक रूप से इस प्रकार है कि डेटा का प्रसंस्करण शुरू करने से पहले एक कानूनी आधार होना चाहिए। इसलिए, डेटा प्रोसेसिंग प्रक्रिया की शुरुआत से पहले सहमति दी जानी चाहिए। सिद्धांत रूप में, यह एक बार डेटा विषय की सहमति का अनुरोध करने के लिए पर्याप्त है। हालांकि, पर्यवेक्षकों को एक नया सहमति प्राप्त करने की आवश्यकता होती है यदि प्रसंस्करण उद्देश्य बदल गए हैं या एक अतिरिक्त उद्देश्य सामने आया है।

4. स्पष्ट सहमति प्राप्त करना

कुछ स्थितियों में स्पष्ट सहमति की आवश्यकता होती है जहां डेटा संरक्षण का गंभीर खतरा होता है, इसलिए, व्यक्तिगत डेटा पर उच्च स्तर का नियंत्रण उचित माना जाता है। जीडीपीआर के अनुसार, विशेष श्रेणियों की डेटा की प्रोसेसिंग, तीसरे देश या अंतरराष्ट्रीय संगठनों को डेटा के हस्तांतरण पर प्रावधान, प्रोफाइलिंग सहित स्वचालित निर्णय लेने पर अनुच्छेद 49 और 22 के लिए कोई सुरक्षात्मक उपाय उपलब्ध नहीं हैं, तो स्पष्ट 9 सहमति अनुच्छेद 9 में एक महत्वपूर्ण भूमिका निभाती है।

GDPR प्रदान करता है कि एक "कथन या स्पष्ट सकारात्मक कार्रवाई" एक "सरल" सहमति के लिए एक शर्त है। चूंकि GDPR में "सरल" सहमति की आवश्यकता का महत्व निर्देश 95/46 / EC से अधिक है, इसलिए यह स्पष्ट करना आवश्यक है कि GDPR के अनुसार डेटा विषय की स्पष्ट सहमति प्राप्त करने के लिए नियंत्रक को क्या अतिरिक्त प्रयास करने चाहिए।

स्पष्ट शब्द एक डेटा विषय द्वारा सहमति व्यक्त करने की एक विधि को संदर्भित करता है। इसका मतलब है कि डेटा विषय को स्पष्ट सहमति देनी चाहिए। यह सुनिश्चित करने का स्पष्ट तरीका कि सहमति स्पष्ट है, सहमति को लिखित रूप में देना है। ऐसे मामलों में, नियंत्रक यह सुनिश्चित कर सकता है कि भविष्य में सभी संभावित संदेह और सबूतों की संभावित कमी को खत्म करने के लिए डेटा विषय द्वारा लिखित बयान पर हस्ताक्षर किए गए हैं।

हालाँकि, एक लिखित बयान एक स्पष्ट सहमति प्राप्त करने का एकमात्र तरीका नहीं है, और यह नहीं कहा जा सकता है कि GDPR के लिए आपको सभी मामलों में एक लिखित सहमति प्राप्त करने की आवश्यकता होती है जिसके लिए एक वैध स्पष्ट सहमति की आवश्यकता होती है। उदाहरण के लिए, डिजिटल दुनिया में, एक इलेक्ट्रॉनिक विषय को भरने, एक ई-मेल भेजने, हस्ताक्षर के साथ एक स्कैन किए गए दस्तावेज़ को डाउनलोड करने या इलेक्ट्रॉनिक हस्ताक्षर का उपयोग करके एक डेटा विषय पर सहमति हो सकती है। सैद्धांतिक रूप से, मौखिक बयानों का उपयोग एक वैध स्पष्ट सहमति प्राप्त करने के लिए पर्याप्त हो सकता है, लेकिन नियंत्रक के लिए यह साबित करना अधिक कठिन होगा कि इस तरह के बयान को दर्ज करते समय वैध स्पष्ट सहमति की सभी शर्तों को पूरा किया गया हो।

संगठन फोन द्वारा भी स्पष्ट सहमति प्राप्त कर सकता है बशर्ते कि चयन की जानकारी उचित, समझ और स्पष्ट हो, और डेटा विषय से एक विशिष्ट कार्रवाई का अनुरोध किया जाता है (उदाहरण के लिए, एक बटन दबाने या मौखिक पुष्टि प्रदान करना)।

उदाहरण 17 एक

डेटा कंट्रोलर एक विजिटर से उसकी वेबसाइट पर एक स्पष्ट सहमति प्राप्त कर सकता है जिसमें कंसेंट स्क्रीन की पेशकश की जाती है, जिसमें हां और ना के झंडे होते हैं, बशर्ते कि टेक्स्ट स्पष्ट रूप से कंसेंट को इंगित करता है। उदाहरण के लिए, "मैं अपने डेटा के प्रसंस्करण के लिए सहमति देता हूं", और नहीं, कहते हैं, "यह मेरे लिए स्पष्ट है कि मेरे डेटा को संसाधित किया जाएगा"। बेशक, कानूनी सहमति प्राप्त करने के लिए अन्य शर्तों का पालन किया जाना चाहिए।

उदाहरण 18

, . - . , , , .

सहमति का दो-चरणीय सत्यापन भी इस बात की पुष्टि करने का एक तरीका हो सकता है कि स्पष्ट सहमति मान्य है। उदाहरण के लिए, डेटा विषय एक ईमेल प्राप्त करता है जो उसके इरादे के नियंत्रक को उसके मेडिकल डेटा को संसाधित करने के लिए सूचित करता है। नियंत्रक बताता है कि वह सहमति के लिए एक विशिष्ट उद्देश्य के लिए एक विशिष्ट डेटा सेट का उपयोग करने का अनुरोध कर रहा है। यदि डेटा विषय ऐसी प्रक्रिया से सहमत है, तो नियंत्रक "मैं सहमत हूं" पाठ के साथ ई-मेल से उत्तर देने के लिए कहता है। प्रतिक्रिया भेजने के बाद, डेटा विषय समझौते की पुष्टि करने के लिए एक कोड के साथ एक ट्रांसफर लिंक या एसएमएस प्राप्त करता है।

अनुच्छेद 9 (2) डेटा की विशेष श्रेणियों के प्रसंस्करण के सामान्य निषेध के अपवाद के रूप में "अनुबंध निष्पादन की आवश्यकता" को मान्यता नहीं देता है। इसलिए, इस स्थिति से निपटने वाले नियंत्रकों और यूरोपीय संघ के देशों को अनुच्छेद 9 (2) के पैराग्राफ (बी) से (जे) में निहित अपवादों का अध्ययन करना आवश्यक है। यदि उनमें से कोई भी लागू नहीं होता है, तो GDPR के अनुसार स्पष्ट सहमति प्राप्त करना ऐसे डेटा के प्रसंस्करण के लिए एकमात्र संभावित कानूनी अपवाद बना हुआ है।

उदाहरण 19

Holiday Airways , , , - , . . Holiday Airways , (, , : , ). Holiday Airways . , , . , . , , 7(4) .

20

, . , . . , . , , , . . . , , . , 9, .

5. कानूनी सहमति प्राप्त करने के लिए अतिरिक्त शर्तें

जीडीपीआर पर्यवेक्षकों के लिए अतिरिक्त उपाय करने के लिए आवश्यकताओं का परिचय देता है ताकि यह सुनिश्चित हो सके कि वे प्राप्त करते हैं, समर्थन करते हैं और कानूनी सहमति प्रदर्शित कर सकते हैं। जीडीपीआर के अनुच्छेद 7 में कंसेंट जर्नल को रखने पर विशिष्ट प्रावधानों और सहमति के आसान निरस्तीकरण के अधिकार के साथ इन अतिरिक्त उपायों का वर्णन किया गया है। अनुच्छेद 7 GDPR के अन्य लेखों में संदर्भित सहमति पर भी लागू होता है, उदाहरण के लिए अनुच्छेद 8 और 9 में। कानूनी सहमति के प्रदर्शन के लिए अतिरिक्त आवश्यकताओं पर मार्गदर्शन और इसके निरसन के लिए नीचे दिया गया है।

5.1। सहमति का प्रदर्शन

GDPR की धारा 7 (1) डेटा विषय की सहमति प्रदर्शित करने के लिए नियंत्रक के स्पष्ट दायित्व को परिभाषित करती है। धारा 7 (1) के अनुसार, प्रमाण का भार नियंत्रक के पास होता है।

अनुच्छेद 42 कहता है: "यदि प्रसंस्करण डेटा विषय की सहमति पर आधारित है, तो नियंत्रक को यह प्रदर्शित करने में सक्षम होना चाहिए कि डेटा विषय ने प्रोसेसिंग ऑपरेशन के लिए सहमति दी है।"

पर्यवेक्षक इस आवश्यकता का पालन करने के लिए अपने तरीके विकसित कर सकते हैं ताकि वे अपनी गतिविधियों के लिए बेहतर हों। उसी समय, अपने आप में प्राप्त कानूनी सहमति को प्रदर्शित करने की बाध्यता से अतिरिक्त अतिरिक्त डेटा प्रसंस्करण नहीं होना चाहिए। इसका मतलब यह है कि नियंत्रकों के पास प्रसंस्करण (सहमति की रसीद दिखाने) के साथ संबंध प्रदर्शित करने के लिए पर्याप्त डेटा होना चाहिए, लेकिन जो आवश्यक है उससे परे डेटा एकत्र करने की आवश्यकता नहीं है।

नियंत्रक को यह दिखाने के लिए आवश्यक है कि डेटा विषय से वर्तमान सहमति प्राप्त की गई है। जीडीपीआर यह निर्दिष्ट नहीं करता है कि यह कैसे किया जाना चाहिए। हालाँकि, नियंत्रक को यह साबित करना होगा कि डेटा विषय ने उसकी सहमति दे दी है। जबकि डेटा प्रोसेसिंग गतिविधियाँ जारी हैं, पर सहमति प्रदर्शित करने की बाध्यता है। प्रसंस्करण के पूरा होने पर, अनुच्छेद 17 (3) (बी) और (ई) के अनुसार, कानूनी दायित्वों, प्रस्तुति, प्रवर्तन या कानूनी आवश्यकताओं की रक्षा की पूर्ति के लिए सहमति के प्रमाण को कड़ाई से आवश्यक नहीं रखा जाएगा।

उदाहरण के लिए, नियंत्रक सहमति के प्राप्त बयानों का एक प्रोटोकॉल स्टोर कर सकता है कि यह कैसे और कब प्राप्त किया गया था, और उस समय डेटा विषय को क्या जानकारी प्रदान की गई थी। नियंत्रक को यह दिखाने के लिए भी आवश्यक है कि डेटा विषय को सूचित किया गया था और रसीद प्रक्रिया कानूनी सहमति के सभी मानदंडों को पूरा करती है। जीडीपीआर के इस दायित्व का तार्किक कारण यह है कि पर्यवेक्षकों को विषय की कानूनी सहमति और इसे प्राप्त करने के लिए उनके तंत्र की जिम्मेदारी लेनी चाहिए। उदाहरण के लिए, एक ऑनलाइन संदर्भ में, नियंत्रक उस सत्र के बारे में जानकारी संग्रहीत कर सकता है जिसके दौरान सहमति रसीद की प्रक्रिया के प्रलेखन के साथ दी गई थी और उस समय डेटा विषय को प्रस्तुत की गई जानकारी की एक प्रति। यह केवल सही वेबसाइट कॉन्फ़िगरेशन को संदर्भित करने के लिए पर्याप्त नहीं है।

21

- « X», . , . . , « X».

GDPR सहमति के लिए एक विशिष्ट समाप्ति तिथि निर्दिष्ट नहीं करता है। शेल्फ जीवन डेटा विषय के संदर्भ, गुंजाइश और अपेक्षाओं पर निर्भर करता है। यदि प्रसंस्करण कार्य काफी भिन्न होता है, तो मूल सहमति अब मान्य नहीं है। इस मामले में, आपको एक नया परमिट प्राप्त करना होगा।

WP29 समय-समय पर सहमति को अद्यतन करने की सिफारिश करता है। सूचना का पुन: प्रावधान यह सुनिश्चित करने में मदद करता है कि डेटा विषय उसके डेटा उपयोग और अधिकारों से अच्छी तरह अवगत है।

5.2। सहमति का निरसन

GDPR में सहमति का निरसन महत्वपूर्ण है। जीडीपीआर मानदंडों और सहमति को रद्द करने के लिए आवश्यकताओं को WP29 के निष्कर्षों में इस मुद्दे की मौजूदा व्याख्या का एक संहिताकरण माना जा सकता है।

जीडीपीआर के अनुच्छेद 7 (3) में कहा गया है कि यह सुनिश्चित करने के लिए नियंत्रक की आवश्यकता है कि डेटा विषय किसी भी समय सहमति को आसानी से रद्द कर सकता है जितनी आसानी से दी गई थी। जीडीपीआर की आवश्यकता नहीं है कि सहमति का प्रावधान और निरसन एक ही कार्रवाई होनी चाहिए।

हालाँकि, यदि कंसेंट को केवल माउस के एक क्लिक के साथ इलेक्ट्रॉनिक रूप से प्राप्त किया जाता है, तो स्क्रीन को स्वाइप करके या एक कुंजी दबाकर, डेटा विषयों को इस सहमति को उसी आसानी से वापस लेने में सक्षम होना चाहिए। उन मामलों में जहां उपयोगकर्ता इंटरफ़ेस के माध्यम से सहमति प्राप्त की जाती है (उदाहरण के लिए, वेबसाइट, एप्लिकेशन, लॉगिन खाता, इंटरनेट ऑफ़ थिंग्स इंटरफ़ेस या ईमेल के माध्यम से), डेटा विषय को स्विच करने के बाद से उसी इंटरफ़ेस के माध्यम से सहमति को रद्द करने में सक्षम होना चाहिए। सहमति रद्द करने के एकमात्र कारण के लिए एक अन्य इंटरफ़ेस को अनुचित प्रयासों की आवश्यकता होगी। इसके अलावा, डेटा विषय को बिना किसी पूर्वाग्रह के अपने सहमति को वापस लेने में सक्षम होना चाहिए। इसका मतलब है, विशेष रूप से, यह है कि नियंत्रक को सेवा की गुणवत्ता से समझौता किए बिना, मुफ्त में सहमति रद्द करने के लिए बाध्य किया जाता है।

22

-. . «» «». , . - 8 5 . 7(3) GDPR. , , -, .

आसान रिकॉल की आवश्यकता को GDPR में कानूनी सहमति की आवश्यक आवश्यकता के रूप में वर्णित किया गया है। यदि निकासी का अधिकार GDPR की आवश्यकताओं को पूरा नहीं करता है, तो नियंत्रक द्वारा सहमति की प्रक्रिया की पूरी प्रक्रिया GDPR की आवश्यकताओं का अनुपालन नहीं करती है। जैसा कि पहले ही खंड 3.1 में उल्लेख किया गया है। सूचित सहमति की आवश्यकताओं के बारे में, नियंत्रक को डेटा विषय के बारे में सूचित करने के अधिकार के बारे में सूचित करने के लिए बाध्य किया जाता है, इसकी वास्तविक रसीद से पहले अनुच्छेद 7 (3) जीडीपीआर के अनुसार। इसके अलावा, नियंत्रक की आवश्यकता है, पारदर्शिता सुनिश्चित करने के ढांचे के भीतर, इस अधिकार को प्रयोग करने की विधि के बारे में डेटा विषय को सूचित करना।

आमतौर पर, जब सहमति रद्द कर दी जाती है, तो उस पर बनाए गए किसी भी डेटा प्रोसेसिंग ऑपरेशन को चालू किया जाता है और सहमति के निरसन से पहले प्रदर्शन किया जाता है, हालांकि, उस पल से नियंत्रक को प्रसंस्करण बंद करने की आवश्यकता होती है। यदि डेटा संसाधित करने के लिए कोई अन्य कानूनी आधार नहीं हैं (उदाहरण के लिए, आगे का भंडारण), तो उन्हें हटा दिया जाना चाहिए।

जैसा कि पहले उल्लेख किया गया है, यह बहुत महत्वपूर्ण है कि नियंत्रक डेटा संग्रह शुरू होने से पहले डेटा के वास्तविक प्रसंस्करण के लिए लक्ष्य और कानूनी आधार निर्धारित करते हैं। अक्सर कंपनियों को एक साथ कई उद्देश्यों के लिए व्यक्तिगत डेटा की आवश्यकता होती है, और प्रसंस्करण एक से अधिक कानूनी आधारों पर आधारित होता है, उदाहरण के लिए, ग्राहक डेटा अनुबंध और सहमति दोनों में हो सकता है। तब सहमति वापस लेने का मतलब यह नहीं है कि अनुबंध को पूरा करने के लिए संसाधित किए गए डेटा को हटाने के लिए नियंत्रक बाध्य है। इसलिए, नियंत्रक शुरू से ही यह इंगित करने के लिए बाध्य है कि प्रत्येक डेटा तत्व से संबंधित उद्देश्य क्या है और यह किस कानूनी आधार पर आधारित है।

कंट्रोलर के आधार पर संसाधित डेटा को हटाने के लिए बाध्य किया जाता है जैसे ही इसे रद्द किया जाता है, बशर्ते कि आगे भंडारण के औचित्य के लिए कोई अन्य कारण नहीं है। अनुच्छेद 17 (1) (बी) में वर्णित इस स्थिति के अलावा, डेटा विषय को उसके अन्य डेटा को हटाने की आवश्यकता हो सकती है, जिसे दूसरे कानूनी आधार पर संसाधित किया जाता है, उदाहरण के लिए, अनुच्छेद 6 (1) (बी) के आधार पर। हटाने के अनुरोध के अभाव में भी नियंत्रक को डेटा के आगे के प्रसंस्करण की उपयुक्तता का मूल्यांकन करना चाहिए।

ऐसे मामलों में जहां डेटा विषय उसके सहमति को वापस ले लेता है, लेकिन नियंत्रक व्यक्तिगत डेटा को किसी अन्य कानूनी आधार पर जारी रखने की इच्छा रखता है, वह चुपचाप सहमति (जिसे वापस ले लिया जाता है) से दूसरे कानूनी आधार पर स्थानांतरित नहीं हो सकता है। प्रसंस्करण के लिए कानूनी आधार में किसी भी बदलाव को लेख 13 और 14 में निर्धारित सूचना आवश्यकताओं के अनुसार और पारदर्शिता के सिद्धांत के अनुसार डेटा विषय के ध्यान में लाया जाना चाहिए।

6. जीडीपीआर के अनुच्छेद 6 में अन्य कानूनी आधारों के साथ सहमति की सहभागिता

अनुच्छेद 6 व्यक्तिगत डेटा के वैध प्रसंस्करण के लिए शर्तों को स्थापित करता है और छह कानूनी आधारों का वर्णन करता है जिस पर नियंत्रक भरोसा कर सकता है। इन छह आधारों में से एक के आवेदन को प्रसंस्करण की शुरुआत से पहले स्थापित किया जाना चाहिए और विशिष्ट उद्देश्य के लिए प्रासंगिक होना चाहिए।

यहां यह ध्यान रखना महत्वपूर्ण है कि यदि नियंत्रक प्रसंस्करण के किसी भी हिस्से के बारे में सहमति पर भरोसा करने का फैसला करता है, तो उसे इसे समाप्त करने के लिए तैयार रहना चाहिए यदि व्यक्ति अपना सहमति वापस लेता है। यह सूचना कि डेटा को सहमति के आधार पर संसाधित किया जाता है, जब वास्तव में एक और कानूनी आधार लागू होता है, सिद्धांत रूप में डेटा विषय के लिए अनुचित है।

दूसरे शब्दों में, नियंत्रक सहमति को अन्य कानूनी आधार से प्रतिस्थापित नहीं कर सकता है। उदाहरण के लिए, यह पूर्वव्यापी रूप से वैध हितों का उपयोग करने की अनुमति नहीं है, अगर कानूनी सहमति के साथ समस्या उत्पन्न होती है, तो कानूनी रूप से प्रसंस्करण के लिए कानूनी आधार का उपयोग करें। कानूनी आधार का खुलासा करने की आवश्यकता को ध्यान में रखते हुए जिस पर नियंत्रक व्यक्तिगत डेटा के संग्रह पर निर्भर करता है, वह पहले से तय करने के लिए बाध्य है कि कौन सा कानूनी आधार लागू है।

7. जीडीपीआर के विशेष प्रावधान

7.1। बच्चे (अनुच्छेद 8)

वर्तमान निर्देश की तुलना में, GDPR सुरक्षा का एक अतिरिक्त स्तर बनाता है, जिस पर सबसे कमजोर व्यक्तियों, विशेषकर बच्चों के व्यक्तिगत डेटा को संसाधित किया जाता है। अनुच्छेद 8 सूचना सेवाओं के संबंध में इन बच्चों के लिए सुरक्षा का बढ़ा हुआ स्तर प्रदान करने के लिए अतिरिक्त दायित्वों का परिचय देता है। संवर्धित संरक्षण के कारणों को पैराग्राफ 38 में इंगित किया गया है: "... क्योंकि वे व्यक्तिगत डेटा के प्रसंस्करण से जुड़े जोखिमों, परिणामों, गारंटीओं और अधिकारों के बारे में कम जानते हैं ..." पैराग्राफ 38 में यह भी कहा गया है कि "विशेष रूप से ऐसे विशेष संरक्षण का उपयोग करने के लिए लागू होना चाहिए।" विपणन उद्देश्यों के लिए बच्चों के व्यक्तिगत डेटा या व्यक्तिगत (उपयोगकर्ता) प्रोफाइल बनाने के लिए और विशेष रूप से बच्चों के उद्देश्य से सेवाओं का उपयोग करने की प्रक्रिया में बच्चों से संबंधित व्यक्तिगत डेटा एकत्र करने के लिए।"विशेष रूप से" शब्द "इंगित करता है कि संरक्षण केवल मार्केटिंग या प्रोफाइलिंग तक सीमित नहीं है, लेकिन इसमें" बच्चों के डेटा का एक व्यापक संग्रह "शामिल है।"

अनुच्छेद 8 (1) यह निर्धारित करता है कि ऐसे मामलों में जहां सहमति को बच्चे को सीधे सूचना सेवाओं की पेशकश करने के लिए लागू किया जाता है, व्यक्तिगत डेटा के प्रसंस्करण को कानूनी माना जाता है यदि वह कम से कम 16 वर्ष का हो। यदि बच्चा 16 वर्ष से कम उम्र का है, तो इस तरह की प्रक्रिया केवल कानूनी है अगर और इस हद तक कि सहमति बच्चे के हितों का प्रतिनिधित्व करने वाले व्यक्ति द्वारा दी गई है। सहमति की आयु सीमा के बारे में, GDPR यूरोपीय संघ के देशों को अपने यहां न्यूनतम सीमा निर्धारित करने की अनुमति देता है, लेकिन यह 13 वर्ष से कम नहीं हो सकता है।

जैसा कि अनुभाग 3.1 में उल्लेख किया गया है। सूचित सहमति के संबंध में, संदेश लक्षित श्रोताओं के लिए स्पष्ट होना चाहिए, जिससे नियंत्रक को पता चले, बच्चे की राय पर विशेष ध्यान दें। बच्चे के "सूचित सहमति" को प्राप्त करने के लिए, नियंत्रक को बच्चों के लिए एक सरल और समझने योग्य भाषा में समझाना चाहिए कि वह कैसे एकत्र किए गए डेटा को संसाधित करने की योजना बना रहा है। यदि माता-पिता सहमति देते हैं, तो वयस्क को सूचित निर्णय लेने की अनुमति देने के लिए जानकारी का एक सेट आवश्यक हो सकता है।

यह पूर्वगामी से निम्नानुसार है कि अनुच्छेद 8 केवल तभी लागू होता है जब निम्नलिखित शर्तें पूरी होती हैं:

प्रसंस्करण सीधे बच्चे को सूचना सेवाओं के प्रावधान से संबंधित है,
प्रसंस्करण सहमति पर आधारित है।

7.1.1। जानकारी सेवाएँ

अनुच्छेद 4 (25) में "सूचना सेवा" शब्द के दायरे को निर्धारित करने के लिए, जीडीपीआर निर्देश 2015/1535 को संदर्भित करता है।

इस परिभाषा के दायरे का आकलन करते हुए, WP29 यूरोपीय न्यायालय के अभ्यास को भी संदर्भित करता है। अदालत ने फैसला सुनाया कि सूचना सेवाएं अनुबंध या अन्य सेवाओं को कवर करती हैं जो ऑनलाइन संपन्न या प्रतिबद्ध हैं। यदि किसी सेवा में दो आर्थिक रूप से स्वतंत्र घटक होते हैं, जिनमें से पहला ऑनलाइन होता है, उदाहरण के लिए, एक प्रस्ताव और इसकी स्वीकृति एक अनुबंध के समापन या विपणन सहित उत्पादों और सेवाओं के बारे में जानकारी के साथ जुड़ा हुआ है, तो ऐसे घटक को एक सूचना सेवा माना जाता है। बदले में, दूसरा घटक, माल की भौतिक आपूर्ति या वितरण होने के नाते, एक सूचना सेवा की अवधारणा के अंतर्गत नहीं आता है। ऑनलाइन सेवा का प्रावधान GDPR के अनुच्छेद 8 में निहित "सूचना सेवा" शब्द की परिभाषा के अनुसार है।

7.1.2। एक बच्चे के लिए सीधे की पेशकश की

वाक्यांश "बच्चे को सीधे पेश किया गया" का समावेश यह दर्शाता है कि अनुच्छेद 8 केवल कुछ सूचना सेवाओं पर लागू होता है। यदि सूचना सेवा प्रदाता संभावित उपयोगकर्ताओं को यह स्पष्ट कर देता है कि वह केवल 18 वर्ष से अधिक आयु के लोगों को ही सेवाएं प्रदान करता है, और यह अन्य प्रमाणों (उदाहरण के लिए, वेबसाइट या विपणन योजनाओं की सामग्री) द्वारा मना नहीं किया जाता है, तो ऐसी सेवा को सीधे बच्चे को "पेशकश" नहीं माना जाता है। अनुच्छेद 8 लागू नहीं होता है।

7.1.3। आयु

जीडीपीआर यह निर्धारित करता है कि "यूरोपीय संघ के देश इन उद्देश्यों के लिए विधायी रूप से कम आयु प्रदान कर सकते हैं, बशर्ते कि ऐसी आयु 13 वर्ष से कम न हो।" नियंत्रक को स्थानीय कानूनों के बारे में पता होना चाहिए और उस समुदाय को ध्यान में रखना चाहिए जिसे वह सेवाएं प्रदान करता है। यह विशेष रूप से ध्यान दिया जाना चाहिए कि क्रॉस-बॉर्डर सेवा की पेशकश करने वाला नियंत्रक हमेशा अपने अधिकार क्षेत्र में केवल मानदंडों का उल्लेख नहीं कर सकता है, लेकिन उसे प्रत्येक देश के कानूनों का पालन करने की भी आवश्यकता हो सकती है जहां वह सूचना सेवाएं प्रदान करता है। यह इस बात पर निर्भर करता है कि देश नियंत्रक के अधिकार क्षेत्र पर निर्भर करता है या डेटा विषय के निवास स्थान पर। इस तरह का चुनाव करते समय, सबसे पहले, सभी यूरोपीय संघ के देश बच्चे के हितों को ध्यान में रखने के लिए बाध्य हैं। वर्किंग ग्रुप इस मुद्दे पर सहमत निर्णय के लिए कहता है।

यदि सहमति के आधार पर बच्चों को सूचना सेवाएं प्रदान की जाती हैं, तो यह अपेक्षा की जाती है कि पर्यवेक्षक यह सुनिश्चित करने के लिए उपाय करें कि उपयोगकर्ता डिजिटल सहमति की न्यूनतम आयु तक पहुंच गया है, और इन उपायों को डेटा और जोखिमों के प्रसंस्करण के लिए आनुपातिक होना चाहिए।

यदि उपयोगकर्ता डिजिटल सहमति की न्यूनतम आयु से अधिक होने का दावा करते हैं, तो नियंत्रक इसे सत्यापित करने के लिए समीक्षा कर सकता है। हालांकि जीडीपीआर इस तरह के चेक का प्रदर्शन करने के लिए बाध्य नहीं है, लेकिन यह आवश्यक है, क्योंकि यदि बच्चा सहमति देता है, तो डेटा प्रोसेसिंग अवैध हो जाएगी, क्योंकि उसकी ओर से कानूनी सहमति प्रदान करने के लिए पर्याप्त पुराना नहीं है।

यदि उपयोगकर्ता दावा करता है कि वह डिजिटल सहमति की न्यूनतम आयु तक नहीं पहुंचा है, तो नियंत्रक इस कथन को सत्यापन के बिना स्वीकार कर सकता है, लेकिन तब नियंत्रक को माता-पिता की अनुमति प्राप्त करने और यह सत्यापित करने की आवश्यकता होगी कि सहमति प्रदान करने वाले व्यक्ति के माता-पिता के अधिकार हैं।

आयु सत्यापन को अत्यधिक डाटा प्रोसेसिंग के लिए जिम्मेदार नहीं ठहराया जा सकता है। डेटा विषय की आयु को सत्यापित करने के लिए चयनित विधि में प्रस्तावित उपचार का जोखिम मूल्यांकन शामिल होना चाहिए। कम जोखिम वाली स्थितियों में, यह जन्म के वर्ष के लिए पूछने या एक फॉर्म भरने के लिए पर्याप्त हो सकता है जिसमें वह नाबालिग है (नहीं)। संदेह के मामले में, पर्यवेक्षक को उम्र की जाँच के तरीकों को बदलना चाहिए और वैकल्पिक जाँच की आवश्यकता पर विचार करना चाहिए।

7.1.4। बच्चे सहमति और माता-पिता के अधिकार

GDPR यह निर्धारित नहीं करता है कि माता-पिता की सहमति कैसे प्राप्त करें या यह स्थापित करने का अधिकार किसके पास है। इसलिए, WP29 अनुच्छेद 8 (2) और 5 (1) © GDPR (डेटा न्यूनतम) के अनुसार एक आनुपातिक दृष्टिकोण की सिफारिश करता है। एक आनुपातिक दृष्टिकोण एक सीमित मात्रा में जानकारी प्राप्त करना है, जैसे कि माता-पिता या अभिभावक के संपर्क विवरण।

यह सत्यापित करना उचित है कि उपयोगकर्ता अपना कंसेंट प्रदान करने के लिए पर्याप्त पुराना है, और यह कि बच्चे की सहमति प्रदान करने वाले व्यक्ति के माता-पिता के अधिकार हैं, प्रसंस्करण जोखिम और उपलब्ध प्रौद्योगिकी पर निर्भर हो सकता है। कम जोखिम वाली स्थितियों में, ईमेल की पुष्टि पर्याप्त हो सकती है। इसके विपरीत, उच्च जोखिम वाली स्थितियों में, अतिरिक्त साक्ष्य का अनुरोध करना उचित हो सकता है ताकि नियंत्रक जीडीपीआर के अनुच्छेद 7 (1) के अनुसार इसे सत्यापित और संग्रहीत कर सके। तृतीय-पक्ष सत्यापन सेवाएँ उन समाधानों की पेशकश कर सकती हैं जो व्यक्तिगत डेटा की मात्रा को कम से कम करते हैं जो नियंत्रक को स्वयं संसाधित करना होगा।

23

- , . :

1: , 16 ( ). , , :

2: , . .

3: , , .

4: .
, , 8 GDPR.

उदाहरण दिखाता है कि नियंत्रक यह प्रदर्शित कर सकता है कि बच्चे को प्रदान की जाने वाली सेवाओं के लिए कानूनी सहमति सुनिश्चित करने के लिए उचित प्रयास किए गए हैं। अनुच्छेद 8 (2) कहता है कि "नियंत्रक, उपलब्ध तकनीकी क्षमताओं को ध्यान में रखते हुए, यह सुनिश्चित करने के लिए उचित प्रयास करना चाहिए कि सहमति किसी व्यक्ति द्वारा बच्चे के संबंध में माता-पिता के अधिकारों से दी गई थी, या उसकी स्वीकृति के साथ दी गई थी।"

नियंत्रक यह निर्धारित करने के लिए बाध्य है कि किसी विशेष मामले में कौन से उपाय उचित हैं। आमतौर पर, पर्यवेक्षकों को उन चेक से बचना चाहिए जो व्यक्तिगत डेटा के अत्यधिक संग्रह की ओर ले जाते हैं।

WP29 मानता है कि ऐसी परिस्थितियाँ हो सकती हैं जहाँ सत्यापन जटिल है (उदाहरण के लिए, जब सहमति देने वाले बच्चों ने अभी तक डिजिटल पदचिह्न नहीं छोड़ा है या जब माता-पिता के अधिकारों को सत्यापित करना मुश्किल है। उचित उपायों का निर्धारण करते समय जटिलता को ध्यान में रखा जा सकता है, लेकिन नियंत्रकों से अपेक्षा की जाती है कि वे अपनी प्रक्रियाओं की लगातार निगरानी करें। और उपलब्ध प्रौद्योगिकियां।

व्यक्तिगत डेटा के प्रसंस्करण के लिए सहमति के विषय के अधिकार के बारे में और उन पर पूर्ण नियंत्रण रखने के लिए, जैसे ही डेटा विषय डिजिटल सहमति की उम्र तक पहुंचता है, माता-पिता या अभिभावक की सहमति की पुष्टि, परिवर्तन या निरस्त किया जा सकता है। व्यवहार में, इसका मतलब है कि यदि बच्चा कोई कार्रवाई नहीं करता है, तो माता-पिता या अभिभावक द्वारा दी गई प्रसंस्करण के लिए सहमति, डिजिटल सहमति की आयु से पहले दी गई, प्रसंस्करण के लिए कानूनी आधार रहेगी। डिजिटल सहमति की उम्र तक पहुंचने पर, बच्चा अनुच्छेद 7 (3) के अनुसार सहमति को रद्द कर सकता है। निष्पक्षता और पारदर्शिता के सिद्धांतों के अनुसार, इस संभावना के बच्चे को सूचित करने के लिए नियंत्रक की आवश्यकता होती है।

यह ध्यान रखना महत्वपूर्ण है कि, खंड 38 के अनुसार, माता-पिता या अभिभावक की सहमति के लिए आवश्यक नहीं है कि वह सीधे बच्चे को दी जाने वाली निवारक या परामर्श सेवाओं के लिए हो। उदाहरण के लिए, ऑनलाइन बाल संरक्षण सेवाएं प्रदान करने के लिए माता-पिता की अनुमति की आवश्यकता नहीं होती है।

अंत में, जीडीपीआर निर्धारित करता है कि नाबालिगों के संबंध में अटॉर्नी की शक्तियों को जारी करने के नियम "यूरोपीय संघ के देशों के सामान्य अनुबंध कानून को प्रभावित नहीं करते हैं, उदाहरण के लिए, बच्चे के संबंध में समझौतों के समापन या निष्पादन"। इस प्रकार, इन बच्चों का उपयोग करने के लिए कानूनी सहमति की आवश्यकताएं कानूनी ढांचे का हिस्सा हैं, जिन्हें देशों के अनुबंध कानून से अलग माना जाना चाहिए। इसलिए, गाइड नाबालिगों द्वारा दर्ज किए गए ऑनलाइन अनुबंधों की वैधता के मुद्दे को संबोधित नहीं करता है। दोनों कानूनी व्यवस्थाओं को एक साथ लागू किया जा सकता है, और GDPR के दायरे में देशों के अनुबंध कानून का सामंजस्य शामिल नहीं है।

7.2। वैज्ञानिक अनुसंधान

शोध उद्देश्यों की परिभाषा का डेटा प्रसंस्करण गतिविधियों के पूरे स्पेक्ट्रम पर महत्वपूर्ण प्रभाव पड़ता है जिसे नियंत्रक बाहर ले जा सकता है। शब्द "वैज्ञानिक अनुसंधान" GDPR में परिभाषित नहीं है। अनुच्छेद 159 में कहा गया है: "... इस विनियमन के ढांचे के भीतर, वैज्ञानिक अनुसंधान के उद्देश्य के लिए व्यक्तिगत डेटा के प्रसंस्करण की व्यापक रूप से व्याख्या की जानी चाहिए ...", हालांकि, WP29 का मानना है कि यह अवधारणा अपने सामान्य अर्थ से व्यापक नहीं हो सकती है, इसलिए, इस संदर्भ में "वैज्ञानिक अनुसंधान" का अर्थ है एक शोध परियोजना उद्योग पद्धति और नैतिक मानकों और सर्वोत्तम प्रथाओं के अनुसार बनाया गया।

जब सहमति जीडीपीआर के अनुसार अनुसंधान करने के लिए कानूनी आधार है, तो इसे नैतिक मानकों या प्रक्रियात्मक दायित्वों की सेवा करते हुए सहमति की अन्य आवश्यकताओं से अलग किया जाना चाहिए। ऐसी प्रक्रियात्मक बाध्यता का एक उदाहरण जब प्रसंस्करण सहमति पर आधारित नहीं है, लेकिन एक अन्य कानूनी आधार पर क्लिनिकल परीक्षण अनुसूची में पाया जा सकता है। डेटा सुरक्षा अधिकारों के संदर्भ में, सहमति के अंतिम रूप को एक अतिरिक्त सुरक्षात्मक उपाय माना जा सकता है। इसी समय, GDPR केवल शोध उद्देश्यों के लिए डेटा के प्रसंस्करण के लिए अनुच्छेद 6 के आवेदन को सीमित नहीं करता है। जब तक सुरक्षात्मक उपाय मौजूद हैं, जैसे कि अनुच्छेद 89 (1) की आवश्यकताएं, और प्रसंस्करण उचित, कानूनी, पारदर्शी और डेटा न्यूनता मानकों और व्यक्तिगत अधिकारों के अनुसार है।अन्य कानूनी आधार उपलब्ध हो सकते हैं, जैसे कि अनुच्छेद 6 (1) (ई) या (एफ)। यह अनुच्छेद 9 (2) (जे) के अपवादों के अनुसार डेटा की विशेष श्रेणियों पर भी लागू होता है।

अनुच्छेद 33 वैज्ञानिक अनुसंधान के संदर्भ में सहमति के परिशोधन और परिशोधन के लिए कुछ लचीलापन लाता है। यह कहता है: “डेटा संग्रह के समय वैज्ञानिक अनुसंधान के लिए व्यक्तिगत डेटा के प्रसंस्करण के उद्देश्य को पूरी तरह से निर्धारित करना अक्सर असंभव होता है। इसलिए, डेटा विषयों को वैज्ञानिक अनुसंधान के मान्यता प्राप्त नैतिक मानकों के साथ अपने लक्ष्यों की अनुरूपता के आधार पर, वैज्ञानिक अनुसंधान के कुछ क्षेत्रों में अपनी सहमति देने का अवसर दिया जाना चाहिए। डेटा विषय केवल इच्छित उद्देश्य के अनुसार अनुसंधान के कुछ क्षेत्रों या अनुसंधान परियोजनाओं के हिस्से के संबंध में अपनी सहमति देने में सक्षम होना चाहिए। "

सबसे पहले, यह ध्यान दिया जाना चाहिए कि पैराग्राफ 33 एक विशिष्ट सहमति की आवश्यकता के लिए दायित्व को रद्द नहीं करता है। इसका मतलब यह है कि, सिद्धांत रूप में, अनुसंधान परियोजनाएं सहमति के आधार पर व्यक्तिगत डेटा को केवल तभी शामिल कर सकती हैं जब उनका एक सुव्यवस्थित उद्देश्य हो। ऐसे मामलों में जहां अनुसंधान परियोजना के ढांचे में डेटा प्रोसेसिंग के लक्ष्यों को शुरुआत में निर्धारित नहीं किया जा सकता है, अनुच्छेद 33 इस अपवाद को अनुमति देता है कि लक्ष्य को अधिक सामान्य तरीके से वर्णित किया जा सकता है।

विशेष डेटा श्रेणियों के प्रसंस्करण के बारे में GDPR के अनुच्छेद 9 में निर्धारित कड़े शर्तों को देखते हुए, WP29 नोट करता है कि ऐसे मामलों में जहां विशेष डेटा श्रेणियों को स्पष्ट सहमति के आधार पर संसाधित किया जाता है, एक लचीले दृष्टिकोण को अधिक सख्ती से व्याख्या की जानी चाहिए और अधिक सावधानीपूर्वक अध्ययन की आवश्यकता है।

जीडीपीआर को समग्र रूप से देखते हुए, इस तरह से व्याख्या नहीं की जा सकती है, जिससे नियंत्रक को उन उद्देश्यों को निर्धारित करने के प्रमुख सिद्धांत को दरकिनार करने की अनुमति मिल सके, जिनके लिए डेटा विषय पर सहमति का अनुरोध किया गया है। जब अनुसंधान उद्देश्यों को पूरी तरह से परिभाषित नहीं किया जा सकता है, तो पर्यवेक्षक को यह सुनिश्चित करने के लिए अन्य तरीकों की तलाश करनी चाहिए कि सहमति आवश्यकताओं का सार सबसे उपयुक्त है, उदाहरण के लिए, डेटा विषयों को अधिक सामान्य शब्दों में अनुसंधान लक्ष्य की सहमति के लिए और अनुसंधान के विशिष्ट चरणों के लिए अनुमति दें जो बहुत शुरुआत से ज्ञात हैं। जैसे-जैसे शोध आगे बढ़ता है, इसके शुरू होने से पहले अगले चरण पर सहमति प्राप्त की जा सकती है। हालांकि, इस तरह की सहमति वैज्ञानिक अनुसंधान के नैतिक मानकों के अनुरूप बनी रहेगी।

इसके अलावा, ऐसे मामलों में, नियंत्रक अतिरिक्त सावधानी बरत सकता है। उदाहरण के लिए, अनुच्छेद 89 (1) वैज्ञानिक, ऐतिहासिक या सांख्यिकीय उद्देश्यों के लिए डेटा को संसाधित करते समय सुरक्षा उपायों की आवश्यकता पर जोर देता है। इन उद्देश्यों में "डेटा विषय के अधिकारों और स्वतंत्रता की गारंटी शामिल है।" संभावित सुरक्षा उपायों में न्यूनतमकरण, अज्ञातकरण और डेटा सुरक्षा शामिल हैं। यदि निजी डेटा को संसाधित किए बिना अध्ययन का उद्देश्य प्राप्त किया जा सकता है, तो गुमनामी को प्राथमिकता दी जाती है।

पारदर्शिता एक अतिरिक्त सुरक्षा है जब अध्ययन की परिस्थितियाँ एक विशिष्ट सहमति की अनुमति नहीं देती हैं। लक्ष्य के समवर्ती की कमी की भरपाई इसके विकास की जानकारी द्वारा की जा सकती है, जो नियमित रूप से अनुसंधान परियोजना के कार्यान्वयन के दौरान पर्यवेक्षकों द्वारा प्रदान की जाती है, ताकि समय के साथ सहमति यथासंभव विशिष्ट हो जाए। उसी समय, डेटा विषय में स्थिति की कम से कम एक बुनियादी समझ होती है, जो यह आकलन करना संभव बनाता है कि क्या अनुच्छेद 7 (3) के अनुसार सहमति रद्द करने के अधिकार का उपयोग किया जाना चाहिए।

इसके अलावा, डेटा विषयों के लिए एक व्यापक शोध योजना उपलब्ध होने से पहले, सहमति देने से पहले लक्ष्य पर विस्तार की कमी के लिए क्षतिपूर्ति करने में मदद मिल सकती है। इस तरह के एक शोध योजना में, अनुसंधान विषयों और काम के तरीकों को यथासंभव स्पष्ट रूप से परिभाषित किया जाना चाहिए। एक शोध योजना अनुच्छेद 7 (1) का अनुपालन करने में मदद कर सकती है, क्योंकि पर्यवेक्षकों को यह दिखाना होगा कि सहमति प्राप्त करने के समय डेटा विषयों के लिए कौन सी जानकारी उपलब्ध थी ताकि यह प्रदर्शित किया जा सके कि यह कानूनी है।

यह याद रखना महत्वपूर्ण है कि जब सहमति को प्रसंस्करण के लिए कानूनी आधार के रूप में उपयोग किया जाता है, तो डेटा विषय को इसे रद्द करने में सक्षम होना चाहिए। WP29 के नोट जो सहमति को निरस्त करते हैं, व्यक्तियों के डेटा की आवश्यकता वाले शोध में हस्तक्षेप कर सकते हैं, लेकिन GDPR स्पष्ट रूप से इंगित करता है कि सहमति रद्द की जा सकती है, और पर्यवेक्षकों को इसके अनुसार कार्य करने की आवश्यकता है - वैज्ञानिक अनुसंधान के लिए कोई अपवाद नहीं है। यदि नियंत्रक को सहमति रद्द करने के लिए अनुरोध प्राप्त होता है, तो वह वास्तव में व्यक्तिगत डेटा को हटाने के लिए बाध्य होता है यदि वह अनुसंधान जारी रखना चाहता है।

7.3। डेटा विषय अधिकार

यदि डेटा प्रोसेसिंग डेटा विषय की सहमति पर आधारित है, तो यह उस व्यक्ति के अधिकारों को प्रभावित करता है। डेटा विषय उनके डेटा की पोर्टेबिलिटी (अनुच्छेद 20) के हकदार हैं। उसी समय, ऑब्जेक्ट का अधिकार (अनुच्छेद 21) लागू नहीं होता है यदि प्रसंस्करण सहमति पर आधारित है, भले ही किसी भी समय सहमति को वापस लेने का अधिकार समान परिणाम देता है।

जीडीपीआर के अनुच्छेद 16 से 20 यह संकेत देते हैं कि (जब डेटा प्रोसेसिंग सहमति पर आधारित है) डेटा विषयों को डेटा को हटाने का अधिकार है जब सहमति रद्द की जाती है, साथ ही उन्हें प्रतिबंधित करने, समायोजित करने और उन तक पहुंचने का अधिकार है।

8. निर्देश 95/46 / EC के अनुसार प्राप्त किया गया

पर्यवेक्षक पहले से ही स्थानीय कानून के अनुसार सहमति के आधार पर डेटा संसाधित कर रहे हैं, जीडीपीआर की तैयारी कर रहे हैं, डेटा विषयों के साथ सभी संबंधों को स्वचालित रूप से पूरी तरह से अपडेट करने की आवश्यकता नहीं है। सहमति पहले से ही जीडीपीआर के अनुपालन की सीमा तक कानूनी है।

यह महत्वपूर्ण है कि पर्यवेक्षक 25 मई, 2018 तक वर्तमान प्रक्रियाओं और रिकॉर्ड की विस्तार से जांच करें, ताकि यह सुनिश्चित हो सके कि मौजूदा समझौते जीडीपीआर (जीडीपीआर के पैरा 171 देखें) का अनुपालन करते हैं। GDPR कंसेंट मैकेनिज्म के लिए उच्चतम मानक का परिचय देता है और कई नई आवश्यकताओं का परिचय देता है, जिसमें पर्यवेक्षकों को सहमति प्रक्रियाओं को बदलने की आवश्यकता होती है, न कि गोपनीयता नीतियों को फिर से लिखना।

उदाहरण के लिए, चूंकि जीडीपीआर को नियंत्रक की आवश्यकता होती है, जो यह प्रदर्शित करने में सक्षम हो कि कानूनी सहमति प्राप्त कर ली गई है, अन्य सभी सहमति स्वतः जीडीपीआर के अनुरूप नहीं हैं, और उन्हें प्रतिस्थापित किया जाना चाहिए। इसी तरह, चूंकि जीडीपीआर को एक "कथन या स्पष्ट सकारात्मक कार्रवाई" की आवश्यकता होती है, इसलिए डेटा विषय के अप्रत्यक्ष कार्यों (उदाहरण के लिए, एक पूर्व-सेट चेक बॉक्स) पर आधारित अन्य सभी सहमति भी जीडीपीआर से मेल नहीं खाएगी।

इसके अलावा, यह प्रदर्शित करने के लिए कि सहमति प्राप्त की गई है, या डेटा विषय की पसंद को परिष्कृत करने के लिए, प्रक्रियाओं और प्रणालियों की समीक्षा करने की आवश्यकता हो सकती है। इसके अलावा, सहमति को आसानी से रद्द करना संभव है, और यह कैसे करना है, इस पर जानकारी प्रदान की जानी चाहिए। यदि मौजूदा सहमति प्रबंधन प्रक्रिया GDPR आवश्यकताओं को पूरा नहीं करती है, तो नियंत्रक को उनके अनुरूप एक नया सहमति प्राप्त करना आवश्यक है।

दूसरी ओर, चूंकि एक सूचित सहमति की स्थिति को हमेशा अनुच्छेद 13 और 14 में उल्लिखित सभी तत्वों की आवश्यकता नहीं होती है, जीडीपीआर के विस्तारित दायित्वों को सहमति की निरंतरता के विपरीत नहीं है जो जीडीपीआर के बल में प्रवेश से पहले प्रदान की गई थी। प्रसंस्करण के कारणों के बारे में डेटा विषयों को सूचित करने के लिए निर्देश 95/46 / EC में कोई आवश्यकता नहीं थी।

यदि नियंत्रक यह निर्धारित करता है कि पुराने कानून के तहत पहले प्राप्त सहमति अब GDPR का अनुपालन नहीं करता है, तो वह इसके अनुपालन के लिए उपाय करने के लिए बाध्य है, उदाहरण के लिए, सहमति को अद्यतन करने के लिए। GDPR के अनुसार, दूसरे के लिए एक कानूनी आधार का प्रतिस्थापन अस्वीकार्य है। यदि नियंत्रक सहमति को अद्यतन नहीं कर सकता है, और GDPR के अनुपालन के लिए आगे नहीं बढ़ सकता है, तो डेटा को किसी अन्य कानूनी आधार पर संसाधित करना, जबकि यह सुनिश्चित करना कि प्रसंस्करण एक निष्पक्ष और पारदर्शी तरीके से जारी है, तो प्रसंस्करण गतिविधि को रोक दिया जाना चाहिए। किसी भी मामले में, कानूनी, निष्पक्ष और पारदर्शी डेटा प्रसंस्करण के सिद्धांतों का पालन करने के लिए नियंत्रक की आवश्यकता होती है।

GDPR: व्यक्तिगत डेटा के प्रसंस्करण के लिए सहमति