डिजाइन द्वारा गोपनीयता

डिजाइन द्वारा गोपनीयता (GDPR)

1) यह किस बारे में है और क्यों

डिजाइन द्वारा गोपनीयता (पीबीडी) वह सिद्धांत है जिसके अनुसार गोपनीयता शुरू से ही एक उत्पाद में एम्बेडेड है: व्यावसायिक आवश्यकताओं, वास्तुकला, कोड, प्रक्रियाओं और संचालन में। जीडीपीआर के संदर्भ में, यह "डिजाइन और डिफ़ॉल्ट रूप से गोपनीयता" में प्रकट होता है (शुल्क को कम करना, डिफ़ॉल्ट सेटिंग्स यथासंभव निजी, पारदर्शिता और जवाबदेही है)।

• व्यक्तिगत डेटा (पीडी) के संग्रह और प्रसंस्करण को न्यूनतम करें।
• वैधता, पारदर्शिता, शुद्धता, लक्ष्यों की सीमा और समय सीमा सुनिश्चित करना।
• जोखिम कम करें (तकनीकी और कानूनी), ऑडिट को सरल बनाएं और अनुपालन साबित करें।

2) जीडीपीआर भूमिकाएं, कानूनी ढांचे और सिद्धांत

2. 1 भूमिकाएँ

नियंत्रक-प्रसंस्करण के लक्ष्यों/साधनों को परिभाषित करता है

डीपीए अनुबंध के तहत नियंत्रक की ओर से प्रोसेसर-प्रोसेस व्यक्तिगत डेटा।

डेटा विषय: एक व्यक्ति जिसका व्यक्तिगत डेटा है।

डीपीओ (डेटा संरक्षण अधिकारी): मांग पर - स्वतंत्र निगरानी और परामर्श।

2. 2 कानूनी आधार (चुनें और दस्तावेज़)

सहमति, संविदा, वैध हित, कानूनी कर्तव्य, महत्वपूर्ण हित, सार्वजनिक कार्य प्रत्येक लक्ष्य के लिए, डेटा, प्रतिधारण, निरसन (सहमति के लिए)।

2. 3 प्रसंस्करण सिद्धांत (आर्ट 5)

वैधता, निष्पक्षता, पारदर्शिता

लक्ष्य सीमा

डेटा न्यूनतम करना

सटीकता

भंडारण प्रतिबंध

खराई और गोपनीयता

जवाबदेही - अनुपालन साबित करने की क्षमता।

3) एसडीएलसी में पीबीडी प्रक्रिया (संदर्भ ढांचा)

1. दीक्षा: प्रसंस्करण लक्ष्यों और कानूनी आधारों का निर्माण, डेटा और डीपीओ बिंदु के मालिकों का असाइनमेंट।

2. डेटा का मानचित्रण (डेटा मैपिंग): स्रोत क्षेत्र गोपनीय मॉडल - जहां प्रवाह - जो पढ़ ता है - जहां संग्रहीत शब्द हैं।

3. जोखिम मूल्यांकन/DPIA: गोपनीयता खतरों, प्रभाव मूल्यांकन, शमन उपायों के LINDDUN-मॉडल।

4. वास्तुशिल्प समाधान: न्यूनीकरण, छद्म नाम, एन्क्रिप्शन, भेद योजनाओं का चयन।

5. UX/सहमति/सूचनाओं के लिए आवश्यकताएं: स्पष्ट ग्रंथ, दानेदार सहमति, डिफ़ॉल्ट सेटिंग।

6. कार्यान्वयन: निजी चूक, सुरक्षित टेलीमेट्री, गुप्त-मुक्त लॉगिंग/पीआईआई।

7. सत्यापन: गोपनीयता परीक्षण, स्थिर विश्लेषण, निजी इकाई परीक्षण, डीपीआईए प्रोटोकॉल।

8. ऑपरेशन: डीएसएआर प्रक्रियाएं, प्रतिधारण और स्वभाव, घटना निगरानी, विक्रेता समीक्षा।

9. नियमित समीक्षा: लक्ष्यों/प्रौद्योगिकियों को बदलते समय फिर से डीपीआईए।

4) इंजीनियरिंग पीबीडी पैटर्न

4. 1 न्यूनतम और अपघटन

केवल आवश्यक क्षेत्रों को इकट्ठा करें; प्रगतिशील रूपरेखा लागू करें

अलग आईडी और सामग्री: लिंक कुंजी को अलग से संग्रहीत करें (टोकन/संदर्भ)।

4. 2 अलियासिंग और गुमनामी

अलियासिंग - असली आईडी को अलग से स्टोर करें; काम करने वाली परत टोकन देखती है।

गुमनामी: के-गुमनामी, एल-विविधता, टी-क्लोजर का उपयोग करें; एनालिटिक्स के लिए - अंतर गोपनीयता (a -budget)।

4. 3 अभिगम नियंत्रण और भूमिका पृथक्करण

PoLP, ABAC/RBAC, कर्तव्यों का अलगाव, प्रशासन और विश्लेषकों के लिए अलग आकृति।

वे। उपाय: एमटीएलएस, एसएसओ/ओआईडीसी, स्कोप किए गए टोकन, व्यक्तिगत डेटा तक पहुंच के लिए अस्थायी खाते।

4. 4 एन्क्रिप्शन और अलगाव

पारगमन में: टीएलएस 1। 3/mTLS; आराम पर: AEAD/लिफाफा + KMS/HSM।

किरायेदार/डेटासेट के लिए अलग कुंजी; "भूलने का अधिकार" के लिए क्रिप्टो विलोपन।

4. 5 प्रतिधारण और हटाना

प्रति क्षेत्र/लक्ष्य पर स्पष्ट टीटीएल नीतियां; पाइपलाइनों में ऑटो-पर्स; "दो-चरण" विलोपन (तार्किक → भौतिक)।

बैकअप के लिए - व्यक्तिगत स्नैपशॉट के लिए अलग कुंजी और लघु भंडारण विंडो।

4. 6 निजी टेलीमेट्री और लॉगिंग

डिफ़ॉल्ट कोई पीआईआई नहीं है; नमक के साथ टोकन/हैशिंग का उपयोग करें।

उत्पादक पर संवेदनशील क्षेत्रों का मास्किंग/टोकन।

4. 7 UX गोपनीयता और सहमति

श्रेणी (एनालिटिक्स, मार्केटिंग, निजीकरण) द्वारा दानेदार सहमति।

"निजी चूक": सब कुछ महत्वपूर्ण नहीं है - जब तक यह सहमत नहीं हो जाता।

नए उपयोग के दौरान विकल्प "सहमति वापस लें" और समय-समय पर अधिसूचना स्पष्ट करें।

5) DPIA और LINDDUN (छोटा)

डीपीआईए (डेटा संरक्षण प्रभाव मूल्यांकन): उच्च जोखिम (बड़ेपैमाने पर निगरानी, मूल्यांकन, नई तकनीक) पर आवश्यक। इसमें प्रसंस्करण, आवश्यकता/आनुपातिकता, जोखिम मूल्यांकन, शमन उपायों का विवरण शामिल है।

LINDDUN угрозы: लिंकेबिलिटी, आइडेंटिफिबिलिटी, नॉन-रिप्यूडिएशन, डिटेक्टिबिलिटी, जानकारी का खुलासा, अनजानता, गैर-अनुपालन। प्रत्येक खतरे के लिए - काउंटरमेशर्स (न्यूनतम करना, छद्म नाम, डीपी, पारदर्शिता, सहमति प्रबंधन, ऑडिट)।

6) सीमा पार स्थानांतरण

विक्रेता भंडारण/अभिगम स्थानों की पहचान करें।

एससीसी (मानक संविदात्मक प्रावधान) का उपयोग करें और स्थानांतरण प्रभाव मूल्यांकन करें।

तकनीकी उपाय: एंड-टू-एंड एन्क्रिप्शन, विशेष रूप से संवेदनशील डेटा के लिए क्लाइंट क्रिप्टोग्राफी, रिमोट एक्सेस पर प्रतिबंध।

7) विक्रेताओं और प्रोसेसर (विक्रेता प्रबंधन)

डीपीए/नेस्टेड प्रोसेसर, तकनीकी और संगठनात्मक उपाय, उप-प्रोसेसर - नियंत्रण में।

नियमित समीक्षा और ऑडिट; निरीक्षण का अधिकार; डेटा निर्यात योजना।

8) डेटा विषय अधिकार (DSAR)

प्रवेश, उपचार, विलोपन, प्रतिबंध, पोर्टेबिलिटी, आपत्ति, एएडीएम (प्रोफाइलिंग/ऑटोमेशन) ऑब्जेक्ट नहीं है।

एसएलए और स्वचालन: अनुरोध ट्रैकिंग, पहचान प्रमाण, प्रतिक्रिया लॉग।

उत्पाद में तकनीकी हुक: आईडी द्वारा त्वरित खोज और निर्यात; प्रतिधारण द्वारा कैस्केड हटाना।

9) स्वचालित समाधान और प्रोफाइलिंग (आर्ट 22)

यदि "महत्वपूर्ण प्रभाव" वाले निर्णय स्वचालित रूप से किए जाते हैं - मानव हस्तक्षेप, व्याख्यात्मकता, संकेतों की पारदर्शिता का अधिकार सुनिश्चित करने के लिए।

लॉग पथ और मॉडल संस्करण; अपील तंत्र।

10) प्रसंस्करण सुरक्षा (आर्ट 32) और घटनाएं (आर्ट। 33/34)

जोखिम-उन्मुख उपाय: एन्क्रिप्शन, अखंडता, लचीलापन, वसूली योजना (आरटीओ/आरपीओ)।

पीडी की घटनाएं: → ट्राइएज डिटेक्शन प्रक्रिया → जोखिम मूल्यांकन → नियामक की अधिसूचना ≤ 72 घंटे (जहां आवश्यक हो) और विषय (यदि उच्च जोखिम हो)।

अलग प्लेबुक, डीपीओ/वकील संपर्क सूची, अधिसूचना टेम्पलेट।

11) गोपनीयता और एमएल/एनालिटिक्स

डेटा गवर्नेंस सेट: डेटा-लाइन, लाइसेंस/आधार, सहमति।

तकनीक: अंतर गोपनीयता, संघीय सीखने, सुरक्षित एकत्रीकरण, सुविधाओं को कम करना।

हमलों के खिलाफ सुरक्षा: सदस्यता/मॉडल उलटा - नियमित लीक मूल्यांकन, "सेटिंग्स, शोर/क्लिप।

सिंथेटिक डेटा - केवल व्यक्तियों की बहाली की अनुपस्थिति के सत्यापन के साथ।

12) वास्तुशिल्प आरेख (पैटर्न)

12. 1 "ड्यूल लूप" आईडी आर्किटेक्चर

लूप ए (पीडीएस - व्यक्तिगत डेटा स्टोर): वास्तविक पहचान डेटा (आरआईडी), पहुंच - कड़ाई से सीमित, कुंजी/एन्क्रिप्शन/ऑडिट।

रूपरेखा बी (परिचालन): टोकन के साथ व्यावसायिक डेटा; सीमा और ऑडिट के साथ एक टोकन दलाल के माध्यम से संचार।

12. 2 सहमति सेवा

एक केंद्रीकृत सेवा जो सहमति संस्करणों और इतिहास को संग्रहीत करती है

SDK: 'can _ use (श्रेणी, उद्देश्य)' - मक्खी पर हल करता है; सब कुछ लॉग इन है।

12. 3 कोड के रूप में प्रतिधारण नीतियां

YAML कॉन्फ़िगरेशन - इकाई → फ़ील्ड → TTL → समाप्ति कार्रवाई (बेनामी/हटाने/मोटे)।

शेड्यूलर नौकरी करता है, रिपोर्टिंग डीपीओ के लिए उपलब्ध है।

13) मिनी व्यंजनों

def collect(field, purpose):
if not is_required(field, purpose):
return None # do not collect v = read_input (field)
return truncate(v, policy. max_length(field))

yaml dataset: users fields:
email: { ttl: P18M, on_expire: pseudonymize }
phone: { ttl: P12M, on_expire: delete }
session_logs: { ttl: P3M, on_expire: aggregate }
consent: { ttl: P7Y, on_expire: archive }

analytics:
default: deny legal_basis: consent scope: anonymous_metrics marketing:
default: deny legal_basis: consent scope: email,push

GET /privacy/export? subject_id=... -> zip:
- profile. json (metadata, legal basis)
- activity. ndjson (events, aggregates)
- consents. json (consent history)
- processors. json (list of processors and transfers)

14) प्रलेखन और जवाबदेही

आरओपीए (प्रसंस्करण गतिविधियों के रिकॉर्ड) - संचालन का रजिस्टर: उद्देश्य, कानूनी आधार, डेटा/विषयों की श्रेणियां, हस्तांतरण, प्रतिधारण अवधि, उपाय।

नीतियां: उत्पाद में गोपनीयता, कुकीज़, सूचना सूचनाएं (सादा भाषा में)।

कर्मचारी प्रशिक्षण और वार्षिक

15) बार-बार त्रुटियाँ

संग्रह "सिर्फ मामले में" और भंडारण "हमेशा के लिए।"

एकमात्र आधार के रूप में सहमति, हालांकि अनुबंध/वैध ब्याज उचित है।

असली स्विच के बिना "खाली" कुकी बैनर।

कोई डेटा मैपिंग नहीं और DSAR के लिए तैयार नहीं है।

PII, असुरक्षित बैकअप, REED और परिचालन डेटा के साथ लॉग।

आपूर्तिकर्ताओं और सीमा पार स्थानान्तरण का कोई नियंत्रण नहीं है।

16) चेकलिस्ट

• प्रसंस्करण का उद्देश्य और कानूनी आधार निर्धारित किया जाता है; ROPA द्वारा अद्यतन।
• डेटा मैपिंग और डीपीआईए ने प्रदर्शन किया (यदि आवश्यक हो)।
• लागू न्यूनतम, उपनाम, एन्क्रिप्शन (मार्ग/आराम पर)।
• सहमति स्पष्ट UX के साथ दानेदार हैं; डिफ़ॉल्ट निजी हैं।
• आपने कोड के रूप में प्रतिधारण नीतियां स्थापित की हैं; विलोपन/गुमनामी की जाँच की गई।
• लॉग/टेलीमेट्री - कोई पीआईआई नहीं; मास्किंग सक्षम है।
• डीएसएआर हुक और निर्यात तैयार।
• टीम प्रशिक्षण और डीपीओ अनुमोदन पूरा हुआ।

• प्रतिधारण और कानूनी आधारों की त्रैमासिक समीक्षा।
• आवधिक प्रोसेसर/उप-प्रोसेसर ऑडिट।
• अधिसूचना के लिए घटनाओं और तत्परता की निगरानी ≤ 72 घंटे।
• प्रक्रिया/प्रौद्योगिकी परिवर्तन के साथ डीपीआईए का संशोधन।
• अनुपालन कलाकृतियों का भंडारण (डीपीआईए, आरओपीए, परीक्षण रिपोर्ट)।

17) एफएक्यू

प्रश्न: क्या सहमति से पूरी तरह से "भाग जाना" संभव है?

A: कभी कभी हाँ (संविदा/कानूनी शुल्क/कानूनी हित), लेकिन केवल तभी जब कड़ाई से आवश्यक हो और हितों के संतुलन के आकलन के साथ। विपणन और गैर-महत्वपूर्ण एनालिटिक्स - सबसे अधिक बार सहमति की आवश्

प्रश्न: क्या उपनाम पर्याप्त है?

A: नहीं, यह अभी भी व्यक्तिगत डेटा है। GDPR क्षेत्र से बाहर निकलने के लिए, आपको विश्वसनीय अनाम होने की आवश्यकता है (पुनः पहचान की असंभवता के लिए जाँच की गई)।

प्रश्न: एमएल और निजीकरण के बारे में क्या?

A: न्यूनतम सुविधाएँ, डीपी/फेडरेटेड दृष्टिकोण का उपयोग करें, लॉग निर्णय लें, मानव हस्तक्षेप और गैर-प्रोफाइलिंग का अधिकार सुनिश्चित करें।

प्रश्न: व्यापार और गोपनीयता संघर्ष पर क्या करें?

A: संग्रह (प्रगतिशील प्रोफाइलिंग) को फिर से डिज़ाइन करें, समुच्चय/सिंथेटिक्स पर स्विच करें, कानूनी आधार को आश्वस्त करें, ट्रैकिंग के बिना एक विकल्प प्रदान करें।

• "गुप्त प्रबंधन"
• "बाकी एन्क्रिप्शन में"
• "ट्रांजिट एन्क्रिप्शन में"
• "ऑडिट और अपरिवर्तनीय लॉग"
• "हस्ताक्षर करें और निवेदन सत्यापित करें"
• "प्रमुख प्रबंधन और घूर्णन"