ईडीपीबी ने डेटा-उल्लंघन रिपोर्ट के लिए एकल ईयू टेम्पलेट प्रस्तावित किया

यूरोपीय डेटा संरक्षण बोर्ड ने व्यक्तिगत डेटा के उल्लंघनों की रिपोर्टिंग के लिए साझा फॉर्म के संस्करण 1.0 को मंजूरी दे दी है। प्रस्ताव पर 5 अगस्त 2026 तक सार्वजनिक परामर्श चल रहा है। इसके बाद ईडीपीबी से यह तय करने की उम्मीद है कि राष्ट्रीय निगरानी प्राधिकरण इसे व्यवहार में कब इस्तेमाल करना शुरू करेंगे, एइसा इंटरनेशनल के अनुसार।

इस पहल का उद्देश्य यूरोपीय संघ के सदस्य देशों में डेटा-संरक्षण प्राधिकरणों द्वारा इस्तेमाल किए जाने वाले अलग-अलग रिपोर्टिंग प्रारूपों को बदलना है। अब तक संगठनों को उल्लंघनों की सूचना देते समय अलग-अलग ढाँचों और आवश्यकताओं का सामना करना पड़ता रहा है, जिसमें चेक व्यक्तिगत डेटा संरक्षण कार्यालय के साथ मामला निपटाना भी शामिल है। साझा फॉर्म नियंत्रकों को किसी घटना का विवरण प्रस्तुत करने के लिए एकल ढाँचा देगा।

यह टेम्पलेट विस्तृत है। इसमें संगठनों से यह बताने को कहा गया है कि क्या हुआ, कब हुआ, कौन प्रभावित हुआ, जोखिमों का आकलन कैसे किया गया और उसके जवाब में कौन-से कदम उठाए गए। घोषित उद्देश्य प्रक्रिया को अधिक सुसंगत और समझने में आसान बनाना है, खासकर छोटे संगठनों के लिए, जिनके पास विशेष कानूनी टीमें नहीं हो सकतीं। साथ ही, आवश्यक विवरण के स्तर का अर्थ है कि कारोबारों को घटना के विश्वसनीय रिकॉर्ड और तकनीकी तथा कानूनी जानकारी तक त्वरित पहुंच की जरूरत होगी।

प्रस्तावित फॉर्म में क्या शामिल है

दस्तावेज को सात व्यापक क्षेत्रों में विभाजित किया गया है। पहला क्षेत्र जमा किए गए आवेदन की स्थिति से संबंधित है: किसी संगठन को बताना होगा कि वह प्रारंभिक रिपोर्ट दाखिल कर रहा है, पहले की रिपोर्ट को अद्यतन कर रहा है या पिछली सूचना वापस ले रहा है।

दूसरे खंड में संगठन की पहचान और भूमिका दर्ज की जाती है। इसमें A से V तक के वर्गीकरणों का इस्तेमाल करते हुए संबंधित आर्थिक क्षेत्र, साथ ही शामिल संगठन का प्रकार भी शामिल है। फॉर्म में नियंत्रकों से यह भी अपेक्षा की जाती है कि वे घटना से जुड़े प्रोसेसरों और किसी भी संयुक्त नियंत्रक की पहचान करें।

समय-सीमा वाले खंड में उल्लंघन होने और उसके पता चलने की तारीख तथा समय पूछा जाता है। यदि सूचना वैधानिक 72 घंटे की अवधि के बाद जमा की जाती है, तो संगठन को देरी का कारण बताना होगा। इससे आंतरिक घटना-लॉगिंग की गुणवत्ता विशेष रूप से महत्वपूर्ण हो जाती है, क्योंकि रिपोर्टिंग की समय-सीमा उल्लंघन का पता चलने के समय और संगठन द्वारा अपने दायित्वों के आकलन पर निर्भर करती है।

इसके बाद प्रस्तावित फॉर्म संगठनों से उल्लंघन की प्रकृति का वर्गीकरण करने को कहता है। उन्हें बताना होगा कि गोपनीयता, अखंडता या उपलब्धता में से किससे समझौता हुआ और, यदि यह ज्ञात हो, तो यह भी बताना होगा कि इसके लिए कोई आंतरिक या बाहरी दुर्भावनापूर्ण पक्ष जिम्मेदार था या नहीं।

एक अन्य भाग प्रभावित लोगों और जानकारी पर केंद्रित है। संगठनों को डेटा विषयों की संबंधित श्रेणियों की पहचान करनी होगी, जैसे कर्मचारी, ग्राहक, बच्चे या कमजोर लोग, और शामिल रिकॉर्ड की संख्या बतानी होगी। जहां आंकड़े अभी निश्चित न हों, वहां फॉर्म अनुमान के आधार पर प्रारंभिक प्रस्तुति की अनुमति देता है। बाद में अनुवर्ती सूचना के जरिए उस रिपोर्ट में संशोधन किया जा सकता है।

साक्ष्य, जोखिम और सीमा-पार घटनाएं

जोखिम-आकलन खंड में यह बताना आवश्यक है कि संगठन ने व्यक्तियों पर पड़ने वाले संभावित प्रभावों का आकलन कैसे किया। इसमें पहले से मौजूद सुरक्षा उपायों, जिनमें एन्क्रिप्शन और मल्टीफैक्टर प्रमाणीकरण जैसे उपाय शामिल हैं, के बारे में जानकारी भी मांगी जाती है।

अंतिम क्षेत्र यूरोपीय आर्थिक क्षेत्र के एक से अधिक देशों तक फैली घटनाओं और सहायक दस्तावेजों से संबंधित है। एइसा इंटरनेशनल द्वारा बताए गए उदाहरणों में जोखिम-आकलन, प्रभावित व्यक्तियों को भेजे गए संदेश, फ़िशिंग ईमेल और रैनसमवेयर नोट शामिल हैं। इन आवश्यकताओं का अर्थ है कि सूचना केवल घटना के संक्षिप्त विवरण तक सीमित नहीं है; प्राधिकरण ऐसे दस्तावेज भी मांग सकते हैं, जिनसे पता चले कि संगठन ने इसकी जांच और प्रतिक्रिया कैसे दी।

उल्लंघन किसी बाहरी सेवा प्रदाता के यहां होने पर भी जिम्मेदारी डेटा नियंत्रक की बनी रह सकती है। प्रस्तावित फॉर्म में प्रोसेसरों और संयुक्त नियंत्रकों को दर्ज करने की आवश्यकता भूमिकाओं के इसी बंटवारे को दर्शाती है। कोई कंपनी यह मानकर नहीं चल सकती कि डेटा प्रोसेसिंग का काम बाहरी संस्था को सौंपने से उसके अपने रिपोर्टिंग दायित्व समाप्त हो जाते हैं।

फॉर्म यह भी स्वीकार करता है कि कोई नियंत्रक 72 घंटे के भीतर प्रभावित लोगों की सटीक संख्या नहीं जान सकता। उपलब्ध अनुमानों का इस्तेमाल करके अधूरी सूचना जमा की जा सकती है और जांच से अधिक पक्के आंकड़े मिलने के बाद अतिरिक्त जानकारी दी जा सकती है। इससे संगठनों को हर तथ्य के निश्चित हो जाने की प्रतीक्षा किए बिना प्रारंभिक समय-सीमा पूरी करने का रास्ता मिलता है।

अभी क्रियान्वयन की तारीख तय नहीं

परामर्श की समय-सीमा 5 अगस्त 2026 है। जब तक ईडीपीबी अगले कदम तय नहीं करता, लेख में उस अंतिम तारीख की पहचान नहीं की गई है, जिस दिन राष्ट्रीय प्राधिकरणों या संगठनों के लिए साझा टेम्पलेट अनिवार्य हो जाएगा। इसलिए कारोबारों के पास यह जांचने का समय है कि उनकी उल्लंघन-प्रतिक्रिया प्रक्रियाएं प्रस्तावित फॉर्म में मांगी गई जानकारी को कैसे दर्ज करती हैं।

एइसा इंटरनेशनल का कहना है कि वह ग्राहकों के लिए उल्लंघन संबंधी सूचनाएं पूरी नहीं करता, लीक हुए डेटा का मैनुअल रिकॉर्ड नहीं रखता या कस्टोडियन के लेन-देन संबंधी रिपोर्टों का मिलान नहीं करता। कंपनी अपनी भूमिका को रणनीतिक अनुपालन निगरानी के रूप में बताती है और कहती है कि तकनीकी जांच तथा रिपोर्टिंग का काम सूचना-सुरक्षा और कानूनी मामलों के विशेषज्ञ सलाहकारों द्वारा किया जाना चाहिए।

प्रकाशक प्रस्तावित फॉर्म को डिजिटल जोखिमों पर अधिक संरचित निगरानी की ओर व्यापक बदलाव का हिस्सा मानता है। संगठनों के लिए इसका व्यावहारिक अर्थ यह है कि उल्लंघन की तैयारी संकट के दौरान केवल तदर्थ काम पर निर्भर नहीं रह सकती। यदि साझा रिपोर्टिंग व्यवस्था आगे बढ़ती है, तो सटीक समय-सीमाएं, प्रोसेसरों की स्पष्ट जिम्मेदारी, दर्ज किए गए जोखिम-आकलन और सुरक्षित रखे गए साक्ष्य सभी आवश्यक हो सकते हैं।

एइसा इंटरनेशनल के लेख में कहा गया है कि उसकी जानकारी सामान्य है, व्यक्तिगत सलाह नहीं, और चेतावनी दी गई है कि कानून बदल सकते हैं। इसमें किसी विशिष्ट मामले में प्रस्ताव पर निर्भर रहने से पहले योग्य सलाहकारों और आधिकारिक सरकारी स्रोतों से वर्तमान मार्गदर्शन लेने की सिफारिश की गई है।