EU में GDPR प्रतिनिधि नियुक्त करने की आवश्यकता कौन है?
- अनुच्छेद 27 GDPR अधिकांश गैर-EU व्यवसायों को जो EU डेटा संसाधित करते हैं, EU प्रतिनिधि नियुक्त करने की आवश्यकता करता है।
- छूटें: कभी-कभार, कम जोखिम वाला प्रसंस्करण या राष्ट्रीय सुरक्षा/रक्षा से संबंधित गतिविधियां।
- प्रतिनिधि को उस EU सदस्य राज्य में स्थापित होना चाहिए जहाँ डेटा विषय स्थित हैं।
- डेटा विषयों और अधिकारियों को संपर्क विवरण प्रदान करना आवश्यक है।
- अनुपालन न करने पर €10 मिलियन या विश्वव्यापी कारोबार का 2% तक जुर्माना हो सकता है।
- प्रदाता विभिन्न सेवा स्तर प्रदान करते हैं: केवल पता, पूर्ण मंडेट, या कानूनी रिटेनर।
- मूल्य निर्धारण में व्यापक विविधता होती है; प्रति अनुरोध या नवीनीकरण शुल्क आम हैं।
प्रदाता तुलना
| प्रदाता | स्थापित स्थान | प्रकाशित मूल्य | मूल्य में शामिल | उपयुक्त |
|---|---|---|---|---|
| REP27 — Europe Services, SE | चेक गणराज्य | €290/वर्ष (बेस), €490/वर्ष (स्टैंडर्ड), €890/वर्ष (मल्टी) | हस्ताक्षरित नियुक्ति पत्र, प्रमाणपत्र, अनुरोध डेस्क, गोपनीयता सूचना शब्दावली, रिकॉर्ड (स्टैंडर्ड से), 8 भाषाएँ (स्टैंडर्ड से) | पूर्ण अनुच्छेद 27 मंडेट, तेज़ सेटअप, या मल्टी-भूमिका (GPSR/CE) कवरेज की आवश्यकता वाले गैर-EU कंपनियां |
| EU Business Partnersस्रोत | निर्दिष्ट नहीं | EUR 97/महीना (एसेंशियल्स) | अनुरोध पर | अनुरोध पर |
| EU Shieldस्रोत | निर्दिष्ट नहीं | €490/वर्ष | EU स्थापित उपस्थिति जो EU डेटा संरक्षण प्राधिकरणों और डेटा विषयों से नियामक पत्राचार प्राप्त और अग्रेषित करती है। | पत्राचार के लिए बुनियादी EU उपस्थिति की आवश्यकता वाली कंपनियां |
| DataRepस्रोत | निर्दिष्ट नहीं | ₹150 से शुरू | EU GDPR प्रतिनिधि, EU डिजिटल सेवाएं अधिनियम प्रतिनिधि, NIS निदेशालय प्रतिनिधि, और अधिक। | मल्टी-नियम प्रतिनिधित्व चाहने वाले व्यवसाय |
| Gabsorस्रोत | म्यूनिख, जर्मनी | From $79/महीना | EU/UK GDPR प्रतिनिधि, DSAR सार्वजनिक पोर्टल और प्रबंधन, घटना प्रबंधन, ऑडिट ट्रेल्स, प्राधिकरण केस मैनेजर। | एकीकृत DSAR और घटना प्रबंधन की आवश्यकता वाली फर्म |
प्रत्येक प्रदाता की वेबसाइट पर 16 October 2026 पर प्रकाशित कीमतें, यदि न कहा गया हो तो VAT को छोड़कर। प्रत्येक पंक्ति इसके स्रोत से लिंक करती है।
GDPR अनुच्छेद 27 क्या मांगता है
GDPR का अनुच्छेद 27 एक स्पष्ट दायित्व स्थापित करता है: कोई भी नियंत्रक या प्रोसेसर जो EU में स्थापित नहीं है, लेकिन अनुच्छेद 3(2) के अधीन है (जो EU में व्यक्तियों को वस्तुएं या सेवाएं प्रदान करता है या उनके व्यवहार की निगरानी करता है), उसे डेटा प्रसंस्करण शुरू करने से पहले लिखित रूप में EU में एक प्रतिनिधि नियुक्त करना आवश्यक है। यह नियम सुनिश्चित करता है कि EU डेटा विषयों और पर्यवेक्षी अधिकारियों के पास गोपनीयता मामलों के लिए स्थानीय संपर्क बिंदु हो, भले ही कंपनी EU के बाहर हो।
महत्वपूर्ण छूटें हैं। अनुच्छेद 27 लागू नहीं होता यदि:
- आपका प्रसंस्करण केवल कभी-कभार हो, विशेष श्रेणियों के बड़े पैमाने पर प्रसंस्करण शामिल न हो, और व्यक्तियों के अधिकारों और स्वतंत्रताओं के लिए जोखिम कम हो।
- आपकी गतिविधियां राष्ट्रीय सुरक्षा या रक्षा से संबंधित हों।
प्रतिनिधि को उन EU सदस्य राज्यों में से एक में स्थापित होना चाहिए जहाँ आपके द्वारा संसाधित डेटा विषय स्थित हैं। नियुक्ति लिखित होनी चाहिए और प्रतिनिधि को GDPR दायित्वों के संबंध में आपकी ओर से कार्य करने का अधिकार होना चाहिए। प्रतिनिधि के संपर्क विवरण डेटा विषयों और पर्यवेक्षी अधिकारियों दोनों को प्रदान किए जाने चाहिए और आपकी गोपनीयता सूचना में प्रकाशित किए जाने चाहिए।
अनुपालन न करने पर यह अनुच्छेद 83(4)(a) के तहत एक स्वतंत्र उल्लंघन है, जिसके लिए €10 मिलियन या विश्वव्यापी कारोबार का 2% तक का जुर्माना लगाया जा सकता है। डच प्राधिकरण ने Locatefamily.com को इस उल्लंघन के लिए €525,000 का जुर्माना लगाया था। प्रतिनिधि एक ढाल नहीं है: अनुच्छेद 27(5) स्पष्ट करता है कि प्रतिनिधि नियुक्त करने से आपकी कंपनी के खिलाफ कार्रवाई नहीं रोकी जाती।
- शामिल / शामिल नहीं / अतिरिक्त शुल्क तालिका
| प्रदाता | नियुक्ति पत्र | प्रमाणपत्र | अनुरोध डेस्क | अनुच्छेद 30 रिकॉर्ड | भाषाएँ | प्रति अनुरोध शुल्क |
|---|---|---|---|---|---|---|
| REP27 | शामिल | शामिल | शामिल | स्टैंडर्ड/मल्टी | 8 (स्टैंडर्ड/मल्टी) | कोई नहीं (स्टैंडर्ड/मल्टी) |
| EU Business Partners | अनुरोध पर | अनुरोध पर | अनुरोध पर | अनुरोध पर | अनुरोध पर | अनुरोध पर |
| EU Shield | शामिल | अनुरोध पर | शामिल | अनुरोध पर | अनुरोध पर | अनुरोध पर |
| DataRep | अनुरोध पर | अनुरोध पर | अनुरोध पर | अनुरोध पर | अनुरोध पर | अनुरोध पर |
| Gabsor | अनुरोध पर | अनुरोध पर | शामिल | शामिल | अनुरोध पर | अनुरोध पर |
GDPR प्रतिनिधि कैसे चुनें
सही GDPR प्रतिनिधि चुनना अनुपालन और संचालन दक्षता के लिए महत्वपूर्ण है। प्रदाता तीन मुख्य सेवा स्तर प्रदान करते हैं:
- स्तर 1: केवल पता – एक सरल मेल-फॉरवर्डिंग सेवा। कोई मंडेट, कोई रिकॉर्ड, कोई GDPR-विशिष्ट दायित्व नहीं। सबसे सस्ता, लेकिन अनुच्छेद 27 की आवश्यकताओं के अनुरूप नहीं।
- स्तर 2: नियुक्ति – एक लिखित मंडेट, प्रमाणपत्र, अनुरोध डेस्क, और अनुच्छेद 30 रिकॉर्ड प्रबंधन। यह वह है जो अनुच्छेद 27 अपेक्षित करता है: प्रदाता लिखित में भूमिका और जिम्मेदारियां स्वीकार करता है, रिकॉर्ड रखता है, और अनुरोधों को निर्धारित समय सीमा में अग्रेषित करने का वचन देता है।
- स्तर 3: कानूनी रिटेनर – एक विधिक फर्म प्रतिनिधि के रूप में कार्य करती है और कानूनी सलाह भी प्रदान करती है। यह महंगा है और केवल तब आवश्यक है जब आप निरंतर कानूनी परामर्श चाहते हैं, जो अनुच्छेद 27 की भूमिका का हिस्सा नहीं है।
प्रदाताओं की तुलना करते समय पूछें:
- क्या मंडेट स्पष्ट रूप से अनुच्छेद 27 कार्य स्वीकार करता है?
- अनुच्छेद 30 रिकॉर्ड कौन रखता है और इसे अधिकारियों को कैसे प्रस्तुत किया जाता है?
- अधिकारियों से अनुरोध अग्रेषित करने का प्रतिक्रिया समय क्या है?
- क्या प्रति अनुरोध या नवीनीकरण शुल्क हैं?
- क्या बहुभाषी समर्थन उपलब्ध है?
कुछ प्रदाता, जैसे REP27, 24 घंटे के भीतर एक हस्ताक्षरित नियुक्ति पत्र और प्रमाणपत्र जारी करते हैं, बहुभाषी समर्थन के साथ और स्टैंडर्ड तथा मल्टी योजनाओं पर कोई प्रति अनुरोध शुल्क नहीं। अन्य प्रति अनुरोध शुल्क ले सकते हैं या केवल अग्रेषण पता प्रदान करते हैं, जो GDPR आवश्यकताओं को पूरा नहीं करता।
निर्णय मैट्रिक्स:
| यदि आप हैं... | तो आपको चाहिए... | तो आपको नहीं चाहिए... |
|---|---|---|
| गैर-EU B2C SaaS जो EU को बेचता है | EU प्रतिनिधि | यदि प्रसंस्करण वास्तव में कभी-कभार और कम जोखिम वाला है |
| चीनी Amazon विक्रेता जो EU को लक्षित करता है | EU प्रतिनिधि, संभवतः GPSR जिम्मेदार व्यक्ति | यदि केवल सूचीबद्ध करता है, EU को नहीं बेचता |
| UK ऑनलाइन दुकान जिसमें EU ग्राहक हैं | EU प्रतिनिधि | यदि EU में वस्तुएं/सेवाएं नहीं देता या निगरानी नहीं करता |
| गैर-EU B2B जिसके कोई EU ग्राहक नहीं हैं | कोई नहीं | EU प्रतिनिधि |
भुगतान करने से पहले हमेशा प्रदाता का नियुक्ति टेम्पलेट मांगें। यदि यह अनुच्छेद 27 कार्यों को सूचीबद्ध और स्वीकार नहीं करता, तो आप अनुपालन सेवा नहीं खरीद रहे हैं।
मूल्य में वास्तव में क्या शामिल है
GDPR प्रतिनिधि सेवा की कीमतें €300 से कम से लेकर €2,000 से अधिक प्रति वर्ष तक होती हैं। यह भिन्नता प्रदत्त सेवाओं के दायरे को दर्शाती है। कम मूल्य केवल एक डाक पता कवर कर सकता है, जबकि उच्च शुल्क में पूर्ण मंडेट, अनुरोध डेस्क, और रिकॉर्ड प्रबंधन शामिल हो सकता है। जांचें कि क्या शामिल है:
- अनुच्छेद 27 कार्यों की लिखित स्वीकृति: प्रदाता को लिखित रूप में भूमिका और दायित्व स्वीकार करना चाहिए।
- प्रमाणपत्र और सार्वजनिक सत्यापन: एक सत्यापित प्रमाणपत्र ग्राहकों, ऑडिटरों और अधिकारियों को आश्वस्त करता है। REP27 QR-कोडित प्रमाणपत्र और सार्वजनिक सत्यापन पृष्ठ प्रदान करता है।
- बहुभाषी अनुरोध प्रबंधन: पैन-EU कवरेज के लिए आवश्यक। REP27 स्टैंडर्ड योजना से 8 भाषाएं प्रदान करता है।
- अनुच्छेद 30 रिकॉर्ड प्रबंधन: प्रदाता को आपके रिकॉर्ड रखना और अधिकारियों को प्रस्तुत करना चाहिए। यह REP27 के स्टैंडर्ड और मल्टी योजनाओं में शामिल है।
- प्रति अनुरोध शुल्क या नवीनीकरण वृद्धि: कुछ प्रदाता प्रति डेटा विषय अनुरोध €25–€90 शुल्क लेते हैं या पहले वर्ष के बाद शुल्क बढ़ाते हैं। REP27 के स्टैंडर्ड योजना में कोई प्रति अनुरोध शुल्क नहीं है और नवीनीकरण मूल्य दूसरे वर्ष में घटते हैं।
केवल शीर्षक मूल्य की तुलना न करें, बल्कि प्रत्येक योजना में क्या शामिल है, यह देखें। उदाहरण के लिए, REP27 का बेस प्लान प्रति वर्ष 10 अनुरोध तक कवर करता है, जबकि स्टैंडर्ड और मल्टी योजनाएं असीमित अनुरोध और रिकॉर्ड प्रबंधन प्रदान करती हैं। कई प्रतिस्पर्धी पूर्ण विवरण प्रकाशित नहीं करते या आपको अनुरोध करना पड़ता है।
हमेशा लिखित में दूसरे वर्ष के नवीनीकरण मूल्य पूछें, क्योंकि परिचयात्मक मूल्य निर्धारण आम है। EU और UK प्रतिनिधित्व दोनों की आवश्यकता वाली कंपनियों के लिए, कुछ प्रदाता (जिनमें REP27 शामिल है) दोनों सेवाएं प्रदान करते हैं, कभी-कभी छूट के साथ।
छुपे हुए खर्च और अपवाद
कई प्रदाता कम वार्षिक शुल्क का विज्ञापन करते हैं लेकिन आवश्यक सेवाओं के लिए महत्वपूर्ण शुल्क जोड़ते हैं। सामान्य छुपे हुए खर्च हैं:
- प्रति डेटा विषय अनुरोध शुल्क: कुछ प्रदाता प्रति अनुरोध €25–€90 शुल्क लेते हैं, जो यदि आप महीने में कई अनुरोध प्राप्त करते हैं तो वार्षिक सदस्यता से अधिक हो सकता है।
- सेटअप या ऑनबोर्डिंग शुल्क: एक बार के शुल्क €0–€250 आम हैं। REP27 सेटअप को वार्षिक शुल्क में शामिल करता है।
- अतिरिक्त भाषा समर्थन: प्रवेश स्तर की योजनाएं केवल अंग्रेज़ी कवर कर सकती हैं। REP27 के स्टैंडर्ड और मल्टी योजनाओं में 8 भाषाएं शामिल हैं।
- अनुच्छेद 30 रिकॉर्ड प्रबंधन: कुछ प्रदाता रिकॉर्ड रखने और प्रस्तुत करने के लिए €100–€400 प्रति वर्ष शुल्क लेते हैं। REP27 इसे स्टैंडर्ड और मल्टी योजनाओं में शामिल करता है।
- नवीनीकरण वृद्धि: कुछ प्रदाता पहले वर्ष के बाद मूल्य बढ़ाते हैं। REP27 के नवीनीकरण शुल्क दूसरे वर्ष से €240/€390/€690 तक घट जाते हैं।
कानूनी सलाह, DPO सेवाएं, और अनुपालन ऑडिट REP27 या अधिकांश प्रतिस्पर्धियों द्वारा शामिल नहीं हैं। REP27 अनुरोधों का मेरिट पर उत्तर नहीं देता; यह उन्हें आपको अग्रेषित करता है। नियुक्ति आपकी कंपनी के खिलाफ सीधे प्रवर्तन को नहीं रोकती।
प्रदाता इन अपवादों और अतिरिक्त शुल्कों को अपने विपणन में शायद ही उजागर करते हैं। हस्ताक्षर करने से पहले हमेशा मंडेट और सेवा शर्तों को ध्यान से पढ़ें। विशेष रूप से प्रति अनुरोध शुल्क, नवीनीकरण मूल्य, और सेवा परिवर्तन या समाप्ति की स्थिति में क्या होता है, इसके बारे में पूछें।
नियुक्ति कैसे होती है: चरण-दर-चरण
- प्रासंगिकता का आकलन करें: निर्धारित करें कि क्या आप गैर-EU नियंत्रक या प्रोसेसर हैं जो अनुच्छेद 3(2) GDPR के अधीन हैं (EU में व्यक्तियों को वस्तुएं/सेवाएं प्रदान करना या उनकी निगरानी करना)।
- लक्षित देशों की पहचान करें: उन EU सदस्य राज्यों की सूची बनाएं जहाँ आपके डेटा विषय स्थित हैं। आपका प्रतिनिधि कम से कम एक ऐसे देश में स्थापित होना चाहिए।
- प्रदाताओं की शॉर्टलिस्ट बनाएं: प्रदाताओं की प्रकाशित सेवाओं, मूल्य निर्धारण, और शर्तों की तुलना करें। सुनिश्चित करें कि नियुक्ति टेम्पलेट अनुच्छेद 27 दायित्वों को कवर करता है।
- छुपे हुए शुल्क की समीक्षा करें: प्रति अनुरोध शुल्क, ऑनबोर्डिंग शुल्क, भाषा समर्थन, और नवीनीकरण मूल्य के बारे में पूछें।
- ऑनबोर्डिंग पूरा करें: प्रदाता का फॉर्म भरें, जिसमें कंपनी विवरण, प्रसंस्करण दायरा, और संपर्क जानकारी शामिल हो।
- संयुक्त मंडेट प्राप्त करें: प्रदाता आपकी फ़ाइल की समीक्षा करता है और हस्ताक्षरित नियुक्ति पत्र जारी करता है (REP27: 24 घंटे के भीतर)। आपको प्रमाणपत्र और सत्यापन कोड भी प्राप्त होंगे।
- गोपनीयता सूचना अपडेट करें: अनुच्छेद 13(1)(a) के अनुसार प्रतिनिधि का नाम, पता, और संपर्क विवरण अपनी गोपनीयता सूचना में जोड़ें।
- अनुपालन रिकॉर्ड रखें: हस्ताक्षरित मंडेट, प्रमाणपत्र, और अनुच्छेद 30 रिकॉर्ड ऑडिट के लिए रखें। पूर्ण मंडेट या वाणिज्यिक शर्तें प्रकाशित न करें।
- संचालन जारी रखें: प्रदाता डेटा विषयों और अधिकारियों से अनुरोधों को लॉग करता है और सहमति समय सीमा में अग्रेषित करता है। REP27 के लिए यह दो कार्य दिवस (या स्टैंडर्ड/मल्टी पर उसी दिन) है।
- नवीनीकरण या समाप्ति करें: नवीनीकरण तिथियों और रद्द करने की शर्तों पर नजर रखें। REP27 नवीनीकरण से पहले रद्द करने की अनुमति देता है और लिखित पुष्टि प्रदान करता है।
यह प्रक्रिया सुनिश्चित करती है कि आप अनुच्छेद 27 की आवश्यकताओं को पूरा करें और ऑडिट या नियामक पूछताछ के लिए तैयार रहें।
अनुपालन न करने के जोखिम और जुर्माने
अधिकांश गैर-EU व्यवसायों के लिए जो EU व्यक्तिगत डेटा संसाधित करते हैं, EU प्रतिनिधि नियुक्त करना वैकल्पिक नहीं है। अनुपालन न करने के जोखिम महत्वपूर्ण हैं:
- स्वतंत्र उल्लंघन: प्रतिनिधि नियुक्त न करना अनुच्छेद 83(4)(a) GDPR के तहत उल्लंघन है, चाहे कोई डेटा उल्लंघन हुआ हो या नहीं।
- जुर्माने: पर्यवेक्षी प्राधिकरण €10 मिलियन या आपके विश्वव्यापी वार्षिक कारोबार का 2% तक का जुर्माना लगा सकते हैं, जो भी अधिक हो। उदाहरण के लिए, Locatefamily.com को डच प्राधिकरण ने प्रतिनिधि नियुक्त न करने पर €525,000 का जुर्माना लगाया।
- प्रत्यक्ष प्रवर्तन: प्रतिनिधि नियुक्त करने से आपकी कंपनी पर प्रवर्तन या दायित्व से सुरक्षा नहीं मिलती। अधिकारी सीधे आपके व्यवसाय के खिलाफ कार्रवाई कर सकते हैं (अनुच्छेद 27(5))।
- संचालन जोखिम: बिना प्रतिनिधि के आप डेटा विषय अनुरोधों या नियामक पूछताछों का समय पर जवाब नहीं दे पाएंगे, जिससे और दंड और प्रतिष्ठा को नुकसान हो सकता है।
इन जोखिमों को कम करने के लिए, सुनिश्चित करें कि आपका प्रदाता संयुक्त मंडेट जारी करता है, आपका अनुच्छेद 30 रिकॉर्ड रखता है (यदि आवश्यक हो), और अनुरोधों को निर्धारित समय सीमा में अग्रेषित करने का वचन देता है। सभी दस्तावेज़ ऑडिट के लिए तैयार रखें। यदि आपका प्रदाता आपके व्यवसाय के लिए प्रतिनिधि नहीं बन सकता (जैसे प्रतिबंधित गतिविधियों के कारण), तो उसे आपको पूर्ण धनवापसी करनी चाहिए और लिखित पुष्टि देनी चाहिए, जैसा कि REP27 करता है।
प्रदाता आमतौर पर क्या नहीं बताते
कई GDPR प्रतिनिधि प्रदाता अपनी सेवाओं की सीमाओं और अपवादों को पूरी तरह से प्रकट नहीं करते। सामान्य छूटें हैं:
- केवल मेल-फॉरवर्डिंग: कुछ प्रवेश स्तर के प्रस्ताव केवल डाक पता होते हैं, न कि वास्तविक अनुच्छेद 27 मंडेट। ये GDPR आवश्यकताओं को पूरा नहीं करते।
- प्रति अनुरोध शुल्क: कम वार्षिक शुल्क उच्च प्रति अनुरोध शुल्क छुपा सकते हैं, जो कई अनुरोध मिलने पर सेवा महंगी बना सकते हैं।
- रिकॉर्ड नहीं रखा जाता: कुछ प्रदाता आपका अनुच्छेद 30 रिकॉर्ड नहीं रखते, जो अनुपालन के लिए आवश्यक है। हमेशा जांचें कि रिकॉर्ड कौन रखता और प्रस्तुत करता है।
- स्वचालित नवीनीकरण और मूल्य वृद्धि: कई प्रदाता पहले वर्ष के बाद मूल्य बढ़ाते हैं या बिना स्पष्ट सूचना के स्वचालित नवीनीकरण करते हैं। हमेशा लिखित में दूसरे वर्ष का मूल्य पूछें।
- दायित्व सीमाएं: प्रतिनिधि आपकी GDPR उल्लंघनों के लिए जिम्मेदार नहीं है। अनुच्छेद 27(5) स्पष्ट करता है कि आपकी कंपनी पूरी तरह जिम्मेदार रहती है।
- समाप्ति और हैंडओवर: यदि आप प्रदाता बदलते या सेवा समाप्त करते हैं तो लंबित अनुरोधों और रिकॉर्ड का क्या होता है, यह जांचें। REP27 लिखित पुष्टि और हैंडओवर प्रक्रियाएं निर्दिष्ट करता है।
हमेशा सेवा विवरण और मंडेट को ध्यान से पढ़ें। प्रतिबद्ध होने से पहले सभी शर्तें लिखित में मांगें, और स्पष्ट करें कि क्या शामिल है, क्या अपवाद है, और अतिरिक्त शुल्क कब लगेंगे।
चेकलिस्ट: आज ही GDPR प्रतिनिधि कैसे नियुक्त करें
- पुष्टि करें कि क्या आप अनुच्छेद 3(2) GDPR के अधीन गैर-EU नियंत्रक या प्रोसेसर हैं।
- पहचानें कि आपके डेटा विषय कौन से EU देश में हैं।
- लिखित अनुच्छेद 27 मंडेट प्रदान करने वाले प्रदाताओं की शॉर्टलिस्ट बनाएं।
- नियुक्ति टेम्पलेट मांगें और समीक्षा करें।
- छुपे हुए शुल्क और नवीनीकरण शर्तों की जांच करें।
- ऑनबोर्डिंग पूरा करें और संयुक्त दस्तावेज़ प्राप्त करें।
- प्रतिनिधि के संपर्क विवरण के साथ अपनी गोपनीयता सूचना अपडेट करें।
- हस्ताक्षरित मंडेट और प्रमाणपत्र ऑडिट के लिए रखें।
- यदि आवश्यक हो तो अपना अनुच्छेद 30 रिकॉर्ड रखें और सुलभ बनाएं।
- नवीनीकरण तिथियों और रद्द करने की शर्तों पर नजर रखें ताकि अनचाहे शुल्क से बचा जा सके।
इस चेकलिस्ट का पालन करने से आप अनुपालन प्राप्त कर सकेंगे, जुर्माने से बचेंगे, और डेटा विषय व प्राधिकरण अनुरोधों का प्रभावी ढंग से जवाब दे सकेंगे।
वास्तविक परिदृश्य: किसे क्या चाहिए?
- यूएस SaaS जो EU व्यवसायों और उपभोक्ताओं को बेचता है: अनुच्छेद 27 के तहत EU प्रतिनिधि नियुक्त करना आवश्यक है। REP27 का स्टैंडर्ड प्लान सभी आवश्यकताएं कवर करता है: लिखित मंडेट, असीमित अनुरोध अग्रेषण, रिकॉर्ड प्रबंधन, और बहुभाषी समर्थन। बेस प्लान कम मात्रा के लिए उपयुक्त है, लेकिन अधिकांश SaaS के लिए स्टैंडर्ड की सिफारिश की जाती है।
- चीनी Amazon विक्रेता जो EU मार्केटप्लेस पर सूचीबद्ध है: डेटा संरक्षण के लिए EU GDPR प्रतिनिधि और उत्पाद अनुपालन के लिए GPSR जिम्मेदार व्यक्ति दोनों की आवश्यकता है। REP27 का मल्टी प्लान दोनों भूमिकाएं एक आदेश और एक नवीनीकरण तिथि के साथ कवर करता है, जिससे Amazon, Etsy, या eBay विक्रेताओं के लिए अनुपालन सरल हो जाता है।
- UK ऑनलाइन दुकान जिसमें EU ग्राहक हैं: Brexit के बाद, UK व्यवसायों को जो EU को वस्तुएं या सेवाएं प्रदान करते हैं, EU प्रतिनिधि नियुक्त करना आवश्यक है। REP27 का बेस या स्टैंडर्ड प्लान उपयुक्त है, यह डेटा विषय अनुरोधों की मात्रा और रिकॉर्ड प्रबंधन की आवश्यकता पर निर्भर करता है। यदि CE-मार्केड वस्तुएं भी बेच रहे हैं, तो संयुक्त प्रतिनिधित्व के लिए मल्टी प्लान पर विचार करें।
प्रत्येक परिदृश्य में, सबसे सरल अनुपालन मार्ग वह प्रदाता नियुक्त करना है जो हस्ताक्षरित मंडेट जारी करता है, आपके रिकॉर्ड रखता है (यदि आवश्यक हो), और ऑडिट व ग्राहकों के लिए स्पष्ट, सत्यापित दस्तावेज प्रदान करता है।
जब आपको इसकी आवश्यकता नहीं है
- गैर-EU कंपनियां जो EU में व्यक्तियों को वस्तुएं/सेवाएं नहीं देतीं या उनकी निगरानी नहीं करतीं
- EU आधारित नियंत्रक और प्रोसेसर
- केवल राष्ट्रीय सुरक्षा या रक्षा के लिए डेटा संसाधित करने वाली संस्थाएं
- गैर-EU कंपनियां जिनका प्रसंस्करण केवल कभी-कभार, कम जोखिम वाला हो और जो EU डेटा विषयों को प्रभावित करने की संभावना न हो
अक्सर पूछे जाने वाले प्रश्न
कौन EU GDPR प्रतिनिधि नियुक्त करने से मुक्त है?
गैर-EU कंपनियां मुक्त हैं यदि उनका प्रसंस्करण केवल कभी-कभार हो, विशेष श्रेणियों के बड़े पैमाने पर उपयोग शामिल न हो, और EU डेटा विषयों के अधिकारों और स्वतंत्रताओं के लिए जोखिम कम हो। राष्ट्रीय सुरक्षा या रक्षा से संबंधित प्रसंस्करण भी मुक्त है।
ब्रेक्सिट के बाद क्या UK कंपनी को EU प्रतिनिधि की आवश्यकता है?
हाँ। UK कंपनियां जो EU में व्यक्तियों को वस्तुएं या सेवाएं प्रदान करती हैं या उनकी निगरानी करती हैं, उन्हें अनुच्छेद 27 GDPR के तहत EU प्रतिनिधि नियुक्त करना आवश्यक है। UK GDPR के तहत EU कंपनियों को भी UK प्रतिनिधि नियुक्त करना होगा।
क्या कोई कानूनी फर्म मेरी GDPR प्रतिनिधि बन सकती है?
हाँ, लेकिन कानूनी सलाह अनुच्छेद 27 की भूमिका के लिए आवश्यक नहीं है, जो मुख्यतः प्रशासनिक है। कानूनी फर्म रिटेनर आमतौर पर महंगे होते हैं और उन सेवाओं को शामिल कर सकते हैं जिनकी आपको आवश्यकता नहीं है।
प्रतिनिधि के बारे में कौन सी जानकारी प्रकाशित करनी चाहिए?
आपकी गोपनीयता सूचना में आपके EU प्रतिनिधि का नाम, पता, और संपर्क विवरण (ईमेल) शामिल होना चाहिए। हस्ताक्षरित मंडेट और प्रमाणपत्र ऑडिट के लिए रखें लेकिन प्रकाशित न करें।
यदि मैं EU प्रतिनिधि नियुक्त नहीं करता तो क्या होगा?
नियुक्ति न करना एक स्वतंत्र GDPR उल्लंघन है। पर्यवेक्षी प्राधिकरण €10 मिलियन या आपके वैश्विक कारोबार का 2% तक का जुर्माना लगा सकते हैं, और आपको EU में प्रवर्तन कार्रवाई का सामना करना पड़ सकता है।
मैं GDPR प्रतिनिधि कितनी जल्दी नियुक्त कर सकता हूँ?
REP27 आपके पूर्ण फॉर्म प्राप्त करने के 24 घंटे के भीतर हस्ताक्षरित नियुक्ति जारी करता है। अन्य प्रदाताओं का समय भिन्न हो सकता है—हस्ताक्षर करने से पहले पुष्टि करें।
क्या प्रतिनिधि GDPR उल्लंघनों के लिए जिम्मेदार है?
नहीं। अनुच्छेद 27(5) कहता है कि प्रतिनिधि नियुक्त करने से आपकी अपनी जिम्मेदारी या प्रवर्तन जोखिम प्रभावित नहीं होता। प्रतिनिधि केवल संपर्क बिंदु है, ढाल नहीं।
क्या मैं EU और UK दोनों के लिए एक ही प्रदाता नियुक्त कर सकता हूँ?
हाँ। कुछ प्रदाता, जिनमें REP27 शामिल है, अलग-अलग दायित्वों के तहत EU और UK प्रतिनिधि सेवाएं प्रदान करते हैं, अक्सर संयुक्त छूट के साथ।
क्या मुझे प्रतिनिधि की आवश्यकता है यदि मैं केवल व्यवसाय (B2B) डेटा संसाधित करता हूँ?
यदि आप EU में व्यक्तियों को लक्षित या निगरानी करते हैं—यहां तक कि B2B संदर्भ में भी—तो आपको प्रतिनिधि नियुक्त करने की आवश्यकता हो सकती है। मुख्य बात यह है कि क्या आप EU निवासियों का व्यक्तिगत डेटा संसाधित करते हैं।
DPO और EU प्रतिनिधि में क्या अंतर है?
डेटा संरक्षण अधिकारी (DPO) डेटा संरक्षण अनुपालन की देखरेख करता है। EU प्रतिनिधि अधिकारियों और डेटा विषयों के लिए स्थानीय संपर्क बिंदु होता है। ये भूमिकाएं अलग हैं और अलग आवश्यकताएं हैं।
मैं अपने EU प्रतिनिधि को कैसे बदलूं या समाप्त करूं?
अपने प्रदाता की नोटिस अवधि और हैंडओवर प्रक्रिया जांचें। REP27 नवीनीकरण से पहले रद्द करने की अनुमति देता है और लिखित पुष्टि प्रदान करता है; लंबित अनुरोध और रिकॉर्ड मंडेट में निर्दिष्ट अनुसार सौंपे जाते हैं।
अगर मेरा प्रदाता मेरे व्यवसाय का प्रतिनिधित्व नहीं कर सकता तो क्या होगा?
यदि कोई प्रदाता आपके लिए प्रतिनिधि नहीं बन सकता (जैसे प्रतिबंधित गतिविधियों के कारण), तो उसे आपको पूर्ण धनवापसी करनी चाहिए और लिखित पुष्टि देनी चाहिए। REP27 हर फ़ाइल की समीक्षा करता है और अनुमोदन के बिना आपका नाम प्रकाशित नहीं करता।
स्रोत
- GDPR अनुच्छेद 27 (आधिकारिक पाठ) — gdpr-info.eu
- GDPR अनुच्छेद 83 (आधिकारिक पाठ) — gdpr-info.eu
- REP27 — Europe Services, SE: अनुच्छेद 27 प्रतिनिधि लागत — gdprrepresentative.com
- REP27 — Europe Services, SE: मूल्य निर्धारण — gdprrepresentative.com
- EU Business Partners: मूल्य निर्धारण — article27representative.eu
- EU Shield: परिचय — eushield.eu
- DataRep: परिचय — datarep.com
- Gabsor: परिचय — gabsor.com