फ़ाइल शेयरिंग सेवाओं के लिए डेटा ब्रीच नोटिफिकेशन नियम

DPDP Act 2023 की धारा 8(6) के तहत डेटा फिड्युशियरी को डेटा उल्लंघन की सूचना Data Protection Board of India और प्रभावित डेटा प्रिंसिपल को "निर्धारित समयसीमा के भीतर" देनी होगी। MeitY के मसौदा नियम 72 घंटे की सूचना अवधि प्रस्तावित करते हैं — GDPR की तर्ज पर। फ़ाइल शेयरिंग प्लेटफ़ॉर्म के लिए एक उल्लंघन का अर्थ हो सकता है: एक लीक हुआ डाउनलोड लिंक लॉग्स से उजागर, गलत तरीके से कॉन्फ़िगर किया गया स्टोरेज बकेट, समझौता किया गया एडमिन खाता, या अनएन्क्रिप्टेड कैश वाला खोया हुआ लैपटॉप। 72 घंटे की खिड़की चूकना और ₹250 करोड़ तक का जुर्माना — यह कोई भी संगठन वहन नहीं कर सकता।

"व्यक्तिगत डेटा उल्लंघन" की परिभाषा क्या है

DPDP Act 2023 के अनुसार, व्यक्तिगत डेटा उल्लंघन का अर्थ है: डेटा की अनधिकृत प्रोसेसिंग, आकस्मिक या अनधिकृत प्रकटीकरण, अनधिकृत पहुँच, परिवर्तन, मिटाना, साझा करना या चोरी। GDPR की श्रेणी-वर्गीकरण भी समझें: गोपनीयता उल्लंघन (अनधिकृत प्रकटीकरण या पहुँच), अखंडता उल्लंघन (अनधिकृत परिवर्तन), उपलब्धता उल्लंघन (हानि या विनाश)। एक ट्रांसफर लिंक जो सार्वजनिक ट्विटर पर गलती से साझा हुआ: गोपनीयता उल्लंघन। रैनसमवेयर जिसने ट्रांसफर डेटाबेस एन्क्रिप्ट किया: उपलब्धता उल्लंघन। इनसाइडर ने डिलीवरी से पहले इनवॉइस PDF संपादित किया: अखंडता उल्लंघन। तीनों धारा 8(6) विश्लेषण को ट्रिगर करते हैं।

72 घंटे की घड़ी कब शुरू होती है

घड़ी तब शुरू होती है जब नियंत्रक "जागरूक" होता है — जब उचित निश्चितता होती है कि एक सुरक्षा घटना हुई जिसने डेटा से समझौता किया। जाँच का समय घड़ी के विरुद्ध नहीं जाता, लेकिन घड़ी को रोकने के लिए जाँच में देरी नहीं की जा सकती। नियम: पहले संकेत (SOC अलर्ट, कर्मचारी रिपोर्ट, बाहरी सूचना) से 24 घंटे में जागरूकता निर्णय। अधिक समय चाहिए तो कारण दस्तावेज़ीकरण करें। CERT-In को भी साइबर सुरक्षा घटनाओं की रिपोर्ट 6 घंटे के भीतर देनी है — फ़ाइल ट्रांसफर प्लेटफ़ॉर्म इस दायरे में आते हैं।

वे उल्लंघन जिन्हें सूचना की आवश्यकता नहीं

यदि उल्लंघन से व्यक्तियों के अधिकारों और स्वतंत्रता पर जोखिम की संभावना नहीं है — तो नियंत्रक नोटिफिकेशन से बच सकता है। यह निर्णय जोखिम मूल्यांकन पर आधारित होना चाहिए। उदाहरण: AES-256-GCM क्लाइंट-साइड एन्क्रिप्शन का उपयोग करने वाली फ़ाइल ट्रांसफर सेवा जिसका सिफरटेक्स्ट चोरी हुआ — और कुंजी से कोई समझौता नहीं — में प्रकटीकरण उल्लंघन नहीं है क्योंकि चोर के पास केवल बेकार डेटा ब्लॉब हैं। मूल्यांकन दस्तावेज़ीकरण करें — नियामक केवल निष्कर्ष नहीं, तर्क देखना चाहते हैं।

सूचना में अनिवार्य सामग्री

Data Protection Board को सूचना में शामिल होना चाहिए: उल्लंघन की प्रकृति जिसमें प्रभावित डेटा विषयों और रिकॉर्ड की श्रेणियाँ और अनुमानित संख्या, DPO या अन्य संपर्क का नाम और विवरण, संभावित परिणाम, उल्लंघन को दूर करने और प्रभाव कम करने के लिए उठाए गए या प्रस्तावित उपाय। यदि 72 घंटे के भीतर सभी तथ्य उपलब्ध नहीं हैं, तो चरणबद्ध सूचना की अनुमति है — प्रारंभिक सूचना दाखिल करें, "प्रारंभिक" लेबल करें, और जाँच जारी रहने पर अनुवर्ती करें।

डेटा विषयों को सूचना कब दें

जब उल्लंघन से व्यक्तियों को उच्च जोखिम होने की संभावना हो — तो उन्हें सीधे, स्पष्ट और सरल भाषा में सूचित करें। अपवाद: डेटा एन्क्रिप्टेड था (मजबूत पर्याप्त कि अर्थहीन हो जाए), बाद के उपाय उच्च जोखिम को असंभव बनाते हैं, या व्यक्तिगत सूचना अनुपातहीन प्रयास की आवश्यकता है (सार्वजनिक नोटिस विकल्प)। अनएन्क्रिप्टेड HR फ़ाइलों के लीक के लिए सीधी सूचना अनिवार्य है। असमझौता कुंजियों के साथ सिफरटेक्स्ट लीक के लिए — सूचना आमतौर पर आवश्यक नहीं।

ब्रीच रिस्पॉन्स रनबुक बनाना

एक कार्यशील रनबुक में शामिल करें: (1) पहचान स्रोत (SIEM अलर्ट, उपयोगकर्ता रिपोर्ट, बाहरी सूचनाएँ) और एस्केलेशन पथ; (2) गंभीरता वर्गीकरण के लिए ट्राइएज चेकलिस्ट; (3) नियंत्रण कदम (कुंजी रद्द करें, IPs ब्लॉक करें, सिस्टम अलग करें); (4) साक्ष्य संरक्षण (डिस्क इमेज, लॉग एक्सपोर्ट); (5) DPDP Act और CERT-In मानदंडों से जुड़ा सूचना निर्णय वृक्ष; (6) DPB, डेटा विषयों, ग्राहकों के लिए संचार टेम्पलेट; (7) दस्तावेज़ीकृत सबक के साथ घटनोत्तर समीक्षा। रनबुक की त्रैमासिक समीक्षा करें और वार्षिक टेबलटॉप अभ्यास के साथ परीक्षण करें।

नियामक साक्ष्य की आवश्यकताएँ

Data Protection Board of India उल्लंघन के बाद सुसंगत प्रश्न पूछेगा: पहचान और प्रतिक्रिया की समयसीमा, प्रभावित डेटा का दायरा, उल्लंघन से पहले तकनीकी और संगठनात्मक उपाय, बाद में उठाए गए कदम, विषयों को संचार, और क्या उल्लंघन रोका जा सकता था। ये कलाकृतियाँ रखें: घटना खिड़की के आसपास SIEM लॉग, प्रभावित सिस्टम के परिवर्तन लॉग, असामान्य गतिविधि दिखाने वाले एक्सेस लॉग, सुरक्षा स्थिति दस्तावेज़ीकरण, और विस्तृत पोस्टमॉर्टम।

प्रोसेसर-से-नियंत्रक सूचनाएँ

यदि आपकी फ़ाइल ट्रांसफर सेवा एक प्रोसेसर है, तो DPDP Act की धारा 8(6) के तहत आपको उल्लंघन के बारे में जागरूक होने के बाद नियंत्रक को "बिना अनुचित देरी के" सूचित करना आवश्यक है। अधिकांश नियामक 24-48 घंटे निर्दिष्ट करते हैं। प्रोसेसर की सूचना में नियंत्रक के लिए पर्याप्त जानकारी होनी चाहिए: क्या हुआ, कब, दायरा, प्रभावित डेटा श्रेणियाँ, प्रारंभिक प्रतिक्रिया। नियंत्रक तब नियामक सूचना दाखिल करता है।

72 घंटे की अनुपालन समयसीमा

घंटा 0: उल्लंघन संकेत प्राप्त। घंटा 4: प्रारंभिक ट्राइएज पूर्ण, घटना कमांडर नियुक्त। घंटा 12: दायरा मूल्यांकन पूर्ण, प्रारंभिक सूचना निर्णय। घंटा 24: प्रोसेसर नियंत्रकों को सूचित करता है। घंटा 48: DPO और कानूनी द्वारा सूचना मसौदा समीक्षा। घंटा 72: Data Protection Board को सूचना दाखिल। दिन 5-7: डेटा विषय सूचनाएँ भेजी गईं। दिन 30: पोस्ट-इंसिडेंट समीक्षा आंतरिक रूप से प्रकाशित। दिन 90: उपचार योजना पूर्ण।

HexaTransfer जैसी सेवाएँ — क्लाइंट-साइड एन्क्रिप्शन, 7-दिन का ऑटो-डिलीशन — उल्लंघन की सतह और जुर्माने के जोखिम दोनों को सीमित करती हैं। जल्दी दाखिल करें, बार-बार दाखिल करें, और कागज़ी निशान साफ रखें। https://hexatransfer.com पर आज़माएं — मुफ़्त, कोई खाता नहीं, 10 GB अधिकतम।