டச்சு வணிகங்களுக்கான இணையப் பாதுகாப்பு கடமைகள்

டச்சு வணிகங்கள், துறை வேறுபாடின்றிப் பொருந்தக்கூடிய மூன்று இணையப் பாதுகாப்பு கடமைகளை எதிர்கொள்கின்றன: தனிப்பட்ட தரவுகளைப் பாதுகாப்பாக வைத்திருத்தல், மீறல்களை உரிய நேரத்தில் புகாரளித்தல், மற்றும் இவை இரண்டும் செய்யப்பட்டன என்பதைக் காட்ட முடிதல். ஆகஸ்ட் 15, 2026 முதல், சுமார் 8,000 நியமிக்கப்பட்ட நிறுவனங்களுக்கு நான்காவது கடமையாக சைபர் பெவைலிகிங்ஸ்வெட் (Cbw) சேர்க்கப்பட்டுள்ளது; இது ஐரோப்பிய ஒன்றியத்தின் NIS2 வழிகாட்டுதலின் டச்சுச் செயலாக்கமாகும்.

தரவுப் பாதுகாப்பிற்காக GDPR என்ன கோருகிறது?

தனிப்பட்ட தரவைப் பாதுகாக்க, தற்போதைய தொழில்நுட்ப வளர்ச்சி நிலை, செயல்படுத்துவதற்கான செலவு மற்றும் சம்பந்தப்பட்ட நபர்களுக்கு ஏற்படும் அபாயம் ஆகியவற்றின் அடிப்படையில் மதிப்பிடப்பட்ட பொருத்தமான தொழில்நுட்ப மற்றும் நிறுவன ரீதியான நடவடிக்கைகள் தேவை என்று GDPR வலியுறுத்துகிறது. இருவர் மட்டுமே உள்ள ஒரு மருத்துவப் பயிற்சிக்கு எது பொருத்தமானதோ, அது பெருமளவில் சுகாதாரத் தரவுகளைச் செயலாக்கும் ஒரு நிறுவனத்திற்குப் பொருத்தமானதாக இருக்காது; மேலும், அபாயம் அதிகரிக்கும்போது தரமும் உயர்கிறது.

நடைமுறையில், ஒரு மேற்பார்வை ஆணையம் எதிர்பார்க்கும் நடவடிக்கைகள் குறிப்பிடத்தக்கவை அல்ல: அணுகல் கட்டுப்பாடு மற்றும் பல காரணி அங்கீகாரம், சாதனங்கள் மற்றும் காப்புப்பிரதிகளின் குறியாக்கம், பிழைத்திருத்தம், சூழல்களைப் பிரித்தல், தரவுப் பதிவு, மற்றும் சோதிக்கப்பட்ட மீட்டெடுப்பு செயல்முறை. எந்தவொரு தவறும் நடப்பதற்கு முன்பே இவை ஆவணப்படுத்தப்பட்டு மதிப்பாய்வு செய்யப்பட்டிருந்தன என்பதே, ஆய்வில் தப்பிப்பிழைக்கும் ஒரு நிறுவனத்தை வேறுபடுத்திக் காட்டுகிறது.

தரவு மீறலை எப்போது புகாரளிக்க வேண்டும்?

பாதிக்கப்பட்ட நபர்களுக்கு ஆபத்தை விளைவிக்க வாய்ப்பில்லை என்றாலன்றி, ஒரு தனிப்பட்ட தரவு மீறல் குறித்து அறிந்த எழுபத்திரண்டு மணி நேரத்திற்குள் அது டச்சு தரவுப் பாதுகாப்பு ஆணையத்திடம் (Autoriteit Persoonsgegevens) தெரிவிக்கப்பட வேண்டும். அவர்களுக்கு ஏற்படும் ஆபத்து அதிகமாக இருக்கும் பட்சத்தில், தேவையற்ற தாமதமின்றி அந்த நபர்களுக்கும் தகவல் தெரிவிக்கப்பட வேண்டும்.

எழுபத்திரண்டு மணிநேரம் என்பது குறைவான நேரமாகும், மேலும் காலக்கெடு என்பது ஒரு விசாரணை முடிவடைந்ததிலிருந்து அல்ல, மாறாக அது குறித்த விழிப்புணர்வு இருந்ததிலிருந்தே தொடங்குகிறது. அதனால்தான், யார் முடிவெடுக்கிறார்கள், யாரை அழைக்கிறார்கள், என்ன பதிவு செய்யப்படுகிறது போன்றவற்றை உள்ளடக்கிய ஒரு சம்பவ நடைமுறையானது, எந்தவொரு தனிப்பட்ட தொழில்நுட்பக் கட்டுப்பாட்டையும் விட அதிக மதிப்பு வாய்ந்தது. ஒழுங்குமுறை ஆணையத்திடம் தெரிவிக்கப்படாத மீறல்கள் உட்பட, ஒவ்வொரு மீறலும் அந்த முடிவிற்கான காரணத்துடன் சேர்த்து உள்ரீதியாகப் பதிவு செய்யப்பட வேண்டும்.

சைபர் பாதுகாப்பு ஆடை என்ன சேர்க்கிறது?

சைபர் பாதுகாப்புச் சட்டம் (Cyberbeveiligingswet) மற்றும் அது தொடர்பான பாதுகாப்பு ஒழுங்குமுறைச் சட்டம் (Wet weerbaarheid kritieke entiteiten) ஆகியவை, முந்தைய பிணைய மற்றும் தகவல் அமைப்புகள் பாதுகாப்பு விதிகளுக்குப் பதிலாக, 15 ஆகஸ்ட் 2026 அன்று நடைமுறைக்கு வந்தன. இதன் வரம்பிற்குள் வரும் அமைப்புகளான – ஆற்றல், போக்குவரத்து, சுகாதாரம், டிஜிட்டல் உள்கட்டமைப்பு மற்றும் பொது நிர்வாகம் போன்ற துறைகளில் உள்ள அத்தியாவசிய மற்றும் முக்கியமான நிறுவனங்கள் – அதிகாரிகளிடம் பதிவு செய்துகொள்ள வேண்டும், பொருத்தமான இடர் மேலாண்மை நடவடிக்கைகளை எடுக்க வேண்டும், மேலும் குறிப்பிடத்தக்க சம்பவங்களை தேசிய CSIRT மற்றும் தங்களின் துறை மேற்பார்வையாளரிடம் தெரிவிக்க வேண்டும்.

இந்த நடவடிக்கைகளை அங்கீகரிப்பதற்கும் மேற்பார்வையிடுவதற்கும் மேலாண்மை அமைப்புகள் தனிப்பட்ட பொறுப்பைக் கொண்டுள்ளன; இதை ஒரு தகவல் தொழில்நுட்பத் துறைக்கு எளிமையாக ஒப்படைக்க முடியாது. மாறாக, நிதி நிறுவனங்கள் சைபர் பாதுகாப்பு விதிகளுக்குப் பதிலாக, தங்களின் சொந்த ஐரோப்பிய ஒன்றிய செயல்பாட்டு மீள்திறன் ஆட்சிமுறையின் (DORA) கீழ் வருகின்றன.

சைபர் பாதுகாப்புச் சட்டத்தின் வரம்பிற்கு வெளியே உள்ள அமைப்புகளை இது எவ்வாறு சென்றடைகிறது?

குறிப்பிட்ட துறைகளுக்கு வெளியேயும், அதே தரநிலைகள் ஒப்பந்த ரீதியாகவே வருகின்றன. பெரிய வாடிக்கையாளர்கள் தங்கள் ஒப்பந்தங்களில் பாதுகாப்புத் தேவைகள், தணிக்கை உரிமைகள் மற்றும் மீறல் அறிவிப்புக் காலங்களை அதிகளவில் விதிக்கின்றனர். மேலும், வேறொருவரின் சார்பாகத் தனிப்பட்ட தரவுகள் செயலாக்கப்படும்போதெல்லாம், ஒரு செயலாக்க ஒப்பந்தம் கட்டாயமாகிறது. நடைமுறையில், பல டச்சு நிறுவனங்கள் இந்தத் தரநிலைகளை ஒரு ஒழுங்குமுறை ஆணையம் கோரியதால் அல்ல, மாறாக ஒரு எதிர் தரப்பினர் கோரியதாலேயே முதலில் பூர்த்தி செய்கின்றன.

ஒரு சம்பவத்திற்குப் பிறகு யார் இழப்பீடு கோரலாம்?

ஒரு சம்பவம் ஒரே நேரத்தில் பல திசைகளிலிருந்து கோரிக்கைகளை உருவாக்கக்கூடும்: ஒழுங்குமுறை ஆணையத்திடமிருந்து, தரவுகள் அம்பலப்படுத்தப்பட்ட தனிநபர்களிடமிருந்து, ஒப்பந்தத்தின் கீழ் உள்ள வாடிக்கையாளர்களிடமிருந்து, மேலும் அதிகரித்து வரும் கூட்டு நடவடிக்கைகள் மூலமாகவும் கோரிக்கைகள் எழலாம். காப்பீட்டு நிறுவனம் பதிலளிக்குமா என்பது, காப்பீட்டுக் கொள்கையின் வாசகத்தையும், ஒப்புக்கொள்ளப்பட்ட நடவடிக்கைகளைப் பராமரிக்கத் தவறியதை காப்பீட்டாளரால் சுட்டிக்காட்ட முடியுமா என்பதையும் பொறுத்தது – நடைமுறையில் என்ன இருந்தது என்பதை நிரூபிக்க வேண்டியிருப்பதற்கு இதுவும் ஒரு காரணமாகும்.

நீங்கள் முதலில் என்ன செய்ய வேண்டும்?

குறைந்த முயற்சியில் அதிகப் பலனைத் தரும் மூன்று விஷயங்கள்: பதவிகளுக்குப் பதிலாக நபர்களின் பெயர்களைக் குறிப்பிடும் ஒரு எழுதப்பட்ட சம்பவ நடைமுறை; செயலாக்க நடவடிக்கைகள் மற்றும் நீங்கள் பயன்படுத்தும் செயலிகள் குறித்த தற்போதைய பதிவேடு; மற்றும் சோதிக்கப்பட்ட மீட்டெடுப்பு, ஏனெனில் ஒரு சம்பவத்திற்கும் பேரழிவிற்கும் உள்ள வேறுபாடு பொதுவாக காப்புப்பிரதிகள் செயல்பட்டனவா என்பதில்தான் உள்ளது. உங்கள் நிறுவனம் சைபர் பாதுகாப்புச் சட்டத்தின் (Cyberbeveiligingswet) வரம்பிற்குள் வரக்கூடும் எனில், உங்கள் பதிவுக் கடமையை தாமதமின்றிச் சரிபார்க்கவும்.

சுருக்கமாக

• தனிப்பட்ட தரவுகளைச் செயலாக்கும் ஒவ்வொரு நிறுவனமும், தற்போதைய அதிநவீன தொழில்நுட்பம் மற்றும் அதில் உள்ள அபாயத்திற்கு ஏற்ற பாதுகாப்பு நடவடிக்கைகளை மேற்கொள்ள வேண்டும் என GDPR கட்டாயப்படுத்துகிறது.
• ஒரு தரவு மீறல் குறித்து அறிந்த எழுபத்திரண்டு மணி நேரத்திற்குள், அது பொதுவாக தனிநபர் தரவு ஆணையத்திடம் (Autoriteit Persoonsgegevens) தெரிவிக்கப்பட வேண்டும்.
• 15 ஆகஸ்ட் 2026 முதல், சைபர் பாதுகாப்புச் சட்டம் (Cyberbeveiligingswet), சுமார் 8,000 நியமிக்கப்பட்ட நிறுவனங்களுக்குப் பதிவு செய்தல், இடர் மேலாண்மை மற்றும் சம்பவ அறிக்கையிடல் கடமைகளைச் சேர்க்கிறது, மேலும் நிர்வாகத்திற்குத் தனிப்பட்ட பொறுப்பும் விதிக்கப்படுகிறது.
• நிதி நிறுவனங்கள் சைபர் பாதுகாப்புச் சட்டத்தின் (Cyberbeveiligingswet) கீழ் வராமல், டோரா (DORA) சட்டத்தின் கீழ் வருகின்றன.
• ஒரு சம்பவம், ஒழுங்குமுறை ஆணையங்கள், பாதிக்கப்பட்ட தனிநபர்கள், ஒப்பந்தப் பங்காளிகள் மற்றும் பெருகிவரும் கூட்டு நடவடிக்கைகள் ஆகியவற்றிலிருந்து கோரிக்கைகளைத் தூண்டக்கூடும்.

அறிவுரை

பாதுகாப்பு மற்றும் செயலாக்க ஒப்பந்தங்கள், மீறல் அறிவிப்பு மற்றும் ஒழுங்குமுறை கடிதப் போக்குவரத்து, சைபர் பாதுகாப்புச் சட்ட இணக்கம், மற்றும் ஒரு சம்பவத்திற்குப் பிறகான பொறுப்பு ஆகியவை குறித்து நாங்கள் ஆலோசனை வழங்குகிறோம்.

உங்கள் நிலை என்னவென்று தெரியவில்லையா? உங்கள் நிலைமையைப் பற்றி எங்களிடம் கூறுங்கள். ஒரு வேலை நாளுக்குள் உங்களுக்கான தெரிவுகளை நாங்கள் தெரிவிப்போம்.

எப்படி Law & More இதில் உங்களுக்கு உதவ முடியும் என்பது எங்கள் தளத்தில் விளக்கப்பட்டுள்ளது. தகவல் தொழில்நுட்ப வழக்கறிஞர் பக்கம்.