গোপনীয়তা আইনজীবী

আমরা নেদারল্যান্ডসের ব্যবসা ও প্রতিষ্ঠানগুলোকে জিডিপিআর (GDPR) মেনে চলতে সাহায্য করি এবং কোনো সমস্যা দেখা দিলে দ্রুত ব্যবস্থা গ্রহণ করি। প্রাইভেসি আইনজীবী হিসেবে আমরা প্রাইভেসি পলিসি ও প্রসেসিং অ্যাগ্রিমেন্ট তৈরি করি, ডেটা লঙ্ঘনের বিষয়ে পরামর্শ দিই এবং ডাচ ডেটা প্রোটেকশন অথরিটির (Autoriteit Persoonsgegevens) সাথে যোগাযোগে সহায়তা করি। আমরা ইংরেজি এবং ডাচ ভাষায় কাজ করি; এর প্রথম ধাপ হলো একটি বিনামূল্যের পরিচিতিমূলক সভা, যেখানে আমরা আপনার ডেটা প্রবাহ এবং ঝুঁকিগুলো চিহ্নিত করি।

ক্লায়েন্টরা রেটিং দেয় Law & More ১০ এর মধ্যে ৯.৯ Klantenvertellenডাচ রিভিউ প্ল্যাটফর্ম (৮১টি রিভিউ, অক্টোবর ২০২৬ পর্যন্ত)।

আমরা কি আপনাকে কোন সাহায্য করতে পারি?

• আপনার ওয়েবসাইট, অ্যাপ বা কর্মীদের জন্য একটি গোপনীয়তা বিবৃতি প্রয়োজন;
• একজন সরবরাহকারী বা গ্রাহক আপনাকে একটি ডেটা প্রক্রিয়াকরণ চুক্তিতে স্বাক্ষর করতে বলেন;
• আপনার ডেটা লঙ্ঘিত হয়েছে এবং আপনাকে ৭২ ঘন্টার মধ্যে অবহিত করবেন কিনা সে বিষয়ে সিদ্ধান্ত নিতে হবে;
• একজন গ্রাহক বা কর্মচারী প্রবেশ বা মুছে ফেলার অনুরোধ জমা দেন;
• আপনি কোনো অংশীদারের সাথে ডেটা শেয়ার করতে বা ইউরোপীয় অর্থনৈতিক অঞ্চলের বাইরে ডেটা স্থানান্তর করতে চান;
• আপনি ক্যামেরা নজরদারি, বায়োমেট্রিক অ্যাক্সেস নিয়ন্ত্রণ বা কর্মচারী পর্যবেক্ষণের পরিকল্পনা করছেন;
• ডাচ তথ্য সুরক্ষা কর্তৃপক্ষ একটি তদন্ত শুরু করেছে অথবা জরিমানা আরোপ করেছে।

GDPR আপনার ব্যবসার কাছে কী চায়?

GDPR অনুযায়ী, আপনাকে অবশ্যই একটি নির্দিষ্ট উদ্দেশ্যে এবং একটি বৈধ আইনি ভিত্তিতে ব্যক্তিগত তথ্য প্রক্রিয়াকরণ করতে হবে এবং এর প্রতিপালন প্রমাণ করতে সক্ষম হতে হবে। আকার নির্বিশেষে, ইউরোপীয় ইউনিয়নের প্রতিটি সংস্থা যারা ব্যক্তিগত তথ্য প্রক্রিয়াকরণ করে, তাদের ক্ষেত্রে এটি প্রযোজ্য।

জেনারেল ডেটা প্রোটেকশন রেগুলেশন (জিডিপিআর, ডাচ ভাষায়: এভিজি) ২৫ মে ২০১৮ থেকে কার্যকর হয়েছে। নেদারল্যান্ডসে এটি জিডিপিআর ইমপ্লিমেন্টেশন অ্যাক্ট (ইউএভিজি) দ্বারা পরিপূরিত। এর অনুচ্ছেদ ৬-এ সম্মতি, চুক্তি সম্পাদন এবং বৈধ স্বার্থের মতো ছয়টি আইনি ভিত্তি তালিকাভুক্ত করা হয়েছে। অনুচ্ছেদ ৫-এ ডেটা মিনিমাইজেশন এবং স্টোরেজ লিমিটেশনের মতো নীতিসমূহ যুক্ত করা হয়েছে।

বাস্তবে, বেশিরভাগ ব্যবসার জন্য অন্তত এই নথিগুলো প্রয়োজন হয়:

• একটি গোপনীয়তা বিবৃতি যা আপনার তথ্য প্রক্রিয়াকরণ সম্পর্কে লোকজনকে অবহিত করে (অনুচ্ছেদ ১৩ এবং ১৪);
• প্রক্রিয়াকরণ কার্যক্রমের একটি নথি (ধারা ৩০), যা কর্মচারী আছে এমন বেশিরভাগ প্রতিষ্ঠানের জন্য বাধ্যতামূলক;
• আপনার ব্যক্তিগত তথ্য পরিচালনা করে এমন সরবরাহকারীদের সাথে প্রক্রিয়াকরণ চুক্তি (ধারা ২৮);
• উচ্চ-ঝুঁকিপূর্ণ প্রক্রিয়াকরণের জন্য একটি ডেটা সুরক্ষা প্রভাব মূল্যায়ন (ডিপিআইএ) (ধারা ৩৫);
• তথ্য লঙ্ঘন এবং তথ্য প্রদানকারীর অনুরোধের জন্য একটি অভ্যন্তরীণ কার্যপ্রণালী।

সরকারি সংস্থা এবং যেসব প্রতিষ্ঠানের মূল কার্যক্রমের মধ্যে বৃহৎ পরিসরের পর্যবেক্ষণ বা বিশেষ শ্রেণীর তথ্য অন্তর্ভুক্ত, তাদের জন্য একজন তথ্য সুরক্ষা কর্মকর্তা থাকা বাধ্যতামূলক (ধারা ৩৭)।

কখন আপনার একটি ডেটা প্রক্রিয়াকরণ চুক্তির প্রয়োজন হয়?

যখনই কোনো সরবরাহকারী আপনার পক্ষ থেকে ব্যক্তিগত ডেটা প্রসেস করে, তখন আপনার একটি ডেটা প্রসেসিং চুক্তির প্রয়োজন হয়। উদাহরণস্বরূপ, পে-রোল প্রদানকারী, ক্লাউড হোস্ট বা SaaS প্ল্যাটফর্ম। GDPR-এর ২৮ নং অনুচ্ছেদে উল্লেখ করা আছে যে, চুক্তিতে ন্যূনতম কী কী থাকা আবশ্যক।

এই চুক্তিতে ডেটা প্রক্রিয়াকরণের বিষয়, সময়কাল, প্রকৃতি ও উদ্দেশ্য, ডেটার প্রকারভেদ এবং নিরাপত্তা ব্যবস্থা লিপিবদ্ধ থাকে। এতে সাব-প্রসেসর, ডেটা প্রদানকারীর অনুরোধে সহায়তা এবং শেষে ডেটা মুছে ফেলা বা ফেরত দেওয়ার বিষয়গুলোও অন্তর্ভুক্ত থাকে। অনেক সরবরাহকারী একটি আদর্শ সংস্করণ দিয়ে থাকে। এটি যাচাই করে নিন, কারণ দায়বদ্ধতা এবং নিরীক্ষার অধিকার প্রায়শই সরবরাহকারীর সুবিধার্থে তৈরি করা হয়।

সব সরবরাহকারীই প্রসেসর নয়। যে পক্ষ তার নিজস্ব উদ্দেশ্য নির্ধারণ করে, যেমন একজন হিসাবরক্ষক বা একটি ব্যাংক, তারা প্রায়শই একটি পৃথক কন্ট্রোলার হয়ে থাকে। কন্ট্রোলার এবং প্রসেসরের ভূমিকা নিয়ে আমাদের নিবন্ধে এই পার্থক্যটি ব্যাখ্যা করা হয়েছে।

ডেটা ফাঁসের পরে আপনার কী করণীয়?

ব্যক্তিগত তথ্য লঙ্ঘনের বিষয়ে অবগত হওয়ার ৭২ ঘণ্টার মধ্যে আপনাকে অবশ্যই ডাচ ডেটা সুরক্ষা কর্তৃপক্ষকে জানাতে হবে, যদি না এই লঙ্ঘনের ফলে ব্যক্তিদের জন্য ঝুঁকির সম্ভাবনা না থাকে। যদি ঝুঁকি বেশি হয়, তবে আপনাকে অযথা বিলম্ব না করে ক্ষতিগ্রস্ত ব্যক্তিদেরও জানাতে হবে।

এই দায়িত্বগুলো GDPR-এর ৩৩ এবং ৩৪ নং ধারা থেকে উদ্ভূত। লঙ্ঘন শুধু একটি হ্যাকিংয়ের চেয়েও ব্যাপক: ভুল প্রাপকের কাছে পাঠানো ই-মেইল, হারিয়ে যাওয়া ল্যাপটপ বা র‍্যানসমওয়্যার—সবই এর অন্তর্ভুক্ত। Autoriteit Persoonsgegevens- এর অনলাইন ফর্মের মাধ্যমে অবহিত করুন । আপনার কাছে যদি এখনও সমস্ত তথ্য না থাকে, তবে সময়মতো অবহিত করুন এবং পরে তা পরিপূরণ করুন।

প্রসেসরকে অযথা বিলম্ব না করে আপনাকে কোনো লঙ্ঘনের বিষয়ে জানাতে হবে। প্রসেসিং চুক্তিতে একটি নির্দিষ্ট সময়সীমা নির্ধারণ করুন, যেমন ২৪ বা ৪৮ ঘণ্টা।

আপনি ডাচ ডেটা সুরক্ষা কর্তৃপক্ষের সাথে কীভাবে কাজ করেন?

নেদারল্যান্ডসে GDPR পরিপালনের বিষয়টি Autoriteit Persoonsgegevens তত্ত্বাবধান করে এবং আদেশ ও প্রশাসনিক জরিমানা আরোপ করতে পারে। জরিমানার পরিমাণ ২০ মিলিয়ন ইউরো বা বিশ্বব্যাপী বার্ষিক টার্নওভারের ৪ শতাংশ পর্যন্ত হতে পারে, যেটি বেশি (জিডিপিআর-এর ৮৩ নং ধারা)।

একটি তদন্ত সাধারণত তথ্যের জন্য একটি লিখিত অনুরোধের মাধ্যমে শুরু হয়। নির্ভুলভাবে এবং সময়মতো উত্তর দিন এবং আপনার দেওয়া নথিপত্র সামঞ্জস্যপূর্ণ রাখুন। জরিমানা করার আগে, আপনি আপনার মতামত জানানোর সুযোগ পান। জরিমানার বিরুদ্ধে আপনি কর্তৃপক্ষের কাছে আপত্তি জানাতে পারেন এবং তারপর জেলা আদালতে আপিল করতে পারেন। আমাদের প্রশাসনিক আইন বিষয়ক পাতায় আপত্তি এবং আপিল সম্পর্কে ব্যাখ্যা করা হয়েছে।

GDPR লঙ্ঘনের কারণে সৃষ্ট ক্ষতির জন্য ব্যক্তিরাও আপনাকে দায়ী করতে পারেন (ধারা ৮২)। তারা আপনার বিরুদ্ধে কর্তৃপক্ষের কাছে অভিযোগও করতে পারেন।

সাথে কিভাবে কাজ করে Law & More কাজ?

1. প্রাথমিক সভা: আপনি আপনার সংস্থা বা ঘটনা সম্পর্কে ব্যাখ্যা করবেন এবং আমরা জরুরি বিষয়গুলো চিহ্নিত করব।
2. পরামর্শ ও খরচের প্রাক্কলন: আমরা আপনার ডেটা প্রবাহ, নথি এবং ঝুঁকি মূল্যায়ন করে একটি খরচের প্রাক্কলন দিই।
3. যোগাযোগ ও আলোচনা: আমরা নীতিমালা ও চুক্তিপত্রের খসড়া তৈরি বা পর্যালোচনা করি এবং সরবরাহকারী, তথ্য প্রদানকারী ব্যক্তি বা কর্তৃপক্ষের সাথে যোগাযোগের বিষয়টি পরিচালনা করি।
4. কার্যক্রম বা সমাপ্তি: আমরা একটি সম্মতি-ফাইল তৈরির মাধ্যমে সমাপ্ত করি, অথবা কোনো সিদ্ধান্তের বিরুদ্ধে আপত্তি ও আপিলে সহায়তা করি।

একজন গোপনীয়তা আইনজীবীর খরচ কত?

একজন আইনজীবীর জন্য আমাদের ঘণ্টাপ্রতি ফি ভ্যাট ছাড়া ২৫০ থেকে ৩৫০ ইউরো এবং একজন পার্টনারের জন্য ভ্যাট ছাড়া ৩০০ থেকে ৪০০ ইউরো। আমরা আগে থেকেই ফি এবং একটি আনুমানিক হিসাব নিয়ে আলোচনা করি। প্রাথমিক বৈঠকটি বিনামূল্যে। পরবর্তী কোনো সহায়তা ছাড়া এককালীন পরামর্শ সভার খরচ ভ্যাটসহ ৩০০ ইউরো।

আদালতের ফি-এর মতো বাহ্যিক খরচ আলাদাভাবে ধার্য করা হয়। লিগ্যাল এইড বোর্ড (Raad voor Rechtsbijstand)-এর মাধ্যমে আইনি সহায়তা পাওয়া যায়, কিন্তু আমরা সেই ভিত্তিতে কাজ করি না।

আপনার মামলাটি কে পরিচালনা করেন?

গোপনীয়তা এবং জিডিপিআর সংক্রান্ত বিষয়গুলো আইলিন আকার দেখাশোনা করেন । আপনি আমাদের টিম পেজে পুরো টিমকে দেখতে পারেন । আইটি চুক্তি এবং সাইবার নিরাপত্তার জন্য, আমাদের আইটি আইনজীবী পেজটিও দেখুন ।

সচরাচর জিজ্ঞাস্য

আমাকে কত সময়ের মধ্যে ডেটা লঙ্ঘনের বিষয়ে রিপোর্ট করতে হবে?

GDPR-এর ৩৩ নং ধারা অনুযায়ী, কোনো ব্যক্তিগত তথ্য লঙ্ঘনের বিষয়ে অবগত হওয়ার ৭২ ঘণ্টার মধ্যে আপনাকে অবশ্যই ডাচ ডেটা সুরক্ষা কর্তৃপক্ষকে তা জানাতে হবে। যদি এই লঙ্ঘনের ফলে কোনো ব্যক্তির জন্য ঝুঁকির সম্ভাবনা না থাকে, তবে জানানোর প্রয়োজন নেই। প্রতিটি লঙ্ঘন অবশ্যই অভ্যন্তরীণভাবে নথিভুক্ত করতে হবে, যার মধ্যে সেইসব লঙ্ঘনও অন্তর্ভুক্ত যা আপনি জানাননি।

ক্ষুদ্র ব্যবসাকেও কি জিডিপিআর মেনে চলতে হবে?

হ্যাঁ। জিডিপিআর এমন প্রতিটি ব্যবসার ক্ষেত্রে প্রযোজ্য যারা ব্যক্তিগত তথ্য প্রক্রিয়াকরণ করে, যার মধ্যে একক মালিকানাধীন ব্যবসাও অন্তর্ভুক্ত। ছোট সংস্থাগুলোর জন্য কিছু বাধ্যবাধকতা কিছুটা শিথিল, যেমন সীমিত কিছু ক্ষেত্রে প্রক্রিয়াকরণ কার্যক্রমের রেকর্ড রাখা। আকার নির্বিশেষে একটি গোপনীয়তা বিবৃতি, প্রক্রিয়াকরণ চুক্তি এবং তথ্য লঙ্ঘনের কার্যপ্রণালী থাকা প্রয়োজন।

আমাকে কত দ্রুত একটি অ্যাক্সেস অনুরোধের উত্তর দিতে হবে?

GDPR-এর ধারা ১২ অনুযায়ী, আপনাকে অযথা বিলম্ব না করে এবং প্রাপ্তির এক মাসের মধ্যে উত্তর দিতে হবে। জটিল বা অসংখ্য অনুরোধের ক্ষেত্রে, আপনি এই সময়সীমা আরও দুই মাস বাড়াতে পারেন, তবে শর্ত হলো আপনাকে প্রথম মাসের মধ্যেই সংশ্লিষ্ট ব্যক্তিকে জানাতে হবে। এই পরিষেবা পাওয়ার জন্য সাধারণত কোনো চার্জ লাগে না।

আমার কখন একজন গোপনীয়তা বিষয়ক আইনজীবীর সাথে যোগাযোগ করা উচিত?

কর্মচারী পর্যবেক্ষণ বা বায়োমেট্রিক্সের মতো উচ্চ-ঝুঁকিপূর্ণ প্রক্রিয়াকরণ শুরু করার আগে এবং গুরুত্বপূর্ণ প্রক্রিয়াকরণ চুক্তিতে স্বাক্ষর করার সময় একজন গোপনীয়তা আইনজীবীর সাথে যোগাযোগ করুন। ডেটা লঙ্ঘনের ক্ষেত্রে, অবিলম্বে আমাদের সাথে যোগাযোগ করুন, কারণ ৭২-ঘণ্টার সময়সীমাটি আপনার অবগত হওয়ার মুহূর্ত থেকে শুরু হয়। পরবর্তীতে লঙ্ঘনটি মেরামত করার চেয়ে আগেভাগে পরামর্শ নেওয়া সাধারণত সাশ্রয়ী হয়।

আমি কি ইইউ-এর বাইরের কোনো সরবরাহকারীর কাছে ব্যক্তিগত তথ্য স্থানান্তর করতে পারি?

শুধুমাত্র একটি বৈধ হস্তান্তর পদ্ধতির মাধ্যমেই এটি সম্ভব। এটি হতে পারে ইউরোপীয় কমিশনের একটি পর্যাপ্ততার সিদ্ধান্ত, অথবা হস্তান্তর প্রভাব মূল্যায়নের সাথে মিলিত আদর্শ চুক্তিভিত্তিক ধারা। প্রত্যয়িত মার্কিন কোম্পানিগুলোর জন্য, ইইউ-ইউএস ডেটা প্রাইভেসি ফ্রেমওয়ার্ক ভিত্তি হিসেবে কাজ করতে পারে। স্বাক্ষর করার আগে এটি যাচাই করে নিন, পরে নয়।

কর্মচারীরা কি GDPR লঙ্ঘনের জন্য ক্ষতিপূরণ দাবি করতে পারেন?

হ্যাঁ। GDPR-এর ধারা ৮২ অনুযায়ী, কোনো লঙ্ঘনের কারণে ক্ষতিগ্রস্ত যে কেউ কন্ট্রোলার বা প্রসেসরের কাছ থেকে ক্ষতিপূরণ দাবি করতে পারেন। এর মধ্যে অ-বস্তুগত ক্ষতিও অন্তর্ভুক্ত, তবে ক্ষতিগ্রস্ত ব্যক্তিকে প্রকৃত ক্ষতি প্রমাণ করতে হবে। ডাচ আদালতগুলো ব্যক্তিদের বেশিরভাগ ক্ষেত্রেই স্বল্প পরিমাণ অর্থ প্রদান করেছে। ফাউন্ডেশনগুলোও বহু মানুষের পক্ষে সম্মিলিত মামলা করতে পারে, যা সংস্থাগুলোর জন্য আর্থিক ঝুঁকি বাড়িয়ে দেয়।

আপনার অবস্থান নিয়ে সন্দিহান? আপনার পরিস্থিতি আমাদের জানান। আমরা এক কর্মদিবসের মধ্যে আপনাকে জানিয়ে দেবো আপনার জন্য কী কী বিকল্প রয়েছে। আমাদের সাথে যোগাযোগ করুন, +31 40 369 06 80 নম্বরে ফোন করুন অথবা ই-মেইল করুন info@lawandmore.nl.

Law & More, Marconilaan 13, 5612 HM Eindhoven (+31 40 369 06 80) এবং পরিদর্শনের স্থান Pietersbergweg 291, 1105 BM Amsterdam (+৩১ ২০ ৩৬৯ ৭১ ২১)। সোমবার থেকে শুক্রবার সকাল ০৮:০০-২২:০০, শনিবার ও রবিবার সকাল ০৯:০০-১৭:০০ পর্যন্ত উপলব্ধ।

এই পৃষ্ঠাটি সাধারণ তথ্য প্রদান করে এবং এটি আপনার নির্দিষ্ট পরিস্থিতির জন্য পরামর্শের বিকল্প নয়।