भारत के डिजिटल डेटा संरक्षण नियम: सफलता और चूक की एक कहानी
जैसा कि कहा गया है, दो क्षेत्र हैं – डेटा उल्लंघन और महत्वपूर्ण डेटा फ़िडुशियरी के दायित्व – जहां मेरा मानना है कि सरकार ने अपनी शर्तों को पार कर लिया है। इस प्रक्रिया में डेटा फिड्यूशियरीज पर बोझ काफी बढ़ गया है।
नियम 6 डीपीडीपी अधिनियम की धारा 8 में उल्लिखित “उचित सुरक्षा उपाय” शब्द की परिभाषा प्रदान करता है। परिणामस्वरूप, डेटा विश्वासियों को अब डेटा उल्लंघनों के खिलाफ सुरक्षा के लिए कम से कम सात अलग-अलग प्रकार के उपाय करने होंगे।
हालाँकि डेटा की सुरक्षा के लिए आवश्यक कई उपायों के बारे में मेरे पास कोई तर्क नहीं है, लेकिन सभी डेटा फ़िडुशियरी को इन सात उपायों को क्यों लागू करना चाहिए, यह मेरे से परे है। धारा 8 में केवल डेटा फ़िडुशियरी को उचित सुरक्षा उपाय अपनाने की आवश्यकता है।
सरकार को अकेले छोड़ देना चाहिए था और व्यक्तिगत डेटा फ़िडुशियरी को यह निर्धारित करने की अनुमति देनी चाहिए कि उनके अपने संदर्भ में क्या उचित है। इस बात पर ज़ोर देकर कि हर किसी को ये सभी उपाय करने होंगे, यह छोटे डेटा फ़िडुशियरीज़ पर असंगत रूप से बोझ बढ़ा रहा है।
चिंता का विषय यह भी है कि किस तरह से नियमों ने डेटा उल्लंघन अधिसूचना दायित्वों को बढ़ा दिया है। जबकि अधिनियम में डेटा विश्वासियों को “व्यक्तिगत उल्लंघन की स्थिति में” नोटिस देने की आवश्यकता होती है, नियम कहते हैं कि सूचना “जैसे ही डेटा विश्वासी को इसके बारे में पता चले” दी जानी चाहिए।
जैसा कि उल्लंघन की घटना में शामिल कोई भी व्यक्ति आपको बताएगा, ऐसी स्थितियों के दौरान ज्ञान धीरे-धीरे जमा होता है, और हालांकि यह पहचानना आसान है कि कुछ गलत हो रहा है, आमतौर पर यह बताना मुश्किल है कि क्या ऐसा इसलिए है क्योंकि किसी हैकर ने सिस्टम में सेंध लगाई है या किसी अन्य खराबी के कारण. यह स्पष्ट होने के बाद भी कि यह एक उल्लंघन है, निश्चित रूप से यह कहना कठिन है कि कौन से डेटा प्रिंसिपल प्रभावित हुए हैं।
यदि डेटा फ़िडुशियरीज़ को उल्लंघन के बारे में पता चलते ही उसे सूचित करना है, तो उनमें से अधिकांश गैर-अनुपालन पाए जाने के जोखिम के बजाय अति-रिपोर्ट करेंगे। इस प्रकार की रिपोर्टिंग से डेटा फ़िडुशियरी के बीच घबराहट पैदा हो सकती है, जिन्हें बताया गया होगा कि उनके डेटा से समझौता किया गया था, भले ही ऐसा नहीं हुआ था।
जितना अधिक ऐसा होता है, उतनी ही कम संभावना होती है कि वे ध्यान देंगे, क्योंकि एक बिंदु के बाद वे मान सकते हैं कि सभी सूचनाएं गलत अलार्म हैं। इससे भी बुरी बात यह है कि डेटा प्रोटेक्शन बोर्ड उल्लंघन सूचनाओं से इतना भर जाएगा कि वह जहां आवश्यक हो वहां कार्रवाई करने में सक्षम नहीं होगा।
सरकार के पास यह फिर से तय करने का अवसर था कि डेटा उल्लंघन से कैसे निपटा जा सकता है। इसने न केवल उस अवसर को गँवा दिया है, बल्कि इसने डेटा फ़िडुशियरीज़ और बोर्ड पर इतना बोझ डाल दिया है कि इससे मामला और भी बदतर हो गया है।
यह हमें नियम 12(4) पर लाता है और जिस गुप्त तरीके से यह डेटा स्थानीयकरण को वापस विचार में ला रहा है। जब से न्यायमूर्ति श्रीकृष्ण ने पहली बार भारत के डेटा संरक्षण कानून के 2018 के मसौदे में इस अवधारणा को शामिल किया है, मैंने भारत में डेटा के भौतिक भंडारण पर इस आग्रह के खिलाफ तर्क दिया है।
शुक्र है, कानून के प्रत्येक बाद के मसौदे ने इस अवधारणा को कमजोर कर दिया है, और डीपीडीपी अधिनियम ने इसे लगभग खत्म कर दिया है। नियम 12(4) में यह सुझाव दिया गया है कि महत्वपूर्ण डेटा फ़िडुशियरी को व्यक्तिगत डेटा की कुछ श्रेणियों को स्थानीयकृत करना पड़ सकता है, ऐसा लगता है कि सरकार एक प्रावधान में घुसपैठ कर रही है जिसके बारे में हम सभी मानते थे कि हम पीछे हट गए हैं।
हम स्थान को पहुंच के साथ जोड़ते हैं – यह मानते हुए कि यदि डेटा भौतिक रूप से भारत के क्षेत्र में स्थित है, तो उस तक पहुंच आसान होगी। यह मामला नहीं है, जैसे यह मान लेना गलत है कि केवल इसलिए कि डेटा किसी विदेशी क्षेत्राधिकार में रहता है, भारतीय कानून प्रवर्तन अधिकारी कभी भी उस तक पहुंच नहीं पाएंगे।
व्यवसायों को घरेलू डेटा केंद्रों के निर्माण की काफी लागत वहन करने की आवश्यकता के बजाय, सरकार को तेजी से और अधिक प्रभावी डेटा पहुंच सुनिश्चित करने के लिए अधिक से अधिक न्यायक्षेत्रों के साथ संधियों पर बातचीत करने की सलाह दी जाएगी। आख़िरकार, चाहे हम कोई भी कानून लागू करें, यह संभावना है कि कुछ डेटा जिनकी हमें वास्तव में आवश्यकता है वह हमारी समझ से बाहर कहीं पड़ा होगा।
इन चिंताओं के बावजूद, नियमों ने डीपीडीपी अधिनियम के कई पहलुओं पर प्रकाश डाला है। इस बात पर भ्रम था कि सहमति प्रबंधकों से क्या करने की अपेक्षा की गई थी। उन्हें कानून में परिभाषित किया गया था, लेकिन विवरण बहुत कम थे। नियम अब यह स्पष्ट करते हैं कि यह शब्द देश के डेटा सशक्तिकरण और सुरक्षा वास्तुकला के साथ संरेखित करने के लिए पेश किया गया है, और सहमति प्रबंधकों के साथ ऐसा ही व्यवहार किया जाना चाहिए।
इसी तरह, अब हमारे पास उम्र-सीमा पर बहुत जरूरी स्पष्टता है और कानून के तहत दायित्वों को कैसे पूरा किया जा सकता है। नियमित पाठक जानते हैं कि मैं आयु टोकन के लिए मामला बना रहा हूं। यदि गोपनीयता-संरक्षण तकनीकों (जैसे शून्य-ज्ञान-प्रमाण) के साथ जोड़ा जाता है, तो यह डेटा फ़िडुशियरी को व्यक्तिगत जानकारी को संसाधित किए बिना अधिनियम की धारा 9 के तहत आवश्यकताओं का अनुपालन करने की अनुमति देगा।
नियम 10 ने इस तरह के ढांचे के लिए एक कानूनी आधार प्रदान किया है, और मुझे यह देखकर खुशी हुई कि डेटा फिड्यूशियरी अब पहचान और उम्र के अनुसार मैप किए गए वर्चुअल टोकन का संदर्भ दे सकते हैं।
हमें बस कुछ इकाई (जैसे भारतीय विशिष्ट पहचान प्राधिकरण) की आवश्यकता है जो आयु टोकन जारी करे, और डेटा फिड्यूशियरी उनका उपयोग यह सुनिश्चित करने में कर सकेंगी कि वे केवल माता-पिता की सहमति से बच्चे के व्यक्तिगत डेटा को संसाधित करते हैं। यह नियमों में प्रस्तावित सबसे उन्नत अवधारणाओं में से एक है। यदि इसे क्रियान्वित किया जाता है, तो यह शेष दुनिया के लिए अपनाने के लिए युग-गेटिंग उदाहरण बन सकता है।
Source link
Share this:
#आईटमतरलय #कनन #गहमतरलय #डटपरइवस_ #डटसरकष_ #नवचर #सरकर