अमेरिका में कोई व्यापक संघीय प्राइवेसी कानून नहीं है, लेकिन कई राज्यों के कानून अब प्राइवेसी-कंप्लायंट एनालिटिक्स माँगते हैं। कैलिफ़ोर्निया का CCPA (और उसका उत्तराधिकारी CPRA) मिसाल बना। वर्जीनिया, कोलोराडो, कनेक्टिकट, यूटा, मोंटाना और डेलावेयर में अब ऐसे ही कानून हैं। अमेरिकी वेबसाइटों के लिए, अगर मान लें कि आपके विज़िटर कई राज्यों से हैं, तो संभव है कि आपको इनमें से कई कानूनों का एक साथ पालन करना पड़े।
CCPA/CPRA कैसे काम करता है
CCPA (California Consumer Privacy Act) उन मुनाफ़े वाली कंपनियों पर लागू होता है जो कैलिफ़ोर्निया के निवासियों का डेटा इकट्ठा करती हैं। यह डेटा कलेक्शन का नोटिस, यह बताना कि कौन-सा डेटा और क्यों इकट्ठा हो रहा है, और यूज़र के एक्सेस करने, डिलीट करने और डेटा की बिक्री से बाहर होने के अधिकार माँगता है। CPRA (California Privacy Rights Act), जिसने CCPA में संशोधन किया, ज़्यादा सख़्त कंसेंट ज़रूरतें और गलत डेटा सुधरवाने का उपभोक्ता अधिकार जोड़ता है।
CCPA कब लागू होता है
CCPA तब लागू होता है जब आपकी कंपनी इनमें से कोई एक शर्त पूरी करे: $25M+ सालाना रेवेन्यू, 100 हज़ार+ लोगों या परिवारों का डेटा खरीदना/बेचना/साझा करना, या 50%+ रेवेन्यू उपभोक्ता डेटा बेचने से आना। कई मिड-साइज़ कंपनियाँ बिना जाने इसके दायरे में आ जाती हैं।
CCPA "निजी जानकारी" पर लागू होता है, यानी वह डेटा जो किसी ख़ास व्यक्ति की पहचान करे, उससे जुड़ा हो या उससे जोड़ा जा सके। यह GDPR से बड़ा दायरा है। इसमें पसंद, लोकेशन, खरीदारी के व्यवहार वगैरह के अनुमान भी आते हैं। एनालिटिक्स के लिए ज़्यादातर ट्रैकिंग इसमें आती है।
CCPA के वे अधिकार जिनका आपको सम्मान करना है
जानने का अधिकार: यूज़र रिक्वेस्ट कर सकते हैं कि आपने उनकी कौन-सी निजी जानकारी इकट्ठा की और उसका कैसे इस्तेमाल किया। आपको 45 दिन के अंदर जवाब देना होगा (90 दिन तक बढ़ाया जा सकता है)। जानकारी पूरी होनी चाहिए।
डिलीट करने का अधिकार: यूज़र अपनी निजी जानकारी डिलीट करने की रिक्वेस्ट कर सकते हैं। आपको 45 दिन के अंदर पालन करना होगा। हालाँकि, आप वैध बिज़नेस मक़सद (जैसे धोखाधड़ी पकड़ना) या कानूनी पालन के लिए डेटा रख सकते हैं।
बिक्री से बाहर होने का अधिकार: यूज़र रिक्वेस्ट कर सकते हैं कि आप उनका डेटा बेचना बंद करें। आपको 15 कामकाजी दिन में इसका पालन करना होगा। ध्यान दें: CCPA में "बिक्री" का मतलब किसी भी कीमती चीज़ के बदले डेटा साझा करना है, सिर्फ़ पैसे के बदले नहीं।
सुधारने का अधिकार: CPRA के तहत यूज़र रिक्वेस्ट कर सकते हैं कि आप गलत डेटा सुधारें। यह नया और सीधा-सादा है: अगर डेटा गलत है, तो उसे ठीक करें।
ऑप्ट-इन बनाम ऑप्ट-आउट
CCPA डेटा बिक्री के लिए ऑप्ट-आउट इस्तेमाल करता है: जब तक यूज़र ऑप्ट-आउट न करें, उनका डेटा बेचा जा सकता है। CPRA और नए राज्य कानून संवेदनशील डेटा के लिए ऑप्ट-इन इस्तेमाल करते हैं: संवेदनशील जानकारी (सटीक लोकेशन, सोशल सिक्योरिटी नंबर, वित्तीय डेटा वगैरह) इकट्ठा करने से पहले साफ़ इजाज़त चाहिए। एनालिटिक्स के लिए, नए कानूनों के तहत मानकर चलें कि आपको ऑप्ट-इन कंसेंट चाहिए।
दूसरे राज्यों के प्राइवेसी कानून
वर्जीनिया (VCDPA), कोलोराडो (CPA), कनेक्टिकट (CTDPA), यूटा (UCPA), मोंटाना (MTDPA) और डेलावेयर (DPDPA) सबने व्यापक प्राइवेसी कानून पास किए हैं। वे CCPA/CPRA मॉडल पर चलते हैं: यूज़र को जानने, डिलीट करने और बाहर होने के अधिकार देते हैं। विवरण राज्य के हिसाब से अलग हैं, लेकिन कुल पैटर्न एक जैसा है।
क्या आपको सबका पालन करना चाहिए?
यह आपके ऑडियंस पर निर्भर है। अगर आप मुख्य रूप से कैलिफ़ोर्निया को सेवा देते हैं, तो CCPA/CPRA पर ध्यान दें। अगर कई राज्यों को सेवा देते हैं, तो ज़्यादातर कंपनियाँ GDPR स्तर का प्राइवेसी मानक (जो ज़्यादातर अमेरिकी राज्य कानूनों की ज़रूरतों से ऊपर है) अपनाकर सभी विज़िटर्स पर लागू करती हैं। यह राज्य-दर-राज्य पालन से सरल है।
कई राज्यों की हक़ीक़त
ज़्यादातर वेबसाइटों के विज़िटर कई राज्यों से होते हैं। कुछ सभी 50 राज्यों को सेवा देती हैं। हर राज्य के लिए अलग एनालिटिक्स प्रैक्टिस रखने की जगह ज़्यादातर कंपनियाँ वह सबसे सख़्त मानक अपनाती हैं जिसके दायरे में वे आती हैं और उसे सब पर लागू करती हैं। इससे जटिलता घटती है और आप कभी नियमों से बाहर नहीं होते।
व्यवहार में CCPA/CPRA कंप्लायंस
कंप्लायंस के लिए ये चाहिए: ऐसी प्राइवेसी पॉलिसी जो बताए कि आप कौन-सा डेटा और क्यों इकट्ठा करते हैं; डेटा बिक्री के लिए साफ़ ऑप्ट-आउट तरीके (अगर लागू हो); डेटा एक्सेस रिक्वेस्ट का 45 दिन के अंदर जवाब देने की क्षमता; रिक्वेस्ट पर यूज़र का डेटा डिलीट करने वाले सिस्टम; और अपनी डेटा प्रैक्टिस के बारे में ईमानदार मार्केटिंग (आप क्या इकट्ठा करते हैं या कैसे इस्तेमाल करते हैं, इस पर झूठ नहीं)।
CCPA के जुर्माने और अमल
कैलिफ़ोर्निया के अटॉर्नी जनरल हर उल्लंघन पर $2,500 तक (या जानबूझकर किए उल्लंघन पर $7,500) का जुर्माना लगा सकते हैं। उपभोक्ता डेटा ब्रीच के लिए निजी मुकदमे कर सकते हैं (हर व्यक्ति, हर घटना पर $100-$750 का वैधानिक हर्जाना)। क्लास एक्शन आम हैं। व्यावहारिक असर: अगर कई यूज़र प्रभावित हों, तो CCPA का एक उल्लंघन आसानी से $1-10M का पड़ सकता है।
GDPR बनाम CCPA बनाम राज्य कानून
GDPR कंसेंट पर ज़्यादा सख़्त है। CCPA इस मामले में बड़ा है कि निजी डेटा किसे माना जाए। राज्य कानून थोड़े बदलावों के साथ CCPA मॉडल पर चलते हैं। अगर आप GDPR का पालन करते हैं (कंसेंट-आधारित, पारदर्शिता पहले), तो आप ज़्यादातर CCPA और राज्य कानूनों का भी पालन कर रहे हैं। उल्टा हमेशा सच नहीं है: CCPA का पालन GDPR के लिए काफ़ी नहीं हो सकता।
क्या मुझ पर सच में CCPA लागू होता है? मुझे कैसे पता चलेगा कि मैं $25M की सीमा पार करता हूँ?
तीन में से कोई भी एक शर्त पूरी करने पर CCPA लागू होता है: $25M+ सालाना रेवेन्यू, 100 हज़ार+ लोगों का डेटा खरीदना/बेचना/साझा करना, या 50%+ रेवेन्यू डेटा बिक्री से आना। $25M की सीमा सीधी है (पिछले साल का रेवेन्यू)। 100 हज़ार+ वाली शर्त थोड़ी पेचीदा है: अगर आपका एनालिटिक्स वेंडर 100 हज़ार+ विज़िटर्स का डेटा प्रोसेस करता है, तो यह शर्त लग सकती है (आप डेटा साझा कर रहे हैं)। 50%+ वाली शर्त तब लगती है जब डेटा बिक्री ही आपका मुख्य बिज़नेस हो (दुर्लभ)। ज़्यादातर मिड-साइज़ कंपनियों के लिए $25M की सीमा ही पेंच है। जाँचें: क्या आपका पिछले साल का रेवेन्यू $25M से ऊपर था? अगर हाँ, तो CCPA लागू है।
CCPA और GDPR में निजी डेटा क्या गिना जाता है? CCPA का दायरा बड़ा क्यों है?
GDPR: व्यक्ति की सीधे (नाम, ईमेल) या परोक्ष रूप से (IP पता) पहचान करता है। CCPA: ज़्यादा बड़ा, GDPR जो कुछ कवर करता है वह सब और साथ में अनुमान और पूर्वानुमान। उदाहरण: ऑनलाइन खरीदारी के पाँच पेज विज़िट। GDPR = निजी डेटा (सेशन ID)। CCPA = निजी डेटा और साथ में अनुमानित पसंद (कि आपको शॉपिंग पसंद है)। CCPA में व्यवहार और पूर्वानुमान वाला डेटा आता है जो GDPR में शायद न आए। एनालिटिक्स के लिए: पेज व्यू दोनों तरह से निजी डेटा है। व्यवहार का अनुमान ("लक्ज़री सामान में रुचि") पक्का CCPA का निजी डेटा है, GDPR का शायद नहीं। CCPA के बड़े दायरे का मतलब है कि ज़्यादा डेटा पर कंप्लायंस लागू होता है, जिससे कुछ कंपनियों के लिए यह GDPR से मुश्किल हो जाता है।
जब यूज़र डिलीट करने की रिक्वेस्ट करे, तो कौन-से वैध मक़सद मुझे डेटा रखने देते हैं?
CCPA के डिलीट नियम में अपवाद हैं। इनके लिए डेटा रखें: (1) धोखाधड़ी पकड़ना/सुरक्षा। (2) कानूनी पालन (टैक्स, कॉन्ट्रैक्ट, मुकदमे)। (3) प्रोडक्ट बेहतर बनाना (सिर्फ़ तब जब गुमनाम/एग्रीगेट हो)। (4) आंतरिक एनालिटिक्स (सिर्फ़ तब जब गुमनाम हो)। (5) यूज़र की उम्मीदें पूरी करना (अगर आपने रखने का वादा किया था)। एनालिटिक्स के लिए: सुरक्षा ब्रीच = रखें। कानूनी होल्ड = रखें। "शायद बाद में काम आए" = डिलीट करें। टेस्ट: क्या आप यह नियामक को समझा सकते हैं और वह टिक सकता है? अगर हाँ, तो रखें। अगर यह सिर्फ़ अंदाज़ा है, तो डिलीट करें।
ऑप्ट-आउट की समय सीमा 15 दिन और एक्सेस की 45 दिन क्यों है?
जटिलता अलग है। डेटा बिक्री से ऑप्ट-आउट सरल है: यूज़र को do-not-sell लिस्ट में जोड़ दें (कॉन्फ़िगरेशन का बदलाव, कुछ दिन का काम)। 15 कामकाजी दिन (3 हफ़्ते) ठीक हैं। एक्सेस रिक्वेस्ट मुश्किल हैं: सभी सिस्टम से सारा डेटा निकालना, जमा करना, पढ़ने लायक फ़ॉर्मेट बनाना, पहुँचाना। इसमें कई डेटाबेस क्वेरी करने, संवेदनशील डेटा पर निशान लगाने और पढ़ने लायक दस्तावेज़ बनाने पड़ते हैं। इस काम के लिए 45 दिन (9 हफ़्ते) व्यावहारिक हैं। कानून जटिलता का फ़र्क पहचानता है। एनालिटिक्स के लिए: ऑप्ट-आउट में 2-3 दिन लगते हैं (सप्रेशन लिस्ट में जोड़ना)। एक्सेस रिक्वेस्ट में 30+ दिन लगते हैं (एनालिटिक्स, CRM, सपोर्ट वगैरह से निकालना)।
निजी मुकदमे का अधिकार हर व्यक्ति के लिए $100-$750 है। इसकी गिनती कैसे होती है?
वैधानिक हर्जाना: हर व्यक्ति, हर घटना पर तय रकम, असली नुकसान पर आधारित नहीं। उदाहरण: ब्रीच में 10,000 लोग प्रभावित हुए। 10,000 × $100 न्यूनतम = $1M वैधानिक हर्जाना। हर व्यक्ति के लिए $750 माँगें = $7.5M। प्रतिवादी बीच में समझौता करता है। "हर घटना" का मतलब है एक ब्रीच = एक घटना (10,000 नहीं)। कई ब्रीच हों तो हर्जाना जुड़ता जाता है। हक़ीक़त: 10,000 लोगों के ब्रीच में वैधानिक हर्जाना और वकीलों की फ़ीस मिलाकर आसानी से $1-10M लग जाते हैं। प्रतिवादी क्लास एक्शन माँगे गए वैधानिक हर्जाने के 50-70% पर निपटाते हैं। इसीलिए रोकथाम ज़रूरी है, क्योंकि ब्रीच साबित होते ही वैधानिक हर्जाना अपने आप लग जाता है।
कई राज्यों के कंप्लायंस के लिए, क्या मुझे राज्य-विशेष नियम लागू करने चाहिए या GDPR मानक?
सबके लिए GDPR मानक इस्तेमाल करें। GDPR सभी अमेरिकी राज्य कानूनों से सख़्त है। अगर आप GDPR-कंप्लायंट हैं, तो आप अपने आप ज़्यादातर राज्यों की ज़रूरतों से आगे हैं। हर राज्य के नियम चलाना ऑपरेशन में जटिल है (हर राज्य के लिए अलग बैनर, रिटेंशन, ऑप्ट-आउट)। GDPR मानक सरल है: एक नियमों का सेट सभी राज्यों को कवर करता है। अपवाद: अगर आप सिर्फ़ एक-दो राज्यों को सेवा देते हैं, तो उन्हीं के हिसाब से ऑप्टिमाइज़ करें। लेकिन 5+ राज्यों या सभी 50 के लिए GDPR मानक आसान है। रणनीति: GDPR के हिसाब से बनाएँ, कैलिफ़ोर्निया-विशेष UI (ऑप्ट-आउट लिंक) जोड़ें, और एनालिटिक्स को ऐसे कॉन्फ़िगर करें मानो GDPR सभी राज्यों पर लागू हो। आप ज़्यादातर राज्यों के लिए ज़रूरत से ज़्यादा कंप्लायंट होंगे, जो कम कंप्लायंट होने से सुरक्षित है।