GDPR प्राइवेसी नियमन का ग्लोबल पैमाना है। यह EU का कानून है, फिर भी हर उस कंपनी पर असर डालता है जिसके विज़िटर EU में हैं। एनालिटिक्स के लिए GDPR साफ़ है: ज़्यादातर यूज़र व्यवहार को ट्रैक करने से पहले आपको साफ़ कंसेंट चाहिए, आपको अपना कानूनी आधार दर्ज करना होगा, और यूज़र के अपने डेटा को देखने और हटाने के अधिकारों का सम्मान करना होगा। GDPR को समझना दुनिया भर में कंप्लायंट एनालिटिक्स बनाने की नींव है।
एनालिटिक्स के लिए GDPR की मुख्य ज़रूरतें
GDPR निजी डेटा की परिभाषा बहुत बड़ी रखता है: कोई भी चीज़ जो सीधे या परोक्ष रूप से किसी व्यक्ति की पहचान कर सके। IP पता निजी डेटा है। यूनीक कुकी निजी डेटा है। ईमेल पते, फ़ोन नंबर और आइडेंटिफ़ायर सब GDPR के दायरे में आते हैं। एनालिटिक्स के लिए इसका मतलब है कि लगभग हर ट्रैकिंग पर GDPR की ज़रूरतें लागू होती हैं।
कंसेंट की ज़रूरत
ज़्यादातर निजी डेटा इकट्ठा करने से पहले GDPR साफ़, जानकारी वाला कंसेंट माँगता है। इसका मतलब है: यूज़र को सक्रिय रूप से सहमत होना होगा (सिर्फ़ ऑप्ट-आउट न करना काफ़ी नहीं), उन्हें समझ आना चाहिए कि वे किसके लिए सहमत हो रहे हैं (कानूनी शब्दों में छिपा नहीं), और कंसेंट अपनी मर्ज़ी से दिया जाना चाहिए (दबाव में नहीं)। एनालिटिक्स के लिए इसका आमतौर पर मतलब है एक कुकी बैनर, जो साफ़ बताए कि आप कौन-सी ट्रैकिंग कर रहे हैं और "मैं सहमत हूँ" पर सक्रिय क्लिक ले।
GDPR में एनालिटिक्स के लिए सबसे आम कानूनी आधार कंसेंट है। कुछ कंपनियाँ इसकी जगह "वैध हित" (legitimate interest) का आधार बताती हैं, लेकिन अदालतों ने इसे काफ़ी सीमित कर दिया है। ज़्यादातर एनालिटिक्स मामलों में मानकर चलें कि आपको कंसेंट चाहिए।
विकल्प के रूप में वैध हित
कुछ एनालिटिक्स मक़सद, जैसे धोखाधड़ी पकड़ना, साइट की सुरक्षा, बुनियादी परफ़ॉर्मेंस मॉनिटरिंग, "वैध हित" के तहत बिना साफ़ कंसेंट के भी मंज़ूर हो सकते हैं। लेकिन वैध हित के लिए ये शर्तें हैं: बिज़नेस की ज़रूरत असली हो, डेटा कलेक्शन उस ज़रूरत के अनुपात में हो, और यूज़र के प्राइवेसी अधिकार आपके हित से ऊपर न हों। ज़्यादातर एनालिटिक्स इस कसौटी पर फ़ेल होता है। मानकर चलें कि ज़्यादातर ट्रैकिंग के लिए आपको कंसेंट चाहिए।
डेटा प्रोसेसिंग एग्रीमेंट
अगर आप थर्ड-पार्टी एनालिटिक्स टूल (जैसे Google Analytics) इस्तेमाल करते हैं, तो उस वेंडर के साथ आपको डेटा प्रोसेसिंग एग्रीमेंट (DPA) चाहिए। DPA यह तय करता है कि वेंडर आपका डेटा प्रोसेसर है, कोई स्वतंत्र कंट्रोलर नहीं। DPA के बिना, वेंडर की प्रैक्टिस के लिए आप ज़िम्मेदार ठहर सकते हैं। DPA के साथ, ज़िम्मेदारी साफ़ बँटी होती है।
GDPR में यूज़र के अधिकार
GDPR व्यक्तियों को छह मुख्य अधिकार देता है जो एनालिटिक्स पर असर डालते हैं: यह जानने का अधिकार कि आपके पास कौन-सा डेटा है (एक्सेस का अधिकार), गलत डेटा सुधरवाने का अधिकार, डेटा हटवाने का अधिकार (भुला दिए जाने का अधिकार), प्रोसेसिंग सीमित करने का अधिकार, डेटा पोर्टेबिलिटी का अधिकार, और प्रोसेसिंग पर आपत्ति करने का अधिकार।
एक्सेस का अधिकार
यूज़र आपके पास अपने बारे में मौजूद सारा डेटा माँग सकते हैं। आपको 30 दिन के अंदर पूरा रिकॉर्ड देकर जवाब देना होगा। एनालिटिक्स के लिए इसका मतलब है कि आपके पास किसी एक यूज़र का डेटा निकालने और रिपोर्ट करने वाले सिस्टम होने चाहिए। अगर आपका एनालिटिक्स ऐसे स्टोर है कि उसे निकालना मुश्किल है, तो आपके सामने GDPR कंप्लायंस की समस्या है।
भुला दिए जाने का अधिकार
यूज़र अपना डेटा हटाने की रिक्वेस्ट कर सकते हैं। आपको 30 दिन के अंदर पालन करना होगा (कानूनी ज़िम्मेदारियों के कुछ अपवादों के साथ)। एनालिटिक्स के लिए इसका मतलब है कि आप अलग-अलग यूज़र के रिकॉर्ड डिलीट कर सकें। अगर आपका एनालिटिक्स डेटा एग्रीगेट या गुमनाम है, तो यह आसान है। अगर वह किसी की पहचान से जुड़ा है, तो आपके पास डिलीट करने वाले सिस्टम होने चाहिए।
आपत्ति का अधिकार
यूज़र अपने डेटा की किसी भी प्रोसेसिंग पर आपत्ति कर सकते हैं। आपको रुकना होगा (जब तक जारी रखने की कोई ठोस कानूनी वजह न हो)। एनालिटिक्स के लिए इसका मतलब है कि यूज़र के पास ट्रैकिंग से बाहर होने का आसान तरीका होना चाहिए। ऑप्ट-आउट उतना ही आसान होना चाहिए जितना ऑप्ट-इन।
व्यवहार में GDPR कंप्लायंस
एनालिटिक्स के लिए GDPR कंप्लायंस में ये चाहिए: साफ़ और आसानी से मिलने वाली प्राइवेसी पॉलिसी; ट्रैकिंग से पहले साफ़ कंसेंट माँगने वाला कुकी बैनर; आपके एनालिटिक्स वेंडर के साथ डेटा प्रोसेसिंग एग्रीमेंट; यूज़र की एक्सेस और डिलीट रिक्वेस्ट का 30 दिन के अंदर जवाब देने वाले सिस्टम; और यूज़र का कभी भी कंसेंट वापस लेने की सुविधा।
एनालिटिक्स में GDPR के आम उल्लंघन
पहले से टिक किए कंसेंट बॉक्स: यूज़र को कंसेंट के लिए खुद क्लिक करना होगा। पहले से चेक किया हुआ बॉक्स वैध कंसेंट नहीं है।
बंडल कंसेंट: यूज़र को एनालिटिक्स के लिए अलग से कंसेंट देना होगा। आप एनालिटिक्स, मार्केटिंग और दूसरे मक़सदों का कंसेंट एक ही टॉगल में नहीं जोड़ सकते।
वेंडर एग्रीमेंट नहीं: DPA के बिना थर्ड-पार्टी एनालिटिक्स टूल इस्तेमाल करना उल्लंघन है। वेंडर की प्रैक्टिस की ज़िम्मेदारी आपकी है।
ऑप्ट-आउट नहीं: अगर ट्रैकिंग के लिए कंसेंट ज़रूरी है, तो यूज़र के पास बाहर निकलने का साफ़ तरीका होना चाहिए। छिपे हुए ऑप्ट-आउट लिंक गिने नहीं जाते।
डिलीट करना नामुमकिन: डेटा डिलीट करने का वादा करना लेकिन उसके लिए सिस्टम न होना उल्लंघन है। डिलीट करना तकनीकी रूप से संभव होना चाहिए।
GDPR और डेटा ट्रांसफ़र
GDPR EU निवासियों का डेटा EU के बाहर भेजने पर रोक लगाता है, जब तक बराबर की सुरक्षा न हो। अगर आपका एनालिटिक्स वेंडर डेटा अमेरिका में स्टोर करता है, तो ट्रांसफ़र को GDPR-कंप्लायंट बनाने के लिए आपको कानूनी तंत्र (Standard Contractual Clauses, Binding Corporate Rules) चाहिए। एनालिटिक्स टीमों के लिए यह आम सिरदर्द है। इसे हल करने के लिए कई अमेरिकी टूल अब EU सर्वर या डेटा रेज़िडेंसी की गारंटी देते हैं।
GDPR कंसेंट और वैध हित में क्या फ़र्क है? एनालिटिक्स के लिए वैध हित पर भरोसा क्यों न करें?
कंसेंट साफ़ ऑप्ट-इन है। वैध हित का मतलब है यह दावा करना कि आपके बिज़नेस की ज़रूरतें प्राइवेसी की चिंताओं से भारी हैं। अदालतों ने वैध हित को सीमित कर दिया क्योंकि कंपनियों ने उसका दुरुपयोग किया। एनालिटिक्स के लिए: परफ़ॉर्मेंस के लिए पेज व्यू ट्रैकिंग वैध हित में आ सकती है। विस्तार से व्यवहार की ट्रैकिंग शायद नहीं आती। EU के नियामक कहते हैं: अगर यह मार्केटिंग या व्यवहार एनालिटिक्स के लिए है, तो कंसेंट लें। मान न लें कि वैध हित चल जाएगा। सुरक्षित तरीका: एनालिटिक्स को कंसेंट की ज़रूरत वाला मानें।
[wemasy-accordion type="primary" wemasy-accordion title="कुकी बैनर में "साफ़ समझाना" का असल मतलब क्या है?"]<p>साफ़ का मतलब है पढ़ने में आसान सीधी भाषा, कानूनी शब्दजाल नहीं। ख़ास का मतलब है कि आप बताएँ कि क्या ट्रैक कर रहे हैं, "आपका अनुभव बेहतर बनाने के लिए" जैसे धुँधले वाक्य नहीं। धुँधला उदाहरण: "हम एनालिटिक्स कुकी इस्तेमाल करते हैं।" साफ़ उदाहरण: "हम साइट बेहतर बनाने के लिए पेज विज़िट, बटन क्लिक और पेज पर बिताया समय नापने के लिए Google Analytics इस्तेमाल करते हैं।" इनको शामिल करें: टूल का नाम, वह क्या इकट्ठा करता है, आप क्यों इकट्ठा कर रहे हैं, रिटेंशन अवधि, और क्या आप इसे थर्ड पार्टी से साझा करते हैं। टेस्ट: क्या कोई गैर-तकनीकी व्यक्ति आपकी प्राइवेसी पॉलिसी पर क्लिक किए बिना समझ सकता है कि आप क्या ट्रैक कर रहे हैं? अगर हाँ, तो वह काफ़ी साफ़ है।</p>[/wemasy-accordion]
क्या Google Analytics के साथ DPA चाहिए, या सिर्फ़ ख़ास वेंडर के साथ?
निजी डेटा प्रोसेस करने वाले हर टूल के साथ आपको DPA चाहिए। Google Analytics निजी डेटा (IP, सेशन, यूज़र ID) प्रोसेस करता है, इसलिए हाँ। Google अपनी शर्तों के ज़रिए DPA अपने आप देता है। जाँचें: Google Analytics में लॉग इन करके पक्का करें कि आपने उनका डेटा प्रोसेसिंग अमेंडमेंट स्वीकार किया है। ख़ास एनालिटिक्स वेंडर भी निजी डेटा प्रोसेस करते हैं, इसलिए उनके साथ भी DPA चाहिए। ज़्यादातर अपनी शर्तों में या अलग दस्तावेज़ के रूप में DPA देते हैं। नियम: अगर वेंडर निजी डेटा को छूता है, तो आपको DPA चाहिए। अगर वह नहीं मिल सकता, तो वह वेंडर इस्तेमाल न करें।
Standard Contractual Clauses और एडिक्वेसी डिसीज़न में क्या फ़र्क है?
दोनों EU डेटा को कानूनी तरीके से EU के बाहर भेजने के तरीके हैं। एडिक्वेसी डिसीज़न का मतलब है कि EU ने तय किया कि किसी देश में बराबर की प्राइवेसी सुरक्षा है (अमेरिका के पास यह नहीं है)। Standard Contractual Clauses (SCC) वेंडर के साथ ऐसे कॉन्ट्रैक्ट हैं जो उन्हें EU मानकों का पाबंद करते हैं। व्यावहारिक फ़र्क: एडिक्वेसी डिसीज़न सरल है, SCC में कॉन्ट्रैक्ट चाहिए। एनालिटिक्स के लिए ज़्यादातर वेंडर (Google समेत) अपने DPA में SCC देते हैं। अपने वेंडर से पूछें: क्या वे EU डेटा ट्रांसफ़र के लिए Standard Contractual Clauses देते हैं? अगर हाँ, तो उन्हें इस्तेमाल करें। अगर नहीं, तो सिर्फ़ वही वेंडर इस्तेमाल करें जो डेटा EU में स्टोर करते हैं।
अगर मुझे डेटा एक्सेस रिक्वेस्ट मिले, तो एनालिटिक्स से मुझे ठीक-ठीक क्या देना होगा?
उस व्यक्ति के बारे में आपके पास जो भी है, पढ़ने लायक फ़ॉर्मेट में। Google Analytics से: सभी सेशन और इवेंट (अगर आप यूज़र ID ट्रैक करते हैं) या सेशन ID। इनको शामिल करें: तारीख़ें, देखे गए पेज, ट्रिगर हुए इवेंट, पेज पर बिताया समय, कोई भी PII (नाम, ईमेल)। दूसरे सिस्टम से: हीटमैप, सेशन रिकॉर्डिंग, व्यवहार ट्रैकिंग। PDF या HTML में एक्सपोर्ट करें, रॉ डेटाबेस डंप नहीं। यूज़र को बिना तकनीकी जानकारी के समझ आना चाहिए। अगर आप किसी एक यूज़र का डेटा आसानी से नहीं निकाल सकते, तो आपके सामने GDPR की समस्या है। ज़्यादातर प्लेटफ़ॉर्म हर यूज़र का एक्सपोर्ट देते हैं। अगर आपका नहीं देता, तो प्लेटफ़ॉर्म बदलें या कस्टम एक्सपोर्ट बनाएँ।
मेरे प्रतिस्पर्धी के पास कुकी बैनर नहीं है और वह यूज़र को ट्रैक करता है। वह GDPR-कंप्लायंट कैसे है?
वे या तो: (1) असल में GDPR-कंप्लायंट नहीं हैं और उम्मीद कर रहे हैं कि नियामक उन्हें न पकड़ें (जोखिम भरा)। (2) दावा कर रहे हैं कि उनकी ट्रैकिंग वैध हित है (अदालतें संशय में हैं)। (3) सिर्फ़ गुमनाम या एग्रीगेट डेटा ट्रैक कर रहे हैं (कंसेंट की ज़रूरत नहीं)। (4) सिर्फ़ ज़रूरी कुकी ट्रैक कर रहे हैं (लॉगिन, CSRF, कंसेंट की ज़रूरत नहीं)। (5) ऐसी जगह काम कर रहे हैं जहाँ GDPR का अमल कमज़ोर है। हक़ीक़त: कई कंपनियाँ GDPR तोड़ती हैं और कभी पकड़ी नहीं जातीं। लेकिन जोखिम असली है: एक शिकायत से जाँच और जुर्माना शुरू हो सकता है। समझदारी का तरीका: अगर आपके EU विज़िटर हैं तो मानें कि GDPR लागू है, कंसेंट सही तरीके से लगाएँ, और प्रतिस्पर्धियों के नियम तोड़ने के भरोसे न रहें।