प्राइवेसी नियमन दुनिया भर में तेज़ी से बढ़ रहा है। GDPR और CCPA के अलावा अब दर्जनों देशों में व्यापक प्राइवेसी फ़्रेमवर्क हैं। कनाडा में PIPEDA है, ब्राज़ील में LGPD है, भारत में नियम बन रहे हैं, और लगभग हर विकसित अर्थव्यवस्था प्राइवेसी कानून ला रही है या उन्हें मज़बूत कर रही है। अगर आपका बिज़नेस अंतरराष्ट्रीय विज़िटर्स को सेवा देता है, तो आपको यूरोप और अमेरिका के बाहर के मुख्य फ़्रेमवर्क की जानकारी होनी चाहिए।
दुनिया भर के मुख्य प्राइवेसी फ़्रेमवर्क
कनाडा: PIPEDA और प्रांतीय कानून
PIPEDA (Personal Information Protection and Electronic Documents Act) कनाडा का संघीय प्राइवेसी कानून है। यह उन संस्थाओं पर लागू होता है जो कनाडा के निवासियों का निजी डेटा इकट्ठा करती हैं। PIPEDA ढाँचे में GDPR जैसा है: यह कंसेंट, डेटा मिनिमाइज़ेशन, सुरक्षा और यूज़र के अधिकार माँगता है। कुछ प्रांतों (क्यूबेक, अल्बर्टा) में अतिरिक्त प्रांतीय प्राइवेसी कानून हैं जो PIPEDA से भी सख़्त हैं।
PIPEDA को कनाडा के प्राइवेसी कमिश्नर लागू करते हैं। जुर्माना लाखों डॉलर तक जा सकता है। इसका सक्रिय रूप से अमल होता है, यह सिर्फ़ सैद्धांतिक चिंता नहीं है।
ब्राज़ील: LGPD
ब्राज़ील के LGPD (Lei Geral de Proteção de Dados) को अक्सर "ब्राज़ील का GDPR" कहा जाता है। यह व्यापक फ़्रेमवर्क है जो कंसेंट, डेटा मिनिमाइज़ेशन, सुरक्षा और यूज़र के अधिकार माँगता है। LGPD के जुर्माने कड़े हैं: रेवेन्यू का 2% तक (या 50 मिलियन ब्राज़ीलियन रियाल)। यह उन संस्थाओं पर लागू होता है जो ब्राज़ील के निवासियों का डेटा प्रोसेस करती हैं, चाहे कंपनी कहीं भी हो।
LGPD का अमल तेज़ हो रहा है। ब्राज़ील इसे सक्रिय रूप से लागू कर रहा है। अगर आपके ब्राज़ील के विज़िटर हैं, तो कंप्लायंस ज़रूरी है।
मेक्सिको: LFPDPPP
मेक्सिको का LFPDPPP (Ley Federal de Protección de Datos Personales en Posesión de Particulares) GDPR जैसा है और कंसेंट व यूज़र के अधिकार माँगता है। इसका अमल GDPR या LGPD जितना सख़्त नहीं है, लेकिन उल्लंघन पर बड़ा जुर्माना लग सकता है। अगर आप मेक्सिको में काम करते हैं, तो आपको बुनियादी GDPR स्तर का कंप्लायंस चाहिए।
भारत: डिजिटल पर्सनल डेटा प्रोटेक्शन एक्ट
भारत ने हाल ही में डिजिटल पर्सनल डेटा प्रोटेक्शन एक्ट (DPDPA) पास किया, जो 2024 से प्रभावी है। यह GDPR से कम सख़्त है, लेकिन ज़्यादातर डेटा कलेक्शन के लिए कंसेंट माँगता है और यूज़र को एक्सेस और डिलीट के अधिकार देता है। भारत में अमल अभी बन रहा है, लेकिन आगे कंप्लायंस की उम्मीद है।
एशिया-पैसिफ़िक: अलग-अलग फ़्रेमवर्क
ऑस्ट्रेलिया में Privacy Act के संशोधन ज़्यादा सख़्त कंसेंट माँगते हैं। सिंगापुर में PDPA है। हॉन्ग कॉन्ग में PDPO है। दक्षिण कोरिया में PIPA है। जापान में APPI है। थाईलैंड में PDPA है। हर फ़्रेमवर्क थोड़ा अलग है, लेकिन सभी किसी न किसी रूप में कंसेंट और यूज़र के अधिकार माँगते हैं। अगर आप एशिया-पैसिफ़िक में काम करते हैं, तो मानकर चलें कि GDPR स्तर का कंप्लायंस सबसे कम सुरक्षित मानक है।
दुनिया भर में एक जैसे होते नियम
दुनिया भर में प्राइवेसी कानून कुछ साझा सिद्धांतों पर एक होते जा रहे हैं: पारदर्शिता (यूज़र को पता होना चाहिए कि क्या इकट्ठा हो रहा है), कंसेंट (इजाज़त ज़रूरी है), डेटा मिनिमाइज़ेशन (सिर्फ़ ज़रूरी इकट्ठा करें), सुरक्षा (जो आपके पास है उसे बचाएँ) और यूज़र के अधिकार (डेटा देखना, डिलीट करना, ले जाना)। अगर आप ऐसा एनालिटिक्स बनाते हैं जो इन सिद्धांतों का सम्मान करता है, तो आप ज़्यादातर वैश्विक फ़्रेमवर्क के अनुकूल हैं।
एडिक्वेसी डिसीज़न और आपसी मान्यता
कुछ देश दूसरों के प्राइवेसी कानूनों को "पर्याप्त" (adequate) मानते हैं। EU ब्रिटेन, स्विट्ज़रलैंड और दूसरों को पर्याप्त मानता है, जिससे डेटा ट्रांसफ़र आसान हो जाता है। GDPR के एडिक्वेसी डिसीज़न सबसे सख़्त हैं। अगर आप GDPR-कंप्लायंट हैं, तो ज़्यादातर द्विपक्षीय डेटा ट्रांसफ़र के लिए आप संभवतः पर्याप्त हैं।
वैश्विक संचालन के लिए व्यावहारिक कंप्लायंस
ज़्यादातर कंपनियों के लिए तरीका यह है: पहचानें कि आपका ट्रैफ़िक कहाँ से ज़्यादा आता है, उन क्षेत्रों को प्राथमिकता दें, और ऐसा एनालिटिक्स बनाएँ जो लागू सबसे सख़्त मानक पूरा करे। फिर उसी मानक को हर जगह लागू करें। यह हर क्षेत्र के लिए अलग एनालिटिक्स कॉन्फ़िगरेशन रखने से सरल है।
बिना बिखराव के क्षेत्रीय फ़र्क
हर देश के लिए अलग एनालिटिक्स सिस्टम की ज़रूरत नहीं। आपको एक सिस्टम चाहिए जो लागू सबसे ऊँचे मानक (आमतौर पर GDPR) पर बना हो और क्षेत्रीय फ़र्कों को संभाल सके (जैसे जहाँ ज़रूरी हो वहाँ साफ़ ऑप्ट-आउट तरीके, जहाँ अनिवार्य हो वहाँ डेटा लोकलाइज़ेशन)।
मैं कैसे पहचानूँ कि किन देशों के कानून लागू होते हैं? क्या मुझे एनालिटिक्स ट्रैफ़िक डेटा इस्तेमाल करना चाहिए?
हाँ, दायरा तय करने के लिए एनालिटिक्स इस्तेमाल करें। पिछले 12 महीनों की विज़िटर जियोग्राफ़ी निकालें: किन देशों से अच्छा ट्रैफ़िक (5%+) है? उन देशों के कानून शायद लागू होते हैं। हर ज़्यादा ट्रैफ़िक वाले देश को देखें: EU = GDPR, कनाडा = PIPEDA, ब्राज़ील = LGPD, भारत = DPDPA, ऑस्ट्रेलिया = Privacy Act। ट्रैफ़िक के हिसाब से प्राथमिकता दें: 40% EU ट्रैफ़िक का मतलब है पहले GDPR। यह भी देखें: क्या किसी देश में आपके कर्मचारी, ऑफ़िस या बिज़नेस पार्टनर हैं? अगर हाँ, तो ट्रैफ़िक चाहे जो हो, वहाँ के कानून लागू होते हैं। एनालिटिक्स को शुरुआत मानें और ऑपरेशन के सवालों से पूरा करें। अब आपके पास अपना नियमों का नक्शा है।
LGPD रेवेन्यू का 2% है लेकिन GDPR 4%। असल में ज़्यादा सख़्त कौन-सा है?
GDPR का 4% ज़्यादा अधिकतम सीमा है। लेकिन गणना मायने रखती है। GDPR: ग्लोबल रेवेन्यू का 4%। LGPD: रेवेन्यू का 2% (साफ़ नहीं कि सिर्फ़ ब्राज़ील का या ग्लोबल)। हक़ीक़त में: दोनों में अमल का झुकाव बड़ी कंपनियों की ओर दिखता है। छोटी कंपनी के उल्लंघन पर किसी में भी ₹5,600k-₹56,000k। साइज़ प्रतिशत से ज़्यादा मायने रखता है। व्यावहारिक रूप से: दोनों को कड़ा मानें। प्रतिशत के फ़र्क पर दाँव लगाने की जगह उल्लंघन से बचें। दोनों गंभीर हैं।
कौन-से देश डेटा लोकलाइज़ेशन अनिवार्य करते हैं, और इसका मेरे एनालिटिक्स पर क्या असर होता है?
डेटा लोकलाइज़ेशन अनिवार्य है: रूस, चीन, भारत, इंडोनेशिया (2022+), वियतनाम में। EU इसे SCC और एडिक्वेसी डिसीज़न से ढीले तौर पर नियंत्रित करता है। एनालिटिक्स के लिए: अगर आप अमेरिकी वेंडर (Google Analytics) इस्तेमाल करते हैं, तो उसके अमेरिकी सर्वर लोकलाइज़ेशन का उल्लंघन करते हैं। हल: लोकल सर्वर वाले वेंडर (GDPR के लिए Google Analytics के EU सर्वर, भारतीय कानून के लिए भारत के सर्वर) या स्थानीय प्राइवेसी-फ़र्स्ट प्लेटफ़ॉर्म। अपने वेंडर से पूछें: डेटा कहाँ स्टोर होता है? अगर ज़रूरी देशों में नहीं, तो आपके सामने कमी है। यह वेंडर का चुनाव (सेटअप) है, ऑपरेशन का नहीं (कंप्लायंस इंफ़्रास्ट्रक्चर है)।
भारत का कानून 2024 में प्रभावी हुआ, ब्राज़ील में अमल तेज़ हो रहा है। मैं बदलते लक्ष्यों को कैसे संभालूँ?
तीन तरीके: (1) देखो और रुको (जोखिम भरा लेकिन नए अमल के लिए आम)। (2) ज़्यादा कंप्लायंट रहो (स्थानीय कानून कम सख़्त हो तब भी GDPR मानक, ज़्यादा सुरक्षित लेकिन ज़्यादा मेहनत)। (3) नज़र रखो और ढालो (मौजूदा ज़रूरतों के हिसाब से बनाओ, कानून बदलने पर अपडेट की योजना रखो)। भारत का DPDPA: 2024 में प्रभावी हुआ, अमल बन रहा है। ज़्यादातर कंपनियाँ भारत के लिए भी GDPR स्तर का कंप्लायंस अपना रही हैं। ब्राज़ील का LGPD: सक्रिय है लेकिन अमल बड़ी कंपनियों पर केंद्रित है। छोटी कंपनियों के लिए जोखिम कम है। सुरक्षित रणनीति: जिन देशों में अमल बन रहा है वहाँ के लिए GDPR के हिसाब से बनाएँ, हर तिमाही नियामक अपडेट देखें, और बड़े बदलाव हों तो ढालें।
Schrems II क्या है और यह मेरे EU-अमेरिका एनालिटिक्स ट्रांसफ़र पर कैसे असर डालता है?
Schrems II (2020) ने Privacy Shield को अमान्य कर दिया और EU-अमेरिका ट्रांसफ़र के लिए Standard Contractual Clauses को कमज़ोर कर दिया। अदालत ने कहा: अगर प्राप्त करने वाला देश बड़े पैमाने पर निगरानी की इजाज़त देता है, तो अकेले SCC सुरक्षा की गारंटी नहीं देते। असर: आपको SCC के साथ अतिरिक्त सुरक्षा उपाय (एन्क्रिप्शन, एक्सेस कंट्रोल, डेटा मिनिमाइज़ेशन) चाहिए। एनालिटिक्स के लिए: अगर अमेरिकी वेंडर इस्तेमाल करते हैं, तो उन्हें SCC के साथ अतिरिक्त उपाय चाहिए। Google समेत कई वेंडरों ने ये जोड़े हैं। अपने वेंडर से पूछें: क्या वे Schrems II को संभालते हैं? अगर सिर्फ़ SCC हैं, तो आप जोखिम में हैं। कई वेंडर सबसे सरल हल के रूप में EU डेटा रेज़िडेंसी देते हैं (डेटा EU में स्टोर, कोई ट्रांसफ़र नहीं)।
क्या क्षेत्रों में ऑप्ट-इन और ऑप्ट-आउट अलग हैं? क्या मुझे हर क्षेत्र के लिए कंसेंट अलग संभालना चाहिए?
क्षेत्र अलग हैं, लेकिन आपको हर क्षेत्र के लिए अलग व्यवस्था की ज़रूरत नहीं। पैटर्न: ज़्यादातर ऑप्ट-इन (ट्रैकिंग से पहले साफ़ कंसेंट) पर आ गए हैं। GDPR = ऑप्ट-इन। CCPA ऐतिहासिक रूप से = ऑप्ट-आउट (CPRA संवेदनशील डेटा के लिए ऑप्ट-इन की ओर)। LGPD = ऑप्ट-इन। PIPEDA = ऑप्ट-इन। भारत = ऑप्ट-इन। ज़्यादातर आधुनिक कानून ऑप्ट-इन हैं। हर जगह ऑप्ट-इन लागू करें (यह ऑप्ट-आउट की ज़रूरतों से आगे है)। एक कंसेंट तरीका: "क्या हम आपको ट्रैक कर सकते हैं?" हाँ/नहीं। CCPA के ऐतिहासिक ऑप्ट-आउट के लिए "Do Not Sell" लिंक जोड़ें (कैलिफ़ोर्निया की ज़रूरत पूरी होती है)। एक वैश्विक कंसेंट क्षेत्रीय फ़र्क संभाल लेता है: ऑप्ट-इन आधार और कैलिफ़ोर्निया-विशेष लिंक। हर क्षेत्र के लिए अलग एनालिटिक्स कॉन्फ़िगरेशन की ज़रूरत नहीं।