सभी मुख्य प्राइवेसी कानूनों के मूल सिद्धांत एक जैसे हैं: कंसेंट, पारदर्शिता, डेटा मिनिमाइज़ेशन, सुरक्षा और यूज़र के अधिकार। लेकिन दायरे, अमल और जुर्माने में वे अलग हैं। इनकी तुलना समझने से आप पहचान सकते हैं कि आपके बिज़नेस पर कौन-से लागू होते हैं और ऐसी कंप्लायंस रणनीति बना सकते हैं जो कई फ़्रेमवर्क को एक साथ कवर करे।
सभी प्राइवेसी कानूनों के मूल सिद्धांत
हर मुख्य प्राइवेसी फ़्रेमवर्क (GDPR, CCPA, LGPD, PIPEDA वगैरह) किसी न किसी रूप में ये माँगता है: डेटा कलेक्शन के बारे में पारदर्शिता, ज़्यादातर निजी डेटा इकट्ठा करने से पहले इजाज़त, सिर्फ़ ज़रूरी चीज़ रखना, डेटा को गलत इस्तेमाल से बचाना, और लोगों को अपनी जानकारी पर अधिकार देना। इन पर बहस नहीं हो सकती। अगर आप इन सिद्धांतों का सम्मान करते हैं, तो आप ज़्यादातर फ़्रेमवर्क के अनुकूल हैं।
जो फ़र्क मायने रखते हैं
कंसेंट मॉडल: GDPR ज़्यादातर ट्रैकिंग के लिए साफ़ ऑप्ट-इन कंसेंट माँगता है। CCPA डेटा बिक्री के लिए ऑप्ट-आउट इस्तेमाल करता है (लेकिन ऑप्ट-इन की ओर बढ़ रहा है)। ज़्यादातर नए कानून GDPR के ऑप्ट-इन मॉडल पर चलते हैं।
निजी डेटा की परिभाषा: GDPR और दूसरे कानून निजी डेटा की परिभाषा बड़ी रखते हैं। CCPA और भी बड़ी है। बड़ी परिभाषा का मतलब है कि ज़्यादा डेटा पर कंप्लायंस की ज़रूरतें लागू होती हैं।
लागू होने का दायरा: GDPR EU के निवासियों पर लागू होता है। CCPA कैलिफ़ोर्निया के निवासियों पर। LGPD ब्राज़ील के निवासियों पर। एक ही यूज़र पर कई कानून लागू हो सकते हैं, इस पर निर्भर करते हुए कि वह कहाँ है या आपका बिज़नेस कहाँ चलता है।
जुर्माने: GDPR: रेवेन्यू का 4% तक। CCPA: हर उल्लंघन पर $2,500-$7,500। LGPD: रेवेन्यू का 2% तक। जुर्माने हर जगह कड़े हैं।
अमल: GDPR के पास सक्रिय, कड़े अमल करने वाले (राष्ट्रीय नियामक) हैं। CCPA का अमल बढ़ रहा है (राज्य के अटॉर्नी जनरल, निजी मुकदमे का अधिकार)। LGPD का अमल तेज़ हो रहा है। ज़्यादातर कानूनों का सक्रिय अमल होता है।
विस्तृत तुलना: GDPR, CCPA, LGPD, PIPEDA
कंसेंट
GDPR और LGPD: साफ़ ऑप्ट-इन ज़रूरी। CCPA: डेटा बिक्री के लिए ऑप्ट-आउट (लेकिन CPRA संवेदनशील डेटा के लिए ऑप्ट-इन की ओर जाता है)। PIPEDA: ज़्यादातर मक़सदों के लिए ऑप्ट-इन। सख़्ती में आगे: GDPR और LGPD।
निजी डेटा की परिभाषा
GDPR: कोई भी चीज़ जो किसी व्यक्ति की सीधे या परोक्ष रूप से पहचान करे। CCPA: ज़्यादा बड़ी, इसमें अनुमान और पूर्वानुमान भी आते हैं। LGPD और PIPEDA: GDPR जैसे। आगे: CCPA सबसे बड़ा है।
यूज़र के अधिकार
सभी माँगते हैं: एक्सेस, डिलीट और पोर्टेबिलिटी। GDPR जोड़ता है: सुधार का अधिकार, प्रोसेसिंग सीमित करने का अधिकार, आपत्ति का अधिकार। CPRA जोड़ता है: सुधारने का अधिकार, इस्तेमाल सीमित करने का अधिकार। PIPEDA कम साफ़ है लेकिन मिलता-जुलता। सभी मज़बूत हैं। GDPR/CPRA सबसे व्यापक हैं।
डेटा मिनिमाइज़ेशन
GDPR, LGPD, PIPEDA: सिर्फ़ ज़रूरी डेटा इकट्ठा करने की साफ़ शर्त। CCPA: कम साफ़। यहाँ सख़्ती में GDPR आगे है।
सुरक्षा और ब्रीच की सूचना
सभी उचित सुरक्षा माँगते हैं। GDPR: नियामकों को 72 घंटे में सूचना दें। CCPA: लोगों को 30 दिन में सूचना दें (नियामक को बताने की शर्त नहीं, लेकिन अटॉर्नी जनरल को सूचना अक्सर ज़रूरी होती है)। LGPD और PIPEDA GDPR जैसे हैं। सूचना की समय सीमा में GDPR सबसे सख़्त है।
अपनी कंप्लायंस ज़िम्मेदारियाँ तय करना
स्टेप 1: अपने विज़िटर्स की जियोग्राफ़ी मैप करें
अपने एनालिटिक्स से पहचानें कि आपका ट्रैफ़िक कहाँ से आता है। अगर विज़िटर EU से हैं, तो GDPR लागू होता है। कैलिफ़ोर्निया से हैं, तो CCPA। ब्राज़ील से हैं, तो LGPD। ज़्यादातर साइट के विज़िटर कई क्षेत्रों से होते हैं, जिससे कई कानून लागू होते हैं।
स्टेप 2: कंपनी के कामकाज की जाँच करें
क्या आपके नियमन वाले क्षेत्रों में ऑफ़िस, कर्मचारी या बिज़नेस पार्टनर हैं? इससे वेबसाइट ट्रैफ़िक के बिना भी कानून लागू हो सकता है (जैसे EU कर्मचारियों वाली कंपनी, जो ग्राहक डेटा प्रोसेस करती है, वेबसाइट ट्रैफ़िक चाहे जो हो, GDPR के दायरे में आ सकती है)।
स्टेप 3: लागू सबसे सख़्त कानून पहचानें
आप पर लागू सभी कानूनों में सबसे सख़्त कौन-सा है? आमतौर पर GDPR। उसी मानक के हिसाब से कंप्लायंस बनाएँ और सब पर लागू करें। यह हर क्षेत्र के लिए अलग कंप्लायंस से सरल है।
स्टेप 4: क्षेत्रीय फ़र्क जोड़ें
कुछ क्षेत्र ख़ास व्यवस्था माँगते हैं (जैसे कुछ एशियाई देशों में डेटा लोकलाइज़ेशन, कैलिफ़ोर्निया में साफ़ CCPA ऑप्ट-आउट बटन)। इन्हें अपने बुनियादी कंप्लायंस तरीके में जोड़ें।
व्यावहारिक तरीका: GDPR को आधार बनाएँ
ज़्यादातर कंपनियों के लिए व्यावहारिक तरीका यह है: मान लें कि GDPR लागू होता है (आमतौर पर होता है, जब तक आप किसी बिना नियमन वाले क्षेत्र में पूरी तरह घरेलू न हों), GDPR मानकों के हिसाब से बनाएँ, फिर क्षेत्रीय ज़रूरतें ऊपर से जोड़ें। GDPR कंप्लायंस लगभग हमेशा ज़्यादातर दूसरे फ़्रेमवर्क से आगे होता है। इससे जटिलता घटती है और आप कभी नियमों से बाहर नहीं होते।
अगर मैं GDPR का पालन करता हूँ, तो क्या मैं CCPA का भी पालन कर रहा हूँ?
ज़्यादातर हाँ। GDPR की सख़्त कंसेंट और डेटा मिनिमाइज़ेशन की शर्तें CCPA की ज़रूरतों से आगे हैं। CCPA की बड़ी डेटा परिभाषा का मतलब है कि आपको दोनों दायरों को देखना होगा। GDPR-कंप्लायंट होने से CCPA की ज़्यादातर ज़िम्मेदारियाँ पूरी हो जाती हैं।
किस प्राइवेसी कानून का पालन करना सबसे महँगा है?
GDPR और LGPD के लिए बड़ा इंफ़्रास्ट्रक्चर चाहिए (डेटा गवर्नेंस, सुरक्षा, यूज़र के अधिकार)। CCPA सरल है। असली खर्च सुधार का है, अगर आप पहले से कंप्लायंट नहीं थे, कंप्लायंस का नहीं।
क्या मैं सभी क्षेत्रों के लिए एक ही प्राइवेसी पॉलिसी इस्तेमाल कर सकता हूँ?
हाँ, अगर वह सारी डेटा प्रैक्टिस बताती है और सभी लागू कानूनों का पालन करती है। कुछ कंपनियाँ एक मुख्य पॉलिसी और क्षेत्रीय अनुपूरक इस्तेमाल करती हैं। जो कुछ भी इकट्ठा करते हैं, उसकी पारदर्शिता सबसे ज़रूरी है।
GDPR और CCPA में सबसे बड़ा फ़र्क क्या है?
कंसेंट मॉडल: GDPR ऑप्ट-इन माँगता है, CCPA ऑप्ट-आउट इस्तेमाल करता था (ऑप्ट-इन की ओर बढ़ रहा है)। इसीलिए GDPR कंप्लायंस आमतौर पर CCPA से आगे होता है। एक फ़र्क, बहुत बड़ा असर।
अगर मैं सिर्फ़ अमेरिकी विज़िटर्स को सेवा देता हूँ, तो कौन-से राज्य कानून लागू होते हैं?
वे सभी राज्य जहाँ से अच्छा ट्रैफ़िक आता है। कैलिफ़ोर्निया (CCPA), वर्जीनिया, कोलोराडो, कनेक्टिकट, यूटा, मोंटाना, डेलावेयर सबमें कानून हैं। ज़्यादातर कंपनियाँ राज्य-दर-राज्य कॉन्फ़िगरेशन से बचने के लिए हर जगह GDPR स्तर का कंप्लायंस अपनाती हैं।
क्या प्राइवेसी कानून और सख़्त हो रहे हैं?
हाँ, दुनिया भर में। CCPA शुरुआती कानूनों से सख़्त है, CPRA CCPA से सख़्त है, और नए अंतरराष्ट्रीय कानून GDPR के सख़्त मॉडल पर चल रहे हैं। ज़रूरतें और कड़ी ही होती जाएँगी।