আজকের আন্তঃসংযুক্ত ডিজিটাল অর্থনীতিতে সংস্থাগুলি একাধিক বিচারব্যবস্থা জুড়ে ব্যক্তিগত তথ্য পরিচালনা করে, যার জন্য বিশ্বব্যাপী তথ্য সুরক্ষা কাঠামো সম্পর্কে স্পষ্ট ধারণা প্রয়োজন। ইউরোপীয় ইউনিয়নের সাধারণ তথ্য সুরক্ষা নিয়ন্ত্রণ (GDPR) এবং ভারতের ডিজিটাল ব্যক্তিগত তথ্য সুরক্ষা আইন (ডিপিডিপি) ২০২৩ হলো দুটি মূল প্রবিধান যা রূপদান করে data privacy প্রেক্ষাপট। এই নির্দেশিকাটি এই প্রবিধানগুলির একটি তুলনামূলক বিশ্লেষণ প্রদান করে, এবং উভয় অঞ্চলে কর্মরত ব্যবসাগুলির জন্য মূল পার্থক্যগুলি তুলে ধরে।
জিডিপিআর বোঝা: ব্যবসার জন্য মূল বিবেচ্য বিষয়গুলি
২০১৮ সালের মে মাসে কার্যকর করা জিডিপিআর হল একটি বিস্তৃত ডেটা সুরক্ষা আইন যা ইইউ বাসিন্দাদের ব্যক্তিগত তথ্য প্রক্রিয়াকরণকারী যেকোনো সংস্থার ক্ষেত্রে প্রযোজ্য, অবস্থান নির্বিশেষে।
- আঞ্চলিক পরিধি: GDPR ইইউতে অবস্থিত প্রতিষ্ঠানের ক্ষেত্রে প্রযোজ্য অথবা যেসব প্রতিষ্ঠান ইইউর বাসিন্দাদের পণ্য বা পরিষেবা প্রদান করে অথবা তাদের আচরণ পর্যবেক্ষণ করে, যার ফলে অনেক বিশ্বব্যাপী প্রতিষ্ঠানকে তা মেনে চলতে হয়।
- ব্যক্তিগত তথ্যের সংজ্ঞা: জিডিপিআর ব্যক্তিগত তথ্যকে একজন শনাক্তযোগ্য ব্যক্তির সাথে সম্পর্কিত যেকোনো তথ্য হিসেবে সংজ্ঞায়িত করে। এটি সংবেদনশীল ব্যক্তিগত তথ্যকে আরও শ্রেণীবদ্ধ করে এবং কঠোর প্রক্রিয়াকরণের প্রয়োজনীয়তা আরোপ করে।
- প্রক্রিয়াকরণের নীতি: তথ্য প্রক্রিয়াকরণ কার্যক্রমে আইনসম্মততা, ন্যায্যতা, স্বচ্ছতা, উদ্দেশ্য সীমাবদ্ধতা, তথ্য ন্যূনতমকরণ, নির্ভুলতা, সংরক্ষণের সীমাবদ্ধতা, অখণ্ডতা, গোপনীয়তা এবং জবাবদিহিতা মেনে চলা প্রয়োজন।
- প্রক্রিয়াকরণের জন্য বৈধ ভিত্তি: ব্যবসা প্রতিষ্ঠানগুলিকে প্রক্রিয়াকরণের জন্য একটি বৈধ ভিত্তি স্থাপন করতে হবে, যেমন সম্মতি, চুক্তি, আইনি বাধ্যবাধকতা, গুরুত্বপূর্ণ স্বার্থ, জনসাধারণের কাজ, অথবা বৈধ স্বার্থ।
- ডেটা বিষয়ের অধিকার: জিডিপিআর ব্যক্তিদের অধিকার প্রদান করে, যার মধ্যে রয়েছে অ্যাক্সেস, সংশোধন, মুছে ফেলা, সীমাবদ্ধতা, ডেটা বহনযোগ্যতা এবং প্রক্রিয়াকরণের আপত্তি, এই অনুরোধগুলি মোকাবেলা করার জন্য নিবেদিতপ্রাণ প্রক্রিয়ার প্রয়োজন।
- কন্ট্রোলার এবং প্রসেসরের বাধ্যবাধকতা: জিডিপিআর ডেটা কন্ট্রোলার এবং প্রসেসরদের উপর সরাসরি দায়িত্ব আরোপ করে, তাদের নিরাপত্তা ব্যবস্থা বাস্তবায়ন, প্রক্রিয়াকরণ রেকর্ড বজায় রাখা এবং লঙ্ঘন বিজ্ঞপ্তি প্রোটোকল মেনে চলার বাধ্যবাধকতা দেয়।
DPDP আইন ২০২৩ বোঝা: ভারতে ব্যবসার জন্য এর প্রভাব
২০২৩ সালের আগস্ট মাসে প্রণীত ডিপিডিপি আইন ২০২৩ , ভারতে ডিজিটাল ব্যক্তিগত তথ্য প্রক্রিয়াকরণের জন্য একটি আইনি কাঠামো প্রতিষ্ঠা করে।
- আঞ্চলিক পরিধি: এই আইনটি ভারতে ডিজিটাল ব্যক্তিগত তথ্য প্রক্রিয়াকরণ এবং ভারতের বাইরে প্রক্রিয়াকরণের ক্ষেত্রে প্রযোজ্য, যদি এতে ভারতীয় তথ্য প্রধানদের পণ্য বা পরিষেবা প্রদানের বিষয়টি জড়িত থাকে।
- ব্যক্তিগত তথ্যের সংজ্ঞা: ব্যক্তিগত তথ্য বলতে এমন যেকোনো তথ্যকে বোঝায় যা একজন ব্যক্তিকে শনাক্ত করে, বিশেষ করে ডিজিটাল আকারে। GDPR-এর বিপরীতে, আইনটি সাধারণ এবং সংবেদনশীল ব্যক্তিগত তথ্যের মধ্যে পার্থক্য করে না (যদিও ভবিষ্যতে শ্রেণীবিভাগ দেখা দিতে পারে)।
- ডেটা প্রক্রিয়াকরণের নীতিমালা: এই আইনটি আইনসম্মত ও স্বচ্ছ প্রক্রিয়াকরণ, উদ্দেশ্য সীমাবদ্ধতা, তথ্য ন্যূনতমকরণ, নির্ভুলতা, সংরক্ষণের সীমাবদ্ধতা, নিরাপত্তা সুরক্ষা এবং জবাবদিহিতা নিশ্চিত করার বাধ্যবাধকতা প্রদান করে।
- প্রক্রিয়াকরণের জন্য বৈধ ভিত্তি: প্রক্রিয়াকরণের প্রাথমিক ভিত্তি হল স্পষ্ট, অবহিত, নিঃশর্ত এবং দ্ব্যর্থহীন সম্মতি, কিছু বৈধ ব্যতিক্রম ছাড়া।
- ডেটা প্রিন্সিপালদের অধিকার: ব্যক্তিরা তাদের তথ্য অ্যাক্সেস করতে, সংশোধন করতে এবং মুছে ফেলতে, অভিযোগ প্রতিকার চাইতে এবং অক্ষম হয়ে পড়লে তাদের অধিকার প্রয়োগের জন্য অন্য ব্যক্তিকে মনোনীত করতে পারেন।
- ডেটা ফিডিউশিয়ারি এবং প্রসেসরের বাধ্যবাধকতা: এই আইনটি ডেটা ফিডুশিয়ারিদের (জিডিপিআর নিয়ন্ত্রকদের সমতুল্য) উপর সরাসরি দায়িত্ব আরোপ করে সম্মতি গ্রহণ, ডেটার নির্ভুলতা নিশ্চিত করা, সুরক্ষা ব্যবস্থা বাস্তবায়ন করা এবং লঙ্ঘনের প্রতিবেদন করা। ডেটা প্রসেসরগুলি (জিডিপিআর প্রসেসরের মতো) ডেটা ফিডুশিয়ারিদের দ্বারা নির্ধারিত চুক্তিভিত্তিক বাধ্যবাধকতার অধীনে কাজ করে।
জিডিপিআর বনাম ডিপিডিপি: ব্যবসার জন্য মূল পার্থক্য
| বৈশিষ্ট্য | GDPR | ডিপিডিপি আইন ২০২৩ | ব্যবসায়িক প্রভাব |
| ডেটা স্কোপ | একটি ফাইলিং সিস্টেমের মধ্যে ডিজিটাল এবং নন-ডিজিটাল উভয় ধরণের ব্যক্তিগত তথ্যই অন্তর্ভুক্ত করে। | প্রাথমিকভাবে ডিজিটাল ব্যক্তিগত তথ্যের ক্ষেত্রে প্রযোজ্য। | ব্যবসা প্রতিষ্ঠানগুলিকে তাদের ডেটা ইনভেন্টরি এবং প্রক্রিয়াকরণ কার্যক্রম মূল্যায়ন করতে হবে, বিশেষ করে ভারতে পরিচালিত নন-ডিজিটাল ডেটার ক্ষেত্রে। |
| সংবেদনশীল তথ্য | সংবেদনশীল ব্যক্তিগত তথ্য প্রক্রিয়াকরণের জন্য স্পষ্টভাবে সংজ্ঞায়িত করে এবং কঠোর নিয়ম প্রদান করে। | বর্তমানে সমস্ত ডিজিটাল ব্যক্তিগত তথ্যের জন্য একটি অভিন্ন মান প্রয়োগ করে। | DPDP-এর অধীনে সংবেদনশীল তথ্যের সম্ভাব্য ভবিষ্যতের শ্রেণীবিভাগ সম্পর্কে সংস্থাগুলিকে সচেতন থাকা উচিত। |
| বৈধ ভিত্তি | প্রক্রিয়াকরণের জন্য একাধিক বৈধ ভিত্তি প্রদান করে, যার মধ্যে বৈধ স্বার্থ এবং চুক্তিগত প্রয়োজনীয়তা অন্তর্ভুক্ত। | মূলত সম্মতি-ভিত্তিক, বৈধ ব্যবহারের জন্য সীমিত ব্যতিক্রম ছাড়া। | ভারতে ডেটা প্রক্রিয়াকরণের জন্য ব্যবসাগুলিকে স্পষ্ট সম্মতি গ্রহণকে অগ্রাধিকার দিতে হবে এবং বৈধ ব্যবহারের ব্যতিক্রমগুলির সুযোগ সাবধানতার সাথে মূল্যায়ন করতে হবে। |
| ব্যক্তিগত অধিকার | ডেটা পোর্টেবিলিটি এবং প্রোফাইলিংয়ের বিরুদ্ধে আপত্তি জানানোর অধিকার সহ বিস্তৃত অধিকার প্রদান করে। | অ্যাক্সেস, সংশোধন এবং মুছে ফেলার মতো মূল অধিকারের উপর দৃষ্টি নিবদ্ধ করে। | সম্মতি কর্মসূচিগুলিতে DPDP আইনের অধীনে প্রদত্ত নির্দিষ্ট অধিকারগুলির সমাধান করা উচিত। |
| তথ্য স্থানান্তর | আন্তর্জাতিক তথ্য স্থানান্তরের জন্য কঠোর ব্যবস্থা, যার জন্য পর্যাপ্ত সিদ্ধান্ত বা সুরক্ষা ব্যবস্থা প্রয়োজন। | ভারত সরকার কর্তৃক বিশেষভাবে সীমাবদ্ধ দেশগুলি ছাড়া সীমান্ত অতিক্রমকারী স্থানান্তরের অনুমতি দেয়। | ভারত থেকে ডেটা স্থানান্তরের জন্য সীমাবদ্ধ দেশগুলির তালিকা ব্যবসাগুলিকে পর্যবেক্ষণ করতে হবে। |
| লঙ্ঘন বিজ্ঞপ্তি | যদি লঙ্ঘনের ফলে ব্যক্তিদের জন্য উচ্চ ঝুঁকি তৈরি হওয়ার সম্ভাবনা থাকে, তাহলে তত্ত্বাবধায়ক কর্তৃপক্ষকে অবহিত করতে হবে। | সমস্ত লঙ্ঘনের জন্য ডেটা সুরক্ষা বোর্ড এবং প্রভাবিত ডেটা প্রিন্সিপাল উভয়কেই বিজ্ঞপ্তি জারি করার নির্দেশ দেয়। | সংস্থাগুলিকে অবশ্যই DPDP-এর বৃহত্তর বিজ্ঞপ্তির প্রয়োজনীয়তার সাথে সামঞ্জস্যপূর্ণভাবে ব্যাপক ডেটা লঙ্ঘন প্রতিক্রিয়া পরিকল্পনা স্থাপন করতে হবে। |
| প্রয়োগ | প্রতিটি ইইউ সদস্য রাষ্ট্রের ডেটা সুরক্ষা কর্তৃপক্ষ দ্বারা প্রয়োগ করা হয়েছে। | ভারতের কেন্দ্রীয় তথ্য সুরক্ষা বোর্ড কর্তৃক বলবৎ। | ব্যবসাগুলিকে DPDP আইনের অধীনে কেন্দ্রীভূত প্রয়োগ ব্যবস্থা সম্পর্কে সচেতন থাকতে হবে। |
| তথ্য সুরক্ষা কর্মকর্তা (ডিপিও) | প্রক্রিয়াকরণ কার্যক্রমের উপর ভিত্তি করে নির্দিষ্ট কিছু প্রতিষ্ঠানের জন্য বাধ্যতামূলক। | উল্লেখযোগ্য তথ্য বিশ্বস্তদের জন্য বাধ্যতামূলক, নির্দিষ্ট মানদণ্ড সহ। | DPDP-এর অধীনে উল্লেখযোগ্য ডেটা ফিডুশিয়ারির মানদণ্ড পূরণকারী সংস্থাগুলিকে একজন DPO নিয়োগ করতে হবে। |
| ডেটা প্রসেসরের বাধ্যবাধকতা | ডেটা প্রসেসরের উপর সরাসরি বাধ্যবাধকতা আরোপ করে। | বাধ্যবাধকতাগুলি মূলত ডেটা ফিডুসিয়ারি এবং ডেটা প্রসেসরের মধ্যে চুক্তিবদ্ধ। | ভারতের ডেটা ফিডুশিয়ারিরা তাদের ডেটা প্রসেসরের সম্মতি নিশ্চিত করার জন্য আরও বেশি দায়িত্ব বহন করে। |
বিশ্বব্যাপী সম্মতি নেভিগেট করা: ব্যবসার জন্য একটি কৌশলগত পদ্ধতি
জিডিপিআর এবং ডিপিডিপি-র আওতাভুক্ত সংস্থাগুলিকে অবশ্যই একটি সুসংগত কিন্তু অঞ্চল-নির্দিষ্ট সম্মতি কৌশল বাস্তবায়ন করতে হবে। মূল ফোকাস ক্ষেত্রগুলির মধ্যে রয়েছে:
- ডেটা ম্যাপিং এবং ইনভেন্টরি: প্রযোজ্য নিয়ন্ত্রক প্রয়োজনীয়তা নির্ধারণের জন্য বিচারব্যবস্থা জুড়ে ব্যক্তিগত তথ্য প্রবাহ সনাক্ত এবং শ্রেণীবদ্ধ করুন।
- সম্মতি ব্যবস্থাপনা: GDPR-এর "স্বাধীনভাবে প্রদত্ত, সুনির্দিষ্ট, অবহিত এবং দ্ব্যর্থহীন" সম্মতি মান এবং DPDP-এর আরও কঠোর "মুক্ত, সুনির্দিষ্ট, অবহিত, নিঃশর্ত এবং দ্ব্যর্থহীন" প্রয়োজনীয়তার সাথে সামঞ্জস্যপূর্ণ প্রক্রিয়া বাস্তবায়ন করুন। সহজে প্রত্যাহারের বিকল্পগুলি নিশ্চিত করুন।
- ডেটা নিরাপত্তা ব্যবস্থা: উভয় প্রবিধানের নিরাপত্তা আদেশ পূরণ করে ডেটা প্রক্রিয়াকরণ ঝুঁকির সাথে সামঞ্জস্যপূর্ণ প্রযুক্তিগত এবং সাংগঠনিক সুরক্ষা ব্যবস্থা স্থাপন করুন।
- ডেটা লঙ্ঘন প্রতিক্রিয়া পরিকল্পনা: জিডিপিআর পূরণ করে এমন ঘটনার প্রতিক্রিয়া প্রোটোকল স্থাপন করুন এবং ডিপিডিপি বিজ্ঞপ্তির প্রয়োজনীয়তা, বিশেষ করে DPDP-এর বিস্তৃত পরিধি।
- ডেটা বিষয়/প্রিন্সিপাল রাইটস ম্যানেজমেন্ট: উভয় প্রবিধানের অধীনে ডেটা অ্যাক্সেস, সংশোধন এবং মুছে ফেলার অনুরোধগুলি পরিচালনা করার জন্য কর্মপ্রবাহ তৈরি করুন, প্রতিক্রিয়ার সময়সীমার সাথে সম্মতি নিশ্চিত করুন।
- সীমান্তবর্তী ডেটা স্থানান্তর প্রক্রিয়া: আন্তর্জাতিক ডেটা স্থানান্তরের জন্য সুরক্ষা ব্যবস্থা বাস্তবায়ন করুন, যা GDPR-এর স্ট্যান্ডার্ড চুক্তিগত ধারা এবং DPDP-এর এখনও সংজ্ঞায়িত না হওয়া এখতিয়ার বিধিগুলির সাথে সামঞ্জস্যপূর্ণ।
- ডিপিও/যোগাযোগ ব্যক্তির নিয়োগ: GDPR-এর অধীনে একজন ডেটা প্রোটেকশন অফিসার (DPO) প্রয়োজন কিনা, নাকি প্রতিষ্ঠানটি DPDP-এর অধীনে একজন গুরুত্বপূর্ণ ডেটা ফিডুশিয়ারি হিসেবে যোগ্যতা অর্জন করে, যার জন্য একজন DPO বা মনোনীত যোগাযোগকারী ব্যক্তির প্রয়োজন হয় তা মূল্যায়ন করুন।
- কর্মচারী প্রশিক্ষণ: প্রশিক্ষণ কর্মসূচি পরিচালনা করুন data privacy দলের নিয়ম-কানুন সম্পর্কে সচেতনতা বজায় রাখার জন্য আইন ও সর্বোত্তম অনুশীলন।
- নিয়মিত অডিট: বিকশিত নিয়ন্ত্রক নির্দেশিকাগুলির সাথে খাপ খাইয়ে নিয়ে ডেটা সুরক্ষা ব্যবস্থা মূল্যায়নের জন্য পর্যায়ক্রমিক নিরীক্ষা সম্পাদন করুন।
উপসংহার: একটি বিশ্বব্যাপী গোপনীয়তা-কেন্দ্রিক পদ্ধতির দিকে
যদিও GDPR এবং DPDP আইন 2023 ডেটা সুরক্ষা বৃদ্ধির একটি সাধারণ লক্ষ্য ভাগ করে নেয়, তবে পরিধি, সম্মতির প্রয়োজনীয়তা এবং প্রয়োগের পদ্ধতিতে তাদের পার্থক্য রয়েছে। একাধিক বিচারব্যবস্থা জুড়ে পরিচালিত ব্যবসাগুলিকে একটি ব্যাপক, অভিযোজিত সম্মতি কৌশল গ্রহণ করতে হবে যা উভয় নিয়মের সাথে সামঞ্জস্যপূর্ণ।
ডেটা গভর্নেন্স জোরদার করে, শক্তিশালী নিরাপত্তা নিয়ন্ত্রণ বাস্তবায়ন করে এবং গোপনীয়তা-প্রথম সংস্কৃতি গড়ে তোলার মাধ্যমে, সংস্থাগুলি বিশ্বব্যাপী ডেটা সুরক্ষা চ্যালেঞ্জগুলি কার্যকরভাবে মোকাবেলা করতে পারে এবং স্টেকহোল্ডারদের সাথে আস্থা তৈরি করতে পারে।
Seqrite অফার সাইবার নিরাপত্তা এবং তথ্য সুরক্ষা সমাধান ব্যবসাগুলিকে ক্রমবর্ধমান বিশ্বব্যাপী গোপনীয়তা বিধিমালা অর্জন এবং বজায় রাখতে সহায়তা করার জন্য।
