ডিপিডিপি আইন ২০২৫ কী? মূল নিয়মাবলী, পরিপালন আবশ্যকতা এবং ব্যবসায়িক প্রভাব।
আপনি যদি ইদানীং “ডিপিডিপি অ্যাক্ট ২০২৫” শব্দটি অনেক বেশি শুনে থাকেন এবং নিজেকে কিছুটা বিচ্ছিন্ন মনে করেন, তবে আপনি একা নন। ভারতের প্রায় প্রতিটি ব্যবসার মালিক, আইটি প্রধান এবং কমপ্লায়েন্স ম্যানেজার এই মুহূর্তে একই ধরনের প্রশ্ন করছেন: আমাকে কি এই বিষয়ে কিছু করতে হবে, এবং যদি করতে হয়, তাহলে কী?
বিস্তারিত আলোচনায় যাওয়ার আগে সংক্ষেপে বলি: হ্যাঁ, আপনার সম্ভবত পদক্ষেপ নেওয়া দরকার, এবং সময়ও ফুরিয়ে আসছে।
আসুন জেনে নিই ডিপিডিপি আইনটি আসলে কী, এর অস্তিত্বের কারণ কী, এটি কাদের উপর প্রযোজ্য, এবং সবচেয়ে গুরুত্বপূর্ণভাবে, এর নিয়ম মেনে চলার জন্য আপনার ব্যবসাকে কী করতে হবে।
ডিপিডিপি আইন ২০২৫ কী?
প্রথমেই, একটি ছোট কিন্তু গুরুত্বপূর্ণ বিষয় স্পষ্ট করা যাক। ভারত ২০২৫ সালে কোনো একেবারে নতুন আইন পাস করেনি। ডিজিটাল ব্যক্তিগত তথ্য সুরক্ষা আইনটি আসলে ২০২৩ সালেই প্রণীত হয়েছিল। ২০২৫ সালে যা ঘটেছে তা হলো, ইলেকট্রনিক্স ও তথ্য প্রযুক্তি মন্ত্রণালয় (MeitY) অবশেষে ডিজিটাল ব্যক্তিগত তথ্য সুরক্ষা বিধিমালা, ২০২৫ বিজ্ঞপ্তি আকারে প্রকাশ করেছে — এটি একটি বিস্তারিত, কার্যকরী নির্দেশিকা যা সংস্থাগুলোকে ২০২৩ সালের আইনটি ঠিক কীভাবে মেনে চলতে হবে তা স্পষ্টভাবে বলে দেয়।
সুতরাং যখন লোকেরা “ডিপিডিপি আইন ২০২৫” বলে, তখন তারা আসলে ডিপিডিপি আইন, ২০২৩-কেই বোঝায়, কারণ ২০২৫ সালের নভেম্বরের মাঝামাঝি সময়ে বিজ্ঞাপিত ডিপিডিপি বিধিমালা, ২০২৫-এর মাধ্যমে এটি এখন কার্যকর হয়েছে।
সহজ কথায়, ডিপিডিপি আইন হলো ভারতের প্রথম পূর্ণাঙ্গ আইন। data privacy এই আইনটি ভারতে সংস্থাগুলি কীভাবে ব্যক্তিদের ব্যক্তিগত তথ্য সংগ্রহ, সংরক্ষণ, প্রক্রিয়াকরণ, ভাগ এবং মুছে ফেলে তা নিয়ন্ত্রণ করে; এর মধ্যে আপনার নাম এবং ফোন নম্বর থেকে শুরু করে আপনার অবস্থানের ডেটা, স্বাস্থ্য রেকর্ড এবং ব্রাউজিং আচরণ পর্যন্ত সবকিছু অন্তর্ভুক্ত।
আইনটি কয়েকটি সহজ ধারণার ওপর ভিত্তি করে গঠিত:
- লোকেরা (যাদের বলা হয়) ডেটা প্রিন্সিপালতাদের কোন তথ্য সংগ্রহ করা হচ্ছে এবং কেন, তা জানার অধিকার তাদের রয়েছে।
- সংগঠন (যাদের বলা হয়) ডেটা বিশ্বস্তশুধুমাত্র সুস্পষ্ট ও অবহিত সম্মতির ভিত্তিতে এবং যে উদ্দেশ্যে সেই ডেটা সংগ্রহ করা হয়েছিল, কেবল সেই উদ্দেশ্যেই তা ব্যবহার করতে পারবে।
- ডেটা অবশ্যই সুরক্ষিত রাখতে হবে, কেবল প্রয়োজনমতোই সংরক্ষণ করতে হবে এবং উদ্দেশ্য পূরণ হয়ে গেলে মুছে ফেলতে হবে।
- যদি কোনো ভুল হয়, যেমন—লঙ্ঘন, ছিদ্র বা অপব্যবহার, তবে তা জানানোর জন্য কঠোর সময়সীমা থাকে এবং ভুল করলে তার প্রকৃত আর্থিক পরিণতি ভোগ করতে হয়।
নিয়মাবলীর বিজ্ঞপ্তি জারির পর থেকে সম্পূর্ণরূপে অনুবর্তী হওয়ার জন্য সংস্থাগুলো ১৮ মাস সময় পাবে, যার চূড়ান্ত সময়সীমা হলো ১৩ই মে, ২০২৭। ডেটা প্রোটেকশন বোর্ড অফ ইন্ডিয়া গঠনের মতো কিছু বিধান ইতিমধ্যেই কার্যকর হয়েছে। বাকিগুলো পর্যায়ক্রমে চালু করা হচ্ছে, কিন্তু বেশিরভাগ কমপ্লায়েন্স টিমের প্রত্যাশার চেয়ে ১৮ মাস সময় দ্রুত কেটে যায়, বিশেষ করে যদি আপনার ডেটা পরিকাঠামো এখনও পরিপক্ক না হয়ে থাকে।
ডিপিডিপি আইনটি কেন প্রবর্তন করা হয়েছিল?
বহু বছর ধরে, ব্যক্তিগত তথ্য সুরক্ষার মতো সংবেদনশীল বিষয় মোকাবেলার জন্য ভারত মূলত ২০০০ সালের তথ্যপ্রযুক্তি আইন এবং এর সংশ্লিষ্ট নিয়মাবলীর মতো একটি বেশ দুর্বল আইনি কাঠামোর উপর নির্ভর করে এসেছে। সেই কাঠামোটি আজকের ইন্টারনেটের চেয়ে সম্পূর্ণ ভিন্ন এক ইন্টারনেটের জন্য তৈরি করা হয়েছিল; এমন এক ইন্টারনেট যেখানে প্রত্যেকের পকেটে স্মার্টফোন নেই, প্রতি সেকেন্ডে ইউপিআই লেনদেন হয় না, বা বিশাল ডেটাসেটের উপর প্রশিক্ষিত এআই মডেলও নেই।
কয়েকটি বিষয় ভারতকে একটি বিশেষায়িত তথ্য সুরক্ষা আইনের দিকে চালিত করেছে:
- পুট্টাস্বামী রায় (২০১৭): ভারতের সর্বোচ্চ আদালত সংবিধানের ২১ নং অনুচ্ছেদের অধীনে গোপনীয়তাকে একটি মৌলিক অধিকার হিসেবে ঘোষণা করেছে। সেই রায়টি ডিজিটাল জগতে এই অধিকারকে প্রকৃতপক্ষে সুরক্ষিত করার জন্য একটি আইনি কাঠামো তৈরি করতে সরকারকে কমবেশি বাধ্য করেছে।
- ডিজিটাল পরিষেবা খাতে ব্যাপক প্রবৃদ্ধি: ফিনটেক অ্যাপ থেকে শুরু করে ই-কমার্স প্ল্যাটফর্ম ও হেলথ টেক পর্যন্ত, ভারতীয় ব্যবসা প্রতিষ্ঠানগুলো এখন নিয়মিতভাবে বিপুল পরিমাণে ব্যক্তিগত তথ্য সংগ্রহ ও প্রক্রিয়াজাত করে, কিন্তু পরবর্তীতে সেই তথ্যের কী হয়, সে বিষয়ে প্রায়শই স্বচ্ছতার অভাব থাকে।
- ক্রমবর্ধমান তথ্য লঙ্ঘন এবং অপব্যবহার: বহুল আলোচিত তথ্য ফাঁস এবং সাইবার আক্রমণের ক্রমবর্ধমান অত্যাধুনিক কৌশল এটা স্পষ্ট করে দিয়েছে যে, নাগরিকদের তথ্য সুরক্ষার জন্য “আমরা সতর্ক থাকব” কোনো বাস্তব কৌশল নয়।
- বৈশ্বিক মানদণ্ডের সাথে সামঞ্জস্য: ইউরোপীয় ইউনিয়নের জিডিপিআর-এর মতো বিধিমালা তথ্য অধিকার বিষয়ে বিশ্বের চিন্তাভাবনাকে নতুন রূপ দিয়েছে। ভারতেরও এর নিজস্ব একটি সংস্করণ প্রয়োজন ছিল, যা তার বিশাল আকার এবং ডিজিটাল অর্থনীতির উপযোগী হবে — যাতে ভারতীয় ব্যবসাগুলোও বিশ্ব বাজারে আত্মবিশ্বাসের সাথে কাজ করতে পারে।
এর ফলস্বরূপ এমন একটি আইন প্রণীত হয়েছে, যা সংস্থাগুলোকে শিথিলভাবে পরিচালিত তথ্য সংগ্রহ পদ্ধতি থেকে সরিয়ে ব্যক্তিগত তথ্য ব্যবস্থাপনার ক্ষেত্রে সম্মতি-ভিত্তিক ও জবাবদিহিতা-চালিত পদ্ধতির দিকে নিয়ে যাবে।
কাদেরকে ডিপিডিপি আইন মেনে চলতে হবে?
এখানেই অনেক ব্যবসা প্রতিষ্ঠান অপ্রস্তুত অবস্থায় ধরা পড়ে: ডিপিডিপি আইনটির আওতা পরিধি অত্যন্ত ব্যাপক।
আপনাকে মেনে চলতে হবে যদি আপনি হন:
- ভারতে ব্যক্তিদের ডিজিটাল ব্যক্তিগত তথ্য প্রক্রিয়াকারী যেকোনো সংস্থা: আপনার আকার, খাত বা রাজস্ব নির্বিশেষে।
- একজন বিদেশী কোম্পানি: এমন যেকোনো কোম্পানি যা ভারতে মানুষকে পণ্য বা পরিষেবা প্রদানের উদ্দেশ্যে ব্যক্তিগত তথ্য প্রক্রিয়াকরণ করে, এমনকি যদি এখানে আপনার কোনো ভৌত কার্যালয় নাও থাকে।
- একটি স্টার্ট-আপ, একটি এসএমই, বা একটি বৃহৎ উদ্যোগ: এই আইনের অধীনে মূল বাধ্যবাধকতাগুলোর ক্ষেত্রে ক্ষুদ্র ব্যবসার জন্য কোনো ছাড় নেই।
- একজন “সম্মতি ব্যবস্থাপক”: এক নতুন ধরনের সত্তা যা ব্যক্তিদের বিভিন্ন প্ল্যাটফর্মে তাদের সম্মতি পরিচালনা ও প্রত্যাহার করতে সাহায্য করে।
একটি স্তর রয়েছে যেখানে আরও কঠোর দায়িত্ব পালন করতে হয়: সিগনিফিক্যান্ট ডেটা ফিডুশিয়ারি (এসডিএফ) । এগুলি হলো সরকার কর্তৃক মনোনীত সংস্থা, যা তাদের দ্বারা পরিচালিত ব্যক্তিগত তথ্যের পরিমাণ ও সংবেদনশীলতা এবং ব্যক্তির অধিকারের প্রতি সম্ভাব্য ঝুঁকির মতো বিষয়গুলির উপর ভিত্তি করে নির্ধারিত হয়। যদি আপনাকে এসডিএফ হিসাবে শ্রেণীবদ্ধ করা হয়, তবে বাধ্যতামূলক ডেটা প্রোটেকশন ইমপ্যাক্ট অ্যাসেসমেন্ট (ডিপিআইএ), স্বাধীন নিরীক্ষা এবং একজন নিবেদিত ডেটা প্রোটেকশন অফিসার (ডিপিও) নিয়োগের মতো অতিরিক্ত প্রয়োজনীয়তাগুলি আশা করতে পারেন।
মূল কথা হলো: যদি আপনার ব্যবসা অনলাইনে কোনো গ্রাহকের নাম, ইমেল, ফোন নম্বর, পেমেন্টের বিবরণ, অবস্থান বা অন্য কোনো ব্যক্তিগত তথ্য সংগ্রহ করে, তাহলে এই আইনটি প্রায় নিশ্চিতভাবেই আপনার ক্ষেত্রে প্রযোজ্য হবে।
ব্যবসার জন্য মূল সম্মতি আবশ্যকতা
এটাই সেই অংশ যা আপনার দৈনন্দিন কার্যক্রমের জন্য প্রকৃতপক্ষে গুরুত্বপূর্ণ। ডিপিডিপি রুলস ২০২৫ ডেটা ফিডুশিয়ারিদের কাছ থেকে যা প্রত্যাশা করে, তা নিচে দেওয়া হলো:
১. সুস্পষ্ট, বিষয়ভিত্তিক সম্মতি বিজ্ঞপ্তি
অস্পষ্ট, ৪০ পৃষ্ঠার গোপনীয়তা নীতির দিন শেষ, যা কেউ পড়ে না। সম্মতি অবশ্যই স্বাধীন, সুনির্দিষ্ট, অবহিত, শর্তহীন এবং একটি সুস্পষ্ট ইতিবাচক পদক্ষেপের উপর ভিত্তি করে হতে হবে — একটি প্রকৃত অপ্ট-ইন-এর কথা ভাবুন, আগে থেকে টিক দেওয়া চেকবক্স নয়। বিজ্ঞপ্তিতে সহজ ভাষায়, যা একজন সাধারণ ব্যবহারকারী বুঝতে পারে, ঠিক কী ডেটা সংগ্রহ করা হচ্ছে এবং কেন, তা বিস্তারিতভাবে উল্লেখ করতে হবে।
২. উদ্দেশ্য সীমাবদ্ধতা এবং ডেটা হ্রাসকরণ
আপনি শুধুমাত্র একটি নির্দিষ্ট ও আইনসম্মত উদ্দেশ্যে তথ্য সংগ্রহ করতে পারেন এবং নতুন করে সম্মতি ছাড়া পরবর্তীতে গোপনে অন্য কোনো উদ্দেশ্যে তা ব্যবহার করতে পারবেন না।
৩. সংরক্ষণ এবং মুছে ফেলার নির্ধারিত সময়সীমা
ব্যক্তিগত তথ্য আপনার সিস্টেমে অনির্দিষ্টকালের জন্য পড়ে থাকতে পারে না। এর উদ্দেশ্য পূরণ হয়ে গেলে, সম্মতি প্রত্যাহার করা হলে, লেনদেন সম্পন্ন হলে, বা ব্যবহারকারী একটি নির্দিষ্ট সময়ের জন্য নিষ্ক্রিয় হয়ে গেলে, এটি মুছে ফেলা প্রয়োজন। এই নিয়মাবলীতে এমনকি নির্দিষ্ট কিছু খাতের জন্য, যেমন বিশাল সংখ্যক ব্যবহারকারীযুক্ত ই-কমার্স প্ল্যাটফর্মগুলোর জন্য, একটি নির্দিষ্ট সংরক্ষণকাল নির্ধারণ করে দেওয়া হয়েছে। সাধারণত, তথ্য মুছে ফেলার আগে সংশ্লিষ্ট ব্যক্তিকে অবহিত করা প্রয়োজন।
৪. ৭২ ঘন্টার মধ্যে ডেটা লঙ্ঘনের বিজ্ঞপ্তি
এটি একটি গুরুত্বপূর্ণ বিষয়। যদি কোনো তথ্য ফাঁসের ঘটনা ঘটে, তবে ডেটা প্রোটেকশন বোর্ডকে জানানোর ৭২ ঘণ্টার মধ্যে ক্ষতিগ্রস্ত ব্যক্তিদের অবশ্যই অবহিত করতে হবে। এই বিজ্ঞপ্তিতে অবশ্যই উল্লেখ করতে হবে কী ঘটেছে, কোন তথ্য ফাঁস হয়েছে, মানুষ কী কী সুরক্ষামূলক পদক্ষেপ নিতে পারে এবং কার সাথে যোগাযোগ করতে হবে। এখানে ‘আমরা পরে দেখব’ ধরনের মনোভাব দেখানোর কোনো সুযোগ নেই।
৫. শিশুদের তথ্যের জন্য পিতামাতার যাচাইযোগ্য সম্মতি
১৮ বছরের কম বয়সী শিশুদের ব্যক্তিগত তথ্য প্রক্রিয়াকারী যেকোনো প্ল্যাটফর্মকে কাজ শুরু করার আগে পিতামাতা বা অভিভাবকের যাচাইযোগ্য সম্মতি নিতে হবে। এর পাশাপাশি, ট্র্যাকিং, আচরণগত পর্যবেক্ষণ এবং অপ্রাপ্তবয়স্কদের লক্ষ্য করে দেওয়া বিজ্ঞাপনের ওপর বিধিনিষেধ আরোপ করতে হবে।
৬. যুক্তিসঙ্গত নিরাপত্তা ব্যবস্থা
প্রতিষ্ঠানগুলোর কাছে থাকা তথ্যের সংবেদনশীলতা অনুযায়ী তাদের প্রযুক্তিগত এবং প্রাতিষ্ঠানিক নিরাপত্তা ব্যবস্থা—যেমন এনক্রিপশন, অ্যাক্সেস কন্ট্রোল, মনিটরিং এবং ঘটনা মোকাবেলার প্রস্তুতি—বাস্তবায়ন করা উচিত। সম্ভবত এটাই সবচেয়ে বড় কারণ যে, সাইবার নিরাপত্তা এবং ডেটা সুরক্ষা টুলগুলো এখন আর ঐচ্ছিক বিষয় নয়; এগুলো কমপ্লায়েন্সের জন্য অপরিহার্য।
৭. গুরুত্বপূর্ণ ডেটা ট্রাস্টিদের জন্য বর্ধিত বাধ্যবাধকতা
যদি আপনাকে এসডিএফ (SDF) হিসেবে মনোনীত করা হয়, তাহলে এর সাথে যুক্ত হয় বার্ষিক ডিপিআইএ (DPIA), স্বাধীন নিরীক্ষা, অ্যালগরিদমিক ন্যায্যতা মূল্যায়ন, এবং আনুষ্ঠানিকভাবে নিযুক্ত একজন ডিপিও (DPO) যিনি বোর্ডের কাছে রিপোর্ট করেন।
৮. আন্তঃসীমান্ত তথ্য স্থানান্তর নিয়মাবলী
এই নিয়মগুলি একটি “নেতিবাচক তালিকা” পদ্ধতি অনুসরণ করে, যেখানে সরকার বিশেষভাবে কোনো নির্দিষ্ট দেশে ডেটা স্থানান্তরে নিষেধাজ্ঞা আরোপ না করলে, সাধারণত ভারতের বাইরে ডেটা স্থানান্তর করা যেতে পারে।
৯. নথিপত্র সংরক্ষণ ও পরিচালনা
লগ, তৃতীয় পক্ষের প্রসেসরদের সাথে চুক্তি এবং অভ্যন্তরীণ পরিচালনা সংক্রান্ত নথিপত্র সংরক্ষণ করুন, যা ডেটা সুরক্ষা বোর্ড তলব করলে নিয়ম প্রতিপালনের প্রমাণ দিতে পারে।
অ-সম্মতির জন্য জরিমানা
এই অংশটিই সবার মনোযোগ আকর্ষণ করে এবং সঙ্গত কারণেই। ডিপিডিপি আইন ফৌজদারি দায় আরোপ করে না, তবে এর আর্থিক জরিমানা যথেষ্ট বেশি এবং এই আইনের ৩৩ ধারা অনুযায়ী ভারতের ডেটা সুরক্ষা বোর্ড (ডিপিবিআই) তা আরোপ করে থাকে।
| লঙ্ঘনের ধরণ | সর্বোচ্চ শাস্তি |
|---|---|
| যথাযথ নিরাপত্তা ব্যবস্থা বাস্তবায়নে ব্যর্থতার ফলে ডেটা লঙ্ঘন ঘটেছে। | ₹250 কোটি পর্যন্ত |
| তথ্য ফাঁসের বিষয়ে বোর্ড এবং ক্ষতিগ্রস্ত ব্যক্তিদের অবহিত করতে ব্যর্থতা | ₹200 কোটি পর্যন্ত |
| শিশুদের তথ্য সম্পর্কিত অতিরিক্ত বাধ্যবাধকতা পূরণে ব্যর্থতা | ₹200 কোটি পর্যন্ত |
| গুরুত্বপূর্ণ ডেটা ট্রাস্টির পক্ষ থেকে নিয়ম লঙ্ঘন (যেমন, বাধ্যতামূলক নিরীক্ষায় ব্যর্থ হওয়া) | ₹150 কোটি পর্যন্ত |
| অন্যান্য নির্দিষ্ট বাধ্যবাধকতা লঙ্ঘন | বিভিন্ন, ৫০ কোটি টাকা পর্যন্ত হতে পারে। |
| ব্যক্তি (ডেটা প্রিন্সিপাল) কর্তৃক মিথ্যা বা ভিত্তিহীন অভিযোগ দায়ের। | ₹10,000 পর্যন্ত |
মনে রাখার মতো কয়েকটি গুরুত্বপূর্ণ সূক্ষ্ম বিষয় হলো:
- প্রতিটি লঙ্ঘনের জন্য, প্রতিটি ঘটনার জন্য জরিমানা ধার্য করা হয়।; একটি একক ঘটনা যা একাধিক বিধান লঙ্ঘন করে (যেমন, দুর্বল নিরাপত্তা) এবং বিলম্বিত লঙ্ঘন বিজ্ঞপ্তির কারণে এমন একাধিক জরিমানা আরোপ হতে পারে যা দ্রুত বাড়তে থাকে।
- বোর্ড আত্ম-প্রকাশ, আপনার দ্রুত প্রতিক্রিয়া, তদন্ত চলাকালীন সহযোগিতা এবং আপনার একটি প্রকৃত সম্মতি কর্মসূচি ছিল কিনা, এই ধরনের প্রশমনকারী বিষয়গুলো বিবেচনা করে—সুতরাং সক্রিয় হওয়া প্রকৃতপক্ষে ঝুঁকি কমাতে সাহায্য করে।
- অধিকাংশ লঙ্ঘনের জন্য শুধুমাত্র ডেটা ফিডুশিয়ারিদেরই সরাসরি শাস্তি দেওয়া হয়; তবে, একজন ফিডুশিয়ারি তার ডেটা প্রসেসর বা ভেন্ডরদের দ্বারা সংঘটিত লঙ্ঘনের জন্য দায়ী থাকেন।
- বোর্ডের সিদ্ধান্তের বিরুদ্ধে টেলিকম বিরোধ নিষ্পত্তি ও আপিল ট্রাইব্যুনাল (টিডিএসএটি)-এ আপিল করা যেতে পারে।
সংক্ষেপে, উপেক্ষা করার মূল্য DPDP compliance এর থেকে এগিয়ে থাকার খরচের চেয়ে এটি উল্লেখযোগ্যভাবে বেশি।
ডিপিডিপি আইন ২০২৫ পরিপালনের সর্বোত্তম অনুশীলন
১৮ মাসের সময়সীমা বিবেচনা করে, যেসব ব্যবসা প্রতিষ্ঠান “আমরা জানি আমাদের কিছু একটা করতে হবে” পর্যায় থেকে “আমরা প্রকৃতপক্ষে নিয়ম মেনে চলছি” পর্যায়ে যেতে চায়, তাদের জন্য এখানে একটি বাস্তবসম্মত সূচনা বিন্দু দেওয়া হলো।
প্রথমে আপনার ডেটার বিন্যাস করুন। যা দেখা যায় না, তা রক্ষা করা যায় না। আপনার কাছে কী ব্যক্তিগত ডেটা আছে, তা কোথায় সংরক্ষিত আছে, কার কাছে এর অ্যাক্সেস আছে এবং আপনি কেন তা সংগ্রহ করছেন—এই বিষয়গুলো বোঝার জন্য আপনার সিস্টেম জুড়ে একটি ডেটা অনুসন্ধান ও শ্রেণিবিন্যাস প্রক্রিয়া চালান।
২. আপনার সম্মতি কাঠামো পুনর্গঠন করুন। একসাথে জড়ো করা, অস্পষ্ট সম্মতি ফর্ম ব্যবহার করা থেকে সরে আসুন। সহজে প্রত্যাহারের বিকল্পসহ বিষয়ভিত্তিক ও উদ্দেশ্য-নির্দিষ্ট সম্মতি প্রক্রিয়া বাস্তবায়ন করুন এবং প্রদত্ত বা প্রত্যাহার করা প্রতিটি সম্মতির নিরীক্ষণযোগ্য রেকর্ড রাখুন।
৩. একটি বাস্তবসম্মত নিরাপত্তা লঙ্ঘন প্রতিক্রিয়া পরিকল্পনা তৈরি করুন। ৭২-ঘণ্টার নোটিফিকেশন উইন্ডো থাকায়, কোনো ঘটনা ঘটে যাওয়ার পর পরিস্থিতি বুঝে ওঠার জন্য আপনার হাতে সময় থাকে না। একটি ইনসিডেন্ট রেসপন্স প্লেবুক তৈরি করুন, আগে থেকেই আপনার এস্কেলেশন টিম নির্ধারণ করুন এবং টেবিলটপ অনুশীলন চালান, যাতে আপনার টিম ঠিকভাবে জানতে পারে যে কিছু ভুল হলে (যদি না হয়) কী করতে হবে।
৪. আপনার প্রযুক্তিগত নিরাপত্তা ব্যবস্থা জোরদার করুন। এইখানেই সাইবার নিরাপত্তা সমাধানগুলো সত্যিকার অর্থে নিজেদের উপযোগিতা প্রমাণ করে। Endpoint protectionনেটওয়ার্ক নিরাপত্তা, ডেটা ক্ষতি প্রতিরোধ, এনক্রিপশন এবং নিরবচ্ছিন্ন হুমকি পর্যবেক্ষণ এখন আর শুধু ঐচ্ছিক বিষয় নয়। বরং আইনের অধীনে ‘যৌক্তিক নিরাপত্তা ব্যবস্থা’ প্রদর্শনের জন্য এগুলোই মেরুদণ্ড।
৫. ডেটা সংরক্ষণ ও মুছে ফেলার নীতি নির্ধারণ করুন এবং সেগুলোকে স্বয়ংক্রিয় করুন। বিভিন্ন শ্রেণীর ডেটা কতদিন রাখা হবে তা সংজ্ঞায়িত করুন এবং স্বয়ংক্রিয়ভাবে মুছে ফেলার কর্মপ্রবাহ তৈরি করুন, যাতে ভুলবশত ডেটা তার উদ্দেশ্যের বাইরে থেকে না যায়।
৬. প্রতিটি তৃতীয় পক্ষ এবং বিক্রেতার চুক্তি পর্যালোচনা করুন। যেহেতু আপনার প্রসেসরদের ভুলের জন্য আপনি দায়ী থাকবেন, তাই নিশ্চিত করুন যে বিক্রেতার চুক্তিগুলিতে ডেটা পরিচালনার দায়িত্ব, নিরাপত্তা মান এবং ডেটা লঙ্ঘনের বিজ্ঞপ্তি দেওয়ার বাধ্যবাধকতা স্পষ্টভাবে সংজ্ঞায়িত করা আছে।
৭. সুস্পষ্ট মালিকানা অর্পণ করুন। এমনকি যদি আপনাকে এসডিএফ (SDF) হিসাবে শ্রেণীবদ্ধ করা না হয় (এবং সেই কারণে আপনার কোনো আনুষ্ঠানিক ডিপিও (DPO)-এর প্রয়োজন না-ও হয়), তবুও অভ্যন্তরীণভাবে একজন গোপনীয়তা বিষয়ক যোগাযোগ কর্মকর্তা (privacy point of contact) মনোনীত করুন, যিনি কমপ্লায়েন্সের দায়িত্ব নেবেন, নিয়ন্ত্রক আপডেটগুলো ট্র্যাক করবেন এবং আইনি, আইটি ও নিরাপত্তা দলগুলোর মধ্যে সমন্বয় সাধন করবেন।
৮. এখনই শুরু করুন, পরে নয়। ১৮ মাসকে অনেক লম্বা সময় বলে মনে হতে পারে, কিন্তু যখন একটি নিরাপত্তা নিরীক্ষার আর মাত্র তিন মাস বাকি, তখন আপনার ডেটা ম্যাপের অর্ধেকই অসম্পূর্ণ। যে সংস্থাগুলো এটিকে শেষ মুহূর্তের তাড়াহুড়ো না করে একটি কৌশলগত অগ্রাধিকার হিসেবে বিবেচনা করে, তারা প্রতিকারের জন্য অনেক কম খরচ করবে এবং নিয়ন্ত্রক ঝুঁকিও অনেক কম বহন করবে।
সর্বশেষ ভাবনা
ডিপিডিপি আইন ২০২৫ শুধু নিয়ম পালনের আরেকটি আনুষ্ঠানিকতা নয়। ভারতীয় ব্যবসা প্রতিষ্ঠানগুলো ব্যক্তিগত তথ্যের সাথে কেমন আচরণ করবে, সেই প্রত্যাশায় এটি একটি মৌলিক পরিবর্তন। সম্মতি হতে হবে বাস্তব, নিরাপত্তা প্রদর্শনযোগ্য এবং জবাবদিহিতা আপনার সিস্টেমের মধ্যেই অন্তর্নির্মিত থাকতে হবে, কোনো ঘটনা ঘটে যাওয়ার পর তা জুড়ে দিলে চলবে না।
সুখবরটা হলো, আগে থেকে শুরু করলে এর কোনো কিছুই খুব কঠিন মনে হবে না। একটি শক্তিশালী সাইবার নিরাপত্তা ভিত্তি, সুস্পষ্ট ডেটা ব্যবস্থাপনা এবং সঠিক মনিটরিং টুলস আপনাকে শুধু একটি বড় লক্ষ্যের দিকেই নয়, বরং আরও অনেক দূর এগিয়ে নিয়ে যেতে পারে। DPDP complianceবরং আপনার প্রতিষ্ঠান জুড়ে প্রকৃত অর্থেই উন্নত ডেটা পরিচ্ছন্নতা।
ঠিক এটাই Seqrite Data Privacy এটি সাহায্য করার জন্যই তৈরি করা হয়েছে। স্প্রেডশিট জোড়া লাগানো, ম্যানুয়াল অডিট এবং অনুমানের পরিবর্তে, এই প্ল্যাটফর্মটি আপনাকে সমস্ত কঠিন কাজ সামলানোর জন্য একটিই জায়গা দেয়। DPDP compliance:
- সংবেদনশীল তথ্য আবিষ্কার করুন এবং শ্রেণীবদ্ধ করুন ৫০০টিরও বেশি ডেটা উৎস—ডাটাবেস, SaaS অ্যাপ, ক্লাউড স্টোরেজ, ফাইল সার্ভার এবং এন্ডপয়েন্ট—জুড়ে স্বয়ংক্রিয়ভাবে ডেটা অ্যাক্সেস করা হয়, ফলে আপনি অবশেষে জানতে পারেন আপনার ব্যক্তিগত ডেটা আসলে কোথায় থাকে।
- সম্মতি এবং পছন্দগুলি পরিচালনা করুন একটি কেন্দ্রীভূত ড্যাশবোর্ড থেকে, ২২টি ভারতীয় ভাষায় বহুভাষিক সম্মতি বিজ্ঞপ্তি সহ, যাতে ব্যবহারকারীরা তারা কিসে সম্মত হয়েছেন তা সঠিকভাবে বুঝতে এবং নিয়ন্ত্রণ করতে পারেন।
- গোপনীয়তা মূল্যায়ন স্বয়ংক্রিয় করুন প্রতিটি অডিট চক্রে এগুলি একেবারে নতুন করে তৈরি করার পরিবর্তে, আগে থেকে তৈরি টেমপ্লেট ব্যবহার করে ডিপিআইএ, রোপিএ এবং গ্যাপ অ্যানালাইসিসের মতো বিষয়গুলো সমাধান করা।
- ডেটা প্রিন্সিপালের অধিকার সংক্রান্ত অনুরোধগুলি পরিচালনা করুন সম্পূর্ণ অডিট ট্রেইল সহ কাঠামোগত কেস ওয়ার্কফ্লোর মাধ্যমে অ্যাক্সেস, সংশোধন এবং মুছে ফেলার মতো বিষয়গুলো।
- লঙ্ঘনের বিজ্ঞপ্তি লগ করুন এবং সক্রিয় করুন আইন অনুযায়ী নির্ধারিত সময়সীমার মধ্যে, ব্যবহারের জন্য প্রস্তুত যোগাযোগ টেমপ্লেটসহ সঠিক অংশীজনদের কাছে বার্তা পৌঁছে দেওয়া।
- ব্যক্তিগত শনাক্তকরণ তথ্য সরাসরি সুরক্ষিত করুন অন্তর্নির্মিত টোকেনাইজেশন, এনক্রিপশন এবং মাস্কিং-এর মাধ্যমে, আপনার বিদ্যমান DLP ও ITSM টুলগুলোকে প্রতিস্থাপন না করে সেগুলোর সাথে একীভূত করুন।
আপনি যদি এখনও আপনার প্রতিষ্ঠানের অবস্থান নির্ধারণ করে থাকেন, তবে এটি মূল্যবান। একটি ডেমোর অনুরোধ করা হচ্ছে Seqrite Data Privacy বা অন্বেষণ বিস্তারিত ডেটাশিট এই কমপ্লায়েন্স সংক্রান্ত কাজের কতটা ম্যানুয়ালি না করে সত্যিই স্বয়ংক্রিয় করা যায়, তা দেখা। এমন এক বিশ্বে যেখানে নিয়ন্ত্রক, গ্রাহক এবং আক্রমণকারী—সবাই আপনার ডেটা পরিচালনার পদ্ধতির ওপর নজর রাখছে, সেখানে “যৌক্তিকভাবে সুরক্ষিত” হওয়াটা আর ঐচ্ছিক নয়; এটিই এখন ন্যূনতম মান, এবং সঠিক প্ল্যাটফর্ম থাকলে এই মান অর্জন করাও সহজ হয়।
