চেকবক্সের বাইরে: ডিপিডিপিএ-এর অধীনে একটি “গোপনীয়তাকে অগ্রাধিকার” দেওয়া নিরাপত্তা ব্যবস্থা গড়ে তোলা

এই পর্ব সম্পর্কে

এই “প্রাইভেসি আওয়ার” সেশনে, Seqrite গোপনীয়তাকে শুধুমাত্র একটি নিয়ম-কানুন মেনে চলার বাধা হিসেবে দেখার দৃষ্টিভঙ্গি থেকে এটিকে একটি মূল ব্যবসায়িক কাঠামোতে পরিণত করার বাস্তবসম্মত রূপান্তর নিয়ে আলোচনা করতে কেপিএমজি ইন্ডিয়ার অপূর্বা সাক্সেনা অনুষ্ঠানটি সঞ্চালনা করেন। ডিজিটাল ব্যক্তিগত তথ্য সুরক্ষা (DPDP) আইনটি সম্পূর্ণরূপে কার্যকর হওয়ার সাথে সাথে,

আলোচনায় জোর দেওয়া হয়েছে যে ভারতীয় সংস্থাগুলিকে এখন অবশ্যই একটি “গোপনীয়তাকে অগ্রাধিকার” দেওয়ার নিরাপত্তা নীতি গ্রহণ করতে হবে। তথ্য রক্ষা করুন মূলনীতিগুলো মেনে চলুন এবং বড় ধরনের জরিমানা এড়ান।

সেশন চলাকালীন শেয়ার করা কৌশলগত এবং পরিচালনগত অন্তর্দৃষ্টির উপর ভিত্তি করে নিম্নলিখিত প্রশ্নোত্তরগুলো তৈরি করা হয়েছে।

প্রায়শই জিজ্ঞাসিত প্রশ্ন (প্রায়শই জিজ্ঞাসিত প্রশ্নাবলী)

ডিপিডিপিএ কীভাবে ভারতীয় নাগরিকদের (ডেটা প্রিন্সিপাল) ক্ষমতায়ন করে?

এই আইনটি পূর্ববর্তী আইনগুলোর তুলনায় ব্যবহারকারীর অধিকারকে উল্লেখযোগ্যভাবে বৃদ্ধি করে। এর প্রধান ক্ষমতায়নগুলোর মধ্যে রয়েছে মনোনয়নের অধিকার (মৃত্যু বা অক্ষমতার ক্ষেত্রে অধিকার প্রয়োগের জন্য কাউকে নিয়োগ করা) এবং একটি সুস্পষ্ট অভিযোগ নিষ্পত্তি ব্যবস্থা। সরকারের নির্দেশ অনুযায়ী, সংস্থাগুলোকে এখন ৯০ দিনের মধ্যে অভিযোগ নিষ্পত্তি করতে হবে।

সকল প্রতিষ্ঠানের জন্য “কনসেন্ট ম্যানেজার” কি বাধ্যতামূলক?

না। একটি সাধারণ ভুল ধারণা হলো যে প্রতিটি কোম্পানির একজন কনসেন্ট ম্যানেজার প্রয়োজন। বিদ্যমান সম্মতি ব্যবস্থাগুলো প্রায়শই যথেষ্ট। অ্যাগ্রিগেটর বা ইন্টিগ্রেটর হিসেবে কাজ করা কনসেন্ট ম্যানেজারদের প্রধানত তৃতীয় পক্ষের যাচাইকরণ জড়িত জটিল পরিস্থিতিগুলোর জন্য প্রয়োজন হয়, যেমন ক্রেডিট চেক বা আইডি যাচাইকরণ (ডিজিলকারের মতো)।

সংস্থাগুলোর ডেটা সাবজেক্ট রিকোয়েস্ট (ডিএসআর) কার্যকরভাবে কীভাবে পরিচালনা করা উচিত?

যদিও বর্তমানে অনেকেই অনুরোধগুলি ম্যানুয়ালি পরিচালনা করেন, ব্যাপক প্রসারের জন্য একটি শক্তিশালী ডিজিটাল ব্যবস্থা অপরিহার্য। এর মধ্যে অন্তর্ভুক্ত রয়েছে:

• অনুরোধ গ্রহণ করার জন্য একটি ডিএসআর সিস্টেম।
• কাঠামোগত এবং অকাঠামোগত ডেটা খুঁজে বের করার জন্য একটি অন্তর্নিহিত ডেটা ডিসকভারি লেয়ার।
• ROPA (Record of Processing Activities) ডেটার অবস্থান ও উৎস চিহ্নিত করে, যা রিপোর্টের নির্ভুলতা ও নির্ভরযোগ্যতা নিশ্চিত করে।

কোনো উদ্দেশ্য পূরণ হয়ে গেলে কোনো সংস্থা কি ডেটা “স্বয়ংক্রিয়ভাবে” মুছে ফেলতে পারে?

যদিও স্বয়ংক্রিয়করণ সম্ভব, তবে সতর্কতার সাথে প্রয়োগ না করা হলে তা বিপজ্জনক হতে পারে। মুছে ফেলার যুক্তিতে বিভিন্ন সীমাবদ্ধতা বিবেচনা করতে হবে, যেমন:

• খাতভিত্তিক আইনডিপিডিপিএ নির্বিশেষে, আরবিআই-এর নির্দেশনা অনুযায়ী বেশ কয়েক বছর ধরে তথ্য সংরক্ষণের প্রয়োজন হতে পারে।
• আইনি হোল্ডসবর্তমানে আদালতে বিচারাধীন তথ্য অবশ্যই সংরক্ষণ করতে হবে।
• ব্যাক-আপমুছে ফেলার ক্ষেত্রে টেপ বা ব্যাকআপ সার্ভারে থাকা ডেটাকেও বিবেচনা করতে হবে।

ডিপিআইএ কী, এবং গুরুত্বপূর্ণ ডেটা বিশ্বস্তদের (এসডিএফ) জন্য এটি কেন গুরুত্বপূর্ণ?

A তথ্য সুরক্ষা প্রভাব মূল্যায়ন (ডিপিআইএ) হলো একটি ঝুঁকি-ভিত্তিক মূল্যায়ন, যা ডেটা সাবজেক্টের উপর ডেটা প্রক্রিয়াকরণের প্রভাবের উপর দৃষ্টি নিবদ্ধ করে। এটি এসডিএফ-কে পরিচয় চুরি, সুনামের ক্ষতি বা আর্থিক ক্ষতির মতো ঝুঁকি শনাক্ত করতে এবং সেগুলোকে নির্দিষ্ট প্রযুক্তিগত ও সাংগঠনিক প্রশমন ব্যবস্থার সাথে যুক্ত করতে সহায়তা করে।

এআই কীভাবে গোপনীয়তা ব্যবস্থাপনাকে প্রভাবিত করে?

এআই শাসনব্যবস্থায় জটিলতার একটি স্তর যোগ করে। এআই ব্যবহারকারী সংস্থাগুলোর উচিত:

• প্রম্পটগুলি বেনামী করুনএলএলএম-এ অন্তর্ভুক্ত করার আগে ব্যক্তিগত তথ্য ছাঁটাই করতে যুক্তি ব্যবহার করুন।
• হিউম্যান-ইন-দ্য-লুপপক্ষপাত ও ত্রুটি এড়াতে এআই আউটপুটগুলোর ‘মানবীয় পর্যালোচনা’ নিশ্চিত করুন।
• বিক্রেতা নিয়ন্ত্রণব্যাক-এন্ড প্রোভাইডাররা (যেমন মাইক্রোসফট বা ওপেনএআই) তাদের মডেল প্রশিক্ষণের জন্য আপনার ডেটা ব্যবহার করছে কিনা, তা জেনে নিন।

ডিপিডিপিএ-এর অধীনে ডেটা লঙ্ঘনের ঘটনা রিপোর্ট করার নতুন সময়সীমা কী?

পূর্ববর্তী অনানুষ্ঠানিক ৭২-ঘণ্টার সময়সীমার বিপরীতে, ডিপিডিপিএ কোনো লঙ্ঘন শনাক্ত করার সাথে সাথে সংস্থাগুলোকে বোর্ড এবং ক্ষতিগ্রস্ত ব্যক্তিদের “যত দ্রুত সম্ভব” (ASAP) জানাতে হবে। এরপর ৭২ ঘণ্টার মধ্যে একটি বিস্তারিত প্রতিবেদন জমা দিতে হবে।

বর্তমানে গোপনীয়তা রক্ষার যাত্রা শুরু করতে যাওয়া একটি কোম্পানির জন্য প্রথম পদক্ষেপ কী?

সবচেয়ে গুরুত্বপূর্ণ পদক্ষেপ হলো সঠিক লোক নিয়োগ করা। স্বচ্ছতা নিশ্চিত করতে এবং সমস্যা জানানোর ক্ষেত্রে অভ্যন্তরীণ স্বার্থের সংঘাত এড়াতে ডেটা প্রোটেকশন অফিসার (ডিপিও)-এর পদটি সিআইএসও (চিফ ইনফরমেশন সিকিউরিটি অফিসার) থেকে আলাদা রাখার জন্য বিশেষভাবে সুপারিশ করা হয়।

এই অধিবেশনটি তথ্যপ্রযুক্তি এবং আইন বিভাগের নেতৃবৃন্দকে তাদের কার্যক্রম কার্যকর করার জন্য একটি পথনির্দেশিকা হিসেবে কাজ করে। data privacy কাঠামোসমূহ, যা নিয়মকানুনের ঊর্ধ্বে উঠে প্রকৃত ডিজিটাল আস্থা তৈরি করে।