ভারতের Data Privacy বিপ্লব এবং আপনার জন্য এর অর্থ কী

এই পর্ব সম্পর্কে

সবচেয়ে বড় মুহূর্ত কোনটি ছিল যা... data privacy ভারতের জাতীয় এজেন্ডায়?

২০১৭ সালে বিচারপতি পুত্তাস্বামী বনাম ইউনিয়ন অফ ইন্ডিয়া মামলায় সুপ্রিম কোর্টের রায়টি ছিল একটি যুগান্তকারী ঘটনা, যেখানে গোপনীয়তাকে একটি মৌলিক অধিকার হিসেবে স্বীকৃতি দেওয়া হয়। যদিও ভারতীয় প্রযুক্তি শিল্প ২০০৫ সাল থেকেই ইউরোপের তথ্য সুরক্ষা নির্দেশিকার সঙ্গে নিজেদের মানিয়ে নিচ্ছিল, ২০১৭ সালের এই রায়টি গোপনীয়তা রক্ষাকারী সম্প্রদায়কে একটি সাংবিধানিক ভিত্তি প্রদান করে, যার ওপর ভিত্তি করে বহু বছরের আলোচনা শুরু হয় এবং অবশেষে ডিপিডিপি আইনটি প্রণীত হয়।

এআই কীভাবে বোর্ডরুমের আলোচনা পরিবর্তন করেছে data privacy?

কর্পোরেট জগতে গোপনীয়তার বিষয়টি আগে থেকেই ধীরে ধীরে গুরুত্ব পাচ্ছিল, কিন্তু কৃত্রিম বুদ্ধিমত্তা (AI) এবং ডেটা প্রোটেকশন পলিসি অ্যাক্ট (DPDP Act)-এর জবাবদিহিতার কাঠামো এই পরিবর্তনকে নাটকীয়ভাবে ত্বরান্বিত করেছে। ডেটা প্রোটেকশন অফিসার নিয়োগ, ডেটা প্রোটেকশন ইমপ্যাক্ট অ্যাসেসমেন্ট (DPIA) পরিচালনা এবং স্বাধীন নিরীক্ষার মতো গুরুত্বপূর্ণ বাধ্যবাধকতাগুলো গোপনীয়তাকে বোর্ড-পর্যায়ের একটি বিষয়ে পরিণত করেছে। বোর্ডগুলো এখন শুধু নিয়মকানুন মেনে চলার বাইরেও ভাবছে: গোপনীয়তাকে ক্রমবর্ধমানভাবে আস্থা তৈরির একটি উপায় হিসেবে দেখা হচ্ছে, যা গ্রাহকদের কাছে এই সংকেত দেয় যে প্রতিষ্ঠানটি তাদের অধিকারকে গুরুত্ব সহকারে বিবেচনা করে।

গোপনীয়তা কি নিরাপত্তা ব্যবস্থার অন্তর্ভুক্ত হওয়া উচিত, নাকি এর জন্য একটি স্বতন্ত্র স্থান প্রয়োজন?

নিরাপত্তা যেভাবে সিআইও-এর অধীনে থাকা থেকে বোর্ড প্রতিনিধিত্বসহ একটি স্বাধীন সিআইএসও ফাংশনে পরিণত হয়েছে, প্রাইভেসিও একই পথ অনুসরণ করবে বলে আশা করা হচ্ছে। স্বল্প মেয়াদে, অনেক সংস্থাই প্রাইভেসিকে নিরাপত্তার অধীনে রাখবে। মধ্যম থেকে দীর্ঘ মেয়াদে, নিজস্ব বোর্ড কমিটিসহ একটি নিবেদিত প্রাইভেসি ফাংশনই হলো ভবিষ্যৎ পরিকল্পনা। জিডিপিআর থেকে ধার করা মূল নীতিটি হলো, স্বার্থের কোনো সংঘাত থাকা চলবে না; ডিপিও-কে অবশ্যই স্বাধীন হতে হবে।

তথ্য সুরক্ষা বোর্ড কবে থেকে কার্যকর হবে?

ঘোষণাটি যেকোনো সময় আসতে পারে — এর ভিত্তি স্থাপন ইতিমধ্যেই করা হচ্ছে, যার মধ্যে একটি ডিজিটাল প্ল্যাটফর্মও রয়েছে, যার মাধ্যমে বাসিন্দারা অভিযোগ জানাবেন এবং প্রতিষ্ঠানগুলো তার জবাব দেবে। বোর্ডটি আইন প্রয়োগকারী (যাতে আইনকে হালকাভাবে না নেওয়া হয়) এবং সহায়ক (নির্দেশিকা, টেমপ্লেট এবং ফোরাম জারি করে) উভয় ভূমিকাতেই কাজ করবে। এর উদ্দেশ্য হলো বাস্তবায়ন এবং আস্থা তৈরি করা, শুধু আইন অমান্যকারীদের শাস্তি দেওয়া নয়।

সম্মতি ব্যবস্থাপনা শুনতে জটিল মনে হয় — ব্যবসা ও ব্যবহারকারীদের জন্য এর প্রকৃত অর্থ কী?

GDPR-এর বিপরীতে, যা ব্যক্তিগত তথ্য প্রক্রিয়াকরণের জন্য একাধিক আইনসম্মত ভিত্তি প্রদান করে, ভারতের DPDP আইনটি মূলত সম্মতি-নির্ভর। এর চারটি প্রধান চ্যালেঞ্জ রয়েছে:
(1) বৈধ সম্মতির কঠোর সংজ্ঞা অনুসারে, এটি অবশ্যই স্বাধীন, সুনির্দিষ্ট, দ্ব্যর্থহীন এবং শর্তহীন হতে হবে
(2) সম্মতি ক্লান্তির ঝুঁকি, যেখানে ব্যবহারকারীরা অভ্যাসবশত না পড়েই 'হ্যাঁ' ক্লিক করে।
(3) সম্মতি প্রত্যাহারকে সম্মান করার বাধ্যবাধকতা, যার জন্য উল্লেখযোগ্য প্রক্রিয়া পুনর্গঠন প্রয়োজন
(4) স্থাপত্যগত পরিবর্তন — ব্যবসা প্রতিষ্ঠানগুলোকে তাদের বিদ্যমান সিস্টেমে একটি কনসেন্ট ম্যানেজার যুক্ত করতে হবে, শুধু একটি চেকবক্স যোগ করলেই হবে না। ইউপিআই-এর দ্রুত গণতন্ত্রীকরণ একটি কার্যকর উপমা যা দেখায় কীভাবে কনসেন্ট ম্যানেজমেন্ট প্ল্যাটফর্মগুলো ভারতজুড়ে প্রসারিত হতে পারে।

ভারতীয় সংস্থাগুলির কীভাবে জেন এআই এবং এলএলএম-এর মধ্যে সামঞ্জস্য বিধান করা উচিত data privacy দায়বদ্ধতা?

বড় মডেলগুলোকে প্রশিক্ষণ দিতে ব্যবহৃত তথ্যের একটি বড় অংশ স্বেচ্ছায় সোশ্যাল মিডিয়া, ফোরাম ইত্যাদির মতো পাবলিক প্ল্যাটফর্মে শেয়ার করা হয়েছিল, যার ফলে তা পুনরুদ্ধার করা কঠিন হয়ে পড়ে। উদ্ভাবনের সাথে ব্যক্তিগত সুরক্ষার ভারসাম্য রক্ষার প্রচেষ্টার একটি উদাহরণ হলো ইউরোপীয় ইউনিয়নের ডিজিটাল অমনিবাস উদ্যোগ। খুব তাড়াতাড়ি কৃত্রিম বুদ্ধিমত্তাকে অতিরিক্ত নিয়ন্ত্রণ করলে উদ্ভাবনের সুযোগটি হাতছাড়া হওয়ার ঝুঁকি থাকে, বিশেষ করে যেহেতু এই প্রযুক্তি প্রতি সপ্তাহে পরিবর্তিত হচ্ছে। সুরক্ষা ব্যবস্থা এবং প্রতিষ্ঠান-স্তরের প্রশাসনিক নিয়ন্ত্রণ বিদ্যমান থাকলেও, একজন ব্যক্তি হিসেবে আপনি প্রকাশ্যে কী শেয়ার করছেন সে বিষয়ে সচেতন থাকাই হলো সবচেয়ে বাস্তবসম্মত প্রাথমিক প্রতিরক্ষা।

ডেটা স্থানীয়করণের ক্ষেত্রে ভারতের অবস্থান কোথায় এবং এটি ডিপিডিপি আইনের সঙ্গে কীভাবে সম্পর্কিত?

ভারত ইউরোপীয় ইউনিয়নের মতো একটি সার্বিক পর্যাপ্ততা-মূল্যায়ন মডেলের পরিবর্তে একটি বাস্তবসম্মত, নেগেটিভ-লিস্টিং পদ্ধতি গ্রহণ করেছে। প্রেক্ষাপটটি গুরুত্বপূর্ণ: ভারত বিশ্বের অন্যতম বৃহত্তম ডেটা প্রসেসর, তাই অতিরিক্ত কঠোর আন্তঃসীমান্ত স্থানান্তর বিধিগুলির গুরুতর অর্থনৈতিক পরিণতি হবে। তা সত্ত্বেও, আর্থিক, স্বাস্থ্যসেবা, গুরুত্বপূর্ণ জাতীয় পরিকাঠামোর মতো অত্যাবশ্যকীয় ডেটার জন্য সম্ভবত স্থানীয় সংরক্ষণের প্রয়োজন হবে, যা আরবিআই-এর বিদ্যমান ম্যান্ডেটের সাথে সামঞ্জস্যপূর্ণ। যেখানে অন্য কোনো খাত-নির্দিষ্ট আইন উচ্চতর সুরক্ষার দাবি করে, সেখানে ডিপিডিপি আইনটি সেটিকে প্রাধান্য দেয়।

বর্তমানে সংস্থাগুলো কোন গোপনীয়তার ঝুঁকিটিকে সবচেয়ে কম গুরুত্ব দিয়ে উপেক্ষা করছে?

তিন ধরনের ক্লান্তি পুরো ইকোসিস্টেমকে দুর্বল করে দেওয়ার হুমকি দিচ্ছে: সম্মতিজনিত ক্লান্তি (ব্যবহারকারীদের দ্বারা স্বয়ংক্রিয়ভাবে নোটিশ অনুমোদন), নোটিশজনিত ক্লান্তি, এবং লঙ্ঘন বিজ্ঞপ্তিজনিত ক্লান্তি। যেহেতু ডিপিডিপি আইন বর্তমানে ঝুঁকির মাত্রা অনুযায়ী লঙ্ঘনগুলোকে শ্রেণিবদ্ধ করে না, তাই প্রতিটি ঘটনা—তা যতই সামান্য হোক না কেন—ডেটা সুরক্ষা বোর্ড এবং ক্ষতিগ্রস্ত ব্যক্তিদের কাছে অবশ্যই রিপোর্ট করতে হবে, এবং ব্যর্থতার জন্য ২০০ কোটি টাকা পর্যন্ত জরিমানার বিধান রয়েছে। এর ফলে ব্যক্তিরা নোটিফিকেশনের বন্যায় ভেসে যেতে পারেন, যার কারণে তারা সেইসব নোটিফিকেশন এড়িয়ে যেতে পারেন যেগুলোর জন্য প্রকৃতপক্ষে পদক্ষেপ নেওয়া প্রয়োজন, যেমন ক্রেডেনশিয়াল পরিবর্তন করা বা কোনো ফাইল মুছে ফেলা।

অন্য সবকিছুর আগে ডেটা আবিষ্কার এবং শ্রেণিবিন্যাস কেন এত গুরুত্বপূর্ণ?

আপনার কাছে যা আছে বলে আপনি জানেন না, তা আপনি রক্ষা করতে পারবেন না। একটি পুঙ্খানুপুঙ্খ ডেটা ডিসকভারি অনুশীলন একটি পূর্বশর্ত — এমনকি আপনার রেকর্ড অফ প্রসেসিং অ্যাক্টিভিটিজ (ROPA) তৈরি করার আগেও। এর অর্থ হলো এন্ডপয়েন্ট, বাণিজ্যিক অফ-দ্য-শেলফ প্ল্যাটফর্ম (SAP, Oracle), কাস্টম ডেটাবেস এবং এজ ডিভাইস স্ক্যান করা। আধুনিক এআই-চালিত টুলগুলো প্যাটার্ন রিকগনিশনের মাধ্যমে আধার এবং প্যান নম্বরের মতো সংবেদনশীল ডেটা শনাক্ত করতে পারে। গুরুত্বপূর্ণভাবে, এই অনুশীলনটি পর্যায়ক্রমে পুনরাবৃত্তি করতে হবে: শ্যাডো প্রজেক্ট এবং অনিবন্ধিত সার্ভারগুলো ডিপিও-র অজান্তেই নীরবে ব্যক্তিগত ডেটা জমা করতে পারে।

একজন সেরা ডিপিও আসলে কেমন হন এবং সংস্থাগুলোর কীভাবে একটি প্রাইভেসি টিম গঠন করা উচিত?

ডিপিও (DPO) পদটি আইন, প্রযুক্তি, ব্যবসায়িক প্রক্রিয়া এবং অংশীজনদের সাথে যোগাযোগের সংযোগস্থলে অবস্থিত। এর জন্য ডেটা প্রোটেকশন বোর্ডের সাথে যোগাযোগ রক্ষা করা, গ্রাহকদের অভিযোগ নিষ্পত্তি করা, পরিচালনা পর্ষদকে পরামর্শ দেওয়া এবং সংগৃহীত প্রতিটি ডেটা ফিল্ড পুঙ্খানুপুঙ্খভাবে পরীক্ষা করার প্রয়োজন হয়। যারা প্রাইভেসি পেশায় আসতে আগ্রহী, তাদের জন্য: যদি আপনার প্রযুক্তিগত পটভূমি থাকে, তবে আইন এবং ব্যবসায়িক প্রক্রিয়া বোঝার জন্য বিনিয়োগ করুন; আর যদি আপনার আইনি পটভূমি থাকে, তবে প্রকৃত প্রযুক্তিগত জ্ঞান অর্জন করুন, জেন এআই (Gen AI) কী করে এবং কোয়ান্টাম কম্পিউটিং-এর তাৎপর্য কী, তা বুঝুন। ব্যবসায়িক ইউনিটগুলোর মধ্যে প্রাইভেসি চ্যাম্পিয়নদের চিহ্নিত করে সময়ের সাথে সাথে তাদের গড়ে তোলা যেতে পারে।

২০৩০ সাল নাগাদ ভারতের ডিপিডিপি যাত্রার সাফল্য কেমন হবে?

প্রকৃত সাফল্যের অর্থ হলো শুধু আগে থেকেই সুপ্রস্তুত, বিশ্বব্যাপী পরিচিত বৃহৎ সংস্থাগুলোকেই নয়, বরং অসংগঠিত ও কম নিয়ন্ত্রিত খাত, স্থানীয় আতিথেয়তা চেইন, ছোট ক্লিনিক এবং আঞ্চলিক প্রক্রিয়াকারীদেরও এর আওতায় আনা। এর অর্থ ডিজিটাল বৈষম্য কমিয়ে আনা, যাতে গোপনীয়তার অধিকার শুধু ডিজিটালভাবে সাক্ষরদের জন্য নয়, বরং প্রত্যেক বাসিন্দার জন্য সহজলভ্য হয়। প্রত্যন্ত অঞ্চলের হাসপাতালগুলোকে একত্রিত করে প্রাইভেসি কোহর্ট গঠন এবং এর পরে চলমান প্রাইভেসি ক্লিনিকের মতো তৃণমূল পর্যায়ের প্রচেষ্টাগুলোই হলো বৃহৎ পরিসরে একটি সফল ডিপিডিপি বাস্তবায়ন কেমন হবে তার প্রাথমিক সূচক।

এই দর্শকদের কী করা উচিত? Data Privacy ডিপিডিপিএ-এর সেশন কি আগামী সপ্তাহ থেকে শুরু হচ্ছে?

চারটি করণীয় বিষয়:
(1) একজন ব্যবসায়িক পেশাদার হিসাবে আপনার বাধ্যবাধকতাগুলি বুঝুন এবং একজন বাসিন্দা হিসাবে আপনার অধিকারগুলি জানুন, উভয়ভাবেই আইনটি পড়ুন।
(2) আপনার সংস্থা তার বাস্তবায়ন যাত্রায় বর্তমানে কোথায় দাঁড়িয়ে আছে তা মূল্যায়ন করুন।
(3) সাহায্যের জন্য যোগাযোগ করুন Seqrite যদি আপনি আটকে যান বা একেবারে নতুন করে শুরু করেন।
(4) যদি আপনি বাস্তবায়নে কোনো প্রকৃত চ্যালেঞ্জের সম্মুখীন হন তবে সমস্যাগুলি চিহ্নিত করুন; এটি DSCI-এর কাছে নিয়ে আসুন যাতে এটি কেবল আপনার সংস্থার জন্য নয়, শিল্প স্তরে সমাধান করা যায়।