भारतको Data Privacy क्रान्ति र तपाईंको लागि यसको अर्थ के हो

यस एपिसोडको बारेमा

सबैभन्दा ठूलो क्षण कुन थियो जसले data privacy भारतको राष्ट्रिय एजेन्डामा?

२०१७ मा सर्वोच्च अदालतले न्यायमूर्ति पुट्टास्वामी विरुद्ध भारत संघको मुद्दामा दिएको फैसलाले महत्वपूर्ण मोड लिएको थियो, जहाँ गोपनीयतालाई मौलिक अधिकारको रूपमा मान्यता दिइएको थियो। भारतीय प्रविधि उद्योगले २००५ देखि नै युरोपको डेटा सुरक्षा निर्देशनसँग आफूलाई पङ्क्तिबद्ध गर्दै आएको थियो, २०१७ को फैसलाले गोपनीयता समुदायलाई निर्माण गर्न संवैधानिक आधार दियो, जसले गर्दा वर्षौंको विचार-विमर्श सुरु भयो जसले अन्ततः DPDP ऐन निम्त्यायो।

एआईले बोर्डरूम कुराकानीलाई कसरी परिवर्तन गरेको छ data privacy?

गोपनीयता पहिले नै कर्पोरेट भर्‍याङ माथि चढ्दै थियो, तर DPDP ऐनको जवाफदेहिता ढाँचासँग मिलेर AI ले नाटकीय रूपमा परिवर्तनलाई तीव्र बनायो। डेटा सुरक्षा अधिकारी नियुक्त गर्ने, डेटा सुरक्षा प्रभाव मूल्याङ्कन (DPIAs) सञ्चालन गर्ने र स्वतन्त्र लेखा परीक्षण गर्ने जस्ता प्रमुख दायित्वहरूले गोपनीयतालाई बोर्ड-स्तरको विषय बनाएको छ। बोर्डहरूले अब अनुपालनभन्दा बाहिर हेरिरहेका छन्: गोपनीयतालाई बढ्दो रूपमा विश्वास निर्माण गर्ने उपायको रूपमा हेरिएको छ, ग्राहकहरूलाई संकेत गर्दछ कि संस्थाले उनीहरूको अधिकारलाई गम्भीरतापूर्वक लिन्छ।

के गोपनीयता सुरक्षा कार्य भित्र रहनु पर्छ, वा यसलाई टेबलमा आफ्नै सिट चाहिन्छ?

गोपनीयताले सुरक्षा कसरी CIO अन्तर्गत बसेर बोर्ड प्रतिनिधित्व सहितको स्वतन्त्र CISO प्रकार्य बन्ने दिशामा विकसित भयो भन्ने कुराको समान मार्ग पछ्याउने अपेक्षा गरिएको छ। छोटो अवधिमा, धेरै संस्थाहरूले सुरक्षा अन्तर्गत गोपनीयतालाई राख्नेछन्। मध्यमदेखि दीर्घकालीन अवधिमा, आफ्नै बोर्ड समिति भएको समर्पित गोपनीयता प्रकार्य निर्देशन हो। GDPR बाट उधारिएको मुख्य सिद्धान्त भनेको कुनै पनि स्वार्थको द्वन्द्व हुनु हुँदैन; DPO स्वतन्त्र हुनुपर्छ।

डाटा संरक्षण बोर्ड कहिलेदेखि सञ्चालनमा आउँछ?

घोषणा जुनसुकै बेला आउन सक्छ — जग पहिले नै तयार भइसकेको छ, जसमा बासिन्दाहरूले गुनासो उठाउनेछन् र उद्यमहरूले प्रतिक्रिया दिनेछन् भन्ने डिजिटल प्लेटफर्म पनि समावेश छ। बोर्डले कानूनलाई हल्का रूपमा नलिइने सुनिश्चित गर्ने (कानूनलाई हल्का रूपमा नलिइने सुनिश्चित गर्ने) र सक्षमकर्ता (निर्देशिका, टेम्प्लेट र फोरमहरू जारी गर्ने) दुवैको रूपमा काम गर्नेछ। उद्देश्य कार्यान्वयन र विश्वास निर्माण गर्नु हो, केवल अनुपालन नगर्नेलाई दण्डित गर्नु होइन।

सहमति व्यवस्थापन जटिल सुनिन्छ — व्यवसाय र प्रयोगकर्ताहरूको लागि यसको वास्तवमा के अर्थ छ?

व्यक्तिगत डेटा प्रशोधनका लागि धेरै कानुनी आधारहरू प्रदान गर्ने GDPR भन्दा फरक, भारतको DPDP ऐन धेरै हदसम्म सहमतिमा आधारित छ। चार प्रमुख चुनौतीहरू छन्:
(१) वैध सहमतिको कडा परिभाषा, यो स्वतन्त्र, विशिष्ट, स्पष्ट र बिना शर्त हुनुपर्छ।
(२) सहमति थकान हुने जोखिम, जहाँ प्रयोगकर्ताहरूले नपढीकन 'हो' मा क्लिक गर्ने बानी पर्छ।
(३) सहमति फिर्ता लिने दायित्व, जसको लागि महत्वपूर्ण प्रक्रिया पुन: इन्जिनियरिङ आवश्यक पर्दछ।
(४) वास्तुगत परिवर्तनहरू — व्यवसायहरूले आफ्नो अवस्थित प्रणालीहरूमा सहमति प्रबन्धक प्लग गर्नुपर्छ, केवल चेकबक्स थप्नु हुँदैन। UPI को द्रुत लोकतन्त्रीकरण भारतभरि सहमति व्यवस्थापन प्लेटफर्महरू कसरी मापन गर्न सक्छन् भन्ने कुराको लागि एक उपयोगी उपमा हो।

भारतीय संस्थाहरूले जेन एआई र एलएलएमहरूसँग कसरी मेल खानुपर्छ? data privacy दायित्वहरू?

ठूला मोडेलहरूलाई तालिम दिन प्रयोग गरिने धेरैजसो डेटा स्वेच्छाले सार्वजनिक प्लेटफर्महरू सामाजिक सञ्जाल, फोरमहरू, आदिमा साझा गरिएको थियो जसले गर्दा आराम गर्न गाह्रो भयो। EU को डिजिटल ओम्निबस पहल व्यक्तिगत सुरक्षासँग नवप्रवर्तनलाई सन्तुलनमा राख्ने प्रयासहरूको उदाहरण हो। धेरै चाँडो AI लाई अत्यधिक नियमन गर्नाले नवप्रवर्तन बस गुमाउने जोखिम हुन्छ, विशेष गरी जब प्रविधि साप्ताहिक रूपमा विकसित हुँदैछ। रेलिङ र उद्यम-स्तरको शासन नियन्त्रणहरू अवस्थित छन्, तर एक व्यक्तिको रूपमा, तपाईंले सार्वजनिक रूपमा के साझा गर्नुहुन्छ भन्ने कुरामा सचेत हुनु सबैभन्दा व्यावहारिक पहिलो रक्षा हो।

डेटा स्थानीयकरणमा भारत कहाँ छ र यसले DPDP ऐनसँग कसरी अन्तरक्रिया गर्छ?

भारतले EU जस्तो कम्बल पर्याप्तता-मूल्याङ्कन मोडेलको सट्टा व्यावहारिक, नकारात्मक-सूचीबद्ध दृष्टिकोण अपनाउँछ। सन्दर्भ महत्त्वपूर्ण छ: भारत विश्वको सबैभन्दा ठूलो डेटा प्रशोधनकर्ताहरू मध्ये एक हो, त्यसैले अत्यधिक प्रतिबन्धित सीमापार स्थानान्तरण नियमहरूले गम्भीर आर्थिक परिणामहरू निम्त्याउनेछ। त्यसो भनिए पनि, महत्वपूर्ण डेटा वित्तीय, स्वास्थ्य सेवा, महत्वपूर्ण राष्ट्रिय पूर्वाधार - लाई सम्भवतः स्थानीय भण्डारणको आवश्यकता पर्नेछ, जुन RBI को अवस्थित जनादेशसँग मेल खान्छ। जहाँ अर्को क्षेत्र-विशिष्ट कानूनले उच्च सुरक्षाको माग गर्दछ, DPDP ऐनले यसलाई स्थगित गर्छ।

अहिले सबैभन्दा कम मूल्याङ्कन गरिएको गोपनीयता जोखिम संस्थाहरूले केलाई बेवास्ता गरिरहेका छन्?

तीन प्रकारका थकानले सम्पूर्ण पारिस्थितिक प्रणालीलाई कमजोर पार्ने धम्की दिन्छन्: सहमति थकान (प्रयोगकर्ताहरूले सूचनाहरू स्वचालित रूपमा अनुमोदन गर्ने), सूचना थकान, र सूचना उल्लंघन थकान। DPDP ऐनले हाल जोखिम स्तरद्वारा उल्लङ्घनहरूलाई वर्गीकृत नगरेको हुनाले, प्रत्येक घटना - जतिसुकै सानो भए पनि - डेटा सुरक्षा बोर्ड र प्रभावित व्यक्तिहरूलाई रिपोर्ट गर्नुपर्छ, असफलताको लागि रु. २०० करोडसम्मको जरिवाना। यसले व्यक्तिहरूलाई सूचनाहरूको बाढी ल्याउन सक्छ, जसले गर्दा उनीहरूले वास्तवमा कारबाही आवश्यक पर्ने कुराहरू गुमाउन सक्छन्, जस्तै प्रमाणहरू परिवर्तन गर्ने वा फाइल मेटाउने।

किन डेटा खोज र वर्गीकरण अरू केहि भन्दा धेरै महत्त्वपूर्ण छ?

तपाईंसँग भएको कुरा थाहा नभएको कुरालाई तपाईंले सुरक्षित गर्न सक्नुहुन्न। तपाईंको प्रशोधन गतिविधिहरूको रेकर्ड (ROPA) निर्माण गर्नु अघि पनि पूर्ण डेटा खोज अभ्यास एक पूर्वशर्त हो। यसको अर्थ एन्डपोइन्टहरू, व्यावसायिक अफ-द-शेल्फ प्लेटफर्महरू (SAP, Oracle), अनुकूलन डाटाबेसहरू, र एज उपकरणहरू स्क्यान गर्नु हो। आधुनिक AI-संचालित उपकरणहरूले ढाँचा पहिचान मार्फत आधार र PAN नम्बरहरू जस्ता संवेदनशील डेटा पहिचान गर्न सक्छन्। महत्वपूर्ण रूपमा, यो अभ्यास समय-समयमा दोहोर्याउनु पर्छ: छाया परियोजनाहरू र दर्ता नगरिएका सर्भरहरूले DPO को जानकारी बिना चुपचाप व्यक्तिगत डेटा सङ्कलन गर्न सक्छन्।

एउटा महान DPO वास्तवमा कस्तो देखिन्छ र संस्थाहरूले गोपनीयता टोली कसरी निर्माण गर्नुपर्छ?

DPO को भूमिका कानून, प्रविधि, व्यापार प्रक्रिया, र सरोकारवाला सञ्चारको अन्तरसम्बन्धमा बस्छ। यसको लागि डेटा संरक्षण बोर्डसँग सम्पर्क राख्नु, ग्राहक गुनासोहरू सम्हाल्नु, निर्देशक बोर्डलाई सल्लाह दिनु र सङ्कलन गरिएको प्रत्येक डेटा क्षेत्रको छानबिन गर्नु आवश्यक छ। आकांक्षी गोपनीयता पेशेवरहरूका लागि: यदि तपाईं प्राविधिक पृष्ठभूमिबाट आउनुभएको छ भने, कानून र व्यापार प्रक्रियाहरू बुझ्न लगानी गर्नुहोस्; यदि तपाईं कानुनी पृष्ठभूमिबाट आउनुभएको छ भने, वास्तविक प्रविधि साक्षरता निर्माण गर्नुहोस्, Gen AI ले के गर्छ र क्वान्टम कम्प्युटिङले के बुझाउँछ भनेर बुझ्नुहोस्। गोपनीयता च्याम्पियनहरूलाई व्यापार एकाइहरू भित्र पहिचान गर्न सकिन्छ र समयसँगै पालनपोषण गर्न सकिन्छ।

२०३० सम्ममा भारतको DPDP यात्राको सफलता कस्तो देखिन्छ?

साँचो सफलता भनेको असंगठित, कम-नियमित क्षेत्रहरू, स्थानीय आतिथ्य शृङ्खलाहरू, साना क्लिनिकहरू, र क्षेत्रीय प्रशोधकहरूलाई तहमा ल्याउनु हो, केवल ठूला, विश्वव्यापी रूपमा खुला संस्थाहरू मात्र होइन जुन पहिले नै राम्रोसँग तयार छन्। यसको अर्थ डिजिटल विभाजनलाई कम गर्नु पनि हो ताकि गोपनीयता अधिकारहरू डिजिटल रूपमा साक्षर मात्र होइन, प्रत्येक बासिन्दाको लागि पहुँचयोग्य होस्। दुर्गम क्षेत्रका अस्पतालहरूलाई एकसाथ ल्याउने गोपनीयता समूहहरू जस्ता ग्रासरुट प्रयासहरू, त्यसपछि चलिरहेको गोपनीयता क्लिनिकहरू, स्केलमा सफल DPDP कार्यान्वयन कस्तो देखिन्छ भन्ने प्रारम्भिक सूचक हुन्।

यो हेर्ने हरेक व्यक्तिले के गर्नुपर्छ? Data Privacy के DPDPA को सत्र अर्को हप्ताबाट सुरु हुन्छ?

चार कार्य बुँदाहरू:
(१) एक उद्यम पेशेवरको रूपमा, आफ्नो दायित्व बुझेर, र एक बासिन्दाको रूपमा, आफ्नो अधिकारहरू जानेर कानून पढ्नुहोस्।
(२) तपाईंको संस्था हाल कार्यान्वयन यात्रामा कहाँ उभिएको छ भन्ने कुराको मूल्याङ्कन गर्नुहोस्।
(३) मद्दतको लागि सम्पर्क गर्नुहोस् Seqrite यदि तपाईं अड्किनुभएको छ वा सुरुबाट सुरु गर्दै हुनुहुन्छ भने।
(४) यदि तपाईंले वास्तविक कार्यान्वयन चुनौतीको सामना गर्नुभयो भने पीडाका बुँदाहरू चिन्ह लगाउनुहोस्; यसलाई DSCI मा ल्याउनुहोस् ताकि यसलाई तपाईंको संस्थाको लागि मात्र नभई उद्योग स्तरमा पनि बढाउन र समाधान गर्न सकियोस्।