Editor: व्यवसाय को नुकसान पहुंचाए बिना डेटा की सुरक्षा करें

डिजिटल पर्सनल डेटा प्रोटेक्शन एक्ट 2023 और इसके हाल ही में जारी किए गए ड्राफ्ट नियमों के तहत, व्यक्तिगत डेटा को किसी विदेशी देश में स्वतंत्र रूप से स्थानांतरित किया जा सकता है और वहां संसाधित किया जा सकता है, जब तक कि देश को केंद्र सरकार द्वारा ब्लैकलिस्ट नहीं किया जाता है। ब्लैकलिस्टिंग दृष्टिकोण केवल चुनिंदा देशों की सूची में डेटा ट्रांसफर को प्रतिबंधित करने के पहले के दृष्टिकोण के विपरीत है। मौजूदा प्रावधानों का बहुराष्ट्रीय कंपनियों पर सीधा प्रभाव पड़ता है जो कई देशों में व्यक्तिगत डेटा को प्रोसेस, स्टोर और कलेक्ट करती हैं। उदाहरण के लिए, यदि भारत में संचालित कोई MNC ब्लैकलिस्टेड देश में स्थित है, तो DPDP अधिनियम के तहत उसका संचालन प्रभावी रूप से बंद हो जाएगा। लेकिन यह स्पष्ट नहीं है कि क्या होगा यदि यह श्वेतसूचीबद्ध देश में स्थित है, लेकिन डेटा को ब्लैकलिस्टेड देश में संचालित इसकी किसी शाखा में स्थानांतरित कर दिया जाता है, जहाँ इसे संसाधित किया जाता है। अधिनियम और ड्राफ्ट नियमों ने इस मुद्दे को संबोधित नहीं किया है। यह देखते हुए कि वस्तुओं और सेवाओं को प्रदान करने के लिए कुछ मात्रा में व्यक्तिगत डेटा आवश्यक है, ऐसे देशों में संचालित विदेशी कंपनियाँ जहाँ डेटा ट्रांसफर प्रतिबंधित है (सरकार द्वारा अधिसूचित होने के बाद) भारत में व्यवसाय करने में चुनौतियों का सामना कर सकती हैं। यदि डेटा पहले से ही किसी ऐसे देश में स्थानांतरित किया जा रहा है, जिस पर सरकार बाद में प्रतिबंध लगाती है, तो ऐसे स्थानांतरणों को रोकने के लिए तत्काल कार्रवाई की आवश्यकता होगी। इससे यह सवाल उठता है कि क्या डेटा के नियमित सीमा-पार हस्तांतरण के लिए कोई विशिष्ट तंत्र बनाए बिना ब्लैकलिस्ट किए गए देश में काम करने वाले बहुराष्ट्रीय संगठनों पर पूरी तरह से प्रतिबंध लगाना वांछनीय है? डीपीडीपी अधिनियम और मसौदा नियमों के तहत ब्लैकलिस्ट दृष्टिकोण उल्टा पड़ सकता है और भारत में संचालित व्यवसायों को नुकसान पहुंचा सकता है।

केंद्र सरकार उन कारकों के आधार पर ब्लैकलिस्ट जारी करेगी, जिन्हें वह प्रासंगिक मानती है। हालाँकि, इस बात पर कोई स्पष्टता नहीं है कि ये कारक क्या होंगे। न तो अधिनियम या मसौदा नियमों में कारकों की एक विस्तृत या व्यापक सूची का उल्लेख किया गया है और न ही सरकार पर इस सूची को विनियमित करने के तंत्र को रेखांकित करने का दायित्व लगाया गया है। यह आवश्यक है क्योंकि मनमाने ढंग से निर्णय लेने से रोकने के लिए अधिक पारदर्शिता की आवश्यकता है।

यहाँ यह ध्यान रखना उचित है कि DPDPA का अतिरिक्त क्षेत्राधिकार भारत के बाहर डेटा फ़िड्यूशियरी पर भी लागू होता है, जिसका अर्थ है कि भारत में व्यक्तियों का व्यक्तिगत डेटा एकत्र करने वाली विदेशी कंपनियों को इसका अनुपालन करना होगा। सीमा पार डेटा हस्तांतरण की अनुमति सभी देशों को दी जाएगी, जब तक कि सरकार किसी विशिष्ट देश को हस्तांतरण पर रोक लगाने वाली अधिसूचना जारी न कर दे। दुनिया भर में गोपनीयता नियमों के विपरीत, DPDP अधिनियम सीमा पार डेटा हस्तांतरण के लिए पर्याप्तता निर्णय, मानक संविदात्मक खंड या बाध्यकारी कॉर्पोरेट नियमों जैसे विशेष तंत्रों को निर्दिष्ट नहीं करता है। यह अनुमान लगाया गया था कि सरकार मसौदा नियमों के माध्यम से स्पष्टीकरण देगी। लेकिन ऐसा नहीं हुआ। इस प्रकार, सीमा पार डेटा हस्तांतरण के लिए कुछ भौगोलिक स्थानों को ब्लैकलिस्ट करने का सरकार का निर्णय मनमाना, विवेकाधीन और भेदभावपूर्ण हो सकता है।

यह भी संभावना है कि भारत की डेटा स्थानीयकरण व्यवस्था हमें विश्व व्यापार संगठन के समक्ष विवादों में डाल सकती है। सेवाओं में व्यापार पर 1995 के सामान्य समझौते के तहत गोपनीयता ढांचे के तहत, WTO सदस्यों को गोपनीयता अधिकारों और व्यापार के मामले में संतुलित दृष्टिकोण अपनाने की आवश्यकता है। समझौते के अनुच्छेद XIV(c)(ii) में कहा गया है कि इसे सदस्य राज्यों को व्यक्तिगत डेटा के हस्तांतरण में व्यक्तियों की गोपनीयता की रक्षा से संबंधित कानूनों के अनुपालन को सुनिश्चित करने के लिए आवश्यक उपाय अपनाने से नहीं रोकना चाहिए। अनुच्छेद IV में निर्दिष्ट किया गया है कि ऐसे उपायों से देशों के बीच मनमाना या अनुचित भेदभाव नहीं होना चाहिए। इसलिए, भारत की ब्लैकलिस्टिंग रणनीति से देशों के बीच मनमाना या अनुचित भेदभाव नहीं होना चाहिए।

यह यूरोपीय संघ के सामान्य डेटा संरक्षण विनियमन (GDPR) के तहत डेटा के सीमा-पार हस्तांतरण के विपरीत है, जो डेटा के सीमा-पार हस्तांतरण को सुविधाजनक बनाने के लिए एक विशिष्ट तंत्र निर्धारित करता है। GDPR के तहत, सीमा-पार डेटा हस्तांतरण की अनुमति केवल तभी दी जाती है जब प्राप्त करने वाले संगठन या देश द्वारा व्यक्तिगत डेटा की पर्याप्त सुरक्षा सुनिश्चित की जाती है। GDPR के अनुच्छेद 45 के अनुसार, सीमा-पार हस्तांतरण हो सकता है बशर्ते वे GDPR के अनुच्छेद 47 में दिए गए कॉर्पोरेट नियमों का पालन करें। वैकल्पिक रूप से, सीमा-पार हस्तांतरण के लिए GDPR के अनुच्छेद 46 में उल्लिखित सुरक्षा उपायों का अनुपालन करने की आवश्यकता है। इनमें मानक डेटा सुरक्षा खंड, बाध्यकारी कॉर्पोरेट नियम, आचार संहिता, प्रमाणन तंत्र और तदर्थ संविदात्मक खंड शामिल हैं। सरकार को सीमा-पार डेटा हस्तांतरण को विनियमित करते समय इसी तरह के सुरक्षा उपायों का पता लगाना चाहिए। इसके अतिरिक्त, सीमा पार डेटा का हस्तांतरण क्षेत्र-विशिष्ट कानूनों के अनुसार होना चाहिए। डीपीडीपी अधिनियम में प्रावधान है कि क्षेत्र-विशिष्ट कानूनों को प्राथमिकता दी जाएगी। उदाहरण के लिए, आईआरडीएआई (भारतीय बीमाकर्ताओं द्वारा गतिविधियों की आउटसोर्सिंग) विनियम 2017 में कहा गया है कि पॉलिसीधारकों से संबंधित रिकॉर्ड भारतीय क्षेत्राधिकार तक ही सीमित होने चाहिए। इसका मतलब यह है कि भले ही सीमा पार डेटा का हस्तांतरण क्षेत्र-विशिष्ट कानूनों के अनुसार हो।

CREDIT NEWS: newindianexpress.