GDPR क्या है? ऐप बनाने वालों के लिए सरल गाइड
GDPR (General Data Protection Regulation) यूरोपीय संघ का मुख्य डेटा संरक्षण कानून है। यह तय करता है कि संस्थाएँ व्यक्तिगत डेटा, यानी किसी पहचाने जा सकने वाले जीवित व्यक्ति से जुड़ी कोई भी जानकारी, कैसे इकट्ठा, इस्तेमाल, संग्रहीत और साझा करें, और लोगों को अपने डेटा पर अधिकार देता है, जैसे उसे देखना या हटवाना। यह 25 मई 2018 से लागू है, और यूरोपीय संघ के बाहर के व्यवसायों पर भी लागू हो सकता है, अगर वे वहाँ के लोगों को सेवा देते हैं।
कानूनी सलाह नहीं। यह गाइड बुनियादी बातें समझने और बेहतर सवाल पूछने में मदद के लिए एक सामान्य व्याख्या है। यह आपकी स्थिति के बारे में सलाह का विकल्प नहीं है। प्रामाणिक विवरण के लिए देखें यूरोपीय आयोग के डेटा संरक्षण पेज और यूरोपीय डेटा संरक्षण बोर्ड की छोटे व्यवसायों के लिए गाइड।
AI से ऐप बनाते समय यह क्यों मायने रखता है
AI बिल्डर डेटा इकट्ठा करना आसान बना देते हैं। एक प्रॉम्प्ट से आपको साइन-अप फ़ॉर्म, संपर्क फ़ॉर्म, analytics, फ़ाइल अपलोड और हर यूज़र की सूची वाला एडमिन डैशबोर्ड मिल जाता है। इनमें से हर एक व्यक्तिगत डेटा इकट्ठा करता है, और GDPR इन सबकी परवाह करता है।
अच्छी खबर यह है कि GDPR जो माँगता है उसका ज़्यादातर हिस्सा अच्छी प्रोडक्ट प्रैक्टिस भी है:
- सिर्फ़ वही डेटा इकट्ठा करें जिसकी सच में ज़रूरत है।
- लोगों को बताएँ कि आप उसका क्या करते हैं।
- उसे सुरक्षित रखें।
- जब ज़रूरत न रहे, तो उसे मिटाएँ।
- लोगों को अपना डेटा देखने, सुधारने या हटाने दें।
ये चीज़ें शुरू से डिज़ाइन में लाना लॉन्च के बाद जोड़ने से कहीं आसान है। AI बिल्डर से शुरुआत में सही सवाल पूछने से बाद में एक दर्दनाक दोबारा निर्माण से बचा जा सकता है।
रोज़मर्रा की मिसाल
व्यक्तिगत डेटा को उन सामानों की तरह सोचिए जो लोग आपके पास छोड़ जाते हैं, जैसे कोट चेक-रूम, पर जानकारी के लिए। GDPR उस कोट चेक-रूम के घर के नियम हैं:
- सिर्फ़ वही लें जो व्यक्ति ने छोड़ने को सहमति दी हो, किसी ऐसे कारण से जिसे वह समझता हो।
- दूसरे इस्तेमाल के लिए जेबें न टटोलें।
- कमरा बंद रखें।
- माँगे जाने पर, या जब ज़रूरत न रहे, चीज़ें लौटाएँ या फेंक दें।
- अगर कुछ चोरी हो जाए, तो सही लोगों को तुरंत बताएँ।
जब तक कोट आपकी देखरेख में हैं, उनकी ज़िम्मेदारी आपकी है, भले ही आपने कमरा चलाने के लिए किसी और को रखा हो।
मूल विचार
व्यक्तिगत डेटा क्या है
यूरोपीय आयोग व्यक्तिगत डेटा को ऐसी किसी भी जानकारी के रूप में परिभाषित करता है जो किसी पहचाने गए या पहचाने जा सकने वाले जीवित व्यक्ति से जुड़ी हो। यह व्यापक है। इसमें नाम, ईमेल पते, घर के पते, IP पते, cookie IDs और फ़ोटो शामिल हैं। “Pseudonymised” डेटा, यानी जिसमें नाम की जगह कोड लगाए गए हों, फिर भी व्यक्तिगत डेटा हो सकता है, अगर उसे किसी व्यक्ति से जोड़ा जा सके।
कुछ श्रेणियों को अतिरिक्त सुरक्षा मिलती है, जिनमें स्वास्थ्य डेटा, बायोमेट्रिक डेटा, नस्लीय या जातीय मूल, और राजनीतिक राय शामिल हैं।
यह किन पर लागू होता है
आयोग के अनुसार, GDPR उन संस्थाओं पर लागू होता है जो यूरोपीय संघ में स्थापित हैं, और यूरोपीय संघ के बाहर की उन संस्थाओं पर भी जो यूरोपीय संघ के लोगों को सामान या सेवाएँ (भुगतान वाली या मुफ़्त) देती हैं या उनके व्यवहार की निगरानी करती हैं। यूरोपीय ग्राहकों वाला अमेरिकी या UAE स्टार्टअप भी इसके दायरे में आ सकता है। UK का अपना संस्करण है, UK GDPR, जो इसी पर काफ़ी हद तक आधारित है।
सिद्धांत
GDPR कुछ छोटे सिद्धांतों पर बना है। सरल शब्दों में:
| सिद्धांत | आपके ऐप के लिए इसका मतलब |
|---|---|
| वैधता, निष्पक्षता, पारदर्शिता | डेटा प्रोसेस करने का वैध कारण रखें, और लोगों को साफ़ बताएँ कि आप क्या करते हैं। |
| उद्देश्य की सीमा | डेटा का इस्तेमाल उन्हीं कारणों से करें जिनके लिए वह इकट्ठा किया गया था, नए अचानक कारणों से नहीं। |
| डेटा की न्यूनतमता | वे फ़ील्ड इकट्ठा न करें जिनकी ज़रूरत नहीं है। |
| सटीकता | डेटा सही रखें और लोगों को उसे सुधारने दें। |
| भंडारण की सीमा | डेटा हमेशा के लिए न रखें; जब ज़रूरत न रहे तो मिटाएँ। |
| अखंडता और गोपनीयता | लीक और अनधिकृत पहुँच से सुरक्षित रखें। |
| जवाबदेही | दिखा सकें कि आप अनुपालन कैसे करते हैं। |
वैध आधार
डेटा के इस्तेमाल के हर तरीके के लिए आपको एक कानूनी कारण चाहिए, जिसे “lawful basis” कहते हैं। GDPR छह सूचीबद्ध करता है: सहमति, अनुबंध का निष्पादन, कानूनी दायित्व, महत्वपूर्ण हित, सार्वजनिक कार्य, और वैध हित। सहमति इनमें से सिर्फ़ एक है। उदाहरण के लिए, किसी ऑर्डर को डिलीवर करने के लिए उसे प्रोसेस करना आमतौर पर अनुबंध से जुड़ा है, सहमति से नहीं। कौन सा आधार फ़िट होता है, यह एक निर्णय है जिसे आधिकारिक दिशानिर्देशों से जाँचना चाहिए।
लोगों के अधिकार
आयोग व्यक्तियों के लिए ये अधिकार सूचीबद्ध करता है:
- यह जानने का अधिकार कि उनका डेटा कैसे इस्तेमाल होता है
- अपने डेटा तक पहुँच का अधिकार
- उसे सुधरवाने का अधिकार
- उसे मिटवाने का अधिकार
- प्रोसेसिंग सीमित करवाने का अधिकार
- डेटा पोर्टेबिलिटी (उसे इस्तेमाल योग्य फ़ॉर्मेट में पाने) का अधिकार
- आपत्ति करने का अधिकार
- स्वचालित निर्णय लेने और प्रोफ़ाइलिंग से जुड़े अधिकार
डेटा उल्लंघन
अगर व्यक्तिगत डेटा लीक हो और इस उल्लंघन से लोगों के अधिकारों और स्वतंत्रता को जोखिम होने की संभावना हो, तो संस्था को आम तौर पर अपने डेटा संरक्षण प्राधिकरण को बिना अनुचित देरी के, और जहाँ संभव हो तो उसकी जानकारी होने के 72 घंटे के भीतर, सूचित करना होता है। कुछ मामलों में प्रभावित लोगों को भी बताना होता है।
एक उदाहरण: योग स्टूडियो का बुकिंग ऐप
मान लीजिए आप जर्मनी में ग्राहकों वाले एक योग स्टूडियो के लिए बुकिंग ऐप बना रहे हैं। GDPR इसे इस तरह आकार देता है।
कम इकट्ठा करें। साइन-अप फ़ॉर्म नाम, ईमेल और वैकल्पिक फ़ोन नंबर माँगता है। पहले ड्राफ़्ट में जन्मतिथि और घर का पता भी माँगा गया था, लेकिन ऐप में उनका कोई इस्तेमाल नहीं, इसलिए उन्हें हटा दिया गया।
स्वास्थ्य डेटा पर सावधानी। स्टूडियो चोटों के बारे में पूछना चाहता है। यह स्वास्थ्य डेटा है, एक विशेष श्रेणी जिस पर सख्त नियम लागू होते हैं। स्टूडियो तय करता है कि इसे व्यक्तिगत रूप से संभाला जाएगा, इसलिए ऐप इसे इकट्ठा नहीं करता।
पारदर्शी रहें। एक गोपनीयता नीति बताती है कि क्या इकट्ठा होता है, क्यों, कितने समय तक रखा जाता है, और इसे और कौन प्रोसेस करता है (होस्टिंग प्रदाता, ईमेल सेवा, पेमेंट प्रदाता), और स्टूडियो से संपर्क कैसे करें।
मार्केटिंग अलग है। कोई क्लास बुक करने से किसी को न्यूज़लेटर की सदस्यता नहीं मिल जाती। उसके लिए एक अलग, बिना टिक किया हुआ चेकबॉक्स है।
प्रोडक्ट में अधिकार। ग्राहक अपनी प्रोफ़ाइल देख और बदल सकते हैं, अपनी बुकिंग का इतिहास डाउनलोड कर सकते हैं, और अपने अकाउंट पेज से मिटाने का अनुरोध कर सकते हैं।
रखने की अवधि। निष्क्रिय अकाउंट एक तय अवधि के बाद चिह्नित किए जाते हैं, और अगर ग्राहक जवाब न दे तो हटा दिए जाते हैं। अवधि स्टूडियो चुनता है।
Cookies। लॉगिन cookie ज़रूरी है। Analytics तभी लोड होता है जब विज़िटर उसे स्वीकार करे। देखें cookies क्या हैं।
सुरक्षा। पासवर्ड hash किए जाते हैं, एडमिन क्षेत्र को दो-चरणीय सत्यापन चाहिए, और ग्राहक सूचियाँ सिर्फ़ मालिक एक्सपोर्ट कर सकता है।
आम शब्दों की व्याख्या
| शब्द | मतलब |
|---|---|
| व्यक्तिगत डेटा | किसी पहचाने गए या पहचाने जा सकने वाले जीवित व्यक्ति के बारे में कोई भी जानकारी। |
| प्रोसेसिंग | व्यक्तिगत डेटा के साथ किया गया कोई भी काम: इकट्ठा करना, संग्रहीत करना, इस्तेमाल करना, साझा करना, मिटाना। |
| Data subject | वह व्यक्ति जिसके बारे में डेटा है। |
| Controller | वह संस्था जो तय करती है कि डेटा क्यों और कैसे प्रोसेस हो, आमतौर पर आप, ऐप के मालिक। |
| Processor | वह कंपनी जो controller की ओर से डेटा प्रोसेस करती है, जैसे होस्टिंग या ईमेल प्रदाता। |
| Data Processing Agreement (DPA) | controller और processor के बीच एक अनुबंध जो बताता है कि डेटा कैसे संभाला जाएगा। |
| Lawful basis | प्रोसेसिंग का कानूनी कारण, जैसे सहमति या अनुबंध। |
| सहमति | एक स्वेच्छा से दी गई, विशिष्ट, सूचित और साफ़ “हाँ”; पहले से टिके हुए बॉक्स मान्य नहीं। |
| विशेष श्रेणी का डेटा | संवेदनशील डेटा जैसे स्वास्थ्य या बायोमेट्रिक्स, जिस पर सख्त नियम हैं। |
| Supervisory authority | किसी देश का डेटा संरक्षण नियामक। |
आम गलतियाँ और गलतफ़हमियाँ
- “हम यूरोपीय संघ में नहीं हैं, इसलिए यह लागू नहीं होता।” यह आपके यूज़र्स कहाँ हैं, इसके आधार पर लागू हो सकता है।
- “GDPR का मतलब हर चीज़ के लिए सहमति है।” सहमति छह वैध आधारों में से एक है, और अक्सर सही आधार नहीं होती।
- “Cookie बैनर से हम अनुपालक हो जाते हैं।” Cookies एक छोटा हिस्सा हैं। डेटा संग्रह, सुरक्षा, अधिकार और रखने की अवधि ज़्यादा मायने रखते हैं।
- “हमारा होस्ट GDPR-अनुपालक है, इसलिए हम भी हैं।” प्रदाता मदद करते हैं, लेकिन आप तय करते हैं कि आपका ऐप क्या इकट्ठा करता है और क्या करता है।
- “बस यूँ ही, कहीं काम आ जाए” सोचकर इकट्ठा करना। हर अतिरिक्त फ़ील्ड का मतलब है और अधिक सुरक्षा, स्पष्टीकरण और मिटाने का काम।
- किसी और साइट की गोपनीयता नीति कॉपी करना। उसे वर्णन करना होगा कि आपका ऐप असल में क्या करता है।
- मिटाना असंभव बनाना। अगर कोई डेवलपर के बिना यूज़र को नहीं हटा सकता, तो अधिकारों के अनुरोध आपात स्थिति बन जाते हैं।
अपने AI बिल्डर से क्या माँगें
- “इस ऐप में जो भी व्यक्तिगत डेटा इकट्ठा होता है, उसकी सूची दो: कहाँ संग्रहीत है और क्यों ज़रूरी है।”
- “वे फ़ॉर्म फ़ील्ड हटाओ जो हम इस्तेमाल नहीं करते।”
- “एक अकाउंट पेज जोड़ो जहाँ यूज़र्स अपना डेटा देख, बदल, डाउनलोड कर सकें और मिटाने का अनुरोध कर सकें।”
- “एक एडमिन कार्रवाई बनाओ जो यूज़र और उसके संबंधित रिकॉर्ड पूरी तरह मिटाए, या जो रिकॉर्ड हमें रखने हैं उन्हें अनाम कर दे।”
- “मार्केटिंग साइन-अप को अलग, बिना टिक किए चेकबॉक्स के रूप में रखो।”
- “सहमति से पहले analytics या मार्केटिंग स्क्रिप्ट लोड मत करो।”
- “हर तीसरी पार्टी सेवा की सूची दो जो यूज़र डेटा प्राप्त करती है, ताकि मैं उन्हें गोपनीयता नीति में जोड़ सकूँ।”
- “एडमिन एक्सपोर्ट सिर्फ़ मालिक की भूमिका तक सीमित करो और लिखो कि किसने क्या एक्सपोर्ट किया।”
फिर पढ़ें सेवा की शर्तें और गोपनीयता नीति कैसे लिखें और cookie सहमति कैसे जोड़ें।
Mythex और GDPR
Mythex आपको निर्माण खंड देता है, अनुपालन प्रमाणपत्र नहीं। जब आप उन्हें चालू करते हैं, तो आपके ऐप का डेटा उसके अपने प्रोजेक्ट डेटाबेस और फ़ाइल स्टोरेज में रहता है, आप कोड के मालिक हैं, और Pro पर ज़रूरत होने पर प्रोजेक्ट एक्सपोर्ट कर सकते हैं। आपका ऐप क्या इकट्ठा करता है, कितने समय तक रखता है, और लोग अपने अधिकारों का इस्तेमाल कैसे करते हैं, ये फ़ैसले आप करते हैं, और इन्हें एजेंट से बनवाते हैं। डेटा स्वामित्व पर दस्तावेज़ पेज बताता है कि Mythex क्या होस्ट करता है, और आपके बनाए ऐप्स की सुरक्षा उस अनुपालन के दावे के खिलाफ़ चेतावनी देता है जो आपके पास नहीं है। अगर आपको डेटा कहाँ होस्ट है या डेटा प्रोसेसिंग अनुबंध जैसी खास जानकारी चाहिए, तो लॉन्च से पहले Mythex सपोर्ट से पूछें।
सवाल
सीधे शब्दों में GDPR क्या है?
General Data Protection Regulation (GDPR) यूरोपीय संघ का मुख्य डेटा संरक्षण कानून है। यह तय करता है कि संस्थाएँ लोगों के बारे में जानकारी कैसे इकट्ठा, इस्तेमाल, संग्रहीत और साझा करें, और लोगों को अपने डेटा पर अधिकार देता है। यह 25 मई 2018 से लागू है।
क्या GDPR यूरोपीय संघ के बाहर के व्यवसायों पर भी लागू होता है?
हो सकता है। यूरोपीय आयोग के अनुसार, यह यूरोपीय संघ के बाहर की उन संस्थाओं पर भी लागू होता है जो यूरोपीय संघ के लोगों को सामान या सेवाएँ देती हैं, भले ही मुफ़्त में, या जो उनके व्यवहार की निगरानी करती हैं। सिर्फ़ यह मायने नहीं रखता कि आप कहाँ स्थित हैं; यह भी मायने रखता है कि आपके यूज़र कौन हैं।
क्या ईमेल पता व्यक्तिगत डेटा है?
हाँ। व्यक्तिगत डेटा वह कोई भी जानकारी है जो किसी पहचाने गए या पहचाने जा सकने वाले जीवित व्यक्ति से जुड़ी हो। नाम, ईमेल पते, IP पते और cookie IDs, ये सब गिने जा सकते हैं।
क्या GDPR-अनुपालक होस्ट इस्तेमाल करने से मेरा ऐप अनुपालक हो जाता है?
नहीं। होस्ट अनुपालन में मदद कर सकता है, लेकिन यह आप तय करते हैं कि आपका ऐप कौन सा डेटा इकट्ठा करता है, क्यों, उसे कितने समय तक रखता है और उसे कौन देखता है। इन फ़ैसलों को सही करना आपकी ज़िम्मेदारी है।
क्या यह गाइड कानूनी सलाह है?
नहीं। यह एक सामान्य व्याख्या है जो आपको बेहतर सवाल पूछने में मदद करती है। अपनी खास स्थिति के लिए यूरोपीय संघ या अपने देश के डेटा संरक्षण प्राधिकरण के आधिकारिक दिशानिर्देश देखें, या किसी योग्य सलाहकार से बात करें।