निजी डिजिटल डाटा संरक्षण क़ानून : निजता के हनन का ब्लूप्रिंट 

लोकसभा ने बिना किसी विशेष बहस के ही 7 अगस्त को डिजिटल पर्सनल डाटा प्रोटेक्शन विधेयक पारित कर दिया। सरकार ने निजी डाटा की सुरक्षा का फ्रेमवर्क तैयार करने के लिए अपनी पीठ थपथपा ली है और उसका दावा है कि इतना सरल और स्पष्ट कानून दुनिया में कहीं नहीं है। इस पर बहुत से ऐतराज भी किए गए लेकिन ऐसा प्रतीत हुआ कि दूसरे अन्य बड़े राजनीतिक घटनाक्रमों के बीच इस पर विपक्ष का भी ध्यान उतनी गहराई से नहीं गया जितना अपेक्षित था। बहस में जिन्होंने इसकी आलोचना की वे भी इसके गहरा नुकसान कर सकने वाले कई गंभीर पहलू पूरी तरह नजरंदाज कर गए। 

इस कानून के दायरे में ऑनलाइन एकत्र किया गया या ऑफलाइन एकत्र कर डिजिटल में रूपांतरित किया गया डाटा और इसकी सभी प्रकार की प्रोसेसिंग आती है। अगर डाटा विदेश में इकट्ठा किया गया है लेकिन उसका उपयोग भारत में सामान या सेवा व्यापार में होगा तब भी यह इस कानून के दायरे में आएगा। जिस भी डाटा से किसी व्यक्ति की पहचान हो सकती है उसे निजी डाटा परिभाषित किया गया है और इसकी पूर्ण या आंशिक स्वचालित प्रोसेसिंग इस कानून के अंतर्गत आती है। इसमें डाटा एकत्र करना, उसका भंडारण, प्रयोग और शेयर करना शामिल हैं।  

इस कानून के कुछ अहम प्रावधान हैं कि कोई भी कंपनी कहीं से डाटा उठाकर उसका उपयोग तब तक नहीं कर सकती, जब तक डाटा से संबंधित व्यक्ति की मंजूरी नहीं ली जाती। नया एक्ट लागू होने के बाद कंपनी को संविधान में अनुसूचित सभी 22 भाषाओं में संबंधित व्यक्ति की सुविधा के मुताबिक यह बताना होगा कि वह किस उद्देश्य से डाटा ले रही है। कंपनी व्यक्ति के डाटा की सुरक्षा तय करेगी। एक निश्चित उद्देश्य के बाद व्यक्ति के निजी डाटा को डिलीट करना होगा। प्राइवेसी के उल्लंघन पर उसकी प्रकृति, गंभीरता और अवधि के आधार पर जुर्माने का प्रावधान किया गया है। यह हर्जाना कुछ हजार रुपये से लेकर 250 करोड़ रुपये तक होगा। प्राइवेसी उल्लंघन पर नजर रखने के लिए एक डाटा प्रोटेक्शन बोर्ड ऑफ इंडिया का गठन किया जाएगा। कानून में बोर्ड के कामकाज की प्रक्रिया का जिक्र है।

कानून का विरोध करने वालों का कहना है कि डाटा प्रोटेक्शन बोर्ड में सरकार द्वारा नामित प्रतिनिधि होंगे। इससे प्राइवेसी के निगरानी तंत्र पर सरकार का पूरा नियंत्रण होगा। हालांकि एक्ट के चैप्टर 5 के क्लॉज 19 (3) में बोर्ड के चेयरपर्सन और सदस्यों के लिए आईटी और साइबर विशेषज्ञता की बात कही गई है लेकिन कहा जा रहा है कि सरकार बोर्ड को पारदर्शी बनाने के लिए एक स्वतंत्र कमिटी का गठन करे और इसमें चीफ जस्टिस ऑफ इंडिया, विपक्ष के नेता और कैबिनेट सेक्रेटरी के द्वारा नामित सदस्य शामिल करने के सुझाव दिए गए हैं। विपक्ष का यह भी कहना है कि डिजिटल पर्सनल डाटा प्रोटेक्शन एक्ट के जरिए सरकार ने प्राइवेट सेक्टर पर जिस तरह निगरानी बढ़ाई है, वैसी ही जवाबदेही सरकार पर भी होनी चाहिए। दुनिया भर में बने डिजिटल प्रोटेक्शन एक्ट के लिए यूरोपीय यूनियन के जनरल डाटा प्रोटेक्शन रेग्युलेशन (GDPR) को रोल मॉडल माना जाता है। यूरोपीय यूनियन ने भी राष्ट्रीय सुरक्षा के विषयों पर सरकारों को कुछ रियायतें दी हैं, लेकिन भारतीय डिजिटल पर्सनल डाटा प्रोटेक्शन एक्ट यह स्पष्ट रूप से परिभाषित नहीं करता कि किन विषय और परिस्थिति में सरकार को छूट होगी। अतः यह सरकार के लिए इन प्रावधानों के मनमर्जी से उपयोग हेतु सिर्फ एक चोर दरवाजा नहीं पूरा फाटक ही खोल देता है। 

पर इन ऐतराजों में कुछ महत्वपूर्ण व अत्यंत हानिकारक सिद्ध हो सकने वाले पहलू छूट गए हैं। इसमें सबसे अहम निजी डाटा के प्रयोग के लिए उद्देश्य की सूचना के आधार पर संबंधित व्यक्ति से ली जाने वाली मंजूरी का क्षेत्र मुख्य है। जहां निजी डाटा के उपयोग के लिए व्यक्ति को उद्देश्य की सूचना के आधार पर स्पष्ट सहमति या मंजूरी प्राप्त करने का प्रावधान किया गया है वहां चार प्रकार के ‘वैध इस्तेमाल’ के लिए मंजूरी लेने से छूट दे दी गई है। पहला, निश्चित मकसद के लिए व्यक्ति द्वारा स्वेच्छा से दिया गया डाटा; दूसरा, सरकार द्वारा दिया जाने वाला लाभ या सेवा; तीसरा, चिकित्सकीय आपात स्थिति; और चौथा, रोजगार संबंधी डाटा। 

उपरोक्त संबंध में जो भी डाटा इकट्ठा किया जाता है उसके बारे में डाटा एकत्र करने वाली निजी कंपनियों व सरकार को बिना डाटा प्रोसेसिंग का उद्देश्य बताए या यह स्पष्ट किए कि उसके लिए व्यक्ति का कोई डाटा क्यों प्रयोग होगा, बिना कोई हद बांधे सभी डाटा के अबाध उपयोग का ब्लैंक चेक दे दिया गया है। इसके विपरीत दुनिया के कई विकसित देशों में जो डाटा संरक्षण कानून बने हैं उसमें निजी डाटा के बेसबब प्रयोग पर रोक लगाते हुए उद्देश्य के अनुरूप जरूरी डाटा मात्र ही एकत्र करने और इसके विवेकपूर्ण प्रयोग को मुख्य सिद्धांत माना गया है। उदाहरण के लिए एक डॉक्टर को किसी व्यक्ति की कैंसर की बीमारी का इलाज करने के लिए क्या डाटा जरूरी है? क्या उसे कैंसर के इलाज हेतु मरीज की जाति, धार्मिक विश्वास, राजनीतिक विचार, राष्ट्रीयता, यौन रुझान, आदि बहुत सी चीजें जानने की तार्किक आवश्यकता है? अगर नहीं, तो यह सूचनाएं एकत्र करना और इन्हें किसी भी मकसद से प्रयोग करना बेसबब व अविवेकपूर्ण माना जाता है। किंतु लोकसभा द्वारा पारित डाटा प्रोटेक्शन विधेयक उपरोक्त चार मामलों में कोई सीमाएं तय नहीं करता, और सरकार व निजी कंपनियों दोनों के द्वारा बेसबब गैर जरूरी डाटा एकत्र कर इसके अविवेकपूर्ण प्रयोग की पूरी छूट देता है।     

रोजगार संबंधी छूट के निहितार्थों का एक अत्यंत सरल उदाहरण देखिए। सबसे पहले तो नियोक्ता कर्मी संबंधी डाटा एकत्र करने के लिए किसी तार्किक सीमा से पूरी छूट पा गया है। जैसे चिकित्सकीय आवश्यकता का उदाहरण दिया गया वैसे ही तमाम उदाहरण दिए जा सकते हैं कर्मी संबंधी जो सूचनाएं कंपनी द्वारा दिए गए रोजगार के उद्देश्य से संबंधित नहीं हैं। नियोक्ता कंपनी को ऐसी सूचनाएं एकत्र, स्टोर, प्रोसेस व शेयर करने की छूट क्यों होनी चाहिए? ऐसे ही किसी नियोक्ता कंपनी को अपने कर्मियों का कार्य मूल्यांकन एक ‘वैध प्रयोग’ है तो इसके लिए वह अपने कर्मियों के सभी निजी डाटा को बिना प्रतिबंध अबाध रूप से प्रयोग करने की अधिकारी बन गई है। उसे कर्मचारी को बताने की आवश्यकता नहीं है कि इस मूल्यांकन का दायरा क्या है और उसका कौन सा निजी डाटा किस काम में इस्तेमाल होगा। अब कंपनी अपने कर्मी का जो कोई भी डाटा उसके हाथ लगे उसे अपने उत्पादकता एआई प्रोग्राम में डाल प्रोसेस कर सकती है जैसे उसकी व्यक्तिगत पहचान, स्थान, कान्टैक्ट की जानकारियों के साथ ही उसके सारे मूवमेंट्स (कैमरा से), उसकी यात्राएं, वित्तीय जानकारियां, मेडिकल डाटा, आदि। अब उसे कार्य मूल्यांकन में इन जानकारियों को इकट्ठा व प्रोसेस करने का उद्देश्य बताने और व्यक्ति की सहमति लेने की कोई जरूरत नहीं रही। इसके निहितार्थों की कल्पना की जा सकती है।

इसके साथ अगर हम यह जोड़ कर देखें कि भारत में शिक्षा, सूचना व चेतना का स्तर कितना नीचा है; आधार से लेकर तमाम उद्देश्यों से सरकार पहले ही बहुत सारी सूचनाएं सभी नागरिकों के बारे में एकत्र कर रही है; हर जगह आधार और पैन देना अनिवार्य किया जा चुका है; और, अब तो 7 अगस्त को ही पारित हुए जन्म-मृत्यु पंजीकरण कानून संशोधन में भी इनके लिए आधार जोड़ना अनिवार्य कर दिया गया है तब हम सहज ही कल्पना कर सकते हैं कि यह निजी डाटा संरक्षण विधेयक डाटा प्रोटेक्शन का नहीं, सरकारी विभागों व निजी कॉर्पोरेट दोनों को ही हर नागरिक पर एक निगरानी तंत्र कायम कर हमारी निजता के सम्पूर्ण हनन में सक्षम बनाने का ब्लूप्रिंट है।    

(लेखक आर्थिक मामलों के जानकार और राजनीतिक विश्लेषक हैं। विचार व्यक्तिगत हैं।)