ऐप्स की ‘प्राइवेसी पॉलिसी’ को कैसे समझें?

(यह लेख मूल रूप से ‘द मार्कअप’ में प्रकाशित हुआ था। उनसे अनुमति लेकर यहां प्रकाशित किया गया है। इसकी शैली में संपादन किया गया है।)

हम कई ऐप्स या प्लेटफ़ॉर्म का उपयोग करते हैं। अधिकांश तकनीकी कंपनियां की ‘गोपनीयता नीति’ (प्राइवेसी पॉलिसी) भयावह होती है। इनमें काफी लंबे, जटिल और कानूनी दांवपेंच से भरी बातें होती हैं। इनके प्रस्तावों को स्वीकार करने या नहीं करने का निर्णय लेना मुश्किल होता है।

लेकिन गोपनीयता नीति (निजता नीति) ही एकमात्र ऐसा स्थान है, जहां तकनीकी कंपनियां को अपनी पूरी सच्चाई बतानी पड़ती है। जैसे, वह किस प्रकार को व्यक्तिगत डेटा एकत्र कर रहे है? उस डेटा को उनके द्वारा कैसे उपयोग किया जाता है और किस तरह लाभ कमाया जाता है? साथ ही, जब हम उनके ऐप्स या प्लेटफ़ॉर्म का उपयोग करना चुनते हैं, तो उसके साथ हम किस प्रकार के व्यापार में शामिल हो रहे हैं, इसकी जानकारी भी ‘प्राइवेसी पॉलिसी’ में मिल जाती है।

आम तौर पर अधिकांश प्राइवेसी पॉलिसी में एक पूर्व-अनुमानित संरचना का पालन किया जाता है। इसलिए आप उनकी तह तक जाने की कला सीख सकते हैं। उसके मुख्य हिस्सों का पता लगा सकते हैं। लंबा दस्तावेज होने के बावजूद केवल महत्वपूर्ण जानकारी को निकालने के लिए झपट्टा मार सकते हैं। आप कुछ सूचनाओं के संग्रह के आधार पर उससे बाहर निकलने या विकल्प चुनने के अवसर का लाभ उठा सकते हैं। अधिक गहराई तक जाने और अधिक व्यक्तिगत प्रकटीकरण से जुड़े बिंदुओं को भी बेहद कम समय में आसानी से समझ सकते हैं।

इस गाइड में हमने बताया है कि यह कैसे करना है। यह हमारे साझा अनुभवों पर आधारित है। पत्रकार जॉन कीगन ने अपनी रिपोर्टिंग के दौरान ऐसे सैकड़ों दस्तावेज़ पढ़े हैं। जेसी वू एक प्रशिक्षु एवं वकील हैं, जिन्होंने दर्जनों गोपनीयता नीतियां लिखने में मदद की है। हमें किन बातों का ध्यान रखना चाहिए, इस पर आपके साथ कुछ सुझाव साझा करना चाहते हैं। हमने कुछ गोपनीयता विशेषज्ञों से भी विचार करके अपनी सलाह साझा करने का अनुरोध किया है।

आपको किस चीज़ का ध्यान रखना है, इसका विस्तृत विवरण यहां प्रस्तुत है। इसमें आपको कई चीजें करनी होंगी। इसलिए मुख्य अवधारणाओं के साथ ‘तीर’ का प्रतीक चिन्ह (➡️) लगा दिया गया है। यदि आप इससे भी अधिक गहराई से जानना चाहते हैं, तो हमने प्रत्येक बिंदु के काफी विवरण शामिल किए हैं।

गोपनीयता नीति की संरचना

प्राइवेसी पॉलिसी में आमतौर पर एक पूर्व-अनुमानित संरचना का पालन किया जाता है।

डाटा संग्रहण: किस विशिष्ट प्रकार का डाटा एकत्र किया जा रहा है और कैसे।

डाटा साझा करना: तृतीय पक्ष के साथ कौन-सा डाटा साझा किया जाएगा और वे पक्ष कौन हैं।

डाटा उपयोग: आपके डाटा का उपयोग कैसे किया जाएगा? यह विज्ञापन, डाटा संवर्धन, या सेवा प्रदान करने के लिए हो सकता है।

डेटा प्रबंधन: डाटा प्रतिधारण (रीटेंशन), स्थानांतरण, सुरक्षा और एन्क्रिप्शन संबंधी विवरण।

किन बातों पर ध्यान देना है?

कोई ‘गोपनीयता नीति‘ आपको काफी महत्वपूर्ण जानकारियां दे सकती है। यह आपको कहीं अन्यत्र नहीं मिल सकती है। यहां अधिकांश प्राइवेसी पॉलिसियों में शामिल उपयोगी विवरण की जानकारी दी गई है। उन्हें कैसे खोजा जाए, इसे समझें।

कंपनी कैसी जानकारी जुटा रही है?

➡️ किसी कंपनी की प्राइवेसी पॉलिसी में आपको यह पता चल जाएगा कि वह कैसी जानकारी जुटा रही है। ‘व्यक्तिगत जानकारी, जो हम एकत्र करते हैं’ या ‘हम आपका व्यक्तिगत डेटा कैसे एकत्रित करते हैं और उसका उपयोग कैसे करते हैं’ – ऐसे शीर्षक वाला हिस्सा देखें। इसमें उस प्रकार के डेटा की सूची होगी, जिसे कंपनी ‘स्वचालित रूप से‘ और सीधे आपसे एकत्र करती है। आप प्रकटीकरण देख सकते हैं कि कंपनी आपके वेब ब्राउज़र से आपका स्थान, आईपी पता, बायोमेट्रिक्स, या कुकीज़ या ट्रैकर्स जैसी जानकारी एकत्र करती है।

उन संकेतों पर भी नज़र रखें कि कंपनी ‘फ़िंगरप्रिंटिंग’ नामक एक ट्रैकिंग तकनीक का उपयोग करती है। इसके जरिए वह आपको उस वक्त भी पहचान सकती है, जब आप कुकीज़ को अस्वीकार करते हैं, या ट्रैकर्स को ब्लॉक करने के लिए अपने रास्ते से बाहर जाते हैं। यह आपके डिवाइस के बारे में भी पूरी जानकारी ले सकती हे। जैसे, आपका ऑपरेटिंग सिस्टम, निर्माता, या यहां तक कि स्क्रीन रिज़ॉल्यूशन की भी जानकारी मिल सकती है। इसलिए इस बात पर नज़र रखें कि कैसा डाटा एकत्र किया जा रहा है।

सेबस्टियन ज़िम्मेक (सहायक प्रोफेसर, कंप्यूटर विज्ञान, वेस्लीयन विश्वविद्यालय) गोपनीयता नीतियों पर अध्ययन करते हैं। उनके अनुसार, कई बार यह जानना असंभव है कि इस तरह के हिस्सों में लिखी गई बातों का वास्तव में किस हद तक अनुपालन हो रहा है या नहीं होता। कई गोपनीयता नीतियां में लिखा होता है कि कंपनी आपकी जानकारी एकत्र कर सकती हैं या हो सकता है कि ऐसा न करे। इसलिए ऐसी नीतियां सार्थक नहीं हो पातीं।

स्थान (लोकेशन) का संवेदनशील श्रेणी डाटा

सूचना संग्रह के अनुभाग में आपके स्थान या ठिकाने संबंधी शब्द, जैसे जियोलोकेशन, जियोफेंसिंग या जियोटारगेटिंग देखें। इससे पता चलता है कि कंपनी किस तरह संवेदनशील श्रेणी का ऐसा डाटा एकत्र कर रही है। शोधकर्ताओं ने बार–बार दिखाया है कि हमारे आवागमन के तौर-तरीकों से हमारे निजी जीवन की ऐसी जानकारी निकल सकती है जिसे हम दूसरों को बताना नहीं चाहते। इसमें किसी पूजास्थल, हमारे चिकित्सा प्रदाता या किसी राजनीतिक विरोध प्रदर्शन में भागीदारी जैसी सूचनाएं भी शामिल हैं।

➡️ ‘प्रेसाइज जियोलोकेशन‘ शब्द पर खास ध्यान दें। कैलिफोर्निया उपभोक्ता गोपनीयता अधिनियम ने इसे 1850 फीट की त्रिज्या (रेडियस) वाले एक वृत्त के क्षेत्र के बराबर या उससे कम एक भौगोलिक क्षेत्र के रूप में परिभाषित किया है।

कंपनी जानकारी क्यों जुटा रही है? इसका उपयोग कैसे करेगी?

➡️ किसी प्राइवेसी पॉलिसी में इस शीर्षक की तलाश करें- ‘हम आपकी व्यक्तिगत जानकारी का उपयोग कैसे करते हैं।‘ इस हिस्से में कंपनी यह स्पष्टीकरण करती है कि उसे आपके डाटा की आवश्यकता क्यों है। कई बार यह बहुत स्पष्ट या सरल होता है। जैसे, किसी लेन-देन की प्रक्रिया पूरी करने के लिए ऐप को आपके भुगतान की जानकारी चाहिए। या फिर, आपको ड्राइविंग दिशानिर्देश देकर आपके स्थान तक पहुंचाने के लिए किसी डाटा की आवश्यकता होना उचित है। लेकिन जब यह बात कम स्पष्ट हो कि किसी विशेष श्रेणी का व्यक्तिगत डाटा क्यों एकत्र किया जा रहा है, तो उसे ध्यान से देखें। उदाहरण के लिए, किसी रेसिपी ऐप को आपके स्थान की आवश्यकता क्यों होगी? ‘व्यावसायिक गतिविधि‘ और ‘व्यावसायिक उद्देश्य‘ जैसे अस्पष्ट और अत्यधिक व्यापक कारणों पर भी नज़र रखें। ऐसे शब्दों से यह संकेत मिल सकता कि आप कोई जानकारी साझा नहीं करना चाहेंगे। इसे उनके द्वारा एकत्र की गई जानकारी का वर्णन करने वाले अनुभाग के साथ जोड़ा जा सकता है।

इलेक्ट्रॉनिक गोपनीयता सूचना केंद्र (ईपीआईसी) से जुड़े वैश्विक गोपनीयता वकील कैली श्रोएडर ने कहा कि इस खंड में बताए गए ‘उदाहरण के लिए’ को गंभीरता से समझने का प्रयास करें। कई मामलों में, ’उदाहरण के लिए’ के तहत बेहद सामान्य किस्म के उपयोग की बात की जाती है। ऐसा करके संभावित गंभीर उपयोग की ओर से ध्यान भटका दिया जाएगा। ऐसा करके कंपनी अन्य उपयोग गोपनीयता नीति का उल्लंघन नहीं करेगी, क्योंकि उसने ऐसा दावा नहीं किया है कि वह ‘उदाहरण‘ ही एकमात्र उपयोग प्रकार था। श्रोएडर ने समझाया।

‘व्यावसायिक साझेदार’ से साझा करना अधिक चिंताजनक

➡️ प्राइवेसी पॉलिसी में तीसरे पक्ष संबंधी अनुभाग (सेक्शन) देखें। इसमें बताया जाता है कि आपका डाटा किसे बेचा जाता है या किसके साथ साझा किया जाता है। आप ‘सेवा प्रदाता’ (सर्विस प्रोवाइडर) का संदर्भ देखें, जो आम तौर पर ऐसा तीसरा पक्ष है। इनका काम ऐप के संचालन के लिए आवश्यकता के अनुसार डाटा संसाधित (प्रोसेसिंग) करना है। लेकिन संभव है कि इनके साथ ‘व्यावसायिक साझेदार’ के साथ आपका डाटा शेयर करने का भी उल्लेख किया गया हो। इस पर ध्यान दें। क्या आपके डेटा को अन्य ‘साझेदारों’ से एकत्रित जानकारी के साथ जोड़ने या समृद्ध करने की बात कही गई है? अगर हां, तो यह इस खतरे का संकेत है कि आपकी प्रोफाइलिंग की जा रही है।

अच्छी तरह देखने पर आपको किसी पॉलिसी में उसके कुछ भागीदारों की पहचान बताने वाली जानकारी मिल सकती है। यह कोई विज्ञापन फर्म, डाटा ब्रोकर या अन्य सहयोगी हो सकते हैं। आमतौर पर यदि कोई अन्य भागीदार सूचीबद्ध है, तो प्राइवेसी पॉलिसी में बताया जाएगा कि आप भी भागीदारों की गोपनीयता नीतियों के अधीन हैं। उन्हें भी पढ़ने की आपसे अपेक्षा की जाती है। यह आपको तय करना है कि आप कितनी दूर तक जाना चाहते हैं।

‘गुमनाम’ या ‘एकत्रित’ डाटा की सच्चाई जानें

कई बार कंपनी कहती है कि उसके द्वारा साझा किए गए डाटा से पहचान संबंधी पूरी जानकारी हटा दी गई है।

➡️ उसकी गोपनीयता नीति में ‘गुमनाम’ या ‘एकत्रित‘ डाटा के अलावा ‘डी-आइडेंटिफाइड डाटा जैसे शब्दों का उपयोग होता है। इससे लगता है मानो इसमें जानकारी साझा करने को और अधिक निजी बनाया गया है। लेकिन कई शोध (research) बताते हैं कि व्यक्तिगत डेटा को छुपाए जाने या संयुक्त करने के बावजूद उसकी पहचान संभव है (possible) । कुछ मामलों में यह काफी आसान भी है। कंपनी द्वारा आपका डाटा गुमनाम किए जाने के बाद उसके ‘व्यावसायिक भागीदार’ आपका डाटा लेकर उसे पूर्ववत कर सकते हैं। तब गुमनाम किए जाने का कोई लाभ नहीं होगा।

आपके विज्ञापन टारगेट बनाने का कोड-वर्ड

कुछ कंपनियां अपनी गोपनीयता नीति में कहती हैं कि वह आपके डाटा का उपयोग आपके अनुभव को ‘निजीकृत‘ (पर्सनलाइज) करने, ‘बढ़ाने‘ या ‘हमारी सेवाओं को बेहतर बनाने‘ के लिए करती है। इसका मतलब अक्सर यह है कि वह आपको विज्ञापन का टारगेट बनाने के लिए आपके डेटा का विश्लेषण कर रही है।

विज्ञापन या अन्य गतिविधियों की ‘प्रभावशीलता को मापने‘ का मतलब यह हो सकता है कि आप क्या क्लिक करते हैं या क्या खरीदते हैं, उस पर नज़र रखना। ‘रुचि-आधारित विज्ञापन’ के उल्लेखों पर भी ध्यान दें। इसका अर्थ है कि कंपनी सेवा पर आपकी गतिविधि का विश्लेषण कर रही है। वह लक्षित विज्ञापन के उद्देश्य से तीसरे पक्ष को आपकी रुचि का अनुमान लगाने की सुविधा दे रही है। आप जिस साइट पर हैं, उसके सिवाय अन्य तीसरे पक्ष को भी यह सुविधा दी जा सकती है। यदि गोपनीयता नीति आपको अन्य ऑनलाइन सेवाओं पर नज़र रखने की बात करती है, तो इसका मतलब यह भी है कि कंपनी केवल अपनी सेवा पर ही नहीं, बल्कि इंटरनेट पर आपकी ब्राउज़िंग गतिविधि पर नज़र रख रही है। वह ऐसा सीधे तौर पर कर सकती है या किसी तीसरे पक्ष से जानकारी खरीद सकती है।

आपका व्यक्तिगत डेटा कहां जाता है?

गोपनीयता नीति में कंपनी लिख सकती है कि आपका डेटा अन्य देशों की कंपनियों के साथ साझा किया जा सकता है। यूरोपीय संघ के जीडीपीआर गोपनीयता कानून (GDPR ) के विपरीत, अमेरिका में उपयोगकर्ता डाटा संग्रह पर कुछ संघीय प्रतिबंध हैं। यह काफी महत्वपूर्ण है। जब डाटा किसी अन्य देश में जाता है, तो अधिकार क्षेत्र के साथ ही उस डाटा की कानूनी सुरक्षा भी बदल सकती है। जैसे, लोगों के लिए यह चिंता की बात है कि टिकटॉक द्वारा डाटा कहां संग्रहित किया जाता है।

➡️इस अनुभाग को खोजने के लिए ‘आपके व्यक्तिगत डेटा का स्थानांतरण’ या ऐसा ही कोई शीर्षक देखें।

बच्चों का डाटा / सीओपीपीए प्रकटीकरण

➡️ गोपनीयता नीति में ‘सीओपीपीए‘ या ‘बच्चों की ऑनलाइन गोपनीयता संरक्षण अधिनियम’ के साथ ही ‘बच्चे’ या ‘उम्र’ का हिस्सा देखें। सीओपीपीए कानून बच्चों के डेटा को अधिक सुरक्षा प्रदान करता है। यह सुनिश्चित करता है कि माता-पिता को अपने बच्चों की ओर से सहमति देने का मौका मिले। इसमें देखें कि कंपनी 13 वर्ष से कम उम्र के बच्चों के डेटा की सुरक्षा कैसे करती है। यह माता-पिता को अपने बच्चों के लिए डेटा संग्रह और साझाकरण को नियंत्रित करने के लिए क्या तरीका प्रदान करती है।

प्रतिबंधित, डिलीटेड तथा आपको साझा किया गया डाटा

➡️ प्राइवेसी पॉलिसी में ‘आपके अधिकार’ या ‘आपकी पसंद’ जैसे वाक्यांश देखें। इस महत्वपूर्ण अनुभाग से पता चलता है कि किन विशिष्ट चीज़ों पर आपका नियंत्रण है। आप कहां रहते हैं और कौन से गोपनीयता कानून आप पर लागू हो सकते हैं, इसके आधार पर आप अपने डाटा की एक प्रति मांग सकते हैं। अपने डाटा को सही करने या उसे हटाने के लिए भी कह सकते हैं। अपने डेटा को साझा करने या बेचने से रोकने का अनुरोध करने के बावजूद आपके पास उस सेवा का उपयोग करने का विकल्प हो सकता है।

‘कैलिफ़ोर्निया निवासियों के लिए जानकारी’ का महत्व

➡️गोपनीयता नीति में आमतौर पर एक अनुभाग को ‘कैलिफ़ोर्निया निवासियों के लिए’ के रूप में लेबल किया जाता है। उसकी वजह जानना जरूरी है।

वर्तमान में कोई भी सामान्य संघीय उपभोक्ता गोपनीयता कानून नहीं है। इसलिए कैलिफोर्निया उपभोक्ता गोपनीयता अधिनियम (सीसीपीए) एक ऐसा गोपनीयता कानून है, जो अधिकांश अमेरिकियों पर लागू होता है। यदि कंपनी काफी बड़ी है, तो आप इस कानून के संदभी में विशिष्ट अनुभाग को देखें। भले ही सीसीपीए केवल कैलिफोर्निया वालों पर लागू होता है, लेकिन कानून कंपनियों को जिस पारदर्शिता के लिए बाध्य करता है, उसका सभी को लाभ होगा।

➡️इस अनुभाग के तहत, ‘विगत 12 महीनों में’ लिखकर शुरू होने वाले हिस्से को देखें। जैसे, ‘विगत 12 महीनों में हमने व्यक्तिगत जानकारी की निम्नलिखित श्रेणियां एकत्र की हैं, जैसा कि सीसीपीए में वर्णित है।‘ इस तरह, पिछले एक साल का प्रकटीकरण करके कंपनी वास्तव में क्या कर रही है, इसका एक दस्तावेज़ के रूप में खुलासा कर देती है।

इस तरह के खुलासे में आप आमतौर पर यह भी पाएंगे कि ‘विगत 12 महीनों में हमने प्राप्तकर्ताओं के बीच निम्नलिखित श्रेणियों के लिए व्यक्तिगत जानकारी का खुलासा किया है।‘ यह अनुभाग किसी कंपनी की यह स्वीकारोक्ति है कि वह लक्षित विज्ञापन, डाटा संवर्धन या अन्य उपयोगों के लिए आपका डाटा तीसरे पक्ष को साझा कर रही है।

सीसीपीए में कैलिफोर्निया के निवासियों को अपना डाटा हटाने और डाटा बिक्री या डाटा के साझाकरण को रोकने का अधिकार भी देता है। 29 मार्च, 2024 से लागू होने वाले अद्यतन कैलिफोर्निया गोपनीयता अधिकार अधिनियम (सीपीआरए) में इन अधिकारों को बढ़ाने का प्रावधान है। इसमें किसी के डाटा को सही करने का अधिकार भी शामिल है।

सीसीपीए में कैलिफोर्निया के लोगों को अपने डेटा तक पहुंचने का महत्वपूर्ण अधिकार प्राप्त है। कंपनी के प्रकार के आधार पर, कोई गैर-कैलिफ़ोर्निया निवासी भी अपने डाटा का अनुरोध कर सकते है। इसलिए हर किसी को ऐसा अनुरोध करने पर विचार करना चाहिए। ध्यान रखें कि डाटा का अनुरोध की प्रक्रिया हर कंपनी के लिए अलग होती है और इसमें कई चरण शामिल हो सकते हैं।

➡️ गोपनीयता नीति में यह लिख मिल सकता है- ‘हम आपका डाटा नहीं बेचते हैं। लेकिन इस वादे की तह में जाना भी जरूरी है। यह वाक्य सीधे तौर पर इस बात से संबंधित है कि सीसीपीए ने डाटा की ‘बिक्री‘ को किस तरह परिभाषित किया है। आप इस वाक्यांश के आसपास के शब्दों में कंपनियों को इसके बारे में शिकायत करते हुए देख सकते हैं। जैसा कि ऑनलाइन बाज़ार टेमू अपनी गोपनीयता नीति में करता है।

‘हम आपकी व्यक्तिगत जानकारी नहीं बेचते हैं‘ इसका अर्थ समझना होगा।  सीसीपीए के अनुसार व्यक्तिगत जानकारी की ‘बिक्री‘ का मतलब किसी लाभ के लिए आपसे जुड़े पहचानकर्ताओं को डाटा उपलब्ध कराना है। सीसीपीए मोटे तौर पर ‘व्यक्तिगत जानकारी‘ और ‘बिक्री‘ को इस प्रकार परिभाषित करता है कि किसी लाभ के लिए आपसे जुड़े पहचानकर्ताओं को उपलब्ध कराना या साझा करना बिक्री माना जा सकता है।

श्रोएडर ने कहा कि टेमू के पास ‘तीन वाक्य हैं, जो यह शिकायत करते हैं कि सीसीपीए ने ‘बिक्री‘ को कैसे परिभाषित किया है। दो वाक्य इससे कैसे बाहर निकलें, यह बताते हैं। वह अनुपात बढ़िया नहीं है।‘

हमने GasBuddy, Epic Games और Temu पर तीन केस स्टडी की रूपरेखा बनाई है। इनसे आपको वास्तविक दुनिया के उदाहरणों पर आधारित और जानकारी दी जाएगी।

यह लेख पढ़ने के बाद अब आप किसी नई सेवा के लिए साइन-अप करें, तो कुछ बातों पर ध्यान दें। सेवा की गोपनीयता नीति पढ़ने में कुछ समय लगाना उचित होगा। आप जानते हैं कि उसकी संरचना कैसी है। जब आप कुछ नया देखेंगे, तो उसे समझना आसान होगा।

अतिरिक्त संसाधन

How Data Journalists Can Use Anonymization to Protect Privacy

How to Protect Yourself from Metadata

Forensic Tools Open New Front for Using Phone Data to Prosecute Journalists

जॉन कीगन ‘द मार्कअप‘ में एक खोजी डेटा पत्रकार हैं। इससे पहले वह ताओ सेंटर फॉर डिजिटल जर्नलिज्म (कोलंबिया विश्वविद्यालय) में सिनियर रिसर्च फेलो थे। उन्होंने ऑनलाइन समाचारों में विश्वसनीयता के संकेतों पर शोध किया और पत्रकारिता में एआई की भूमिका का अध्ययन किया। उन्होंने 18 वर्षों तक ‘द वॉल स्ट्रीट जर्नल‘ में भी काम किया, जहां उन्होंने इंटरैक्टिव ग्राफिक्स टीम चलाई।

जेसी वू एक पूर्व गोपनीयता वकील और तकनीकी नीति विशेषज्ञ हैं। वर्तमान में कोलंबिया में कंप्यूटर विज्ञान में एमएस कर रहे हैं। कंप्यूटर नेटवर्क और मशीन लर्निंग पर उनका फोकस है। उनका नीतिगत कार्य सीमा पार डाटा प्रवाह से जुड़े मुद्दों और पारस्परिक कानूनी सहायता सुधारों के अलावा गोपनीयता स्थानीयता और नगर निगम के खुले डाटा पर केंद्रित है।