वैयक्तिक माहिती वापरली जाऊ शकते?

personal-information : कल्पना करा की, तुम्ही नियमित रक्ततपासणीसाठी निदान केंद्रात जाता. तुमचा रक्तनमुना घेण्यापूर्वी स्वागत कक्षावरील व्यक्ती तुमचे नाव, वय, मोबाईल क्रमांक, पत्ता, ई-मेल आणि आधार क्रमांक विचारते. आपल्यापैकी बहुतेक जण एकही प्रश्न न विचारता ही माहिती देतात. पण आपण प्रश्न विचारला पाहिजे का?

 

 

 

 

या परिस्थितीत दोन महत्त्वाच्या भूमिका समजून घेणे आवश्यक आहे. ज्या व्यक्तीची माहिती विचारली जाते ती व्यक्ती म्हणजे डाटा प्रिंंसिपल (ज्या व्यक्तीशी वैयक्तिक माहिती संबंधित आहे ती व्यक्ती). निदान केंद्र, रुग्णालय, बँक, शाळा, खरेदीचे संकेतस्थळ किंवा इतर अशी संस्था, जी माहिती का आणि कशी वापरायची हे ठरवते, ती सामान्यतः डाटा फिड्युशिअरी (वैयक्तिक माहिती कोणत्या उद्देशासाठी आणि कशा प्रकारे प्रक्रिया करायची हे ठरवणारी व्यक्ती किंवा संस्था) असते.

 

 

डिजिटल वैयक्तिक माहिती संरक्षण कायदा, २०२३ अर्थात डीपीडीपी ॲक्टचा केंद्रबिंदू म्हणजे डाटा प्रिंंसिपलची वैयक्तिक माहिती आणि गोपनीयतेचे संरक्षण. या उद्दिष्टाला घटनात्मक आधार आहे. निवृत्त न्या. के. एस. पुट्टास्वामी विरुद्ध युनियन ऑफ इंडिया या प्रकरणात, सर्वोच्च न्यायालयाच्या नऊ न्यायमूर्तींच्या खंडपीठाने २०१७ मध्ये गोपनीयतेचा अधिकार हा भारताच्या संविधानाखालील मूलभूत अधिकार असल्याचे मान्य केले. डीपीडीपी ॲक्ट डिजिटल जगात वैयक्तिक माहितीची जबाबदारीने प्रक्रिया व्हावी यासाठी नियम घालून या घटनात्मक मूल्याला व्यवहारात आणतो.

 

हा कायदा डाटा फिड्युशिअरीला वैयक्तिक माहिती गोळा करण्यास प्रतिबंध करत नाही. आजच्या जीवनात सेवा देण्यासाठी संस्थांना अनेकदा वैयक्तिक माहितीची गरज असते. डॉक्टरांना उपचारासाठी रुग्णाची माहिती आवश्यक असते. बँकेला खाते उघडण्यासाठी आणि चालवण्यासाठी माहिती हवी असते. त्यामुळे खरा प्रश्न एवढाच नसतो की माहिती गोळा केली जाऊ शकते का; तर ती का आवश्यक आहे आणि तिचा वापर कसा होणार आहे हा असतो.

 

 

याच ठिकाणी नोटीस महत्त्वाची ठरते. नोटीस डाटा फिड्युशिअरीकडून दिली जाणारी सूचना, ज्यामध्ये वैयक्तिक माहिती का गोळा केली जात आहे आणि तिची प्रक्रिया कशी होईल हे स्पष्ट केले जाते) ही डाटा प्रिंंसिपलला कोणती वैयक्तिक माहिती मागितली जात आहे, ती कोणत्या उद्देशासाठी मागितली जात आहे, तिच्यावर कोणती प्रक्रिया होणार आहे, कायद्यातील हक्क कसे वापरायचे आणि डाटा प्रोटेक्शन बोर्ड ऑफ इंंडियाकडे तक्रार कशी करायची, हे समजण्यास मदत करणारी असावी.

 

कायद्यातील क्रम महत्त्वाचा आहे. डीपीडीपी ॲक्टच्या कलम ५ नुसार डाटा फिड्युशिअरीने डाटा प्रिंंसिपलकडून कन्सेंंट मागण्याच्या वेळी किंवा त्यापूर्वी नोटीस देणे आवश्यक आहे. साध्या भाषेत, एखाद्या व्यक्तीला माहिती का हवी आहे आणि तिचा वापर कसा होणार आहे हे आधी सांगितले पाहिजे; त्यानंतरच त्या व्यक्तीकडून संमती मागितली पाहिजे. अर्थपूर्ण नोटीसशिवाय घेतलेली कन्सेंंट माहितीपूर्ण निर्णय घेण्याच्या उद्देशाला पूर्ण करू शकत नाही.

 

 

डीपीडीपी रुल्स, २०२५ या तत्त्वाला अधिक बळ देतात. नोटीस इतर कोणत्याही माहितीपासून स्वतंत्रपणे समजण्यासारखी असावी. ती स्पष्ट आणि सोप्या भाषेत असावी. किमान, कोणती वैयक्तिक माहिती प्रक्रिया होणार आहे, प्रक्रिया करण्याचा नेमका उद्देश काय आहे आणि त्या प्रक्रियेमुळे कोणत्या विशिष्ट वस्तू, सेवा किंवा उपयोग शक्य होतात, हे तिने स्पष्टपणे सांगितले पाहिजे. नोटीस ही दीर्घ आणि सर्वसाधारण सेवेच्या अटीमध्ये लपवलेली नसावी किंवा असंबद्ध कायदेशीर अटी व गोंधळात टाकणाऱ्या संदर्भांमध्ये दडवलेली नसावी.

 

नोटीसने डाटा प्रिंंसिपलला कृती करण्याचा व्यावहारिक मार्गही दिला पाहिजे. त्यामध्ये डाटा फिड्युशिअरीच्या संकेतस्थळाचा किंवा ॲपचा संपर्क-दुवा असावा आणि कन्सेंंट मागे घेण्यासाठी, कायद्यातील हक्क वापरण्यासाठी व बोर्डकडे तक्रार करण्यासाठी उपलब्ध मार्ग स्पष्ट केलेले असावेत. कायद्यानुसार कन्सेंंटची विनंतीदेखील स्पष्ट आणि सोप्या भाषेत असावी; ती इंग्रजीमध्ये किंवा भारताच्या संविधानाच्या आठव्या अनुसूचित नमूद केलेल्या कोणत्याही भाषेत उपलब्ध असावी. डाटा प्रिंंसिपलच्या हक्कांशी संबंधित संवादाला उत्तर देऊ शकणाऱ्या डाटा प्रोटेक्शन ऑफिसरचे, लागू असल्यास, किंवा इतर अधिकृत व्यक्तीचे संपर्क तपशीलही तिने द्यावेत.

 

 

नोटीस मिळाल्यानंतर, आवश्यक त्या परिस्थितीत डाटा प्रिंंसिपल कन्सेंंट देऊ शकतो. कन्सेंंट (वैयक्तिक माहिती प्रक्रिया करण्यासाठी दिलेली स्पष्ट आणि माहितीपूर्ण परवानगी) ही स्वतंत्र, विशिष्ट, माहितीपूर्ण, कोणत्याही अटींशिवाय आणि संदिग्धता नसलेली असावी; तसेच ती स्पष्ट सकारात्मक कृतीतून दिलेली असावी. साध्या भाषेत सांगायचे तर, कन्सेंंट गुंतागुंतीच्या शब्दांत लपवलेली नसावी किंवा दबाव, फसवणूक अथवा अस्पष्ट अटींवर आधारित नसावी.

 

उदाहरणार्थ, एखाद्या दवाखान्याला एसएमएसद्वारे अपॉईंंटमेंटची आठवण करून द्यायची असेल, तर तो उद्देश स्पष्ट असला पाहिजे. ऑनलाईन खरेदीच्या प्लॅटफॉर्मला ग्राहकांची माहिती विपणन संदेशांसाठी वापरायची असेल, तर ग्राहकाला नेमके कशासाठी संमती देत आहे हे समजले पाहिजे. कन्सेंंट ठरावीक उद्देशाशी जोडलेली असावी; ती भविष्यातील प्रत्येक वापरासाठी सर्वसाधारण परवानगी बनू नये.

 

 

कन्सेंंट कायमस्वरूपी नसते. ज्या ठिकाणी माहिती प्रक्रिया करण्याचा आधार कन्सेंट असतो, त्या ठिकाणी डाटा प्रिंंसिपलला ती कोणत्याही वेळी मागे घेण्याचा अधिकार असतो. कायदा सांगतो की कन्सेंंट मागे घेणे हे कन्सेंंट देण्याइतकेच सोपे असले पाहिजे. एखाद्या व्यक्तीने एका साध्या क्लिकने कन्सेंंट दिली असेल, तर ती मागे घेण्यासाठी त्याला गुंतागुंतीच्या प्रक्रियेतून जावे लागू नये. कन्सेंंट मागे घेतल्यानंतर डाटा फिड्युशिअरीने वाजवी कालावधीत संबंधित वैयक्तिक माहितीची प्रक्रिया थांबवली पाहिजे आणि आपल्या डाटा प्रोसेसर्सकडूनही ती थांबवली पाहिजे; मात्र ज्या ठिकाणी प्रक्रिया कायद्याने आवश्यक किंवा मान्य आहे, तेथे अपवाद लागू होऊ शकतात.

 

कायद्यात सर्टन लेजिटिमेट यूजस (कायद्यात स्पष्टपणे नमूद केलेल्या काही परिस्थिती, ज्यामध्ये कन्सेंंट न घेता वैयक्तिक माहितीची प्रक्रिया करता येते) यांनाही मान्यता आहे. प्रत्येक अत्यावश्यक कामासाठी दरवेळी नव्याने कन्सेंट घ्यावी लागली, तर समाजातील अनेक आवश्यक प्रक्रिया चालू शकणार नाहीत. अशा परिस्थितींमध्ये कायदेशीर बंधनाचे पालन करणे, जीवाला किंवा आरोग्याला तत्काळ धोका निर्माण करणाऱ्या वैद्यकीय आपत्कालीन प्रसंगाला प्रतिसाद देणे किंवा कायद्यात स्पष्टपणे नमूद केलेल्या इतर परिस्थितींचा समावेश होऊ शकतो. तरीही डाटा फिड्युशिअरीवर माहिती कायदेशीर आणि योग्य सुरक्षा उपायांसह हाताळण्याची जबाबदारी राहते.

 

 

म्हणून नोटीस आणि कन्सेंंट एकमेकांशी संबंधित असल्या तरी त्या वेगळ्या संकल्पना आहेत. नोटीस डाटा प्रिंंसिपलला माहिती देते. कन्सेंंट, ज्या ठिकाणी आवश्यक आहे त्या ठिकाणी, डाटा फिड्युशिअरीला माहिती प्रक्रिया करण्याची परवानगी देते. नागरिक, रुग्ण, पालक, ग्राहक आणि डिजिटल सेवा वापरणारे म्हणून आपण एक साधी सवय लावली पाहिजे : ‘का?’ हा प्रश्न विचारण्याची. ही माहिती का आवश्यक आहे? सांगितलेल्या उद्देशासाठी प्रत्येक तपशील खरंच आवश्यक आहे का? या माहितीपर्यंत कोणाला प्रवेश असेल? माझ्यासमोर सांगितलेल्या उद्देशापुरतीच ती वापरली जाईल का?

 

डीपीडीपी ॲक्ट पारदर्शकता आणि विश्वासाची संस्कृती निर्माण करण्याचा प्रयत्न करतो. डाटा फिड्युशिअरी प्रामाणिकपणे माहिती देतात आणि डाटा प्रिंंसिपल माहितीपूर्ण निर्णय घेतात, तेव्हा व्यक्ती आणि संस्था दोघांचाही लाभ होतो.

 

 

दैनंदिन जीवनातील डीपीडीपी : एखादे खरेदीचे संकेतस्थळ तुम्हाला खरेदी पूर्ण करण्यापूर्वी जन्मतारीख विचारते. लहान पण स्पष्ट प्रायव्हसी नोटीसने ही माहिती का आवश्यक आहे आणि तिचा वापर कसा होणार आहे हे सांगितले पाहिजे. खरेदीसाठी ती माहिती आवश्यक नसेल, तर ती का मागितली जात आहे हे विचारण्याचा तुम्हाला पूर्ण हक्क आहे.

 

तुम्हाला माहिती आहे का? : प्रायव्हसी नोटीस ही केवळ औपचारिकता नसते. ती स्वतंत्रपणे समजण्यासारखी असावी. वैयक्तिक माहिती कोणती प्रक्रिया केली जाणार आहे आणि ती का केली जाणार आहे हे समजण्यासाठी वाचकाला लांबलचक सेवेच्या अटी, अनेक दुवे किंवा गोंधळात टाकणारे संदर्भ शोधावे लागू नयेत.

 

 

 

• एखादी संस्था तुमची वैयक्तिक माहिती मागते किंवा वापरते तेव्हा तुम्ही डाटा प्रिंंसिपल असता.

• ती माहिती का आणि कशी वापरायची हे ठरवणारी संस्था सामान्यतः डाटा फिड्युशिअरी असते.

• डीपीडीपी ॲक्ट वैयक्तिक माहिती आणि गोपनीयतेचे संरक्षण करतो; पुट्टास्वामी निर्णयाने गोपनीयतेला मूलभूत अधिकाराचा दर्जा दिला आहे.

• कन्सेंंट मागण्याच्या वेळी किंवा त्यापूर्वी नोटीस दिली जाणे आवश्यक आहे; २०२५ रुल्सनुसार ती स्वतंत्रपणे समजण्यासारखी व स्पष्ट, सोप्या भाषेत असावी.

• वैध नोटीसमध्ये वैयक्तिक माहिती, नेमका उद्देश आणि प्रक्रियेमुळे शक्य होणाऱ्या वस्तू, सेवा किंवा उपयोग स्पष्टपणे नमूद असावेत.

• कन्सेंंटची विनंती इंग्रजीमध्ये किंवा आठव्या अनुसूचित नमूद केलेल्या भाषेत उपलब्ध असावी आणि हक्कांशी संबंधित संपर्क तपशील द्यावेत.

• कन्सेंंट कोणत्याही वेळी मागे घेता येते आणि ती मागे घेण्याची प्रक्रिया कन्सेंंट देण्याइतकीच सोपी असावी.

विचार करा : पुढच्या वेळी कोणी तुमची वैयक्तिक माहिती विचारेल, तेव्हा तुम्ही नम्रपणे विचाराल का : ‘ही माहिती का आवश्यक आहे, तिचा वापर कसा होणार आहे आणि मी माझी कन्सेंंट नंतर कशी मागे घेऊ शकतो?’