तुम्हारा डेटा कभी यूरोप से बाहर नहीं जाता

वह समस्या जिसके बारे में तुम्हें पता भी नहीं था

अगर तुम्हारी कंपनी किसी पारंपरिक मैसेजिंग ऐप के ज़रिए इनवॉइस, ऑर्डर, डिलीवरी नोट या क्लाइंट डेटा वाला कोई भी दस्तावेज़ भेजती है, तो वह डेटा ऐसे सर्वरों से गुज़रता है जो शायद यूरोप में नहीं हैं। या अगर हैं भी, तो वे किसी ऐसी कंपनी के हैं जो विदेशी क़ानून के अधीन है। GDPR को इस बारे में कुछ कहना है।

यूरोपीय डेटा सुरक्षा नियमों के लिए यह जानना ज़रूरी है कि तुम्हारा डेटा कहाँ है, किसकी पहुँच है और किस अधिकार क्षेत्र में। जब तुम केंद्रीय सर्वर वाली मैसेजिंग ऐप इस्तेमाल करते हो, तो तुम्हारे दस्तावेज़ ऐसे बुनियादी ढांचे से गुज़रते हैं जिस पर तुम्हारा नियंत्रण नहीं है। तुम्हारे क्लाइंट का डेटा — चाहे अस्थायी रूप से ही — किसी दूसरी कंपनी की मशीनों पर, किसी दूसरे देश में, दूसरे क़ानूनों के तहत स्टोर होता है।

जब कोई सर्वर नहीं होता तो क्या बदलता है

पीयर-टू-पीयर संचार में, डेटा सीधे भेजने वाले के डिवाइस से प्राप्तकर्ता के डिवाइस पर जाता है। यह किसी बिचौलिए सर्वर से नहीं गुज़रता। यह किसी तीसरे पक्ष के बुनियादी ढांचे पर स्टोर नहीं होता। दस्तावेज़ तुम्हारे कंप्यूटर से लुगो में निकलता है और तुम्हारे क्लाइंट के कंप्यूटर पर बार्सिलोना में पहुँचता है। या बर्लिन। या लिस्बन। लेकिन यह कभी Silicon Valley से नहीं गुज़रता।

यह कोई मामूली तकनीकी विवरण नहीं है। यहाँ GDPR अनुपालन मेहनत और सद्भावना से नहीं होता। यह इसलिए होता है क्योंकि आर्किटेक्चर उल्लंघन को असंभव बना देता है। कोई अंतरराष्ट्रीय डेटा ट्रांसफ़र नहीं है क्योंकि किसी तीसरे पक्ष को कोई ट्रांसफ़र नहीं है। डेटा तुम्हारे डिवाइस और तुम्हारे समकक्ष के डिवाइस पर है। कहीं और नहीं।

किसे फ़र्क़ पड़ता है

अगर तुम वकील हो और मैसेजिंग से क्लाइंट को कॉन्ट्रैक्ट भेज रहे हो, तो उस कॉन्ट्रैक्ट का डेटा सर्वर से गुज़रता है। अगर तुम टैक्स सलाहकार हो और टैक्स रिटर्न शेयर कर रहे हो, तो वह डेटा सर्वर से गुज़रता है। अगर तुम डॉक्टर हो और मरीज़ को रिपोर्ट भेज रहे हो, तो स्वास्थ्य डेटा सर्वर से गुज़रता है। इन सभी मामलों में, तुम गोपनीय जानकारी की हिफ़ाज़त ऐसी कंपनी को सौंप रहे हो जिसे तुमने चुना नहीं और जिस पर तुम्हारा नियंत्रण नहीं है।

ऐसा नहीं कि तुम जानबूझकर कुछ ग़लत कर रहे हो। बात यह है कि जो टूल तुम इस्तेमाल करते हो वह तुम्हें कोई और विकल्प नहीं देता। तुम्हारे पेशेवर डेटा को तीसरे पक्ष के सर्वरों से न गुज़ारने का एकमात्र तरीक़ा यह है कि संचार सीधा हो। कोई बिचौलिया नहीं। तुम्हारी स्क्रीन से उनकी स्क्रीन तक।

स्वचालित अनुपालन

P2P संचार के साथ, तुम्हें यह ऑडिट करने की ज़रूरत नहीं कि तुम्हारे मैसेजिंग प्रदाता के सर्वर कहाँ हैं। तुम्हें Privacy Shield या EU की मानक अनुबंध शर्तों के अनुपालन की पुष्टि करने की ज़रूरत नहीं। तुम्हें अपनी गोपनीयता नीति में यह समझाने वाला क्लॉज़ जोड़ने की ज़रूरत नहीं कि तुम्हारा डेटा 'यूरोपीय आर्थिक क्षेत्र के बाहर प्रोसेस किया जा सकता है'। इनमें से कुछ भी लागू नहीं होता, क्योंकि कोई तीसरा पक्ष तुम्हारा डेटा प्रोसेस नहीं कर रहा।

अनुपालन किसी की सद्भावना पर निर्भर नहीं करता। यह किसी प्रदाता के साथ डेटा प्रोसेसिंग समझौते पर निर्भर नहीं करता। यह किसी अमेरिकी कंपनी द्वारा यूरोपीय क़ानून के प्रति अपनी प्रतिबद्धता बनाए रखने पर निर्भर नहीं करता। यह आर्किटेक्चर पर निर्भर करता है। और आर्किटेक्चर सत्यापन योग्य है, अपरिवर्तनीय है, और अपना मन नहीं बदलता।

तुम्हारे अगले ऑडिट के लिए सवाल

अगली बार जब कोई तुमसे पूछे कि तुम्हारे क्लाइंट का डेटा कहाँ है, तो सबसे अच्छा संभव जवाब है: 'मेरे डिवाइस पर और उनके डिवाइस पर। कहीं और नहीं।' सौ पन्नों की रिपोर्ट की ज़रूरत नहीं। प्रदाता अनुबंधों की समीक्षा करते DPO की ज़रूरत नहीं। तुम्हारे क्लाइंट के डेटा की गोपनीयता डिज़ाइन द्वारा गारंटीकृत है, वादों द्वारा नहीं।