वास्तविक बनाम आभासी गोपनीयता: वे प्रश्न जो पूछना उचित है

वास्तुशिल्पीय गोपनीयता और घोषणात्मक गोपनीयता के बीच का अंतर

इस चक्र के पिछले सात लेखों के दौरान हम एक ही विषय की भिन्न परतों से होकर गुज़रे हैं। Schrems II के साथ अंतर्राष्ट्रीय हस्तांतरणों का कानून। क्रिप्टोग्राफिक हैश का गणितीय विचार जो प्रत्येक Cuaderno पर मुहर लगाता है। kill switch का वास्तुशिल्पीय चुनाव और वह संस्थागत कब्जा जो प्रायः सदैव उसके साथ रहता है। एंड-टू-एंड एन्क्रिप्शन की व्यवस्था और कुंजियाँ कहाँ रहती हैं इस बारे में व्यावहारिक प्रश्न। व्यावसायिक मॉडल के अनुसार प्रोत्साहनों का संरेखण। स्व-संप्रभु क्रिप्टोग्राफिक पहचान। आनुपातिक रणनीति के रूप में सेल्फ-होस्टिंग। प्रत्येक लेख ने एक पहलू को संबोधित किया। यह, चक्र का अंतिम, उन्हें एक प्रश्नावली में एकत्र करता है।

जो भेद याद रखना उचित है वह सरल है: कुछ सेवाएँ ऐसी हैं जिनकी गोपनीयता वास्तुशिल्पीय है और कुछ सेवाएँ ऐसी हैं जिनकी गोपनीयता घोषणात्मक है। पहली तकनीकी रचना में अंतर्निहित है: गोपनीयता प्रतिबद्धता के कुछ उल्लंघन तकनीकी रूप से कठिन या असंभव हैं क्योंकि वास्तुकला उन्हें अनुमति नहीं देती। दूसरी कानूनी सूचना के पाठ में निक्षिप्त है: कुछ उल्लंघन यदि घटित हों तो संविदात्मक रूप से दंडनीय होंगे, परंतु तकनीकी रूप से कोई वस्तु उन्हें नहीं रोकती। दोनों मॉडल RGPD का अनुपालन कर सकते हैं; परंतु एक रचना द्वारा रक्षा करता है और दूसरा वादे द्वारा रक्षा करता है, और यह अंतर व्यावहारिक रूप से विशाल है।

जो प्रश्न आगे आते हैं वे एक मामले को दूसरे से अलग करने के लिए रचे गए हैं। ये उन्नत तकनीकी प्रश्न नहीं हैं। ये वे प्रश्न हैं जिनका उत्तर कोई भी ईमानदार प्रदाता अपने सार्वजनिक प्रलेखन में दे सकता है। उत्तर की गुणवत्ता और परिशुद्धता उत्पाद के बारे में उतना ही कहती है जितना स्वयं उत्तर। प्रश्न छह परतों में समूहित हैं; संवेदनशील डेटा के लिए सेवा अपनाने से पहले उन सभी को पूछना उचित है, केवल उन्हें नहीं जिन्हें पहली सहज प्रवृत्ति पहचानती है।

परत 1: वास्तुकला

आगे बढ़ने से पहले एक शब्द तय कर लें। संचालक से हमारा आशय वह कंपनी है जो सेवा प्रदान करती है: वह इकाई जो सर्वर और सॉफ़्टवेयर को नियंत्रित करती है, न कि कोई विशेष व्यक्ति। यह स्पष्ट होने के बाद, बुनियादी वास्तुशिल्पीय प्रश्न यह है: संचालक प्रेषक और प्राप्तकर्ता के बीच की सामग्री के साथ क्या करता है? तीन संभावित उत्तर हैं और इन्हें पहचानना आना ज़रूरी है, क्योंकि तीनों को कभी-कभी मिलती-जुलती शब्दावली के साथ प्रचारित किया जाता है।

• पहला: सामग्री संचालक के किसी सर्वर से स्पष्ट रूप में होकर गुज़रती है, जहाँ संचालक उसे पढ़ सकता है भले ही वह न पढ़ने का वादा करे।
• दूसरा: सामग्री संचालक के किसी सर्वर से एन्क्रिप्टेड होकर गुज़रती है, जहाँ संचालक उसे नहीं पढ़ सकता यदि कुंजियाँ अनन्य रूप से उपयोगकर्ताओं के उपकरणों में रहती हों।
• तीसरा: सामग्री संचालक के किसी भी सर्वर से होकर नहीं गुज़रती, क्योंकि उस विशिष्ट प्रवाह में संचालक का कोई सर्वर मौजूद ही नहीं है।

इन तीनों के बीच का अंतर मात्रा का नहीं है: वह प्रकार का है।

पूरक प्रश्न —जो एन्क्रिप्शन पर Cuaderno में पहले ही प्रतिपादित किया गया था— यह है: वे क्रिप्टोग्राफिक कुंजियाँ किसके पास हैं जो सामग्री पढ़ने की अनुमति देती हैं? यदि वे उपयोगकर्ता और केवल उपयोगकर्ता के पास हैं, तो एन्क्रिप्शन वास्तविक है। यदि वे संचालक के पास भी किसी रूप में हैं —यहाँ तक कि «खाता पुनर्प्राप्ति» या «उपकरणों के बीच समकालन» के नाम पर भी—, तो एन्क्रिप्शन नाममात्र का है। यह प्रश्न कोई ईमानदार मध्यवर्ती उत्तर स्वीकार नहीं करता।

परत 2: व्यावसायिक मॉडल

व्यावसायिक मॉडल का प्रश्न उतना ही महत्व रखता है जितना वास्तुशिल्पीय प्रश्न, और उसी सारभूत कारण से: प्रोत्साहन, समय के साथ, समान घोषित उद्देश्यों के बावजूद व्यवस्थित रूप से भिन्न उत्पाद उत्पन्न करते हैं। संचालक आज पैसा कैसे कमाता है? एक ही स्रोत, दो, या मिश्रण? यदि वित्तपोषण में विज्ञापन या डेटा से कमाई शामिल है, तो किस डेटा से कमाई की जाती है और RGPD के किस कानूनी आधार पर ऐसा किया जाता है? क्या कानूनी सूचना में घोषित उद्देश्य उन तृतीय-पक्ष डेटा को आच्छादित करता है जिन्हें पेशेवर सेवा को सौंपना चाहता है?

और द्वितीय-क्रम का प्रश्न, जो सदैव प्रतिपादित नहीं होता: तीन या पाँच वर्ष की दृष्टि से संचालक की वित्तीय स्थिति क्या है? उद्यम-पूँजी चरण की कोई कंपनी स्थिर लाभप्रदता वाली कंपनी से भिन्न दबावों के अंतर्गत कार्य करती है। वित्तपोषण मॉडल का परिवर्तन, बार-बार, वही क्षण है जब उपयोगकर्ताओं के साथ निहित अनुबंध बिना बातचीत के पुनः लिखा जाता है।

परत 3: अधिकार-क्षेत्र

यूरोपीय पेशेवर के लिए अधिकार-क्षेत्र का प्रश्न आलंकारिक नहीं है। संचालक किस अधिकार-क्षेत्र में निगमित है? डेटा को प्रसंस्कृत करने वाले सर्वर भौतिक रूप से किस देश में हैं? क्या पिछले दोनों प्रश्नों का उत्तर समान है या भिन्न, और यदि भिन्न है, तो कौन-सा कानून लागू होता है? किसी अमेरिकी कंपनी द्वारा संचालित यूरोपीय क्षेत्र, Schrems II के प्रयोजनों के लिए, यूरोपीय उत्तर नहीं है: कंपनी सर्वर कहाँ हैं इससे स्वतंत्र रूप से FISA 702 के अधीन है।

व्यावहारिक पूरक प्रश्न यह है: यदि कल संचालक के अधिकार-क्षेत्र में वैध कोई गुप्तचर आदेश मेरा या मेरे ग्राहकों का डेटा सौंपने की माँग करते हुए आए, तो क्या होगा? यदि ईमानदार उत्तर «कंपनी उन्हें सौंपने के लिए बाध्य होगी» से शुरू होता है, तो सेवा उस आदेश से रक्षा नहीं करती, चाहे प्रचार इसके विपरीत संकेत दे। यदि ईमानदार उत्तर «कंपनी उन्हें नहीं सौंप सकती क्योंकि वे उसके पास स्पष्ट रूप में नहीं हैं» से शुरू होता है, तो सेवा वास्तव में रक्षा करती है; और यह अंतर लगभग पूर्णतः पहली दो परतों पर निर्भर करता है, गोपनीयता नीति की गुणवत्ता पर नहीं।

परत 4: संचालक और kill switch

संचालक सेवा को दूर से निलंबित, अवरुद्ध, हटाने या अवक्रमित करने के लिए कौन-सी तकनीकी क्षमता बनाए रखता है? यह प्रश्न पागलपन भरा नहीं है: यह व्यावहारिक है। डिजिटल मंचों ने हाल के वर्षों में यह क्षमता बार-बार प्रयोग में लाई है, कभी अपनी पहल पर, कभी सरकारों के आदेश पर, कभी स्वामित्व या नीति में परिवर्तन के बाद। यदि क्षमता मौजूद है, तो जानना उचित है कि वह किन संविदात्मक रूप से घोषित मान्यताओं के अंतर्गत प्रयुक्त होती है, और उन अघोषित मान्यताओं के लिए गुंजाइश सुरक्षित रखना जिन्हें हाल के वर्षों के व्यवहार ने उतना ही प्रासंगिक दिखाया है: अप्रत्याशित न्यायिक आदेश, अंतर्राष्ट्रीय प्रतिबंध, कॉर्पोरेट शासन में परिवर्तन, भिन्न नीति वाली किसी इकाई द्वारा अधिग्रहण।

सहोदर प्रश्न निरंतरता योजना का है: यदि संचालक पेशेवर के विरुद्ध उस क्षमता का प्रयोग करे —किसी भी कारण से, उचित हो या नहीं—, तो कितना समय गतिविधि उपलब्ध रहेगी, डेटा निर्यात की कौन-सी प्रक्रिया मौजूद है, और किस वैकल्पिक प्रदाता की ओर प्रवास किया जा सकता है? यदि उत्तर «ऐसा नहीं होना चाहिए» से शुरू होता है, तो वह व्यावहारिक उत्तर नहीं है; वह एक वादा है।

परत 5: पहचान और पहुँच

सेवा तक पहुँच की साख को कौन नियंत्रित करता है? यदि संचालक उपयोगकर्ता की भागीदारी के बिना उपयोगकर्ता की पहुँच पुनः स्थापित कर सकता है —वह प्रक्रिया जिसे प्रायः «खाता पुनर्प्राप्ति» कहते हैं—, तो संचालक, तकनीकी रूप से, खाते का संरक्षक है और उचित प्रक्रिया के माध्यम से जो भी इसका अनुरोध करे उसे वह इसे सौंप भी सकता है। यदि संचालक पहुँच पुनः स्थापित नहीं कर सकता क्योंकि पहचान क्रिप्टोग्राफिक रूप से उपयोगकर्ता के उपकरण में रहती है, तो संचालक इसे सौंप भी नहीं सकता, आदेश के अंतर्गत भी नहीं। दोनों ही रीतियाँ संदर्भ के अनुसार वैध हैं; परंतु, एक बार फिर, वे भिन्न हैं, और जानना उचित है कि कौन-सी अपनाई जा रही है।

यदि पेशेवर पहुँच खो दे तो उसके डेटा का क्या होता है? क्या ऐसी पुनर्प्राप्ति व्यवस्थाएँ —खाते की, फ़ाइल की, सत्र की— मौजूद हैं जो संचालक पर निर्भर हैं? यदि संचालक को उनका उपयोग करने के लिए विवश किया जाए तो क्या वे व्यवस्थाएँ क्षेत्र की पेशेवर आचार-नीति के अनुकूल हैं?

परत 6: भविष्य

यह अंतिम परत प्रायः उपेक्षित रहती है क्योंकि इसके लिए दूरदर्शिता आवश्यक है। यदि सेवा किसी अन्य कंपनी द्वारा अधिग्रहीत हो जाए तो क्या होगा? लगभग सभी अधिग्रहणों के साथ आगामी महीनों में सेवा की शर्तों की पुनरीक्षा जुड़ी होती है। यदि नियामक अपेक्षाएँ बदल जाएँ तो क्या होगा? यूरोपीय कानून ने 2022 से हटाने और अवरुद्ध करने के दायित्व बढ़ाए हैं, घटाए नहीं। यदि संचालक लुप्त हो जाए तो क्या होगा? क्लाउड सेवाओं के एक उल्लेखनीय भाग के पास संचालक के बंद होने के परिदृश्य के लिए कोई प्रलेखित निकास योजना नहीं है; पेशेवर समस्या तब खोजता है जब उसे तैयार करने का समय नहीं बचता।

इस परत के लिए एक सूत्रीकरण याद रखना उचित है: जो वास्तुकलाएँ संचालक पर कम निर्भर हैं वे संचालक के परिवर्तनों के सामने अधिक प्रत्यास्थ हैं। सेल्फ-होस्टिंग अपने किसी भी रूप में, स्व-संप्रभु क्रिप्टोग्राफिक पहचान, बीच में बिना सर्वर वाले संचार, ये सभी वर्तमान निर्भरता की सतह को घटाने की प्रक्रिया द्वारा भावी जोखिम की सतह को घटाते हैं। वे इसे समाप्त नहीं करते; वे इसे घटाते हैं।

संरचना और वादे के बीच का अंतर

यदि हमें चक्र को एक ही वाक्य में आसुत करना हो, तो वह यह होगा: संरचनात्मक उत्तर तब भी बने रहते हैं जब संचालक, प्रशासन या कानून बदल जाए; वादे वाले उत्तर तब तक बने रहते हैं जब तक वादा करने वाला उन्हें बनाए रख सके और रखना चाहे। दोनों अपनाने के क्षण में सही हो सकते हैं। दोनों में से केवल एक ही समय बीतने और परिस्थितियों के परिवर्तन से स्वतंत्र रूप से टिकता है।

इसका अर्थ यह नहीं कि प्रत्येक पेशेवर को अपनाई जाने वाली हर सेवा से संरचनात्मक उत्तर माँगने चाहिए। आनुपातिकता वैध बनी रहती है: आंतरिक लेखांकन के लिए एक स्प्रेडशीट को वही उत्तर नहीं चाहिए जो किसी रोगी के नैदानिक अभिलेख को चाहिए। इसका अर्थ, हाँ, यह है कि पेशेवरता इसमें निहित है कि प्रत्येक मामले में किस प्रकार का उत्तर स्वीकार किया गया है यह जानना, और सचेत रूप से यह निर्णय लेना कि वह प्रकार का उत्तर विशिष्ट डेटा के अनुपात में है।

प्रश्नावली, क्रमबद्ध

बारह ठोस प्रश्न जो चक्र का सार प्रस्तुत करते हैं, इस प्रकार क्रमबद्ध कि प्रत्येक का उत्तर अगले को सूचित करे:

1. क्या सामग्री संचालक के किसी सर्वर से होकर गुज़रती है? यदि गुज़रती है: स्पष्ट रूप में, संचालक की कुंजियों से एन्क्रिप्टेड, या उपयोगकर्ता की अनन्य कुंजियों से एन्क्रिप्टेड?
2. यदि एंड-टू-एंड एन्क्रिप्शन का दावा किया जाता है, तो क्रिप्टोग्राफिक कुंजियाँ कहाँ रहती हैं? क्या संचालक उनका कोई भाग किसी भी रूप में, «पुनर्प्राप्ति» सहित, जानता या रखता है?
3. सेवा कौन-सा मेटाडेटा उत्पन्न करती और रखती है? कितने समय तक? वह किसको दृश्यमान है?
4. संचालक का वित्तपोषण कैसे होता है? यदि वित्तपोषण में विज्ञापन या डेटा से कमाई शामिल है, तो क्या घोषित उद्देश्य उन तृतीय-पक्ष डेटा को आच्छादित करता है जो पेशेवर ने सौंपे हैं?
5. तीन या पाँच वर्ष की दृष्टि से संचालक की वित्तीय स्थिति क्या है? क्या ऐसे कारक हैं जो मॉडल में आसन्न परिवर्तन का संकेत देते हैं (लंबित आरंभिक सार्वजनिक निर्गम, समाप्ति की ओर बढ़ता वित्तपोषण दौर, संभावित अधिग्रहण)?
6. संचालक किस अधिकार-क्षेत्र में निगमित है? सर्वर भौतिक रूप से किस देश में हैं? यदि वे भिन्न हैं, तो प्रसंस्करण पर कौन-सा राष्ट्रीय कानून लागू होता है?
7. यदि संचालक के अधिकार-क्षेत्र में वैध कोई गुप्तचर आदेश मेरा डेटा सौंपने की माँग करे तो क्या होगा? क्या कंपनी तकनीकी रूप से उसका पालन कर सकती है?
8. संचालक सेवा को निलंबित, अवरुद्ध या हटाने के लिए कौन-सी तकनीकी क्षमता बनाए रखता है? किन संविदात्मक मान्यताओं के अंतर्गत? किन ऐतिहासिक रूप से प्रलेखित गैर-संविदात्मक मान्यताओं के अंतर्गत?
9. यदि संचालक उस क्षमता का प्रयोग मेरे विरुद्ध करे, उचित हो या अनुचित, तो कौन-सी निकास योजना मौजूद है? क्या किसी वैकल्पिक प्रदाता को डेटा निर्यात करने की प्रलेखित प्रक्रिया है?
10. पहुँच की साख को कौन नियंत्रित करता है? क्या संचालक मेरी भागीदारी के बिना उन्हें पुनः स्थापित कर सकता है? क्या यह मेरी रक्षा करता है या मुझे उजागर करता है?
11. क्या इस विशिष्ट कार्य के लिए कोई यूरोपीय, स्वयं-होस्ट किया गया या बीच में बिना सर्वर वाला विकल्प मौजूद है? मूल्यांकित जोखिम की तुलना में उसकी वास्तविक लागत क्या है?
12. यदि आज के निर्णय की जाँच पाँच वर्ष बाद किसी निरीक्षक, लेखा-परीक्षक या किसी सेंध से प्रभावित ग्राहक द्वारा की जाए, तो क्या वर्तमान चुनाव आज उपलब्ध तर्कों से बचाव-योग्य होगा, या उचित प्रश्न न पूछने के लिए क्षमा माँगनी पड़ेगी?

प्रश्न पूर्ण उत्तरों की अपेक्षा नहीं करते। वे ईमानदार उत्तरों की अपेक्षा करते हैं, जिन्हें ईमानदार संचालक देना जानता है और कम ईमानदार संचालक उन्हें सटीकता से प्रतिपादित करने से बचता है। दोनों प्रकार के संचालकों के बीच व्यावहारिक अंतर, हम इसे बिना नाटकीयता के कहते हैं, प्रायः उन उत्तरों को धीरे-धीरे पढ़ने से प्रतीत होता है जो वे स्वेच्छा से देते हैं, और अधिक माँगने की आवश्यकता पड़ने से भी पहले।

---

इस लेख के साथ हम Cuadernos Lacre का दूसरा चक्र समाप्त करते हैं। हमने Schrems II से विरासत में मिले संपादकीय ऋण से शुरुआत की और एक व्यावहारिक प्रश्नावली के साथ समाप्त करते हैं। रास्ते में हम अवधारणाओं —हैश, एन्क्रिप्शन, पहचान— और प्रयुक्त विश्लेषणों —kill switch, व्यावसायिक मॉडल, सेल्फ-होस्टिंग— से होकर गुज़रे। प्रकाशन का घोषित संपादकीय आशय पाठक को समस्याओं की संपूर्ण सूची से अभिभूत करना नहीं था, बल्कि उसे ऐसे उपकरण देना था कि वह किसी भी नई सेवा के सामने यह पहचान सके कि वह किस प्रकार का उत्तर स्वीकार कर रहा है। वही भेद —वास्तुकला और वादे के बीच— ही उपकरण है। शेष को प्रत्येक पेशेवर उन डेटा की सेवा में लगाएगा जिन्हें वह अपने व्यवहार में प्रश्न के योग्य समझता है।