प्राइवेसी पॉलिसी में किन बातों का होना ज़रूरी है

पॉलिसी की शुरुआत डेटा के लिए ज़िम्मेदार संस्था की स्पष्ट पहचान से होनी चाहिए। इसका मतलब है कंपनी का कानूनी नाम और डेटा सुरक्षा अधिकारी या संबंधित विभाग की संपर्क जानकारी देना। आधुनिक प्राइवेसी नियमों के तहत डेटा कौन संभाल रहा है, इसके बारे में पारदर्शिता एक बुनियादी ज़रूरत है।

आपको साफ़ तौर पर उन जानकारियों की सूची देनी चाहिए जो इकट्ठा की जा रही हैं। इसमें नाम और ईमेल जैसे व्यक्तिगत पहचानकर्ता, IP एड्रेस जैसा तकनीकी डेटा और वित्तीय या स्वास्थ्य डेटा जैसी संवेदनशील जानकारी शामिल है। यदि आप कुकीज़ [cookies] या ट्रैकिंग पिक्सेल का उपयोग करते हैं, तो उनका खुलासा यहाँ या किसी अलग लिंक की गई पॉलिसी में किया जाना चाहिए।

• पूरा कानूनी नाम और संपर्क पता
• इकट्ठा किए गए व्यक्तिगत डेटा के प्रकार
• डेटा इकट्ठा करने के लिए इस्तेमाल किए जाने वाले तरीके
• कुकीज़ और ट्रैकिंग तकनीक का उपयोग
• थर्ड-पार्टी ट्रैकिंग टूल्स का खुलासा

सिर्फ यह कहना काफी नहीं है कि आप डेटा इकट्ठा करते हैं; आपको यह भी बताना होगा कि क्यों। यूरोपीय संघ और ब्रिटेन जैसे क्षेत्रों में प्रोसेसिंग के लिए एक विशिष्ट 'कानूनी आधार' [legal basis] की ज़रूरत होती है, जैसे अनुबंध पूरा करना, कानूनी बाध्यता या वैध हित। भारत और अमेरिका में, इच्छित उपयोग का स्पष्ट खुलासा भ्रामक व्यापारिक प्रथाओं के दावों को रोकता है।

सामान्य उद्देश्यों में ऑर्डर प्रोसेस करना, वेबसाइट के प्रदर्शन में सुधार करना या मार्केटिंग संदेश भेजना शामिल है। यदि आप डेटा बेचने या विज्ञापनदाताओं के साथ साझा करने की योजना बनाते हैं, तो नियामक दंड और मुकदमों से बचने के लिए इसे स्पष्ट शब्दों में बताया जाना चाहिए।

• प्रोसेसिंग के लिए विशिष्ट व्यावसायिक उद्देश्य
• प्रत्येक प्रोसेसिंग गतिविधि के लिए कानूनी आधार
• मार्केटिंग या प्रोफाइलिंग के लिए डेटा उपयोग करने का इरादा
• तीसरे पक्ष के साथ डेटा साझा करने की परिस्थितियाँ
• व्यापार की बिक्री या विलय के दौरान डेटा को संभालना

डेटा रखने की अवधि [retention periods] तय होनी चाहिए। आपको व्यक्तिगत जानकारी केवल तब तक स्टोर करनी चाहिए जब तक कि बताए गए उद्देश्य को पूरा करने के लिए ज़रूरी हो। एक बार वह अवधि समाप्त हो जाने के बाद, यूज़र की प्राइवेसी की रक्षा के लिए डेटा को सुरक्षित रूप से हटा दिया जाना चाहिए या गुमनाम [anonymized] कर दिया जाना चाहिए।

अंतर्राष्ट्रीय डेटा ट्रांसफर एक बड़ी कानूनी बाधा है। यदि यूरोपीय संघ की कोई कंपनी अमेरिका या भारत के सर्वर पर डेटा भेजती है, तो उन्हें सुरक्षा उपायों का खुलासा करना होगा ताकि यह सुनिश्चित हो सके कि डेटा सुरक्षित रहे। इसमें अक्सर मानक संविदात्मक खंड [standard contractual clauses] शामिल होते हैं।

• डेटा रखने की अवधि
• स्टोरेज की अवधि तय करने के मापदंड
• डेटा चोरी रोकने के लिए सुरक्षा उपाय
• अंतर्राष्ट्रीय डेटा ट्रांसफर का विवरण
• सीमा पार प्रोसेसिंग के लिए सुरक्षा उपाय

आधुनिक कानून यूज़र को उनकी जानकारी पर महत्वपूर्ण नियंत्रण देते हैं। आपकी पॉलिसी में विस्तार से बताया जाना चाहिए कि यूज़र इन अधिकारों का उपयोग कैसे कर सकते हैं। कई क्षेत्रों में, यूज़र के पास अपने डेटा को देखने, सुधारने या हटाने का अधिकार है, साथ ही ऑटोमेटेड फैसलों जैसी कुछ प्रकार की प्रोसेसिंग पर आपत्ति करने का अधिकार भी है।

पॉलिसी को इन अनुरोधों के लिए एक सरल प्रक्रिया प्रदान करनी चाहिए, जैसे कि एक समर्पित ईमेल पता या ऑनलाइन फॉर्म। यूज़र को उनके अधिकारों का उपयोग करने के लिए स्पष्ट तंत्र प्रदान न करने पर डेटा सुरक्षा अधिकारियों द्वारा भारी जुर्माना लगाया जा सकता है।

• डेटा एक्सेस और पोर्टेबिलिटी का अधिकार
• सुधार या हटाने का अधिकार
• किसी भी समय सहमति वापस लेने का अधिकार
• अधिकारियों के पास शिकायत दर्ज करने का अधिकार
• मार्केटिंग से बाहर निकलने [opt-out] का तंत्र

अलग-अलग क्षेत्रों की अपनी खास ज़रूरतें होती हैं। उदाहरण के लिए, कैलिफ़ोर्निया में CCPA के लिए 'मेरी व्यक्तिगत जानकारी न बेचें' लिंक की ज़रूरत होती है। यूरोप में GDPR डेटा विषयों के अधिकारों और मुख्य पर्यवेक्षी प्राधिकरण की भूमिका के बारे में विस्तार से जानकारी मांगता है।

भारत में, डिजिटल व्यक्तिगत डेटा संरक्षण अधिनियम [DPDP Act] 'सहमति प्रबंधकों' की भूमिका पर ज़ोर देता है और यदि लागू हो तो नोटिस को कई भाषाओं में उपलब्ध कराने की ज़रूरत होती है। हमेशा सुनिश्चित करें कि आपकी पॉलिसी केवल आपकी कंपनी के मुख्यालय के नहीं, बल्कि आपके यूज़र के स्थान के अनुसार बनाई गई हो।

• कैलिफ़ोर्निया के यूज़र के लिए CCPA खुलासे
• यूरोपीय डेटा विषयों के लिए GDPR अनुपालन
• भारतीय निवासियों के लिए DPDP अधिनियम की ज़रूरतें
• बच्चों के डेटा के लिए COPPA अनुपालन
• वित्तीय या स्वास्थ्य डेटा के लिए विशेष नोटिस