DPDP एक्ट और गेस्ट वाई-फाई: लॉगिन पर वेन्यू क्या-क्या डेटा ले सकता है
वाई-फाई लॉगिन पेज पर टाइप किया गया फ़ोन नंबर भारतीय कानून में पर्सनल डेटा है। एक्ट आपको उसे लेने से नहीं रोकता। वह बस इतना कहता है: उतना ही लीजिए जितना लॉगिन को चाहिए, वजह बताइए, जिन्हें ज़रूरत नहीं उनसे दूर रखिए, और काम पूरा होने पर डिलीट कीजिए।
गेस्ट वाई-फाई का लॉगिन पेज पर्सनल डेटा लेता है। फ़ोन नंबर, ईमेल, किसी व्यक्ति के कनेक्ट होने का समय और उसका डिवाइस, ये सब भारत के डिजिटल पर्सनल डेटा प्रोटेक्शन एक्ट, 2023 के तहत पर्सनल डेटा हैं, और वाई-फाई चलाने वाला वेन्यू ही वह पक्ष है जिसे एक्ट इनके लिए ज़िम्मेदार मानता है।
छोटा जवाब: उतना ही लीजिए जितना लॉगिन को चाहिए, गेस्ट को बताइए कि क्यों ले रहे हैं, जिस स्टाफ को ज़रूरत नहीं उससे दूर रखिए, और काम पूरा होने पर डिलीट कीजिए, जब तक कोई दूसरा कानून रखने को न कहे। यह पोस्ट होटल, कैफे, ऑफिस और को-वर्किंग स्पेस के लिए इन चारों बातों को एक-एक करके समझाती है। यह कानूनी सलाह नहीं है। अपनी स्थिति के बारे में अपने सलाहकार से बात कीजिए, और एक्ट खुद पढ़िए: आधिकारिक टेक्स्ट MeitY के डेटा प्रोटेक्शन पेज पर है।
एक्ट के शब्द, वाई-फाई लॉगिन पर लागू
एक्ट 11 अगस्त 2023 को प्रकाशित हुआ। इसके तहत बने Rules ब्यौरा तय करते हैं और इसकी धाराओं को चरणों में लागू करते हैं, इसलिए आप पर कौन सी तारीख़ें लागू होती हैं, यह मौजूदा Rules में देखिए। गेस्ट वाई-फाई के लिए इसके तीन शब्द मायने रखते हैं:
- पर्सनल डेटा वह कोई भी डेटा है जिससे कोई व्यक्ति पहचाना जा सके। फ़ोन नंबर अकेले ही इसमें आ जाता है।
- Data Principal वह व्यक्ति है जिसके बारे में डेटा है: आपका गेस्ट।
- Data Fiduciary वह है जो तय करता है कि डेटा क्यों और कैसे प्रोसेस होगा। यह वेन्यू है, वह सॉफ्टवेयर कंपनी नहीं जिसका लॉगिन पेज आप इस्तेमाल करते हैं। जो वेंडर आपकी तरफ़ से डेटा स्टोर करता है वह Data Processor है, और ज़िम्मेदारी फिर भी एक्ट आप पर रखता है।
लॉगिन पर आप क्या ले सकते हैं
एक्ट कहता है कि सहमति किसी बताए हुए मकसद के लिए specific हो, और अलग से यह भी मानता है कि अगर किसी ने किसी तय मकसद के लिए खुद डेटा दिया है और आपत्ति नहीं की, तो उसे प्रोसेस किया जा सकता है। वाई-फाई लॉगिन के लिए मकसद साफ़ है: इस गेस्ट के डिवाइस को ऑनलाइन लाना और यह रिकॉर्ड रखना कि कनेक्शन किसने इस्तेमाल किया। इस मकसद को जो चाहिए, वह थोड़ा सा है।
| फ़ील्ड | गेस्ट को ऑनलाइन लाने के लिए ज़रूरी? | नोट |
|---|---|---|
| फ़ोन नंबर | हाँ, SMS या WhatsApp OTP के लिए | पब्लिक वाई-फाई पर भारतीय नियम यही पहचान चाहते हैं |
| ईमेल | हाँ, ईमेल OTP के लिए | फ़ोन का विकल्प, उसके ऊपर कुछ अतिरिक्त नहीं |
| वाउचर कोड | हाँ, वाउचर से एक्सेस के लिए | अपने आप में पर्सनल डेटा नहीं |
| डिवाइस का MAC address, कनेक्शन का समय | नेटवर्क खुद लेता है | सेशन लॉग इसी से बनता है |
| नाम, जन्मतिथि, शहर, लिंग | नहीं | अलग से बताया हुआ मकसद चाहिए |
| आधार या दूसरे ID नंबर | नहीं | वाई-फाई लॉगिन पेज पर न लें |
जो लॉगिन फ़ॉर्म इंटरनेट चलने से पहले नाम, जन्मदिन और शहर पूछता है, वह ऐसे मकसद के लिए डेटा ले रहा है जो उसने बताया ही नहीं। अगर लॉयल्टी प्रोग्राम के लिए ये डिटेल चाहिए, तो लॉगिन के बाद पूछिए, बताइए कि किस लिए हैं, और उन्हें optional रखिए। वाई-फाई लॉगिन पेज पर क्या रखें यही बात एक दूसरी वजह से कहती है: हर अतिरिक्त फ़ील्ड पर कुछ गेस्ट छूट जाते हैं।
गेस्ट को क्या बताना ज़रूरी है
एक्ट कहता है कि सहमति माँगने के साथ या उससे पहले एक नोटिस हो, जो बताए कि कौन सा पर्सनल डेटा लिया जा रहा है और क्यों, गेस्ट सहमति कैसे वापस ले सकता है, और शिकायत कैसे करे। वाई-फाई लॉगिन पेज पर इसका मतलब है साइन-इन बटन के पास आपकी terms और privacy टेक्स्ट का लिंक, सीधी भाषा में। एक छोटा पैराग्राफ़ काफ़ी है: “आपके नंबर का इस्तेमाल लॉगिन कोड भेजने और इस सेशन का रिकॉर्ड रखने के लिए होता है। हम इसे किसी से साझा नहीं करते। इसे हटवाने के लिए हमसे संपर्क करें…”
Terms गेस्ट के ऑनलाइन आने से पहले खुलने चाहिए, क्योंकि बिना इंटरनेट वाला गेस्ट किसी दूसरी साइट का पेज नहीं खोल सकता। गेस्ट वाई-फाई की acceptable use policy कैसे लिखें में शब्दों पर बात है। Wyfy Guest में terms का लिंक और उसका चेकबॉक्स OTP की पहली स्क्रीन पर ही होता है, कोड भेजे जाने से पहले, और terms का पेज पोर्टल के अंदर ही खुलता है।
मार्केटिंग दूसरा मकसद है
जिस गेस्ट ने ऑनलाइन आने के लिए नंबर टाइप किया, उसने ऑनलाइन आने की हाँ कही है। WhatsApp पर त्योहार के ऑफ़र पाने की नहीं। एक्ट में सहमति उसी मकसद से बंधी है जिसके लिए दी गई, इसलिए मार्केटिंग मैसेज एक नया मकसद है जिसके लिए अलग हाँ चाहिए।
व्यावहारिक नियम: सिर्फ़ उन्हीं गेस्ट को मैसेज भेजिए जिन्होंने opt-in किया, opt-out चालू रखिए, और मार्केटिंग लिस्ट को लॉगिन रिकॉर्ड से अलग रखिए। गेस्ट वाई-फाई को मार्केटिंग चैनल की तरह में बताया है कि लॉगिन के रास्ते में सवाल रखे बिना कैसे पूछें।
वेन्यू के अंदर इसे कौन देख सकता है
एक्ट पर्सनल डेटा breach से बचाने के लिए reasonable security safeguards माँगता है, और छोटे वेन्यू में breach का पहला ख़तरा कोई हैकर नहीं होता। ख़तरा यह है कि हर स्टाफ लॉगिन हर गेस्ट का नंबर पढ़ सकता है, हमेशा के लिए, और इसका कोई रिकॉर्ड नहीं कि किसने देखा।
तीन सेटिंग इसका जवाब हैं:
- कॉन्टैक्ट डिटेल डिफ़ॉल्ट में छिपी रहें। डैशबोर्ड नंबर और ईमेल मास्क करके दिखाए, जब तक कोई वजह वाला व्यक्ति अपने अकाउंट के लिए मास्क न हटाए। Wyfy Guest में इस कदम के लिए उस स्टाफ के अपने फ़ोन या ईमेल पर OTP आता है। स्टाफ से गेस्ट के फ़ोन नंबर छिपाना में यह कैसे काम करता है, बताया है।
- हर स्टाफ का अपना लॉगिन, अपनी role। डैशबोर्ड का साझा पासवर्ड हर काम को गुमनाम बना देता है। role के हिसाब से एक्सेस से ही आप कह पाते हैं कि कौन क्या देख सकता है।
- ऑडिट ट्रेल। किसने कौन सी सेटिंग बदली या किस गेस्ट का नंबर देखा, इसका रिकॉर्ड, उस दिन के लिए जब कोई गेस्ट पूछे कि उसके डेटा का क्या हुआ।
कितने दिन रखें
एक्ट की धारा 8(7) कहती है कि Data Fiduciary पर्सनल डेटा तब मिटा दे जब गेस्ट सहमति वापस ले, या जैसे ही यह मानना उचित हो कि मकसद अब पूरा हो चुका है, बशर्ते किसी दूसरे कानून के पालन के लिए उसे रखना ज़रूरी न हो।
CERT-In के अप्रैल 2022 के निर्देश बिज़नेस को अपने ICT (information and communication technology) सिस्टम के लॉग 180 दिन तक रखने को कहते हैं, और गेस्ट नेटवर्क को इससे बाहर बताना मुश्किल है। इसलिए सेशन लॉग कम से कम 180 दिन रहते हैं। भारत में गेस्ट वाई-फाई लॉग में निर्देश के शब्द और उसकी अस्पष्ट जगहें, दोनों हैं।
बाकी सब एक्ट के डिफ़ॉल्ट पर चलता है। मार्केटिंग लिस्ट से opt-out करने वाले हटते हैं। लॉयल्टी प्रोफ़ाइल प्रोग्राम ख़त्म होने या गेस्ट के कहने पर जाती है। लिख कर रखिए कि आप कौन से रिकॉर्ड रखते हैं, कितने दिन, और क्यों।
18 साल से कम उम्र के गेस्ट
एक्ट 18 साल से कम उम्र के हर व्यक्ति को बच्चा मानता है और बच्चे का डेटा प्रोसेस करने से पहले माता-पिता या अभिभावक की verifiable सहमति माँगता है। यह बच्चों की ट्रैकिंग, behavioural monitoring और उन पर targeted advertising पर भी रोक लगाता है। सहमति लेने का तरीका Rules पर छोड़ा गया है, इसलिए उन्हें देखिए।
होटल या कैफे में यह सवाल कम ही आता है, क्योंकि ग्रुप का वयस्क लॉगिन करता है। स्कूल या कोचिंग सेंटर में यह रोज़ आता है: उन नंबरों पर मार्केटिंग न करें, उनकी प्रोफ़ाइल न बनाएँ, और स्टूडेंट के अपने फ़ोन से लॉगिन करने से पहले अपने सलाहकार से पूछें कि माता-पिता की सहमति कैसे लें। कोचिंग सेंटर के लिए गेस्ट वाई-फाई में वह सेटअप है।
अपने लॉगिन पेज की पाँच लाइन की जाँच
- लॉगिन से पहले पेज फ़ोन नंबर या ईमेल, या वाउचर माँगता है, और कुछ नहीं।
- Terms और privacy का लिंक लॉगिन स्क्रीन पर है, और बिना इंटरनेट खुलता है।
- मार्केटिंग मैसेज सिर्फ़ opt-in करने वाले गेस्ट को जाते हैं, और opt-out काम करता है।
- स्टाफ को कॉन्टैक्ट डिटेल मास्क दिखती हैं, जब तक वजह न हो, और वह वजह रिकॉर्ड होती है।
- आप बता सकते हैं कि कौन से रिकॉर्ड रखते हैं, कितने दिन, और लंबे वाले कौन सा कानून माँगता है।
Wyfy Guest इसमें कहाँ है
Wyfy Guest भारत के वेन्यू के लिए गेस्ट वाई-फाई सॉफ्टवेयर है। लॉगिन पेज OTP के लिए फ़ोन नंबर या ईमेल, या वाउचर कोड माँगता है, और कुछ नहीं, और terms का लिंक और चेकबॉक्स पहली स्क्रीन पर होता है। डैशबोर्ड में गेस्ट के नंबर और ईमेल डिफ़ॉल्ट में मास्क रहते हैं, मास्क हटाने के लिए स्टाफ के अपने कॉन्टैक्ट पर OTP आता है, हर स्टाफ का अपना लॉगिन और role होती है, और बदलाव रिकॉर्ड होते हैं। सेशन रिकॉर्ड रखे जाते हैं ताकि वेन्यू CERT-In के लॉगिंग निर्देश को पूरा कर सके। आपके terms में क्या लिखा है, नाबालिगों से सहमति कैसे लेते हैं और मार्केटिंग लिस्ट कितने दिन रखते हैं, ये आपके फ़ैसले हैं, और एक्ट उन्हें आपका ही बनाता है। आपकी तरफ़ से हम जो डेटा रखते हैं उसका क्या करते हैं, यह हमारी प्राइवेसी पॉलिसी में है।