GDPR Consent — सार, आवश्यकताएँ और सहमति प्राप्त करना

GDPR Consent क्या है?

GDPR Consent व्यक्तिगत डेटा के प्रसंस्करण के लिए एक कानूनी आधार है, जो यूरोपीय संघ के सामान्य डेटा संरक्षण विनियमन के अनुच्छेद 4(11) और अनुच्छेद 7 में परिभाषित है। यह विनियमन 25 मई 2018 को लागू हुआ और पुराने निर्देश 95/46/EC को बदल दिया, जिसने सभी EU सदस्य राज्यों के लिए एकसमान डेटा सुरक्षा मानक स्थापित किए।

GDPR के अनुसार, सहमति स्वतंत्र होनी चाहिए — उपयोगकर्ता के पास इनकार करने के नकारात्मक परिणामों के बिना एक वास्तविक विकल्प होना चाहिए। यदि सहमति से इनकार करने पर उस सेवा तक पहुँच से वंचित किया जाता है जिसके लिए डेटा प्रसंस्करण की आवश्यकता नहीं है, तो ऐसी सहमति को मजबूर और अमान्य माना जाता है। अनुच्छेद 7(4) सीधे इंगित करता है कि संबंधित संविदात्मक शर्तें अनुबंध के निष्पादन को उस डेटा के प्रसंस्करण के लिए सहमति प्राप्त करने पर निर्भर नहीं बना सकतीं जो उस अनुबंध के लिए आवश्यक नहीं है।

सूचित — दूसरा मुख्य तत्व: डेटा विषय को समझना चाहिए कि कौन सा विशिष्ट डेटा एकत्र किया जा रहा है, किस उद्देश्य के लिए, कौन इसे प्रसंस्कृत करेगा और यह कितने समय तक संग्रहीत रहेगा। यूरोपीय डेटा संरक्षण बोर्ड (EDPB) दिशानिर्देश 05/2020 में इस बात पर जोर देता है कि जानकारी सरल भाषा में, जटिल कानूनी शब्दावली के बिना प्रदान की जानी चाहिए। व्यवहार से पता चलता है कि यदि गोपनीयता नीति में अस्पष्ट या सामान्य शब्दावली है तो सहमति अमान्य मानी जाती है।

स्पष्ट का अर्थ है कि सहमति एक सक्रिय कार्रवाई — चेकबॉक्स चिह्नित करना, बटन दबाना या फॉर्म पर हस्ताक्षर करना — द्वारा व्यक्त की जानी चाहिए। निष्क्रियता, मौन या पूर्व-चयनित चेकबॉक्स स्पष्टता की आवश्यकता को पूरा नहीं करते हैं। Planet49 GmbH मामले (C-673/17) में, यूरोपीय संघ के न्यायालय ने पुष्टि की कि सहमति उपयोगकर्ता की निष्क्रियता से अनुमानित नहीं की जा सकती।

GDPR के अंतर्गत कौन सा डेटा आता है

व्यक्तिगत डेटा GDPR के तहत किसी पहचाने गए या पहचाने जाने योग्य प्राकृतिक व्यक्ति से संबंधित कोई भी जानकारी है। इसमें न केवल स्पष्ट पहचानकर्ता — नाम, पता, ईमेल, फ़ोन — बल्कि IP पते, कुकी पहचानकर्ता, विज्ञापन डिवाइस पहचानकर्ता (IDFA, GAID), बायोमेट्रिक डेटा, जियोलोकेशन और आनुवंशिक जानकारी भी शामिल है।

GDPR का अनुच्छेद 9 डेटा की विशेष श्रेणियों को उजागर करता है जिनका प्रसंस्करण स्पष्ट सहमति के बिना निषिद्ध है: नस्लीय या जातीय मूल, राजनीतिक राय, धार्मिक विश्वास, ट्रेड यूनियन सदस्यता, आनुवंशिक और बायोमेट्रिक डेटा, स्वास्थ्य डेटा और यौन अभिविन्यास। ऐसी श्रेणियों के लिए सहमति का सबसे सख्त रूप आवश्यक है — अलग, विस्तृत और सामान्य संदर्भ से अनुमानित नहीं।

GDPR Consent कब अनिवार्य है

GDPR Consent तब आवश्यक है जब डेटा प्रसंस्करण अन्य कानूनी आधारों पर आधारित नहीं हो सकता: संविदात्मक आवश्यकता (अनुच्छेद 6(1)(b)), वैध हित (अनुच्छेद 6(1)(f)) या कानूनी दायित्व का अनुपालन (अनुच्छेद 6(1)(c))। व्यवहार में, सहमति विपणन संचार, विज्ञापन उद्देश्यों के लिए ट्रैकिंग, गैर-अनिवार्य डेटा के संग्रह और सेवा के संचालन के लिए सख्ती से आवश्यक नहीं कुकीज़ के उपयोग के लिए आवश्यक है।

IAPP-EY वार्षिक शासन रिपोर्ट (2024) के अनुसार, 67% कंपनियाँ मोबाइल एप्लिकेशन में डेटा प्रसंस्करण के लिए प्राथमिक कानूनी आधार के रूप में सहमति का उपयोग करती हैं, जहाँ संभव हो वहाँ वैध हित में स्थानांतरण की बढ़ती प्रवृत्ति के बावजूद। ऐसा इसलिए है क्योंकि सहमति उपयोगकर्ता के साथ सबसे पारदर्शी संबंध प्रदान करती है, लेकिन साथ ही रिकॉर्ड-कीपिंग और सहमति प्रबंधन पर सबसे अधिक दायित्व लगाती है।

सहमति के लिए GDPR की बुनियादी आवश्यकताएँ

GDPR का अनुच्छेद 7 वैध सहमति के लिए छह शर्तें स्थापित करता है, जिनमें से प्रत्येक को एक साथ पूरा किया जाना चाहिए। कम से कम एक शर्त का उल्लंघन सहमति को अमान्य और डेटा प्रसंस्करण को अवैध बना देता है। आइए EDPB दिशानिर्देशों और न्यायशास्त्र को ध्यान में रखते हुए प्रत्येक शर्त की विस्तार से जाँच करें।

सहमति की स्वतंत्रता का उल्लंघन तब होता है जब नियंत्रक और डेटा विषय के बीच शक्ति असंतुलन होता है। EDPB सीधे कहता है कि नियोक्ता रोजगार संबंधों में निर्भरता के कारण कर्मचारियों की सहमति पर भरोसा नहीं कर सकते। इसी तरह, सार्वजनिक प्राधिकरण सार्वजनिक सेवाएँ प्रदान करते समय नागरिकों से सहमति की माँग नहीं कर सकते।

विशिष्टता के लिए प्रत्येक प्रसंस्करण उद्देश्य के लिए अलग सहमति आवश्यक है। यदि कोई एप्लिकेशन विश्लेषण, विज्ञापन वैयक्तिकरण और सेवा सुधार के लिए डेटा एकत्र करता है — तो प्रत्येक उद्देश्य के लिए एक अलग चेकबॉक्स आवश्यक है। कई उद्देश्यों को एक सहमति में संयोजित करना विशिष्टता की आवश्यकता का उल्लंघन करता है और सहमति को अमान्य बनाता है।

सिद्धता सबसे तकनीकी रूप से चुनौतीपूर्ण आवश्यकता है। अनुच्छेद 7(1) सीधे कहता है कि नियंत्रक सहमति प्राप्त करने के सबूत का बोझ वहन करता है। व्यवहार में, इसका अर्थ है सभी उपयोगकर्ता कार्यों का लॉग बनाए रखना: किसने, कब, किन उद्देश्यों के लिए सहमति दी, गोपनीयता नीति का कौन सा संस्करण दिखाया गया और उपयोगकर्ता ने इसे कैसे वापस लिया।

मोबाइल एप्लिकेशन में सहमति संग्रह कैसे लागू करें

मोबाइल एप्लिकेशन में GDPR Consent को लागू करने के लिए कानूनी आवश्यकताओं को तकनीकी कार्यान्वयन के साथ जोड़ने वाले एक व्यापक दृष्टिकोण की आवश्यकता होती है। मुख्य उपकरण एक सहमति प्रबंधन मंच (CMP) है जो सहमति जीवनचक्र का प्रबंधन करता है: अनुरोध प्रदर्शित करना, विकल्प रिकॉर्ड करना, डेटा संग्रहीत करना और विज्ञापन और विश्लेषण SDK के साथ सिंक्रनाइज़ करना।

Google UMP SDK का उपयोग

Google Android और iOS के लिए User Messaging Platform (UMP) SDK प्रदान करता है, जो AdMob, Google Analytics और अन्य Google सेवाओं के साथ एकीकृत होता है। UMP SDK उपयोगकर्ता के जियोलोकेशन और GDPR आवश्यकताओं के आधार पर स्वचालित रूप से सहमति प्रदर्शन की आवश्यकता निर्धारित करता है। आइए Android के लिए Kotlin में एकीकरण देखें:

val requestParams = ConsentRequestParameters
    .Builder()
    .setTagForUnderAgeOfConsent(false)
    .build()

ConsentInformation
    .getInstance(this)
    .requestConsentInfoUpdate(requestParams, { @Override
        fun onConsentInfoUpdateSuccess() {
            if (ConsentInformation
                    .getInstance(this@MainActivity)
                    .isConsentFormAvailable()
            ) {
                loadConsentForm()
            }
        }
    }, { @Override
        fun onConsentInfoUpdateFailure(error: FormError) {
            Log.e("UMP", error.message)
        }
    })

सहमति फॉर्म लोड करने के बाद, इसे उपयोगकर्ता को दिखाया जाना चाहिए। UMP SDK दो प्रकार के फॉर्म का समर्थन करता है: वैयक्तिकृत विज्ञापन के लिए सहमति प्राप्त करने के लिए और बाद में विकल्पों का प्रबंधन करने के लिए। परिणाम प्रसंस्करण में सभी संभावित परिणामों को ध्यान में रखना चाहिए — उपयोगकर्ता सहमति दे सकता है, इनकार कर सकता है या बिना चुने फॉर्म बंद कर सकता है।

सहमति का भंडारण और सत्यापन

सिद्धता आवश्यकता को पूरा करने के लिए, न केवल सहमति के तथ्य बल्कि इसके प्राप्त करने के संदर्भ को भी संग्रहीत करना आवश्यक है। भंडारण के लिए न्यूनतम डेटा सेट में शामिल है: उपयोगकर्ता या डिवाइस पहचानकर्ता, समय क्षेत्र के साथ टाइमस्टैम्प, गोपनीयता नीति का संस्करण, विशिष्ट प्रसंस्करण उद्देश्य और उपयोग की गई सहमति तंत्र।

data class ConsentRecord(
    val userId: String,
    val timestamp: Long,
    val privacyPolicyVersion: String,
    val purposes: List<String>,
    val consentGiven: Boolean
)

class ConsentRepository(
    private val dao: ConsentDao
) {
    suspend fun saveConsent(record: ConsentRecord) {
        dao.insert(record.toEntity())
        AnalyticsManager.logConsentEvent(record)
    }
}

यूरोपीय डेटा संरक्षण बोर्ड (EDPB) सिफारिश 01/2023 में इस बात पर जोर देता है कि सहमति रिकॉर्ड पूरे डेटा प्रसंस्करण अवधि और इसकी समाप्ति के तीन साल बाद तक रखे जाने चाहिए। मोबाइल एप्लिकेशन के लिए, इसका अर्थ है रिकॉर्ड का सर्वर-साइड भंडारण, न केवल स्थानीय भंडारण, क्योंकि उपयोगकर्ता एप्लिकेशन को पुनः स्थापित कर सकता है या डिवाइस बदल सकता है।

GDPR अन्य गोपनीयता नियामकों से कैसे भिन्न है

GDPR दुनिया में एकमात्र गोपनीयता नियामक नहीं है, लेकिन यह कई राष्ट्रीय डेटा सुरक्षा कानूनों के लिए एक मॉडल बन गया है। विभिन्न क्षेत्राधिकारों के उपयोगकर्ताओं के साथ काम करने वाले अंतर्राष्ट्रीय एप्लिकेशन के डेवलपर्स के लिए GDPR और अन्य नियामकों के बीच अंतर को समझना अत्यंत महत्वपूर्ण है।

CCPA (कैलिफ़ोर्निया उपभोक्ता गोपनीयता अधिनियम) GDPR से मौलिक रूप से भिन्न है: यह ऑप्ट-इन के बजाय ऑप्ट-आउट मॉडल पर काम करता है। CCPA के तहत, कंपनियाँ उपयोगकर्ता को अपने डेटा की बिक्री से ऑप्ट-आउट करने का अधिकार प्रदान करने के लिए बाध्य हैं, लेकिन संग्रह के लिए पूर्व सहमति प्राप्त करना आवश्यक नहीं है। हालाँकि, 2023 में CPRA (कैलिफ़ोर्निया गोपनीयता अधिकार अधिनियम) को अपनाने के साथ, संवेदनशील डेटा के लिए सहमति की आवश्यकताएँ GDPR के करीब हो गई हैं।

ePrivacy निर्देश (इलेक्ट्रॉनिक संचार में गोपनीयता पर निर्देश) कुकीज़ और इलेक्ट्रॉनिक विपणन के संबंध में GDPR का पूरक है। GDPR के विपरीत, जो सभी व्यक्तिगत डेटा को नियंत्रित करता है, ePrivacy संचार डेटा पर केंद्रित है। गैर-आवश्यक कुकीज़ के लिए सहमति प्राप्त करने की आवश्यकता विशेष रूप से ePrivacy से उत्पन्न होती है, न कि GDPR से, हालाँकि सहमति तंत्र समान है।

ब्राज़ील का LGPD मामूली बदलावों के साथ लगभग पूरी तरह से GDPR संरचना की नकल करता है: सहमति की आयु 18 वर्ष तक बढ़ा दी गई है, और मृत व्यक्तियों के डेटा के प्रसंस्करण के लिए उत्तराधिकारियों की सहमति आवश्यक है। दूसरी ओर, चीन का PIPL, सख्त आवश्यकताएँ प्रस्तुत करता है: अनिवार्य डेटा स्थानीयकरण, सभी स्वचालित निर्णयों के लिए डेटा सुरक्षा प्रभाव मूल्यांकन (DPIA) और सीमा पार डेटा स्थानांतरण की सूचना।

GDPR Consent लागू करने में सामान्य गलतियाँ

2018-2024 के लिए यूरोपीय पर्यवेक्षी प्राधिकरणों के जुर्माने और आदेशों के विश्लेषण से सहमति कार्यान्वयन में बार-बार होने वाले उल्लंघनों का पता चलता है। एन्फोर्समेंट ट्रैकर (CMS Law, 2024) के अनुसार, सभी GDPR जुर्मानों में से 40% से अधिक गलत सहमति प्राप्त करने और प्रबंधन से संबंधित हैं। आइए सबसे सामान्य गलतियों पर नज़र डालें।

पूर्व-चयनित चेकबॉक्स और निष्क्रिय सहमति

सबसे आम गलती सहमति प्राप्त करने के लिए पूर्व-चयनित चेकबॉक्स का उपयोग करना है। Planet49 GmbH (C-673/17) मामले में EU न्यायालय के निर्णय ने स्पष्ट रूप से स्थापित किया कि सहमति उपयोगकर्ता की निष्क्रियता से अनुमानित नहीं की जा सकती। इसके बावजूद, कई एप्लिकेशन पूर्व-चयनित विकल्पों का उपयोग करना जारी रखते हैं, विशेष रूप से कुकी बैनर के लिए, जिससे सीधे जुर्माना और आदेश होते हैं।

2024 में, फ्रांसीसी राष्ट्रीय सूचना विज्ञान और स्वतंत्रता आयोग (CNIL) ने पूर्व-चयनित चेकबॉक्स और अपर्याप्त पारदर्शी उपयोगकर्ता जानकारी के लिए एक प्रमुख RTB विज्ञापन होल्डिंग कंपनी पर 250 मिलियन यूरो का जुर्माना लगाया। यह सहमति से संबंधित सबसे बड़ा जुर्माना है, जो नियामकों के लिए सहमति नियंत्रण की प्राथमिकता को प्रदर्शित करता है।

एक सहमति में उद्देश्यों का संयोजन

कई एप्लिकेशन सभी प्रकार के प्रसंस्करण के लिए एक सामान्य सहमति का अनुरोध करते हैं: विश्लेषण, वैयक्तिकरण, विज्ञापन, तीसरे पक्ष को स्थानांतरण। यह सीधे विशिष्टता (उद्देश्य सीमा) की आवश्यकता का उल्लंघन करता है। EDPB दिशानिर्देश 05/2020 में जोर देता है: यदि एक उद्देश्य दूसरे के बिना प्राप्त किया जा सकता है, तो उपयोगकर्ता को प्रत्येक उद्देश्य के लिए अलग से सहमति देने में सक्षम होना चाहिए।

आयरिश डेटा सुरक्षा आयोग (DPC) ने Meta Platforms Ireland (2023) पर अपने निर्णय में कहा कि विज्ञापन वैयक्तिकरण और सेवा सुधार को एक सहमति में संयोजित करना उल्लंघन है। Meta को Facebook और Instagram में विभिन्न प्रसंस्करण उद्देश्यों के लिए अलग सहमति तंत्र लागू करने का आदेश दिया गया।

सहमति की कठिन या असंभव वापसी

GDPR आवश्यकता है कि सहमति की वापसी सहमति देने जितनी ही आसान हो। यदि उपयोगकर्ता ने एक बटन क्लिक से सहमति दी, तो वापसी के लिए फॉर्म भरना, ईमेल भेजना या सहायता को कॉल करना आवश्यक नहीं हो सकता। व्यवहार में, कई एप्लिकेशन वापसी तंत्र को सेटिंग्स में गहराई से छिपाते हैं या इसे पूरा करने के लिए कई चरणों की आवश्यकता होती है।

अनुशंसित अभ्यास — एप्लिकेशन सेटिंग्स में एक समर्पित सहमति प्रबंधन स्क्रीन जोड़ना जिसमें एक टॉगल से प्रत्येक सहमति को अलग से वापस लेने की क्षमता हो। Google का UMP SDK सहमति फॉर्म को पुनः प्रदर्शित करने के लिए एक अंतर्निहित तंत्र प्रदान करता है, जिसे उपयोगकर्ता किसी भी समय एप्लिकेशन सेटिंग्स से ला सकता है।

सहमति प्राप्त करने के सबूत का अभाव

कई डेवलपर मौखिक सहमति पर भरोसा करते हैं या सहमति प्राप्त करने के रिकॉर्ड नहीं रखते। यह GDPR के अनुच्छेद 5(2) के तहत सिद्धता (जवाबदेही) आवश्यकता को पूरा करना असंभव बना देता है। निरीक्षण के दौरान, पर्यवेक्षी प्राधिकरण न केवल गोपनीयता नीति बल्कि पूरे डेटा प्रसंस्करण अवधि के लिए प्राप्त सहमति के लॉग का अनुरोध करेगा।

समाधान सभी घटनाओं के स्वचालित लॉगिंग के साथ सहमति प्रबंधन मंच (CMP) का उपयोग करना है: फॉर्म प्रदर्शन, उपयोगकर्ता विकल्प, दस्तावेज़ संस्करण, टाइमस्टैम्प। मोबाइल एप्लिकेशन के लिए लोकप्रिय CMP में Usercentrics, OneTrust और ConsentManager शामिल हैं — ये सभी स्वचालित सहमति ऑडिट रिकॉर्डिंग का समर्थन करते हैं।