নেদারল্যান্ডসে তথ্য সুরক্ষা দুটি উপকরণের উপর নির্ভরশীল: জেনারেল ডেটা প্রোটেকশন রেগুলেশন (জিডিপিআর), যা সমগ্র ইউরোপীয় ইউনিয়নে সরাসরি প্রযোজ্য, এবং ডাচ জিডিপিআর ইমপ্লিমেন্টেশন অ্যাক্ট (Uitvoeringswet AVG, UAVG), যা কেবল রেগুলেশনটির রেখে যাওয়া জাতীয় বিকল্পগুলো পূরণ করে। ইউএভিজি ডাচ ডেটা প্রোটেকশন অথরিটিকে (Autoriteit Persoonsgegevens, AP) তত্ত্বাবধায়ক হিসেবেও মনোনীত করে; এটি কোনো শিথিল ব্যবস্থা তৈরি করে না।
যেহেতু এই প্রবিধানটি সরাসরি প্রযোজ্য, তাই আপনার সংস্থাকে অবশ্যই GDPR মেনে চলতে হবে। যেখানে জাতীয় সিদ্ধান্ত নেওয়া হয়েছে, সেখানে UAVG গুরুত্বপূর্ণ, এবং একাধিক সদস্য রাষ্ট্রে সক্রিয় সংস্থাগুলো ঠিক এই বিষয়গুলোই উপেক্ষা করে থাকে।
সুচিপত্র
বাস্তবায়ন আইনটি নতুন কী যোগ করে?
জাতীয় পর্যায়ে বিকল্পের সংখ্যা সীমিত। সরাসরি কোনো শিশুকে দেওয়া তথ্য সমাজ পরিষেবার ক্ষেত্রে, নেদারল্যান্ডস GDPR-এর ধারা ৮-এর অধীনে ডিফল্ট বয়স ষোল বছর রেখেছে, এবং UAVG-এর ধারা ৫ সেই নিয়মটিকে আরও প্রসারিত করেছে: অন্যান্য ক্ষেত্রে যেখানে সম্মতিই ভিত্তি, সেখানে ষোল বছরের কম বয়সী শিশুর জন্য তার পিতা-মাতা বা অভিভাবকের সম্মতিরও প্রয়োজন হয়, যিনি যেকোনো সময় তা প্রত্যাহার করতে পারেন।
ইউএভিজি বিশেষ শ্রেণীর তথ্যের জন্য ব্যতিক্রমও নির্ধারণ করে। ইউএভিজি-র ২৯ নং ধারা অনন্য শনাক্তকরণের জন্য বায়োমেট্রিক ডেটা প্রক্রিয়াকরণের অনুমতি দেয়, যেখানে এটি প্রমাণীকরণ বা নিরাপত্তার উদ্দেশ্যে প্রয়োজনীয়; এই ব্যতিক্রমটি অ্যাক্সেস কন্ট্রোল এবং লগইন সিস্টেমের জন্য ব্যবহৃত হয়। ইউএভিজি-র ৩১ থেকে ৩৩ নং ধারা অপরাধমূলক তথ্যের প্রক্রিয়াকরণ নিয়ন্ত্রণ করে এবং এই আইনে সাংবাদিকতা, গবেষণা ও আর্কাইভ করার ক্ষেত্রে ছাড় রয়েছে।
বাস্তবে কোন বাধ্যবাধকতাগুলো গুরুত্বপূর্ণ?
বেশিরভাগ কাজ চারটি বিষয় নিয়ে গঠিত। প্রথমত, GDPR-এর ধারা ৩০ অনুযায়ী প্রক্রিয়াকরণ কার্যক্রমের একটি রেকর্ড: এই নথিটিই AP প্রথমে চেয়ে থাকে, এবং এটিই আপনাকে জানতে বাধ্য করে যে আপনার কাছে আসলে কী আছে। দ্বিতীয়ত, প্রতিটি প্রক্রিয়াকরণ কার্যক্রমের জন্য GDPR-এর ধারা ৬ অনুযায়ী একটি আইনসম্মত ভিত্তি, যা সম্মতির ওপর নির্ভর না করে ইচ্ছাকৃতভাবে বেছে নেওয়া হয়; কারণ সেই সম্মতি যেকোনো সময় প্রত্যাহার করা যেতে পারে।
তৃতীয়ত, GDPR-এর ২৮ নং অনুচ্ছেদ অনুযায়ী প্রত্যেক প্রসেসরের সাথে একটি ডেটা প্রসেসিং চুক্তি, এবং ব্যক্তিগত ডেটা ইউরোপীয় অর্থনৈতিক এলাকা ত্যাগ করলে পর্যাপ্ত সুরক্ষাব্যবস্থা। চতুর্থত, GDPR-এর ৩৩ নং অনুচ্ছেদ অনুযায়ী ডেটা সাবজেক্টের অনুরোধের জন্য এবং ৭২ ঘণ্টার মধ্যে AP-কে ডেটা লঙ্ঘনের বিজ্ঞপ্তি জানানোর জন্য একটি কার্যপ্রণালী।
GDPR কীভাবে প্রয়োগ করা হয়?
এপি (AP) তদন্ত করতে, ব্যবস্থা গ্রহণের নির্দেশ দিতে, ডেটা প্রক্রিয়াকরণে নিষেধাজ্ঞা আরোপ করতে এবং সংস্থাগুলোকে জরিমানা করতে পারে। জিডিপিআর (GDPR)-এর ৮৩ নং অনুচ্ছেদ অনুযায়ী, প্রশাসনিক বাধ্যবাধকতা লঙ্ঘনের জন্য সর্বোচ্চ ১০ মিলিয়ন ইউরো বা বিশ্বব্যাপী বার্ষিক টার্নওভারের ২% এবং মূল নীতিমালা, ডেটা সাবজেক্টের অধিকার বা ডেটা স্থানান্তরের নিয়ম লঙ্ঘনের জন্য সর্বোচ্চ ২০ মিলিয়ন ইউরো বা টার্নওভারের ৪% পর্যন্ত জরিমানা হতে পারে, যেটি বেশি।
ব্যক্তিরাও জিডিপিআর-এর ধারা ৮২ অনুযায়ী ক্ষতিপূরণ দাবি করতে পারেন, এবং ২০২০ সালে সম্মিলিত ক্ষতিপূরণ ব্যবস্থা (WAMCA) কার্যকর হওয়ার পর থেকে নেদারল্যান্ডসে ডেটা লঙ্ঘনের বিরুদ্ধে সম্মিলিত পদক্ষেপ একটি বাস্তব ঝুঁকির কারণ হয়ে উঠেছে।
একজন নিয়ন্ত্রক হিসেবে আপনার কী পরীক্ষা করা উচিত?
- আপনার প্রক্রিয়াকরণ কার্যক্রমের রেকর্ড (জিডিপিআর-এর ৩০ ধারা) কি সম্পূর্ণ এবং হালনাগাদ?
- আপনি কি প্রতিটি প্রক্রিয়াকরণ কার্যক্রমের জন্য একটি আইনসম্মত ভিত্তি নথিভুক্ত করেছেন?
- প্রতিটি প্রসেসরের সাথে কি একটি স্বাক্ষরিত প্রসেসিং চুক্তি আছে?
- আপনি কি ৭২ ঘন্টার মধ্যে এপি-কে লঙ্ঘন সম্পর্কে অবহিত করতে পারবেন?
- উচ্চ-ঝুঁকিপূর্ণ প্রক্রিয়াকরণের জন্য আপনার কি ডেটা সুরক্ষা প্রভাব মূল্যায়ন (জিডিপিআর-এর ৩৫ ধারা) প্রয়োজন?
প্রসেসর হিসেবে আপনার কী পরীক্ষা করা উচিত?
- আপনি কি শুধুমাত্র নিয়ন্ত্রকের লিখিত নির্দেশনার ভিত্তিতেই ব্যক্তিগত তথ্য প্রক্রিয়াকরণ করেন (জিডিপিআর-এর ২৮ ধারা)?
- আপনি কি শুধুমাত্র কন্ট্রোলারের অনুমোদন নিয়েই সাব-প্রসেসর ব্যবহার করেন?
- আপনার নিরাপত্তা ব্যবস্থাগুলো কি বর্ণনা ও পরীক্ষা করা হয়েছে?
- কোনো লঙ্ঘনের পর আপনি কি অযথা বিলম্ব না করে নিয়ন্ত্রককে অবহিত করবেন?
GDPR পরিপালনের ক্ষেত্রে আমরা আপনার জন্য কী করতে পারি?
আমাদের আইটি আইনজীবীরা কোনো টেমপ্লেট থেকে নয়, বরং আপনার প্রতিষ্ঠান ডেটা নিয়ে আসলে কী করে, তা থেকেই কাজ শুরু করেন। আমরা পারি:
- আপনার প্রক্রিয়াকরণ কার্যক্রমের রেকর্ড এবং গোপনীয়তা বিবৃতির খসড়া তৈরি বা পর্যালোচনা করুন।
- প্রতিটি প্রক্রিয়াকরণ কার্যক্রমের আইনসম্মত ভিত্তি মূল্যায়ন করুন।
- ডেটা প্রক্রিয়াকরণ চুক্তি এবং হস্তান্তর ধারার খসড়া তৈরি ও আলোচনা করুন।
- ডেটা সুরক্ষা প্রভাব মূল্যায়নে আপনাকে সহায়তা করা।
- এপি-কে লঙ্ঘন বিজ্ঞপ্তি প্রদানে এবং এপি-র তদন্ত বা জরিমানা আরোপে সহায়তা করা।
সারাংশ
- GDPR সরাসরি মূল নিয়মকানুন নির্ধারণ করে; UAVG শুধু জাতীয় বিকল্পগুলো পূরণ করে।
- যেখানে সম্মতিই ভিত্তি, সেখানে ষোল বছরের কম বয়সী শিশুদের জন্য পিতামাতার সম্মতি প্রয়োজন (জিডিপিআর-এর ধারা ৮ এবং ইউএভিজি-এর ধারা ৫)।
- অনুচ্ছেদ ২৯ ইউএভিজি প্রমাণীকরণ বা নিরাপত্তার উদ্দেশ্যে বায়োমেট্রিক ডেটা ব্যবহারের অনুমতি দেয়।
- একটি প্রসেসিং রেকর্ড, প্রতিটি অপারেশনের জন্য একটি আইনসম্মত ভিত্তি, প্রসেসর চুক্তি এবং একটি ৭২-ঘণ্টার লঙ্ঘন পদ্ধতিই বেশিরভাগ কমপ্লায়েন্স কাজের অন্তর্ভুক্ত।
- GDPR-এর ৮৩ নং ধারা অনুযায়ী জরিমানার পরিমাণ সর্বোচ্চ ২০ মিলিয়ন ইউরো বা বিশ্বব্যাপী টার্নওভারের ৪% পর্যন্ত হতে পারে; ব্যক্তি এবং গোষ্ঠী আলাদাভাবে ক্ষতিপূরণ দাবি করতে পারে।
সচরাচর জিজ্ঞাস্য
আমাদের কি একজন ডেটা সুরক্ষা কর্মকর্তার প্রয়োজন আছে?
শুধুমাত্র যেখানে GDPR-এর ৩৭ নং ধারা অনুযায়ী একজনকে নিয়োগ করা আবশ্যক: সরকারি কর্তৃপক্ষ, এবং সেইসব সংস্থা যাদের মূল কার্যকলাপের মধ্যে বৃহৎ পরিসরে নিয়মিত পর্যবেক্ষণ বা বিশেষ শ্রেণীর ডেটার বৃহৎ পরিসরের প্রক্রিয়াকরণ জড়িত। যদি আপনি স্বেচ্ছায় একজনকে নিয়োগ করেন, তবে আইনগত অবস্থান এবং সুরক্ষাসমূহ প্রযোজ্য হবে।
সম্মতিই কি সবচেয়ে নিরাপদ ভিত্তি?
সাধারণত না। সম্মতি অবশ্যই স্বেচ্ছায় দিতে হবে এবং যেকোনো সময় তা প্রত্যাহার করা যেতে পারে, যার পরে প্রক্রিয়াকরণ অবশ্যই বন্ধ করতে হবে। বৈধ স্বার্থ বা চুক্তি সম্পাদন (জিডিপিআর-এর ধারা ৬) প্রায়শই আরও জোরালো হয়, যদি মূল্যায়নটি নথিভুক্ত করা থাকে।
আমরা যদি ইইউ-এর বাইরে থাকি, তাহলে কি জিডিপিআর আমাদের ক্ষেত্রে প্রযোজ্য হবে?
হ্যাঁ, পারে। GDPR-এর ৩ নং অনুচ্ছেদ অনুযায়ী, আপনার সংস্থা যেখানেই প্রতিষ্ঠিত হোক না কেন, আপনি যদি ইউরোপীয় ইউনিয়নের (EU) মানুষদের কাছে পণ্য বা পরিষেবা সরবরাহ করেন অথবা সেখানে তাদের আচরণ পর্যবেক্ষণ করেন, তবে এই প্রবিধানটি প্রযোজ্য হবে।
