GDPR का "विशेष श्रेणी डेटा" नियम: यूरोप में दफ्तर न होने पर भी यह एक वयस्क वर्गीकृत विज्ञापन साइट तक क्यों पहुंचता है

वह जुर्माना जिसका किसी हैक से कोई लेना-देना नहीं था

दिसंबर 2021 में, नॉर्वे के डेटा संरक्षण प्राधिकरण ने Grindr LLC पर 6.5 करोड़ क्रोनर का जुर्माना लगाया। किसी ने Grindr के सर्वर में सेंध नहीं लगाई थी। कोई डेटाबेस लीक नहीं हुआ था। कंपनी ने वही किया था जो लॉगिन और विज्ञापन बजट वाली अधिकतर साइटें बिना दो बार सोचे करती हैं: उसने लक्षित विज्ञापन चलाने और उनके असर को मापने के लिए पहचानकर्ता विज्ञापन साझेदारों के साथ साझा किए। हजारों साधारण वेबसाइटों के पीछे मौजूद Meta Pixel या Google Ads कन्वर्ज़न टैग के पीछे भी बिल्कुल यही तंत्र काम करता है।

Grindr का बचाव यह था कि इनमें से किसी भी चीज़ से वास्तव में किसी की यौन अभिरुचि उजागर नहीं होती। एक उपयोगकर्ता उपनाम चुन सकता था, फोटो छोड़ सकता था, और अपने बारे में कुछ भी स्पष्ट साझा न करे। नियामक ने यह तर्क स्वीकार नहीं किया। उसने माना कि किसी खास यौन अल्पसंख्यक समुदाय के इर्द-गिर्द बनाए गए ऐप का ज्ञात उपयोगकर्ता होना ही "प्रबल रूप से संकेत देता है, और ज़्यादातर मामलों में सटीक रूप से दर्शाता प्रतीत होता है" कि वह व्यक्ति उस अल्पसंख्यक समुदाय से है, चाहे उसने इस बारे में कभी एक शब्द भी क्यों न लिखा हो। अपील में यह जुर्माना बरकरार रहा, और 2025 में एक नॉर्वेजियन अदालत ने इसे फिर से सही ठहराया।

संख्या से ज़्यादा महत्वपूर्ण है यह तर्क। इस मामले के बारे में पढ़ने वाला कोई वर्गीकृत विज्ञापन संचालक आम तौर पर इसे "यह डेटिंग ऐप की समस्या है, हम तो विज्ञापन बेचते हैं" कहकर टाल देता है। लेकिन नियामक ने जो कानूनी कसौटी लागू की, वह इस बात से जुड़ी नहीं थी कि Grindr के ऐप का नाम क्या था। यह इस बात से जुड़ी थी कि एक विवेकशील व्यक्ति डेटा से क्या निकाल सकता है, और यह कसौटी किसी डेटिंग ऐप के दरवाज़े पर रुक नहीं जाती। वयस्क व्यक्तिगत विज्ञापनों के इर्द-गिर्द बनी एक निर्देशिका ठीक वैसा ही डेटा पैदा करती है: इस तरह के मंच पर एक खाता, एक खास श्रेणी को ब्राउज़ करना, एक खास तरह के विज्ञापन से संपर्क करना। इनमें से किसी को भी किसी तीसरे पक्ष को उस व्यक्ति के बारे में कुछ अंतरंग बताने के लिए एक भी स्पष्ट शब्द की ज़रूरत नहीं होती।

यही वह पहलू है जो चार्जबैक, आयु सत्यापन और सामग्री मॉडरेशन पर ध्यान केंद्रित करने वाले संचालक की नज़र से छूट जाता है, जो सब असली और तात्कालिक जोखिम हैं। डेटा संरक्षण कानून एक पूरी तरह अलग रास्ता है, जिसका अपना नियामक है, अपने जुर्माने हैं, और एक ऐसी कानूनी कसौटी है जो ठीक इसी तरह के मंच के लिए बनाई गई थी, भले ही इसे लिखते समय किसी वयस्क साइट के बारे में सोचा तक न गया हो।

यह तब भी क्यों मायने रखता है जब कोई इसे ज़ोर से नहीं कहता

यूरोपीय कानून के पास उस डेटा के लिए एक नाम है जो सीधे बताए बिना किसी संवेदनशील तथ्य का अनुमान लगाने देता है: अनुमान (inference)। अगस्त 2022 में, यूरोपीय संघ के न्यायालय ने एक ऐसे मामले पर फैसला सुनाया जिसका वयस्क सामग्री से कोई लेना-देना नहीं था। एक लिथुआनियाई सरकारी अधिकारी को, अन्य बातों के साथ, अपने साथी का नाम घोषित करना ज़रूरी था, और वह घोषणा ऑनलाइन प्रकाशित की गई थी। अदालत ने माना कि समलैंगिक साथी का नाम बताना, यौन अभिरुचि के बारे में एक भी शब्द के बिना भी, फिर भी यौन अभिरुचि से जुड़े डेटा के संसाधन के दायरे में आता है, क्योंकि पाठक वहां तक उस चीज़ के ज़रिए पहुंच सकता था जिसे अदालत ने तुलना या निष्कर्ष की एक बौद्धिक प्रक्रिया कहा।

यह कसौटी एक लिथुआनियाई सरकारी कर्मचारी से कहीं आगे तक जाती है। सवाल कभी यह नहीं होता कि "क्या मंच ने कहा कि यह व्यक्ति समलैंगिक है, विषमलैंगिक है, या कुछ और है।" सवाल यह है कि क्या कोई डेटा, सामान्य तर्क के साथ मिलकर, पाठक को उस निष्कर्ष तक पहुंचा देता है। एक विज्ञापन श्रेणी, एक "तलाश" फ़ील्ड, एक सेवा विवरण, या बस एक खास तरह के व्यक्तिगत विज्ञापन के इर्द-गिर्द संगठित किसी मंच पर सक्रिय खाता, ये सब बिना किसी स्पष्ट लेबल के भी अकेले उस सीमा को पार कर सकते हैं।

GDPR के तहत, जैसे ही कोई डेटा उस सीमा को पार करता है, वह सामान्य व्यक्तिगत डेटा नहीं रह जाता और वह बन जाता है जिसे नियमन विशेष श्रेणी कहता है, अनुच्छेद 9 का यह शब्द उसी समूह के लिए है जिसमें स्वास्थ्य रिकॉर्ड, धार्मिक विश्वास और ट्रेड यूनियन सदस्यता शामिल हैं। यह कोई मामूली लेबल नहीं है। अनुच्छेद 9 इस तरह के डेटा के संसाधन को पूरी तरह प्रतिबंधित करते हुए शुरू होता है, और इस प्रतिबंध को केवल खास स्थितियों की एक छोटी, बंद सूची के लिए हटाता है। इसके विपरीत, सामान्य व्यक्तिगत डेटा को कई सामान्य कानूनी आधारों में से बस एक की ज़रूरत होती है, और दोनों व्यवस्थाओं के बीच का यही अंतर ठीक वह जगह है जहां आज अधिकतर वर्गीकृत विज्ञापन साइटें बिना जाने-समझे खड़ी हैं।

व्यावहारिक असर यह है कि केवल खोज और छानबीन के लिए बनाया गया एक फ़ील्ड, जो किसी आगंतुक को श्रेणी या पसंद के अनुसार विज्ञापनों को सीमित करने देता है, चुपचाप दोहरी भूमिका निभा रहा होता है। यह आगंतुक को वह खोजने में मदद करता है जो वह चाहता है, और यह ठीक वैसा ही डेटा बिंदु भी है जिसे कोई नियामक इस बात के प्रमाण के तौर पर इंगित करेगा कि मंच आगंतुक और विज्ञापित व्यक्ति, दोनों के बारे में विशेष श्रेणी का डेटा संसाधित कर रहा है। कोई उपयोगकर्ता जो लेबल टाइप कर सकता है उसे हटा देना, इस नियम से बचने के लिए काफी नहीं है; यूरोपीय संघ न्यायालय की कसौटी इस बात पर टिकी है कि क्या अनुमान लगाया जा सकता है, इस बात पर नहीं कि क्या घोषित किया गया था।

"हमारा यूरोप में कोई दफ्तर नहीं है" मदद क्यों नहीं करता

ब्रसेल्स से दूर स्थित किसी संचालक की इस सबके प्रति सबसे आम प्रतिक्रिया यह होती है कि यूरोपीय नियामकों की यहां तक पहुंच ही नहीं है। यह प्रतिक्रिया गलत है, और GDPR इसका कारण स्पष्ट रूप से बताता है। अनुच्छेद 3(2) नियमन को किसी भी व्यवसाय पर लागू करता है, चाहे वह कहीं भी स्थित हो, उस क्षण जब वह EU में स्थित लोगों को सामान या सेवाएं देता है, चाहे उनमें से कोई इसके लिए भुगतान करे या न करे, या उस क्षण जब वह EU में स्थित लोगों के व्यवहार की निगरानी करता है। इनमें से किसी भी स्थिति के लिए यूरोपीय इकाई, यूरोपीय बैंक खाता, या यूरोपीय कर्मचारी की ज़रूरत नहीं होती।

नियामक इस अनुच्छेद को लागू करने के लिए जिन दिशानिर्देशों का उपयोग करते हैं, वे यह ज़रूर कहते हैं कि किसी वेबसाइट का जर्मनी में किसी आगंतुक के लिए बस लोड हो जाना, अकेले इसे लागू करने के लिए काफी नहीं है। जो पलड़ा भारी करता है वह यह सबूत है कि व्यवसाय वाकई EU में लोगों को लक्षित कर रहा है: यूरो में दिखाई गई कीमतें, यूरोपीय दर्शकों के लिए बनाई गई मार्केटिंग, या, बहुत ठोस रूप से, साइट को खुद यूरोपीय भाषाओं में पेश करना। एक वर्गीकृत विज्ञापन मंच जो पहले से ही ठीक इन्हीं आगंतुकों को आकर्षित करने के लिए फ्रेंच, जर्मन, इतालवी, स्पेनिश और पुर्तगाली में पेज पेश करता है, वह उस पाठ्यपुस्तक जैसे उदाहरण के करीब है जिसका इस्तेमाल नियामक यह समझाने के लिए करते हैं कि यह नियम कब लागू होता है।

यह हर यूरोपीय भाषा को हटाने या EU आगंतुकों को भौगोलिक रूप से रोकने का कारण नहीं है, जो एक अनुपालन समस्या को कहीं बड़ी व्यावसायिक समस्या से बदल देगा। यह "हम यूरोप में पंजीकृत नहीं हैं" को डेटा संरक्षण से जुड़े सवाल के जवाब के रूप में मानना बंद करने का कारण है। यह दायित्व EU में लोगों से जुड़े डेटा के संसाधन से बंधा है, न कि इस बात से कि जिस कंपनी ने वह मंच बनाया वह कहां पंजीकृत है। एक व्यवसाय जो यूरोपीय आगंतुकों तक पहुंचने के लिए पहले से ही अपनी साइट का अनुवाद करने पर समय और पैसा खर्च कर रहा है, वह पहले ही वह कर चुका है जिसे नियामक इस प्रमाण के रूप में तलाशते हैं कि उसका इरादा उन तक पहुंचने का था।

विज्ञापन-तकनीक का ढांचा जो चुपचाप टूटता है

अधिकतर साइटें अपना पूरा गोपनीयता अनुपालन एक ही तंत्र के ज़रिए चलाती हैं: एक कुकी बैनर जो गैर-ज़रूरी ट्रैकिंग को स्वीकार या अस्वीकार करने का विकल्प देता है, कभी-कभी "वैध हित" के लिए एक टॉगल के साथ। वह बैनर सामान्य व्यक्तिगत डेटा के लिए बनाया गया था, जहां कोई व्यवसाय वाकई विश्लेषण चलाने या कुछ और खास मांगे बिना विज्ञापन दिखाने के लिए वैध हित जैसे किसी सामान्य कानूनी आधार पर भरोसा कर सकता है। विशेष श्रेणी का डेटा इस तरह काम नहीं करता। अनुच्छेद 9(2) के पास शर्तों की अपनी अलग, बंद सूची है जो सामान्य प्रतिबंध हटा सकती है, और वैध हित उसमें शामिल नहीं है। किसी मंच को अनुच्छेद 6 के तहत एक सामान्य आधार चाहिए और उसके ऊपर, अनुच्छेद 9(2) के तहत एक अलग शर्त, और दूसरी शर्त को छोड़ देना ही ठीक वह खामी थी जो नॉर्वेजियन नियामक ने Grindr की व्यवस्था में पाई।

किसी वाणिज्यिक मंच के लिए उपयुक्त शर्त स्पष्ट सहमति है, और स्पष्ट सहमति उस सामान्य सहमति से काफी ऊंची कसौटी है जो एक कुकी बैनर आमतौर पर इकट्ठा करता है। यह साझा किए जा रहे खास तरह के डेटा के बारे में एक स्पष्ट, विशिष्ट, सकारात्मक बयान होना चाहिए, और इसे किसी सामान्य गोपनीयता नीति में "विज्ञापन साझेदारों के साथ डेटा साझा करना" जैसी एक पंक्ति डालकर पूरा नहीं किया जा सकता, जिसे कोई आगंतुक केवल ब्राउज़ करना जारी रखकर स्वीकार कर लेता है। नियामक इस बारे में स्पष्ट रहे हैं: इस तरह के संसाधन के लिए सहमति अपने आप में अलग खड़ी होनी चाहिए, उपयोगकर्ता जिन बाकी शर्तों से सहमत होता है उनसे अलग, और यह बताना चाहिए कि क्या इकट्ठा किया जा रहा है और इसे कौन प्राप्त करता है।

यह ठीक उन दो उपकरणों पर लागू होता है जिनकी ओर अधिकतर वर्गीकृत विज्ञापन संचालक सबसे पहले रुख करते हैं: एक Meta Pixel और एक Google Ads कन्वर्ज़न टैग, दोनों को यह बताने के लिए डिज़ाइन किया गया है कि किस पेज पर किस आगंतुक ने क्या किया, ताकि विज्ञापनों को लक्षित और मापा जा सके। किसी सामान्य वस्तु साइट पर, यह कोई खास बात नहीं है। किसी खास श्रेणी के व्यक्तिगत विज्ञापन के इर्द-गिर्द संगठित साइट पर, वही संकेत प्राप्त करने वाले मंच को बता देता है कि कोई खास आगंतुक उस श्रेणी को ब्राउज़ कर रहा है, जो कार्यात्मक रूप से ठीक वही खुलासा है जिसकी वजह से Grindr पर जुर्माना लगा, बस किसी और आपूर्तिकर्ता की पाइपलाइन से गुज़रते हुए। यह इस श्रेणी के लिए Google या Meta के साथ विज्ञापन खाता खोलने भर की कठिनाई के अलावा, ऐसे चैनलों के ज़रिए ट्रैफ़िक बनाने का एक दूसरा, स्वतंत्र कारण है जो कभी इस तरह का संकेत प्राप्त नहीं करते।

इसका मतलब यह नहीं है कि किसी संचालक को साइट बिना किसी विश्लेषण के चलानी होगी। इसका मतलब यह है कि इस श्रेणी के मंच के लिए सहमति प्रवाह किसी किताबों की दुकान के लिए बनाए गए उसी एक-क्लिक बैनर जैसा नहीं हो सकता। वह अलग, विशिष्ट, ऑप्ट-इन कदम होना ही चाहिए, और यह तब होना चाहिए इससे पहले कि श्रेणी-स्तर के संकेत किसी तीसरे पक्ष को भेजने में सक्षम कोई भी स्क्रिप्ट चले, बाद में नहीं।

"लेकिन यह पहले से ही सार्वजनिक है" वाला जाल

एक बार जब कोई संचालक बाकी सब समझ लेता है, तो अक्सर एक खास तर्क सामने आता है: साइट पर विज्ञापन वैसे भी सार्वजनिक हैं, पेज लोड करने वाले किसी भी व्यक्ति को दिखते हैं, तो फिर कोई खास सुरक्षा समस्या कैसे हो सकती है। GDPR में वाकई एक अपवाद है जो फिट बैठता लगता है: अनुच्छेद 9(2)(e) उस डेटा के लिए सामान्य प्रतिबंध हटाता है जिसे डेटा विषय ने खुद स्पष्ट रूप से सार्वजनिक किया हो। सार्वजनिक विज्ञापनों की किसी निर्देशिका के लिए यह स्वाभाविक रूप से फिट बैठता लगता है।

और यह ठीक वही तर्क है जिसका इस्तेमाल Grindr ने किया और हार गई। कंपनी ने बताया कि कोई प्रोफ़ाइल केवल ऐप के अन्य उपयोगकर्ताओं के लिए ही दिखाई देती थी, और उस दृश्यता को उपयोगकर्ता की अपनी पसंद के रूप में पेश किया कि उसने जानकारी सार्वजनिक करने का चुनाव किया। नियामक ने इसे खारिज कर दिया, यह मानते हुए कि इस अपवाद के लिए ठीक उस डेटा को सार्वजनिक करने का व्यक्ति के खुद का एक जानबूझकर, विशिष्ट कार्य चाहिए, न कि पेज देखने वाले किसी भी व्यक्ति को खाते का डेटा दिखाने का मंच का अपना फैसला। बिना किसी लॉगिन बाधा के, पूरी तरह सार्वजनिक विज्ञापन भी अपने आप उस सीमा को पार नहीं करता, क्योंकि यह अपवाद जो सवाल पूछता है वह पोस्ट करने वाले के अपने इरादे के बारे में है कि क्या वह खास तथ्य सार्वजनिक करना चाहता था, न कि इस बारे में कि बाद में पेज को कौन देख पाता है।

साइन-अप के समय स्वीकार किया गया कोई चेकबॉक्स, जो किसी पंजीकरण फ़ॉर्म में दबा हुआ हो, यह कहते हुए कि कोई प्रोफ़ाइल "मंच पर दिखाई देगी," किसी खास संवेदनशील तथ्य को सार्वजनिक करने के जानबूझकर, सूचित कार्य जैसा नहीं है। नियामक इस अपवाद की संकीर्ण व्याख्या करने में लगातार एक जैसे रहे हैं, और जो संचालक इसके ऊपर अनुपालन का तर्क खड़ा करता है वह उसी एकमात्र शर्त पर भरोसा कर रहा होता है जिसे लगभग समान तथ्यों के सामने पहले ही परखा जा चुका है और जो टिक नहीं पाई।

इस तिमाही में वास्तव में क्या करना है

शुरुआती बिंदु कोई नया उपकरण नहीं है, यह एक दस्तावेज़ है: डेटा संरक्षण प्रभाव आकलन। अनुच्छेद 35(3)(b) विशेष श्रेणी के डेटा के बड़े पैमाने पर संसाधन से पहले इसे अनिवार्य बनाता है, यह कोई वैकल्पिक सर्वोत्तम प्रथा नहीं है, और व्यक्तिगत विज्ञापनों के इर्द-गिर्द संगठित विज्ञापनों की उल्लेखनीय मात्रा वाला कोई मंच, असली EU ट्रैफ़िक मिलते ही ठीक इस अनिवार्यता के दायरे में आ जाता है। इस आकलन को करवाना, भले ही सही ढंग से किया गया एक मामूली आकलन ही क्यों न हो, वह कागजी सुबूत तैयार करता है जो किसी नियामक को दिखाता है कि व्यवसाय ने पूछे जाने से पहले ही इस मुद्दे को गंभीरता से लिया, यह पहली शिकायत को कैसे संभाला जाता है इसमें अकेला सबसे बड़ा कारक है।

इसके बाद आती है एक सूची, नया डिज़ाइन नहीं: हर वह स्क्रिप्ट जो किसी आगंतुक के कोई विकल्प चुनने से पहले चलती है, हर पिक्सेल, हर विश्लेषण टैग, हर हीटमैप या सत्र रिकॉर्डिंग उपकरण। लक्ष्य यह ठीक-ठीक जानना है कि इनमें से कौन-सा वह संकेत प्राप्त करता है जो यह बताता है कि कोई आगंतुक किस श्रेणी की सामग्री देख रहा है, क्योंकि यह ठीक वैसा ही डेटा रूप है जिसके बारे में यह पूरा लेख बात करता है। पहचान सत्यापन के लिए पहले से इकट्ठे किए गए दस्तावेज़ इसी तरह के जोखिम का एक समानांतर संस्करण अपने साथ रखते हैं, और वही सहज बोध, यह ठीक-ठीक जानना कि क्या रखा जा रहा है और कौन इस तक पहुंच सकता है, दोनों पर लागू होता है।

सहमति को अपना खुद का कदम चाहिए, नियम व शर्तों वाले चेकबॉक्स से अलग, जो स्पष्ट रूप से बताए कि डेटा की कौन-सी श्रेणियां किन नामित कंपनियों के साथ साझा की जाती हैं, और जिसे लगातार ब्राउज़िंग से मान लेने के बजाय एक सकारात्मक कार्य के ज़रिए इकट्ठा किया जाए। साइन-अप पर यह ज़्यादा घर्षण है, और यह सहमति का वह एकमात्र रूप भी है जो उस मानक पर खरा उतरता है जिसे कोई नियामक शिकायत आने पर वाकई लागू करेगा।

आखिरी हिस्सा बताना सबसे आसान है और छोड़ना सबसे मुश्किल: मंच से बाहर जाने वाली चीज़ों को कम से कम करना। कोई ऐसा टैग जो किसी आगंतुक के बारे में श्रेणी-स्तर के संकेत कभी प्राप्त ही नहीं करता, वह Grindr जैसे किसी मामले में सबूत नहीं बन सकता, चाहे अनुपालन कार्यक्रम का बाकी हिस्सा कैसे भी बनाया गया हो। किसी भी विज्ञापन या विश्लेषण आपूर्तिकर्ता के साथ सबसे सुरक्षित एकीकरण वही है जिसे शुरुआत से ही संवेदनशील संकेत कभी दिया ही नहीं गया।

इसे उसी तरह देखें जैसे किसी भुगतान खाते या होस्टिंग अनुबंध ने अधिकतर संचालकों को उच्च-जोखिम वाले जोखिम से निपटना पहले ही सिखा दिया है: नियामक के सवाल पूछने से पहले जवाब तय कर लें, बाद में नहीं। जो व्यवसाय पहली डेटा संरक्षण शिकायत से सही-सलामत निकलते हैं, वे वही हैं जो पहले से ही फ़ाइल में रखा एक प्रभाव आकलन, डेटा की इस खास श्रेणी के लिए बनाया गया एक सहमति प्रवाह, और मंच से ठीक-ठीक क्या बाहर जाता है और कहां जाता है इसका दस्तावेज़ीकृत जवाब दिखा सकते हैं।