पहचान जांच के बाद क्या होता है: आईडी का क्या होता है, और लीक होने पर जिम्मेदार कौन है

एक बार जब पहचान जांच वाकई आपकी डायरेक्टरी पर चलने लगती है, तो लगता है कि मुश्किल हिस्सा खत्म हो गया। अपलोड विजेट काम कर रहा है, पास और फेल होने की दर सामान्य लग रही है, जो विज्ञापनदाता मायने रखते हैं वे जांच पार कर चुके हैं। लेकिन उस मोड़ पर कोई आपको यह नहीं बताता कि जांच से बने दस्तावेज़ों के ढेर का क्या करना है, क्योंकि कोई भी वेरिफिकेशन सिस्टम किसी पहचान दस्तावेज़ का इस्तेमाल करके उसे गायब नहीं कर देता। वह एक चेहरे की तस्वीर और सरकारी आईडी की तस्वीर तैयार करता है, और अब ये दोनों कहीं न कहीं, किसी के सर्वर पर, इतने समय तक मौजूद रहती हैं जितना किसी ने जानबूझकर तय ही नहीं किया।

यह वेरिफिकेशन के खिलाफ दलील नहीं है। कानून पहले ही इस सवाल का फैसला कर चुका है, और जांच को छोड़ देना कहीं ज्यादा महंगी गलती है। यह उस हिस्से की बात है जो हरे टिक के तुरंत बाद आता है, और यही वह हिस्सा है जिसने 2025 और 2026 में कई कंपनियों को बुरी तरह नुकसान पहुंचाया, जबकि इनमें से किसी ने भी वेरिफिकेशन को छोड़ा नहीं था। उन्होंने इसे सही तरीके से किया, और फिर उससे बनी फाइल को कहीं ऐसी जगह पड़ा रहने दिया जहां आखिरकार गलत व्यक्ति तक उसकी पहुंच हो गई।

जांच पास होने पर भी दस्तावेज़ गायब नहीं होता

विज्ञापनदाता की तरफ से देखें तो वेरिफिकेशन प्रक्रिया सीधी लगती है: सेल्फी लें, आईडी की तस्वीर खींचें, कुछ सेकंड रुकें, मंजूरी मिल जाए। इसके पीछे, यह लेन-देन एक चीज़ बनाता है, यानी असली तस्वीरें, जो अपलोड फॉर्म से तुलना इंजन तक जाती हैं और नतीजे के साथ वापस आती हैं। यह चीज़ तुलना पूरी होते ही मिटा दी जाती है या एक दिन, एक महीने या हमेशा के लिए रख ली जाती है, यह एक डिज़ाइन फैसला है, और ज्यादातर सिस्टम चीज़ों को रखने की तरफ झुके रहते हैं, क्योंकि तय समय पर मिटाना एक ऐसी सुविधा है जिसे किसी को बनाना और बनाए रखना पड़ता है, जबकि कुछ न करना मुफ्त है।

इस डिफ़ॉल्ट की कीमत जुलाई 2025 में सबके सामने आई, जब डेटिंग-सेफ्टी ऐप Tea में हुई एक सेंध के चलते करीब 72,000 तस्वीरें उजागर हो गईं, जिनमें फरवरी 2024 से पहले जमा की गई लगभग 13,000 सरकारी आईडी और वेरिफिकेशन सेल्फी की तस्वीरें शामिल थीं। Tea की अपनी प्राइवेसी पॉलिसी में लिखा था कि वेरिफिकेशन फोटो इस्तेमाल के तुरंत बाद मिटा दी जाती हैं। ऐसा हुआ नहीं था: ये तस्वीरें एक असुरक्षित क्लाउड स्टोरेज बकेट में पड़ी थीं, एक पुराना सिस्टम जिसे प्रोडक्ट के नए सिस्टम पर शिफ्ट होने के बाद कभी खाली करने वापस नहीं गया था।

यह सबक डेटिंग ऐप्स से खास तौर पर जुड़ा नहीं है, बल्कि उस तंत्र से जुड़ा है जो किसी भी ऐसे कारोबार पर लागू होता है जो जांच का काम किसी विजेट के पीछे किसी और को सौंप देता है। प्राइवेसी पॉलिसी एक वादा है, आपके इंफ्रास्ट्रक्चर के बारे में कोई तथ्य नहीं। अगर आप यह नहीं बता सकते कि किसी विज्ञापनदाता के आईडी अपलोड करने और उस आईडी के हर उस सिस्टम से, बैकअप सहित, पूरी तरह हट जाने के बीच ठीक कितने दिन लगते हैं, तो असल में आपको अपनी पॉलिसी का पता नहीं है, सिर्फ यह पता है कि वह क्या कहती है।

उसी साल की एक दूसरी घटना ने इसके गलत होने का एक और आम तरीका दिखाया: किसी संवेदनशील चीज़ को किसी समर्पित सिस्टम की बजाय सामान्य-प्रयोजन सिस्टम से गुज़ार देना। अक्टूबर 2025 में Discord में हुई सेंध की जड़ एक समझौता किए गए थर्ड-पार्टी कस्टमर सपोर्ट वेंडर तक जाती थी, क्योंकि आयु-वेरिफिकेशन अपीलें, जिनमें अपलोड की गई सरकारी आईडी तस्वीरें भी शामिल थीं, उसी टिकटिंग सिस्टम से गुज़ारी जा रही थीं जो सामान्य शिकायतों के लिए इस्तेमाल होता था। Discord ने पुष्टि की कि करीब 70,000 आईडी तस्वीरें और सेल्फी, नामों, यूज़रनेम, ईमेल और सीमित बिलिंग जानकारी के साथ उजागर हुईं, और तब से कंपनी ने दस्तावेज़ों को सामान्य सपोर्ट के जरिए भेजना पूरी तरह बंद कर दिया है।

आपकी डायरेक्टरी से जुड़ी आईडी का लीक होना, अकेली आईडी के लीक होने से ज्यादा भारी क्यों पड़ता है

अकेले लीक हुई सरकारी आईडी भी फोटो में मौजूद व्यक्ति के लिए एक असली समस्या है, लेकिन ऐसी आईडी जिसे कोई डेटासेट यह भी बताता हो कि वह किसी वयस्क लिस्टिंग साइट पर वेरिफाइड विज्ञापनदाता की है, एक बिल्कुल अलग दर्जे की समस्या है, क्योंकि यहां नुकसान वह लेबल ही है। यह लेबल उस व्यक्ति की ज़िंदगी का एक ऐसा तथ्य जोड़ देता है जिसे सार्वजनिक करने का फैसला उसने खुद नहीं किया था, और यही मेल एक सामान्य ब्रीच नोटिफिकेशन को मुकदमे में, या कुछ दर्ज मामलों में, कंपनी की बजाय जिसका डेटा लीक हुआ उसी व्यक्ति को निशाना बनाकर की गई उगाही में बदल देता है।

नियामक इस तरह के जुड़ाव को पहले से ही अपने आप में संवेदनशील मानते हैं, चाहे कोई तस्वीर या मैसेज लीक हो या न हो। GDPR के तहत, किसी व्यक्ति के यौन जीवन या यौन रुझान को उजागर करने वाला डेटा उन थोड़े-से विशेष श्रेणी (special category) के डेटा में आता है जिन्हें प्रोसेस करने के लिए कहीं ज्यादा सख्त कानूनी आधार चाहिए होता है। नॉर्वे के डेटा संरक्षण प्राधिकरण Datatilsynet ने दिसंबर 2021 में डेटिंग ऐप Grindr पर करीब 6.5 मिलियन यूरो का जुर्माना लगाया, जिसे 2025 में अपील में भी बरकरार रखा गया, सिर्फ इसलिए क्योंकि विज्ञापन साझेदारों के साथ यह सामान्य तथ्य साझा करना कि कोई व्यक्ति Grindr का उपयोगकर्ता है, खुद में उसका यौन रुझान उजागर करने में सक्षम पाया गया। जुर्माना लगाने के लिए किसी मैसेज या तस्वीर के लीक होने की जरूरत नहीं थी; सदस्यता होना ही वह संवेदनशील तथ्य था।

यही तर्क बिना ज्यादा बदलाव के किसी क्लासिफाइड्स डायरेक्टरी पर भी लागू होता है। एक सरकारी आईडी जिसे कोई लीक हुआ डेटासेट यह भी बताता है कि वह आपके प्लेटफॉर्म पर वेरिफाइड विज्ञापनदाता की है, वह पर्सनल डेटा के साथ-साथ जिंदगी का एक अनुमानित तथ्य भी है जिसे सार्वजनिक करने पर उस व्यक्ति ने कभी सहमति नहीं दी थी, और डेटा ब्रीच से जुड़ा हर लायबिलिटी ढांचा इस मेल को किसी रिटेलर से कार्ड नंबर लीक होने जैसी सामान्य घटना से कहीं ज्यादा गंभीर मानता है। यही एक बड़ी वजह है कि इंटरनेट के इस कोने में जुर्माने और मुकदमे उन आम ब्रीच सुर्खियों से कहीं ज्यादा भारी पड़ते हैं जिनके बारे में ज्यादातर कारोबार यह मान लेते हैं कि वे उन पर लागू नहीं होतीं।

व्यावहारिक तौर पर, इसे आपकी तरफ से पर्याप्त सुरक्षा की परिभाषा बदल देनी चाहिए, भले ही फाइल वेंडर के पास रहती हो। पासवर्ड वाला डेटाबेस और वह डेटाबेस जो सरकारी आईडी को प्लेटफॉर्म सदस्यता से जोड़ता है, दोनों की देखभाल का स्तर एक जैसा नहीं हो सकता, और किसी घटना के बाद न तो कोई नियामक और न ही कोई पत्रकार इन्हें बराबर मानेगा। कुछ होने से पहले ही यह तय कर लेना बेहतर है कि दूसरी श्रेणी को आपकी सामान्य पॉलिसी में ग्राहक डेटा पर लागू मानक से ऊंचा मानक मिले, क्योंकि घटना के बाद यह फैसला अच्छी तरह नहीं लिया जाता।

रिटेंशन का जाल: लीक हो या न हो, आपने जो रखा उसी के लिए जुर्माना

Tea और Discord, दोनों मामलों में एक सेंध शामिल है, यानी किसी बाहरी हमलावर को कुछ करना पड़ा। स्पेन के डेटा संरक्षण प्राधिकरण (AEPD) ने मार्च 2026 में उसी नतीजे तक पहुंचने का दूसरा रास्ता दिखाया, जब उसने विशेषज्ञ पहचान और आयु-वेरिफिकेशन प्रदाताओं में से एक Yoti पर बिना किसी सेंध के ही 950,000 यूरो का जुर्माना लगाया। Yoti पर जुर्माना इस बात के लिए लगा कि वह सिर्फ डेटा को फाइल में रखे हुए थी, इस इंतज़ार में कि कोई उसके बारे में पूछेगा ही नहीं।

इसका ब्यौरा ध्यान से पढ़ने लायक है क्योंकि इसकी हर लाइन किसी साफ बदनीयती की बजाय एक आम, नेकनीयत वाली कारोबारी आदत बताती है। 500,000 यूरो का संबंध इस बात से था कि बायोमेट्रिक डेटा को GDPR के विशेष-श्रेणी नियमों के तहत कैसे प्रोसेस किया गया। 200,000 यूरो का संबंध सहमति के डिज़ाइन से था: यूज़र प्राइवेसी पॉलिसी वाली स्क्रीन को कभी खोले बिना ही आगे बढ़ सकते थे, और डिफ़ॉल्ट रूप से उन्हें इस बात के लिए ऑप्ट-इन कर दिया जाता था कि उनका बायोमेट्रिक डेटा आंतरिक शोध के लिए दोबारा इस्तेमाल हो, जब तक कि वे खुद उस बॉक्स को ढूंढकर उसका टिक न हटा दें। बाकी बचे 250,000 यूरो का संबंध जरूरत से ज्यादा माने गए रिटेंशन से था, जिसमें जियोलोकेशन डेटा शामिल था जो साइनअप पर लागू होने वाला आयु-नियम तय करने का अपना एक काम पूरा करने के बाद भी पांच साल तक रखा गया था, और बायोमेट्रिक टेम्पलेट जो अकाउंट सक्रिय रहने तक, और आखिरी बार इस्तेमाल के बाद तीन साल और, रखे गए थे।

इनमें से हर रिटेंशन फैसले के पीछे सुनने में ठीक-ठाक लगने वाली वजह थी: जियोलोकेशन इस स्थिति के लिए कि कभी नियम दोबारा जांचना पड़े, बायोमेट्रिक टेम्पलेट इस स्थिति के लिए कि लौटने वाले किसी विज्ञापनदाता को दोबारा वेरिफाई करना पड़े, शोध की पहुंच प्रोडक्ट सुधारने के लिए। सुनने में ठीक-ठाक लगने वाली वजह, किसी साफ और खास मकसद से जुड़ी रिटेंशन अवधि जैसी बात नहीं है, और नियामक ने वेरिफिकेशन को सही तरीके से करने के इर्द-गिर्द बनी एक कंपनी पर इन दोनों को गड्डमड्ड करने के लिए जुर्माना लगाया। Yoti इसके खिलाफ अपील कर रही है, और बताया गया है कि अप्रैल 2026 में इस अपील के लंबित रहने तक इसका क्रियान्वयन रोक दिया गया, इसलिए इस मामले को बंद फाइल नहीं बल्कि एक जीवंत चेतावनी मानें, लेकिन यह तर्क कि रिटेंशन की घड़ी किसी मकसद से बंधी होनी चाहिए, सुविधा से नहीं, अपील का हिस्सा नहीं है।

इसका व्यावहारिक निचोड़ कहना आसान है और नज़रअंदाज़ करना भी उतना ही आसान: आपके वेंडर कॉन्ट्रैक्ट में जांच से बनने वाली डेटा की हर श्रेणी के लिए, किसी साफ मकसद से जुड़ी, दिनों में गिनी गई एक रिटेंशन अवधि लिखी होनी चाहिए। अगर कोई वेंडर आपको यह आंकड़ा लिखित में नहीं दे सकता, तो उसने भी यह तय नहीं किया है, और बाद में न तो आप और न ही वह, किसी नियामक के सामने या अपनी आईडी कहां गई यह पूछने वाले किसी विज्ञापनदाता के सामने, इसका बचाव कर पाएंगे।

साइन करने से पहले किसी वेरिफिकेशन वेंडर से असल में क्या पूछें

ज्यादातर सेटअप में वेरिफिकेशन सॉफ्टवेयर आप खुद नहीं चला रहे होते। एक विशेषज्ञ वेंडर यह काम करता है, और यह काम बांटने का सही तरीका भी है: ऐसी पहचान जांच जो वाकई फर्जी लिस्टिंग पकड़ती है एक संकरा, भारी जिम्मेदारी वाला हुनर है जिसे किसी छोटी टीम को शुरू से खुद नहीं बनाना चाहिए। लेकिन डेटा संरक्षण कानून के तहत, जिस ऑपरेटर ने यह जांच कराने का फैसला किया वह आमतौर पर कंट्रोलर ही बना रहता है, जबकि वेंडर एक प्रोसेसर होता है, और प्रोसेसर की गलती भी अंत में कंट्रोलर की उस जिम्मेदारी पर आ गिरती है जो उस व्यक्ति के प्रति है जिसका दस्तावेज़ लीक हुआ। यही वजह है कि ये सवाल किसी गड़बड़ी होने के बाद भेजे गए सपोर्ट टिकट में नहीं, बल्कि वेंडर कॉन्ट्रैक्ट में पूछे जाने चाहिए।

सबसे पहले यह पूछें कि क्या जांच सिर्फ पास-फेल और एक कॉन्फिडेंस स्कोर लौटाती है, या असली तस्वीर किसी मोड़ पर आपके अपने इंफ्रास्ट्रक्चर से होकर गुजरती और वहीं टिकी रहती है। वेरिफाई-और-मिटाओ डिज़ाइन पर बना वेंडर, यानी जो दस्तावेज़ की तुलना करता है और उसे उसी लेन-देन के भीतर मिटा देता है बजाय बाद के लिए स्टोर करने के, इस जोखिम का ज्यादातर हिस्सा किसी नीतिगत वादे के भरोसे नहीं बल्कि सीधे आर्किटेक्चर के जरिए खत्म कर देता है, जिस वादे पर भरोसा करना और बार-बार जांचना पड़ता।

मिटाने की सटीक अवधि दिनों में मांगें, वह भी मार्केटिंग पेज पर लिखी बात के तौर पर नहीं बल्कि कॉन्ट्रैक्ट में दर्ज होने के तौर पर, और यह भी पूछें कि बैकअप का क्या होता है। कोई सिस्टम जो लाइव कॉपी को तय समय पर मिटा देता है लेकिन नब्बे दिन का बैकअप रखता है, व्यवहार में उसकी रिटेंशन अवधि नब्बे दिन ही है, चाहे मुख्य आंकड़ा कुछ भी कहे, और ठीक यही वह अंतर था जिसकी वजह से Tea की तस्वीरें अपनी बताई गई डिलीट होने की तारीख के बाद भी बची रहीं।

यह पूछें कि अगर वेंडर पर खुद कोई सेंध होती है, तो कौन किसे और कितने घंटों के भीतर सूचित करेगा। हो सकता है नियामक को रिपोर्ट देने का दायित्व वेंडर पर नहीं बल्कि आप पर हो, और 72 घंटे की नोटिफिकेशन घड़ी को तब पूरा नहीं किया जा सकता जब आपको किसी लीक के बारे में तीसरे हफ्ते में पता चले। यह जवाब ज़रूरत पड़ने से पहले ही तैयार रखें, क्योंकि यह लगभग वही जानकारी है जो एक पेमेंट प्रोसेसर आपका अकाउंट मंज़ूर करने से पहले ही मांगता है, इसलिए इसे एक बार लिख लेने से दोनों काम बन जाते हैं। वेंडर के लिए अपने नियामक के प्रति अपने दायित्व से भी छोटी कॉन्ट्रैक्चुअल समयसीमा रखें, ताकि आपकी समयसीमा खत्म होने से पहले कार्रवाई करने का समय बचे।

आखिर में यह पूछें कि वेंडर जांच के अलावा किसी और मकसद के लिए तस्वीर का क्या करता है: मॉडल ट्रेनिंग, अपने बाकी ग्राहकों के साथ साझा फ्रॉड डेटाबेस, आंतरिक शोध। चुप्पी को जवाब मानकर स्वीकार करने की बजाय एक साफ लिखित हां या ना मांगें, क्योंकि डिफ़ॉल्ट ऑप्ट-इन के रूप में सजाई गई चुप्पी ही ठीक वह चीज़ थी जिसने Yoti के शोध-सहमति डिज़ाइन को इतने लंबे समय तक टिके रहने दिया, जब तक कि किसी नियामक ने बारीकी से न देखा।

इस तिमाही में असल में क्या करें

इनमें से कुछ भी कम सावधानी से वेरिफाई करने की वजह नहीं है। यह इस बात की वजह है कि डेटा आपके सिस्टम से, और आपके वेंडर के सिस्टम से, बाहर कैसे जाता है, इसे लेकर उतना ही सोच-समझकर काम करें जितना आपको यह सीखना पड़ा था कि डेटा अंदर कैसे आता है। जुर्माने और ब्रीच की सुर्खियों के अगले दौर में वे ऑपरेटर नहीं फंसेंगे जिन्होंने कभी आईडी नहीं जांची; फंसेंगे वे जिन्होंने सही तरीके से जांच तो की, पर कभी यह नहीं पूछा कि उसके बाद क्या हुआ।

इसी महीने से शुरुआत करें: अपने मौजूदा वेंडर से जांच द्वारा बनाई जाने वाली डेटा की हर श्रेणी के लिए, दिनों में गिनी गई रिटेंशन अनुसूची लिखित में मांगें, न कि 'जल्दी' या 'जरूरत के हिसाब से' जैसे विशेषणों में। अगर वे यह आंकड़ा नहीं दे पाते, तो जवाब न दे पाना ही अपने आप में एक निष्कर्ष है, और यह आपको उस जोखिम के बारे में किसी भी ब्रोशर से कहीं ज्यादा बताता है जो आप उठा रहे हैं।

कोई भी ऐसा वर्कफ़्लो बंद करें जिसमें कोई सपोर्ट एजेंट, कोई अपील समीक्षक, या खुद आप, ईमेल या किसी सामान्य टिकटिंग सिस्टम के जरिए आईडी की तस्वीर पाते हों, बजाय समर्पित वेरिफिकेशन पाइपलाइन के। अगर आपके कारोबार में कहीं भी ऐसा वर्कफ़्लो मौजूद है, तो लगभग तय है कि यह आपका सबसे बड़ा जोखिम है, और इस कारोबार के ज्यादातर सुधारों के उलट, इसे बंद करने में कुछ खर्च नहीं आता, सिवाय ऐसा करने के फैसले के।

अगले कॉन्ट्रैक्ट रिन्युअल में अधिकतम रिटेंशन अवधि और ब्रीच-नोटिफिकेशन की समयसीमा लिखित में डालें, और हर दो तिमाही में वेंडर की सिर्फ पॉलिसी नहीं बल्कि असल प्रैक्टिस की जांच को कैलेंडर पर तय करें। साइन करने के दिन सच रहा कोई वादा एक साल बाद भी सच रहेगा, इसकी कोई गारंटी नहीं, और 2025 और 2026 में जिन कारोबारों पर जुर्माना लगा या जो सेंध का शिकार बने, उन्हें ज्यादातर यह बात अपनी समीक्षा से नहीं बल्कि किसी नियामक या हैकर से पता चली।