Google पर €403M DPC जुर्माना: लोकेशन डेटा के लिए छह महीने का समाधान

लोकेशन सेटिंग्स तब तक प्रोडक्ट कॉपी जैसी दिखती हैं, जब तक कोई प्रवर्तन नोटिस नहीं आ जाता। रॉयटर्स के अनुसार, आयरलैंड के डेटा प्रोटेक्शन कमीशन ने Google के तीन परिचित नियंत्रणों—Web & App Activity, Location History और Location Accuracy—को €403 मिलियन की GDPR समस्या में बदल दिया है। बिल्डर्स के लिए सीख यह नहीं है कि लोकेशन फीचर्स असंभव हैं। सीख यह है कि कानूनी आधार, स्पष्टीकरण, डेटा रखने की अवधि और ऑडिट ट्रेल्स को ऐसे नियामक की जांच में भी टिकना होगा जो सेटिंग्स स्क्रीन को शब्दशः पढ़ता है। रॉयटर्स ने बताया कि DPC की जांच 2020 में यूरोपीय उपभोक्ता अधिकार संगठनों की शिकायतों के बाद शुरू हुई थी। BBC के अनुसार, समीक्षा के तहत आई प्रथाएं जुर्माने के आकार से जितनी व्यापक लग सकती हैं, उससे संकरी अवधि को कवर करती थीं: 25 मई 2018 से 4 फरवरी 2020 तक। यह प्रोडक्ट टीमों के लिए उपयोगी संकेत है: पुराने फ्लो, पुराने डिफॉल्ट और पुराने डेटा रिटेंशन विकल्प भी आज की प्रवर्तन कार्रवाई बन सकते हैं।

DPC ने वास्तव में क्या पाया

Reuters Connect ने बताया कि DPC ने Web & App Activity, Location History और Location Accuracy के जरिए Google द्वारा लोकेशन जानकारी के प्रोसेसिंग की जांच की। नियामक ने कानूनी और निष्पक्ष प्रोसेसिंग, पारदर्शिता और जवाबदेही में कमियां पाईं। रॉयटर्स ने DPC के डिप्टी कमिश्नर Graham Doyle के हवाले से कहा, “Google की विफलताओं के परिणामस्वरूप, व्यक्तियों को यह पता नहीं रहा होगा कि उनकी लोकेशन का उपयोग, उदाहरण के लिए, उन्हें विज्ञापनों से प्रभावित करने या उनकी रुचियों का अनुमान लगाने के लिए किया जा रहा था, और वे अपने व्यक्तिगत डेटा पर नियंत्रण खो सकते थे।” उन्होंने जोड़ा, “उपयोगकर्ताओं के लोकेशन डेटा को आवश्यकता से अधिक समय तक रखना इस नियंत्रण-हानि को और गंभीर बनाता है।”

BBC का विवरण समझाता है कि नियामक ने इस श्रेणी को गंभीरता से क्यों लिया: लोकेशन डेटा कोई भी ऐसा डेटा हो सकता है जिसका उपयोग किसी व्यक्ति की लोकेशन का अनुमान लगाने के लिए किया जाए, और DPC ने कहा कि यह स्वाभाविक रूप से निजी जानकारी प्रकट कर सकता है। The Record ने रिपोर्ट किया कि Google को छह महीनों के भीतर अपनी डेटा प्रोसेसिंग प्रथाएं ठीक करने का आदेश दिया गया। व्यावहारिक समयसीमा इतनी छोटी है कि इंजीनियरिंग कैलेंडरों पर असर डालती है, और इतनी लंबी भी कि नियामक केवल दोबारा लिखे गए हेल्प पेज से अधिक की अपेक्षा करेंगे।

दायित्व, लोककथाओं को छोड़कर

रॉयटर्स की रिपोर्टिंग यह नहीं कहती कि GDPR पर्सनलाइजेशन, विज्ञापन या लोकेशन फीचर्स पर प्रतिबंध लगाता है। यह कहती है कि DPC ने पाया कि Google का लोकेशन डेटा प्रोसेसिंग, वैधता, निष्पक्षता, पारदर्शिता और रिटेंशन से जुड़ी मुख्य GDPR अपेक्षाओं पर खरा नहीं उतरा। यह फर्क महत्वपूर्ण है। कोई प्रोडक्ट लोकेशन मांग सकता है और फिर भी असफल हो सकता है, अगर उपयोगकर्ता यह नहीं समझ सकता कि क्या इकट्ठा किया जाता है, उसका उपयोग कैसे होता है, उसे कितने समय तक रखा जाता है और वे विकल्प विज्ञापनों या रुचि-संबंधी अनुमानों को कैसे प्रभावित करते हैं। Reuters Connect ने बताया कि उपयोगकर्ता शायद यह नहीं समझ पाए होंगे कि उनकी लोकेशन जानकारी का उन तरीकों से उपयोग किया जा रहा था।

सरल दायित्वों में, इसका मतलब है कि सहमति स्क्रीन, अकाउंट सेटिंग्स और प्राइवेसी नोटिस को अलग-अलग टीमों द्वारा लिखी गई अलग-अलग चीजों की तरह नहीं माना जा सकता। अगर Web & App Activity, Location History और Location Accuracy आपस में इंटरैक्ट करते हैं, तो स्पष्टीकरण को उस इंटरैक्शन के बावजूद स्पष्ट रहना होगा। अगर रिटेंशन आवश्यकता से अधिक लंबा है, तो जवाब नीति के गद्य का एक और पैराग्राफ नहीं है; जवाब एक ऐसा डिलीशन शेड्यूल है जिसके अस्तित्व को कोई साबित कर सके।

छह महीने की मरम्मत का काम

The Record ने रिपोर्ट किया कि DPC ने Google को अपनी प्रोसेसिंग प्रथाओं को नियमों के अनुरूप लाने के लिए छह महीने दिए। Free Press Journal ने बताया कि Google ने कहा कि उसकी प्रथाओं को तब से बेहतर उपयोगकर्ता नियंत्रणों के साथ अपडेट किया गया है—यह ऐसी पंक्ति है जो आमतौर पर प्राइवेसी काउंसल को स्क्रीनशॉट, वर्जन हिस्ट्री और डेटा मैप्स ढूंढने पर मजबूर कर देती है। बेहतर नियंत्रण मदद कर सकते हैं, लेकिन नियामक के निष्कर्ष एक व्यापक चेकलिस्ट की ओर इशारा करते हैं: कानूनी आधार, उपयोगकर्ता की समझ, डाउनस्ट्रीम विज्ञापन उपयोग, अनुमान, रिटेंशन और जवाबदेही के प्रमाण।

बिल्डर्स के लिए उपयोगी ऑडिट प्राइवेसी पॉलिसी से नहीं, फीचर इन्वेंटरी से शुरू होता है। कौन-से सरफेस लोकेशन इकट्ठा करते हैं या उसका अनुमान लगाते हैं। कौन-सी सेटिंग्स कलेक्शन सक्रिय करती हैं। कौन-सी टीमें पर्सनलाइजेशन या विज्ञापन टार्गेटिंग के लिए इस सिग्नल का उपयोग करती हैं। उपयोगकर्ता द्वारा फीचर बंद करने के बाद कौन-सा रिटेंशन नियम लागू होता है। अगर ये जवाब तीन स्प्रेडशीट्स और एक जाने वाले इंजीनियर की याददाश्त में रहते हैं, तो बधाई हो, आपने कंप्लायंस प्रोजेक्ट खोज लिया है।

आयरलैंड का फैसला दूर तक क्यों जाता है

रॉयटर्स ने आयरलैंड के DPC को कई बड़ी इंटरनेट कंपनियों के लिए प्रमुख EU डेटा प्राइवेसी नियामक बताया, क्योंकि उनके EU ऑपरेशंस आयरलैंड में आधारित हैं। Politico ने रिपोर्ट किया कि €403 मिलियन का जुर्माना आयरिश नियामक का चौथा सबसे बड़ा जुर्माना है और Google के खिलाफ उसका पहला बड़ा जुर्माना है। इससे यह मामला एक कंपनी के सेटिंग्स मेनू से कहीं आगे तक प्रासंगिक हो जाता है।

DPC प्रोडक्ट कॉपी नहीं लिख रहा, लेकिन उसके निष्कर्ष प्रोडक्ट आर्किटेक्चर पर बहुत सीधी टिप्पणी हैं। आगे देखने वाली बात यह नहीं है कि क्या हर लोकेशन फीचर गायब हो जाएगा। ऐसा नहीं होगा। इसके बजाय यह देखें कि कंपनियां उपयोगकर्ता नियंत्रणों और वास्तविक प्रोसेसिंग के बीच पुल को कैसे दस्तावेज़ करती हैं, खासकर जहां लोकेशन सिग्नल विज्ञापनों, रिकमेंडेशन या रुचि प्रोफाइल में जाते हैं। अगर आप व्यवहार-आधारित डेटा के साथ निर्माण करते हैं, तो मानकर चलें कि नियामक पहले नीरस सवाल पूछेगा: उपयोगकर्ता ने क्या समझा, आपने क्या रखा, आपने उसे क्यों रखा और जवाब साबित कौन कर सकता है।