GDPR এবং WiFi: ব্যবসার জন্য একটি কমপ্লায়েন্স গাইড

GDPR এবং WIFI: ব্যবসার জন্য একটি কমপ্লায়েন্স গাইড একটি Purple ইন্টেলিজেন্স ব্রিফিং — আনুমানিক ১০ মিনিট [ভূমিকা এবং প্রেক্ষাপট — ১ মিনিট] Purple ইন্টেলিজেন্স ব্রিফিংয়ে স্বাগতম। আমি আপনাদের হোস্ট, এবং আজ আমরা ভেন্যু অপারেটর এবং IT টিমগুলোর সম্মুখীন হওয়া সবচেয়ে ভুল বোঝাবুঝির শিকার একটি কমপ্লায়েন্স চ্যালেঞ্জ নিয়ে সরাসরি কথা বলব: GDPR এবং WiFi। আপনি যদি কোনো হোটেল এস্টেট, রিটেইল চেইন, স্টেডিয়াম বা পাবলিক-সেক্টর বিল্ডিং জুড়ে গেস্ট WiFi চালান — তবে আপনি ব্যক্তিগত ডেটা সংগ্রহ করছেন। এখানেই শেষ। এবং আপনি এটি উপলব্ধি করুন বা না করুন, সেই সংগ্রহ General Data Protection Regulation-এর অধীন। ICO এই ক্ষেত্রে ক্রমশ সক্রিয় হচ্ছে, এবং এটি ভুল করার পরিণতি এনফোর্সমেন্ট নোটিশ থেকে শুরু করে গ্লোবাল বার্ষিক টার্নওভারের চার শতাংশ পর্যন্ত জরিমানা হতে পারে। তবে আসল বিষয়টি হলো — WiFi-এর জন্য GDPR কমপ্লায়েন্স ততটা জটিল নয় যতটা লিগ্যাল টিমগুলো কখনো কখনো বলে থাকে। এটি চারটি মূল প্রশ্নের ওপর নির্ভর করে: আপনি কী ডেটা সংগ্রহ করছেন? কোন আইনি ভিত্তিতে? আপনি এটি কতক্ষণ রাখছেন? এবং কে দায়ী? এই চারটি প্রশ্নের সঠিক উত্তর দিন, এবং আপনি প্রায় সফল। চলুন শুরু করা যাক। [টেকনিক্যাল ডিপ-ডাইভ — ৫ মিনিট] তাহলে, একটি সাধারণ গেস্ট WiFi ডিপ্লয়মেন্ট আসলে কী ডেটা সংগ্রহ করে তা দিয়ে শুরু করা যাক। যখন কোনো গেস্ট Captive Portal-এর মাধ্যমে আপনার নেটওয়ার্কে কানেক্ট করেন — এটি হলো সেই স্প্ল্যাশ পেজ যা তারা ইন্টারনেট অ্যাক্সেস পাওয়ার আগে দেখেন — আপনি সম্ভাব্যভাবে একটি MAC অ্যাড্রেস, একটি IP অ্যাড্রেস, একটি কানেকশন টাইমস্ট্যাম্প, সেশনের সময়কাল এবং যদি আপনি একটি রেজিস্ট্রেশন ফ্লো তৈরি করে থাকেন, তবে একটি ইমেল অ্যাড্রেস, একটি নাম এবং মার্কেটিং প্রেফারেন্স ক্যাপচার করছেন। এখন, MAC অ্যাড্রেস এবং IP অ্যাড্রেসগুলোকে GDPR-এর অধীনে ব্যক্তিগত ডেটা হিসেবে শ্রেণীবদ্ধ করা হয়েছে কারণ এগুলো কোনো ব্যক্তিকে শনাক্ত করতে ব্যবহার করা যেতে পারে। এটি অনেক নেটওয়ার্ক আর্কিটেক্টকে অবাক করে। তারা এগুলোকে টেকনিক্যাল আইডেন্টিফায়ার হিসেবে ভাবে, ব্যক্তিগত ডেটা হিসেবে নয়। কিন্তু রেগুলেশন স্পষ্ট: যদি এটি প্রত্যক্ষ বা পরোক্ষভাবে কোনো স্বাভাবিক ব্যক্তিকে শনাক্ত করতে ব্যবহার করা যায়, তবে এটি ব্যক্তিগত ডেটা। তাই কোনো ডিভাইস কানেক্ট হওয়ার মুহূর্ত থেকেই আপনার নেটওয়ার্ক লগগুলো এর আওতায় পড়ে। পরবর্তী প্রশ্ন হলো আইনি ভিত্তি। GDPR-এর আর্টিকেল ৬-এর অধীনে, ব্যক্তিগত ডেটা প্রসেস করার জন্য আপনার ছয়টি আইনি ভিত্তির মধ্যে একটি প্রয়োজন। গেস্ট WiFi-এর জন্য, যে দুটি সবচেয়ে বেশি গুরুত্বপূর্ণ তা হলো সম্মতি (consent) এবং লেজিটিমেট ইন্টারেস্টস (legitimate interests)। মার্কেটিংয়ের উদ্দেশ্যে ইমেল অ্যাড্রেস সংগ্রহ করার সময় সম্মতি হলো একটি পরিচ্ছন্ন বিকল্প। GDPR-এর অধীনে, সম্মতি অবশ্যই স্বেচ্ছায় প্রদত্ত, সুনির্দিষ্ট, তথ্যভিত্তিক এবং দ্ব্যর্থহীন হতে হবে। এর মানে কোনো প্রি-টিকড বক্স নেই। শর্তাবলীর মধ্যে মার্কেটিং সম্মতি বান্ডেল করা যাবে না। গেস্টকে অবশ্যই সক্রিয়ভাবে অপ্ট-ইন করতে হবে, এবং আপনাকে প্রমাণ করতে সক্ষম হতে হবে যে তারা তা করেছেন — একটি টাইমস্ট্যাম্প এবং সেই সময়ে তারা কিসে সম্মতি দিয়েছিলেন তার একটি রেকর্ডসহ。 লেজিটিমেট ইন্টারেস্টস হলো সেই ভিত্তি যা বেশিরভাগ অপারেটর অন্তর্নিহিত নেটওয়ার্ক কানেকশন ডেটার জন্য ব্যবহার করে — যেমন MAC অ্যাড্রেস এবং সেশন লগ। যুক্তি হলো যে একটি সুরক্ষিত, কার্যকরী নেটওয়ার্ক পরিচালনা করা ব্যবসার একটি লেজিটিমেট ইন্টারেস্ট, এবং সেই ইন্টারেস্ট ব্যক্তির প্রাইভেসি অধিকার দ্বারা বাতিল হয় না। কিন্তু — এবং এটি গুরুত্বপূর্ণ — আপনাকে এখনো একটি Legitimate Interests Assessment বা LIA পরিচালনা এবং ডকুমেন্ট করতে হবে। আপনি শুধু লেজিটিমেট ইন্টারেস্টস দাবি করে এগিয়ে যেতে পারবেন না। ICO তিন-অংশের পরীক্ষা দেখতে প্রত্যাশা করে: উদ্দেশ্য, প্রয়োজনীয়তা এবং ভারসাম্য। এখন স্প্ল্যাশ পেজ ডিজাইন নিয়ে কথা বলা যাক, কারণ এখানেই বেশিরভাগ সংস্থা ভুল করে। স্প্ল্যাশ পেজ হলো আপনার প্রাথমিক কনসেন্ট ইন্টারফেস, এবং এটিকে একই সাথে বেশ কয়েকটি কাজ করতে হবে। কে ডেটা সংগ্রহ করছে তা শনাক্ত করতে হবে — সেটি হলো আপনার সংস্থার নাম। কী ডেটা সংগ্রহ করা হচ্ছে এবং কেন তা ব্যাখ্যা করতে হবে। যেকোনো মার্কেটিং অপ্ট-ইনকে একটি আলাদা, টিক না দেওয়া চেকবক্স হিসেবে উপস্থাপন করতে হবে। এবং এটিকে একটি সম্পূর্ণ প্রাইভেসি নোটিশের সাথে লিঙ্ক করতে হবে যা ডেটা সাবজেক্ট রাইটস কভার করে। এটিকে যা করা উচিত নয় তা হলো মার্কেটিং সম্মতির ওপর নেটওয়ার্ক অ্যাক্সেস শর্তসাপেক্ষ করা। আপনি যদি একটি ইমেল সাইন-আপের পিছনে WiFi আটকে রাখেন যেখানে কানেক্ট করার একমাত্র উপায় হলো মার্কেটিং ইমেল গ্রহণে সম্মত হওয়া, তবে সেই সম্মতি GDPR-এর অধীনে স্বেচ্ছায় প্রদত্ত নয়। ICO এই বিষয়ে স্পষ্ট। আপনি একটি ইমেল অ্যাড্রেস প্রদানের জন্য একটি ইনসেনটিভ অফার করতে পারেন — একটি লয়্যালটি পয়েন্ট, একটি ডিসকাউন্ট ভাউচার — তবে বেসলাইন নেটওয়ার্ক অ্যাক্সেস নির্বিশেষে উপলব্ধ থাকতে হবে। ডেটা রিটেনশনের দিকে এগিয়ে যাচ্ছি। GDPR-এর আর্টিকেল ৫(১)(ই) স্টোরেজ লিমিটেশন নীতি নির্ধারণ করে: ব্যক্তিগত ডেটা যে উদ্দেশ্যে সংগ্রহ করা হয়েছিল তার জন্য প্রয়োজনীয় সময়ের চেয়ে বেশি সময় ধরে রাখা উচিত নয়। গেস্ট WiFi-এর জন্য, এর মানে আপনার একটি ডকুমেন্টেড রিটেনশন শিডিউল প্রয়োজন। নেটওয়ার্ক সিকিউরিটি লগ — যেমন MAC অ্যাড্রেস এবং সেশন টাইমস্ট্যাম্প — সাধারণত নিরাপত্তা এবং জালিয়াতি তদন্তের উদ্দেশ্যে ৯০ দিনের জন্য ধরে রাখা হয়। এটি একটি সমর্থনযোগ্য অবস্থান। মার্কেটিংয়ের জন্য সংগৃহীত ইমেল অ্যাড্রেসগুলো আরও বেশি সময় ধরে রাখা যেতে পারে, তবে আপনাকে সেই সময়কাল সংজ্ঞায়িত করতে হবে, আপনার প্রাইভেসি নোটিশে এটি জানাতে হবে এবং এটি টেকনিক্যালি প্রয়োগ করতে হবে — শুধু কাগজে পলিসি হিসেবে নয়। এখানেই টেকনোলজি স্ট্যাক গুরুত্বপূর্ণ। Purple-এর গেস্ট WiFi সলিউশনের মতো একটি প্ল্যাটফর্ম রিটেনশন এনফোর্সমেন্ট স্বয়ংক্রিয় করে। আপনি একটি রিটেনশন উইন্ডো কনফিগার করেন, এবং সিস্টেম স্বয়ংক্রিয়ভাবে রেকর্ডগুলো মুছে ফেলে। এটিই একটি কমপ্লায়েন্স পলিসি এবং একটি কমপ্লায়েন্স প্রোগ্রামের মধ্যে পার্থক্য। পলিসি বলে আপনি কী করবেন। প্রোগ্রাম প্রমাণ করে যে আপনি এটি করেছেন। Data Protection Agreements বা DPA নিয়ে কথা বলা যাক। আপনি যদি আপনার গেস্ট WiFi পরিচালনা করার জন্য কোনো থার্ড-পার্টি প্ল্যাটফর্ম ব্যবহার করেন — যা বেশিরভাগ সংস্থাই করে — তবে সেই প্ল্যাটফর্মটি আপনার পক্ষে ডেটা প্রসেসর হিসেবে কাজ করছে। GDPR-এর আর্টিকেল ২৮-এর অধীনে, সেই প্রসেসরের সাথে আপনার একটি লিখিত Data Processing Agreement থাকতে হবে। DPA-তে অবশ্যই নির্দিষ্ট করতে হবে কী ডেটা প্রসেস করা হচ্ছে, কী উদ্দেশ্যে, কোন নির্দেশনার অধীনে এবং প্রসেসরের কী সুরক্ষা ব্যবস্থা রয়েছে। আপনি যদি একটি ক্লাউড-ভিত্তিক WiFi অ্যানালিটিক্স প্ল্যাটফর্ম ব্যবহার করেন এবং আপনার কোনো স্বাক্ষরিত DPA না থাকে, তবে আপনি নন-কমপ্লায়েন্ট। এটি এতটাই সহজ। একাধিক EU সদস্য রাষ্ট্র জুড়ে কাজ করা বা ব্রেক্সিট-পরবর্তী UK বেস থেকে EU বাসিন্দাদের পরিষেবা প্রদানকারী সংস্থাগুলোর জন্য, আপনাকে UK GDPR-ও বিবেচনা করতে হবে — যা মূলত UK আইনে সংরক্ষিত EU GDPR — এবং কোনো আন্তর্জাতিক ডেটা ট্রান্সফার জড়িত কিনা। যদি আপনার WiFi প্ল্যাটফর্ম UK বা EEA-এর বাইরের সার্ভারগুলোতে ডেটা সংরক্ষণ করে, তবে আপনার একটি উপযুক্ত ট্রান্সফার মেকানিজম প্রয়োজন: হয় একটি অ্যাডিকোয়েসি ডিসিশন, স্ট্যান্ডার্ড কন্ট্রাকচুয়াল ক্লজ, অথবা বাইন্ডিং কর্পোরেট রুলস। [ইমপ্লিমেন্টেশন সুপারিশ এবং ফাঁদ — ২ মিনিট] ঠিক আছে, চলুন প্র্যাকটিক্যাল হওয়া যাক। এই প্রক্রিয়াটি শুরু করা যেকোনো IT টিম বা ভেন্যু অপারেটরকে আমি যে চারটি ইমপ্লিমেন্টেশন ধাপের সুপারিশ করব তা এখানে দেওয়া হলো। প্রথমত: একটি ডেটা ম্যাপিং অনুশীলন পরিচালনা করুন। আপনার স্প্ল্যাশ পেজ বা আপনার প্রাইভেসি নোটিশ স্পর্শ করার আগে, আপনার WiFi ডিপ্লয়মেন্ট যে সমস্ত ডেটা সংগ্রহ করে, তা কোথায় যায়, কার কাছে এর অ্যাক্সেস আছে এবং এটি কতক্ষণ রাখা হয় তা ম্যাপ করুন। এটি আর্টিকেল ৩০-এর অধীনে আপনার Record of Processing Activities, এবং এটি অন্য সবকিছুর ভিত্তি। দ্বিতীয়ত: কনসেন্ট প্রয়োজনীয়তাগুলোর বিপরীতে আপনার স্প্ল্যাশ পেজ অডিট করুন। প্রি-টিকড বক্সগুলো চেক করুন। মার্কেটিং সম্মতি শর্তাবলী গ্রহণ থেকে আলাদা কিনা তা চেক করুন। আপনার প্রাইভেসি নোটিশ লিঙ্কটি দৃশ্যমান এবং কার্যকরী কিনা তা চেক করুন। আপনি যদি Purple-এর মতো একটি প্ল্যাটফর্ম ব্যবহার করেন, তবে কনসেন্ট ম্যানেজমেন্ট টুলগুলো বিল্ট-ইন থাকে — তবে আপনাকে এখনো সেগুলো সঠিকভাবে কনফিগার করতে হবে এবং কপিটি পর্যালোচনা করতে হবে। তৃতীয়ত: আপনার DPA-গুলো প্রস্তুত করুন। আপনার WiFi ডেটা স্পর্শ করে এমন প্রতিটি থার্ড-পার্টি ভেন্ডরের সাথে যোগাযোগ করুন — আপনার প্ল্যাটফর্ম প্রোভাইডার, আপনার অ্যানালিটিক্স টুল, আপনার CRM — এবং নিশ্চিত করুন যে একটি স্বাক্ষরিত DPA রয়েছে। যদি না থাকে, তবে আর এগোনার আগে একটি সংগ্রহ করুন। চতুর্থত: টেকনিক্যাল রিটেনশন কন্ট্রোল ইমপ্লিমেন্ট করুন। পুরোনো ডেটা মুছে ফেলার জন্য ম্যানুয়াল প্রক্রিয়ার ওপর নির্ভর করবেন না। আপনার প্ল্যাটফর্মে স্বয়ংক্রিয় পার্জিং কনফিগার করুন এবং কমপ্লায়েন্সের প্রমাণ হিসেবে কনফিগারেশনটি ডকুমেন্ট করুন। আমি যে সবচেয়ে সাধারণ ফাঁদটি দেখি তা হলো সংস্থাগুলো GDPR-কে একটি চলমান প্রোগ্রামের পরিবর্তে এককালীন প্রজেক্ট হিসেবে বিবেচনা করে। আপনি অডিট করেন, আপনি স্প্ল্যাশ পেজ আপডেট করেন, আপনি DPA ফাইল করেন, এবং তারপর দুই বছর পর প্ল্যাটফর্মটি আপগ্রেড করা হয়েছে, স্প্ল্যাশ পেজ কপিটি মার্কেটিং টিম পরিবর্তন করেছে এবং কেউ রিটেনশন সেটিংস পর্যালোচনা করেনি। GDPR কমপ্লায়েন্সের জন্য একটি পর্যায়ক্রমিক রিভিউ সাইকেল প্রয়োজন — অন্তত বার্ষিক, এবং যখনই আপনার ডেটা প্রসেসিং অ্যাক্টিভিটিগুলোতে কোনো উল্লেখযোগ্য পরিবর্তন হয়। [র‍্যাপিড-ফায়ার প্রশ্নোত্তর — ১ মিনিট] কয়েকটি প্রশ্ন যা আমাকে নিয়মিত জিজ্ঞাসা করা হয়। "আমাদের কি একজন DPO প্রয়োজন?" — আপনি যদি কোনো পাবলিক অথরিটি হন, অথবা যদি আপনার মূল অ্যাক্টিভিটিগুলোতে ব্যক্তিদের বড় আকারের নিয়মতান্ত্রিক মনিটরিং জড়িত থাকে — যা একটি বড় গেস্ট WiFi ডিপ্লয়মেন্ট হিসেবে যোগ্য হতে পারে — তবে হ্যাঁ, আপনার একজন মনোনীত Data Protection Officer প্রয়োজন। ছোট ডিপ্লয়মেন্টের জন্য, এটি কঠোরভাবে বাধ্যতামূলক না হলেও এটি বেস্ট প্র্যাকটিস। "আমরা কি ফুটফল অ্যানালিটিক্সের জন্য MAC অ্যাড্রেস ব্যবহার করতে পারি?" — হ্যাঁ, তবে শুধুমাত্র যদি আপনি অ্যানোনিমাইজড বা অ্যাগ্রিগেটেড ডেটা ব্যবহার করেন। আপনি যদি মুভমেন্ট প্রোফাইল তৈরি করতে সেশন জুড়ে পৃথক MAC অ্যাড্রেস ট্র্যাক করেন, তবে এটি ব্যক্তিগত ডেটা প্রসেসিং এবং আপনার একটি আইনি ভিত্তি এবং একটি প্রাইভেসি নোটিশ ডিসক্লোজার প্রয়োজন। "শিশুদের ক্ষেত্রে কী হবে?" — যদি আপনার ভেন্যুতে ১৩ বছরের কম বয়সী শিশুদের অ্যাক্সেস করার সম্ভাবনা থাকে, তবে আপনাকে ICO-এর চিলড্রেনস কোড বিবেচনা করতে হবে। এর মানে শিশুদের কোনো বিহেভিয়ারাল প্রোফাইলিং নয় এবং বয়স-উপযোগী প্রাইভেসি নোটিশ। [সারসংক্ষেপ এবং পরবর্তী পদক্ষেপ — ১ মিনিট] পরিশেষে: GDPR এবং WiFi কমপ্লায়েন্স সম্পূর্ণ অর্জনযোগ্য। রেগুলেশনটি আপনাকে গেস্ট WiFi পরিষেবা চালানো বা আপনার অপারেশন উন্নত করার জন্য ডেটা সংগ্রহ করা থেকে বিরত রাখার জন্য ডিজাইন করা হয়নি। এটি নিশ্চিত করার জন্য ডিজাইন করা হয়েছে যে আপনি যখন ডেটা সংগ্রহ করেন, তখন আপনি এটি স্বচ্ছভাবে, একটি বৈধ আইনি ভিত্তিতে, উপযুক্ত সুরক্ষাসহ এবং ব্যক্তিদের অধিকারের প্রতি সম্মান জানিয়ে করেন। এই ব্রিফিং থেকে মনে রাখার মতো চারটি বিষয়: আপনার আইনি ভিত্তি স্থাপন করুন এবং এটি ডকুমেন্ট করুন; প্রকৃত সম্মতির জন্য আপনার স্প্ল্যাশ পেজ ডিজাইন করুন; আপনার DPA-গুলো স্বাক্ষর করান; এবং শুধু কাগজে নয়, টেকনিক্যালি রিটেনশন প্রয়োগ করুন। আপনি যদি এই ক্ষেত্রগুলোর যেকোনোটিতে আরও গভীরে যেতে চান, তবে WiFi-এর মাধ্যমে ফার্স্ট-পার্টি ডেটা সংগ্রহের বিষয়ে Purple-এর কাছে ইমপ্লিমেন্টেশন গাইডের একটি সম্পূর্ণ সেট রয়েছে এবং প্ল্যাটফর্মটি নিজেই আউট অফ দ্য বক্স GDPR-কমপ্লায়েন্ট ডিপ্লয়মেন্ট সমর্থন করার জন্য তৈরি করা হয়েছে। শোনার জন্য ধন্যবাদ। পরবর্তী সময় পর্যন্ত বিদায়।