VPN কি GDPR-এর পরিধি বদলায়? একটি চেকলিস্ট, IP পরীক্ষা নয়

প্রশ্নটি সাধারণত আসে এইভাবে: VPN ব্যবহার করলে GDPR-এর আওতা বদলায় কি না। IP ঠিকানা থেকে এর উত্তর দেওয়া যায় না। আওতা প্রক্রিয়াকরণের অনুসরণ করে: কে দায়ী, কোন প্রেক্ষাপটে, এবং কার আচরণ বা প্রস্তাব জড়িত। নিচের চেকলিস্টটি ক্রমে কাজ করুন এবং আপনার কার্যক্রমের জন্য প্রশ্নটি নির্ধারণ করে এমন প্রথম ধাপে থামুন।

VPN একটি সংযোগের আপাত অবস্থান বদলায়। এটি নিয়ন্ত্রক, উদ্দেশ্য বা যাদের লক্ষ্য করা হচ্ছে তাদের বদলায় না।

প্রথম পরীক্ষা: নিয়ন্ত্রক কে এবং কোথায়

প্রক্রিয়াকরণের দায়িত্বে থাকা সত্তাটি এবং তার পক্ষে কাজ করা যেকোনো প্রসেসরের নাম লিখুন। যে প্রতিষ্ঠান ঠিক করে কেন ও কীভাবে তথ্য পরিচালিত হয়, তা রেকর্ড করুন। বিশ্লেষণের বাকি অংশ এই তথ্যের ওপর দাঁড়িয়ে আছে।

সত্তাটি যদি EU-তে প্রতিষ্ঠিত হয়, দ্বিতীয় পরীক্ষায় যান। না হলে তৃতীয় পরীক্ষায় যান।

দ্বিতীয় পরীক্ষা: প্রক্রিয়াকরণ কি EU প্রতিষ্ঠানের সঙ্গে যুক্ত

ধারা 3(1) EU প্রতিষ্ঠানের কার্যক্রমের প্রেক্ষাপটে প্রক্রিয়াকরণ কভার করে, এমনকি প্রক্রিয়াকরণটি নিজেই ইউনিয়নের বাইরে ঘটলেও। পরীক্ষাটি হলো প্রক্রিয়াকরণ ওই প্রতিষ্ঠানের কার্যক্রমের সঙ্গে কতটা যুক্ত।

একটি ইউরোপীয় অফিস কোনো বহুজাতিক কোম্পানির প্রতিটি কাজকে স্বয়ংক্রিয়ভাবে আওতায় টেনে আনে না। একইভাবে, ট্রাফিককে EU-র বাইরের এক্সিট দিয়ে পাঠালে সেই যোগসূত্র মুছে যায় না। প্রতিষ্ঠান-বিশ্লেষণ প্রক্রিয়াকরণ নিয়ে, প্যাকেটের পথ নিয়ে নয়।

এই পরীক্ষা প্রযোজ্য হলে থামুন: আওতার জন্য VPN এক্সিট অপ্রাসঙ্গিক, যদিও হস্তান্তর বা নিরাপত্তার অন্য প্রশ্নে এটি গুরুত্বপূর্ণ হতে পারে।

তৃতীয় পরীক্ষা: ইউনিয়নে থাকা মানুষকে প্রস্তাব দেওয়া বা পর্যবেক্ষণ করা

EU প্রতিষ্ঠান না থাকলে ধারা 3(2) প্রযোজ্য হয় ইউনিয়নে থাকা মানুষকে পণ্য বা পরিষেবা প্রস্তাব দেওয়া, অথবা সেখানে তাদের আচরণ পর্যবেক্ষণ করার ক্ষেত্রে। ওয়েবসাইট শুধু অ্যাক্সেসযোগ্য হওয়াই যথেষ্ট নয়। ধারা 3 নিয়ে EDPB-র নির্দেশিকা ইউনিয়নে থাকা মানুষকে ইচ্ছাকৃতভাবে লক্ষ্য করার খোঁজ করে।

এই পথে সংশ্লিষ্ট সময়ে ব্যক্তির উপস্থিতি গুরুত্বপূর্ণ, কেবল নাগরিকত্ব বা বসবাস নয়। EU-র বাইরে থাকা একজন দৃষ্টান্তমূলক দর্শনার্থী, যিনি EU-র IP ব্যবহার করছেন বলে মনে হয়, কেবল সেই তথ্যে অবস্থানের শর্ত পূরণ করেন না। গুরুত্বপূর্ণ হলো প্রস্তাবটি বা পর্যবেক্ষণটি ইউনিয়নে থাকা মানুষকে লক্ষ্য করে ছিল কি না। আপাত EU ঠিকানা থেকে একটি একক ভিজিট নিজেই দুর্বল প্রমাণ।

প্রতিষ্ঠান বা লক্ষ্যবিভাজন কোনোটিই প্রযোজ্য না হলে, VPN এক্সিট কোনো আওতা তৈরি করেনি। লক্ষ্যবিভাজন প্রযোজ্য হলে, এক্সিট তা সরায়নি।

চতুর্থ পরীক্ষা: VPN এক্সিট কী বদলায় আর কী বদলায় না

ভিন্ন এক্সিট একটি সংযোগের আপাত উৎস বদলায়। এটি সাইট কী দেখায় তা বদলাতে পারে, যা একটি বাস্তবায়ন-সিদ্ধান্ত। এটি বদলায় না নিয়ন্ত্রক কে, প্রক্রিয়াকরণের উদ্দেশ্য কী, বা প্রস্তাবটি ইউনিয়নে থাকা মানুষকে লক্ষ্য করে ছিল কি না।

ভূ-অবস্থানকে সীমিত সংকেত হিসেবে ধরুন এবং অনিশ্চয়তা নথিভুক্ত করুন। অজানা অবস্থানকে ছাড়পত্রে রূপ দেবেন না।

রেকর্ড রাখুন

পরিষেবা পরিচালকের জন্য দায়ী সত্তা, প্রতিষ্ঠান, উদ্দেশ্য, অভিপ্রেত দর্শক এবং যেকোনো পর্যবেক্ষণ রেকর্ড করুন। আঞ্চলিক মানদণ্ড যোগ্য গোপনীয়তা-পরামর্শ নিয়ে মূল্যায়ন করুন। ব্যক্তির জন্য, গোপনীয়তা বিজ্ঞপ্তি এবং আপনার তথ্য পরিচালনা করে এমন সত্তা থেকে শুরু করুন।

কুকি ও ডিভাইস-স্টোরেজের নিয়ম ধারা 3-এর প্রশ্ন থেকে আলাদাভাবে মূল্যায়ন করুন। এক প্রক্রিয়াকরণ কার্যক্রমের সিদ্ধান্ত প্রতিটি ট্র্যাকিং নিয়মে স্থানান্তর করবেন না, এবং EU ও UK-র কাঠামোকে একটি অনির্দিষ্ট আইনে মিলিয়ে ফেলবেন না। রেকর্ডে বলা উচিত আপনি কোন কাঠামো মূল্যায়ন করেছেন এবং কেন।