नामों को प्लेसहोल्डर से बदलना एक अच्छा पहला कदम है। GDPR के तहत इससे अपने-आप डेटा गुमनाम नहीं हो जाता। इस लेख में बताया गया है कि नियम क्या कहता है, यूरोपीय संघ के न्यायालय ने सितंबर 2025 में क्या फ़ैसला दिया, और उस फ़ैसले के बाद क्या करना चाहिए।
संक्षिप्त उत्तर
हाँ, सामान्य तौर पर। GDPR कहता है कि छद्मनामित किया गया व्यक्तिगत डेटा, जिसे अतिरिक्त जानकारी का इस्तेमाल करके किसी व्यक्ति से जोड़ा जा सकता है, किसी पहचान योग्य व्यक्ति के बारे में जानकारी है। अगर आपके पास वह कुंजी है जो "Person_1" को वापस असली नाम से जोड़ती है, तो आपके बदले हुए पाठ सहित वह अब भी आपके हाथों में व्यक्तिगत डेटा है, और उस पर आपका प्रसंस्करण GDPR के दायरे में आता है।
अधिक सावधानी से दिया गया उत्तर यह है कि बात इस पर निर्भर करती है कि डेटा किसके पास है और उस व्यक्ति की पहचान करने के लिए वे कौन-से उपाय उचित रूप से अपना सकते हैं। 2025 का न्यायालयी फ़ैसला इसी वजह से महत्त्वपूर्ण है।
GDPR क्या कहता है
अनुच्छेद 4(5) में छद्मनामकरण की परिभाषा यह है:
"व्यक्तिगत डेटा का इस प्रकार प्रसंस्करण कि अतिरिक्त जानकारी का उपयोग किए बिना व्यक्तिगत डेटा को अब किसी विशिष्ट डेटा विषय से नहीं जोड़ा जा सके, बशर्ते कि ऐसी अतिरिक्त जानकारी अलग रखी जाए और यह सुनिश्चित करने के लिए तकनीकी तथा संगठनात्मक उपायों के अधीन हो कि व्यक्तिगत डेटा किसी पहचाने गए या पहचान योग्य प्राकृतिक व्यक्ति से न जोड़ा जाए"
Recital 26 कहता है कि छद्मनामित व्यक्तिगत डेटा, जिसे अतिरिक्त जानकारी के उपयोग से किसी प्राकृतिक व्यक्ति से जोड़ा जा सकता है, पहचान योग्य प्राकृतिक व्यक्ति के बारे में जानकारी माना जाना चाहिए। यह तय करने के लिए कि कोई व्यक्ति पहचान योग्य है या नहीं, उन सभी उपायों पर विचार किया जाना चाहिए जिनका उपयोग किए जाने की उचित संभावना हो—जैसे अलग-अलग व्यक्ति की पहचान करना—चाहे उनका उपयोग डेटा नियंत्रक करे या कोई अन्य व्यक्ति। इसमें अपेक्षित लागत और समय तथा उपलब्ध तकनीक को भी ध्यान में रखा जाना चाहिए।
इस शब्दावली से दो व्यावहारिक बातें निकलती हैं। कुंजी को अलग रखना होगा और तकनीकी तथा संगठनात्मक उपायों से सुरक्षित करना होगा। और "पहचान योग्य" होने का आकलन वास्तविक रूप से संभव उपायों के आधार पर किया जाता है, न कि इस आधार पर कि पहचान करना सैद्धांतिक रूप से संभव है या नहीं।
न्यायालय ने 2025 में क्या जोड़ा
4 सितंबर 2025 को यूरोपीय संघ के न्यायालय ने EDPS v SRB (मामला C-413/23 P) का फ़ैसला दिया। यह उन टिप्पणियों से संबंधित था जिन्हें एक बैंकिंग प्राधिकरण ने लेखकों की पहचान को कोड से बदलने के बाद एक परामर्शदाता कंपनी को दिया था। फ़ैसला Regulation 2018/1725 के तहत दिया गया, जो EU संस्थानों पर लागू होता है, लेकिन उसमें व्यक्तिगत डेटा और छद्मनामकरण की परिभाषाएँ GDPR की परिभाषाओं से मेल खाती हैं।
न्यायालय ने कहा कि छद्मनामित डेटा को "हर मामले में और हर व्यक्ति के लिए" व्यक्तिगत डेटा नहीं माना जाना चाहिए। किसी विशेष प्राप्तकर्ता के लिए डेटा व्यक्तिगत है या नहीं, यह परिस्थितियों पर निर्भर करता है—जिसमें यह भी शामिल है कि उस प्राप्तकर्ता के पास संबंधित लोगों की फिर से पहचान करने के उचित रूप से संभावित साधन हैं या नहीं। जिसने छद्मनामकरण किया है और जिसके पास अतिरिक्त जानकारी है, उसकी स्थिति उस प्राप्तकर्ता से अलग रहती है जिसके पास कोड को किसी व्यक्ति से जोड़ने का कोई तरीका नहीं है।
यह कानूनी बदलाव है, जिस पर विशेषज्ञ अभी भी विचार कर रहे हैं। इसे इस अनुमति के रूप में न समझें कि आप छद्मनामित ग्राहक डेटा कहीं भी भेज सकते हैं। इसका अर्थ है कि प्रश्न का आकलन प्राप्तकर्ता के दृष्टिकोण से किया जाता है, न कि यह कि प्रश्न ही समाप्त हो जाता है।
AI चैटबॉट के लिए इसका क्या अर्थ है
- आप अब भी डेटा नियंत्रक हैं —मूल डेटा और कुंजी, दोनों के। दस्तावेज़ के साथ आप जो भी करते हैं, उसमें प्रतिस्थापन भी शामिल है, और उस पर आपकी अपनी GDPR संबंधी ज़िम्मेदारियाँ लागू होती हैं।
- क्या AI प्रदाता को व्यक्तिगत डेटा मिलता है यह तथ्यों पर निर्भर करने वाला प्रश्न है। नाम न होने पर भी संदर्भ किसी व्यक्ति की पहचान बता सकता है: कोई दुर्लभ नौकरी, छोटा शहर या असामान्य घटना। अगर कोई वास्तविक रूप से पता लगा सकता है कि पाठ किस व्यक्ति के बारे में है, तो उसे व्यक्तिगत डेटा मानें।
- अपनी अनुपालन नीति इस विचार पर आधारित न करें कि प्लेसहोल्डर पाठ को गुमनाम बना देते हैं। यह मानकर योजना बनाएँ कि वह अब भी व्यक्तिगत डेटा हो सकता है, और प्लेसहोल्डर को कई सुरक्षा उपायों में से एक मानें।
छद्मनामकरण करना फिर भी फ़ायदेमंद है, और GDPR भी यही कहता है। अनुच्छेद 32(1)(a) में छद्मनामकरण को उन सुरक्षा उपायों में गिना गया है जिनका डेटा नियंत्रक उपयोग कर सकता है। Recitals 28 और 78 कहते हैं कि इससे डेटा विषयों के जोखिम कम हो सकते हैं और डिज़ाइन तथा डिफ़ॉल्ट रूप से डेटा सुरक्षा को समर्थन मिलता है। नियम इसे सुरक्षा उपाय मानता है, नियमों से बाहर निकलने का रास्ता नहीं।
व्यवहार में क्या करें
- पहले डेटा न्यूनतम करें। सिर्फ़ वही अंश भेजें जिसकी काम के लिए ज़रूरत है। देखें ग्राहक के दस्तावेज़ों के साथ AI टूल का इस्तेमाल कैसे करें.
- हर पहचानकर्ता बदलें, सिर्फ़ नाम नहीं। खाता नंबर, ID नंबर और जन्मतिथियाँ भी पहचानकर्ता हैं। जाँच-सूची में उनकी सूची दी गई है।
- कुंजी अपने पास रखें, भेजे जाने वाले पाठ से अलग, और मामला समाप्त होने पर उसे मिटा दें।
- प्रदाता की शर्तें और अपनी योजना जाँचें। डेटा प्रसंस्करण समझौते वाली व्यावसायिक योजना की स्थिति मुफ़्त व्यक्तिगत खाते से अलग होती है। देखें डेटा सेटिंग्स क्या कहती हैं.
- ज़्यादा जोखिम वाले मामलों में सलाह लें: स्वास्थ्य डेटा, बच्चों का डेटा, विशेष श्रेणियों का डेटा या ऐसा कोई भी डेटा जिसके उल्लंघन से गंभीर नुकसान हो सकता है।
रोज़मर्रा की बातचीत में इन शब्दों का इस्तेमाल अक्सर ढीले अर्थ में किया जाता है। गुमनामीकरण, छद्मनामकरण और रिडैक्शन में इनकी तुलना की गई है।
अक्सर पूछे जाने वाले सवाल
क्या छद्मनामित डेटा और गुमनाम डेटा एक ही हैं?
नहीं। Recital 26 कहता है कि डेटा-सुरक्षा के सिद्धांत गुमनाम जानकारी पर लागू नहीं होते; यानी ऐसी जानकारी जो किसी पहचान योग्य व्यक्ति से संबंधित न हो, या ऐसा डेटा जिसे इस तरह गुमनाम बना दिया गया हो कि व्यक्ति की पहचान न की जा सके। दोबारा जोड़ा जा सकने वाला छद्मनामित डेटा अलग श्रेणी है।
क्या GDPR व्यक्तिगत डेटा के साथ AI टूल इस्तेमाल करने पर रोक लगाता है?
नहीं। इसके लिए वैध आधार, डेटा न्यूनीकरण, सुरक्षा और किसी प्रदाता के साथ उचित अनुबंध ज़रूरी हैं। प्लेसहोल्डर इस्तेमाल करने से डेटा न्यूनीकरण में मदद मिलती है।
क्या यह EU के बाहर भी लागू होता है?
UK का अपना संस्करण है, और कई देशों में ऐसे ही नियम हैं। GDPR उन EU के बाहर स्थित व्यवसायों पर भी लागू हो सकता है जो EU में लोगों को सेवाएँ देते हैं।
ClientSafe यह आपके PC पर वह तालिका रखता है जो प्लेसहोल्डर को असली नामों से जोड़ती है। AI टूल के लिए कॉपी किए गए पाठ में केवल प्लेसहोल्डर होते हैं। आप पहले मिले परिणाम की समीक्षा करते हैं, क्योंकि कोई भी टूल सब कुछ नहीं पकड़ता।
यह सामान्य जानकारी है, कानूनी सलाह नहीं। अपनी स्थिति के बारे में योग्य डेटा-सुरक्षा सलाहकार से पूछें।