विभिन्न देशों में IP पते के गोपनीयता कानून

IP पते के गोपनीयता कानून देश के अनुसार अलग-अलग हैं, लेकिन उनकी बढ़ती संख्या IP पते को तब व्यक्तिगत डेटा मानती है जब उसे उचित रूप से किसी व्यक्ति से जोड़ा जा सके, जिसका मतलब है कि IP की लॉगिंग, एनालिटिक्स और geolocation डेटा सुरक्षा नियमों के दायरे में आ सकते हैं। यह लेख डेवलपरों के लिए सामान्य पृष्ठभूमि है, कानूनी सलाह नहीं, और किसी भी कानून के विवरण की जाँच योग्य वकील से करानी चाहिए।

IP पते के गोपनीयता कानून IP को व्यक्तिगत डेटा क्यों मानते हैं

अपने आप में IP पता बस एक संख्या है, लेकिन वह शायद ही कभी अकेला होता है। आपके सर्वर लॉग उसे टाइमस्टैम्प, URL, user agent और अक्सर अकाउंट आइडेंटिफ़ायर के साथ जोड़ते हैं, और जिस इंटरनेट प्रदाता ने उसे आबंटित किया वह उसे ग्राहक से जोड़ सकता है। इसलिए कई नियामक तर्क देते हैं कि पता व्यक्तिगत डेटा है जब कहीं कोई ऐसा है जिसके पास उसके पीछे के व्यक्ति की पहचान करने के साधन हैं। बदलता आबंटन इसे अधिक नहीं बदलता: जो पता ग्राहकों के बीच घूमता है, वह प्रदाता के रिकॉर्ड में किसी निश्चित क्षण पर फिर भी एक ग्राहक से जुड़ा होता है।

इसीलिए IP डेटा की तकनीकी सीमाएँ कानूनी विश्लेषण के लिए भी मायने रखती हैं। लुकअप नाम नहीं, बल्कि देश, शहर-स्तर का अनुमान, नेटवर्क स्वामी और प्रतिष्ठा फ़्लैग लौटाता है। आप किसी पते को IP whois लुकअप से गुज़ारकर देख सकते हैं कि यह कैसा दिखता है; यह ब्लॉक का रजिस्ट्री रिकॉर्ड दिखाता है, जो आम तौर पर किसी व्यक्ति के बजाय ISP जैसा संगठन होता है। कानूनी प्रश्न इस बारे में है कि अन्य डेटा के साथ मिलाकर पते के साथ क्या किया जा सकता है, केवल इस बारे में नहीं कि एक अकेला लुकअप क्या उजागर करता है।

यूरोपीय संघ और यूनाइटेड किंगडम

EU में GDPR व्यक्तिगत डेटा को व्यापक रूप से परिभाषित करता है, और EU के केस लॉ ने सेशनों के बीच बदलने वाले IP पतों को ऐसे वेबसाइट संचालक के हाथ में व्यक्तिगत डेटा माना है जिसके पास प्रदाता से पहचान संबंधी जानकारी पाने के वैध साधन हैं। UK GDPR भी यही तरीका अपनाता है। व्यवहार में इसका मतलब है कि विज़िटर IP प्रोसेस करने के लिए वैध आधार, घोषित उद्देश्य, उन्हें रखने की अवधि की सीमाएँ और उचित सुरक्षा चाहिए। आम शमन उपाय हैं स्टोर करने से पहले IPv4 पते का अंतिम ऑक्टेट ट्रंकेट करना, बदलते सॉल्ट के साथ हैश करना, और कच्चे लॉग के लिए छोटी रिटेंशन विंडो तय करना। हमारी पोस्ट GDPR और व्यक्तिगत डेटा के रूप में IP पते इस पर और गहराई से जाती है।

ePrivacy ढाँचे के अंतर्गत उपयोगकर्ता के डिवाइस पर, जैसे कुकी, जानकारी स्टोर करने या पढ़ने पर अलग नियम लागू होते हैं। फ्रॉड रोकथाम और नेटवर्क सुरक्षा को अक्सर IP प्रोसेस करने के वैध उद्देश्य बताया जाता है, इसीलिए सुरक्षा टूलिंग और गोपनीयता कानून उतने विरोधी नहीं हैं जितने पहली नज़र में लगते हैं, लेकिन उद्देश्य और आनुपातिकता को फिर भी दस्तावेज़ित करना पड़ता है।

संयुक्त राज्य अमेरिका और अन्य क्षेत्र

संयुक्त राज्य अमेरिका में IP पतों को कवर करने वाला कोई एकल संघीय कानून नहीं है। इसके बजाय राज्य कानूनों का मिला-जुला जाल है, जिसमें California के CCPA और CPRA सबसे प्रसिद्ध हैं, और कई अन्य राज्यों ने व्यापक गोपनीयता कानून पारित किए हैं। ये आम तौर पर IP पतों सहित ऑनलाइन आइडेंटिफ़ायर को व्यक्तिगत जानकारी की अपनी परिभाषा में सूचीबद्ध करते हैं और निवासियों को पहुँच, विलोपन और कुछ साझाकरण या लक्षित विज्ञापन से बाहर निकलने जैसे अधिकार देते हैं। बच्चों के डेटा या स्वास्थ्य डेटा जैसे क्षेत्र-विशेष नियम और आवश्यकताएँ जोड़ते हैं।

• ब्राज़ील में LGPD है, जो संरचना में GDPR जैसा है और पहचान योग्य व्यक्ति से संबंधित जानकारी को कवर करता है।
• कनाडा PIPEDA और कुछ प्रांतीय कानून लागू करता है, और नियामकों ने संदर्भ में IP पतों को व्यक्तिगत जानकारी माना है।
• चीन में Personal Information Protection Law है, जिसमें सहमति और सीमा-पार स्थानांतरण के नियम हैं।
• भारत ने डेटा संरक्षण कानून बनाया है, और इस पर निर्भर रहने वाले किसी भी व्यक्ति को उसके नियमों की वर्तमान कार्यान्वयन स्थिति जाँचनी चाहिए।
• जापान, दक्षिण कोरिया और ऑस्ट्रेलिया में से प्रत्येक की अपनी व्यवस्था है, जिनमें व्यक्तिगत जानकारी क्या मानी जाए इसकी सीमाएँ अलग हैं।

चूँकि कानून अक्सर संशोधित होते हैं, किसी भी सारांश को, इसे भी, शुरुआती बिंदु मानें और आप जिन बाज़ारों को सेवा देते हैं उनके लिए वर्तमान पाठ की पुष्टि करें।

व्यावहारिक इंजीनियरिंग आदतें जो हर जगह काम आती हैं

क्षेत्राधिकार चाहे जो हो, कुछ आदतें जोखिम घटाती हैं। केवल वही IP डेटा एकत्र करें जो दस्तावेज़ित उद्देश्य के लिए आपको चाहिए। जो एनरिचमेंट आपको चाहिए, जैसे देश, ASN या VPN फ़्लैग, उसे अनुरोध के समय करें और जब कच्चा पता ज़रूरी न हो तो कच्चे पते के बजाय व्युत्पन्न फ़ील्ड स्टोर करें। कच्चे लॉग को छोटी, निर्धारित अवधि के लिए रखें। नियंत्रित करें कि उन्हें कौन पढ़ सकता है। नोट करें कि प्रोसेसिंग कहाँ होती है, क्योंकि जब लॉग या लुकअप किसी क्षेत्र से बाहर जाते हैं तो सीमा-पार स्थानांतरण के नियम लागू हो सकते हैं।

जो संकेत आप उपयोग करते हैं उन्हें अलग रखना भी मदद करता है। लाइसेंसिंग या कर के लिए देश-स्तर की जाँचों को शहर-स्तर की वैयक्तिकरण सुविधा की तुलना में बहुत कम सटीकता चाहिए, और प्रतिष्ठा स्कोर जैसी सुरक्षा जाँच को लोकेशन की ज़रूरत ही नहीं। ipto का IP लुकअप देश, शहर, ASN, संगठन और is_vpn, is_tor तथा is_abuser जैसे फ़्लैग लौटाता है, इसलिए आप केवल वह मोटा फ़ील्ड स्टोर कर सकते हैं जो आपके उपयोग के लिए चाहिए। दुरुपयोग संभालने के लिए, IP एब्यूज़ चेकर बिना किसी व्यक्तिगत प्रोफ़ाइल के स्कोर और जोखिम स्तर लौटाता है। अनुरोध और रिस्पॉन्स फ़ील्ड का विवरण API दस्तावेज़ में है।

अंत में, उपयोगकर्ताओं को बताएँ कि आप क्या करते हैं। स्पष्ट गोपनीयता नोटिस, जो एकत्र किए गए डेटा में IP पतों का उद्देश्य और रिटेंशन अवधि के साथ नाम लेता है, कई व्यवस्थाओं की आवश्यकता पूरी करता है और देशों के पार अनुपालन का सबसे अधिक पुनः उपयोग होने वाला कार्य है।

यह देखना भी मदद करता है कि लुकअप वास्तव में विज़िटर के बारे में क्या उजागर करता है। VPN और प्रॉक्सी चेकर दिखाता है कि विज़िटर की प्रतीत होने वाली लोकेशन वह जगह क्यों नहीं हो सकती जहाँ वे हैं, जो लोकेशन-आधारित नियम लागू करते समय मायने रखता है। इनमें से कुछ भी आपकी स्थिति के लिए कानूनी सलाह का विकल्प नहीं है।

सीधे जवाब