बालेन सरकारमा मेरो गोपनीयता : कति सुरक्षित छ वैयक्तिक विवरण ?

काठमाडौं महानगरपालिकाको मेयर हुँदै राष्ट्रिय स्वतन्त्र पार्टीको तर्फबाट प्रधानमन्त्रीको बलियो दाबेदार बनेका बालेन शाह अब देशकै नेतृत्व गर्ने संघारमा छन्। हालै सम्पन्न निर्वाचनको नतिजाले उनको पार्टीलाई दुई तिहाइ बहुमत नजिक पुर्याएको देखिन्छ। हामी बोल्दैनौ काम गर्छौ भनि बारम्बार भन्ने यो दलले अब पक्कै पनि रास्वपाको नागरिक करारमा उतारिएका सपनाहरुलाई चाँडै मूर्तरुप दिन कम्मर कस्नेछ ।

करारमा भएका सबै विषय राज्यको नागरिकको हैसियतले मेरो पनि चासोको विषय हुने नै भयो, यसमा पनि “सर्वव्यापी डिजिटल डेलिभरी, लाइन हैन अनलाइन” भन्ने उहाँहरुको एजेंडाका केही पक्ष आफ्नै विषयगत वस्तु परेकाले, एउटा डिजिटल यात्री र सर्टिफाइड प्राइभेसी प्रोफेस्नलको हैसियतले केही प्रश्न र आफूले जानेका कुरा समेट्दै यो लेख कोरिहाले ।

डिजिटल डेलिभरी र गोपनीयताको प्रश्न

सर्वव्यापी डिजिटल डेलिभरी पक्कै पनि नागरिकका लागि सुखद पक्ष हो। यो सुविधा गन्तव्य सम्म पुग्दै जाँदा के मेरो वैयक्तिक विवरणको सुरक्षा बालेन सरकारको प्राथमिकतामा पर्ला ? पर्ने हो भने, मेरो विवरण कसरी प्रशोधन गरिएला ?

व्यक्तिगत विवरणको प्रशोधन तथा सुरक्षाका लागि कस्तो कानुन, मापदण्ड वा कार्यविधि अपनाइएला ? जनतामा डिजिटल प्रविधि र आफ्नो विवरणको सुरक्षाको सचेतना कसरी सुनिश्चित गरिएला ?

विगतका घटनाक्रमलाई नियाल्ने हो भने, हाम्रो देशमा कानून, सरकार वा जनता आफैले पनि गोपनीयता र वैयक्तिक विवरणको खासै चर्चा गरेको पाईंदैन। भर्खरैको निर्वाचनमा आफ्नो मोबाइल नम्बर, इमेल कसरी उम्मेदवार र उनीहरूको क्याम्पेन टोलीमा पुग्यो भनि केहि प्रश्न उठेका त थिए तर समग्रमा हेर्दा एकदमै न्यून जनसङ्ख्यामा मात्र आफ्नो वैयक्तिक विवरणप्रति चासो रहेको देखिन्छ।

यस परिवेशमा सर्वव्यापी डिजिटल डेलिभरी पाइन्छ भने किन व्यक्तिगत विवरणको प्रश्न उठाइरहनु पर्यो भन्ने दोहोरो प्रश्न मैतिर पनि आउला । किन त, सर्वसाधारण नेपालीले आफ्नो डाटाप्रति चासो राख्नु महत्त्वपूर्ण छ त ?

संवैधानिक आवश्यकता र सम्भावित क्षति

मौलिक हकका रुपमा नेपालको संविधानको धारा २८ मा सुनिश्चित हाम्रो जीउ, आवास, सम्पत्ति, लिखत, तथ्यांक, पत्राचार र चरित्र सम्बन्धी विषयको गोपनियताको हकले हामीलाई अन्य मौलिक हकको प्रयोगमा सहायता पुर्याउँछ।

१) अवसर र पूर्वाग्रह: स्वास्थ्य समस्या, राजनीतिक झुकाव वा विगतका सानातिना गल्ती ‘बाहिर‘ भएमा रोजगारदाताले हामीलाई छनोट गर्नुअघि नै पूर्वाग्रह राख्न सक्छन्।

२) भेदभाव र आर्थिक जोखिम: पुराना केहि मेडिकल रिपोर्ट सार्वजनिक भएमा बीमा कम्पनीले प्रिमियम बढाइदिने वा सेवा नै नदिने जोखिम रहन्छ।

३) शिक्षा र भविष्यः विद्यार्थीको डाटा बाहिरिएमा उनीहरू सानैदेखि व्यापारिक विज्ञापन वा ‘प्रोफाइलिङ‘को निशाना बन्न सक्छन्, जसले उनीहरूको भविष्यको छात्रवृत्ति वा अवसरमा बाधा पुर्याउन सक्छ।

अनि भएकै कुरा किन लुकाउनु पर्यो, यो त आफैंले छल गरेको जस्तो भयो भन्नु होला । तर यसरी सोचौं, हामी हाम्रा छरछिमेक, इष्टमित्र वा आफन्तलाई त आफ्नो घरका सबै सानो-मसिना कुरा भन्दैनौं। ‘अरूको आँखा लाग्छ‘, ‘घरको कुरो दुनियाँलाई किन सुनाउनु पर्यो‘, वा ‘भोलि कुरा काट्ने बाटो होला‘ भनेर हामी आफ्नो गोपनीयता जोगाउन हरदम सचेत रहन्छौं। बाहिर हिँड्दा पनि आफ्नो मर्यादा र निजी मामिला सार्वजनिक नहोस् भन्नेमा हाम्रो ध्यान हुन्छ।

यो त झन् एउटा शक्तिशाली राज्यको कुरा हो! त्यो राज्य, जसले हाम्रो जन्मदेखि मृत्युसम्मको, खल्तीको पैसादेखि स्वास्थ्यसम्मको र हाम्रा हरेक पाइलाको डिजिटल रेकर्ड राख्ने सामर्थ्य राख्छ र यदि यस प्रकारका विवरणको सङ्कलन, प्रशोधन, वितरण, सुरक्षाबारे सुदृढ कानून र कार्यविधि नबनी डिजिटल सेवा सरकारले लागू गरे, हामी कति कमजोर अवस्थामा पुगौला ।

अझ अहिले एआईको युगमा हाम्रो विवरण सुरक्षित नभए हामीले कल्पना समेत नगरेको जोखिमको सिकार हामी बन्न सक्छौं ।

उदाहरणका लागि यदि राज्यसँग तपाईंले अनलाइनमा के पढ्नुहुन्छ, कुन पोस्ट ‘लाइक‘ गर्नुहुन्छ वा कुन प्रदर्शनमा जानुभयो भन्ने डाटा छ भने, उसले तपाईंको ‘राजनीतिक प्रोफाइल‘ बनाउन सक्छ ।

यदि तपाईं सरकारको आलोचना गर्नुहुन्छ भने, तपाईंको त्यो प्रोफाइलका आधारमा तपाईंलाई निगरानीमा राखिन सक्छ । तपाईं हामी अदृश्य भेदभाव, पूर्वाग्रह, म्यानपुलेसन इत्यादिको सिकार हुन सक्छौं ।

साथै डाटा सुरक्षाको कुरा सरकारले तपाईंलाई गर्ने हानिमा मात्र सिमित छैन । मानिलिउ एकदम इमान्दार सरकार परेछ, हाम्रो बारेमा जति विवरण भए पनि कहिले त्यसको गलत प्रयोग गरेन – तर यसरी सरकारले संकलन गरेको विवरणलाइ उसले सुरक्षित राखेन, केहि गरी हाम्रो विवरण लीक भयो वा डाटा संकलन, प्रशोधन, वितरण, सुरक्षाबारे सुद्रिढ कानुनर्नै बनाएन भने अन्य कुनै निकायबाट पनि हाम्रो अधिकार अघि भनेजस्तै जोखिममा पर्न सक्छ । अझ तपाईं अपराधिक गतिविधिको सिकार पनि बन्न सक्नुहुन्छ ।

उदहरणका लागि: अन्य आपराधिक समूहले हाम्रो बायोमेट्रिक विवरण वा नागरिकता प्रयोग गरेर : १) तपाईंको नाममा ऋण लिने वा सहकारी ठगी गर्ने, २) तपाईंको कागजातबाट सिमकार्ड झिकेर साइबर अपराध वा धक्की दिने जस्ता काम गर्न सक्छन् ।

गोपनियता सुनिश्चित नहुदा र वैयक्तिक विवरणको प्रशोधनबारेमा विस्तृत र प्रभावकारी कानुन नहुदा यस प्रकारका थुप्रै प्रत्यासित र अप्रत्यासित जोखिमको हामी सिकार हुन्छौं । यसलाई व्यवस्थित गर्ने एक मात्र भरपर्दो उपाय भनेको जर्गैदेखि डाटा सुरक्षालाई सुदृढ बनाउनु हो र अहिले रास्वपले ल्याएको नयाँपनको उदय सगैँ, प्रारम्भिक चरणदेखि डाटा सुरक्षालाई सुदृढ बनाउने मौका यो सरकारलाई छ । जर्गैदेखि डाटा सुरक्षालाई सुदृढ बनाउन र हामीलाई प्रभावकारी डिजिटल सेवा प्रधान गर्न अब्बल प्रविधिले मात्रै पुग्दैन, यस प्रणालीको जगमै वैयक्तिक विवरणको प्रशोधन, निम्न्याउने सम्भावित हानि र सुरक्षाबारे प्रभावकारी र सुदृढ कानुन हुन जरूरी छ । हालसालै बाटो निर्माण तथा मर्मतका काम गर्दा दर्जनौँ पुराना कानुनले बाधक बनेका र तिनलाई फेर्नुपर्ने बहस तपाईंले सुन्नुभएकै होला । बाटो खन्दै, पुर्दै, ठेकेदारलाई गाली गर्दै भन्दा सुरुमै अनुसन्धान तथा मूल्यांकन गरी काम गर्ने बनाउन लागेको भए अर्थ तथा समय दुवैको जगेर्ना हुन्थ्यो होला । हामीजस्तो विकासउन्मुख देशले कम खर्चमा उत्कृष्ट सेवा प्रदान गर्ने उद्देश्य राख्न जरुरी छ । सबैभन्दा महत्त्वपूर्ण कुरा ‘पूर्ण र विस्तृत कानुन‘ बनाउन ठूलो बजेट आवश्यक पर्दैन, केवल राजनीतिक इच्छाशक्ति मात्र चाहिन्छ। विश्वव्यापी रुपमा हेर्ने हो भने पनि, संसारका कैयौँ देशले अहिले डाटा सुरक्षा र गोपनीयताका बलिया कानुन बनाइसकेको देखिन्छ । सुरुमै सफ्टवेयरमा अरबौँ लगानी गर्नुभन्दा पहिले ‘डाटा कसरी चलाउने‘ भन्ने नियम स्पष्ट हुनुपर्छ । यसले पछि हुने सम्भावित कानुनी झमेला र ‘डाटा लीक‘ पछिको ठूलो आर्थिक क्षतिबाट बचाउँछ। वर्तमान कानूनः कति बलियो, कति अधूरो ? नेपालको वर्तमान कानूनी धरातलमा ‘वैयक्तिक गोपनीयता सम्बन्धी ऐन, २०७५ र नियमावली २०७७ मुख्य दस्तावेज हुन्। यसका साथै मुलुकी अपराध संहिता २०७४, विद्युतीय कारोबार ऐन २०६३ र सामाजिक सञ्जाल निर्देशिका २०८० ले ह्याकिङ, साइबर अपराध र उजुरी प्रक्रियामा केही हदसम्म कानूनी प्रावधान सुनिश्चित गरेका छन्। तथ्याङ्कको व्यवस्थित प्रशोधनका लागि ‘तथ्याङ्क ऐन, २०७१‘ समेत कार्यान्वयनमा छ। वर्तमान कानूनले वैयक्तिक र संवेदनशील सूचना (जातजाति, स्वास्थ्य, राजनीतिक आवद्धता, सम्पत्ति आदि) लाई स्पष्ट परिभाषित गर्दै तिनको सङ्कलनमा ‘व्यक्तिको सहमति‘ अनिवार्य गरेको छ। सूचनाको उद्देश्य खुलाउनुपर्ने, त्रुटि सच्याउन पाउने र जोखिम विरूद्ध उपयुक्त सुरक्षा प्रबन्ध गर्नुपर्ने जस्ता प्रावधानले नागरिकलाई केही सुरक्षा प्रदान गर्छन्। कानून उल्लङ्घन भएमा जिल्ला अदालतमा मुद्दा दर्ता गर्ने वा प्रहरीमा जाहेरी दिने उपचारको मार्ग समेत प्रस्ट छ। तर आधुनिक डिजिटल डेलिभरीका लागि यी ऐनहरू अधुरा छन् :

१) फराकिलो सरकारी अधिकार: गोपनीयता ऐनको दफा २३ मा रहेको ‘प्रचलित कानून बमोजिम‘ जस्ता शब्दावलीले राज्यलाई डाटा सङ्कलन गर्ने असीमित वैधानिकता सुम्पीएको छ। यस्ता प्रावधानहरू डाटा प्रोटेक्सनका सिद्धान्तहरूद्वारा निर्देशित नहुँदा डिजिटल डेलिभरी का नाममा नागरिकको हरेक डिजिटल पाइला निगरानी गर्ने ‘ब्ल्याङ्क‘ चेक राज्यको हातमा पुग्ने जोखिम रहन्छ। गोपनीयता निशर्त अधिकारनभए पनि राज्यको हरेक हस्तक्षेप अनुपातको सिद्धान्तको कसीमा जाँचिनुपर्छ, अन्यथा लोकतन्त्र बिस्तारै निरङ्कुशता तर्फ ढल्किन सक्छ। सङ्कलित सूचना ‘कानूनी आधार‘ मा मात्र नभई ‘न्यूनतम आवश्यकता‘ (चाहिएजति डाटा मात्र संकलन गर्ने) र ‘प्रयोजनको सीमा (जे प्रयोजनका लागि डाटा संकलन गरिएको हो त्यो भन्दा बाहेक डाटा प्रयोग नगर्ने) जस्ता डाटा संरक्षण सिद्धान्त भित्र रहेर गरिएको पुष्टि गर्नुपर्ने जवाफदेहिताको संयन्त्र हाम्रो कानूनमा अझै स्पष्ट छैन।

२) प्रयोजन विवरणको जोखिम: तथ्याङ्क ऐन, २०७९ ले सरकारी सेवाका विवरणलाई सिधै ‘राष्ट्रिय तथ्याङ्क प्रणाली‘ मा आबद्ध गर्ने बाटो खोल्दा ‘प्रयोजनको सीमा‘को अन्तर्राष्ट्रिय सिद्धान्त मिचिने डर छ।

३) पहिचान हटाउनुको सतही बुझाइः ऐनले ‘पहिचान हटाएर‘ डाटा भण्डारण गर्ने कुरा गरे पनि नेपालमा यसको बुझाइ निकै सतही छ। केवल नाम परिवर्तन गर्दैमा डाटा सुरक्षित हुँदैन; व्यक्तिको अरु विवरण रहेको खण्डमा सोलाइ जोडेर व्यक्तिको पहिचान पुनः उजागर हुने जोखिम सधैं रहन्छ। पहिचान हटाउनमा प्रयोग हुनुपर्ने प्रविधि वा स्रोतको कुनै मापदण्ड तोकिएको छैन ।

४) नियामकको अभावः सरकार आफैं सबैभन्दा ठूलो ‘डाटा नियन्त्रक‘ भए पनि यसलाई नियमन गर्ने एउटा छुट्टै र ‘स्वतन्त्र डाटा संरक्षण प्राधिकरण‘ हाम्रो संरचनामा कतै छैन। डाटा सुरक्षाका आधुनिक मापदण्ड त्यसो भए, वैयक्तिक विवरण र गोपनियताका कानूनमा हुनु पर्ने कुराहरू के हुन् त ? डाटा सुरक्षाको ‘स्वर्ण मापदण्ड‘ मानिएको युरोपेली युनियनको ‘जीडीपीआर, २०१६‘लाई सन्दर्भ मानेर भन्नुपर्दा निम्न आधारभूत प्रावधान यो कानूनले आत्मसाथ गर्नुपर्छ।

१. कानूनी आधार र डाटा संरक्षण सिद्धान्तहरूको समावेशीकरणः राज्य अथवा अन्य निकायले कुन आधारमा नागरिकको डाटा सङ्कलन गर्छ र त्यसलाई कुन हदसम्म प्रयोग गर्न पाउँछ भन्ने स्पष्ट कानूनी सीमा तोकिनुपर्छ। कानून केवल दफाहरूमा मात्र सीमित नभई ‘डाटा संरक्षणका विश्वव्यापी सिद्धान्तहरू‘ (कानूनी र पारदर्शी प्रक्रिया, निश्चित प्रयोजन, न्यूनतम डाटा संकलन, डाटाको सत्यता, सीमित भण्डारण, पूर्ण सुरक्षा र संस्थागत जवाफदेहिता) द्वारा निर्देशित हुनुपर्छ। यी प्रावधानहरू असल नियतमा पालना गरेको र सुरक्षा सुनिश्चित गरेको पुष्टि गर्ने दायित्व सो विवरण प्रशोधन गर्ने निकायको हुने पनि कानूनमै उल्लेख गरिनुपर्छ। यदि कुनै निकायले प्रयोजन विपरीत डाटा दुरुपयोग गरेमा कडा सजाय हुने गरी मापदण्ड अनुरुपको कानूनी आधार तयार गरिनुपर्छ।

२. विवरण संरक्षण प्रभाव मूल्याङ्कन : जसरी भौतिक आयोजना सुरु गर्नुअघि वातावरणीय प्रभाव मूल्याङ्कन गरिन्छ, त्यसै गरी कुनै पनि नयाँ डिजिटल प्रणाली लागू गर्नुअघि त्यसले नागरिकको गोपनीयतामा पार्ने जोखिमको विस्तृत अध्ययन अनिवार्य गरिनुपर्छ। प्रणाली सुरु हुनुअघि नै सम्भावित जोखिम पहिचान गरी त्यसको समाधान पहिल्याउनु यसको मुख्य ध्येय हो। यसले ‘प्राइभेसी बाई डिजाइन‘ को अवधारणालाई व्यवहारमा उतार्न मद्दत गर्दछ।

३. संरचनागत गोपनीयता: यो केवल नीति मात्र नभएर एक प्राविधिक दर्शन हो। कुनै पनि एप वा सफ्टवेयरको विकास गर्दा सुरूदेखि नै गोपनीयतालाई त्यसको अभिन्न अङ्ग बनाइनुपर्छ। उदाहरणका लागि, यदि कुनै सेवाका लागि ‘नाम र उमेर‘ मात्र पर्याप्त हुन्छ भने, प्रणालीले नागरिकता नम्बर वा घरको ठेगाना नमाग्ने (माग्न नमिल्ने) गरी त्यसको प्राविधिक ढाचा निर्माण गरिनुपर्छ।

४. पहिचान हटाउने प्राविधिक मापदण्ड र सुरक्षा उपायः नामलाई ‘क. कुमार‘ लेख्दैमा अनामीकरण भएको मान्ने सतही चलनलाई बदल्नुपर्छ। डिजिटल प्रविधिमा अन्य विवरणसँग जोडेर व्यक्तिलाई पुनः पहिचान गर्ने जोखिम सधैं रहने हुँदा यसलाई रोक्ने ‘कडा‘ प्राविधिक परीक्षण तोकिनुपर्छ। साथै, डाटा सुरक्षाका लागि अपनाउनुपर्ने ‘उचित प्राविधिक तथा सङ्गठनात्मक उपाय‘ (जस्तैः उच्च स्तरीय इन्क्रिप्सन र एक्सेस कन्ट्रोल) को न्यूनतम मापदण्ड कानूनले नै तोक्नुपर्छ।

५. स्वतन्त्र नियामक र जवाफदेहिता : सरकार आफैं सबैभन्दा ठूलो ‘डाटा नियन्त्रक‘ हुने हुँदा, सरकारकै मातहतको निकायले मात्र गोपनीयताको रक्षा गर्ने कुरामा ढुक्क हुन सकिँदैन। त्यसैले, निर्वाचन आयोग वा लोक सेवा आयोग जस्तै स्वायत्त र शक्तिशाली ‘स्वतन्त्र डाटा संरक्षण प्राधिकरण‘को आवश्यकता छ। यसले सरकारी र निजी दुवै क्षेत्रबाट हुने डाटा दुरुपयोगको स्वतन्त्र छानबिन गरी दोषीलाई कारबाही गर्ने सामर्थ्य राख्नुपर्छ।

६. प्रभावकारी कानूनी उपचार र ‘ब्रिच नोटिफिकेसन‘ को हक: कानूनमा अधिकार लेखिनु मात्र पर्याप्त हुँदैन, त्यसको उल्लङ्घन हुँदा प्राप्त हुने उपचार ‘प्रभावकारी र ‘प्रतिरोधात्मक‘ हुनुपर्छ। हालको गोपनियता ऐनको ३० हजार रुपैयाँसम्मको जरिवानाले अर्बौंको डाटा व्यापार गर्ने वा करोडौं नागरिकको विवरण जोखिममा पार्ने निकायलाई कुनै डर पैदा गर्दैन। त्यसैले, लापरबाहीको गाम्भीर्यताका आधारमा भारी जरिवाना र क्षतिपूर्तिको व्यवस्था गरिनुपर्छ। साथै, डाटा चोरी वा चुहावट भएको अवस्थामा बिना ढिलाइ नियामक र प्रभावित नागरिकलाई सूचित गर्नुपर्ने अनिवार्य ‘ब्रिच नोटिफिकेसन‘ को कानूनी व्यवस्था गरिनुपर्छ। सरकारको अग्नीपरीक्षा बालेन शाह र रास्वपाको नेतृत्वमा बन्ने आगामी सरकारका लागि ‘सर्वव्यापी डिजिटल डेलिभरी‘ केवल एउटा प्राविधिक परियोजना मात्र होइन, यो नागरिकको विश्वासको परीक्षा पनि हो। “लाइन हैन अनलाइन” भन्दै गर्दा हामीले बिर्सन नहुने कुरा के हो भने, लाइनमा बस्दा हाम्रो समय मात्र खर्च हुन्छ, तर असुरक्षित अनलाइनले हाम्रो पहिचान, सम्पत्ति र स्वतन्त्रता नै गुम्न सक्छ। जसरी पुराना कानून र मुआब्जाका झमेलाले विकास रोकियो, डिजिटल यात्रामा पनि ‘डाटा सुरक्षा‘ को जग बलियो नबनाई अघि बढ्दा त्यस्तै कानूनी र प्राविधिक दुर्घटनाहरू हुने निश्चित छ। सफ्टवेयरमा अर्बौं खर्च गर्नु अघि एउटा सुदृढ ‘एकीकृत डाटा संरक्षण ऐन‘ ल्याउनु नै बुद्धिमानी हुनेछ। तसर्थ, नयाँ सरकारले ‘डे जिरो‘देखि नै गोपनीयतालाई केन्द्रमा राखेर आफ्ना डिजिटल प्रणालीहरू निर्माण गरोस्। नागरिकको विवरणलाई राज्यको सम्पत्ति होइन, नागरिककै नासोको रूपमा सुरक्षित राख्ने ग्यारेन्टी गरियोस्। प्रविधिको रफ्तारसँगै गोपनीयताको सुरक्षा पनि सँगसँगै हिँड्यो भने मात्र बालेन सरकारको ‘डिजिटल नेपाल‘ को सपना साँच्चै सुरक्षित र दिगो हुनेछ। नत्र, हाम्रो व्यक्तिगत विवरण सुरक्षित नभएको खण्डमा हामीले पाउने ‘अनलाइन सेवा‘ एउटा यस्तो उपहार हुनेछ, जसको मूल्य हामीले आफ्नो गोपनीयता र स्वतन्त्रता सुम्पिएर चुकाउनुपर्ने हुन सक्छ। के हामी यसका लागि तयार छौं ? नयाँ बन्ने सरकारले यसको जवाफ कामबाटै दिनुपर्नेछ।

(यस लेखमा व्यक्त विचारहरू कुनै पनि संस्था वा रोजगारदाताको धारणाको प्रतिनिधित्व गर्दैनन्।)