DPIA কী এবং কেন এটি বিদ্যমান

ডেটা সুরক্ষা প্রভাব মূল্যায়ন GDPR-এর Article 35-এ সংজ্ঞায়িত। এটি একটি প্রামাণিক বিশ্লেষণ যা একজন নিয়ন্ত্রককে প্রাকৃতিক ব্যক্তিদের অধিকার ও স্বাধীনতায় উচ্চ ঝুঁকির ফলাফল হওয়ার সম্ভাবনা রয়েছে এমন যেকোনো প্রক্রিয়াকরণ অপারেশন চালু করার আগে সম্পন্ন করতে হবে। DPIA নিয়ন্ত্রককে প্রক্রিয়াকরণ বর্ণনা করতে, এর প্রয়োজনীয়তা ও আনুপাতিকতা মূল্যায়ন করতে, ঝুঁকি চিহ্নিত করতে এবং সেগুলি হ্রাস করার জন্য নেওয়া ব্যবস্থা নথিভুক্ত করতে বাধ্য করে। যদি অবশিষ্ট ঝুঁকি উচ্চ থাকে, তবে নিয়ন্ত্রককে লাইভ যাওয়ার আগে তদারকি কর্তৃপক্ষের সাথে পরামর্শ করতে হবে।

প্রকাশকদের জন্য, DPIA একটি এককালীন আইনি নিদর্শন নয়। এটি কেন্দ্রীয় নথি যা একজন নিয়ন্ত্রক কুকি বা ট্র্যাকিং অভিযোগ তদন্ত করার সময় অনুরোধ করবেন, এবং এটি সেই নথি যা নির্ধারণ করে যে প্রকাশক Article 5(2)-এর অধীনে জবাবদিহিতা প্রদর্শন করতে পারেন কিনা। এটি ছাড়া, প্রমাণের ভার দৃঢ়ভাবে আপনার বিরুদ্ধে স্থানান্তরিত হয়।

কুকি ও সম্মতি প্রবাহের জন্য DPIA কখন বাধ্যতামূলক

Article 35(3) তিনটি স্পষ্ট DPIA ট্রিগার তালিকাভুক্ত করে। Article 29 Working Party নির্দেশিকা (এখন EDPB দ্বারা গৃহীত) নয়টি নির্দেশক মানদণ্ডের একটি তালিকা যোগ করে। এই মানদণ্ডগুলির মধ্যে যেকোনো দুটি পূরণ করে এমন একটি প্রক্রিয়াকরণ কার্যকলাপ DPIA প্রয়োজন বলে অনুমান করা হয়। কুকি ও বিজ্ঞাপন-প্রযুক্তি প্রবাহের জন্য সবচেয়ে প্রাসঙ্গিক মানদণ্ডগুলি হল:

• পদ্ধতিগত এবং ব্যাপক মূল্যায়ন — বিজ্ঞাপন এবং বিষয়বস্তু ব্যক্তিগতকরণের জন্য প্রোফাইলিং সহ।
• বড় আকারের প্রক্রিয়াকরণ — ডেটার পরিমাণ, ডেটা বিষয়ের সংখ্যা, ভৌগোলিক পরিধি এবং সময়কাল দ্বারা পরিমাপ করা হয়। মাসিক সাত-অঙ্কের ব্যবহারকারীদের সাথে প্রকাশকের সাইটগুলি প্রায় সবসময় যোগ্য।
• প্রযুক্তির উদ্ভাবনী ব্যবহার — ফিঙ্গারপ্রিন্টিং, ক্রস-ডিভাইস সনাক্তকরণ, ফেডারেটেড লার্নিং, মনোযোগ পরিমাপ, AI-ভিত্তিক আচরণগত অনুমান অন্তর্ভুক্ত।
• অবস্থান বা আচরণের ট্র্যাকিং — সরাসরি আচরণগত বিজ্ঞাপন এবং রিটার্গেটিং দ্বারা ধরা।
• ডেটাসেটগুলি একত্রিত বা মেলানো — সার্ভার-সাইড সমৃদ্ধকরণ, পরিচয় গ্রাফ, ডেটা ক্লিন রুম, গ্রাহক ডেটা প্ল্যাটফর্ম সেলাই সহ।

আচরণগত বিজ্ঞাপন ব্যবহার করে এবং একটি মুষ্টিমেয়র বেশি তৃতীয় পক্ষের পিক্সেল চালায় এমন একটি সাধারণ মধ্য-স্তরের প্রকাশকের সাইট একযোগে এই মানদণ্ডগুলির মধ্যে কমপক্ষে তিনটি পূরণ করবে। DPIA প্রয়োজন এই অনুমানটি বাস্তবে প্রায় নিশ্চিত। বেশ কয়েকটি জাতীয় ডেটা সুরক্ষা কর্তৃপক্ষ তাদের নিজস্ব বাধ্যতামূলক DPIA তালিকা প্রকাশ করেছে; ইতালীয় Garante, ফরাসি CNIL এবং জার্মান DSK সকলেই প্রোগ্রামেটিক বিজ্ঞাপন এবং ক্রস-সাইট প্রোফাইলিংকে ডিফল্ট DPIA ট্রিগার হিসেবে নাম দিয়েছে।

DPIA নথিতে কী থাকতে হবে

Article 35(7) চারটি বাধ্যতামূলক বিষয়বস্তু নির্ধারণ করে। এগুলির যেকোনো একটি অনুপস্থিত এমন DPIA নিয়ন্ত্রকদের দ্বারা মোটেই সম্পন্ন হয়নি বলে বিবেচিত হয়।

প্রক্রিয়াকরণের একটি পদ্ধতিগত বিবরণ

এটি একটি এক-অনুচ্ছেদের সারাংশ নয়। বিবরণটি প্রক্রিয়াকৃত ব্যক্তিগত ডেটার প্রতিটি বিভাগ, প্রতিটি উদ্দেশ্য, প্রতিটি প্রাপক, প্রতিটি ধারণ সময়কাল এবং প্রতিটি ক্রস-বর্ডার স্থানান্তর কভার করতে হবে। একটি বিজ্ঞাপন-প্রযুক্তি প্রবাহের জন্য এর মানে হল আপনার TCF স্ট্রিংয়ের প্রতিটি বিক্রেতা তালিকাভুক্ত করা, প্রতিটি যে ডেটা পায় এবং প্রতিটির জন্য দাবি করা আইনি ভিত্তি। যে প্রকাশকরা TCF v2.2 বিক্রেতা তালিকাটি সরাসরি DPIA পরিশিষ্টে কপি করেছেন তারা কার্যকর নথি তৈরি করেছেন; যারা দুটি বাক্যে সংক্ষিপ্ত করেছেন তারা করেননি।

প্রয়োজনীয়তা এবং আনুপাতিকতার মূল্যায়ন

প্রয়োজনীয়তা জিজ্ঞেস করে যে একই উদ্দেশ্য কম ডেটা দিয়ে বা অ-ব্যক্তিগত ডেটা দিয়ে অর্জন করা যায় কিনা। একটি আচরণগত-বিজ্ঞাপন প্রবাহের জন্য এর মানে হল সৎভাবে সমাধান করা যে প্রাসঙ্গিক বিজ্ঞাপন একই উদ্দেশ্য পূরণ করবে কিনা। EDPB Opinion 28/2024 স্পষ্ট যে একটি DPIA একটি লাইনে প্রাসঙ্গিক বিজ্ঞাপন বরখাস্ত করতে পারে না — নিয়ন্ত্রককে প্রদর্শন করতে হবে যে বিকল্পটি বিবেচনা করা হয়েছিল এবং কেন এটি প্রত্যাখ্যান করা হয়েছিল তা ব্যাখ্যা করতে হবে।

ডেটা বিষয়ের ঝুঁকির মূল্যায়ন

ঝুঁকি বিশ্লেষণে অবৈধ অ্যাক্সেস, অননুমোদিত প্রকাশ, পরিবর্তন, ক্ষতি এবং প্রোফাইলিংয়ের বিস্তৃত সামাজিক ঝুঁকিগুলি বিবেচনা করতে হবে — প্রতিবন্ধক প্রভাব, বৈষম্য, লক-ইন। প্রতিটি চিহ্নিত ঝুঁকির জন্য মূল্যায়নে সম্ভাবনা, তীব্রতা এবং প্রশমনের পরে অবশিষ্ট স্তর উল্লেখ করতে হবে।

ঝুঁকিগুলি মোকাবেলার জন্য নেওয়া ব্যবস্থা

এখানে সম্মতি ব্যবস্থাপনা প্ল্যাটফর্ম DPIA-তে উপস্থিত হয়। দানাদার সম্মতি ক্যাপচার, বিক্রেতা-দ্বারা-বিক্রেতা অপ্ট-আউট, সহজ প্রত্যাহার, ধারণ সীমা, ট্রানজিটে এবং বিশ্রামে এনক্রিপশন, ডেটা প্রসেসরদের উপর চুক্তিগত সুরক্ষা — প্রতিটি ব্যবস্থা একটি নির্দিষ্ট চিহ্নিত ঝুঁকির সাথে যুক্ত থাকতে হবে। প্রকাশক একটি CMP ব্যবহার করেন এমন একটি সাধারণ বিবৃতি একটি ব্যবস্থা নয়।

ডেটা সুরক্ষা কর্মকর্তার ভূমিকা

Article 35(2) নিয়ন্ত্রককে DPIA পরিচালনা করার সময় DPO-এর পরামর্শ নিতে বাধ্য করে। একটি মনোনীত DPO সহ প্রকাশকদের জন্য এটি সরল। DPO ছাড়া ছোট প্রকাশকদের জন্য, DPIA এখনও সম্পন্ন করা যায় তবে এটি নথিভুক্ত বাহ্যিক পরামর্শের সাথে — বাইরের আইনজীবী, শিল্প পরামর্শদাতা বা CMP বিক্রেতার সম্মতি দলের সাথে সম্পন্ন করতে হবে। DPO-এর ভূমিকা হল নিয়ন্ত্রকের প্রয়োজনীয়তা বিশ্লেষণকে চ্যালেঞ্জ করা, রাবার-স্ট্যাম্প করা নয়।

কখন পূর্ব পরামর্শ প্রয়োজন

Article 36 তদারকি কর্তৃপক্ষের সাথে পূর্ব পরামর্শ প্রয়োজন যেখানে DPIA দেখায় যে প্রক্রিয়াকরণ একটি উচ্চ ঝুঁকির ফলাফল হবে যা নিয়ন্ত্রক হ্রাস করতে পারে না। বাস্তবে এটি কুকি ও সম্মতি প্রবাহের জন্য বিরল — বেশিরভাগ ঝুঁকি দানাদার সম্মতি, বিক্রেতা হ্রাস, ধারণ সীমা এবং চুক্তিগত সুরক্ষার মাধ্যমে হ্রাস করা যায়। কিন্তু এটি শূন্য নয়। ২০২৪ এবং ২০২৫ সালে পূর্ব পরামর্শ ট্রিগার করা দুটি ঘটনা: TCF ইন্টিগ্রেশন ছাড়াই মোতায়েন করা ফিঙ্গারপ্রিন্টিং-ভিত্তিক আইডেন্টিফায়ার, এবং প্রথম-পক্ষ ডেটার সাথে তৃতীয়-পক্ষ ডেটা ব্রোকারদের সংযুক্ত করে এমন ক্রস-ডিভাইস আইডেন্টিটি গ্রাফ। এই যেকোনো প্যাটার্ন অন্বেষণকারী প্রকাশকদের ছয় থেকে বারো সপ্তাহের পরামর্শ সময়রেখার পরিকল্পনা করা উচিত।

তদন্তে নিয়ন্ত্রকরা কীভাবে DPIA ব্যবহার করেন

কুকি অভিযোগ আনুষ্ঠানিক তদন্ত পর্যায়ে পৌঁছালে DPIA হল একমাত্র নথি যা একজন নিয়ন্ত্রক প্রথমে চান। ইতালীয় Garante, ফরাসি CNIL, বেলজিয়ান APD এবং বাভারিয়ান BayLDA সকলেই প্রশ্নবিদ্ধ কার্যকলাপ কভারকারী DPIA-র অনুরোধ দিয়ে তাদের পদ্ধতিগত ফাইল খোলে। সাম্প্রতিক সিদ্ধান্ত থেকে তিনটি প্যাটার্ন উঠে আসে:

দেরিতে তৈরি DPIA ব্যাপকভাবে ছাড় দেওয়া হয়

নিয়ন্ত্রকের অনুরোধের পরে তারিখ করা DPIA প্রাক-লঞ্চ মূল্যায়নের প্রমাণ হিসেবে বিবেচিত হবে না। বেশ কয়েকটি ২০২৫ সিদ্ধান্ত স্পষ্টভাবে উল্লেখ করেছে যে নথিটি পোস্ট-হক তৈরি করা হয়েছিল এবং সেই অনুযায়ী ওজন করা হয়েছিল। DPIA-কে প্রক্রিয়াকরণের লঞ্চের আগে হতে হবে, এবং নথির মেটাডেটা বা সংস্করণ ইতিহাস তা স্পষ্ট করা উচিত।

সাধারণ DPIA অনুপস্থিত হিসেবে বিবেচিত হয়

সাইট-নির্দিষ্ট বিশ্লেষণ ছাড়া CMP বিক্রেতার পোর্টাল থেকে কপি করা টেমপ্লেট DPIA ক্রমবর্ধমানভাবে প্রত্যাখ্যাত হচ্ছে। একটি ইতালীয় প্রকাশক গ্রুপের বিরুদ্ধে ২০২৫ Garante সিদ্ধান্ত সুযোগের মধ্যে নয়টি সাইটের মধ্যে ছয়টির নাম দিয়েছিল এবং দেখেছিল যে সেগুলি সবকটিকে কভার করে একটি একক ভাগ করা DPIA Article 35 পূরণ করেনি।

প্রশমন ব্যবস্থাগুলি অবশ্যই প্রকৃতপক্ষে মোতায়েন করা ব্যবস্থার সাথে মেলে

যদি DPIA ৬০-দিনের কুকি ধারণ বর্ণনা করে কিন্তু মোতায়েন করা কুকিগুলি ২৪-মাসের আয়ু ব্যবহার করে, তবে নিয়ন্ত্রক DPIA-কে ভুল হিসেবে বিবেচনা করবেন। DPIA বিবরণের বিপরীতে মোতায়েন করা কনফিগারেশনের ত্রৈমাসিক নিরীক্ষা আর ঐচ্ছিক নয়।

সব একসাথে রাখা

বেশিরভাগ প্রকাশকের জন্য ব্যবহারিক উত্তর একই: একটি DPIA প্রয়োজন, যেকোনো নতুন ট্র্যাকিং চালু করার আগে এটি খসড়া করা উচিত এবং মোতায়েন করা কনফিগারেশনের বিপরীতে ত্রৈমাসিকভাবে পর্যালোচনা করা উচিত। নথিটি দীর্ঘ হওয়ার দরকার নেই, তবে এটি অবশ্যই সাইটের জন্য নির্দিষ্ট হতে হবে, লঞ্চের আগে লেখা, DPO বা নথিভুক্ত বাহ্যিক উপদেষ্টা দ্বারা স্বাক্ষরিত, এবং উৎপাদনে প্রকৃতপক্ষে চলছে তার সাথে সংযুক্ত হতে হবে। যে প্রকাশকরা সেই চারটি পয়েন্ট সঠিকভাবে পান তারা DPIA-কে একটি সম্মতির বোঝা থেকে নিয়ন্ত্রক জিজ্ঞেস করতে আসলে সবচেয়ে শক্তিশালী প্রতিরক্ষায় পরিণত করেন।