ফিলিপাইন ডেটা প্রাইভেসি আইন ২০১২: ২০২৬ সালে প্রকাশকদের জন্য কুকি সম্মতি কমপ্লায়েন্স গাইড
ফিলিপাইন ২০১২ সালে তার Data Privacy Act পাস করেছিল — GDPR গৃহীত হওয়ার চার বছর আগে এবং এমন এক সময়ে যখন বেশিরভাগ এশিয়ান এখতিয়ার এখনও ব্যাপক গোপনীয়তা আইন ছাড়াই পরিচালিত হচ্ছিল। Republic Act 10173 National Privacy Commission (NPC)-কে একটি স্বাধীন সংস্থা হিসেবে প্রতিষ্ঠা করে এবং দেশটিকে দক্ষিণ-পূর্ব এশিয়ার প্রথম GDPR-ধাঁচের কাঠামোগুলির মধ্যে একটি দেয়। আইনটির কাঠামো চমৎকারভাবে টিকে আছে — এর মূল নীতি, আইনি ভিত্তি এবং অধিকারের কাঠামো ইউরোপীয় মানের সাথে পরিষ্কারভাবে মিলে যায় — তবে কার্যচালনার বিস্তারিত বিষয়গুলি আইনি সংশোধনের পরিবর্তে NPC সার্কুলারের মাধ্যমে ব্যাপকভাবে আপডেট করা হয়েছে। ফিলিপিনো ট্র্যাফিক পরিষেবা দেওয়া প্রকাশক ও SaaS অপারেটরদের জন্য এর মানে হল আইনটি নিজেই উচ্চ-স্তরের সাংবিধানিক পাঠ্য, কিন্তু সম্মতি, লঙ্ঘন বিজ্ঞপ্তি, সংবেদনশীল ব্যক্তিগত তথ্য প্রক্রিয়াকরণ এবং অনলাইন ট্র্যাকিং বিষয়ক ২০২৪ পরামর্শমূলক নির্দেশিকায় NPC সার্কুলারেই কার্যচালনার মান রয়েছে। এই গাইডটি আইনটি কী প্রয়োজন, NPC অনলাইন ট্র্যাকিংয়ের জন্য এটি কীভাবে ব্যাখ্যা করেছে এবং ২০২৬ সালে ব্যবহারিক কমপ্লায়েন্স কাজ কোথায় মনোযোগ দেওয়া দরকার তা বর্ণনা করে।
Data Privacy Act-এর রূপরেখা
Data Privacy Act Section 11-তে পাঁচটি সাধারণ নীতির চারপাশে কাঠামোবদ্ধ — স্বচ্ছতা, আইনি উদ্দেশ্য, আনুপাতিকতা এবং সঠিক পরিচালনা — এবং Section 12-তে আইনি প্রক্রিয়াকরণের মানদণ্ডের জন্য আরও বিস্তারিত কাঠামো। আইনি ভিত্তিগুলি GDPR-কে প্রতিফলিত করে: সম্মতি, চুক্তি, আইনি বাধ্যবাধকতা, অত্যাবশ্যকীয় স্বার্থ, জনকার্য এবং বৈধ স্বার্থ। Section 6 অনুযায়ী আইনটির ভৌগোলিক সীমার বাইরে প্রসার রয়েছে: কন্ট্রোলার যেখানেই প্রতিষ্ঠিত হোক না কেন ফিলিপিনো নাগরিক বা বাসিন্দার ব্যক্তিগত তথ্য প্রক্রিয়াকরণে প্রযোজ্য, যা ফিলিপিনো ট্র্যাফিক পরিষেবা দেওয়া বিদেশী প্রকাশকদের অন্তর্ভুক্ত করে।
দুটি কাঠামোগত বৈশিষ্ট্য কার্যচালনার দিক থেকে গুরুত্বপূর্ণ। প্রথমত, আইনটি "ব্যক্তিগত তথ্য" এবং "সংবেদনশীল ব্যক্তিগত তথ্য" (Section 3, অনুচ্ছেদ (g) এবং (l)) এর মধ্যে পার্থক্য করে এবং পরেরটির জন্য আরও কঠোর প্রক্রিয়াকরণ নিয়ম প্রয়োগ করে — স্বাস্থ্য, শিক্ষা, আর্থিক তথ্য এবং সরকার-প্রদত্ত পরিচয়পত্র Section 3(l) অনুযায়ী সংবেদনশীল হিসেবে বিবেচিত হয়। দ্বিতীয়ত, Section 21 নির্দিষ্ট সীমা অতিক্রম করা ব্যক্তিগত তথ্য কন্ট্রোলার ও প্রসেসরদের NPC-তে নিবন্ধন করতে এবং একজন ডেটা সুরক্ষা কর্মকর্তা DPO মনোনীত করতে বাধ্য করে। NPC অনিবন্ধিত কন্ট্রোলারদের সক্রিয়ভাবে অনুসরণ করেছে।
Data Privacy Act কুকি ও অনলাইন ট্র্যাকিং কীভাবে পরিচালনা করে
আইনটিতে কুকি-নির্দিষ্ট বিধান নেই। সম্মতি ও তথ্য প্রদানের বাধ্যবাধকতা আইনের Section 11, 12 এবং 16 এবং NPC-র অনলাইন ট্র্যাকিং ও আচরণগত বিজ্ঞাপন বিষয়ক ২০২৪ পরামর্শমূলক নির্দেশিকা থেকে উদ্ভূত হয়। পরামর্শমূলক নির্দেশিকাটি একটি দরকারী দলিল কারণ এটি সাধারণ কাঠামো থেকে অনুমান করার বদলে প্রত্যাশাগুলি স্পষ্টভাবে প্রকাশ করে।
অ-প্রয়োজনীয় ট্র্যাকিংয়ের জন্য ইতিবাচক সম্মতি
NPC-র অবস্থান হল সম্মতি স্বাধীনভাবে প্রদত্ত, নির্দিষ্ট, অবগত এবং লিখিত বা ইলেকট্রনিক রেকর্ড দ্বারা প্রমাণিত হতে হবে। ২০২৪ পরামর্শমূলক নির্দেশিকা স্ক্রোল করাকে সম্মতি হিসেবে এবং অব্যাহত ব্যবহারকে সম্মতি হিসেবে Section 3(b)-এর "নির্দিষ্ট" ও "অবগত" মানদণ্ড পূরণ না করায় প্রত্যাখ্যান করে। আগে থেকে চিহ্নিত বাক্সগুলি স্পষ্টতই ত্রুটিপূর্ণ হিসেবে গণ্য করা হয়।
বিস্তারিত বিভাগীয় নিয়ন্ত্রণ
পরামর্শমূলক নির্দেশিকা আশা করে যে ব্যানারগুলি ব্যবহারকারীকে স্বাধীনভাবে বিভাগগুলি গ্রহণ ও প্রত্যাখ্যান করতে দেবে। বিভাজন ছাড়া বান্ডেল "সবকিছু গ্রহণ" Section 11(d) অনুযায়ী আনুপাতিকতার নীতি লঙ্ঘন করে, যা প্রক্রিয়াকরণকে "পর্যাপ্ত, প্রাসঙ্গিক, উপযুক্ত, প্রয়োজনীয় এবং অতিরিক্ত নয়" হতে বলে — যখন বিভাজন প্রযুক্তিগতভাবে সহজ সেখানে একটি বান্ডেলড সম্মতি অতিরিক্ত হিসেবে বিবেচিত হয়।
DPO এবং নিবন্ধন প্রয়োজনীয়তা
নিবন্ধন সীমা অতিক্রম করা কন্ট্রোলারদের জন্য, DPO মনোনয়ন একটি কাগুজে নয়, বরং একটি অর্থবহ কার্যচালনার প্রয়োজনীয়তা। NPC বিশেষত BPO ও ফিনটেক খাতে বেশ কয়েকটি প্রয়োগমূলক পদক্ষেপে সঠিকভাবে মনোনীত DPO অনুপস্থিতি উদ্ধৃত করেছে।
আন্তঃসীমান্ত স্থানান্তর (Section 21)
আইনের আন্তঃসীমান্ত কাঠামো আউটসোর্সিং চুক্তি বিষয়ক NPC Circular 16-02 এবং বৃহত্তর জবাবদিহিতার নীতির মাধ্যমে বাস্তবায়িত হয়। ফিলিপাইনের বাইরের প্রাপকদের কাছে স্থানান্তরের জন্য হয় উপযুক্ত চুক্তিমূলক সুরক্ষা বা নির্দিষ্ট সম্মতি প্রয়োজন। NPC মডেল চুক্তিভিত্তিক বিধান জারি করেছে; আইনি ভাষা ভিন্ন হলেও ব্যবহারিক কার্যচালনার প্রত্যাশা GDPR-এর Chapter V-এর সাথে সাদৃশ্যপূর্ণ।
NPC-এর প্রয়োগকারী অবস্থান
NPC দক্ষিণ-পূর্ব এশিয়ার সর্বাধিক প্রকাশ্যে সক্রিয় ডেটা সুরক্ষা কর্তৃপক্ষগুলির মধ্যে একটি। তিনটি নিদর্শন এর প্রয়োগকারী পদ্ধতি নির্ধারণ করে।
উচ্চ-দৃশ্যমানতার লঙ্ঘন মামলা
NPC বড় আকারের লঙ্ঘন তদন্তকে অগ্রাধিকার দিয়েছে — ২০১৬ সালের COMELEC ভোটার রেজিস্ট্রি ফাঁস সবচেয়ে গুরুত্বপূর্ণ — এবং বৃহত্তর নিয়ন্ত্রিত সম্প্রদায়ের জন্য প্রত্যাশা নির্ধারণ করতে এই মামলাগুলি ব্যবহার করেছে। লঙ্ঘন তদন্তের সময় সরকারী বিবৃতি প্রায়শই কঠোর আইনি পাঠ্যের বাইরে চলে যাওয়া প্রয়োজনীয়তা প্রকাশ করে।
BPO ও ফিনটেক মনোযোগ
ফিলিপাইন বিশ্বের বৃহত্তম BPO ও কল-সেন্টার অর্থনীতিগুলির মধ্যে একটি, এবং NPC ঐতিহাসিকভাবে এই খাতগুলিতে প্রয়োগ মনোযোগ দিয়েছে। ফিলিপিনো ব্যবহারকারীদের লক্ষ্য করা বিজ্ঞাপন-সমর্থিত ব্যবসা পরিচালনাকারী প্রকাশকদের জন্য, দর্শকদের চারপাশের নিয়ন্ত্রক পরিবেশ BPO কমপ্লায়েন্স অবস্থান দ্বারা আকৃতি পায়, এমনকি যখন প্রকাশক নিজে সেই খাতে নেই।
ASEAN নিয়ন্ত্রকদের সাথে সমন্বয়
NPC ASEAN ডেটা ম্যানেজমেন্ট ফ্রেমওয়ার্ক কার্যধারায় অংশগ্রহণ করে এবং সিঙ্গাপুরের PDPC, থাইল্যান্ডের PDPC, ইন্দোনেশিয়ার উদীয়মান কর্তৃপক্ষ এবং EU-র EDPB-এর সাথে কার্যকরী সম্পর্ক বজায় রাখে। ফিলিপিনো ও ইউরোপীয় ট্র্যাফিক সংক্রান্ত আন্তঃসীমান্ত তদন্তগুলি ক্রমশ সমন্বিত পদ্ধতিতে পরিচালিত হচ্ছে।
ব্যবহারিক কমপ্লায়েন্স চেকলিস্ট
ফিলিপিনো ট্র্যাফিক পরিষেবা দেওয়া যেকোনো কুকি ব্যানারের জন্য উত্তর দেওয়ার ছয়টি সুনির্দিষ্ট প্রশ্ন।
- কন্ট্রোলার কি NPC-তে নিবন্ধিত? যদি প্রক্রিয়াকরণ নিবন্ধন সীমা অতিক্রম করে, NPC নিবন্ধন বর্তমান এবং DPO মনোনয়ন নথিভুক্ত কিনা নিশ্চিত করুন।
- প্রথম স্তরে স্পষ্ট প্রত্যাখ্যান আছে কি? প্রত্যাখ্যানের পথটি গ্রহণের মতো একই পৃষ্ঠে তুলনীয় গুরুত্বের সাথে থাকতে হবে। ২০২৪ পরামর্শমূলক নির্দেশিকা অনুযায়ী স্ক্রোল করা সম্মতি হিসেবে গণ্য হয় না।
- বিভাগগুলি কি বিস্তারিত? প্রয়োজনীয়, বিশ্লেষণাত্মক এবং বিপণন বিভাগগুলি আলাদাভাবে নিয়ন্ত্রণযোগ্য হতে হবে।
- সংবেদনশীল তথ্য কি বিশেষভাবে সীমাবদ্ধ? স্বাস্থ্য, আর্থিক বা সরকারি পরিচয়পত্র সংক্রান্ত ডেটা ক্যাপচার করা কুকির জন্য, সাধারণ বিপণন সম্মতি থেকে আলাদা স্পষ্ট অপ্ট-ইন নিশ্চিত করুন।
- আন্তঃসীমান্ত স্থানান্তর কি নথিভুক্ত? প্রতিটি ফিলিপাইনের বাইরের গন্তব্য এবং স্থানান্তর অনুমোদনকারী সুরক্ষা (চুক্তিভিত্তিক বিধান, স্পষ্ট সম্মতি বা ব্যতিক্রম) চিহ্নিত করুন।
- সম্মতির লগ কি অডিট-গ্রেড? Section 3(b) সম্মতি "লিখিত, ইলেকট্রনিক বা রেকর্ড করা উপায়ে প্রমাণিত" হওয়া প্রয়োজন বলে উল্লেখ করে — লগিং ঐচ্ছিক নয়।
বহু-এখতিয়ার স্তরে ফিলিপাইনের অবস্থান
ফিলিপাইন সিঙ্গাপুর, থাইল্যান্ড এবং ইন্দোনেশিয়ার পাশাপাশি ASEAN-এর চারটি সবচেয়ে কার্যচালনামূলকভাবে গুরুত্বপূর্ণ ডেটা সুরক্ষা ব্যবস্থার একটি। আইনটির ২০১২ সালের বয়স মানে এটি GDPR-এর আগে, কিন্তু NPC-র সার্কুলার-চালিত আধুনিকায়ন ক্রমশ কার্যচালনার মানকে ইউরোপীয় নিয়মের সাথে সামঞ্জস্যপূর্ণ করেছে। প্যান-ASEAN অপারেশন তৈরি করতে চাওয়া প্রকাশকদের জন্য, ফিলিপাইন অন্য তিনটি বাজারের পাশাপাশি দাঁড়িয়ে আছে যেখানে ইউরোপীয় মানে নির্মিত CMP আর্কিটেকচার দুটি নির্দিষ্ট সংযোজন সহ বেশিরভাগ কমপ্লায়েন্স সামলায়: সীমা প্রযোজ্য হলে NPC নিবন্ধন, এবং সংবেদনশীল-তথ্য সম্মতি স্তর যা ফিলিপাইনের কাঠামোকে আরও শিথিল আঞ্চলিক বিকল্পগুলি থেকে আলাদা করে। নিয়ন্ত্রক কাঠামোর ইংরেজি-ভাষার প্রকৃতি — ASEAN-এ অস্বাভাবিক — স্থানীয় পরামর্শদাতা না থাকা বিদেশী অপারেটরদের জন্য ফিলিপাইনকে একটি অসাধারণভাবে সহজলভ্য কমপ্লায়েন্স লক্ষ্যে পরিণত করে।