ডেটা-ব্রিচ রিপোর্টের জন্য একক EU টেমপ্লেটের প্রস্তাব EDPB-এর

ইউরোপীয় ডেটা সুরক্ষা বোর্ড ব্যক্তিগত-ডেটা লঙ্ঘন রিপোর্ট করার জন্য একটি অভিন্ন ফর্মের 1.0 সংস্করণ অনুমোদন করেছে। প্রস্তাবটি 5 August 2026 পর্যন্ত জনসাধারণের মতামতের জন্য উন্মুক্ত থাকবে। এরপর জাতীয় তদারকি কর্তৃপক্ষগুলো বাস্তবে কখন এটি ব্যবহার শুরু করবে, সে বিষয়ে EDPB সিদ্ধান্ত নেবে বলে আশা করা হচ্ছে, জানিয়েছে Aisa International।

এই উদ্যোগের লক্ষ্য EU-এর সদস্য রাষ্ট্রগুলোর ডেটা-সুরক্ষা কর্তৃপক্ষগুলোর ব্যবহৃত বিভিন্ন রিপোর্টিং ফরম্যাটের পরিবর্তে একটি অভিন্ন ব্যবস্থা চালু করা। এখন পর্যন্ত প্রতিষ্ঠানগুলো লঙ্ঘনের রিপোর্ট করার সময়—Czech Office for Personal Data Protection-এর সঙ্গে যোগাযোগের ক্ষেত্রেও—ভিন্ন ভিন্ন কাঠামো ও শর্তের মুখোমুখি হয়েছে। একটি অভিন্ন ফর্ম ডেটা কন্ট্রোলারদের কোনো ঘটনার বিবরণ উপস্থাপনের জন্য একক কাঠামো দেবে।

টেমপ্লেটটি বিস্তৃত। এতে প্রতিষ্ঠানগুলোকে কী ঘটেছে, কখন ঘটেছে, কারা ক্ষতিগ্রস্ত হয়েছে, ঝুঁকি কীভাবে মূল্যায়ন করা হয়েছে এবং এর প্রতিক্রিয়ায় কী পদক্ষেপ নেওয়া হয়েছে—এসব বর্ণনা করতে বলা হয়েছে। ঘোষিত লক্ষ্য হলো প্রক্রিয়াটিকে আরও সামঞ্জস্যপূর্ণ ও সহজে অনুসরণযোগ্য করা, বিশেষত ছোট প্রতিষ্ঠানগুলোর জন্য, যাদের বিশেষজ্ঞ আইনি দল নাও থাকতে পারে। একই সময়ে, প্রয়োজনীয় বিস্তারিত তথ্যের মাত্রার কারণে ব্যবসাগুলোকে নির্ভরযোগ্য ঘটনার রেকর্ড এবং প্রযুক্তিগত ও আইনি তথ্যের দ্রুত প্রবেশাধিকার রাখতে হবে।

প্রস্তাবিত ফর্মে কী কী থাকবে

নথিটি সাতটি বিস্তৃত অংশে বিভক্ত। প্রথম অংশটি দাখিলের অবস্থার সঙ্গে সম্পর্কিত: কোনো প্রতিষ্ঠানকে জানাতে হবে, এটি প্রাথমিক রিপোর্ট দাখিল করছে, আগের রিপোর্ট হালনাগাদ করছে, নাকি আগের কোনো বিজ্ঞপ্তি প্রত্যাহার করছে।

দ্বিতীয় অংশে প্রতিষ্ঠানের পরিচয় ও ভূমিকা নথিবদ্ধ করা হয়। এতে A থেকে V পর্যন্ত শ্রেণিবিন্যাস ব্যবহার করে সংশ্লিষ্ট অর্থনৈতিক খাত এবং সংশ্লিষ্ট প্রতিষ্ঠানের ধরন অন্তর্ভুক্ত রয়েছে। এই ফর্মে কন্ট্রোলারদের ঘটনার সঙ্গে যুক্ত প্রসেসর এবং যেকোনো যৌথ কন্ট্রোলারকেও শনাক্ত করতে হবে।

সময়রেখা-সংক্রান্ত অংশে লঙ্ঘন কখন ঘটেছে এবং কখন তা শনাক্ত হয়েছে—তারিখ ও সময় জানতে চাওয়া হয়েছে। বিধিবদ্ধ 72-hour সময়সীমার পরে বিজ্ঞপ্তি দাখিল করা হলে প্রতিষ্ঠানকে বিলম্বের কারণ ব্যাখ্যা করতে হবে। এতে অভ্যন্তরীণ ঘটনার লগ সংরক্ষণের মান বিশেষ গুরুত্বপূর্ণ হয়ে ওঠে, কারণ রিপোর্ট করার সময় গণনা নির্ভর করে শনাক্তকরণের সময় এবং প্রতিষ্ঠানের নিজস্ব দায়বদ্ধতা মূল্যায়নের ওপর।

এরপর প্রস্তাবিত ফর্মে প্রতিষ্ঠানগুলোকে লঙ্ঘনের ধরন শ্রেণিবদ্ধ করতে বলা হয়েছে। গোপনীয়তা, অখণ্ডতা বা প্রাপ্যতা—কোনটি ক্ষতিগ্রস্ত হয়েছে তা তাদের জানাতে হবে এবং দায়ী ব্যক্তি বা পক্ষের পরিচয় জানা থাকলে অভ্যন্তরীণ না বাহ্যিক কোনো ক্ষতিকর কার্যকলাপকারী এর জন্য দায়ী ছিল কি না, তা উল্লেখ করতে হবে।

আরেকটি অংশে ক্ষতিগ্রস্ত ব্যক্তি ও তথ্যের ওপর গুরুত্ব দেওয়া হয়েছে। কর্মী, গ্রাহক, শিশু বা ঝুঁকিপ্রবণ ব্যক্তিদের মতো সংশ্লিষ্ট ডেটা-সাবজেক্টের শ্রেণিগুলো প্রতিষ্ঠানকে শনাক্ত করতে হবে এবং সংশ্লিষ্ট রেকর্ডের সংখ্যা জানাতে হবে। সংখ্যা তখনও নিশ্চিত না হলে ফর্মটি আনুমানিক হিসাবের ভিত্তিতে প্রাথমিক দাখিলের সুযোগ দেয়। পরে ফলো-আপ বিজ্ঞপ্তির মাধ্যমে ওই রিপোর্ট সংশোধন করা যাবে।

প্রমাণ, ঝুঁকি ও আন্তসীমান্ত ঘটনা

ঝুঁকি-মূল্যায়ন অংশে ব্যক্তিদের ওপর সম্ভাব্য প্রভাব কীভাবে প্রতিষ্ঠানটি বিচার করেছে, তার ব্যাখ্যা দিতে হবে। ইতিমধ্যে চালু থাকা সুরক্ষা ব্যবস্থার তথ্যও এতে চাওয়া হয়েছে, যার মধ্যে encryption এবং multifactor authentication-এর মতো পদক্ষেপ রয়েছে।

শেষ অংশে একাধিক European Economic Area দেশে ছড়িয়ে থাকা ঘটনা এবং সহায়ক নথিপত্রের বিষয়টি অন্তর্ভুক্ত রয়েছে। Aisa International যে উদাহরণগুলো চিহ্নিত করেছে, তার মধ্যে রয়েছে ঝুঁকি-মূল্যায়ন, ক্ষতিগ্রস্ত ব্যক্তিদের পাঠানো বার্তা, phishing email এবং ransomware note। এসব শর্তের অর্থ হলো, বিজ্ঞপ্তি কেবল ঘটনার সংক্ষিপ্ত বিবরণে সীমাবদ্ধ থাকবে না; কর্তৃপক্ষ প্রতিষ্ঠানটি কীভাবে তদন্ত করেছে এবং প্রতিক্রিয়া জানিয়েছে, তার প্রমাণস্বরূপ নথিও চাইতে পারে।

বাইরের কোনো পরিষেবা প্রদানকারীর কাছে লঙ্ঘন ঘটলেও দায়িত্ব ডেটা কন্ট্রোলারের ওপর থেকে যেতে পারে। প্রস্তাবিত ফর্মে প্রসেসর ও যৌথ কন্ট্রোলার নথিবদ্ধ করার শর্তটি এই ভূমিকা-বণ্টনের প্রতিফলন। কোনো প্রতিষ্ঠান ধরে নিতে পারে না যে ডেটা প্রসেসিংয়ের কাজ অন্য প্রতিষ্ঠানের কাছে দেওয়ার ফলে তার নিজস্ব রিপোর্ট করার দায়িত্বও শেষ হয়ে গেছে।

ফর্মটি এ কথাও স্বীকার করে যে 72 hours-এর মধ্যে ক্ষতিগ্রস্ত ব্যক্তির সঠিক সংখ্যা কোনো কন্ট্রোলারের জানা নাও থাকতে পারে। প্রাপ্ত আনুমানিক হিসাব ব্যবহার করে একটি অসম্পূর্ণ বিজ্ঞপ্তি দাখিল করা যাবে; তদন্তে আরও নির্ভরযোগ্য সংখ্যা পাওয়ার পর অতিরিক্ত তথ্য জমা দেওয়া যাবে। এতে প্রতিটি তথ্য নিশ্চিত না হওয়া পর্যন্ত অপেক্ষা না করে প্রতিষ্ঠানগুলো প্রাথমিক সময়সীমা পূরণের সুযোগ পাবে।

এখনও বাস্তবায়নের তারিখ নির্ধারিত নয়

মতামত জানানোর শেষ তারিখ 5 August 2026। EDPB পরবর্তী পদক্ষেপ নির্ধারণ না করা পর্যন্ত, অভিন্ন টেমপ্লেটটি জাতীয় কর্তৃপক্ষ বা প্রতিষ্ঠানগুলোর জন্য কবে বাধ্যতামূলক হবে—নিবন্ধটি সে বিষয়ে কোনো চূড়ান্ত তারিখ জানায় না। তাই প্রস্তাবিত ফর্মে চাওয়া তথ্যগুলো তাদের লঙ্ঘন-প্রতিক্রিয়া প্রক্রিয়ায় কীভাবে নথিবদ্ধ হয়, তা পর্যালোচনা করার জন্য ব্যবসাগুলোর হাতে সময় রয়েছে।

Aisa International জানিয়েছে, তারা ক্লায়েন্টদের হয়ে লঙ্ঘনের বিজ্ঞপ্তি সম্পন্ন করে না, ফাঁস হওয়া তথ্যের ম্যানুয়াল রেকর্ড রাখে না বা custodian transaction report-এর সঙ্গে মিলিয়ে দেখে না। প্রতিষ্ঠানটি তাদের ভূমিকা কৌশলগত কমপ্লায়েন্স তদারকি হিসেবে বর্ণনা করেছে এবং বলেছে, প্রযুক্তিগত তদন্ত ও রিপোর্টিং বিশেষজ্ঞ information-security এবং legal adviser-দের হাতে থাকা উচিত।

প্রকাশক প্রস্তাবিত ফর্মটিকে ডিজিটাল ঝুঁকির ওপর আরও কাঠামোবদ্ধ তদারকির দিকে বৃহত্তর পরিবর্তনের অংশ হিসেবে উপস্থাপন করেছে। প্রতিষ্ঠানগুলোর জন্য এর বাস্তব তাৎপর্য হলো, সংকটের সময় তাৎক্ষণিকভাবে ব্যবস্থা নেওয়ার ওপর בלבד লঙ্ঘন মোকাবিলার প্রস্তুতি নির্ভর করতে পারে না। অভিন্ন রিপোর্টিং ব্যবস্থা এগিয়ে গেলে সঠিক সময়রেখা, প্রসেসরদের দায়িত্ব সম্পর্কে স্পষ্টতা, নথিবদ্ধ ঝুঁকি-মূল্যায়ন এবং সংরক্ষিত প্রমাণ—সবই প্রয়োজন হতে পারে।

Aisa International-এর নিবন্ধে বলা হয়েছে, তাদের তথ্য সাধারণ প্রকৃতির, ব্যক্তিবিশেষের জন্য পরামর্শ নয়, এবং সতর্ক করা হয়েছে যে আইন পরিবর্তিত হতে পারে। কোনো নির্দিষ্ট ক্ষেত্রে এই প্রস্তাবের ওপর নির্ভর করার আগে যোগ্য পরামর্শদাতা ও সরকারি সূত্র থেকে হালনাগাদ নির্দেশনা নেওয়ার সুপারিশ করেছে তারা।