দূরবর্তী কাজ ও GDPR: প্ল্যাটফর্ম ফাঁকের সমস্যা
২০২৬ সালে আপডেট করা হয়েছে।
বেশিরভাগ GDPR প্রোগ্রাম অফিসের জন্য তৈরি হয়েছিল। সব কর্মচারী পরিচালিত ডেস্কটপ ব্যবহার করতেন। IT প্রতিটি মেশিনে একটি কনফিগ সেট করত। সেটআপ একসমান ছিল।
দূরবর্তী ও হাইব্রিড কাজ সেটা পরিবর্তন করেছে। আজ, একই ব্যক্তি সোমবার অফিস ওয়ার্কস্টেশন থেকে এবং শুক্রবার বাড়ির ল্যাপটপ থেকে ব্যক্তিগত তথ্য প্রক্রিয়া করতে পারেন। GDPR বাধ্যবাধকতা অবস্থান অনুসারে পরিবর্তিত হয় না। প্রযুক্তিগত নিয়ন্ত্রণ প্রায়শই পরিবর্তিত হয়।
কেন অবস্থান একটি ফাঁক তৈরি করে
GDPR Article 32 স্পষ্ট: সংস্থাগুলোকে ব্যক্তিগত তথ্য সুরক্ষার জন্য উপযুক্ত প্রযুক্তিগত ব্যবস্থা প্রয়োগ করতে হবে। নিয়মটি "অফিসে" বলে না। তথ্য যেখানেই প্রক্রিয়া হোক সেখানেই এটি প্রযোজ্য।
যখন অফিস এবং দূরবর্তী টুলগুলো আলাদা হয়, নিয়ন্ত্রণগুলোও আলাদা হয়। সেই ফাঁকটিই সম্মতির সমস্যা।
বেশিরভাগ দলের মধ্যে এখন চারটি কাজের ধরন বিদ্যমান।
- IT-ডিপ্লয়কৃত সফ্টওয়্যার সহ পরিচালিত ওয়ার্কস্টেশনে অফিস কর্মীরা।
- বাড়ির হার্ডওয়্যারে দূরবর্তী কর্মীরা — কোম্পানি-পরিচালিত বা BYOD।
- সীমিত কনফিগ নিয়ন্ত্রণ সহ যেকোনো কাছের ডিভাইসে মোবাইল কর্মীরা।
- প্রতি সপ্তাহে উভয়ের মধ্যে স্যুইচ করা হাইব্রিড কর্মীরা।
প্রতিটি পরিবেশে ভিন্ন টুল, ভিন্ন সংস্করণ এবং ভিন্ন সেটিংস চলতে পারে। GDPR Article 32 চারটিতেই প্রযোজ্য।
আদালতগুলো এখন কী আশা করে
আদালতগুলো স্পষ্ট করেছে যে শুধু নীতিমালা GDPR Article 32 পূরণ করে না। পরিচালনামূলক প্রযুক্তিগত নিয়ন্ত্রণের প্রমাণ প্রয়োজন।
কর্মচারীদের AI টুল ব্যবহারের আগে তথ্য বেনামীকরণ করতে বলে একটি নীতি একটি প্রযুক্তিগত নিয়ন্ত্রণ নয়। বেনামীকরণ ঘটায় এমন ব্যবস্থাই হলো নিয়ন্ত্রণ। যদি সেই ব্যবস্থা অফিস এবং দূরবর্তী পরিবেশ জুড়ে সামঞ্জস্যপূর্ণভাবে ডিপ্লয় না করা হয়, নিয়ন্ত্রণটি ব্যর্থ হয়। অসামঞ্জস্যপূর্ণ নিয়ন্ত্রণ সম্মতির নিয়ন্ত্রণ নয়।
চারটি ক্ষেত্র যেখানে সামঞ্জস্যতা বজায় রাখতে হবে
PII বেনামীকরণ টুলের জন্য, অবস্থান জুড়ে সামঞ্জস্যতা চারটি বিষয় মানে।
এনটিটি কভারেজ: অফিসে এবং বাড়িতে একই এনটিটি টাইপ সনাক্ত করা হয়। মোটামুটি একই নয় — ঠিক একই। ভিন্ন সনাক্তকরণ ইঞ্জিন মানে কভারেজ সমান প্রমাণ করা যায় না।
আত্মবিশ্বাস থ্রেশহোল্ড: একই থ্রেশহোল্ড উভয় জায়গায় স্বয়ংক্রিয় বেনামীকরণ ট্রিগার করে। অফিসে ৮৭% আত্মবিশ্বাসে ফ্ল্যাগ করা একটি এনটিটি বাড়িতে শুধু সতর্কতা পাওয়া উচিত নয়।
প্রিসেট কনফিগারেশন: সম্মতি দলের "GDPR Standard" প্রিসেট উভয় পরিবেশে প্রযোজ্য। সার্ভার-সাইড স্টোরেজ মানে পরিবর্তনগুলো একই সময়ে প্রতিটি অ্যাক্সেস পয়েন্টে পৌঁছায়।
অডিট ট্রেইল: বাড়ি থেকে এবং অফিস থেকে প্রক্রিয়াকরণ একটি কেন্দ্রীভূত লগে দেখা যায়। পরে মিলিয়ে দেখার জন্য কোনো পৃথক দূরবর্তী লগ নেই।
Desktop বনাম ওয়েব অ্যাপের ঝুঁকি
অনেক সংস্থা অফিস ব্যবহারকারীদের জন্য একটি ডেস্কটপ অ্যাপ এবং দূরবর্তী কর্মচারীদের জন্য একটি ওয়েব অ্যাপ ডিপ্লয় করে। একই বিক্রেতার থেকে হলেও, এই দুটি পণ্য বিচ্যুত হতে পারে।
- আপডেট চক্র আলাদা। ডেস্কটপ অ্যাপ ওয়েব অ্যাপের চেয়ে বেশ কয়েকটি সংস্করণ পিছিয়ে থাকতে পারে।
- কনফিগ ইনহেরিটেন্স ভেঙে যেতে পারে। ওয়েব অ্যাপে আপডেট করা একটি প্রিসেট ডেস্কটপে নাও পৌঁছাতে পারে।
- লগিং বিভক্ত হতে পারে। ডেস্কটপ অ্যাপ স্থানীয় লগ লিখতে পারে যখন ওয়েব অ্যাপ কেন্দ্রীয়ভাবে লগ করে।
সম্মতির পরীক্ষা সরল: আপনি কি দেখাতে পারেন যে প্রতিটি ডকুমেন্টে একই সনাক্তকরণ চলেছে? যদি উত্তরের জন্য দুটি ভিন্ন লগ ফরম্যাট একত্রিত করতে হয়, নিয়ন্ত্রণগুলো একাট্টা নয়।
প্ল্যাটফর্ম-অজ্ঞেয়সিস্টিক কভারেজ কীভাবে কাজ করে
ব্যবহারিক উত্তর হলো প্রতিটি ইন্টারফেস ব্যবহার করে এমন একটি সার্ভার-সাইড সনাক্তকরণ API। ডেস্কটপ অ্যাপ, ওয়েব অ্যাপ এবং ব্রাউজার এক্সটেনশন সবই একই ইঞ্জিন কল করে। একটি মডেল চলে। ফলাফল সর্বত্র একই।
এই পদ্ধতি চারটি সামঞ্জস্যতার ক্ষেত্র পরিচালনা করে।
- সনাক্তকরণ সার্ভারে চলে। কভারেজ ইন্টারফেস জুড়ে অভিন্ন।
- থ্রেশহোল্ড একবার সেট করা হয় এবং API দ্বারা প্রয়োগ করা হয়। কোনো প্রতি-ক্লায়েন্ট বিচ্যুতি নেই।
- প্রিসেট সার্ভার-সাইডে থাকে। প্রতিটি ইন্টারফেস রানটাইমে সেগুলো লোড করে।
- সব ইভেন্ট একটি অডিট ডেটাবেসে যায়। একটি কোয়েরি পুরো দল কভার করে।
IT একই প্রিসেটের সাথে ডেস্কটপ অ্যাপের মতো দূরবর্তী কর্মচারীদের কাছে ব্রাউজার এক্সটেনশন ডিপ্লয় করে। একটি কনফিগারেশন ডকুমেন্ট সব পরিবেশ কভার করে।
এন্টারপ্রাইজ দলের কেস স্টাডি
৩৫ জনের একটি সম্মতি দল একটি অভ্যন্তরীণ অডিটের সময় একটি প্ল্যাটফর্ম ফাঁক খুঁজে পেয়েছিল। দলে মিউনিখে ২০ জন কর্মচারী এবং ১৫ জন দূরবর্তী কর্মচারী ছিলেন।
মিউনিখ অফিস IT-পরিচালিত মেশিনে একটি ডেস্কটপ অ্যাপ চালাত। দূরবর্তী কর্মচারীরা একটি ওয়েব অ্যাপ ব্যবহার করতেন। একটি অডিট সময়কালীন পর্যালোচনায় দেখা গেছে ডেস্কটপ অ্যাপ একটি পুরানো NLP মডেল চালাচ্ছিল। দুটি ডকুমেন্ট — একটি প্রতিটি প্ল্যাটফর্মে প্রক্রিয়াকৃত — ভিন্ন ফলাফল দিয়েছে একই ইনপুটের জন্য।
দলটি একটি একীভূত API-প্রথম প্ল্যাটফর্মে স্থানান্তরিত হয়েছিল। ডেস্কটপ অ্যাপ, ওয়েব অ্যাপ এবং ব্রাউজার এক্সটেনশন সব একটি কেন্দ্রীয় সনাক্তকরণ API কল করে। পরবর্তী DPA অনুরোধে, দল একটি কোয়েরি থেকে পুরো দলের সব প্রক্রিয়াকরণ ইতিহাস সরবরাহ করতে পেরেছিল।