ভিয়েতনামে সম্মতি-সংক্রান্ত জরিমানা সর্বোচ্চ ৭ কোটি ডং, তথ্য লঙ্ঘনে আরও বড় দণ্ড

নীরবতাকে ব্যক্তিগত তথ্য ব্যবহারের সম্মতি হিসেবে গণ্য করা যাবে না

ভিয়েতনামের ডিক্রি নম্বর 330/2026/ND-CP, যা ২০২৬ সালের ১৯ আগস্ট থেকে কার্যকর, ব্যক্তিগত তথ্য সংগ্রহ বা প্রক্রিয়াকরণের সম্মতি হিসেবে কারও নীরবতাকে গণ্য করলে ৫ কোটি থেকে ৭ কোটি ডং জরিমানার বিধান করেছে। কেউ তথ্য প্রক্রিয়াকরণ বন্ধ বা সীমিত করার অনুরোধ জানানোর পর, কিংবা উপযুক্ত কর্তৃপক্ষ লিখিত নির্দেশ দেওয়ার পরও ইচ্ছাকৃতভাবে প্রক্রিয়াকরণ চালিয়ে গেলে একই জরিমানার বিধান প্রযোজ্য।

সম্মতি-সংক্রান্ত বিধানগুলো অনেক বিস্তৃত একটি দণ্ডব্যবস্থার অংশ। ব্যক্তিগত তথ্য বিদেশে স্থানান্তরের সঙ্গে জড়িত কিছু লঙ্ঘনের জন্য আগের বছরের রাজস্বের সর্বোচ্চ ৫ শতাংশ জরিমানা হতে পারে। ব্যক্তিগত তথ্য-সংক্রান্ত অন্যান্য লঙ্ঘনে জরিমানা ৩০০ কোটি ডং পর্যন্ত হতে পারে, আর বেআইনি তথ্য বাণিজ্যের ক্ষেত্রে লেনদেনের মূল্যের গুণিতক হিসেবে জরিমানা ধার্য হতে পারে।

২৬ আগস্ট প্রকাশিত সরকারের ডিক্রির বিস্তারিত বিবরণে চারটি অধ্যায় ও ৮২টি অনুচ্ছেদের একটি কাঠামোর কথা বলা হয়েছে। এতে সাইবার নিরাপত্তা, সামাজিক যোগাযোগমাধ্যম, তথ্যব্যবস্থা ও ব্যক্তিগত তথ্য সুরক্ষার বিষয় রয়েছে; প্রধান দণ্ড হিসেবে সতর্কতা ও জরিমানার বিধান রাখা হয়েছে।

অ্যাপ ব্যবহার, অনলাইনে কেনাকাটা বা বিজ্ঞাপনের বার্তা পাওয়া মানুষের জন্য মূল বিষয়টি হলো নিয়ন্ত্রণ: ব্যবসাপ্রতিষ্ঠানকে তাদের তথ্য ব্যবহারের বৈধ ভিত্তি থাকতে হবে, প্রাসঙ্গিক উদ্দেশ্য ব্যাখ্যা করতে হবে এবং তথ্য ব্যবহার বন্ধের অনুরোধ মানতে হবে। ব্যবসাপ্রতিষ্ঠানের ক্ষেত্রে জরিমানার পাশাপাশি কার্যক্রম স্থগিত, বেআইনিভাবে প্রক্রিয়াকৃত তথ্য মুছে ফেলা এবং বেআইনি আয় ফেরত দেওয়ার ঝুঁকিও রয়েছে।

সম্মতি কখন বৈধ বলে গণ্য হবে?

৪৩(১) অনুচ্ছেদে সম্মতি-সংক্রান্ত বিভিন্ন ব্যর্থতার জন্য ৩ কোটি থেকে ৫ কোটি ডং জরিমানার বিধান রয়েছে। এর মধ্যে আইন অনুযায়ী সম্মতি প্রয়োজন হলেও তা ছাড়া ব্যক্তিগত তথ্য প্রক্রিয়াকরণ, সম্মতিকে পূর্বনির্ধারিত বিকল্প হিসেবে রাখা এবং গ্রহণ বা প্রত্যাখ্যানের সিদ্ধান্ত নিয়ে বিভ্রান্তি তৈরি করে এমন অস্পষ্ট নির্দেশনা দেওয়া অন্তর্ভুক্ত।

ব্যবসাপ্রতিষ্ঠানকে স্পষ্ট, সুনির্দিষ্ট ও যাচাইযোগ্য উপায়ে সম্মতি নিতে হবে। কে, কখন এবং কোন বিষয়ে সম্মতি দিয়েছেন, তা প্রমাণ করতে সক্ষম হতে হবে। ব্যবহারকারীদের প্রতিটি প্রক্রিয়াকরণের উদ্দেশ্যের জন্য আলাদাভাবে সিদ্ধান্ত নেওয়ার সুযোগও দিতে হবে।

উদাহরণ হিসেবে, কোনো কেনাকাটার সেবার অর্ডার পূরণ করতে তথ্য প্রয়োজন হতে পারে। ডিক্রিতে ওই সেবা ব্যবহারের শর্ত হিসেবে ব্যক্তিগত তথ্যের অসংশ্লিষ্ট ব্যবহার গ্রহণে বাধ্য করার বিষয়টি বিবেচনা করা হয়েছে। সম্মত সেবা পেতে অতিরিক্ত উদ্দেশ্যগুলোও গ্রহণ করতে হবে, এমন নয়; সেগুলোর বিষয়ে ব্যক্তির আলাদা সিদ্ধান্ত নেওয়ার সুযোগ থাকা উচিত।

প্রক্রিয়াকৃত তথ্যের ধরন, উদ্দেশ্য, ব্যক্তির অধিকার ও দায়িত্ব এবং প্রক্রিয়াকরণ নিয়ন্ত্রণকারী সংস্থা সম্পর্কে অসম্পূর্ণ ব্যাখ্যাও ৪৩ অনুচ্ছেদের আওতায় পড়ে। সম্মতির নথি না রাখলেও জরিমানা হতে পারে। তাই ব্যবসাপ্রতিষ্ঠানের বৈধ সম্মতি গ্রহণের প্রক্রিয়া এবং সেই প্রক্রিয়া কার্যকর হয়েছে—এমন প্রমাণ, দুটোই প্রয়োজন।

সংবেদনশীল ব্যক্তিগত তথ্যের জন্য অতিরিক্ত সুরক্ষা রয়েছে। কারও সংবেদনশীল তথ্য প্রক্রিয়াকরণের বিষয়ে তাকে অবহিত না করলে ৩ কোটি থেকে ৫ কোটি ডং জরিমানার বিধান প্রযোজ্য। ব্যবসাপ্রতিষ্ঠানকে তাদের কাছে কী তথ্য রয়েছে তা শনাক্ত করে প্রাসঙ্গিক সুরক্ষাব্যবস্থা নিতে হবে।

কেন ৭ কোটি ডং কেবল বৃহত্তর চিত্রের একটি অংশ

সম্মতি-সংক্রান্ত সর্বোচ্চ জরিমানা নিম্নতর জরিমানা-সীমার সর্বোচ্চ অঙ্কের চেয়ে ২ কোটি ডং বেশি; অর্থাৎ ৫ কোটি থেকে বেড়ে ৭ কোটি ডং। এই উচ্চতর জরিমানা-সীমা দুটি নির্দিষ্ট আচরণের ক্ষেত্রে প্রযোজ্য: নীরবতাকে সম্মতি ধরে নেওয়া এবং তথ্য প্রক্রিয়াকরণ বন্ধ বা সীমিত করার অনুরোধ ইচ্ছাকৃতভাবে উপেক্ষা করা।

বিস্তৃত দণ্ডকাঠামোতে সাইবার নিরাপত্তা-সংক্রান্ত জরিমানার সর্বোচ্চ সীমা প্রতিষ্ঠানের জন্য ২০ কোটি এবং ব্যক্তির জন্য ১০ কোটি ডং। ব্যক্তিগত তথ্য সুরক্ষার কাঠামোটি আলাদা; এতে নির্দিষ্ট অঙ্কের জরিমানা, বেআইনি বাণিজ্যের সঙ্গে যুক্ত দণ্ড এবং রাজস্বভিত্তিক দণ্ড রয়েছে।

EY-এর অক্টোবরের আইনি সতর্কবার্তায় বেআইনি ব্যক্তিগত তথ্য বাণিজ্যের জন্য লেনদেনের মূল্যের দুই থেকে ১০ গুণ জরিমানার কথা বলা হয়েছে। এতে বলা হয়, চুক্তি, চালান, অর্থ পরিশোধের রেকর্ড, বার্তা ও ব্যাংক বিবরণীর মতো প্রমাণের ভিত্তিতে ওই মূল্য নির্ধারণ করা হবে; খরচ বাদ দেওয়া হবে না।

বিদেশে তথ্য স্থানান্তরের সঙ্গে জড়িত কিছু গুরুতর লঙ্ঘনের জন্য রাজস্বের ১ থেকে ৫ শতাংশ জরিমানা হতে পারে। EY এই শ্রেণিতে অন্তত ১০ হাজার ভিয়েতনামি নাগরিকের তথ্য হারানো বা ফাঁস হওয়ার মতো স্থানান্তরকে অন্তর্ভুক্ত করেছে। তাদের তালিকা অনুযায়ী, অন্তত ১০ লাখ মানুষ ক্ষতিগ্রস্ত হলে সর্বোচ্চ ৫ শতাংশ জরিমানা প্রযোজ্য। আগের বছরে ভিয়েতনামে অর্জিত রাজস্বের অংশ হিসেবে এই সর্বোচ্চ জরিমানা ধার্য হবে; ওই বছরে রাজস্ব না থাকলে সর্বোচ্চ সীমা ৩০০ কোটি ডং।

বিদেশি ব্যবসাপ্রতিষ্ঠানের ক্ষেত্রেও বিধিমালা প্রযোজ্য

ডিক্রি 330 ভিয়েতনামি ও বিদেশি ব্যক্তি এবং প্রতিষ্ঠানের ক্ষেত্রে প্রযোজ্য। এর আওতায় পড়ে যোগ্য বিদেশি প্রতিষ্ঠান, যারা টেলিযোগাযোগ, ইন্টারনেট, অনলাইন কনটেন্ট, তথ্যপ্রযুক্তি, সাইবার নিরাপত্তা বা সীমান্ত পেরিয়ে সেবা দেয়; পাশাপাশি আওতাভুক্ত ভিয়েতনামি ব্যক্তিগত তথ্য প্রক্রিয়াকরণে যুক্ত বিদেশি প্রতিষ্ঠানও এর অন্তর্ভুক্ত।

সুরক্ষার আওতায় রয়েছেন ভিয়েতনামের নাগরিক এবং ভিয়েতনামে বসবাসকারী ভিয়েতনামি বংশোদ্ভূত ব্যক্তিরা, যাদের পরিচয়পত্র রয়েছে কিন্তু নাগরিকত্ব এখনো নির্ধারিত হয়নি। তাই ব্যবসাপ্রতিষ্ঠানকে তাদের দেওয়া সেবা এবং যাদের তথ্য তারা ব্যবহার করে, সেগুলোর পাশাপাশি বিদেশে অবস্থানের বিষয়টিও মূল্যায়ন করতে হবে।

Tilleke & Gibbins তাদের দণ্ডবিধি বিশ্লেষণে ব্যক্তিগত তথ্য সুরক্ষা ও সাইবার নিরাপত্তার দায়িত্বে থাকা কর্তৃপক্ষ হিসেবে জননিরাপত্তা মন্ত্রণালয়কে চিহ্নিত করেছে। তাদের বর্ণনায়, ব্যক্তিগত তথ্য সুরক্ষা ও সাইবার নিরাপত্তা আইন অনুযায়ী দায়বদ্ধতাগুলো কার্যকর করতে ডিক্রিতে বিস্তারিত প্রশাসনিক দণ্ডকাঠামো রাখা হয়েছে।

ভিয়েতনামের বাইরে পরিচালিত কোনো প্রতিষ্ঠানের জন্য বাস্তব কাজের মধ্যে রয়েছে, তাদের সেবা ও তথ্য প্রক্রিয়াকরণের কার্যক্রম ওই আওতায় পড়ে কি না, তা যাচাই করা। বিজ্ঞাপন ব্যবস্থা, গ্রাহক-তথ্যভান্ডার এবং বিদেশি সেবাদাতাদের কাছে তথ্য স্থানান্তর—সবই প্রাসঙ্গিক বিধান অনুযায়ী পর্যালোচনা করতে হতে পারে।

বিজ্ঞাপনের তালিকার জন্য বৈধ ভিত্তি প্রয়োজন

৩৭ অনুচ্ছেদে অনাকাঙ্ক্ষিত বিজ্ঞাপনী ইমেইল ও বার্তা এবং অনলাইন বিজ্ঞাপনের নিয়ম লঙ্ঘনের অন্যান্য বিষয় রয়েছে। বিজ্ঞাপনে ব্যবহৃত তথ্য বেআইনিভাবে সংগ্রহ করা হলে ৪৮ অনুচ্ছেদও প্রাসঙ্গিক হতে পারে। ফলে বিজ্ঞাপন প্রচার এবং ব্যবহৃত তথ্য সংগ্রহ, দুটিই আলাদা সম্মতি-সংক্রান্ত বিষয় তৈরি করে।

ফোন নম্বরের তালিকা কেনা ব্যবসাপ্রতিষ্ঠানকে যাচাই করতে হবে, তথ্যগুলো কোথা থেকে এসেছে, সেগুলো ব্যবহারের আইনি ভিত্তি কী এবং কোন উদ্দেশ্যে সংগ্রহ করা হয়েছিল। বিজ্ঞাপন প্রত্যাখ্যান বা তথ্যের প্রাসঙ্গিক আদান-প্রদান প্রত্যাখ্যানের সুযোগও মানুষকে দিতে হবে।

৪৩ অনুচ্ছেদে সম্মতি-সংক্রান্ত বিধানও এই প্রক্রিয়ায় প্রযোজ্য হয়েছে। সম্মতির অনুরোধের জবাব না দিলে প্রাপক সম্মতি দিয়েছেন বলে গণ্য হবেন না। বন্ধ বা সীমিত করার অনুরোধের পর ইচ্ছাকৃতভাবে তথ্য প্রক্রিয়াকরণ চালিয়ে গেলে ব্যবসাপ্রতিষ্ঠানকে ৫ কোটি থেকে ৭ কোটি ডং জরিমানা করা হতে পারে।

অ্যাফিলিয়েট বিজ্ঞাপন নেটওয়ার্কে ব্যক্তিগত তথ্য প্রকাশের জন্য পূর্বনির্ধারিত সম্মতি ব্যবহারের ক্ষেত্রেও নির্দিষ্ট দণ্ডের কথা EY উল্লেখ করেছে। এ ধরনের নেটওয়ার্ক ব্যবসাপ্রতিষ্ঠানকে পণ্য প্রচার বা সম্ভাব্য গ্রাহকদের কাছে পৌঁছাতে সহায়তাকারী অংশীদারদের সঙ্গে যুক্ত করে। এভাবে তথ্য ভাগ করে নেওয়ার সময় আগেভাগে বেছে রাখা সম্মতির বদলে ব্যক্তির সিদ্ধান্তকে গুরুত্ব দিতে হবে।

ভোক্তাদের জন্য এই বিধানগুলো ফোন নম্বর প্রথম সংগ্রহের সঙ্গে পরবর্তী সময়ে তার ব্যবহারকে যুক্ত করে। কোম্পানির ক্ষেত্রে একটি বিপণনবার্তা যাচাই করাই পুরো কাজ নয়: যোগাযোগের তালিকার উৎস, তাতে যুক্ত অনুমতি এবং প্রত্যাখ্যানের অনুরোধ সামলানো—সবই গুরুত্বপূর্ণ।

শিশুদের তথ্য ও নজরদারি-সংক্রান্ত তথ্যে বাড়তি যাচাই দরকার

শিশুদের তথ্য ব্যবহারকারী প্ল্যাটফর্ম, শিক্ষা সেবা, বিনোদন অ্যাপ ও অনলাইন খুচরা বিক্রেতাদের প্রক্রিয়াকরণের উদ্দেশ্য, বৈধ সম্মতি, সংগৃহীত তথ্যের পরিমাণ এবং সুরক্ষাব্যবস্থা-সংক্রান্ত শর্ত পূরণ করতে হবে। ব্যক্তিগত তথ্য প্রক্রিয়াকরণের আগে শিশুর বয়স যাচাই না করার জন্য দণ্ডের কথাও EY উল্লেখ করেছে।

ব্যক্তিগত তথ্য সুরক্ষা আইন ও ডিক্রির ভাষায় একটি পার্থক্যের কথাও EY তুলে ধরেছে। কোনো সাত বছর বা তার বেশি বয়সী শিশুর ব্যক্তিগত জীবন বা ব্যক্তিগত গোপনীয়তা প্রকাশের উদ্দেশ্যে তথ্য প্রক্রিয়াকরণ করা হলে আইন অনুযায়ী শিশু এবং তার আইনগত প্রতিনিধির উভয়ের সম্মতি প্রয়োজন। তবে EY-এর বিশ্লেষণ অনুযায়ী, উভয়ের সম্মতির বিষয়ে ডিক্রির দণ্ড-সংক্রান্ত বিধানের ভাষা আরও বিস্তৃত।

তাই শিশুদের সেবা দেয় এমন ব্যবসাপ্রতিষ্ঠানকে তাদের বয়স যাচাই ও সম্মতির প্রক্রিয়া সংশ্লিষ্ট কার্যক্রমের সঙ্গে কীভাবে সামঞ্জস্যপূর্ণ, তা পর্যালোচনা করতে হবে। নির্ধারিত উদ্দেশ্যের বাইরে প্রক্রিয়াকৃত শিশুদের তথ্য মুছে বা ধ্বংস করতে ব্যর্থ হলে প্রতিষ্ঠানের জন্য সর্বোচ্চ ২০ কোটি ডং জরিমানার কথা EY উল্লেখ করেছে।

জনসমাগমস্থলে নজরদারি ক্যামেরার রেকর্ডিং থেকেও নির্দিষ্ট ঝুঁকি তৈরি হয়। বৈধ সম্মতি ছাড়া বাণিজ্যিক উদ্দেশ্যে, আচরণ বিশ্লেষণে বা প্রোফাইল তৈরির জন্য স্বয়ংক্রিয় মুখ শনাক্তকরণে জনসমাগমস্থলের নজরদারি ক্যামেরা থেকে পাওয়া ব্যক্তিগত তথ্য, ছবি বা কণ্ঠস্বরের রেকর্ডিং ব্যবহারের ক্ষেত্রে দণ্ডের কথা EY উল্লেখ করেছে।

নিরাপত্তার জন্য স্থাপন করা ক্যামেরা থেকে পাওয়া তথ্য কোনো ব্যবসাপ্রতিষ্ঠান পরে অন্য উদ্দেশ্যে ব্যবহার করতে চাইতে পারে। EY-এর বর্ণিত বিধান অনুযায়ী, এমন পরবর্তী বাণিজ্যিক বা বিশ্লেষণধর্মী ব্যবহারের জন্য আলাদা আইনি মূল্যায়ন করতে হবে এবং যেখানে নির্দিষ্ট করা হয়েছে, সেখানে বৈধ সম্মতি নিতে হবে। তথ্য সংরক্ষণের সময়সীমাও গুরুত্বপূর্ণ: তথ্য স্থানান্তরের কিছু চুক্তিতে স্থানান্তরের উদ্দেশ্যের সঙ্গে সামঞ্জস্যপূর্ণ সংরক্ষণকাল উল্লেখ করতে হবে।

কৃত্রিম বুদ্ধিমত্তা ও সামাজিক যোগাযোগমাধ্যমে ব্যবহারকারী ও পরিচালকদের দায়িত্ব রয়েছে

প্রতারণা, মিথ্যা তথ্য, আইনস্বীকৃত অধিকার লঙ্ঘন অথবা ব্যক্তিগত তথ্য বেআইনিভাবে সংগ্রহ ও ব্যবহারের সঙ্গে যুক্ত হলে কৃত্রিম বুদ্ধিমত্তা ব্যবহার করে অন্য ব্যক্তির ছবি, কণ্ঠস্বর বা পরিচয় নকল করলে দণ্ড হতে পারে। আচরণ ও তার গুরুত্ব অনুযায়ী প্রযোজ্য দণ্ড নির্ধারিত হবে।

তথ্য সংগ্রহ, কৃত্রিম বুদ্ধিমত্তা ব্যবস্থায় তা ব্যবহার এবং সেখান থেকে পাওয়া ফল কাজে লাগানোর সিদ্ধান্তের জন্য ব্যবসাপ্রতিষ্ঠান দায়ী থাকবে। তাই স্বয়ংক্রিয় প্রক্রিয়াকরণেও অন্য প্রক্রিয়াকরণ কার্যক্রমের মতো আইনি ভিত্তি, উদ্দেশ্য, সম্মতি ও সুরক্ষা-সংক্রান্ত একই যাচাই প্রযোজ্য হবে।

সামাজিক যোগাযোগমাধ্যমে সেবাদাতা, ব্যবস্থাপক, পরিচালনাকারী ও ব্যবহারকারীদের দায়িত্ব রয়েছে। যারা কনটেন্ট পোস্ট বা শেয়ার করেন, তারা তার জন্য দায়ী; এর মধ্যে অন্যের পরিচয় নকল, প্রতারণা বা আইনস্বীকৃত অধিকার ও স্বার্থ লঙ্ঘনকারী উপাদানও রয়েছে।

সাইবার নিরাপত্তা-সংক্রান্ত বিধানে হামলা, অননুমোদিত প্রবেশ, ক্ষতিকর কোড এবং বিশেষায়িত সাইবার নিরাপত্তা বাহিনীর সঙ্গে সহযোগিতা না করার বিষয়ও রয়েছে। কোনো ঘটনায় অপরাধের লক্ষণ দেখা গেলে প্রশাসনিক লঙ্ঘন নিষ্পত্তি আইন অনুযায়ী নথিপত্র হস্তান্তর করা হবে বলে সরকারের প্রকাশিত ব্যাখ্যায় বলা হয়েছে।

জরিমানার পর তথ্য মুছে ফেলা বা কার্যক্রম স্থগিত হতে পারে

লঙ্ঘনের ধরন অনুযায়ী সম্পূরক দণ্ডের মধ্যে রয়েছে নির্দিষ্ট লাইসেন্স বা সনদ ব্যবহারের অধিকার এক থেকে ২৪ মাসের জন্য বাতিল, একই সময়ের জন্য কার্যক্রম স্থগিত, লঙ্ঘনে ব্যবহৃত সরঞ্জাম বা অন্যান্য সামগ্রী বাজেয়াপ্ত এবং বিদেশি নাগরিকদের বহিষ্কার।

৪৩ অনুচ্ছেদে নির্দিষ্ট কিছু সম্মতি-সংক্রান্ত লঙ্ঘনের ক্ষেত্রে বেআইনিভাবে সংগ্রহ বা প্রক্রিয়াকৃত তথ্য অপরিবর্তনীয়ভাবে মুছে ফেলার বিধান রয়েছে। নির্দিষ্ট ক্ষেত্রে বাজেয়াপ্ত এবং উচ্চতর জরিমানা-সীমার লঙ্ঘনের জন্য বেআইনি আয় ফেরত দেওয়ার বিধানও রয়েছে। ফলে ব্যবসাপ্রতিষ্ঠানকে আর্থিক দণ্ডের পাশাপাশি তথ্য ব্যবহারের সুযোগও হারাতে হতে পারে।

বেআইনি আয় ফেরত দেওয়া একটি প্রতিকারমূলক ব্যবস্থা, যার হিসাব আলাদাভাবে করা হয়। EY-এর ব্যাখ্যা অনুযায়ী, বেআইনি তথ্য বাণিজ্য ছাড়া প্রযোজ্য ক্ষেত্রে বেআইনিভাবে সংগ্রহ, প্রক্রিয়াকরণ, ব্যবহার বা স্থানান্তর করা তথ্য কাজে লাগিয়ে ব্যবসায়িক কার্যক্রম থেকে অর্জিত রাজস্বও এর অন্তর্ভুক্ত হতে পারে; খরচ বাদ দেওয়া হবে না।

দৈনন্দিন সম্মতি পালনে প্রভাব ফেলে এমন অন্যান্য দণ্ডও Tilleke & Gibbins-এর তালিকায় রয়েছে: লঙ্ঘনের বিজ্ঞপ্তি দিতে ব্যর্থ হলে সর্বোচ্চ ৮ কোটি ডং, তথ্য প্রক্রিয়াকরণ প্রভাব মূল্যায়ন-সংক্রান্ত লঙ্ঘনে ১০ কোটি ডং এবং তথ্য সুরক্ষা কর্মকর্তা বা বিভাগ নিয়োগে ব্যর্থ হলে ৩ কোটি ডং পর্যন্ত জরিমানা।

প্রভাব মূল্যায়ন হলো তথ্য প্রক্রিয়াকরণ মানুষের তথ্যে কী প্রভাব ফেলতে পারে এবং ঝুঁকি কীভাবে সামলানো হবে, তার নথিভুক্ত পর্যালোচনা। প্রতিকার হিসেবে মূল্যায়ন জমা দেওয়া বাধ্যতামূলক করা এবং জমা দেওয়ার শর্ত পূরণ না হওয়া পর্যন্ত প্রক্রিয়াকরণ স্থগিত রাখার বিধান থাকতে পারে। বিদেশে তথ্য স্থানান্তরের জন্য প্রয়োজনীয় মূল্যায়নেও একই ধরনের ব্যবস্থা প্রযোজ্য হতে পারে। ব্যক্তির তথ্য-সংক্রান্ত অধিকার প্রয়োগের অনুরোধের জবাব দেওয়ার আইনি সময়সীমা পার হলে প্রতিষ্ঠানের সর্বোচ্চ ৪ কোটি ডং জরিমানার কথাও EY উল্লেখ করেছে।

বিধিমালা কখন প্রযোজ্য এবং মামলা কীভাবে এগোতে পারে

ডিক্রি 330 জারির দিন থেকেই কার্যকর হয়েছে; কোনো রূপান্তরকাল ছিল না। এর আগে ভিয়েতনামে ব্যক্তিগত তথ্য সুরক্ষার কাঠামো গড়ে তুলতে কয়েক বছর সময় লেগেছে:

• ১ জুলাই, ২০২৩: ব্যক্তিগত তথ্য সুরক্ষা-সংক্রান্ত ডিক্রি নম্বর 13/2023/ND-CP কার্যকর হয়।
• ১ জানুয়ারি, ২০২৬: ব্যক্তিগত তথ্য সুরক্ষা আইন কার্যকর হয়; এটি বাস্তবায়নের শর্তাবলি ডিক্রি নম্বর 356/2025/ND-CP-তে রয়েছে।
• ১৯ আগস্ট, ২০২৬: ডিক্রি নম্বর 330/2026/ND-CP জারি ও কার্যকর হয়।
• ২৬ আগস্ট, ২০২৬: সরকার ডিক্রি ও সম্মতি-সংক্রান্ত জরিমানার ব্যাখ্যা প্রকাশ করে।

প্রশাসনিক দণ্ড আরোপের সময়সীমা এক বছর। লঙ্ঘন সম্পন্ন হলে সময় গণনার সূচনা নির্ভর করে সংশ্লিষ্ট দায়িত্ব পালন বা উপযুক্ত কর্তৃপক্ষের লঙ্ঘন শেষ হয়েছে বলে নিশ্চিত করার ওপর। কোনো কাজ শেষ হয়েছে নাকি এখনো চলছে, কর্তৃপক্ষকে তা-ও নির্ধারণ করতে হবে।

১৯ আগস্টের আগে সংঘটিত কিন্তু পরে শনাক্ত হওয়া বা পর্যালোচনাধীন থাকা লঙ্ঘনের জন্য একটি অন্তর্বর্তীকালীন বিধানের কথা Tilleke & Gibbins জানিয়েছে। সাধারণত লঙ্ঘনের সময় কার্যকর দণ্ডব্যবস্থা প্রযোজ্য হবে। তবে দায় বাতিল বা হালকা দণ্ডের বিধান থাকলে ডিক্রি 330-এর অধিকতর সুবিধাজনক বিধান প্রযোজ্য হতে পারে।

এই কাঠামোতে ইলেকট্রনিক প্রমাণ স্বীকৃত এবং ইলেকট্রনিক লঙ্ঘনের নথি ও দণ্ডের সিদ্ধান্তের অনুমতি রয়েছে; ডিজিটাল স্বাক্ষর পাওয়া না গেলে বায়োমেট্রিক যাচাইও করা যাবে। ফলে সম্মতির নথি, অনুরোধের ইতিহাস ও লেনদেনের রেকর্ডের মতো সম্মতি পালনের নথি কোনো ঘটনা পর্যালোচনার ক্ষেত্রে বিশেষভাবে প্রাসঙ্গিক।

নির্দিষ্ট পরিদর্শন বা আইন প্রয়োগের ঘটনার কোনো সময়সূচি দেওয়া হয়নি। তাৎক্ষণিক বাস্তব পরিবর্তন হলো, বিদ্যমান দায়বদ্ধতার জন্য এখন নথিপত্র, জনবল, নিরাপত্তা, সম্মতি এবং ব্যক্তিগত তথ্যের প্রকৃত ব্যবহার নিয়ে একটি সুনির্দিষ্ট দণ্ডকাঠামো রয়েছে।

মূল বিষয়গুলো

• ডিক্রি 330 সাইবার নিরাপত্তা ও ব্যক্তিগত তথ্য সুরক্ষার বিধানসহ ২০২৬ সালের ১৯ আগস্ট কার্যকর হয়েছে।
• সম্মতি-সংক্রান্ত নির্দিষ্ট ব্যর্থতার জন্য ৩ কোটি থেকে ৫ কোটি ডং জরিমানা হতে পারে।
• নীরবতাকে সম্মতি হিসেবে গণ্য করা বা তথ্য ব্যবহার বন্ধের অনুরোধ ইচ্ছাকৃতভাবে উপেক্ষা করলে ৫ কোটি থেকে ৭ কোটি ডং জরিমানা হতে পারে।
• বিদেশে তথ্য স্থানান্তরের কিছু গুরুতর লঙ্ঘনে রাজস্বভিত্তিক সর্বোচ্চ ৫ শতাংশ জরিমানা হতে পারে।
• যোগ্য বিদেশি প্রতিষ্ঠানের পাশাপাশি ভিয়েতনামি ব্যবসাপ্রতিষ্ঠান ও ব্যক্তিরাও বিধিমালার আওতায় পড়েন।
• অতিরিক্ত পরিণতির মধ্যে কার্যক্রম স্থগিত, তথ্য অপরিবর্তনীয়ভাবে মুছে ফেলা এবং বেআইনি আয় ফেরত দেওয়া থাকতে পারে।