EU Data Act, GDPR के बाद यूरोप द्वारा पास किए गए सबसे असरदार तकनीकी नियमों में से एक है, और इसकी एक डेडलाइन है जो अभी इसी वक्त मायने रखती है। 12 सितंबर 2026 से, EU बाजार में आने वाली connected products को इस तरह बनाया जाना चाहिए कि उनसे बना डेटा उन्हीं लोगों को एक्सेस हो सके जो उन्हें इस्तेमाल करते हैं। जो भी लोकेशन डेटा के साथ काम करता है, उसके लिए यह कोई दूर की कानूनी बात नहीं है। position data ठीक वैसा ही मशीन से बना डेटा है जिसके बारे में यह कानून है।
यह लेख समझाता है कि Data Act क्या है, यह GDPR से कैसे अलग है, लोकेशन डेटा इसके केंद्र में क्यों है, और अगर आप किसी maps या location API के साथ उत्पाद बनाते हैं तो इसका आपके लिए क्या मतलब है।
Data Act असल में किसे नियंत्रित करता है
Data Act, जिसका औपचारिक नाम Regulation (EU) 2023/2854 है, एक सीधे सवाल का जवाब देता है जो GDPR नहीं देता: किसी connected product से बने डेटा को इस्तेमाल करने का हक किसे है? सालों तक इसका जवाब, व्यवहार में, निर्माता ही होता था। कोई मशीन, वाहन या सेंसर बड़ी मात्रा में डेटा बनाता, और वह डेटा वापस उसी के पास चला जाता जिसने डिवाइस बनाई थी, अक्सर user के पास उस तक पहुँचने का कोई सीधा रास्ता ही नहीं होता था।
Data Act इस default को बदल देता है। किसी connected product का user, यानी वह व्यक्ति या कारोबार जिसने उसे खरीदा या लीज पर लिया, उसे यह अधिकार है कि वह उससे बने डेटा को एक्सेस करे और उस डेटा को अपनी पसंद की किसी third party के साथ साझा करे। निर्माता अब उस डेटा को अपनी विशेष संपत्ति की तरह नहीं रख सकता। यह कानून डेटा साझा करने के लिए उचित कॉन्ट्रैक्ट शर्तों के नियम, छोटे कारोबारों पर थोपी गई अनुचित शर्तों के खिलाफ सुरक्षा, और ऐसे दायित्व भी लाता है जो एक cloud प्रदाता से दूसरे में जाना आसान बनाते हैं।
सबसे अहम बात, यह कानून व्यक्तिगत और गैर-व्यक्तिगत, दोनों तरह के डेटा को अपने दायरे में लेता है। यही वह हिस्सा है जो लोगों से छूट जाता है। GDPR सिर्फ ऐसे डेटा तक पहुँचता है जो पहचान बताने वाले लोगों के बारे में हो। Data Act किसी डिवाइस से बनी पूरी धारा तक पहुँचता है, फिर चाहे उसमें कोई व्यक्ति पहचाना जा सके या नहीं।
Data Act और GDPR: दो कानून, एक डेटा धारा
सबसे आम गलतफहमी यह है कि Data Act किसी तरह GDPR की जगह ले लेता है या उसे कमजोर कर देता है। यह इनमें से कुछ भी नहीं करता। ये दोनों साथ मिलकर काम करने के लिए बनाए गए हैं, और ये अलग-अलग चीज़ों को नियंत्रित करते हैं।
GDPR व्यक्तिगत डेटा को नियंत्रित करता है: यह वे शर्तें तय करता है जिनके तहत आप पहचान बताने वाले लोगों के बारे में जानकारी इकट्ठा, प्रोसेस और साझा कर सकते हैं। Data Act मशीन से बने डेटा की एक्सेस और portability को नियंत्रित करता है: यह निर्माताओं को अपने उत्पादों से बने डेटा को खोलने के लिए बाध्य करता है और users को उसे कहीं और ले जाने देता है।
जहाँ ये दोनों मिलते हैं, वहाँ दोनों लागू होते हैं। किसी connected vehicle से आए location trace को ही लीजिए। यह मशीन से बना है, इसलिए Data Act के एक्सेस और portability के नियम लागू होते हैं। यह किसी ड्राइवर की आवाजाही की पहचान भी बताता है, इसलिए यह व्यक्तिगत डेटा है, और GDPR भी लागू होता है। Data Act के तहत साझा करने की माँग कभी भी GDPR के ऊपर नहीं जाती: आपको फिर भी एक वैध आधार चाहिए, आप पर फिर भी वही सामान्य सुरक्षा उपायों की जिम्मेदारी रहती है, और आप फिर भी व्यक्तिगत डेटा को किसी third party को इस तरह नहीं सौंप सकते जिस पर GDPR रोक लगाता हो। Data Act एक दरवाजा खोलता है; कौन उसमें से गुजर सकता है, यह अब भी GDPR ही तय करता है।
लोकेशन डेटा इसके केंद्र में क्यों है
connected products जितना भी डेटा बनाती हैं, उसमें लोकेशन डेटा सबसे मूल्यवान और सबसे संवेदनशील डेटा में से एक है, और ठीक इसीलिए यह इस कानून के लिए एक निर्णायक कसौटी है।
connected vehicles, fleet trackers, डिलीवरी हार्डवेयर, कृषि मशीनें, और अनगिनत IoT sensors position data की एक लगातार धारा बनाते हैं। Data Act के तहत उस product के user को यह अधिकार है कि वह उस धारा तक पहुँचे और उसे अपनी पसंद की सेवा में ले जाए। किसी और का telematics हार्डवेयर चला रही कोई logistics कंपनी अपनी आवाजाही का डेटा किसी काम आने लायक रूप में माँग सकती है। कोई किसान अपनी मशीन का डेटा किसी स्वतंत्र analytics टूल में ले जा सकता है। कोई ड्राइवर अपनी यात्राओं का इतिहास ले जा सकता है।
इन उत्पादों को बनाने वाली टीमों के लिए, तीन जिम्मेदारियाँ वैकल्पिक से बदलकर ढाँचागत बन जाती हैं:
- डिफ़ॉल्ट रूप से एक्सेस। सितंबर 2026 से, किसी नई connected product को इस तरह डिज़ाइन किया जाना चाहिए कि उससे बना डेटा किसी खास, अड़चन भरी प्रक्रिया के बिना ही पहुँच के भीतर हो।
- Portability। users अपना डेटा कहीं और ले जा सकते हैं, यानी उसे ऐसे रूप में बाहर निकलना चाहिए जिसे कोई दूसरा सिस्टम सचमुच ग्रहण कर सके।
- Interoperability। जो डेटा आगे की ओर समझा ही न जा सके वह असल में portable नहीं है, इसलिए ओपन फॉर्मेट और स्थिर संदर्भ मायने रखते हैं।
इनमें से कोई भी बात ऐसे प्रोप्राइटरी export से पूरी नहीं होती जिसे सिर्फ आपके अपने टूल ही पढ़ सकें। ऐसी portability जो आपकी बंदिश पर टिकी हो, वह portability है ही नहीं।
Data Act की जिम्मेदारियों के लिए उत्पाद डिज़ाइन करना
इस कानून की तीन जिम्मेदारियाँ, यानी एक्सेस, portability और interoperability, ठोस इंजीनियरिंग फैसलों में बदल जाती हैं। इन्हें निर्माण के दौरान ही सही कर लें तो यह दायित्व आपको लगभग कुछ भी महँगा नहीं पड़ता; किसी user के अनुरोध दाखिल करने के बाद इन्हें बाद में जोड़ना बहुत महँगा पड़ता है।
किसी के माँगने से पहले ही एक्सेस का रास्ता बना लें। सितंबर 2026 से किसी नई connected product को अपना बनाया हुआ डेटा by default सामने रखना होगा, न कि किसी support ticket और दो हफ्ते के इंतजार के जरिए। किसी user को उसका अपना डेटा लौटाने वाला एक साफ, प्रलेखित endpoint डिज़ाइन करने का सबसे सस्ता वक्त वही है जब आप वह फीचर बना रहे होते हैं, न कि तब जब वह अधिकार इस्तेमाल किया जा चुका हो।
export को सचमुच portable बनाएँ। ऐसी portability जिसे सिर्फ आपके अपने टूल पढ़ सकें, वह portability नहीं है। जो डेटा आपके सिस्टम से GeoJSON के रूप में, यानी एक प्रलेखित ओपन मानक के रूप में बाहर आता है, वह interoperability की जिम्मेदारी को अपने आप पूरा कर देता है; जबकि कोई प्रोप्राइटरी blob एक शिकायत की तरह है जो दाखिल होने का इंतजार कर रही है। ओपन फॉर्मेट इस कानून का दिया सबसे सस्ता बीमा हैं।
पहचानकर्ताओं और geocodes पर बंदिश से बचें। जब आप किसी पते को निर्देशांक में बदलते हैं या किसी जगह के साथ कोई ID जोड़ते हैं, तो ऐसे संदर्भ चुनें जिन्हें कोई दूसरा सिस्टम सुलझा सके, ताकि अपना डेटा किसी प्रतिस्पर्धी के पास ले जाने वाला user बेकार keys के साथ न पहुँचे। यहाँ निर्देशांक की परत क्यों मायने रखती है, यह जानने के लिए देखें जियोकोड क्या है।
एक बात जो यह कानून तय नहीं करता वह यह है कि सबसे पहले तो डेटा पर किस अधिकार-क्षेत्र का कानून लागू हो। यह एक जुड़ा हुआ पर अलग सवाल है, यानी data sovereignty, और इसे यूँ ही इस बात के भरोसे छोड़ने के बजाय कि आपकी API कहाँ चलती है, सोच-समझकर तय करना बेहतर है।
MapAtlas, Data Act में कैसे फिट बैठता है
Data Act ओपन, portable और बंदिश-मुक्त डेटा को इनाम देता है, और MapAtlas by default इसी तरह नतीजे लौटाता है। हमारी Geocoding API और Search API निर्देशांक और जगहें किसी प्रोप्राइटरी कंटेनर के बजाय प्रलेखित ओपन फॉर्मेट में लौटाती हैं, इसलिए इस कानून के तहत आप अपने users को जो export देने के लिए बाध्य हैं, वह कुछ ऐसा है जो आपके पास पहले से ही मौजूद है, न कि कुछ ऐसा जिसे आपको बाद में उलट-पलटकर तैयार करना पड़े।
इनमें से कोई भी बात अनुपालन को अपने आप नहीं कर देती। Data Act इस बात से पूरा होता है कि आप अपना उत्पाद कैसे डिज़ाइन करते हैं, अपने कॉन्ट्रैक्ट कैसे लिखते हैं, और अपने डेटा को कैसे संचालित करते हैं, न कि किसी अकेले वेंडर से। सही इंफ्रास्ट्रक्चर जो करता है वह है बाद में जोड़ने की मेहनत को हटाना: अगर आपकी लोकेशन परत पहले से ही ओपन और portable है, तो इस कानून की सबसे कठिन जिम्मेदारियाँ शुरुआत में ही पूरी हो जाती हैं।
बुनियादी ब्लॉकों के लिए, रिवर्स जियोकोडिंग क्या है यह बताता है कि position को वापस पते में कैसे बदला जाए, GeoJSON क्या है उस ओपन फॉर्मेट को समझाता है जो portability की जिम्मेदारी को बेहद आसान बना देता है, और हमारा GDPR-अनुरूप मैप्स पेज दिखाता है कि पूरे प्लेटफॉर्म पर यूरोपीय प्रोसेसिंग कैसे काम करती है। यह नियम कड़ा है, पर इस बार अनुपालन वाला रास्ता और अच्छी इंजीनियरिंग वाला रास्ता एक ही हैं।
अक्सर पूछे जाने वाले प्रश्न
EU Data Act क्या है?
EU Data Act (Regulation (EU) 2023/2854) एक यूरोपीय कानून है जो यह तय करता है कि connected products और उनसे जुड़ी सेवाओं से बने डेटा को कौन एक्सेस और इस्तेमाल कर सकता है। इसका मूल विचार यह है कि कोई डिवाइस, चाहे वह कार हो, सेंसर, मशीन या कोई पहनने वाला गैजेट, जो डेटा बनाती है, वह उस user को मिलना चाहिए जिसने उसे पैदा किया, न कि निर्माता की तिजोरी में बंद रहना चाहिए। इसके ज्यादातर प्रावधान 12 सितंबर 2025 से लागू हैं, और 12 सितंबर 2026 से बाजार में नई आने वाली connected products को इस तरह बनाया जाना चाहिए कि यह डेटा by default एक्सेस किया जा सके। यह GDPR की जगह लेने के बजाय उसके साथ-साथ चलता है: GDPR व्यक्तिगत डेटा को संचालित करता है, जबकि Data Act व्यक्तिगत और गैर-व्यक्तिगत, दोनों तरह के मशीन से बने डेटा की एक्सेस और साझेदारी को संचालित करता है।
EU Data Act, GDPR से कैसे अलग है?
GDPR का मकसद व्यक्तिगत डेटा की सुरक्षा है: यह इस बात पर पाबंदी लगाता है कि आप किसी व्यक्ति की पहचान बताने वाली जानकारी को कैसे इकट्ठा, प्रोसेस और साझा करते हैं। Data Act का मकसद मशीन से बने डेटा की एक्सेस और portability है: यह निर्माताओं को इस बात के लिए बाध्य करता है कि किसी connected product से बना डेटा user को उपलब्ध कराएँ, और उस user को उसे third parties के साथ साझा करने दें। जहाँ ये दोनों आपस में मिलते हैं, जैसे कोई location trace जो एक साथ मशीन से बना भी है और व्यक्तिगत भी, वहाँ दोनों कानून एक साथ लागू होते हैं। Data Act, GDPR को कमजोर नहीं करता; Data Act के तहत डेटा साझा करने की माँग को भी GDPR के वैध आधारों और सुरक्षा उपायों का पालन करना ही होता है।
EU Data Act का लोकेशन डेटा के लिए क्या मतलब है?
लोकेशन डेटा इस कानून के दायरे में आने वाले मशीन से बने डेटा के सबसे साफ उदाहरणों में से एक है। कोई connected vehicle, fleet tracker, डिलीवरी डिवाइस या IoT sensor लगातार position data बनाता रहता है, और Data Act के तहत उस product के user को यह अधिकार है कि वह उसे एक्सेस करे और अपनी पसंद की किसी सेवा में ले जाए। जो भी लोकेशन फीचर बनाता है, उसके लिए इसका व्यावहारिक नतीजा यह है कि data portability और interoperability अब सिर्फ अच्छी-सी सुविधाएँ नहीं रह जातीं, बल्कि डिज़ाइन की जरूरतें बन जाती हैं। अगर कोई location trace किसी व्यक्ति से जुड़ा है, तो वह व्यक्तिगत डेटा भी है, इसलिए उसके ऊपर GDPR भी लागू होता है।
EU Data Act कब लागू होता है?
Data Act जनवरी 2024 में प्रभावी हुआ और 12 सितंबर 2025 से लागू हो गया। एक और अहम पड़ाव 12 सितंबर 2026 को आता है: उस तारीख से EU बाजार में आने वाली connected products और उनसे जुड़ी सेवाओं को इस तरह बनाया जाना चाहिए कि उनसे बना डेटा by default आसानी से, सुरक्षित रूप से, और जहाँ जरूरी हो सीधे तौर पर user को एक्सेस हो सके। cloud बदलने और interoperability से जुड़े दायित्व भी लगभग इसी दौरान चरणों में लागू होते हैं। इसका पालन करवाने का काम हर सदस्य देश द्वारा नियुक्त सक्षम प्राधिकरणों के हाथ में है, इसलिए ठीक-ठीक जुर्माने हर देश में अलग-अलग होते हैं।
मैपिंग APIs, Data Act जैसे क्षेत्रीय नियमों के अनुपालन में कैसे मदद कर सकती हैं?
कोई maps या location API अकेले आपको अनुपालन के योग्य नहीं बना सकती, क्योंकि अनुपालन आपके product design, कॉन्ट्रैक्ट और data governance पर निर्भर करता है। सही प्रदाता जो करता है वह है अड़चनें हटाना: ऐसी API जो location queries को EU के भीतर प्रोसेस करती है, डेटा को GeoJSON जैसे ओपन और portable फॉर्मेट में देती है, और आपको किसी प्रोप्राइटरी पहचानकर्ता में बाँधने से बचाती है, वह Data Act की एक्सेस, portability और interoperability से जुड़ी जिम्मेदारियों को निभाना कहीं आसान बना देती है, और साथ ही GDPR जैसे पड़ोसी क्षेत्रीय नियमों को भी सहज कर देती है। MapAtlas लोकेशन डेटा को by default EU के भीतर प्रोसेस करता है और नतीजे ओपन फॉर्मेट में लौटाता है, जिससे अनुपालन का दायरा छोटा बना रहता है।
