মালয়েশিয়ার PDPA গাইড: ব্যক্তিগত তথ্য সুরক্ষা আইনে আপনার প্রাইভেসি অধিকার

মালয়েশিয়ায় যতবার আপনি লয়্যালটি কার্ডের জন্য সাইন আপ করেন, কোনো ক্লিনিকে নাম নিবন্ধন করেন বা জিমের সদস্যপদের আবেদন করেন, ততবারই ব্যক্তিগত তথ্য তুলে দেন। আপনার নাম, IC (পরিচয়পত্র) নম্বর, ফোন নম্বর, ঠিকানা, এমনকি কখনো কখনো আয়ের পরিমাণও গিয়ে জমা হয় বিভিন্ন কোম্পানির ডেটাবেসে। কিন্তু সেই তথ্যের ওপর আপনার কী কী অধিকার আছে, জানেন কি?

মালয়েশিয়ার ব্যক্তিগত তথ্য সুরক্ষা আইন ২০১০ (Personal Data Protection Act 2010, সংক্ষেপে PDPA) — যা ২০১৩ সালে কার্যকর হয় — দেশটির প্রধান আইন, যা ঠিক করে দেয় প্রতিষ্ঠানগুলো কীভাবে আপনার ব্যক্তিগত তথ্য সংগ্রহ, ব্যবহার, সংরক্ষণ ও শেয়ার করবে। এক দশকেরও বেশি পুরোনো হলেও অনেক মালয়েশিয়ান এখনো জানেন না, এই আইন তাঁদের কী কী সুরক্ষা দেয়।

PDPA কোন কোন ক্ষেত্রে প্রযোজ্য

বাণিজ্যিক লেনদেনের প্রেক্ষাপটে ব্যক্তিগত তথ্য প্রক্রিয়াকরণ করে এমন যেকোনো ব্যক্তি বা প্রতিষ্ঠানের ক্ষেত্রে PDPA প্রযোজ্য। এর মধ্যে আছে:

• ব্যাংক ও আর্থিক প্রতিষ্ঠান
• টেলিকম কোম্পানি (Celcom, Maxis, Digi, U Mobile)
• ই-কমার্স প্ল্যাটফর্ম (Shopee, Lazada)
• স্বাস্থ্যসেবা প্রদানকারী (বেসরকারি হাসপাতাল, ক্লিনিক)
• বিমা কোম্পানি
• খুচরা বিক্রেতা ও লয়্যালটি প্রোগ্রাম পরিচালনাকারী
• অনলাইন সেবাদাতা

কোন তথ্যকে ব্যক্তিগত তথ্য ধরা হয়?

PDPA অনুযায়ী, প্রত্যক্ষ বা পরোক্ষভাবে আপনাকে শনাক্ত করে এমন যেকোনো তথ্যই ব্যক্তিগত তথ্য:

ধরন	উদাহরণ
পরিচয়	নাম, IC নম্বর, পাসপোর্ট নম্বর
যোগাযোগ	ফোন নম্বর, ইমেইল, ঠিকানা
আর্থিক	ব্যাংক অ্যাকাউন্ট, বেতন, ক্রেডিট হিস্ট্রি
স্বাস্থ্য	মেডিকেল রেকর্ড, প্রেসক্রিপশন, রক্তের গ্রুপ
বায়োমেট্রিক	আঙুলের ছাপ, ফেসিয়াল রিকগনিশন ডেটা
ডিজিটাল	IP ঠিকানা, ব্রাউজিং হিস্ট্রি, লোকেশন ডেটা

PDPA যেসব ক্ষেত্রে প্রযোজ্য নয়

এখানে গুরুত্বপূর্ণ কিছু ফাঁক রয়েছে। PDPA প্রযোজ্য নয়:

• কেন্দ্রীয় (ফেডারেল) ও রাজ্য সরকারের ক্ষেত্রে
• অবাণিজ্যিক কার্যক্রমে (ব্যক্তিগত বা পারিবারিক ব্যবহার)
• মালয়েশিয়ার বাইরে প্রক্রিয়াকৃত ডেটার ক্ষেত্রে (একটি বড় সীমাবদ্ধতা)
• ক্রেডিট রিপোর্টিং এজেন্সি আইন ২০১০ (Credit Reporting Agencies Act 2010)-এর অধীনে পরিচালিত ক্রেডিট রিপোর্টিং এজেন্সির ক্ষেত্রে

অর্থাৎ JPN, LHDN ও PDRM-এর মতো সরকারি সংস্থাগুলো ভিন্ন নিয়মে চলে, আর বিদেশি কোম্পানি বিদেশের সার্ভারে যে ডেটা প্রক্রিয়াকরণ করে, তা মালয়েশিয়ার আইনের এখতিয়ারে না-ও পড়তে পারে।

PDPA-র অধীনে আপনার সাতটি অধিকার

১. তথ্য দেখার অধিকার (ধারা ১২)

কোনো প্রতিষ্ঠান আপনার সম্পর্কে যে ব্যক্তিগত তথ্য রাখে, তা দেখতে চাওয়ার অধিকার আপনার আছে। প্রতিষ্ঠানটিকে ২১ দিনের মধ্যে সাড়া দিতে হবে, এবং তারা যুক্তিসংগত ফি নিতে পারে।

কীভাবে এই অধিকার প্রয়োগ করবেন: প্রতিষ্ঠানের ডেটা সুরক্ষা কর্মকর্তার কাছে আনুষ্ঠানিক চিঠি বা ইমেইল লিখে আপনার ব্যক্তিগত তথ্য দেখার অনুরোধ জানান।

২. সংশোধনের অধিকার (ধারা ৩৪)

আপনার ব্যক্তিগত তথ্য ভুল, অসম্পূর্ণ বা বিভ্রান্তিকর হলে আপনি তা সংশোধনের অনুরোধ করতে পারেন। প্রতিষ্ঠানটিকে ১৪ দিনের মধ্যে সংশোধন করতে হবে।

৩. সম্মতি প্রত্যাহারের অধিকার (ধারা ৩৮)

যেকোনো সময় আপনি আপনার তথ্য প্রক্রিয়াকরণের সম্মতি প্রত্যাহার করতে পারেন। তবে এতে আপনার পাওয়া সেবায় প্রভাব পড়তে পারে — যেমন টেলিকম কোম্পানি থেকে সম্মতি প্রত্যাহার করলে তারা হয়তো আপনার বিল প্রসেস করতে পারবে না।

৪. ডাইরেক্ট মার্কেটিংয়ে তথ্য ব্যবহার বন্ধ করানোর অধিকার (ধারা ৪৩)

যেকোনো প্রতিষ্ঠানকে আপনি নির্দেশ দিতে পারেন, যেন তারা ডাইরেক্ট মার্কেটিংয়ের কাজে আপনার তথ্য আর ব্যবহার না করে। এ কারণেই আপনি কোম্পানিগুলোকে প্রচারমূলক SMS ও ইমেইল পাঠানো বন্ধ করতে বলতে পারেন।

কাজের টিপস: অনাকাঙ্ক্ষিত মার্কেটিং মেসেজ পেলে "STOP" লিখে উত্তর দিন, অথবা PDPA-র ধারা ৪৩ উল্লেখ করে সরাসরি প্রতিষ্ঠানটির সঙ্গে যোগাযোগ করুন।

৫. ক্ষতির আশঙ্কা থাকলে প্রক্রিয়াকরণ বন্ধ করানোর অধিকার (ধারা ৪২)

তথ্য প্রক্রিয়াকরণের ফলে যদি উল্লেখযোগ্য ক্ষতি বা মানসিক কষ্ট হয় বা হওয়ার আশঙ্কা থাকে, তাহলে আপনি তা বন্ধ করার অনুরোধ করতে পারেন।

৬. জানার অধিকার (সাধারণ নীতি)

প্রতিষ্ঠানগুলোকে আপনাকে জানাতে হবে:

• তারা কোন তথ্য সংগ্রহ করছে
• কেন সংগ্রহ করছে
• কাদের সঙ্গে তা শেয়ার করতে পারে
• তথ্য দেওয়া বাধ্যতামূলক নাকি ঐচ্ছিক
• তথ্য দেখা ও সংশোধন করার ব্যাপারে আপনার অধিকার

কোনো সেবায় সাইন আপ করার সময় যে প্রাইভেসি নোটিশগুলো চোখে পড়ে (আর সাধারণত এড়িয়ে যান), সেগুলোর উদ্দেশ্য এটাই।

৭. ক্ষতিপূরণের অধিকার

কোনো প্রতিষ্ঠান PDPA লঙ্ঘন করলে এবং তাতে আপনার ক্ষতি হলে, আপনি আদালতের মাধ্যমে ক্ষতিপূরণ চাইতে পারেন।

তথ্য সুরক্ষার সাতটি নীতি

PDPA সাতটি নীতি নির্ধারণ করেছে, যা প্রতিষ্ঠানগুলোকে মেনে চলতে হয়:

নীতি	এর অর্থ
সাধারণ নীতি	সম্মতি নিতে হবে; সংশ্লিষ্ট ব্যক্তিকে জানাতে হবে
নোটিশ ও পছন্দ	তথ্য সংগ্রহের আগে স্পষ্ট প্রাইভেসি নোটিশ দিতে হবে
প্রকাশ	ঘোষিত উদ্দেশ্যের বাইরে তথ্য শেয়ার করা যাবে না
নিরাপত্তা	তথ্য হারানো, অপব্যবহার ও অননুমোদিত প্রবেশ থেকে রক্ষা করতে হবে
সংরক্ষণকাল	প্রয়োজনের চেয়ে বেশি সময় তথ্য রাখা যাবে না
তথ্যের যথার্থতা	তথ্য নির্ভুল ও হালনাগাদ রাখতে হবে
প্রবেশাধিকার	সংশ্লিষ্ট ব্যক্তিকে নিজের তথ্য দেখতে ও সংশোধন করতে দিতে হবে

PDPA-র অধীনে কীভাবে অভিযোগ করবেন

কোনো প্রতিষ্ঠান আপনার প্রাইভেসি অধিকার লঙ্ঘন করেছে বলে মনে হলে:

1. প্রথমে প্রতিষ্ঠানটির কাছেই অভিযোগ করুন। বেশিরভাগ প্রতিষ্ঠানেই নির্দিষ্ট ডেটা সুরক্ষা কর্মকর্তা বা অভিযোগ জানানোর চ্যানেল থাকে।
2. সমাধান না হলে ব্যক্তিগত তথ্য সুরক্ষা কমিশনারের (PDPC) কাছে অভিযোগ দায়ের করুন:
   • অনলাইন: www.pdp.gov.my
   • ইমেইল: [email protected]
   • ফোন: 03-8000 8000
3. প্রমাণ দিন: স্ক্রিনশট, যোগাযোগের কপি এবং আপনার তথ্য কীভাবে অপব্যবহার করা হয়েছে তার বিবরণ।

কমিশনার তদন্ত করতে, এনফোর্সমেন্ট নোটিশ জারি করতে এবং গুরুতর লঙ্ঘনের ক্ষেত্রে সর্বোচ্চ RM500,000 জরিমানা বা সর্বোচ্চ তিন বছরের কারাদণ্ড দিতে পারেন।

দৈনন্দিন জীবনে PDPA লঙ্ঘনের প্রচলিত উদাহরণ

যে মার্কেটিং মেসেজ থেকে মুক্তি মেলে না

তালিকা থেকে নাম বাদ দেওয়ার অনুরোধ করার পরও কোনো কোম্পানি থেকে প্রচারমূলক SMS বা কল আসতেই থাকছে। এটি ধারা ৪৩-এর লঙ্ঘন। মেসেজগুলোর রেকর্ড রাখুন এবং অভিযোগ দায়ের করুন।

যে ব্যবসা অতিরিক্ত তথ্য ছড়ায়

একজন প্রপার্টি এজেন্ট আপনার সম্মতি ছাড়াই আপনার ফোন নম্বর ও IC-র বিবরণ একাধিক তৃতীয় পক্ষের সঙ্গে শেয়ার করছেন। এটি প্রকাশ নীতির লঙ্ঘন।

প্রাইভেসি নোটিশ নেই

একটি ক্লিনিক আপনার তথ্য কীভাবে ব্যবহার করবে তা ব্যাখ্যা করে কোনো প্রাইভেসি নোটিশ না দিয়েই আপনার IC নম্বর ও চিকিৎসা-সংক্রান্ত তথ্য সংগ্রহ করছে। এটি নোটিশ ও পছন্দ নীতির লঙ্ঘন।

ডেটা লিকের খবর চেপে যাওয়া

কোনো কোম্পানিতে ডেটা লিক হয়ে আপনার ব্যক্তিগত তথ্য ঝুঁকিতে পড়েছে, কিন্তু তারা আপনাকে জানায়নি। বর্তমান PDPA-তে ডেটা লিকের কথা বাধ্যতামূলকভাবে জানানোর কোনো বিধান নেই (এটি একটি পরিচিত ফাঁক), তবে এ নিয়ে সংশোধনী বিবেচনাধীন রয়েছে।

নিজের তথ্য নিজে রক্ষা করুন

PDPA একটি আইনি কাঠামো দিলেও ব্যক্তিগত সতর্কতাও সমান গুরুত্বপূর্ণ:

• সম্মতি দেওয়ার আগে প্রাইভেসি নোটিশ পড়ুন। কোন তথ্য সংগ্রহ করা হচ্ছে আর কাদের সঙ্গে শেয়ার করা হচ্ছে, দেখে নিন।
• প্রশ্ন করুন, "এটা কি সত্যিই দরকার?" — যখন কোনো প্রতিষ্ঠান আপনার IC নম্বর বা অন্য সংবেদনশীল তথ্য চায়। অনেক অনুরোধই আইনত যতটুকু প্রয়োজন, তার চেয়ে বেশি।
• যতটা সম্ভব কম তথ্য দিন কোনো সেবায় নিবন্ধনের সময়। কোনো ঘর ঐচ্ছিক হলে ফাঁকা রাখুন।
• নিয়মিত যাচাই করুন, ফোনের অ্যাপগুলোকে কী কী অনুমতি দিয়ে রেখেছেন।

ডিজিটালভাবে ব্যক্তিগত তথ্য শেয়ার করা

বিমার আবেদন, প্রপার্টি লেনদেন বা চাকরির আবেদনের জন্য বিশ্বস্ত কারও সঙ্গে IC নম্বর, ব্যাংক অ্যাকাউন্টের বিবরণ বা অন্য ব্যক্তিগত তথ্য শেয়ার করতে হলে সেগুলো অরক্ষিত WhatsApp মেসেজ বা ইমেইলে পাঠাবেন না।

LOCK.PUB দিয়ে আপনি পাসওয়ার্ড-সুরক্ষিত, এনক্রিপ্টেড লিংকের মাধ্যমে সংবেদনশীল ব্যক্তিগত তথ্য শেয়ার করতে পারেন, যেগুলো নির্দিষ্ট সময় পেরোলে আর খোলে না (Pro)। MyKad-এর ছবি বা আর্থিক ডকুমেন্ট শেয়ার করার সময় এটি বিশেষভাবে কাজে আসে, কারণ তথ্যগুলো কারও চ্যাট হিস্ট্রিতে স্থায়ীভাবে জমা থাকে না।

সামনে কী আসছে: PDPA সংশোধনী

মালয়েশিয়ার PDPA বড় ধরনের পর্যালোচনার মধ্য দিয়ে যাচ্ছে। প্রস্তাবিত সংশোধনীর মধ্যে আছে:

• ডেটা লিক হলে বাধ্যতামূলক বিজ্ঞপ্তি — প্রতিষ্ঠানগুলোকে নির্দিষ্ট সময়ের মধ্যে ক্ষতিগ্রস্ত ব্যক্তিদের জানাতে হবে।
• ডেটা পোর্টেবিলিটি — এক সেবাদাতা থেকে আরেক সেবাদাতার কাছে নিজের তথ্য সরিয়ে নেওয়ার সুযোগ।
• ডেটা সুরক্ষা কর্মকর্তা নিয়োগ — বড় প্রতিষ্ঠানগুলোর জন্য বাধ্যতামূলক।
• আন্তঃসীমান্ত তথ্য স্থানান্তরে বিধিনিষেধ — মালয়েশিয়ার বাইরে তথ্য পাঠানোর ওপর কড়া নিয়ন্ত্রণ।

এই পরিবর্তনগুলো PDPA-কে ইউরোপীয় ইউনিয়নের GDPR-এর মতো আন্তর্জাতিক মানদণ্ডের আরও কাছাকাছি নিয়ে যাবে।

নিজের অধিকার জানুন

PDPA আপনাকে সুরক্ষা দেওয়ার জন্যই, তবে তা কাজে আসে কেবল তখনই, যখন আপনি নিজের অধিকার জানেন এবং তা প্রয়োগ করেন। এরপর কোনো কোম্পানি আপনার IC নম্বর চাইলে জিজ্ঞেস করুন, কেন তাদের এটি দরকার আর তারা কীভাবে এটি সুরক্ষিত রাখবে। আপনার ব্যক্তিগত তথ্যের মূল্য আছে — সেভাবেই এর যত্ন নিন।

---

নিজের প্রাইভেসির নিয়ন্ত্রণ নিজের হাতে নিন। LOCK.PUB-এ পাসওয়ার্ড-সুরক্ষিত লিংক দিয়ে নিরাপদে ব্যক্তিগত তথ্য শেয়ার করুন।