यूरोपीय विनियमन on Arpokrat

एआई और वकील की गोपनीयता: वह तीसरा पक्ष जिस पर मुकदमा नहीं चल सकता

Mon, 24 Aug 2026 00:00:00 +0000

जब एफबीआई ने प्रतिभूति धोखाधड़ी के आरोपी कंपनी अधिकारी ब्रैडली हेपनर के उपकरण जब्त किए, तो एजेंटों को उनमें इकतीस ऐसे दस्तावेज़ मिले जो एक नई किस्म के थे। न वे ईमेल थे, न नोट्स, न उनके वकील के साथ हुआ पत्राचार। वे आम उपभोक्ताओं के लिए बने एक कृत्रिम बुद्धिमत्ता मंच के साथ उनकी बातचीत थी, जिसमें उन्होंने अपनी बचाव रणनीति खोलकर रखी थी, उन तथ्यात्मक और कानूनी दलीलों को तौला था जो वे रख सकते थे, और यह भी भाँप लिया था कि अभियोजन उन पर क्या लगाएगा। यह बातचीत उन्होंने ग्रैंड जूरी के सामने पेश होने का समन मिलने के बाद की थी, और अपने वकील के कहे बिना की थी।

10 फरवरी 2026 को न्यूयॉर्क के दक्षिणी जिले की संघीय अदालत के न्यायाधीश जेड राकॉफ ने माना कि इन दस्तावेज़ों पर कोई संरक्षण लागू नहीं होता।

उसी दिन, आठ सौ किलोमीटर दूर, एक दूसरी संघीय अदालत ने ठीक उल्टा माना।

दो फैसले, दो सिद्धांत, एक ही कृत्य

Warner v. Gilbarco में मिशिगन के पूर्वी जिले की संघीय अदालत ने बिना वकील के मुकदमा लड़ रही एक वादी को यह बाध्य करने से इनकार कर दिया कि वह अपना मामला तैयार करते समय जनरेटिव एआई उपकरणों के इस्तेमाल के निशान पेश करे। तर्क एक ही वाक्य में समा जाता है: एआई मंच उपकरण हैं, व्यक्ति नहीं। किसी दस्तावेज़ को उपकरण को सौंपना उसे प्रतिपक्षी को उजागर करना नहीं है। इस तरह मुकदमे की तैयारी सामग्री का संरक्षण, जिसे अमेरिकी कानून work product कहता है, बचा रहा।

United States v. Heppner में, जिसका लिखित कारण 17 फरवरी को प्रकाशित हुआ, न्यूयॉर्क की अदालत इस निष्कर्ष पर पहुँची कि अभियुक्त की मंच के साथ हुई बातचीत न तो वकील-मुवक्किल गोपनीयता के दायरे में है और न तैयारी सामग्री के संरक्षण के। अदालत ने मंच की सामान्य शर्तों का सहारा लिया, जिनमें कहा गया है कि इनपुट और आउटपुट संग्रहीत किए जा सकते हैं, प्रशिक्षण में इस्तेमाल हो सकते हैं और सार्वजनिक प्राधिकरणों सहित तीसरे पक्षों को दिए जा सकते हैं। इस बात से अवगत उपयोगकर्ता उचित रूप से गोपनीयता की उम्मीद नहीं कर सकता था।

दोनों नतीजे पूरी तरह बचाव योग्य हैं। वकील की गोपनीयता तभी गिर जाती है जब किसी भी तीसरे पक्ष को खुलासा हो जाए, वह कोई भी हो। तैयारी सामग्री का संरक्षण केवल प्रतिपक्षी को खुलासे पर गिरता है। दो अलग सिद्धांत, एक ही कृत्य, दो विपरीत परिणाम।

जिस बात की जाँच दोनों में से कोई फैसला नहीं करता, वह है वह मान्यता जो दोनों में साझा है। और यही मान्यता बाकी कानून के सामने टिक नहीं पाती।

वह तुलना जो कोई नहीं करता

मुवक्किलों की फाइलें किसी होस्टिंग प्रदाता को सौंपना अपने आप में कभी गोपनीयता के त्याग के रूप में नहीं देखा गया।

जबकि होस्टिंग प्रदाता निर्विवाद रूप से तीसरा पक्ष है। वह दस्तावेज़ अपने ही उपकरणों पर रखता है। उसे पेश करने के लिए बाध्य किया जा सकता है, और कई अधिकार-क्षेत्रों में किया भी गया है। फिर भी किसी बार काउंसिल, किसी अदालत, किसी पेशेवर नियामक ने इससे यह नहीं निकाला कि होस्टिंग सेवा का सहारा लेना सैद्धांतिक रूप से गोपनीयता को नष्ट कर देता है।

तो विभाजन-रेखा कभी किसी तकनीकी मध्यस्थ की महज़ मौजूदगी नहीं रही। मध्यस्थ हमेशा होता है। डाक चिट्ठी ढोती है। कूरियर फाइल थामे रहता है। ऑपरेटर कॉल आगे बढ़ाता है। हर एक शाब्दिक अर्थ में तीसरा पक्ष है, और कोई भी अपनी महज़ मौजूदगी से गोपनीयता नहीं गिराता।

होस्टिंग प्रदाता को जो चीज़ अलग करती थी, वह उससे कहीं संकरी और सटीक थी जो न्यायिक मिसालें आमतौर पर कहती हैं। वह पढ़े बिना संग्रह करता था। वह सामग्री से कुछ नहीं निकाल सकता था। उसके पास यह जानने की कोई क्षमता नहीं थी कि वह क्या रखे हुए है।

होस्टिंग प्रदाता की रक्षा उसकी तीसरे पक्ष वाली कानूनी हैसियत नहीं कर रही थी, बल्कि यह तकनीकी अक्षमता कर रही थी कि वह जान ही नहीं सकता था कि उसके पास क्या है।

यह कसौटी दो दशकों से चुपचाप काम कर रही है। किसी को इसे लिखने की ज़रूरत नहीं पड़ी, क्योंकि अब तक किसी मध्यस्थ ने इसे नाकाम नहीं किया था।

न्यायाधीश असल में क्या तय कर रहे हैं

एक बार कसौटी कह दी जाए, तो फरवरी के फैसले अपना स्वभाव बदल देते हैं।

जो अदालत किसी दस्तावेज़ को जनरेटिव एआई को सौंपने को तीसरे पक्ष के सामने खुलासा मानती है, वह पुराने नियम को नए तथ्यों पर लागू नहीं कर रही। वह यह पा रही है कि यह खास मध्यस्थ बाकियों जैसा नहीं है। कि वह संग्रह करने के बजाय संसाधित करता है। कि उसके भीतर कुछ ऐसा होता है जो किसी हार्ड डिस्क के भीतर नहीं होता।

कंसास की संघीय अदालत ने 25 मार्च 2026 को Jefferies v. Harcros Chemicals में व्यावहारिक पहलू बेलाग कह दिया। उसने संरक्षण आदेश को कार्यवाही की सारी सामग्री तक बढ़ा दिया, उन दस्तावेज़ों तक भी जो गोपनीय नहीं हैं, इस आधार पर कि किसी खुले एआई उपकरण को डेटा सौंपे जाने के बाद उसे वापस पाना व्यावहारिक रूप से असंभव है, क्योंकि वह मॉडल को प्रशिक्षित करने के काम आ चुका होता है। संग्रहण कोई पुनः बातचीत के योग्य व्यावसायिक नीति नहीं है। यह सिस्टम के काम करने के तरीके का गुण है।

इन फैसलों को एक साथ रखिए तो वे साक्ष्य-कानून की शब्दावली में एक ऐसी क्षमता को मान्यता देने के बराबर हैं, जिसे कानून को किसी सर्वर के लिए कभी मानना नहीं पड़ा।

फ्रांसीसी रुख, और उसकी कसौटियाँ क्या मान लेती हैं

सबसे स्पष्ट कथन किसी अदालत से नहीं, बल्कि पेशेवर नियमन से आता है।

फ्रांस की राष्ट्रीय बार परिषद Conseil national des barreaux ने सितंबर 2024 में जनरेटिव एआई पर अपनी पहली व्यावहारिक मार्गदर्शिका प्रकाशित की, और फिर 17 मार्च 2026 को पेशेवर नैतिकता और कृत्रिम बुद्धिमत्ता पर एक मार्गदर्शिका अपनाई . पहली मार्गदर्शिका केंद्रीय बिंदु पर साफ है: वकील को जनरेटिव एआई सिस्टम को ऐसा कोई डेटा नहीं देना चाहिए जो पेशेवर गोपनीयता के दायरे में आता हो, और यह मुवक्किल के नाम पर भी उतना ही लागू होता है जितना किसी भी रणनीतिक या गोपनीय जानकारी पर। सुझाया गया विकल्प है छद्मनामित डेटा सेट पर काम करना, जिनमें पहचान वाले तत्व बदल दिए गए हों।

फ्रांसीसी रुख पर व्यवहारिकों की टिप्पणी, खासकर बेकर मैकेंजी की गोपनीयता तुलनात्मक मार्गदर्शिका , उससे चार संचयी शर्तें निकालती है। गोपनीयता जनरेटिव एआई उपकरण के इस्तेमाल के बाद केवल तभी बची रहती है जब मंच पूरी गोपनीयता बनाए रखे, बिना पुनः उपयोग, प्रशिक्षण या तीसरे पक्ष की पहुँच के; जब वह विशेष रूप से वकील या फर्म के नियंत्रण में चलाया जाए; जब वह सलाह या बचाव के दायित्व में आने वाले किसी कानूनी प्रयोजन की पूर्ति करे; और जब परिणाम सिस्टम की स्वायत्त प्रोसेसिंग के बजाय वकील के अपने तर्क को दर्शाए।

इस आखिरी शर्त पर रुकना बनता है।

गोपनीयता टिकी रहे, इसके लिए ज़रूरी है कि सिस्टम ने अपनी ओर से कोई प्रोसेसिंग न जोड़ी हो।

इन शब्दों में लिखी कसौटी का अर्थ तभी है जब सिस्टम को अपनी ओर से प्रोसेसिंग जोड़ने में सक्षम माना जाए। कोई ऐसा नियम नहीं लिखता जो माँगे कि फाइल की अलमारी ने अपने भीतर रखे कागज़ों पर तर्क न किया हो। यह शर्त इसीलिए है क्योंकि वह उस चीज़ को निशाना बनाती है जो अलमारी नहीं कर सकती।

यही अंतर्निहित स्वीकृति छद्मनामीकरण की सिफारिश में भी बैठी है। भेजने से पहले पहचान वाले तत्व बदलना तभी ज़रूरी है जब यह मान लिया जाए कि सिस्टम अन्यथा उन्हें जोड़ सकता है, रख सकता है या उनसे कुछ निकाल सकता है। शुद्ध भंडारण माध्यम ऐसी किसी सावधानी की माँग नहीं करता।

पढ़ना न चाहना, पढ़ न सकना

एक आपत्ति तुरंत उठती है: होस्टिंग प्रदाता को भी पेश करने के लिए बाध्य किया जा सकता है, तो फिर एक मध्यस्थ गोपनीयता गिरा देता है और दूसरा क्यों नहीं?

जवाब सीसीबीई की यूरोपीय वकीलों के लिए आदर्श आचार संहिता में है, और वह इस आपत्ति की धारणा से ज़्यादा सटीक है। यूरोपीय वकील को अपने सहयोगियों, अपने कर्मचारियों और हर उस व्यक्ति से, जिसका सहारा वह अपनी सेवाएँ देने में लेता है, यही गोपनीयता दायित्व निभाने की माँग करनी होगी। दायित्व शृंखला के साथ-साथ आगे बढ़ता है।

होस्टिंग प्रदाता को इस शृंखला में शामिल किया जा सकता है। वह प्रसंस्करण अनुबंध पर हस्ताक्षर करता है। वह गोपनीयता की प्रतिबद्धताएँ स्वीकार करता है। उसका ऑडिट हो सकता है और चूक होने पर उस पर मुकदमा हो सकता है। तीसरा पक्ष बँधा हुआ है।

जो जनरेटिव एआई मंच सौंपी गई सामग्री को रखता है और उस पर प्रशिक्षण देता है, उसे उसी तरह शृंखला में शामिल नहीं किया जा सकता, क्योंकि जिसे रोकना होगा वह कोई व्यवहार नहीं बल्कि एक वास्तुरचना है। इनपुट डेटा पर प्रशिक्षण न देने की प्रतिबद्धता एक इरादे से जुड़ा वादा है। वह प्रदाता के विरुद्ध लागू की जा सकती है, पर वह यह नहीं बदलती कि सिस्टम किस काम के लिए बनाया गया है, और बाहर से उसकी जाँच भी नहीं हो सकती।

यही पूरा फासला है उस सेवा प्रदाता में जो पढ़ना नहीं चाहता और उस सेवा प्रदाता में जो पढ़ नहीं सकता। शेयरधारक के बदलने, शर्तों के संशोधन या अदालती आदेश को केवल दूसरा झेल पाता है। हमने ठीक यही तंत्र डेटा एक्ट और क्लाउड एक्ट के टकराव के सिलसिले में देखा था: कोई कानूनी गारंटी कभी उस अधिकार-क्षेत्र से ज़्यादा कीमती नहीं होती जो उसे आश्रय देता है, जबकि तकनीकी असंभवता किसी पर निर्भर नहीं करती।

असंतुलन

यहीं विश्लेषण एक असहज जगह पर पहुँचता है।

वही कानूनी व्यवस्था जो गोपनीयता के त्याग का सवाल आने पर प्रसंस्करण की क्षमता मानने को तैयार है, दायित्व का सवाल आने पर कुछ भी मानने से इनकार कर देती है।

इलेक्ट्रॉनिक व्यक्तित्व का प्रस्ताव यूरोपीय संसद ने अपने 16 फरवरी 2017 के रोबोटिक्स पर नागरिक विधि नियमों संबंधी संकल्प के पैरा 59, बिंदु (च) में रखा था। पाठ सुझाता था कि सबसे परिष्कृत स्वायत्त रोबोटों को आगे चलकर ऐसा दर्जा दिया जा सकता है जिससे उन्हें अपने कारण हुए नुकसान के लिए उत्तरदायी ठहराया जा सके। यह प्रस्ताव तब छोड़ दिया गया जब कई सौ विशेषज्ञों द्वारा हस्ताक्षरित एक खुले पत्र ने इसका विरोध किया। उनकी मुख्य आपत्ति ठोस थी: मशीनों को व्यक्तित्व देना एक ऐसा वाहन बना देगा जिससे निर्माता उस दायित्व से पल्ला झाड़ सकेंगे जो असल में उन्हीं का है।

तो रुख स्थिर हो गया। नुकसान पहुँचाने वाला स्वायत्त सिस्टम एक उत्पाद है, एक उपकरण है, उसे तैनात करने वाले का साधन है। उसका कोई कानूनी व्यक्तित्व नहीं है। दायित्व किसी मनुष्य या किसी विधिक व्यक्ति पर लौट आता है, और लौटना भी चाहिए, क्योंकि उसे डालने की और कोई जगह है ही नहीं।

ये दोनों प्रस्थापनाएँ आज एक साथ चल रही हैं।

या तो सिस्टम कानूनी अर्थ में कोई संप्रेषण ग्रहण करने में सक्षम है, और तब उसकी क्षमता को मुवक्किल से उसका संरक्षण छीनने के लिए स्वीकारा जाता है, जबकि किसी पर दायित्व का बोझ न पड़े इसके लिए नकारा जाता है। या फिर वह एक उपकरण है, और उसे दस्तावेज़ सौंपना उतना ही खुलासा है जितना फाइल को डिस्क पर सहेजना, और तब फरवरी का तर्क ढह जाता है।

यूरोपीय संदर्भ इस असंतुलन को सुधारने के बजाय और गहरा करता है। एआई दायित्व निर्देश, जिसे आयोग के फरवरी 2025 के कार्य कार्यक्रम में ही वापस लिया जाना घोषित कर दिया गया था, अक्टूबर 2025 में औपचारिक रूप से छोड़ दिया गया . वही वह साधन था जिसे ठीक इसी कठिनाई से निपटना था। बचता है संशोधित उत्पाद दायित्व निर्देश , जो अब सॉफ्टवेयर और एआई सिस्टम को भी शामिल करता है, पर जो एक दोष, एक नुकसान और एक कारण-संबंध माँगता है, और जो प्राकृतिक व्यक्तियों को शारीरिक क्षति, संपत्ति की हानि और डेटा के विनाश से बचाता है। उसका राष्ट्रीय कानून में रूपांतरण 9 दिसंबर 2026 से पहले देय नहीं है, और वह केवल उसी तारीख के बाद बाजार में आए उत्पादों पर लागू होगा।

अपेक्षित आपत्ति, और जवाब

एक ध्यान से पढ़ने वाला जवाब देगा कि कानून आमतौर पर एक वस्तु को कोई क्षमता देता है और दूसरी को नहीं, और इससे कोई असंगति नहीं बनती। कोई जानवर बिना व्यक्तित्व के भी कानूनी रूप से प्रासंगिक नुकसान कर सकता है। एक व्यापारिक कंपनी को अनुबंध करने के लिए व्यक्तित्व है, हर कानूनी व्यवस्था में हर प्रयोजन के लिए नहीं। इसलिए साक्ष्य के प्रयोजन से प्रसंस्करण क्षमता मानना किसी को दायित्व के प्रयोजन से व्यक्तित्व मानने पर बाध्य नहीं करता। अलग सवाल, अलग जवाब।

यह आपत्ति गंभीर है, और अगर असंतुलन दोनों दिशाओं में काम करता तो निर्णायक होती।

पर वह केवल एक दिशा में काम करता है। जहाँ सिस्टम की क्षमता मान ली जाती है, वहाँ कीमत वह मुवक्किल चुकाता है जिसका संरक्षण मिट जाता है। जहाँ वही क्षमता दायित्व बाँटने के काम आती, वहाँ वह मिलती ही नहीं। नतीजा हमेशा एक ही तरफ गिरता है।

जो असंतुलन व्यवस्थित रूप से एक ही पक्ष का साथ देता है, वह सैद्धांतिक भेद नहीं है। वह जोखिम का बँटवारा है, और उस पर उसी तरह चर्चा होनी चाहिए।

व्यवहार में इसका क्या मतलब है

इसमें से कुछ भी यह नहीं कहता कि कानूनी पेशों को ये उपकरण छोड़ देने चाहिए। यूरोपीय पेशेवर दस्तावेज़ भी ऐसा नहीं कहते, और सीसीबीई ने इस विषय पर अपनी मार्गदर्शिका प्रकाशित की है।

जो यह कहता है, वह यह है कि निर्णायक सवाल यह नहीं है कि कोई फर्म कौन-सा उपकरण चुनती है, बल्कि यह है कि वह उपकरण क्या रखता है, और यह जवाब किसी नीति से आता है या डिज़ाइन के गुण से। न रखने की प्रतिबद्धता वापस ली जा सकती है, नए सिरे से पढ़ी जा सकती है, या अदालती फैसले से किनारे कर दी जा सकती है। जो वास्तुरचना रखती ही नहीं, वह ऐसा नहीं कर सकती, क्योंकि पेश करने को कुछ है ही नहीं।

जो इस सवाल को खँगालना चाहें, उनके लिए संदर्भ दस्तावेज़:

वकीलों द्वारा जनरेटिव एआई के उपयोग पर सीसीबीई मार्गदर्शिका , 2 अक्टूबर 2025 को प्रकाशित, जिसे मार्च 2026 की एक तकनीकी मार्गदर्शिका पूरा करती है
17 मार्च 2026 की Conseil national des barreaux की नैतिकता मार्गदर्शिका , जो गोपनीयता और स्वतंत्रता के पारंपरिक सिद्धांत लागू करती है, बिना एआई के लिए कोई अलग कानून गढ़े
बेकर मैकेंजी की तुलनात्मक मार्गदर्शिका , जो राष्ट्रीय व्यवस्थाओं के बीच का फासला नापने में उपयोगी है

Arpokrat जिस कोण से देखता है

यह तर्क वकीलों की फर्मों से कहीं आगे जाता है। यह हर उस रिश्ते पर लागू होता है जिसमें कोई किसी सिस्टम को ऐसी जानकारी सौंपता है जिसे वह दोबारा उभरते नहीं देखना चाहता, और यह एक ही सवाल पर सिमट आता है: गारंटी किसी वादे पर टिकी है या किसी असंभवता पर?

यही सिद्धांत Arpokrat Messenger के डिज़ाइन को चलाता है। पहचान स्थानीय रूप से क्रिप्टोग्राफिक कुंजियों से बनती है, बिना फोन नंबर और बिना ईमेल पते के, और निजी कुंजियाँ कभी उपकरण नहीं छोड़तीं। यह चुनाव उपयोगकर्ता निर्देशिका का दोहन न करने का वादा नहीं है। यह ऐसी निर्देशिका बनाने से ही इनकार है। जो ढाँचा जानकारी रखता ही नहीं, उसे भेजा गया तलब इनकार नहीं पैदा करता, वह एक खालीपन पैदा करता है।

यह बारीकी ईमानदारी से रखी जानी चाहिए, क्योंकि यही सब कुछ तय करती है। कोई गोपनीयता नीति, चाहे कितनी ही निष्ठावान और कितनी ही अच्छी तरह लिखी हो, एक इरादे का बयान है जो एक कंपनी, उसके उस समय के शेयरधारकों और उस अधिकार-क्षेत्र पर टिका है जहाँ वह स्थापित है। ये तीनों बदलते हैं। जो वास्तुरचना संग्रह ही नहीं करती, वह इसलिए नहीं बदलती कि कोई निदेशक मंडल बदल गया। यह वही खिसकाव है जिसका ज़िक्र हमने आज इकट्ठा करो, बाद में डिक्रिप्ट करो के सिलसिले में किया था: जोखिम उस क्षण में नहीं है जब वादा किया जाता है, वह उस क्षण में है जब कोई और फैसला करता है।

कानून को इस भेद को आत्मसात करने में समय लगता है, और गोपनीयता की यह बहस उसका अच्छा पैमाना देती है। यही बात लोकेशन के संरक्षण पर भी लागू होती है, जहाँ कानूनी ढाँचे का अधिकांश हिस्सा ऐसे डेटा तक पहुँच पर केंद्रित है जिसके अस्तित्व पर कभी सवाल नहीं उठाया जाता।

निष्कर्ष

न्यायिक मिसालें आखिरकार स्थिर हो जाएँगी। अपीलीय अदालतें मतभेद सुलझाएँगी, नियामक कसौटियाँ प्रकाशित करेंगे, फर्में अपने नियुक्ति पत्र और शर्तें दुरुस्त करेंगी। इसमें कोई संदेह नहीं।

पर मूल सवाल इससे तय नहीं होगा, क्योंकि वह असल में गोपनीयता के बारे में है ही नहीं। वह इस बारे में है कि क्या कोई कानूनी व्यवस्था यह मान सकती है कि कोई चीज़ जानती है, और फिर भी कभी न कहना पड़े कि उस जानकारी के साथ वह जो करती है उसका जवाब कौन देगा।

जब तक यह सवाल खुला है, उपयोगकर्ता वास्तव में जिस अकेले चर को नियंत्रित करता है, वह उसे दिए गए वादों की गुणवत्ता नहीं है। वह उस जानकारी की मात्रा है जिसे वह अस्तित्व में आने देता है।

यह लेख चर्चा के लिए एक सामान्य कानूनी विश्लेषण प्रस्तुत करता है। यह कोई परामर्श या कानूनी सलाह नहीं है।

स्रोत

United States District Court for the Eastern District of Michigan, Warner v. Gilbarco Inc., 10 फरवरी 2026, Proskauer का विश्लेषण
United States District Court for the Southern District of New York, United States v. Heppner , 10 फरवरी 2026, 17 फरवरी 2026 का लिखित कारण
United States District Court for the District of Kansas, Jefferies et al. v. Harcros Chemicals Inc. et al. , संख्या 2:25-cv-02352, 25 मार्च 2026
Conseil national des barreaux, सीएनबी ने पेशेवर नैतिकता और कृत्रिम बुद्धिमत्ता पर मार्गदर्शिका अपनाई , 17 मार्च 2026
Baker McKenzie, Global Privilege and Professional Secrecy Guide, France, Artificial Intelligence
CCBE, Model Code of Conduct for European Lawyers , 8 अक्टूबर 2021
CCBE, Guide on the use of generative AI by lawyers , 2 अक्टूबर 2025
यूरोपीय संसद, रोबोटिक्स पर नागरिक विधि नियमों के संबंध में आयोग को सिफारिशों सहित 16 फरवरी 2017 का संकल्प , 2015/2103(INL)
Open Letter to the European Commission on Artificial Intelligence and Robotics
EAPIL, European Commission Withdraws Two Proposals: Assignments of Claims Regulation and AI Liability Directive , 9 अक्टूबर 2025
दोषपूर्ण उत्पादों के दायित्व पर 23 अक्टूबर 2024 का निर्देश (EU) 2024/2853

5G, लोकेशन डेटा और कानून का गलत निशाना

Tue, 18 Aug 2026 00:00:00 +0000

2011 में डेट्रॉइट पुलिस ने एक मोबाइल ऑपरेटर से टिमोथी कार्पेंटर के फोन के टावर-कनेक्शन का इतिहास मांगा। उसे 127 दिनों में फैले 12,898 लोकेशन बिंदु मिले, यानी करीब सौ प्रतिदिन। सात साल बाद अमेरिका के सर्वोच्च न्यायालय ने माना कि यह मांग एक तलाशी थी और उसके लिए वारंट आवश्यक था।

वे 12,898 बिंदु चौथी पीढ़ी के टावरों से आए थे, जिनमें से हर एक कई किलोमीटर के दायरे को कवर करता था। यही मांग आज किसी शहरी 5G नेटवर्क से की जाए तो कुछ किलोमीटर की सटीकता वाले सौ बिंदु प्रतिदिन नहीं मिलेंगे। कुछ दसियों मीटर की सटीकता के साथ कहीं बड़ी मात्रा मिलेगी।

तकनीक का पैमाना बदल गया। कानूनी तर्क श्रृंखला में उसी जगह टिका रहा।

एक हित जिसे अटलांटिक के दोनों ओर के न्यायाधीश मानते हैं

एक ऐसा हित है जिसे लगभग हर कोई स्वीकार करता है और जिसकी प्रभावी रक्षा लगभग कोई कानून नहीं करता: कहीं होने का अधिकार, बिना इस तथ्य के दर्ज हुए।

यूरोपीय न्यायशास्त्र ने इसे स्पष्ट रूप से स्थापित किया। Digital Rights Ireland (संयुक्त मामले C-293/12 और C-594/12, 8 अप्रैल 2014) में और फिर Tele2 Sverige और Watson (संयुक्त मामले C-203/15 और C-698/15, वृहत् पीठ, 21 दिसंबर 2016) में यूरोपीय संघ के न्यायालय ने माना कि ये आंकड़े, समग्र रूप से लिए जाएं तो, व्यक्तियों के निजी जीवन के बारे में अत्यंत सटीक निष्कर्ष निकालने देते हैं: दैनिक जीवन की आदतें, ठहरने के स्थान, आवाजाही, की जाने वाली गतिविधियां और सामाजिक संबंध।

अमेरिका का सर्वोच्च न्यायालय Carpenter v. United States , 585 U.S. 296 (2018) में मिलते-जुलते निष्कर्ष पर पहुंचा। उसने एक ऐसे बिंदु पर जोर दिया जिस पर अमेरिकी विधिशास्त्र ने बहुत लिखा है: इस संग्रह का अपरिहार्य और स्वचालित स्वरूप। कोई किसी टावर से जुड़ने की सहमति नहीं देता; व्यक्ति इसलिए जुड़ा होता है क्योंकि उसके पास चालू फोन है।

तो कानूनी हित मौजूद है, और इस क्षेत्र में महत्व रखने वाली दोनों अदालतें इसे मान्यता देती हैं। समस्या कहीं और है।

5G ने वास्तव में क्या बदला

एक आम भ्रम यह है कि लोकेशन को उस डेटा की तरह देखा जाए जो फोन भेजता है, जैसे कोई संदेश या तस्वीर। ऐसा नहीं है। लोकेशन नेटवर्क के संचालन का भौतिक परिणाम है। ऑपरेटर जानता है कि उपकरण किस टावर से जुड़ा है क्योंकि कॉल पहुंचाने के लिए उसे यह जानना ही पड़ता है। इस सूचना को एन्क्रिप्ट करने वाली कोई कुंजी नहीं है, क्योंकि यह सामग्री नहीं बल्कि स्वयं कनेक्शन का एक गुण है।

ठीक यही बात 5G को तकनीकी नहीं, कानूनी धरातल पर महत्वपूर्ण बनाती है।

पुरानी संरचनाएं चौड़ी सेल पर टिकी थीं। एक 4G टावर आमतौर पर कई किलोमीटर के दायरे को सेवा देता है, और केवल कनेक्शन से निकाली गई स्थिति शहर में सैकड़ों मीटर में, ग्रामीण क्षेत्रों में कभी-कभी दसियों किलोमीटर में मापी जाती थी। 5G बड़े पैमाने के सघनीकरण पर टिका है: शहरी सेल आमतौर पर कुछ सौ मीटर कवर करती हैं, और अभियांत्रिकी साहित्य प्रति वर्ग किलोमीटर चालीस से पचास बेस स्टेशन के घनत्व की बात करता है, जबकि 3G के दौर में यह चार या पांच था।

परिणाम यांत्रिक है। 5G पोजिशनिंग पर एरिक्सन के श्वेतपत्र के अनुसार, केवल कनेक्टिविटी के लिए तैनात अवसंरचना बाहर बीस से पचास मीटर और भीतर एक से तीन मीटर की सटीकता तक पहुंचती है, और अनुकूल शहरी परिस्थितियों में एक मीटर से नीचे चली जाती है। यह कहीं चालू की गई कोई लोकेशन सुविधा नहीं, बल्कि वह है जो नेटवर्क अपनी बनावट से ही जानता है, बिना किसी ऐप के और बिना कोई अनुमति दिए। इन सभी तंत्रों और वास्तव में काम करने वाले प्रतिउपायों को हमने फोन की निरंतर लोकेशन ट्रैकिंग पर अपने लेख में विस्तार से समझाया है।

इस प्रकार हस्तक्षेप कई गुणा बढ़ गया है। लागू कानूनी ढांचा वही है जो 2G और 3G के लिए सोचा गया था। पैमाने के इस बदलाव के साथ कोई नियामक अनुकूलन नहीं आया।

कानून पहुंच की रक्षा करता है, उत्पत्ति की नहीं

यूरोपीय कानून सावधानी से तय करता है कि लोकेशन डेटा तक कौन, किन शर्तों पर और किस नियंत्रण में पहुंच सकता है। निर्देश 2002/58/EC संचार की गोपनीयता का सिद्धांत स्थापित करता है, और न्यायालय ने La Quadrature du Net (संयुक्त मामले C-511/18, C-512/18 और C-520/18, वृहत् पीठ, 6 अक्टूबर 2020) में माना कि इस निर्देश का अनुच्छेद 15(1), चार्टर के अनुच्छेद 7, 8, 11 और 52(1) के आलोक में पढ़ा जाए तो, निवारक उद्देश्य से ट्रैफिक और लोकेशन डेटा के सामान्य और अविभेदित प्रतिधारण को रोकता है। फिर भी न्यायालय ने सीमित अपवाद स्वीकार किए, जब कोई सदस्य राज्य राष्ट्रीय सुरक्षा के लिए ऐसे गंभीर खतरे का सामना कर रहा हो जो वास्तविक और वर्तमान या पूर्वानुमेय हो, बशर्ते प्रभावी नियंत्रण हो।

ये वास्तविक सुरक्षाएं हैं और इन्हें कमतर आंकना अनुचित होगा। पर ये सभी घटना के बाद हस्तक्षेप करती हैं। ये मान लेती हैं कि आंकड़ा मौजूद है, संचित है, और फिर उसके उपयोग की शर्तें तय करती हैं।

पर यदि लोकेशन नेटवर्क के संचालन का अनिवार्य उपोत्पाद है, तो हस्तक्षेप का उपयुक्त बिंदु गोपनीयता नहीं है। वह स्थायित्व है।

संचार पहुंचाने के लिए आवश्यक और तुरंत बाद मिटा दी गई क्षणिक स्थिति निगरानी का उपकरण नहीं है। महीनों तक सहेजा गया स्थितियों का इतिहास है, चाहे उसके इर्द-गिर्द पहुंच की कोई भी गारंटियां क्यों न हों।

दोनों के बीच का अंतर कानूनी नहीं, संरचनात्मक है। और यूरोपीय समय-सारणी इस प्रश्न को सैद्धांतिक नहीं, तात्कालिक बना देती है। सह-विधायकों के बीच सहमति न बनने पर आयोग ने 2025 में ePrivacy विनियमन का प्रस्ताव वापस ले लिया । तब से वह आपराधिक प्रयोजनों के लिए डेटा प्रतिधारण पर एक अलग दस्तावेज पर काम कर रहा है, जिसकी घोषणा 2026 के लिए की गई है और जिसका उद्देश्य 2006 के निर्देश के रद्द होने के बाद बिखर चुकी राष्ट्रीय व्यवस्थाओं में सामंजस्य लाना है। दूसरे शब्दों में, जो पाठ एक दशक तक लोकेशन मेटाडेटा की व्यवस्था तय करेगा, वह इसी समय लिखा जा रहा है, उस तर्क के आधार पर जो किलोमीटर भर की सेल के दौर में गढ़ा गया था।

वह मिसाल जो 5G ने स्वयं बनाई

इस मामले का सबसे रोचक पहलू यह है कि सही उत्तर तकनीकी मानक में पहले से मौजूद है, बस वह किसी और विषय पर लागू है।

4G तक ग्राहक का स्थायी पहचानकर्ता, IMSI, जुड़ते समय रेडियो इंटरफेस पर बिना एन्क्रिप्शन के जाता था। इसी ने IMSI कैचर को संभव बनाया, वे नकली बेस स्टेशन जो इलेक्ट्रॉनिक फ्रंटियर फाउंडेशन के संदर्भ विवरण के अनुसार वैध टावरों से अधिक शक्ति पर प्रसारण करते हैं ताकि उपकरणों को खींचकर उनका पहचानकर्ता पकड़ सकें।

2019 में प्रकाशित 3GPP विनिर्देशों के Release 15 से 5G एक सुरुचिपूर्ण उत्तर देता है। स्थायी पहचानकर्ता, जिसे अब SUPI कहा जाता है, रेडियो इंटरफेस पर SUCI से बदला जा सकता है, यानी एक छिपाया गया पहचानकर्ता जो ग्राहक-विशिष्ट भाग को गृह ऑपरेटर की सार्वजनिक कुंजी से दीर्घवृत्तीय वक्र क्रिप्टोग्राफी द्वारा एन्क्रिप्ट करके प्राप्त होता है। केवल गृह नेटवर्क, जिसके पास संगत निजी कुंजी है, इसे डिक्रिप्ट कर सकता है। हर गणना में परिणाम अलग होता है, जिससे एक सत्र से दूसरे सत्र का सहसंबंध नहीं बन पाता।

अपनाया गया तर्क रेखांकित करने योग्य है, क्योंकि विधायक को ठीक इसी से मार्गदर्शन लेना चाहिए: स्थिति को एन्क्रिप्ट नहीं किया जाता, जो तकनीकी रूप से असंभव होता, बल्कि पहचान को एन्क्रिप्ट किया जाता है। जिस स्थिति से कोई पहचान न जोड़ी जा सके, उसका व्यक्तिगत निगरानी के लिए मूल्य बहुत सीमित है।

खामी: एक वैकल्पिक सुरक्षा

फिर भी एक बड़ी शर्त है, और हमारे मत में यही पूरे मामले में हस्तक्षेप का सबसे ठोस बिंदु है।

राष्ट्रीय मानक एवं प्रौद्योगिकी संस्थान द्वारा मार्च 2026 में प्रकाशित श्वेतपत्र NIST CSWP 36A इसे बिना लाग-लपेट कहता है। Release 15 या उससे बाद के अनुरूप उपकरण और नेटवर्क कार्य SUCI का समर्थन करने के लिए बाध्य हैं, पर उसे चालू करना ऑपरेटर की मर्जी पर बना रहता है। तीन शर्तें एक साथ पूरी होनी चाहिए: उपकरण निर्माता उसका समर्थन करे, ऑपरेटर उसे अपने नेटवर्क पर चालू करे, और सिम कार्ड में गणना के लिए आवश्यक तत्व मौजूद हों।

इसमें एक विन्यास-संबंधी जाल भी जुड़ता है। मानक में एक शून्य सुरक्षा योजना का प्रावधान है, जिसमें SUCI का प्रारूप औपचारिक रूप से प्रयुक्त होता है पर वास्तविक एन्क्रिप्शन के बिना, यानी पहचानकर्ता खुले रूप में जाता है। NIST लिखता है कि ऑपरेटर को अपना नेटवर्क शून्य से भिन्न सुरक्षा योजना के साथ विन्यस्त करना आवश्यक है, और याद दिलाता है कि संघीय संचार आयोग की सलाहकार संस्था CSRIC की एक रिपोर्ट ने 2021 में ही सिफारिश की थी कि शून्य योजना केवल उन आपात कॉलों तक सीमित रखी जाए जो नेटवर्क के लिए अनजान उपकरण से की गई हों।

इस कथन को ज्यों का त्यों रहने देना उचित है। मोबाइल उपकरणों की ट्रैकिंग के विरुद्ध उपलब्ध सर्वोत्तम सुरक्षा 2019 से तकनीकी मानक में मौजूद है। वह ऑपरेटर के विवेक पर छोड़े गए एक विन्यास-विकल्प पर टिकी है। एक अमेरिकी संघीय एजेंसी 2026 में यह याद दिलाने के लिए दस्तावेज प्रकाशित करना उपयोगी समझती है कि उसे चालू किया जाना चाहिए। और कोई यूरोपीय कानूनी दस्तावेज उसे अनिवार्य नहीं करता।

यह जोड़ना होगा कि SUCI से विषय समाप्त नहीं होता। 5G SUCI-catchers: still catching them all? शीर्षक से प्रस्तुत कार्य ऐसे लिंकेबिलिटी हमलों का दस्तावेजीकरण करता है जो एन्क्रिप्शन के बावजूद सत्रों को फिर से जोड़ने देते हैं, और यदि हमलावर उपकरण को पुरानी पीढ़ी पर लौटने को बाध्य कर दे तो सुरक्षा पूरी तरह ढह जाती है। इसलिए कोई कानूनी बाध्यता सब कुछ हल नहीं करेगी। फिर भी वह एक ऐसा अंतर मिटा देगी जिसका कोई बचाव-योग्य औचित्य नहीं: मानक जो अनुमति देता है और वाणिज्यिक नेटवर्क जो करते हैं, उनके बीच का अंतर।

तीन सुसंगत हस्तक्षेप

यदि इस विचार को गंभीरता से लिया जाए कि लोकेशन को बाद में सुरक्षित करने के बजाय डिजाइन से ही न्यूनतम किया जाना चाहिए, तो तार्किक रूप से तीन उपाय सामने आते हैं।

पहचानकर्ता के प्रभावी छिपाव को अनिवार्य बनाना। SUCI को चालू करना अनिवार्य करना और वाणिज्यिक नेटवर्कों पर शून्य सुरक्षा योजनाओं पर रोक लगाना, आपात कॉलों के अवशिष्ट मामले को छोड़कर। बात किसी नई तकनीक को निर्धारित करने या तैनाती के वित्तपोषण की नहीं है, बल्कि सात साल पहले मानकीकृत और उपकरणों में पहले से मौजूद एक सुविधा को चालू करने की मांग की है।
प्रतिधारण को अपवाद मानना, चूक-व्यवस्था नहीं। संचार पहुंचाने के लिए आवश्यक स्थिति उस कार्य के पूरा होते ही मिटा दी जानी चाहिए। इतिहास बनाने के लिए विशिष्ट औचित्य अपेक्षित होना चाहिए। यही अंतर है उस नेटवर्क में जो जानता है कि आप कहां हैं और उस नेटवर्क में जो याद रखता है कि आप कहां थे।
कुंजी की अभिरक्षा को प्रासंगिक संबंध-कारक बनाना। यदि आंकड़ों को पठनीय बनाने वाली कुंजियां कहीं और हों तो संघ में सर्वर होने का बहुत अर्थ नहीं। कानूनी रूप से सार्थक कसौटी डिक्रिप्शन के साधनों पर वास्तविक नियंत्रण होनी चाहिए, यह प्रश्न हमने Data Act और CLOUD Act के टकराव के संदर्भ में विस्तार से देखा है।

वह दृष्टिकोण जिसका Arpokrat अनुसरण करता है

यह तर्क केवल दूरसंचार कानून का नहीं है। यही तर्क हम अपनी संरचनात्मक पसंदों पर लागू करते हैं, और वह एक वाक्य में समा जाता है: जो उत्पन्न ही नहीं हुआ, उसे सुरक्षा की जरूरत नहीं।

इसीलिए ArpokratOS GPS, ब्लूटूथ और NFC को किसी मेनू में बंद करने के बजाय कर्नेल स्तर पर हटा देता है। एक स्विच एक नीति है: कोई विशेषाधिकार-प्राप्त घटक उसे दरकिनार कर सकता है, कोई अपडेट उसे फिर चालू कर सकता है, कोई समझौता किया गया तंत्र उसे अनदेखा कर सकता है। कोड-पथ हटा देने से प्रश्न ही समाप्त हो जाता है। यह उसी बदलाव का उपकरण-स्तर पर अनुवाद है जिसकी हम कानून के स्तर पर मांग करते हैं: पहुंच पर नहीं, उत्पत्ति पर हस्तक्षेप।

तुरंत यह भी कहना होगा कि यह क्या नहीं करता। कोई ऑपरेटिंग सिस्टम किसी उपकरण को नेटवर्क की ज्यामिति से बाहर नहीं निकालता। जब तक सिम कार्ड सक्रिय है, ऑपरेटर जुड़ी हुई सेल जानता है, और पूरे ट्रैफिक को Tor से भेजने से भी कुछ नहीं बदलता, क्योंकि वह सामग्री और गंतव्य की रक्षा करता है, रेडियो परत की नहीं। ठीक इसीलिए यह विषय कानूनी है। जोखिमों की एक श्रेणी ऐसी है जिसे कोई व्यक्तिगत विन्यास कम नहीं करता, और जिसके लिए एकमात्र उपलब्ध चर ऑपरेटर पर लागू नियम है।

यही चिंता हमारे बाकी काम को भी संचालित करती है। जो आंकड़ा मौजूद ही नहीं, उसे न जब्त किया जा सकता है, न बेचा, न बाहर निकाला, न दस साल बाद उस मशीन से डिक्रिप्ट किया जिसे आज कोई नहीं रखता; इस प्रश्न को हमने अभी काटकर बाद में तोड़े जाने वाले एन्क्रिप्शन के कोण से देखा है।

निष्कर्ष

मोबाइल निगरानी पर सार्वजनिक बहस लगभग पूरी तरह पहुंच पर केंद्रित है: आंकड़े कौन देख सकता है, किस आधार पर, किस अनुमति से। यह बहस वैध है, और 2014 से न्यायालय द्वारा दिए गए निर्णयों के ठोस परिणाम हुए हैं। पर वह श्रृंखला में बहुत देर से हस्तक्षेप करती है।

उससे पहले का, और अधिक निर्णायक प्रश्न यह है कि इतिहास होना ही चाहिए या नहीं। आज किसी वैध कारण से बनाया गया भंडार कल किसी और कारण के लिए उपलब्ध रहता है, और उसके इर्द-गिर्द की गारंटियां बाद के राजनीतिक निर्णयों पर निर्भर करती हैं, जिन पर संग्रह के समय किसी का वश नहीं होता। यह संस्थाओं की स्थिरता पर लगाया गया दांव है, ऐसी अवधि के लिए जिसे कोई तय नहीं करता।

5G ने इस सूचना का विभेदन कई गुना बढ़ा दिया और कोई नियामक अनुकूलन नहीं हुआ। साथ ही उसने SUCI की व्यवस्था से यह भी दिखा दिया कि व्यवहार्य रास्ता नेटवर्क के किसी भौतिक गुण को एन्क्रिप्ट करने की कोशिश नहीं, बल्कि स्थिति को पहचान से अलग करना है। तकनीकी मानक ने उत्तर तब दे दिया था जब कानून ने प्रश्न पूछने में सात साल और लगाए।

डेटा प्रतिधारण पर यूरोपीय पाठ अभी लिखा जा रहा है। वह मेटाडेटा से जुड़ा होगा, यानी लोकेशन से, यानी उससे जो 5G आज ऐसी सूक्ष्मता से उत्पन्न करता है जिसे उसके लेखकों ने नहीं जाना। वह एक ऐसे इतिहास तक पहुंच व्यवस्थित करने भर से संतुष्ट रहेगा जिसे दिया हुआ मान लिया गया है, या उस इतिहास की आवश्यकता पर ही प्रश्न उठाने का साहस करेगा, यह संभवतः आने वाले वर्षों में यूरोप का सबसे महत्वपूर्ण निजता-प्रश्न है। और यह वह प्रश्न है जिसे तकनीकी क्षेत्र ने, एक बार सही, पहले ही उचित दिशा में तय कर दिया है।

स्रोत

यूरोपीय संघ का न्यायालय, Digital Rights Ireland , संयुक्त मामले C-293/12 और C-594/12, 8 अप्रैल 2014
यूरोपीय संघ का न्यायालय, Tele2 Sverige और Watson , संयुक्त मामले C-203/15 और C-698/15, वृहत् पीठ, 21 दिसंबर 2016
यूरोपीय संघ का न्यायालय, La Quadrature du Net एवं अन्य , संयुक्त मामले C-511/18, C-512/18 और C-520/18, वृहत् पीठ, 6 अक्टूबर 2020
संयुक्त राज्य अमेरिका का सर्वोच्च न्यायालय, Carpenter v. United States , 585 U.S. 296, 2018
राष्ट्रीय मानक एवं प्रौद्योगिकी संस्थान, Protecting Subscriber Identifiers with Subscription Concealed Identifier (SUCI) , NIST CSWP 36A, मार्च 2026
एरिक्सन, 5G positioning: Locating devices anywhere
Merlin Chlosta एवं अन्य, 5G SUCI-catchers: still catching them all? , ACM WiSec, 2021
इलेक्ट्रॉनिक फ्रंटियर फाउंडेशन, Gotta Catch ‘Em All: Understanding How IMSI-Catchers Exploit Cell Networks
European Digital Rights, The ePrivacy Regulation proposal has been withdrawn, but the fight for your privacy is far from over
heise online, Data Retention: Commission to present proposal by mid-2026