आईओटी सेवाहरूमा सङ्कलित डाटाको प्रयोग र कानूनी चुनौतिहरू

हालका वर्षहरूमा, स्मार्ट घरेलु उपकरणहरू जस्तै IoT उपकरणहरू पनि घरहरूमा प्रवेश गर्दै छन्। यी उपकरणहरू अत्यन्त सुविधाजनक छन् तर इन्टरनेटमा जडान भएको हुनाले, जानकारी चुहावटको संकटमा पनि रहेका छन्। IoT व्यापार सुरु गर्दा, घरेलु उपकरणको सुरक्षामात्र होइन, साइबर आक्रमणबाट पनि बच्न सक्ने नेटवर्कको सुरक्षा व्यवस्थापन पनि महत्वपूर्ण चुनौती बन्दै गएको छ।

जापानमा ध्यान दिएमा, व्यक्तिगत जानकारीको चुहावटको समस्या पहिले नै गम्भीर बन्दै गएको छ, र टोक्यो वाणिज्य तथा उद्योग अनुसन्धानले २०२१ (२०२१) मा भएका सूचीबद्ध कम्पनीहरूका व्यक्तिगत जानकारी चुहावट र हराइका घटनाहरू अहिलेसम्मकै सर्वाधिक १३७ घटनाहरू र ५७४ लाख मानिसहरूको जानकारी सम्बन्धित रहेको रिपोर्ट गरेको छ।

यस लेखमा, हामी IoT सेवाहरूबाट संकलित डाटाको सुरक्षित प्रयोगका लागि जान्नुपर्ने जापानी कानूनी विनियमनहरूको विवरण गर्नेछौं।

जापानमा IoT व्यापारसँग सम्बन्धित कानूनी विनियमनहरू

IoT भन्नाले ‘Internet of Things’ को छोटकरी हो, जसलाई सीधा अनुवाद गर्दा ‘वस्तुहरूको इन्टरनेट’ भनिन्छ। अर्थात्, हामी दैनिक जीवनमा प्रयोग गर्ने वस्तुहरूलाई इन्टरनेटमा जडान गरी, दूरस्थ नियन्त्रण वा स्वचालित पहिचान र नियन्त्रण क्षमता प्रदान गर्दै, जीवनलाई झन् सुविधाजनक बनाउने प्रणाली र सेवाहरूलाई जनाउँछ।

घरेलु उपकरणको हार्डवेयर पक्षमा, प्रत्यक्ष रूपमा प्रयोगकर्ताको शरीरमा प्रभाव पार्न सक्ने सम्भावना भएकोले, कडा विनियमनहरू लागू गरिएका छन्।

त्यसैगरी, सफ्टवेयर पक्षमा, सञ्चार नेटवर्कलाई विनियमन गर्ने जापानी रेडियो कानून (Japanese Radio Law) र इलेक्ट्रिक कम्युनिकेशन बिजनेस कानून (Japanese Electric Communication Business Law) अनुसार, व्यापार सञ्चालनको लागि दर्ता र सूचना प्रदान गर्नु पर्ने छ।

IoT को हार्डवेयर र सफ्टवेयर पक्षमा लागू हुने कानूनी विनियमनहरूको बारेमा यस लेखमा विस्तृत रूपमा व्याख्या गरिएको छ, त्यसैले कृपया संगसंगै सन्दर्भ लिनुहोस्।

सम्बन्धित लेख: IoT व्यापारमा ध्यान दिनुपर्ने हार्डवेयर र सफ्टवेयर पक्षका कानूनी विनियमनहरूको व्याख्या[ja]

IoT व्यापारमा, परम्परागत उपकरणहरूलाई इन्टरनेटमा जडान गरी, सङ्कलित जानकारीहरू प्रयोग गर्ने प्रकृति रहेको छ। त्यसैले, हार्डवेयर र सफ्टवेयर पक्षका कानूनी विनियमनहरू मात्र होइन, सङ्कलित जानकारीहरूलाई कसरी संसाधन गर्ने भन्ने पनि एक महत्त्वपूर्ण समस्या बन्न सक्छ।

जापानमा IoT द्वारा प्राप्त डाटाको प्रयोगसम्बन्धी कानूनी समस्याहरू

IoT उपकरणहरूले प्रयोगकर्ताका जीवनसम्बन्धी डाटाहरू अनभिप्रेत रूपमा संकलन गर्ने र प्रयोग गर्ने जोखिम बोकेका हुन्छन्।

प्रयोगकर्ता दर्ता गर्दा व्यक्तिगत जानकारीको प्रयोगमा सहमति जनाएको भए पनि, IoT को स्वभावले गर्दा प्रत्येक प्रयोगको समयमा व्यवहार सम्बन्धी जानकारी संकलन गर्ने हुँदा, निम्नलिखित जस्ता समस्याहरू उत्पन्न हुन्छन्:

• व्यक्तिगत जानकारी संरक्षण
• गोपनीयता संरक्षण
• साइबर आक्रमणसँगको सामना

यहाँ हामी IoT उपकरणहरूले समेटेका जापानी कानूनी विषयका विभिन्न समस्याहरूको विश्लेषण गर्नेछौं।

IoT र व्यक्तिगत जानकारी

IoT उपकरणहरूले संकलित गरेका सबै डाटाहरू आफैंमा व्यक्तिगत जानकारीको रूपमा संरक्षणको विषय बन्दैन। यदि प्रयोगकर्ता दर्ता र जीवनशैलीका जानकारीहरू जोडिएर व्यक्तिलाई पहिचान गर्न सकिन्छ भने, त्यस्ता डाटाहरू जापानी व्यक्तिगत जानकारी संरक्षण कानूनको दायरामा पर्दछन्।

त्यसैले, स्मार्ट होम सेवाहरूमा जीवनशैलीका डाटाहरू र प्रयोगकर्ता जानकारीहरू जोडेर प्रदान गर्ने व्यवसायीहरूले, जापानी व्यक्तिगत जानकारी संरक्षण कानूनको द्वितीय अनुच्छेदको पाँचौं उपधारा[ja]का व्यवसायीको रूपमा, निम्नलिखित जिम्मेवारीहरू बहन गर्नुपर्दछ।

＜व्यक्तिगत जानकारी संरक्षण कानूनको १९औं देखि २६औं अनुच्छेदसम्मका जिम्मेवारीहरू＞

• डाटाको सटीकता सुनिश्चित गर्ने र मेटाउने जिम्मेवारी
• सुरक्षा व्यवस्थापन उपायहरूको जिम्मेवारी
• कर्मचारीहरूको निगरानीको जिम्मेवारी
• ठेकेदारहरूको निगरानीको जिम्मेवारी
• तेस्रो पक्षलाई जानकारी प्रदान गर्ने सीमाना र रेकर्ड राख्ने जिम्मेवारी

व्यक्तिगत जानकारी संचालन गर्दा, यथासम्भव प्रयोगको उद्देश्यलाई निर्दिष्ट गर्नुपर्छ र त्यो उद्देश्यलाई सम्बन्धित व्यक्तिलाई सूचित गर्नुपर्छ। यदि प्रयोगको आवश्यकता नरहेमा, व्यक्तिगत जानकारीलाई चाँडै नै प्रक्रिया गर्नुपर्दछ। साथै, जानकारी चुहावटमा अत्यन्तै सावधानी अपनाउनुपर्छ र कर्मचारीहरू र ठेकेदारहरूमा पनि यसलाई कडाईका साथ लागू गर्नुपर्दछ।

मूलतः, प्राप्त गरिएको व्यक्तिगत जानकारीलाई तेस्रो पक्षलाई प्रदान गर्नुमा सीमाना रहेको छ। तर, सेवाको सुधारका लागि कहिलेकाहीं तेस्रो पक्षलाई जानकारी प्रदान गर्नु आवश्यक हुन सक्छ। त्यस्तो अवस्थामा, मूल व्यक्तिगत जानकारीलाई पुनः प्राप्त गर्न नसकिने गरी अनामिक प्रक्रिया अपनाउनुपर्दछ।

यसैगरी, २०२२ अप्रिलमा लागू भएको संशोधित व्यक्तिगत जानकारी संरक्षण कानूनमा, व्यक्तिको अधिकार संरक्षणको मजबूती र व्यवसायीहरूको जिम्मेवारी बढाउने कुराहरूका साथै, विदेशी व्यवसायीहरूलाई तेस्रो पक्षलाई जानकारी प्रदान गर्ने नयाँ व्यवस्था समावेश गरिएको छ।

यस संशोधनले व्यक्तिगत जानकारी संरक्षण आयोगले महत्वपूर्ण मानेका निम्नलिखित पाँच दृष्टिकोणहरू हुन्।

1. व्यक्तिको अधिकार र हितको संरक्षण
2. संरक्षण र प्रयोगको सन्तुलन
3. अन्तर्राष्ट्रिय प्रवाहसँगको सामंजस्य
4. विदेशी व्यवसायीहरूद्वारा जोखिम परिवर्तनको प्रतिक्रिया
5. AI र बिग डाटा युगको प्रतिक्रिया

सन्दर्भ: संशोधित व्यक्तिगत जानकारी संरक्षण कानून सम्बन्धी चेकपोइन्ट[ja]

IoT र गोपनीयता अधिकार

जीवनशैली सम्बन्धी डाटा संकलन गर्दा, यद्यपि ती डाटाहरू व्यक्तिगत जानकारीमा पर्दैनन् भने पनि, तिनीहरूले व्यक्तिको व्यवहार बुझ्न सक्ने हुनाले सावधानीपूर्वक व्यवहार गर्नु आवश्यक छ। उदाहरणका लागि, विद्युत्, ग्यास आदिको प्रयोगको समय सम्बन्धी जानकारीहरू चोरी भएमा खाली घरमा चोरी जस्ता अपराधहरूमा दुरुपयोग गर्न सकिन्छ।

अर्कोतर्फ, स्मार्ट होम सेवाहरूको गुणस्तर बढाउनका लागि व्यक्तिको व्यवहार जानकारी बुझ्न र त्यसलाई उपयोगी बनाउनु आवश्यक छ। गोपनीयता सुरक्षित गर्दै व्यक्तिको डाटा सेवा सुधारका लागि प्रयोग गर्नका लागि, गोपनीयतामा ध्यान दिँदै र व्यक्तिगत जानकारीमा पर्न नसक्ने भए पनि, जापानी व्यक्तिगत जानकारी सुरक्षा कानून (Japanese Personal Information Protection Law) अनुसारको व्यवहार गर्नु आवश्यक हुन सक्छ।

IoT र साइबर सुरक्षा

IoT व्यापारले व्यक्तिगत जानकारी र गोपनीयता अधिकारहरूलाई छुने जानकारीहरू संकलन, व्यवस्थापन र प्रयोग गरेर निर्माण गर्दछ र त्यसैले प्रगति पनि हुन्छ। जानकारीहरू इन्टरनेट मार्फत संचित र व्यवस्थापन गरिन्छ, त्यसैले नेटवर्कमा जडान गरिएका उपकरणहरूको साइबर सुरक्षा उपायहरू अत्यावश्यक छन्।

तलका खण्डमा, पहिले नै अपनाउनु पर्ने साइबर सुरक्षा उपायहरू र वास्तवमा साइबर आक्रमण प्राप्त भएमा वहन गर्नु पर्ने जिम्मेवारीहरूको विवरण गरिनेछ।

डिभाइस निर्माताको जिम्मेवारी: जापानी उत्पादन दायित्व कानून

यदि IoT डिभाइस साइबर आक्रमणको शिकार भएको छ भने, डिभाइस निर्माता जापानी उत्पादन दायित्व कानून अनुसार क्षतिपूर्ति दावीको सामना गर्न सक्छन्।

उत्पादन दायित्व कानून अनुसार जिम्मेवारीको आधार निम्नानुसार छ:

1. उत्पादनमा दोष रहेको थियो
2. त्यसले अरूको जीवन, शरीर वा सम्पत्तिमा हानि पुर्‍याएको थियो
3. क्षति भएको थियो

१ नम्बरमा भनिएको ‘दोष’ भनेको ‘सामान्यतया हुनुपर्ने सुरक्षा’ बाट विच्युत अवस्था हो, जुन निर्माण दोष, डिजाइन दोष र निर्देशन/चेतावनी दोषमा विभाजित गरिन्छ।

वास्तवमा साइबर आक्रमण भएको अवस्थामा निर्माता जिम्मेवारी बहन गर्नुपर्छ कि नपर्छ भन्ने कुरा निम्न अवस्थाहरूमा निर्भर गर्दछ:

• हस्तान्तरण गरिएको समयमा अपेक्षित प्राविधिक स्तर पूरा गरेको थियो कि थिएन
• प्रकाशित भएका नवीनतम दिशानिर्देश वा स्वतन्त्र मानकहरूको अनुसरण गरिएको थियो कि थिएन

डिभाइस निर्माताले दोष थियो भन्ने कुरा आफूले चिन्न सकेनन् भन्ने तथ्य प्रमाणित गरे जिम्मेवारीबाट बच्न सक्छन्। तर, हस्तान्तरण गरिएको समयको सर्वोच्च प्राविधिक स्तरले पनि दोष थिएन भन्ने कुरा प्रमाणित गर्नुपर्ने हुँदा, वास्तवमा जिम्मेवारीबाट बच्ने सम्भावना कम छ।

नेटवर्क प्रशासकको जिम्मेवारी: जापानी सिभिल कोड (民法)

यदि नेटवर्कमा साइबर आक्रमण भएर जानकारी चुहावट हुन्छ भने, उत्पादन दायित्व कानूनको सट्टामा जापानी सिभिल कोड अनुसार निम्नलिखित कारणहरूका लागि क्षतिपूर्ति दावीको सामना गर्न सकिन्छ।

1. नेटवर्क प्रशासक र प्रयोगकर्ताबीचको सम्झौता उल्लंघन
2. नेटवर्क प्रशासकको सुरक्षा उपाय दायित्व उल्लंघनले गर्दा ऋण अनुपालन नगर्ने
3. नेटवर्क प्रशासकको असावधानीले गर्दा अवैध क्रियाकलाप दायित्व (जापानी सिभिल कोड धारा 709)

यी कुनै पनि कारणहरूमा, नेटवर्क प्रशासकले ‘आवश्यक सुरक्षा उपायहरू नगरेकोमा लापरवाही छ कि छैन’ भन्ने विषय विवादको केन्द्रमा रहन्छ।

त्यसैगरी, ‘आवश्यक सुरक्षा उपायहरू’ भन्नाले, सम्झौता गर्दा निर्धारित मानकहरूका अनुसारका उपायहरू मात्र होइन, साइबर आक्रमण भएको समयमा सार्वजनिक गरिएका दिशानिर्देशहरूका अनुसारका उपायहरू पनि आवश्यक रहेको निर्णयहरू पनि छन् (टोक्यो जिल्ला अदालत, हेइसेइ 26 (2014) जनवरी 23)।

तसर्थ, नेटवर्क प्रशासकले उत्पादन डेलिभरी पछि पनि सधैं महत्त्वपूर्ण दिशानिर्देशहरूको अपडेट जानकारी बुझ्नु पर्छ र आवश्यकता अनुसार सफ्टवेयर अपडेट गर्नु पर्छ।

＜हालका सूचना सुरक्षा दिशानिर्देशहरू＞

• IoT सुरक्षा दिशानिर्देश ver1.0[ja] | अर्थ तथा उद्योग मन्त्रालय
• सुरक्षित IoT सिस्टमका लागि सुरक्षा सम्बन्धी सामान्य ढाँचा[ja] | NISC
• IoT विकासमा सुरक्षा डिजाइनको निर्देशिका | IPA

सम्बन्धित लेख: साइबर आक्रमणमा क्षति। सिस्टम वेन्डरको क्षतिपूर्ति दायित्व के हो? सम्झौता पत्रमा उल्लेखित उदाहरणहरूको व्याख्या[ja]

सारांश: IoT व्यवसायमा विशेषज्ञ कानूनी बुझाइ आवश्यक छ

IoT व्यवसायले इन्टरनेट मार्फत प्रयोगकर्ताको व्यक्तिगत जानकारी र गोपनीयतासम्बन्धी जानकारी संकलन गरी प्रयोग गर्दा प्रगति हुन्छ।

त्यसैले, व्यवसायीहरूले घरेलु उपकरणको उत्पादन जिम्मेवारी मात्र होइन, व्यक्तिगत जानकारी संग्रह गर्ने व्यवसायीको रूपमा व्यक्तिगत जानकारी संरक्षण कानून र सूचना सुरक्षा दिशानिर्देशहरूको नवीनतम अपडेटमा पनि ध्यान दिनु पर्छ।

यदि उत्पादन दुर्घटना हुन्छ भने, यसले प्रयोगकर्ताको शारीरिक स्वास्थ्यमा मात्र प्रभाव पार्दैन, जानकारी चुहावटले अनिश्चित संख्यामा मानिसहरूमा क्षति फैलाउने सम्भावना पनि रहन्छ।

IoT व्यवसाय सुरु गर्दा, उत्पादन जिम्मेवारी कानूनदेखि व्यक्तिगत जानकारी संरक्षण कानूनसम्म, र नवीनतम सूचना सुरक्षा दिशानिर्देशहरूसम्मको व्यापक विशेषज्ञ ज्ञान भएका वकिलसँग परामर्श गर्नु महत्वपूर्ण छ।

हाम्रो कानूनी कार्यालयको उपायहरूको परिचय

मोनोलिथ कानूनी कार्यालय आईटी, विशेष गरी इन्टरनेट र कानूनका दुवै क्षेत्रमा धनी अनुभव भएको जापानी कानूनी कार्यालय हो। हालका वर्षहरूमा, IoT व्यापारले धेरै ध्यान आकर्षित गरेको छ, र कानूनी जाँचको आवश्यकता झन् झन् बढ्दै गएको छ। हाम्रो कार्यालयले IoT व्यापारसँग सम्बन्धित समाधानहरू प्रदान गर्दछ।

मोनोलिथ कानूनी कार्यालयका सेवा क्षेत्रहरू: जापानी IT र स्टार्टअप कम्पनीहरूको कर्पोरेट कानूनी सेवाहरू[ja]