বাংলাদেশের তথ্য সুরক্ষা আইন: পিডিপিও ২০২৫ ও সম্পূর্ণ আইনি কাঠামো

বাংলাদেশ তার প্রথম ব্যাপক তথ্য সুরক্ষা আইন হিসেবে ব্যক্তিগত তথ্য সুরক্ষা অধ্যাদেশ (পিডিপিও) ২০২৫ প্রণয়ন করেছে, যা ২০২৫ সালের ৬ নভেম্বর গেজেটভুক্ত হয়। সংবিধানের ৪৩ অনুচ্ছেদের অধীনে গোপনীয়তার সাংবিধানিক অধিকারে ভিত্তি করে প্রণীত এই অধ্যাদেশ ব্যক্তিগত তথ্য সংগ্রহ, সংরক্ষণ, স্থানান্তর বা ব্যবহারের আগে সুস্পষ্ট সম্মতি বাধ্যতামূলক করে, এবং এর পূর্ণাঙ্গ প্রয়োগ শুরু হবে আনুমানিক ২০২৭ সালের ১৩ মে থেকে।

২০২৫ সালে বাংলাদেশ একটি ঐতিহাসিক মাইলফলক অতিক্রম করেছে। দশক ধরে দেশটির নিজস্ব কোনো তথ্য সুরক্ষা আইন ছিল না, বরং অন্য উদ্দেশ্যে প্রণীত আইনগুলোর বিক্ষিপ্ত বিধানের ওপর নির্ভর করতে হতো। প্রধান উপদেষ্টা মুহাম্মদ ইউনূসের নেতৃত্বাধীন অন্তর্বর্তীকালীন সরকার ২০২৫ সালের নভেম্বরে দুটি যুগান্তকারী অধ্যাদেশ জারি করার মাধ্যমে সেই শূন্যতা পূরণ করে: ব্যক্তিগত তথ্য সুরক্ষা অধ্যাদেশ (পিডিপিও) এবং জাতীয় তথ্য প্রশাসন অধ্যাদেশ। ২০২৬ সালের ফেব্রুয়ারিতে আরও একটি সংশোধনী আসে।

এই নির্দেশিকাটি বাংলাদেশে তথ্য গোপনীয়তা নিয়ন্ত্রণকারী সম্পূর্ণ আইনি কাঠামো নিয়ে আলোচনা করে: সাংবিধানিক ভিত্তি, সাইবার আইনের বিবর্তন, ২০২৫ সালের অধ্যাদেশসমূহ ও তাদের ২০২৬ সালের সংশোধনী, তত্ত্বাবধায়ক কর্তৃপক্ষ, ডেটা সাবজেক্টের অধিকার, সীমান্ত-পারাপার ও স্থানীয়করণ বিধি, জরিমানা, কমপ্লায়েন্স সময়রেখা, এবং বাংলাদেশে বা বাংলাদেশের সাথে ব্যবসাকারী প্রতিষ্ঠানগুলোর এখন কী করা প্রয়োজন।

দ্রুত উত্তর: আজ বাংলাদেশ কোথায় দাঁড়িয়ে আছে?

২০২৬ সালের মে পর্যন্ত, বাংলাদেশে একটি ব্যাপক তথ্য সুরক্ষা আইন বলবৎ থাকলেও তা এখনও পূর্ণাঙ্গভাবে কার্যকর হয়নি। পিডিপিও ২০২৫ ২০২৫ সালের নভেম্বরে প্রণয়নের সময়ই মূল অধিকার ও বাধ্যবাধকতা প্রতিষ্ঠা করেছে। তবে গুরুত্বপূর্ণ তথ্য ফিডুশিয়ারিদের দ্বারা প্রধান তথ্য কর্মকর্তা নিয়োগ এবং আনুষ্ঠানিক অভিযোগ, তদন্ত ও জরিমানা প্রক্রিয়াসহ প্রয়োগ ব্যবস্থাগুলো ১৮ মাসের জন্য বিলম্বিত করা হয়েছে এবং তা আনুমানিক ২০২৭ সালের ১৩ মে পর্যন্ত কার্যকর হবে না।

এর অর্থ হলো, রূপান্তরের এই সময়সীমা এখনই খোলা রয়েছে। বাংলাদেশি ব্যক্তিগত তথ্য প্রক্রিয়াকরণকারী প্রতিষ্ঠানগুলোর উচিত এই সময়কালকে আইন উপেক্ষা করার সুযোগ হিসেবে না দেখে, বরং কমপ্লায়েন্স প্রস্তুতির সময় হিসেবে বিবেচনা করা।

সাংবিধানিক ভিত্তি: ৪৩ অনুচ্ছেদ

বাংলাদেশে গোপনীয়তার অধিকারের সূচনা হয় গণপ্রজাতন্ত্রী বাংলাদেশের সংবিধান থেকে। তৃতীয় ভাগে (মৌলিক অধিকার) অবস্থিত ৪৩ অনুচ্ছেদ দুটি মূল নিশ্চয়তা প্রদান করে।

প্রত্যেক নাগরিকের নিজ গৃহে প্রবেশ, তল্লাশি ও ক্রোক থেকে সুরক্ষিত থাকার অধিকার রয়েছে। প্রত্যেক নাগরিকের চিঠিপত্র ও অন্যান্য যোগাযোগ মাধ্যমের গোপনীয়তার অধিকারও রয়েছে।

এই অধিকারগুলো নিরঙ্কুশ নয়। সংবিধান রাষ্ট্রের নিরাপত্তা, জনশৃঙ্খলা, জনস্বাস্থ্য বা জনসাধারণের নৈতিকতার স্বার্থে আইন দ্বারা আরোপিত যুক্তিসঙ্গত বিধিনিষেধের অনুমতি দেয়।

৪৩ অনুচ্ছেদের বিচারিক সম্প্রসারণ

বাংলাদেশের আদালতসমূহ ব্যাখ্যার মাধ্যমে ৪৩ অনুচ্ছেদের ব্যবহারিক পরিধি সম্প্রসারিত করেছে। ড. মোহিউদ্দিন ফারুক বনাম সচিব, বাণিজ্য মন্ত্রণালয় মামলায় বাংলাদেশ সুপ্রিম কোর্ট রায় দেয় যে, ৪৩ অনুচ্ছেদ ব্যক্তিগত ফোনকলকে সুরক্ষা দেয়। যথাযথ আইনি প্রক্রিয়া ছাড়া ফোন রেকর্ড সংগ্রহ করা একটি সাংবিধানিক লঙ্ঘন বলে আদালত সিদ্ধান্ত দেয়।

এই রায় নিশ্চিত করে যে সাংবিধানিক গোপনীয়তা সুরক্ষা শুধু ভৌত চিঠিপত্রের মধ্যে সীমাবদ্ধ না থেকে আধুনিক ইলেকট্রনিক যোগাযোগ পর্যন্ত বিস্তৃত। তবে ডিজিটাল যুগের জটিলতা মোকাবিলায় শুধু সাংবিধানিক সুরক্ষা যথেষ্ট প্রমাণিত হয়নি, যা একের পর এক আইনি উদ্যোগ গ্রহণে বাধ্য করেছে।

তথ্য ও যোগাযোগ প্রযুক্তি আইন ২০০৬: প্রথম প্রজন্মের ডিজিটাল আইন

তথ্য ও যোগাযোগ প্রযুক্তি আইন ২০০৬ ছিল ডিজিটাল কার্যক্রম সম্পর্কিত বাংলাদেশের প্রথম বড় আইন। তথ্য গোপনীয়তায় এর প্রধান অবদান বিষয়বস্তুগত না হয়ে কাঠামোগত।

গোপনীয়তা রক্ষার বাধ্যবাধকতা। আইনটি অনুযায়ী, আইন দ্বারা গোপনীয় ঘোষিত তথ্যকে যোগাযোগ নেটওয়ার্কসহ প্রেরণ পদ্ধতির উপযোগী উপায়ে সুরক্ষিত রাখতে হবে। এটি ডিজিটাল গোপনীয়তার একটি ভিত্তিগত বাধ্যবাধকতা তৈরি করে।

৪৬ ধারার অধীনে আটকের ক্ষমতা। আইসিটি কন্ট্রোলার আইনশৃঙ্খলা রক্ষাকারী বাহিনীকে যেকোনো কম্পিউটার সম্পদের মাধ্যমে প্রেরিত তথ্য আটক করার নির্দেশ দিতে পারেন এবং প্রাসঙ্গিক তথ্য ডিক্রিপ্ট করতে সাবস্ক্রাইবারদের সহায়তা করার নির্দেশও দিতে পারেন। এতে কোনো বিচারিক তত্ত্বাবধান বা সময়সীমা নির্দিষ্ট করা হয়নি।

ডিজিটাল স্বাক্ষর ও ইলেকট্রনিক রেকর্ড। আইনটি ইলেকট্রনিক রেকর্ড ও ডিজিটাল স্বাক্ষরকে আইনি স্বীকৃতি দেয়, যা এগুলোকে ভৌত সমতুল্যের সমান মর্যাদা দেয়। এই কাঠামো তথ্য প্রক্রিয়াকরণে ব্যবহৃত ইলেকট্রনিক সম্মতি ব্যবস্থার বৈধতার ভিত্তি তৈরি করে।

আইসিটি আইনের বিতর্কিত ৫৭ ধারা, যা অনলাইন বাক-স্বাধীনতাকে ব্যাপকভাবে ফৌজদারি অপরাধে পরিণত করেছিল, পরবর্তীতে ডিজিটাল নিরাপত্তা আইন ২০১৮ দ্বারা বাতিল করা হয়।

ডিজিটাল নিরাপত্তা আইন ২০১৮: তথ্য গোপনীয়তার প্রবেশ

ডিজিটাল নিরাপত্তা আইন ২০১৮ (২০১৮ সালের ৪৬ নং আইন) আইসিটি আইনের বাক-স্বাধীনতা সংক্রান্ত বিধানগুলোর স্থলাভিষিক্ত হয় এবং যুক্ত করে ২৬ ধারা, যা ছিল বাংলাদেশে প্রথম সংবিধিবদ্ধ তথ্য গোপনীয়তা সুরক্ষা।

২৬ ধারা: পরিচয় তথ্য সুরক্ষা

২৬ ধারা "পরিচয় তথ্য"-কে ব্যাপকভাবে সংজ্ঞায়িত করে এমন যেকোনো বাহ্যিক, জৈবিক বা ভৌত তথ্য হিসেবে যা কোনো ব্যক্তি বা সিস্টেমকে শনাক্ত করতে পারে। এই সংজ্ঞায় অন্তর্ভুক্ত ছিল নাম, ঠিকানা, জন্মতারিখ, জাতীয় পরিচয়পত্র নম্বর, জন্ম ও মৃত্যু নিবন্ধন নম্বর, আঙুলের ছাপ, পাসপোর্ট নম্বর, ব্যাংক হিসাব নম্বর, ড্রাইভিং লাইসেন্স, ইলেকট্রনিক ও ডিজিটাল স্বাক্ষর, ক্রেডিট ও ডেবিট কার্ড নম্বর, কণ্ঠস্বরের ছাপ এবং রেটিনা ও আইরিসের ছবিসহ বায়োমেট্রিক তথ্য, এবং ডিএনএ প্রোফাইল।

২৬ ধারা একটি কঠোর সম্মতির শর্ত আরোপ করে: ডেটা সাবজেক্ট স্পষ্টভাবে সম্মতি না দিলে পরিচয় তথ্য সংগ্রহ বা প্রক্রিয়াকরণ নিষিদ্ধ ছিল। একবার সম্মতি প্রত্যাহার করা হলে তা আর অগ্রাহ্য করা যেত না।

৮ ধারা: তথ্য অপসারণের ক্ষমতা

৮ ধারা বাংলাদেশ টেলিযোগাযোগ নিয়ন্ত্রণ কমিশনকে (বিটিআরসি) ডিজিটাল নিরাপত্তার জন্য হুমকিস্বরূপ তথ্য অপসারণ বা ব্লক করার ব্যাপক ক্ষমতা প্রদান করে। এই বিধান সরকারকে অনলাইন কনটেন্টের ওপর ব্যাপক বিবেচনার এখতিয়ার দেয়।

ডিজিটাল নিরাপত্তা আইন কেন ব্যর্থ হলো

গোপনীয়তা সংক্রান্ত বিধান থাকা সত্ত্বেও, ডিজিটাল নিরাপত্তা আইন মতপ্রকাশের স্বাধীনতা সংকুচিত করার জন্য কুখ্যাত হয়ে ওঠে। আর্টিকেল ১৯ সাংবাদিক, কর্মী ও সাধারণ নাগরিকদের বিরুদ্ধে মামলা করতে এই আইনের ব্যাপক অপব্যবহারের নথিভুক্ত প্রমাণ দিয়েছে। অনেক অপরাধ ছিল জামিন-অযোগ্য, এবং শেখ হাসিনা সরকার সমালোচকদের বিরুদ্ধে ব্যাপকভাবে এই আইন ব্যবহার করেছিল। ২০২৩ সালের সেপ্টেম্বরে এটি বাতিল করা হয়।

সাইবার নিরাপত্তা আইন ২০২৩: এক স্বল্পস্থায়ী সংশোধন

সাইবার নিরাপত্তা আইন ২০২৩ ২০২৩ সালের সেপ্টেম্বরে ডিজিটাল নিরাপত্তা আইনের স্থলাভিষিক্ত হয়। সরকার এটিকে একটি সংস্কারকৃত আইন বলে বর্ণনা করেছিল। বাস্তবে, এটি পরিচয় তথ্য সংক্রান্ত ২৬ ধারাসহ ডিজিটাল নিরাপত্তা আইনের বেশিরভাগ কাঠামো বজায় রাখে।

পূর্বে জামিন-অযোগ্য কিছু অপরাধ জামিনযোগ্য করা হয়। কিছু জরিমানা কমানো হয়। কিছু জরিমানা বাড়ানো হয়। পুনরাবৃত্ত অপরাধের জন্য অতিরিক্ত শাস্তির বিধান বাতিল করা হয়। "ধর্মীয় অনুভূতিতে আঘাত করে" এমন তথ্য প্রকাশের কারাদণ্ড পাঁচ বছর থেকে কমিয়ে দুই বছর করা হয়, এবং "মানহানিকর তথ্য" প্রেরণের শাস্তি জরিমানা দিয়ে প্রতিস্থাপিত করা হয়।

সমালোচনা ছিল তাৎক্ষণিক ও অব্যাহত। অ্যামনেস্টি ইন্টারন্যাশনাল সাইবার নিরাপত্তা আইনকে "কঠোর" ডিজিটাল নিরাপত্তা আইনের পুনরাবৃত্তি বলে বর্ণনা করে। মার্কিন দূতাবাস জানায় যে নতুন আইনটি মতপ্রকাশের স্বাধীনতাকে ফৌজদারি অপরাধ হিসেবে বিবেচনা অব্যাহত রেখেছে, জামিন-অযোগ্য অপরাধ বজায় রেখেছে, এবং সমালোচকদের কণ্ঠরোধ করতে সহজেই অপব্যবহৃত হতে পারে।

সাইবার নিরাপত্তা আইন ২০২৩ দুই বছরেরও কম সময় স্থায়ী ছিল।

রাজনৈতিক প্রেক্ষাপট: ২০২৪ সালের ছাত্র বিপ্লব ও ইউনূস অন্তর্বর্তীকালীন সরকার

২০২৫ সালের অধ্যাদেশগুলো বুঝতে হলে সেই রাজনৈতিক পটপরিবর্তন বুঝতে হবে যা এগুলোকে সম্ভব করেছে।

২০২৪ সালের ৫ আগস্ট, সরকারি চাকরিতে কোটা ব্যবস্থা নিয়ে শুরু হওয়া ছাত্র-নেতৃত্বাধীন অভ্যুত্থানের পর প্রধানমন্ত্রী শেখ হাসিনা বাংলাদেশ ছেড়ে চলে যান। নোবেল শান্তি পুরস্কারজয়ী মুহাম্মদ ইউনূস ২০২৪ সালের ৮ আগস্ট প্রধান উপদেষ্টা হিসেবে শপথ নিয়ে অন্তর্বর্তীকালীন সরকারের নেতৃত্ব গ্রহণ করেন।

অন্তর্বর্তীকালীন সরকার এমন একগুচ্ছ ডিজিটাল আইনের উত্তরাধিকার পায় যা হাসিনার শাসনামলে ভিন্নমত দমনে ব্যাপকভাবে ব্যবহৃত হয়েছিল। সেই আইনি কাঠামো সংস্কার করা ছিল প্রাথমিক অগ্রাধিকার। সাইবার নিরাপত্তা অধ্যাদেশ ২০২৫ এবং ২০২৫ সালের নভেম্বরের তথ্য সুরক্ষা অধ্যাদেশগুলো এই সংস্কার পরিকল্পনারই ফসল।

২০২৬ সালের ফেব্রুয়ারিতে নির্বাচনের মাধ্যমে বাংলাদেশ জাতীয়তাবাদী দলের (বিএনপি) সরকার ক্ষমতায় আসে। নতুন সরকারের অধীনেও পিডিপিও ২০২৫ এবং ২০২৬ সালের সংশোধনী অধ্যাদেশ কার্যকর রয়েছে।

সাইবার নিরাপত্তা অধ্যাদেশ ২০২৫: বর্তমান সাইবার আইন

২০২৫ সালের ২১ মে গেজেটভুক্ত সাইবার নিরাপত্তা অধ্যাদেশ ২০২৫ সাইবার নিরাপত্তা আইন ২০২৩-এর স্থলাভিষিক্ত হয়। অন্তর্বর্তীকালীন সরকার উপসংহারে পৌঁছায় যে ২০২৩ সালের আইনে নাগরিক সুরক্ষার বিধান অপর্যাপ্ত ছিল, তা অপব্যবহারের সুযোগ তৈরি করেছিল, এবং মতপ্রকাশের স্বাধীনতাসহ মৌলিক অধিকার ক্ষুণ্ন করেছিল।

নয়টি ধারা বাতিল

সবচেয়ে গুরুত্বপূর্ণ পরিবর্তন ছিল সাইবার নিরাপত্তা আইন ২০২৩ থেকে নয়টি ধারা বিলুপ্ত করা:

• ২১ ধারা: মুক্তিযুদ্ধ, বঙ্গবন্ধু, জাতীয় সংগীত বা জাতীয় পতাকার সমালোচনাকে ফৌজদারি অপরাধে পরিণত করা
• ২৪ ধারা: ভুয়া বা প্রতারণামূলক পরিচয় ব্যবহারের শাস্তি প্রদান
• ২৫ ধারা: আপত্তিকর, মিথ্যা বা ভীতি সৃষ্টিকারী তথ্যকে ফৌজদারি অপরাধে পরিণত করা
• ২৬ ধারা: ব্যক্তিগত তথ্যের অননুমোদিত সংগ্রহ বা ব্যবহার নিষিদ্ধকরণ
• ২৭ ধারা: সুনাম ক্ষুণ্ন করার উদ্দেশ্যে তথ্য প্রকাশের শাস্তি প্রদান
• ২৮ ধারা: ধর্মীয় অনুভূতিতে আঘাতকারী তথ্য প্রকাশের শাস্তি প্রদান
• ২৯ ধারা: মানহানিকর তথ্যকে ফৌজদারি অপরাধে পরিণত করা
• ৩১ ধারা: আইনশৃঙ্খলা বিঘ্নকারী কনটেন্টকে ফৌজদারি অপরাধে পরিণত করা
• ৩৪ ধারা: হ্যাকিং সংক্রান্ত বিধান

স্বয়ংক্রিয় মামলা খারিজ

বাতিল হওয়া ধারাগুলোর অধীনে চলমান বা বিচারাধীন সকল তদন্ত, বিচার ও কার্যক্রম স্বয়ংক্রিয়ভাবে খারিজ করা হয়। এসব বিধানের অধীনে আর কোনো আইনি ব্যবস্থা নেওয়া যাবে না, এবং ইতিমধ্যে দেওয়া দণ্ড বা জরিমানা বাতিল করা হয়। যেহেতু বিদ্যমান মামলার প্রায় ৯৫ শতাংশ বাতিল হওয়া ধারাগুলোর অধীনে দায়ের করা হয়েছিল, তাই এর ফলে প্রায় সম্পূর্ণরূপে মামলার জট নিরসন হয়ে যায়।

অবশিষ্ট বিধান ও জামিনের অবস্থা

অবশিষ্ট ধারাগুলোর অধীনে বাক-স্বাধীনতা বা মতপ্রকাশ সম্পর্কিত সকল অপরাধ এখন জামিনযোগ্য। অবশিষ্ট বিধানগুলোর অধীনে সর্বোচ্চ শাস্তি দুই বছরের কারাদণ্ড। সাইবার জালিয়াতি, ই-লেনদেন সংক্রান্ত অপরাধ, ধর্মীয় বা জাতিগত ঘৃণা উসকানি, যৌন হয়রানি, ব্ল্যাকমেইল এবং অশ্লীলতার মতো অপরাধ এখনও ফৌজদারি অপরাধ হিসেবে বিবেচিত হলেও এখন জামিনযোগ্য।

তথ্য গোপনীয়তার ওপর প্রভাব

২৬ ধারা বিলুপ্তির ফলে সংবিধিবদ্ধ তথ্য গোপনীয়তা সুরক্ষায় একটি সাময়িক শূন্যতা তৈরি হয়। কয়েক মাস পরে প্রণীত ব্যক্তিগত তথ্য সুরক্ষা অধ্যাদেশ ২০২৫ সেই শূন্যতা পূরণ করে এবং ২৬ ধারা যা কখনও প্রদান করেনি তার চেয়ে অনেক বেশি ব্যাপক সুরক্ষা প্রদান করে।

ব্যক্তিগত তথ্য সুরক্ষা অধ্যাদেশ ২০২৫: বাংলাদেশের প্রথম ব্যাপক তথ্য আইন

ব্যক্তিগত তথ্য সুরক্ষা অধ্যাদেশ (পিডিপিও) ২০২৫ (২০২৫ সালের ৬১ নং অধ্যাদেশ) ২০২৫ সালের ৯ অক্টোবর অনুমোদিত হয় এবং ৬ নভেম্বর গেজেটভুক্ত হয়। এটি বাংলাদেশের প্রথম নিবেদিত, ব্যাপক তথ্য সুরক্ষা আইন।

পরিধি ও আঞ্চলিক সীমার বাইরে প্রয়োগ

পিডিপিও বাংলাদেশের অভ্যন্তরে ব্যক্তিগত তথ্য প্রক্রিয়াকারী সকল সত্তার ক্ষেত্রে প্রযোজ্য। এটি বাংলাদেশের সীমানা ছাড়িয়েও প্রযোজ্য: বিদেশে অবস্থিত প্রতিষ্ঠান যারা বাংলাদেশি নাগরিকদের সংক্রান্ত তথ্য প্রক্রিয়া করে তারাও এর আওতায় পড়ে। এই আঞ্চলিক সীমার বাইরের প্রয়োগ সরকারি সংস্থা, স্বায়ত্তশাসিত সংস্থা, রাষ্ট্রায়ত্ত প্রতিষ্ঠান এবং যেকোনো আকারের বেসরকারি কোম্পানিকে অন্তর্ভুক্ত করে।

তথ্য মালিকানার নীতি

পিডিপিও-এর মূল ভিত্তি হলো, নাগরিকরাই তাদের ব্যক্তিগত তথ্যের বৈধ মালিক। সরকার বা কোনো প্রতিষ্ঠান এর প্রাথমিক মালিকানা রাখে না। তাই কোনো সত্তা ব্যক্তিগত তথ্য সংগ্রহ, সংরক্ষণ, স্থানান্তর বা ব্যবহারের আগে সুস্পষ্ট সম্মতি বাধ্যতামূলক।

বৈধ সম্মতি অবশ্যই স্বেচ্ছাপ্রণোদিত, নির্দিষ্ট, সুস্পষ্ট এবং প্রত্যাহারযোগ্য হতে হবে। ডেটা সাবজেক্টরা যেকোনো সময় সম্মতি প্রত্যাহার করতে পারেন, এবং প্রত্যাহার প্রক্রিয়া অবশ্যই মূল সম্মতি প্রক্রিয়ার মতোই সহজ হতে হবে। সম্মতি যথাযথভাবে গ্রহণ করা হয়েছে তা প্রমাণের দায়ভার ডেটা সাবজেক্টের নয়, বরং তথ্য ফিডুশিয়ারির।

তথ্য শ্রেণীবিভাগ ব্যবস্থা

পিডিপিও ব্যক্তিগত তথ্যকে চারটি শ্রেণিতে ভাগ করে:

সরকারি বা উন্মুক্ত তথ্য (Public/Open Data) প্রক্রিয়াকরণে কোনো বিশেষ বিধিনিষেধ বহন করে না।

অভ্যন্তরীণ তথ্য (Internal Data) সাধারণ শনাক্তকরণ তথ্য অন্তর্ভুক্ত করে। সম্মতি বা চুক্তিভিত্তিক ব্যবস্থার আওতায় এটি বিদেশে স্থানান্তর করা যেতে পারে, তবে শুধুমাত্র উপযুক্ত তথ্য সুরক্ষা মান রয়েছে এমন দেশে।

গোপনীয় ব্যক্তিগত তথ্য (Confidential Personal Data)-এর মধ্যে রয়েছে আর্থিক তথ্য, স্বাস্থ্য রেকর্ড, বায়োমেট্রিক তথ্য, রিয়েল-টাইম অবস্থান তথ্য এবং অন্যান্য তথ্য যার প্রকাশ উল্লেখযোগ্য ক্ষতির কারণ হতে পারে। এটি বর্ধিত সুরক্ষা পায় এবং সীমান্ত-পারাপার স্থানান্তরের ক্ষেত্রে কঠোর পর্যবেক্ষণের আওতাধীন।

সীমাবদ্ধ ব্যক্তিগত তথ্য (Restricted Personal Data) জাতীয় নিরাপত্তা, জনশৃঙ্খলা, প্রতিরক্ষা ও গুরুত্বপূর্ণ অবকাঠামো সংক্রান্ত তথ্য অন্তর্ভুক্ত করে। এটি বাধ্যতামূলক তথ্য স্থানীয়করণসহ সবচেয়ে কঠোর নিয়ন্ত্রণের আওতাধীন।

স্পর্শকাতর ব্যক্তিগত তথ্য

চার-স্তরের শ্রেণিবিভাগের বাইরে, পিডিপিও আলাদাভাবে স্পর্শকাতর ব্যক্তিগত তথ্যের বিভাগ চিহ্নিত করে, যা স্তর নির্বিশেষে বর্ধিত সুরক্ষা পায়: বায়োমেট্রিক তথ্য, রাজনৈতিক বা ধর্মীয় বিশ্বাস, স্বাস্থ্য তথ্য, যৌন প্রবণতা, ফৌজদারি রেকর্ড এবং রিয়েল-টাইম ভৌগোলিক অবস্থান তথ্য। সীমিত আইনি বা জরুরি পরিস্থিতি ছাড়া এসব বিভাগের প্রক্রিয়াকরণের জন্য নির্দিষ্ট সুস্পষ্ট সম্মতি প্রয়োজন।

শিশুদের তথ্য

নাবালকদের (১৮ বছরের কম বয়সী) ব্যক্তিগত তথ্যের ক্ষেত্রে বিশেষ সুরক্ষা প্রযোজ্য। শিশুর ব্যক্তিগত তথ্য প্রক্রিয়াকরণের আগে প্রতিষ্ঠানগুলোকে যাচাইযোগ্য পিতামাতা বা অভিভাবকের সম্মতি নিতে হবে। নাবালকদের লক্ষ্য করে ট্র্যাকিং, মনিটরিং, প্রোফাইলিং এবং টার্গেটেড বিজ্ঞাপন সম্পূর্ণভাবে নিষিদ্ধ।

ডেটা সাবজেক্টদের অধিকার

পিডিপিও ব্যক্তিদের চারটি মূল অ-পরিত্যাজ্য অধিকার প্রদান করে:

প্রবেশাধিকার ও বহনযোগ্যতার অধিকার। একজন ডেটা সাবজেক্ট তার ব্যক্তিগত তথ্যের একটি বোধগম্য ফরম্যাটে কপি চাইতে পারেন। তিনি তার তথ্য অন্য একটি তথ্য ফিডুশিয়ারির কাছে স্থানান্তরের অনুরোধও করতে পারেন।

সংশোধনের অধিকার। ডেটা সাবজেক্টরা ভুল বা অসম্পূর্ণ তথ্য সংশোধনের দাবি করতে পারেন। অধ্যাদেশে একটি "প্রাথমিক সত্য উৎস প্রক্রিয়া" (primary source of truth mechanism) অন্তর্ভুক্ত রয়েছে, যা সংযুক্ত ডেটাবেসগুলোতে সিস্টেম-ব্যাপী সংশোধন প্রবাহিত হতে দেয়।

সম্মতি প্রত্যাহার ও মুছে ফেলার অধিকার। ব্যক্তিরা সংরক্ষণ, প্রক্রিয়াকরণ বা স্বয়ংক্রিয় সিদ্ধান্ত গ্রহণের জন্য সম্মতি প্রত্যাহার করতে পারেন, এবং নির্দিষ্ট শর্তসাপেক্ষে তাদের ব্যক্তিগত তথ্য মুছে ফেলার অনুরোধ করতে পারেন।

স্বয়ংক্রিয় সিদ্ধান্ত সীমিত করার অধিকার। নাগরিকরা শুধুমাত্র স্বয়ংক্রিয় তথ্য প্রক্রিয়াকরণের মাধ্যমে নেওয়া সিদ্ধান্তকে চ্যালেঞ্জ করতে এবং সীমিত করতে পারেন।

বৈধ প্রক্রিয়াকরণের ভিত্তি

সম্মতি হলো প্রধান বৈধ ভিত্তি, তবে পিডিপিও সীমিত পরিস্থিতিতে সম্মতি ছাড়াও প্রক্রিয়াকরণের অনুমতি দেয়:

• ডেটা সাবজেক্টের সাথে চুক্তি পালন বা তার অনুরোধে গৃহীত প্রাক-চুক্তিমূলক পদক্ষেপ
• আইনি বাধ্যবাধকতা পালন
• জীবন বা স্বাস্থ্যের মতো গুরুত্বপূর্ণ স্বার্থ রক্ষা
• কর্মসংস্থান, শ্রম বা সামাজিক নিরাপত্তা সংক্রান্ত বাধ্যবাধকতা
• জনস্বার্থে সম্পাদিত কাজ

তথ্য নিয়ন্ত্রক ও প্রক্রিয়াকারীর বাধ্যবাধকতা

ব্যক্তিগত তথ্য প্রক্রিয়াকারী প্রতিষ্ঠানগুলোকে অবশ্যই:

• স্বচ্ছতা ও জবাবদিহিতামূলক ব্যবস্থা বাস্তবায়ন করতে হবে
• উদ্দেশ্য সীমাবদ্ধতা মেনে চলতে হবে, শুধুমাত্র প্রয়োজনীয় তথ্য সংগ্রহ করতে হবে
• যথাযথ ক্ষেত্রে ছদ্মনামকরণ ও এনক্রিপশন প্রয়োগ করতে হবে
• ন্যূনতম পাঁচ বছর প্রক্রিয়াকরণ রেকর্ড সংরক্ষণ করতে হবে
• উল্লেখযোগ্য তথ্য লঙ্ঘনের ক্ষেত্রে কর্তৃপক্ষ ও প্রভাবিত ডেটা সাবজেক্টদের অবহিত করতে হবে
• তথ্য নিরীক্ষা পরিচালনা করতে হবে এবং তথ্য সুরক্ষা পরিকল্পনা প্রস্তুত করতে হবে
• মূল প্রক্রিয়াকরণ উদ্দেশ্যের জন্য প্রয়োজনীয় সময়ের অতিরিক্ত তথ্য সংরক্ষণ করা যাবে না

গুরুত্বপূর্ণ তথ্য ফিডুশিয়ারি

পিডিপিও "গুরুত্বপূর্ণ তথ্য ফিডুশিয়ারি" নামে একটি বিভাগ চালু করেছে, যাদের জন্য বর্ধিত বাধ্যবাধকতা প্রযোজ্য। কর্তৃপক্ষ তাদের প্রক্রিয়াকৃত তথ্যের শ্রেণিবিভাগ ও পরিমাণ এবং জাতীয় সার্বভৌমত্ব, অর্থনৈতিক স্থিতিশীলতা বা জনসাধারণের নিরাপত্তার ওপর সম্ভাব্য প্রভাবের ভিত্তিতে সত্তাগুলোকে গুরুত্বপূর্ণ হিসেবে মনোনীত করে। নির্দিষ্ট সাংখ্যিক সীমা প্রবিধানের মাধ্যমে নির্ধারণ করা হবে, যা ২০২৬ সালের মে পর্যন্ত জারি করা হয়নি।

গুরুত্বপূর্ণ তথ্য ফিডুশিয়ারিদের অবশ্যই:

• কর্তৃপক্ষের সামনে প্রতিষ্ঠানের প্রতিনিধিত্ব করতে, প্রয়োজনীয় প্রতিবেদন জমা দিতে, ডেটা সাবজেক্টের অধিকার সহজতর করতে এবং অভিযোগ পরিচালনা করতে একজন প্রধান তথ্য কর্মকর্তা নিয়োগ দিতে হবে
• তাদের প্রক্রিয়াকরণ কার্যক্রমের স্বাধীন নিরীক্ষা করাতে হবে
• উচ্চতর প্রশাসনিক জরিমানা প্রদান করতে হবে (বার্ষিক টার্নওভারের ১-২ শতাংশের পরিবর্তে ২-৫ শতাংশ)
• বড় পরিমাণে স্পর্শকাতর ব্যক্তি-শনাক্তযোগ্য তথ্য বিদেশে স্থানান্তরের আগে কর্তৃপক্ষের পূর্বানুমতি নিতে হবে

তথ্য স্থানীয়করণ ও সীমান্ত-পারাপার স্থানান্তর বিধি

এটি পিডিপিও-এর সবচেয়ে জটিল ক্ষেত্রগুলোর একটি, আংশিকভাবে কারণ মূল বিধানগুলো প্রণয়নের কয়েক মাসের মধ্যেই সংশোধন করা হয়েছিল।

মূল ২৯ অনুচ্ছেদের প্রয়োজনীয়তা

২০২৫ সালের নভেম্বরে গেজেটভুক্ত হওয়ার সময়, পিডিপিও-এর ২৯ অনুচ্ছেদ অনুযায়ী বিদেশি ক্লাউড অবকাঠামোতে বাংলাদেশি ব্যক্তিগত তথ্য সংরক্ষণকারী যেকোনো প্রতিষ্ঠানকে বাংলাদেশের সীমানার মধ্যে অন্তত একটি সমকালীন রিয়েল-টাইম কপি রাখতে হতো। এটি ব্যাপকভাবে প্রযোজ্য ছিল এবং প্রযুক্তি কোম্পানিগুলোর জন্য একটি উল্লেখযোগ্য কমপ্লায়েন্স বোঝা তৈরি করেছিল।

২৯ অনুচ্ছেদ সরকারকে বাংলাদেশি নাগরিকদের ব্যক্তিগত তথ্য থেকে অর্জিত বাণিজ্যিক মুনাফার ওপর ফি আরোপের ক্ষমতাও প্রদান করেছিল, যদিও সেই ফি আরোপের পদ্ধতি অনির্ধারিত ছিল।

২০২৬ সালের ফেব্রুয়ারি সংশোধনী: একটি লক্ষ্যভিত্তিক পদ্ধতি

২০২৬ সালের ৫ ফেব্রুয়ারি, রাষ্ট্রপতি ব্যক্তিগত তথ্য সুরক্ষা (সংশোধন) অধ্যাদেশ, ২০২৬ (অধ্যাদেশ নং ২৩/২০২৬) জারি করেন। এই সংশোধনীতে দুটি উল্লেখযোগ্য পরিবর্তন আনা হয়।

প্রথমত, এটি তথ্য স্থানীয়করণের বাধ্যবাধকতা সংকুচিত করে। সংশোধিত ২৯(৭)(খ) ধারার অধীনে, সমকালীন রিয়েল-টাইম কপির প্রয়োজনীয়তা এখন শুধুমাত্র প্রযোজ্য:

• সীমাবদ্ধ ব্যক্তিগত তথ্য (Restricted Personal Data)-এর ক্ষেত্রে, এবং
• সাইবার নিরাপত্তা অধ্যাদেশ ২০২৫-এ সংজ্ঞায়িত গুরুত্বপূর্ণ তথ্য অবকাঠামো (Critical Information Infrastructure, CII) দ্বারা প্রক্রিয়াকৃত তথ্যের ক্ষেত্রে

বিদেশি ক্লাউড পরিষেবায় সংরক্ষিত সাধারণ ব্যক্তিগত তথ্য, অভ্যন্তরীণ তথ্য এবং গোপনীয় তথ্য আর বাধ্যতামূলক স্থানীয় কপির প্রয়োজনীয়তার আওতাধীন নয়। এটি বাংলাদেশে কার্যরত প্রযুক্তি কোম্পানি ও বিদেশি ক্লাউড প্রদানকারীদের ওপর কমপ্লায়েন্স বোঝা উল্লেখযোগ্যভাবে লাঘব করেছে।

দ্বিতীয়ত, সংশোধনীটি ৪৮ ধারা পরিবর্তন করে। মূল অধ্যাদেশে ডেটা সাবজেক্টের অধিকার লঙ্ঘনকারী কোম্পানির ব্যবস্থাপনা পরিচালকদের ফৌজদারি কারাদণ্ডের বিধান ছিল। সংশোধনী সেই কারাদণ্ডের ঝুঁকিকে শুধুমাত্র আর্থিক জরিমানা দিয়ে প্রতিস্থাপিত করেছে। কর্পোরেট কর্মকর্তারা ব্যক্তিগতভাবে দায়বদ্ধ থাকবেন, তবে সেই দায়ের প্রকৃতি সম্ভাব্য ফৌজদারি থেকে আর্থিকে পরিবর্তিত হয়েছে।

সীমান্ত-পারাপার স্থানান্তর কাঠামো

পিডিপিও উপযুক্ত তথ্য সুরক্ষা মান বজায় রাখে এমন দেশে গোপনীয় ও অভ্যন্তরীণ তথ্যের সীমান্ত-পারাপার স্থানান্তরের অনুমতি দেয়। স্থানান্তরের জন্য ডেটা সাবজেক্টের সম্মতি বা চুক্তিগত প্রয়োজনীয়তা থাকতে হবে। সীমাবদ্ধ তথ্যের ক্ষেত্রে, স্থানীয়করণের প্রয়োজনীয়তার অর্থ হলো, তথ্য অন্য যেখানেই প্রবাহিত হোক না কেন একটি স্থানীয় কপি অবশ্যই থাকতে হবে।

গুরুত্বপূর্ণ তথ্য ফিডুশিয়ারিদের দ্বারা বড় পরিমাণে স্পর্শকাতর ব্যক্তি-শনাক্তযোগ্য তথ্য স্থানান্তরের আগে কর্তৃপক্ষের পূর্বানুমোদন প্রয়োজন।

জাতীয় তথ্য প্রশাসন অধ্যাদেশ ২০২৫

পিডিপিও-এর পাশাপাশি, সরকার জাতীয় তথ্য প্রশাসন অধ্যাদেশ ২০২৫ প্রণয়ন করে, যা একইদিনে ৬ নভেম্বর ২০২৫-এ গেজেটভুক্ত হয়। এই দুটি আইন একত্রে বাংলাদেশের ডিজিটাল অর্থনীতির জন্য একটি যুগল কাঠামো গঠন করে।

জাতীয় তথ্য প্রশাসন কর্তৃপক্ষ

জাতীয় তথ্য প্রশাসন অধ্যাদেশ প্রধান উপদেষ্টার কার্যালয়ের (নিয়মিত সরকারের অধীনে প্রধানমন্ত্রীর কার্যালয়) সাথে সংযুক্ত একটি সংবিধিবদ্ধ সংস্থা হিসেবে জাতীয় তথ্য প্রশাসন কর্তৃপক্ষ প্রতিষ্ঠা করে। এর দায়িত্বের মধ্যে রয়েছে:

• জাতীয় তথ্য কাঠামো নকশা ও পরিচালনা করা
• তথ্য নীতি প্রণয়ন করা এবং আইনি কমপ্লায়েন্স নিশ্চিত করা
• সকল তথ্য ব্যবস্থাপনা কার্যক্রম জুড়ে অভিযোগ নিষ্পত্তি করা
• জাতীয় ডেটাবেস ও সফটওয়্যার ব্যবস্থার নিরাপত্তা নিশ্চিত করা

নাগরিক সমাজ সংগঠনগুলো কর্তৃপক্ষ সম্পর্কে কাঠামোগত উদ্বেগ প্রকাশ করেছে। এর তত্ত্বাবধায়ক কমিটিতে পাঁচজন সদস্য রয়েছেন, যাদের সকলেই সরকারি কর্মকর্তা বা সরকার-মনোনীত ব্যক্তি। কর্তৃপক্ষ একইসাথে জাতীয় তথ্য অবকাঠামো নকশা করে, পরিচালনা করে এবং কমপ্লায়েন্স প্রয়োগ করে, ফলত স্বাধীন তত্ত্বাবধান ছাড়াই নিয়ন্ত্রক, নির্মাতা ও পরিচালক হিসেবে কাজ করে। সমালোচকরা যুক্তি দেন যে এই ক্ষমতার কেন্দ্রীভবন অনিয়ন্ত্রিত নির্বাহী নজরদারির পরিস্থিতি তৈরি করে।

জাতীয় দায়িত্বশীল তথ্য বিনিময় ব্যবস্থা

অধ্যাদেশটি সরকারি সংস্থা ও অনুমোদিত বেসরকারি প্রতিষ্ঠানের মধ্যে নিরাপদ তথ্য আদান-প্রদানের জন্য জাতীয় দায়িত্বশীল তথ্য বিনিময় (এনআরডিইএক্স) প্ল্যাটফর্ম প্রতিষ্ঠা করে। প্ল্যাটফর্মটি তথ্যের পুনরাবৃত্তি হ্রাস এবং আন্তঃপরিচালনযোগ্যতা উন্নত করার জন্য ডিজাইন করা হয়েছে। অংশগ্রহণকারী প্রতিষ্ঠানগুলোকে অবশ্যই কর্তৃপক্ষ নির্ধারিত নিরাপত্তা ও তথ্য পরিচালনা মান পূরণ করতে হবে।

একীভূত ডিজিটাল পরিচয়

জাতীয় তথ্য প্রশাসন অধ্যাদেশ একটি একীভূত ডিজিটাল পরিচয় ব্যবস্থা চালু করে, যা একজন নাগরিকের জাতীয় পরিচয়পত্র, পাসপোর্ট, কর শনাক্তকরণ নম্বর এবং অন্যান্য মূল নিবন্ধনসমূহকে একটি একক প্রমাণিত পরিচয় স্তরে সংযুক্ত করে। এই ব্যবস্থার উদ্দেশ্য সরকারি ও ডিজিটাল সেবায় প্রবেশাধিকার সহজতর করা।

জাতীয় সোর্স কোড সংরক্ষণাগার

ভেন্ডর লক-ইন রোধ করতে, অধ্যাদেশটি সরকারি সিস্টেমের সাথে কাজ করা সকল তথ্য প্রক্রিয়াকারী ও হেফাজতকারীকে তাদের সোর্স কোড একটি জাতীয় সোর্স কোড সংরক্ষণাগারে জমা দিতে বাধ্য করে। এটি নিশ্চিত করে যে সরকার তার ডিজিটাল অবকাঠামোর ওপর প্রবেশাধিকার ও নিয়ন্ত্রণ বজায় রাখে।

টেলিযোগাযোগ আইন ২০০১ ও নজরদারির ক্ষমতা

বাংলাদেশ টেলিযোগাযোগ আইন ২০০১ বিটিআরসি প্রতিষ্ঠা করে এবং টেলিযোগাযোগ সেবা নিয়ন্ত্রণ করে। এর বিধানগুলো গুরুত্বপূর্ণভাবে তথ্য সুরক্ষা কাঠামোর সাথে সম্পর্কিত।

৯৭(ক) ধারা: সরকারি নজরদারির ক্ষমতা

৯৭(ক) ধারা সরকারকে ব্যাপক নজরদারির ক্ষমতা প্রদান করে। জাতীয় নিরাপত্তা ও জনশৃঙ্খলার ভিত্তিতে, সরকার গোয়েন্দা সংস্থা, জাতীয় নিরাপত্তা সংস্থা, তদন্তকারী সংস্থা বা আইনশৃঙ্খলা রক্ষাকারী কর্মকর্তাদের নিম্নলিখিত কাজের অনুমতি দিতে পারে:

• যেকোনো তথ্য বা ভয়েস কলের প্রেরণ স্থগিত বা নিষিদ্ধ করা
• যেকোনো টেলিকম সাবস্ক্রাইবার সম্পর্কিত ব্যবহারকারীর তথ্য রেকর্ড বা সংগ্রহ করা

আইনটি এই ক্ষমতাগুলোর ওপর কোনো সময়সীমা আরোপ করে না। বাধ্যতামূলক বিচারিক তত্ত্বাবধান বা নবায়নের প্রয়োজনীয়তা ছাড়াই আটকাদেশ অনির্দিষ্টকালের জন্য চলতে পারে। এই বিধানটি পিডিপিও ২০২৫-এর পাশাপাশি বলবৎ রয়েছে এবং তথ্য সুরক্ষা অধিকার ও নির্বাহী নজরদারির ক্ষমতার মধ্যে চলমান উত্তেজনা তৈরি করে।

তত্ত্বাবধায়ক কর্তৃপক্ষ ও প্রয়োগ কাঠামো

পিডিপিও জাতীয় তথ্য প্রশাসন কর্তৃপক্ষকে প্রয়োগের জন্য দায়ী তত্ত্বাবধায়ক সংস্থা হিসেবে মনোনীত করে। এর ক্ষমতার মধ্যে রয়েছে:

• তথ্য ফিডুশিয়ারি ও প্রক্রিয়াকারীদের প্রতি বাধ্যতামূলক নির্দেশনা জারি করা
• পরিদর্শন পরিচালনা করা এবং তথ্য নিরীক্ষার নির্দেশ দেওয়া
• প্রশাসনিক জরিমানা আরোপ করা
• সীমান্ত-পারাপার তথ্য স্থানান্তর স্থগিত করা

২০২৭ সালের মে পর্যন্ত প্রয়োগ বিলম্ব

পিডিপিও-এর অধিকাংশ মূল বিধান ২০২৫ সালের নভেম্বরে গেজেট প্রকাশের সাথে সাথেই কার্যকর হলেও, প্রয়োগ ব্যবস্থাগুলো ১৮ মাসের বিলম্বের সম্মুখীন। প্রধান তথ্য কর্মকর্তা নিয়োগ, অভিযোগ প্রক্রিয়া, তদন্তের ক্ষমতা এবং জরিমানা আরোপ নিয়ন্ত্রণকারী ধারাগুলো আনুমানিক ২০২৭ সালের ১৩ মে পর্যন্ত কার্যকর হবে না।

এই বিলম্ব একটি স্বীকৃতি প্রতিফলিত করে যে সরকারি সক্ষমতা এবং বেসরকারি খাতের প্রস্তুতি উভয়েরই বিকাশের জন্য সময় প্রয়োজন। এটি একটি সুযোগও বটে: যেসব প্রতিষ্ঠান এই সময়ে কমপ্লায়েন্ট কাঠামো গড়ে তুলবে, তারা অপেক্ষমাণ প্রতিষ্ঠানগুলোর তুলনায় মৌলিকভাবে শক্তিশালী অবস্থানে থাকবে।

জরিমানা ও দায়বদ্ধতা

প্রশাসনিক জরিমানা

সাধারণ তথ্য ফিডুশিয়ারিদের জন্য, বেশিরভাগ লঙ্ঘনের ক্ষেত্রে প্রশাসনিক জরিমানা বার্ষিক টার্নওভারের ১-২ শতাংশ পর্যন্ত হয়। লঙ্ঘনের প্রকৃতি অনুযায়ী অতিরিক্ত নির্দিষ্ট প্রশাসনিক জরিমানা ৩ লাখ থেকে ৫ লাখ টাকা (আনুমানিক ২,৫০০ থেকে ৪,২০০ মার্কিন ডলার) পর্যন্ত হতে পারে।

গুরুত্বপূর্ণ তথ্য ফিডুশিয়ারিদের ক্ষেত্রে, তাদের প্রক্রিয়াকরণ কার্যক্রমের উচ্চতর ঝুঁকি প্রতিফলিত করে জরিমানার পরিসীমা বার্ষিক টার্নওভারের ২-৫ শতাংশ পর্যন্ত বৃদ্ধি পায়।

নিরাপত্তা ব্যর্থতার ক্ষেত্রে, জরিমানা ২৫ লাখ টাকা পর্যন্ত হতে পারে।

ফৌজদারি শাস্তি

ব্যক্তিগত তথ্যের অননুমোদিত সংগ্রহ, ব্যবহার, আটকদান, নিষ্কাশন বা প্রকাশ একটি ফৌজদারি অপরাধ। সাধারণ বা স্পর্শকাতর ব্যক্তিগত তথ্য জড়িত থাকার ওপর নির্ভর করে শাস্তি ৫ থেকে ৭ বছরের কারাদণ্ড পর্যন্ত হতে পারে, সাথে ২০ লাখ টাকা (আনুমানিক ১৭,০০০ মার্কিন ডলার) পর্যন্ত জরিমানা।

শিশুদের তথ্য, প্রতারণামূলক সম্মতি এবং জালিয়াতি সংক্রান্ত লঙ্ঘনের জন্য পৃথক বিধানের অধীনে কঠোর শাস্তি নির্ধারিত রয়েছে।

কর্পোরেট ও ব্যক্তিগত দায়বদ্ধতা

কর্পোরেট দায়বদ্ধতা আইনে অন্তর্ভুক্ত রয়েছে। কোনো কোম্পানি কর্তৃক অপরাধ সংঘটিত হলে, পরিচালক, ব্যবস্থাপক ও দায়িত্বপ্রাপ্ত কর্মকর্তারা ব্যক্তিগত দায়বদ্ধতার সম্মুখীন হবেন, যদি না তারা প্রমাণ করতে পারেন যে তারা যথাযথ সতর্কতা অবলম্বন করেছিলেন।

২০২৬ সালের ফেব্রুয়ারি সংশোধনী নির্দিষ্টভাবে ব্যবস্থাপনা পরিচালকদের দায়বদ্ধতার ঝুঁকি পরিবর্তন করেছে: কারাদণ্ডের পরিবর্তে আর্থিক জরিমানা করা হয়েছে, যদিও ব্যক্তিগত আর্থিক দায়বদ্ধতা অপরিবর্তিত রয়ে গেছে।

২০২৬ সালের সংশোধনী সরকারি কর্মকর্তাদের জবাবদিহিতাও সম্প্রসারিত করেছে। ৪৮ ধারায় এখন বিধান রয়েছে যে, কোনো সরকারি বা সংবিধিবদ্ধ সংস্থা পিডিপিও লঙ্ঘন করলে সংশ্লিষ্ট সরকারি কর্মচারী প্রশাসনিক জরিমানার সম্মুখীন হবেন এবং ট্রাইব্যুনাল কার্যক্রমের মুখোমুখি হবেন। এটি সরকারি ও বেসরকারি খাত উভয়ের ওপর সমানভাবে তথ্য সুরক্ষা বাধ্যবাধকতা প্রয়োগের একটি গুরুত্বপূর্ণ পদক্ষেপ।

নাগরিক সমাজের উদ্বেগ ও চলমান বিতর্ক

পিডিপিও ২০২৫ এবং জাতীয় তথ্য প্রশাসন অধ্যাদেশ আইন বিশেষজ্ঞ, নাগরিক সমাজ সংগঠন এবং আন্তর্জাতিক সংস্থাগুলো থেকে অব্যাহত সমালোচনা পেয়েছে।

সরকারি ছাড়। ২৪ ধারা "জাতীয় নিরাপত্তা, প্রতিরক্ষা, জনশৃঙ্খলা" এবং অনুরূপ কারণে সরকারকে ব্যক্তিগত তথ্যে প্রবেশাধিকার থেকে ছাড় দেয়, অথচ এসব পরিভাষার কোনো সংজ্ঞা দেওয়া হয়নি। তথ্য সংরক্ষণ ও স্থানান্তরের ওপর সরকারকে ব্যাপক নির্দেশনা প্রদানকারী অন্যান্য বিধানের সাথে মিলিয়ে, সমালোচকরা সতর্ক করেছেন যে এটি কার্যত রাষ্ট্রীয় অভিনেতাদের অর্থবহ তথ্য সুরক্ষা সীমাবদ্ধতা থেকে মুক্ত করে দেয়।

কেন্দ্রীভূত নিয়ন্ত্রক ক্ষমতা। জাতীয় তথ্য প্রশাসন কর্তৃপক্ষ নির্বাহী বিভাগের অধীনে অবস্থিত এবং একইসাথে তথ্য অবকাঠামোর নির্মাতা, পরিচালক ও কমপ্লায়েন্স প্রয়োগকারী হিসেবে কাজ করে। স্বাধীন তত্ত্বাবধান বা বিচারিক নিয়ন্ত্রণের অনুপস্থিতি জবাবদিহিতার ঘাটতি তৈরি করে।

ত্বরান্বিত খসড়া প্রক্রিয়া। আইন বিশেষজ্ঞরা লক্ষ্য করেছেন যে খসড়া সংস্করণগুলোর মধ্যে গুরুত্বপূর্ণ বিধান পরিবর্তিত হয়েছে জনসাধারণের সাথে কোনো নথিভুক্ত পরামর্শ ছাড়াই। মোহাম্মদ এরশাদুল করিম মন্তব্য করেন যে অধ্যাদেশটি "এমন গুরুত্বপূর্ণ নীতি বাদ দিয়েছে যা এ ধরনের আইনের প্রাণস্বরূপ বলে বিবেচিত হয়।"

বিদেশি প্রয়োগের ঘাটতি। সমালোচকরা উল্লেখ করেন যে বিদেশি প্রযুক্তি কোম্পানির বিরুদ্ধে পিডিপিও প্রয়োগের বাস্তবসম্মত পদ্ধতি এখনও অস্পষ্ট রয়ে গেছে, যা সম্ভাব্য দায় এড়ানোর পথ তৈরি করে।

নজরদারি অবকাঠামোর ঝুঁকি। বেশ কয়েকটি সংগঠন উল্লেখ করেছে যে সংশোধনী-পরবর্তী সংকুচিত রূপেও, তথ্য স্থানীয়করণের প্রয়োজনীয়তা বাংলাদেশি ব্যক্তিগত তথ্যকে এমন সংরক্ষণ পরিবেশে কেন্দ্রীভূত করে যেখানে সরকারের ব্যাপক নজরদারির ক্ষমতা শক্তিশালী বিচারিক নিয়ন্ত্রণ ছাড়াই প্রবেশ করতে পারে।

টেক গ্লোবাল ইনস্টিটিউট, আর্টিকেল ১৯, গ্লোবাল নেটওয়ার্ক ইনিশিয়েটিভ এবং রবার্ট এফ. কেনেডি হিউম্যান রাইটস সেন্টার প্রত্যেকেই শক্তিশালী সুরক্ষা ব্যবস্থা, সরকারি প্রবেশাধিকারের ওপর স্পষ্ট সীমা এবং কর্তৃপক্ষের স্বাধীন তত্ত্বাবধানের আহ্বান জানিয়ে বিবৃতি দিয়েছে।

তথ্য অধিকার আইন ২০০৯: স্বচ্ছতার প্রতিসাম্য

তথ্য অধিকার আইন ২০০৯ একটি গুরুত্বপূর্ণ প্রতিসাম্য তৈরি করে। ৭(ঝ), ৭(ঞ) ও ৭(ড) ধারা কর্তৃপক্ষকে এমন তথ্য প্রকাশ থেকে অব্যাহতি দেয় যা ব্যক্তিগত গোপনীয়তা প্রকাশ করতে পারে, জীবন বা শারীরিক নিরাপত্তা বিপন্ন করতে পারে, বা অন্যান্য আইনের অধীনে সুরক্ষিত।

৩ ধারা তথ্য অধিকার আইনকে অন্যান্য আইনের সাংঘর্ষিক বিধানের ওপর প্রাধান্য দেয়। তবে পিডিপিও ২০২৫ বিদ্যমান আইনের ওপর নিজস্ব প্রাধান্যের দাবি করে। উভয় কাঠামো পরিণত হওয়ার সাথে সাথে তথ্য অধিকার ও তথ্য সুরক্ষার অধিকারের মধ্যকার দ্বন্দ্ব নিরসনের জন্য আদালতকে সম্ভবত হস্তক্ষেপ করতে হবে।

ব্যবসায়িক কমপ্লায়েন্স: প্রতিষ্ঠানগুলোর করণীয়

১৮ মাসের প্রয়োগ বিলম্ব বাংলাদেশে বা বাংলাদেশের সাথে কার্যরত প্রতিষ্ঠানগুলোকে একটি অর্থবহ কিন্তু সীমিত সময়সীমা প্রদান করে। কমপ্লায়েন্স প্রস্তুতি কেমন হওয়া উচিত তা নিচে দেওয়া হলো:

প্রযোজ্যতা নির্ধারণ করুন। পিডিপিও বাংলাদেশের অভ্যন্তরে ব্যক্তিগত তথ্য প্রক্রিয়াকারী যেকোনো প্রতিষ্ঠান এবং বাংলাদেশি নাগরিকদের সম্পর্কিত তথ্য প্রক্রিয়াকারী যেকোনো বিদেশি প্রতিষ্ঠানের ক্ষেত্রে প্রযোজ্য। আইনটি সকল আকারের কোম্পানিকে অন্তর্ভুক্ত করে।

আপনার তথ্য নিরীক্ষা করুন। বাংলাদেশি ডেটা সাবজেক্ট সম্পর্কে আপনি কী কী ব্যক্তিগত তথ্য ধারণ করেন তার একটি মানচিত্র তৈরি করুন। পিডিপিও-এর চারটি স্তরের (সরকারি, অভ্যন্তরীণ, গোপনীয়, সীমাবদ্ধ) বিপরীতে এটি শ্রেণিবদ্ধ করুন এবং কোনো তথ্য স্পর্শকাতর ব্যক্তিগত তথ্য হিসেবে যোগ্য কিনা তা চিহ্নিত করুন।

সম্মতি প্রক্রিয়া পর্যালোচনা করুন। স্বেচ্ছাপ্রণোদিত, নির্দিষ্ট, সুস্পষ্ট এবং প্রত্যাহারযোগ্য সম্মতির জন্য পিডিপিও-এর প্রয়োজনীয়তার বিপরীতে সকল বিদ্যমান তথ্য সংগ্রহ প্রক্রিয়া মূল্যায়ন করা উচিত। পুরনো অপ্ট-আউট বা অন্তর্নিহিত সম্মতি মডেল আইন পূরণ করবে না।

গোপনীয়তা নোটিশ হালনাগাদ করুন। গোপনীয়তা নোটিশে স্পষ্টভাবে ব্যাখ্যা করতে হবে কী তথ্য সংগ্রহ করা হচ্ছে, কেন প্রক্রিয়া করা হচ্ছে, কতদিন সংরক্ষণ করা হবে, এবং কার সাথে তা ভাগাভাগি করা হতে পারে। নোটিশে পিডিপিও-এর অধীনে ডেটা সাবজেক্টের অধিকার সম্পর্কেও অবহিত করতে হবে।

তথ্য স্থানীয়করণ বাধ্যবাধকতা মূল্যায়ন করুন। আপনার প্রতিষ্ঠান সীমাবদ্ধ ব্যক্তিগত তথ্য পরিচালনা করে কিনা বা গুরুত্বপূর্ণ তথ্য অবকাঠামোর জন্য তথ্য প্রক্রিয়া করে কিনা তা চিহ্নিত করুন। যদি তাই হয়, তবে বাংলাদেশের অভ্যন্তরে একটি সমকালীন রিয়েল-টাইম কপি বজায় রাখা নিশ্চিত করুন।

গুরুত্বপূর্ণ তথ্য ফিডুশিয়ারি মর্যাদা মূল্যায়ন করুন। কর্তৃপক্ষ এখনও সাংখ্যিক সীমা নির্ধারণকারী প্রবিধান জারি না করলেও, বৃহৎ পরিসরের তথ্য প্রক্রিয়াকারীদের এই মনোনয়নের প্রত্যাশা করা উচিত। গুরুত্বপূর্ণ তথ্য ফিডুশিয়ারিদের একজন প্রধান তথ্য কর্মকর্তা নিয়োগ দিতে হবে এবং স্বাধীন নিরীক্ষার জন্য প্রস্তুত থাকতে হবে।

নিরাপত্তা ব্যবস্থা বাস্তবায়ন করুন। পিডিপিও যথাযথ ক্ষেত্রে ছদ্মনামকরণ ও এনক্রিপশন, নিয়মিত নিরাপত্তা পরীক্ষা, লঙ্ঘন শনাক্তকরণ সক্ষমতা এবং লঙ্ঘন বিজ্ঞপ্তি প্রক্রিয়ার প্রয়োজন করে।

সংরক্ষণ নীতি প্রতিষ্ঠা করুন। ব্যক্তিগত তথ্য এর মূল প্রক্রিয়াকরণ উদ্দেশ্যের জন্য প্রয়োজনীয় সময়ের বেশি সংরক্ষণ করা যাবে না। তথ্য সংরক্ষণ সময়সূচি ও মুছে ফেলার প্রক্রিয়া বাস্তবায়ন করুন।

প্রক্রিয়াকরণ রেকর্ড বজায় রাখুন। তথ্য প্রক্রিয়াকরণ কার্যক্রমের রেকর্ড ন্যূনতম পাঁচ বছর সংরক্ষণ করুন।

শিশুদের তথ্যের জন্য প্রস্তুত থাকুন। যদি আপনার সেবা নাবালকদের দ্বারা ব্যবহৃত হতে পারে, তবে প্রয়োগ শুরু হওয়ার আগেই বয়স যাচাই ও পিতামাতার সম্মতি ব্যবস্থা বাস্তবায়ন করুন।

সীমান্ত-পারাপার স্থানান্তরের প্রয়োজনীয়তা লক্ষ্য রাখুন। গোপনীয় ও অভ্যন্তরীণ তথ্যের ক্ষেত্রে, প্রাপক এখতিয়ার উপযুক্ত তথ্য সুরক্ষা মান পূরণ করে তা নথিভুক্ত করুন। গুরুত্বপূর্ণ তথ্য ফিডুশিয়ারিদের বড় পরিমাণে স্পর্শকাতর তথ্য স্থানান্তরের জন্য কর্তৃপক্ষের পূর্বানুমোদন নিতে হবে।

সম্পর্কিত আইন সম্পর্কে তথ্যের জন্য, দেখুন বাংলাদেশের রেকর্ডিং আইন সংক্রান্ত নির্দেশিকা।

সাম্প্রতিক অগ্রগতি

পিডিপিও-এর ২০২৫ সালের নভেম্বর প্রণয়নের পর বেশ কয়েকটি অগ্রগতি লক্ষ্য রাখার মতো।

২০২৬ সালের ৫ ফেব্রুয়ারি জারি করা ব্যক্তিগত তথ্য সুরক্ষা (সংশোধন) অধ্যাদেশ, ২০২৬ (অধ্যাদেশ নং ২৩/২০২৬) তথ্য স্থানীয়করণকে সীমাবদ্ধ ও সিআইআই তথ্যে সংকুচিত করেছে এবং ব্যবস্থাপনা পরিচালকের কারাদণ্ডের পরিবর্তে আর্থিক জরিমানার বিধান করেছে। এটি সরকারি কর্মচারীদেরও তাদের সংস্থার পিডিপিও লঙ্ঘনের জন্য ব্যক্তিগতভাবে দায়বদ্ধ করেছে।

২০২৬ সালের ফেব্রুয়ারিতে ক্ষমতায় আসা বিএনপি সরকার পিডিপিও বা জাতীয় তথ্য প্রশাসন অধ্যাদেশ বাতিল বা উল্লেখযোগ্যভাবে সংশোধনের কোনো পরিকল্পনা ঘোষণা করেনি।

কর্তৃপক্ষ এখনও গুরুত্বপূর্ণ তথ্য ফিডুশিয়ারি মনোনয়নের সীমা নির্ধারণকারী বা অভিযোগ পরিচালনার বিস্তারিত প্রক্রিয়া সংক্রান্ত বাস্তবায়ন প্রবিধান জারি করেনি। ২০২৭ সালের মে প্রয়োগ তারিখের আগে এই প্রবিধানগুলো প্রত্যাশিত।

আন্তর্জাতিক পর্যবেক্ষকরা পর্যবেক্ষণ চালিয়ে যাচ্ছেন যে ২৪ ধারার ব্যাপক সরকারি ছাড় পিডিপিও-এর ঘোষিত অধিকার সুরক্ষাকে ক্ষুণ্ন করার উপায়ে ব্যবহৃত হবে কিনা।

এই নিবন্ধটি শুধুমাত্র তথ্যগত উদ্দেশ্যে প্রণীত এবং এটি কোনো আইনি পরামর্শ নয়। বাস্তবায়ন প্রবিধান প্রণয়নের সাথে সাথে বাংলাদেশের তথ্য সুরক্ষা কাঠামো দ্রুত পরিবর্তিত হচ্ছে। নির্দিষ্ট কমপ্লায়েন্স বাধ্যবাধকতা সম্পর্কে দিকনির্দেশনার জন্য বাংলাদেশে আইন পেশায় নিয়োজিত একজন যোগ্য আইনজীবীর পরামর্শ নিন।