Data Leak: RTI खुलासे पर प्राइवेसी और डेटा सुरक्षा पर गहराया विवाद; निजी कंपनियों ने राष्ट्रीय वाहन डेटाबेस पर 33 महीनों में कीं 1.7 करोड़ क्वेरीज़

डेटा लीक और गोपनीयता की चिंताएं

1. ₹29 में पर्सनल डेटा की बिक्री:सितंबर में प्रकाशित एक रिपोर्ट में IFF ने खुलासा किया था कि गूगल प्ले स्टोर पर 1 करोड़ से अधिक डाउनलोड वाले एक ऐप के माध्यम से केवल ₹29 में 15 बार वाहन मालिकों का व्यक्तिगत विवरण निकाला जा सकता था। इसमें मालिक का पूरा नाम, पिता का नाम, वर्तमान और स्थायी पता, बीमा पॉलिसी नंबर, फाइनेंसर, चेसिस नंबर, इंजन नंबर और प्रदूषण प्रमाण पत्र का विवरण उपलब्ध हो जाता था। जबकि आधिकारिक Parivahan पोर्टल ऐसे विवरणों को मास्क करता है और OTP सत्यापन मांगता है।
2. टेलीग्राम पर डेटा का धंधा:साइबर सुरक्षा फर्म ‘Cyderes’ की 1 सितंबर की रिपोर्ट के अनुसार, टेलीग्राम बॉट के माध्यम से मात्र ₹5 प्रति लुकअप की दर से वाहन रिकॉर्ड बेचे जा रहे थे। यह डेटा सर्वर हैक करने के बजाय प्रमाणीकृत पहचान-सत्यापन कंपनियों को मिले क्रेडेंशियल्स के दुरुपयोग से निकाला जा रहा था।

RTI में NIC का खुलासा और अनुत्तरित प्रश्न

• कार्रवाई का ब्योरा गायब: NIC ने माना कि 1 जून को CERT-In द्वारा टेलीग्राम पर बेचे जा रहे डेटा की सूचना मिली थी, लेकिन किसी भी क्रेडेंशियल को रद्द करने की तिथि या ली गई कार्रवाई का ब्योरा उसके पास रिकॉर्ड में नहीं था।
• लॉग रिटेंशन अवधि: NIC ने बताया कि वह API लॉग केवल 1 वर्ष और SMS लॉग केवल 6 महीने रखता है। इससे यह सवाल उठता है कि पुरानी डेटा चोरी की जांच कैसे संभव होगी।
• मंत्रालय की टालमटोल: MoRTH (सड़क परिवहन और राजमार्ग मंत्रालय) ने IFF के RTI आवेदन का 2 दिनों में यह कहकर निपटारा कर दिया कि मोटर वाहन अधिनियम का कार्यान्वयन राज्य सरकारों का विषय है। IFF ने इस जवाब के खिलाफ पहली अपील दायर की है।

IFF की मांगें

हालांकि 1 अक्टूबर से निजी संस्थाओं के लिए डेटा एक्सेस बंद कर दिया गया है, लेकिन IFF ने सरकार से निम्नलिखित स्पष्टीकरण मांगे हैं:

1. क्या डेटा शेयरिंग पर लगाई गई यह रोक स्थायी है?
2. जिन कंपनियों ने पहले डेटा हासिल कर लिया है, क्या उन्हें वह डेटा हटाने (Delete) का निर्देश दिया जाएगा?
3. क्या उन वाहन चालकों को सूचित किया जाएगा जिनका पर्सनल डेटा अनधिकृत रूप से बेचा गया है?

नई दिल्ली: सूचना का अधिकार अधिनियम, 2005 (RTI Act, 2005) के तहत प्राप्त जानकारी, डिजिटल व्यक्तिगत डेटा संरक्षण अधिनियम, 2023 (DPDP Act, 2023) के तहत नागरिकों की निजता के संरक्षण, मोटर वाहन अधिनियम, 1988 के तहत केंद्रीकृत डेटाबेस (VAHAN & SARATHI) के प्रबंधन, तथा टेलीग्राम बॉट्स व मोबाइल ऐप्स के जरिए वाहन स्वामियों के संवेदनशील व्यक्तिगत विवरणों के अनधिकृत मुद्रीकरण व बिक्री पर डिजिटल अधिकार संस्था इंटरनेट फ्रीडम फाउंडेशन (IFF) द्वारा दायर आरटीआई के जवाब में राष्ट्रीय सूचना विज्ञान केंद्र (NIC) ने चौंकाने वाले आंकड़े उजागर किए हैं।

डिजिटल राइट्स वकालत समूह IFF द्वारा दायर आरटीआई आवेदन के जवाब में एनआईसी ने खुलासा किया है कि जनवरी 2024 से सितंबर 2026 के बीच निजी संस्थाओं द्वारा राष्ट्रीय वाहन और ड्राइविंग लाइसेंस डेटाबेस पर 17,079,998 (लगभग 1.7 करोड़) डेटा क्वेरीज़ की गईं। इस अवधि के दौरान निजी कंपनियों को कुल 25,314 क्रेडेंशियल्स जारी किए गए थे।

विवाद बढ़ने और अनधिकृत रूप से नागरिकों के पते व इंजन/चेसिस नंबर लीक होने की शिकायतों के बाद, सड़क परिवहन एवं राजमार्ग मंत्रालय (MoRTH) के निर्देश पर एनआईसी ने 1 अक्टूबर 2026 से निजी संस्थाओं के साथ डेटा साझाकरण की इस व्यवस्था को पूर्णतः बंद कर दिया है।

आरटीआई खुलासे के मुख्य सांख्यिकीय एवं तकनीकी बिंदु

1. क्वेरी वॉल्यूम और विसंगतिपूर्ण आंकड़े:

• दैनिक लुकअप दर: 33 महीनों में 1.7 करोड़ से अधिक क्वेरीज़ का अर्थ है कि निजी संस्थाएं औसतन प्रतिदिन लगभग 17,000 नागरिकों के वाहन अभिलेखों की जांच कर रही थीं।
• क्रेडेंशियल्स का अंतर: एनआईसी ने जवाब में एक स्थान पर निजी संस्थाओं के लिए 25,314 क्रेडेंशियल्स जारी किए जाने की पुष्टि की, जबकि दूसरे स्थान पर सरकारी निकायों के 62 क्रेडेंशियल्स के मुकाबले निजी संस्थाओं के केवल 338 क्रेडेंशियल्स रिकॉर्ड होने की बात कही गई। आरटीआई जवाब में इन दोनों आंकड़ों के भारी अंतर का कोई स्पष्टीकरण नहीं दिया गया।

2. आधिकारिक सुरक्षा तंत्र बनाम लीकेज:

• जहां आधिकारिक परिवहन सेवा (Parivahan) पोर्टल नागरिकों और कानून प्रवर्तन एजेंसियों को केवल सीमित, मास्क्ड (Masked) जानकारी दिखाता है और मोबाइल ओटीपी (OTP) सत्यापन की मांग करता है, वहीं निजी कंपनियों को दिए गए बैक-एंड API एक्सेस से पूर्ण अनमास्क्ड डेटा प्राप्त करने का रास्ता खुला हुआ था।

Also Read; Property Act: पति-पत्नी के संयुक्त नाम वाले मकान को घोषित किया पत्नी की अनन्य संपत्ति; पति को 3 महीने में घर खाली करने का आदेश

डेटा लीक और खुले बाजार में बिक्री का मॉडस ऑपरेंडी (Modus Operandi)

प्रक्रियात्मक कालक्रम: खुलासे से कार्रवाई तक

विधिक एवं निजता न्यायशास्त्र: अनुत्तरित प्रश्न और विधिक चिंताएं

• लॉग रिटेंशन और साक्ष्य का अभाव:
  • NIC ने स्वीकार किया है कि API लॉग केवल एक वर्ष और SMS लॉग केवल छह महीने तक सुरक्षित रखे जाते हैं। डिजिटल अधिकार कार्यकर्ताओं का कहना है कि जब क्वेरीज़ 2024 से चल रही थीं, तो पुराने एक्सेस लॉग्स के मिट जाने के कारण इस बात की स्वतंत्र ऑडिट करना लगभग असंभव हो जाएगा कि किस कंपनी ने किस स्तर पर डेटा लीक किया।
• पूर्व में प्राप्त डेटा का क्या होगा? (Data Purging / Deletion):
  • 1 अक्टूबर 2026 से नया एक्सेस भले ही रोक दिया गया हो, किंतु जिन निजी कंपनियों या डेटा ब्रोकर्स ने पिछले 33 महीनों में 1.7 करोड़ बार डेटा डाउनलोड या स्टोर कर लिया, क्या उन्हें उस डेटा को अपने सर्वरों से नष्ट (Purge) करने का कोई कानूनी निर्देश दिया गया है? वर्तमान आदेश इस पर मौन है।
• के.एस. पुट्टास्वामी बनाम भारत संघ [(2017) 10 SCC 1] का उल्लंघन:
  • सुप्रीम कोर्ट की नौ जजों की संविधान पीठ ने स्पष्ट किया था कि जब राज्य कानून की बाध्यता के तहत नागरिकों से अनिवार्य डेटा एकत्र करता है (जैसे वाहन पंजीकरण और आरटीओ रिकॉर्ड), तो उस डेटा की पूर्ण सुरक्षा सुनिश्चित करना राज्य का संवैधानिक दायित्व है। अनिवार्य डेटा को निजी वाणिज्यिक उपयोग के लिए खोलना और तकनीकी सुरक्षा नियंत्रणों में चूक निजता के मूल अधिकार (अनुच्छेद 21) के प्रतिकूल है।
• MoRTH का जवाब और प्रथम अपील:
  • MoRTH ने IFF के आरटीआई आवेदन को मात्र दो दिनों में यह कहते हुए निपटा दिया कि मोटर वाहन अधिनियम का क्रियान्वयन राज्यों और केंद्र शासित प्रदेशों का विषय है। IFF ने इसे जिम्मेदारी से पल्ला झाड़ना बताते हुए मंत्रालय के जवाब को चुनौती दी है और NIC के जवाब के खिलाफ प्रथम अपीलीय प्राधिकारी (FAA) के समक्ष अपील दायर करने की प्रक्रिया शुरू की है।

विधिक एवं प्रशासनिक सारांश

• मामला संदर्भ: राष्ट्रीय वाहन डेटाबेस (VAHAN & SARATHI) अनधिकृत एक्सेस व डेटा साझाकरण विवाद
• खुलासा माध्यम: सूचना का अधिकार अधिनियम, 2005 (RTI आवेदन दिनांक 22 सितंबर 2026; जवाब दिनांक 16 अक्टूबर 2026)
• आवेदक संगठन: इंटरनेट फ्रीडम फाउंडेशन (Internet Freedom Foundation – IFF)
• संबंधित सरकारी एजेंसियां: राष्ट्रीय सूचना विज्ञान केंद्र (NIC), सड़क परिवहन एवं राजमार्ग मंत्रालय (MoRTH), एवं कंप्यूटर इमरजेंसी रिस्पांस टीम (CERT-In)

प्रमुख सांविधिक व विधिक बिंदु:

• सूचना का अधिकार अधिनियम, 2005 — धारा 6 व धारा 19 (प्रथम अपील)
• डिजिटल व्यक्तिगत डेटा संरक्षण अधिनियम, 2023 (DPDP Act) — डेटा फिड्यूशियरी के दायित्व एवं व्यक्तिगत डेटा सुरक्षा
• सूचना प्रौद्योगिकी अधिनियम, 2000 — धारा 43A (संवेदनशील व्यक्तिगत डेटा की सुरक्षा में विफलता) एवं धारा 70B (CERT-In के कार्य)
• संवैधानिक सिद्धांत: अनुच्छेद 21 — निजता का अधिकार (Right to Privacy as a Fundamental Right)
• वर्तमान स्थिति: 1 अक्टूबर 2026 से निजी संस्थाओं के लिए डेटा एक्सेस पूरी तरह बंद; IFF द्वारा एक्सेस पाने वाली निजी कंपनियों की सार्वजनिक सूची जारी करने, तकनीकी ऑडिट कराने और डेटा विलोपन के नियम तय करने की मांग पर प्रशासनिक स्पष्टीकरण प्रतीक्षित।

Data Leak: मामले का संक्षिप्त विवरण (At A Glance)