त्वरित उत्तर: लोकलस्टोरेज एक ब्राउज़र-आधारित स्टोरेज तंत्र है, जो कुकीज़ की तरह, EU के ePrivacy Directive और GDPR सहित डेटा गोपनीयता नियमों के अंतर्गत आता है। उपयोगकर्ता की पूर्व, सूचित और स्वतंत्र रूप से दी गई सहमति के बिना लोकलस्टोरेज में गैर-आवश्यक डेटा को संग्रहीत करना या एक्सेस करना एक अनुपालन उल्लंघन है। अधिकांश संगठन इसे अनदेखा करते हैं क्योंकि उनके सहमति प्रबंधन उपकरण केवल कुकीज़ के लिए कॉन्फ़िगर किए गए हैं, जिससे लोकलस्टोरेज पूरी तरह से अप्रबंधित रहता है।
मुख्य बातें
- यूके और यूरोपीय संघ के कानून के तहत लोकलस्टोरेज को कानूनी रूप से कुकीज़ के "समान तकनीक" के रूप में माना जाता है, जिसका अर्थ है कि वही सहमति नियम लागू होते हैं।
- यूरोपीय डेटा संरक्षण बोर्ड (EDPB) ने पुष्टि की है कि लोकलस्टोरेज जैसी तकनीकों को किसी भी गैर-आवश्यक डेटा को संग्रहीत या एक्सेस करने से पहले पूर्व, सूचित और स्वतंत्र रूप से दी गई सहमति की आवश्यकता होती है [2]।
- ICO सेवा के लिए कड़ाई से आवश्यक स्टोरेज और ट्रैकिंग या एनालिटिक्स के लिए उपयोग किए जाने वाले गैर-आवश्यक स्टोरेज के बीच अंतर करता है, बाद वाले को ही स्पष्ट सहमति की आवश्यकता होती है [1]।
- कई सहमति प्रबंधन प्लेटफ़ॉर्म डिफ़ॉल्ट रूप से कुकीज़ को विनियमित करते हैं लेकिन लोकलस्टोरेज को अनियंत्रित छोड़ देते हैं, जिससे एक महत्वपूर्ण अनुपालन अंतर पैदा होता है [3]।
- जब ट्रैकिंग या एनालिटिक्स उद्देश्यों के लिए उपयोग किया जाता है तो सेशनस्टोरेज के वही गोपनीयता निहितार्थ होते हैं जो लोकलस्टोरेज के होते हैं।
- सहमति वापस लेने से वेबसाइट उस सहमति के तहत एकत्र किए गए किसी भी लोकलस्टोरेज डेटा को हटाने के लिए बाध्य होती है।
- लोकलस्टोरेज में लिखने वाले तृतीय-पक्ष स्क्रिप्ट को भी सहमति कवरेज की आवश्यकता होती है, जिम्मेदारी साइट ऑपरेटर पर होती है।
- GDPR के तहत गैर-अनुपालन के लिए दंड पर्याप्त हो सकता है; जब उल्लंघन प्रणालीगत और अज्ञात होते हैं तो जोखिम बढ़ जाता है।
लोकलस्टोरेज क्या है और यह कैसे काम करता है
LocalStorage आधुनिक ब्राउज़रों में निर्मित एक वेब स्टोरेज API है जो वेबसाइटों को उपयोगकर्ता के डिवाइस पर सीधे कुंजी-मान डेटा जोड़े को संग्रहीत करने की अनुमति देता है, जिसकी कोई समाप्ति तिथि नहीं होती है और प्रति-मूल लगभग 5-10 MB की विशिष्ट सीमा होती है। कुकीज़ के विपरीत, LocalStorage डेटा HTTP अनुरोधों के साथ कभी भी स्वचालित रूप से सर्वर पर नहीं भेजा जाता है, यह तब तक बना रहता है जब तक वेबसाइट के JavaScript या उपयोगकर्ता द्वारा स्पष्ट रूप से साफ़ नहीं किया जाता है।
यह व्यवहार में कैसे काम करता है:
- एक वेबसाइट का JavaScript डेटा लिखने के लिए
localStorage.setItem('key', 'value')को कॉल करता है। - वह डेटा ब्राउज़र सत्रों में डिवाइस पर तब तक बना रहता है जब तक
localStorage.removeItem('key')याlocalStorage.clear()को कॉल नहीं किया जाता है। - केवल उसी मूल (प्रोटोकॉल + डोमेन + पोर्ट) के स्क्रिप्ट ही उस डेटा को पढ़ या लिख सकते हैं।
सामान्य उपयोगों में शामिल हैं: उपयोगकर्ता वरीयताओं (थीम, भाषा), सत्र टोकन, एनालिटिक्स पहचानकर्ता, शॉपिंग कार्ट सामग्री, और A/B परीक्षण भिन्न असाइनमेंट को संग्रहीत करना।
महत्वपूर्ण अनुपालन बिंदु: क्योंकि LocalStorage उपयोगकर्ता के डिवाइस पर डेटा संग्रहीत करता है, यह ePrivacy Directive और GDPR के तहत कुकीज़ के समान कानूनी ढांचे को ट्रिगर करता है, भले ही वह डेटा कभी सर्वर पर प्रसारित हो या नहीं [4]।
क्या आपको GDPR के तहत लोकलस्टोरेज के लिए उपयोगकर्ता सहमति की आवश्यकता है
हाँ, लोकलस्टोरेज के किसी भी गैर-आवश्यक उपयोग के लिए, डेटा संग्रहीत या एक्सेस करने से पहले स्पष्ट उपयोगकर्ता सहमति की आवश्यकता होती है। EDPB ने पुष्टि की है कि लोकलस्टोरेज जैसी तकनीकें कुकीज़ के समान सहमति आवश्यकताओं के अंतर्गत आती हैं, जिसके लिए पूर्व, सूचित और स्वतंत्र रूप से दी गई सहमति की आवश्यकता होती है [2]। ICO आगे निर्दिष्ट करता है कि सहमति को एक स्पष्ट, असंदिग्ध कार्रवाई के माध्यम से पुष्टि की जानी चाहिए, न कि ब्राउज़िंग व्यवहार से अनुमानित या साइट के निरंतर उपयोग से अनुमानित [1]।
आवश्यकता अपवाद: यदि लोकलस्टोरेज का उपयोग केवल उस फ़ंक्शन को वितरित करने के लिए किया जाता है जिसकी उपयोगकर्ता ने स्पष्ट रूप से अनुरोध किया है, उदाहरण के लिए, एक सक्रिय सत्र के दौरान शॉपिंग कार्ट में आइटम को संरक्षित करना, तो यह कड़ाई से आवश्यक स्टोरेज के रूप में योग्य हो सकता है और सहमति की आवश्यकता नहीं हो सकती है। हालांकि, यदि उसी कार्ट डेटा का उपयोग एनालिटिक्स, रीटारगेटिंग, या व्यवहारिक प्रोफाइलिंग के लिए किया जाता है, तो आवश्यकता छूट अब लागू नहीं होती है।
सामान्य गलती: यह मान लेना कि क्योंकि लोकलस्टोरेज डेटा HTTP अनुरोधों के साथ यात्रा नहीं करता है, यह गोपनीयता कानून के दायरे से बाहर है। कानून उपयोगकर्ता के डिवाइस पर जानकारी संग्रहीत करने या एक्सेस करने के कार्य पर लागू होता है, न कि इस बात पर कि वह जानकारी प्रसारित होती है या नहीं।
लोकलस्टोरेज और कुकीज़ के बीच अंतर: सहमति आवश्यकताएँ
दोनों लोकलस्टोरेज और कुकीज़ को गैर-आवश्यक उद्देश्यों के लिए उपयोग किए जाने पर सहमति की आवश्यकता होती है, लेकिन वे तकनीकी व्यवहार और अनुपालन उपकरण आमतौर पर उन्हें कैसे संभालते हैं, इसमें भिन्न होते हैं।
| विशेषता | कुकीज़ | लोकलस्टोरेज |
|---|---|---|
| समाप्ति | कॉन्फ़िगर करने योग्य | कोई नहीं (जब तक साफ़ नहीं किया जाता) |
| HTTP अनुरोधों के साथ भेजा गया | हाँ | नहीं |
| सर्वर-साइड एक्सेस | हाँ | नहीं |
| अधिकांश CMPs द्वारा डिफ़ॉल्ट रूप से कवर किया गया | हाँ | अक्सर नहीं [3] |
| सहमति आवश्यक (गैर-आवश्यक) | हाँ | हाँ |
| दायरा | प्रति डोमेन/पथ | प्रति मूल |
व्यावहारिक अंतर महत्वपूर्ण है: अधिकांश सहमति प्रबंधन प्लेटफ़ॉर्म कुकी ब्लॉकिंग और कुकी वर्गीकरण के आसपास संरचित हैं। लोकलस्टोरेज लेखन JavaScript के माध्यम से होता है जिसे CMPs तब तक इंटरसेप्ट नहीं कर सकते जब तक कि विशेष रूप से ऐसा करने के लिए कॉन्फ़िगर न किया गया हो। यही कारण है कि रडार के तहत लोकलस्टोरेज: इसे भी स्पष्ट उपयोगकर्ता सहमति की आवश्यकता क्यों है, यह केवल एक सैद्धांतिक चिंता नहीं है, यह वेबसाइटों के एक बड़े अनुपात के लिए एक सक्रिय अनुपालन अंधा स्थान है [3]।
लोकलस्टोरेज को स्पष्ट उपयोगकर्ता सहमति की आवश्यकता क्यों है
LocalStorage को स्पष्ट सहमति की आवश्यकता होती है क्योंकि यह उपयोगकर्ता के डिवाइस पर जानकारी तक पहुंच या उसे संग्रहीत करने का गठन करता है, एक ऐसा कार्य जो ePrivacy Directive (और इसके राष्ट्रीय कार्यान्वयन) द्वारा विनियमित होता है, भले ही व्यक्तिगत डेटा शामिल हो या नहीं। कानूनी विशेषज्ञ यूके कानून के तहत LocalStorage को कुकीज़ के "समान तकनीक" के रूप में वर्गीकृत करते हैं, जिसके लिए किसी भी गैर-आवश्यक स्टोरेज होने से पहले पूर्व, सूचित और स्वतंत्र रूप से दी गई सहमति की आवश्यकता होती है [4]।
अंतर्निहित तर्क सीधा है: कानून उपयोगकर्ता के डिवाइस को उनके निजी क्षेत्र के विस्तार के रूप में बचाता है। चाहे डेटा कुकी, LocalStorage, IndexedDB, या सेवा कार्यकर्ता कैश में संग्रहीत हो, कानूनी ट्रिगर स्टोरेज का कार्य स्वयं है, न कि प्रारूप।
वैध सहमति के लिए तीन शर्तें (ICO मार्गदर्शन के अनुसार) [1]:
- स्वतंत्र रूप से दी गई, सेवा की शर्तों की स्वीकृति के साथ कोई बंडलिंग सहमति नहीं।
- विशिष्ट और सूचित, उपयोगकर्ता को पता होना चाहिए कि क्या संग्रहीत किया जा रहा है और क्यों।
- असंदिग्ध, सहमति एक स्पष्ट सकारात्मक कार्रवाई से आनी चाहिए, जैसे चेकबॉक्स पर टिक करना।
क्या गोपनीयता कानूनों के तहत लोकलस्टोरेज को ट्रैकिंग माना जाता है
LocalStorage को ट्रैकिंग माना जाता है जब इसका उपयोग सत्रों या पृष्ठों पर उपयोगकर्ताओं की पहचान करने, प्रोफाइल करने या निगरानी करने के लिए किया जाता है। LocalStorage में एक एनालिटिक्स उपयोगकर्ता आईडी, एक A/B परीक्षण असाइनमेंट, या एक व्यवहारिक खंड लेबल संग्रहीत करना अधिकांश नियामक व्याख्याओं के तहत ट्रैकिंग का गठन करता है, भले ही वह डेटा बाद में सर्वर पर सिंक किया गया हो या नहीं।
यह रडार के तहत लोकलस्टोरेज का मूल है: इसे भी स्पष्ट उपयोगकर्ता सहमति की आवश्यकता क्यों है, कई डेवलपर्स लोकलस्टोरेज को एक तटस्थ कैशिंग तंत्र के रूप में मानते हैं, जब नियामक किसी भी स्थायी डिवाइस-साइड पहचानकर्ता को सहमति की आवश्यकता वाले संभावित ट्रैकिंग वेक्टर के रूप में देखते हैं।
क्या आप लोकलस्टोरेज में व्यक्तिगत डेटा संग्रहीत कर सकते हैं
तकनीकी रूप से, हाँ, लेकिन ऐसा करने से महत्वपूर्ण कानूनी जोखिम होता है और आमतौर पर इसकी सलाह नहीं दी जाती है। LocalStorage में संग्रहीत व्यक्तिगत डेटा (जैसे ईमेल पते, डिवाइस फ़िंगरप्रिंट घटक, या प्रोफाइल से जुड़े उपयोगकर्ता आईडी) सभी GDPR दायित्वों के अधीन हैं: वैध आधार, डेटा न्यूनीकरण, प्रतिधारण सीमाएं, और मिटाने का अधिकार [1]।
LocalStorage के लिए विशिष्ट जोखिम:
- डेटा अनिश्चित काल तक बना रहता है जब तक कि स्पष्ट रूप से साफ़ नहीं किया जाता है, जिससे प्रतिधारण अनुपालन मुश्किल हो जाता है।
- पृष्ठ पर कोई भी JavaScript (तृतीय-पक्ष स्क्रिप्ट सहित) उसी मूल से LocalStorage डेटा तक पहुंच सकता है।
- कोई अंतर्निहित एन्क्रिप्शन नहीं है; सादे पाठ में संग्रहीत संवेदनशील डेटा डिवाइस एक्सेस वाले किसी भी व्यक्ति या XSS कमजोरियों के माध्यम से सुलभ है।
सिफारिश: LocalStorage में पहचान योग्य व्यक्तिगत डेटा संग्रहीत करने से बचें। यदि स्टोरेज आवश्यक है, तो सुनिश्चित करें कि सहमति प्राप्त की गई है, डेटा कम किया गया है, और एक स्पष्ट विलोपन तंत्र मौजूद है।
लोकलस्टोरेज बनाम सेशनस्टोरेज: गोपनीयता निहितार्थ
सेशनस्टोरेज वेब स्टोरेज API के संदर्भ में लोकलस्टोरेज के समान व्यवहार करता है, लेकिन ब्राउज़र टैब या विंडो बंद होने पर डेटा साफ़ हो जाता है। इस छोटी जीवनकाल के बावजूद, सेशनस्टोरेज ट्रैकिंग या एनालिटिक्स के लिए उपयोग किए जाने पर समान सहमति आवश्यकताओं के अधीन है [6]।
अनुपालन उद्देश्यों के लिए मुख्य अंतर:
- सेशनस्टोरेज कड़ाई से आवश्यक के रूप में अधिक आसानी से योग्य हो सकता है (उदाहरण के लिए, एक बहु-चरणीय चेकआउट के दौरान स्थिति बनाए रखना), क्योंकि डेटा सत्र से आगे नहीं रहता है।
- LocalStorage को ट्रैकिंग उपयोग के मामलों के लिए लगभग हमेशा सहमति की आवश्यकता होती है क्योंकि इसकी दृढ़ता उपयोगकर्ता के डिवाइस पर एक दीर्घकालिक पहचानकर्ता बनाती है।
कोई भी तंत्र गोपनीयता कानून से स्वाभाविक रूप से छूट नहीं है। संग्रहीत डेटा का उद्देश्य और सामग्री सहमति दायित्व को निर्धारित करती है, न कि स्टोरेज प्रकार स्वयं।
यदि आप सहमति के बिना लोकलस्टोरेज का उपयोग करते हैं तो क्या होता है
वैध पूर्व सहमति प्राप्त किए बिना गैर-आवश्यक उद्देश्यों के लिए लोकलस्टोरेज का उपयोग करना ePrivacy Directive का उल्लंघन है और, जहां व्यक्तिगत डेटा शामिल है, GDPR का उल्लंघन है। परिणामों में नियामक जांच, प्रवर्तन कार्रवाई और प्रतिष्ठा को नुकसान शामिल हो सकता है।
नियामक जोखिम से परे, एक बढ़ती हुई तकनीकी प्रवर्तन आयाम है: ब्राउज़र गोपनीयता सुविधाएँ और विज्ञापन अवरोधक तेजी से लोकलस्टोरेज-आधारित ट्रैकिंग को लक्षित कर रहे हैं। एनालिटिक्स या वैयक्तिकरण के लिए असहमति वाले लोकलस्टोरेज पर निर्भर साइटें पा सकती हैं कि उनका डेटा तेजी से अविश्वसनीय हो रहा है क्योंकि ये उपकरण अधिक प्रचलित हो जाते हैं।
व्यावहारिक जोखिम चेकलिस्ट:
- तृतीय-पक्ष एनालिटिक्स स्क्रिप्ट सहमति कवरेज के बिना लोकलस्टोरेज पहचानकर्ता लिख रहे हैं।
- A/B परीक्षण उपकरण सहमति एकत्र करने से पहले भिन्न असाइनमेंट संग्रहीत कर रहे हैं।
- चैट विजेट या समर्थन उपकरण किसी भी उपयोगकर्ता इंटरैक्शन से पहले पृष्ठ लोड पर लोकलस्टोरेज को प्रारंभ कर रहे हैं।
- रीटारगेटिंग पिक्सेल कुकी-सिंक फ़ॉलबैक के रूप में लोकलस्टोरेज का उपयोग कर रहे हैं।
अपनी वेबसाइट पर लोकलस्टोरेज सहमति कैसे लागू करें
LocalStorage सहमति को लागू करने के लिए एक सहमति प्रबंधन प्लेटफ़ॉर्म की आवश्यकता होती है जो JavaScript निष्पादन को अवरुद्ध कर सकता है, न कि केवल कुकी सेटिंग को, जब तक उपयोगकर्ता ने एक वैध सहमति विकल्प नहीं बनाया है। मानक कुकी बैनर जो केवल HTTP परत पर काम करते हैं, JavaScript द्वारा किए गए LocalStorage लेखन को इंटरसेप्ट नहीं करेंगे [3]।
चरण-दर-चरण कार्यान्वयन दृष्टिकोण:
- अपने LocalStorage उपयोग का ऑडिट करें। ब्राउज़र डेवलपर टूल (एप्लिकेशन टैब) और एक स्क्रिप्ट स्कैनर का उपयोग करके LocalStorage में लिखी गई प्रत्येक कुंजी, कौन सी स्क्रिप्ट इसे लिखती है, और किस उद्देश्य के लिए पहचान करें।
- प्रत्येक उपयोग को वर्गीकृत करें। स्टोरेज को कड़ाई से आवश्यक, कार्यात्मक, एनालिटिक्स, या मार्केटिंग के रूप में वर्गीकृत करें। केवल कड़ाई से आवश्यक स्टोरेज ही सहमति के बिना आगे बढ़ सकता है।
- एक CMP चुनें जो LocalStorage को कवर करता हो। सुनिश्चित करें कि आपका सहमति प्रबंधन प्लेटफ़ॉर्म गैर-आवश्यक स्क्रिप्ट के लिए JavaScript निष्पादन को अवरुद्ध या स्थगित कर सकता है जब तक कि सहमति नहीं दी जाती है। Biscotti CMP को स्क्रिप्ट-स्तरीय सहमति प्रबंधन के इस स्तर को संभालने के लिए डिज़ाइन किया गया है।
- सहमति-गेटेड स्क्रिप्ट लोडिंग लागू करें। गैर-आवश्यक स्क्रिप्ट जो LocalStorage में लिखती हैं, उन्हें केवल तभी लोड होना चाहिए जब उपयोगकर्ता ने संबंधित सहमति श्रेणी को स्वीकार कर लिया हो।
- एक स्पष्ट सहमति UI प्रदान करें। सहमति बैनर को सादे भाषा में LocalStorage उपयोग का वर्णन करना चाहिए, उद्देश्य के अनुसार वर्गीकृत, दानेदार ऑप्ट-इन विकल्पों के साथ।
- एक वापसी और विलोपन तंत्र लागू करें। जब कोई उपयोगकर्ता सहमति वापस लेता है, तो संबंधित LocalStorage कुंजियों को तुरंत साफ़ किया जाना चाहिए।
उपयोगकर्ता द्वारा सहमति वापस लेने के बाद लोकलस्टोरेज डेटा कैसे हटाएं
जब कोई उपयोगकर्ता सहमति वापस लेता है, तो वेबसाइट को उस सहमति के तहत एकत्र किए गए किसी भी लोकलस्टोरेज डेटा को तुरंत हटा देना चाहिए। यह वैकल्पिक नहीं है, सहमति वापस लेने और संबंधित डेटा को हटाने का अधिकार एक मुख्य GDPR सिद्धांत है।
कार्यान्वयन पैटर्न: