स्पेनिश YouTuber Carles Tamayo ने अपनी आम बोलचाल वाली, मज़ेदार और तीखी शैली में एक बार फिर लोगों को झकझोर दिया है। अप्रैल 2026 में स्पेनिश पब्लिक टेलीविज़न पर शुरू हुई डॉक्युमेंट्री सीरीज़ Se nos ha ido de las manos यानी “It’s gotten out of hand” के आखिरी एपिसोड में वे देखते हैं कि कंपनियां पर्सनल डेटा कैसे खरीदती और बेचती हैं।

El activo eres tú यानी “You’re the asset” नाम का यह एपिसोड एक असहज सवाल सामने रखता है : हमारा डेटा किसके पास है और उसके साथ क्या किया जा रहा है? और कुछ मुफ्त मिलने के वादे के बदले हम क्या देने को तैयार हैं? जिन कंपनियों को उनके बारे में बहुत ज़्यादा पता था, उनसे स्पैम कॉल आने के बाद Tamayo ने अपनी ही प्रोडक्शन कंपनी को डेटा ब्रोकर बना दिया, ताकि अंदर से देख सकें कि पर्सनल डेटा कैसे जमा होता है और उसका कारोबार कैसे होता है।

डेटा ब्रोकर का कारोबार कैसे चलता है, और GDPR (जनरल डेटा प्रोटेक्शन रेगुलेशन) आपको कौन-कौन से अधिकार देता है, यहां जानिए।

डेटा ब्रोकर क्या होता है, और वे पैसे कैसे कमाते हैं

डेटा ब्रोकर एक ऐसी कंपनी होती है जो लोगों और संगठनों के बारे में जानकारी जमा करती है, उसका विश्लेषण करती है और उसे बेचती है। इस जानकारी को खरीदारों के लिए कीमती बनाता है यह तथ्य कि इसे मिलाकर और विश्लेषित करके इस्तेमाल किया जा सकता है। आदतें, रुचियां, स्थान का डेटा और दूसरे संकेतों को जोड़कर काम लायक कुछ बनाया जा सकता है, और यह काम अब AI की मदद से और भी ज़्यादा हो रहा है। डेटा ब्रोकर वह कच्चा माल बेचते हैं जिससे लगभग किसी का भी प्रोफाइल बनाना मुमकिन हो जाता है।

उदाहरण के लिए, Tamayo की रिपोर्ट में एक डेटा ब्रोकर उन्हें ऐसे लोगों की जानकारी देने की पेशकश करता है जिनके हाल में बच्चा हुआ है। इन नए माता-पिता ने नवजात शिशुओं के प्रोडक्ट्स के लकी ड्रॉ में एंट्री के बदले अस्पताल में अपनी जानकारी दी थी।

डेटा ब्रोकर आम तौर पर ईमेल पते, IP पते(नई विंडो), अनुमानित स्थान, ऑनलाइन खरीदारी, इंटरनेट सर्च, किसी ऐप के भीतर चुनी गई रुचियां और किसी के इस्तेमाल किए जाने वाले डिवाइस जमा करते हैं।

कभी किसी फोन कंपनी या किसी भी कंपनी से कॉल आई है और सोचा है कि उन्हें आपका नंबर कहां से मिला? यह सोचने से ज़्यादा आसान है। कुकी, मोबाइल ऐप और ऑनलाइन फॉर्म आपकी जानकारी जमा करके डेटा ब्रोकर तक पहुंचा सकते हैं। ऑफलाइन स्रोत भी ऐसा कर सकते हैं, जैसे लॉयल्टी कार्ड, लकी ड्रॉ और सार्वजनिक रिकॉर्ड।

कुकी क्या हैं और इनका काम क्या है

हर वेबसाइट पर एक छोटा पॉप-अप दिखता है जो कुकी स्वीकारने या अस्वीकारने को कहता है। अक्सर इसे जल्दी से देखकर कुकी स्वीकार कर ली जाती है(नई विंडो) और आगे बढ़ लिया जाता है, बिना कभी यह पूछे कि कुकी असल में क्या हैं(नई विंडो) या यह मान लेने से कंपनियों को अपने डेटा के साथ क्या करने की छूट दे दी गई है।

कुकी छोटी फाइलें होती हैं जिन्हें कोई वेबसाइट आपके ब्राउज़र में इसलिए सेव करती है ताकि आपकी विज़िट की जानकारी याद रखी जा सके। डेटा ब्रोकरों को खास तौर पर विज्ञापन कुकी की परवाह होती है, जो व्यवहार के आधार पर प्रोफाइल बनाने और पर्सनलाइज़्ड विज्ञापन दिखाने के लिए बनाई जाती हैं।

लेकिन अब कुकी से कहीं आगे जाकर भी आपको ट्रैक किया जा सकता है। उदाहरण के लिए, ब्राउज़र फिंगरप्रिंटिंग आपके डिवाइस की खूबियों से एक यूनिक हस्ताक्षर बनाती है, जबकि क्रॉस-साइट ट्रैकिंग वेबसाइटों के बीच आपकी गतिविधि पर नज़र रखती है। मोबाइल पर विज्ञापन ID कुछ ऐसा ही करती हैं — वे आपके व्यवहार को एक स्थायी पहचानकर्ता से जोड़ देती हैं।

कुकी अस्वीकार करने से आपकी प्राइवेसी बेहतर होती है, लेकिन इसकी पूरी गारंटी नहीं मिलती। और जब यह सवाल उठने लगता है कि आपका डेटा कहां जाता है, किसके पास रहता है और उसका इस्तेमाल कैसे होता है, तो अनिवार्य रूप से यह भी सामने आता है कि आपके डेटा का कारोबार आखिर कानूनी है या नहीं।

GDPR आपको कैसे सुरक्षित रखता है

GDPR यूरोपियन यूनियन की नियमावली है जो तय करती है कि संगठन और कंपनियां EU में किसी भी व्यक्ति का पर्सनल डेटा कैसे जमा, इस्तेमाल, शेयर और स्टोर कर सकते हैं। यह EU के बाहर की उन कंपनियों पर भी लागू होती है जो वहां के लोगों को टारगेट करती हैं। स्पेन में इसके पालन की निगरानी स्पेनिश डेटा प्रोटेक्शन एजेंसी (AEPD) करती है, जो कंपनी द्वारा इन अधिकारों के उल्लंघन पर शिकायतें भी हैंडल करती है।

GDPR कई बुनियादी अधिकार तय करता है :

एक्सेस का अधिकार : जानिए कि कोई कंपनी आपके बारे में कौन-सा पर्सनल डेटा रखती है, उसका इस्तेमाल किस लिए कर रही है, उसे किसके साथ शेयर किया है और वह उसे कहां से मिला। इसकी एक कॉपी भी मांगी जा सकती है।

सुधार का अधिकार : गलत या पुरानी जानकारी में सुधार करवाया जा सकता है।

मिटाने का अधिकार : इसे “भुला दिए जाने का अधिकार” भी कहा जाता है। इसके तहत अपने डेटा को मिटाने का अनुरोध किया जा सकता है — जब कंपनी को उसकी ज़रूरत न रहे, जब सहमति वापस ली जाए या उसके इस्तेमाल पर आपत्ति हो, या जब उसे गैरकानूनी तरीके से प्रोसेस किया गया हो।

आपत्ति का अधिकार : कुछ तरह की प्रोसेसिंग को मना किया जा सकता है, जैसे विज्ञापन के लिए अपने डेटा के इस्तेमाल को। डायरेक्ट मार्केटिंग के मामले में यह अधिकार पूर्ण है : एक बार आपत्ति जताने पर कंपनी को रुकना ही होगा।

डेटा पोर्टेबिलिटी का अधिकार : किसी कंपनी को दिया गया अपना पर्सनल डेटा एक ऐसे फॉर्मेट में पाया जा सकता है जो व्यवस्थित, आम तौर पर इस्तेमाल होने वाला और मशीन द्वारा पढ़े जाने लायक हो, ताकि उसे किसी दूसरे सर्विस प्रोवाइडर के पास ले जाया जा सके। यह तब लागू होता है जब कंपनी सहमति या किसी कॉन्ट्रैक्ट के आधार पर, ऑटोमेटेड तरीकों से आपका डेटा प्रोसेस करती है।

GDPR लोगों को ऐसे अधिकार देता है जिन्हें लागू करवाया जा सकता है, और जिनके पीछे जुर्मानों की ताकत है। फिर भी कई लोगों को यह पता ही नहीं कि इन अधिकारों का इस्तेमाल मुफ्त में किया जा सकता है। कंपनी फीस तभी ले सकती है या मना तभी कर सकती है जब अनुरोध साफ तौर पर निराधार या बेतहाशा हो।

जैसा कि Tamayo की रिपोर्ट दिखाती है, कानून जो गारंटी देता है और आम नागरिक अपनी पर्सनल जानकारी की सुरक्षा के बारे में जो जानता है, इनके बीच बड़ी खाई है। यही खाई लोगों के लिए उपलब्ध कानूनी साधनों का इस्तेमाल करना और अपने डेटा पर कंट्रोल वापस पाना मुश्किल बना देती है।

डेटा ब्रोकर्स के खिलाफ अपने GDPR अधिकारों का इस्तेमाल कैसे करें

ऊपर बताए अधिकार तभी काम आते हैं जब उनका इस्तेमाल किया जाए। इनमें से किसी के लिए वकील या खास फॉर्म की ज़रूरत नहीं : कंपनी के प्राइवेसी संपर्क को एक ईमेल भेजना ही काफी है।

पूछें कि आपका डेटा कहां से आया। अगर कोई कंपनी आपसे संपर्क करती है और आपने उसे कभी अपनी जानकारी नहीं दी, तो उससे उसका स्रोत पूछें। एक्सेस के अधिकार के तहत उसे यह बताना पड़ता है, और वह जवाब अक्सर सीधे किसी डेटा ब्रोकर तक ले जाता है।

एक्सेस अनुरोध भेजें। कंपनी या ब्रोकर से पूछें कि उसके पास आपके बारे में कौन-सा डेटा है, वह उसका इस्तेमाल किस लिए करती है और उसे किसके साथ शेयर किया है, और उसकी एक कॉपी मांगें। यह अनुरोध मुफ्त है, और कंपनी को एक महीने के भीतर जवाब देना होता है। पेचीदा अनुरोधों के मामले में वह इसे दो और महीनों तक बढ़ा सकती है, लेकिन यह बताना उसकी ज़िम्मेदारी है।

आपत्ति जताएं और डेटा मिटाने का अनुरोध करें। उसी ईमेल में मार्केटिंग के लिए अपने डेटा के इस्तेमाल पर आपत्ति जताई जा सकती है और उसे मिटाने के लिए कहा जा सकता है। कंपनी को मिटाने की सूचना उन सभी को भी देनी होती है जिनके साथ आपका डेटा शेयर किया गया था, सिवाय उस स्थिति के जब यह मुमकिन न हो या उसमें बेहद ज़्यादा मेहनत लगे।

Lista Robinson के लिए साइन-अप करें। स्पेन में डायरेक्ट मार्केटिंग भेजने वाली कंपनियों को आपसे संपर्क करने से पहले इस विज्ञापन ऑप्ट-आउट सूची की जांच करनी होती है। साइन-अप मुफ्त है।

AEPD के पास शिकायत करें। अगर कोई कंपनी आपकी बात नहीं सुनती, बिना वाजिब कारण मना कर देती है या समय सीमा चूक जाती है, तो स्पेनिश डेटा प्रोटेक्शन एजेंसी के पास मुफ्त शिकायत दर्ज करवाई जा सकती है।

शुरुआत में ही सीमित करें कि डेटा ब्रोकर क्या जमा कर सकें

आपके GDPR अधिकार उस डेटा की सफाई करते हैं जो पहले से बाहर मौजूद है। कुछ आसान आदतें यह कम करती हैं कि ब्रोकर्स तक कितना नया डेटा पहुंचता है।

अपने ऐप की परमिशन जांचें और कोई भी ऐसा एक्सेस बंद कर दें जिसकी ऐप को काम करने के लिए ज़रूरत नहीं है, खासकर वह जो आपके स्थान, संपर्कों या फोटो तक पहुंच रखता हो।

गैर-ज़रूरी कुकी अस्वीकार करें। EU की वेबसाइटों पर अस्वीकार करना भी स्वीकार करने जितना ही आसान होना चाहिए, और इससे वे विज्ञापन कुकी ब्लॉक होती हैं जो व्यवहार-आधारित प्रोफाइल को फीड करती हैं।

सिर्फ ब्राउज़िंग के वक्त वेबसाइटों और सेवाओं में साइन-इन न रहें। Google, YouTube, Amazon या किसी न्यूज़ साइट में साइन-इन होने पर सर्च, देखने, पढ़ने या खरीदने की हर गतिविधि आपके खाते से जुड़ जाती है। साइन-आउट रहकर ब्राउज़ करने से कंपनियों के पास आपसे जोड़ने लायक कम जानकारी होती है।

प्राइवेसी पर ध्यान देने वाला ब्राउज़र इस्तेमाल करें, जैसे Firefox या Brave, जो डिफॉल्ट रूप से कई ट्रैकर्स ब्लॉक करते हैं। प्राइवेसी पर केंद्रित यूरोपीय विकल्प वेब ब्राउज़र भी देखे जा सकते हैं।

Proton Mail इस्तेमाल करें, हमारी प्राइवेट और सुरक्षित ईमेल सेवा, जो आपके ईमेल नहीं पढ़ सकती और विज्ञापन, ट्रैकिंग या निगरानी के लिए आपके इन्बॉक्स को स्कैन नहीं करती। यह ट्रैकिंग पिक्सल भी ब्लॉक करती है, जिनका इस्तेमाल मार्केटर आम तौर पर यह देखने के लिए करते हैं कि संदेश कब खोला गया — साथ ही दूसरे संकेत भी जुटाए जाते हैं।

वेबसाइटों, ऐप्स और विज्ञापन नेटवर्क से अपना IP पता छिपाने के लिए एक VPN(नई विंडो) इस्तेमाल करें, ताकि ये आपके स्थान का अंदाजा लगाने या वेबसाइटों के बीच आपकी गतिविधि को जोड़ने के लिए उसका इस्तेमाल न कर सकें। Proton VPN में NetShield नाम की एक सुविधा भी है, जो विज्ञापनों और ट्रैकर्स को लोड होने से पहले ही ब्लॉक कर देती है। इसकी स्वतंत्र रूप से ऑडिट की गई नो-लॉग्स नीति(नई विंडो) है, यानी ऑनलाइन की गई गतिविधि का कोई रिकॉर्ड नहीं रखा जाता।

मज़बूत और यूनिक पासवर्ड बनाने के लिए एक एन्क्रिप्टेड पासवर्ड मैनेजर इस्तेमाल करें, ताकि किसी एक खाते में सेंध लगने से बाकी खाते खतरे में न पड़ें। Proton Pass न्यूज़लेटर, लकी ड्रॉ और ऑनलाइन दुकानों के लिए hide-my-email छद्म-नाम भी देता है। अगर किसी एक पर स्पैम आना शुरू हो, तो देखा जा सकता है कि उसे किसने शेयर या लीक किया होगा, और फिर उस छद्म-नाम को अक्षम किया जा सकता है।

Tamayo की रिपोर्ट से साफ है कि डेटा ब्रोकर उस बिज़नेस मॉडल का हिस्सा हैं जो हमारे डेटा पर टिका है। लेकिन GDPR और हमारी प्राइवेसी की रक्षा करने वाले टूल हमें कंट्रोल वापस पाने के तरीके देते हैं। मकसद इंटरनेट से गायब होना नहीं, बल्कि यह तय करना है कि हमारे डेटा तक किसे और किस वजह से एक्सेस मिले।