सूचना गोपनीयता

From Vigyanwiki

सूचना गोपनीयता डेटा, प्रौद्योगिकी, गोपनीयता की सार्वजनिक अपेक्षा, प्रासंगिक अखंडता, और उनके आसपास के कानूनी और राजनीतिक मुद्दों के संग्रह और प्रसार के बीच संबंध को कहते है।[1] इसे डेटा गोपनीयता या डेटा सुरक्षा के रूप में भी जाना जाता है।[2]

डेटा गोपनीयता चुनौतीपूर्ण हो सकता है जब इसे प्रयोग करने के प्रयास में किसी व्यक्ति की गोपनीयता प्राथमिकताओं और व्यक्तिगत रूप से पहचान योग्य जानकारी की सुरक्षा करते हुए हमें डेटा प्राप्त करता है।[3]कंप्यूटर सुरक्षा, डेटा सुरक्षा,और सूचना सुरक्षा के क्षेत्र में सभी इस मुद्दे को हल करने के लिए सॉफ़्टवेयर, हार्डवेयर, और मानव संसाधनों का डिज़ाइन और उपयोग करते हैं।

अधिकारी

नियम

Template:यह भी देखें

Template:यह भी देखें

देश द्वारा प्राधिकरण

Template:यह भी देखें

सूचना प्रकार

विभिन्न प्रकार की व्यक्तिगत जानकारी प्रायः गोपनीयता संबंधी चिंताओं के अंतर्गत आती हैं।

केबल टेलीविजन

यह नियंत्रित करने की क्षमता का वर्णन करता है कि कोई व्यक्ति केबल टेलीविजन पर अपने बारे में कौन सी जानकारी प्रकट करता है, और उस जानकारी तक कौन पहुंच सकता है। उदाहरण के लिए, तृतीय पक्ष इंटरनेट प्रोटोकॉल टेलीविजन प्रोग्राम को ट्रैक कर सकते हैं जिसे किसी ने किसी भी समय देखा है। ऑडियंस रेटिंग सर्वेक्षण के लिए ब्रॉडकास्टिंग स्ट्रीम में किसी भी जानकारी को जोड़ने की आवश्यकता नहीं है, दर्शकों या श्रोताओं के घरों में अतिरिक्त उपकरणों को स्थापित करने का अनुरोध नहीं किया जाता है, और उनके सहयोग की आवश्यकता के बिना, दर्शकों की रेटिंग वास्तविक रूप से स्वचालित रूप से की जा सकती है -समय।[6]

शैक्षिक

2012 में यूनाइटेड किंगडम में, शिक्षा सचिव माइकल गोव ने राष्ट्रीय छात्र डेटाबेस को एक समृद्ध डेटासेट के रूप में वर्णित किया, जिसका मूल्य निजी कंपनियों सहित इसे अधिक खुले तौर पर सुलभ बनाकर अधिकतम किया जा सकता है। रजिस्टर के केली फाइवाश ने कहा कि इसका मतलब यह हो सकता है कि बच्चे का स्कूली जीवन जिसमें परीक्षा परिणाम, उपस्थिति, शिक्षक मूल्यांकन और यहां तक ​​​​कि विशेषताएँ भी उपलब्ध हो सकती हैं, तीसरे पक्ष के संगठन स्वयं किसी भी प्रकाशन को गुमनाम करने के लिए जिम्मेदार होते हैं, बजाय इसके कि डेटा को अज्ञात किया जाए। सौंपे जाने से पहले सरकार डेटा अनुरोध का एक उदाहरण जिसे गोव ने पूर्व में अस्वीकार कर दिया था, लेकिन गोपनीयता नियमों के एक उन्नत संस्करण के तहत संभव हो सकता है, यौन शोषण पर विश्लेषण के लिए था।[7]

वित्तीय

Main article: वित्तीय गोपनीयता

किसी व्यक्ति के वित्तीय लेन-देन के बारे में जानकारी, जिसमें संपत्ति की राशि, स्टॉक या फंड में स्थिति, बकाया ऋण और खरीदारी सम्मिलित है, संवेदनशील हो सकती है। यदि अपराधी किसी व्यक्ति के खाते या क्रेडिट कार्ड नंबर जैसी जानकारी तक पहुँच प्राप्त करते हैं, तो वह व्यक्ति धोखा धड़ी या पहचान की चोरी का शिकार हो सकता है। किसी व्यक्ति की खरीदारी के बारे में जानकारी उस व्यक्ति के इतिहास के बारे में बहुत कुछ बता सकती है, जैसे कि वे जिन स्थानों पर गए हैं, जिनसे उनका संपर्क है, उनके द्वारा उपयोग किए गए उत्पाद, उनकी गतिविधियाँ और आदतें, या उनके द्वारा उपयोग की जाने वाली दवाएं। कुछ मामलों में, निगम इस जानकारी का उपयोग लक्षित विज्ञापन व्यक्तियों के लिए कर सकते हैं, जिनकी विपणन उन व्यक्तियों की व्यक्तिगत प्राथमिकताओं के अनुसार अनुकूलित है, जिसे वह व्यक्ति स्वीकार कर सकता है या नहीं भी कर सकता है।[7]

इंटरनेट

Main article: इंटरनेट गोपनीयता

इंटरनेट पर अपने बारे में प्रकट होने वाली जानकारी को नियंत्रित करने की क्षमता, और उस जानकारी तक कौन पहुंच सकता है, एक बढ़ती हुई चिंता बन गई है। इन चिंताओं में सम्मिलित है कि क्याईमेल को तृतीय पक्षों द्वारा सहमति के बिना संग्रहीत या पढ़ा जा सकता है, या क्या तृतीय पक्ष किसी व्यक्ति द्वारा देखी गई वेबसाइटों को ट्रैक करना जारी रख सकते हैं। एक और चिंता का विषय यह है कि यदि एक बार देखी गई वेबसाइटें उपयोगकर्ताओं के बारे में व्यक्तिगत रूप से पहचान योग्य जानकारी एकत्र, संग्रहीत और संभवतः साझा कर सकती हैं।

विभिन्न वेब सर्च इंजनों के आगमन और डेटा खनन के उपयोग ने व्यक्तियों के बारे में डेटा एकत्र करने और विभिन्न प्रकार के स्रोतों से बहुत आसानी से एकत्र करने की क्षमता पैदा की।[8][9][10] एफटीसी ने दिशानिर्देशों का एक सेट प्रदान किया है जो इलेक्ट्रॉनिक मार्केटप्लेस में उचित सूचना प्रथाओं से संबंधित व्यापक रूप से स्वीकृत अवधारणाओं का प्रतिनिधित्व करता है जिसेनिष्पक्ष सूचना अभ्यास सिद्धांत कहा जाता है।

बहुत अधिक व्यक्तिगत जानकारी देने से बचने के लिए ईमेल को एन्क्रिप्ट किया जाना चाहिए। वेब पेजों की ब्राउजिंग के साथ-साथ अन्य ऑनलाइन गतिविधियों को अज्ञात के माध्यम से ट्रेस-कम किया जाना चाहिए, अगर उन पर भरोसा नहीं किया जाता है, तो ओपन-सोर्स वितरित एनोनिमाइज़र, तथाकथित मिश्रण जाल, जैसे कि आई२पी या टोर (गुमनामी नेटवर्क) | टोर – ओनियन राउटर। वीपीएन (आभासी निजी संजाल) एक और एनोनिमाइज़र है जिसका उपयोग ऑनलाइन रहते हुए किसी को अधिक सुरक्षा देने के लिए किया जा सकता है। इसमें वेब ट्रैफ़िक को अस्पष्ट करना और एन्क्रिप्ट करना सम्मिलित है ताकि अन्य समूह इसे देख या माइन न कर सकें।[11] गोपनीयता चिंताओं के साथ ईमेल एकमात्र इंटरनेट सामग्री नहीं है। ऐसे युग में जहां सूचनाओं की बढ़ती मात्रा ऑनलाइन है, सोशल नेटवर्किंग साइट्स अतिरिक्त गोपनीयता चुनौतियां पेश करती हैं। लोगों को तस्वीरों में टैग किया जा सकता है या उनके बारे में मूल्यवान जानकारी या तो पसंद से या अप्रत्याशित रूप से दूसरों द्वारा उजागर की जा सकती है, जिसे सहभागी निगरानी कहा जाता है। स्थान के बारे में डेटा गलती से भी प्रकाशित हो सकता है, उदाहरण के लिए, जब कोई पृष्ठभूमि के रूप में स्टोर के साथ कोई चित्र पोस्ट करता है। जानकारी को ऑनलाइन पोस्ट करते समय सावधानी बरतनी चाहिए, सामाजिक नेटवर्क इस बात में भिन्न होते हैं कि वे उपयोगकर्ताओं को क्या निजी बनाने की अनुमति देते हैं और क्या सार्वजनिक रूप से सुलभ रहता है।[12] मजबूत सुरक्षा सेटिंग्स के बिना और जो सार्वजनिक रहता है उस पर सावधानीपूर्वक ध्यान दिए बिना, एक व्यक्ति को अलग-अलग सूचनाओं को खोजकर और एकत्र करके प्रोफाइल किया जा सकता है, सबसे खराब स्थिति साइबरस्टॉकिंग के मामलों की ओर ले जाती है[13] या प्रतिष्ठा की क्षति।[14]

कुकीज़ का उपयोग वेबसाइटों में किया जाता है, जिससे उपयोगकर्ता वेबसाइट को उपयोगकर्ता के इंटरनेट से कुछ जानकारी प्राप्त करने की अनुमति दे सकते हैं, जिसमें आमतौर पर यह उल्लेख नहीं होता है कि पुनर्प्राप्त किया जा रहा डेटा क्या है।[15] यह उपयोगकर्ताओं की इंटरनेट गतिविधि पर नज़र रखने और ट्रैक करने के लिए उपयोग की जाने वाली एक सामान्य विधि है।[15]2018 में, जनरल डेटा प्रोटेक्शन रेगुलेशन (GDPR) ने नियम पारित किया जो वेबसाइटों को उपभोक्ताओं को अपनी जानकारी गोपनीयता प्रथाओं को स्पष्ट रूप से प्रकट करने के लिए मजबूर करता है, जिसे कुकी नोटिस कहा जाता है।[16] यह उपभोक्ताओं को यह चुनने के लिए जारी किया गया था कि वे वेबसाइटों को ट्रैक करने देने के लिए अपने व्यवहार के बारे में किस जानकारी की सहमति देते हैं, हालांकि इसकी प्रभावशीलता विवादास्पद है।[16] कुछ वेबसाइटें भ्रामक प्रथाओं में संलग्न हो सकती हैं जैसे कि कुकी नोटिस को पृष्ठ पर उन स्थानों पर रखना जो दिखाई नहीं दे रहे हैं, या केवल उपभोक्ताओं को यह नोटिस देना कि उनकी जानकारी ट्रैक की जा रही है, लेकिन उन्हें अपनी गोपनीयता सेटिंग बदलने की अनुमति नहीं है।[16]इंस्टाग्राम और जैसे ऐप्स फेसबुक व्यक्तिगत ऐप अनुभव के लिए उपयोगकर्ता डेटा एकत्र करता है, हालांकि वे अन्य ऐप पर उपयोगकर्ता गतिविधि को ट्रैक करते हैं जो उपयोगकर्ता की गोपनीयता और डेटा को खतरे में डालते हैं।

स्थानीय

चूंकि मोबाइल उपकरणों की स्थान ट्रैकिंग क्षमताएं आगे बढ़ रही हैं (स्थान-आधारित सेवाएं), उपयोगकर्ता गोपनीयता से संबंधित समस्याएं उत्पन्न होती हैं। स्थान डेटा वर्तमान में एकत्र किए जा रहे सबसे संवेदनशील डेटा में से एक है।[17] इलेक्ट्रॉनिक फ्रंटियर फाउंडेशन द्वारा 2009 में संभावित रूप से संवेदनशील पेशेवर और व्यक्तिगत जानकारी की एक सूची प्रकाशित की गई थी, जिसे केवल उनकी गतिशीलता का पता लगाने वाले व्यक्ति के बारे में पता लगाया जा सकता है।[18] इनमें एक प्रतियोगी बिक्री बल की आवाजाही, किसी विशेष चर्च की उपस्थिति या मोटल में या गर्भपात क्लिनिक में किसी व्यक्ति की उपस्थिति सम्मिलित है। हाल ही में एमआईटी अध्ययन[19][20] डी मोंटजॉय एट अल द्वारा ने दिखाया कि चार स्थानिक-अस्थायी बिंदु, अनुमानित स्थान और समय, गतिशीलता डेटाबेस में 1.5 मिलियन लोगों में से 95% को विशिष्ट रूप से पहचानने के लिए पर्याप्त हैं। आगे के अध्ययन से पता चलता है कि डेटासेट का रिज़ॉल्यूशन कम होने पर भी ये बाधाएँ बनी रहती हैं। इसलिए, मोटे या धुंधले डेटासेट भी थोड़ा गुमनामी प्रदान करते हैं।

चिकित्सा

Main article: मेडिकल गोपनीयता

एक व्यक्ति हो सकता है कि अपने स्वास्थ्य के बारे में जो जानकारी प्रकट कर सकते हैं उसकी गोपनीयता और संवेदनशीलता के कारण उनके मेडिकल रिकॉर्ड दूसरों के सामने प्रकट न हों। उदाहरण के लिए, वे चिंतित हो सकते हैं कि यह उनके बीमा कवरेज या रोजगार को प्रभावित कर सकता है। या, ऐसा इसलिए हो सकता है क्योंकि वे नहीं चाहेंगे कि दूसरों को किसी भी चिकित्सा या मनोवैज्ञानिक स्थिति या उपचार के बारे में पता चले जो खुद के लिए शर्मिंदगी लाए है। मेडिकल डेटा का खुलासा करने से किसी के निजी जीवन के बारे में अन्य विवरण भी सामने आ सकते हैं।[21] चिकित्सा गोपनीयता की तीन प्रमुख श्रेणियां हैं: सूचनात्मक (व्यक्तिगत जानकारी पर नियंत्रण की डिग्री), भौतिक (दूसरों के लिए शारीरिक दुर्गमता की डिग्री), और मनोवैज्ञानिक (जिस हद तक डॉक्टर मरीजों की सांस्कृतिक मान्यताओं, आंतरिक विचारों, मूल्यों का सम्मान करता है। भावनाओं और धार्मिक प्रथाओं और उन्हें व्यक्तिगत निर्णय लेने की अनुमति देता है)।[22]

कई संस्कृतियों और देशों में चिकित्सकों और मनोचिकित्सकों के पास डॉक्टर-रोगी संबंधों के लिए मानक हैं, जिसमें गोपनीयता बनाए रखना सम्मिलित है। कुछ मामलों में, चिकित्सक-रोगी विशेषाधिकार कानूनी रूप से संरक्षित हैं। ये प्रथाएँ रोगियों की गरिमा की रक्षा के लिए हैं, और यह सुनिश्चित करने के लिए हैं कि रोगी सही उपचार प्राप्त करने के लिए आवश्यक पूर्ण और सटीक जानकारी प्रकट करने के लिए स्वतंत्र महसूस करें।[23]

निजी स्वास्थ्य जानकारी की गोपनीयता को शासित करने वाले संयुक्त राज्य के कानूनों को देखने के लिए, स्वास्थ्य बीमा सुवाह्यता और जवाबदेही अधिनियम और आर्थिक और नैदानिक ​​स्वास्थ्य अधिनियम के लिए स्वास्थ्य सूचना प्रौद्योगिकी देखें। ऑस्ट्रेलियाई कानून गोपनीयता अधिनियम 1988 ऑस्ट्रेलिया और साथ ही राज्य-आधारित स्वास्थ्य रिकॉर्ड कानून है।

राजनीतिक

Main article: राजनीतिक गोपनीयता

प्राचीन काल में मतदान प्रणाली के उभरने के बाद से राजनीतिक गोपनीयता एक चिंता का विषय रही है। गुप्त मतदान यह सुनिश्चित करने का सबसे सरल और सबसे व्यापक उपाय है कि मतदाताओं के अलावा किसी और को राजनीतिक विचारों की जानकारी न हो- यह आधुनिक लोकतंत्र में लगभग सार्वभौमिक है और इसे नागरिकता का मूल अधिकार माना जाता है। वास्तव में, जहां निजता के अन्य अधिकार मौजूद नहीं हैं, वहां भी इस प्रकार की निजता प्रायः होती है। दुर्भाग्य से, डिजिटल वोटिंग मशीनों के उपयोग से वोटिंग धोखाधड़ी या गोपनीयता के उल्लंघन के कई रूप संभव हैं।[24]

वैधता

Main article: सूचना गोपनीयता नियम

सामान्य रूप से निजता के अधिकार की कानूनी सुरक्षा - और विशेष रूप से डेटा गोपनीयता - दुनिया भर में बहुत भिन्न होती है।[25]गोपनीयता और डेटा संरक्षण से संबंधित कानून और नियम लगातार बदल रहे हैं, कानून में किसी भी बदलाव के बारे में जागरूक रहना और डेटा गोपनीयता और सुरक्षा नियमों के अनुपालन का लगातार पुनर्मूल्यांकन करना महत्वपूर्ण माना जाता है।[26] अकादमिक क्षेत्र के भीतर, संस्थागत समीक्षा बोर्ड यह सुनिश्चित करने के लिए कार्य करता है कि अनुसंधान में मानव विषयों की गोपनीयता और गोपनीयता दोनों को सुनिश्चित करने के लिए पर्याप्त उपाय किए जाते हैं।[27]

जहां भी व्यक्तिगत रूप से पहचान योग्य जानकारी या अन्य सूचना संवेदनशीलता एकत्र, संग्रहीत, उपयोग की जाती है, और अंत में नष्ट या हटा दी जाती है - डिजिटल डेटा या अन्यथा में गोपनीयता संबंधी चिंताएँ मौजूद होती हैं। अनुचित या गैर-मौजूद प्रकटीकरण नियंत्रण गोपनीयता के मुद्दों का मूल कारण हो सकता है। गतिशील सहमति सहित सूचित सहमति तंत्र डेटा विषयों को उनकी व्यक्तिगत रूप से पहचान योग्य जानकारी के विभिन्न उपयोगों के बारे में बताने में महत्वपूर्ण हैं। स्रोतों की एक विस्तृत श्रृंखला से जानकारी के जवाब में डेटा गोपनीयता समस्याएँ उत्पन्न हो सकती हैं, जैसे:[28]

सूचना प्रणाली में गोपनीयता की सुरक्षा

चूंकि अलग-अलग गोपनीयता नियमों के साथ विषम सूचना प्रणालियां आपस में जुड़ी हुई हैं और जानकारी साझा की जाती है, गोपनीयता नीति नियमों (और कानूनों) की बढ़ती मात्रा के साथ सामंजस्य स्थापित करने, लागू करने और निगरानी करने के लिए नीति उपकरणों की आवश्यकता होगी। वाणिज्य आईटी सिस्टम में गोपनीयता सुरक्षा को संबोधित करने के लिए प्रौद्योगिकी की दो श्रेणियां हैं: संचार और प्रवर्तन।

नीति संचार

  • P3P - गोपनीयता वरीयता के लिए मंच। P3P गोपनीयता प्रथाओं को संप्रेषित करने और उनकी तुलना व्यक्तियों की प्राथमिकताओं से करने के लिए एक मानक है।
नीति क्रियान्वयन
  • एक्सएसीएमएल - अपनी गोपनीयता प्रोफ़ाइल के साथ एक्स्टेंसिबल एक्सेस कंट्रोल मार्कअप लैंग्वेज एक मशीन-पठनीय भाषा में गोपनीयता नीतियों को व्यक्त करने के लिए एक मानक है जिसका उपयोग एक सॉफ्टवेयर सिस्टम एंटरप्राइज़ IT सिस्टम में नीति को लागू करने के लिए कर सकता है।
  • उद्यम गोपनीयता प्राधिकरण भाषा - एंटरप्राइज प्राइवेसी ऑथराइजेशन लैंग्वेज एक्सएसीएमएल से काफी मिलती-जुलती है, लेकिन अभी तक एक मानक नहीं है।
  • डब्ल्यूएस-गोपनीयता - वेब सेवा गोपनीयता वेब सेवाओं में गोपनीयता नीति संप्रेषित करने के लिए एक विनिर्देश होगी। उदाहरण के लिए, यह निर्दिष्ट कर सकता है कि वेब सेवा संदेश के सोप (SOAP) लिफाफे में गोपनीयता नीति की जानकारी कैसे एम्बेड की जा सकती है।
इंटरनेट पर गोपनीयता की रक्षा करना

इंटरनेट पर कई उपयोगकर्ता अपने बारे में बहुत सारी जानकारी देते हैं: अनएन्क्रिप्टेड ई-मेल को ईमेल सर्वर के प्रशासकों द्वारा पढ़ा जा सकता है यदि कनेक्शन एन्क्रिप्टेड नहीं है (एचटीटीपीएस के नहीं), और इंटरनेट सेवा प्रदाता और अन्य पार्टियां भी पैकेट विश्लेषक उस कनेक्शन के नेटवर्क ट्रैफिक सामग्री को जानने में सक्षम हैं। यह इंटरनेट पर उत्पन्न किसी भी प्रकार के ट्रैफ़िक पर लागू होता है, जिसमें वेब ब्राउज़िंग,तत्काल दूत और अन्य सम्मिलित हैं।

बहुत अधिक व्यक्तिगत जानकारी न देने के लिए, ई-मेल को एन्क्रिप्ट किया जा सकता है और वेबपेजों को ब्राउज़ करने के साथ-साथ अन्य ऑनलाइन गतिविधियों को अनोनिमाइज़र के माध्यम से या ओपन सोर्स वितरित अनोन्यमिज़र,तथाकथित मिश्रण नेटवर्क द्वारा किया जा सकता है। जाने-माने ओपन-सोर्स मिक्स नेट में आईं२पी - बेनामी नेटवर्क और टोर (गुमनामी नेटवर्क) सम्मिलित हैं।

निजीकरण के माध्यम से गोपनीयता में सुधार

फोरेंसिक पहचान के जरिए कंप्यूटर प्राइवेसी को बेहतर बनाया जा सकता है। वर्तमान में सुरक्षा संदेश औसत उपयोगकर्ता के लिए डिज़ाइन किए गए हैं, अर्थात सभी के लिए समान संदेश शोधकर्ताओं ने माना है कि उपयोगकर्ताओं के व्यक्तिगत मतभेदों और व्यक्तित्व लक्षणों के आधार पर तैयार किए गए व्यक्तिगत संदेशों और सुरक्षा न्यूज का उपयोग कंप्यूटर सुरक्षा और गोपनीयता के साथ प्रत्येक व्यक्ति के अनुपालन के लिए और सुधार के लिए किया जा सकता है।[29]

युनाइटेड स्टेट्स सेफ हार्बर कार्यक्रम और यात्री नाम रिकॉर्ड मुद्दे

संयुक्त राज्य अमेरिका के वाणिज्य विभाग ने यूरोपीय आयोग के व्यक्तिगत डेटा (निर्देश 95/46/ईसी) की सुरक्षा पर निर्देश 95/46/ईसी के जवाब में अंतर्राष्ट्रीय सुरक्षित बंदरगाह गोपनीयता सिद्धांत प्रमाणन कार्यक्रम बनाया।[30] संयुक्त राज्य अमेरिका और यूरोपीय संघ दोनों आधिकारिक तौर पर कहते हैं कि वे व्यक्तियों की सूचना गोपनीयता को बनाए रखने के लिए प्रतिबद्ध हैं, लेकिन पूर्व ने व्यक्तिगत डेटा पर यूरोपीय संघ के सख्त कानूनों के मानकों को पूरा करने में विफल रहने के कारण दोनों के बीच घर्षण पैदा किया है। लंबे समय से चल रहे इस मुद्दे को हल करने के लिए सेफ हार्बर कार्यक्रम की बातचीत का हिस्सा था।[31] निर्देश 95/46/ईसी अध्याय IV के अनुच्छेद 25 में घोषित करता है कि व्यक्तिगत डेटा को केवलयूरोपीय आर्थिक क्षेत्र के देशों से उन देशों में स्थानांतरित किया जा सकता है जो पर्याप्त गोपनीयता सुरक्षा प्रदान करते हैं। ऐतिहासिक रूप से, पर्याप्तता स्थापित करने के लिए निर्देश 95/46/ई यू द्वारा लागू किए गए व्यापक रूप से समतुल्य राष्ट्रीय कानूनों के निर्माण की आवश्यकता थी। हालांकि इस व्यापक निषेध के अपवाद हैं - उदाहरण के लिए जहां ईईए के बाहर किसी देश के लिए प्रकटीकरण संबंधित व्यक्ति की सहमति से किया जाता है (अनुच्छेद 26(1)(ए)) - वे व्यावहारिक दायरे में सीमित हैं। नतीजतन, अनुच्छेद 25 ने उन संगठनों के लिए एक कानूनी जोखिम पैदा किया जो यूरोप से संयुक्त राज्य अमेरिका में व्यक्तिगत डेटा स्थानांतरित करते हैं।

कार्यक्रम यूरोपीय संघ और अमेरिका के बीच यात्री नाम रिकॉर्ड जानकारी के आदान-प्रदान को नियंत्रित करता है। यूरोपीय संघ के निर्देश के अनुसार, व्यक्तिगत डेटा केवल तीसरे देशों को स्थानांतरित किया जा सकता है यदि वह देश पर्याप्त स्तर की सुरक्षा प्रदान करता है। इस नियम के कुछ अपवाद प्रदान किए गए हैं, उदाहरण के लिए जब नियंत्रक स्वयं यह गारंटी दे सकता है कि प्राप्तकर्ता डेटा सुरक्षा नियमों का पालन करेगा।

यूरोपीय आयोग ने व्यक्तिगत डेटा के प्रसंस्करण के संबंध में व्यक्तियों के संरक्षण पर कार्य दल की स्थापना की है, जिसे आमतौर पर अनुच्छेद 29 कार्य दल के रूप में जाना जाता है। वर्किंग पार्टी यूरोपीय संघ और तीसरे देशों में सुरक्षा के स्तर के बारे में सलाह देती है।[32]

वर्किंग पार्टी ने व्यक्तिगत डेटा की सुरक्षा के बारे में अमेरिकी प्रतिनिधियों के साथ बातचीत की, जिसका परिणाम सेफ हार्बर सिद्धांत थे। अनुमोदन के बावजूद, सेफ हार्बर का स्व-मूल्यांकन दृष्टिकोण कई यूरोपीय गोपनीयता नियामकों और टिप्पणीकारों के साथ विवादास्पद बना हुआ है।[33] सेफ हार्बर प्रोग्राम इस मुद्दे को निम्नलिखित तरीके से संबोधित करता है: संयुक्त राज्य में सभी संगठनों पर एक व्यापक कानून लागू करने के बजाय, संघीय व्यापार आयोग द्वारा एक स्वैच्छिक कार्यक्रम लागू किया जाता है। अमेरिकी संगठन जो इस कार्यक्रम के साथ पंजीकृत हैं, कई मानकों के साथ उनके अनुपालन का स्व-मूल्यांकन करने के बाद, उन्हें अनुच्छेद 25 के उद्देश्यों के लिए पर्याप्त माना जाता है। ऐसे संगठनों को ईईए से व्यक्तिगत जानकारी भेजी जा सकती है, प्रेषक द्वारा अनुच्छेद 25 का उल्लंघन किए बिना या इसके यूरोपीय संघ के राष्ट्रीय समकक्ष है। 26 जुलाई 2000 को यूरोपीय आयोग द्वारा अनुच्छेद 25(6) के प्रयोजनों के लिए व्यक्तिगत डेटा के लिए पर्याप्त सुरक्षा प्रदान करने के रूप में सेफ हार्बर को मंजूरी दी गई थी।[34]

सेफ हार्बर के तहत, गोद लेने वाले संगठनों को आगे के हस्तांतरण दायित्वों के अनुपालन पर सावधानीपूर्वक विचार करने की आवश्यकता है, जहां ईयू में उत्पन्न होने वाले व्यक्तिगत डेटा को यूएस सेफ हार्बर में स्थानांतरित किया जाता है, और फिर आगे किसी तीसरे देश में स्थानांतरित किया जाता है। कई यूरोपीय संघ गोपनीयता नियामकों द्वारा अनुशंसित बाध्यकारी कॉर्पोरेट निय