सीमापार डाटा र क्लाउड

यो किन भयो — र किन यो प्रायः तर्कसङ्गत छ

नेपाली कम्पनीहरू किन विदेशमा होस्ट गर्छन् भन्नेबारे इमानदार हुनु राम्रो हो। नेपालभित्र ठूलो-स्केलको, उत्पादन-गुणस्तरको सार्वजनिक क्लाउड छैन। दुई स्वदेशी डाटासेन्टर सञ्चालक — सिंहदरबारको Government Integrated Data Center र केही निजी टेल्को-संलग्न सुविधासहित — स्थिर वर्कलोडका लागि भरपर्दा छन्, तर तिनमा क्षेत्रीय पुनरावृत्ति, व्यवस्थित-सेवाको गहिराइ, र आधुनिक एप्लिकेसनले अपेक्षा गर्ने लचिलो मूल्य निर्धारण छैन। मुम्बईको AWS काठमाडौंबाट करिब ३५ मिलिसेकेन्ड टाढा छ, सानो नेपाली टोलीले आफैं चलाउन नसक्ने सयौं व्यवस्थित सेवा ल्याउँछ, र प्रति सेकेन्ड बिल पठाउँछ। टिङ्कुनेको एक र्‍याकमा यही कुरा बनाउन — जेनेरेटर, UPS, दुई ISP को फाइबर लिज, सुरक्षा ठेकेदार, र पालैपालो आउने सिसएडमिनसहित — महँगो पर्छ र बारम्बार बिग्रन्छ। बजारको जवाफ स्पष्ट छ: मुम्बई पठाऊ र अघि बढ।

तर त्यो तर्कसङ्गत छनोटको मूल्य सार्वभौमिकता हो।

“सीमापार” को वास्तविक अर्थ के हो

तपाईंको डाटा विदेशी क्लाउडमा बसेको क्षण तीन कुरा परिवर्तन हुन्छन्।

पहिलो, दुई कानूनी प्रणाली लागू हुन्छन्। नेपाली कानून लागू हुन्छ किनभने तपाईंको कम्पनी नेपाली हो र ग्राहक नेपाली हो। होस्ट देशको कानून पनि लागू हुन्छ किनभने बाइटहरू भौतिक रूपमा त्यहाँ छन्। नेपाली स्वास्थ्य रेकर्ड भएको सर्भर मुम्बईमा छ भने भारतीय कानूनले निर्धारण गर्छ — भारतीय अदालतले क्लाउड प्रदायकलाई के खुलाउन आदेश दिन सक्छ, डाटा-उल्लङ्घन सूचनाका कस्ता नियम लागू हुन्छन्, र वैध इन्टरसेप्ट के हो। क्लाउड विक्रेतासँगको तपाईंको नेपाली सम्झौताले होस्ट देशको अनिवार्य कानूनी प्रक्रियालाई रद्द गर्न सक्दैन। विक्रेताले अदालतको आदेश पालना गर्छ, र तपाईंलाई केही समयसम्म — वा कहिले पनि — सूचना नदिइन सक्छ।

दोस्रो, विदेशी सरकारका वैधानिक-पहुँच अनुरोधले नेपाली डाटा छुन सक्छन्। अमेरिकाको CLOUD Act ले अमेरिकी अधिकारीहरूलाई अमेरिकी क्लाउड प्रदायकहरूलाई संसारमा जहाँ पनि सुरक्षित डाटा उत्पादन गर्न बाध्य पार्न दिन्छ। भारतको Information Technology Act ले भारतीय भूमिमा सञ्चालकहरूलाई अवरोध आदेश दिन भारतीय अधिकारीहरूलाई अनुमति दिन्छ। प्रायः ठूला क्लाउड विक्रेताहरूले प्रत्येक वर्ष पाउने यस्ता अनुरोधको पारदर्शिता प्रतिवेदन प्रकाशित गर्छन्; प्रत्येक प्रमुख प्रदायकका लागि अनुरोधहरू वार्षिक हजारौंमा पुग्छन्, र अनुरोध गरिएको डाटा अधिकांश होस्ट देशको आफ्नै नागरिकको होइन। तपाईंको खल्ती ट्रान्ज्याक्सन लग सिद्धान्तमा त्यस्ता कानूनी प्रक्रियाहरूमार्फत पहुँचयोग्य छ जसमा नेपाली राज्यको कुनै भूमिका छैन।

तेस्रो, उल्लङ्घन-सूचना नियम फरक छन्। EU कानून अन्तर्गत, गम्भीर व्यक्तिगत-डाटा उल्लङ्घन ७२ घण्टाभित्र पर्यवेक्षक निकायलाई सूचित गर्नुपर्छ। भारतको DPDP ऐन अन्तर्गत केही पक्षमा झन् कडा छ। हालको नेपाली कानून अन्तर्गत बाध्यता अस्पष्ट छ र कार्यान्वयन निकाय कर्मचारीविहीन छ। तपाईंको नेपाली वालेटको मुम्बई-होस्टेड डाटाबेसमा उल्लङ्घन भयो भने तपाईंले पहिले भारतीय नियामकबाट, वा Reddit थ्रेडबाट, हप्तौं अघि नै सुन्न सक्नुहुन्छ — आफ्नै बैंकले सूचना दिनुअघि।

NRB ले पहिले नै के गरेको छ, र के खुला छ

नेपाल राष्ट्र बैंकले — श्रेय मिलोस् — क्षेत्रका धेरै नियामकभन्दा पहिले होस्टिङको प्रश्न देख्यो। हालको बैंक-IT निर्देशिकाले वाणिज्य बैंकहरूलाई प्राथमिक बैंकिङ डाटा नेपालमै रहेको पूर्वाधारमा राख्न दबाब दिन्छ — विदेशी होस्टिङ गैर-कोर प्रणालीका लागि र केन्द्रीय बैंकको स्पष्ट स्वीकृतिसहित मात्र अनुमति। व्यवहारमा, यसैले ठूला बैंकहरूले हाइब्रिड स्ट्याक चलाउँछन्: कोर बैंकिङ प्रणाली नेपाली डाटासेन्टरमा चल्छ, तर मोबाइल एपको ब्याकएन्ड, फ्रड-डिटेक्सन मोडेल, र ग्राहक-एनालिटिक्स तह प्रायः विदेशमा बस्छन्। NRB ले — सङ्क्षेपमा — सबैभन्दा नियमन गरिएको बाइटको वरिपरि साँघुरो रूपमा होस्टिङ रेखा कोरेको छ, र बाँकी सबै बग्नेछ भन्ने स्वीकारेको छ।

अरू कुनै पनि नेपाली नियामकले तुलनीय रेखा कोरेको छैन। टेलिकम कल डाटा, स्वास्थ्य रेकर्ड, शिक्षा डाटा, यातायात डाटा, र पूरै स्टार्टअप-र-एप पारिस्थितिकी होस्टिङ शून्यमा सञ्चालन भइरहेका छन्। पूर्वनिर्धारित विदेशी होस्टिङ हो, नियम मौनता हो, र अपवाद कुनै विशिष्ट खरिदमा व्यक्तिगत मन्त्रीहरूले माग गर्ने जे हो त्यही हो।

इमानदार मध्यम मार्ग

पहिलो पटक सीमापार जोखिमको पैमाना थाहा पाएपछि दुई चरम मध्ये कुनै एकमा हाम फाल्ने प्रलोभन हुन्छ। पहिलो हो पूर्ण सार्वभौमिकता: राष्ट्रिय क्लाउड बनाऊ, सबै नेपाली डाटा त्यसमै रहोस् भन्ने अनिवार्य गर, र विदेशी होस्टिङ प्रतिबन्ध लगाऊ। दोस्रो हो पराजित बहिःस्रोतीकरण: स्वीकार गर कि क्लाउड विश्वव्यापी छ, होस्टिङ कल्पना हो, र देशसँग जे भए पनि कुनै दाउ छैन। दुवै गलत छन्, र समान रूपमा गलत छन्।

पूर्ण सार्वभौमिकता अत्यधिक महँगो हुनेछ, व्यवस्थित क्लाउड सेवाहरूले ल्याउने वास्तविक उत्पादकत्व लाभबाट देशलाई बन्द गर्नेछ, र जोखिमलाई एकल स्वदेशी सञ्चालकमा केन्द्रीकृत गर्नेछ — जुन हालको संस्थागत क्षमता दिँदा, AWS भन्दा खराब चलाइनेछ। शुद्ध बहिःस्रोतीकरणले प्रश्न पूरै छोड्छ, नागरिकहरूलाई आफू कहिल्यै नगएको देशका कानूनी प्रक्रियाहरूमा खुला छाड्छ, र राज्यलाई आफ्नै नियम लागू गर्ने क्षमता दिँदैन।

यो अग्ल्याइन्न काम हो। यसले एउटै पनि प्रेस विज्ञप्ति निकाल्दैन। यसलाई नेपालसँग अहिलेसम्म नभएको डाटा-संरक्षण निकाय चाहिन्छ, प्रायजसो मन्त्रालयसँग नभएको प्राविधिक जनशक्ति चाहिन्छ, र केही विक्रेतालाई “होइन” भन्न तयार हुनुपर्छ। तर यो एउटै बाटो हो जुन अप्ठ्यारो परिस्थिति र दाउ दुवैबारे इमानदार छ।

आफ्नो बुझाइ जाँच्नुहोस्

छोटो जाँच

—

एउटा नयाँ नेपाली स्वास्थ्य-टेक स्टार्टअपले लाखौं बिरामीका इलेक्ट्रोनिक मेडिकल रेकर्ड राख्ने टेलिमेडिसिन प्लेटफर्म बनाइरहेको छ। सीमापार डाटा जोखिमको समानुपातिक प्रतिक्रियालाई कुन नीतिगत अडानले सबैभन्दा सही प्रतिबिम्बित गर्छ?

1. Aसबै विदेशी क्लाउड प्रयोग प्रतिबन्ध गरिनुपर्छ; स्टार्टअपले नेपालमै आफ्नै डाटासेन्टर बनाएर चलाउनुपर्छ।
2. Bसीमापार डाटा विश्वव्यापी यथार्थ हो; कुनै विशेष नियम चाहिँदैन, र स्टार्टअपले जहाँ सस्तो हो त्यहीँ होस्ट गर्न सक्छ।
3. Cसंवेदनशील इलेक्ट्रोनिक मेडिकल रेकर्ड होस्टिङ नियम वा बलियो सम्झौताजन्य सुरक्षा (इन्क्रिप्सन-की नियन्त्रण, अडिट अधिकार, उल्लङ्घन-सूचना खण्ड, बाहिर निस्कने सर्त) अन्तर्गत हुनुपर्छ, र कम संवेदनशील वर्कलोडहरू मानक व्यावसायिक सर्तमा विदेशी क्लाउडमा बस्न सक्छन्।
4. Dस्टार्टअपले विदेशमा होस्ट गर्नुपर्छ र नेपाली बिरामीलाई संरक्षण गर्न विदेशी देशको गोपनीयता कानूनमा भर पर्नुपर्छ।

उत्तर जाँच्नुहोस्→

अब के आउँछ

होस्टिङले डाटा कहाँ बस्छ भन्ने जवाफ दिन्छ। यसले व्यक्तिले पहिले स्थानमै यसको सङ्कलनमा अर्थपूर्ण रूपमा सहमति दिएको थियो कि थिएन, र सङ्कलन भएपछि राज्यलाई तपाईंलाई के हेर्न अनुमति छ भन्ने प्रश्नको जवाफ दिँदैन। अर्को खण्ड सहमतिको बारेमा हो — अर्थपूर्ण सम्झौता र औपचारिक स्क्रोल-र-ट्याप बीचको भिन्नता — र सुरक्षा निगरानी र व्यवहार-पूर्वानुमान बीचको रेखा वास्तवमा कहाँ छ भन्ने बारे।