Pegasus project, the fight for surveillance reform

पेगासस प्रोजेक्ट के भंडाफोड़ से भारत के लोकतंत्र के लिए खतरे का खुलासा हुए एक साल बीत चुका है। एक प्रमुख डिजिटल समाचार मंच ने बताया कि कम से कम 300 भारतीयों के सेलफोन को पेगासस द्वारा हैक कर लिया गया था, जो इज़राइल स्थित NSO समूह का स्पाइवेयर है; 10 मामलों की पुष्टि एमनेस्टी इंटरनेशनल की सुरक्षा लैब ने फोरेंसिक विश्लेषण का उपयोग करके की थी। पीड़ितों में, भारत की संवैधानिक व्यवस्था के महत्वपूर्ण सदस्यो में कैबिनेट मंत्री, विपक्षी नेता, पत्रकार, न्यायाधीश और मानवाधिकार रक्षक शामिल थे।

भारत 30 अक्टूबर, 2019 से पेगासस के अस्तित्व के बारे में जानता रहा है जब व्हाट्सएप ने पुष्टि करी थी कि इस स्पाइवेयर(spyware) के प्लेटफार्म में मौजूद भेद्यता का फायदा उठाकर भारत में कार्यकर्ताओं, शिक्षाविदों, पत्रकारों और वकीलों को लक्षित किया गया है। तब से, NSO अपनी तकनीक को आगे बढ़ाने में सक्षम है, और पेगासस अब उपयोगकर्ता की ओर से किसी भी कार्रवाई के बिना उपकरणों को संक्रमित कर सकता है। इन खुलासों से उत्पन्न खतरे की गंभीरता को ध्यान में रखते हुए, और सबूतों की विश्वसनीयता जो उनका समर्थन करती है, यह जांचना महत्वपूर्ण है कि भारतीय राज्य की प्रत्येक शाखा ने नागरिकों की गोपनीयता की रक्षा में कैसे प्रतिक्रिया दी है, या जवाब देने में विफल रही है।

सरकारी उदासीनता, अपारदर्शिता

उम्मीद यह है कि कार्यपालिका (Executive) पहली प्रतिक्रिया प्रदान करेगा और सरकारी एजेंसियां खुलासे की गंभीर प्रकृति को देखते हुए कार्रवाई के साथ जवाब देंगी। लेकिन 19 जुलाई, 2021 को, इलेक्ट्रॉनिक्स और सूचना प्रौद्योगिकी मंत्री, अश्विनी वैष्णव ने “18 जुलाई 2021 की प्रेस रिपोर्ट” का उल्लेख करते हुए, पेगासस परियोजना द्वारा किए गए दावों को सीधे संबोधित करने से इनकार कर दिया; उन्होंने कहा कि मौजूदा कानूनी ढांचा अनधिकृत निगरानी को रोकता है। 28 नवंबर, 2019 को, इलेक्ट्रॉनिक्स और सूचना प्रौद्योगिकी के पूर्व मंत्री, रविशंकर प्रसाद ने पेगासस के उपयोग पर आरोपों के समान जवाब दिया था। 31 जनवरी, 2022 की द न्यूयॉर्क टाइम्स की एक रिपोर्ट में उनके दोनों बयानों का खंडन किया गया और कहा गया कि ‘भारत ने 2017 में पेगासस को 2 बिलियन डॉलर के रक्षा पैकेज के हिस्से के रूप में खरीदा है। कैबिनेट मंत्रियों द्वारा दिखाई गई उदासीनता को विशेष एजेंसियों द्वारा प्रतिबिंबित किया गया है।

पेगासस परियोजना के खुलासे के जवाब में, CERT-IN (Computer Emergency Response Team,-India), नोडल एजेंसी, भारतीय कंप्यूटर आपातकालीन प्रतिक्रिया टीम, जो साइबर सुरक्षा खतरों से निपटती है, चुप रही है। हालांकि, 2019 में व्हाट्सएप के बयान ने CERT-IN को 26 नवंबर, 2019 को NSO और व्हाट्सएप को नोटिस जारी करने के लिए मजबूर किया। लेकिन जो कुछ भी हुआ है, एजेंसी ने  उसके बारे में कोई अद्यतन(updates) प्रदान नहीं किया है। भारत की संवैधानिक योजना के तहत, कार्यपालिका (executive) को जवाबदेह ठहराने के लिए विधायिका (legislatures) जिम्मेदार है। हालांकि, इसका अभ्यास सिद्धांतों से मेल खाने में विफल रहा है। जब 28 जुलाई, 2021 को, आईटी समिति ने पेगासस पर आईटी मंत्रालय और गृह मंत्रालय के अधिकारियों से पूछताछ करने की मांग की, तो समाचार रिपोर्टों के अनुसार, सदस्यों (मुख्य रूप से सत्तारूढ़ पार्टी से), एक समान-गुट के रूप में अनुपस्थित रहे और गणपूर्ति (कोरम/quorum) को रोका।

इससे पहले, 19 नवंबर, 2019 को, जिन लोगों को व्हाट्सएप में भेद्यता का उपयोग करके पेगासस द्वारा लक्षित किया गया था, उन्होंने आईटी समिति को लिखा था, जिसने इस मुद्दे पर भी चर्चा की थी। हालांकि, इसने अपने निष्कर्षों पर कोई अद्यतन प्रदान नहीं किया है। अलग से, खुलासे के बाद से हर संसदीय सत्र में, विपक्ष ने चर्चा और जांच की मांग की है। दोनों मांगों को नजरअंदाज कर दिया गया है।

न्यायिक प्रतिक्रिया

जब यह स्पष्ट हो गया कि कार्यपालिका और विधायी शाखाओं से कोई जवाब नहीं आ रहा है, तो पीड़ितों ने निवारण की तलाश करने के लिए न्यायपालिका की ओर रुख किया। इस प्रकार, 5 अगस्त, 2021 को, पीड़ितों ने भारत के सुप्रीम कोर्ट का दरवाजा खटखटाया, जहां उन्होंने दिखाया कि फोरेंसिक विश्लेषण में पाया गया था कि उनके फोन संक्रमित थे। 27 अक्टूबर, 2021 को, न्यायालय ने यह जांचने के लिए एक तकनीकी समिति का गठन किया कि क्या स्पाइवेयर का उपयोग भारतीय नागरिकों पर किया गया था। आठ महीने बीत चुके हैं, लेकिन समिति को अभी तक किसी निष्कर्ष पर पहुंचना है। इस अवधि में, समिति पीड़ितों के फोन की जांच कर रही है और निगरानी सुधार पर जनता से टिप्पणियां मांग रही है। 20 मई, 2022 को, इसने अदालत के समक्ष एक ‘अंतरिम रिपोर्ट’ रखी, जिसमें अंतिम रिपोर्ट रखने के लिए समय मांगा गया था; को दिया गया था। यह मामला अब जुलाई 2022 के अंत के लिए सूचीबद्ध है। जबकि शीर्ष अदालत तकनीकी समिति द्वारा अपनी रिपोर्ट प्रस्तुत करने का इंतजार कर रही है, 16 दिसंबर, 2021 को उसने जांच आयोग (पश्चिम बंगाल सरकार द्वारा गठित) को यह जांचने से रोक दिया कि क्या स्पाइवेयर का उपयोग पश्चिम बंगाल के निवासियों पर किया गया था।

कोई जवाबदेही नहीं

शायद टिप्पणीकारों ने बहुत जल्दबाजी में काम किया, जब उन्होंने टिप्पणी करी कि पेगासस भारत का ‘वाटरगेट मोमेंट’ था। वाटरगेट के बाद, संयुक्त राज्य अमेरिका में संस्थागत प्रतिक्रिया ने राष्ट्रपति रिचर्ड निक्सन और अन्य लोगों को जिम्मेदार ठहराया, जिसमें राज्य की सभी शाखाओं ने सत्ता के दुरुपयोग की जांच करने के लिए काम किया। लेकिन भारत में कहानी बिना किसी जवाबदेही के आधिकारिक चुप्पी बनाये हुए है।

भारत में राजनीति के विपरीत, अन्य देशों ने पेगासस खुलासे का जवाब दिया है। उदाहरण के लिए, इज़राइल ने जांच शुरू करने के लिए एक वरिष्ठ अंतर-मंत्रालयी टीम का गठन किया, जबकि विदेश मंत्री, यायर लैपिड ने कहा कि सरकार यह सुनिश्चित करने के लिए काम करेगी कि पेगासस गलत हाथों में न पड़े। फ्रांस ने खुलासा के एक दिन के भीतर जांच की एक श्रृंखला का आदेश दिया; 25 सितंबर, 2021 को, इसकी साइबर सुरक्षा एजेंसी ने पुष्टि की कि स्पाइवेयर का उपयोग फ्रांसीसी नागरिकों को लक्षित करने के लिए किया गया था। 3 नवंबर, 2021 को, संयुक्त राज्य अमेरिका ने NSO को अपनी ‘दुर्भावनापूर्ण साइबर गतिविधियों के लिए इकाई सूची‘ में जोड़ा, जिसने NSO को माल या सेवाओं का निर्यात करने के लिए अमेरिकी कंपनियों की क्षमता को प्रतिबंधित कर दिया। यूनाइटेड किंगडम में, स्पाइवेयर कंपनी ने यह सुनिश्चित करने के लिए एक बदलाव लागू किया कि पेगासस अब यूके के लोगों को 2021 में खुलासा करने के बाद लक्षित नहीं कर सकता है, कि दुबई के शासक, शेख मोहम्मद बिन राशिद अल मकतूम ने, एक चल रही हिरासत की लड़ाई के बीच, अपनी पत्नी, राजकुमारी हया और उसके तलाक के वकीलों, बैरोनेस फियोना शेकलटन और निक मैनर्स के फोन को हैक करने के लिए स्पाइवेयर का उपयोग किया था।

जवाबदेही की कमी ने और उल्लंघनों को प्रेरित किया है। जबकि भारत में पेगासस पीड़ितों को जवाब की प्रतीक्षा है, भारत में मानवाधिकार रक्षकों के खिलाफ उपयोग किए जा रहे उन्नत स्पाइवेयर के प्रलेखित उदाहरण हैं। एक डिजिटल फोरेंसिक परामर्श कंपनी, आर्सेनल कंसल्टिंग (दिनांक 8 फरवरी, 27 मार्च और 21 जून, 2021) की रिपोर्ट से पता चला है कि भीमा कोरेगांव मामले के 16 आरोपियों में से दो, रोना विल्सन और सुरेंद्र गाडलिंग को लगभग दो वर्षों से व्यावसायिक रूप से उपलब्ध स्पाइवेयर, ‘नेटवायर’ द्वारा लक्षित किया गया था। स्पाइवेयर का उपयोग उनके उपकरणों पर निगरानी और आपराधिक दस्तावेजों को प्लांट करने के लिए किया गया था – दस्तावेज जो अब उनके खिलाफ राष्ट्रीय जांच एजेंसी के मामले का आधार बनाते हैं। भारतीय में  ‘किराए के लिए निगरानी’ का उद्योग बढ़ रहा है। ये कंपनियां किसी को भी अपनी सेवाएं प्रदान करती हैं जो भुगतान कर सकते हैं, जिसके बाद ये कंपनियां उनके उपकरणों को हैक करके संकेतित लक्ष्यों पर जासूसी करने के लिए आगे बढ़ते हैं।

30 जून, 2022 की रॉयटर्स की एक रिपोर्ट में इन फर्मों को “भारतीय साइबर भाड़े के सैनिक” के रूप में वर्णित किया गया था, जिनका उपयोग दुनिया भर के वादियों द्वारा मुकदमेबाजी की लड़ाई को प्रभावित करने के लिए किया जा रहा था। ऐसी ही एक भारतीय कंपनी, BellTrox, निगरानी-भाड़े की गतिविधियों में लगी हुई थी, जिसकी दिसंबर 2021 में फेसबुक द्वारा जांच की गई, पहचान की गई और उसे अपने प्लेटफार्मों से हटाए गए कई इकाइयों में से एक थी। पेगासस प्रोजेक्ट के साथ जो कुछ हुआ, वैसा ही इन दोनों रिपोर्ट्स पर कोई आधिकारिक प्रतिक्रिया नहीं आई है।

कानूनों की कायापलट करना

राज्य और निजी एजेंसियों द्वारा लोगों और संस्थाओं की अंधाधुंध निगरानी को रोकने के लिए निगरानी कानूनों में बदलाव आवश्यक है। सूचना प्रौद्योगिकी अधिनियम, 2000 और भारतीय टेलीग्राफ अधिनियम, 1885 जो सरकार को निगरानी करने, कार्यपालिका के हाथों में निगरानी शक्तियों को केंद्रित करने और न्यायिक या संसदीय किसी भी स्वतंत्र निरीक्षण प्रावधान को शामिल नहीं करने का अधिकार देता है। ये कानून पेगासस जैसे स्पाइवेयर विकसित होने से पहले एक युग से हैं, और इस प्रकार, आधुनिक समय के निगरानी उद्योग का जवाब नहीं देते हैं।

दुर्भाग्यवश, निगरानी सुधार के लिए केन्द्र सरकार द्वारा विधायी प्रस्ताव मौजूद नहीं हैं। प्रस्तावित डेटा संरक्षण कानून संयुक्त संसदीय समिति के सदस्यों के प्रस्तावों के बावजूद इन चिंताओं का समाधान नहीं करता है। इसके बजाय, प्रस्तावित कानून, कानून के कार्यान्वयन से चुनिंदा एजेंसियों से संबंधित सरकार को व्यापक छूट प्रदान करता है; जिसका उपयोग खुफिया और अन्य कानून प्रवर्तन एजेंसियों को छूट देने के लिए किया जा सकता है। निगरानी ढांचे में इस अंतर के कारण भारत के लोकतांत्रिक आदर्शों को गंभीर नुकसान पहुंचा है।

लुप्तप्राय अधिकार

पिछले वर्ष ने दिखाया है कि व्यापक निगरानी सुधार की आवश्यकता इतनी जरूरी क्यों है। फ्रीडम हाउस ‘फ्रीडम इन द वर्ल्ड’ रिपोर्ट – जो राजनीतिक अधिकारों और नागरिक स्वतंत्रता में वैश्विक रुझानों को ट्रैक करती है – ने 2021 में भारत की स्थिति को ‘मुक्त’ से ‘आंशिक रूप से मुक्त‘ कर दिया। इसने भारतीय नागरिकों पर पेगासस के कथित उपयोग को क्षति के कारणों में से एक के रूप में उद्धृत किया है।

नागरिक और राजनीतिक उद्देश्यों के लिए कार्यकर्ताओं और पत्रकारों को लक्षित करने से लेकर, वाणिज्यिक लाभों के लिए वादियों को लक्षित करने के लिए, निगरानी उद्योग तेजी से सुलभ हो रहा है, और निगरानी की प्रकृति, तेजी से घुसपैठ कर रही है। तत्काल और दूरगामी निगरानी सुधार की अनुपस्थिति में, और उन लोगों के लिए तत्काल निवारण जो गैरकानूनी निगरानी के खिलाफ अधिकारियों से संपर्क करते हैं, गोपनीयता का अधिकार जल्द ही अप्रचलित हो सकता है।