स्टेट बँक ऑफ इंडियाच्या (SBI) ३,८९७ ग्राहकांचा वैयक्तिक आणि आर्थिक डेटा डार्क वेबवर आढळल्याच्या वृत्ताने देशभरातील बँकिंग क्षेत्रासह ग्राहकांमध्ये चिंतेचे वातावरण निर्माण केले आहे. या घटनेमुळे बँकेच्या सुरक्षेवर प्रश्नचिन्ह निर्माण झाले असून, ग्राहकांची गोपनीय माहिती सुरक्षित ठेवण्याबाबतच्या बँकांच्या जबाबदारीवर पुन्हा एकदा चर्चा सुरू झाली आहे.
मिळालेल्या माहितीनुसार, लीक झालेल्या डेटा-सेटमध्ये ग्राहकांची नावे, मोबाईल क्रमांक, जन्मतारीख, ईमेल पत्ते, रहिवासी पत्ते, ग्राहक ओळखपत्रे (Customer IDs) आणि कर्जाच्या नोंदींशी संबंधित मेटाडेटा यांचा समावेश आहे. या घटनेनंतर भारतीय कायदे, रिझर्व्ह बँकेचे (RBI) नियम आणि बाधित ग्राहकांचे अधिकार यांबाबत अनेक महत्त्वपूर्ण प्रश्न उपस्थित झाले आहेत.
भारतात डेटा संरक्षण आणि सायबर सुरक्षेसाठी माहिती तंत्रज्ञान कायदा, २००० हा मुख्य कायदेशीर आधार आहे.
कलम 43A (नुकसानभरपाईची तरतूद): जर एखादी संस्था किंवा बँक ग्राहकांची संवेदनशील वैयक्तिक माहिती हाताळताना वाजवी सुरक्षा पद्धती राखण्यात अयशस्वी ठरली आणि त्यामुळे ग्राहकाचे अयोग्य नुकसान झाले, तर नुकसानभरपाई मागण्याचा अधिकार या कलमांतर्गत मिळतो. मात्र, केवळ डेटा ऑनलाइन उपलब्ध झाला म्हणजे बँकेने निष्काळजीपणा केला हे आपोआप सिद्ध होत नाही; यासाठी कायदेशीर तपासाची आवश्यकता असते.
इतर कलमे: अनधिकृत प्रवेश आणि फसवणुकीसाठी कलम ६६, तर कायदेशीर करारांतर्गत मिळालेल्या माहितीचे बेकायदेशीर प्रकटीकरण केल्यास कलम ७२अ लागू होऊ शकते.
डिजिटल वैयक्तिक डेटा संरक्षण (DPDP) कायदा, २०२३ संमत झाला असला, तरी त्याची अंमलबजावणी टप्प्याटप्प्याने केली जात आहे. १३ नोव्हेंबर २०२५ च्या अधिसूचनेनुसार, या कायद्यातील मुख्य तरतुदी (जसे की उल्लंघनावर २५० कोटींपर्यंतचा दंड) १३ मे २०२७ पासून पूर्णपणे लागू होणार आहेत. त्यामुळे ऑक्टोबर २०२६ मधील या घटनेसाठी या कायद्यांतर्गत थेट कारवाई करणे कायदेशीरदृष्ट्या शक्य नाही.
बँकांना केवळ ग्राहकांचे पैसेच नव्हे, तर त्यांची माहिती सुरक्षित ठेवणेही बंधनकारक आहे.
रिझर्व्ह बँकेचे मार्गदर्शक तत्वे: रिझर्व्ह बँकेच्या २०१६ च्या सायबर सुरक्षा चौकटीनुसार बँकांनी संभाव्य धोके ओळखणे आणि अखंड सुरक्षा पुरवणे आवश्यक आहे. डेटा गळतीमुळे नियमांचे उल्लंघन झाले आहे का, हे तपासणीनंतरच स्पष्ट होते.
CERT-In चा ६ तासांचा नियम: भारताच्या 'CERT-In' नियमांनुसार, डेटा उल्लंघनाची घटना लक्षात आल्यापासून ६ तासांच्या आत त्याची नोंद प्राधिकरणाकडे करणे बंधनकारक आहे. एसबीआयला १६ ऑक्टोबर रोजी या घटनेची सूचना मिळाली आणि २१ ऑक्टोबर रोजी त्यांनी माहिती सार्वजनिक केली. त्यामुळे नियमांनुसार ही माहिती वेळेत कळवली गेली होती का, याचा तपास सायबर यंत्रणा करत आहेत.
होय, परिस्थितीनुसार ग्राहक कायदेशीर मार्ग अवलंबू शकतात:
आयटी कायदा (कलम 43A): जर डेटा लीकमुळे ग्राहकाला थेट आर्थिक नुकसान झाले असेल, तर पुरावा सादर करून नुकसानभरपाईचा दावा करता येतो.
ग्राहक संरक्षण कायदा, २०१९: माहितीचे संरक्षण न करणे ही 'सेवेतील त्रुटी' (Deficiency of Service) मानून ग्राहक न्यायालयात दाद मागता येते.
(टीप: ज्या ग्राहकांचे थेट आर्थिक नुकसान झाले आहे त्यांना कायदेशीर लढाईत ठोस पुरावा सादर करणे सोपे जाते, तर केवळ माहिती लीक झाल्याचा दावा असणाऱ्यांची कायदेशीर स्थिती वेगळी असू शकते.)
वैयक्तिक माहिती उघड झाली म्हणजे लगेच पैसे चोरीला गेले असा अर्थ होत नाही. परंतु, सायबर गुन्हेगार या लीक झालेल्या माहितीचा वापर करून ग्राहकांना विश्वासात घेण्यासाठी आणि फसवण्यासाठी फोन किंवा मेसेज करू शकतात.
ग्राहकांसाठी महत्त्वाच्या सूचना: सावध राहा: अनोळखी नंबरवरून आलेले फोन, लिंक्स किंवा बँकिंग तपशील अद्ययावत (Update) करण्याच्या विनंत्यांवर विश्वास ठेवू नका. गोपनीयता पाळा: बँक कर्मचारी असल्याचे सांगणाऱ्या कोणत्याही व्यक्तीला पासवर्ड, पिन (PIN) किंवा ओटीपी (OTP) कधीही शेअर करू नका. तात्काळ तक्रार करा: अनधिकृत व्यवहार किंवा संशयास्पद हालचाल दिसल्यास त्वरित बँकेशी संपर्क साधा. हेल्पलाइन: सायबर फसवणूक झाल्यास तात्काळ १९३० या राष्ट्रीय हेल्पलाइनवर किंवा cybercrime.gov.in या पोर्टलवर तक्रार नोंदवा.
बँकिंग क्षेत्रातील वाढत्या डिजिटल वापरासोबत सायबर सुरक्षेचे आव्हान मोठे झाले आहे. एसबीआयच्या या प्रकरणातून स्पष्ट होते की, बँकांनी आपल्या सुरक्षा यंत्रणा अधिक मजबूत करणे जितके गरजेचे आहे, तितकेच ग्राहकांनीही सायबर साक्षर आणि सतर्क राहणे काळाची गरज बनले आहे.