डेटा लीक होने पर क्या करें: ईमेल पता किसने बेचा, ऐसे जानें

आपका ईमेल पता किसने बेचा या लीक किया, यह आप पक्के तौर पर तभी जान सकते हैं जब आपने उस कंपनी को ऐसा पता दिया हो जो किसी और के पास नहीं था। बरसों से इस्तेमाल हो रहे मुख्य पते पर आप आम तौर पर शक का दायरा छोटा कर सकते हैं, पर दोषी का नाम नहीं ले सकते: वह पता दर्जनों कंपनियों के ग्राहक डेटाबेस में है, और कोई स्पैम ईमेल शायद ही कभी उस कंपनी की ओर इशारा करता है जिससे पता बाहर गया। आप यह जान सकते हैं कि आपको मेल कौन भेज रहा है और किस सेवा के ज़रिए, क्या किसी कंपनी ने किसी ज्ञात डेटा लीक (डेटा ब्रीच) में आपका पता लीक किया, और यूरोपीय संघ (EU) और ब्रिटेन (UK) में, कोई कंपनी आपका पता कहाँ से मिलने के बारे में क्या कहती है। iPhone, iPad और Mac के लिए CatchNone हर कंपनी के लिए अलग पते वाले इस तरीक़े को डिफ़ॉल्ट बना देता है: हर संदेश पर उस उपनाम का बैज लगा होता है जिस पर वह आया, इसलिए अगला लीक अपने स्रोत की ओर ख़ुद इशारा करता है।

ये हैं चरण, क्रम से:

पहला अनचाहा मेल ढूँढें और देखें कि वह ठीक किस पते पर आया।
उसके हेडर पढ़कर भेजने वाले और उसकी मेलिंग सेवा को पहचानें।
Have I Been Pwned पर जाँचें कि यह पता किसी डेटा ब्रीच में शामिल था या नहीं।
भेजने वाले से पूछें कि उसे आपका पता कहाँ से मिला, और जिस कंपनी पर आपको शक है उससे पूछें कि उसने आपका पता किन कंपनियों को दिया।
अब से हर कंपनी को उसका अपना अलग पता दें।

क्या पता चल सकता है कि आपका ईमेल पता किसने बेचा?

कभी-कभी। यह सबूत पर निर्भर करता है:

हेडर बताते हैं कि संदेश किसने और किस सेवा के ज़रिए भेजा (जाँच में पास हुआ DKIM सिग्नेचर साबित करता है कि किस डोमेन ने उस पर हस्ताक्षर किए), यह नहीं कि लिस्ट कहाँ से आई।
डेटा ब्रीच का रिकॉर्ड साबित करता है कि एक कंपनी से आपका पता लीक हुआ, पर इससे बाक़ी कंपनियाँ शक से बाहर नहीं हो जातीं।
क़ानूनी अनुरोध से कंपनी को बताना पड़ सकता है कि स्रोत के बारे में वह क्या जानती है, अगर जानती हो (कैलिफ़ोर्निया में, सिर्फ़ श्रेणियों के रूप में)।
ऐसा रैंडम पता जो आपने सिर्फ़ एक कंपनी को दिया सीधे स्रोत की ओर इशारा करता है: उस पर किसी और से मेल आए, तो इसका मतलब है कि पता उसी कंपनी से बाहर गया, चाहे बेचा गया हो, साझा किया गया हो या चोरी हुआ हो।

अचानक स्पैम ईमेल की बाढ़ के दूसरे कारण भी हो सकते हैं: देखें स्पैम अचानक क्यों बढ़ सकता है। पते शुरू में कैसे फैलते हैं, यानी बिक्री, डेटा ब्रीच, वेबसाइटों से पते बटोरने और अंदाज़ा लगाने के ज़रिए, यह जानने के लिए देखें स्पैमर ईमेल पते कैसे पाते हैं।

चरण 1: पहला संदेश और वह जिस पते पर आया, उसे ढूँढें

अनजान भेजने वाले को खोजें और सबसे पुराना नतीजा ढूँढें: पहला संदेश उस पल के सबसे क़रीब होता है जब आपका पता किसी और के हाथ में गया। ठीक-ठीक देखें कि वह किस पते पर भेजा गया और उसमें आपको किस नाम से संबोधित किया गया है। कोई पुराना पता या टाइपो वाला पता जो आपने एक बार इस्तेमाल किया, आपके पते का +tag वाला रूप, किसी एक साइनअप फ़ॉर्म से आई आपके नाम की ग़लत वर्तनी, या ऐसी जानकारी जो सिर्फ़ एक कंपनी को पता थी: ये सब स्रोत की ओर इशारा करते हैं।

EU और UK में उस पहले संदेश का फ़ुटर और प्राइवेसी लिंक भी पढ़ें। GDPR (अनुच्छेद 14) के तहत, जिस कंपनी को आपका डेटा किसी और से मिला, उसे आपको बताना होता है कि “व्यक्तिगत डेटा किस स्रोत से आया”। अगर वह डेटा का इस्तेमाल आपसे संपर्क करने के लिए करती है, तो समय-सीमा है “ज़्यादा से ज़्यादा पहले संपर्क के समय”। अगर पहले संदेश में यह नहीं बताया गया था, तो चरण 4 के अपने अनुरोध में इसका ज़िक्र करें।

चरण 2: हेडर पढ़ें

हेडर किसी संदेश के ऊपर छिपी हुई पंक्तियाँ होती हैं। इनमें भेजने वाले और मेल पहुँचाने वाली सेवा का नाम होता है, जिससे पता चलता है कि चरण 4 में आपको किसे लिखना है।

हेडर कैसे देखें

हर कंपनी के सहायता पेजों से लिए गए रास्ते, सितंबर 2026 तक:

ऐप	चरण
वेब पर Gmail	संदेश खोलें। “Reply” (जवाब दें) के बगल में “More” (और) > “Show original” (मूल संदेश दिखाएँ) पर क्लिक करें।
iCloud.com पर iCloud Mail	संदेश चुनें, “More” (और) बटन चुनें, फिर “Show All Headers” (सभी हेडर दिखाएँ) चुनें।
Windows के लिए नया Outlook, वेब पर Outlook, Outlook.com	संदेश खोलें, “More actions” (और कार्रवाइयाँ) चुनें, फिर “View” (देखें) > “View message details” (संदेश का विवरण देखें) चुनें।
Windows के लिए क्लासिक Outlook	संदेश पर डबल-क्लिक करें, फिर “File” (फ़ाइल) > “Properties” (गुण) पर क्लिक करें। “Internet headers” (इंटरनेट हेडर) बॉक्स पढ़ें।
Mac पर Apple Mail	“मेल” > “सेटिंग्ज़” चुनें, फिर “Viewing” (देखना) पर क्लिक करें। “Show message headers” (संदेश हेडर दिखाएँ) को “Custom” (कस्टम) पर सेट करें, “Add” (जोड़ें) पर क्लिक करें, और हर वह हेडर डालें जो आप देखना चाहते हैं, जैसे `Delivered-To`, `List-Id`, `List-Unsubscribe`, `DKIM-Signature` और `Return-Path`। मेल सिर्फ़ यही हेडर दिखाता है, पूरा सेट नहीं।
iPhone और iPad ऐप	इनमें से किसी भी सहायता पेज पर कोई रास्ता नहीं दिया गया है। कंप्यूटर इस्तेमाल करें।

Gmail का शॉर्टकट: वेब पर, भेजने वाले के नाम के नीचे दिए तीर (Down arrow) पर क्लिक करें और “Mailed by” (इसके ज़रिए भेजा गया) और “Signed by” (इसके द्वारा हस्ताक्षरित) देखें, यानी वे डोमेन जिन्होंने संदेश भेजा और उस पर हस्ताक्षर किए।

एक उदाहरण

समझाने के लिए हेडर का एक छोटा किया हुआ सेट। आपका पता k7qm-2xrd@example.com है, एक रैंडम पता जो आपने सिर्फ़ बाग़बानी की एक दुकान को दिया था। ब्रांड dealsdaily.example.net है, और mailer.example.org वह मेलिंग सेवा है जिसका वह इस्तेमाल करता है।

Delivered-To: k7qm-2xrd@example.com
Received: from out-7.mailer.example.org (out-7.mailer.example.org [192.0.2.25])
        by mx.example.com; Thu, 24 Sep 2026 09:14:02 +0000
Return-Path: <bounce-7f3a@mailer.example.org>
Authentication-Results: mx.example.com; dkim=pass header.d=mailer.example.org
DKIM-Signature: v=1; a=rsa-sha256; d=mailer.example.org; s=s1; ...
From: Deals Daily <news@dealsdaily.example.net>
To: k7qm-2xrd@example.com
List-Id: Weekly offers <weekly.dealsdaily.example.net>
List-Unsubscribe: <https://unsub.mailer.example.org/u/abc123>

हेडर	क्या बताता है	क्या नहीं बताता
`To`, `Delivered-To`	आपके किस पते का इस्तेमाल हुआ। `Delivered-To`, अगर आपका ईमेल प्रोवाइडर इसे जोड़ता है, दिखाता है कि कॉपी असल में कहाँ डिलीवर हुई, भले ही आप Bcc में थे (RFC 9228)	पता किसने दिया
`From`	वह ब्रांड जिसकी ओर से संदेश आने का दावा है	कुछ भी पक्का नहीं: इसे जाली बनाना आसान है
`List-Id`	लिस्ट, जिसका नाम “ज़्यादातर मामलों में” मालिक के डोमेन में होता है (RFC 2919)	लिस्ट के पते कहाँ से आए
`List-Unsubscribe`	अनसब्सक्राइब के अनुरोध कहाँ जाते हैं, अक्सर मेलिंग सेवा के पास	लिस्ट का मालिक कौन है
`DKIM-Signature` `d=`	वह डोमेन जो भेजने की “ज़िम्मेदारी का दावा करता है”, अक्सर मेलिंग सेवा। `Authentication-Results` बताता है कि यह पास हुआ या नहीं	किसी ने आपका पता ख़रीदा या नहीं
`Return-Path`	बाउंस पता, आम तौर पर मेलिंग सेवा पर	आपका पता किसने दिया
`Received`	जिन सर्वरों से होकर संदेश गुज़रा, सबसे नया सबसे ऊपर	आपके अपने प्रोवाइडर की जोड़ी गई पंक्तियों के नीचे कुछ भी भरोसेमंद नहीं: नीचे की पंक्तियाँ जाली हो सकती हैं (RFC 5321, §7.1)

यहाँ भेजने वाला Deals Daily है, जो mailer.example.org के ज़रिए भेज रहा है, और संदेश उस रैंडम पते पर आया जो आपने सिर्फ़ बाग़बानी की दुकान को दिया था, यानी पता वहीं से बाहर गया। हेडर यह नहीं बता सकते कि Deals Daily को पता कैसे मिला: वे भेजने वाले का नाम बताते हैं, बेचने वाले का कभी नहीं। ICANN Lookup किसी अनजान डोमेन का रजिस्ट्रेशन रिकॉर्ड दिखाता है, हालाँकि मालिक की जानकारी ज़्यादातर छिपाई हुई होती है।

चरण 3: जाँचें कि किसी कंपनी के डेटा लीक में आपका पता गया या नहीं

Have I Been Pwned (HIBP) दिखाता है कि कोई पता किन डेटा ब्रीच और स्पैम लिस्टों में शामिल है। 25 सितंबर 2026 तक, इसमें ब्रीच हुई 1,038 वेबसाइटें और ब्रीच हुए 1,780 करोड़ से ज़्यादा खाते दर्ज हैं (जो पता कई ब्रीच में है, वह हर ब्रीच के लिए एक बार गिना जाता है)।

डेटा ब्रीच की एंट्री बताती है कि किस सेवा से डेटा गया और कब: अगर स्पैम उसके कुछ ही समय बाद शुरू हुआ, तो यह एक मज़बूत सुराग है।
स्पैम लिस्ट का मतलब है कि आपका पता ऐसे डेटा में मिला जिसका इस्तेमाल निशाना बनाकर भेजे जाने वाले स्पैम के लिए होता है। ये लिस्टें “अक्सर कई स्रोतों से जोड़कर बनाई जाती हैं”, इसलिए इनसे शायद ही कभी मूल कंपनी का नाम पता चलता है। पेस्ट (paste साइटों पर सार्वजनिक रूप से डाले गए डेटा) से आई एंट्री, और वे ब्रीच जिन्हें HIBP मनगढ़ंत या असत्यापित बताता है, और भी कमज़ोर सबूत हैं।
संवेदनशील ब्रीच तभी दिखते हैं जब आप साइन इन करके पुष्टि कर दें कि उस पते का मेल आपको मिलता है।

साफ़ नतीजे का मतलब सिर्फ़ इतना है कि वह पता HIBP में लोड किए गए किसी ब्रीच में नहीं है, यह नहीं कि किसी ने उसे बेचा नहीं। मुफ़्त “Notify Me” (मुझे बताएँ) अलर्ट चालू करें। अगर आप अपने डोमेन पर हर कंपनी के लिए अलग पते इस्तेमाल करते हैं, तो डोमेन की पुष्टि करने के बाद “Domain Search” (डोमेन सर्च) दिखाता है कि उनमें से कौन-सा पता किस ब्रीच में है (बड़े डोमेन के लिए आम तौर पर सब्सक्रिप्शन चाहिए)। पुराने गाइड जिस Google डार्क वेब रिपोर्ट की सलाह देते थे, वह 2026 की शुरुआत में बंद कर दी गई।

चरण 4: कंपनियों से सीधे पूछें

EU और UK: पूछें कि पता कहाँ से आया और कहाँ गया

डेटा तक पहुँच का अधिकार (right of access) आपको दो कंपनियों से दो सवाल पूछने देता है:

भेजने वाले से पूछें कि उसे आपका पता कहाँ से मिला। GDPR का अनुच्छेद 15(1)(g) आपको “उनके स्रोत के बारे में उपलब्ध कोई भी जानकारी” पाने का हक़ देता है, और European Data Protection Board (यूरोपीय डेटा संरक्षण बोर्ड) के समर्थन वाले पारदर्शिता संबंधी दिशानिर्देश कहते हैं कि जिस कंपनी को आपका डेटा कहीं और से मिला, उसे ख़ास स्रोत का नाम बताना चाहिए, जब तक कि वह ऐसा न कर सके।
जिस कंपनी पर शक है, उससे पूछें कि उसने आपका पता किन कंपनियों को दिया। अनुच्छेद 15(1)(c) के तहत, यूरोपीय संघ के न्यायालय (Court of Justice) ने Österreichische Post (C-154/21) मामले में फ़ैसला दिया कि माँगे जाने पर कंपनी को असल प्राप्तकर्ताओं के नाम बताने होंगे, जब तक कि वह अभी उनकी पहचान न कर सके या अनुरोध साफ़ तौर पर बेबुनियाद या ज़रूरत से ज़्यादा न हो। UK का डेटा संरक्षण नियामक, ICO, UK GDPR के तहत यही कहता है।

इन दोनों में से कोई भी अनुरोध किसी को बेचने वाले का नाम बताने पर मजबूर नहीं करता: कंपनी कह सकती है कि उसे नहीं पता, या कि डेटा कई स्रोतों से आया (Recital 61, यानी GDPR की प्रस्तावना का बिंदु 61), हालाँकि टालमटोल वाला जवाब शिकायत का आधार है। हर कंपनी के प्राइवेसी नोटिस में दिए संपर्क विवरण इस्तेमाल करें, और खुलेआम स्पैम भेजने वालों को न लिखें, क्योंकि जवाब देने से उन्हें पुष्टि हो जाती है कि आपका पता चालू है।

यह रहा एक अनुरोध जिसे आप कॉपी कर सकते हैं (जिस कंपनी पर शक है, उसे लिखते समय बिंदु 4 हटा दें):

विषय: GDPR के अनुच्छेद 15 के तहत पहुँच का अनुरोध

GDPR (या UK GDPR) के अनुच्छेद 15 के तहत, मेरे ईमेल पते you@example.com के बारे में कृपया मुझे बताएँ:

आपको यह कहाँ से मिला, ख़ास स्रोत के नाम के साथ (अनुच्छेद 15(1)(g))।

आपने इसे किन प्राप्तकर्ताओं को दिया, नाम के साथ (अनुच्छेद 15(1)(c))।

आपके पास मेरा कौन-सा व्यक्तिगत डेटा है, उसकी एक कॉपी के साथ।

[तारीख़] को भेजे गए आपके पहले संदेश में वह स्रोत क्यों नहीं बताया गया (अनुच्छेद 14(2)(f) और 14(3)(b))।

डायरेक्ट मार्केटिंग पर मेरी आपत्ति भी दर्ज करें (अनुच्छेद 21)। कृपया एक महीने के भीतर जवाब दें (अनुच्छेद 12(3))।

[आपका नाम]

जवाब आम तौर पर मुफ़्त होते हैं (समय-सीमाएँ नीचे की तालिका में हैं)। डायरेक्ट मार्केटिंग पर आपत्ति करने के बाद, आपके डेटा का इस्तेमाल उसके लिए नहीं किया जा सकता।

UK में अगर जवाब न आए या टालमटोल वाला हो, तो पहले कंपनी से शिकायत करें: 19 जून 2026 से की गई शिकायतों के लिए, Data (Use and Access) Act के तहत कंपनी को 30 दिनों के भीतर आपकी शिकायत मिलने की पुष्टि करनी होती है। फिर, कंपनी से आपके आख़िरी सार्थक संपर्क के तीन महीने के भीतर, ICO से शिकायत करें। EU में, अनुच्छेद 77 आपको किसी डेटा संरक्षण प्राधिकरण से शिकायत करने का हक़ देता है।

अमेरिका: कैलिफ़ोर्निया और ओरेगन

कैलिफ़ोर्निया में CCPA के तहत “जानने के अधिकार” (right to know) का अनुरोध करने पर आपको स्रोतों और तीसरे पक्षों की श्रेणियाँ, और आपके बारे में रखी गई व्यक्तिगत जानकारी मिलती है, पर यह नहीं बताया जाता कि आपका पता किसने बेचा। जवाब मुफ़्त होते हैं। आप किसी कारोबार से अपना डेटा बेचना या साझा करना बंद करने को भी कह सकते हैं, या उसने आपसे जो इकट्ठा किया है उसे मिटाने को कह सकते हैं। यह क़ानून सिर्फ़ तय सीमाओं से ऊपर वाले कारोबारों पर लागू होता है, जैसे $2,66,25,000 से ज़्यादा की सालाना आय (सितंबर 2026 तक)।

अगर आप ओरेगन में रहते हैं, तो वहाँ के प्राइवेसी क़ानून के दायरे में आने वाली कंपनी को माँगने पर उन ख़ास तीसरे पक्षों की सूची देनी होती है जिन्हें उसने डेटा दिया, हालाँकि वह आपका डेटा पाने वालों के बजाय उन सबकी सूची दे सकती है जिन्हें कोई भी व्यक्तिगत डेटा मिला (ORS 646A.574)। ये अधिकार राज्य के क़ानून से आते हैं, इसलिए आप क्या माँग सकते हैं, यह इस पर निर्भर करता है कि आप कहाँ रहते हैं।

कैलिफ़ोर्निया के निवासी DROP (Delete Request and Opt-out Platform) के ज़रिए हर रजिस्टर्ड डेटा ब्रोकर (डेटा ख़रीदने-बेचने वाली कंपनी) को डेटा मिटाने का एक ही अनुरोध भेज सकते हैं। यह 1 जनवरी 2026 को शुरू हुआ, और 1 अगस्त 2026 से ब्रोकरों को कम से कम हर 45 दिन में अनुरोधों पर कार्रवाई करनी होती है। यह सिर्फ़ डेटा ब्रोकरों तक पहुँचता है, यानी ऐसे कारोबार जिनसे आपका कोई सीधा संबंध नहीं है, उस दुकान तक नहीं जिसे आपने अपना पता दिया था।

कोई भी कैलिफ़ोर्निया, वरमॉन्ट, टेक्सस और ओरेगन की डेटा ब्रोकर (डेटा ख़रीदने-बेचने वाली कंपनियों की) रजिस्ट्री में खोज सकता है। इनमें भेजने वाली कंपनी का नाम और चरण 2 में मिले डोमेन खोजें। नाम मिल जाए, तो इसका मतलब है कि भेजने वाला एक रजिस्टर्ड डेटा ब्रोकर है, यानी उन कारोबारों में से एक जिन तक DROP पहुँचता है, अगर आप कैलिफ़ोर्निया में रहते हैं।

किस अनुरोध से क्या मिल सकता है

आप कहाँ रहते हैं	अनुरोध	कंपनी को आपको क्या बताना या करना होगा	समय-सीमा
EU	GDPR के तहत पहुँच का अनुरोध	स्रोत के बारे में उपलब्ध कोई भी जानकारी, और जहाँ पहचान हो सके, वहाँ प्राप्तकर्ताओं के नाम	एक महीना, जिसे दो महीने और बढ़ाया जा सकता है
UK	सब्जेक्ट एक्सेस रिक्वेस्ट (subject access request)	यही, उचित और आनुपातिक खोज के बाद	एक महीना, जिसे दो महीने और बढ़ाया जा सकता है
कैलिफ़ोर्निया	CCPA के तहत जानने का अधिकार	स्रोतों और तीसरे पक्षों की श्रेणियाँ, और ख़ुद डेटा	45 दिन, जिसे एक बार 45 दिन और बढ़ाया जा सकता है
ओरेगन	उपभोक्ता अनुरोध (ORS 646A.574)	उन ख़ास तीसरे पक्षों की सूची जिन्हें उसने व्यक्तिगत डेटा दिया (आपका, या किसी का भी, जैसा कंपनी चुने)	45 दिन, जिसे एक बार 45 दिन और बढ़ाया जा सकता है
अमेरिका में कहीं भी	अनसब्सक्राइब (CAN-SPAM)	आपको ईमेल भेजना बंद करना, और आपका पता न बेचना, न किसी और को देना	ईमेल बंद करने के लिए 10 कामकाजी दिन

कहीं भी: मेलिंग सेवा

DKIM-Signature d=, Return-Path या List-Unsubscribe में जिस मेलिंग सेवा का नाम है, उसके अपने नियम होते हैं। उदाहरण के लिए, Mailchimp की Acceptable Use Policy (स्वीकार्य उपयोग नीति) “किसी भी तरह की ख़रीदी गई, किराए पर ली गई, थर्ड-पार्टी, को-रजिस्ट्रेशन, सार्वजनिक रूप से उपलब्ध डेटा वाली या पार्टनर लिस्टों” पर मेल भेजने पर रोक लगाती है, और उसका एब्यूज़ डेस्क (दुरुपयोग की शिकायतें देखने वाली टीम) “पूरा ईमेल हेडर” माँगता है (दोनों 25 सितंबर 2026 को जाँचे गए)। सेवा के एब्यूज़ डेस्क को पूरे हेडर भेजें। वह यह नहीं बताएगा कि आपका पता किसने बेचा, पर वह भेजने वाले को अपनी सेवा का इस्तेमाल करने से रोक सकता है।

स्रोत पता चलने के बाद क्या करें

पते को इस्तेमाल से हटा दें। जिस कंपनी से पता लीक हुआ, उसे नया पता दें या वह खाता बंद कर दें, फिर पुराना पता बंद करें या मिटा दें। जब तक आपके किसी पहुँच अनुरोध का जवाब न आ जाए, तब तक उसे चालू रखें, क्योंकि जवाब या पहचान की जाँच उसी पते पर आ सकती है। अगर वह आपका मुख्य पता है, तो फ़िल्टर इस्तेमाल करें।
मेल आना बंद कराएँ। अनुच्छेद 21 वाली आपत्ति भेजें (EU, UK), अमेरिका के जायज़ भेजने वालों से अनसब्सक्राइब करें, या बिक्री और साझा करने से ऑप्ट आउट करें और DROP इस्तेमाल करें (कैलिफ़ोर्निया)। अगर पहले अनसब्सक्राइब करने से काम नहीं बना, तो पढ़ें ईमेल अनसब्सक्राइब क्यों काम नहीं करता।
रिपोर्ट करें: अमेरिका में ReportFraud.ftc.gov पर, UK में ICO के स्पैम ईमेल टूल से (यह हर व्यक्ति को अलग से जवाब नहीं देता), या मेलिंग सेवा के एब्यूज़ डेस्क को, और अपने मेल ऐप में उसे स्पैम के रूप में मार्क करें।
अगर यह डेटा ब्रीच था, तो खाते को भी सुरक्षित करें (अक्सर पूछे जाने वाले सवाल देखें)।

क्या कंपनियाँ आपका ईमेल पता बेचती हैं, और क्या यह क़ानूनी है?

हाँ, कुछ बेचती हैं। FTC कहता है: “जब आप किसी कंपनी को अपना ईमेल पता देते हैं, तो वह उसे तीसरे पक्षों के साथ साझा कर सकती है या उन्हें बेच सकती है।” अमेरिका में संघीय क़ानून इसकी इजाज़त देता है, जब तक आप ऑप्ट आउट न करें। UK और EU में, ख़रीदी गई लिस्ट से आपको ईमेल भेजने के लिए कंपनी को आपकी सहमति चाहिए, और UK में लिस्ट बेचने के लिए भी आम तौर पर आपकी सहमति चाहिए।

अमेरिका: संघीय CAN-SPAM क़ानून के तहत, कंपनी को आपको मार्केटिंग ईमेल भेजने के लिए किसी सहमति की ज़रूरत नहीं। आपके ऑप्ट आउट करने के बाद उसके पास रुकने के लिए 10 कामकाजी दिन होते हैं, और वह आपका पता न बेच सकती है, न किसी और को दे सकती है। कैलिफ़ोर्निया बिक्री से ऑप्ट आउट का विकल्प भी देता है, और वहाँ “बेचने” में किराए पर देना या “किसी अन्य मूल्यवान प्रतिफल” के बदले डेटा उपलब्ध कराना भी शामिल है, इसलिए किसी पार्टनर के साथ अदला-बदली भी, बिना किसी पैसे के लेन-देन के, बिक्री मानी जा सकती है। “साझा करना” (sharing) एक अलग शब्द है, जो क्रॉस-कॉन्टेक्स्ट बिहेवियरल एडवरटाइज़िंग (अलग-अलग साइटों और ऐप पर आपकी गतिविधि के आधार पर दिखाए जाने वाले विज्ञापन) के लिए है।
UK: Privacy and Electronic Communications Regulations (PECR) के तहत, कंपनी ख़रीदी गई लिस्ट के लोगों को तभी ईमेल भेज सकती है जब उन्होंने उससे “उस तरह का संदेश पाने के लिए ख़ास तौर पर सहमति दी हो”। किसी भी तीसरे पक्ष के लिए दी गई आम सहमति काफ़ी नहीं है, और लिस्ट बेचने के लिए आम तौर पर उसमें शामिल लोगों की सहमति चाहिए (ICO का मार्गदर्शन, जिसकी Data (Use and Access) Act के बाद समीक्षा चल रही है)। कंपनियों के पतों पर अलग नियम लागू होते हैं।
EU: ePrivacy Directive मार्केटिंग ईमेल की इजाज़त सिर्फ़ “पहले से दी गई सहमति” से देता है। अपवाद बस यह है कि कोई विक्रेता अपने ही ग्राहकों को मिलते-जुलते उत्पादों की मार्केटिंग करे, और लिस्ट ख़रीदने वाला इस अपवाद का फ़ायदा नहीं उठा सकता।

प्लस ट्रिक कमज़ोर सबूत क्यों है

“Gmail ट्रिक” यह है कि आप टैग वाले पते से साइन अप करें, जैसे you@example.com की जगह you+shopname@example.com, और देखें कि कौन-सा टैग स्पैम ईमेल में दिखता है। Google का अपना विवरण ही इसकी कमज़ोरी दिखाता है: “आपके मौजूदा पते पर, या प्लस चिह्न वाले उसके किसी भी रूप पर भेजे गए संदेश, सब आपके मौजूदा इनबॉक्स में आते हैं।”

आपका असली पता सबके सामने है। टैग हटा दें, तब भी मेल आप तक पहुँचता है, और सबूत ख़त्म हो जाता है।
भेजने वाले के लिए टैग का कोई मतलब नहीं। @ से पहले वाले हिस्से का अर्थ सिर्फ़ आपका प्रोवाइडर निकालता है (RFC 5321, §2.3.11), और टैग को अलग करने वाला चिह्न हर सिस्टम में अलग होता है (RFC 5233)।
यह जितना लगता है, उससे कम साबित करता है। स्पैम में टैग वाला पता दिखाता है कि पता उस कंपनी से बाहर गया, यह नहीं कि उसे बेचा गया, साझा किया गया या डेटा ब्रीच में लीक हुआ। और अगर टैग वाला कोई स्पैम नहीं आता, तो इससे कोई बेक़सूर साबित नहीं होता: हो सकता है टैग बस हटा दिया गया हो।

डॉट ट्रिक, यानी एक कंपनी के लिए your.name और दूसरी के लिए yo.urname से साइन अप करना, और भी कमज़ोर है: निजी पतों में Gmail डॉट को नज़रअंदाज़ करता है, इसलिए कोई भी उन्हें हटा सकता है (दफ़्तर या स्कूल के खातों में डॉट मायने रखते हैं)। फ़िल्टर करने के लिए plus addressing (प्लस एड्रेसिंग) अब भी काम का है: प्लस एड्रेसिंग गाइड बताती है कि यह कहाँ काम करता है।

चरण 5: ऐसे पते दें जो अगले लीक का स्रोत ख़ुद बता दें

भरोसेमंद तरीक़ा आगे के लिए काम करता है: हर कंपनी को उसका अपना अलग पता दें, जिसमें आपका असली पता न हो। जो पता आपने किसी एक दुकान को दिया, उस पर किसी और से मेल आए, तो पता चल जाता है कि वह कहाँ से बाहर गया, और आप सिर्फ़ उसी पते को बंद कर सकते हैं।

CatchNone हर कंपनी को उसका अपना उपनाम देता है और हर संदेश पर उस उपनाम का बैज लगाता है जिस पर वह आया, इसलिए बेचा गया पता हेडर पढ़े बिना सामने आ जाता है। @catchnone.com पतों के लिए Premium चाहिए; आपका अपना डोमेन मुफ़्त प्लान पर भी चलता है।
ईमेल उपनाम (email alias) सेवाएँ, जैसे Apple की “मेरा ईमेल छिपाएँ” (Hide My Email) (iCloud+ के साथ), DuckDuckGo Email Protection, SimpleLogin, addy.io और Firefox Relay, मेल आपके इनबॉक्स में फ़ॉरवर्ड करती हैं। इनके फ़र्क़ ईमेल उपनाम सेवाओं की तुलना में देखें।
अपने डोमेन पर catch-all (कैच-ऑल) पता उस डोमेन के किसी भी पते पर आया मेल स्वीकार करता है, इसलिए आप हर साइनअप के लिए नया पता गढ़ सकते हैं। उदाहरण के लिए, Cloudflare Email Routing (ईमेल रूटिंग) मुफ़्त और पेड, दोनों प्लान पर उपलब्ध है (सितंबर 2026 तक) और इसमें catch-all rule (कैच-ऑल नियम) है। फ़ायदे और नुक़सान जानने के लिए देखें catch-all ईमेल पता क्या है।

gardenshop@example.com जैसे आसानी से अंदाज़ा लगाए जा सकने वाले पतों के बजाय रैंडम पते चुनें, क्योंकि कैच-ऑल पर ऐसा पता कोई स्पैमर भी गढ़ सकता है, और लिखकर रखें कि कौन-सा पता किसे दिया।

CatchNone: हर संदेश दिखाता है कि वह किस पते पर आया

CatchNone चरण 5 के लिए ही बना है। आप हर दुकान, न्यूज़लेटर या खाते को उसका अपना उपनाम देते हैं, और ऐप में हर संदेश पर उस उपनाम का बैज होता है जिस पर वह आया। जब कोई अजनबी उस पते पर मेल भेजता है जो आपने सिर्फ़ बाग़वानी की दुकान को दिया था, तो बैज बता देता है कि पता कहाँ से बाहर गया, और कोई हेडर पढ़ने की ज़रूरत नहीं पड़ती। “गतिविधि” उस उपनाम पर आए मेल की ओर ध्यान दिलाती है जिसे आपने “इस्तेमाल में नहीं” मार्क किया है, और पहली बार मेल भेजने वालों की ओर भी, और आप लीक हुए @catchnone.com पते को बंद कर सकते हैं, जिससे भेजने वालों का मेल बाउंस होकर लौट जाता है, जबकि आपके बाक़ी उपनाम काम करते रहते हैं।

Premium के साथ आपको abcde-12345@catchnone.com जैसे रैंडम @catchnone.com पते मिलते हैं, बिना कोई डोमेन, DNS या मेलबॉक्स सेट अप किए, और Bcc में भेजा गया मेल भी सही उपनाम से जुड़ जाता है। या अपना कोई ऐसा डोमेन इस्तेमाल करें जिसका मेल आपका प्रोवाइडर पहले से किसी इनबॉक्स में पहुँचाता है: ऐप उस मेलबॉक्स को IMAP या JMAP पर, सिर्फ़ पढ़ने के लिए, सीधे आपके डिवाइस से पढ़ता है, मुफ़्त प्लान में 10 तक उपनामों के साथ, और Lite और Premium में बिना किसी सीमा के। CatchNone iPhone, iPad और Mac के लिए उपलब्ध है।

यह आगे के लिए काम करता है, उन पतों पर पीछे जाकर नहीं जो आप पहले इस्तेमाल कर चुके हैं, और इसमें न कोई ब्रीच डेटाबेस है, न लीक पकड़ने की सुविधा: बैज और “गतिविधि” के नोट ऐसे सबूत हैं जिन्हें आपको ख़ुद परखना है। अपने डोमेन पर यह सिर्फ़ इनबॉक्स पढ़ता है, और सिर्फ़ वह मेल जिसके To, Cc या Bcc में आपके डोमेन का कोई पता हो, इसलिए “जंक” फ़ोल्डर में डाला गया स्पैम नहीं दिखेगा। वहाँ किसी उपनाम को “इस्तेमाल में नहीं” मार्क करने से उस पर सिर्फ़ लेबल लगता है, इसलिए लीक हुए पते को अपने प्रोवाइडर के यहाँ ब्लॉक करें। @catchnone.com संदेश आने के 30 दिन बाद मिटा दिए जाते हैं, इसलिए जिन संदेशों की आपको सबूत के तौर पर ज़रूरत है, उन्हें फ़्लैग करें ताकि उनका पूरा टेक्स्ट आपके डिवाइस पर रहे।

अक्सर पूछे जाने वाले सवाल

किसी कंपनी ने मेरा ईमेल पता लीक कर दिया, अब क्या करूँ?

Have I Been Pwned पर पता खोजें और देखें कि वह किस डेटा ब्रीच में था और उसके साथ और क्या लीक हुआ। उस साइट का पासवर्ड बदलें, और हर उस जगह का भी जहाँ आपने वही पासवर्ड दोबारा इस्तेमाल किया था, और टू-स्टेप वेरिफ़िकेशन चालू करें। ऐसे फ़िशिंग ईमेल की उम्मीद रखें जिनमें लीक हुई जानकारी का हवाला हो, और ब्रीच का ज़िक्र करने वाले संदेशों के लिंक न खोलें। अगर आपने उस कंपनी को उसका अपना अलग पता दिया था, तो उसे इस्तेमाल से हटाएँ और कंपनी को नया पता दें।

क्या LinkedIn या Google मेरा ईमेल पता बेचते हैं?

दोनों में से कोई नहीं कहता कि वह आपकी व्यक्तिगत जानकारी बेचता है, पर LinkedIn कहता है कि वह इसे क्रॉस-कॉन्टेक्स्ट विज्ञापन के लिए साझा करता है। उसका कैलिफ़ोर्निया प्राइवेसी डिस्क्लोज़र कहता है “हम आपकी व्यक्तिगत जानकारी नहीं बेचते” और कैलिफ़ोर्निया के लोगों को इस साझा करने से ऑप्ट आउट करने देता है। Google का Safety Center (सुरक्षा केंद्र) कहता है “हम आपकी व्यक्तिगत जानकारी कभी किसी को नहीं बेचते”, और उसकी प्राइवेसी पॉलिसी (26 मई 2026 से लागू) कहती है कि वह Google के बाहर व्यक्तिगत जानकारी सिर्फ़ सूचीबद्ध मामलों में साझा करता है, और इनमें पहला मामला है आपकी सहमति से। तीनों पेज 25 सितंबर 2026 को जाँचे गए। दूसरी कंपनियों के लिए उनकी पॉलिसी पढ़ें, और “बेचना” और “साझा करना” को अलग-अलग समझें।

ईमेल पते कौन ख़रीदता है?

डेटा ब्रोकर (डेटा ख़रीदने-बेचने वाली कंपनियाँ), लिस्ट ब्रोकर और मार्केटिंग करने वाले। ऊपर बताई गई राज्यों की रजिस्ट्रियों में रजिस्टर्ड ब्रोकरों की सूची है। यह कारोबार खुलेआम भी हो सकता है: Österreichische Post मामले में ऑस्ट्रिया की डाक कंपनी ने कहा कि वह व्यक्तिगत डेटा “मार्केटिंग के लिए कारोबारी साझेदारों को” देती है, और बाद में प्राप्तकर्ताओं की जो सूची दी उसमें “मेलिंग लिस्ट प्रोवाइडर” भी थे। वह मामला एक डाक कंपनी के पास रखे डेटा का था, ईमेल पतों का नहीं।