বেশিরভাগ দল কেন আইনটি ভুল পড়ে
DPDP Act, 2023 একটি কর্তব্য-ভিত্তিক আইন। এটি বলে যে একজন Data Fiduciary-কে কী করতে হবে — বিজ্ঞপ্তি দেওয়া, সম্মতি নেওয়া, ডেটা সুরক্ষিত রাখা, অধিকারের প্রতি সাড়া দেওয়া, লঙ্ঘনের প্রতিবেদন করা। 13 নভেম্বর 2025-এ বিজ্ঞাপিত Rules বলে সেই কাজগুলি কীভাবে করতে হবে, এবং কোন মানে।
শুধু Act পড়লে আপনি সঠিক নীতি পাবেন কিন্তু ভুল সূক্ষ্মতা। শুধু Rules পড়লে যান্ত্রিক বিবরণ পাবেন, কিন্তু সেই নীতিগুলি নয় যা ওই যান্ত্রিকতাকে সমর্থনযোগ্য করে।
যে জোড়গুলি সবচেয়ে গুরুত্বপূর্ণ
এখানে সাতটি Section-Rule জোড় দেওয়া হল যা প্রত্যেক অনুশীলনকারীর মুখস্থ থাকা উচিত:
1. Section 5 (বিজ্ঞপ্তি) ↔ Rule 3 (বিজ্ঞপ্তির বিষয়বস্তু)
Section 5 বলে আপনাকে বিজ্ঞপ্তি দিতে হবে। Rule 3 তার রূপ ও ন্যূনতম বিষয়বস্তু নির্দিষ্ট করে: ব্যক্তিগত ডেটার আইটেমওয়ারি তালিকা, উদ্দেশ্যের আইটেমওয়ারি তালিকা, সম্মতি প্রত্যাহারের লিঙ্ক, অধিকার প্রয়োগের লিঙ্ক, Data Protection Board পর্যন্ত পৌঁছানোর পথ। Rule 3 ছাড়া আপনার বিজ্ঞপ্তি 'সঙ্গতিপূর্ণ' হতে পারে কিন্তু অকেজো। দুটি একসঙ্গে থাকলে, এটি সত্যিই কাজ করে।
2. Section 6 (সম্মতি) ↔ Rule 4 (Consent Manager নিবন্ধন)
Section 6 সম্মতির মান নির্ধারণ করে — স্বাধীন, সুনির্দিষ্ট, অবহিত, শর্তহীন, দ্ব্যর্থহীন। Rule 4 নিয়ন্ত্রণ করে কীভাবে Consent Managers (মধ্যস্থতাকারীদের একটি নতুন বাস্তুতন্ত্র) DPBI-এর সঙ্গে নিবন্ধিত হয়। যদি আপনার ব্যবসায়িক মডেল সম্মতি পরিকাঠামোর সঙ্গে যুক্ত হয় — এবং অনেক fintech, AA-সম্পর্কিত বা ক্রস-প্ল্যাটফর্ম ব্যবসা যুক্ত হয় — তবে Rule 4 গুরুত্বপূর্ণ।
3. Section 8(5)-(6) (নিরাপত্তা ও লঙ্ঘন) ↔ Rules 6 এবং 7
Act বলে আপনাকে যুক্তিসঙ্গত নিরাপত্তা ব্যবস্থা নিতে হবে এবং ব্যক্তিগত ডেটা লঙ্ঘনের বিষয়ে Board (এবং প্রভাবিত Data Principals)-কে জানাতে হবে। Rule 6 সাতটি সুরক্ষা বিভাগ নির্দিষ্ট করে — এনক্রিপশন, অ্যাক্সেস নিয়ন্ত্রণ, লগিং, ইত্যাদি। Rule 7 লঙ্ঘন-বিজ্ঞপ্তির বিন্যাস ও সময় নির্দিষ্ট করে। একসঙ্গে এগুলি আপনার নিরাপত্তা-ও-লঙ্ঘন ভিত্তিরেখা গঠন করে।
4. Section 9 (শিশু) ↔ Rule 10 (যাচাইযোগ্য পিতামাতার সম্মতি)
Section 9 যাচাইযোগ্য পিতামাতার সম্মতি ছাড়া শিশুদের ডেটা প্রক্রিয়াকরণ নিষিদ্ধ করে, এবং শিশুদের ট্র্যাকিং, আচরণগত পর্যবেক্ষণ বা লক্ষ্যযুক্ত বিজ্ঞাপন নিষিদ্ধ করে। Rule 10 নির্দিষ্ট করে বাস্তবে 'যাচাইযোগ্য' মানে কী — এবং উত্তর হল: স্ব-ঘোষিত বয়স গেট নয়। ভোক্তা-মুখী পরিষেবার জন্য সমগ্র কাঠামোর মধ্যে এই জোড়টিই পরিচালনগতভাবে সবচেয়ে দাবিদার বাধ্যবাধকতা।
5. Section 10 (SDF) ↔ Rules 12 এবং 13
Section 10 কেন্দ্রীয় সরকারকে পরিমাণ, সংবেদনশীলতা, ক্ষেত্রগত ঝুঁকি ও অন্যান্য মানদণ্ডের ভিত্তিতে Significant Data Fiduciaries মনোনীত করতে দেয়। Rules 12-13 অতিরিক্ত বাধ্যবাধকতা নির্দিষ্ট করে: DPIAs, বার্ষিক স্বাধীন নিরীক্ষা, বোর্ড-রিপোর্টিং সহ ভারত-ভিত্তিক DPO, পর্যায়ক্রমিক ঝুঁকি মূল্যায়ন। যদি আপনি যোগ্য হতে পারেন, তবে এখনই প্রস্তুতি শুরু করুন — বিজ্ঞপ্তির পরে আপনি রূপান্তরকাল পাবেন না।
6. Sections 11-14 (অধিকার) ↔ Rules 14 এবং 15
Act, Data Principals-দের জন্য চারটি অধিকার তৈরি করে: অ্যাক্সেস, সংশোধন, মুছে ফেলা, অভিযোগ নিষ্পত্তি। Rule 14 সাড়া দেওয়ার জন্য 90-দিনের SLA নির্ধারণ করে। Rule 15 Data Protection Board পর্যন্ত আপিলের পথ নিয়ন্ত্রণ করে। পরিচালন সরঞ্জাম ছাড়া — DSAR পোর্টাল, পরিচয় যাচাই, সিস্টেম ম্যাপিং — কোনও অর্থবহ পরিমাণে SLA পূরণ করা অসম্ভব।
7. Section 16 (সীমান্ত-পার) ↔ SDFs-এর জন্য Rule 13(4)
Section 16 বর্তমানে সীমান্ত-পার স্থানান্তরের অনুমতি দেয়, তবে যেখানে কেন্দ্রীয় সরকার দেশ-নিষেধাজ্ঞার বিজ্ঞপ্তি জারি করে সেখানে নয়। Rule 13(4) সরকারকে অতিরিক্ত অবকাশ দেয় এই দাবি করার যে SDFs-এর কিছু ব্যক্তিগত ডেটা ভারতের মধ্যেই থাকবে। ডিফল্ট খোলা; ভবিষ্যৎ শর্তসাপেক্ষ। আপনার প্রবাহগুলি এখনই ম্যাপ করুন।
যে পড়ার ক্রমটি কাজ করে
আপনি যদি এই কাঠামোয় নতুন হন, তবে এই ক্রমে পড়ুন:
- Act-এর Sections 4-9 (মূল কর্তব্যসমূহ)
- Rules 3, 6, 7, 10, 14 (সেই কর্তব্যগুলির পরিচালনগত বিবরণ)
- Act-এর Section 10 + Rules 12-13 (SDF প্রস্তুতি)
- Act-এর Sections 27-28 (Data Protection Board)
- Schedule of Penalties (ভুল করার মূল্য)
এখন কী পর্যায়ক্রমে আসছে
Phase 1 এখনই: বিজ্ঞপ্তি, সম্মতি, নিরাপত্তা, লঙ্ঘন প্রতিবেদন ও অধিকার কাঠামো ইতিমধ্যেই পরিচালনগত হওয়া উচিত। Phase 2 — আনুমানিক নভেম্বর 2026-এ প্রত্যাশিত — Consent Manager বাস্তুতন্ত্র সক্রিয় করে। Phase 3, 13 মে 2027-এ, মূল বাধ্যবাধকতাগুলি আনে যার মধ্যে রয়েছে SDF ট্রিগার, সম্পূর্ণ অভিযোগ ও নিরীক্ষা ব্যবস্থা, এবং জরিমানা প্রয়োগের আনুষ্ঠানিক সূচনা।
আইনটি একসঙ্গে পড়ুন। পরিচালনা একসঙ্গে গড়ুন। Phase 3-এর অপেক্ষা করবেন না।