મૂળ કાયદો, નિયમો અને અનુસૂચિઓ — નેવિગેટ કરવા યોગ્ય.

મુખ્ય શબ્દભંડોળની વ્યાખ્યા આપે છે — વ્યક્તિગત ડેટા (2(t)), ડેટા પ્રિન્સિપાલ (2(j)), ડેટા ફિડ્યુશરી (2(i)), ડેટા પ્રોસેસર (2(k)), સંમતિ અને પ્રક્રિયા. તમામ વ્યક્તિગત ડેટાને એકસમાન ગણવામાં આવે છે; કોઈ અલગ "સંવેદનશીલ" શ્રેણી નથી.

ભારતની અંદરના ડિજિટલ વ્યક્તિગત ડેટા અને ભારતના લોકોને માલ/સેવાઓ ઓફર કરવા સાથે જોડાયેલ ભારત બહારની પ્રક્રિયાને લાગુ પડે છે. વ્યક્તિગત/ઘરેલુ ઉપયોગ અને પ્રિન્સિપાલ દ્વારા અથવા કાનૂની જવાબદારી હેઠળ જાહેરમાં ઉપલબ્ધ કરાવેલ ડેટાને બાકાત રાખે છે.

સંમતિ મુક્ત, ચોક્કસ, જાણકાર, બિનશરતી અને અસ્પષ્ટ ન હોય તેવી, સ્પષ્ટ સકારાત્મક ક્રિયા દ્વારા હોવી જોઈએ — અને જેમ આપી હતી તેમ સહેલાઈથી પાછી ખેંચી શકાય તેવી. સંમતિ મેનેજર ઇકોસિસ્ટમ રજૂ કરે છે.

ઉપયોગોની બંધ યાદી જ્યાં સંમતિ વિના પ્રક્રિયા આગળ વધી શકે: સ્વૈચ્છિક જોગવાઈ, રાજ્ય કાર્યો, કાનૂની અનુપાલન, તબીબી કટોકટી, આપત્તિઓ અને રોજગાર. કોઈ વ્યાપક "કાયદેસર હિતો" આધાર અસ્તિત્વમાં નથી.

ચોકસાઈ, વાજબી સુરક્ષા પગલાં, ભંગ સૂચના, સંગ્રહ મર્યાદા અને ભૂંસવું, અને ફરિયાદ પદ્ધતિ. વિભાગ 8(2) ફિડ્યુશરીને તેના પ્રોસેસર માટે જવાબદાર બનાવે છે.

18 વર્ષથી નાના કોઈપણ વ્યક્તિના ડેટાની પ્રક્રિયા પહેલાં ચકાસણીપાત્ર માતાપિતાની સંમતિ; બાળકોના ટ્રેકિંગ, વર્તણૂક દેખરેખ અને લક્ષિત જાહેરાત પર સંપૂર્ણ પ્રતિબંધ.

સરકાર વોલ્યુમ, સંવેદનશીલતા, જોખમ અને સાર્વભૌમત્વ પરિબળો દ્વારા SDFs નિયુક્ત કરી શકે છે. SDFs એ ભારત-નિવાસી DPO નિયુક્ત કરવો, વાર્ષિક DPIAs અને સ્વતંત્ર ઓડિટ ચલાવવા જોઈએ.

પ્રક્રિયા થઈ રહેલા વ્યક્તિગત ડેટાનો સારાંશ, પ્રક્રિયા પ્રવૃત્તિઓ, અને જેમની સાથે તે શેર કરવામાં આવ્યો છે તે અન્ય ફિડ્યુશરીઓની ઓળખ.

અચોક્કસ અથવા ભ્રામક ડેટાની સુધારણા, અપૂર્ણ ડેટાની પૂર્ણતા, અને જણાવેલ હેતુ માટે હવે જરૂરી ન હોય તેવા ડેટાનું ભૂંસવું.

પ્રથમ ફિડ્યુશરીના ફરિયાદ અધિકારીનો સંપર્ક કરો; તે પદ્ધતિ સમાપ્ત કર્યા પછી જ DPBI ને વૃદ્ધિ કરો. 90-દિવસ પ્રતિસાદ SLA.

મૃત્યુ અથવા અસમર્થતાની ઘટનામાં તમારા વતી આ અધિકારો વાપરવા માટે અન્ય વ્યક્તિની નિમણૂક કરો.

કોઈ ખોટી અથવા વ્યર્થ ફરિયાદો નહીં, કોઈ ઢોંગ નહીં, કોઈ ભૌતિક માહિતીનું છુપાવવું નહીં. ભંગ ₹10,000 સુધીનો દંડ આકર્ષી શકે છે.

મૂળભૂત-પરવાનગી: સરકાર સૂચના દ્વારા ચોક્કસ દેશોમાં ટ્રાન્સફર પ્રતિબંધિત કરી શકે છે. મે 2026 સુધીમાં, કોઈ દેશને બ્લેકલિસ્ટ કરવામાં આવ્યો નથી.

કેટલીક રાજ્ય અને સંશોધન પ્રક્રિયા માટે શરતી, સૂચિત મુક્તિઓ — સંપૂર્ણ કાર્વ-આઉટ નહીં; સુરક્ષા પગલાં હજુ પણ લાગુ પડે છે.

એક ડિજિટલ-પ્રથમ ન્યાયિક સંસ્થા જે ભંગની તપાસ કરે છે, ઉપચારાત્મક પગલાં નિર્દેશિત કરે છે અને દંડ લાદે છે. બંધારણ, રચના અને પ્રક્રિયા નિયમો 16-22 દ્વારા ચાલે છે.

DPBI આદેશોથી અપીલ 60 દિવસની અંદર ટેલિકોમ ડિસ્પ્યુટ્સ સેટલમેન્ટ અને એપેલેટ ટ્રિબ્યુનલ પાસે થાય છે; કાયદાના પ્રશ્નો પર સર્વોચ્ચ અદાલતમાં વધુ અપીલ.

માત્ર-નાગરિક દંડ, પ્રત્યેક ઉલ્લંઘન દીઠ: ₹250 કરોડ (સુરક્ષા), ₹200 કરોડ (ભંગ સૂચના / બાળકો), ₹150 કરોડ (SDF), ₹50 કરોડ (અન્ય કોઈપણ), ₹10K (ડેટા પ્રિન્સિપાલ ફરજો). બોર્ડ પ્રકૃતિ, ગંભીરતા, અવધિ, પુનરાવર્તન, લાભ અને સુધારણાનું વજન કરે છે.

વિભાગ 5 હેઠળ જરૂરી સૂચનાની વસ્તુવાર સામગ્રી અને સ્વરૂપ સૂચવે છે.

સંમતિ મેનેજરો DPBI સાથે કેવી રીતે નોંધણી કરે છે અને તેમણે પૂરા કરવા જોઈએ તે ધોરણો. તબક્કો 2 (~નવે 2026) માં શરૂ થવાની અપેક્ષા છે.

સાત સુરક્ષા શ્રેણીઓ: એન્ક્રિપ્શન, ઍક્સેસ નિયંત્રણ, બેકઅપ્સ, 1-વર્ષ લોગ જાળવણી, શોધ, પ્રોસેસર કરાર અને તકનીકી/સંગઠનાત્મક પગલાં.

બે-ટ્રેક જાણ — નિર્ધારિત સામગ્રી સાથે બોર્ડને "વિલંબ વિના", અને અસરગ્રસ્ત ડેટા પ્રિન્સિપાલ્સને શક્ય તેટલી વહેલી તકે.

ઉચ્ચ-વોલ્યુમ ઈ-કોમર્સ, ગેમિંગ અને સોશિયલ-મીડિયા સંસ્થાઓ માટે જાળવણી મૂળભૂત: છેલ્લી પ્રવૃત્તિથી ત્રણ વર્ષ, 48-કલાક પૂર્વ-ભૂંસવાની જાણ સાથે.

બાળકોના ડેટાની પ્રક્રિયા પહેલાં ઓળખ-ચકાસાયેલ માતાપિતાની સંમતિ જરૂરી છે; સ્વ-ઘોષિત ઉંમર દ્વાર પૂરતા નથી.

DPIA, વાર્ષિક સ્વતંત્ર ઓડિટ, બોર્ડને અહેવાલ આપતો ભારત-નિવાસી DPO, અને સામયિક જોખમ મૂલ્યાંકન.

અધિકારો પ્રક્રિયા અને 90-દિવસ પ્રતિસાદ SLA ને કાર્યરત બનાવે છે.

વિભાગ 33 હેઠળ દરેક ઉલ્લંઘનને તેની નાણાકીય ટોચ મર્યાદા સાથે મેપ કરે છે.

વપરાશકર્તા-ગણતરી થ્રેશોલ્ડ જે ઈ-કોમર્સ, ગેમિંગ અને સોશિયલ-મીડિયા મધ્યસ્થીઓ માટે નિયમ 8 જાળવણી મૂળભૂત ટ્રિગર કરે છે.