મોટાભાગની ટીમો કાયદો કેમ ખોટો વાંચે છે
DPDP Act, 2023 એ ફરજ-આધારિત કાયદો છે. એક Data Fiduciary એ શું કરવું જોઈએ તે તે જણાવે છે — સૂચના આપવી, સંમતિ લેવી, ડેટા સુરક્ષિત રાખવો, અધિકારોને પ્રતિસાદ આપવો, ઉલ્લંઘનોની જાણ કરવી. 13 નવેમ્બર 2025ના રોજ અધિસૂચિત Rules એ કામો કેવી રીતે કરવાં અને કયા ધોરણે કરવાં તે જણાવે છે.
ફક્ત Act વાંચવાથી સાચા સિદ્ધાંતો મળે છે પણ ખોટી સૂક્ષ્મતા. ફક્ત Rules વાંચવાથી યાંત્રિક વિગત મળે છે, પણ એ યાંત્રિકતાને બચાવયોગ્ય બનાવતા સિદ્ધાંતો મળતા નથી.
સૌથી મહત્ત્વની જોડીઓ
દરેક વ્યાવસાયિકને કંઠસ્થ હોવી જોઈએ એવી સાત Section-Rule જોડીઓ અહીં છે:
1. Section 5 (સૂચના) ↔ Rule 3 (સૂચનાની સામગ્રી)
Section 5 કહે છે કે તમારે સૂચના આપવી પડશે. Rule 3 તેનું સ્વરૂપ અને ન્યૂનતમ સામગ્રી નિર્દિષ્ટ કરે છે: વ્યક્તિગત ડેટાની વસ્તુવાર યાદી, હેતુઓની વસ્તુવાર યાદી, સંમતિ પાછી ખેંચવાની લિંક, અધિકારો વાપરવાની લિંક, Data Protection Board સુધી પહોંચવાનો માર્ગ. Rule 3 વગર તમારી સૂચના 'અનુપાલક' હોઈ શકે પણ નકામી. બંને સાથે મળીને તે ખરેખર કામ કરે છે.
2. Section 6 (સંમતિ) ↔ Rule 4 (Consent Manager નોંધણી)
Section 6 સંમતિનું ધોરણ નક્કી કરે છે — મુક્ત, ચોક્કસ, માહિતીસભર, બિનશરતી, સ્પષ્ટ. Consent Managers (મધ્યસ્થીઓની નવી પરિસંસ્થા) DPBI પાસે કેવી રીતે નોંધણી કરાવે છે તે Rule 4 નિયંત્રિત કરે છે. તમારું વ્યવસાય મોડેલ સંમતિ માળખા સાથે જોડાતું હોય — અને ઘણા fintech, AA-સંબંધિત કે ક્રોસ-પ્લેટફોર્મ વ્યવસાયો જોડાય છે — તો Rule 4 મહત્ત્વનું છે.
3. Section 8(5)-(6) (સુરક્ષા અને ઉલ્લંઘન) ↔ Rules 6 અને 7
તમારે વાજબી સુરક્ષા પગલાં લેવાં પડશે અને વ્યક્તિગત ડેટા ઉલ્લંઘનોની જાણ Board ને (અને અસરગ્રસ્ત Data Principals ને) કરવી પડશે એમ Act કહે છે. Rule 6 સાત સુરક્ષા શ્રેણીઓ નિર્દિષ્ટ કરે છે — એન્ક્રિપ્શન, પ્રવેશ નિયંત્રણ, લોગિંગ વગેરે. Rule 7 ઉલ્લંઘન-અધિસૂચનાનું સ્વરૂપ અને સમય નિર્દિષ્ટ કરે છે. સાથે મળીને આ તમારી સુરક્ષા-અને-ઉલ્લંઘન આધારરેખા બનાવે છે.
4. Section 9 (બાળકો) ↔ Rule 10 (ચકાસણીયોગ્ય માતાપિતાની સંમતિ)
ચકાસણીયોગ્ય માતાપિતાની સંમતિ વગર બાળકોના ડેટાની પ્રક્રિયા Section 9 પ્રતિબંધિત કરે છે, તેમજ બાળકોનું ટ્રેકિંગ, વર્તન દેખરેખ કે લક્ષિત જાહેરાત પ્રતિબંધિત કરે છે. વ્યવહારમાં 'ચકાસણીયોગ્ય' એટલે શું તે Rule 10 નિર્દિષ્ટ કરે છે — જવાબ: સ્વ-ઘોષિત ઉંમરનું ગેટ નહીં. ગ્રાહક-સન્મુખ સેવાઓ માટે સમગ્ર માળખામાં આ જ સૌથી વધુ પરિચાલન-ભારવાળી બંધનકર્તાતા છે.
5. Section 10 (SDF) ↔ Rules 12 અને 13
જથ્થો, સંવેદનશીલતા, ક્ષેત્રીય જોખમ અને અન્ય માપદંડોના આધારે Significant Data Fiduciaries નિયુક્ત કરવાની છૂટ Section 10 કેન્દ્ર સરકારને આપે છે. Rules 12-13 વધારાની બંધનકર્તાતાઓ નિર્દિષ્ટ કરે છે: DPIAs, વાર્ષિક સ્વતંત્ર ઓડિટ, બોર્ડ-રિપોર્ટિંગ સાથે ભારત-આધારિત DPO, સામયિક જોખમ મૂલ્યાંકન. તમે લાયક ઠરી શકો તો અત્યારે જ તૈયારી શરૂ કરો — અધિસૂચના પછી તમને સંક્રમણ સમય મળતો નથી.
6. Sections 11-14 (અધિકારો) ↔ Rules 14 અને 15
Act, Data Principals માટે ચાર અધિકારો સર્જે છે: પ્રવેશ, સુધારો, ભૂંસવું, ફરિયાદ નિવારણ. પ્રતિસાદ માટે 90-દિવસનો SLA Rule 14 નક્કી કરે છે. Data Protection Board સુધીનો અપીલ માર્ગ Rule 15 નિયંત્રિત કરે છે. પરિચાલન સાધનો વગર — DSAR પોર્ટલ, ઓળખ ચકાસણી, સિસ્ટમ મેપિંગ — કોઈપણ અર્થપૂર્ણ જથ્થામાં SLA પૂરો કરવો અશક્ય છે.
7. Section 16 (સીમાપાર) ↔ SDFs માટે Rule 13(4)
કેન્દ્ર સરકાર દેશ-પ્રતિબંધ અધિસૂચના બહાર પાડે ત્યાં સિવાય, Section 16 હાલમાં સીમાપાર હસ્તાંતરણની પરવાનગી આપે છે. SDFs નો કેટલોક વ્યક્તિગત ડેટા ભારતમાં જ રહે એવી માંગ કરવાની વધારાની છૂટ Rule 13(4) સરકારને આપે છે. ડિફોલ્ટ ખુલ્લું છે; ભવિષ્ય શરતી છે. તમારા પ્રવાહો અત્યારે જ મેપ કરો.
અસરકારક વાંચન ક્રમ
આ માળખામાં તમે નવા હો તો આ ક્રમમાં વાંચો:
- Act ના Sections 4-9 (મૂળભૂત ફરજો)
- Rules 3, 6, 7, 10, 14 (એ ફરજોની પરિચાલન વિગત)
- Act ની Section 10 + Rules 12-13 (SDF સજ્જતા)
- Act ના Sections 27-28 (Data Protection Board)
- Schedule of Penalties (ભૂલ કરવાની કિંમત)
અત્યારે શું તબક્કાવાર આવી રહ્યું છે
Phase 1 અત્યારે જ છે: સૂચના, સંમતિ, સુરક્ષા, ઉલ્લંઘન અહેવાલ અને અધિકાર માળખાં પહેલેથી કાર્યરત હોવાં જોઈએ. Phase 2 — અંદાજે નવેમ્બર 2026માં અપેક્ષિત — Consent Manager પરિસંસ્થા સક્રિય કરે છે. Phase 3, 13 મે 2027ના રોજ, SDF ટ્રિગર, સંપૂર્ણ ફરિયાદ અને ઓડિટ તંત્ર, દંડ અમલીકરણની ઔપચારિક શરૂઆત સહિત મૂળભૂત બંધનકર્તાતાઓ લાવે છે.
કાયદો સાથે વાંચો. પરિચાલન સાથે ઊભું કરો. Phase 3 ની રાહ ન જુઓ.