मूल अधिनियम, नियम और अनुसूचियाँ — नेविगेट करने योग्य।

मुख्य शब्दावली को परिभाषित करता है — व्यक्तिगत डेटा (2(t)), डेटा प्रिंसिपल (2(j)), डेटा प्रत्ययी (2(i)), डेटा प्रोसेसर (2(k)), सहमति, और प्रसंस्करण। सभी व्यक्तिगत डेटा को समान रूप से माना जाता है; कोई अलग "संवेदनशील" श्रेणी नहीं है।

भारत के भीतर डिजिटल व्यक्तिगत डेटा और भारत के लोगों को वस्तुएँ/सेवाएँ प्रदान करने से जुड़े भारत के बाहर के प्रसंस्करण पर लागू होता है। व्यक्तिगत/घरेलू उपयोग और प्रिंसिपल द्वारा या कानूनी दायित्व के तहत सार्वजनिक रूप से उपलब्ध कराए गए डेटा को छोड़ देता है।

सहमति स्वतंत्र, विशिष्ट, सूचित, बिना शर्त और अस्पष्टता-रहित होनी चाहिए, स्पष्ट सकारात्मक कार्रवाई द्वारा — और जितनी आसानी से दी गई उतनी ही आसानी से वापस लेने योग्य। सहमति प्रबंधक पारिस्थितिकी तंत्र प्रस्तुत करता है।

उपयोगों की एक बंद सूची जहाँ प्रसंस्करण बिना सहमति के आगे बढ़ सकता है: स्वैच्छिक प्रावधान, राज्य कार्य, कानूनी अनुपालन, चिकित्सा आपात स्थिति, आपदाएँ, और रोज़गार। कोई व्यापक "वैध हित" आधार मौजूद नहीं है।

सटीकता, उचित सुरक्षा उपाय, उल्लंघन अधिसूचना, भंडारण सीमा और विलोपन, और एक शिकायत तंत्र। धारा 8(2) प्रत्ययी को उसके प्रोसेसरों के लिए उत्तरदायी बनाती है।

18 वर्ष से कम आयु के किसी भी व्यक्ति के डेटा को संसाधित करने से पहले सत्यापन-योग्य माता-पिता की सहमति; बच्चों की ट्रैकिंग, व्यवहार निगरानी और लक्षित विज्ञापन पर पूर्ण प्रतिबंध।

सरकार मात्रा, संवेदनशीलता, जोखिम और संप्रभुता कारकों के आधार पर SDF नामित कर सकती है। SDF को भारत-निवासी DPO नियुक्त करना, वार्षिक DPIA और स्वतंत्र ऑडिट चलाना आवश्यक है।

संसाधित किए जा रहे व्यक्तिगत डेटा का सारांश, प्रसंस्करण गतिविधियाँ, और उन अन्य प्रत्ययियों की पहचान जिनके साथ इसे साझा किया गया है।

गलत या भ्रामक डेटा का सुधार, अपूर्ण डेटा का पूरा होना, और निर्दिष्ट उद्देश्य के लिए अब आवश्यक नहीं रहे डेटा का विलोपन।

पहले प्रत्ययी के शिकायत अधिकारी से संपर्क करें; उस तंत्र को समाप्त करने के बाद ही DPBI तक बढ़ाएँ। 90-दिवसीय प्रतिक्रिया SLA।

मृत्यु या असमर्थता की स्थिति में आपकी ओर से इन अधिकारों का प्रयोग करने के लिए किसी अन्य व्यक्ति को नियुक्त करें।

कोई झूठी या तुच्छ शिकायत नहीं, कोई प्रतिरूपण नहीं, महत्वपूर्ण जानकारी को दबाना नहीं। उल्लंघन ₹10,000 तक का दंड आकर्षित कर सकता है।

डिफ़ॉल्ट-अनुमत: सरकार अधिसूचना द्वारा निर्दिष्ट देशों को स्थानांतरण प्रतिबंधित कर सकती है। मई 2026 तक, किसी भी देश को ब्लैकलिस्ट नहीं किया गया है।

कुछ राज्य और अनुसंधान प्रसंस्करण के लिए सशर्त, अधिसूचित छूट — कोई सर्वव्यापी अपवाद नहीं; सुरक्षा उपाय फिर भी लागू होते हैं।

एक डिजिटल-प्रथम न्यायनिर्णायक निकाय जो उल्लंघनों की जाँच करता है, उपचारात्मक उपायों का निर्देश देता है और दंड लगाता है। गठन, संरचना और प्रक्रिया नियम 16-22 के माध्यम से चलती है।

DPBI आदेशों से अपील 60 दिनों के भीतर दूरसंचार विवाद निपटान और अपीलीय न्यायाधिकरण के पास होती है; कानून के प्रश्नों पर उच्चतम न्यायालय में आगे अपील।

केवल-दीवानी दंड, प्रति उल्लंघन: ₹250 Cr (सुरक्षा), ₹200 Cr (उल्लंघन नोटिस / बच्चे), ₹150 Cr (SDF), ₹50 Cr (कोई अन्य), ₹10K (डेटा प्रिंसिपल कर्तव्य)। बोर्ड प्रकृति, गंभीरता, अवधि, पुनरावृत्ति, लाभ और सुधार को तौलता है।

धारा 5 के तहत आवश्यक नोटिस की मदवार सामग्री और स्वरूप निर्धारित करता है।

सहमति प्रबंधक DPBI के साथ कैसे पंजीकृत होते हैं और उन्हें जो मानक पूरे करने होते हैं। चरण 2 (~नवंबर 2026) में प्रारंभ होने की उम्मीद।

सात सुरक्षा उपाय श्रेणियाँ: एन्क्रिप्शन, एक्सेस नियंत्रण, बैकअप, 1-वर्ष लॉग प्रतिधारण, पहचान, प्रोसेसर अनुबंध और तकनीकी/संगठनात्मक उपाय।

दो-ट्रैक सूचना — निर्धारित सामग्री के साथ बोर्ड को "बिना देरी", और प्रभावित डेटा प्रिंसिपल को यथाशीघ्र संभव।

उच्च-मात्रा ई-कॉमर्स, गेमिंग और सोशल-मीडिया संस्थाओं के लिए प्रतिधारण डिफ़ॉल्ट: अंतिम गतिविधि से तीन वर्ष, 48-घंटे पूर्व-विलोपन सूचना के साथ।

बच्चों के डेटा को संसाधित करने से पहले पहचान-सत्यापित माता-पिता की सहमति की आवश्यकता; स्व-घोषित आयु गेट पर्याप्त नहीं हैं।

DPIA, वार्षिक स्वतंत्र ऑडिट, बोर्ड को रिपोर्ट करने वाला भारत-निवासी DPO, और आवधिक जोखिम मूल्यांकन।

अधिकार प्रक्रिया और 90-दिवसीय प्रतिक्रिया SLA को परिचालित करता है।

धारा 33 के तहत प्रत्येक उल्लंघन को उसकी मौद्रिक सीमा से मैप करती है।

उपयोगकर्ता-गणना सीमाएँ जो ई-कॉमर्स, गेमिंग और सोशल-मीडिया मध्यस्थों के लिए नियम 8 प्रतिधारण डिफ़ॉल्ट को ट्रिगर करती हैं।