DPDP अधिनियम क्यों मौजूद है।
भारत के डिजिटल युग के अधिकांश समय के लिए, व्यक्तिगत डेटा एक एकल, पुराने साधन द्वारा शासित था: सूचना प्रौद्योगिकी अधिनियम, 2000, जिसे 2011 के SPDI नियमों द्वारा पूरक किया गया — एक व्यवस्था जो स्मार्टफ़ोन, सोशल प्लेटफ़ॉर्म, फिनटेक ऐप्स और क्लाउड कंप्यूटिंग के व्यक्तिगत डेटा को लगभग हर व्यवसाय का परिचालन आधार बनाने से पहले डिज़ाइन की गई थी।
निर्णायक क्षण अगस्त 2017 था। उच्चतम न्यायालय की नौ-न्यायाधीशों की संवैधानिक पीठ ने, न्यायमूर्ति के.एस. पुट्टास्वामी (सेवानिवृत्त) बनाम भारत संघ में, सर्वसम्मति से माना कि निजता का अधिकार अनुच्छेद 21 द्वारा संरक्षित एक मौलिक अधिकार है। इसने राज्य पर एक व्यापक डेटा संरक्षण कानून बनाने का संवैधानिक दायित्व उत्पन्न किया।
इसके बाद एक छह-वर्षीय यात्रा हुई। न्यायमूर्ति बी.एन. श्रीकृष्ण समिति ने 2018 में एक मसौदा विधेयक प्रस्तुत किया; 2019 और 2022 में पुनरावृत्तियाँ हुईं। वर्तमान अधिनियम — घटाया गया, सरल किया गया, और नाम बदला गया — 3 अगस्त 2023 को लोकसभा में पेश किया गया और 11 अगस्त 2023 को राष्ट्रपति की स्वीकृति प्राप्त की। अंतिम DPDP नियम, 2025 को MeitY द्वारा 13 नवंबर 2025 को राजपत्र अधिसूचना G.S.R. 846(E) के माध्यम से अधिसूचित किया गया। इसके साथ, भारत के पास अंततः एक परिचालन डेटा संरक्षण व्यवस्था है।
अधिनियम दो और मामलों में असामान्य है। यह भारतीय संसद का पहला अधिनियम है जो डिफ़ॉल्ट रूप से सर्वनाम "she" और "her" का उपयोग करता है, और यह उसका अनुसरण करता है जिसे MeitY SARAL डिज़ाइन कहता है — Simple, Accessible, Rational, and Actionable — पूरे वैधानिक पाठ में सरल भाषा का उपयोग करते हुए।
कानून क्या कवर करता है — और क्या नहीं।
DPDP अधिनियम डिजिटल व्यक्तिगत डेटा के प्रसंस्करण पर लागू होता है। यह एक जानबूझकर संकीर्ण वाक्यांश है, और हर शब्द मायने रखता है।
व्यक्तिगत डेटा, व्यापक रूप से परिभाषित
किसी व्यक्ति के बारे में कोई भी डेटा जो ऐसे डेटा द्वारा या उसके संबंध में पहचाना जा सके (धारा 2(t))। GDPR के विपरीत, अधिनियम कोई अलग "संवेदनशील व्यक्तिगत डेटा" श्रेणी नहीं बनाता — सभी व्यक्तिगत डेटा को समान रूप से माना जाता है।
"डिजिटल" मुख्य योग्यता है
केवल डिजिटल रूप में व्यक्तिगत डेटा, या बाद में डिजिटाइज़ किए गए गैर-डिजिटल डेटा पर लागू होता है (धारा 3(a))। कागज़ पर बने रहने वाले कागज़ी अभिलेख इसके दायरे से बाहर हैं।
यह कहाँ लागू होता है (और किस पर)
क्षेत्रीय और बाह्यक्षेत्रीय पहुँच: भारत के भीतर प्रसंस्करण, और भारत के बाहर यदि भारत में डेटा प्रिंसिपल को वस्तुएँ या सेवाएँ प्रदान करने से जुड़ा हो (धारा 3(b))। भारतीय उपयोगकर्ताओं वाला एक विदेशी SaaS दायरे में है।
अधिनियम के बाहर क्या है
व्यक्तिगत/घरेलू उपयोग; प्रिंसिपल द्वारा या कानूनी दायित्व के तहत सार्वजनिक रूप से उपलब्ध कराया गया डेटा; और कुछ अनुसंधान, संग्रह और सांख्यिकीय प्रसंस्करण (धारा 3(c))।
सात SARAL सिद्धांत।
अधिनियम और नियमों का हर परिचालन प्रावधान सात मूलभूत सिद्धांतों में वापस जाता है — MeitY के SARAL डिज़ाइन की आधारशिला। इन सातों का सम्मान करें और बाकी अनुसरण करता है।
सहमति और पारदर्शिता
व्यक्तिगत डेटा वैध रूप से संसाधित किया जाता है, जिसमें डेटा प्रिंसिपल को स्पष्ट रूप से सूचित किया जाता है कि क्या एकत्र किया जाता है और क्यों।
उद्देश्य सीमा
डेटा केवल उस विशिष्ट उद्देश्य के लिए एकत्र और उपयोग किया जाता है जिसके लिए सहमति प्राप्त की गई थी या जिसकी कानून अनुमति देता है।
डेटा न्यूनीकरण
केवल निर्दिष्ट उद्देश्य के लिए आवश्यक व्यक्तिगत डेटा एकत्र किया जाता है — इससे अधिक कुछ नहीं, चाहे यह कितना भी उपयोगी क्यों न हो।
सटीकता
यह सुनिश्चित करने के लिए उचित कदम उठाए जाते हैं कि व्यक्तिगत डेटा सटीक, पूर्ण, सुसंगत और अद्यतन हो।
भंडारण सीमा
डेटा केवल तब तक बनाए रखा जाता है जब तक निर्दिष्ट उद्देश्य के लिए आवश्यक हो; एक बार वह उद्देश्य पूरा हो जाने पर, इसे मिटा देना चाहिए।
सुरक्षा उपाय
उल्लंघनों को रोकने और डेटा अखंडता की रक्षा के लिए उचित तकनीकी और संगठनात्मक सुरक्षा उपाय तैनात किए जाते हैं।
जवाबदेही
डेटा प्रत्ययी अपने अनुपालन के लिए जवाबदेह हैं — दस्तावेज़ीकरण, ऑडिट और जहाँ लागू हो, दंड के माध्यम से।
ये केवल आकांक्षात्मक नहीं हैं — ये सीधे प्रवर्तनीय दायित्वों से मैप होते हैं: धारा 6 में सहमति, धारा 7 में उद्देश्य सीमा, धारा 8(5) में सुरक्षा उपाय, और इसी तरह। इन्हें अपना अनुपालन कम्पास मानें।
कौन है कौन: मुख्य पक्षकार।
ढाँचा भूमिकाओं की एक शब्दावली प्रस्तुत करता है जिनसे आप पूरे अधिनियम, नियमों और हर परिचालन दस्तावेज़ में मिलेंगे। कुछ GDPR से उधार लेते हैं; अन्य विशिष्ट रूप से भारतीय हैं।
डेटा प्रिंसिपल
वह प्राकृतिक व्यक्ति जिससे व्यक्तिगत डेटा संबंधित है। नाबालिगों के लिए, इसमें उनके माता-पिता या वैध अभिभावक शामिल हैं; विकलांग व्यक्तियों के लिए, उनके वैध अभिभावक।
डेटा प्रत्ययी
कोई भी व्यक्ति जो अकेले या संयुक्त रूप से व्यक्तिगत डेटा के प्रसंस्करण का उद्देश्य और साधन निर्धारित करता है। GDPR के "नियंत्रक" के समकक्ष। प्राथमिक अनुपालन दायित्व वहन करता है।
डेटा प्रोसेसर
कोई भी व्यक्ति जो डेटा प्रत्ययी की ओर से व्यक्तिगत डेटा संसाधित करता है। DPBI द्वारा सीधे दंडित नहीं किया जा सकता — प्रोसेसर विफलताओं के लिए प्रत्ययी उत्तरदायी रहता है।
महत्वपूर्ण डेटा प्रत्ययी
मात्रा, संवेदनशीलता, प्रिंसिपल के जोखिम, संप्रभुता, चुनावी लोकतंत्र या उभरती तकनीक के उपयोग के आधार पर केंद्र सरकार द्वारा अधिसूचित एक प्रत्ययी या वर्ग।
सहमति प्रबंधक
एक पंजीकृत संस्था जो डेटा प्रिंसिपल को एकल अंतरसंचालनीय प्लेटफ़ॉर्म के माध्यम से सहमति देने, प्रबंधित करने, समीक्षा करने और वापस लेने में मदद करती है। भारत में निगमित होनी चाहिए।
भारतीय डेटा संरक्षण बोर्ड
न्यायनिर्णायक निकाय जो अधिनियम को लागू करता है। ऑनलाइन शिकायत दाखिल करने के साथ एक पूर्णतः डिजिटल संस्था के रूप में कार्य करता है। अपील 60 दिनों के भीतर TDSAT के पास होती है।
डेटा को वैध रूप से संसाधित करने के दो तरीके।
अपने छह वैध आधारों वाले GDPR के विपरीत, DPDP अधिनियम केवल दो आधारों को मान्यता देता है: सहमति, या धारा 7 में बंद-सूची वैध उपयोगों में से एक। वापस गिरने के लिए कोई व्यापक "वैध हित" आधार नहीं है।
आधार 1: सहमति
वाणिज्यिक प्रसंस्करण के लिए सहमति प्रमुख मार्ग है। धारा 6 के तहत, सहमति स्वतंत्र, विशिष्ट, सूचित, बिना शर्त और अस्पष्टता-रहित होनी चाहिए, स्पष्ट सकारात्मक कार्रवाई के माध्यम से व्यक्त — और किसी भी समय उसी आसानी से वापस लेने योग्य जिस आसानी से दी गई थी। हर अनुरोध के साथ एक धारा 5 नोटिस होना चाहिए जो डेटा, उद्देश्य, वापसी और अधिकार तंत्र, और DPBI तक मार्ग का वर्णन करता हो — अंग्रेज़ी और आठवीं अनुसूची की 22 भाषाओं में से प्रत्येक में उपलब्ध।
आधार 2: कुछ वैध उपयोग
धारा 7 वैध उपयोगों की एक बंद सूची निर्धारित करती है जहाँ प्रसंस्करण बिना सहमति के आगे बढ़ सकता है। सबसे अधिक उपयोग किए जाने वाले:
डेटा प्रिंसिपल द्वारा स्वैच्छिक प्रावधान
Section 7(a)जहाँ प्रिंसिपल स्वेच्छा से अपना डेटा प्रदान करता है और उसने निर्दिष्ट उद्देश्य के लिए इसके उपयोग पर असहमति नहीं जताई है।
राज्य कार्य और लाभ वितरण
Section 7(b)राज्य द्वारा सब्सिडी, लाभ, सेवाएँ, प्रमाणपत्र, लाइसेंस या परमिट का प्रावधान।
कानून या न्यायिक आदेश का अनुपालन
Section 7(c)-(d)जहाँ प्रसंस्करण किसी निर्णय, डिक्री या प्रवर्तनीय कानून का अनुपालन करने के लिए आवश्यक है।
चिकित्सा आपात स्थिति और महामारी
Section 7(e)-(f)चिकित्सा आपात स्थिति, महामारी, प्रकोप या सार्वजनिक स्वास्थ्य के लिए खतरों का जवाब देने के लिए।
रोज़गार-संबंधी प्रसंस्करण
Section 7(i)रोज़गार के लिए उपयुक्तता का पता लगाने, कर्मचारियों को सेवाएँ या लाभ प्रदान करने, या कार्यस्थल पर सुरक्षा के लिए।
डेटा प्रिंसिपल के अधिकार।
अध्याय III हर डेटा प्रिंसिपल को चार मूलभूत अधिकार प्रदान करता है, जो उसके डेटा को संसाधित करने वाले किसी भी प्रत्ययी के विरुद्ध प्रयोग करने योग्य हैं। नियमों के लिए प्राप्ति के नब्बे दिनों के भीतर प्रतिक्रिया की आवश्यकता है।
जानकारी तक पहुँच का अधिकार
संसाधित किए जा रहे व्यक्तिगत डेटा का सारांश, प्रसंस्करण गतिविधियाँ, और उन किन्हीं अन्य प्रत्ययियों की पहचान जिनके साथ इसे साझा किया गया है।
सुधार और विलोपन का अधिकार
गलत या भ्रामक डेटा का सुधार, अपूर्ण डेटा का पूरा होना, पुराने डेटा का अद्यतन, और अब आवश्यक नहीं रहे डेटा का विलोपन।
शिकायत निवारण का अधिकार
पहले प्रत्ययी के शिकायत अधिकारी से संपर्क करना; उस तंत्र को समाप्त करने के बाद ही DPBI तक बढ़ाना।
नामांकन का अधिकार
मृत्यु या असमर्थता की स्थिति में अपनी ओर से इन अधिकारों का प्रयोग करने के लिए किसी अन्य व्यक्ति को नियुक्त करना।
अधिनियम डेटा प्रिंसिपल पर कर्तव्य भी लगाता है — झूठी या तुच्छ शिकायतें दायर न करना, प्रतिरूपण न करना, महत्वपूर्ण जानकारी न दबाना। उल्लंघन ₹10,000 तक का दंड आकर्षित कर सकता है (धारा 15)।
डेटा प्रत्ययी के दायित्व।
धारा 8, परिचालित करने वाले नियमों के साथ पढ़ी गई, हर प्रत्ययी के पालन योग्य मुख्य दायित्व निर्धारित करती है — वे दायित्व जिनके इर्द-गिर्द अनुपालन कार्यक्रम बनाए जाते हैं।
प्रसंस्करण से पहले नोटिस
संग्रह के समय या उससे पहले सरल भाषा में एक स्पष्ट, मदवार नोटिस — अंग्रेज़ी और 22 अनुसूचित भाषाओं में।
वैध सहमति और वैध उद्देश्य
केवल सहमति पर या धारा 7 वैध उपयोग के तहत प्रसंस्करण करें; सहमति जितनी आसानी से दी गई थी उतनी ही आसानी से वापसी का सम्मान करें।
सटीकता और पूर्णता
यह सुनिश्चित करने के लिए उचित प्रयास करें कि प्रिंसिपल को प्रभावित करने वाला निर्णय लेने के लिए उपयोग किया गया व्यक्तिगत डेटा सटीक और पूर्ण हो।
उचित सुरक्षा उपाय
उल्लंघनों को रोकने के लिए उपयुक्त तकनीकी और संगठनात्मक उपाय लागू करें — जिसमें एन्क्रिप्शन, एक्सेस नियंत्रण, निगरानी और लॉग शामिल हैं।
उल्लंघन अधिसूचना
बिना देरी के DPBI को सूचित करें; 72 घंटों के भीतर एक विस्तृत रिपोर्ट प्रस्तुत करें; प्रभावित प्रिंसिपलों को सरल भाषा में सूचित करें।
भंडारण सीमा और विलोपन
जब सहमति वापस ले ली जाए या उद्देश्य पूरा न हो तब व्यक्तिगत डेटा मिटाएँ — ई-कॉमर्स, सोशल मीडिया और ऑनलाइन गेमिंग के लिए तीन-वर्षीय डिफ़ॉल्ट के साथ।
बच्चों के डेटा की सुरक्षा
18 वर्ष से कम आयु के किसी भी व्यक्ति के डेटा को संसाधित करने से पहले सत्यापन-योग्य माता-पिता की सहमति; कोई ट्रैकिंग, व्यवहार निगरानी या लक्षित विज्ञापन नहीं।
शिकायत निवारण तंत्र
व्यावसायिक संपर्क जानकारी प्रकाशित करें और 90 दिनों के भीतर प्रतिक्रिया के साथ एक प्रभावी शिकायत निवारण तंत्र प्रदान करें।
SDF अतिरिक्त दायित्व
अधिसूचित SDF के लिए: भारत में स्थित एक DPO नियुक्त करें, एक स्वतंत्र डेटा ऑडिटर नियुक्त करें, और वार्षिक DPIA + ऑडिट करें।
एक नज़र में दंड।
DPDP अधिनियम एक विशुद्ध दीवानी दंड व्यवस्था स्थापित करता है — कोई आपराधिक प्रतिबंध नहीं। धारा 33, अनुसूची के साथ पढ़ी गई, DPBI को प्रति उल्लंघन निर्दिष्ट सीमाओं तक दंड लगाने का अधिकार देती है।
DPBI के आदेश 60 दिनों के भीतर TDSAT में अपील योग्य हैं, उच्चतम न्यायालय में आगे अपील के साथ। महत्वपूर्ण रूप से, डेटा प्रोसेसरों को सीधे दंडित नहीं किया जा सकता — प्रोसेसर विफलताओं के लिए प्रत्ययी उत्तरदायी रहता है, जो वेंडर गवर्नेंस को एक महत्वपूर्ण अनुपालन क्षेत्र बनाता है।
चरणबद्ध कार्यान्वयन समयरेखा।
यद्यपि अधिनियम 2023 में पारित हुआ और नियम नवंबर 2025 में अधिसूचित किए गए, मूलभूत दायित्व तीन चरणों में चालू होते हैं। आप किस चरण में हैं यह जानना कानूनी जोखिम और कार्यक्रम नियोजन दोनों के लिए आवश्यक है।
DPDP अधिनियम को राष्ट्रपति की स्वीकृति मिली
संसद DPDP विधेयक, 2023 पारित करती है; राष्ट्रपति स्वीकृति देते हैं। अधिनियम किताबों पर मौजूद है लेकिन नियमों के बिना इसका कोई परिचालन बल नहीं है।
सार्वजनिक परामर्श के लिए मसौदा DPDP नियम जारी
MeitY मसौदा नियम प्रकाशित करता है और हितधारक इनपुट आमंत्रित करता है। स्टार्टअप, उद्यमों, नागरिक समाज और नागरिकों से 6,915 प्रस्तुतियाँ प्राप्त होती हैं।
DPDP नियम, 2025 अधिसूचित · चरण 1 लागू
अंतिम नियम G.S.R. 846(E) के माध्यम से अधिसूचित। चरण 1 प्रक्रियात्मक प्रावधानों को लागू करता है: परिभाषाएँ, DPBI की स्थापना, और दीवानी न्यायालय क्षेत्राधिकार पर रोक।
सहमति प्रबंधक प्रावधान लागू
DPBI के साथ सहमति प्रबंधकों का पंजीकरण, उनके दायित्व, और पंजीकरण शर्तों के उल्लंघन की जाँच और दंड लगाने की बोर्ड की शक्तियाँ प्रभावी होती हैं।
मूलभूत दायित्व पूर्ण रूप से लागू
सभी शेष प्रावधान सक्रिय होते हैं: नोटिस और सहमति, प्रसंस्करण आधार, सुरक्षा उपाय, उल्लंघन अधिसूचना, बच्चों का डेटा, SDF दायित्व, सीमा-पार स्थानांतरण, डेटा प्रिंसिपल अधिकार, और छूट।
अधिसूचना से पूर्ण प्रवर्तन तक 9-महीने का रनवे ही अभी को महत्वपूर्ण तैयारी खिड़की बनाता है। जो संगठन मई 2027 तक प्रतीक्षा करते हैं वे 9 महीनों को मुश्किल से पर्याप्त पाएँगे — विशेष रूप से डेटा डिस्कवरी, सहमति पुनः-इंजीनियरिंग, वेंडर पुनर्वार्ता और नोटिस अनुवाद के लिए।
DPDP GDPR और SPDI नियमों से कैसे भिन्न है।
GDPR या SPDI नियमों के साथ पहले से संरेखित संगठनों के लिए, DPDP आंशिक रूप से परिचित और आंशिक रूप से नया है। यह तुलना परिचालन रूप से मायने रखने वाले अंतरों को सामने लाती है।
| मानदंड | DPDP अधिनियम और नियम | EU GDPR |
|---|---|---|
| दायरा | केवल डिजिटल व्यक्तिगत डेटा | सभी व्यक्तिगत डेटा, डिजिटल या अन्यथा (संरचित कागज़ सहित) |
| संवेदनशील डेटा श्रेणी | कोई अलग "संवेदनशील" श्रेणी नहीं — सभी व्यक्तिगत डेटा को समान रूप से माना जाता है | बढ़े हुए दायित्वों के साथ विशेष श्रेणियाँ (स्वास्थ्य, बायोमेट्रिक, आदि) |
| वैध आधार | दो: सहमति या बंद-सूची वैध उपयोगों में से एक (धारा 7) | छह: सहमति, अनुबंध, कानूनी दायित्व, महत्वपूर्ण हित, सार्वजनिक कार्य, वैध हित |
| सीमा-पार स्थानांतरण | डिफ़ॉल्ट-अनुमत; केवल सरकार द्वारा ब्लैकलिस्ट किए गए देशों के लिए प्रतिबंधित | पर्याप्तता निर्णय, SCC, BCR और अन्य निर्धारित तंत्र |
| उल्लंघन अधिसूचना | बिना देरी के; 72 घंटों के भीतर विस्तृत रिपोर्ट; सभी उल्लंघन रिपोर्ट करने योग्य | 72 घंटों के भीतर, जब तक अधिकारों और स्वतंत्रताओं के लिए जोखिम की संभावना न हो |
| अधिकतम दंड | ₹250 Cr प्रति उल्लंघन (~USD 30M); उल्लंघनों में संचयी | €20M या वैश्विक वार्षिक कारोबार का 4%, जो भी अधिक हो |
| प्रवर्तन | केवल दीवानी दंड; कोई आपराधिक प्रतिबंध नहीं | दीवानी दंड; कुछ सदस्य राज्य आपराधिक प्रावधान बनाए रखते हैं |
| डेटा पोर्टेबिलिटी का अधिकार | वर्तमान अधिनियम में प्रदान नहीं किया गया | अनुच्छेद 20 के तहत प्रदान किया गया |
| स्वचालित निर्णयों पर आपत्ति का अधिकार | वर्तमान अधिनियम में प्रदान नहीं किया गया | अनुच्छेद 22 के तहत प्रदान किया गया |
SPDI नियमों से संक्रमण करने वाले भारतीय व्यवसायों के लिए, सबसे विघटनकारी बदलाव हैं: (a) "संवेदनशील व्यक्तिगत डेटा" से समान व्यवहार की ओर बढ़ना, (b) अनुमेय वैध आधारों का नुकसान (अब कोई "वैध हित" नहीं), और (c) दंड जोखिम की नाटकीय वृद्धि — वास्तविक हर्जाने की क्षतिपूर्ति से सैकड़ों करोड़ की वैधानिक सीमाओं तक।