DPDP Compliance for Fintech and NBFCs: Account Aggregator, Lending Apps and RBI Overlap

अंतिम समीक्षा: 27 अगस्त 2026। आधार: DPDP Act, 2023 तथा DPDP Rules, 2025 (नवंबर 2025 में अधिसूचित)।

फिनटेक और NBFC पहले से ही एक सघन RBI ढाँचे में काम करते हैं: Digital Lending Guidelines, KYC पर Master Direction, Account Aggregator ढाँचा, भुगतान डेटा भंडारण नियम तथा आउटसोर्सिंग और IT गवर्नेंस निर्देश। DPDP Act, 2023 उस ढाँचे के ऊपर बैठता है और प्रतिधारण, सहमति आर्टिफ़ैक्ट, सीमा-पार हस्तांतरण तथा एक लेंडिंग ऐप क्या एकत्र कर सकता है — इन सब पर एक अलग दिशा में खींचता है। DPDP के अधिकांश मूलभूत दायित्व मई 2027 में प्रवर्तनीय हो जाते हैं, और सुरक्षा उपायों की विफलता पर Rs 250 crore तक का दंड है। यह पृष्ठ आपको अतिव्यापन मानचित्र, एक टकराव तालिका, लेंडिंग ऐप की संग्रह सीमाएँ, NBFC प्राथमिकताएँ और एक 90-दिवसीय योजना देता है।

फिनटेक के DPDP अनुपालन कार्यक्रम Act से नहीं, RBI ढाँचे से क्यों शुरू होते हैं

विनियमित ऋणदाताओं की अधिकांश अनुपालन टीमें DPDP Act पढ़कर यह निष्कर्ष निकालती हैं कि वे इसका अधिकांश हिस्सा पहले से ही करती हैं। अंतर यह नहीं है कि RBI कुछ भूल गया। RBI नियम विवेकपूर्ण और आचरण संबंधी प्रयोजनों के लिए लिखे गए थे, जबकि DPDP Data Principal को केंद्र में रखकर लिखा गया है, और दोनों एक ही डेटा के लिए अलग-अलग काग़ज़ात, अधिकार और समय-सीमाएँ पैदा करते हैं।

प्रत्येक RBI नियंत्रण को आधाररेखा मानें और पूछें: क्या यह DPDP दायित्व को भी पूरा करता है, और यदि नहीं, तो वह सबसे छोटा जोड़ क्या है जो अंतर को पाट दे? उत्तर आमतौर पर एक सूचना अनुच्छेद, एक प्रतिधारण फ़्लैग या एक अनुबंध अनुलग्नक होता है, कोई नई प्रणाली नहीं। हमारा Act और Rules एक्सप्लोरर आपको प्रत्येक Section को Rules के साथ-साथ पढ़ने देता है।

NBFC और DPDP Act के अतिव्यापन का एक विनियमित ऋणदाता के लिए क्या अर्थ है

एक NBFC प्रत्येक उधारकर्ता, गारंटर, सह-आवेदक, अस्वीकृत आवेदक और कर्मचारी के लिए Data Fiduciary है, और आमतौर पर ब्यूरो, AA पारिस्थितिकी तंत्र तथा LSP से प्राप्त डेटा के लिए भी, क्योंकि डेटा आने के बाद प्रयोजन और साधन वही तय करता है। इससे NBFC ही — ऐप विक्रेता या LSP नहीं — वह संस्था बन जाती है जिसे Data Protection Board सबसे पहले देखेगा।

पहला, प्रत्येक LSP और DLA व्यवस्था एक Data Fiduciary–Processor संबंध है। DPDP अपेक्षा करता है कि Processor को 'केवल एक वैध अनुबंध के अंतर्गत' नियुक्त किया जाए, जबकि Data Fiduciary फिर भी उत्तरदायी रहता है, इसलिए आउटसोर्सिंग समझौतों में एक DPDP अनुलग्नक चाहिए जो प्रयोजन सीमा, उप-Processor अनुमोदन, घंटों के भीतर उल्लंघन सहायता, निकास पर विलोपन और ऑडिट अधिकार कवर करे। हमारी विक्रेता-उपचार मार्गदर्शिका खंडों का समुच्चय प्रस्तुत करती है।

दूसरा, अस्वीकृत आवेदक। ऋणदाता धोखाधड़ी विश्लेषण और मॉडल पुनःप्रशिक्षण के लिए अस्वीकृत आवेदन डेटा रखते हैं, पर Section 8 अपेक्षा करती है कि प्रयोजन पूरा होते ही डेटा मिटा दिया जाए, बशर्ते क़ानून प्रतिधारण की अपेक्षा न करता हो, और KYC नियम उन लोगों के बारे में लगभग कुछ नहीं कहते जो कभी ग्राहक बने ही नहीं। हमारे पठन में, एक निर्धारित अवधि और विलोपन दिनचर्या वाला लिखित प्रतिधारण नियम आवश्यक है।

तीसरा, Significant Data Fiduciary जोखिम। हमारे पठन में, बड़े NBFC और भुगतान फिनटेक प्रशंसनीय उम्मीदवार हैं, जैसे ही केंद्र सरकार श्रेणियाँ अधिसूचित करती है। SDF दर्जा भारत में एक DPO, एक स्वतंत्र डेटा ऑडिटर और आवधिक DPIA लाता है, और दंड Rs 150 crore तक जाता है। SDF Classifier अभी चलाएँ ताकि पदनाम आने से पहले बोर्ड के पास एक दृष्टि हो।

Digital Lending Guidelines और DPDP का अतिव्यापन एक लेंडिंग ऐप के संग्रह को कैसे सीमित करता है

Digital Lending Guidelines व्यावहारिक रूप से ऐप्स के लिए भारत का पहला डेटा-न्यूनीकरण नियम थे: आवश्यकता-आधारित संग्रह, केवल KYC के लिए कैमरा, माइक्रोफ़ोन या स्थान तक एक-बार पहुँच, और फ़ाइलों, मीडिया, संपर्कों, कॉल लॉग या टेलीफ़ोनी तक कोई पहुँच नहीं। DPDP उसी सिद्धांत को Section 4 और Section 6 के ज़रिए और तीखा करता है: एक निर्दिष्ट प्रयोजन, और ऐसी सहमति जो स्वतंत्र, विशिष्ट, सूचित, बिना शर्त और स्पष्ट हो।

दो DPDP नियम RBI पाठ से अधिक तीखे हैं। सहमति बिना शर्त होनी चाहिए, इसलिए उधारकर्ता द्वारा मार्केटिंग जैसा कोई वैकल्पिक प्रयोजन अस्वीकार करने पर ऋण मना नहीं किया जा सकता। और वापसी उतनी ही आसान होनी चाहिए जितना देना था, इसलिए तीन टैप में दी गई अनुमति तीन टैप में पलटने योग्य होनी चाहिए। हमारी सहमति UX मार्गदर्शिका ऐसी स्क्रीनें कवर करती है जो दोनों व्यवस्थाओं को संतुष्ट करती हैं।

Section 5 की सूचना भी ऐप स्टोर के गोपनीयता लेबल से अधिक होनी चाहिए: पहली बार डेटा लेते समय, सरल भाषा में — क्या एकत्र किया जाता है, किस प्रयोजन से, अधिकारों का प्रयोग कैसे करें और Board के पास शिकायत कैसे करें।

Account Aggregator सहमति और DPDP के प्रश्न: क्या AA सहमति आर्टिफ़ैक्ट पर्याप्त हैं?

एक उधारकर्ता FIP, डेटा प्रकार, तिथि सीमा, फ़ेच आवृत्ति, प्रयोजन कोड और समाप्ति निर्दिष्ट करने वाले AA आर्टिफ़ैक्ट को स्वीकृति देता है, और AA ऐप से उसे निरस्त कर सकता है। इसे DPDP सहमति मान लेना आकर्षक लगता है। हमारे पठन में यह क़रीब है पर एक जैसा नहीं, और यह अंतर FIU — यानी डेटा का उपयोग करने वाले ऋणदाता — के लिए मायने रखता है।

Section 6 के अंतर्गत DPDP सहमति Data Fiduciary की Section 5 सूचना के बाद आनी चाहिए और उसके प्रयोजन के लिए विशिष्ट होनी चाहिए। आर्टिफ़ैक्ट डेटा प्रवाह का वर्णन करता है, यह नहीं कि ऋणदाता उसके बाद क्या करता है। स्टेटमेंट डेटा आने के बाद ऋणदाता के प्रयोजन (अंडरराइटिंग, धोखाधड़ी जाँच, मॉडल प्रशिक्षण, क्रॉस-सेल, वसूली विश्लेषण) DPDP से शासित होते हैं, और इनमें से केवल पहला ही प्रयोजन कोड से प्रशंसनीय रूप से कवर होता है।

Consent Manager संबंधी प्रावधान Rules की अधिसूचना से 12 महीने बाद प्रभावी होते हैं, और AA पंजीकरण के स्पष्ट उम्मीदवार हैं। तब तक AA सहमति को उस प्रवाह के लिए मज़बूत साक्ष्य मानें और उसके आगे आप जो कुछ करते हैं उसके लिए अपना अलग सहमति रिकॉर्ड रखें।

भारत में फिनटेक डेटा स्थानीयकरण: भुगतान डेटा, क्लाउड क्षेत्र और Section 16

Section 16 व्यक्तिगत डेटा को भारत से बाहर हस्तांतरित करने की अनुमति देती है, सिवाय उन देशों के जिन्हें केंद्र सरकार अधिसूचना द्वारा प्रतिबंधित करे। अपने आप में यह उदार है, पर यह कड़े क्षेत्रीय नियमों को कमज़ोर नहीं करता, और तीन नियम DPDP के बावजूद अछूते बचे रहते हैं: RBI की भुगतान डेटा भंडारण अपेक्षाएँ, 28 अप्रैल 2022 के CERT-In Directions (लॉग भारत के भीतर 180 दिन तक) और अपतटीय व्यवस्थाओं पर RBI के आउटसोर्सिंग निर्देश।

टकराव शायद ही कभी मुख्य डेटाबेस पर होता है। वह परिधि पर होता है: किसी US क्षेत्र में विश्लेषण वेयरहाउस, विदेश में सहायता उपकरण, किसी धोखाधड़ी विक्रेता का मॉडल एंडपॉइंट और क्रैश रिपोर्टिंग SDK जो डिवाइस डेटा डिफ़ॉल्ट रूप से विदेश भेज देते हैं। इनमें से हर एक Section 16 के अंतर्गत अनुमत हस्तांतरण है, पर यदि पेलोड में भुगतान प्रणाली डेटा है या वह RBI आउटसोर्सिंग के दायरे में आता है, तो RBI नियम ही चलता है।

बचाव-योग्य स्थिति एक एकल हस्तांतरण रजिस्टर है: भारत से बाहर जाने वाला प्रत्येक डेटासेट, प्राप्तकर्ता, देश, DPDP आधार, लागू RBI नियम और अनुबंधगत सुरक्षा उपाय। हमारा Section 16 सीमा-पार व्याख्याकार रजिस्टर का प्रारूप कवर करता है।

टकराव तालिका: RBI नियम और DPDP कहाँ अलग-अलग खींचते हैं

पाँचवाँ टकराव समय-सीमाओं का है: CERT-In छह घंटे के भीतर घटना रिपोर्ट चाहता है, DPDP Rules 72-घंटे की रिपोर्ट के साथ 'बिना देरी' सूचना चाहते हैं, और RBI की अपनी रिपोर्टिंग है। तीन सूचना-पटरियों वाली एक ही रनबुक इसका एकमात्र व्यावहारिक उत्तर है; हमारी 72-घंटे उल्लंघन-प्रतिक्रिया मार्गदर्शिका इसका क्रम निर्धारित करती है।

मई 2027 से पहले NBFC-विशिष्ट प्राथमिकताएँ

साक्ष्य सहित सुरक्षा उपाय। Rs 250 crore तक। Rules एन्क्रिप्शन, पहुँच नियंत्रण, एक वर्ष का लॉग प्रतिधारण, बैकअप और Processor अनुबंधों का नाम लेते हैं। अधिकांश NBFC के पास नियंत्रण हैं; कम के पास प्रति प्रणाली पैक किया हुआ साक्ष्य है।

उल्लंघन-सूचना की तत्परता। Rs 200 crore तक। यह दायित्व हर उल्लंघन पर लागू होता है और घड़ी जानकारी होने से चलती है। रनबुक का परीक्षण LSP और क्लाउड प्रदाताओं की मौजूदगी में करें।

सहमति और सूचना का पुनर्लेखन। हर सक्रिय यात्रा (ऐप ऑनबोर्डिंग, AA प्रवाह, वेब, DSA-सहायित, वसूली) के लिए Section 5 सूचना और प्रति ग्राहक प्रस्तुत किया जा सकने वाला सहमति रिकॉर्ड चाहिए। इसमें सबसे अधिक समय लगता है।

अधिकारों का निपटान। अनुरोधों के लिए एक प्रकाशित प्रतिक्रिया अवधि (Rules के अंतर्गत अधिकतम 90 दिन) और एक ऐसा वर्कफ़्लो चाहिए जो जानता हो कि कौन-से रिकॉर्ड KYC के तहत रखे गए हैं। देखें आपके DPDP अधिकार।

विक्रेता पुनर्लेखन। LSP, DLA, वसूली एजेंसियों, क्लाउड और SaaS को इस आधार पर प्राथमिकता दें कि वे भुगतान या KYC डेटा रखते हैं या नहीं। प्रारंभिक खंड हमारे DPDP Starter Templates में हैं।

एक मध्यम आकार के NBFC के लिए सांकेतिक प्रयास 4 से 8 महीने और Rs 40 lakh से Rs 1.5 crore की संयुक्त लागत है, जो ऐप्स और LSP संबंधों की संख्या पर निर्भर करता है।

फिनटेक और NBFC टीमों के लिए 90-दिवसीय योजना

दिन 1 से 30: मानचित्रण और निर्णय। उत्पाद और प्रणाली के अनुसार डेटा सूची बनाएँ, जिसमें हर LSP, DLA और AA एकीकरण शामिल हो। लिखित स्थितियों के साथ अतिव्यापन मानचित्र और टकराव तालिका तैयार करें। SDF Classifier चलाएँ और परिणाम बोर्ड के सामने रखें। DPDP 101 उत्पाद और इंजीनियरिंग प्रमुखों के साथ साझा करें ताकि शब्दावली साझी हो।

दिन 31 से 60: पुनर्लेखन और पुनर्रचना। प्रति यात्रा सूचनाएँ और सहमति स्क्रीनें फिर से लिखें, वैकल्पिक प्रयोजन डिफ़ॉल्ट रूप से बंद रखें। ऐप अनुमतियाँ ऊपर दी गई तालिका के अनुसार घटाएँ। डेटा जोखिम के हिसाब से शीर्ष 20 विक्रेताओं को DPDP अनुलग्नक जारी करें। विलोपन दिनचर्या सहित प्रतिधारण श्रेणियाँ परिभाषित करें।

दिन 61 से 90: सिद्ध करें। तीन सूचना-पटरियों के साथ उल्लंघन टेबलटॉप चलाएँ। ऐसे अधिकार-अनुरोध का परीक्षण करें जो KYC के तहत रखे गए डेटा को छूता हो। हस्तांतरण रजिस्टर बनाएँ और हर विदेशी SDK तथा SaaS प्रवाह को उसके सामने जाँचें। प्रति प्रणाली सुरक्षा साक्ष्य पैक करें।

अक्सर पूछे जाने वाले प्रश्न

क्या RBI Digital Lending Guidelines का पालन करने से कोई लेंडिंग ऐप DPDP-अनुपालक हो जाता है?

अपने आप में नहीं। दिशानिर्देश संग्रह सीमाओं और उधारकर्ता की सहमति को कवर करते हैं, पर DPDP एक औपचारिक Section 5 सूचना, ऐसा सहमति मानक जिसमें बिना-शर्त होना और आसान वापसी शामिल है, प्रकाशित समय-सीमाओं वाले अधिकार, Board को उल्लंघन-सूचना तथा Processor अनुबंध जोड़ता है। हमारे पठन में, दिशानिर्देश-अनुपालक ऐप लगभग दो-तिहाई रास्ता तय कर चुका होता है।

जब RBI के KYC नियम पाँच वर्ष के प्रतिधारण की अपेक्षा करते हैं, तो कोई NBFC मिटाने के अनुरोध का सम्मान कैसे करे?

क़ानून द्वारा अपेक्षित प्रतिधारण DPDP Act के अंतर्गत मान्य है, इसलिए निर्धारित अवधि के भीतर KYC और लेन-देन रिकॉर्ड रखे जा सकते हैं और उधारकर्ता को कारण बताया जा सकता है। उस अपेक्षा से बाहर की हर चीज़ — जैसे मार्केटिंग प्रोफ़ाइल और व्यवहारगत डेटा — के लिए अनुरोध का सम्मान फिर भी करना होगा। रिकॉर्ड श्रेणियाँ और उनका क़ानूनी आधार प्रलेखित करें ताकि प्रतिक्रिया एकरूप रहे।

क्या Account Aggregator सहमति और DPDP सहमति एक ही हैं?

वे अतिव्यापी हैं पर एक जैसी नहीं। AA आर्टिफ़ैक्ट एक विशिष्ट डेटा फ़ेच को अधिकृत करता है, जबकि DPDP सहमति ऋणदाता की अपनी सूचना के बाद आनी चाहिए और डेटा आने के बाद अपनाए गए हर प्रयोजन को कवर करनी चाहिए। आर्टिफ़ैक्ट को प्रवाह के लिए मज़बूत साक्ष्य मानें और अंडरराइटिंग, धोखाधड़ी, विश्लेषण तथा किसी भी द्वितीयक उपयोग के लिए अपना सहमति रिकॉर्ड रखें।

क्या DPDP Act की Section 16 भुगतान डेटा के लिए RBI डेटा स्थानीयकरण को ढीला करती है?

नहीं। Section 16 प्रतिबंधित देशों को छोड़कर हस्तांतरण की अनुमति देती है, पर अन्य क़ानूनों के अंतर्गत कड़े संरक्षण लागू बने रहते हैं, जिनमें RBI की भुगतान डेटा भंडारण अपेक्षाएँ और आउटसोर्सिंग निर्देश शामिल हैं। भुगतान प्रणाली डेटा भारत में ही रहता है; अन्य व्यक्तिगत डेटा प्रलेखित आधार और Processor अनुबंध के साथ Section 16 के अंतर्गत जा सकता है।

संबंधित व्याख्याकार

• Significant Data Fiduciary (SDF) की व्याख्या

• DPDP Act के अंतर्गत Consent Manager क्या है

अगला क़दम

यदि आप कोई NBFC, लेंडिंग ऐप या भुगतान प्लेटफ़ॉर्म चलाते हैं और अपने ही उत्पादों के लिए बना RBI-से-DPDP अतिव्यापन मानचित्र, टकराव की स्थितियाँ और 90-दिवसीय योजना चाहते हैं, तो हमारा क्षेत्रीय Readiness Sprint यही काम एक निश्चित दायरे में करता है। हमारे सेवा पृष्ठ से एक स्कोपिंग बातचीत बुक करें।