संरचना
DPDP Act की Schedule of Penalties दीवानी दंडों की सीमा तय करती है। Act में कोई आपराधिक अपराध नहीं हैं — IT Act से जानबूझकर लिया गया प्रस्थान। सीमाएँ:
- ₹250 करोड़ — उचित सुरक्षा उपाय करने में विफलता (Section 8(5))
- ₹200 करोड़ — Board / Data Principal को उल्लंघन सूचना देने में विफलता (Section 8(6))
- ₹200 करोड़ — बच्चों-के-डेटा बाध्यताओं को पूरा करने में विफलता (Section 9)
- ₹150 करोड़ — Significant Data Fiduciary की अतिरिक्त बाध्यताओं की विफलता (Section 10)
- ₹50 करोड़ — किसी अन्य कर्तव्य की विफलता
- ₹10,000 — किसी Data Principal कर्तव्य की विफलता (Section 15) प्रति उदाहरण
Board इन्हें कैसे लागू करता है
Section 33 उन विषयों को सूचीबद्ध करती है जिन्हें Board दंड की मात्रा निर्धारित करते समय ध्यान में रखता है:
- अतिक्रमण की प्रकृति, गंभीरता, अवधि
- प्रभावित व्यक्तिगत डेटा का प्रकार और प्रकृति
- पुनरावृत्ति प्रकृति
- क्या अनुचित संवर्धन हुआ
- क्या स्वैच्छिक उपचार हुआ
- अतिक्रमणकर्ता पर अनुपातहीन प्रभाव
- जनता पर प्रभाव
सीमा ऊपरी छत है, फ़र्श नहीं। छोटे, कम-गंभीर अतिक्रमण छोटे दंड आकर्षित करते हैं।
संयोजन का प्रश्न
एक ही घटना से उत्पन्न अनेक अतिक्रमण अनेक दंड आकर्षित कर सकते हैं। बच्चों के डेटा से जुड़ा उल्लंघन, विलंबित अधिसूचना के साथ, किसी SDF द्वारा संसाधित, सुरक्षा अपर्याप्तताओं सहित — सिद्धांततः Sections 8(5), 8(6), 9 और 10 के अंतर्गत एक साथ दंड आकर्षित कर सकता है। अधिकतम सैद्धांतिक जोखिम: ₹800 करोड़।
जोखिम कैसे सीमित करें
वे कारक जो सबसे सीधे आपके नियंत्रण में हैं:
- उचित उपाय: Section 8(5) सुरक्षा की विफलता को दंडित करती है। एक प्रलेखित, साक्ष्य-समर्थित सुरक्षा कार्यक्रम प्रदर्शित करना (Rule 6 नियंत्रण कार्यान्वित, ऑडिट किए गए, समीक्षित) उल्लंघन होने पर भी जोखिम सीमित करता है।
- अधिसूचना अनुशासन: Section 8(6) ग़ैर-अधिसूचना को दंडित करती है। पूर्व-निर्मित प्लेबुक, पूर्व-मसौदा टेम्पलेट, नामित निर्णयकर्ता — सभी विलंबित या ग़ैर-अधिसूचना का जोखिम घटाते हैं।
- स्वैच्छिक उपचार: स्व-प्रकट अतिक्रमण, प्रलेखित उपचार के साथ, घटे हुए दंड आकर्षित करते हैं।
- बच्चों-के-डेटा कार्यक्रम: Section 9 सबसे ऊँची सीमाओं में से एक रखती है। सबसे अधिक प्रभाव वाला एकल निवेश है सत्यापन योग्य माता-पिता की सहमति प्रवाह तथा मार्केटिंग-सिस्टम बाल-बहिष्करण।
- वेंडर फ़्लो-डाउन: Section 8(2) आपको प्रोसेसर विफलताओं के लिए उत्तरदायी बनाती है। मज़बूत DPA और वेंडर-DDQ कार्यक्रम इसे सीमित करते हैं।
बोर्ड-पैक दृष्टिकोण
बोर्ड-स्तरीय रिपोर्टिंग के लिए, दंड जोखिम इस रूप में प्रस्तुत करें: अधिकतम सैद्धांतिक जोखिम (प्रासंगिक सीमाओं का योग) बनाम वर्तमान नियंत्रणों के बाद आपका अवशिष्ट जोखिम। प्रारूप के लिए Template 16 का उपयोग करें। तिमाहियों में अवशिष्ट जोखिम की प्रवृत्ति सबसे उपयोगी एकल मापदंड है।