अधिकांश टीमें अधिनियम को ग़लत क्यों पढ़ती हैं
DPDP Act, 2023 एक कर्तव्य-आधारित क़ानून है। यह बताता है कि एक Data Fiduciary को क्या करना चाहिए — सूचना देना, सहमति लेना, डेटा सुरक्षित रखना, अधिकारों पर प्रतिक्रिया देना, उल्लंघनों की रिपोर्ट करना। 13 नवंबर 2025 को अधिसूचित Rules बताते हैं कि उन कामों को कैसे करना है, और किस मानक पर।
अकेले Act पढ़ने से आपको सही सिद्धांत मिलते हैं पर ग़लत सूक्ष्मता। अकेले Rules पढ़ने से यांत्रिक विवरण मिलता है, पर वे सिद्धांत नहीं जो उस यांत्रिकी को बचाव-योग्य बनाते हैं।
सबसे महत्वपूर्ण जोड़ियाँ
यहाँ वे सात Section-Rule जोड़ियाँ हैं जो हर व्यवसायी को कंठस्थ होनी चाहिए:
1. Section 5 (सूचना) ↔ Rule 3 (सूचना की विषय-वस्तु)
Section 5 कहता है कि आपको सूचना देनी होगी। Rule 3 उसका स्वरूप और न्यूनतम विषय-वस्तु निर्दिष्ट करता है: व्यक्तिगत डेटा की मदवार सूची, प्रयोजनों की मदवार सूची, सहमति वापस लेने का लिंक, अधिकारों का प्रयोग करने का लिंक, Data Protection Board तक पहुँचने का रास्ता। Rule 3 के बिना आपकी सूचना 'अनुपालक' हो सकती है पर बेकार। दोनों के साथ, वह वास्तव में काम करती है।
2. Section 6 (सहमति) ↔ Rule 4 (Consent Manager पंजीकरण)
Section 6 सहमति का मानक तय करता है — स्वतंत्र, विशिष्ट, सूचित, बिना शर्त, स्पष्ट। Rule 4 यह नियंत्रित करता है कि Consent Managers (मध्यस्थों का एक नया तंत्र) DPBI के साथ कैसे पंजीकृत होते हैं। यदि आपका व्यवसाय मॉडल सहमति अवसंरचना से जुड़ता है — और कई fintech, AA-संबंधी या क्रॉस-प्लेटफ़ॉर्म व्यवसाय जुड़ते हैं — तो Rule 4 महत्वपूर्ण है।
3. Section 8(5)-(6) (सुरक्षा और उल्लंघन) ↔ Rules 6 और 7
Act कहता है कि आपको उचित सुरक्षा उपाय करने होंगे और व्यक्तिगत डेटा उल्लंघनों की सूचना Board (तथा प्रभावित Data Principals) को देनी होगी। Rule 6 सात सुरक्षा श्रेणियाँ निर्दिष्ट करता है — एन्क्रिप्शन, एक्सेस नियंत्रण, लॉगिंग, इत्यादि। Rule 7 उल्लंघन-अधिसूचना का प्रारूप और समय निर्दिष्ट करता है। मिलकर ये आपकी सुरक्षा-और-उल्लंघन आधाररेखा बनाते हैं।
4. Section 9 (बच्चे) ↔ Rule 10 (सत्यापन योग्य माता-पिता की सहमति)
Section 9 सत्यापन योग्य माता-पिता की सहमति के बिना बच्चों के डेटा के प्रसंस्करण को प्रतिबंधित करता है, तथा बच्चों की ट्रैकिंग, व्यवहार निगरानी या लक्षित विज्ञापन को प्रतिबंधित करता है। Rule 10 निर्दिष्ट करता है कि व्यवहार में 'सत्यापन योग्य' का अर्थ क्या है — और उत्तर है: स्व-घोषित आयु गेट नहीं। उपभोक्ता-सम्मुख सेवाओं के लिए पूरे ढाँचे में यह जोड़ी सबसे अधिक परिचालन-माँग वाली बाध्यता है।
5. Section 10 (SDF) ↔ Rules 12 और 13
Section 10 केंद्र सरकार को मात्रा, संवेदनशीलता, क्षेत्रीय जोखिम तथा अन्य मानदंडों के आधार पर Significant Data Fiduciaries नामित करने देता है। Rules 12-13 अतिरिक्त बाध्यताएँ निर्दिष्ट करते हैं: DPIAs, वार्षिक स्वतंत्र ऑडिट, बोर्ड-रिपोर्टिंग सहित भारत-स्थित DPO, आवधिक जोखिम आकलन। यदि आप योग्य हो सकते हैं, तो अभी तैयारी शुरू करें — अधिसूचना के बाद आपको संक्रमण अवधि नहीं मिलती।
6. Sections 11-14 (अधिकार) ↔ Rules 14 और 15
Act, Data Principals के लिए चार अधिकार बनाता है: पहुँच, सुधार, मिटाना, शिकायत निवारण। Rule 14 प्रतिक्रिया के लिए 90-दिन का SLA तय करता है। Rule 15 Data Protection Board तक अपील मार्ग को नियंत्रित करता है। परिचालन उपकरणों के बिना — DSAR पोर्टल, पहचान सत्यापन, सिस्टम मैपिंग — किसी भी सार्थक मात्रा पर SLA पूरा करना असंभव है।
7. Section 16 (सीमा-पार) ↔ SDFs के लिए Rule 13(4)
Section 16 वर्तमान में सीमा-पार हस्तांतरण की अनुमति देता है, सिवाय जहाँ केंद्र सरकार देश-प्रतिबंध अधिसूचना जारी करे। Rule 13(4) सरकार को यह अपेक्षा करने की अतिरिक्त छूट देता है कि SDFs का कुछ व्यक्तिगत डेटा भारत के भीतर ही रहे। डिफ़ॉल्ट खुला है; भविष्य सशर्त है। अपने प्रवाहों का मानचित्रण अभी करें।
पढ़ने का वह क्रम जो काम करता है
यदि आप इस ढाँचे में नए हैं, तो इस क्रम में पढ़ें:
- Act की Sections 4-9 (मूल कर्तव्य)
- Rules 3, 6, 7, 10, 14 (उन कर्तव्यों का परिचालन विवरण)
- Act की Section 10 + Rules 12-13 (SDF तत्परता)
- Act की Sections 27-28 (Data Protection Board)
- Schedule of Penalties (ग़लती की क़ीमत)
अभी क्या चरणबद्ध हो रहा है
Phase 1 अभी है: सूचना, सहमति, सुरक्षा, उल्लंघन रिपोर्टिंग और अधिकार ढाँचे पहले से परिचालन में होने चाहिए। Phase 2 — लगभग नवंबर 2026 में अपेक्षित — Consent Manager तंत्र को सक्रिय करता है। Phase 3, 13 मई 2027 को, मूल बाध्यताएँ लाता है जिनमें SDF ट्रिगर, पूर्ण शिकायत और ऑडिट तंत्र, तथा दंड प्रवर्तन की औपचारिक शुरुआत शामिल है।
क़ानून को साथ पढ़ें। परिचालन को साथ बनाएँ। Phase 3 की प्रतीक्षा न करें।