अंतिम समीक्षा: 27 अगस्त 2026। आधार: DPDP Act, 2023 और DPDP Rules, 2025 (नवंबर 2025 में अधिसूचित)।
वर्चुअल DPO (vDPO) एक आउटसोर्स किया गया, नामित डेटा संरक्षण अधिकारी होता है जो आपके संगठन के लिए DPDP Act की जवाबदेही भूमिका पूर्णकालिक वेतन के बजाय मासिक रिटेनर पर निभाता है। Section 10 के अंतर्गत केवल Significant Data Fiduciaries को भारत में स्थित ऐसा DPO नियुक्त करना होता है जो बोर्ड को रिपोर्ट करे, परंतु प्रत्येक fiduciary को Section 8 के अंतर्गत शिकायतों हेतु एक संपर्क व्यक्ति प्रकाशित करना होगा, और अधिकांश मूलभूत दायित्व मई 2027 में प्रवर्तनीय हो जाते हैं। यह पृष्ठ बताता है कि vDPO हर महीने क्या करता है, इन-हाउस बनाम वर्चुअल, संकेतात्मक INR शुल्क-श्रेणियाँ, 30-दिन की ऑनबोर्डिंग योजना, और वह स्थिति जब अकेला vDPO पर्याप्त नहीं होता।
वर्चुअल DPO India की सेवा वास्तव में क्या कवर करती है?
वर्चुअल DPO कोई हेल्पलाइन या दस्तावेज़-संग्रह नहीं है। यह एक नामित व्यक्ति है, जिसके पीछे एक छोटी टीम होती है, जो DPDP Act के अंतर्गत DPO की भूमिका निभाता है और जिसे आपके बोर्ड, आपके ग्राहकों और यदि आवश्यक हो तो Data Protection Board of India के सामने रखा जा सकता है।
Section 10 एक Significant Data Fiduciary (SDF) से अपेक्षा करती है कि वह भारत में स्थित ऐसा DPO नियुक्त करे जो fiduciary का प्रतिनिधित्व करे, बोर्ड के प्रति उत्तरदायी हो और शिकायत निवारण हेतु संपर्क बिंदु के रूप में कार्य करे। Section 8 प्रत्येक fiduciary से — SDF हो या न हो — अपेक्षा करती है कि वह DPO के, या Data Principals के प्रश्नों का उत्तर देने में सक्षम किसी व्यक्ति के संपर्क विवरण प्रकाशित करे। व्यवहार में, एक ग़ैर-SDF को भी ऐसा सक्षम व्यक्ति चाहिए जिसका नाम उसकी गोपनीयता सूचना पर हो और जो प्रकाशित शिकायत-अवधि के भीतर उत्तर दे — जिसे Rules 90 दिन तक सीमित करते हैं।
एक vDPO दोनों भूमिकाएँ निभाता है: SDF के लिए वैधानिक अधिकारी, और शेष सबके लिए प्रकाशित संपर्क व्यक्ति तथा कार्यक्रम-स्वामी। यदि आप अनिश्चित हैं कि आप किस श्रेणी में आते हैं, तो हमारा SDF वर्गीकरण व्याख्याता और हमारे टूल्स पृष्ठ पर उपलब्ध SDF Classifier उन कारकों को समझाते हैं जिन पर केंद्र सरकार के विचार करने की अपेक्षा है।
vDPO महीने-दर-महीने क्या करता है
रिटेनर का मूल्य उसकी लय में है। एक सामान्य चक्र इस प्रकार दिखता है:
| आवृत्ति | गतिविधि | आपको मिलने वाला परिणाम |
|---|---|---|
| साप्ताहिक | व्यक्तिगत डेटा को छूने वाले नए प्रसंस्करण, विक्रेता ऑनबोर्डिंग, अभियानों और उत्पाद-परिवर्तनों की समीक्षा; अधिकार तथा शिकायत क़तार (Sections 11 से 14) | आगे बढ़ें / सशर्त / रोकें — सलाह अभिलेखित; आपकी प्रकाशित समय-सीमा के भीतर उत्तर |
| मासिक | प्रसंस्करण के अभिलेख, सहमति रजिस्टर और सूचना की समीक्षा; 'वैध अनुबंध' की अपेक्षा के विरुद्ध processor अनुबंध की समीक्षा; एक प्रशिक्षण सत्र | अद्यतन रजिस्टर, स्वामियों सहित सुधार-सूची, उपस्थिति अभिलेख |
| त्रैमासिक | बोर्ड या ऑडिट समिति की रिपोर्ट; Rules के विरुद्ध सुरक्षा उपायों की जाँच (एन्क्रिप्शन, पहुँच नियंत्रण, एक वर्ष तक रखे गए लॉग, बैकअप) | vDPO द्वारा प्रस्तुत बोर्ड-पैक अनुभाग; IT या vCISO हेतु अंतर-सूची |
| वार्षिक | उच्च-जोखिम प्रसंस्करण हेतु DPIA का नवीनीकरण; ऑडिट तैयारी (SDFs के लिए अनिवार्य) | DPIA रिपोर्टें, ऑडिटर के साथ समन्वय |
| आवश्यकतानुसार | उल्लंघन-प्रतिक्रिया: प्रभावित Data Principals और Board को बिना विलंब सूचित करना, 72 घंटे के भीतर विस्तृत रिपोर्ट, तथा जहाँ लागू हो वहाँ CERT-In को 6-घंटे की रिपोर्टिंग | घटना फ़ाइल, अधिसूचनाएँ, घटना-पश्चात समीक्षा |
उल्लंघन-प्रतिक्रिया वह मद है जिसे अधिकांश ग्राहक कम आँकते हैं; हमारा 72-घंटे उल्लंघन-प्रतिक्रिया लेख इस क्रम को समझाता है।
DPO as a service India: यह इन-हाउस नियुक्ति से किस प्रकार तुलना करती है
हम नियुक्त करें या रिटेनर पर रखें? यह तुलना उसी को दर्शाती है जो हम भारतीय मध्य-बाज़ार कंपनियों में व्यवहार में देखते हैं।
| कारक | इन-हाउस DPO | वर्चुअल DPO (DPO as a service) |
|---|---|---|
| लागत | पूर्णकालिक वरिष्ठ-प्रबंधन पैकेज, साथ में लाभ, प्रशिक्षण और प्रमाणन | मासिक रिटेनर, दायरे के अनुसार संकेतात्मक रूप से Rs 60,000 से Rs 4,00,000; कोई रोज़गार-संबंधी अतिरिक्त भार नहीं |
| स्वतंत्रता | आंतरिक रूप से रिपोर्ट करता है; करियर संबंधी प्रोत्साहन निष्कर्षों को नरम कर सकते हैं | संविदात्मक रूप से स्वतंत्र; बोर्ड को रिपोर्ट करता है; अप्रिय सलाह देना आसान |
| कवरेज | एक व्यक्ति, एक कौशल-समुच्चय; छुट्टी और नौकरी छोड़ने से अंतराल बनते हैं | नामित प्रमुख, साथ में क़ानून, सुरक्षा और ऑडिट की सहायक टीम |
| तैयारी में लगने वाला समय | भर्ती में 3 से 6 महीने, फिर व्यवसाय समझने में 2 से 3 महीने | संरचित ऑनबोर्डिंग के साथ 30 दिनों में उत्पादक |
| निरंतरता | ज्ञान व्यक्ति के साथ चला जाता है | रजिस्टर, प्लेबुक और निर्णय आपके पास रहते हैं; प्रमुख को टीम से बदला जा सकता है |
| सर्वाधिक उपयुक्त | बहुत बड़े SDFs, बहु-इकाई समूह, नियामक के साथ गहन संपर्क | स्टार्टअप से लेकर मध्य-बाज़ार तक, एकल-इकाई SDFs, तथा वे कंपनियाँ जिन्हें शीघ्र एक बचाव-योग्य कार्यक्रम चाहिए |
दो सावधानियाँ। पहली, vDPO को वास्तव में Section 10 की पूर्ति करनी चाहिए: भारत में स्थित, fiduciary का प्रतिनिधित्व करने हेतु सशक्त, और बोर्ड को रिपोर्ट करने वाला। किसी विदेशी फ़र्म का दूरस्थ सलाहकार किसी SDF के लिए यह कसौटी पूरी नहीं करता। दूसरी, DPO की भूमिका fiduciary के दायित्व को कम नहीं करती। Schedule के जुर्माने — सुरक्षा उपायों में विफलता पर Rs 250 crore तक और SDF दायित्वों पर Rs 150 crore तक — कंपनी पर लगते हैं, अधिकारी पर नहीं।
आउटसोर्स किया गया डेटा संरक्षण अधिकारी: दायरे में क्या है और क्या नहीं
अधिकांश निराशाएँ रिटेनर के दायरे से ही जन्म लेती हैं, इसलिए हम उसे स्पष्ट रूप से रखते हैं।
दायरे में। नामित DPO या संपर्क व्यक्ति के रूप में कार्य करना। प्रसंस्करण के अभिलेख, सहमति रजिस्टर और विक्रेता रजिस्टर का स्वामित्व। Section 5 की सूचनाओं और Section 6 के सहमति प्रवाहों को स्वीकृति देना, जिसमें ऐसी वापसी शामिल है जो सहमति देने जितनी ही आसान हो। Section 7 के legitimate uses पर, विशेषकर रोज़गार प्रयोजनों पर, सलाह देना। अधिकार-अनुरोधों और शिकायतों का प्रबंधन। DPIA चक्र चलाना और SDFs के लिए स्वतंत्र डेटा ऑडिटर के साथ समन्वय। त्रैमासिक बोर्ड रिपोर्टिंग। उल्लंघन-प्रतिक्रिया का नेतृत्व। Board के मार्गदर्शन पर नज़र रखना और उसे कार्रवाई में बदलना।
दायरे से बाहर, जब तक अलग से सहमति न हो। ख़ाली पन्ने से पूरा प्रारंभिक दस्तावेज़-समुच्चय तैयार करना (वह एक Readiness Sprint है)। सुरक्षा नियंत्रणों का क्रियान्वयन; vDPO विनिर्देश देता है, IT या vCISO उसे लागू करता है। वैधानिक संपर्क-बिंदु भूमिका से आगे बढ़कर Board के समक्ष विरोधात्मक प्रतिनिधित्व। समूहों के लिए जटिल Section 16 सीमा-पार संरचना-निर्माण। सहमति प्लेटफ़ॉर्मों पर इंजीनियरिंग कार्य, यद्यपि vDPO डिज़ाइन की समीक्षा करता है।
जहाँ अंतर-आकलन लंबा हो, वहाँ पहले एक निश्चित-दायरे वाला स्प्रिंट चलाएँ, फिर स्थिति बनाए रखने के लिए रिटेनर। बहुत कम से आरंभ करने वाली कंपनियाँ अक्सर हमारे DPDP Starter Templates से मसौदा-कार्य का रास्ता छोटा करती हैं: गोपनीयता सूचनाएँ, एक उल्लंघन रनबुक और processor समझौते, जिन्हें vDPO फिर अनुकूलित करता है।
DPDP की DPO अपेक्षा: किसे नियुक्त करना होगा और किसे संपर्क प्रकाशित करना होगा
स्तर एक: Significant Data Fiduciaries
Section 10 केंद्र सरकार को किसी भी fiduciary या fiduciaries के वर्ग को SDF के रूप में अधिसूचित करने देती है। एक SDF को भारत-स्थित ऐसा DPO नियुक्त करना होगा जो बोर्ड के प्रति उत्तरदायी हो और शिकायत-संपर्क के रूप में कार्य करे, एक स्वतंत्र डेटा ऑडिटर नियुक्त करना होगा, और आवधिक DPIAs करने होंगे। SDF दायित्वों में विफलता पर Rs 150 crore तक का जुर्माना है।
स्तर दो: प्रत्येक अन्य Data Fiduciary
Section 8 सभी fiduciaries पर लागू होती है: यदि DPO नियुक्त किया गया है तो उसका, अन्यथा Data Principals के प्रश्नों का उत्तर देने में सक्षम किसी व्यक्ति का संपर्क प्रकाशित करें, और एक प्रभावी शिकायत तंत्र चलाएँ। आप जिस व्यक्ति को प्रकाशित करते हैं, वह पहुँच-योग्य, सक्षम और किसी प्रक्रिया द्वारा समर्थित होना चाहिए।
समय-सीमा
चरणबद्ध प्रवर्तन के अंतर्गत, DPO और SDF दायित्व अधिसूचना के 18 महीने बाद, मई 2027 में प्रवर्तनीय हो जाते हैं। हमारे आकलन में, अंतिम तिमाही तक प्रतीक्षा करना एक भूल है: SDF अधिसूचनाएँ कम पूर्व-सूचना के साथ आ सकती हैं, और प्रवर्तन से एक माह पहले नियुक्त किया गया DPO पर्यवेक्षण का कोई अभिलेख नहीं दिखा सकता। प्रवर्तन-चरण व्याख्याता समय-रेखा प्रस्तुत करता है, और Act and Rules Explorer आपको Sections 8 और 10 को Rules के साथ-साथ पढ़ने देता है।
DPO लागत भारत: संकेतात्मक शुल्क-श्रेणियाँ
सभी आँकड़े संकेतात्मक हैं, श्रेणियों के रूप में व्यक्त हैं, और GST को छोड़कर हैं। ये मान्यता-प्राप्त गोपनीयता और ऑडिट योग्यताओं वाले नामित प्रमुख सहित रिटेनर के भारतीय बाज़ार को दर्शाते हैं। सस्ते प्रस्ताव प्रायः साझा हेल्पडेस्क वाली दस्तावेज़-सदस्यता होते हैं, जो किसी SDF के लिए Section 10 की पूर्ति नहीं करते।
| श्रेणी | विशिष्ट प्रोफ़ाइल | संकेतात्मक मासिक रिटेनर (INR) | संख्या किससे तय होती है |
|---|---|---|---|
| Starter | ग़ैर-SDF, एकल इकाई, 200 से कम कर्मचारी, एक या दो उत्पाद, अधिकतर भारतीय ग्राहक | Rs 60,000 से Rs 1,25,000 | संपर्क-व्यक्ति भूमिका, रजिस्टर, अधिकार-प्रबंधन, मासिक समीक्षा, त्रैमासिक नेतृत्व-अद्यतन |
| Growth | ग़ैर-SDF या SDF उम्मीदवार, 200 से 1,000 कर्मचारी, कई उत्पाद या चैनल, कुछ सीमा-पार प्रसंस्करण | Rs 1,25,000 से Rs 2,50,000 | बोर्ड रिपोर्टिंग, विक्रेता कार्यक्रम, DPIA चक्र, उल्लंघन-तैयारी, प्रशिक्षण |
| विनियमित या SDF | अधिसूचित SDF, या RBI, IRDAI अथवा SEBI ढाँचों के अंतर्गत विनियमित इकाई, या बड़े पैमाने पर स्वास्थ्य, बच्चों या बायोमेट्रिक डेटा | Rs 2,50,000 से Rs 4,00,000 और उससे अधिक | वैधानिक DPO भूमिका, ऑडिट समन्वय, RBI Digital Lending Guidelines या IRDAI की सूचना एवं साइबर सुरक्षा दिशानिर्देश जैसी क्षेत्रीय परतें, उच्च घटना-संभावना |
एकमुश्त ऑनबोर्डिंग सामान्यतः अलग से ली जाती है — दस्तावेज़ीकरण की परिपक्वता के अनुसार संकेतात्मक रूप से Rs 1,50,000 से Rs 6,00,000 — और उसमें नीचे दी गई 30-दिन की योजना शामिल होती है। सहमत वार्षिक सीमा से आगे की उल्लंघन-प्रतिक्रिया समय और सामग्री के आधार पर बिल की जाती है। vCISO के साथ बंडल किया गया vDPO प्रायः दो अलग रिटेनरों से सस्ता पड़ता है।
तुलना के लिए, किसी महानगर में एक वरिष्ठ इन-हाउस गोपनीयता प्रमुख की लागत संकेतात्मक रूप से Rs 30 lakh से Rs 60 lakh प्रति वर्ष (सर्व-समावेशी) होती है, और यह टूलिंग तथा भर्ती-चक्र से पहले है। 1,000 से कम कर्मचारियों वाली अधिकांश कंपनियों के लिए रिटेनर अधिक किफ़ायती और अधिक बचाव-योग्य विकल्प है। कितना अभिशासन ख़रीदना है, यह तय करने से पहले हमारे टूल्स पृष्ठ पर Penalty Exposure Estimator से अपने जोखिम की जाँच करें।
30 दिनों में vDPO की ऑनबोर्डिंग
यह वह योजना है जो हम चलाते हैं।
दिन 1 से 7: नियुक्ति। vDPO की नियुक्ति या संपर्क व्यक्ति के नामकरण हेतु बोर्ड प्रस्ताव। प्रत्येक कार्य-विभाग के साथ आरंभिक बैठक और मौजूदा सूचनाओं, अनुबंधों तथा सिस्टम इन्वेंट्री का संग्रह। वेबसाइट और गोपनीयता सूचना पर संपर्क विवरण का प्रकाशन।
दिन 8 से 15: डेटा मैपिंग और अंतर-आकलन। प्रसंस्करण के अभिलेख बनाएँ: कौन-सा डेटा, किस प्रयोजन से, किस वैध आधार पर (सहमति या Section 7 का कोई legitimate use), कहाँ संग्रहीत, कौन-से processors, कितने समय तक रखा गया। अंतरों को गंभीरता के अनुसार अंक दिए जाते हैं। SDF संभावना का प्रारंभिक आकलन।
दिन 16 से 23: त्वरित सुधार। Section 5 की सूचना प्रकाशित करें या सुधारें। दिखाई देने वाली सहमति-समस्याएँ ठीक करें: पहले से टिक किए गए बॉक्स, बंडल की गई सहमति, वापसी के अनुपस्थित रास्ते। प्रकाशित प्रतिक्रिया-अवधि के साथ शिकायत मेलबॉक्स और अधिकार-लॉग स्थापित करें। डेटा-मात्रा के अनुसार शीर्ष दस विक्रेताओं को processor परिशिष्ट जारी करें। उल्लंघन-उन्नयन और CERT-In रिपोर्टिंग मार्गों की पुष्टि करें।
दिन 24 से 30: अभिशासन। मई 2027 तक क्रमबद्ध रोडमैप के साथ पहली नेतृत्व रिपोर्ट। मासिक लय, आंतरिक प्रभारी और उन्नयन मैट्रिक्स पर सहमति। उच्च-जोखिम प्रसंस्करण के लिए DPIAs निर्धारित करें, विशेषकर Section 9 के अंतर्गत बच्चों के डेटा या HR में बायोमेट्रिक उपस्थिति के लिए।
30वें दिन तक आपके पास एक नामित अधिकारी, एक प्रकाशित संपर्क, एक प्रसंस्करण रजिस्टर, स्वामियों सहित एक अंतर-सूची और एक ऐसा बोर्ड होता है जिसने योजना देख ली है।
जब वर्चुअल DPO पर्याप्त नहीं होता
जहाँ अकेला vDPO झूठा आश्वासन देगा, वहाँ हम सेवा का दायरा फिर से तय करते हैं। यदि इनमें से किसी में आप ख़ुद को पहचानते हैं, तो रिटेनर से आगे की योजना बनाएँ।
आपके पास कोई सुरक्षा आधार-रेखा नहीं है। पहुँच नियंत्रण, लॉगिंग, बैकअप और एन्क्रिप्शन के बिना, vDPO ऐसे निष्कर्ष लिखेगा जिन्हें कोई बंद नहीं कर सकता। Rules इन उपायों को सूचीबद्ध करते हैं और इनमें विफलता का जुर्माना Schedule में सबसे अधिक है। vDPO के साथ एक Cybersecurity Posture Check और एक क्रियान्वयन-स्वामी जोड़ें।
आप नियामक-सम्मुख संचालन वाले बड़े SDF हैं। नियमित पर्यवेक्षी संपर्क वाले बैंक, बीमाकर्ता, बड़े ऋण-मंच या अस्पताल समूह को सामान्यतः एक इन-हाउस DPO चाहिए जिसे एक आउटसोर्स टीम सहयोग दे, न कि इसका उल्टा। ऐसे में vDPO उप-अधिकारी, ऑडिटर-समन्वयक या भर्ती के दौरान अंतरिम अधिकारी के रूप में अच्छा काम करता है।
आपका समूह कई अधिकार-क्षेत्रों में फैला है। vDPO भारत की भूमिका सँभाल सकता है, परंतु GDPR और DPDP दोनों के अधीन समूह को एक वैश्विक गोपनीयता प्रमुख चाहिए जो टकरावों का स्वामित्व ले — जैसे GDPR की एक-माह की DSAR अवधि बनाम DPDP की प्रकाशित अवधि, या GDPR का legitimate interests संतुलन जिसका DPDP में कोई समकक्ष नहीं है।
नेतृत्व को एक नाम चाहिए, एक कार्य नहीं। जिस vDPO को सूचना, पहुँच और अधिकार न दिए जाएँ, वह सुरक्षा नहीं, दायित्व है। पहले इसे ठीक करें।
अक्सर पूछे जाने वाले प्रश्न
क्या वर्चुअल DPO, DPDP Act के अंतर्गत क़ानूनी रूप से मान्य है?
हमारे आकलन में, हाँ। Section 10 अपेक्षा करती है कि किसी SDF का DPO भारत में स्थित हो, fiduciary का प्रतिनिधित्व करे, बोर्ड को रिपोर्ट करे और शिकायत-संपर्क के रूप में कार्य करे; यह कर्मचारी होने की अपेक्षा नहीं करती। इन शर्तों को पूरा करने वाला, विधिवत नियुक्त और स्वतंत्र vDPO इस अपेक्षा की पूर्ति करता है, और ग़ैर-SDFs के लिए Section 8 का संपर्क-व्यक्ति कर्तव्य तो और भी स्पष्ट रूप से पूरा होता है।
यदि मेरी कंपनी Significant Data Fiduciary नहीं है, तो क्या मुझे DPO चाहिए?
वैधानिक DPO नहीं, परंतु आपको ऐसे व्यक्ति का संपर्क प्रकाशित करना होगा जो Data Principals के प्रश्नों का उत्तर दे सके, और एक प्रभावी शिकायत तंत्र चलाना होगा। उस व्यक्ति में DPO जैसे ही कौशल चाहिए, और अभी नियुक्ति कर लेना आपको बाद की किसी SDF अधिसूचना के लिए बिना नए सिरे से शुरू किए तैयार रखता है।
भारत में वर्चुअल DPO की लागत कितनी है?
संकेतात्मक रूप से, मासिक रिटेनर एक छोटे ग़ैर-SDF के लिए लगभग Rs 60,000 से लेकर किसी अधिसूचित SDF या विनियमित इकाई के लिए Rs 4,00,000 और उससे अधिक तक होते हैं, GST को छोड़कर। ऑनबोर्डिंग सामान्यतः Rs 1,50,000 से Rs 6,00,000 होती है। ये बाज़ार-श्रेणियाँ हैं, कोई उद्धरण नहीं।
यदि रिटेनर अवधि के दौरान हमारे यहाँ उल्लंघन हो जाए तो क्या होगा?
vDPO प्रतिक्रिया का नेतृत्व करता है: प्रभावित Data Principals और Data Protection Board को बिना विलंब सूचित करना, Rules के अंतर्गत 72 घंटे के भीतर विस्तृत रिपोर्ट दाख़िल करना, और किसी भी CERT-In 6-घंटे रिपोर्टिंग का समन्वय करना। वार्षिक सीमा के भीतर के घंटे शामिल हैं; विस्तारित फ़ोरेंसिक या क़ानूनी कार्य का दायरा अलग से तय होता है।
vDPO कितनी शीघ्रता से कार्यशील हो सकता है?
अधिकारी की नियुक्ति और प्रकाशन पहले सप्ताह में हो जाता है, और प्रसंस्करण रजिस्टर, अंतर-आकलन तथा शिकायत प्रक्रिया 30वें दिन तक स्थापित हो जाती है। शून्य से आरंभ करने वाली कंपनियाँ सामान्यतः पहले महीने के साथ एक Readiness Sprint भी जोड़ती हैं।
संबंधित व्याख्याता
अगला क़दम
यदि आपको मई 2027 से पहले एक नामित, भारत-स्थित डेटा संरक्षण अधिकारी या एक प्रकाशित संपर्क व्यक्ति चाहिए, तो सबसे तेज़ मार्ग है एक छोटी स्कोपिंग कॉल, जिसमें हम आपके डेटा, क्षेत्र और SDF संभावना के अनुसार रिटेनर का आकार तय करते हैं। /services पर vDPO स्कोपिंग कॉल बुक करें और हम पाँच कार्य-दिवसों के भीतर लिखित दायरा तथा संकेतात्मक शुल्क भेज देंगे।