हर अधिसूचना, हर नियम, हर संकेत जो मायने रखता है।
DPDP विकास का एक चालू लॉग — अधिसूचनाएँ, मसौदा नियम, प्रवर्तन संकेत — व्यवसायी निहितार्थ के साथ स्पष्ट किया गया।
अब तक DPDP समयरेखा — और आगे क्या है।
DPDP अधिनियम, 2023 को राष्ट्रपति की स्वीकृति मिली
संसद DPDP विधेयक, 2023 पारित करती है; राष्ट्रपति स्वीकृति देते हैं। अधिनियम किताबों पर मौजूद है लेकिन नियमों के बिना इसका कोई परिचालन बल नहीं है।
MeitY द्वारा DPDP नियम, 2025 अधिसूचित
MeitY G.S.R. 846(E) के माध्यम से DPDP नियम, 2025 अधिसूचित करता है। बाईस नियम नोटिस सामग्री, सहमति-प्रबंधक पंजीकरण, सुरक्षा उपाय, उल्लंघन सूचना, बच्चों की सहमति, प्रतिधारण डिफ़ॉल्ट, SDF दायित्व और बोर्ड प्रक्रियाओं को कवर करते हैं। सात अनुसूचियाँ संलग्न हैं।
चरण 1 — प्रक्रियात्मक प्रावधान प्रारंभ
प्रक्रियात्मक प्रावधानों का एक सीमित सेट तत्काल प्रभावी होता है: DPBI गठन और प्रक्रियाएँ, TDSAT को अपीलीय नियम, कुछ परिभाषाएँ, नियम-निर्माण शक्ति, और उल्लंघन सूचना का वहन। मूलभूत कर्तव्य स्थगित रहते हैं।
चरण 2 — सहमति प्रबंधक ढाँचा अपेक्षित
नियम 4 (सहमति प्रबंधक पंजीकरण) और पहली अनुसूची अधिसूचना से ~12 महीने बाद प्रारंभ होने की उम्मीद है, जो पंजीकृत मध्यस्थों को प्रत्ययियों में सहमति प्रबंधित करने में सक्षम बनाती है।
चरण 3 — मूलभूत दायित्व दृढ़ होते हैं
नोटिस और सहमति (S.5–6), वैध उपयोग (S.7), प्रत्ययी कर्तव्य (S.8), बच्चे (S.9), SDF दायित्व (S.10), डेटा प्रिंसिपल अधिकार (S.11–14) और दंड की पूर्ण अनुसूची लागू होती है। वास्तविक प्रवर्तन शुरू होता है।
हाल के विकास और आपके लिए उनका क्या अर्थ है।
DPDP नियम, 2025 — चरणबद्ध प्रारंभ की पुष्टि
G.S.R. 846(E) 22 नियमों को अस्तित्व में लाता है लेकिन प्रारंभ को एक चरणबद्ध अनुसूची तक स्थगित करता है। प्रक्रियात्मक प्रावधान तत्काल प्रभावी होते हैं; सहमति प्रबंधक और मूलभूत दायित्व अगले 9 महीनों में अनुसरण करते हैं।
13 मई 2027 तक मूलभूत कर्तव्यों के लाइव होने की योजना बनाएँ। RoPA, DSAR पोर्टल, वेंडर सुधार और सुरक्षा उन्नयन 9–12 महीने के प्रयास हैं — इन्हें नवीनतम Q1 FY26 में शुरू करें।
दंड की अनुसूची — केवल-दीवानी, प्रति उल्लंघन ₹250 Cr सीमा
₹250 Cr (सुरक्षा), ₹200 Cr (उल्लंघन-अधिसूचना + बच्चे), ₹150 Cr (SDF) और ₹50 Cr (कैच-ऑल) की सीमाओं के साथ केवल-दीवानी प्रवर्तन। प्रति-उदाहरण — कई घटनाएँ संयोजित होती हैं। अधिनियम के तहत कोई आपराधिक दायित्व नहीं।
बोर्ड-स्तरीय जोखिम रिपोर्टिंग को संशोधित जोखिम मॉडलिंग की आवश्यकता है। समग्र जोखिम तेज़ी से गुणित हो सकता है — इसे अगली जोखिम-समिति बैठक में मात्रात्मक करें।
उल्लंघन सूचना — बोर्ड को "बिना देरी" + प्रभावित प्रिंसिपल
नियम 7 एक दो-ट्रैक उल्लंघन सूचना को संहिताबद्ध करता है: निर्धारित सामग्री के साथ DPBI को "बिना देरी", और प्रभावित डेटा प्रिंसिपल को यथाशीघ्र संभव। स्वरूप, सामग्री और चैनल निर्धारित हैं।
"बिना देरी" एक असामान्य रूप से कठोर मानक है — संभवतः घंटे, दिन नहीं। चरण 3 से पहले स्पष्ट गंभीरता गेट के साथ एक 72-घंटे उल्लंघन रनबुक स्थापित करें।
बच्चे — सत्यापन-योग्य माता-पिता सहमति स्टैक आवश्यक
नियम 10 बच्चों के डेटा को संसाधित करने से पहले पहचान-सत्यापित माता-पिता की सहमति की आवश्यकता रखता है, और सत्यापन कि माता-पिता वास्तव में माता-पिता या अभिभावक हैं। स्व-घोषित आयु गेट पर्याप्त नहीं हैं। बच्चों की व्यवहार निगरानी और लक्षित विज्ञापन वर्जित हैं।
यदि आपके पास किसी भी पैमाने पर 18-से-कम उपयोगकर्ता हैं, तो एक वास्तविक सत्यापन स्टैक (DigiLocker, Aadhaar ऑफ़लाइन, हाइब्रिड) बनाने की इंजीनियरिंग महत्वपूर्ण है। सत्यापन-योग्य माता-पिता सहमति प्रवाह टेम्पलेट देखें।
प्रतिधारण डिफ़ॉल्ट — उच्च-मात्रा संस्थाओं के लिए तीसरी अनुसूची
तीसरी अनुसूची के साथ नियम 8 ई-कॉमर्स (>2 करोड़ उपयोगकर्ता), ऑनलाइन गेमिंग (>50 लाख उपयोगकर्ता) और सोशल मीडिया (>2 करोड़ उपयोगकर्ता) के लिए प्रतिधारण डिफ़ॉल्ट निर्धारित करता है: अंतिम गतिविधि से तीन वर्ष, 48-घंटे पूर्व-विलोपन सूचना के साथ।
किसी भी सीमा को पार करें और प्रतिधारण एक मूलभूत कर्तव्य है — नीति नहीं। पूर्व-विलोपन अधिसूचना अवसंरचना (ईमेल/SMS/इन-ऐप) एक वास्तविक इंजीनियरिंग वितरण है।
SDF वर्गीकरण — सबसे महत्वपूर्ण लंबित अधिसूचना
धारा 10 अधिसूचित वर्गों को DPIA चलाने, आवधिक ऑडिट, बोर्ड को रिपोर्ट करने वाले भारत-निवासी DPO नियुक्त करने, और अतिरिक्त उपाय करने के लिए बाध्य करती है। पहली अधिसूचनाएँ 2026 में अपेक्षित हैं और पकड़े गए लोगों के लिए दायरे को भौतिक रूप से विस्तारित करेंगी।
अभी एक आंतरिक SDF-संभावना मूल्यांकन चलाएँ। यदि मात्रा + संवेदनशीलता + क्षेत्रीय जोखिम आपको सीमा के निकट रखता है, तो अधिसूचना आने से पहले DPIA और ऑडिट कार्यक्रम का आकार तय करना शुरू करें।
हमारी वॉचलिस्ट पर छह चीज़ें।
पहली SDF सूची
महत्वपूर्ण डेटा प्रत्ययी के रूप में नामित वर्गों की सरकार की पहली सूची। संभावित: बड़ी फिनटेक, ई-कॉमर्स, सोशल-मीडिया और गेमिंग, और बड़ी मात्रा में बच्चों/संवेदनशील डेटा संसाधित करने वाली संस्थाएँ।
पहला सीमा-पार प्रतिबंध
निर्दिष्ट देशों को स्थानांतरण प्रतिबंधित करने वाली एक धारा 16 अधिसूचना कुछ डेटा वर्गों के लिए डिफ़ॉल्ट-अनुमत व्यवस्था को एक सशर्त व्यवस्था में बदल देगी।
DPBI अध्यक्ष नियुक्ति
नियम 16 के तहत अध्यक्ष और सदस्यों का पदनाम — बोर्ड द्वारा किसी भी प्रवर्तन कार्रवाई के लिए एक पूर्व-आवश्यकता।
पहला न्यायनिर्णयन आदेश
DPBI का पहला प्रकाशित आदेश दंड मात्रा, प्रक्रिया और प्रवर्तन प्राथमिकताओं के लिए स्वर निर्धारित करेगा।
क्षेत्रीय ओवरले स्पष्टीकरण
DPDP RBI, IRDAI, SEBI और ABDM क्षेत्रीय नियमों के साथ कैसे समन्वय करता है — विशेष रूप से प्रतिधारण और स्थानीयकरण पर।
सहमति प्रबंधक रजिस्ट्री लाइव होती है
नियम 4 और पहली अनुसूची के तहत पहले सहमति प्रबंधकों का पंजीकरण, और उन्हें जो तकनीकी मानक पूरे करने होंगे।
हम कहाँ देखते हैं।
MeitY
DPDP नियमों, अनुसूचियों और अधिसूचनाओं का प्राथमिक प्रकाशक।
meity.gov.inभारत का राजपत्र
आधिकारिक राजपत्र जहाँ हर औपचारिक अधिसूचना प्रकाशित होती है, जिसमें G.S.R. 846(E) शामिल है।
egazette.nic.inIndia Code
केंद्रीय अधिनियमों का आधिकारिक भंडार, जिसमें DPDP अधिनियम, 2023 (अधिनियम संख्या 22, 2023) शामिल है।
indiacode.nic.inTDSAT
धारा 29 के तहत DPBI आदेशों के लिए अपीलीय मंच। पीठ पदनाम और पहली अपीलों पर नज़र रखें।
tdsat.gov.inPRS Legislative Research
भारतीय विधान, बहसों और अधिनियम पर टिप्पणी का स्वतंत्र विश्लेषण।
prsindia.orgCERT-In
IT अधिनियम 2000 के तहत अलग साइबर-घटना रिपोर्टिंग व्यवस्था। DPDP उल्लंघन सूचना समानांतर चलती है।
cert-in.org.inThe DPDP Update प्राप्त करें — पाक्षिक, कोई विपणन नहीं।
हर दूसरे शुक्रवार एक छोटा नोट: राजपत्र अधिसूचनाएँ, DPBI आदेश जब वे आते हैं, क्षेत्रीय मार्गदर्शन, और कार्यान्वयन निहितार्थ। कोई अपसेल नहीं — केवल नियामक संकेत।