DPDP ആക്ടും റൂളുകളും മനസ്സിലാക്കൽ — ലളിതമായ ഭാഷയിൽ.

ഇന്ത്യയുടെ ഡിജിറ്റൽ യുഗത്തിന്റെ ഭൂരിഭാഗവും, വ്യക്തിഗത ഡാറ്റ ഭരിച്ചിരുന്നത് ഒരൊറ്റ, പഴകിയ ഉപകരണമായിരുന്നു: ഇൻഫർമേഷൻ ടെക്നോളജി ആക്ട്, 2000, 2011-ലെ SPDI റൂളുകൾ പിന്തുണച്ചത് — സ്മാർട്ട്ഫോണുകൾ, സോഷ്യൽ പ്ലാറ്റ്ഫോമുകൾ, ഫിൻടെക് ആപ്പുകൾ, ക്ലൗഡ് കമ്പ്യൂട്ടിംഗ് എന്നിവ വ്യക്തിഗത ഡാറ്റയെ മിക്കവാറും എല്ലാ ബിസിനസ്സിന്റെയും പ്രവർത്തന അടിത്തറയാക്കുന്നതിന് മുമ്പ് രൂപകൽപ്പന ചെയ്ത ഒരു വ്യവസ്ഥ.

വഴിത്തിരിവായ നിമിഷം 2017 ഓഗസ്റ്റായിരുന്നു. സുപ്രീം കോടതിയുടെ ഒമ്പതംഗ ഭരണഘടനാ ബെഞ്ച്, ജസ്റ്റിസ് കെ.എസ്. പുട്ടസ്വാമി (റിട്ട.) v. യൂണിയൻ ഓഫ് ഇന്ത്യ കേസിൽ, സ്വകാര്യതയ്ക്കുള്ള അവകാശം ആർട്ടിക്കിൾ 21 പ്രകാരം സംരക്ഷിക്കപ്പെട്ട ഒരു മൗലികാവകാശമാണെന്ന് ഏകകണ്ഠമായി വിധിച്ചു. അത് ഒരു സമഗ്ര ഡാറ്റ സംരക്ഷണ നിയമം നടപ്പിലാക്കാൻ സംസ്ഥാനത്തിന്മേൽ ഒരു ഭരണഘടനാപരമായ ബാധ്യത സൃഷ്ടിച്ചു.

തുടർന്നു വന്നത് ഒരു ആറ് വർഷത്തെ യാത്രയായിരുന്നു. ജസ്റ്റിസ് ബി.എൻ. ശ്രീകൃഷ്ണ കമ്മിറ്റി 2018-ൽ ഒരു കരട് ബിൽ സമർപ്പിച്ചു; 2019-ലും 2022-ലും പുനരവലോകനങ്ങൾ പിന്തുടർന്നു. നിലവിലെ ആക്ട് — ചുരുക്കി, ലളിതമാക്കി, പുനർനാമകരണം ചെയ്തത് — 2023 ഓഗസ്റ്റ് 3-ന് ലോക്സഭയിൽ അവതരിപ്പിക്കുകയും 2023 ഓഗസ്റ്റ് 11-ന് രാഷ്ട്രപതിയുടെ അംഗീകാരം നേടുകയും ചെയ്തു. അന്തിമ DPDP റൂളുകൾ, 2025 MeitY 2025 നവംബർ 13-ന് ഗസറ്റ് വിജ്ഞാപനം G.S.R. 846(E) വഴി വിജ്ഞാപനം ചെയ്തു. അതോടെ, ഇന്ത്യയ്ക്ക് ഒടുവിൽ ഒരു പ്രവർത്തനക്ഷമമായ ഡാറ്റ സംരക്ഷണ വ്യവസ്ഥ ലഭിച്ചു.

ആക്ട് മറ്റ് രണ്ട് കാര്യങ്ങളിൽ അസാധാരണമാണ്. ഇന്ത്യൻ പാർലമെന്റിന്റെ ആദ്യത്തെ ആക്ട് ആണ് സ്ഥിരസ്ഥിതിയായി "she", "her" എന്നീ സർവ്വനാമങ്ങൾ ഉപയോഗിക്കുന്നത്, കൂടാതെ ഇത് MeitY SARAL ഡിസൈൻ എന്ന് വിളിക്കുന്നത് പിന്തുടരുന്നു — Simple, Accessible, Rational, Actionable — നിയമ വാചകത്തിലുടനീളം ലളിതമായ ഭാഷ ഉപയോഗിക്കുന്നു.

DPDP ആക്ട് ഡിജിറ്റൽ വ്യക്തിഗത ഡാറ്റയുടെ പ്രോസസിംഗിന് ബാധകമാണ്. അത് ബോധപൂർവ്വം ഇടുങ്ങിയ ഒരു പദപ്രയോഗമാണ്, ഓരോ വാക്കും പ്രധാനമാണ്.

ആക്ടിന്റെയും റൂളുകളുടെയും ഓരോ പ്രവർത്തന വ്യവസ്ഥയും ഏഴ് അടിസ്ഥാന തത്വങ്ങളിലേക്ക് പിന്നോട്ട് പോകുന്നു — MeitY SARAL ഡിസൈനിന്റെ അടിത്തറ. ഈ ഏഴെണ്ണം ബഹുമാനിക്കുക, ബാക്കിയുള്ളവ പിന്തുടരാൻ പ്രവണത കാണിക്കും.

ഇവ കേവലം അഭിലാഷപരമല്ല — അവ നടപ്പിലാക്കാവുന്ന ബാധ്യതകളിലേക്ക് നേരിട്ട് മാപ്പ് ചെയ്യുന്നു: Section 6-ലെ സമ്മതം, Section 7-ലെ ഉദ്ദേശ്യ പരിമിതി, Section 8(5)-ലെ സുരക്ഷാ സംരക്ഷണങ്ങൾ, തുടങ്ങിയവ. അവയെ നിങ്ങളുടെ അനുസരണ കോമ്പസായി കണക്കാക്കുക.

ആക്ട്, റൂളുകൾ, ഓരോ പ്രവർത്തന രേഖ എന്നിവയിലുടനീളം നിങ്ങൾ കണ്ടുമുട്ടുന്ന വേഷങ്ങളുടെ ഒരു പദാവലി ചട്ടക്കൂട് അവതരിപ്പിക്കുന്നു. ചിലത് GDPR-ൽ നിന്ന് കടം കൊള്ളുന്നു; മറ്റുള്ളവ അതുല്യമായി ഇന്ത്യൻ ആണ്.

ആറ് നിയമാനുസൃത അടിസ്ഥാനങ്ങളുള്ള GDPR-ൽ നിന്ന് വ്യത്യസ്തമായി, DPDP ആക്ട് രണ്ട് അടിസ്ഥാനങ്ങൾ മാത്രമേ അംഗീകരിക്കുന്നുള്ളൂ: സമ്മതം, അല്ലെങ്കിൽ Section 7-ലെ ക്ലോസ്ഡ്-ലിസ്റ്റ് നിയമാനുസൃത ഉപയോഗങ്ങളിലൊന്ന്. ആശ്രയിക്കാൻ വിശാലമായ "നിയമാനുസൃത താൽപ്പര്യങ്ങൾ" അടിസ്ഥാനമില്ല.

അടിസ്ഥാനം 1: സമ്മതം

വാണിജ്യ പ്രോസസിംഗിനുള്ള പ്രധാന വഴിയാണ് സമ്മതം. Section 6 പ്രകാരം, സമ്മതം സ്വതന്ത്രവും നിർദ്ദിഷ്ടവും അറിവുള്ളതും നിരുപാധികവും അവ്യക്തതയില്ലാത്തതും ആയിരിക്കണം, വ്യക്തമായ ക്രിയാത്മക പ്രവർത്തനത്തിലൂടെ സൂചിപ്പിക്കപ്പെടണം — നൽകിയത്ര എളുപ്പത്തിൽ എപ്പോൾ വേണമെങ്കിലും പിൻവലിക്കാവുന്നതും. ഓരോ അഭ്യർത്ഥനയ്ക്കൊപ്പവും ഡാറ്റ, ഉദ്ദേശ്യം, പിൻവലിക്കൽ, അവകാശ സംവിധാനങ്ങൾ, DPBI-ലേക്കുള്ള വഴി എന്നിവ വിവരിക്കുന്ന ഒരു Section 5 അറിയിപ്പ് ഉണ്ടായിരിക്കണം — ഇംഗ്ലീഷിലും 22 എട്ടാം ഷെഡ്യൂൾ ഭാഷകളിലും ലഭ്യമാണ്.

അടിസ്ഥാനം 2: ചില നിയമാനുസൃത ഉപയോഗങ്ങൾ

സമ്മതമില്ലാതെ പ്രോസസിംഗ് തുടരാവുന്ന നിയമാനുസൃത ഉപയോഗങ്ങളുടെ ഒരു ക്ലോസ്ഡ് ലിസ്റ്റ് Section 7 നിരത്തുന്നു. ഏറ്റവും സാധാരണയായി പ്രയോഗിക്കുന്നത്:

അധ്യായം III ഓരോ ഡാറ്റ പ്രിൻസിപ്പലിനും നാല് മൗലിക അവകാശങ്ങൾ നൽകുന്നു, അവളുടെ ഡാറ്റ പ്രോസസ് ചെയ്യുന്ന ഏതൊരു ഫിഡ്യൂഷ്യറിക്കെതിരെയും വിനിയോഗിക്കാവുന്നത്. റൂളുകൾ ലഭിച്ച് തൊണ്ണൂറ് ദിവസത്തിനുള്ളിൽ പ്രതികരണം ആവശ്യപ്പെടുന്നു.

ആക്ട് ഡാറ്റ പ്രിൻസിപ്പലുകൾക്കും കടമകൾ ചുമത്തുന്നു — തെറ്റായതോ നിസ്സാരമോ ആയ പരാതികൾ ഫയൽ ചെയ്യാതിരിക്കുക, ആൾമാറാട്ടം നടത്താതിരിക്കുക, സാരവത്തായ വിവരങ്ങൾ മറച്ചുവയ്ക്കാതിരിക്കുക. ലംഘനത്തിന് ₹10,000 വരെ പിഴ ചുമത്താം (Section 15).

Section 8, പ്രവർത്തനക്ഷമമാക്കുന്ന റൂളുകളോടൊപ്പം വായിക്കുമ്പോൾ, ഓരോ ഫിഡ്യൂഷ്യറിയും പാലിക്കേണ്ട അടിസ്ഥാന ബാധ്യതകൾ നിരത്തുന്നു — അനുസരണ പരിപാടികൾ നിർമ്മിക്കുന്ന ബാധ്യതകൾ.

DPDP ആക്ട് പൂർണ്ണമായും ഒരു സിവിൽ പിഴ വ്യവസ്ഥ സ്ഥാപിക്കുന്നു — ക്രിമിനൽ ശിക്ഷകളില്ല. Section 33, Schedule-നൊപ്പം വായിക്കുമ്പോൾ, ഓരോ ലംഘനത്തിനും നിർദ്ദിഷ്ട പരിധി വരെ പിഴ ചുമത്താൻ DPBI-യെ അധികാരപ്പെടുത്തുന്നു.

DPBI-യുടെ ഉത്തരവുകൾ 60 ദിവസത്തിനുള്ളിൽ TDSAT-ലേക്ക് അപ്പീൽ ചെയ്യാവുന്നതാണ്, തുടർന്നുള്ള അപ്പീലുകൾ സുപ്രീം കോടതിയിലേക്ക്. പ്രധാനമായി, ഡാറ്റ പ്രോസസർമാർക്ക് നേരിട്ട് പിഴ ചുമത്താൻ കഴിയില്ല — പ്രോസസർ വീഴ്ചകൾക്ക് ഫിഡ്യൂഷ്യറി ബാധ്യസ്ഥനായി തുടരുന്നു, ഇത് വെണ്ടർ ഭരണനിർവഹണത്തെ ഒരു നിർണ്ണായക അനുസരണ മേഖലയാക്കുന്നു.

ആക്ട് 2023-ൽ പാസ്സാക്കുകയും റൂളുകൾ 2025 നവംബറിൽ വിജ്ഞാപനം ചെയ്യുകയും ചെയ്തെങ്കിലും, മൗലിക ബാധ്യതകൾ മൂന്ന് ഘട്ടങ്ങളിലായി പ്രവർത്തിക്കുന്നു. നിങ്ങൾ ഏത് ഘട്ടത്തിലാണെന്ന് അറിയുന്നത് നിയമപരമായ എക്സ്പോഷറിനും പ്രോഗ്രാം ആസൂത്രണത്തിനും അത്യാവശ്യമാണ്.

വിജ്ഞാപനം മുതൽ പൂർണ്ണ നടപ്പാക്കൽ വരെയുള്ള 9-മാസ റൺവേയാണ് ഇപ്പോൾ നിർണ്ണായക തയ്യാറെടുപ്പ് കാലയളവാക്കുന്നത്. 2027 മെയ് വരെ കാത്തിരിക്കുന്ന സ്ഥാപനങ്ങൾ 9 മാസം കഷ്ടിച്ച് മതിയാകുമെന്ന് കണ്ടെത്തും — പ്രത്യേകിച്ച് ഡാറ്റ കണ്ടെത്തൽ, സമ്മത പുനർനിർമ്മാണം, വെണ്ടർ പുനർചർച്ച, അറിയിപ്പ് വിവർത്തനം എന്നിവയ്ക്ക്.

ഇതിനകം GDPR-ലേക്കോ SPDI റൂളുകളിലേക്കോ വിന്യസിച്ച സ്ഥാപനങ്ങൾക്ക്, DPDP ഭാഗികമായി പരിചിതവും ഭാഗികമായി പുതുമയുള്ളതുമാണ്. ഈ താരതമ്യം പ്രവർത്തനപരമായി പ്രാധാന്യമുള്ള വ്യത്യാസങ്ങൾ പുറത്തുകൊണ്ടുവരുന്നു.

SPDI റൂളുകളിൽ നിന്ന് പരിവർത്തനം ചെയ്യുന്ന ഇന്ത്യൻ ബിസിനസ്സുകൾക്ക്, ഏറ്റവും തടസ്സപ്പെടുത്തുന്ന മാറ്റങ്ങൾ ഇവയാണ്: (a) "സെൻസിറ്റീവ് വ്യക്തിഗത ഡാറ്റ"-യിൽ നിന്ന് ഏകീകൃത പരിഗണനയിലേക്കുള്ള മാറ്റം, (b) അനുവദനീയമായ നിയമാനുസൃത അടിസ്ഥാനങ്ങളുടെ നഷ്ടം (ഇനി "നിയമാനുസൃത താൽപ്പര്യങ്ങൾ" ഇല്ല), (c) പിഴ എക്സ്പോഷറിന്റെ നാടകീയമായ വർദ്ധനവ് — യഥാർത്ഥ നാശനഷ്ടങ്ങളുടെ നഷ്ടപരിഹാരത്തിൽ നിന്ന് നൂറുകണക്കിന് കോടികളുടെ നിയമപരമായ പരിധികളിലേക്ക്.