DPDP Act-ഉം Rules-ഉം ഒരുമിച്ച് വായിക്കൽ: ഒരു പ്രാക്ടീഷണറുടെ ഗൈഡ്

മിക്ക ടീമുകളും നിയമം തെറ്റായി വായിക്കുന്നത് എന്തുകൊണ്ട്

DPDP Act, 2023 ഒരു കടമ-അധിഷ്ഠിത നിയമമാണ്. ഒരു Data Fiduciary എന്ത് ചെയ്യണം എന്ന് അത് പറയുന്നു — അറിയിപ്പ് നൽകുക, സമ്മതം വാങ്ങുക, ഡാറ്റ സുരക്ഷിതമാക്കുക, അവകാശങ്ങളോട് പ്രതികരിക്കുക, ലംഘനങ്ങൾ റിപ്പോർട്ട് ചെയ്യുക. 2025 നവംബർ 13-ന് വിജ്ഞാപനം ചെയ്ത Rules ആ കാര്യങ്ങൾ എങ്ങനെ ചെയ്യണം, ഏത് നിലവാരത്തിൽ ചെയ്യണം എന്ന് പറയുന്നു.

Act മാത്രം വായിച്ചാൽ ശരിയായ തത്വങ്ങൾ കിട്ടും പക്ഷേ തെറ്റായ സൂക്ഷ്മത. Rules മാത്രം വായിച്ചാൽ യാന്ത്രികമായ വിശദാംശം കിട്ടും, പക്ഷേ ആ യാന്ത്രികതയെ ന്യായീകരിക്കാവുന്നതാക്കുന്ന തത്വങ്ങൾ കിട്ടില്ല.

ഏറ്റവും പ്രധാനപ്പെട്ട ജോഡികൾ

ഓരോ പ്രാക്ടീഷണറും മനഃപാഠമാക്കേണ്ട ഏഴ് Section-Rule ജോഡികൾ ഇതാ:

1. Section 5 (അറിയിപ്പ്) ↔ Rule 3 (അറിയിപ്പിന്റെ ഉള്ളടക്കം)

Section 5 നിങ്ങൾ അറിയിപ്പ് നൽകണം എന്ന് പറയുന്നു. Rule 3 അതിന്റെ രൂപവും കുറഞ്ഞ ഉള്ളടക്കവും വ്യക്തമാക്കുന്നു: വ്യക്തിഗത ഡാറ്റയുടെ ഇനംതിരിച്ച പട്ടിക, ഉദ്ദേശ്യങ്ങളുടെ ഇനംതിരിച്ച പട്ടിക, സമ്മതം പിൻവലിക്കാനുള്ള ലിങ്ക്, അവകാശങ്ങൾ വിനിയോഗിക്കാനുള്ള ലിങ്ക്, Data Protection Board-ലേക്കുള്ള വഴി. Rule 3 ഇല്ലാതെ നിങ്ങളുടെ അറിയിപ്പ് 'അനുസരണമുള്ളത്' ആയേക്കാം പക്ഷേ ഉപയോഗശൂന്യം. രണ്ടും ചേരുമ്പോൾ അത് യഥാർത്ഥത്തിൽ പ്രവർത്തിക്കുന്നു.

2. Section 6 (സമ്മതം) ↔ Rule 4 (Consent Manager രജിസ്ട്രേഷൻ)

Section 6 സമ്മതത്തിന്റെ നിലവാരം നിശ്ചയിക്കുന്നു — സ്വതന്ത്രം, നിർദ്ദിഷ്ടം, അറിവോടെയുള്ളത്, ഉപാധിരഹിതം, അവ്യക്തതയില്ലാത്തത്. Consent Managers (ഇടനിലക്കാരുടെ ഒരു പുതിയ ആവാസവ്യവസ്ഥ) DPBI-യിൽ എങ്ങനെ രജിസ്റ്റർ ചെയ്യുന്നു എന്ന് Rule 4 നിയന്ത്രിക്കുന്നു. നിങ്ങളുടെ ബിസിനസ് മോഡൽ സമ്മത അടിസ്ഥാനസൗകര്യവുമായി ചേരുന്നെങ്കിൽ — പല fintech, AA-ബന്ധിത അല്ലെങ്കിൽ ക്രോസ്-പ്ലാറ്റ്ഫോം ബിസിനസുകളും ചേരുന്നു — Rule 4 പ്രധാനമാണ്.

3. Section 8(5)-(6) (സുരക്ഷയും ലംഘനവും) ↔ Rules 6 ഉം 7 ഉം

നിങ്ങൾ ന്യായമായ സുരക്ഷാ നടപടികൾ സ്വീകരിക്കണമെന്നും വ്യക്തിഗത ഡാറ്റ ലംഘനങ്ങളെക്കുറിച്ച് Board-നെയും (ബാധിത Data Principals-നെയും) അറിയിക്കണമെന്നും Act പറയുന്നു. Rule 6 ഏഴ് സുരക്ഷാ വിഭാഗങ്ങൾ വ്യക്തമാക്കുന്നു — എൻക്രിപ്ഷൻ, ആക്സസ് നിയന്ത്രണം, ലോഗിംഗ് തുടങ്ങിയവ. Rule 7 ലംഘന-അറിയിപ്പിന്റെ രൂപവും സമയവും വ്യക്തമാക്കുന്നു. ഒരുമിച്ച് ഇവ നിങ്ങളുടെ സുരക്ഷാ-ലംഘന അടിസ്ഥാനരേഖ രൂപപ്പെടുത്തുന്നു.

4. Section 9 (കുട്ടികൾ) ↔ Rule 10 (പരിശോധിക്കാവുന്ന രക്ഷിതാവിന്റെ സമ്മതം)

പരിശോധിക്കാവുന്ന രക്ഷിതാവിന്റെ സമ്മതമില്ലാതെ കുട്ടികളുടെ ഡാറ്റ പ്രോസസ്സ് ചെയ്യുന്നത് Section 9 നിരോധിക്കുന്നു, കൂടാതെ കുട്ടികളുടെ ട്രാക്കിംഗ്, പെരുമാറ്റ നിരീക്ഷണം അല്ലെങ്കിൽ ലക്ഷ്യമിട്ട പരസ്യം എന്നിവയും നിരോധിക്കുന്നു. പ്രായോഗികമായി 'പരിശോധിക്കാവുന്ന' എന്നാൽ എന്ത് എന്ന് Rule 10 വ്യക്തമാക്കുന്നു — ഉത്തരം: സ്വയം-പ്രഖ്യാപിത പ്രായ ഗേറ്റ് അല്ല. ഉപഭോക്തൃ-മുഖ സേവനങ്ങൾക്ക് മുഴുവൻ ചട്ടക്കൂടിലും ഏറ്റവും പ്രവർത്തനഭാരമുള്ള ബാധ്യത ഇതാണ്.

5. Section 10 (SDF) ↔ Rules 12 ഉം 13 ഉം

അളവ്, സംവേദനക്ഷമത, മേഖലാപരമായ അപകടസാധ്യത, മറ്റ് മാനദണ്ഡങ്ങൾ എന്നിവയുടെ അടിസ്ഥാനത്തിൽ Significant Data Fiduciaries നിശ്ചയിക്കാൻ Section 10 കേന്ദ്ര സർക്കാരിനെ അനുവദിക്കുന്നു. Rules 12-13 അധിക ബാധ്യതകൾ വ്യക്തമാക്കുന്നു: DPIAs, വാർഷിക സ്വതന്ത്ര ഓഡിറ്റ്, ബോർഡ്-റിപ്പോർട്ടിംഗോടെ ഇന്ത്യ-അധിഷ്ഠിത DPO, ഇടയ്ക്കിടെയുള്ള അപകടസാധ്യതാ വിലയിരുത്തൽ. നിങ്ങൾ യോഗ്യരായേക്കാമെങ്കിൽ ഇപ്പോൾതന്നെ തയ്യാറെടുപ്പ് തുടങ്ങുക — വിജ്ഞാപനത്തിന് ശേഷം നിങ്ങൾക്ക് പരിവർത്തന കാലയളവ് ലഭിക്കില്ല.

6. Sections 11-14 (അവകാശങ്ങൾ) ↔ Rules 14 ഉം 15 ഉം

Act, Data Principals-ന് നാല് അവകാശങ്ങൾ സൃഷ്ടിക്കുന്നു: ആക്സസ്, തിരുത്തൽ, മായ്ക്കൽ, പരാതി പരിഹാരം. പ്രതികരണത്തിന് 90-ദിവസത്തെ SLA Rule 14 നിശ്ചയിക്കുന്നു. Data Protection Board-ലേക്കുള്ള അപ്പീൽ വഴി Rule 15 നിയന്ത്രിക്കുന്നു. പ്രവർത്തന ഉപകരണങ്ങളില്ലാതെ — DSAR പോർട്ടൽ, ഐഡന്റിറ്റി പരിശോധന, സിസ്റ്റം മാപ്പിംഗ് — അർത്ഥവത്തായ ഏത് അളവിലും SLA പാലിക്കുക അസാധ്യമാണ്.

7. Section 16 (അതിർത്തി കടന്ന്) ↔ SDFs-നായി Rule 13(4)

കേന്ദ്ര സർക്കാർ രാജ്യ-നിയന്ത്രണ വിജ്ഞാപനം പുറപ്പെടുവിക്കുന്നിടത്തൊഴികെ, Section 16 നിലവിൽ അതിർത്തി കടന്നുള്ള കൈമാറ്റം അനുവദിക്കുന്നു. SDFs-ന്റെ ചില വ്യക്തിഗത ഡാറ്റ ഇന്ത്യയ്ക്കുള്ളിൽ തന്നെ നിലനിൽക്കണമെന്ന് ആവശ്യപ്പെടാനുള്ള അധിക അവസരം Rule 13(4) സർക്കാരിന് നൽകുന്നു. ഡിഫോൾട്ട് തുറന്നതാണ്; ഭാവി ഉപാധികളോടെയാണ്. നിങ്ങളുടെ പ്രവാഹങ്ങൾ ഇപ്പോൾതന്നെ മാപ്പ് ചെയ്യുക.

ഫലപ്രദമായ വായനാക്രമം

ഈ ചട്ടക്കൂടിൽ നിങ്ങൾ പുതിയ ആളാണെങ്കിൽ ഈ ക്രമത്തിൽ വായിക്കുക:

1. Act-ന്റെ Sections 4-9 (അടിസ്ഥാന കടമകൾ)
2. Rules 3, 6, 7, 10, 14 (ആ കടമകളുടെ പ്രവർത്തന വിശദാംശം)
3. Act-ന്റെ Section 10 + Rules 12-13 (SDF സന്നദ്ധത)
4. Act-ന്റെ Sections 27-28 (Data Protection Board)
5. Schedule of Penalties (തെറ്റ് ചെയ്താലുള്ള വില)

ഇപ്പോൾ എന്താണ് ഘട്ടംഘട്ടമായി വരുന്നത്

Phase 1 ഇപ്പോൾതന്നെ: അറിയിപ്പ്, സമ്മതം, സുരക്ഷ, ലംഘന റിപ്പോർട്ടിംഗ്, അവകാശ ചട്ടക്കൂടുകൾ എന്നിവ ഇതിനകം പ്രവർത്തനക്ഷമമായിരിക്കണം. Phase 2 — ഏകദേശം 2026 നവംബറിൽ പ്രതീക്ഷിക്കുന്നു — Consent Manager ആവാസവ്യവസ്ഥ സജീവമാക്കുന്നു. Phase 3, 2027 മെയ് 13-ന്, SDF ട്രിഗറുകൾ, പൂർണ്ണ പരാതി-ഓഡിറ്റ് സംവിധാനം, പിഴ നടപ്പാക്കലിന്റെ ഔപചാരിക തുടക്കം എന്നിവയുൾപ്പെടെ അടിസ്ഥാന ബാധ്യതകൾ കൊണ്ടുവരുന്നു.

നിയമം ഒരുമിച്ച് വായിക്കുക. പ്രവർത്തനം ഒരുമിച്ച് കെട്ടിപ്പടുക്കുക. Phase 3-നായി കാത്തിരിക്കരുത്.