मूळ कायदा, नियम आणि अनुसूची — नेव्हिगेट करण्यायोग्य.

मूलभूत शब्दसंग्रह परिभाषित करते — वैयक्तिक डेटा (2(t)), डेटा प्रिन्सिपल (2(j)), डेटा फिड्युशियरी (2(i)), डेटा प्रोसेसर (2(k)), संमती आणि प्रक्रिया. सर्व वैयक्तिक डेटा समानपणे हाताळला जातो; स्वतंत्र "संवेदनशील" श्रेणी नाही.

भारतातील डिजिटल वैयक्तिक डेटाला आणि भारतातील लोकांना वस्तू/सेवा देण्याशी संबंधित भारताबाहेरील प्रक्रियेला लागू. वैयक्तिक/घरगुती वापर आणि प्रिन्सिपलने वा कायदेशीर बंधनाखाली सार्वजनिकरित्या उपलब्ध केलेला डेटा वगळतो.

संमती मुक्त, विशिष्ट, माहितीपूर्ण, बिनशर्त आणि अस्पष्ट नसलेली, स्पष्ट होकारार्थी कृतीद्वारे असावी — आणि जितकी सहज दिली तितकीच सहज मागे घेता येणारी. संमती व्यवस्थापक परिसंस्था सादर करते.

संमतीशिवाय प्रक्रिया करता येईल अशा वापरांची बंदिस्त यादी: ऐच्छिक तरतूद, राज्य कार्ये, कायदेशीर अनुपालन, वैद्यकीय आणीबाणी, आपत्ती आणि रोजगार. व्यापक "वैध हितसंबंध" आधार अस्तित्वात नाही.

अचूकता, वाजवी सुरक्षा उपाय, उल्लंघन सूचना, संचयन मर्यादा व विलोपन आणि तक्रार यंत्रणा. कलम 8(2) फिड्युशियरीला त्याच्या प्रोसेसरसाठी जबाबदार धरते.

18 वर्षांखालील कोणाच्याही डेटावर प्रक्रिया करण्यापूर्वी सत्यापनयोग्य पालक संमती; मुलांचे ट्रॅकिंग, वर्तणूक निरीक्षण आणि लक्ष्यित जाहिरातींवर संपूर्ण बंदी.

सरकार आकारमान, संवेदनशीलता, जोखीम आणि सार्वभौमत्व घटकांनुसार SDFs नियुक्त करू शकते. SDFs ना भारत-निवासी DPO नेमावा, वार्षिक DPIA आणि स्वतंत्र लेखापरीक्षणे करावी लागतात.

प्रक्रिया होत असलेल्या वैयक्तिक डेटाचा सारांश, प्रक्रिया क्रियाकलाप, आणि ज्यांच्याशी तो सामायिक केला त्या इतर फिड्युशियरींची ओळख.

चुकीच्या किंवा दिशाभूल करणाऱ्या डेटाची दुरुस्ती, अपूर्ण डेटा पूर्ण करणे, आणि नमूद उद्देशासाठी यापुढे आवश्यक नसलेल्या डेटाचे विलोपन.

प्रथम फिड्युशियरीच्या तक्रार अधिकाऱ्याकडे जा; ती यंत्रणा संपल्यावरच DPBI कडे वाढ करा. 90-दिवसीय प्रतिसाद SLA.

मृत्यू किंवा असमर्थतेच्या प्रसंगी तुमच्या वतीने हे अधिकार वापरण्यासाठी दुसऱ्या व्यक्तीची नेमणूक करा.

खोट्या किंवा क्षुल्लक तक्रारी नाहीत, तोतयागिरी नाही, महत्त्वाच्या माहितीचे दमन नाही. उल्लंघनास ₹10,000 पर्यंत दंड होऊ शकतो.

मूलतः-परवानगी: सरकार अधिसूचनेद्वारे विशिष्ट देशांना हस्तांतरण निर्बंधित करू शकते. May 2026 पर्यंत, कोणताही देश काळ्या यादीत नाही.

काही राज्य आणि संशोधन प्रक्रियेसाठी सशर्त, अधिसूचित सूट — सरसकट वगळणे नाही; सुरक्षा उपाय तरीही लागू.

उल्लंघनांची चौकशी करणारे, उपायात्मक उपाय निर्देशित करणारे आणि दंड लादणारे डिजिटल-प्रथम न्यायनिर्णयक मंडळ. रचना, गठन आणि प्रक्रिया नियम 16-22 मधून चालते.

DPBI आदेशांविरुद्ध अपील 60 दिवसांत Telecom Disputes Settlement and Appellate Tribunal कडे; कायद्याच्या प्रश्नांवर सर्वोच्च न्यायालयात पुढील अपील.

केवळ-दिवाणी दंड, प्रत्येक उल्लंघनामागे: ₹250 कोटी (सुरक्षा), ₹200 कोटी (उल्लंघन सूचना / मुले), ₹150 कोटी (SDF), ₹50 कोटी (इतर कोणतेही), ₹10K (डेटा प्रिन्सिपल कर्तव्ये). मंडळ स्वरूप, गांभीर्य, कालावधी, पुनरावृत्ती, लाभ आणि सुधारणा यांचा विचार करते.

कलम 5 अंतर्गत आवश्यक सूचनेची तपशीलवार सामग्री आणि स्वरूप निश्चित करते.

संमती व्यवस्थापक DPBI कडे कसे नोंदणी करतात आणि त्यांनी पाळावयाची मानके. टप्पा 2 मध्ये (सुमारे Nov 2026) सुरू होणे अपेक्षित.

सात सुरक्षा उपाय श्रेणी: एन्क्रिप्शन, प्रवेश नियंत्रण, बॅकअप, 1-वर्ष लॉग प्रतिधारण, शोध, प्रोसेसर करार आणि तांत्रिक/संघटनात्मक उपाय.

दोन-मार्गी कळवणी — निर्धारित सामग्रीसह मंडळाला "विलंब न लावता", आणि बाधित डेटा प्रिन्सिपलना शक्य तितक्या लवकर.

उच्च-आकारमान ई-कॉमर्स, गेमिंग आणि सोशल-मीडिया संस्थांसाठी प्रतिधारण मूलभूत: शेवटच्या क्रियाकलापापासून तीन वर्षे, 48-तास पूर्व-विलोपन कळवणीसह.

मुलांच्या डेटावर प्रक्रिया करण्यापूर्वी ओळख-सत्यापित पालक संमती आवश्यक; स्वयंघोषित वय-द्वारे पुरेसे नाहीत.

DPIA, वार्षिक स्वतंत्र लेखापरीक्षण, मंडळाला अहवाल देणारा भारत-निवासी DPO, आणि नियतकालिक जोखीम मूल्यांकन.

अधिकार प्रक्रिया आणि 90-दिवसीय प्रतिसाद SLA कार्यान्वित करते.

कलम 33 अंतर्गत प्रत्येक उल्लंघनाला त्याच्या आर्थिक कमाल मर्यादेशी जोडते.

ई-कॉमर्स, गेमिंग आणि सोशल-मीडिया मध्यस्थांसाठी नियम 8 प्रतिधारण मूलभूत सुरू करणारे वापरकर्ता-संख्या उंबरठे.