बहुतेक संघ कायदा चुकीचा का वाचतात
DPDP Act, 2023 हा कर्तव्य-आधारित कायदा आहे. एका Data Fiduciary ने काय करावे हे तो सांगतो — सूचना देणे, संमती घेणे, डेटा सुरक्षित ठेवणे, हक्कांना प्रतिसाद देणे, उल्लंघनांचा अहवाल देणे. 13 नोव्हेंबर 2025 रोजी अधिसूचित Rules ती कामे कशी करावीत आणि कोणत्या दर्जाने करावीत हे सांगतात.
फक्त Act वाचल्यास योग्य तत्त्वे मिळतात पण चुकीची सूक्ष्मता. फक्त Rules वाचल्यास यांत्रिक तपशील मिळतो, पण त्या यांत्रिकतेला बचावयोग्य बनवणारी तत्त्वे मिळत नाहीत.
सर्वात महत्त्वाच्या जोड्या
प्रत्येक व्यावसायिकाला तोंडपाठ असाव्यात अशा सात Section-Rule जोड्या इथे आहेत:
1. Section 5 (सूचना) ↔ Rule 3 (सूचनेचा मजकूर)
Section 5 म्हणते की तुम्ही सूचना दिली पाहिजे. Rule 3 तिचे स्वरूप आणि किमान मजकूर निर्दिष्ट करते: वैयक्तिक डेटाची तपशीलवार यादी, उद्देशांची तपशीलवार यादी, संमती मागे घेण्याची लिंक, हक्क वापरण्याची लिंक, Data Protection Board पर्यंत पोहोचण्याचा मार्ग. Rule 3 शिवाय तुमची सूचना 'अनुपालक' असू शकते पण निरुपयोगी. दोन्ही मिळून ती खरोखर काम करते.
2. Section 6 (संमती) ↔ Rule 4 (Consent Manager नोंदणी)
Section 6 संमतीचा दर्जा ठरवते — मुक्त, विशिष्ट, माहितीपूर्ण, बिनशर्त, स्पष्ट. Consent Managers (मध्यस्थांची एक नवी परिसंस्था) DPBI कडे कशी नोंदणी करतात हे Rule 4 नियंत्रित करते. तुमचे व्यवसाय मॉडेल संमती पायाभूत सुविधांशी जोडले जात असेल — आणि अनेक fintech, AA-संबंधित किंवा क्रॉस-प्लॅटफॉर्म व्यवसाय जोडले जातात — तर Rule 4 महत्त्वाचे आहे.
3. Section 8(5)-(6) (सुरक्षा आणि उल्लंघन) ↔ Rules 6 आणि 7
तुम्ही वाजवी सुरक्षा उपाय केले पाहिजेत आणि वैयक्तिक डेटा उल्लंघनांची सूचना Board ला (आणि प्रभावित Data Principals ला) दिली पाहिजे असे Act म्हणते. Rule 6 सात सुरक्षा श्रेणी निर्दिष्ट करते — एन्क्रिप्शन, प्रवेश नियंत्रण, लॉगिंग इत्यादी. Rule 7 उल्लंघन-अधिसूचनेचे स्वरूप आणि वेळ निर्दिष्ट करते. एकत्रितपणे हे तुमची सुरक्षा-आणि-उल्लंघन आधाररेखा तयार करतात.
4. Section 9 (मुले) ↔ Rule 10 (पडताळणीयोग्य पालक संमती)
पडताळणीयोग्य पालक संमतीशिवाय मुलांच्या डेटाची प्रक्रिया Section 9 प्रतिबंधित करते, तसेच मुलांचे ट्रॅकिंग, वर्तन निरीक्षण किंवा लक्ष्यित जाहिरात प्रतिबंधित करते. व्यवहारात 'पडताळणीयोग्य' म्हणजे काय हे Rule 10 निर्दिष्ट करते — उत्तर: स्व-घोषित वयाचे गेट नाही. ग्राहक-सन्मुख सेवांसाठी संपूर्ण चौकटीत हीच सर्वाधिक परिचालन-भाराची बंधनकारकता आहे.
5. Section 10 (SDF) ↔ Rules 12 आणि 13
प्रमाण, संवेदनशीलता, क्षेत्रीय जोखीम आणि इतर निकषांच्या आधारे Significant Data Fiduciaries नामनिर्देशित करण्याची मुभा Section 10 केंद्र सरकारला देते. Rules 12-13 अतिरिक्त बंधने निर्दिष्ट करतात: DPIAs, वार्षिक स्वतंत्र लेखापरीक्षण, मंडळ-अहवालासह भारत-आधारित DPO, नियतकालिक जोखीम मूल्यांकन. तुम्ही पात्र ठरू शकत असाल तर आताच तयारी सुरू करा — अधिसूचनेनंतर तुम्हाला संक्रमण कालावधी मिळत नाही.
6. Sections 11-14 (हक्क) ↔ Rules 14 आणि 15
Act, Data Principals साठी चार हक्क निर्माण करते: प्रवेश, दुरुस्ती, पुसणे, तक्रार निवारण. प्रतिसादासाठी 90-दिवसांचा SLA Rule 14 ठरवते. Data Protection Board पर्यंतचा अपील मार्ग Rule 15 नियंत्रित करते. परिचालन साधनांशिवाय — DSAR पोर्टल, ओळख पडताळणी, सिस्टम मॅपिंग — कोणत्याही अर्थपूर्ण प्रमाणात SLA पूर्ण करणे अशक्य आहे.
7. Section 16 (सीमापार) ↔ SDFs साठी Rule 13(4)
केंद्र सरकार देश-निर्बंध अधिसूचना जारी करते तिथे वगळता, Section 16 सध्या सीमापार हस्तांतरणास परवानगी देते. SDFs चा काही वैयक्तिक डेटा भारतातच राहावा अशी मागणी करण्याची अतिरिक्त मुभा Rule 13(4) सरकारला देते. डीफॉल्ट खुले आहे; भविष्य सशर्त आहे. तुमचे प्रवाह आताच मॅप करा.
प्रभावी वाचन क्रम
या चौकटीत तुम्ही नवे असाल तर या क्रमाने वाचा:
- Act च्या Sections 4-9 (मूलभूत कर्तव्ये)
- Rules 3, 6, 7, 10, 14 (त्या कर्तव्यांचा परिचालन तपशील)
- Act ची Section 10 + Rules 12-13 (SDF सज्जता)
- Act च्या Sections 27-28 (Data Protection Board)
- Schedule of Penalties (चूक केल्याची किंमत)
आता काय टप्प्याटप्प्याने येत आहे
Phase 1 आताच आहे: सूचना, संमती, सुरक्षा, उल्लंघन अहवाल आणि हक्क चौकटी आधीच कार्यरत असाव्यात. Phase 2 — अंदाजे नोव्हेंबर 2026 मध्ये अपेक्षित — Consent Manager परिसंस्था सक्रिय करते. Phase 3, 13 मे 2027 रोजी, SDF ट्रिगर, संपूर्ण तक्रार आणि लेखापरीक्षण यंत्रणा, दंड अंमलबजावणीची औपचारिक सुरुवात यासह मूलभूत बंधने आणते.
कायदा एकत्र वाचा. परिचालन एकत्र उभारा. Phase 3 ची वाट पाहू नका.