DPDP ऐन किन अस्तित्वमा छ।
भारतको डिजिटल युगको अधिकांश समय, व्यक्तिगत डेटा एउटै, पुरानो उपकरणद्वारा शासित थियो: Information Technology Act, 2000, 2011 का SPDI नियमहरूसहित — स्मार्टफोन, सामाजिक प्लेटफर्म, फिनटेक एप र क्लाउड कम्प्युटिङले व्यक्तिगत डेटालाई लगभग हरेक व्यवसायको सञ्चालन आधार बनाउनुअघि डिजाइन गरिएको व्यवस्था।
जलविभाजक क्षण अगस्ट २०१७ थियो। Supreme Court को नौ-न्यायाधीश संवैधानिक इजलासले Justice K.S. Puttaswamy (Retd.) v. Union of India मा सर्वसम्मतिले गोपनीयताको अधिकार Article 21 द्वारा संरक्षित मौलिक अधिकार हो भनी ठहर्यायो। यसले राज्यमाथि व्यापक डेटा संरक्षण कानुन बनाउने संवैधानिक दायित्व सिर्जना गर्यो।
त्यसपछि छ-वर्षे यात्रा भयो। Justice B.N. Srikrishna Committee ले २०१८ मा मस्यौदा विधेयक पेश गर्यो; २०१९ र २०२२ मा संस्करणहरू आए। हालको ऐन — घटाइएको, सरलीकृत, र पुनःनामकरण गरिएको — 3 August 2023 मा Lok Sabha मा पेश भयो र 11 August 2023 मा राष्ट्रपतिको स्वीकृति पायो। अन्तिम DPDP Rules, 2025 MeitY द्वारा 13 November 2025 मा Gazette अधिसूचना G.S.R. 846(E) मार्फत अधिसूचित भए। त्यससँगै, भारतसँग अन्ततः सञ्चालनयोग्य डेटा संरक्षण व्यवस्था छ।
ऐन थप दुई पक्षमा असामान्य छ। यो पूर्वनिर्धारित रूपमा "she" र "her" सर्वनाम प्रयोग गर्ने भारतीय संसद्को पहिलो ऐन हो, र यसले MeitY ले SARAL डिजाइन भन्ने कुरा अनुसरण गर्छ — Simple, Accessible, Rational, र Actionable — वैधानिक पाठभर सरल भाषा प्रयोग गर्दै।
कानुनले के समेट्छ — र के समेट्दैन।
DPDP ऐन डिजिटल व्यक्तिगत डेटाको प्रशोधनमा लागू हुन्छ। त्यो जानाजानी साँघुरो वाक्यांश हो, र हरेक शब्द महत्त्वपूर्ण छ।
व्यक्तिगत डेटा, व्यापक रूपमा परिभाषित
त्यस्तो डेटाद्वारा वा सम्बन्धमा पहिचानयोग्य व्यक्तिबारेको कुनै पनि डेटा (Section 2(t))। GDPR भन्दा फरक, ऐनले कुनै छुट्टै "संवेदनशील व्यक्तिगत डेटा" वर्ग सिर्जना गर्दैन — सबै व्यक्तिगत डेटालाई समान व्यवहार गरिन्छ।
"डिजिटल" मुख्य योग्यता हो
डिजिटल स्वरूपमा भएको व्यक्तिगत डेटा, वा पछि डिजिटाइज गरिएको गैर-डिजिटल डेटामा मात्र लागू (Section 3(a))। कागजमै रहने कागजी अभिलेख यसको दायराबाहिर पर्छ।
यो कहाँ लागू हुन्छ (र कसलाई)
क्षेत्रीय र क्षेत्रबाहिरको पहुँच: भारतभित्रको प्रशोधन, र भारतका data principals लाई वस्तु वा सेवा प्रदानसँग जोडिएको भए भारतबाहिरको (Section 3(b))। भारतीय प्रयोगकर्ता भएको विदेशी SaaS दायराभित्र छ।
ऐनबाहिर के पर्छ
व्यक्तिगत/घरेलु प्रयोग; Principal द्वारा वा कानुनी दायित्वअन्तर्गत सार्वजनिक बनाइएको डेटा; र केही अनुसन्धान, अभिलेखन र सांख्यिकीय प्रशोधन (Section 3(c))।
सात SARAL सिद्धान्तहरू।
ऐन र नियमको हरेक सञ्चालन प्रावधान सात आधारभूत सिद्धान्तमा फर्कन्छ — MeitY को SARAL डिजाइनको जग। यी सातलाई सम्मान गर्नुहोस् र बाँकी पछ्याउने प्रवृत्ति हुन्छ।
सहमति र पारदर्शिता
व्यक्तिगत डेटा वैध रूपमा प्रशोधन गरिन्छ, Data Principal लाई के संकलन गरिन्छ र किन भन्ने स्पष्ट रूपमा सूचित गरेर।
उद्देश्य सीमा
डेटा त्यही विशिष्ट उद्देश्यका लागि मात्र संकलन र प्रयोग गरिन्छ जसका लागि सहमति प्राप्त गरिएको वा कानुनले अनुमति दिएको हो।
डेटा न्यूनीकरण
भनिएको उद्देश्यका लागि आवश्यक व्यक्तिगत डेटा मात्र संकलन गरिन्छ — त्यसभन्दा बढी होइन, जति नै उपयोगी भए पनि।
शुद्धता
व्यक्तिगत डेटा शुद्ध, पूर्ण, संगत र अद्यावधिक छ भनी सुनिश्चित गर्न उचित कदम चालिन्छ।
भण्डारण सीमा
डेटा भनिएको उद्देश्यका लागि आवश्यक भएसम्म मात्र राखिन्छ; त्यो उद्देश्य पूरा भएपछि, यो मेटाउनुपर्छ।
सुरक्षाकवच
उल्लंघन रोक्न र डेटा अखण्डता जोगाउन उचित प्राविधिक र संगठनात्मक सुरक्षाकवच लागू गरिन्छ।
जवाफदेहिता
Data Fiduciaries आफ्नो अनुपालनका लागि जवाफदेही हुन्छन् — दस्तावेजीकरण, अडिट, र जहाँ लागू हुन्छ, दण्डमार्फत।
यी केवल आकांक्षापूर्ण होइनन् — यी सीधै कार्यान्वयनयोग्य दायित्वसँग म्याप हुन्छन्: Section 6 मा सहमति, Section 7 मा उद्देश्य सीमा, Section 8(5) मा सुरक्षाकवच, र यसै गरी। यिनलाई आफ्नो अनुपालन कम्पासका रूपमा लिनुहोस्।
को हो को: मुख्य पात्रहरू।
ढाँचाले ऐन, नियम र हरेक सञ्चालन कागजातभर भेटिने भूमिकाहरूको शब्दावली परिचय गराउँछ। केही GDPR बाट लिइएका छन्; अरू विशिष्ट रूपमा भारतीय छन्।
Data Principal
व्यक्तिगत डेटा सम्बन्धित प्राकृतिक व्यक्ति। नाबालिगका लागि, यसमा तिनका अभिभावक वा कानुनी संरक्षक समावेश छन्; अपाङ्गता भएका व्यक्तिका लागि, तिनका कानुनी संरक्षक।
Data Fiduciary
एक्लै वा संयुक्त रूपमा व्यक्तिगत डेटा प्रशोधनको उद्देश्य र साधन निर्धारण गर्ने कुनै पनि व्यक्ति। GDPR को "controller" बराबर। प्राथमिक अनुपालन उत्तरदायित्व बोक्छ।
Data Processor
Data Fiduciary को तर्फबाट व्यक्तिगत डेटा प्रशोधन गर्ने कुनै पनि व्यक्ति। DPBI द्वारा सीधै दण्डित हुन सक्दैन — प्रोसेसर असफलताका लागि Fiduciary नै उत्तरदायी रहन्छ।
Significant Data Fiduciary
परिमाण, संवेदनशीलता, principal हरूलाई जोखिम, सार्वभौमिकता, निर्वाचन लोकतन्त्र वा उदीयमान प्रविधिको प्रयोगका आधारमा केन्द्र सरकारले अधिसूचित गरेको Fiduciary वा वर्ग।
Consent Manager
एउटा दर्ता भएको संस्था जसले Data Principals लाई एउटै अन्तरसंचालनीय प्लेटफर्ममार्फत सहमति दिन, व्यवस्थापन गर्न, समीक्षा गर्न र फिर्ता लिन सहयोग गर्छ। भारतमा दर्ता भएको हुनुपर्छ।
Data Protection Board of India
ऐन कार्यान्वयन गर्ने न्यायनिर्णायक निकाय। अनलाइन गुनासो दर्तासहित पूर्ण डिजिटल संस्थाका रूपमा काम गर्छ। अपिल ६० दिनभित्र TDSAT मा लाग्छ।
डेटा वैध रूपमा प्रशोधन गर्ने दुई तरिका।
छ वैध आधार भएको GDPR भन्दा फरक, DPDP ऐनले दुई आधार मात्र मान्यता दिन्छ: सहमति, वा Section 7 का बन्द-सूचीका वैध प्रयोगमध्ये एक। भर पर्न कुनै व्यापक "वैध हित" आधार छैन।
आधार १: सहमति
सहमति व्यावसायिक प्रशोधनको प्रमुख मार्ग हो। Section 6 अन्तर्गत, सहमति स्वतन्त्र, विशिष्ट, सूचित, बिनासर्त र स्पष्ट हुनुपर्छ, स्पष्ट सकारात्मक कार्यद्वारा संकेत गरिएको — र दिइएजस्तै सजिलैसँग जुनसुकै बेला फिर्ता लिन मिल्ने। हरेक अनुरोधसँग डेटा, उद्देश्य, फिर्ता र अधिकार संयन्त्र, र DPBI मा जाने बाटो वर्णन गर्ने Section 5 सूचना हुनुपर्छ — अंग्रेजी र Eighth Schedule का २२ भाषामध्ये प्रत्येकमा उपलब्ध।
आधार २: केही वैध प्रयोगहरू
Section 7 ले सहमतिविना प्रशोधन अघि बढ्न सक्ने वैध प्रयोगहरूको बन्द सूची तोक्छ। सबैभन्दा धेरै प्रयोग गरिएका:
Data Principal द्वारा स्वैच्छिक प्रावधान
Section 7(a)जहाँ principal ले स्वेच्छाले आफ्नो डेटा प्रदान गर्छन् र भनिएको उद्देश्यका लागि यसको प्रयोगमा असहमति जनाएका छैनन्।
राज्य कार्य र लाभ वितरण
Section 7(b)राज्यद्वारा अनुदान, लाभ, सेवा, प्रमाणपत्र, इजाजतपत्र वा अनुमतिको प्रावधान।
कानुन वा न्यायिक आदेशको अनुपालन
Section 7(c)-(d)जहाँ प्रशोधन कुनै फैसला, डिक्री वा प्रचलित कानुन अनुपालन गर्न आवश्यक हुन्छ।
चिकित्सा आपत्काल र महामारी
Section 7(e)-(f)चिकित्सा आपत्काल, महामारी, प्रकोप वा सार्वजनिक स्वास्थ्यमा खतराको प्रतिक्रिया दिन।
रोजगारी-सम्बन्धी प्रशोधन
Section 7(i)रोजगारीका लागि उपयुक्तता निर्धारण, कर्मचारीलाई सेवा वा लाभ प्रदान, वा कार्यस्थलमा सुरक्षाका लागि।
Data Principal का अधिकारहरू।
Chapter III ले हरेक Data Principal लाई चार मूलभूत अधिकार प्रदान गर्छ, तिनको डेटा प्रशोधन गर्ने कुनै पनि Fiduciary विरुद्ध प्रयोगयोग्य। नियमहरूले प्राप्तिको नब्बे दिनभित्र प्रतिक्रिया आवश्यक गर्छ।
जानकारीमा पहुँचको अधिकार
प्रशोधन भइरहेको व्यक्तिगत डेटाको सारांश, प्रशोधन गतिविधि, र डेटा साझा गरिएका अन्य Fiduciary को पहिचान।
सुधार र मेटाउने अधिकार
अशुद्ध वा भ्रामक डेटाको सुधार, अपूर्ण डेटाको पूर्ति, पुरानो डेटाको अद्यावधिक, र आवश्यक नरहेको डेटाको मेटाउने।
गुनासो समाधानको अधिकार
पहिले Fiduciary को गुनासो अधिकारीलाई सम्पर्क गर्ने; त्यो संयन्त्र समाप्त गरेपछि मात्र DPBI मा वृद्धि गर्ने।
मनोनयन गर्ने अधिकार
मृत्यु वा असक्षमताको अवस्थामा आफ्नो तर्फबाट यी अधिकार प्रयोग गर्न अर्को व्यक्ति नियुक्त गर्ने।
ऐनले Data Principals माथि कर्तव्य पनि लगाउँछ — झूटा वा तुच्छ गुनासो दायर नगर्ने, नक्कली परिचय नगर्ने, महत्त्वपूर्ण जानकारी नलुकाउने। उल्लंघनले ₹10,000 सम्म दण्ड आकर्षित गर्न सक्छ (Section 15)।
Data Fiduciary का दायित्वहरू।
Section 8, सञ्चालनयोग्य बनाउने नियमहरूसँग पढ्दा, हरेक Fiduciary ले पालना गर्नुपर्ने मूल दायित्वहरू तोक्छ — जसको वरिपरि अनुपालन कार्यक्रम निर्माण गरिन्छ।
प्रशोधनअघि सूचना
संकलन गर्दा वा अघि सरल भाषामा स्पष्ट, वस्तुगत सूचना — अंग्रेजी र २२ अनुसूचित भाषामा।
वैध सहमति र वैध उद्देश्य
सहमति वा Section 7 वैध प्रयोगअन्तर्गत मात्र प्रशोधन गर्ने; सहमति दिइएजस्तै सजिलै फिर्तालाई सम्मान गर्ने।
शुद्धता र पूर्णता
Principal लाई असर गर्ने निर्णय गर्न प्रयोग गरिने व्यक्तिगत डेटा शुद्ध र पूर्ण छ भनी सुनिश्चित गर्न उचित प्रयास गर्ने।
उचित सुरक्षाकवच
उल्लंघन रोक्न उपयुक्त प्राविधिक र संगठनात्मक उपाय लागू गर्ने — इन्क्रिप्सन, पहुँच नियन्त्रण, अनुगमन र लगसहित।
उल्लंघन सूचना
DPBI लाई बिनाढिलाइ सूचित गर्ने; ७२ घण्टाभित्र विस्तृत प्रतिवेदन दिने; प्रभावित Principals लाई सरल भाषामा सूचित गर्ने।
भण्डारण सीमा र मेटाउने
सहमति फिर्ता लिँदा वा उद्देश्य पूरा नभएपछि व्यक्तिगत डेटा मेटाउने — ई-कमर्स, सामाजिक मिडिया र अनलाइन गेमिङका लागि तीन-वर्षे पूर्वनिर्धारितसहित।
बालबालिकाको डेटा सुरक्षा
१८ वर्षमुनि कसैको डेटा प्रशोधन गर्नुअघि प्रमाणयोग्य अभिभावकीय सहमति; कुनै ट्र्याकिङ, व्यवहारगत अनुगमन वा लक्षित विज्ञापन होइन।
गुनासो समाधान संयन्त्र
व्यवसाय सम्पर्क जानकारी प्रकाशित गर्ने र ९० दिनभित्र प्रतिक्रियासहित प्रभावकारी गुनासो समाधान संयन्त्र प्रदान गर्ने।
SDF थप दायित्व
अधिसूचित SDF का लागि: भारतमा आधारित DPO नियुक्त गर्ने, स्वतन्त्र डेटा अडिटर संलग्न गर्ने, र वार्षिक DPIA + अडिट सञ्चालन गर्ने।
दण्डहरू एक नजरमा।
DPDP ऐनले शुद्ध नागरिक दण्ड व्यवस्था स्थापित गर्छ — कुनै फौजदारी सजाय छैन। Section 33, अनुसूचीसँग पढ्दा, DPBI लाई प्रति उल्लंघन तोकिएको सीमासम्म दण्ड लगाउन अधिकार दिन्छ।
DPBI का आदेश ६० दिनभित्र TDSAT मा अपिलयोग्य छन्, Supreme Court मा थप अपिलसहित। महत्त्वपूर्ण कुरा, data processors लाई सीधै दण्डित गर्न सकिँदैन — प्रोसेसर असफलताका लागि Fiduciary नै उत्तरदायी रहन्छ, जसले विक्रेता सुशासनलाई महत्त्वपूर्ण अनुपालन क्षेत्र बनाउँछ।
चरणबद्ध कार्यान्वयन समयरेखा।
ऐन २०२३ मा पारित भए र नियमहरू नोभेम्बर २०२५ मा अधिसूचित भए पनि, मूलभूत दायित्वहरू तीन चरणमा सक्रिय हुन्छन्। तपाईं कुन चरणमा हुनुहुन्छ भन्ने जान्नु कानुनी एक्सपोजर र कार्यक्रम योजना दुवैका लागि अत्यावश्यक छ।
DPDP ऐनले राष्ट्रपतिको स्वीकृति पाउँछ
संसद्ले DPDP Bill, 2023 पारित गर्छ; राष्ट्रपतिले स्वीकृति दिन्छन्। ऐन कानुनमा अस्तित्वमा छ तर नियमविना कुनै सञ्चालन शक्ति छैन।
मस्यौदा DPDP नियमहरू सार्वजनिक परामर्शका लागि जारी
MeitY ले मस्यौदा नियम प्रकाशित गर्छ र सरोकारवाला इनपुट आमन्त्रित गर्छ। स्टार्टअप, उद्यम, नागरिक समाज र नागरिकबाट ६,९१५ सुझाव प्राप्त हुन्छन्।
DPDP Rules, 2025 अधिसूचित · चरण १ लागू
अन्तिम नियम G.S.R. 846(E) मार्फत अधिसूचित। चरण १ ले प्रक्रियागत प्रावधान लागू गर्छ: परिभाषा, DPBI को स्थापना, र दिवानी अदालतको क्षेत्राधिकारमा रोक।
Consent Manager प्रावधान लागू
Consent Managers को DPBI मा दर्ता, तिनका दायित्व, र दर्ता सर्त उल्लंघनको छानबिन र दण्ड लगाउने Board का अधिकार प्रभावकारी हुन्छन्।
मूलभूत दायित्वहरू पूर्ण रूपमा लागू
सबै बाँकी प्रावधान सक्रिय हुन्छन्: सूचना र सहमति, प्रशोधन आधार, सुरक्षाकवच, उल्लंघन सूचना, बालबालिकाको डेटा, SDF दायित्व, सीमा-पार स्थानान्तरण, Data Principal अधिकार, र छुटहरू।
अधिसूचनादेखि पूर्ण कार्यान्वयनसम्मको ९-महिने रनवेले नै अहिलेलाई महत्त्वपूर्ण तयारी झ्याल बनाउँछ। May 2027 सम्म पर्खने संस्थाहरूले ९ महिना मुस्किलले पुग्ने पाउनेछन् — विशेष गरी डेटा खोज, सहमति पुनःइन्जिनियरिङ, विक्रेता पुनःवार्ता र सूचना अनुवादका लागि।
DPDP कसरी GDPR र SPDI नियमभन्दा फरक छ।
पहिले नै GDPR वा SPDI नियमसँग मिलेका संस्थाहरूका लागि, DPDP आंशिक रूपमा परिचित र आंशिक रूपमा नयाँ छ। यो तुलनाले सञ्चालनगत रूपमा महत्त्वपूर्ण भिन्नताहरू उजागर गर्छ।
| मापदण्ड | DPDP ऐन र नियम | EU GDPR |
|---|---|---|
| दायरा | डिजिटल व्यक्तिगत डेटा मात्र | सबै व्यक्तिगत डेटा, डिजिटल वा अन्यथा (संरचित कागज सहित) |
| संवेदनशील डेटा वर्ग | कुनै छुट्टै "संवेदनशील" वर्ग छैन — सबै व्यक्तिगत डेटालाई समान व्यवहार | थप दायित्वसहितका विशेष वर्ग (स्वास्थ्य, बायोमेट्रिक, आदि) |
| वैध आधार | दुई: सहमति वा बन्द-सूचीका वैध प्रयोगमध्ये एक (Section 7) | छ: सहमति, सम्झौता, कानुनी दायित्व, महत्त्वपूर्ण हित, सार्वजनिक कार्य, वैध हित |
| सीमा-पार स्थानान्तरण | पूर्वनिर्धारित-अनुमतिप्राप्त; सरकारले कालोसूचीमा राखेका देशका लागि मात्र प्रतिबन्धित | पर्याप्तता निर्णय, SCCs, BCRs र अन्य निर्धारित संयन्त्र |
| उल्लंघन सूचना | बिनाढिलाइ; ७२ घण्टाभित्र विस्तृत प्रतिवेदन; सबै उल्लंघन प्रतिवेदनयोग्य | अधिकार र स्वतन्त्रतामा जोखिमको सम्भावना नभएसम्म ७२ घण्टाभित्र |
| अधिकतम दण्ड | प्रति उल्लंघन ₹250 Cr (~USD 30M); उल्लंघनहरूभर संचयी | €20M वा विश्वव्यापी वार्षिक कारोबारको 4%, जुन बढी हुन्छ |
| कार्यान्वयन | नागरिक दण्ड मात्र; कुनै फौजदारी सजाय छैन | नागरिक दण्ड; केही सदस्य राष्ट्रले फौजदारी प्रावधान राख्छन् |
| डेटा पोर्टेबिलिटीको अधिकार | हालको ऐनमा प्रदान गरिएको छैन | Article 20 अन्तर्गत प्रदान गरिएको |
| स्वचालित निर्णयमा आपत्ति गर्ने अधिकार | हालको ऐनमा प्रदान गरिएको छैन | Article 22 अन्तर्गत प्रदान गरिएको |
SPDI नियमबाट संक्रमण गर्ने भारतीय व्यवसायहरूका लागि, सबैभन्दा विघटनकारी परिवर्तनहरू हुन्: (a) "संवेदनशील व्यक्तिगत डेटा" बाट समान व्यवहारमा सर्नु, (b) अनुमतिप्रद वैध आधारको हानि (अब "वैध हित" छैन), र (c) दण्ड एक्सपोजरको नाटकीय वृद्धि — वास्तविक क्षतिको क्षतिपूर्तिबाट सयौं करोडको वैधानिक सीमासम्म।