संरचना
DPDP Act को Schedule of Penalties ले देवानी जरिवानामा सीमा लगाउँछ। Act मा कुनै फौजदारी अपराध छैन — IT Act बाट जानाजान गरिएको प्रस्थान। सीमाहरू:
- ₹250 करोड — उचित सुरक्षा सुरक्षण नलिनुको असफलता (Section 8(5))
- ₹200 करोड — Board / Data Principal लाई उल्लङ्घन सूचना नदिनुको असफलता (Section 8(6))
- ₹200 करोड — बालबालिकाको-डेटा बाध्यता पूरा नगर्नुको असफलता (Section 9)
- ₹150 करोड — Significant Data Fiduciary का थप बाध्यताको असफलता (Section 10)
- ₹50 करोड — अन्य कुनै कर्तव्यको असफलता
- ₹10,000 — कुनै Data Principal कर्तव्यको असफलता (Section 15) प्रति घटना
Board ले यी कसरी लागू गर्छ
जरिवानाको परिमाण तय गर्दा Board ले विचार गर्ने विषयहरू Section 33 ले सूचीबद्ध गर्छ:
- अतिक्रमणको प्रकृति, गम्भीरता, अवधि
- प्रभावित व्यक्तिगत डेटाको प्रकार र प्रकृति
- दोहोरिने प्रकृति
- अन्यायपूर्ण लाभ भयो कि भएन
- स्वैच्छिक उपचार भयो कि भएन
- अतिक्रमणकर्तामा असमान प्रभाव
- जनतामा प्रभाव
सीमा अधिकतम छत हो, भुइँ होइन। साना, कम-गम्भीर अतिक्रमणले साना जरिवाना आकर्षित गर्छन्।
संयोजनको प्रश्न
एउटै घटनाबाट उत्पन्न धेरै अतिक्रमणले धेरै जरिवाना आकर्षित गर्न सक्छन्। बालबालिकाको डेटा संलग्न उल्लङ्घन, ढिलो सूचनासहित, कुनै SDF द्वारा प्रशोधित, सुरक्षा अपर्याप्ततासहित — सिद्धान्ततः Sections 8(5), 8(6), 9 र 10 अन्तर्गत एकैचोटि जरिवाना आकर्षित गर्न सक्छ। अधिकतम सैद्धान्तिक जोखिम: ₹800 करोड।
जोखिम कसरी सीमित गर्ने
सबैभन्दा सिधै तपाईंको नियन्त्रणमा रहेका कारक:
- उचित उपाय: Section 8(5) ले सुरक्षाको असफलतालाई दण्डित गर्छ। लेखिएको, प्रमाणसहितको सुरक्षा कार्यक्रम देखाउनुले (Rule 6 नियन्त्रण कार्यान्वित, लेखापरीक्षित, समीक्षित) उल्लङ्घन भए पनि जोखिम सीमित गर्छ।
- सूचना अनुशासन: Section 8(6) ले सूचना नदिनुलाई दण्डित गर्छ। पहिल्यै बनेको प्लेबुक, पहिल्यै मस्यौदा गरिएका टेम्प्लेट, नियुक्त निर्णयकर्ता — सबैले ढिलो वा नदिइएको सूचनाको जोखिम घटाउँछन्।
- स्वैच्छिक उपचार: स्व-खुलासा गरिएका अतिक्रमणले, लेखिएको उपचारसहित, घटेका जरिवाना आकर्षित गर्छन्।
- बालबालिकाको-डेटा कार्यक्रम: Section 9 ले सबैभन्दा उच्च सीमामध्ये एक राख्छ। सबैभन्दा बढी प्रभावको एकल लगानी हो प्रमाणित गर्न सकिने अभिभावकको सहमति प्रवाह र मार्केटिङ-सिस्टममा बाल-बहिष्करण।
- विक्रेता प्रवाह: Section 8(2) ले प्रोसेसरका असफलताका लागि तपाईंलाई उत्तरदायी बनाउँछ। बलियो DPA र विक्रेता-DDQ कार्यक्रमले यसलाई सीमित गर्छन्।
बोर्ड-प्याक दृष्टिकोण
बोर्ड-स्तरको प्रतिवेदनका लागि जरिवाना जोखिम यसरी प्रस्तुत गर्नुहोस्: अधिकतम सैद्धान्तिक जोखिम (सम्बन्धित सीमाको योग) versus वर्तमान नियन्त्रणपछि तपाईंको बाँकी जोखिम। ढाँचाका लागि Template 16 प्रयोग गर्नुहोस्। त्रैमासहरूमा बाँकी जोखिमको प्रवृत्ति नै सबैभन्दा उपयोगी एकल मापक हो।