धेरैजसो टोलीले ऐनलाई किन गलत पढ्छन्
DPDP Act, 2023 एउटा कर्तव्य-आधारित कानुन हो। यसले एक Data Fiduciary ले के गर्नुपर्छ भन्ने बताउँछ — सूचना दिनु, सहमति लिनु, डेटा सुरक्षित राख्नु, अधिकारमा प्रतिक्रिया दिनु, उल्लङ्घनको प्रतिवेदन गर्नु। 13 नोभेम्बर 2025 मा सूचित Rules ले ती काम कसरी गर्ने र कुन मापदण्डमा गर्ने भन्ने बताउँछन्।
केवल Act पढ्दा सही सिद्धान्त पाइन्छ तर गलत सूक्ष्मता। केवल Rules पढ्दा यान्त्रिक विवरण पाइन्छ, तर त्यो यान्त्रिकतालाई बचाउयोग्य बनाउने सिद्धान्तहरू पाइँदैनन्।
सबैभन्दा महत्त्वपूर्ण जोडीहरू
प्रत्येक अभ्यासकर्तालाई कण्ठस्थ हुनुपर्ने सातवटा Section-Rule जोडी यहाँ छन्:
1. Section 5 (सूचना) ↔ Rule 3 (सूचनाको विषयवस्तु)
Section 5 ले भन्छ कि तपाईंले सूचना दिनुपर्छ। Rule 3 ले यसको स्वरूप र न्यूनतम विषयवस्तु तोक्छ: व्यक्तिगत डेटाको मदवार सूची, उद्देश्यहरूको मदवार सूची, सहमति फिर्ता लिने लिङ्क, अधिकार प्रयोग गर्ने लिङ्क, Data Protection Board सम्म पुग्ने बाटो। Rule 3 बिना तपाईंको सूचना 'अनुपालनकारी' हुन सक्छ तर बेकार। दुवै मिल्दा यो साँच्चै काम गर्छ।
2. Section 6 (सहमति) ↔ Rule 4 (Consent Manager दर्ता)
Section 6 ले सहमतिको मापदण्ड तोक्छ — स्वतन्त्र, निर्दिष्ट, सुसूचित, सर्तरहित, स्पष्ट। Consent Managers (मध्यस्थकर्ताको एउटा नयाँ पारिस्थितिकी) DPBI मा कसरी दर्ता हुन्छन् भन्ने Rule 4 ले नियन्त्रण गर्छ। यदि तपाईंको व्यापार मोडेल सहमति पूर्वाधारसँग जोडिन्छ भने — र धेरै fintech, AA-सम्बन्धित वा क्रस-प्लेटफर्म व्यापार जोडिन्छन् — Rule 4 महत्त्वपूर्ण छ।
3. Section 8(5)-(6) (सुरक्षा र उल्लङ्घन) ↔ Rules 6 र 7
तपाईंले उचित सुरक्षा उपाय लिनुपर्छ र व्यक्तिगत डेटा उल्लङ्घनबारे Board (र प्रभावित Data Principals) लाई जानकारी दिनुपर्छ भनी Act ले भन्छ। Rule 6 ले सातवटा सुरक्षा वर्ग तोक्छ — इन्क्रिप्सन, पहुँच नियन्त्रण, लगिङ आदि। Rule 7 ले उल्लङ्घन-सूचनाको ढाँचा र समय तोक्छ। सँगै यिनले तपाईंको सुरक्षा-र-उल्लङ्घन आधाररेखा बनाउँछन्।
4. Section 9 (बालबालिका) ↔ Rule 10 (प्रमाणित गर्न सकिने अभिभावकको सहमति)
प्रमाणित गर्न सकिने अभिभावकको सहमति बिना बालबालिकाको डेटा प्रशोधन Section 9 ले निषेध गर्छ, साथै बालबालिकाको ट्र्याकिङ, व्यवहार निगरानी वा लक्षित विज्ञापन निषेध गर्छ। व्यवहारमा 'प्रमाणित गर्न सकिने' भनेको के हो, Rule 10 ले तोक्छ — उत्तर: स्व-घोषित उमेरको गेट होइन। उपभोक्ता-सम्मुख सेवाहरूका लागि सम्पूर्ण ढाँचामा यही सबैभन्दा बढी सञ्चालन-भार भएको बाध्यता हो।
5. Section 10 (SDF) ↔ Rules 12 र 13
परिमाण, संवेदनशीलता, क्षेत्रगत जोखिम र अन्य मापदण्डका आधारमा Significant Data Fiduciaries तोक्ने अवसर Section 10 ले केन्द्र सरकारलाई दिन्छ। Rules 12-13 ले थप बाध्यता तोक्छन्: DPIAs, वार्षिक स्वतन्त्र लेखापरीक्षण, बोर्ड-रिपोर्टिङसहित भारत-आधारित DPO, आवधिक जोखिम मूल्याङ्कन। यदि तपाईं योग्य हुन सक्नुहुन्छ भने अहिल्यै तयारी सुरु गर्नुहोस् — सूचनापछि तपाईंलाई संक्रमण अवधि पाइँदैन।
6. Sections 11-14 (अधिकार) ↔ Rules 14 र 15
Act ले Data Principals का लागि चारवटा अधिकार सिर्जना गर्छ: पहुँच, सुधार, मेटाउने, गुनासो समाधान। प्रतिक्रियाका लागि 90-दिनको SLA Rule 14 ले तोक्छ। Data Protection Board सम्मको पुनरावेदन बाटो Rule 15 ले नियन्त्रण गर्छ। सञ्चालन उपकरण बिना — DSAR पोर्टल, पहिचान प्रमाणीकरण, सिस्टम म्यापिङ — कुनै पनि अर्थपूर्ण परिमाणमा SLA पूरा गर्न असम्भव छ।
7. Section 16 (सीमापार) ↔ SDFs का लागि Rule 13(4)
जहाँ केन्द्र सरकारले देश-प्रतिबन्ध सूचना जारी गर्छ, त्यसबाहेक Section 16 ले हाल सीमापार स्थानान्तरणलाई अनुमति दिन्छ। SDFs को केही व्यक्तिगत डेटा भारतभित्रै रहनुपर्छ भनी माग गर्ने थप अवसर Rule 13(4) ले सरकारलाई दिन्छ। पूर्वनिर्धारित खुला छ; भविष्य सर्तयुक्त छ। आफ्ना प्रवाहहरू अहिल्यै म्याप गर्नुहोस्।
प्रभावकारी पढाइको क्रम
यदि तपाईं यो ढाँचामा नयाँ हुनुहुन्छ भने यो क्रममा पढ्नुहोस्:
- Act का Sections 4-9 (मूल कर्तव्य)
- Rules 3, 6, 7, 10, 14 (ती कर्तव्यहरूको सञ्चालन विवरण)
- Act को Section 10 + Rules 12-13 (SDF तयारी)
- Act का Sections 27-28 (Data Protection Board)
- Schedule of Penalties (गल्ती गर्नुको मूल्य)
अहिले के चरणबद्ध रूपमा आउँदैछ
Phase 1 अहिल्यै हो: सूचना, सहमति, सुरक्षा, उल्लङ्घन प्रतिवेदन र अधिकार ढाँचा पहिल्यै सञ्चालनमा हुनुपर्छ। Phase 2 — लगभग नोभेम्बर 2026 मा अपेक्षित — Consent Manager पारिस्थितिकी सक्रिय गर्छ। Phase 3, 13 मे 2027 मा, SDF ट्रिगर, पूर्ण गुनासो र लेखापरीक्षण संयन्त्र, जरिवाना कार्यान्वयनको औपचारिक सुरुवातसहित मूल बाध्यताहरू ल्याउँछ।
कानुन सँगै पढ्नुहोस्। सञ्चालन सँगै बनाउनुहोस्। Phase 3 को पर्खाइ नगर्नुहोस्।