اصل ایکٹ، قواعد اور شیڈولز — قابلِ نیویگیشن۔

بنیادی الفاظ کی وضاحت کرتا ہے — ذاتی ڈیٹا (2(t))، ڈیٹا پرنسپل (2(j))، ڈیٹا فِڈیوشری (2(i))، ڈیٹا پروسیسر (2(k))، رضامندی، اور پروسیسنگ۔ تمام ذاتی ڈیٹا کا یکساں سلوک کیا جاتا ہے؛ کوئی الگ "حساس" کیٹیگری نہیں ہے۔

بھارت کے اندر ڈیجیٹل ذاتی ڈیٹا پر اور بھارت سے باہر ایسی پروسیسنگ پر لاگو جو بھارت کے لوگوں کو اشیا/خدمات کی پیشکش سے جڑی ہو۔ ذاتی/گھریلو استعمال اور پرنسپل کی جانب سے یا قانونی ذمہ داری کے تحت عوامی طور پر دستیاب کردہ ڈیٹا کو خارج کرتا ہے۔

رضامندی آزادانہ، مخصوص، باخبر، غیر مشروط اور غیر مبہم ہونی چاہیے، واضح مثبت عمل کے ذریعے — اور اتنی ہی آسانی سے واپس لینے کے قابل جتنی آسانی سے دی گئی۔ کنسینٹ مینیجر ایکو سسٹم متعارف کراتا ہے۔

استعمالات کی ایک بند فہرست جہاں پروسیسنگ رضامندی کے بغیر آگے بڑھ سکتی ہے: رضاکارانہ فراہمی، ریاستی افعال، قانونی تعمیل، طبی ہنگامی صورتحال، آفات، اور ملازمت۔ کوئی وسیع "جائز مفادات" کی بنیاد موجود نہیں۔

درستگی، معقول سیکیورٹی حفاظتی اقدامات، خلاف ورزی اطلاع، اسٹوریج کی حد اور مٹانا، اور شکایات کا طریقہ کار۔ Section 8(2) فِڈیوشری کو اپنے پروسیسرز کے لیے ذمہ دار بناتا ہے۔

18 سال سے کم عمر کسی بھی شخص کے ڈیٹا کی پروسیسنگ سے پہلے قابلِ تصدیق والدین کی رضامندی؛ بچوں کی ٹریکنگ، رویّہ جاتی نگرانی اور ہدف شدہ اشتہارات پر مکمل پابندی۔

حکومت حجم، حساسیت، رسک اور خودمختاری کے عوامل کی بنیاد پر SDFs نامزد کر سکتی ہے۔ SDFs کو بھارت میں مقیم DPO مقرر کرنا، سالانہ DPIAs اور آزاد آڈٹ چلانا ضروری ہے۔

پروسیس کیے جانے والے ذاتی ڈیٹا کا خلاصہ، پروسیسنگ سرگرمیاں، اور ان دیگر فِڈیوشریز کی شناخت جن کے ساتھ اسے شیئر کیا گیا ہے۔

غلط یا گمراہ کن ڈیٹا کی تصحیح، نامکمل ڈیٹا کی تکمیل، اور اس ڈیٹا کا مٹانا جو بیان کردہ مقصد کے لیے مزید درکار نہ ہو۔

پہلے فِڈیوشری کے گریوینس آفیسر سے رجوع کریں؛ اس طریقہ کار کو مکمل کرنے کے بعد ہی DPBI تک ایسکلیٹ کریں۔ 90 دن جواب SLA۔

موت یا معذوری کی صورت میں ان حقوق کو اپنی جانب سے استعمال کرنے کے لیے کسی دوسرے فرد کو مقرر کریں۔

کوئی جھوٹی یا فضول شکایات نہیں، کوئی جعل سازی نہیں، مادی معلومات کو دبانا نہیں۔ خلاف ورزی پر ₹10,000 تک جرمانہ ہو سکتا ہے۔

بطورِ ڈیفالٹ اجازت شدہ: حکومت اطلاع کے ذریعے مخصوص ممالک تک منتقلی پر پابندی لگا سکتی ہے۔ May 2026 تک، کسی ملک کو بلیک لسٹ نہیں کیا گیا۔

بعض ریاستی اور تحقیقی پروسیسنگ کے لیے مشروط، اعلان شدہ استثنائات — کوئی مکمل چھوٹ نہیں؛ حفاظتی اقدامات پھر بھی لاگو ہوتے ہیں۔

ایک ڈیجیٹل-فرسٹ فیصلہ ساز ادارہ جو خلاف ورزیوں کی تحقیقات کرتا ہے، اصلاحی اقدامات کی ہدایت دیتا ہے اور جرمانے عائد کرتا ہے۔ تشکیل، ترکیب اور طریقہ کار Rules 16-22 کے ذریعے چلتے ہیں۔

DPBI کے احکامات سے اپیلیں 60 دنوں کے اندر ٹیلی کام ڈسپیوٹس سیٹلمنٹ اینڈ اپیلیٹ ٹریبونل کے سامنے آتی ہیں؛ قانون کے سوالات پر سپریم کورٹ میں مزید اپیل۔

صرف دیوانی جرمانے، فی خلاف ورزی: ₹250 Cr (سیکیورٹی)، ₹200 Cr (خلاف ورزی نوٹس / بچے)، ₹150 Cr (SDF)، ₹50 Cr (کوئی دیگر)، ₹10K (ڈیٹا پرنسپل فرائض)۔ بورڈ نوعیت، سنگینی، دورانیہ، تکرار، فوائد اور اصلاح کو تولتا ہے۔

Section 5 کے تحت درکار نوٹس کے تفصیلی مواد اور شکل کا تعین کرتا ہے۔

کنسینٹ مینیجرز DPBI کے ساتھ کیسے رجسٹر ہوتے ہیں اور انہیں کن معیارات پر پورا اترنا ہے۔ فیز 2 (تقریباً Nov 2026) میں شروع ہونے کی توقع ہے۔

سات حفاظتی اقدامات کی کیٹیگریز: انکرپشن، رسائی کنٹرول، بیک اپ، 1 سالہ لاگ برقراری، پتہ لگانا، پروسیسر معاہدے اور تکنیکی/تنظیمی اقدامات۔

دو رخی اطلاع — بورڈ کو "بلا تاخیر" مقررہ مندرجات کے ساتھ، اور متاثرہ ڈیٹا پرنسپلز کو جتنی جلد ممکن ہو۔

زیادہ حجم والے ای کامرس، گیمنگ اور سوشل میڈیا اداروں کے لیے برقراری کے ڈیفالٹس: آخری سرگرمی سے تین سال، 48 گھنٹے پیشگی مٹانے کی اطلاع کے ساتھ۔

بچوں کے ڈیٹا کی پروسیسنگ سے پہلے شناخت کی تصدیق شدہ والدین کی رضامندی کا تقاضا کرتا ہے؛ خود اعلان کردہ عمر کے گیٹ کافی نہیں۔

DPIA، سالانہ آزاد آڈٹ، بورڈ کو رپورٹ کرنے والا بھارت میں مقیم DPO، اور وقتاً فوقتاً رسک اسیسمنٹ۔

حقوق کے عمل اور 90 دن جواب SLA کو فعال بناتا ہے۔

ہر خلاف ورزی کو Section 33 کے تحت اس کی مالیاتی حد سے منسلک کرتا ہے۔

صارف کی گنتی کی وہ حدیں جو ای کامرس، گیمنگ اور سوشل میڈیا انٹرمیڈیریز کے لیے Rule 8 کے برقراری ڈیفالٹس کو متحرک کرتی ہیں۔