DPDP ایکٹ اور قواعد کو سمجھنا — سادہ زبان میں۔

بھارت کے ڈیجیٹل دور کے بیشتر حصے میں، ذاتی ڈیٹا کو ایک واحد، پرانے آلے سے چلایا جاتا تھا: انفارمیشن ٹیکنالوجی ایکٹ، 2000، جس میں 2011 کے SPDI قواعد کی تکمیل تھی — ایک نظام جو اسمارٹ فونز، سوشل پلیٹ فارمز، فِن ٹیک ایپس اور کلاؤڈ کمپیوٹنگ کے ذاتی ڈیٹا کو تقریباً ہر کاروبار کا آپریٹنگ سبسٹریٹ بنانے سے پہلے تیار کیا گیا تھا۔

فیصلہ کن لمحہ اگست 2017 تھا۔ سپریم کورٹ کے نو ججوں کے آئینی بینچ نے، جسٹس K.S. Puttaswamy (ریٹائرڈ) بمقابلہ یونین آف انڈیا میں، متفقہ طور پر قرار دیا کہ پرائیویسی کا حق آرٹیکل 21 کے تحت محفوظ ایک بنیادی حق ہے۔ اس نے ریاست پر ایک جامع ڈیٹا پروٹیکشن قانون بنانے کی آئینی ذمہ داری عائد کی۔

اس کے بعد ایک چھ سالہ سفر آیا۔ جسٹس B.N. Srikrishna کمیٹی نے 2018 میں ایک مسودہ بل پیش کیا؛ 2019 اور 2022 میں مزید نظرِ ثانیاں ہوئیں۔ موجودہ ایکٹ — کم کیا گیا، آسان بنایا گیا، اور نیا نام دیا گیا — لوک سبھا میں 3 اگست 2023 کو پیش کیا گیا اور 11 اگست 2023 کو صدارتی منظوری ملی۔ حتمی DPDP قواعد، 2025 کو MeitY نے 13 نومبر 2025 کو گزٹ نوٹیفکیشن G.S.R. 846(E) کے ذریعے مطلع کیا۔ اس کے ساتھ، بھارت کے پاس بالآخر ایک آپریشنل ڈیٹا پروٹیکشن نظام ہے۔

ایکٹ دو مزید پہلوؤں میں غیر معمولی ہے۔ یہ بھارتی پارلیمنٹ کا پہلا ایکٹ ہے جو بطورِ ڈیفالٹ "she" اور "her" ضمائر استعمال کرتا ہے، اور یہ اس چیز کی پیروی کرتا ہے جسے MeitY SARAL ڈیزائن کہتا ہے — Simple، Accessible، Rational، اور Actionable — قانونی متن میں سادہ زبان استعمال کرتے ہوئے۔

DPDP ایکٹ ڈیجیٹل ذاتی ڈیٹا کی پروسیسنگ پر لاگو ہوتا ہے۔ یہ جان بوجھ کر ایک تنگ جملہ ہے، اور ہر لفظ اہم ہے۔

ایکٹ اور قواعد کی ہر آپریٹو دفعہ سات بنیادی اصولوں کی طرف واپس جاتی ہے — MeitY کے SARAL ڈیزائن کی بنیاد۔ ان سات کا احترام کریں اور باقی عموماً پیروی کرتا ہے۔

یہ محض خواہشات نہیں ہیں — یہ براہِ راست قابلِ نفاذ ذمہ داریوں پر نقشہ بند ہوتے ہیں: Section 6 میں رضامندی، Section 7 میں مقصد کی حد، Section 8(5) میں سیکیورٹی حفاظتی اقدامات، وغیرہ۔ انہیں اپنا تعمیل کمپاس سمجھیں۔

فریم ورک کرداروں کی ایک لغت متعارف کراتا ہے جن سے آپ ایکٹ، قواعد اور ہر آپریشنل دستاویز میں ملیں گے۔ کچھ GDPR سے مستعار ہیں؛ دیگر منفرد طور پر بھارتی ہیں۔

GDPR اور اس کی چھ قانونی بنیادوں کے برعکس، DPDP ایکٹ صرف دو بنیادیں تسلیم کرتا ہے: رضامندی، یا Section 7 میں بند فہرست کے جائز استعمالات میں سے ایک۔ واپس گرنے کے لیے کوئی وسیع "جائز مفادات" کی بنیاد نہیں ہے۔

بنیاد 1: رضامندی

رضامندی تجارتی پروسیسنگ کے لیے غالب راستہ ہے۔ Section 6 کے تحت، رضامندی آزادانہ، مخصوص، باخبر، غیر مشروط اور غیر مبہم ہونی چاہیے، واضح مثبت عمل کے ذریعے ظاہر کی گئی — اور کسی بھی وقت اسی آسانی سے واپس لینے کے قابل جتنی آسانی سے دی گئی۔ ہر درخواست کے ساتھ ایک Section 5 نوٹس ہونا چاہیے جو ڈیٹا، مقصد، دستبرداری اور حقوق کے طریقہ کار، اور DPBI کے راستے کو بیان کرے — انگریزی اور آٹھویں شیڈول کی 22 زبانوں میں سے ہر ایک میں دستیاب۔

بنیاد 2: بعض جائز استعمالات

Section 7 جائز استعمالات کی ایک بند فہرست بیان کرتا ہے جہاں پروسیسنگ رضامندی کے بغیر آگے بڑھ سکتی ہے۔ سب سے زیادہ عام طور پر استعمال ہونے والے:

باب III ہر ڈیٹا پرنسپل کو چار بنیادی حقوق عطا کرتا ہے، جو اس کا ڈیٹا پروسیس کرنے والے کسی بھی فِڈیوشری کے خلاف قابلِ استعمال ہیں۔ قواعد وصولی کے نوے دنوں کے اندر جواب کا تقاضا کرتے ہیں۔

ایکٹ ڈیٹا پرنسپلز پر فرائض بھی عائد کرتا ہے — جھوٹی یا فضول شکایات دائر نہ کرنا، جعل سازی نہ کرنا، مادی معلومات نہ دبانا۔ خلاف ورزی پر ₹10,000 تک جرمانہ ہو سکتا ہے (Section 15)۔

Section 8، فعال بنانے والے قواعد کے ساتھ، ہر فِڈیوشری کے لیے مشاہدہ کرنے کی بنیادی ذمہ داریاں بیان کرتا ہے — وہ ذمہ داریاں جن کے گرد تعمیل پروگرام بنائے جاتے ہیں۔

DPDP ایکٹ ایک خالصتاً دیوانی جرمانہ نظام قائم کرتا ہے — کوئی فوجداری سزائیں نہیں۔ Section 33، شیڈول کے ساتھ، DPBI کو فی خلاف ورزی مقررہ حدوں تک جرمانے عائد کرنے کا اختیار دیتا ہے۔

DPBI کے احکامات 60 دنوں کے اندر TDSAT کو قابلِ اپیل ہیں، سپریم کورٹ میں مزید اپیلوں کے ساتھ۔ اہم بات یہ ہے کہ ڈیٹا پروسیسرز کو براہِ راست جرمانہ نہیں کیا جا سکتا — فِڈیوشری پروسیسر کی ناکامیوں کا ذمہ دار رہتا ہے، جو وینڈر گورننس کو ایک اہم تعمیل ڈومین بناتا ہے۔

اگرچہ ایکٹ 2023 میں منظور ہوا اور قواعد نومبر 2025 میں مطلع کیے گئے، بنیادی ذمہ داریاں تین مراحل میں فعال ہوتی ہیں۔ یہ جاننا کہ آپ کس مرحلے میں ہیں قانونی نمائش اور پروگرام کی منصوبہ بندی دونوں کے لیے ضروری ہے۔

نوٹیفکیشن سے مکمل نفاذ تک 9 ماہ کا راستہ وہ چیز ہے جو ابھی کو اہم تیاری کی کھڑکی بناتی ہے۔ جو ادارے May 2027 تک انتظار کرتے ہیں انہیں 9 ماہ بمشکل کافی لگیں گے — خاص طور پر ڈیٹا دریافت، رضامندی کی دوبارہ انجینئرنگ، وینڈر دوبارہ مذاکرات اور نوٹس ترجمہ کے لیے۔

پہلے سے GDPR یا SPDI قواعد کے ساتھ ہم آہنگ اداروں کے لیے، DPDP جزوی طور پر مانوس اور جزوی طور پر نیا ہے۔ یہ موازنہ ان اختلافات کو سامنے لاتا ہے جو آپریشنل طور پر اہم ہیں۔

SPDI قواعد سے منتقل ہونے والے بھارتی کاروباروں کے لیے، سب سے زیادہ خلل انگیز تبدیلیاں یہ ہیں: (a) "حساس ذاتی ڈیٹا" سے یکساں سلوک کی طرف منتقلی، (b) اجازت دینے والی قانونی بنیادوں کا نقصان (مزید کوئی "جائز مفادات" نہیں)، اور (c) جرمانے کی نمائش میں ڈرامائی اضافہ — حقیقی نقصانات کے معاوضے سے سینکڑوں کروڑ میں قانونی حدوں تک۔