मूल बातेंप्रकाशित: 4 मिनट में पढ़ें
डीपीडीपी अधिनियम, दस मिनट में
भारत का डिजिटल व्यक्तिगत डेटा संरक्षण अधिनियम, 2023 क्या कवर करता है, किस पर लागू होता है, और आपके व आपका डेटा रखने वाली कंपनियों के लिए क्या बदलता है।
भारत का डिजिटल व्यक्तिगत डेटा संरक्षण अधिनियम, 2023 (डीपीडीपी अधिनियम) व्यक्तिगत डेटा पर देश का पहला व्यापक कानून है। यह तीन सवालों का जवाब देता है: कंपनियाँ आपके डिजिटल व्यक्तिगत डेटा के साथ क्या कर सकती हैं, आप इसके बारे में क्या कर सकते हैं, और नियम कौन लागू करता है।
यह गाइड आसान भाषा में ज़रूरी बातें बताती है।
यह क्या कवर करता है
अधिनियम डिजिटल व्यक्तिगत डेटा पर लागू होता है: किसी पहचाने जा सकने वाले व्यक्ति के बारे में ऐसा कोई भी डेटा जो डिजिटल रूप में इकट्ठा हुआ हो, या कागज़ पर इकट्ठा होकर बाद में डिजिटल बना हो। आपका नाम, फ़ोन नंबर, लोकेशन, खरीदारी का इतिहास और स्वास्थ्य रिकॉर्ड, सब इसमें आते हैं।
यह भारत के भीतर होने वाली प्रोसेसिंग पर लागू होता है, और भारत के बाहर की उस प्रोसेसिंग पर भी जो भारत के लोगों को सामान या सेवाएँ देने से जुड़ी हो। दो चीज़ें इसके दायरे से बाहर हैं: पूरी तरह निजी या घरेलू उपयोग का डेटा, और वह डेटा जिसे आपने खुद सार्वजनिक किया हो।
इसमें शामिल लोग
अधिनियम कुछ ऐसे शब्दों का उपयोग करता है जो आपको हर जगह दिखेंगे:
- डेटा प्रिंसिपल: आप, वह व्यक्ति जिसके बारे में डेटा है। बच्चे (18 वर्ष से कम) के मामले में इसमें माता-पिता या वैध अभिभावक शामिल हैं।
- डेटा फ़िड्यूशियरी: वह कंपनी जो तय करती है कि आपका डेटा क्यों और कैसे प्रोसेस हो, जैसे आपका बैंक, कोई ऐप या ऑनलाइन दुकान।
- डेटा प्रोसेसर: वह वेंडर जो फ़िड्यूशियरी की ओर से डेटा प्रोसेस करता है। उसके काम की ज़िम्मेदारी फ़िड्यूशियरी की रहती है।
- सहमति प्रबंधक: बोर्ड में पंजीकृत कंपनी जो आपको एक ही जगह से सहमति देने, देखने और वापस लेने देती है।
- भारतीय डेटा संरक्षण बोर्ड: वह संस्था जो शिकायतें सुनती है, उल्लंघनों की जाँच करती है और जुर्माना लगाती है।
सहमति ही नियम है
ज़्यादातर प्रोसेसिंग के लिए आपकी सहमति चाहिए, और अधिनियम इसके लिए ऊँचा मानक तय करता है। सहमति स्वतंत्र, विशिष्ट, सूचित, बिना शर्त और स्पष्ट होनी चाहिए, और स्पष्ट सकारात्मक कार्रवाई से दी जानी चाहिए। कंपनी केवल वही डेटा माँग सकती है जो बताए गए उद्देश्य के लिए ज़रूरी हो।
पूछने से पहले कंपनी को आपको एक सूचना देनी होगी, जिसमें बताया जाए कि वह कौन सा डेटा और क्यों चाहती है, सहमति वापस लेने और अपने अधिकारों का उपयोग कैसे करें, और बोर्ड से शिकायत कैसे करें। आप यह सूचना अंग्रेज़ी या संविधान की आठवीं अनुसूची की 22 भाषाओं में से किसी में माँग सकते हैं।
आप कभी भी सहमति वापस ले सकते हैं, और यह सहमति देने जितना ही आसान होना चाहिए।
कुछ अपवाद हैं, जिन्हें अधिनियम वैध उपयोग कहता है। उदाहरण के लिए, कंपनी वह डेटा अलग सहमति के बिना प्रोसेस कर सकती है जो आपने किसी विशेष उद्देश्य के लिए स्वेच्छा से दिया हो, या जो किसी कानून का पालन करने या चिकित्सा आपातकाल में ज़रूरी हो।
कंपनियों को क्या करना होगा
सहमति सही तरीके से लेने के अलावा, हर डेटा फ़िड्यूशियरी को:
- आपके बारे में निर्णय लेने में इस्तेमाल होने वाले डेटा को सटीक और पूर्ण रखना होगा।
- उल्लंघन रोकने के लिए उचित सुरक्षा उपाय करने होंगे।
- बोर्ड और हर प्रभावित व्यक्ति को उल्लंघन की सूचना देनी होगी।
- उद्देश्य पूरा होने या सहमति वापस लेने पर डेटा मिटाना होगा, जब तक किसी कानून के तहत उसे रखना ज़रूरी न हो।
- आपके डेटा से जुड़े सवालों का जवाब देने वाले व्यक्ति का संपर्क प्रकाशित करना होगा, और काम करने वाली शिकायत प्रक्रिया चलानी होगी।
जिन कंपनियों को सरकार उनके द्वारा प्रोसेस किए गए डेटा की मात्रा और संवेदनशीलता जैसे कारकों के आधार पर महत्वपूर्ण डेटा फ़िड्यूशियरी अधिसूचित करती है, उनके अतिरिक्त कर्तव्य हैं: भारत में स्थित डेटा संरक्षण अधिकारी, एक स्वतंत्र डेटा ऑडिटर, और समय-समय पर प्रभाव आकलन।
बच्चों का डेटा
किसी बच्चे का डेटा प्रोसेस करने से पहले कंपनी को माता-पिता या वैध अभिभावक की सत्यापन योग्य सहमति चाहिए। वह बच्चों के डेटा को ऐसे तरीके से प्रोसेस नहीं कर सकती जिससे उनकी भलाई को नुकसान हो, और बच्चों को ट्रैक नहीं कर सकती, उनके व्यवहार की निगरानी नहीं कर सकती, न ही उन्हें लक्षित विज्ञापन दिखा सकती है।
जुर्माना
बोर्ड उचित सुरक्षा उपाय न करने पर ₹250 करोड़ तक, उल्लंघन की सूचना न देने या बच्चों के डेटा संबंधी दायित्व पूरे न करने पर ₹200 करोड़ तक, और अधिकांश अन्य उल्लंघनों पर ₹50 करोड़ तक का जुर्माना लगा सकता है।
यह कब लागू होता है
अधिनियम अगस्त 2023 में पारित हुआ। डीपीडीपी नियम, 2025 नवंबर 2025 में अधिसूचित हुए और चरणों में लागू हो रहे हैं: पहले बोर्ड, लगभग एक वर्ष बाद सहमति प्रबंधक पंजीकरण, और लगभग 18 महीने बाद कंपनियों के अधिकांश दायित्व।
आपके लिए इसका मतलब
अब आपके पास अपने डेटा पर लागू करने योग्य अधिकार हैं, और कानूनी अपेक्षा है कि “नहीं” कहना या अपना मन बदलना आसान हो। इनका उपयोग कैसे करें, यह जानने के लिए डीपीडीपी अधिनियम के तहत आपके अधिकार पढ़ें, या जानें कि सहमति प्रबंधक आपके लिए क्या करता है।
यह लेख सामान्य जानकारी है, कानूनी सलाह नहीं। कानून और नियम बदलते रहते हैं; इस पर अमल करने से पहले मौजूदा पाठ देखें या सलाहकार से पूछें।