डीपीडीपी अधिनियम, आसान भाषा में

यह 2023 में भारत की संसद द्वारा पारित एक कानून है। यह तय करता है कि संस्थाएँ लोगों की जानकारी, जब वह डिजिटल रूप में हो, कैसे इकट्ठा करें, इस्तेमाल करें, रखें, साझा करें और मिटाएँ। इसे अपने डेटा के लिए "सड़क के नियम" समझिए।

अधिनियम धारा 1, 3

डिजिटल पर्सनल डेटा प्रोटेक्शन, यानी डिजिटल व्यक्तिगत डेटा संरक्षण। "डिजिटल" मतलब फ़ोन, कंप्यूटर या सर्वर में रखा हुआ। "व्यक्तिगत डेटा" मतलब आपके बारे में जानकारी। "संरक्षण" मतलब उसे सुरक्षित रखना और सही तरीके से इस्तेमाल करना।

आपका नाम, फ़ोन नंबर, फ़ोटो और आप कहाँ जाते हैं, ये सब कीमती जानकारी है। नियमों के बिना कोई भी इन्हें कॉपी कर सकता है, बेच सकता है या गलती से लीक कर सकता है। यह अधिनियम संस्थाओं से कहता है कि वे बताएँ क्या ले रहे हैं, ठीक से पूछें, सुरक्षित रखें और काम पूरा होने पर मिटा दें।

यह चरणों में लागू हो रहा है। डीपीडीपी नियम 13 नवंबर 2025 को प्रकाशित हुए, और उसी दिन से डेटा संरक्षण बोर्ड बना। सहमति प्रबंधकों का पंजीकरण 13 नवंबर 2026 से शुरू होगा। संस्थाओं के ज़्यादातर कर्तव्य, जैसे सूचना, सहमति, सुरक्षा, उल्लंघन की रिपोर्ट, बच्चों का डेटा और आपके अधिकार, 13 मई 2027 से लागू होंगे।

नियम 1

हर व्यक्ति या संस्था जो तय करती है कि आपका डेटा क्यों और कैसे इस्तेमाल होगा: दुकानें, स्कूल, अस्पताल, बैंक, ऐप, वेबसाइट, हाउसिंग सोसाइटी और सरकारी विभाग। भारत के बाहर की वे कंपनियाँ भी, जो भारत के लोगों को सामान या सेवाएँ देने के लिए डेटा का उपयोग करती हैं।

अधिनियम धारा 2(i), 3(a)–(b)

किसी व्यक्ति के बारे में कोई भी जानकारी, जिससे उसे पहचाना जा सके, अकेले या किसी और जानकारी के साथ मिलाकर। आपका नाम, फ़ोन नंबर, चेहरा, पता, उँगलियों के निशान, स्कूल के अंक, कद, और आपके नाम के आगे लिखा कपड़ों का नाप भी, ये सब व्यक्तिगत डेटा हैं।

अधिनियम धारा 2(t)

डिजिटल रूप में व्यक्तिगत डेटा: किसी ऐप में टाइप किया हुआ, कंप्यूटर में सेव, स्कैन किया हुआ, फ़ोन से फ़ोटो लिया हुआ या मैसेज में भेजा हुआ।

अधिनियम धारा 2(n)

तभी, जब वह डिजिटल बन जाए। अधिनियम तब लागू होता है जब व्यक्तिगत डेटा डिजिटल रूप में लिया जाए, या कागज़ पर लेकर बाद में डिजिटल किया जाए, जैसे कंप्यूटर में टाइप करना, स्कैन करना, या फ़ोटो खींचकर फ़ोन में रखना। जो कॉपी कभी डिजिटल नहीं बनती, वह अधिनियम के बाहर है।

अधिनियम धारा 3(a)

हाँ। छाती 34, कमर 28 और आस्तीन 22, जब आपके नाम और फ़ोन नंबर के आगे लिखा हो, तो वह आपके बारे में जानकारी है, यानी व्यक्तिगत डेटा।

अधिनियम धारा 3(a), 3(c)(i)

हाँ। आपका नाम, उम्र, बीमारी, खून की जाँच, एक्स-रे और पर्चे, ये सब आपके बारे में जानकारी हैं। अधिनियम में स्वास्थ्य डेटा की अलग श्रेणी नहीं है, पर सारा व्यक्तिगत डेटा सुरक्षित रखना ज़रूरी है, और किसी बड़ी अस्पताल श्रृंखला को अतिरिक्त कर्तव्य दिए जा सकते हैं।

अधिनियम धारा 3(a), 7(f), 8(5)–(6), 11, 12

हाँ। आँखों का नंबर −1.25 या पुतलियों के बीच 62 मिमी जैसे आँकड़े, जब आपके नाम से सेव हों, तो वे आपके बारे में जानकारी हैं।

अधिनियम धारा 4, 6(1)

हाँ। फ़ोन नंबर से आपको ढूँढा और पहचाना जा सकता है, इसलिए वह व्यक्तिगत डेटा है।

अधिनियम धारा 3(a), 7(a), 8(7)

व्यक्तिगत डेटा: स्कूल ऐप में आपके अंक, स्कूल आईडी कार्ड पर आपकी फ़ोटो, आपका आधार नंबर, सीसीटीवी फ़ुटेज में आपका चेहरा, आपके फ़ोन की लोकेशन, वॉइस नोट में आपकी आवाज़। व्यक्तिगत डेटा नहीं: "आज मॉल में 200 लोग आए", क्योंकि इससे किसी को पहचाना नहीं जा सकता।

अधिनियम धारा 2(t)

नहीं। अगर आप खुद अपना डेटा सार्वजनिक करते हैं, जैसे किसी सार्वजनिक ब्लॉग पोस्ट या सार्वजनिक सोशल-मीडिया प्रोफ़ाइल में, तो उस डेटा पर अधिनियम लागू नहीं होता। यही बात उस डेटा पर भी है जिसे किसी कानून के तहत प्रकाशित करना ज़रूरी हो।

अधिनियम धारा 3(c)(ii)

आप: वह व्यक्ति जिसके बारे में डेटा है। बच्चे के मामले में इसमें माता-पिता या कानूनी अभिभावक भी शामिल हैं। दिव्यांग व्यक्ति के मामले में, उनकी ओर से काम करने वाला कानूनी अभिभावक।

अधिनियम धारा 2(j)

वह संस्था जो तय करती है कि आपका डेटा क्यों और कैसे इस्तेमाल होगा, जैसे स्कूल, अस्पताल या ऐप। "फ़िड्यूशरी" का मतलब है कोई ऐसा जिस पर आप किसी चीज़ की देखभाल के लिए भरोसा करते हैं, इसलिए उसे आपके डेटा के साथ ज़िम्मेदारी से पेश आना होगा।

अधिनियम धारा 2(i)

एक सहायक जो डेटा फ़िड्यूशरी के लिए डेटा संभालता है, जैसे फ़ाइलें रखने वाली क्लाउड कंपनी या एसएमएस भेजने वाली कंपनी। सहायक जो करता है, उसकी ज़िम्मेदारी डेटा फ़िड्यूशरी की ही रहती है।

अधिनियम धारा 2(k), 8(1)–(2)

डेटा संरक्षण बोर्ड में पंजीकृत एक कंपनी, जो आपको कई संस्थाओं की सहमतियाँ देने, देखने, संभालने और वापस लेने की एक जगह देती है। myconsentapp एक प्रस्तावित सहमति प्रबंधक है, जो अभी बोर्ड में पंजीकृत नहीं है।

अधिनियम धारा 2(g), 6(7)–(9); नियम 4

रेफ़री। यह शिकायतें सुनता है, डेटा लीक की जाँच करता है, सहमति प्रबंधकों का पंजीकरण करता है और जुर्माना लगा सकता है। यह डिजिटल कार्यालय की तरह काम करता है, इसलिए आप इससे ऑनलाइन संपर्क कर सकते हैं।

अधिनियम धारा 2(c), 18, 27

साफ़ "हाँ" कहना। अधिनियम के अनुसार सहमति स्वतंत्र (कोई ज़बरदस्ती नहीं), विशिष्ट (बताए गए उद्देश्य के लिए), सूचित (आप जानते हैं किस बात पर हाँ कह रहे हैं), बिना शर्त और स्पष्ट होनी चाहिए, किसी साफ़ काम से दी गई, जैसे खुद बॉक्स पर टिक करना। चुप रहना या पहले से टिक किया बॉक्स सहमति नहीं है।

अधिनियम धारा 6(1)

सहमति माँगने से पहले दिया जाने वाला छोटा, साफ़ संदेश। यह बताता है कि वे कौन-सा डेटा चाहते हैं और क्यों, आप सहमति कैसे वापस ले सकते हैं या शिकायत कैसे कर सकते हैं, और बोर्ड से शिकायत कैसे करें। आप इसे अंग्रेज़ी में या संविधान की आठवीं अनुसूची की 22 भाषाओं में से किसी में भी पढ़ना चुन सकते हैं।

अधिनियम धारा 5; नियम 3

माँग सकता है, पर आपकी सहमति सिर्फ़ उतने डेटा के लिए मान्य है जितना उद्देश्य के लिए ज़रूरी है। बाकी हिस्सा मान्य नहीं है।

अधिनियम धारा 6(1)–(2)

हाँ। आप कभी भी सहमति वापस ले सकते हैं, और वापस लेना उतना ही आसान होना चाहिए जितना देना। संस्था को फिर उचित समय में आपका डेटा इस्तेमाल करना बंद करना होगा। वापस लेने से पहले जो हुआ वह मान्य रहता है, और जिस सेवा को उस डेटा की ज़रूरत थी वह आपको मिलनी बंद हो सकती है।

अधिनियम धारा 6(4)–(6)

हाँ, पर सिर्फ़ अधिनियम में बताए गए "कुछ वैध उपयोगों" के लिए। इनमें शामिल हैं: किसी उद्देश्य के लिए आपके द्वारा स्वेच्छा से दिया गया डेटा, सरकारी लाभ और सेवाएँ, कानूनी कर्तव्य और अदालत के आदेश, मेडिकल इमरजेंसी, महामारी, आपदा, और रोज़गार।

अधिनियम धारा 7

हाँ। आप उसके पास मौजूद अपने व्यक्तिगत डेटा का सारांश, वह उसके साथ क्या करती है, और उसने किन दूसरी संस्थाओं के साथ उसे साझा किया है, यह माँग सकते हैं।

अधिनियम धारा 11

हाँ। आप गलत डेटा सुधारने, अधूरा डेटा पूरा करने, पुराना डेटा अपडेट करने या मिटाने को कह सकते हैं। वे डेटा तभी रख सकते हैं जब उद्देश्य के लिए अब भी ज़रूरी हो या कोई और कानून इसकी माँग करे।

अधिनियम धारा 12

पहले संस्था से ही शिकायत करें, उस शिकायत संपर्क पर जो उसे प्रकाशित करना होता है। उसे अपने प्रकाशित समय में जवाब देना होगा, जो 90 दिन से ज़्यादा नहीं हो सकता। फिर भी संतुष्ट न हों, तो डेटा संरक्षण बोर्ड से शिकायत कर सकते हैं।

अधिनियम धारा 8(9)–(10), 13; नियम 14

आप पहले से किसी और व्यक्ति को, जिसे नॉमिनी कहते हैं, नामित कर सकते हैं। अगर आपकी मृत्यु हो जाए या आप काम करने में असमर्थ हो जाएँ, तो वह व्यक्ति आपकी ओर से आपके अधिकारों का उपयोग कर सकता है।

अधिनियम धारा 14

हाँ। अधिनियम सिर्फ़ संस्थाओं को नहीं, व्यक्तियों को भी कर्तव्य देता है। अपना डेटा देते समय किसी और होने का दिखावा न करें। सरकारी पहचान पत्र या दस्तावेज़ के लिए आवेदन करते समय ज़रूरी बातें न छिपाएँ। सुधार माँगते समय सिर्फ़ सच्ची जानकारी दें। और झूठी या बेवजह की शिकायतें न करें। इन कर्तव्यों को तोड़ने पर ₹10,000 तक का जुर्माना हो सकता है।

अधिनियम धारा 15; अनुसूची क्रम 5

हर वह व्यक्ति जिसने 18 साल पूरे नहीं किए हैं।

अधिनियम धारा 2(f)

सिर्फ़ माता-पिता या कानूनी अभिभावक की सत्यापन-योग्य सहमति लेने के बाद। ऐप को जाँचना होगा कि "मैं माता-पिता हूँ" कहने वाला व्यक्ति सच में वयस्क है, अपने पास मौजूद भरोसेमंद पहचान और उम्र की जानकारी से, माता-पिता की दी गई जानकारी से, या डिजीलॉकर जैसी अधिकृत सेवा के डिजिटल टोकन से।

अधिनियम धारा 9(1); नियम 10

नहीं। संस्थाएँ बच्चों को ट्रैक नहीं कर सकतीं, उनके व्यवहार पर निगरानी नहीं रख सकतीं, उन्हें लक्षित विज्ञापन नहीं दिखा सकतीं, और उनके डेटा का ऐसा कोई उपयोग नहीं कर सकतीं जिससे उनकी भलाई को नुकसान हो। कुछ छूट, जैसे स्कूल, अस्पताल और बच्चों की सुरक्षा के उद्देश्य, नियमों में दी गई हैं।

अधिनियम धारा 9(2)–(4); नियम 12, चौथी अनुसूची

अगर उनका कोई कानूनी अभिभावक है, तो अभिभावक की सत्यापन-योग्य सहमति ज़रूरी है, और अभिभावक उनकी ओर से काम कर सकता है।

अधिनियम धारा 2(j)(ii), 9(1); नियम 11

उसे सिर्फ़ बताए गए उद्देश्य के लिए इस्तेमाल करना, जब उससे आपके बारे में फ़ैसले लिए जाएँ तो उसे सही रखना, ठीक से सुरक्षित रखना, सिर्फ़ अनुबंध से बँधे सहायकों का इस्तेमाल करना, उद्देश्य पूरा होने पर मिटाना, और एक संपर्क व्यक्ति प्रकाशित करना जो आपके सवालों के जवाब दे सके।

अधिनियम धारा 8

उल्लंघन तब होता है जब व्यक्तिगत डेटा बिना अनुमति लीक, चोरी, बदला, नष्ट या इस्तेमाल हो जाए, गलती से भी। संस्था को हर प्रभावित व्यक्ति और बोर्ड को बिना देरी बताना होगा, और 72 घंटे के भीतर बोर्ड को विस्तृत रिपोर्ट भेजनी होगी।

अधिनियम धारा 2(u), 8(6); नियम 7

डेटा ठीक से सुरक्षित न रखने पर ₹250 करोड़ तक, उल्लंघन की रिपोर्ट न करने या बच्चों के नियम तोड़ने पर ₹200 करोड़ तक, महत्वपूर्ण डेटा फ़िड्यूशरी के अतिरिक्त कर्तव्य न निभाने पर ₹150 करोड़ तक, और बाकी उल्लंघनों पर ₹50 करोड़ तक। राशि बोर्ड तय करता है।

अधिनियम धारा 33; अनुसूची

वह संस्था जिसे सरकार इसलिए नामित करती है क्योंकि वह बहुत ज़्यादा या बहुत संवेदनशील डेटा संभालती है, या उससे ज़्यादा जोखिम है। उसे भारत में स्थित डेटा संरक्षण अधिकारी नियुक्त करना होगा, एक स्वतंत्र डेटा ऑडिटर रखना होगा और नियमित जोखिम जाँच करनी होगी।

अधिनियम धारा 10

आमतौर पर हाँ, जब तक सरकार ने उस देश में भेजने पर रोक न लगाई हो। दूसरे भारतीय कानूनों के सख्त नियम, जैसे बैंकिंग डेटा के लिए, फिर भी लागू रहते हैं।

अधिनियम धारा 16

निजी या घरेलू उपयोग, जैसे आपके परिवार का व्हाट्सऐप ग्रुप या आपकी अपनी डायरी ऐप। वह डेटा जो आपने खुद सार्वजनिक किया। वे कागज़ी रिकॉर्ड जो कभी डिजिटल नहीं होते। और कुछ खास मामले, जैसे अदालतें, अपराध की जाँच, कुछ सरकारी संस्थाएँ, और वह शोध जिससे किसी व्यक्ति के बारे में फ़ैसला न लिया जाए।

अधिनियम धारा 3(a), 3(c), 17