DPDPA क्या है, और क्या इसका आप पर असर पड़ता है?

डिजिटल व्यक्तिगत डेटा संरक्षण अधिनियम (DPDPA) भारत का वह कानून है जो तय करता है कि संगठन व्यक्तियों का व्यक्तिगत डेटा कैसे इकट्ठा, उपयोग और सुरक्षित करें। यह उन ज़्यादातर संगठनों पर लागू होता है जो व्यक्तिगत डेटा को डिजिटल रूप में सँभालते हैं, एक साधारण वेबसाइट संपर्क फ़ॉर्म से लेकर पूरे ग्राहक डेटाबेस तक।

यह अधिनियम व्यक्तियों को, जिन्हें डेटा प्रिंसिपल (Data Principal) कहा जाता है, उनकी अपनी जानकारी पर कुछ अधिकार देता है, और उसे इकट्ठा या प्रोसेस करने वाले संगठनों, यानी डेटा फिड्यूशियरी (Data Fiduciary), पर ज़िम्मेदारी डालता है।

जैसे-जैसे रोज़मर्रा के कारोबार का ज़्यादा हिस्सा ऑनलाइन होता गया, व्यक्तिगत डेटा कहीं ज़्यादा सिस्टम, टूल और वेंडर से होकर बहने लगा, इतना कि कोई एक व्यक्ति आसानी से उसका हिसाब नहीं रख सकता था, और अक्सर जिस व्यक्ति का वह डेटा है, उसे पता ही नहीं होता था कि वह कहाँ पहुँचा।

DPDPA इसका जवाब जवाबदेही को साफ़ बनाकर देता है: हर चरण पर डेटा के लिए कौन ज़िम्मेदार है, यह स्पष्ट होता है, और व्यक्तियों को यह पूछने का कि उनके बारे में क्या रखा गया है, उसे सुधारने का, या उसे हटवाने का, एक वास्तविक और लागू कराया जा सकने वाला रास्ता मिलता है।

व्यवहार में, DPDPA तत्परता किसी एक बार की परियोजना के बजाय कुछ लगातार चलने वाली आदतों पर आ टिकती है:

इस अधिनियम को भारत का डेटा संरक्षण बोर्ड लागू करता है, जो शिकायतों और डेटा उल्लंघनों (ब्रीच) की जाँच कर सकता है और किसी महत्त्वपूर्ण उल्लंघन पर अधिनियम की अनुसूची के तहत आर्थिक दंड लगा सकता है। ऊपरी सीमाएँ इस तरह हैं: डेटा उल्लंघन रोकने के लिए उचित सुरक्षा उपाय न अपनाने पर ₹250 करोड़ तक, ब्रीच होने पर बोर्ड और प्रभावित व्यक्तियों को सूचित न करने पर (या बच्चों के डेटा से जुड़ी विशेष चूकों पर) ₹200 करोड़ तक, और किसी सिग्निफ़िकेंट डेटा फिड्यूशियरी द्वारा अपने अतिरिक्त दायित्व — जैसे स्वतंत्र ऑडिट — पूरे न करने पर ₹150 करोड़ तक। वास्तविक राशि इन सीमाओं के भीतर बोर्ड मामले-दर-मामले तय करता है, और सरकार अनुसूची में संशोधन कर सकती है, इसलिए इसे एक उद्धरण नहीं बल्कि दिशा-निर्देश की तरह लें — प्रामाणिक स्रोत अधिनियम की अनुसूची ही है।

अगर कोई ब्रीच होता है, तो DPDP नियम, 2025 दो चरणों की समय-सीमा तय करते हैं: बिना देरी बोर्ड और प्रभावित व्यक्तियों को सूचित करें, और उसके बाद इसका पता चलने के 72 घंटे के भीतर बोर्ड को एक विस्तृत रिपोर्ट सौंपें।

बच्चों के डेटा के लिए अतिरिक्त नियम हैं, सिर्फ़ अतिरिक्त सावधानी नहीं: अधिनियम के तहत 18 वर्ष से कम आयु का कोई भी व्यक्ति बच्चा माना जाता है (कुछ अन्य देशों की तरह इसमें उम्र के अलग-अलग स्तर नहीं हैं), उनका डेटा प्रोसेस करने से पहले सत्यापन-योग्य अभिभावक सहमति ज़रूरी है, और बच्चों की ट्रैकिंग या व्यवहार की निगरानी, या उन्हें लक्ष्य बनाकर टार्गेटेड विज्ञापन, वर्जित है, भले ही अभिभावक ने सहमति दी हो। नियम (नियम 12 और चौथी अनुसूची) कुछ सीमित अपवाद देते हैं, जैसे स्वास्थ्य, शिक्षा और बाल-सुरक्षा से जुड़े कुछ उपयोग।

दंड के अलावा, जब पहले से रिकॉर्ड मौजूद न हों तो किसी घटना या ऑडिट में इस सवाल का जवाब देने के लिए भागदौड़ करनी पड़ती है कि "क्या आप हमें दिखा सकते हैं कि यह डेटा कहाँ है और इसे किसने छुआ है।"

यह पेज आपको दिशा देने के लिए है, अधिनियम की जगह लेने के लिए नहीं। प्रामाणिक पाठ अधिनियम और भारत सरकार द्वारा उसके तहत प्रकाशित नियम हैं। आपके दायित्व वही तय करते हैं, यह पेज नहीं।

हम व्यावहारिक पक्ष में मदद कर सकते हैं: जब आपको मोटा अंदाज़ा हो जाए कि DPDPA आपके संगठन को कहाँ छूता है, तो तत्परता आकलन आपको एक ठोस, विशिष्ट तस्वीर देता है कि आज आप कहाँ खड़े हैं और आगे क्या करना है।