DPDP अधिनियम और नियम: मई 2027 तक किसी कंपनी के पास क्या-क्या होना ज़रूरी है

ड्राफ़्ट। आधिकारिक स्रोतों से तैयार; प्रकाशन से पहले एडवोकेट Varun Agarwal की समीक्षा के लिए।

बिंदीदार रेखा वाले शब्दों पर कर्सर ले जाएँ या टैप करें, उनका अर्थ दिख जाएगा। क्रमांकित टिप्पणियाँ हाशिये में हैं; खोलने के लिए नंबर पर टैप करें।

समय-सीमा

डिजिटल व्यक्तिगत डेटा संरक्षण अधिनियम, 2023 तब पूरी तरह क्रियाशील हुआ जब 14 नवंबर 2025 को डिजिटल व्यक्तिगत डेटा संरक्षण नियम, 2025 अधिसूचितअधिसूचितसरकार द्वारा राजपत्र में औपचारिक रूप से प्रकाशित। इसी से कोई क़ानून या नियमावली लागू होती है। हुए।11 अधिनियम को 11 अगस्त 2023 को राष्ट्रपति की स्वीकृति मिल गई थी, पर इसका अधिकांश हिस्सा तब तक काम नहीं कर सकता था जब तक नियम उसका ब्योरा तय न कर दें। नियम तीन चरणों में लागू होते हैं:

अठारह महीने काफ़ी लगते हैं। पर उस कंपनी के लिए नहीं, जिसने कभी यह नक्शा नहीं बनाया कि उसके ग्राहकों और कर्मचारियों का डेटा असल में कहाँ जाता है।

यह किस पर लागू होता है

भारत में डिजिटल व्यक्तिगत डेटा प्रोसेस करने वाला कोई भी व्यवसाय, और भारत के बाहर के वे व्यवसाय जो भारत में लोगों को वस्तुएँ या सेवाएँ देते हैं। अधिनियम ऐसे व्यवसाय को डेटा फ़िड्यूशरीडेटा फ़िड्यूशरीजो भी यह तय करता है कि व्यक्तिगत डेटा क्यों और कैसे प्रोसेस किया जाए। व्यवहार में, ग्राहकों या कर्मचारियों का डेटा रखने वाला लगभग हर व्यवसाय। कहता है।22 यह नाम सोच-समझकर रखा गया है (फ़िड्यूशरी यानी न्यासी)। किसी का व्यक्तिगत डेटा रखने वाले व्यवसाय को उसे न्यास (ट्रस्ट) में रखने वाला माना जाता है, और बदले में उस पर उस व्यक्ति के प्रति कर्तव्य होते हैं। इसमें ज़्यादातर कंपनियाँ आ जाती हैं, क्योंकि यह ग्राहकों के डेटा के साथ-साथ कर्मचारियों और वेंडरों के डेटा पर भी लागू होता है।

डेटा फ़िड्यूशरी को क्या करना होगा

• सूचना और सहमति:
  • एक स्पष्ट, स्वतंत्र सूचना दें, जिसमें बताया गया हो कि कौन-सा डेटा एकत्र किया जाता है और क्यों।
  • ऐसी सहमति लें जो विनिर्दिष्ट और असंदिग्ध हो।
  • लोगों को सहमति उतनी ही आसानी से वापस लेने दें जितनी आसानी से उन्होंने वह दी थी।
• सुरक्षा:
  • एन्क्रिप्शन, एक्सेस कंट्रोल और निगरानी जैसे उचित सुरक्षा उपाय करें।
  • लॉग कम से कम एक वर्ष तक रखें।
  • अनुबंध के ज़रिए अपने वेंडरों को भी उसी मानक से बाँधें।
• उल्लंघन (ब्रीच):
  • डेटा संरक्षण बोर्डडेटा संरक्षण बोर्डDPDP अधिनियम के तहत गठित निकाय, जो उल्लंघनों की जाँच करता है, दंड लगाता है और उपचार के निर्देश देता है। और हर प्रभावित व्यक्ति को बिना देरी सूचित करें।
  • इसके बाद 72 घंटों के भीतर बोर्ड को विस्तृत रिपोर्ट दें।
• डेटा रखने की अवधि: प्रयोजन पूरा होते ही व्यक्तिगत डेटा मिटा दें, जब तक कि क़ानून उसे रखने की अपेक्षा न करे।
• बच्चे: किसी बच्चे का डेटा प्रोसेस करने से पहले सत्यापन-योग्य अभिभावकीय सहमतिसत्यापन-योग्य अभिभावकीय सहमतिमाता-पिता या वैध अभिभावक की सहमति, जिनकी पहचान जाँची गई हो, उदाहरण के लिए विश्वसनीय रिकॉर्ड या सरकार द्वारा जारी पहचान टोकन के ज़रिए। लें।
• अधिकार और शिकायतें: एक संपर्क बिंदु प्रकाशित करें, और डेटा तक पहुँच, सुधार, मिटाने और शिकायत से जुड़े अनुरोधों का जवाब निर्धारित समय के भीतर दें।
• महत्वपूर्ण डेटा फ़िड्यूशरीमहत्वपूर्ण डेटा फ़िड्यूशरीवह डेटा फ़िड्यूशरी जिसे सरकार उसके द्वारा सँभाले जाने वाले डेटा की मात्रा या संवेदनशीलता, या व्यक्तियों के लिए जोखिम के कारण नामित करती है। उस पर अतिरिक्त कर्तव्य होते हैं।: सरकार जिन बड़े या संवेदनशील प्रोसेसरों को अधिसूचित करती है, उन पर अतिरिक्त कर्तव्य हैं: भारत में स्थित डेटा संरक्षण अधिकारी, साथ ही वार्षिक प्रभाव आकलन और ऑडिट।

दाँव पर क्या है

उचित सुरक्षा उपाय न करने पर अधिनियम बोर्ड को ₹250 करोड़ तक का दंड लगाने की अनुमति देता है। उल्लंघन की रिपोर्ट न करने, या बच्चों के डेटा से जुड़ी बाध्यताएँ पूरी न करने पर ₹200 करोड़ तक का दंड हो सकता है।33 ये अधिकतम सीमाएँ हैं, तय जुर्माने नहीं। बोर्ड जाँच के बाद राशि तय करता है, जिसमें वह उल्लंघन की प्रकृति, गंभीरता और अवधि, और नुक़सान सीमित करने के लिए व्यवसाय ने क्या किया, इन सब पर विचार करता है।

हम कहाँ मदद करते हैं

• डेटा मैपिंग, और अधिनियम व नियमों के सापेक्ष कमियों की समीक्षा
• सूचनाएँ, सहमति की प्रक्रियाएँ और प्राइवेसी नीतियाँ
• वेंडरों के साथ डेटा प्रोसेसिंग अनुबंध
• उल्लंघन से निपटने की योजनाएँ
• मामला डेटा संरक्षण बोर्ड तक पहुँचे तो प्रतिनिधित्व

स्रोत

• DPDP नियम, 2025: पृष्ठभूमि नोट, पत्र सूचना कार्यालय (PIB), 17 नवंबर 2025
• डिजिटल व्यक्तिगत डेटा संरक्षण नियम, 2025, Lawrbit
• नियमों का चरणबद्ध प्रारंभ, DSK Legal

आपकी चेकलिस्ट

काम पूरा होने पर टिक करते जाएँ। आपकी प्रगति इसी ब्राउज़र में सहेजी जाती है।

यह लेख ऊपर दी गई तारीख़ तक के क़ानून की सामान्य जानकारी है, क़ानूनी सलाह नहीं। नियम और योजनाएँ बदलती रहती हैं; कोई भी क़दम उठाने से पहले वर्तमान स्थिति जाँच लें। किसी भी अंतर की स्थिति में अंग्रेज़ी संस्करण मान्य होगा।