डीपीडीपी अधिनियम की व्याख्या: भारतीय व्यवसायों के लिए एक संपूर्ण अनुपालन मार्गदर्शिका

डिजिटल व्यक्तिगत डेटा संरक्षण अधिनियम, 2023 (डीपीडीपी अधिनियम) और डिजिटल व्यक्तिगत डेटा संरक्षण नियम, 2025 के लागू होने के साथ, व्यवसायों को व्यक्तिगत जानकारी एकत्र करने, उपयोग करने, संग्रहीत करने, साझा करने और हटाने के तरीकों की समीक्षा करने की आवश्यकता है। चाहे आप एक छोटा स्टार्टअप चला रहे हों, ऑनलाइन शॉपिंग व्यवसाय, सॉफ्टवेयर कंपनी या कोई बड़ा संगठन, डीपीडीपी अधिनियम के अनुपालन को समझना महत्वपूर्ण है।

यह मार्गदर्शिका मुख्य आवश्यकताओं, व्यक्तिगत अधिकारों, संभावित दंडों और अनुपालन की तैयारी के लिए व्यवसायों द्वारा उठाए जा सकने वाले व्यावहारिक कदमों की व्याख्या करती है।

डीपीडीपी अधिनियम क्या है, और यह भारतीय व्यवसायों के लिए क्यों महत्वपूर्ण है?

डिजिटल व्यक्तिगत डेटा संरक्षण अधिनियम, 2023, भारत में डिजिटल व्यक्तिगत डेटा के प्रबंधन के लिए एक कानूनी ढांचा प्रदान करता है।

• डिजिटल व्यक्तिगत डेटा: किसी व्यक्ति के बारे में जानकारी जिसके माध्यम से उसकी पहचान की जा सकती है। इसे डिजिटल रूप से एकत्र किया जा सकता है या एकत्र करने के बाद डिजिटल रूप में परिवर्तित किया जा सकता है।
• डेटा प्रिंसिपल: वह व्यक्ति जिसकी व्यक्तिगत जानकारी संसाधित की जा रही है। यह कोई ग्राहक, कर्मचारी, वेबसाइट आगंतुक या संभावित ग्राहक हो सकता है।
• डेटा फिड्यूशरी: वह व्यवसाय या संगठन जो यह तय करता है कि व्यक्तिगत डेटा को क्यों और कैसे संसाधित किया जाएगा।
• डेटा प्रोसेसर: एक व्यक्ति या संगठन जो डेटा फिड्यूशरी की ओर से व्यक्तिगत डेटा को संसाधित करता है।

डीपीडीपी अधिनियम महत्वपूर्ण है क्योंकि व्यक्तिगत जानकारी का उपयोग लगभग हर आधुनिक व्यवसाय में होता है। कंपनियां अपने दैनिक कार्यों के हिस्से के रूप में ग्राहक विवरण, कर्मचारी रिकॉर्ड, भुगतान जानकारी और अन्य संवेदनशील डेटा को संभाल सकती हैं। यह व्यावसायिक संचालन, ग्राहक विश्वास, आपूर्तिकर्ता संबंधों और वित्तीय स्थिरता को भी प्रभावित कर सकता है।

किन व्यवसायों को डीपीडीपी अधिनियम का अनुपालन करना अनिवार्य है?

डीपीडीपी अधिनियम का दायरा व्यापक है और यह विभिन्न आकार और उद्योगों के व्यवसायों पर लागू हो सकता है। छोटे व्यवसायों को केवल इसलिए छूट नहीं मिलती क्योंकि उनके पास कम ग्राहक या सीमित संसाधन हैं। कई प्रकार के व्यवसाय इससे प्रभावित हो सकते हैं:

• स्टार्टअप और छोटे व्यवसाय: ईमेल पते, संपर्क विवरण या ग्राहक जानकारी एकत्र करने वाली कंपनियों को अपनी डेटा सुरक्षा जिम्मेदारियों का मूल्यांकन करना चाहिए।
• ई-कॉमर्स व्यवसाय: ऑनलाइन स्टोर ग्राहकों के पते, ऑर्डर इतिहास, संपर्क जानकारी और खरीद से संबंधित अन्य विवरणों को संभालते हैं।
• सॉफ्टवेयर और एसएएएस कंपनियां: ये व्यवसाय ग्राहक डेटाबेस, उपयोगकर्ता खाते और विश्लेषणात्मक जानकारी संग्रहीत कर सकते हैं।
• नियोक्ता: संगठन कर्मचारियों के विवरण, वेतन रिकॉर्ड, उपस्थिति संबंधी जानकारी और पहचान दस्तावेजों को संसाधित करते हैं।
• तृतीय-पक्ष सेवा प्रदाता: मार्केटिंग एजेंसियां, क्लाउड होस्टिंग प्रदाता, लेखा सेवाएं और ग्राहक सहायता कंपनियां अन्य व्यवसायों के लिए व्यक्तिगत डेटा संसाधित कर सकती हैं।

डीपीडीपी अधिनियम के अंतर्गत मुख्य अनुपालन दायित्व क्या हैं?

डेटा फिड्यूशरी यह सुनिश्चित करने के लिए जिम्मेदार है कि व्यक्तिगत डेटा को लागू कानूनी आवश्यकताओं के अनुसार संभाला जाए।

1. डेटा को कानूनी रूप से संसाधित करें: व्यवसायों के पास व्यक्तिगत डेटा को संसाधित करने के लिए एक वैध कानूनी आधार होना चाहिए। इसमें आम तौर पर सहमति प्राप्त करना शामिल होता है, जब तक कि प्रसंस्करण अधिनियम के तहत उपयोग की अनुमत श्रेणी में न आता हो।
2. स्पष्ट गोपनीयता सूचनाएँ प्रदान करें: लोगों को यह समझना चाहिए कि कौन सी जानकारी एकत्र की जा रही है, इसकी आवश्यकता क्यों है और वे अपने अधिकारों का प्रयोग कैसे कर सकते हैं। सूचनाओं में जटिल कानूनी शब्दों के बजाय सरल भाषा का प्रयोग किया जाना चाहिए।
3. केवल आवश्यक जानकारी ही एकत्र करें: व्यवसायों को केवल वही व्यक्तिगत डेटा एकत्र करना चाहिए जो निर्धारित उद्देश्य के लिए आवश्यक हो। बिना किसी स्पष्ट कारण के अतिरिक्त जानकारी एकत्र करने से गोपनीयता संबंधी जोखिम बढ़ जाते हैं।
4. उचित सुरक्षा उपायों को बनाए रखें: कंपनियों को व्यक्तिगत डेटा को अनधिकृत पहुंच, हानि, प्रकटीकरण या दुरुपयोग से बचाने के लिए उचित तकनीकी और संगठनात्मक कदम उठाने चाहिए।
5. व्यक्तिगत अधिकारों का समर्थन करें: व्यवसायों को कानून के तहत लागू होने के अनुसार, पहुंच, सुधार, अद्यतन, विलोपन और शिकायत निवारण से संबंधित अनुरोधों को प्राप्त करने और संभालने के लिए एक प्रक्रिया बनानी चाहिए।
6. डेटा संरक्षण और विलोपन संबंधी आवश्यकताओं का पालन करें: वैध कारण के बिना व्यक्तिगत डेटा को अनिश्चित काल तक नहीं रखा जाना चाहिए। व्यवसायों को यह आकलन करना चाहिए कि जानकारी की आवश्यकता कब समाप्त हो गई है और लागू कानूनी संरक्षण दायित्वों को ध्यान में रखते हुए, आवश्यकता पड़ने पर उसे हटा देना चाहिए।
7. तृतीय-पक्ष प्रोसेसर्स का प्रबंधन: व्यवसायों को यह सुनिश्चित करना चाहिए कि व्यक्तिगत डेटा को संभालने वाले सेवा प्रदाता उपयुक्त संविदात्मक और सुरक्षा आवश्यकताओं का पालन करें। विक्रेताओं के साथ संबंधों की नियमित रूप से समीक्षा की जानी चाहिए, न कि उन्हें स्वतः सुरक्षित मान लिया जाना चाहिए।

डीपीडीपी अधिनियम के तहत व्यवसायों को सहमति कैसे प्राप्त करनी चाहिए और उसका प्रबंधन कैसे करना चाहिए?

वैध सहमति के नियम इस प्रकार हैं:

• स्पष्ट सूचना दें: डेटा एकत्र करने से पहले या उस समय, यह स्पष्ट करें कि कौन सी जानकारी एकत्र की जा रही है और क्यों। सूचना सुलभ होनी चाहिए और सरल भाषा में लिखी होनी चाहिए। अधिनियम में अंग्रेजी या भारतीय संविधान की आठवीं अनुसूची में निर्दिष्ट किसी अन्य भाषा में सूचना देने का प्रावधान है।
• उद्देश्य स्पष्ट करें: लोगों को बताएं कि उनकी जानकारी का उपयोग कैसे किया जाएगा। उदाहरण के लिए, यदि कोई ऑनलाइन स्टोर किसी ऑर्डर को भेजने के लिए डिलीवरी पता एकत्र करता है, तो इसका उद्देश्य स्पष्ट रूप से बताया जाना चाहिए।
• सहमति को अलग और स्पष्ट रखें: सहमति को लंबी शर्तों और नियमों के भीतर छिपाकर नहीं रखना चाहिए। जहां सहमति आवश्यक हो, वहां उपयोगकर्ता को स्पष्ट रूप से अपनी सहमति देनी चाहिए, जैसे कि सहमति बॉक्स को अनचेक करके चुनना।

डिजिटल प्लेटफॉर्मों पर सहमति की समीक्षा करें

व्यवसायों को उन सभी स्थानों की जांच करनी चाहिए जहां वे व्यक्तिगत डेटा एकत्र करते हैं, जिनमें वेबसाइटें, मोबाइल ऐप, ऑनलाइन फॉर्म और चेकआउट पेज शामिल हैं। उन्हें कुकी बैनर और ट्रैकिंग टूल की भी समीक्षा करनी चाहिए ताकि यह सुनिश्चित हो सके कि उनका संचालन लागू सहमति आवश्यकताओं के अनुरूप है।

सहमति वापस लेने की प्रक्रिया को सरल बनाना भी उतना ही महत्वपूर्ण है। यदि कोई व्यक्ति सहमति वापस लेता है, तो व्यवसाय के पास जवाब देने और कानून द्वारा आवश्यक होने पर संबंधित प्रोसेसिंग को रोकने की प्रक्रिया होनी चाहिए। कंपनियों को उचित रिकॉर्ड बनाए रखना चाहिए जिसमें यह दर्शाया गया हो कि सहमति कब प्राप्त की गई थी, उपयोगकर्ता को क्या बताया गया था और क्या बाद में सहमति वापस ले ली गई थी।

डीपीडीपी अधिनियम के तहत व्यक्तियों को कौन-कौन से अधिकार प्राप्त हैं?

डीपीडीपी अधिनियम डेटा प्रिंसिपल के रूप में जाने जाने वाले व्यक्तियों को उनकी व्यक्तिगत जानकारी के संबंध में महत्वपूर्ण अधिकार प्रदान करता है।

• सूचना प्राप्त करने का अधिकार: अधिनियम के अनुसार, व्यक्ति संसाधित किए जा रहे व्यक्तिगत डेटा का सारांश और संबंधित प्रसंस्करण गतिविधियों और तृतीय पक्षों के बारे में जानकारी का अनुरोध कर सकते हैं।
• सुधार और अद्यतन का अधिकार: व्यक्ति, जहां लागू हो, गलत जानकारी के सुधार या व्यक्तिगत डेटा को पूरा करने और अद्यतन करने का अनुरोध कर सकते हैं।
• डेटा हटाने का अधिकार: व्यक्ति कानून और उसे बनाए रखने की किसी भी लागू आवश्यकता के अधीन रहते हुए, अपने व्यक्तिगत डेटा को हटाने का अनुरोध कर सकते हैं।
• शिकायत निवारण का अधिकार: व्यवसायों को व्यक्तियों को गोपनीयता संबंधी शिकायतें उठाने और उनका जवाब पाने का एक सुलभ तरीका प्रदान करना होगा।
• नामांकन का अधिकार: अधिनियम के तहत प्रदान किए गए प्रावधानों के अनुसार, व्यक्ति अपनी मृत्यु या अक्षमता की स्थिति में अपने अधिकारों का प्रयोग करने के लिए किसी अन्य व्यक्ति को नामित कर सकता है।

बच्चों के व्यक्तिगत डेटा के लिए डीपीडीपी अधिनियम की क्या आवश्यकताएं हैं?

डीपीडीपी अधिनियम बच्चों के व्यक्तिगत डेटा के लिए अतिरिक्त सुरक्षा प्रदान करता है।

किसे बच्चा माना जाता है?

इस अधिनियम के अंतर्गत, बच्चा वह व्यक्ति है जिसकी आयु 18 वर्ष से कम है। किसी बच्चे के व्यक्तिगत डेटा को संसाधित करने से पहले, व्यवसाय को आमतौर पर लागू कानूनी प्रावधानों और छूटों के अधीन, माता-पिता या कानूनी अभिभावक से सत्यापन योग्य सहमति की आवश्यकता होती है।

महत्वपूर्ण प्रतिबंध

जब तक कोई विशेष छूट लागू न हो, बच्चों के डेटा को संसाधित करने वाले व्यवसायों को ऐसा कोई कार्य नहीं करना चाहिए जिससे बच्चे के स्वास्थ्य पर प्रतिकूल प्रभाव पड़ने की संभावना हो। अधिनियम लागू वैधानिक छूटों के अधीन, बच्चों की ट्रैकिंग या व्यवहार निगरानी और बच्चों को लक्षित करके विज्ञापन देने पर भी प्रतिबंध लगाता है।

किन व्यवसायों को ध्यान देना चाहिए?

शैक्षिक प्रौद्योगिकी प्लेटफॉर्म, ऑनलाइन गेमिंग सेवाएं, पारिवारिक मनोरंजन एप्लिकेशन और सोशल मीडिया प्लेटफॉर्म को यह समीक्षा करने की आवश्यकता हो सकती है कि वे युवा उपयोगकर्ताओं से जानकारी कैसे एकत्र करते हैं। अपनी गतिविधियों और लागू आवश्यकताओं के आधार पर, इन व्यवसायों को उपयुक्त आयु-सुरक्षा उपाय, माता-पिता की सहमति प्रक्रियाएं और ट्रैकिंग और विज्ञापन पर नियंत्रण की आवश्यकता हो सकती है।

डीपीडीपी अनुपालन के लिए व्यवसायों को किन अनुबंधों और नीतियों को अपडेट करना चाहिए?

• वेबसाइट और ऐप की गोपनीयता संबंधी सूचनाएं: इनमें यह बताया जाता है कि कौन सा व्यक्तिगत डेटा एकत्र किया जाता है, इसकी आवश्यकता क्यों है और व्यक्ति अपने अधिकारों का प्रयोग कैसे कर सकते हैं।
• सहमति प्रपत्र और उपकरण: पंजीकरण प्रपत्रों, ऑप्ट-इन विकल्पों और सहमति वापस लेने के तंत्र को अपडेट करें।
• विक्रेता और प्रोसेसर समझौते: क्लाउड प्रदाताओं, ग्राहक संबंध प्रबंधन प्लेटफार्मों, एनालिटिक्स कंपनियों और अन्य सेवा प्रदाताओं के साथ अनुबंधों की समीक्षा करें जो व्यक्तिगत डेटा को संभालते हैं।
• कर्मचारी गोपनीयता नीतियां: बताएं कि कर्मचारी की जानकारी, वेतन रिकॉर्ड, पहचान दस्तावेज और संबंधित निगरानी डेटा को कैसे संभाला जाता है।
• डेटा प्रतिधारण और विलोपन नीतियां: ये निर्धारित करती हैं कि व्यक्तिगत डेटा को कब रखा जाना चाहिए, उसकी समीक्षा कब की जानी चाहिए और उसे कब हटाया जाना चाहिए।
• डेटा उल्लंघन प्रतिक्रिया योजनाएँ: घटनाओं की पहचान करने, उन्हें नियंत्रित करने, उनकी जांच करने और उनकी रिपोर्ट करने के लिए स्पष्ट जिम्मेदारियाँ निर्धारित करें।
• शिकायत निवारण प्रक्रियाएं: गोपनीयता संबंधी शिकायतों को प्राप्त करने, सत्यापित करने, ट्रैक करने और उनका समाधान करने के लिए एक प्रक्रिया बनाएं।

डीपीडीपी अधिनियम का अनुपालन न करने पर क्या दंड हैं?

भारतीय व्यवसायों के लिए डीपीडीपी अधिनियम के अनुपालन की समयसीमा क्या है?

कार्यान्वयन की समयसीमा महत्वपूर्ण है क्योंकि अधिनियम और नियम सभी दायित्वों को एक ही तिथि से लागू नहीं करते हैं। डिजिटल व्यक्तिगत डेटा संरक्षण नियम, 2025 की अधिसूचना के बाद, एक चरणबद्ध कार्यान्वयन कार्यक्रम स्थापित किया गया था। मूल सामग्री में कई प्रमुख परिचालन आवश्यकताओं के लिए 18 महीने की संक्रमण अवधि बताई गई है, जो 2027 के मध्य तक जारी रहेगी। अन्य प्रावधानों के लिए अलग-अलग प्रारंभ तिथियां या मील के पत्थर हो सकते हैं। इसलिए व्यवसायों को दो सामान्य गलतियों से बचना चाहिए: यह मान लेना कि हर आवश्यकता तुरंत लागू हो जाती है, या कोई भी कार्रवाई करने से पहले अंतिम समय सीमा तक प्रतीक्षा करना।

एक बेहतर तरीका यह है कि संगठन से संबंधित प्रावधानों की पहचान की जाए, उनकी प्रारंभ तिथियों की पुष्टि की जाए और एक आंतरिक अनुपालन योजना तैयार की जाए। डेटा संग्रह, अनुबंध, सुरक्षा प्रणालियों और सहमति प्रक्रियाओं की प्रारंभिक समीक्षा अंतिम समय के दबाव को कम करने में सहायक हो सकती है।

भारतीय व्यवसायों के लिए डीपीडीपी अधिनियम अनुपालन चेकलिस्ट

डीपीडीपी अधिनियम के अनुपालन में व्यवसायों को जिन सामान्य गलतियों से बचना चाहिए

1. गोपनीयता नीति को पर्याप्त मान लेना: गोपनीयता नीति अनुपालन का केवल एक हिस्सा है। व्यवसायों को उपयुक्त सुरक्षा नियंत्रण, डेटा विलोपन प्रक्रियाएं, सहमति तंत्र और विक्रेता प्रबंधन प्रक्रियाओं की भी आवश्यकता होती है।
2. स्पष्ट उद्देश्य के बिना डेटा एकत्र करना: केवल इस आधार पर जानकारी एकत्र करना कि यह भविष्य में उपयोगी हो सकती है, कानूनी और सुरक्षा संबंधी जोखिमों को बढ़ा सकता है। व्यवसायों को यह पहचानना चाहिए कि व्यक्तिगत डेटा की प्रत्येक श्रेणी की आवश्यकता क्यों है और अनावश्यक संग्रह से बचना चाहिए।
3. सहमति को हमेशा आवश्यक मानना: सहमति एक प्रमुख कानूनी आधार है, लेकिन अधिनियम कुछ अनुमत उपयोगों को भी मान्यता देता है। व्यवसायों को प्रत्येक प्रसंस्करण गतिविधि को एक समान रूप से देखने के बजाय लागू प्रावधानों को समझना चाहिए।
4. व्यक्तिगत डेटा को हमेशा के लिए सुरक्षित रखना: बिना किसी वैध कारण के पुराने ग्राहक रिकॉर्ड को अनिश्चित काल तक सुरक्षित रखना अनावश्यक जोखिम पैदा कर सकता है। व्यवसायों को डेटा को सुरक्षित रखने की अवधि निर्धारित करनी चाहिए और लागू विलोपन आवश्यकताओं का पालन करना चाहिए, साथ ही उन सूचनाओं को भी सुरक्षित रखना चाहिए जिन्हें कानूनी रूप से सुरक्षित रखना आवश्यक है।
5. विक्रेता सुरक्षा की अनदेखी: तृतीय-पक्ष सेवा प्रदाताओं के पास ग्राहकों और कर्मचारियों की महत्वपूर्ण जानकारी तक पहुंच हो सकती है। व्यवसायों को यह मानकर नहीं चलना चाहिए कि कोई स्थापित विक्रेता स्वतः ही नियमों का पालन करता है, बल्कि उन्हें अपनी सुरक्षा प्रक्रियाओं और संविदात्मक दायित्वों की समीक्षा करनी चाहिए।
6. निजता संबंधी शिकायतों की अनदेखी: शिकायतों में देरी या अनुत्तरित शिकायतें विश्वास को ठेस पहुंचा सकती हैं और मामले को और बढ़ा सकती हैं। कंपनियों को एक स्पष्ट शिकायत प्रक्रिया प्रदान करनी चाहिए और अनुरोधों के समाधान होने तक उनकी निगरानी करनी चाहिए।

कानूनी लेख जो आपको पसंद आ सकते हैं

• भारत में डेटा संरक्षण कानून
• भारत में गोपनीयता कानून बनाम आपराधिक जांच: प्रौद्योगिकी और सार्वजनिक सुरक्षा में संतुलन
• साइबर कानून का महत्व
• भारतीय व्यवसायों के लिए ई-कॉमर्स कानूनी अनुपालन चेकलिस्ट

निष्कर्ष

भारत में व्यापार करने के लिए व्यक्तिगत डेटा का ज़िम्मेदार प्रबंधन एक महत्वपूर्ण हिस्सा है। कंपनियों को अपने डेटा संग्रह, सहमति प्रक्रियाओं, सुरक्षा प्रणालियों, विक्रेता अनुबंधों और विलोपन प्रक्रियाओं की समीक्षा करनी चाहिए। पहले से तैयारी करने से अनुपालन संबंधी जोखिमों को कम करने, ग्राहकों के विश्वास को बनाए रखने और परिवर्तन को आसान बनाने में मदद मिल सकती है।

अस्वीकरण : यह ब्लॉग केवल सूचनात्मक उद्देश्यों के लिए है। यदि आपको कानूनी परामर्श की आवश्यकता है, तो कृपया किसी अनुभवी कॉर्पोरेट वकील से संपर्क करें ।