डीपीडीपी कायद्याचे स्पष्टीकरण: भारतीय व्यवसायांसाठी एक संपूर्ण अनुपालन मार्गदर्शिका

डिजिटल वैयक्तिक डेटा संरक्षण कायदा, २०२३ (डीपीडीपी कायदा) आणि डिजिटल वैयक्तिक डेटा संरक्षण नियम, २०२५ लागू झाल्यामुळे, व्यवसायांना वैयक्तिक माहिती कशी गोळा केली जाते, वापरली जाते, साठवली जाते, शेअर केली जाते आणि हटवली जाते याचा आढावा घेणे आवश्यक आहे. तुम्ही लहान स्टार्टअप, ऑनलाइन शॉपिंग व्यवसाय, सॉफ्टवेअर कंपनी किंवा मोठी संस्था चालवत असाल, तरीही डीपीडीपी कायद्याचे पालन समजून घेणे महत्त्वाचे आहे. हे मार्गदर्शक मुख्य आवश्यकता, वैयक्तिक हक्क, संभाव्य दंड आणि पालनासाठी तयारी करण्याकरिता व्यवसायांनी उचलू शकणाऱ्या व्यावहारिक पायऱ्या स्पष्ट करते.

डीपीडीपी कायदा काय आहे आणि भारतीय व्यवसायांसाठी तो महत्त्वाचा का आहे?

डिजिटल वैयक्तिक डेटा संरक्षण कायदा, २०२३, भारतात डिजिटल वैयक्तिक डेटा हाताळण्यासाठी एक कायदेशीर चौकट प्रदान करतो.

• डिजिटल वैयक्तिक डेटा: एखाद्या व्यक्तीबद्दलची माहिती, ज्या माहितीवरून त्या व्यक्तीची ओळख पटू शकते. ही माहिती डिजिटल स्वरूपात गोळा केली जाऊ शकते किंवा गोळा केल्यानंतर डिजिटल स्वरूपात रूपांतरित केली जाऊ शकते.
• डेटा प्रिन्सिपल: ज्या व्यक्तीच्या वैयक्तिक माहितीवर प्रक्रिया केली जात आहे ती व्यक्ती. ही व्यक्ती ग्राहक, कर्मचारी, वेबसाइटला भेट देणारी व्यक्ती किंवा संभाव्य ग्राहक असू शकते.
• डेटा विश्वस्त: अशी व्यवसाय किंवा संस्था जी वैयक्तिक डेटावर का आणि कशी प्रक्रिया केली जाईल हे ठरवते.
• डेटा प्रोसेसर: अशी व्यक्ती किंवा संस्था जी डेटा फिड्युशियरीच्या वतीने वैयक्तिक डेटावर प्रक्रिया करते.

डीपीडीपी कायदा महत्त्वाचा आहे, कारण जवळजवळ प्रत्येक आधुनिक व्यवसायात वैयक्तिक माहितीचा वापर केला जातो. कंपन्या त्यांच्या दैनंदिन कामाचा भाग म्हणून ग्राहकांचे तपशील, कर्मचाऱ्यांच्या नोंदी, पेमेंटची माहिती आणि इतर संवेदनशील डेटा हाताळू शकतात. याचा परिणाम व्यवसायाच्या कामकाजावर, ग्राहकांच्या विश्वासावर, पुरवठादारांशी असलेल्या संबंधांवर आणि आर्थिक स्थिरतेवरही होऊ शकतो.

कोणत्या व्यवसायांना डीपीडीपी कायद्याचे पालन करणे बंधनकारक आहे?

डीपीडीपी कायद्याची व्याप्ती विस्तृत आहे आणि तो विविध आकारांच्या व विविध उद्योगांमधील व्यवसायांना लागू होऊ शकतो. केवळ ग्राहक कमी आहेत किंवा संसाधने मर्यादित आहेत म्हणून लहान व्यवसायांना आपोआप सूट मिळत नाही. अनेक प्रकारच्या व्यवसायांवर याचा परिणाम होऊ शकतो:

• स्टार्टअप्स आणि छोटे व्यवसाय: ईमेल पत्ते, संपर्क तपशील किंवा ग्राहकांची माहिती गोळा करणाऱ्या कंपन्यांनी त्यांच्या डेटा संरक्षण जबाबदाऱ्यांचे मूल्यांकन केले पाहिजे.
• ई-कॉमर्स व्यवसाय: ऑनलाइन स्टोअर्स ग्राहकांचे पत्ते, ऑर्डरचा इतिहास, संपर्क माहिती आणि खरेदीशी संबंधित इतर तपशील हाताळतात.
• सॉफ्टवेअर आणि SaaS कंपन्या: हे व्यवसाय ग्राहक डेटाबेस, वापरकर्ता खाती आणि विश्लेषण माहिती साठवू शकतात.
• नियोक्ते: संस्था कर्मचाऱ्यांचा तपशील, वेतन नोंदी, उपस्थितीची माहिती आणि ओळखपत्रांवर प्रक्रिया करतात.
• तृतीय-पक्ष सेवा प्रदाते: मार्केटिंग एजन्सी, क्लाउड होस्टिंग प्रदाते, लेखा सेवा आणि ग्राहक सहाय्य कंपन्या इतर व्यवसायांसाठी वैयक्तिक डेटावर प्रक्रिया करू शकतात.

डीपीडीपी कायद्यांतर्गत मुख्य अनुपालन जबाबदाऱ्या कोणत्या आहेत?

वैयक्तिक डेटा लागू असलेल्या कायदेशीर आवश्यकतांनुसार हाताळला जाईल याची खात्री करण्याची जबाबदारी डेटा फिड्युशियरीची असते.

1. डेटावर कायदेशीररित्या प्रक्रिया करणे: व्यवसायांकडे वैयक्तिक डेटावर प्रक्रिया करण्यासाठी एक वैध कायदेशीर आधार असणे आवश्यक आहे. यामध्ये सामान्यतः संमती मिळवणे समाविष्ट असते, जोपर्यंत ही प्रक्रिया कायद्यानुसार वापराच्या परवानगी असलेल्या श्रेणीमध्ये येत नाही.
2. स्पष्ट गोपनीयता सूचना द्या: कोणती माहिती गोळा केली जात आहे, तिची गरज का आहे आणि ते त्यांचे हक्क कसे वापरू शकतात, हे लोकांना समजले पाहिजे. सूचनांमध्ये गोंधळात टाकणाऱ्या कायदेशीर संज्ञांऐवजी सोप्या भाषेचा वापर केला पाहिजे.
3. केवळ आवश्यक माहिती गोळा करा: व्यवसायांनी नमूद केलेल्या उद्देशासाठी आवश्यक असलेली वैयक्तिक माहिती गोळा करावी. स्पष्ट कारणाशिवाय अतिरिक्त माहिती गोळा केल्याने गोपनीयतेचा धोका वाढतो.
4. वाजवी सुरक्षा उपाययोजना राखा: कंपन्यांनी वैयक्तिक डेटाचे अनधिकृत प्रवेश, नुकसान, प्रकटीकरण किंवा गैरवापर यांपासून संरक्षण करण्यासाठी योग्य तांत्रिक आणि संघटनात्मक उपाययोजना करणे आवश्यक आहे.
5. वैयक्तिक हक्कांना समर्थन द्या: व्यवसायांनी कायद्यानुसार लागू असलेल्या प्रवेश, दुरुस्ती, अद्ययावतीकरण, हटवणे आणि तक्रार निवारणाशी संबंधित विनंत्या स्वीकारण्यासाठी आणि हाताळण्यासाठी एक प्रक्रिया तयार करावी.
6. माहिती जतन आणि हटवण्याच्या आवश्यकतांचे पालन करा: वैध कारणाशिवाय वैयक्तिक माहिती अनिश्चित काळासाठी ठेवू नये. व्यवसायांनी माहितीची गरज केव्हा संपते याचे मूल्यांकन केले पाहिजे आणि लागू असलेल्या कायदेशीर जतन जबाबदाऱ्यांचा विचार करून, आवश्यकतेनुसार ती हटवली पाहिजे.
7. तृतीय-पक्ष प्रक्रियाकर्त्यांचे व्यवस्थापन करा: व्यवसायांनी हे सुनिश्चित केले पाहिजे की वैयक्तिक डेटा हाताळणारे सेवा प्रदाते योग्य करार आणि सुरक्षा आवश्यकतांचे पालन करतात. विक्रेत्यांसोबतचे संबंध आपोआप सुरक्षित आहेत असे मानण्याऐवजी, त्यांचे नियमितपणे पुनरावलोकन केले पाहिजे.

डीपीडीपी कायद्यांतर्गत व्यवसायांनी संमती कशी मिळवावी आणि तिचे व्यवस्थापन कसे करावे?

वैध संमतीचे नियम खालीलप्रमाणे आहेत:

• स्पष्ट सूचना द्या: माहिती गोळा करण्यापूर्वी किंवा गोळा करताना, कोणती माहिती गोळा केली जात आहे आणि का, हे स्पष्ट करा. सूचना सहज समजेल अशी आणि साध्या भाषेत असावी. या कायद्यात इंग्रजी किंवा भारतीय संविधानाच्या आठव्या अनुसूचीमध्ये नमूद केलेल्या भाषेत सूचना देण्याची तरतूद आहे.
• उद्देश स्पष्ट करा: लोकांच्या माहितीचा वापर कसा केला जाईल हे त्यांना सांगा. उदाहरणार्थ, जर एखादे ऑनलाइन स्टोअर ऑर्डर पाठवण्यासाठी डिलिव्हरीचा पत्ता गोळा करत असेल, तर त्याचा उद्देश स्पष्टपणे समजावून सांगितला पाहिजे.
• संमती स्वतंत्र आणि स्पष्ट ठेवा: संमती लांबलचक अटी आणि शर्तींमध्ये लपवली जाऊ नये. जिथे संमती आवश्यक आहे, तिथे वापरकर्त्याने स्पष्ट होकारार्थी कृती करावी, जसे की अनचेक्ड संमती बॉक्स निवडणे.

डिजिटल प्लॅटफॉर्मवर संमतीचे पुनरावलोकन

व्यवसायांनी वेबसाइट्स, मोबाईल ॲप्स, ऑनलाइन फॉर्म्स आणि चेकआउट पेजेस यांसारख्या, ते वैयक्तिक डेटा गोळा करतात त्या सर्व ठिकाणांची तपासणी केली पाहिजे. तसेच, त्यांचे कार्य लागू असलेल्या संमतीच्या आवश्यकतांशी जुळते याची खात्री करण्यासाठी त्यांनी कुकी बॅनर आणि ट्रॅकिंग साधनांचे पुनरावलोकन केले पाहिजे.

संमती मागे घेण्याची प्रक्रिया सुलभ करणे तितकेच महत्त्वाचे आहे. जर एखाद्या व्यक्तीने संमती मागे घेतली, तर कायद्यानुसार आवश्यक असल्यास, प्रतिसाद देण्यासाठी आणि संबंधित प्रक्रिया थांबवण्यासाठी व्यवसायाकडे एक प्रक्रिया असली पाहिजे. कंपन्यांनी योग्य नोंदी ठेवल्या पाहिजेत, ज्यात संमती केव्हा मिळवली, वापरकर्त्याला काय सांगितले गेले आणि नंतर संमती मागे घेण्यात आली की नाही, हे दिसून आले पाहिजे.

डीपीडीपी कायद्यांतर्गत व्यक्तींना कोणते अधिकार आहेत?

डीपीडीपी कायदा, डेटा प्रिन्सिपल्स म्हणून ओळखल्या जाणाऱ्या व्यक्तींना, त्यांच्या वैयक्तिक माहितीसंबंधी महत्त्वाचे अधिकार देतो.

• माहिती मिळवण्याचा अधिकार: कायद्यात नमूद केल्यानुसार, व्यक्ती प्रक्रिया केल्या जात असलेल्या वैयक्तिक डेटाचा सारांश आणि संबंधित प्रक्रिया क्रियाकलाप आणि तृतीय पक्षांबद्दल माहितीची विनंती करू शकतात.
• दुरुस्ती आणि अद्ययावतीकरणाचा अधिकार: व्यक्ती, लागू असल्यास, चुकीची माहिती दुरुस्त करण्याची किंवा वैयक्तिक डेटा पूर्ण करून अद्ययावत करण्याची विनंती करू शकतात.
• माहिती हटवण्याचा अधिकार: व्यक्ती, कायद्याच्या आणि ती माहिती राखून ठेवण्याच्या कोणत्याही लागू असलेल्या आवश्यकतांच्या अधीन राहून, आपली वैयक्तिक माहिती हटवण्याची विनंती करू शकतात.
• तक्रार निवारणाचा अधिकार: व्यवसायांनी व्यक्तींना गोपनीयतेच्या तक्रारी मांडण्यासाठी आणि त्यावर प्रतिसाद मिळवण्यासाठी एक सुलभ मार्ग उपलब्ध करून दिला पाहिजे.
• नामनिर्देशित करण्याचा अधिकार: कायद्यात नमूद केल्यानुसार, व्यक्ती त्यांच्या मृत्यूनंतर किंवा असमर्थतेच्या प्रसंगी त्यांचे हक्क बजावण्यासाठी दुसऱ्या व्यक्तीला नामनिर्देशित करू शकतात.

मुलांच्या वैयक्तिक माहितीसाठी डीपीडीपी कायद्याच्या आवश्यकता काय आहेत?

डीपीडीपी कायदा मुलांच्या वैयक्तिक माहितीला अतिरिक्त संरक्षण प्रदान करतो.

कोणाला मूल मानले जाते?

या कायद्यानुसार, ज्या व्यक्तीने वयाची १८ वर्षे पूर्ण केलेली नाहीत, ती व्यक्ती बालक मानली जाते. बालकाच्या वैयक्तिक माहितीवर प्रक्रिया करण्यापूर्वी, व्यवसायाला सामान्यतः लागू असलेल्या कायदेशीर तरतुदी आणि अपवादांच्या अधीन राहून, पालक किंवा कायदेशीर संरक्षकाकडून पडताळणीयोग्य संमतीची आवश्यकता असते.

महत्त्वाचे निर्बंध

विशिष्ट सूट लागू होत नसल्यास, मुलांच्या माहितीवर प्रक्रिया करणाऱ्या व्यवसायांनी अशी प्रक्रिया करू नये, ज्यामुळे मुलांच्या कल्याणावर प्रतिकूल परिणाम होण्याची शक्यता आहे. हा कायदा, लागू असलेल्या वैधानिक सवलतींच्या अधीन राहून, मुलांचा मागोवा घेणे किंवा त्यांच्या वर्तनावर देखरेख ठेवणे आणि मुलांना लक्ष्य करून जाहिरातबाजी करण्यावरही निर्बंध घालतो.

कोणत्या व्यवसायांनी लक्ष दिले पाहिजे?

शैक्षणिक तंत्रज्ञान प्लॅटफॉर्म, ऑनलाइन गेमिंग सेवा, कौटुंबिक मनोरंजन ॲप्लिकेशन्स आणि सोशल मीडिया प्लॅटफॉर्म यांना लहान वापरकर्त्यांकडून माहिती कशी गोळा केली जाते याचा आढावा घेण्याची आवश्यकता भासू शकते. त्यांच्या कार्यांनुसार आणि लागू असलेल्या आवश्यकतांनुसार, या व्यवसायांना योग्य वयोमानाची खात्री देणारे उपाय, पालकांच्या संमतीची प्रक्रिया आणि ट्रॅकिंग व जाहिरातींवर नियंत्रण ठेवण्याची गरज भासू शकते.

डीपीडीपी अनुपालनासाठी व्यवसायांनी कोणते करार आणि धोरणे अद्ययावत करावीत?

• वेबसाइट आणि ॲप गोपनीयता सूचना: कोणता वैयक्तिक डेटा गोळा केला जातो, त्याची आवश्यकता का आहे आणि व्यक्ती आपले हक्क कसे वापरू शकतात, हे स्पष्ट करा.
• संमती फॉर्म आणि साधने: नोंदणी फॉर्म, निवड पर्याय आणि संमती मागे घेण्याची यंत्रणा अद्ययावत करा.
• विक्रेता आणि प्रक्रियाकर्ता करार: क्लाउड प्रदाते, ग्राहक संबंध व्यवस्थापन प्लॅटफॉर्म, विश्लेषण कंपन्या आणि वैयक्तिक डेटा हाताळणाऱ्या इतर सेवा प्रदात्यांसोबतच्या करारांचे पुनरावलोकन करा.
• कर्मचारी गोपनीयता धोरणे: कर्मचाऱ्यांची माहिती, वेतन नोंदी, ओळखपत्रे आणि संबंधित देखरेख डेटा कसा हाताळला जातो, हे स्पष्ट करा.
• डेटा जतन आणि हटवण्याचे धोरण: वैयक्तिक डेटा केव्हा जतन करावा, त्याचे पुनरावलोकन करावे आणि तो केव्हा हटवावा, हे स्पष्ट करते.
• डेटा उल्लंघन प्रतिसाद योजना: घटना ओळखणे, नियंत्रणात आणणे, तपास करणे आणि अहवाल देणे यासाठी स्पष्ट जबाबदाऱ्या निश्चित करा.
• तक्रार निवारण प्रक्रिया: गोपनीयतेशी संबंधित तक्रारी स्वीकारणे, त्यांची पडताळणी करणे, त्यांचा मागोवा घेणे आणि त्यांचे निराकरण करण्यासाठी एक प्रक्रिया तयार करा.

डीपीडीपी कायद्याचे पालन न केल्यास काय दंड आहेत?

भारतीय व्यवसायांसाठी डीपीडीपी कायद्याच्या अनुपालनाची कालमर्यादा काय आहे?

अंमलबजावणीची कालमर्यादा महत्त्वाची आहे, कारण कायदा आणि नियमांनुसार प्रत्येक बंधन एकाच तारखेला लागू होईलच असे नाही. डिजिटल वैयक्तिक डेटा संरक्षण नियम, २०२५ च्या अधिसूचनेनंतर, टप्प्याटप्प्याने अंमलबजावणीचे वेळापत्रक निश्चित करण्यात आले. मूळ सामग्रीनुसार, अनेक मुख्य कार्यान्वयन आवश्यकतांसाठी १८ महिन्यांचा संक्रमण कालावधी नमूद केला आहे, जो २०२७ च्या मध्यापर्यंत चालेल. इतर तरतुदी वेगवेगळ्या प्रारंभ तारखा किंवा टप्प्यांनुसार लागू होऊ शकतात. त्यामुळे व्यवसायांनी दोन सामान्य चुका टाळल्या पाहिजेत: प्रत्येक आवश्यकता त्वरित लागू होते असे गृहीत धरणे, किंवा कोणतीही कारवाई करण्यापूर्वी अंतिम मुदतीपर्यंत वाट पाहणे. संस्थेशी संबंधित तरतुदी ओळखणे, त्यांच्या प्रारंभ तारखांची पुष्टी करणे आणि अंतर्गत अनुपालन योजना तयार करणे हा एक चांगला दृष्टिकोन आहे. डेटा संकलन, करार, सुरक्षा प्रणाली आणि संमती प्रक्रिया यांचे लवकर पुनरावलोकन केल्याने शेवटच्या क्षणी येणारा ताण कमी होण्यास मदत होऊ शकते.

भारतीय व्यवसायांसाठी डीपीडीपी कायद्याच्या अनुपालनाची तपासणी सूची

व्यवसायांनी टाळल्या पाहिजेत अशा डीपीडीपी कायद्याच्या अनुपालनातील सामान्य चुका.

1. केवळ गोपनीयता धोरण पुरेसे आहे असे गृहीत धरणे: गोपनीयता धोरण हे अनुपालनाचा केवळ एक भाग आहे. व्यवसायांना योग्य सुरक्षा नियंत्रणे, डेटा हटवण्याची प्रक्रिया, संमती यंत्रणा आणि विक्रेता व्यवस्थापन प्रक्रिया यांचीही आवश्यकता असते.
2. स्पष्ट हेतूशिवाय माहिती गोळा करणे: केवळ भविष्यात उपयुक्त ठरू शकते या कारणास्तव माहिती गोळा केल्याने कायदेशीर आणि सुरक्षेचे धोके वाढू शकतात. व्यवसायांनी वैयक्तिक माहितीच्या प्रत्येक श्रेणीची आवश्यकता का आहे हे ओळखले पाहिजे आणि अनावश्यक संकलन टाळले पाहिजे.
3. संमती नेहमीच आवश्यक आहे असे गृहीत धरणे: संमती हा एक महत्त्वाचा कायदेशीर आधार आहे, परंतु हा कायदा काही विशिष्ट अनुमत वापरांना देखील मान्यता देतो. व्यवसायांनी प्रत्येक प्रक्रियात्मक कार्याला एकाच पद्धतीने हाताळण्याऐवजी, लागू असलेल्या तरतुदी समजून घेतल्या पाहिजेत.
4. वैयक्तिक डेटा कायमस्वरूपी जतन करणे: वैध कारणाशिवाय जुन्या ग्राहक नोंदी अनिश्चित काळासाठी जपून ठेवल्याने अनावश्यक धोके निर्माण होऊ शकतात. व्यवसायांनी माहिती जपून ठेवण्याचा कालावधी निश्चित करावा आणि कायदेशीररित्या जपून ठेवणे आवश्यक असलेली माहिती जतन करण्याबरोबरच, माहिती हटवण्याच्या लागू असलेल्या आवश्यकतांचे पालन करावे.
5. विक्रेत्याच्या सुरक्षेकडे दुर्लक्ष करणे: तृतीय-पक्ष सेवा प्रदात्यांना ग्राहकांची आणि कर्मचाऱ्यांची महत्त्वाची माहिती मिळू शकते. एखादा प्रस्थापित विक्रेता आपोआपच नियमांचे पालन करतो असे गृहीत धरण्याऐवजी, व्यवसायांनी त्यांच्या सुरक्षा पद्धती आणि करारातील जबाबदाऱ्यांचा आढावा घ्यावा.
6. गोपनीयतेच्या तक्रारींकडे दुर्लक्ष करणे: उशिरा दिलेल्या किंवा अनुत्तरित तक्रारींमुळे विश्वासाला तडा जाऊ शकतो आणि प्रकरण अधिक चिघळू शकते. कंपन्यांनी एक स्पष्ट तक्रार निवारण प्रक्रिया उपलब्ध करून दिली पाहिजे आणि विनंत्यांचे निराकरण होईपर्यंत त्यांचा मागोवा घेतला पाहिजे.

तुम्हाला आवडू शकणारे कायदेशीर लेख

• भारतातील डेटा संरक्षण कायदे
• गोपनीयतेचे कायदे वि. भारतातील गुन्हेगारी तपास: सार्वजनिक सुरक्षिततेसह तंत्रज्ञानाचे संतुलन
• सायबर कायद्याचे महत्त्व
• भारतीय व्यवसायांसाठी ई-कॉमर्स कायदेशीर अनुपालन तपासणी सूची

निष्कर्ष

डीपीडीपी कायद्यानुसार, वैयक्तिक डेटाची जबाबदारीने हाताळणी करणे हे भारतातील व्यवसायाचा एक महत्त्वाचा भाग बनले आहे. कंपन्यांनी त्यांचे डेटा संकलन, संमती पद्धती, सुरक्षा प्रणाली, विक्रेत्यांसोबतचे करार आणि डेटा हटवण्याच्या प्रक्रिया यांचा आढावा घ्यावा. लवकर तयारी केल्याने अनुपालनाचे धोके कमी होण्यास, ग्राहकांचा विश्वास जपण्यास आणि हे स्थित्यंतर सुलभ होण्यास मदत होऊ शकते.

अस्वीकरण : हा ब्लॉग केवळ माहितीसाठी आहे. आपल्याला कायदेशीर सल्ला हवा असल्यास, कृपया अनुभवी कॉर्पोरेट वकिलाशी संपर्क साधा .