डिजिटल व्यक्तिगत डेटा संरक्षण नियम

संदर्भ

केंद्र सरकार ने डिजिटल व्यक्तिगत डेटा संरक्षण (Digital Personal Data Protection-DPDP) नियम, 2025 का मसौदा 18 फरवरी तक सार्वजनिक परामर्श के लिए जारी किया है।

• ये नियम केंद्रीय इलेक्ट्रॉनिक्स और सूचना प्रौद्योगिकी मंत्रालय द्वारा अधिसूचित किए गए हैं और डिजिटल व्यक्तिगत डेटा संरक्षण अधिनियम, 2023 के प्रावधानों को लागू करेंगे।

मसौदा नियमों की विशेषताएँ 

• सूचित सहमति: ये नियम डेटा फिड्युसरीज (Data Fiduciaries) द्वारा उपयोगकर्ताओं के व्यक्तिगत डेटा संग्रह की प्रकृति को निर्दिष्ट करते हैं, अर्थात् वे किस प्रकार का डेटा एकत्र कर रहे हैं, इसे एकत्र करने का कारण और डेटा को कैसे संसाधित किया जाएगा।
• डिजिटल बाय डिजाइन (Digital by Design): सहमति तंत्र और शिकायत निवारण के लिए डेटा सुरक्षा बोर्ड, शिकायतों के तीव्र ऑनलाइन समाधान के लिए निर्धारित किया गया है।
• छूट: सरकार और उसकी एजेंसियों को सब्सिडी और लाभ प्रदान करने के उद्देश्य से डेटा से संबंधित कुछ अनुपालन से छूट दी गई है। ‘सांख्यिकीय’ उद्देश्यों के लिए एकत्र किए गए डेटा को भी छूट दी गई है।
• डेटा सुरक्षा: डेटा फिड्युसरीज को तकनीकी और परिचालन सुरक्षा प्रदान करके अपने पास मौजूद व्यक्तिगत डेटा की सुरक्षा करनी चाहिए, जैसे कि डेटा उल्लंघन के 72 घंटों के भीतर, डेटा फिड्युसरीज को भारतीय डेटा संरक्षण बोर्ड (DPBI) को सूचित करना चाहिए।
• हटाना: किसी निष्क्रिय खाते का उपयोगकर्ता डेटा, ई-कॉमर्स प्रदाता, सोशल मीडिया प्लेटफॉर्म या ऑनलाइन गेमिंग सेवा द्वारा 48 घंटे की अग्रिम सूचना और हटाने को रोकने के लिए समय देने के बाद हटा दिया जाना चाहिए।
• मूल्यांकन और लेखा परीक्षा: महत्त्वपूर्ण डेटा न्यासियों को इस अधिनियम के प्रावधानों का प्रभावी अनुपालन सुनिश्चित करने के लिए समय-समय पर ‘डेटा संरक्षण प्रभाव आकलन’ (Data Protection Impact Assessment) और ऑडिट करना होगा। 
• सत्यापन योग्य माता-पिता की सहमति: यह सुनिश्चित करने के लिए उपयुक्त तकनीकी और संगठनात्मक उपाय अपनाए जाएँगे कि बच्चे के किसी भी व्यक्तिगत डेटा प्रसंस्करण से पहले माता-पिता की सत्यापन योग्य सहमति प्राप्त कर ली जाए।
  • डेटा फिड्युशरीज को स्वैच्छिक रूप से दी गई पहचान और आयु के विवरण या उससे संबंधित वर्चुअल टोकन पर निर्भर रहना पड़ता है, जिसे कानून द्वारा सौंपी गई इकाई द्वारा जारी किया जाता है।
• सहमति प्रबंधक: उपयोगकर्ता की सहमति के प्रबंधन के लिए जिम्मेदार संस्थाओं को सटीक सत्यापन सुनिश्चित करना चाहिए और उपयोगकर्ताओं को सहमति वापस लेने के लिए एक तंत्र प्रदान करना चाहिए। उन्हें उन सभी उपयोगकर्ताओं का विस्तृत रिकॉर्ड भी रखना चाहिए, जिन्होंने सहमति दी है या वापस ली है।
• डेटा स्थानीयकरण: इस प्रावधान के अनुसार, कुछ व्यक्तिगत डेटा को भारत में ही संगृहीत किया जाना चाहिए और उसे विदेश में स्थानांतरित नहीं किया जा सकता। एक सरकारी समिति यह निर्धारित करेगी कि किस श्रेणी के डेटा (जैसे, स्वास्थ्य या वित्तीय डेटा) को देश के बाहर स्थानांतरित नहीं किया जा सकता है।
• दंड और प्रवर्तन: डेटा सुरक्षा नियमों का पालन न करने पर ₹250 करोड़ तक का जुर्माना लगाया जा सकता है और बार-बार उल्लंघन करने वालों को उनके लाइसेंस निलंबित या रद्द किए जाने का सामना करना पड़ सकता है।

निष्क्रिय सोशल मीडिया खाते DPDP 2025 का नियम 8(1): डेटा फिड्युसरी निष्क्रिय खातों को समाप्त कर देगा यदि डेटा प्रिंसिपल न तो ऐसे डेटा फिड्युसरी से संपर्क करता है और न ही ऐसी प्रसंस्करण के संबंध में अपने अधिकारों का प्रयोग करता है या जब तक कि किसी कानून के अनुपालन के लिए उसका प्रतिधारण आवश्यक न हो। डिजिटल व्यक्तिगत डेटा संरक्षण नियम, 2025 के तहत लंबे समय तक निष्क्रिय रहने के बाद मृतक व्यक्तियों की प्रोफाइल हटाई जा सकती है। नामांकन: डेटा प्रिंसिपल को किसी अन्य व्यक्ति को नामांकित करने का अधिकार होगा, जो उनकी मृत्यु या अक्षमता की स्थिति में डेटा प्रिंसिपल के अधिकारों का प्रयोग करेगा। सोशल मीडिया प्लेटफॉर्म की मौजूदा प्रथाएँ मेटा की अकाउंट मेमोराइजेशन की नीति (Meta’s Account Memorialisation Policy): मेटा की नीति है कि यदि किसी मृतक के रिश्तेदार की इच्छा के अनुसार, वैध अनुरोध प्राप्त होता है तो उसके अकाउंट को मेमोराइज (Memorialize) बना दिया जाता है। नीति का स्पष्ट उल्लेख फेसबुक के सहायता पृष्ठ पर किया गया है। विरासत संपर्क: मेटा, किसी उपयोगकर्ता को जीवित रहते हुए एक विरासत अनुबंध जोड़ने की भी अनुमति देता है, ताकि उसकी मृत्यु की स्थिति में नियंत्रण किसी और को दिया जा सके। निष्क्रिय खाते पर गूगल की नीति यह उपयोगकर्ताओं को यह निर्धारित करने की अनुमति देता है कि उनकी जानकारी तक किसकी पहुँच होनी चाहिए और क्या उनके खाते को हटा दिया जाना चाहिए- अपने खाते को निष्क्रिय करने के लिए एक समय-सीमा निर्धारित करना। अपने खाते के निष्क्रिय होने पर सूचित करने के लिए 10 विश्वसनीय संपर्कों को चुनना। गूगल फोटो, गूगल ड्राइव फाइलें और जीमेल सहित विश्वसनीय संपर्कों के साथ डेटा साझा करने का निर्णय लेना।

DPDP नियम, 2025 के संबंध में चिंताएँ

• विवेकाधीन शक्तियाँ: केंद्र सरकार और डेटा फिड्युशरीज को कुछ विवेकाधीन शक्तियाँ प्रदान की गई हैं, जैसे-छूट का निर्धारण, प्रसंस्करण मानक, डेटा प्रतिधारण, डेटा स्थानीयकरण आदि, जिससे सरकार को स्पष्ट मानदंडों के बिना अत्यधिक शक्तियाँ प्राप्त हो जाती हैं।
• निगरानी और जवाबदेही: DPDP नियम, मजबूत प्रवर्तन या निरीक्षण तंत्र स्थापित नहीं करते हैं क्योंकि स्वतंत्र ऑडिट या अनुपालन निगरानी के लिए कोई स्पष्ट प्रावधान नहीं है।
  • इसके अलावा एक स्वतंत्र डेटा संरक्षण प्राधिकरण के माध्यम से नियामक ढाँचा बनाने में भी विफलता है।
• राज्य प्रसंस्करण के लिए छूट: राज्य और उसकी एजेंसियों को व्यापक उद्देश्यों के लिए व्यक्तिगत डेटा को संसाधित करने की अनुमति है, जैसे कि कानून, नीतियों या सार्वजनिक निधियों के तहत सब्सिडी, लाभ या सेवाएँ जारी करना। हालाँकि, इस तरह के प्रसंस्करण का दायरा और सीमाएँ निर्दिष्ट नहीं की गई हैं, जिससे संभावित दुरुपयोग की संभावना बनी हुई है।
• सार्वभौमिक अनिवार्य पंजीकरण: सरकार किसी व्यक्ति की नाबालिग स्थिति की जाँच करने के लिए आयु सत्यापन की माँग करती है और भविष्य में प्रत्येक ऑनलाइन उपयोगकर्ता को सरकारी पहचान-पत्रों के माध्यम से अपनी आयु सत्यापित करने की आवश्यकता हो सकती है, जिसके परिणामस्वरूप प्रत्येक उपयोगकर्ता के ऑनलाइन पहचान-पत्रों से जुड़ी सरकारी पहचान-पत्रों के साथ बड़े पैमाने पर निगरानी की संभावना हो सकती है।

डिजिटल व्यक्तिगत डेटा संरक्षण अधिनियम 2023  पृष्ठभूमि: सर्वोच्च न्यायालय ने जस्टिस के. एस. पुट्टास्वामी बनाम भारत संघ 2017 के ऐतिहासिक मामले में निजता के अधिकार को भारतीय संविधान के तहत एक मौलिक अधिकार के रूप में मान्यता दी। डिजिटल व्यक्तिगत डेटा संरक्षण अधिनियम (Digital Personal Data Protection Act): वर्ष 2023 में, भारत ने व्यक्तिगत डेटा की सुरक्षा के लिए डिजिटल व्यक्तिगत डेटा संरक्षण अधिनियम लागू किया। डिजिटल व्यक्तिगत डेटा संरक्षण अधिनियम 2023 की विशेषताएँ प्रयोज्यता: भारत के भीतर डिजिटल व्यक्तिगत डेटा का प्रसंस्करण डिजिटल और गैर-डिजिटल दोनों रूपों में एकत्र किए गए डेटा या बाद में डिजिटल किए गए डेटा पर लागू होता है। भारत के बाहर व्यक्तिगत डेटा प्रसंस्करण लागू होता है यदि इसमें भारत के भीतर वस्तुओं या सेवाओं का प्रस्तुतीकरण शामिल है। सूचित सहमति: व्यक्तिगत डेटा को केवल डेटा प्रिंसिपल की सहमति से वैध उद्देश्यों के लिए संसाधित किया जा सकता है, जो किसी भी समय सहमति वापस ले सकता है। भारतीय डेटा संरक्षण बोर्ड (DPBI): केंद्र सरकार अनुपालन की निगरानी, ​​दंड आरोपित करने, डेटा उल्लंघनों के मामले में डेटा फिड्युशयरी को निर्देश देने और शिकायतों की सुनवाई सहित प्रमुख कार्यों के साथ DPBI की स्थापना करती है। डेटा प्रिंसिपल के अधिकार और कर्तव्य: डेटा प्रिंसिपल को प्रसंस्करण के बारे में जानकारी प्राप्त करने, व्यक्तिगत डेटा में सुधार और मिटाने, शिकायत निवारण और मृत्यु या अक्षमता के मामले में अधिकारों का प्रयोग करने के लिए किसी व्यक्ति को नामित करने का अधिकार है। डेटा फिड्युशरीज के दायित्व: डेटा फिड्युसरीज को डेटा की सटीकता और पूर्णता सुनिश्चित करनी होगी, उचित सुरक्षा उपायों को लागू करना होगा, उल्लंघन के मामले में DPBI और प्रभावित व्यक्तियों को सूचित करना होगा और जब उद्देश्य पूरा हो जाए और कानूनी उद्देश्यों के लिए प्रतिधारण आवश्यक न हो तो व्यक्तिगत डेटा को मिटा देना होगा। महत्त्वपूर्ण डेटा फिड्युसरी (SDF): केंद्र सरकार संसाधित किए गए डेटा की मात्रा और संवेदनशीलता, डेटा प्रिंसिपल के अधिकारों के लिए जोखिम, भारत की संप्रभुता और अखंडता पर संभावित प्रभाव, राज्य की सुरक्षा, चुनावी लोकतंत्र और सार्वजनिक व्यवस्था के लिए जोखिम जैसे कारकों के आधार पर किसी भी डेटा फिड्युसरी को SDF के रूप में अधिसूचित कर सकती है।  SDF के पास अतिरिक्त दायित्व हैं, जिसमें डेटा सुरक्षा अधिकारी और एक स्वतंत्र डेटा ऑडिटर की नियुक्ति करना और प्रभाव आकलन करना शामिल है।

DOWNLOAD PDF