जब ग्राहक मुझसे Digital Personal Data Protection (DPDP) Act के बारे में पूछते हैं, तो पहला सवाल शायद ही कभी “यह क्या कहता है?” होता है। आम तौर पर सवाल होता है “क्या हम अनुपालन में हैं, और हमें यह पता कैसे चलेगा?”
यह जायज़ सवाल है। ज़्यादातर संगठनों के पास व्यक्तिगत डेटा उनकी सोच से कहीं ज़्यादा जगहों पर होता है: HRMS एक्सपोर्ट, इनबॉक्स में पड़े उम्मीदवार दस्तावेज़, वेंडर पोर्टल, साझा ड्राइव, पुराने बैकअप। अनुपालन कोई एक नीति नहीं है जिस पर आप हस्ताक्षर कर दें। यह काम करने की आदतों का एक समूह है जिसे आप नियामक, ग्राहक या ऑडिटर को दिखा सकें।
Quinfy में हम सैकड़ों ग्राहकों के लिए संवेदनशील पहचान, शिक्षा, रोज़गार और पते का डेटा संभालते हैं, इसलिए हम इस बारे में रोज़ सोचते हैं। यह लेख आपको तीन चीज़ें देता है: आधिकारिक समय-सारणी, यह परखने का तेज़ तरीक़ा कि आप कहाँ खड़े हैं, और तैयारी के लिए एक रोडमैप। पूरी चेकलिस्ट वाला डाउनलोड करने योग्य टूलकिट अंत में है।
समय-सारणी: क्या पहले से लागू है और क्या आने वाला है
Digital Personal Data Protection Rules, 2025 को इलेक्ट्रॉनिक्स और सूचना प्रौद्योगिकी मंत्रालय (MeitY) ने 13 नवंबर 2025 को अधिसूचित किया। ये Act को तीन चरणों में लागू करते हैं।
| तिथि | क्या लागू होता है | आपके लिए इसका अर्थ |
|---|---|---|
| 13 नवंबर 2025 (पहले से लागू) | नियम 1, 2 और 17 से 21: परिभाषाएँ और Data Protection Board of India | प्रवर्तन निकाय अस्तित्व में है और शिकायतें प्राप्त कर सकता है। ज़्यादातर व्यवसायों पर अभी रोज़मर्रा के भारी दायित्व नहीं हैं। |
| 13 नवंबर 2026 (लगभग दो सप्ताह दूर) | नियम 4: Consent Managers का पंजीकरण और दायित्व | मुख्य रूप से उन संगठनों पर असर डालता है जो Consent Manager के रूप में काम करने की योजना बना रहे हैं, और उन पर जो उनका उपयोग करने की योजना बना रहे हैं। इसे अपना पहला पड़ाव मानें। |
| 13 मई 2027 (पूर्ण अनुपालन) | नियम 3 और 5 से 16, साथ ही 22 और 23: सूचना, सहमति, सुरक्षा उपाय, उल्लंघन की रिपोर्टिंग, अवधारण और विलोपन, बच्चों का डेटा, Data Principal के अधिकार, Significant Data Fiduciary के कर्तव्य और सीमा-पार नियम | यह वह तिथि है जिस तक आपकी प्रक्रियाएँ काम करती हुई होनी चाहिए। |
मौजूदा टिप्पणियों को पढ़कर हमारी ओर से दो सावधानियाँ:
- मई 2027 की तिथि पहले आ सकती है। कुछ क़ानूनी टिप्पणीकार बताते हैं कि मीडिया रिपोर्टों में कम समय-सीमा की अपेक्षा की गई है। ऐसी योजना बनाएँ मानो आपकी असली समय-सीमा 13 मई 2027 से पहले की है, और ताज़ा स्थिति की पुष्टि अपने विधि सलाहकार से या MeitY की वेबसाइट पर करें।
- अठारह महीने सुनने में जितने लगते हैं, उससे कम हैं। सहमति प्रवाह दोबारा बनाने, वेंडर अनुबंधों पर नए सिरे से बातचीत करने और सुरक्षा नियंत्रण लागू करने में आम तौर पर उपलब्ध अधिकांश समय लग जाता है। यदि आप नवंबर में शुरू करते हैं, तो आपके पास लगभग साढ़े छह महीने हैं।
वह दंड जो बोर्डरूम का ध्यान खींचता है
Act उचित सुरक्षा उपाय बनाए रखने में विफल रहने पर ₹250 करोड़ तक के दंड की अनुमति देता है, और अन्य उल्लंघनों के अपने दंड हैं। व्यवहार में संख्या चाहे जो निकले, व्यावसायिक जोखिम उतना ही वास्तविक है: एंटरप्राइज़ ग्राहक पहले से ही अपने सुरक्षा प्रश्नावली और अनुबंधों में वेंडरों से DPDP आश्वासन माँग रहे हैं।
पाँच मिनट की स्व-जाँच
इन दस सवालों के ईमानदारी से जवाब दें। ये टूलकिट की पूरी 30-बिंदु चेकलिस्ट से लिए गए हैं।
- क्या हमें पता है कि व्यक्तिगत डेटा कहाँ रहता है? क्या हम उन सिस्टमों, वेंडरों और फ़ाइलों का नक्शा दे सकते हैं जिनमें व्यक्तिगत डेटा है, जिसमें उम्मीदवार और कर्मचारी डेटा भी शामिल है?
- क्या DPDP की ज़िम्मेदारी किसी एक नामित व्यक्ति के पास है? क्या वरिष्ठ समर्थन के साथ कोई जवाबदेह प्रमुख है?
- क्या हमारी सूचना स्पष्ट है? क्या डेटा एकत्र करने से पहले लोगों को सरल भाषा में सूचना मिलती है, जो बताती है कि हम क्या एकत्र करते हैं, क्यों, अधिकारों का प्रयोग कैसे करें और शिकायत कैसे करें?
- क्या हम सहमति साबित कर सकते हैं? क्या हमारे पास टाइमस्टैम्प वाला रिकॉर्ड है कि किसने किस उद्देश्य के लिए सहमति दी?
- क्या लोग सहमति उतनी ही आसानी से वापस ले सकते हैं जितनी आसानी से उन्होंने दी थी?
- क्या हम अधिकार संबंधी अनुरोध का जवाब दे सकते हैं? यदि कोई पूछे कि हमारे पास उसके बारे में क्या है, या उसे सुधारने या मिटाने को कहे, तो क्या हम तय समय में जवाब दे सकते हैं?
- क्या सुरक्षा उपाय लागू हैं और उनके प्रमाण हैं? एन्क्रिप्शन, एक्सेस कंट्रोल, मॉनिटरिंग और कम से कम एक साल तक रखे गए लॉग के बारे में सोचें।
- क्या हम उल्लंघन को संभाल पाएँगे? क्या हमारे पास Data Protection Board और प्रभावित व्यक्तियों को सूचित करने की परखी हुई योजना है, जिसमें 72 घंटों के भीतर विस्तृत रिपोर्ट भी शामिल है?
- क्या हमारे वेंडर अनुबंध हमारे प्रोसेसरों को बाध्य करते हैं? क्या उनमें निर्देश, सुरक्षा, उल्लंघन की चेतावनी और विलोपन शामिल हैं?
- क्या उद्देश्य पूरा होने पर हम डेटा हटा देते हैं? क्या कोई अवधारण समय-सारणी है जिसका वास्तव में पालन होता है?
अपने उत्तरों को कैसे पढ़ें। आठ या अधिक “हाँ” का अर्थ है कि आप ठीक स्थिति में हैं और अब इसका प्रमाण जुटाना चाहिए। चार से सात का अर्थ है कि अगली दो तिमाहियों में कमियाँ दूर करनी होंगी। तीन या उससे कम का अर्थ है कि आपको इसी महीने शुरू करना चाहिए। पूरा टूलकिट 60-अंकों के स्कोर का उपयोग करता है ताकि आप समय के साथ प्रगति ट्रैक कर सकें।
तैयारी के लिए छह-चरणीय रोडमैप
समय-सीमा से पीछे की ओर चलकर योजना बनाएँ। हमारा सुझाया क्रम यह है।
चरण 1: जुटें और खोजें (नवंबर 2026)। एक ज़िम्मेदार व्यक्ति नियुक्त करें, नेतृत्व को जानकारी दें और अपनी डेटा सूची बनाएँ। तय करें कि क्या आपको Significant Data Fiduciary माना जा सकता है, जिसके साथ अतिरिक्त दायित्व आते हैं, जैसे भारत में स्थित Data Protection Officer, वार्षिक प्रभाव आकलन और स्वतंत्र ऑडिट।
चरण 2: बुनियाद ठीक करें (दिसंबर 2026 से जनवरी 2027)। अपनी गोपनीयता सूचना दोबारा लिखें, सहमति संग्रह को नए सिरे से डिज़ाइन करें, और अपनी अवधारण समय-सारणी और अधिकार-अनुरोध संभालने की प्रक्रिया लिखें।
चरण 3: सिस्टम और वेंडरों को सुरक्षित करें (जनवरी से मार्च 2027)। तकनीकी सुरक्षा उपाय लागू करें, लॉगिंग चालू करें, और व्यक्तिगत डेटा को छूने वाले हर प्रोसेसर के साथ अनुबंध अपडेट करें। किसी भी सीमा-पार हस्तांतरण का नक्शा बनाएँ।
चरण 4: लोगों और घटना-प्रतिक्रिया को तैयार करें (मार्च से अप्रैल 2027)। डेटा संभालने वाली टीमों को प्रशिक्षित करें, अपना शिकायत चैनल बनाएँ, जहाँ आवश्यक हो मौजूदा Data Principals को सूचित करें, और उल्लंघन का अभ्यास करें।
चरण 5: वेरिफाई करें और लाइव हों (अप्रैल से 13 मई 2027)। स्व-मूल्यांकन दोबारा चलाएँ, प्रमाण फ़ाइल तैयार करें और नेतृत्व से मंज़ूरी लें।
चरण 6: निरंतरता बनाए रखें। हर साल, और जब भी MeitY नया मार्गदर्शन जारी करे, समीक्षा करें।
HR और नियुक्ति टीमों के लिए एक टिप्पणी
कई संगठन DPDP Act से पहली बार नियुक्ति में ही रूबरू होते हैं। एक बैकग्राउंड चेक में पहचान संख्याएँ, पते, शिक्षा रिकॉर्ड और रोज़गार इतिहास शामिल हो सकते हैं। चार आदतें सबसे ज़्यादा मदद करती हैं:
- स्कैन किए गए फ़ॉर्म पर निर्भर रहने के बजाय हर जाँच से जुड़ी उम्मीदवार की सहमति डिजिटल रूप से लें।
- जाँच पैकेज को भूमिका के अनुरूप रखें, ताकि आप केवल वही एकत्र करें जो भूमिका को चाहिए।
- वेरिफिकेशन रिपोर्टों के लिए अवधारण अवधि तय करें और सुनिश्चित करें कि वेंडर उसका पालन करें।
- रोज़गार से जुड़े “वैध उपयोग” प्रावधान को सावधानी से लें। यह सब कुछ एकत्र करने का लाइसेंस नहीं है, इसलिए यह आप पर कैसे लागू होता है, इस पर क़ानूनी सलाह लें।
टूलकिट डाउनलोड करें
इसे व्यावहारिक बनाने के लिए हमने पूरी प्रक्रिया को एक निःशुल्क, Quinfy-ब्रांडेड दस्तावेज़ में रखा है: आधिकारिक समय-सारणी, स्कोरिंग गाइड के साथ 30-बिंदु स्व-मूल्यांकन, छह-चरणीय रोडमैप, ज़िम्मेदारी मैट्रिक्स (RACI), प्रमाण रजिस्टर और नियुक्ति-विशेष चेकलिस्ट। इसका उपयोग अपनी समीक्षा करने, नेतृत्व टीम के साथ साझा करने, या अपने ऑडिटरों को सौंपने के लिए करें।
यदि आप अपने नियुक्ति और वेरिफिकेशन वर्कफ़्लो पर एक और नज़र चाहते हैं, तो हमारी टीम आपके साथ उन्हें देखने में खुशी से मदद करेगी।
यह लेख और टूलकिट सामान्य मार्गदर्शन हैं, क़ानूनी सलाह नहीं। तिथियाँ और नियमों के संदर्भ लेखन के समय के सार्वजनिक स्रोतों पर आधारित हैं और बदल सकते हैं। इन पर भरोसा करने से पहले कृपया योग्य विधि सलाहकार और आधिकारिक MeitY अधिसूचनाओं से वर्तमान स्थिति की पुष्टि करें।
लेखक के बारे में: Suvarna Singh, Quinfy की Chief Client Officer और सह-संस्थापक हैं, जो AI-नेटिव बैकग्राउंड वेरिफिकेशन कंपनी है और 45 से अधिक देशों के ग्राहकों को सेवा देती है।
स्रोत: Digital Personal Data Protection Rules, 2025 (G.S.R. 846(E), 13 नवंबर 2025); LKS (lkslaw.com), Legismith (legismith.com), LLM Advocates (dpdp.llmadvocates.com) और Sumrite (sumrite.com) की टिप्पणियाँ और समय-सारणी सारांश।
