Chapter2: Indian Data Privacy Framework and DPDP Bill Overview
भारत में Data Privacy का कानूनी ढांचा पिछले दो दशकों में काफी विकसित हुआ है। IT Act 2000 की Sec 43A और SPDI Rules 2011 के तहत डेटा प्राइवेसी के कुछ प्रावधान थे, लेकिन ये अपर्याप्त थे। वर्ष 2017 में सुप्रीम कोर्ट ने Justice K.S. Puttaswamy vs Union of India के ऐतिहासिक फैसले में Privacy को मौलिक अधिकार (अनुच्छेद 21) का हिस्सा घोषित किया । इसके बाद सरकार ने एक मजबूत Data Protection कानून की आवश्यकता महसूस की।
अंततः Digital Personal Data Protection Act, 2023 (DPDP Act 2023) पारित किया गया और नवंबर 2025 में इसके नियम (DPDP Rules, 2025) अधिसूचित किए गए । Data Privacy Framework, DPDP Act की मुख्य धाराओं, नियमों, और Data Principals तथा Data Fiduciaries के अधिकार और दायित्व निम्नाकित है –
DPDP Act 2023:-Introduction and Objectives
Digital Personal Data Protection Act, 2023 (DPDP Act) भारत का पहला व्यापक डेटा संरक्षण कानून है जो 11 अगस्त 2023 को संसद द्वारा पारित हुआ । इस अधिनियम का उद्देश्य डिजिटल व्यक्तिगत डेटा के प्रोसेसिंग को विनियमित करना है। यह कानून Simple (सरल), Accessible (सुलभ), Rational (तर्कसंगत) और Actionable (कार्रवाई योग्य) ‘ SARAL’ दृष्टिकोण पर आधारित है ।
मुख्य उद्देश्य:
(1) व्यक्तियों (Data Principals) के Data Privacy अधिकारों की रक्षा करना
(2) संगठनों (Data Fiduciaries) के लिए डेटा प्रोसेसिंग के नियम बनाना
(3) डेटा उल्लंघन (Data Breach) पर दंड का प्रावधान करना
(4) डेटा का उपयोग केवल वैध उद्देश्यों और सहमति (Consent) से सुनिश्चित करना
(5) एक स्वतंत्र Data Protection Board of India (DPBI) की स्थापना करना
DPDP Act 2023 की प्रमुख शर्तें (Key Definitions)
Personal Data (Imp.) : ऐसा कोई भी डेटा जो किसी व्यक्ति के बारे में हो और जिससे उस व्यक्ति की पहचान की जा सके (प्रत्यक्ष या अप्रत्यक्ष रूप से) ।
Data Principal (Imp.) : वह व्यक्ति जिसका व्यक्तिगत डेटा हो। यदि व्यक्ति बच्चा है या विकलांग है, तो उसके मातापिता या कानूनी अभिभावक भी Data Principal माने जाएंगे ।
Data Fiduciary (Imp.) : कोई भी व्यक्ति या संगठन (कंपनी, सरकारी निकाय) जो यह तय करता है कि व्यक्तिगत डेटा को क्यों और कैसे प्रोसेस किया जाएगा ।
Data Processor : वह व्यक्ति या संगठन जो Data Fiduciary के निर्देशों पर Data Principal का डेटा प्रोसेस करता है ।
Consent Manager : एक पंजीकृत मध्यस्थ जो Data Principal को एक ही प्लेटफॉर्म पर सहमति देने, प्रबंधित करने, समीक्षा करने और वापस लेने की सुविधा देता है ।
Data Protection Board of India (DPBI) : एक स्वतंत्र निकाय जो DPDP Act के अनुपालन की निगरानी करता है, उल्लंघनों की जांच करता है और दंड लगाता है ।
DPDP Act 2023 का दायरा (Scope and Applicability) Imp.
(1) यह अधिनियम पूरे भारत में डिजिटल व्यक्तिगत डेटा के प्रोसेसिंग पर लागू होता है
(2) यह भारत के बाहर भी लागू होता है यदि डेटा प्रोसेसिंग भारत में सामान या सेवाएं देने से संबंधित है
(3) यह उन मामलों पर लागू होता है जहां डेटा डिजिटल रूप में है या गैरडिजिटल रूप में लिया गया और फिर डिजिटाइज़ किया गया
DPDP Act 2023 कहां लागू नहीं होता (Exceptions) :
- व्यक्तिगत या घरेलू उद्देश्य के लिए प्रोसेस किया गया डेटा
- वह डेटा जो Data Principal द्वारा स्वयं सार्वजनिक कर दिया गया हो
DPDP Act 2023 के मुख्य सिद्धांत (Core Principles)
Consent Based Processing (Imp.)
Sec 4 और Sec 6 के अनुसार, व्यक्तिगत डेटा को केवल निम्नलिखित आधारों पर प्रोसेस किया जा सकता है:
(a) Data Principal की सहमति (Consent) प्राप्त करके, या
(b) कुछ वैध उपयोग (Legitimate Uses) के लिए
Consent की परिभाषा (Sec 6) :
सहमति स्वतंत्र (free), विशिष्ट (specific), सूचित (informed), बिना शर्त (unconditional) और स्पष्ट (unambiguous) होनी चाहिए। यह एक स्पष्ट सकारात्मक कार्य (clear affirmative action) के माध्यम से ली जानी चाहिए ।
Notice की अनिवार्यता (Sec 5) Imp.
इससे पहले SPDI Rules के तहत Privacy Policy की आवश्यकता थी, लेकिन DPDP Act के तहत Privacy Notice अनिवार्य है । यह Notice हर Data Principal को डेटा मांगने से पहले या प्रोसेसिंग शुरू करने से पहले दी जानी चाहिए। Notice में निम्नलिखित जानकारी होनी चाहिए:
- कौन सा Personal Data एकत्र किया जा रहा है
- प्रोसेसिंग का उद्देश्य
- Data Fiduciary की पहचान
- Data Principal के अधिकार
- सहमति वापस लेने की प्रक्रिया
Legitimate Uses (Sec 7) बिना Consent के डेटा प्रोसेसिंग
निम्नलिखित मामलों में बिना सहमति के भी डेटा प्रोसेस किया जा सकता है :
(1) जब Data Principal ने स्वेच्छा से अपना डेटा प्रदान किया हो और उसने “सहमति नहीं” नहीं कहा हो
(2) सरकार द्वारा किसी कानूनी कार्य के तहत
(3) चिकित्सा आपातकाल (medical emergency) में
(4) न्यायिक प्रक्रिया के लिए
(5) रोजगार (employment) के उद्देश्य से
(6) सार्वजनिक हित (public interest) के मामलों में
Purpose Limitation और Data Minimization
डेटा केवल उसी उद्देश्य के लिए प्रोसेस किया जा सकता है जिसके लिए सहमति ली गई है। केवल उतना ही डेटा लिया जाएगा जो उस उद्देश्य के लिए आवश्यक हो ।
Storage Limitation
डेटा को तब तक रखा जा सकता है जब तक: Data Principal सहमति वापस न ले ले, या यह मान लेना उचित हो कि निर्दिष्ट उद्देश्य पूरा हो चुका है. इसके बाद डेटा मिटाना अनिवार्य है ।
Security Safeguards (Sec 8)
Data Fiduciary यह सुनिश्चित करने के लिए उचित तकनीकी और संगठनात्मक उपाय (reasonable security safeguards) करेगा कि Personal Data Breach न हो ।
Data Principal के अधिकार (Rights of Data Principal) Imp.
Right to Access (Sec 11)
Data Principal को यह अधिकार है कि वह Data Fiduciary से निम्नलिखित जानकारी प्राप्त कर सके :
उसके Personal Data का सारांश (summary), प्रोसेसिंग की गतिविधियों का विवरण एवं उन Data Fiduciaries और Data Processors की पहचान जिनके साथ डेटा साझा किया गया है
Right to Correction and Erasure (Sec 12) Imp.
Data Principal को यह अधिकार है कि वह अपने डेटा में सुधार, पूर्णता, अद्यतन या विलोपन (erasure) का अनुरोध कर सके। इसे “Right to be Forgotten” का एक रूप माना जाता है।
Right to Grievance Redressal
Data Principal शिकायत दर्ज कर सकता है यदि उसके अधिकारों का उल्लंघन होता है। Data Fiduciary को निर्धारित समय के भीतर जवाब देना होगा ।
Right to Nominate
Data Principal किसी अन्य व्यक्ति को नामित (nominate) कर सकता है जो उसकी अनुपस्थिति (बीमारी या असमर्थता) में उसके अधिकारों का प्रयोग कर सके ।
Right to Withdraw Consent
Data Principal किसी भी समय अपनी सहमति वापस ले सकता है। सहमति वापस लेना उतना ही आसान होना चाहिए जितना सहमति देना था ।
Data Principal के कर्तव्य (Duties of Data Principal)
DPDP Act Data Principal पर भी कुछ कर्तव्य लगाता है। उदाहरण के लिए, Data Principal यह सुनिश्चित करेगा कि वह:
- कोई गलत या फर्जी जानकारी प्रदान न करे
- किसी और के पहचान पत्र या डेटा का उपयोग न करे
- कानून का पालन करते हुए ही डेटा एक्सेस करे
इन कर्तव्यों के उल्लंघन पर 10,000 रुपये तक का जुर्माना हो सकता है ।
Data Fiduciary के दायित्व (Obligations of Data Fiduciary)
General Obligations (Sec 8)
(1) DPDP Act और Rules के सभी प्रावधानों का पालन करना
(2) Personal Data Breach की स्थिति में नियत समय के भीतर Data Protection Board को सूचना देना आवश्यक है।
(3) डेटा की सटीकता (accuracy) और अखंडता (integrity) सुनिश्चित करना
(4) डेटा प्रोसेसिंग का रिकॉर्ड रखना
Data Processor के लिए दायित्व
Data Fiduciary अपने Data Processor द्वारा किए गए प्रोसेसिंग के लिए भी उत्तरदायी होगा। Data Processor केवल Data Fiduciary के निर्देशों पर ही काम करेगा 。
Significant Data Fiduciary (SDF) Imp.
केंद्र सरकार कुछ Data Fiduciaries को Significant Data Fiduciary घोषित कर सकती है, जो निम्नलिखित मानदंडों के आधार पर होगा :
- प्रोसेस किए गए डेटा की मात्रा और संवेदनशीलता
- Data Principal के अधिकारों के लिए जोखिम
- भारत की संप्रभुता और अखंडता पर प्रभाव
SDF पर अतिरिक्त दायित्व (Additional Obligations) :
(1) Data Protection Officer (DPO) की नियुक्ति जो भारत में स्थित हो
(2) Independent Data Auditor की नियुक्ति जो समयसमय पर ऑडिट करेगा
(3) Data Protection Impact Assessment (DPIA) करना
(4) डेटा लोकलाइजेशन (data localization) की आवश्यकता हो सकती है
Consent Manager
Consent Manager DPDP Act की एक महत्वपूर्ण अवधारणा है। यह एक पंजीकृत मध्यस्थ होगा जो :
- Data Principal को एक ही प्लेटफॉर्म पर सहमति देने, प्रबंधित करने, समीक्षा करने और वापस लेने की सुविधा देता है
- Data Principal के प्रति उत्तरदायी (accountable) होगा
- Data Protection Board के साथ पंजीकृत होना चाहिए
Consent Manager के प्रावधान नवंबर 2026 (1 वर्ष में) से लागू होंगे ।
Children’s Data Protection (बच्चों का डेटा संरक्षण) Imp.
Sec 9 के अनुसार, बच्चों के व्यक्तिगत डेटा को प्रोसेस करने से पहले मातापिता या अभिभावक की सत्यापन योग्य सहमति (verifiable consent) लेना अनिवार्य है ।
निम्नलिखित कार्य प्रतिबंधित हैं:
- बच्चों की ट्रैकिंग (tracking) या व्यवहारिक निगरानी (behavioural monitoring)
- बच्चों के लिए लक्षित विज्ञापन (targeted advertising)
बच्चों के डेटा से संबंधित उल्लंघन पर 200 करोड़ रुपये तक का जुर्माना हो सकता है ।
Personal Data Breach नोटिफिकेशन और प्रक्रिया (Imp.)
Personal Data Breach की परिभाषा: व्यक्तिगत डेटा का कोई भी अनधिकृत प्रोसेसिंग या आकस्मिक प्रकटीकरण, अधिग्रहण, साझाकरण, उपयोग, परिवर्तन, विनाश या पहुंच की हानि जो डेटा की गोपनीयता, अखंडता या उपलब्धता से समझौता करती है ।
Breach Notification के नियम (DPDP Rules 2025 के अनुसार) :
(1) Data breach की स्थिति में नियत समय के भीतर Data Protection Board को सूचना देना आवश्यक है।
(2) सभी प्रभावित Data Principals को सरल भाषा में सूचित करना होगा, यह बताते हुए कि क्या हुआ, क्या प्रभाव हो सकता है, और क्या कदम उठाए गए हैं
CrossBorder Data Transfer (डेटा का अंतरराष्ट्रीय स्थानांतरण)
DPDP Act डेटा को भारत के बाहर स्थानांतरित करने की अनुमति देता है, लेकिन केंद्र सरकार कुछ देशों या क्षेत्रों पर प्रतिबंध लगा सकती है । Data Fiduciary को यह सुनिश्चित करना होगा कि स्थानांतरित डेटा सुरक्षित रहे।
DPDP Rules 2025 अधिसूचना और कार्यान्वयन की समयसीमा (Implementation Timeline) Imp.
14 नवंबर 2025 को सरकार ने DPDP Rules, 2025 को अधिसूचित किया । ये नियम 6,915 सार्वजनिक सुझावों के बाद बनाए गए ।
DPDP Act के निम्न सभी मूलभूत प्रावधान (substantive provisions) चरणबद्ध (Phased Implementation) तरीके से लागू किया जा रहा है।
- Consent और Legitimate Uses
- Notice की आवश्यकता
- Data Fiduciary के सामान्य दायित्व
- Data Principal के अधिकार
- बच्चों के डेटा का प्रोसेसिंग
- Personal Data Breach नोटिफिकेशन
- Crossborder data transfer
जब तक सभी चरण लागू नहीं होता, IT Act 2000 की Sec 43A और SPDI Rules 2011 लागू रहेंगे ।
DPDP Act 2023 के तहत दंड (Penalties) Imp.
Data Protection Board निम्नलिखित जुर्माना लगा सकता है :
(1) 250 करोड़ रुपये Data Fiduciary द्वारा उचित सुरक्षा उपाय (reasonable security safeguards) करने में विफलता के लिए
(2) 200 करोड़ रुपये Personal Data Breach की सूचना Data Protection Board और Data Principals को न देने पर
(3) 200 करोड़ रुपये बच्चों के डेटा से संबंधित दायित्वों का उल्लंघन करने पर
(4) 150 करोड़ रुपये Significant Data Fiduciary के अतिरिक्त दायित्वों का पालन न करने पर
(5) 50 करोड़ रुपये DPDP Act या Rules के किसी अन्य प्रावधान का उल्लंघन करने पर
(6) 10,000 रुपये Data Principal द्वारा अपने कर्तव्यों का उल्लंघन करने पर
Data Protection Board of India (DPBI)
DPBI एक डिजिटलफर्स्ट बोर्ड होगा। Citizens ऑनलाइन शिकायत दर्ज कर सकेंगे और एक समर्पित पोर्टल और मोबाइल एप्लिकेशन के माध्यम से अपने मामलों को ट्रैक कर सकेंगे ।
DPBI के कार्य:
- Personal Data Breaches की जांच करना
- अनुपालन निर्देश जारी करना
- दंड (penalties) लगाना
- Consent Managers की निगरानी करना
- शिकायतों का निवारण करना
DPBI के फैसलों के खिलाफ अपील Telecom Disputes Settlement and Appellate Tribunal (TDSAT) में की जा सकती है ।
DPDP Act और RTI Act के बीच संबंध
DPDP Act ने Right to Information (RTI) Act, 2005 की Sec 8(1)(j) में संशोधन किया है। अब व्यक्तिगत जानकारी का प्रकटीकरण केवल तभी किया जा सकता है जब सार्वजनिक हित (public interest) निजता के अधिकार से अधिक महत्वपूर्ण हो ।
IT Act 2001/SPDI Rules से DPDP Act 2023 में बदलाव (Comparison with Old Regime)
SPDI Rules 2011 (पुराना नियम) :
- केवल Sensitive Personal Data पर लागू
- केवल Body Corporate पर लागू
- Privacy Policy की आवश्यकता
- Data Principal के लिए कोई स्पष्ट अधिकार नहीं
- दंड सीमित (Sec 43A)
DPDP Act 2023 (नया कानून) :
- सभी Digital Personal Data पर लागू
- सभी प्रकार के Data Fiduciaries (व्यक्ति, कंपनी, सरकार) पर लागू
- Privacy Notice अनिवार्य
- Data Principal के 6 प्रमुख अधिकार
- 250 करोड़ तक का दंड
Reallife Indian Examples (परीक्षा में लिखने के लिए)
(1) Puttaswamy vs Union of India (2017) : सुप्रीम कोर्ट ने Privacy को मौलिक अधिकार घोषित किया यह DPDP Act की नींव है
(2) Aadhaar Case (2018) : सुप्रीम कोर्ट ने Aadhaar Act को constitutional करार दिया लेकिन Data Privacy पर सख्त शर्तें लगाईं
(3) WhatsApp Privacy Policy (2021) : नीति बदलाव पर सरकारी आपत्ति इसी से Data Protection कानून की आवश्यकता और मजबूत हुई
(4) 20242025 Data Breaches : कई कंपनियों (Boat, Mobikwik, AIIMS) के डेटा लीक हुए इन घटनाओं के बाद DPDP Rules 2025 जल्दी लाए गए
DPDP Act 2023 के फायदे (Advantages)
(1) व्यक्तियों को अपने डेटा पर नियंत्रण (control) मिलता है, वे जान सकते हैं, सुधार सकते हैं, मिटा सकते हैं
(2) संगठनों के लिए पारदर्शिता (transparency) अनिवार्य है
(3) उच्च जुर्माने (250 करोड़) से संगठन Data Security को गंभीरता से लेंगे
(4) बच्चों के डेटा के लिए विशेष सुरक्षा प्रावधान
(5) Consent Manager से Data Principal को अपनी सभी सहमतियों का प्रबंधन एक ही जगह से करने की सुविधा
(6) डिजिटलफर्स्ट Data Protection Board ऑनलाइन शिकायत निवारण
DPDP Act 2023 के नुकसान (Disadvantages)
(1) सरकार को व्यापक छूट (exemptions) दी गई है राष्ट्रीय सुरक्षा, सार्वजनिक व्यवस्था के नाम पर डेटा प्रोसेसिंग पर अंकुश नहीं
(2) Legitimate Uses (Sec 7) का दायरा अस्पष्ट है इसका दुरुपयोग हो सकता है
(3) Right to Erasure (Right to be Forgotten) पूर्ण नहीं है इसमें कई अपवाद हैं
(4) सभी डेटा (सेंसिटिव बनाम नॉनसेंसिटिव) को एक समान माना गया है कोई अलग श्रेणी नहीं
(5) Data Principal के कर्तव्य (duties) निजता के अधिकार पर अनुचित बोझ डाल सकते हैं
(6) अभी तक DPBI पूरी तरह स्थापित नहीं हुआ है चरण 3 (मई 2027) तक प्रवर्तन पूरी तरह शुरू नहीं होगा
भारत में Data Privacy का भविष्य (2025 और आगे)
(1) मई 2027 तक सभी संगठनों को DPDP Act का पूरी तरह अनुपालन करना होगा
(2) Consent Managers एक नया उद्योग बन जाएगा
(3) Data Protection Officers (DPOs) की मांग बढ़ेगी
(4) Significant Data Fiduciaries की सूची जारी होगी जिसमें संभवतः Google, Facebook, Amazon, Flipkart, Reliance, Tata जैसी बड़ी कंपनियां शामिल होंगी
(5) डेटा उल्लंघन की घटनाएं कम होंगी क्योंकि 250 करोड़ के जुर्माने का डर रहेगा
संभावित प्रश्न (Exam के लिए)
2 अंक (बहुत छोटे उत्तर) :
(1) DPDP Act 2023 कब पारित हुआ?
(2) Data Principal किसे कहते हैं?
(3) Data Fiduciary की परिभाषा लिखिए।
(4) Consent Manager क्या है?
(5) DPDP Act के तहत Data Principal को कितने दिनों में जवाब मिलना चाहिए?
(6) बच्चों के डेटा प्रोसेसिंग के लिए क्या आवश्यक है?
(7) SPDI Rules किस अधिनियम के तहत बनाए गए थे?
(8) Puttaswamy केस किससे संबंधित है?
(9) DPDP Act के तहत अधिकतम जुर्माना कितना है?
(10) Personal Data Breach की सूचना कितने घंटे में देनी है?
5 अंक (मध्यम उत्तर) :
(1) DPDP Act 2023 के मुख्य उद्देश्यों को समझाइए।
(2) Data Principal के किन्हीं चार अधिकारों का वर्णन कीजिए।
(3) Data Fiduciary के मुख्य दायित्व क्या हैं? संक्षेप में लिखिए।
(4) Legitimate Uses (Sec 7) क्या हैं? कोई पांच उदाहरण दीजिए।
(5) SPDI Rules 2011 और DPDP Act 2023 के बीच मुख्य अंतर लिखिए।
(6) Significant Data Fiduciary (SDF) किसे कहते हैं? इस पर अतिरिक्त दायित्व क्या हैं?
(7) DPDP Rules 2025 के कार्यान्वयन की तीन चरणों वाली समयसीमा समझाइए।
(8) Children’s Data Protection के लिए DPDP Act के क्या प्रावधान हैं?
(9) Consent क्या है? DPDP Act के अनुसार वैध Consent के लिए क्या आवश्यक है?
(10) Personal Data Breach Notification की प्रक्रिया समझाइए।