भारत का पहला पूर्ण गोपनीयता कानून लाइव हो गया: DPDP नियम 2025 आपके दैनिक ऐप्स के लिए क्या मायने रखता है

इलेक्ट्रॉनिक्स और सूचना प्रौद्योगिकी मंत्रालय (MeitY) ने हाल ही में डिजिटल पर्सनल डेटा प्रोटेक्शन (DPDP) नियम 2025 को अधिसूचित किया है। नए नियम डिजिटल पर्सनल डेटा प्रोटेक्शन एक्ट, 2023 के पूर्ण कार्यान्वयन को चिह्नित करते हैं – जो भारत का पहला व्यापक डेटा कानून है। 11 अगस्त 2023 को संसद द्वारा अधिनियमित, डीपीडीपी अधिनियम डिजिटल व्यक्तिगत डेटा की सुरक्षा के लिए एक व्यापक ढांचा स्थापित करता है, ऐसे डेटा को संभालने वाली संस्थाओं के दायित्वों और व्यक्तियों के अधिकारों और कर्तव्यों को निर्धारित करता है। डीपीडीपी नियम 2025 फेसबुक, इंस्टाग्राम जैसे सोशल मीडिया प्लेटफॉर्म या अमेज़ॅन, फ्लिपकार्ट जैसे शॉपिंग ऐप या ऑनलाइन बैंकिंग, डिजिटल भुगतान और ऑनलाइन सरकारी सेवाओं का उपयोग करने वाले लोगों के व्यक्तिगत डेटा की सुरक्षा के लिए एक सहमति-आधारित प्रणाली प्रदान करते हैं। इसका उद्देश्य यह सुनिश्चित करना है कि उपयोगकर्ताओं को पता हो कि उनके डेटा का उपयोग कैसे किया जाता है और उनका अपने डेटा पर अधिक नियंत्रण हो। नियमों के तहत, नियमों का उल्लंघन करने वाले प्लेटफ़ॉर्म और कंपनियों को दंड का सामना करना पड़ेगा, जिसमें डेटा की सुरक्षा में गंभीर विफलताओं और उल्लंघनों के लिए 250 करोड़ रुपये तक का जुर्माना शामिल है। यहां बताया गया है कि मेटा, गूगल और दैनिक आधार पर व्यापक रूप से उपयोग किए जाने वाले अन्य प्लेटफार्मों के लिए नए नियमों का क्या मतलब है। लेकिन आगे बढ़ने से पहले, नियमों में अक्सर उपयोग की जाने वाली दो महत्वपूर्ण संस्थाओं – डेटा फिडुशियरी और डेटा प्रिंसिपल्स को समझना महत्वपूर्ण है।डेटा प्रिंसिपल वह व्यक्ति होता है जिसका व्यक्तिगत डेटा होता है, या वह व्यक्ति जिसकी जानकारी एकत्र या संसाधित की जा रही है। आम आदमी के शब्दों में, डेटा प्रिंसिपल का मतलब सामान्य उपयोगकर्ता होता है। जबकि डेटा फ़िडुशियरी वह इकाई है – जैसे कोई कंपनी, संगठन या व्यक्ति – जो यह निर्धारित करती है कि डेटा क्यों संसाधित किया जा रहा है और वह प्रसंस्करण कैसे किया जाएगा।

क्या डीपीडीपी नियम व्हाट्सएप, फेसबुक, इंस्टाग्राम और अन्य ऐप्स के लिए 2025 का मतलब है

डीपीडीपी नियम 2025 फेसबुक और इंस्टाग्राम जैसी सोशल मीडिया कंपनियों और अन्य ऑनलाइन प्लेटफार्मों के लिए उनके कब्जे में या उनके नियंत्रण में व्यक्तिगत डेटा की सुरक्षा के लिए ‘उचित सुरक्षा गार्ड’ की रूपरेखा तैयार करता है। साथ ही, इन कंपनियों और संगठनों को युवा उपयोगकर्ताओं के लिए कड़ी जांच करनी चाहिए, जिसमें 18 वर्ष से कम उम्र के किसी भी व्यक्ति को शामिल होने से पहले माता-पिता की सत्यापित स्वीकृति प्राप्त करना शामिल है।

प्लेटफ़ॉर्म को उपयोगकर्ताओं के व्यक्तिगत डेटा को “एन्क्रिप्शन, ऑबफस्केशन, मास्किंग या उस व्यक्तिगत डेटा से मैप किए गए वर्चुअल टोकन के उपयोग” के माध्यम से सुरक्षित रखने की आवश्यकता होती है। ये उपकरण डेटा को ऐसे किसी भी व्यक्ति के लिए अपठनीय बना देते हैं जिसे इसे नहीं देखना चाहिए। अगर किसी को पहुंच मिल भी जाती है, तो भी जानकारी सुरक्षित रहती है।

इसके अलावा, कंपनियों को यह ट्रैक करने की आवश्यकता है कि संग्रहीत डेटा तक कौन पहुंचता है। नियमों के अनुसार ऑनलाइन प्लेटफ़ॉर्मों को हर बार किसी के व्यक्तिगत डेटा को देखने या उपयोग करने पर गतिविधि लॉग रखने की आवश्यकता होती है। अनधिकृत पहुंच की उचित जांच की अनुमति देने के लिए, संगठनों को एक वर्ष के लिए लॉग और प्रासंगिक व्यक्तिगत डेटा रखना होगा। वे इसे अधिक या कम समय के लिए भी संग्रहीत कर सकते हैं, लेकिन केवल तभी जब किसी अन्य कानून के लिए इसकी आवश्यकता हो। यदि डेटा फ़िडुशियरी डेटा को संभालने के लिए डेटा प्रोसेसर को काम पर रखता है, तो अनुबंध में स्पष्ट रूप से बताया जाना चाहिए कि उन्हें मजबूत सुरक्षा प्रथाओं का भी पालन करना होगा। कानून में कंपनियों को एक डेटा प्रोटेक्शन बोर्ड स्थापित करने की भी आवश्यकता है जो पूरी तरह से डिजिटल संस्थान के रूप में कार्य करेगा, जो नागरिकों को एक समर्पित प्लेटफॉर्म और मोबाइल ऐप के माध्यम से ऑनलाइन शिकायतें दर्ज करने और ट्रैक करने में सक्षम करेगा। “इसके निर्णयों के विरुद्ध अपील अपीलीय न्यायाधिकरण, टीडीसैट के पास की जाएगी।”

नए नियमों के तहत, इन नियमों का उल्लंघन करने वाली कंपनियों पर 25 करोड़ रुपये तक का जुर्माना लगाया जाएगा। सरकार ने ऑनलाइन प्लेटफॉर्मों को बदलाव और नए नियमों का अनुपालन करने के लिए 18 महीने का समय दिया है।

कोई कंपनी यूजर्स का निजी डेटा कब डिलीट कर सकती है?

डीपीडीपी नियम 2025 के तहत, एक कंपनी को तीन साल की निष्क्रियता की अवधि के बाद उपयोगकर्ता के व्यक्तिगत डेटा को हटाना होगा – जब तक कि व्यक्ति ने हाल ही में बातचीत नहीं की हो या डेटा को कानूनी रूप से बनाए रखने की आवश्यकता न हो या “किसी भी कानून के अनुपालन के लिए इसका प्रतिधारण आवश्यक हो।”डेटा डिलीट करने से पहले कंपनी (डेटा फिडुशियरी) को व्यक्ति (डेटा प्रिंसिपल) को 48 घंटे की चेतावनी देनी होगी। संदेश में स्पष्ट रूप से लिखा होना चाहिए कि उनका डेटा जल्द ही हटा दिया जाएगा, जब तक कि वे अपने खाते में लॉग इन न करें या कंपनी से संपर्क न करें। यदि उन्हें अभी भी सेवा की आवश्यकता है या वे अपने डेटा से संबंधित अपने किसी अधिकार का उपयोग करना चाहते हैं, तो उन्हें समय सीमा से पहले कार्रवाई करनी चाहिए।

“इस नियम के तहत व्यक्तिगत डेटा को मिटाने की समय अवधि पूरी होने से कम से कम अड़तालीस घंटे पहले, डेटा फ़िडुशियरी डेटा प्रिंसिपल को सूचित करेगी कि ऐसे व्यक्तिगत डेटा को ऐसी अवधि के पूरा होने पर मिटा दिया जाएगा, जब तक कि वह अपने उपयोगकर्ता खाते में लॉग इन नहीं करती है या अन्यथा निर्दिष्ट उद्देश्य के प्रदर्शन के लिए डेटा फ़िडुशियरी के साथ संपर्क शुरू नहीं करती है या ऐसे व्यक्तिगत डेटा के प्रसंस्करण के संबंध में अपने अधिकारों का प्रयोग नहीं करती है,” नियम पढ़ते हैं।

डेटा उल्लंघन के मामले में क्या होता है

डीपीडीपी नियम 2025 के अनुसार किसी भी व्यक्तिगत डेटा उल्लंघन के मामले में उपयोगकर्ताओं को तुरंत सूचित करने के लिए ऑनलाइन प्लेटफ़ॉर्म की आवश्यकता होती है। नियम में कहा गया है, “किसी भी व्यक्तिगत डेटा उल्लंघन के बारे में पता चलने पर, डेटा फ़िडुशियरी, अपनी सर्वोत्तम जानकारी के अनुसार, प्रत्येक प्रभावित डेटा प्रिंसिपल को उसके उपयोगकर्ता खाते या डेटा फ़िडुशियरी के साथ पंजीकृत संचार के किसी भी माध्यम के माध्यम से, संक्षिप्त, स्पष्ट और स्पष्ट तरीके से और बिना किसी देरी के सूचित करेगी।”

सूचना इसके माध्यम से की जा सकती है-

बच्चों के व्यक्तिगत डेटा की सुरक्षा पर DPDP 2025 नियम क्या कहते हैं

बच्चों के ऑनलाइन डेटा की सुरक्षा और संरक्षण के संबंध में, नया कानून ऑनलाइन प्लेटफ़ॉर्म को “बच्चे के किसी भी व्यक्तिगत डेटा के प्रसंस्करण से पहले” माता-पिता की सत्यापन योग्य सहमति प्राप्त करने का आदेश देता है। इसके अलावा, अब “उचित परिश्रम का पालन करना आवश्यक है, यह जांचने के लिए कि माता-पिता के रूप में खुद को पहचानने वाला व्यक्ति एक वयस्क है जो भारत में लागू होने वाले किसी भी कानून के अनुपालन के संबंध में आवश्यक होने पर पहचाना जा सकता है”।

नियम कहते हैं कि विकलांग व्यक्तियों के लिए जो समर्थन के साथ भी कानूनी निर्णय नहीं ले सकते, सहमति लागू कानूनों के तहत सत्यापित वैध अभिभावक से मिलनी चाहिए।

कंपनियों के लिए DPDP 2025 नियम: आप इस डेटा को भारत से बाहर ट्रांसफर नहीं कर सकते

इसके अतिरिक्त, नए नियम सरकार को कुछ प्रकार के डेटा को भारत से बाहर भेजे जाने से रोकने की भी अनुमति देते हैं। विशेषज्ञों के मुताबिक, इससे मेटा, गूगल और अमेज़ॅन जैसी बड़ी तकनीकी कंपनियों के लिए चुनौतियां पैदा हो सकती हैं, जो वैश्विक डेटा प्रवाह पर बहुत अधिक निर्भर हैं।लोगों को उनकी ऑनलाइन जानकारी पर अधिक नियंत्रण देने के लिए, कानून प्रत्येक उपयोगकर्ता को जब चाहे तब अपने व्यक्तिगत डेटा को देखने, सही करने, अपडेट करने या हटाने की अनुमति देता है। जरूरत पड़ने पर उपयोगकर्ता इन अधिकारों को प्रबंधित करने के लिए किसी और को नियुक्त भी कर सकते हैं। इस डेटा को संभालने वाली कंपनियों को 90 दिनों के भीतर ऐसे अनुरोधों का जवाब देना होगा। व्यक्तियों को व्यक्तिगत डेटा प्रोसेसिंग के बारे में प्रश्न पूछने में मदद करने के लिए संगठनों को स्पष्ट संपर्क जानकारी प्रदर्शित करनी चाहिए – जैसे कि एक नामित अधिकारी या डेटा सुरक्षा अधिकारी की। महत्वपूर्ण डेटा फ़िडुशियरीज़ ने स्वतंत्र ऑडिट, प्रभाव आकलन और तैनात प्रौद्योगिकियों के लिए मजबूत उचित परिश्रम सहित दायित्वों को बढ़ाया है। उन्हें डेटा की कुछ श्रेणियों पर सरकार द्वारा निर्दिष्ट प्रतिबंधों का भी पालन करना होगा, जिसमें आवश्यकता पड़ने पर स्थानीयकरण भी शामिल है।