DPDP अधिनियम 2023: डिजिटल निजी डेटा संरक्षण, सहमति प्रबंधक और डेटा संरक्षण बोर्ड
डिजिटल पर्सनल डेटा प्रोटेक्शन एक्ट 2023 भारत का पहला पूरा निजता क़ानून है। डेटा फ़िड्यूशरी के कर्तव्य, सहमति प्रबंधक, डेटा प्रिंसिपल के अधिकार, डेटा संरक्षण बोर्ड, श्रीकृष्ण समिति और GDPR से तुलना।
DPDP अधिनियम 2023 — यानी डिजिटल पर्सनल डेटा प्रोटेक्शन एक्ट, जो 11 अगस्त 2023 को संसद से अधिसूचित हुआ — भारत का पहला ऐसा क़ानून है जो हर तरह के निजी डेटा पर एक साथ लागू होता है। इससे पहले सूचना प्रौद्योगिकी अधिनियम 2000 की धारा 43A और SPDI नियम 2011 पर टिकी हुई बिखरी व्यवस्था थी; अब भारत में डिजिटल निजी डेटा संभालने वाली हर संस्था के लिए एक ही ढाँचा है। UPSC सामान्य अध्ययन II के लिहाज़ से DPDP अधिनियम 2023 सुप्रीम कोर्ट की नौ जजों वाली के. एस. पुट्टास्वामी बनाम भारत संघ (2017) वाली व्यवस्था का क़ानूनी जवाब है, जिसमें कहा गया था कि सूचना की निजता अनुच्छेद 21 के तहत एक मौलिक अधिकार है। इस क़ानून का असली असर चार चीज़ों से है: सहमति की कसी हुई परिभाषा, सहमति प्रबंधक (Consent Manager) नाम की नई क़ानूनी हस्ती, डेटा फ़िड्यूशरी पर डाली गई ज़िम्मेदारियाँ, और भारतीय डेटा संरक्षण बोर्ड का केंद्रीकृत ढाँचा।
शुरुआत: जस्टिस श्रीकृष्ण की रिपोर्ट
DPDP अधिनियम 2023 का सफ़र श्रीकृष्ण समिति से शुरू होता है। अगस्त 2017 के पुट्टास्वामी फ़ैसले के बाद केंद्र सरकार ने सुप्रीम कोर्ट के रिटायर्ड जज जस्टिस बी. एन. श्रीकृष्ण की अध्यक्षता में विशेषज्ञों की एक समिति बनाई। समिति ने जुलाई 2018 में A Free and Fair Digital Economy नाम से अपनी रिपोर्ट सौंपी, और साथ में व्यक्तिगत डेटा संरक्षण विधेयक 2018 का मसौदा भी दिया।
श्रीकृष्ण का ढाँचा जान-बूझकर भारतीय था — उसने GDPR के ढाँचागत विचार तो लिए, लेकिन कई को ठुकरा भी दिया। समिति ने डेटा की चार श्रेणियाँ सुझाईं (व्यक्तिगत, संवेदनशील व्यक्तिगत, अति महत्वपूर्ण, और बच्चों से जुड़ा), संवेदनशील और अति महत्वपूर्ण श्रेणियों के लिए डेटा देश में ही रखने का सख़्त नियम, नियमन और फ़ैसला दोनों की शक्ति वाला डेटा संरक्षण प्राधिकरण, और वैश्विक कारोबार से जुड़ा भारी जुर्माना।
व्यक्तिगत डेटा संरक्षण विधेयक 2019 संसद में रखा गया, संयुक्त संसदीय समिति को भेजा गया — जिसने दो साल और दस बार समय बढ़वाकर रिपोर्ट दी — और 2021 में डेटा संरक्षण विधेयक 2021 बनकर लौटा, जिसमें ग़ैर-व्यक्तिगत डेटा भी शामिल था। वह विधेयक 3 अगस्त 2022 को वापस ले लिया गया। नवंबर 2022 में एक हल्का डिजिटल पर्सनल डेटा प्रोटेक्शन विधेयक चर्चा के मसौदे के तौर पर रखा गया, फिर औपचारिक रूप से DPDP विधेयक 2023 के रूप में पेश हुआ, अगस्त 2023 में संसद से पास हुआ और 11 अगस्त 2023 को DPDP अधिनियम 2023 के रूप में अधिसूचित हुआ। इसे अमल में लाने वाले DPDP नियम जनवरी 2025 में मसौदा रूप में अधिसूचित हुए।
दायरा और परिभाषाएँ
यह क़ानून भारत के भीतर “डिजिटल व्यक्तिगत डेटा” संभालने पर लागू होता है, और भारत के बाहर भी तब लागू होता है जब वह काम भारत में मौजूद डेटा प्रिंसिपल को सामान या सेवाएँ देने से जुड़ा हो। “व्यक्तिगत डेटा” वह डेटा है जो किसी पहचाने गए या पहचाने जा सकने वाले व्यक्ति से जुड़ा हो। “प्रोसेसिंग” की परिभाषा बहुत चौड़ी है — डेटा पर होने वाला कोई भी स्वचालित काम, जिसमें इकट्ठा करना, रखना, निकालना, इस्तेमाल करना, मिलान करना, ज़ाहिर करना, मिटाना या नष्ट करना शामिल है।
यह क़ानून उस डेटा पर लागू नहीं होता जिसे कोई व्यक्ति निजी या घरेलू काम के लिए इस्तेमाल करता है, और न ही उस डेटा पर जिसे ख़ुद डेटा प्रिंसिपल ने या किसी क़ानूनी ज़िम्मेदारी के तहत किसी और ने सार्वजनिक कर दिया हो।
क़ानून के मुख्य किरदार
- डेटा प्रिंसिपल — वह व्यक्ति जिसका डेटा है। अगर वह बच्चा है (18 साल से कम) या दिव्यांग है और उसका क़ानूनी अभिभावक है, तो माता-पिता या अभिभावक भी इसमें आते हैं।
- डेटा फ़िड्यूशरी — वह कोई भी, अकेले या दूसरों के साथ मिलकर, जो तय करता है कि डेटा किस मक़सद से और किस तरीक़े से संभाला जाएगा। यही वह संस्था है जिस पर नियम लागू होते हैं।
- डेटा प्रोसेसर — वह जो किसी डेटा फ़िड्यूशरी की तरफ़ से डेटा संभालता है।
- महत्वपूर्ण डेटा फ़िड्यूशरी — डेटा फ़िड्यूशरी का वह वर्ग जिसे केंद्र सरकार डेटा की मात्रा और संवेदनशीलता, नुक़सान के ख़तरे और दूसरी बातों के आधार पर अधिसूचित करती है, और जिस पर ज़्यादा ज़िम्मेदारियाँ होती हैं।
- सहमति प्रबंधक — पंजीकृत संस्था जो डेटा प्रिंसिपल को एक आपस में जुड़े मंच के ज़रिए अपनी सहमति देने, संभालने, देखने और वापस लेने की सुविधा देती है। सहमति प्रबंधक की जवाबदेही डेटा प्रिंसिपल के प्रति होती है।
सहमति और वैध आधार
DPDP अधिनियम 2023 की धारा 6 के तहत सहमति आज़ाद, ख़ास मक़सद वाली, जानकारी के साथ दी गई, बिना शर्त और साफ़ होनी चाहिए, और किसी स्पष्ट सकारात्मक कदम से ज़ाहिर होनी चाहिए। सहमति माँगते समय जो सूचना दी जाती है वह अंग्रेज़ी में और आठवीं अनुसूची में दर्ज उस भाषा में होनी चाहिए जो डेटा प्रिंसिपल चुने। उसमें यह लिखा होना चाहिए कि कौन-सा डेटा लिया जाएगा, किस मक़सद से लिया जाएगा, डेटा प्रिंसिपल अपने अधिकार कैसे इस्तेमाल कर सकता है, और डेटा संरक्षण बोर्ड में शिकायत कैसे करनी है।
धारा 7 में “कुछ वैध उपयोग” माने गए हैं, जिनके लिए सहमति ज़रूरी नहीं — और यह GDPR के “वैध हित” से कहीं ज़्यादा तंग है। इनमें डेटा प्रिंसिपल का ख़ुद किसी तय मक़सद के लिए डेटा देना, क़ानून के तहत राज्य के काम, क़ानून या अदालत के आदेश का पालन, मेडिकल आपात स्थिति में जवाब, नौकरी से जुड़े मक़सद और कुछ और चीज़ें शामिल हैं। यह सूची बंद है, इसमें और नहीं जोड़ा जा सकता।
सहमति प्रबंधक: सबसे नई चीज़
सहमति प्रबंधक DPDP अधिनियम 2023 की सबसे अलग पहचान है। एक डेटा प्रिंसिपल कई डेटा फ़िड्यूशरी से जुड़ा होता है, और इतने बिखरे तंत्र में हर जगह की सहमति अलग-अलग संभालना नामुमकिन है। सहमति प्रबंधक डेटा संरक्षण बोर्ड में पंजीकृत होता है और एक ऐसा मंच चलाता है जहाँ डेटा प्रिंसिपल अपनी सारी सहमतियाँ देख सके, वापस ले सके, और यह जाँच सके कि किस डेटा फ़िड्यूशरी को किस तरह का डेटा किस मक़सद से मिला। यह ढाँचा सीधे वित्तीय क्षेत्र की अकाउंट एग्रीगेटर व्यवस्था से लिया गया है। DPDP नियम 2025 में सहमति प्रबंधकों के लिए नेटवर्थ, तकनीक और ऑडिट की शर्तें दी गई हैं।
डेटा फ़िड्यूशरी की ज़िम्मेदारियाँ
धारा 8 रोज़मर्रा के कर्तव्य तय करती है। डेटा फ़िड्यूशरी को यह करना होगा:
- पक्का करे कि जिस डेटा से डेटा प्रिंसिपल पर असर डालने वाले फ़ैसले होते हैं, वह पूरा, सही और आपस में मेल खाता हो;
- डेटा सुरक्षा के लिए ठीक-ठाक तकनीकी और संगठनात्मक इंतज़ाम करे;
- वाजिब सुरक्षा उपायों से डेटा लीक होने से बचाए;
- डेटा लीक होने पर बोर्ड को और जिन लोगों का डेटा है उन्हें ख़बर करे;
- सहमति वापस लेने पर या मक़सद पूरा हो जाने पर डेटा मिटा दे, बशर्ते क़ानून उसे रखने को न कहता हो;
- डेटा संरक्षण अधिकारी (महत्वपूर्ण डेटा फ़िड्यूशरी के मामले में) या किसी और ज़िम्मेदार व्यक्ति का कारोबारी संपर्क सार्वजनिक करे;
- शिकायत निपटाने की असरदार व्यवस्था बनाए, जिसमें जवाब देने का समय भी तय हो।
धारा 9 कहती है कि बच्चों का डेटा जाँची जा सकने वाली अभिभावकीय सहमति के आधार पर ही संभाला जाए, और बच्चों पर निशाना साधकर न ट्रैकिंग हो, न व्यवहार पर नज़र रखी जाए, न विज्ञापन दिखाए जाएँ। केंद्र सरकार स्वास्थ्य और शिक्षा जैसे तय मक़सदों के लिए कुछ डेटा फ़िड्यूशरी या उनके वर्गों को छूट दे सकती है।
महत्वपूर्ण डेटा फ़िड्यूशरी की अतिरिक्त ज़िम्मेदारियाँ
धारा 10 के तहत महत्वपूर्ण डेटा फ़िड्यूशरी पर कुछ और कर्तव्य हैं — भारत में रहने वाला और निदेशक मंडल के प्रति जवाबदेह डेटा संरक्षण अधिकारी रखना, एक स्वतंत्र डेटा ऑडिटर नियुक्त करना, समय-समय पर डेटा संरक्षण प्रभाव आकलन करना, और नियमित ऑडिट कराना। यह क़ानून केंद्र सरकार को यह अधिकार भी देता है कि वह महत्वपूर्ण डेटा फ़िड्यूशरी के लिए सीमापार डेटा भेजने पर पाबंदियाँ तय करे — पहले के विधेयक की चौड़ी डेटा-लोकलाइज़ेशन वाली भाषा की जगह अब यही है।
डेटा प्रिंसिपल के अधिकार
यह क़ानून चार बुनियादी अधिकार देता है — GDPR से तंग, लेकिन काम चलाने भर के लिए काफ़ी।
- जानकारी पाने का अधिकार (धारा 11)। डेटा प्रिंसिपल यह पूछ सकता है कि उसका कौन-सा डेटा इस्तेमाल हो रहा है, उस पर क्या-क्या किया जा रहा है, वह डेटा और किन-किन डेटा फ़िड्यूशरी को दिया गया, और क्या-क्या साझा किया गया।
- सुधार और मिटाने का अधिकार (धारा 12)। डेटा प्रिंसिपल ग़लत या भ्रामक डेटा सुधरवा सकता है, अधूरा डेटा पूरा करा सकता है, पुराना डेटा अपडेट करा सकता है, और ज़रूरत ख़त्म होने पर डेटा मिटवा सकता है।
- शिकायत निपटारे का अधिकार (धारा 13)। डेटा प्रिंसिपल को पहले डेटा फ़िड्यूशरी या सहमति प्रबंधक के पास जाना होगा। वह रास्ता पूरा करने के बाद ही वह बोर्ड तक जा सकता है।
- नामांकन का अधिकार (धारा 14)। डेटा प्रिंसिपल किसी और व्यक्ति को नामित कर सकता है, जो उसकी मृत्यु या अक्षमता की सूरत में उसके अधिकार इस्तेमाल करे।
धारा 15 के तहत क़ानून डेटा प्रिंसिपल पर भी कुछ कर्तव्य डालता है — लागू क़ानूनों का पालन करे, झूठी शिकायत न दर्ज कराए, और ग़लत या भ्रामक जानकारी न दे। इन कर्तव्यों के उल्लंघन पर 10,000 रुपये तक जुर्माना हो सकता है।
भारतीय डेटा संरक्षण बोर्ड
धारा 18 के तहत बना बोर्ड ही अकेली संस्था है जो इस क़ानून को लागू कराती है। इसमें एक अध्यक्ष और सदस्य होते हैं, जिन्हें केंद्र सरकार दो साल के लिए नियुक्त करती है और दोबारा नियुक्त भी कर सकती है। चुनाव ऐसे लोगों में से होता है जो योग्य, ईमानदार और प्रतिष्ठित हों और जिन्हें डेटा प्रशासन, क़ानून, नियमन, विवाद निपटारे, IT, डिजिटल अर्थव्यवस्था और उपभोक्ता संरक्षण की ख़ास जानकारी हो। इनमें कम से कम एक सदस्य क़ानून का विशेषज्ञ होना चाहिए।
बोर्ड का काम है शिकायतों, डेटा लीक की सूचनाओं और केंद्र सरकार से आए मामलों की जाँच करना; सुधार के लिए निर्देश देना; अनुसूची में दिए गए जुर्माने लगाना (डेटा लीक रोकने में नाकामी पर 250 करोड़ रुपये तक, बच्चों के डेटा से जुड़े कर्तव्य निभाने में नाकामी पर 200 करोड़ रुपये तक, वग़ैरह); और जहाँ ठीक लगे वहाँ मामला वैकल्पिक विवाद समाधान के लिए भेजना।
बोर्ड शुरू से ही डिजिटल तरीक़े से चलने वाली संस्था है — काग़ज़ नहीं चलता, सुनवाई वीडियो कॉन्फ़्रेंस से होती है, और आदेश पोर्टल पर डाल दिए जाते हैं। बोर्ड के फ़ैसलों के ख़िलाफ़ अपील धारा 29 के तहत दूरसंचार विवाद निपटान और अपीलीय अधिकरण (TDSAT) में होती है।
स्वतंत्रता पर सवाल
आलोचकों ने — जिनमें ख़ुद जस्टिस श्रीकृष्ण भी हैं — बोर्ड की ढाँचागत स्वतंत्रता पर सवाल उठाए हैं। अध्यक्ष और सदस्य केंद्र सरकार नियुक्त करती है, और RTI अधिनियम 2005 के तहत केंद्रीय सूचना आयोग जैसी कई पक्षों वाली चयन समिति यहाँ नहीं है। दो साल का कार्यकाल संस्थागत स्वतंत्रता के लिए बहुत छोटा है। केंद्र सरकार के पास जनहित के मामलों में बोर्ड को निर्देश देने की शक्ति भी है, जो श्रीकृष्ण के मूल मसौदे में नहीं थी।
DPDP और RTI अधिनियम
DPDP अधिनियम 2023 RTI अधिनियम 2005 की धारा 8(1)(j) में संशोधन करता है, यानी निजी जानकारी वाली छूट में। पहले की भाषा उस निजी जानकारी को छूट देती थी “जिसका किसी सार्वजनिक गतिविधि या हित से कोई संबंध नहीं है, या जिसके ख़ुलासे से व्यक्ति की निजता में अनुचित दख़ल होगा”, और साथ में जनहित वाला अपवाद भी था। 2023 का संशोधन “जिसका किसी सार्वजनिक गतिविधि या हित से कोई संबंध नहीं है” वाली शर्त हटा देता है — जिससे निजता के आधार पर मिलने वाली छूट चौड़ी हो जाती है। नागरिक समाज के संगठनों ने चेताया है कि इससे सरकारी अफ़सरों के सार्वजनिक आचरण पर होने वाली खोजी पत्रकारिता सिमट सकती है और चुनावी चंदे तथा लाभार्थी सूचियों के आँकड़ों में पारदर्शिता घट सकती है।
DPDP और GDPR में फ़र्क़
ढाँचे की समानताएँ सचमुच हैं — दोनों डेटा नियंत्रक (यानी डेटा फ़िड्यूशरी) पर ज़िम्मेदारी डालते हैं, दोनों लोगों को अपना डेटा देखने, सुधरवाने और मिटवाने का हक़ देते हैं, और दोनों एक नियामक संस्था के भरोसे लागू होते हैं। फ़र्क़ भी उतने ही असली हैं:
- वैध आधार — GDPR के अनुच्छेद 6 में छह आधार हैं (सहमति, अनुबंध, क़ानूनी बाध्यता, जीवन रक्षा, सार्वजनिक कार्य, वैध हित)। DPDP में दो हैं (सहमति और गिनाए हुए वैध उपयोग), और सूची बंद है, इसलिए असर में यह ज़्यादा तंग है।
- संवेदनशील डेटा — GDPR के अनुच्छेद 9 में विशेष श्रेणी का डेटा (स्वास्थ्य, बायोमेट्रिक, यौन रुझान, धर्म) है, जिस पर सख़्त नियम हैं। DPDP हर तरह के व्यक्तिगत डेटा को एक जैसा मानता है, और अतिरिक्त ज़िम्मेदारियाँ सिर्फ़ महत्वपूर्ण डेटा फ़िड्यूशरी पर डालता है।
- सीमापार डेटा भेजना — GDPR में इसके लिए पर्याप्तता का फ़ैसला, SCC या BCR चाहिए। DPDP केंद्र सरकार को यह अधिकार देता है कि वह उन देशों की “काली सूची” जारी करे जहाँ डेटा भेजने पर रोक हो; बुनियादी रुख़ छूट का है।
- डेटा संरक्षण प्रभाव आकलन — GDPR के अनुच्छेद 35 के तहत ज़्यादा ख़तरे वाली प्रोसेसिंग में यह ज़रूरी है। DPDP में यह सिर्फ़ महत्वपूर्ण डेटा फ़िड्यूशरी के लिए ज़रूरी है।
- जुर्माना — GDPR में वैश्विक कारोबार का 4 प्रतिशत तक या 2 करोड़ यूरो तक। DPDP में तय अनुसूची है, हर मामले में 250 करोड़ रुपये तक।
- भुलाए जाने का अधिकार / डेटा पोर्टेबिलिटी — GDPR में यह साफ़ तौर पर दिया गया अधिकार है; DPDP में मिटाने का हक़ है, लेकिन पोर्टेबिलिटी का अलग अधिकार नहीं है।
- नियामक की स्वतंत्रता — GDPR निगरानी संस्थाओं की पूरी स्वतंत्रता माँगता है। DPDP का बोर्ड केंद्र सरकार नियुक्त करती है।
राज्य को मिली छूट
DPDP अधिनियम 2023 की धारा 17 केंद्र सरकार को यह अधिकार देती है कि वह राज्य की किसी भी इकाई को इस क़ानून से छूट दे दे — भारत की संप्रभुता और अखंडता, राज्य की सुरक्षा, विदेशों से दोस्ताना रिश्ते, सार्वजनिक व्यवस्था बनाए रखने, या संज्ञेय अपराधों के लिए उकसावे को रोकने के नाम पर। ऊपर से देखने पर इस प्रावधान के तहत जारी अधिसूचना को अदालत में चुनौती देना मुश्किल है। नागरिक स्वतंत्रता के संगठनों का कहना है कि श्रीकृष्ण रिपोर्ट की जो बात अब तक सबसे ज़्यादा अनसुनी रह गई, वह यही है — रिपोर्ट ने राज्य की निगरानी पर पहले से न्यायिक निगरानी की सिफ़ारिश की थी।
यह क़ानून शोध, अभिलेखन और सांख्यिकी के मक़सद से किए जाने वाले काम को भी अपने ज़्यादातर प्रावधानों से छूट देता है, बशर्ते तय मानक माने जाएँ।
आगे यह व्यवस्था कहाँ जा रही है
DPDP नियम 2025 इस क़ानून को 2026 तक ज़मीन पर उतारेंगे। डेटा संरक्षण बोर्ड अपनी दिल्ली वाली पीठ से काम शुरू कर चुका है। सहमति प्रबंधकों का पहला बैच पंजीकरण की प्रक्रिया में है। महत्वपूर्ण डेटा फ़िड्यूशरी की पहली अधिसूचना तय करेगी कि डिजिटल अर्थव्यवस्था की बड़ी कंपनियों के लिए नियमन का लहजा क्या रहेगा। धारा 17 की छूटों को अनुच्छेद 21 के आधार पर दी गई चुनौती लंबित है, और वही तय करेगी कि DPDP अधिनियम 2023 पुट्टास्वामी के निजता ढाँचे के साथ कैसे बैठता है।
उम्मीदवारों के लिए DPDP अधिनियम 2023 एक बेहतरीन केस स्टडी है — कि एक संवैधानिक अधिकार (अनुच्छेद 21 के तहत निजता) क़ानून की शक्ल में कैसे उतरता है, भारतीय ड्राफ़्टिंग यूरोपीय मॉडल को कैसे ढालती है, और संघीय डिजिटल अर्थव्यवस्था के लिए नियामक संस्थाएँ कैसे बनाई जाती हैं।
सामान्य प्रश्न
आसान शब्दों में DPDP अधिनियम 2023 क्या है?
DPDP अधिनियम 2023 भारत का पहला ऐसा क़ानून है जो हर तरह के निजी डेटा पर एक साथ लागू होता है। यह हर उस संस्था को — सरकार, कंपनी या ग़ैर-सरकारी संगठन — बताता है कि भारत में रहने वालों का डिजिटल निजी डेटा कब लिया जा सकता है, व्यक्ति को क्या बताना ज़रूरी है, उस डेटा की हिफ़ाज़त कैसे करनी है, और व्यक्ति के पास क्या अधिकार हैं। डेटा संरक्षण बोर्ड 250 करोड़ रुपये तक के जुर्माने के साथ इसे लागू कराता है।
DPDP अधिनियम में डेटा फ़िड्यूशरी कौन है?
डेटा फ़िड्यूशरी वह व्यक्ति, कंपनी या सरकारी विभाग है जो तय करता है कि निजी डेटा किस मक़सद से और किस तरीक़े से संभाला जाएगा। यह शब्द GDPR के “कंट्रोलर” की जगह लेता है। महत्वपूर्ण डेटा फ़िड्यूशरी इसी का एक उपवर्ग है, जिसे केंद्र सरकार डेटा की मात्रा, संवेदनशीलता और ख़तरे के आधार पर अधिसूचित करती है और जिस पर डेटा संरक्षण अधिकारी रखने तथा समय-समय पर डेटा संरक्षण प्रभाव आकलन कराने जैसी अतिरिक्त ज़िम्मेदारियाँ होती हैं।
सहमति प्रबंधक क्या है?
सहमति प्रबंधक एक पंजीकृत मंच है, जिसकी मदद से डेटा प्रिंसिपल कई डेटा फ़िड्यूशरी के पास दी गई अपनी सारी सहमतियाँ एक ही जगह से संभाल सकता है — देख सकता है, वापस ले सकता है, जाँच सकता है। इसकी जवाबदेही डेटा फ़िड्यूशरी के प्रति नहीं, डेटा प्रिंसिपल के प्रति होती है। यह ढाँचा भारत की वित्तीय क्षेत्र वाली अकाउंट एग्रीगेटर व्यवस्था से लिया गया है।
डेटा प्रिंसिपल के पास कौन-से अधिकार हैं?
चार अधिकार — अपने डेटा और उसके इस्तेमाल का ब्योरा पाना, ग़लत या पुराने डेटा को सुधरवाना और मिटवाना, शिकायत का निपटारा पहले डेटा फ़िड्यूशरी और फिर बोर्ड से कराना, और मृत्यु या अक्षमता की सूरत में अपने अधिकार इस्तेमाल करने के लिए किसी को नामित करना। DPDP के अधिकार GDPR से तंग हैं — इसमें डेटा पोर्टेबिलिटी का अलग अधिकार नहीं है और न ही मशीन से हुए फ़ैसले पर आपत्ति करने का।
भारतीय डेटा संरक्षण बोर्ड क्या है?
डेटा संरक्षण बोर्ड DPDP अधिनियम 2023 की धारा 18 के तहत बनी केंद्रीय संस्था है, जो इस क़ानून को लागू कराती है। यह शुरू से डिजिटल है — काग़ज़ नहीं चलता, सुनवाई वीडियो पर होती है, आदेश ऑनलाइन डलते हैं। इसके अध्यक्ष और सदस्यों को केंद्र सरकार दो साल के लिए नियुक्त करती है। यह अनुसूची में दिए गए जुर्माने लगा सकता है, जिनमें सबसे बड़ा डेटा लीक रोकने में नाकामी पर 250 करोड़ रुपये है।
श्रीकृष्ण समिति ने DPDP अधिनियम को कैसे आकार दिया?
जस्टिस बी. एन. श्रीकृष्ण की समिति ने जुलाई 2018 में अपनी रिपोर्ट A Free and Fair Digital Economy सौंपी, साथ में व्यक्तिगत डेटा संरक्षण विधेयक 2018 का मसौदा भी। इसके मूल विचार — सहमति पर आधारित प्रोसेसिंग, नियमन के दायरे में डेटा फ़िड्यूशरी, क़ानूनी अधिकार, केंद्रीय नियामक — DPDP अधिनियम 2023 तक पहुँचे। श्रीकृष्ण के कई सुझाव छोड़ दिए गए — सख़्त डेटा-लोकलाइज़ेशन, कई पक्षों वाली नियामक चयन प्रक्रिया, राज्य की निगरानी पर पहले से न्यायिक निगरानी, और संवेदनशील डेटा की अलग श्रेणी।
DPDP GDPR से किस तरह अलग है?
DPDP में वैध आधार कम हैं (सिर्फ़ सहमति और गिनाए हुए वैध उपयोग, जबकि GDPR में छह), संवेदनशील डेटा की अलग श्रेणी नहीं है, सीमापार डेटा भेजने पर रुख़ ढीला है, डेटा पोर्टेबिलिटी का आम अधिकार नहीं है, डेटा संरक्षण प्रभाव आकलन सिर्फ़ महत्वपूर्ण डेटा फ़िड्यूशरी के लिए ज़रूरी है, जुर्माना तय अनुसूची से लगता है (250 करोड़ रुपये तक, जबकि GDPR में कारोबार से जुड़ा 4 प्रतिशत), और नियामक केंद्र सरकार का नियुक्त किया हुआ है (जबकि GDPR ढाँचागत रूप से स्वतंत्र निगरानी संस्थाएँ माँगता है)।
DPDP अधिनियम RTI अधिनियम 2005 के साथ क्या करता है?
DPDP अधिनियम RTI अधिनियम 2005 की धारा 8(1)(j) में संशोधन करके वह शर्त हटा देता है कि छूट पाने से पहले निजी जानकारी का “किसी सार्वजनिक गतिविधि या हित से कोई संबंध न हो”। नतीजा यह कि निजता के आधार पर मिलने वाली छूट चौड़ी हो जाती है। नागरिक समाज के संगठनों का कहना है कि इससे सरकारी अफ़सरों के सार्वजनिक आचरण, चुनावी चंदे और लाभार्थी सूचियों पर RTI का खोजी इस्तेमाल सिमट सकता है।