क्या डीपीडीपी एक्ट आप पर लागू होता है? किस पर, और कब से
डिजिटल वैयक्तिक डेटा संरक्षण अधिनियम, 2023 लगभग हर उस व्यवसाय पर लागू होता है जो डिजिटल रूप में वैयक्तिक डेटा रखता है, चाहे वह कितना भी छोटा हो। नीचे धारा 3 के चार सवालों के जवाब दें; तारीख़ें उसके बाद हैं। यह क़ानूनी सलाह नहीं है।
चार सवाल (धारा 3)
- क्या यह वैयक्तिक डेटा है? किसी व्यक्ति के बारे में कोई भी डेटा, जिससे या जिसके संबंध में उसकी पहचान हो सके (धारा 2(t)): नाम, मोबाइल नंबर, ऑर्डर का इतिहास। केवल कंपनियों के बारे में डेटा इसमें नहीं आता।
- क्या यह डिजिटल है? अधिनियम डिजिटल रूप में लिया गया वैयक्तिक डेटा, और काग़ज़ पर लिया गया वह डेटा जिसे आप बाद में डिजिटल बनाते हैं, दोनों पर लागू होता है (धारा 3(a))। जो रिकॉर्ड काग़ज़ पर ही रहते हैं, वे इसमें नहीं आते।
- प्रसंस्करण कहाँ होता है? भारत में प्रसंस्करण इसमें आता है। भारत के बाहर का प्रसंस्करण भी आता है, जब वह भारत के लोगों को वस्तुएँ या सेवाएँ देने से जुड़ा हो (धारा 3(b))।
- क्या यह केवल निजी या घरेलू उपयोग है, या सार्वजनिक डेटा? किसी व्यक्ति का निजी या घरेलू उपयोग अधिनियम के बाहर है, और वह डेटा भी जिसे व्यक्ति ने ख़ुद सार्वजनिक किया, या जिसे किसी को भारतीय क़ानून के तहत सार्वजनिक करना पड़ा (धारा 3(c))।
यदि डेटा वैयक्तिक है, डिजिटल है, भारत में या भारत के लोगों के लिए प्रसंस्कृत होता है, और ऊपर के आख़िरी मामलों में से नहीं है, तो अधिनियम आप पर डेटा फ़िड्युसरी के रूप में लागू होता है: वह जो तय करता है कि वैयक्तिक डेटा का प्रसंस्करण क्यों और कैसे हो (धारा 2(i))। अधिनियम में आकार या टर्नओवर के आधार पर कोई छूट नहीं है।
कब से
अधिनियम तीन चरणों में लागू हुआ (अधिसूचना G.S.R. 843(E), 13 नवंबर 2025), नियमों के साथ (नियम 1):
- 13 नवंबर 2025: परिभाषाएँ, डेटा संरक्षण बोर्ड और नियम बनाने की शक्तियाँ, साथ में नियम 1, 2 और 17 से 21।
- 13 नवंबर 2026: सहमति प्रबंधकों का पंजीकरण (धारा 6(9), नियम 4)।
- 13 मई 2027: व्यवसाय को जो करना है: नोटिस, सहमति, सुरक्षा उपाय, उल्लंघन की सूचना, बच्चों का डेटा, डेटा प्रिंसिपल के अधिकार, और जुर्माने (धारा 3 से 17 और 27 से 34, नियम 3 और 5 से 16)।
13 मई 2027 तक ये कर्तव्य लागू नहीं हैं, लेकिन नोटिस, सहमति का रिकॉर्ड और उल्लंघन की योजना तैयार करने में समय लगता है।
छूटें (धारा 17)
- ज़्यादातर कर्तव्य तब लागू नहीं होते जब प्रसंस्करण किसी क़ानूनी अधिकार या दावे को लागू करने के लिए, अदालतों और नियामकों के अपने काम में, अपराधों की रोकथाम या जाँच के लिए, अदालत से मंज़ूर विलय या विभाजन के लिए, या ऋण न चुकाने वाले की संपत्ति का पता लगाने के लिए ज़रूरी हो (धारा 17(1))। सुरक्षा उपाय और आपके प्रोसेसरों की ज़िम्मेदारी फिर भी लागू रहती है (धारा 8(1) और 8(5))।
- यही भारत के बाहर के लोगों के उस वैयक्तिक डेटा पर भी लागू होता है, जिसे भारत का कोई व्यवसाय भारत के बाहर किसी के साथ अनुबंध के तहत प्रसंस्कृत करता है (धारा 17(1))।
- शोध, अभिलेख और सांख्यिकी अधिनियम के बाहर हैं, जब डेटा का उपयोग किसी व्यक्ति के बारे में कोई निर्णय लेने के लिए न हो और तय मानक पूरे हों (धारा 17(2))।
- सरकार अधिसूचना से व्यवसायों के कुछ वर्गों को, स्टार्टअप समेत, कुछ कर्तव्यों से छूट दे सकती है (धारा 17(3))। 28 अक्टूबर 2026 को MeitY की डीपीडीपी दस्तावेज़ सूची में ऐसी कोई अधिसूचना नहीं थी।
सवाल
क्या डीपीडीपी एक्ट छोटे व्यवसायों पर लागू होता है?
हाँ। अधिनियम कोई न्यूनतम आकार या टर्नओवर तय नहीं करता। जो दुकान लॉयल्टी योजना के लिए ग्राहकों के मोबाइल नंबर रखती है, या जो क्लिनिक मरीज़ों के रिकॉर्ड कंप्यूटर पर रखता है, वह डेटा फ़िड्युसरी है।
क्या यह कर्मचारियों के डेटा पर लागू होता है?
हाँ, जब वह डिजिटल हो। धारा 7(i) रोज़गार के लिए कुछ प्रसंस्करण बिना सहमति के करने देती है, लेकिन सुरक्षा उपाय, उल्लंघन की सूचना और बाक़ी कर्तव्य फिर भी लागू होते हैं।
क्या यह भारत के बाहर की कंपनी पर लागू होता है?
हाँ, जब वह भारत के लोगों को वस्तुएँ या सेवाएँ देने के संबंध में वैयक्तिक डेटा प्रसंस्कृत करती है (धारा 3(b))।
अधिनियम से पहले लिए गए डेटा का क्या?
वह भी इसमें आता है। जहाँ सहमति अधिनियम लागू होने से पहले दी गई थी, वहाँ व्यवसाय को जितनी जल्दी उचित रूप से संभव हो, नोटिस भेजना होगा (धारा 5(2))।
अधिनियम, G.S.R. 843(E) और नियमों में 28 अक्टूबर 2026 को पढ़ा गया। यह क़ानूनी सलाह नहीं है।