डीपीडीपी एक्ट में सहमति प्रबंधक (Consent Manager): कौन पंजीकरण करा सकता है, और आपके व्यवसाय के लिए इसका अर्थ

सहमति प्रबंधक क्या करता है

अधिनियम के अनुसार सहमति प्रबंधक बोर्ड के पास पंजीकृत वह व्यक्ति है जो एक सुलभ, पारदर्शी और अंतर-संचालनीय प्लेटफ़ॉर्म के ज़रिए डेटा प्रिंसिपल को अपनी सहमति देने, उसका प्रबंधन करने, उसकी समीक्षा करने और उसे वापस लेने में सक्षम बनाने के लिए संपर्क के एकल बिंदु के रूप में काम करता है (धारा 2(g))।

• कोई व्यक्ति किसी व्यवसाय को अपनी सहमति सहमति प्रबंधक के ज़रिए दे सकती है, उसका प्रबंधन कर सकती है, उसकी समीक्षा कर सकती है या उसे वापस ले सकती है (धारा 6(7))।
• सहमति प्रबंधक उस व्यक्ति के प्रति जवाबदेह है और उसकी ओर से काम करता है (धारा 6(8)), फ़िड्युसरी क्षमता में (प्रथम अनुसूची, भाग ख, मद 8)।
• उसके ज़रिए साझा किया गया वैयक्तिक डेटा वह ख़ुद पढ़ न सके, ऐसा होना चाहिए (भाग ख, मद 2)।
• वह दी गई, अस्वीकृत या वापस ली गई सहमतियों का, सहमति के हर अनुरोध के साथ आए नोटिस का, और किसी दूसरे व्यवसाय के साथ साझा किए गए डेटा का रिकॉर्ड रखता है। यह रिकॉर्ड कम से कम सात वर्ष रखा जाता है; व्यक्ति इसे देख सकती है और मशीन-पठनीय रूप में माँग सकती है (भाग ख, मद 3 और 4)।

नियमों में एक उदाहरण है (भाग ख, मद 1): बैंक B1 प्लेटफ़ॉर्म पर X से उसके बैंक खाता विवरण का उपयोग करने के लिए सहमति माँगता है। X सीधे B1 को सहमति देकर अपने डिजिटल लॉकर से विवरण दे सकती है। या वह अपनी सहमति अपने बैंक B2 के ज़रिए भेज सकती है, जो फिर विवरण B1 को भेजता है।

कौन पंजीकरण करा सकता है (नियम 4, प्रथम अनुसूची भाग क)

आवेदक को भाग क की हर शर्त पूरी करनी होगी:

• वह भारत में निगमित कंपनी है।
• उसकी निवल संपत्ति कम से कम ₹2 करोड़ है: कुल परिसंपत्तियाँ घटा देनदारियाँ, जैसा उसकी लेखा पुस्तकों में दिखता है।
• उसके पास अपने दायित्व पूरे करने की तकनीकी, परिचालन और वित्तीय क्षमता है, और उसकी वित्तीय स्थिति और प्रबंधन का सामान्य स्वरूप सुदृढ़ है।
• उसके लिए संभावित व्यवसाय की मात्रा, उसकी पूँजी संरचना और आय की संभावनाएँ पर्याप्त हैं।
• उसके निदेशक, प्रमुख प्रबंधकीय कार्मिक और वरिष्ठ प्रबंधन सामान्य प्रतिष्ठा और निष्पक्षता एवं सत्यनिष्ठा के रिकॉर्ड वाले व्यक्ति हैं।
• उसके संस्था के ज्ञापन और संस्था के अनुच्छेदों में यह प्रावधान है कि वह डेटा फ़िड्युसरी के साथ हितों के टकराव से बचे (भाग ख, मद 9 और 10), इसके लिए नीतियाँ हों, और ये प्रावधान केवल बोर्ड के पूर्व अनुमोदन से बदले जा सकें।
• उसका प्रस्तावित संचालन डेटा प्रिंसिपल के हित में है।
• स्वतंत्र रूप से प्रमाणित है कि उसका अंतर-संचालनीय प्लेटफ़ॉर्म बोर्ड की वेबसाइट पर प्रकाशित डेटा संरक्षण मानकों और आश्वासन ढाँचे के अनुरूप है, और उनका पालन करने के उपाय मौजूद हैं।

आवेदन में वे विवरण, जानकारी और दस्तावेज़ दिए जाते हैं जो बोर्ड अपनी वेबसाइट पर प्रकाशित करता है (नियम 4(1))। बोर्ड जाँच कर सकता है, फिर आवेदक को पंजीकृत करके उसके विवरण अपनी वेबसाइट पर प्रकाशित करता है, या कारण बताकर आवेदन अस्वीकार करता है (नियम 4(2))।

पंजीकरण के बाद के दायित्व (प्रथम अनुसूची भाग ख)

• वह एक वेबसाइट या ऐप, या दोनों, चलाता है, जो लोगों के लिए उसकी सेवाओं तक पहुँचने का मुख्य माध्यम है (मद 5)।
• वह अपने दायित्व उप-अनुबंधित या किसी और को नहीं सौंप सकता (मद 6), और वैयक्तिक डेटा उल्लंघन रोकने के लिए उचित सुरक्षा उपाय करेगा (मद 7)।
• वह अपने प्रवर्तक, निदेशक, प्रमुख प्रबंधकीय कार्मिक और वरिष्ठ प्रबंधन, 2% से अधिक शेयर रखने वाले हर व्यक्ति, और हर उस निगमित निकाय को प्रकाशित करता है जिसमें इनमें से कोई 2% से अधिक शेयर रखता है (मद 11)।
• वह अपने नियंत्रणों, पंजीकरण की शर्तों और अपने दायित्वों की लेखापरीक्षा करता है और उसका परिणाम समय-समय पर बोर्ड को बताता है (मद 12)।
• कंपनी का नियंत्रण बिक्री, विलय या किसी और तरह बोर्ड के पूर्व अनुमोदन के बिना हस्तांतरित नहीं हो सकता (मद 13)।
• 13 मई 2027 से उसे शिकायत निवारण का साधन देना होगा (धारा 13) और शिकायतों का जवाब देने की अवधि, अधिकतम 90 दिन, प्रकाशित करनी होगी (नियम 14(3))।

यदि कोई सहमति प्रबंधक इन शर्तों और दायित्वों का पालन नहीं करता, तो बोर्ड सुनवाई के बाद उसे पालन सुनिश्चित करने का निर्देश दे सकता है, और उसका पंजीकरण निलंबित या रद्द कर सकता है (नियम 4(4) और (5))।

आपके व्यवसाय के लिए इसका अर्थ

• सहमति प्रबंधक का उपयोग व्यक्ति की अपनी पसंद है: वह किसी सहमति प्रबंधक के ज़रिए अपनी सहमति दे "सकती" है, उसका प्रबंधन, समीक्षा कर "सकती" है या उसे वापस ले "सकती" है (धारा 6(7))। अधिनियम या नियमों में हमें ऐसा कुछ नहीं मिला जो कहे कि व्यवसाय को किसी सहमति प्रबंधक के प्लेटफ़ॉर्म से जुड़ना ही होगा।
• नियम प्लेटफ़ॉर्म पर "ऑनबोर्ड" किए गए व्यवसायों की बात करते हैं जो वहाँ सहमति के अनुरोध भेजते हैं (भाग ख, मद 1)। व्यवसाय ऑनबोर्ड कैसे होगा, यह नियम नहीं बताते।
• आपका नोटिस नहीं बदलता। प्लेटफ़ॉर्म के ज़रिए किया गया सहमति का अनुरोध भी आपके नोटिस के साथ आता है, जिसका रिकॉर्ड सहमति प्रबंधक रखता है (भाग ख, मद 3(ख)); नोटिस में क्या होना चाहिए, यह नियम 3 बताता है।
• सहमति प्रबंधक के ज़रिए वापस ली गई सहमति भी वापस ली गई सहमति है (धारा 6(7))। तब आपको उचित समय के भीतर प्रसंस्करण रोकना होगा, और अपने प्रोसेसरों से रुकवाना होगा, जब तक क़ानून उस प्रसंस्करण की अपेक्षा या अनुमति न दे (धारा 6(6))।

तारीख़ें

• 13 नवंबर 2026: नियम 4 (सहमति प्रबंधक का पंजीकरण और दायित्व), धारा 6(9) (बोर्ड के पास पंजीकरण) और धारा 27(1)(d) (पंजीकरण की किसी शर्त के उल्लंघन की बोर्ड द्वारा जाँच) (नियम 1(3), G.S.R. 843(E))।
• 13 मई 2027: धारा 6(7) और (8) (सहमति प्रबंधक के ज़रिए सहमति देना, उसकी जवाबदेही), धारा 13 (शिकायतें) और व्यवसायों के कर्तव्य (G.S.R. 843(E))।

यानी सहमति प्रबंधकों का पंजीकरण 13 नवंबर 2026 से हो सकता है, लेकिन उनके ज़रिए सहमति देना, और व्यवसायों के ज़्यादातर कर्तव्य, 13 मई 2027 से लागू होंगे।

अभी क्या करें

• ज़्यादातर व्यवसायों के लिए 13 नवंबर 2026 को कुछ नहीं बदलता। 13 मई 2027 की तैयारी करें: नोटिस, सहमति का रिकॉर्ड, सहमति वापस लेने का आसान तरीक़ा, शिकायतों का निपटारा और उल्लंघन की सूचना।
• यदि आप बहुत से लोगों से सहमति लेते हैं, तो बोर्ड की वेबसाइट पर पंजीकृत सहमति प्रबंधकों की जानकारी देखते रहें (नियम 4(2)(क)) और तय करें कि क्या आप उनके ज़रिए सहमति लेंगे।
• यदि आप ख़ुद सहमति प्रबंधक बनना चाहते हैं, तो भाग क की हर शर्त जाँचें, और वे विवरण भी जो बोर्ड आवेदन के लिए प्रकाशित करता है (नियम 4(1))।

सवाल