डेटा सुरक्षा के कुछ नियम तत्काल लागू, तो कुछ के लिए 18 महीने का समय, आम लोगों को अधिकार के साथ जिम्मेदारी भी

विशेषज्ञों का कहना है कि ये नियम इंडस्ट्री के लिए व्यक्तिगत डेटा एकत्र करने, डेटा की प्रोसेसिंग करने और उन्हें सुरक्षित रखने का स्पष्ट रोडमैप तैयार करते हैं। ट्रांजिशन अवधि और चरणबद्ध कार्यान्वयन कंपनियों को डेटा आर्किटेक्चर को फिर से व्यवस्थित करने और आवश्यक फ्रेमवर्क को लागू करने का समय देगा। हालांकि कुछ विशेषज्ञों का यह भी कहना है कि अंतिम नियमों में परिचालन संबंधी कई बोझ बरकरार हैं। उन्होंने कहा कि किसी इकाई को ‘महत्वपूर्ण डेटा फिड्युशरीज’ के रूप में नामित करने के मानदंडों और प्रक्रिया के बारे में स्पष्टता की कमी है।

आम लोगों को अधिकार के साथ जिम्मेदारी भी

डीपीडीपी एक्ट 2023 के तहत जारी नियम नागरिकों को अपने डेटा की सुरक्षा का अधिकार तो देते हैं, लेकिन साथ ही यह भी अपेक्षा करते हैं कि वे सरकार द्वारा जारी किसी भी पहचान पत्र या दस्तावेज के लिए अपने बारे में कोई भी जानकारी न छिपाएं, झूठी या सतही शिकायतें दर्ज करने से बचें, और डेटा सुधार या डिलीट करने का अनुरोध करते समय केवल सत्यापन योग्य जानकारी प्रदान करें।

आम नागरिक अनधिकृत कॉल के लिए अपने फोन नंबर लीक होने पर डीपीडीपी नियमों का सहारा ले सकते हैं। ये नियम उस संस्था की जांच और पहचान करने में मदद करेंगे जिसने बिना सहमति के किसी व्यक्ति का फोन नंबर लीक किया है। दोषी पाए जाने वालों के विरुद्ध दंडात्मक कार्रवाई भी की जा सकेगी।

अलग-अलग प्रावधानों के लिए समय सीमा निर्धारित

डेटा संरक्षण बोर्ड के गठन से संबंधित अधिकांश प्रावधान 13 नवंबर 2025 से प्रभावी होंगे। इससे यह सुनिश्चित होगा कि बोर्ड पहले से ही कार्यशील हो जाए और अधिनियम के पूरी तरह लागू होने के बाद शिकायतों और बदलावों को संभालने के लिए तैयार हो। इससे सभी हितधारकों के लिए ट्रांजिशन आसान हो जाएगा। कॉन्सेंट मैनेजर अब से एक वर्ष बाद डेटा संरक्षण बोर्ड के साथ पंजीकरण शुरू कर सकेंगे। इससे उन्हें पूरी तरह सक्रिय होने से पहले आवश्यक प्रक्रियाओं और प्रणालियों को स्थापित करने के लिए पर्याप्त समय मिल जाएगा।

सरकार ने डीपीडीपी एक्ट के विभिन्न भागों के प्रभावी होने की समय-सीमा भी अधिसूचित कर दी है। एप्लिकेबिलिटी, नोटिस, सहमति, व्यक्तिगत डेटा प्रोसेसिंग, फिड्यूशरी दायित्व और डेटा प्रिंसिपल के अधिकारों को कवर करने वाले मुख्य प्रावधान 13 नवंबर 2025 से 18 महीने में लागू होंगे। इससे कंपनियों को तैयारी के लिए पर्याप्त समय मिलेगा।

इंडस्ट्री को मिला स्पष्ट रोडमैप

ईवाई इंडिया में साइबर सुरक्षा कंसल्टिंग के पार्टनर और लीडर मुरली राव के अनुसार, ये नियम दायित्व को निर्धारित करते हैं। इससे कानूनी लागत के अलावा अनुपालन की लागत भी बढ़ेगी। उन्होंनो कहा, “डीपीडीपी नियमों के अधिसूचित होने के साथ भारतीय उद्यमों के पास व्यक्तिगत डेटा एकत्र करने, उनकी प्रोसेसिंग, उन्हें सुरक्षित और नियंत्रित करने के तरीके का एक स्पष्ट रोडमैप है।” चरणबद्ध कार्यान्वयन को महत्वपूर्ण बताते हुए राव ने कहा कि यह संगठनों को गोपनीयता को क्रियान्वित करने, अपने डेटा आर्किटेक्चर को पुनर्गठित करने और जवाबदेह फिड्युशरी प्रैक्टिस को सहजता से अपनाने की गुंजाइश देता है।

राव के अनुसार, “कंपनियों को डेटा डिस्कवरी, वर्गीकरण और डेटा-मैपिंग अभ्यासों को तुरंत प्राथमिकता देनी चाहिए, सहमति और रिटेंशन वर्कप्लो को लागू करना चाहिए, उल्लंघन की स्थिति में प्रतिक्रिया तंत्र को मजबूत करना चाहिए, और ऐसे टेक्नोलॉजी आधारित सिस्टम विकसित करने चाहिए जो पूरे डेटा जीवनचक्र में रियल टाइम विजिबिलिटी प्रदान करे।”

नियामकों, कंपनियों और उपभोक्ताओं के बीच सहयोग जरूरी

डेलॉय इंडिया के पार्टनर मयूरन पलानीसामी डीपीडीपी एक्ट के अमल के लिए निश्चित समय-सीमा को महत्वपूर्ण मानते हैं। कंपनियों को इस समय-सीमा के अनुरूप कार्य करने का अवसर मिलेगा। उन्होंने कहा, “डीपीडीपी नियम एक डेटा संरक्षण बोर्ड की स्थापना पर जोर देते हैं। यह बोर्ड एक प्रमुख नियामक निकाय के रूप में कार्य करेगा। ये नियम बिजनेस को डेटा उल्लंघन की रिपोर्टिंग आवश्यकताओं, अभिभावक (बच्चों के मामले में) की सत्यापन योग्य सहमति, कॉन्सेंट मैनेजर का संचालन ढांचा, अनुपालन की आवश्यकताओं, डेटा फिड्यूशरी वर्गीकरण के मानदंड और व्यक्तिगत डेटा की सुरक्षा के लिए सुरक्षा उपायों पर भी मार्गदर्शन करते हैं।” पलानीसामी के अनुसार हालांकि ये नियम महत्वपूर्ण कदम हैं, लेकिन इनके सफल कार्यान्वयन के लिए नियामकों, कंपनियों और उपभोक्ताओं के बीच निरंतर सहयोग की आवश्यकता होगी।

हितधारकों को मिली स्पष्टता

टेक्नोलॉजी और डेटा गोपनीयता में विशेषज्ञता वाली कानूनी फर्म फाउंटेनहेड लीगल की संस्थापक रश्मि देशपांडे के अनुसार, “ड्राफ्ट नियम पहली बार 3 जनवरी 2025 को हितधारकों की प्रतिक्रिया के लिए जारी किए गए थे। दस महीने बाद सीमित बदलावों के साथ फाइनल डीपीडीपी नियम जारी किए गए हैं। इन नियमों के लागू होने के साथ डेटा संरक्षण बोर्ड के कामकाज, कॉन्सेंट मैनेजर, डेटा फिड्यूशरी के लिए सुरक्षा उपायों और बच्चों व विकलांग व्यक्तियों के लिए सहमति की आवश्यकताओं से जुड़े प्रश्न अब सुलझ गए हैं, जो लंबे समय से लंबित थे। इससे हितधारकों को स्पष्टता मिली है जिसका वे इंतजार कर रहे थे।”

रश्मि के मुताबिक, हालांकि एक प्रमुख क्षेत्र अभी खुला है, वह है सीमा पार डेटा ट्रांसफर पर प्रतिबंध। इसका समाधान एक अलग सरकारी आदेश के माध्यम से किया जाएगा। महत्वपूर्ण डेटा फिड्यूशरी की पहचान के मानदंड भी बाद में अधिसूचित किए जाएंगे। तब तक कंपनियों को इन दो बिंदुओं पर बारीकी से नजर रखने की आवश्यकता होगी, क्योंकि ये अनुपालन रणनीतियों को सीधे प्रभावित करेंगे।

रेगुलेटरी और व्याख्यात्मक स्पष्टता भी जरूरी

शार्दुल अमरचंद मंगलदास एंड कंपनी की पार्टनर शाहाना चटर्जी ने कहा कि डीपीडीपी नियमों की अधिसूचना के साथ आईटी मंत्रालय ने जरूरी स्पष्टता प्रदान की है। अधिनियम के अनेक प्रावधानों के अब से 18 महीने बाद प्रभावी होने के साथ पर्याप्त ट्रांजिशन अवधि की अनुमति देना विवेकपूर्ण है। उन्होंने कहा, “उद्योग को अब अपने डेटा प्रैक्टिस को डीपीडीपी अधिनियम की आवश्यकताओं के अनुरूप बनाने पर ध्यान केंद्रित करना होगा। आईटी मंत्रालय को रेगुलेटरी और व्याख्यात्मक स्पष्टता प्रदान करने पर ध्यान केंद्रित करना होगा, जिसकी अनिवार्य रूप से आवश्यकता होगी।”

ये नियम सुप्रीम कोर्ट की तरफ से 24 अगस्त 2017 को दिए गए उस फैसले के आठ साल बाद लागू हुए हैं जिसमें निजता के अधिकार को मौलिक अधिकार बताया गया था। डीपीडीपी नियमों में डेटा संरक्षण बोर्ड की स्थापना के लिए एक मेकैनिज्म निर्धारित किया गया है। यह बोर्ड डीपीडीपी अधिनियम 2023 में सूचीबद्ध उल्लंघन की प्रकृति के आधार पर जुर्माना लगाएगा। डीपीडीपी अधिनियम 2023 में डेटा फिड्यूशरी पर प्रत्येक उल्लंघन पर 250 रुपये तक का जुर्माना लगाने का प्रावधान है। छोटे व्यवसायों की सुरक्षा के लिए एक ग्रेडेड पेनल्टी सिस्टम रखा गया है।