जानकारी का संदर्भ 28 अक्टूबर 2026
कानूनी स्थिति चरणबद्ध commencement और मुख्य परिचालन जिम्मेदारियों के लिए निर्धारित भविष्य की समयसीमा
अभी तैयारी क्यों जरूरी है
ग्राहकों, कर्मचारियों या वेबसाइट उपयोगकर्ताओं का व्यक्तिगत डेटा संभालने वाली कंपनियों के लिए DPDP की तैयारी प्रबंधन का महत्वपूर्ण काम है। लेकिन पहले समयसीमा सही समझनी होगी। नवंबर 2025 की commencement notification ने Act के अलग-अलग प्रावधानों के लिए अलग चरण निर्धारित किए हैं। सभी दायित्व एक साथ लागू होने की धारणा गलत होगी। [1]
नियमों में Consent Manager से संबंधित Rule 4 के लिए राजपत्र प्रकाशन से एक वर्ष और अनेक मुख्य परिचालन नियमों के लिए 18 माह का प्रावधान है। 28 अक्टूबर 2026 की स्थिति में इन आगामी चरणों की तैयारी उपयोगी है। सटीक लागू तारीख संबंधित प्रावधान और अद्यतन अधिसूचना से मिलानी चाहिए। [1][2]
सबसे पहले अपना डेटा पहचानें
प्रबंधन एक सरल data map से शुरुआत कर सकता है। कौन सा विभाग कौन सी जानकारी लेता है, वह किस उद्देश्य से इस्तेमाल होती है और कहाँ भेजी जाती है, इसे लिखें। वेबसाइट का contact form, कर्मचारी भर्ती और ग्राहक सहायता की प्रक्रिया अलग-अलग देखना उपयोगी है।
यह सूची बनाने पर अक्सर पता चलता है कि एक ही जानकारी कई spreadsheets और अलग सेवाओं में रखी गई है। तैयारी का अगला कदम यह तय करना होगा कि कौन सी प्रतियाँ वास्तव में जरूरी हैं और उनके लिए जिम्मेदार व्यक्ति कौन है।
Notice और consent की प्रक्रिया देखें
Rule 3 का ढाँचा स्पष्ट और स्वतंत्र रूप से समझ में आने वाली सूचना पर जोर देता है। इसमें लिए जाने वाले personal data और उसके उपयोग के उद्देश्य का विवरण तथा संबंधित अधिकारों के लिए रास्ता शामिल है। इसे उसकी निर्धारित commencement के साथ पढ़ना होगा। [2]
व्यावहारिक तैयारी के लिए कंपनी अपनी वेबसाइट का उपयोगकर्ता अनुभव जाँच सकती है। कोई व्यक्ति जानकारी देने से पहले उद्देश्य समझ पाता है या नहीं, और बाद में उसे सही संपर्क कहाँ मिलेगा, यह टीम के बाहर किसी व्यक्ति से पढ़वाकर देखा जा सकता है।
हर processing का वैधानिक आधार और लागू अपवाद अलग देखने होंगे। केवल एक consent checkbox जोड़ देने को पूरे DPDP अनुपालन के बराबर मान लेना उचित नहीं होगा।
सेवा प्रदाताओं और सुरक्षा पर काम
Rule 6 में सुरक्षा उपायों के ढाँचे में access control, निगरानी और processor contracts जैसे विषय आते हैं। Rule 7 में personal data breach की सूचना की व्यवस्था है। इन नियमों की लागू होने की समयसीमा अलग से ध्यान में रखनी होगी। [2]
कंपनी तैयारी के तौर पर cloud, payroll और customer-support सेवा प्रदाताओं की सूची बना सकती है। अनुबंध में डेटा की पहुँच, incident की सूचना और सेवा समाप्त होने पर जानकारी के व्यवहार को स्पष्ट करना उपयोगी है। इससे vendor और कंपनी के बीच जिम्मेदारी समझने में मदद मिलेगी।
एक छोटा अभ्यास अभी करें
मान लें कि किसी कर्मचारी का ग्राहक डेटा वाला laptop खो गया। प्रबंधन अभ्यास करके देख सकता है कि सबसे पहले किसे सूचना मिलेगी, कौन उपलब्ध तथ्यों को दर्ज करेगा और तकनीकी जाँच कौन शुरू करेगा। यह वास्तविक breach का दावा नहीं, तैयारी की क्षमता जाँचने का उदाहरण है।
अभ्यास का उद्देश्य केवल एक policy बनाना नहीं होना चाहिए। टीम यह देखे कि संपर्क सूची अद्यतन है या नहीं और जरूरी रिकॉर्ड समय पर मिल पा रहे हैं या नहीं। जो कमी मिले, उसके सुधार का जिम्मेदार और लक्ष्य तारीख लिखें।
बोर्ड के लिए उपयोगी प्रगति रिपोर्ट
प्रबंधन अपनी रिपोर्ट में पूरा data map, सुधारे गए contracts और बाकी काम अलग दिखा सकता है। आगामी प्रभावी तारीख के लिए बची तैयारी का आकलन तभी उपयोगी होगा जब वह वास्तविक प्रक्रियाओं पर आधारित हो। DPDP की परिभाषाओं और भूमिका के अनुसार अपनी कंपनी का मूल्यांकन करना इस काम की शुरुआत है। [3]
स्रोत
- DPDP Act phased commencement notification GSR 843E — MeitY भारत का राजपत्र। commencement के खंड क ख और ग
- Digital Personal Data Protection Rules 2025 GSR 846E — MeitY भारत का राजपत्र। Rule 1 में समयसीमा और Rules 3 6 7 में operational framework
- DPDP Rules 2025 Notified — PIB। भूमिका संबंधी परिभाषाएँ और phased implementation
यह सामान्य कानूनी जानकारी है। किसी विशेष मामले में संबंधित दस्तावेज, वर्तमान कानून और लागू अधिसूचनाएँ देखकर सलाह लें।