डिजिटल व्यक्तिगत डेटा संरक्षण अधिनियम, 2023

भारत में 2023 तक व्यक्तिगत डेटा की निजता के लिए कोई एक अलग, समर्पित कानून नहीं था। फिर डिजिटल व्यक्तिगत डेटा संरक्षण (DPDP) अधिनियम आया, जिसमें जुर्माना ₹250 करोड़ तक हो सकता है। इस पाठ में हम जानेंगे कि यह कानून कैसे बना, इसमें क्या प्रावधान हैं और इसे कैसे लागू किया जा रहा है।

1भारत का पहला अलग निजता कानून कैसे बना?

इसके पीछे तीन प्रयासों का एक लंबा सफर है। भारत का पहला समर्पित निजता कानून 2023 का अधिनियम है, जो दो पुराने मसौदों के बाद पारित हुआ।

इससे पहले भी निजता को कुछ सुरक्षा मिली हुई थी। सूचना प्रौद्योगिकी (IT) अधिनियम के ढाँचे में संवेदनशील व्यक्तिगत डेटा या सूचना नियम, 2011 शामिल थे। लेकिन ये सीमित नियम थे, कोई पूरा कानून नहीं।

इस दिशा में असली मजबूती 24 अगस्त 2017 को मिली। के. एस. पुट्टस्वामी बनाम भारत संघ (K.S. Puttaswamy v. Union of India)मामले में नौ न्यायाधीशों की पीठ ने निजता को मौलिक अधिकार माना। यह अनुच्छेद 21 और भाग III की अन्य स्वतंत्रताओं के अंतर्गत आता है।

• 31 जुलाई 2017 को सरकार ने न्यायमूर्ति बी. एन. श्रीकृष्ण (B.N. Srikrishna) की अध्यक्षता में एक समिति बनाई। वे सर्वोच्च न्यायालय के सेवानिवृत्त न्यायाधीश थे।
• समिति ने जुलाई 2018 में अपनी रिपोर्ट और विधेयक का मसौदा सौंपा।
• व्यक्तिगत डेटा संरक्षण विधेयक, 2019 को 11 दिसंबर 2019 को लोकसभा में पेश किया गया।
• एक संसदीय समिति ने 16 दिसंबर 2021 को अपनी रिपोर्ट प्रस्तुत की।
• सरकार ने 3 अगस्त 2022 को विधेयक वापस ले लिया। उसने 81 प्रस्तावित संशोधनों और 12 सिफारिशों का हवाला दिया। इसके स्थान पर उसने एक व्यापक कानूनी ढाँचा लाने का वादा किया।
• नवंबर 2022 में एक नया मसौदा आया। लोकसभा ने अंतिम विधेयक 7 अगस्त 2023 को पारित किया। राज्यसभा ने इसे 9 अगस्त को पारित किया।
• राष्ट्रपति ने 11 अगस्त 2023 को मंजूरी दी। यह 2023 का अधिनियम संख्या 22 बना।

एक आम गलतफहमी यह है कि 2019 का विधेयक ही कानून बन गया। ऐसा नहीं हुआ। सरकार ने उसे वापस लिया और नए सिरे से शुरुआत की। (स्रोत: इंडियन एक्सप्रेस (Indian Express).)

2अधिनियम में सहमति, बच्चों और अधिकारों से जुड़े प्रावधान क्या हैं?

यह अधिनियम डिजिटल रूप में एकत्र किए गए व्यक्तिगत डेटा पर लागू होता है। यह उन कागजी रिकॉर्ड पर भी लागू होता है जिन्हें बाद में डिजिटल रूप दिया जाता है। यह विदेश की कंपनियों पर भी लागू होता है, यदि वे भारत में वस्तुएँ या सेवाएँ उपलब्ध कराती हैं। पूरी तरह व्यक्तिगत या घरेलू उपयोग इसके दायरे से बाहर है।

डेटा का उपयोग करने का मुख्य आधार सहमति है। सहमति स्वतंत्र रूप से दी गई, किसी खास उद्देश्य के लिए, पूरी जानकारी पर आधारित और बिना शर्तहोनी चाहिए। इसके लिए स्पष्ट रूप से सहमति जताने वाला कदम जरूरी है, जैसे सही का निशान लगाना। व्यक्ति बाद में अपनी सहमति वापस ले सकता है।

सहमति माँगने वाली सूचना अलग से दी जानी चाहिए और स्पष्ट होनी चाहिए। इसमें बताना जरूरी है कि कौन-सा डेटा लिया जा रहा है और क्यों। सहमति प्रबंधक लोगों को एक ही जगह से यह सब सँभालने में मदद करते हैं।

हालाँकि, सहमति ही एकमात्र आधार नहीं है। अधिनियम में कुछ “वैध उपयोग” बताए गए हैं, जिनके लिए सहमति जरूरी नहीं है। इनमें रोजगार, चिकित्सा संबंधी आपात स्थितियाँ और सरकारी लाभ शामिल हैं। इससे आपात स्थिति में हर बार पॉप-अप के जरिए सहमति माँगे बिना काम करना संभव होता है।

बच्चे

18 वर्ष से कम उम्र का हर व्यक्ति बच्चा है। धारा 9 के तहत बच्चे के डेटा के लिए आम तौर पर माता-पिता की सहमति जरूरी है। बच्चों को नुकसान पहुँचाने वाले डेटा प्रसंस्करण, उनकी गतिविधियों पर नजर रखने और उन्हें लक्षित विज्ञापन दिखाने पर पाबंदियाँ हैं। नियमों में स्वास्थ्य सेवा, शिक्षा और तत्काल सुरक्षा के लिए सीमित छूट दी गई है।

अभिभावक की सहमति उन लोगों के लिए भी जरूरी है जो सहायता मिलने पर भी कानूनी निर्णय नहीं ले सकते। केवल दिव्यांगता होने से किसी व्यक्ति को इस श्रेणी में नहीं माना जाता।

आपके अधिकार

डेटा प्रिंसिपल (Data Principal) अपने डेटा के प्रसंस्करण की जानकारी माँग सकती है और डेटा को ठीक, अपडेट या मिटा सकती है। वह अपनी शिकायत का समाधान माँग सकती है। वह अपनी मृत्यु या अक्षम होने के बाद अपनी ओर से काम करने के लिए किसी व्यक्ति को नामित भी कर सकती है।

उस पर भी कुछ कर्तव्य लागू होते हैं। उसे निराधार शिकायतें नहीं करनी चाहिए। डेटा में सुधार या उसे मिटाने का अनुरोध करते समय उसे प्रामाणिक जानकारी देनी होगी।

3यह अधिनियम कितना मजबूत है और इसका दायरा कहाँ सीमित है?

यह अधिनियम सुरक्षा के मामले में सख्त है, लेकिन इसका दायरा सीमित है। डेटा फिड्यूशियरी (Data Fiduciaries) को उचित सुरक्षा उपाय अपनाने होंगे। डेटा उल्लंघन होने पर उन्हें प्रभावित लोगों को तुरंत सूचना भी देनी होगी। इस सूचना में उल्लंघन के परिणाम, उठाए गए कदम और संपर्क करने वाले व्यक्ति की जानकारी दी जाती है।

अनुसूची में जुर्माने की अधिकतम सीमाएँ तय हैं। सुरक्षा उपाय न अपनाने पर जुर्माना हो सकता है अधिकतम ₹250 करोड़। डेटा उल्लंघन की सूचना न देने या बच्चों से जुड़े नियमों का उल्लंघन करने पर जुर्माना हो सकता है अधिकतम ₹200 करोड़। महत्वपूर्ण डेटा फिड्यूशियरी (Significant Data Fiduciaries) के उल्लंघन पर जुर्माना हो सकता है अधिकतम ₹150 करोड़.

ये अधिकतम सीमाएँ हैं, तय जुर्माने नहीं। धारा 33 के अनुसार, बोर्ड उल्लंघन की गंभीरता और नुकसान कम करने के लिए उठाए गए कदमों पर विचार करता है। भारतीय डेटा संरक्षण बोर्ड (Data Protection Board of India) डेटा उल्लंघन, नियमों का पालन न करने और सुधार के निर्देशों से जुड़े मामलों को देखता है। अपील TDSAT में की जाती है।

GDPR से तुलना

इस अधिनियम में GDPR के कुछ प्रावधान शामिल नहीं हैं। इसमें संवेदनशील या अत्यंत महत्वपूर्ण डेटा की अलग श्रेणियाँ नहीं हैं और न ही डेटा को एक सेवा से दूसरी सेवा में ले जाने का सामान्य अधिकार है। विदेश भेजे जाने वाले डेटा के लिए धारा 16 हस्तांतरण की अनुमति देती है, जब तक सरकार कुछ निर्दिष्ट स्थानों पर रोक न लगाए। किसी क्षेत्र पर लागू अधिक सख्त कानून प्रभावी रहते हैं। (स्रोत: PRS विधायी संक्षेप (PRS Legislative Brief).)

महत्वपूर्ण डेटा फिड्यूशियरी पर अतिरिक्त कर्तव्य लागू होते हैं। इनमें ऑडिट, प्रभाव का आकलन और उनकी तकनीक की जाँच शामिल हैं।

और पढ़ें: सामान्य डेटा संरक्षण विनियमन (General Data Protection Regulation—GDPR).

राज्य को मिलने वाली छूट

सरकारी एजेंसियों को राज्य की सुरक्षा और सार्वजनिक व्यवस्था जैसे आधारों पर छूट मिल सकती है। शोध के लिए डेटा के उपयोग पर छूट तभी मिलती है, जब निर्धारित मानकों का पालन हो और किसी निर्णय का लक्ष्य कोई एक व्यक्ति न हो। आलोचकों का कहना है कि राज्य को मिलने वाली छूट, राज्य के विरुद्ध मिलने वाली सुरक्षा को कमजोर करती है।

4अब तक कौन-कौन से प्रावधान लागू हुए हैं?

राष्ट्रपति की मंजूरी मिलते ही सभी प्रावधान लागू नहीं हुए। अधिनियम को लागू करने की अधिसूचना के जरिए इसे चरणों में लागू किया गया। राजपत्र की प्रति पर 13 नवंबर 2025 की तारीख है। उसकी इलेक्ट्रॉनिक मुहर पर 14 नवंबर की तारीख है और PIB ने अंतिम नियमों की घोषणा 14 नवंबर को की।

• प्रकाशन के समय: परिभाषाएँ, बोर्ड से जुड़े प्रावधान और कुछ विविध धाराएँ लागू हुईं। इनमें RTI अधिनियम में संशोधन भी शामिल था।
• प्रकाशन के एक वर्ष बाद: धारा 6(9) और धारा 27(1)(d) लागू होंगी। ये सहमति प्रबंधकों (Consent Managers) से संबंधित हैं। यह समय लगभग 13 नवंबर 2026 पड़ता है।
• प्रकाशन के अठारह महीने बाद: मुख्य कर्तव्य, अधिकार, प्रवर्तन, दंड और IT अधिनियम में संशोधन लागू होंगे। यह समय लगभग 13 मई 2027 पड़ता है।

यह लंबा अंतराल जानबूझकर रखा गया है। कंपनियों को अपनी प्रणालियाँ, सहमति लेने वाली स्क्रीन और रिकॉर्ड नए सिरे से तैयार करने होंगे। धीरे-धीरे लागू करने से लापरवाही बरतने वालों को दंडित किया जा सकेगा, तैयारी पूरी न कर पाए लोगों को नहीं।

बाद के कदम

MeitY ने नियमों से संबंधित दिसंबर 2025 का एक शुद्धिपत्र सूचीबद्ध किया है। इसे नियमों के साथ पढ़ें। 6 मई 2026 को MeitY ने बोर्ड के एक अध्यक्ष और चार सदस्यों के लिए आवेदन आमंत्रित किए।

अक्टूबर 2026 के कठिनाइयों को दूर करने संबंधी आदेश ने धारा 9(1) में सुधार किया। इसने धारा 10(2)(c)(ii) में “डेटा ऑडिट” शब्द भी प्रतिस्थापित किए। अक्टूबर 2026 में केंद्र ने केरल उच्च न्यायालय को बताया कि बोर्ड का गठन हो चुका है, लेकिन उसने अभी काम शुरू नहीं किया है। न्यायालय ने उम्मीद जताई कि वह आठ सप्ताह के भीतर काम शुरू कर देगा।

5पिछले वर्षों के प्रश्नपत्र और खबरें क्या बताते हैं?

UPSC CSP 2024: न्यायालय ने निजता को किस अनुच्छेद के तहत रखा

UPSC ने पूछा कि सर्वोच्च न्यायालय ने निजता के अधिकार को किस अनुच्छेद के तहत रखा है। उत्तर अनुच्छेद 21 है। 2017 के पुट्टस्वामी (Puttaswamy) फैसले ने निजता को मौलिक अधिकार बनाया और DPDP अधिनियम इसी आधार पर बना है। (स्रोत: UPSC CSP 2024, Q76.)

और पढ़ें: निजता का अधिकार और पुट्टस्वामी (Puttaswamy) फैसला.

UPSC CSP 2019: वैश्विक तुलना

UPSC ने पूछा कि अप्रैल 2016 में GDPR को किस संस्था ने अपनाया था, जो 25 मई 2018 से लागू हुआ। उत्तर यूरोपीय संघ (European Union) है। दोनों में भ्रम से बचने के लिए दोनों तारीखों और दोनों व्यवस्थाओं को जानें। (स्रोत: UPSC CSP 2019, Q88.)

RTI से संबंध

अधिनियम की धारा 44(3), RTI अधिनियम की धारा 8(1)(j) की जगह व्यक्तिगत जानकारी के प्रकटीकरण से छूट का प्रावधान लाती है। RTI की धारा 8(2) अब भी जानकारी सार्वजनिक करने की अनुमति देती है, जहाँ जनहित नुकसान से अधिक महत्वपूर्ण हो। इसीलिए इस अधिनियम पर सूचना के अधिकार के साथ चर्चा होती है।

और पढ़ें: सूचना का अधिकार अधिनियम, 2005.

खबरों में

27 अक्टूबर 2026 को सुप्रीम कोर्ट ने डिजिटल समाचार प्रकाशकों के एक संघ की ओर से कानून को दी गई चुनौती पर नोटिस जारी किया। प्रेस की स्वतंत्रता से जुड़ी चिंताएँ याचिकाकर्ताओं के तर्क थे, अदालत के निष्कर्ष नहीं। 28 अक्टूबर 2026 को अश्विनी वैष्णव (Ashwini Vaishnaw) ने कानून का बचाव किया और संपादकों से सुझाव माँगे। इससे पत्रकारिता को कानून से कोई छूट नहीं मिली। (स्रोत: इंडियन एक्सप्रेस (Indian Express).)