डिजिटल व्यक्तिगत डेटा संरक्षण अधिनियम में आपके अधिकार

हर बार जब आप कोई ऐप डाउनलोड करते हैं, लोन फ़ॉर्म भरते हैं या डॉक्टर का अपॉइंटमेंट लेते हैं, कोई आपका व्यक्तिगत डेटा लेता है। सालों तक भारतीयों का इस पर बहुत कम बस था कि वह डेटा कैसे इस्तेमाल हो, बेचा जाए या सुरक्षित रहे। लीक हुआ फ़ोन नंबर स्पैम कॉल की बाढ़ ला सकता था, और कोई जवाबदेह नहीं था। DPDP अधिनियम इसे बदलता है। यह लेख आपके अधिकार, कंपनियों के कर्तव्य, और मुख्य हिस्से लागू होने से पहले आज आप क्या कर सकते हैं, यह बताता है।

मुख्य शब्द, सरल भाषा में

• व्यक्तिगत डेटा (personal data): आपके बारे में कोई भी डेटा जिससे आपकी पहचान हो सके, जैसे नाम, फ़ोन नंबर, फ़ोटो, लोकेशन या स्वास्थ्य रिकॉर्ड।
• डेटा प्रिंसिपल: आप, जिसके बारे में डेटा है। बच्चे (18 से कम) की ओर से माता-पिता या क़ानूनी अभिभावक काम करते हैं।
• डेटा फ़िड्यूशरी: वह कंपनी, संस्था या सरकारी विभाग जो तय करता है कि आपका डेटा क्यों और कैसे इस्तेमाल होगा।
• भारतीय डेटा संरक्षण बोर्ड: शिकायतें सुनने और जुर्माना लगाने वाली संस्था। यह पूरी तरह डिजिटल दफ़्तर के रूप में काम करता है।

क़ानून कब लागू होता है

संसद ने यह अधिनियम अगस्त 2023 में पास किया। DPDP नियम, 2025 13 नवंबर 2025 को चरणबद्ध समय-सारिणी के साथ अधिसूचित हुए:

• 13 नवंबर 2025 से: डेटा संरक्षण बोर्ड बनाने वाले प्रावधान लागू हुए। DPDP अधिनियम से RTI अधिनियम में किया गया वह संशोधन भी लागू हुआ जो व्यक्तिगत जानकारी देने पर रोक लगाता है; इसे सुप्रीम कोर्ट में चुनौती दी गई है और मामला 2026 में लंबित है।
• लगभग 13 नवंबर 2026 से: सहमति प्रबंधकों (ऐसे प्लेटफ़ॉर्म जो सहमति देने, देखने और वापस लेने में मदद करते हैं) का पंजीकरण।
• 13 मई 2027 से: नोटिस, सहमति, सुरक्षा, डेटा उल्लंघन (breach) की सूचना, बच्चों का डेटा, और डेटा प्रिंसिपल के रूप में आपके अधिकार।

2026 की शुरुआत में सरकार ने यह समय-सारिणी छोटी करने का प्रस्ताव रखा था, पर अक्टूबर 2026 तक कोई बदलाव अधिसूचित नहीं हुआ। बोर्ड के सदस्यों का चयन भी 2026 में चल रहा था। मुख्य हिस्से लागू होने तक भी आप नीचे के सारे अनुरोध कर सकते हैं; कई कंपनियाँ इन्हें पहले से मान रही हैं।

सहमति और नोटिस

आपका व्यक्तिगत डेटा सिर्फ़ आपकी सहमति से, या अधिनियम में लिखे कुछ "वैध उपयोगों" के लिए प्रोसेस हो सकता है धारा 7 DPDP अधिनियम, जैसे किसी ख़ास मक़सद से आपका ख़ुद दिया डेटा, या लाभ, सेवाएँ और लाइसेंस देने के लिए राज्य का उपयोग। सहमति स्वतंत्र, विशिष्ट, सूचित, स्पष्ट और किसी साफ़ क्रिया से दी गई होनी चाहिए धारा 6 DPDP अधिनियम। पहले से टिक किए बॉक्स और "सब पर सहमत" वाले पैकेज इस मानक पर खरे नहीं उतरते।

सहमति माँगने से पहले कंपनी को साफ़ भाषा में नोटिस देना होगा (अंग्रेज़ी या संविधान की आठवीं अनुसूची की किसी भी भाषा में), जिसमें बताया हो कि कौन-सा डेटा, क्यों, और अधिकारों का इस्तेमाल व शिकायत कैसे करें धारा 5 DPDP अधिनियम। आप कभी भी सहमति वापस ले सकते हैं, और वापस लेना उतना ही आसान होना चाहिए जितना देना।

आपके अधिकार

1. जानकारी का अधिकार: आपके किस डेटा पर काम हो रहा है, उसके साथ क्या किया जा रहा है, और किसके साथ साझा हुआ, इसका सार धारा 11।
2. सुधार और मिटाने का अधिकार: ग़लत डेटा सुधरवाना, अधूरा पूरा या अपडेट करवाना, और जिस मक़सद के लिए सहमति दी थी उसकी ज़रूरत ख़त्म होने पर मिटवाना धारा 12।
3. शिकायत निवारण का अधिकार: हर कंपनी के पास शिकायत निपटाने का आसान तरीक़ा होना चाहिए, और नियमों के तहत 90 दिन में जवाब देना होगा धारा 13।
4. नामांकन का अधिकार: आपकी मृत्यु या अक्षमता की स्थिति में आपके अधिकारों का इस्तेमाल करने के लिए किसी को नामित करना धारा 14।

बच्चे, कंपनियों के कर्तव्य और जुर्माना

बच्चे का डेटा प्रोसेस करने से पहले कंपनी को माता-पिता या क़ानूनी अभिभावक की सत्यापन योग्य सहमति लेनी होगी, और वह बच्चों को ट्रैक, उनके व्यवहार की निगरानी या उन्हें लक्षित विज्ञापन नहीं कर सकती, न ऐसा प्रोसेसिंग जिससे बच्चे को नुक़सान हो धारा 9। स्कूलों, अस्पतालों और बच्चों के परिवहन को नियमों में सीमित छूट है।

कंपनियों को डेटा सही रखना, उचित सुरक्षा उपायों से बचाना, डेटा उल्लंघन होने पर बोर्ड और प्रभावित लोगों को बताना, और मक़सद पूरा होने पर डेटा मिटाना होगा धारा 8। सुरक्षा उपाय न करने पर बोर्ड ₹250 करोड़ तक, और उल्लंघन की सूचना न देने या बच्चों की सुरक्षा तोड़ने पर ₹200 करोड़ तक जुर्माना लगा सकता है।

आपके भी कर्तव्य हैं: झूठी या बेबुनियाद शिकायत नहीं, किसी और का रूप धारण नहीं, ग़लत ब्योरा नहीं धारा 15; इसका जुर्माना ₹10,000 तक हो सकता है। अधिनियम सरकार को सुरक्षा और लोक व्यवस्था जैसे कारणों से अपनी एजेंसियों को छूट देने की अनुमति भी देता है धारा 17; आलोचकों के अनुसार ये छूटें बहुत व्यापक हैं, जबकि सरकार इन्हें शासन के लिए ज़रूरी बताती है।

क़दम दर क़दम

1. "I agree" दबाने से पहले नोटिस पढ़ें। जिन मक़सदों की ज़रूरत नहीं, उनके लिए सहमति न दें।
2. शिकायत अधिकारी को लिखें (संपर्क आम तौर पर प्राइवेसी पॉलिसी में होता है)। पूछें कि कौन-सा डेटा रखा है, किसे दिया, और सुधार, मिटाने या सहमति वापसी का अनुरोध करें। स्क्रीनशॉट और तारीख़ें रखें।
3. जवाब का इंतज़ार करें, नियम लागू होने पर 90 दिन तक।
4. डेटा संरक्षण बोर्ड में शिकायत करें ऑनलाइन, अगर हल न हो, संबंधित कर्तव्य लागू होने के बाद। बोर्ड के आदेश के ख़िलाफ़ अपील 60 दिन में अपीलीय अधिकरण (TDSAT) में होती है धारा 29।
5. डेटा से आपके साथ धोखा हो तो इंतज़ार न करें: 1930 पर कॉल करें और cybercrime.gov.in पर रिपोर्ट करें।