डिजिटल व्यक्तिगत डेटा संरक्षण अधिनियम, 2023

अद्यतन कानूनी स्थिति और परीक्षा की मुख्य बातें

अत्यंत आवश्यक विधिक अपडेट—5 नवंबर 2026: डीपीडीपी अधिनियम 2023 में पारित हुआ, पर पूरी तरह लागू नहीं हुआ है। 13 नवंबर 2025 को धारा 18–26 (बोर्ड), कुछ अन्य धाराएँ और धारा 44(3) का RTI संशोधन लागू हुए। 13 नवंबर 2026 को धारा 6(9), धारा 27(1)(d), नियम 4 की तिथि निर्धारित है; मुख्य डेटा प्रसंस्करण संबंधी व्यापक दायित्व, अधिकार और नियमों का चरण 13 मई 2027 निर्धारित है।

वैधानिक प्रावधान बनाम वर्तमान प्रवर्तन: सहमति (धारा 5–6), वैध उपयोग (7), बाल संरक्षण (9), डेटा अधिकार (11–14) तथा वित्तीय दंड के विषय कानून में लिखे हैं, पर उनके प्रभावी होने की अलग अधिसूचित समयरेखा है। परीक्षार्थी इन्हें 2023 से सभी संस्थाओं पर पहले ही पूरी तरह बाध्यकारी न लिखें।

RTI: धारा 44(3) द्वारा RTI धारा 8(1)(j) संशोधित हुई; लेकिन इसे बाकी RTI धाराओं सहित सभी प्रकार की सूचना के प्रकटीकरण पर सार्वभौमिक रोक कह देना अनुचित सरलीकरण है। अपील: डेटा संरक्षण बोर्ड के आदेशों का अपीलीय मंच TDSAT है, प्रत्येक राज्य का उच्च न्यायालय नहीं।

1. ऐतिहासिक पृष्ठभूमि एवं वैधानिक विकास यात्रा (Historical Context & Background)

डिजिटल व्यक्तिगत डेटा संरक्षण अधिनियम, 2023 (DPDP Act, 2023) स्वतंत्र भारत के डिजिटल अभिशासन और व्यक्तिगत स्वतंत्रता के इतिहास में मील का पत्थर है। यह 1.4 अरब नागरिकों के डेटा संप्रभुता और निजता को विधिक संरक्षण प्रदान करने वाला भारत का पहला समर्पित कानून है:

के. एस. पुट्टास्वामी बनाम भारत संघ (2017) - 9 न्यायाधीशों की संविधान पीठ: सर्वोच्च न्यायालय की ऐतिहासिक 9-न्यायाधीशों की संविधान पीठ ने सर्वसम्मति से निर्णय दिया कि निजता का अधिकार (Right to Privacy) अनुच्छेद 21 के अंतर्गत जीवन और व्यक्तिगत स्वतंत्रता के मौलिक अधिकार का एक आंतरिक व अविभाज्य अंग है। न्यायालय ने स्पष्ट किया कि डिजिटल युग में 'सूचनात्मक निजता' (Informational Privacy) और डेटा सुरक्षा हेतु संसद द्वारा एक व्यापक कानून बनाया जाना अनिवार्य संवैधानिक दायित्व है। न्यायमूर्ति बी.एन. श्रीकृष्ण समिति (2017-2018): पुट्टास्वामी निर्णय के अनुपालन में कें द्र सरकार ने सुप्रीम कोर्ट के पूर्व जज न्यायमूर्ति बी.एन. श्रीकृष्ण की अध्यक्षता में 'डेटा संरक्षण विशेषज्ञ समिति' का गठन किया। समिति ने जुलाई 2018 में रिपोर्ट सौंपी, जिसमें यूरोपीय संघ के GDPR (2018) के अनुरूप कड़े डेटा स्थानीयकरण (Data Localization) और स्वतंत्र डेटा संरक्षण प्राधिकरण की सिफारिश की गई।

संसदीय यात्रा एवं विधेयकों की वापसी (2019 से 2023): संसद में पर्सनल डेटा प्रोटेक्शन बिल, 2019 पेश किया गया, जिसकी जांच पी.पी. चौधरी की अध्यक्षता वाली संयुक्त संसदीय समिति (JPC) ने की। JPC द्वारा 80 से अधिक संशोधनों की सिफारिश तथा तकनीकी उद्योग द्वारा जटिलता की शिकायतों के बाद सरकार ने अगस्त 2022 में विधेयक वापस ले लिया। नवंबर 2022 में नया प्रारूप जारी कर अंततः संसद द्वारा अगस्त 2023 में DPDP Act, 2023 पारित किया गया।

2. अधिनियम के मूल उद्देश्य एवं दर्शन (Key Objectives & Philosophy)

1. नागरिक निजता एवं डेटा संप्रभुता का संरक्षण: नागरिकों (डेटा प्रिंसिपल्स) के अपने व्यक्तिगत डेटा पर अधिकार को सुरक्षित करना। 2. डिजिटल अर्थव्यवस्था एवं नवाचार का संवर्धन: वैध एवं पारदर्शी उद्देश्यों के लिए डेटा प्रसंस्करण (Processing) को सुगम बनाकर 'कारोबारी सुगमता' (Ease of Doing Business) को गति देना। 3. डिजिटल-बाय-डिजाइन (Digital-by-Design) नियामक संरचना: तकनीकी रूप से कु शल एवं डिजिटल रूप से संचालित 'भारतीय डेटा संरक्षण बोर्ड' (DPBI) की स्थापना। 4. बच्चों एवं कमजोर वर्गों का विशेष संरक्षण: 18 वर्ष से कम आयु के बच्चों के व्यवहारिक अध्ययन (Behavioral Profiling) और लक्षित विज्ञापनों पर पूर्ण प्रतिबंध। 5. कठोर वित्तीय निवारक (Deterrence): डेटा उल्लंघनों पर ₹250 करोड़ तक के भारी जुर्माने का प्रावधान कर कं पनियों की जवाबदेही तय करना।

3. अधिनियम का दायरा एवं प्रमुख शब्दावली (Scope & Core Terminology - धारा 2 व 3)

(A) क्षेत्राधिकार एवं अनुप्रयोग (Scope of Application - धारा 3) के वल डिजिटल व्यक्तिगत डेटा पर लागू: यह कानून के वल उस व्यक्तिगत डेटा पर लागू होता है जो या तो डिजिटल रूप में एकत्र किया गया हो या ऑफलाइन रूप में एकत्र कर बाद में डिजिटाइज किया गया हो। भौगोलिक क्षेत्राधिकार: भारत के भीतर होने वाले सभी डिजिटल डेटा प्रसंस्करण पर; तथा भारत के बाहर (Extraterritorial Jurisdiction) भी लागू यदि विदेशी संस्था भारत में स्थित व्यक्तियों को वस्तुओं या सेवाओं की पेशकश (Offering goods/services) कर रही हो। बहिष्करण: व्यक्तिगत या घरेलू उपयोग हेतु किया गया डेटा प्रसंस्करण; गैर-व्यक्तिगत डेटा (Non-personal data); तथा ऐसा डेटा जो व्यक्ति द्वारा स्वयं सार्वजनिक किया गया हो।

(B) प्रमुख वैधानिक अवधारणाएं (धारा 2)

शब्दावली वैधानिक परिभाषा एवं दायित्व GDPR के समकक्ष अवधारणा 1. डेटा प्रिंसिपल (Data वह जीवित व्यक्ति जिससे व्यक्तिगत डेटा संबंधित है। यदि व्यक्ति बच्चा 'डेटा सब्जेक्ट' (Data Subject) Principal - धारा 2(j)) (18 वर्ष से कम) या दिव्यांग है, तो उसके माता-पिता या कानूनी अभिभावक डेटा प्रिंसिपल माने जाएंगे।

2. डेटा फिड्यूशरी (Data कोई भी व्यक्ति, कंपनी, बैंक या सरकारी संस्था जो अके ले या अन्य के 'डेटा कंट्रोलर' (Data Controller) Fiduciary - धारा 2(i)) साथ मिलकर व्यक्तिगत डेटा प्रसंस्करण का उद्देश्य और साधन निर्धारित करती है। यह डेटा की 'ट्रस्टी' (न्यासी) है।

3. डेटा प्रोसेसर (Data वह संस्था जो डेटा फिड्यूशरी की ओर से के वल डेटा प्रोसेस करने का 'डेटा प्रोसेसर' (Data Processor) Processor - धारा 2(k)) तकनीकी कार्य करती है (उदा. क्लाउड सर्विस प्रोवाइडर)।

4. महत्वपूर्ण डेटा फिड्यूशरी (SDF कें द्र सरकार द्वारा डेटा की मात्रा, संवेदनशीलता, राष्ट्रीय सुरक्षा व SDF वर्गीकरण (विशिष्ट भारतीय नवाचार) - धारा 10) सार्वजनिक व्यवस्था के आधार पर अधिसूचित संस्थाएं। दायित्व: भारत में स्थित DPO की नियुक्ति, स्वतंत्र डेटा ऑडिटर, तथा आवधिक डेटा संरक्षण प्रभाव मूल्यांकन (DPIA)।

4. सहमति, वैध उपयोग एवं बच्चों का संरक्षण (Consent, Legitimate Uses & Children)

(A) सहमति की कें द्रीयता एवं सूचना नोटिस (Consent & Notice - धारा 5 व 6) वैध सहमति के तत्व: सहमति स्वतंत्र (Free), विशिष्ट (Specific), सूचित (Informed), बिना शर्त (Unconditional) और स्पष्ट सकारात्मक कार्य (Clear Affirmative Action) द्वारा दी गई होनी चाहिए। पहले से टिक किए गए बॉक्स (Pre-ticked boxes) अवैध हैं। सहमति पूर्व नोटिस (Notice): डेटा फिड्यूशरी को डेटा मांगने से पूर्व सरल व स्पष्ट भाषा में (संविधान की 8वीं अनुसूची की 22 भाषाओं में विकल्प सहित) बताना होगा कि कौन-सा डेटा लिया जा रहा है और उसका सटीक उद्देश्य क्या है।

सहमति वापसी का अधिकार: डेटा प्रिंसिपल को किसी भी समय अपनी सहमति वापस लेने का उतना ही सुगम अधिकार है जितना सहमति देने का था। (B) 'वैध उपयोग' (Certain Legitimate Uses - धारा 7) अधिनियम पूर्ववर्ती ड्राफ्ट के 'डीम्ड कं सेंट' को समाप्त कर विशिष्ट 'वैध उपयोग' निर्धारित करता है, जहां बिना पूर्व सहमति डेटा प्रोसेस किया जा सकता है: 1. व्यक्ति द्वारा स्वेच्छा से डेटा प्रदान करना (उदा. मॉल में बिलिंग हेतु फोन नंबर देना)। 2. राज्य द्वारा कोई सब्सिडी, लाभ, सेवा, प्रमाण पत्र या लाइसेंस प्रदान करने हेतु।

3. राष्ट्रीय सुरक्षा, भारत की संप्रभुता या कानून प्रवर्तन के कार्यों हेतु। 4. चिकित्सा आपातकाल, जीवन को खतरा, महामारी या प्राकृ तिक आपदा के समय तात्कालिक सहायता। 5. अदालती आदेश या किसी कानून के अनुपालन हेतु। (C) बच्चों के डेटा का विशेष संरक्षण (Protection of Children - धारा 9) 18 वर्ष से कम आयु के किसी भी बच्चे का डेटा प्रोसेस करने से पूर्व सत्यापन योग्य पैतृक सहमति (Verifiable Parental Consent) अनिवार्य है।

बच्चों के डेटा का ऐसा कोई प्रसंस्करण पूर्णतः प्रतिबंधित है जिसका उनके कल्याण पर प्रतिकू ल या हानिकारक प्रभाव (Detrimental effect) पड़ता हो। बच्चों की व्यवहारिक निगरानी (Behavioral Monitoring), ट्रैकिंग और उन्हें लक्षित करने वाले विज्ञापनों (Targeted Advertising) पर पूर्ण प्रतिबंध लगाया गया है।

5. अधिकार, सीमा-पार डेटा हस्तांतरण एवं DPBI नियामक ढांचा (Rights, Transfer & DPBI)

(A) डेटा प्रिंसिपल के अधिकार एवं कर्तव्य (धारा 11 से 15) अधिकार: (1) प्रसंस्कृ त डेटा और तीसरे पक्षों के साथ साझाकरण की जानकारी पाने का अधिकार; (2) डेटा संशोधन और मिटाने (Correction & Erasure / भूलने का अधिकार - Right to be Forgotten); (3) शिकायत निवारण का अधिकार; तथा (4) मृत्यु या अक्षमता की स्थिति में अपने अधिकार किसी अन्य व्यक्ति को नामांकित (Nominate) करने का अधिकार। कर्तव्य (Duties - धारा 15): झूठी या तुच्छ शिकायतें दर्ज न करना, पहचान न छिपाना, तथा झूठे दस्तावेज प्रस्तुत न करना। उल्लंघन पर ₹10,000 तक का जुर्माना। (B) सीमा-पार डेटा हस्तांतरण (Cross-border Transfer - धारा 16 - ब्लैकलिस्टिंग मॉडल) 2018 व 2019 के कठोर 'डेटा स्थानीयकरण' (Data Localization) को समाप्त कर 2023 अधिनियम ने 'ब्लैकलिस्टिंग / नेगेटिव लिस्ट मॉडल' अपनाया है। कें द्र सरकार उन देशों की सूची अधिसूचित कर सकती है जहाँ डेटा हस्तांतरण प्रतिबंधित होगा; शेष सभी देशों में व्यापारिक सुगमता हेतु डेटा ट्रांसफर की सामान्य अनुमति होगी।

(C) भारतीय डेटा संरक्षण बोर्ड (Data Protection Board of India - DPBI - धारा 18 से 28)

पहलू वैधानिक प्रावधान एवं कार्यप्रणाली संस्थागत महत्व

स्वरूप एवं संरचना (धारा 18 व • कें द्र सरकार द्वारा नियुक्त अध्यक्ष एवं सदस्य (विधि, डेटा गवर्नेंस, भारत का पहला पूर्णतः डिजिटल अर्ध-न्यायिक 19) प्रशासन विशेषज्ञ)। न्यायाधिकरण। • डिजिटल-बाय-डिजाइन (Digital-by-Design): शिकायतों की प्राप्ति, साक्ष्य प्रस्तुति और सुनवाई मुख्यतः डिजिटल माध्यम से।

शक्तियां एवं कार्य (धारा 27 व 28) • डेटा उल्लंघनों की जांच करना, अंतरिम आदेश देना और भारी वित्तीय डेटा उल्लंघनों पर तात्कालिक उपचारात्मक जुर्माना लगाना। कार्रवाई। • दीवानी अदालत (Civil Court) की शक्तियां (समन, गवाही, दस्तावेजी साक्ष्य)।

अपीलीय ढांचा (धारा 29) • DPBI के किसी भी आदेश के विरुद्ध अपील टीडीसैट (TDSAT) में विशेषज्ञ अपीलीय मंच द्वारा उच्च न्यायालयों होगी (60 दिनों में)। का भार कम करना। • TDSAT के निर्णय के विरुद्ध अपील सीधे सर्वोच्च न्यायालय में होगी।

6. कठोर वित्तीय दंड एवं RTI अधिनियम में संशोधन (Penalties & RTI Conflict)

(A) कठोर वित्तीय दंड व्यवस्था (Financial Penalties - धारा 33 व अनुसूची) अधिनियम में कोई आपराधिक या जेल का प्रावधान नहीं है; इसके स्थान पर कठोर सिविल वित्तीय दंड निर्धारित किए गए हैं: डेटा सुरक्षा उपायों में विफलता (Data breach failure): ₹250 करोड़ तक। बच्चों के डेटा संरक्षण प्रावधानों (धारा 9) का उल्लंघन: ₹200 करोड़ तक। डेटा उल्लंघन की सूचना DPBI और प्रभावित उपयोगकर्ताओं को न देना: ₹200 करोड़ तक। महत्वपूर्ण डेटा फिड्यूशरी (SDF) द्वारा अतिरिक्त दायित्वों का उल्लंघन: ₹150 करोड़ तक।

अधिनियम के अन्य सामान्य प्रावधानों का उल्लंघन: ₹50 करोड़ तक। (B) सूचना का अधिकार अधिनियम, 2005 पर प्रभाव (Section 44(3) Amendment) DPDP Act की धारा 44(3) द्वारा सूचना का अधिकार अधिनियम, 2005 की धारा 8(1)(j) में ऐतिहासिक संशोधन किया गया है: पूर्ववर्ती स्थिति (RTI 2005): व्यक्तिगत सूचना तब रोकी जा सकती थी जब उसका लोक-हित से कोई संबंध न हो; किंतु यदि जन सूचना अधिकारी (PIO) संतुष्ट हो कि 'व्यापक लोक हित' (Larger Public Interest) व्यक्तिगत निजता से अधिक महत्वपूर्ण है, तो सूचना दी जा सकती थी।

नवीनतम संशोधन (DPDP 2023): धारा 8(1)(j) से 'व्यापक लोक हित' वाले अपवाद को हटाकर सभी व्यक्तिगत सूचनाओं को आरटीआई के प्रकटीकरण से पूर्णतः छू ट दे दी गई है। नागरिक समाज और पारदर्शिता कार्यकर्ताओं ने इसे भ्रष्टाचार-रोधी जांच और शासनिक पारदर्शिता पर गंभीर आघात माना है।

7. संरचनात्मक कमियां, आलोचनाएं एवं विधिक विमर्श (Bottlenecks & Criticisms)

1. राज्य एजेंसियों को अत्यधिक व्यापक छू ट (Broad State Exemptions - धारा 17): संप्रभुता, अखंडता, सुरक्षा और लोक व्यवस्था के आधार पर सरकार किसी भी सरकारी एजेंसी को अधिनियम के अधिकांश प्रावधानों से छू ट दे सकती है। आलोचकों के अनुसार यह पुट्टास्वामी निर्णय के 'आनुपातिकता परीक्षण' (Proportionality Test) का उल्लंघन करता है और अनियंत्रित राज्य निगरानी (State Surveillance) को बढ़ावा देता है। 2. DPBI की स्वतंत्रता पर प्रश्नचिह्न: बोर्ड के अध्यक्ष और सदस्यों का चयन, वेतन और पदमुक्ति पूर्णतः कें द्र सरकार के हाथ में है।

चुनाव आयोग या सीएजी की भांति इसमें कोई स्वतंत्र कॉलेजियम (CJI या विपक्ष के नेता) नहीं है, जिससे इसके कार्यपालिका-प्रभावित होने की आशंका है। 3. 18 वर्ष आयु सीमा की अव्यावहारिकता: वैश्विक स्तर पर GDPR (13-16 वर्ष) और COPPA (अमेरिका - 13 वर्ष) के विपरीत भारत में 18 वर्ष तक माता-पिता की सहमति अनिवार्य की गई है, जो किशोरों की डिजिटल स्वायत्तता और शैक्षणिक पहुंच को बाधित कर सकती है।

4. डेटा पोर्टेबिलिटी और गैर-डिजिटल डेटा का अभाव: उपयोगकर्ताओं को एक प्लेटफॉर्म से दूसरे प्लेटफॉर्म पर डेटा ले जाने (Right to Data Portability) का अधिकार नहीं दिया गया है।

8. बिहार का परिप्रेक्ष्य एवं डिजिटल सुरक्षा अभिशासन (BPSC Special Focus)

बिहार में प्रत्यक्ष लाभ अंतरण (DBT) और डिजिटल गवर्नेंस के तीव्र विस्तार के साथ करोड़ों नागरिकों का संवेदनशील व्यक्तिगत डेटा सरकारी और निजी सर्वरों में संग्रहित है। DPDP Act 2023 के आलोक में राज्य का परिदृश्य निम्नलिखित है:

डिजिटल क्षेत्र वर्तमान स्थिति एवं डेटा संग्रह का पैमाना DPDP Act के तहत चुनौतियां एवं उत्तरदायित्व 1. कल्याणकारी योजनाएं एवं • 'सात निश्चय योजना', 'मुख्यमंत्री कन्या उत्थान योजना', • धारा 7 (वैध उपयोग) के तहत सरकार को बिना डीबीटी (DBT) 'वृद्धावस्था पेंशन', तथा 1.75 करोड़ राशन कार्ड धारकों का अलग सहमति के डेटा उपयोग की छू ट, किंतु डेटा आधार-सीडेड व्यक्तिगत डेटा। सुरक्षा में विफलता पर भारी हर्जाने का जोखिम। • जीविका मिशन: 1 करोड़ से अधिक महिलाओं का वित्तीय • डेटा लीक रोकने हेतु सरकारी सर्वरों का सुदृढ़ीकरण और बैंकिंग डेटा। अनिवार्य।

2. भूमि सुधार एवं राजस्व • 'बिहार भूमि' पोर्टल द्वारा जमाबंदी, दाखिल-खारिज और • भूमि अभिलेखों में व्यक्तिगत विवरणों की सुरक्षा और डिजिटलीकरण कै डस्ट्रल नक्शों का डिजिटलीकरण। साइबर सेंधमारी से रक्षा। • संपत्ति स्वामियों के आधार, पैन और पारिवारिक वंशावली डेटा का एकीकरण।

3. साइबर अपराध सिंडिके ट एवं • बिहार के कई जिले (नवादा, शेखपुरा, नालंदा) ऑनलाइन • आर्थिक अपराध इकाई (EOU, बिहार पुलिस) द्वारा नवादा/नालंदा हॉटस्पॉट वित्तीय धोखाधड़ी और डेटा चोरी के कु ख्यात कें द्र बनकर उभरे विशेष साइबर विंग की स्थापना। हैं। • डेटा फिड्यूशरी के रूप में स्थानीय बैंकों व फिनटेक • टेलीकॉम सिम विक्रेताओं और फिनटेक एजेंटों द्वारा व्यक्तिगत कं पनियों पर ₹250 करोड़ तक के जुर्माने का डर। डेटा की अवैध खरीद-बिक्री।

4. राज्य डेटा कें द्र (State Data • पटना स्थित बेल्ट्रॉन (BELTRON) द्वारा प्रबंधित बिहार स्टेट • 'महत्वपूर्ण डेटा फिड्यूशरी' (SDF) के मानकों के Centre - SDC) डेटा सेंटर में समस्त राज्य विभागों का डेटा होस्टिंग। अनुरूप स्वतंत्र डेटा सुरक्षा ऑडिट और DPO की नियुक्ति अनिवार्य।

प्रारंभिक परीक्षा : 10 वस्तुनिष्ठ अभ्यास प्रश्न एवं व्याख्या

प्रत्येक प्रश्न का विकल्प चुनने पर उत्तर तथा विस्तृत स्पष्टीकरण देखें। ये अभ्यास प्रश्न हैं, पूर्व वर्षों के वास्तविक प्रश्न नहीं।

मुख्य परीक्षा : उत्तर-लेखन अभ्यास

अभ्यास प्रश्न 1: डिजिटल निजता और सरकारी पारदर्शिता के संतुलन में DPDP अधिनियम और RTI संशोधन के प्रभाव का मूल्यांकन कीजिए। (15 अंक, 250 शब्द)

अभ्यास प्रश्न 2: भारत की चरणबद्ध डेटा संरक्षण व्यवस्था में नागरिकों, कंपनियों और राज्य संस्थाओं के दायित्वों का परीक्षण कीजिए। (10 अंक, 150 शब्द)

विधिक एवं सरकारी स्रोत

• इलेक्ट्रॉनिक्स एवं सूचना प्रौद्योगिकी मंत्रालय: DPDP नियम और प्रवर्तन
• DPDP नियम 2025: सरकारी राजपत्र