व्यक्तिगत डेटा सुरक्षा के नए नियम लागू, 200 करोड़ तक जुर्माने का प्रावधान

भारत की डिजिटल अर्थव्यवस्था में पारदर्शिता, जवाबदेही और नागरिक अधिकारों को मजबूत करने के उद्देश्य से डिजिटल पर्सनल डेटा प्रोटेक्शन (डीपीडीपी) नियम लागू कर दिए गए हैं। इन नियमों का मुख्य लक्ष्य नागरिकों को उनके व्यक्तिगत डेटा पर अधिक नियंत्रण प्रदान करना है, साथ ही कंपनियों के लिए डेटा एकत्र करने, उसका उपयोग करने और उसकी सुरक्षा को लेकर सख्त दिशा-निर्देश निर्धारित करना है।

ये नियम डीपीडीपी अधिनियम के तहत उप-नियमों के प्रावधानों को स्पष्ट करते हैं, जो बताते हैं कि कंपनियों को व्यक्तिगत डेटा को कैसे एकत्र करना है, उसका प्रबंधन कैसे करना है और डेटा के मालिक यानी ‘डेटा प्रिंसिपल’ के अधिकारों की रक्षा कैसे करनी है। वहीं, ‘डेटा फिड्यूशियरी’ वे संस्थाएं होंगी जो डेटा के उपयोग और उसकी प्रोसेसिंग का उद्देश्य तय करेंगी।

नियमों के अनुसार, कंपनियों को उपयोगकर्ताओं से उनकी सहमति लेने से पहले, स्पष्ट, सरल और समझने योग्य भाषा में एक नोटिस देना अनिवार्य होगा। इस नोटिस में यह जानकारी शामिल होनी चाहिए कि कौन सा डेटा लिया जा रहा है, किस उद्देश्य से उसका उपयोग किया जाएगा, शिकायत दर्ज कराने की प्रक्रिया क्या होगी और सहमति वापस लेने की प्रक्रिया कितनी आसान होगी। सहमति वापस लेने की प्रक्रिया उतनी ही सरल होनी चाहिए जितनी आसानी से सहमति दी गई थी।

नए नियमों के तहत ‘कंसेंट मैनेजर’ एक ऐसा मंच होगा जिसके माध्यम से उपयोगकर्ता अपने डेटा प्रोसेसिंग से संबंधित सहमति दे सकेंगे, उसे प्रबंधित कर सकेंगे या वापस ले सकेंगे। यह मंच कंसेंट मैनेजर के पंजीकरण, उसकी जिम्मेदारियों और निरीक्षण की प्रक्रिया को भी स्पष्ट करता है। डेटा प्रोटेक्शन बोर्ड आवश्यकता पड़ने पर इन कंसेंट मैनेजरों के लाइसेंस को निलंबित या रद्द भी कर सकता है।

डेटा की सुरक्षा सुनिश्चित करने के लिए, कंपनियों को एन्क्रिप्शन, एक्सेस कंट्रोल, निगरानी और लॉगिंग, तथा बैकअप जैसे सुरक्षा उपायों को लागू करना होगा। डेटा उल्लंघन की स्थिति में, कंपनियों को प्रभावित उपयोगकर्ताओं को तुरंत इस बारे में सूचित करना होगा कि उल्लंघन क्या था, इसके संभावित जोखिम क्या हैं और उपयोगकर्ताओं को क्या कदम उठाने चाहिए। इसके अतिरिक्त, डेटा प्रोटेक्शन बोर्ड को भी तत्काल सूचना देनी होगी और 72 घंटे के भीतर एक विस्तृत रिपोर्ट प्रस्तुत करनी होगी।

विशेषज्ञों का मानना है कि 200 करोड़ रुपये तक के भारी जुर्मानों का प्रावधान कंपनियों को एक मजबूत घटना प्रतिक्रिया प्रणाली विकसित करने के लिए प्रेरित करेगा। दो करोड़ से अधिक उपयोगकर्ताओं वाले ई-कॉमर्स प्लेटफॉर्म, 50 लाख से अधिक उपयोगकर्ताओं वाले ऑनलाइन गेमिंग प्लेटफॉर्म और बड़े सोशल मीडिया प्लेटफॉर्म को तीन साल की उपयोगकर्ता निष्क्रियता के बाद उनका डेटा मिटाना होगा। हालांकि, डेटा मिटाने से 48 घंटे पहले उपयोगकर्ता को सूचित करना अनिवार्य होगा। सभी कंपनियां डेटा प्रोसेसिंग की तारीख से कम से कम एक वर्ष तक अपने रिकॉर्ड और लॉग को सुरक्षित रखेंगी।