DPDP Act और DPDP Rules, 2025 किसी भारतीय बिज़नेस से क्या माँगते हैं?
लेखक Ajaj Mohammad Qureshi · प्रकाशित · 7 मिनट में पढ़ें
कानूनी, टैक्स या निवेश सलाह नहीं।
Digital Personal Data Protection Act, 2023 तय करता है कि भारत में बिज़नेस डिजिटल निजी डेटा को कैसे संभालें। इसके Rules 13 नवंबर 2025 के गज़ट में प्रकाशित हुए और तीन चरणों में लागू होते हैं: Data Protection Board तुरंत, consent managers एक साल बाद, और मुख्य ज़िम्मेदारियाँ — नोटिस, सहमति, सुरक्षा, ब्रीच रिपोर्ट — अठारह महीने बाद, मई 2027 में। भारत के बाहर के लोगों का डेटा, जो किसी विदेशी क्लाइंट के साथ कॉन्ट्रैक्ट के तहत प्रोसेस होता है, काफ़ी हद तक छूट में है, लेकिन सुरक्षा की ज़िम्मेदारियाँ फिर भी लागू रहती हैं।
भारतीय निर्यातक या फ्रीलांसर हैं? Payzoplus आपको विदेश से भुगतान रुपये में दिलाता है।मुफ़्त अकाउंट खोलें →
इस पेज पर
DPDP Act क्या है, और क्या यह आप पर लागू होता है?
Digital Personal Data Protection Act, 2023 को 11 अगस्त 2023 को राष्ट्रपति की मंज़ूरी मिली। यह भारत में डिजिटल निजी डेटा की प्रोसेसिंग पर लागू होता है — डिजिटल रूप में जुटाया गया डेटा, या काग़ज़ पर जुटाकर बाद में डिजिटल किया गया डेटा। यह भारत के बाहर होने वाली प्रोसेसिंग पर भी लागू होता है जब वह भारत में लोगों को सामान या सेवा देने से जुड़ी हो। कोई व्यक्ति जो निजी डेटा पूरी तरह निजी या घरेलू कामों के लिए संभालता है, वह इसके बाहर है।
Act की भाषा में, जो बिज़नेस तय करता है कि डेटा क्यों और कैसे प्रोसेस होगा, वह Data Fiduciary है; जिस व्यक्ति का डेटा है, वह Data Principal है; जो कोई fiduciary की ओर से उसे प्रोसेस करता है — क्लाउड होस्ट, पेरोल फ़र्म, CRM — वह Data Processor है। ग्राहक, कर्मचारी या लीड वाला लगभग हर बिज़नेस किसी न किसी डेटा के लिए data fiduciary है।
DPDP Rules कब से लागू होते हैं?
Digital Personal Data Protection Rules, 2025 भारत के 13 नवंबर 2025 के गज़ट में G.S.R. 846(E) के रूप में प्रकाशित हुए। सरकार का अपना बैकग्राउंडर (PIB, 17 नवंबर 2025) बताता है कि 6,915 परामर्श सुझावों के बाद इन्हें 14 नवंबर 2025 को अधिसूचित किया गया। Rule 1 तीन तारीखें तय करता है, हर एक प्रकाशन से गिनी जाती है:
DPDP Rules कैसे चरणों में लागू होते हैं
11 अगस्त 2023
DPDP Act बना
राष्ट्रपति की मंज़ूरी
13 नवंबर 2025
Rules प्रकाशित; Board के प्रावधान लागू
Rules 1, 2 और 17–21: परिभाषाएँ और Data Protection Board
नवंबर 2026
एक साल: consent managers
Rule 4 — Consent Managers का रजिस्ट्रेशन और ज़िम्मेदारियाँ
मई 2027
अठारह महीने: मुख्य ज़िम्मेदारियाँ
Rules 3 और 5–16, 22, 23 — नोटिस, सुरक्षा, ब्रीच की सूचना, डेटा रखने की अवधि, बच्चों का डेटा, अधिकार
मई 2027 तक आपको क्या करना होगा?
| ज़िम्मेदारी | Rules क्या कहते हैं | व्यवहार में |
|---|---|---|
| नोटिस (rule 3) | ऐसा नोटिस जो अपने-आप में समझ आए, डेटा के मदवार विवरण और खास मकसद के साथ, और यह बताए कि सहमति कैसे वापस लें, अधिकारों का इस्तेमाल कैसे करें और Board से शिकायत कैसे करें | हर साइन-अप या फ़ॉर्म पर एक साफ़ नोटिस, लंबी प्राइवेसी पॉलिसी का लिंक नहीं |
| सहमति | स्वतंत्र, खास, जानकारी के साथ, बिना शर्त और स्पष्ट; वापस लेना उतना ही आसान जितना देना | बिना टिक किए बॉक्स; काम करने वाला “वापस लें” रास्ता |
| सुरक्षा (rule 6) | उचित सुरक्षा उपाय, कम से कम एन्क्रिप्शन, मास्किंग या टोकन; एक्सेस नियंत्रण; लॉग और निगरानी; बैकअप; हर processor के साथ कॉन्ट्रैक्ट | एन्क्रिप्शन और 2FA चालू करें, क्लाइंट डेटा कौन देखे इसे सीमित करें, वेंडरों के साथ डेटा शर्तें साइन करें |
| ब्रीच की सूचना (rule 7) | हर प्रभावित व्यक्ति को बिना देर बताएँ; Board को बिना देर बताएँ, और 72 घंटे के भीतर विस्तृत रिपोर्ट दें | लिखित इंसिडेंट प्लान, हर कदम के सामने नाम के साथ |
| डेटा रखना (rule 8) | मकसद पूरा होते ही डेटा मिटाएँ, जब तक कोई कानून उसे रखना ज़रूरी न करे; प्रोसेसिंग लॉग कम से कम एक साल रखें | हर तरह के डेटा के लिए रखने की अवधि की सूची |
| संपर्क व्यक्ति (rule 9) | ऐसे व्यक्ति का बिज़नेस संपर्क प्रकाशित करें जो प्रोसेसिंग के सवालों का जवाब दे सके | वेबसाइट पर नामित प्राइवेसी संपर्क |
| अधिकार | एक्सेस, सुधार, अपडेट और मिटाना, और किसी को अपनी ओर से काम करने के लिए नामित करना; अनुरोधों का जवाब 90 दिन के भीतर | एक आसान अनुरोध फ़ॉर्म और जवाबों का लॉग |
| बच्चे | माता-पिता या अभिभावक की सत्यापन-योग्य सहमति, सीमित अपवादों के साथ | अगर बच्चे आपकी सेवा इस्तेमाल कर सकते हैं तो उम्र की जाँच |
ब्रीच की सूचना कैसे काम करती है?
Rule 7 के दो श्रोता हैं। प्रभावित लोगों को संक्षिप्त, साफ़ और आसान भाषा में, बिना देर बताना होता है कि क्या हुआ, उन पर इसके संभावित नतीजे क्या हैं, आप इसके बारे में क्या कर रहे हैं, वे खुद को बचाने के लिए क्या कर सकते हैं, और किससे संपर्क करें। Data Protection Board को बिना देर ब्रीच का विवरण मिलना चाहिए, और फिर, आपको पता चलने के 72 घंटे के भीतर (या लिखित अनुरोध पर Board जितनी लंबी अवधि दे), एक विस्तृत रिपोर्ट: तथ्य और कारण, नुकसान कम करने के कदम, यह किसने किया इसके बारे में कोई निष्कर्ष, दोबारा न हो इसके कदम, और प्रभावित लोगों को भेजे संदेशों की रिपोर्ट।
rule 7 के तहत ब्रीच पर कार्रवाई
- 1
रोकें
लीक रोकें: एक्सेस हटाएँ, पासवर्ड और keys बदलें, सिस्टम को अलग करें।
- 2
Board को बताएँ
बिना देर विवरण: प्रकृति, दायरा, समय, जगह, संभावित असर।
- 3
प्रभावित लोगों को बताएँ
बिना देर, आसान भाषा में, यह बताते हुए कि उन्हें क्या करना चाहिए और किससे संपर्क करें।
- 4
72 घंटे में विस्तृत रिपोर्ट
कारण, नुकसान कम करने के कदम, पता हो तो किसने किया, रोकथाम, और भेजी गई सूचनाओं की रिपोर्ट।
- 5
ठीक करें और दर्ज करें
कारण दूर करें और लॉग रखें; Rules इन्हें रखने को कहते हैं।
क्या सिर्फ़ विदेशी क्लाइंट वाले एक्सपोर्टरों को छूट है?
आंशिक रूप से। Act का section 17(1)(d) Chapter II (fiduciary की ज़िम्मेदारियाँ) का ज़्यादातर हिस्सा, पूरा Chapter III (व्यक्ति के अधिकार) और section 16 (विदेश में ट्रांसफ़र) वहाँ बंद कर देता है जहाँ भारत में स्थित कोई व्यक्ति, भारत के बाहर के किसी व्यक्ति के साथ कॉन्ट्रैक्ट के तहत, भारत में न रहने वाले लोगों का निजी डेटा प्रोसेस करता है। किसी विदेशी क्लाइंट के ग्राहक डेटा को संभालने वाली भारतीय BPO, IT या डिज़ाइन फ़र्म की आम स्थिति यही है।
तब भी दो ज़िम्मेदारियाँ बनी रहती हैं: section 8(1), कि नियमों के पालन की ज़िम्मेदारी fiduciary की है, और section 8(5), ब्रीच रोकने के लिए उचित सुरक्षा उपाय। सुरक्षा उपायों में चूक पर Act का सबसे बड़ा जुर्माना है। और छूट सिर्फ़ उसी डेटा पर है। आपके भारतीय कर्मचारी, भारतीय क्लाइंट, भारत में वेबसाइट विज़िटर और भारत में जुटाई गई कोई भी लीड पूरी तरह इसके दायरे में हैं। आपका विदेशी क्लाइंट कॉन्ट्रैक्ट के ज़रिए आपसे अपने कानून, जैसे EU के GDPR, का पालन भी करवा सकता है।
जुर्माने क्या हैं?
| किसका उल्लंघन | अधिकतम जुर्माना |
|---|---|
| उचित सुरक्षा उपाय (section 8(5)) | ₹250 करोड़ |
| Board या प्रभावित लोगों को ब्रीच की सूचना देना (section 8(6)) | ₹200 करोड़ |
| बच्चों से जुड़ी अतिरिक्त ज़िम्मेदारियाँ (section 9) | ₹200 करोड़ |
| fiduciary द्वारा Act या Rules का कोई अन्य प्रावधान | ₹50 करोड़ |
ये Act की अनुसूची में दी गई अधिकतम राशियाँ हैं। हर मामले में राशि Board तय करता है, Act में गिनाए कारकों को ध्यान में रखकर, जैसे उल्लंघन की प्रकृति, गंभीरता और अवधि।
छोटे बिज़नेस के लिए छोटी चेकलिस्ट
- अपने डेटा का नक्शा बनाएँ। आपके पास कौन-सा निजी डेटा है, किसके बारे में, कहाँ रखा है, और कौन-से वेंडर उसे छूते हैं।
- भारतीय और विदेशी डेटा अलग करें। जानें कि section 17(1)(d) की छूट किस डेटा पर है और किस पर नहीं।
- नोटिस और फ़ॉर्म दोबारा लिखें rule 3 के मानक के हिसाब से, मई 2027 से पहले।
- processor शर्तें साइन करें हर उस वेंडर के साथ जो आपके लिए निजी डेटा रखता है।
- ब्रीच प्लान लिखें जो 72 घंटे की रिपोर्ट पूरी कर सके।
- डेटा रखने की अवधि तय करें, टैक्स, GST और FEMA रिकॉर्ड के लिए जो ज़रूरी है वह रखें, और बाकी तय समय पर मिटाएँ।
- एक संपर्क व्यक्ति नामित करें और उसे प्रकाशित करें।
पेमेंट रिकॉर्ड ऐसा मामला है जहाँ दूसरे कानून आपसे डेटा रखवाते हैं: इनवॉइस, रेमिटेंस एडवाइस और GST रिकॉर्ड की अपनी रखने की अवधि है, और rule 8 किसी दूसरे कानून के पालन के लिए ज़रूरी डेटा रखने की अनुमति देता है।
Payzoplus आपकी कैसे मदद करता है
Payzoplus आपकी निर्यात कागज़ी कार्यवाही कैसे व्यवस्थित रखता है
- पर्पज़ कोड इनवॉइस बनाते समय ही जाँचा जाता है, बाद में बैंक पर पता नहीं चलता।
- हर सेटलमेंट के लिए बैंक का FIRA, साथ में हमारी रेमिटेंस एडवाइस: इनवॉइस, भेजने वाला, पर्पज़ कोड और रेट।
- हर भुगतान उसे भेजने वाले ग्राहक से पहले से मिला हुआ आता है, इसलिए मिलान एक कदम है, खोजबीन नहीं।
- पैसा हमारे RBI-अधिकृत भुगतान भागीदार के पास रहता है और आपके बैंक में सेटल होता है, कभी हमारे पास नहीं।
कोई सेटअप फ़ीस नहीं · कोई मासिक फ़ीस नहीं · वेरिफ़िकेशन आमतौर पर एक कामकाजी दिन में
अक्सर पूछे जाने वाले सवाल
DPDP Rules कब अधिसूचित हुए?
ये भारत के 13 नवंबर 2025 के गज़ट में G.S.R. 846(E) के रूप में प्रकाशित हुए; PIB का बैकग्राउंडर अधिसूचना की तारीख 14 नवंबर 2025 बताता है। ये अठारह महीनों में चरणों में लागू होते हैं।
सहमति और ब्रीच की सूचना जैसी DPDP ज़िम्मेदारियाँ कब शुरू होती हैं?
Rules के प्रकाशन के अठारह महीने बाद, मई 2027 में। Consent Managers पर Rule 4 एक साल बाद, नवंबर 2026 में लागू होता है। Data Protection Board के प्रावधान प्रकाशन से ही लागू हो गए।
DPDP में ब्रीच की सूचना की समय-सीमा क्या है?
प्रभावित लोगों और Data Protection Board को बिना देर बताएँ, फिर ब्रीच का पता चलने के 72 घंटे के भीतर Board को विस्तृत रिपोर्ट भेजें, जब तक Board लिखित अनुरोध पर ज़्यादा समय न दे।
क्या DPDP Act विदेशी क्लाइंट का ग्राहक डेटा प्रोसेस करने वाली भारतीय कंपनी पर लागू होता है?
ज़्यादातर नहीं। Section 17(1)(d) भारत के बाहर के किसी व्यक्ति के साथ कॉन्ट्रैक्ट के तहत भारत के बाहर के लोगों के डेटा की प्रोसेसिंग को छूट देता है, सिवाय नियमों के पालन की ज़िम्मेदारी और उचित सुरक्षा उपाय रखने की ज़िम्मेदारियों के।
स्रोत
इस लेख को 30 अक्टूबर 2026 को इन मूल स्रोतों से जाँचा गया।
- MeitY — Digital Personal Data Protection Rules, 2025, G.S.R. 846(E), Gazette of India dated 13 November 2025
- MeitY — The Digital Personal Data Protection Act, 2023 (No. 22 of 2023)
- PIB — DPDP Rules, 2025 Notified: backgrounder, 17 November 2025
- eGazette — Digital Personal Data Protection Rules, 2025 (Gazette of India, Extraordinary)
यह सामान्य जानकारी है, टैक्स, कानूनी या निवेश सलाह नहीं। नियम और प्रोडक्ट बदलते रहते हैं: अपने व्यवसाय के लिए विवरण अपने CA, बैंक या नियामक से पक्का करें।
यह लेख कितना काम का लगा?
सबसे पहले रेटिंग दें।
टिप्पणियाँ
विनम्र रहें और विषय पर बात करें। लिंक या संपर्क जानकारी वाली टिप्पणियाँ दिखने से पहले जाँची जाती हैं।