लोकसभा (Loksabha) में डिजिटल पर्सनल डेटा प्रोटेक्शन बिल (Digital Personal Data Protection Bill 2023) सोमवार, 7 अगस्त को पास हो गया. विवाद में घिरे इस बिल में पिछले साल 2022, नवंबर में प्रस्तावित कानून के मूल वर्जन को ही बरकरार रखा गया है. इस बिल पर कई प्राइवेसी एक्सपर्ट्स ने चिंता जताई है, जैसे कि केंद्र सरकार को विशेष छूट मिलना.
सवाल है कि इस बिल में है क्या? इसपर विवाद क्यों हो रहा? चलिए आसान भाषा में आपको बताते हैं.
Digital Personal Data Protection Bill: नये नियम शामिल, क्या है विवाद?- Explained
1. यह बिल किस तरह के डेटा को रेगुलेट करता है?
दरअसल बिल का ड्राफ्ट वर्जन पहली बार नवंबर 2022 में इलेक्ट्रॉनिक्स और सूचना प्रौद्योगिकी मंत्रालय (MEITY) द्वारा जारी किया गया था. इसमें कई दौर के परामर्श हुए, जहां विभिन्न प्रकार के स्टेकहोल्डर्स को मसौदा कानून पर अपनी प्रतिक्रिया देने के लिए अप्रोच किया गया था.
कांग्रेस सांसद गौरव गोगोई, मनीष तिवारी, शशि थरूर, अधीर रंजन चौधरी के साथ-साथ एनसीपी सांसद सुप्रिया सुले, टीएमसी सांसद सौगत रॉय और आरएसपी सांसद एनके प्रेमचंद्रन ने विधेयक को पेश करने का विरोध किया.
डीपीडीपी विधेयक-2023 का नया वर्जन केवल डेटा प्रिंसिपल (यूजर्स) से संबंधित डिजिटल पर्सनल डेटा के प्रोसेसिंग को रेगुलेट करने की शक्ति प्रदान करता है. इसलिए, यह भारतीय यूजर्स के डिजिटल पर्सनल डेटा पर लागू होगा.
Expand2. पर्सनल डेटा को किन परिस्थितियों में प्रोसेस किया जा सकता है?
किसी यूजर के पर्सनल डेटा को तब तक प्रोसेस किया जा सकता है, जब तक यह वैध उद्देश्यों के लिए किया जाता है, जिसके लिए उन्हें अपनी सहमति देने की जरूरत होती है, या कुछ वैध उपयोगों के लिए जैसे कि जब यूजर ने खुद से अपना पर्सनल डेटा, किसी डेटा फिडुशियरी को दिया हो, या जब विधेयक के मुताबिक राज्य से सब्सिडी, लाभ, सेवा, प्रमाणपत्र, लाइसेंस या परमिट के प्रावधान के लिए पर्सनल डेटा की जरूरत होती है.
यूजर के पर्सनल डेटा की प्रोसेसिंग अदालत के आदेश, मेडिकल इमरजेंसी, हेल्थ और आपदा सुरक्षा उपायों और सार्वजनिक व्यवस्था के टूटने की स्थिति में उनकी सहमति के बिना की जा सकती है.
Expand3. यूजर की सहमति के बारे में क्या नियम शामिल हैं?
डेटा फिडुशियरी (या प्लेटफॉर्म) के कई दायित्वों में से एक पर्सनल डेटा की प्रोसेसिंग के लिए यूजर की सहमति प्राप्त करना है, जहां सहमति "फ्री, स्पेसिफिक, जानकारी देकर, बिना शर्त और सकारात्मक कार्रवाई के साथ स्पष्ट" हो सकती है. विधेयक सहमति को वापस लेने की भी अनुमति देता है.
Expand4. यूजर के पास और क्या अधिकार हैं?
डीपीडीपी विधेयक 2023 के तहत, यूजर्स के पास कुछ अधिकार हैं जैसे कि उनके पर्सनल डेटा का सारांश प्राप्त करने का अधिकार, उनके पर्सनल डेटा को सही करने, अपडेट करने या मिटाने का अधिकार, किसी प्लेटफॉर्म पर शिकायत दर्ज करने का अधिकार जैसे कई तरह के अधिकार शामिल हैं.
Expand5. बच्चों के व्यक्तिगत डेटा की प्रोसेसिंग के बारे में क्या?
डीपीडीपी विधेयक 18 साल से कम उम्र के किसी भी व्यक्ति को बच्चे के रूप में काउंट करता है. अगर कोई प्लेटफॉर्म किसी बच्चे के डाटा का उपयोग करता है, तो बच्चे के माता-पिता या कानूनी अभिभावक से सहमति प्राप्त करने की जरूरत होती है. यह प्लेटफॉर्मों को ट्रैकिंग, व्यवहारिक निगरानी या बच्चों को टारगेटेड विज्ञापन दिखाने से भी रोकता है.
Expand6. विधेयक के मुताबिक क्या छूट दी गई है?
विशेष रूप से, डीपीडीपी विधेयक 2023 के प्रावधान, "राज्य के किसी भी साधन" के साथ-साथ कुछ तरह के डेटा फिडुशियरी और संगठनों पर लागू नहीं होते हैं, जो कानून प्रवर्तन या न्यायिक उद्देश्यों के लिए डेटा का उपयोग करते हैं.
Expand7. डेटा उल्लंघन होने पर इसकी जांच कौन करेगा?
डीपीडीपी विधेयक में भारतीय डेटा संरक्षण बोर्ड (DPBI) की स्थापना का प्रस्ताव है, जिसके कार्यों में डेटा उल्लंघनों को रोकने के लिए "तत्काल उपाय" करना और सरकार द्वारा सौंपे गए किसी भी अन्य कार्य को करना शामिल होगा.
अगर उसे लगता है कि कोई मंच DPDP विधेयक के प्रावधानों का उल्लंघन कर रहा है, तो बोर्ड को कुछ मानदंडों के आधार पर आर्थिक जुर्माना लगाने का अधिकार है.
Expand8. क्या यह बिल RTI एक्ट में संशोधन का प्रस्ताव करता है?
हां, डीपीडीपी विधेयक सूचना का अधिकार अधिनियम- 2005 के एक भाग को हटाने का प्रस्ताव करता है, जिसमें लिखा है, "ऐसा डेटा जो व्यक्तिगत जानकारी से संबंधित है, जिसके डिस्क्लोजर का किसी भी पब्लिक एक्टिविटी या हित से कोई संबंध नहीं है, या जो अनुचित आक्रमण का कारण बनेगा." बिल में इसे हटाने का प्रस्ताव शामलि किया गया है.
Expand9. बिल में शामिल किए गए अन्य प्रावधान
यूजर्स के डेटा से निपटने वाली फर्मों को पर्सनल डेटा की सुरक्षा करनी चाहिए, भले ही वह थर्ड पार्टी के डेटा प्रोसेसर के साथ स्टोर हो.
डेटा उल्लंघन के मामले में, कंपनियों को डेटा प्रोटेक्शन बोर्ड (DPB) और यूजर्स, बच्चों और दिव्यांग व्यक्तियों के डेटा को प्रोसेस करने से पहले अभिभावकों से बात करनी होगी.
फर्मों को एक डेटा प्रोटेक्शन ऑफिसर नियुक्त करना होगा और यूजर्स को इसकी डीटेल देनी होगी.
केंद्र के पास भारत के बाहर किसी भी देश या क्षेत्र में पर्सनल डेटा के ट्रांसफर को प्रतिबंधित करने की शक्ति होगी.
डीपीबी के फैसलों के खिलाफ की गई अपील दूरसंचार विवाद निपटान और अपीलीय ट्रिब्यूनल (Telecom Disputes Settlement and Appellate Tribunal) के द्वारा सुनी जाएगी.
DPB शपथ के तहत लोगों को बुला सकता है, उनकी जांच कर सकता है, पर्सनल डेटा के साथ काम करने वाली कंपनियों की पुस्तकों और दस्तावेजों की जांच कर सकता है.
उल्लंघन की प्रकृति और गंभीरता, प्रभावित व्यक्तिगत डेटा के प्रकार पर जांच करने के बाद डीपीबी सजा से संबंधित फैसले ले सकता है.
डीपीबी सरकार को किसी मध्यस्थ तक पहुंच को अवरुद्ध करने की सलाह दे सकता है. अगर DPDP बिल प्रावधानों का दो बार से अधिक उल्लंघन किया जाता है, तो डेटा उल्लंघन, पर्सनल डेटा की सुरक्षा करने में फेल या DPB और यूजर्स को उल्लंघन के बारे में सूचित करने में विफलता के लिए 250 करोड़ रुपये तक का जुर्माना हो सकता है.
(क्विंट हिन्दी, हर मुद्दे पर बनता आपकी आवाज, करता है सवाल. आज ही मेंबर बनें और हमारी पत्रकारिता को आकार देने में सक्रिय भूमिका निभाएं.)
Expand
दरअसल बिल का ड्राफ्ट वर्जन पहली बार नवंबर 2022 में इलेक्ट्रॉनिक्स और सूचना प्रौद्योगिकी मंत्रालय (MEITY) द्वारा जारी किया गया था. इसमें कई दौर के परामर्श हुए, जहां विभिन्न प्रकार के स्टेकहोल्डर्स को मसौदा कानून पर अपनी प्रतिक्रिया देने के लिए अप्रोच किया गया था.
कांग्रेस सांसद गौरव गोगोई, मनीष तिवारी, शशि थरूर, अधीर रंजन चौधरी के साथ-साथ एनसीपी सांसद सुप्रिया सुले, टीएमसी सांसद सौगत रॉय और आरएसपी सांसद एनके प्रेमचंद्रन ने विधेयक को पेश करने का विरोध किया.
यह बिल किस तरह के डेटा को रेगुलेट करता है?
डीपीडीपी विधेयक-2023 का नया वर्जन केवल डेटा प्रिंसिपल (यूजर्स) से संबंधित डिजिटल पर्सनल डेटा के प्रोसेसिंग को रेगुलेट करने की शक्ति प्रदान करता है. इसलिए, यह भारतीय यूजर्स के डिजिटल पर्सनल डेटा पर लागू होगा.
पर्सनल डेटा को किन परिस्थितियों में प्रोसेस किया जा सकता है?
किसी यूजर के पर्सनल डेटा को तब तक प्रोसेस किया जा सकता है, जब तक यह वैध उद्देश्यों के लिए किया जाता है, जिसके लिए उन्हें अपनी सहमति देने की जरूरत होती है, या कुछ वैध उपयोगों के लिए जैसे कि जब यूजर ने खुद से अपना पर्सनल डेटा, किसी डेटा फिडुशियरी को दिया हो, या जब विधेयक के मुताबिक राज्य से सब्सिडी, लाभ, सेवा, प्रमाणपत्र, लाइसेंस या परमिट के प्रावधान के लिए पर्सनल डेटा की जरूरत होती है.
यूजर के पर्सनल डेटा की प्रोसेसिंग अदालत के आदेश, मेडिकल इमरजेंसी, हेल्थ और आपदा सुरक्षा उपायों और सार्वजनिक व्यवस्था के टूटने की स्थिति में उनकी सहमति के बिना की जा सकती है.
यूजर की सहमति के बारे में क्या नियम शामिल हैं?
डेटा फिडुशियरी (या प्लेटफॉर्म) के कई दायित्वों में से एक पर्सनल डेटा की प्रोसेसिंग के लिए यूजर की सहमति प्राप्त करना है, जहां सहमति "फ्री, स्पेसिफिक, जानकारी देकर, बिना शर्त और सकारात्मक कार्रवाई के साथ स्पष्ट" हो सकती है. विधेयक सहमति को वापस लेने की भी अनुमति देता है.
यूजर के पास और क्या अधिकार हैं?
डीपीडीपी विधेयक 2023 के तहत, यूजर्स के पास कुछ अधिकार हैं जैसे कि उनके पर्सनल डेटा का सारांश प्राप्त करने का अधिकार, उनके पर्सनल डेटा को सही करने, अपडेट करने या मिटाने का अधिकार, किसी प्लेटफॉर्म पर शिकायत दर्ज करने का अधिकार जैसे कई तरह के अधिकार शामिल हैं.
बच्चों के व्यक्तिगत डेटा की प्रोसेसिंग के बारे में क्या?
डीपीडीपी विधेयक 18 साल से कम उम्र के किसी भी व्यक्ति को बच्चे के रूप में काउंट करता है. अगर कोई प्लेटफॉर्म किसी बच्चे के डाटा का उपयोग करता है, तो बच्चे के माता-पिता या कानूनी अभिभावक से सहमति प्राप्त करने की जरूरत होती है. यह प्लेटफॉर्मों को ट्रैकिंग, व्यवहारिक निगरानी या बच्चों को टारगेटेड विज्ञापन दिखाने से भी रोकता है.
विधेयक के मुताबिक क्या छूट दी गई है?
विशेष रूप से, डीपीडीपी विधेयक 2023 के प्रावधान, "राज्य के किसी भी साधन" के साथ-साथ कुछ तरह के डेटा फिडुशियरी और संगठनों पर लागू नहीं होते हैं, जो कानून प्रवर्तन या न्यायिक उद्देश्यों के लिए डेटा का उपयोग करते हैं.
डेटा उल्लंघन होने पर इसकी जांच कौन करेगा?
डीपीडीपी विधेयक में भारतीय डेटा संरक्षण बोर्ड (DPBI) की स्थापना का प्रस्ताव है, जिसके कार्यों में डेटा उल्लंघनों को रोकने के लिए "तत्काल उपाय" करना और सरकार द्वारा सौंपे गए किसी भी अन्य कार्य को करना शामिल होगा.
अगर उसे लगता है कि कोई मंच DPDP विधेयक के प्रावधानों का उल्लंघन कर रहा है, तो बोर्ड को कुछ मानदंडों के आधार पर आर्थिक जुर्माना लगाने का अधिकार है.
क्या यह बिल RTI एक्ट में संशोधन का प्रस्ताव करता है?
हां, डीपीडीपी विधेयक सूचना का अधिकार अधिनियम- 2005 के एक भाग को हटाने का प्रस्ताव करता है, जिसमें लिखा है, "ऐसा डेटा जो व्यक्तिगत जानकारी से संबंधित है, जिसके डिस्क्लोजर का किसी भी पब्लिक एक्टिविटी या हित से कोई संबंध नहीं है, या जो अनुचित आक्रमण का कारण बनेगा." बिल में इसे हटाने का प्रस्ताव शामलि किया गया है.
बिल में शामिल किए गए अन्य प्रावधान
यूजर्स के डेटा से निपटने वाली फर्मों को पर्सनल डेटा की सुरक्षा करनी चाहिए, भले ही वह थर्ड पार्टी के डेटा प्रोसेसर के साथ स्टोर हो.
डेटा उल्लंघन के मामले में, कंपनियों को डेटा प्रोटेक्शन बोर्ड (DPB) और यूजर्स, बच्चों और दिव्यांग व्यक्तियों के डेटा को प्रोसेस करने से पहले अभिभावकों से बात करनी होगी.
फर्मों को एक डेटा प्रोटेक्शन ऑफिसर नियुक्त करना होगा और यूजर्स को इसकी डीटेल देनी होगी.
केंद्र के पास भारत के बाहर किसी भी देश या क्षेत्र में पर्सनल डेटा के ट्रांसफर को प्रतिबंधित करने की शक्ति होगी.
डीपीबी के फैसलों के खिलाफ की गई अपील दूरसंचार विवाद निपटान और अपीलीय ट्रिब्यूनल (Telecom Disputes Settlement and Appellate Tribunal) के द्वारा सुनी जाएगी.
DPB शपथ के तहत लोगों को बुला सकता है, उनकी जांच कर सकता है, पर्सनल डेटा के साथ काम करने वाली कंपनियों की पुस्तकों और दस्तावेजों की जांच कर सकता है.
उल्लंघन की प्रकृति और गंभीरता, प्रभावित व्यक्तिगत डेटा के प्रकार पर जांच करने के बाद डीपीबी सजा से संबंधित फैसले ले सकता है.
डीपीबी सरकार को किसी मध्यस्थ तक पहुंच को अवरुद्ध करने की सलाह दे सकता है. अगर DPDP बिल प्रावधानों का दो बार से अधिक उल्लंघन किया जाता है, तो डेटा उल्लंघन, पर्सनल डेटा की सुरक्षा करने में फेल या DPB और यूजर्स को उल्लंघन के बारे में सूचित करने में विफलता के लिए 250 करोड़ रुपये तक का जुर्माना हो सकता है.
(क्विंट हिन्दी, हर मुद्दे पर बनता आपकी आवाज, करता है सवाल. आज ही मेंबर बनें और हमारी पत्रकारिता को आकार देने में सक्रिय भूमिका निभाएं.)