भारत DPDPA 2023: वैश्विक टीमों के लिए तकनीकी अनुपालन
भारत का Digital Personal Data Protection Act 1.4 अरब लोगों को कवर करता है। यह जनसंख्या के हिसाब से दुनिया का सबसे बड़ा गोपनीयता कानून है। Data Protection Board 2025 में सक्रिय हुआ। प्रवर्तन शुरू हो गया है। यदि आपकी फर्म भारतीय उपयोगकर्ताओं की सेवा करती है, भारतीय कर्मचारी फाइलें रखती है, या भारतीय IT विक्रेताओं के साथ काम करती है, तो यह कानून अब एक जीवित कर्तव्य है।
DPDPA क्या कवर करता है
क्षेत्रीय दायरा: कानून भारत के अंदर प्रसंस्करण को कवर करता है। यह भारत के बाहर प्रसंस्करण को भी कवर करता है जब उद्देश्य भारतीय उपयोगकर्ताओं को वस्तुएं या सेवाएं बेचना है। GDPR की तरह, यह व्यक्ति का अनुसरण करता है — सर्वर का नहीं।
अधिकतम जुर्माने: प्रति उल्लंघन ₹250 करोड़ तक। वर्तमान दरों पर यह लगभग €27 मिलियन है। जुर्माना उल्लंघन की गंभीरता और अवधि पर निर्भर करता है।
कानूनी आधार: सहमति मुक्त, सूचित और स्पष्ट होनी चाहिए। अन्य वैध आधारों में नौकरियां, कानूनी कर्तव्य, महत्वपूर्ण जरूरतें, सार्वजनिक हित और अनुसंधान शामिल हैं।
व्यक्तिगत अधिकार: लोग पूछ सकते हैं कि उनके रिकॉर्ड का उपयोग कैसे किया जा रहा है। वे सुधार या मिटाने का अनुरोध कर सकते हैं। वे शिकायत उठा सकते हैं। यदि वे क्षमता खो देते हैं तो वे एक प्रतिनिधि नाम दे सकते हैं।
Data Fiduciaries: यह नियंत्रकों के लिए DPDPA का नाम है। उन्हें व्यक्तिगत रिकॉर्ड की रक्षा करनी होगी। उन्हें 72 घंटों के भीतर Board को उल्लंघन की रिपोर्ट करनी होगी। यदि वे एक Significant Data Fiduciary हैं तो उन्हें Data Protection Officer नाम देना होगा।
Aadhaar: एक अनन्य पहचान समस्या
Aadhaar भारत की राष्ट्रीय बायोमेट्रिक ID प्रणाली है। प्रत्येक धारक को फिंगरप्रिंट और आइरिस स्कैन से जुड़ी 12-अंकीय संख्या मिलती है। लगभग 1.36 अरब निवासियों के पास एक है। बैंक, सरकारी एजेंसियां, मोबाइल ऑपरेटर और अस्पताल सभी इसका उपयोग करते हैं।
Aadhaar नंबर वित्तीय, स्वास्थ्य सेवा और प्रशासनिक फाइलों में दिखाई देते हैं। Aadhaar Act 2016 इसके उपयोग को सीमित करता है। निजी सेवाएं इसे अनिवार्य ID के रूप में नहीं मांग सकतीं। भंडारण विशिष्ट अधिकृत मामलों तक सीमित है।
पहचान क्यों कठिन है: Aadhaar अपने चेक अंक के लिए Verhoeff विधि का उपयोग करता है। एक टूल जो केवल 12-अंकीय स्ट्रिंग स्कैन करता है वह किसी भी 12-अंकीय संख्या को चिह्नित करेगा। इससे गलत हिट बनते हैं। अच्छी पहचान के लिए Verhoeff चेक तर्क की आवश्यकता है। सरल पैटर्न मिलान पर्याप्त नहीं है।
अन्य भारतीय PII प्रारूप
PAN (Permanent Account Number): एक 10-वर्ण टैक्स ID। प्रारूप: पांच अक्षर, चार अंक, एक अक्षर। चौथा अक्षर करदाता प्रकार दिखाता है। पांचवां करदाता के नाम का पहला अक्षर है। ₹50,000 से अधिक किसी भी सौदे के लिए PAN आवश्यक है। यह भारतीय वित्त फाइलों में आम है।
भारतीय पासपोर्ट: अक्षर X के बाद सात अंक। यह प्रारूप भारत के लिए अनन्य है।
ड्राइविंग लाइसेंस: प्रत्येक राज्य का अपना प्रारूप है। दिल्ली लाइसेंस DL-0420110149646 जैसा दिख सकता है।
बैंक खाते: कोई राष्ट्रीय मानक नहीं है। खाता संख्याएं 9 से 18 अंकों तक चलती हैं। IFSC कोड — 11-वर्ण बैंक शाखा कोड — भुगतान फाइलों में खाता संख्याओं के साथ दिखाई देते हैं।
मोबाइल नंबर: देश कोड +91 के साथ दस अंक। भारत में 1.2 अरब मोबाइल ग्राहक हैं। फोन नंबर वाणिज्यिक दस्तावेजों में अक्सर दिखाई देते हैं।
देखें कैसे anonym.legal सभी भारतीय PII प्रारूपों को संभालता है /blog/apac-pii-detection-thai-indonesian-vietnamese-2025 पर।
DPDPA तकनीकी आवश्यकताएं
सुरक्षा सुरक्षा उपाय: DPDPA जोखिम से मेल खाते "उचित सुरक्षा सुरक्षा उपाय" मांगता है। Act परिणाम द्वारा इसे परिभाषित करता है। यह चरणों की एक निश्चित सूची नहीं देता। न्यूनतम तकनीकी मानक DPDPA नियमों में आएंगे। इन्हें 2025 से अपेक्षित किया जाता है।
उल्लंघन अधिसूचना: Board को 72 घंटों के भीतर किसी भी व्यक्तिगत रिकॉर्ड उल्लंघन की रिपोर्ट करें। GDPR के तहत, वह विंडो केवल नियामक को कवर करती है। DPDPA के तहत, प्रमुख उल्लंघनों के लिए Board नोटिस और प्रभावित लोगों को नोटिस की आवश्यकता है। दोनों 72 घंटों के भीतर होने चाहिए।
स्थानीयकरण: सरकार कंपनियों को Significant Data Fiduciaries के रूप में नाम दे सकती है। उन कंपनियों को भारत के अंदर रिकॉर्ड की एक प्रति रखनी पड़ सकती है। अंतिम नियम अभी तक निर्धारित नहीं हैं।
सीमापार हस्तांतरण: कानून उन देशों को हस्तांतरण को अवरुद्ध करता है जो अनुमोदित सूची में नहीं हैं। वह सूची 2025 तक निर्धारित नहीं की गई थी। कोई EU-भारत पर्याप्तता सौदा नहीं है। EU-भारत प्रवाह वाली फर्मों को अभी अनुबंध करने चाहिए।
कानूनों में सीमापार नियम कैसे ढेर होते हैं, इसके दृष्टिकोण के लिए, /blog/global-pii-compliance-2025-gdpr-lgpd-dpdp-ssn देखें।
आपकी आधारभूत तकनीकी चेकलिस्ट
यदि आप भारतीय व्यक्तिगत रिकॉर्ड संभालते हैं, यहां से शुरू करें:
- Verhoeff चेक-अंक तर्क के साथ Aadhaar पहचान।
- करदाता-प्रकार चरित्र जांच के साथ PAN पहचान।
- भारतीय पासपोर्ट और राज्य ड्राइविंग लाइसेंस समर्थन।
- IFSC कोड के साथ 9-18 अंक लंबाई के लिए बैंक खाता पहचान।
- DPDPA कानूनी आधारों से मेल खाने वाले उद्देश्य रिकॉर्ड।
- 72-घंटे की विंडो को पूरा करने वाली उल्लंघन योजना।
पढ़ें कैसे एक एकल प्रीसेट सभी भारतीय PII प्रकारों को कवर करता है /blog/global-privacy-compliance-gdpr-ccpa-pdpa-one-tool-2025 पर।