नवम्बर 2025 के नए डेटा नियम — किराना दुकान, ONDC विक्रेता और स्थानीय ऐप्स के लिए व्यावहारिक अनुपालन चेकलिस्ट

परिचय — नया नियम क्या और क्यों महत्वपूर्ण है

भारत सरकार ने Digital Personal Data Protection (DPDP) Rules, 2025 को अधिसूचित किया — आधिकारिक गज़ेट नोटिफिकेशन 13 नवम्बर 2025 की तिथि बताता है — और यह नियम Digital Personal Data Protection Act, 2023 को लागू करने वाला प्रमुख चरण है।

ये नियम व्यक्तिगत डेटा के संग्रह, उपयोग, भंडारण और साझा करने पर स्पष्ट दायित्व बनाते हैं। बड़े प्लेटफॉर्म के साथ-साथ उन छोटे व्यवसायों और स्थानीय ऐप्स पर भी असर होगा जो ग्राहकों का डिजिटल डेटा संभालते हैं — जैसे कि किराना दुकानें जो मोबाइल नंबर/ऑर्डर इतिहास रखती हैं, ONDC पर दुकान चलाने वाले विक्रेता और स्थानीय सर्विस-ऐप्स। समझिए कि कौन सी धाराएँ तुरंत लागू हैं, और किनके लिए चरणबद्ध समय-सीमा दी गई है।

छोटे विक्रेता/किराना और स्थानीय ऐप्स के लिए त्वरित अनुपालन चेकलिस्ट

नीचे दिया गया चेकलिस्ट उस न्यूनतम (practical) काम का सेट है जो आपकी दुकान, ONDC लिस्टिंग या लोकल ऐप को नियमों के अनुरूप बनाने में मदद करेगा। हर आइटम के आगे छोटा व्यावहारिक कदम भी दिया गया है:

1. डेटा-इन्वेंटरी बनाएं: किन-किन ग्राहकों का क्या डेटा रखा जाता है (नाम, मोबाइल, पता, ऑर्डर‑आईडी, भुगतान‑लॉग आदि) — एक साधारण स्प्रेडशीट में दर्ज करें। (कदम: 1 घंटे)
2. डेटा मिनिमाइज़ेशन: केवल वही डेटा रखें जो जरूरी हो — उदाहरण: डिलीवरी के लिए केवल नाम, मोबाइल और पता; जन्मतिथि वगैरह तभी माँगे जब सही कारण हो।
3. साफ़ और संक्षिप्त गोपनीयता नोटिस (Privacy Notice): हिन्दी/स्थानीय भाषा में एक लाइन में बताएं कि आप कौन‑सा डेटा क्यों लेते हैं, कितने दिन तक रखेंगे, और ग्राहक कैसे अधिकार चला सकता है। (कदम: दुकान पर पोस्टर + ऑनलाइन लिंक)
4. सहमति (Consent) का आसान तरीका: यदि आप मार्केटिंग के लिए नंबर रख रहे हैं तो स्पष्ट चेकबॉक्स/एसएमएस‑ओप्ट‑इन लें और ऑप्ट‑आउट का सरल तरीका दें। (DPDP में सहमति से संबंधित नियम लागू होते हैं)।
5. सरल सुरक्षा उपाय: मोबाइल/पीओएस पर मजबूत पासवर्ड, स्क्रीन‑लॉक, ऐप‑अपडेट और नियमित बैकअप रखें; जहाँ संभव हो वाई‑फाई को पासवर्ड‑सुरक्षित रखें। (कदम: आज ही पासवर्ड बदलें)
6. तीसरे पक्ष (payment gateway/delivery partners) के साथ लिखित समझौते: किसी भी सेवा प्रोवाइडर से डेटा साझा करते हैं तो उन्हें ईमेल/व्हाट्सऐप पर लिखित नियम (processor agreement) माँगें — कम से कम यह लिखें कि वे डेटा सुरक्षित रखें और केवल आवश्यक इस्तेमाल करें।
7. रिटेंशन पॉलिसी: बताइए कितने समय तक डेटा रखा जाएगा और अनावश्यक डेटा समय पर मिटाया जाएगा — कई उल्लिखित नियमों के अनुसार रिकॉर्ड कुछ मामलों में कम-से-कम 1 वर्ष तक रखना पड़ सकता है (सरकारी आवश्यकताओं के संदर्भ में)।
8. ग्राहक अधिकारों के अनुरोध का रिस्पॉन्स: ग्राहक अगर अपने डेटा की कॉपी, सुधार या मिटाने का अनुरोध करे तो सरल प्रक्रिया रखें (फोर्म/व्हाट्सऐप टेम्पलेट) — नियमों के लागू होने के बाद तय SLA के अनुसार जवाब दें।

यह आधारभूत सूची छोटे व्यापारों के लिए तैयार की गई है; अगर आपका उपयोगकर्ता‑बेस लाखों में है या आप संवेदनशील डेटा (स्वास्थ्य, बायोमेट्रिक) प्रोसेस करते हैं तो अतिरिक्त दायित्व लागू होंगे।

ब्रीच (Data Breach) पर त्वरित प्रतिक्रिया और कानूनी रिपोर्टिंग

राज्य ने ब्रीच‑रिपोर्टिंग को गंभीरता से लिया है। जब भी किसी व्यक्तिगत डेटा का उल्लंघन (breach) हो, नियमों के तहत Data Fiduciary को प्राथमिक सूचना "बिना देरी" ("without delay") में देना आवश्यक है और बाद में 72 घंटे के भीतर विस्तृत अपडेट देना आम प्रावधान है। इससे निपटने की आपकी तात्कालिक कार्यवाही का ढाँचा ऐसा हो:

• तुरंत: आंतरिक घटना‑रजिस्टर बनाएं — क्या हुआ, कब हुआ, किसके पास लॉग हैं, कौन‑सा सिस्टम प्रभावित हुआ।
• ब्रीफ नोट भेजें (बोर्ड/DPB के लिए): घटना का संक्षिप्त विवरण "बिना देरी" भेजें; 72 घंटे में पूर्ण रिपोर्ट दें (कारण, प्रभाव, संवदानात्मक कदम, प्रभावित व्यक्तियों को सूचित करने का तरीका)।
• ग्राहकों को सुस्पष्ट सूचना दें: साधारण भाषा में बताएं कि क्या हुआ, किस डेटा का असर हुआ, उन्हें किन कदमों की सलाह है (पासवर्ड बदलें, बैंक को सूचित करें आदि)।
• रिकॉर्ड रखें: ब्रीच, शिकायतें और उनसे निपटने के सबूत कम से कम नियमों में निर्धारित समय तक रखें — और यह दस्तावेज़ भविष्य के लिए बहुत महत्व रखता है।

नोट: ब्रीच की रिपोर्टिंग न करने या देरी करने पर भारी दंड है — नियम व संबंधित कानून के अनुसार जुर्माने की सीमा ऊँची है; इसलिए छोटी गलतियों से बचने के लिए घटना‑प्रतिक्रिया (IR) प्लान रखें।

चरणबद्ध समय-सीमा और अगले व्यावहारिक कदम

सरकार ने अनुपालन के लिए चरणबद्ध लागू‑तिथियाँ दी हैं: कुछ नियम तुरंत अधिसूचित होते ही प्रभावी रहे, कुछ धारणाएँ 1 वर्ष बाद और कई महत्वपूर्ण दायित्व 18 महीनों के भीतर लागू होंगे — इसलिए छोटे व्यापारों को यह समझना चाहिए कि सबसे पहले कौन‑सी आवश्यकताएँ लागू हैं और किनमें उन्हें तैयारी के लिए समय मिला है।

अभी जो करें (7‑दिन का त्वरित प्लान):

1. डेटा‑इन्वेंटरी बनाएं और अनावश्यक रिकॉर्ड को हटाने का निर्णय लें।
2. एक संक्षिप्त गोपनीयता नोटिस तैयार कर दुकान/लिस्टिंग पेज/व्हाट्सऐप पर चिपकाएँ।
3. कम से कम एक कर्मचारी/परिचालक को डेटा‑प्राइवेसी पॉइंट‑परसन बनायें और उसकी संपर्क जानकारी नोटिस में दें।
4. ब्रीच‑रिस्पॉन्स का एक सरल टेम्पलेट बनायें: (क) आंतरिक रजिस्टर (ख) DPB नोटिफिकेशन‑ड्राफ्ट (ख) ग्राहक‑सूचना‑एसएमएस/व्हाट्सऐप।
5. जहाँ पैसे लगाना सरल है, वहां पासवर्ड मैनेजर, नियमित बैकअप और डिवाइस‑एन्क्रिप्शन लगाएँ।

कब व किसे सलाह लें: यदि आपके पास लाखों ग्राहक हैं, आप क्रॉस‑बॉर्डर डेटा भेजते हैं, या संवेदनशील श्रेणी (स्वास्थ्य, बायोमेट्रिक) है — तब कानूनी सलाह व एक DPIA/ऑडिट सलाहकार जरूरी है। अधिकतर छोटे किराना/ONDC विक्रेता सरल टेक‑और‑प्रोसेस कदम से शुरुआती अनुपालन कर सकते हैं।