भारत के नवम्बर 2025 डेटा नियम — ऐप्स को क्या रोकना होगा और उपयोगकर्ता अब क्या कर सकते हैं

क्या हुआ और क्यों यह मायने रखता है

13–14 नवम्बर 2025 को Ministry of Electronics & Information Technology (MeitY) ने Digital Personal Data Protection Rules, 2025 (DPDP Rules) को Gazette में अधिसूचित किया — यानी डिजिटल व्यक्तिगत डेटा पर भारत का संचालन‑नीतिगत ढांचा अब लागू होने के चरणों में आ गया है। यह कदम यह स्पष्ट करता है कि कंपनियों को किस तरह से नोटिस, सहमति, सुरक्षा और ब्रिच‑रिपोर्टिंग करना होगा।

सरल शब्दों में: ऐप्स और ऑनलाइन सेवाओं के लिए अब 'जितना चाहिए उतना ही डेटा लें' की धारणा कानून के अनिवार्य हिस्से बन रही है; साथ ही एक Data Protection Board बनेगा और कुछ मुख्य नियम तुरंत लागू, कई अन्य नियमों के लिए चरणबद्ध समयसीमा दी गई है।

ऐप्स अब कौन‑सी चीजें बंद/बदलेंगी — प्रमुख व्यवस्थाएँ (Plain English)

• अनावश्यक डेटा संग्रह पर पाबंदी: कंपनियों को केवल वही व्यक्तिगत डेटा लेना होगा जो "specified purpose(s)" के लिए सचमुच जरूरी हो; व्यापक, अस्पष्ट या डिफाल्ट रूप से बहुत सारा डेटा संग्रहीत नहीं किया जा सकेगा।
• कठोर रिटेंशन नियम: सभी डेटा फ़िड्यूशियरीज़ के लिए कम से कम एक वर्ष तक कुछ लॉग/ट्रैफ़िक डेटा रखना अनिवार्य किया गया है; वहीं कुछ बड़े वर्ग (ई‑कॉमर्स, ऑनलाइन गेमिंग, सोशल मीडिया जिनकी यूज़र‑थ्रेशहोल्ड परिभाषित होगी) के लिए यूज़र की निष्क्रियता के तीन साल के बाद डेटा मेटाने का नियमन है — साथ में 48‑घंटे की पूर्वसूचना की आवश्यकता। इससे 'हमने आपका डेटा हमेशा रखा' व्यवहार बदलने की उम्मीद है।
• ब्रिच‑नोटिफिकेशन और जवाबदेही: किसी भी पर्सनल‑डेटा ब्रिच के मामले में प्रभावित उपयोगकर्ताओं को बिना देरी सूचित करना होगा और Data Protection Board को प्रारंभिक सूचना तुरन्त तथा विस्तृत रिपोर्ट विशिष्ट समयावधि में देनी होगी।
• बच्चों और विकलांगों के डेटा पर संवेदनशील प्रावधान: बच्चों के डेटा के लिए वैरिफायबल माता‑पिता/अधικοक्ता की सहमति आवश्यक है; कुछ सीमित अपवाद और विशेष प्रक्रियाएँ नियमों में वर्णित हैं।
• Significant Data Fiduciaries (SDFs): बड़े या डेटा‑गहन प्लेटफ़ॉर्मों के लिए सख्त ऑडिट, DPIA (Data Protection Impact Assessment) और सालाना रिपोर्टिंग की बाध्यता है; सरकार आगे SDF वर्गीकरण के लिए दिशा‑निर्देश जारी कर सकती है।

उपयोगकर्ता अब फौरन क्या कर सकते हैं — व्यावहारिक कदम

नियमों के चरणबद्ध लागू होने के बावजूद, उपयोगकर्ता आज ही ये कदम उठा सकते हैं ताकि उनकी गोपनीयता बेहतर रहे:

• ऐप‑अनुमतियाँ (permissions) जाँचें और हटाएँ: फोन और ब्राउज़र सेटिंग में जाकर अनावश्यक पहुँच (माइक्रोफोन, लोकेशन, फ़ोटो) रद्द करें।
• नोटिस और टर्म्स पढ़ें: किसी भी सेवा की प्राइवेसी नोटिस में "processed data" और "purpose" की सूची देखें — नियम अब इसे और विशिष्ट मांगते हैं।
• डेटा डाउनलोड/बंद कराएँ: जिन सेवाओं में आपका खाता है, वहाँ से अपना डेटा डाउनलोड करें, गलत जानकारी सुधारवाएँ और जहाँ संभव हो खाते/सहमति हटाएँ।
• सहमति वापस लें: जो सेवाएँ निष्क्रिय या अनावश्यक हैं, उनकी सहमति (consent) को रिवॉक करें; भविष्य में Consent Managers के आने पर उनका उपयोग कर के सहमति का केंद्रीकृत प्रबंधन किया जा सकेगा (Consent Managers की रजिस्ट्रेशन 12 माह बाद लागू होने वाली है)।
• ब्रिच दिखने पर रिपोर्ट करें: अगर किसी ऐप से आपका डेटा लीक हुआ लगे तो सर्वप्रथम ऐप से और फिर Data Protection Board/उपयुक्त मंच पर शिकायत दर्ज कराएँ — नियम ब्रिच‑नोटिफिकेशन को अनिवार्य बनाते हैं।

छोटे‑व्यवसाय/स्थानीय ऐप उपयोगकर्ता के रूप में भी आप अपने पसंदीदा ऐप‑विकासकर्ता से पूछ सकते हैं कि उन्होंने डेटा‑फ्लो मैपिंग, रिटेंशन नीति और ब्रिच‑रिस्पॉन्स प्लान कब लागू किए — यह अब कॉम्प्लायंस‑लॉजिक का हिस्सा है।

समयसीमा, छोटे डेवलपर और तत्काल सावधानियाँ — संक्षेप में कार्रवाई सूची

कुंजी‑तिथियाँ: DPDP Rules Gazette नोटिफिकेशन 13 नवम्बर 2025 को प्रकाशित हुआ; कुछ प्रावधान तुरंत प्रभावी हुए हैं, Consent Manager से जुड़े नियम 12 महीने के बाद (13 नवम्बर 2026) और बाकी मुख्य अनुपालन नियम 18 महीने के बाद (13 मई 2027) लागू होंगे — सरकार समयसीमा संकुचित करने पर भी बातचीत कर रही है।

छोटे डेवलपर/किराना‑ऐप के लिए तात्कालिक चेकलिस्ट:

1. डेटा‑फ्लो मैप बनाएं: कौन‑सा डेटा क्यों ले रहे हैं — लिख कर रखें।
2. नोटिस अपडेट करें: स्पष्ट, संक्षिप्त और उद्देश्य‑आधारित नोटिस वेबसाईट/ऐप पर रखें।
3. रिटेंशन नीति बनाएं: कौन‑सा डेटा कब मिटेगा — और कम से कम एक वर्ष के लॉग रखने का प्रावधान सुनिश्चित करें।
4. ब्रिच‑रिपोर्टिंग प्रक्रिया बनाएं: संभावित लीक के लिए तुरंत सूचना का ड्राफ्ट और संपर्क सूची रखें।
5. बाहरी प्रोसेसर/वेंडर कॉन्ट्रैक्ट अपडेट करें: डेटा‑प्रोसेसिंग समझौते DPDP अनुरूप बनाएं।

निष्कर्ष: नियमों का लक्ष्य उपयोगकर्ता‑कंट्रोल बढ़ाना और डेटा‑होल्डिंग के पुराने व्यवहार बदलवाना है। उपयोगकर्ता की जल्दी से उठाई गई छोटी‑सी कार्रवाई (अनुमतियों की जाँच, नोटिस पढ़ना, सहमति हटाना) आपकी व्यक्तिगत जानकारी की सुरक्षा में बड़ा फर्क कर सकती है।