प्रत्येक व्यवसाय, व्यावसायिक आणि संस्थेने काय करावे?

digital public awareness आपण बँकेची सेवा घेताे, डाॅक्टरांचा सल्ला घेताे, मुलाला शाळेत प्रवेश देताे, ऑनलाईन खरेदी करताे किंवा एखाद्या डिजिटल प्लॅटफॉर्मचा वापर करताे, तेव्हा आपल्याला सामान्यतः फक्त मिळणारी सेवा दिसते. परंतु पडद्यामागे ती संस्था वैयक्तिक माहिती गाेळा करीत, वापरीत, साठवीत, इतरांना देत आणि कधी कधी हटवीत असू शकते. डिजिटल वैयक्तिक माहिती संरक्षण कायदा, २०२३ अर्थात डीपीडीपी ॲजक्ट अशा संस्थांवर महत्त्वाच्या जबाबदाऱ्या टाकताे.

 

 

 

या कायद्याचा एक व्यावहारिक मुद्दा स्पष्टपणे समजून घेणे आवश्यक आहे. डीपीडीपी ॲसक्ट हा डिजिटल वैयक्तिक माहितीचा कायदा आहे. पूर्णपणे कागदी स्वरूपात ठेवलेले आणि कधीही डिजिटल न केलेले रजिस्टर किंवा फाईल्स सामान्यतः या कायद्याच्या थेट कक्षेबाहेर राहू शकतात. मात्र, अशा रजिस्टरमधील माहिती साॅफ्टवेअर, एक्सल, ई-मेल, व्हाॅट्सॲप, क्लाऊड स्टाेरेज किंवा इतर काेणत्याही डिजिटल प्रणालीत टाकली गेली, तर त्या माहितीच्या प्रक्रियेबाबत संस्थेने डीपीडीपी ॲरक्ट अंतर्गत आपल्या जबाबदाऱ्या विचारात घेतल्या पाहिजेत. तरीही, पूर्णपणे कागदी नाेंदींबाबत इतर कायदे, व्यावसायिक गाेपनीयतेची कर्तव्ये आणि संस्थात्मक जबाबदाऱ्या लागू राहू शकतात.

 

वैयक्तिक माहिती काेणत्या उद्देशासाठी आणि कशाप्रकारे प्रक्रिया करायची हे ठरवणारी संस्था किंवा व्यक्ती डेटा फिड्युशिअरी म्हणून ओळखली जाते. एखाद्या संस्थेने साॅफ्टवेअर विक्रेता, क्लाऊड सेवा प्रदाता, काॅल सेंटर किंवा इतर डेटा प्राेसेसरचा वापर केला तरीही तिची जबाबदारी संपत नाही.

 

१. वैयक्तिक माहिती : केवळ कायदेशीर उद्देशासाठी आणि ॲवक्ट व रुल्सनुसार प्रक्रिया करणे. अनेक प्रकरणांमध्ये यासाठी स्पष्ट नाेटीस देणे आणि वैध कन्सेंट घेणे आवश्यक असेल. इतर काही परिस्थितींमध्ये सर्टन लेजिटिमेट युज अंतर्गत प्रक्रिया करण्यास परवानगी असू शकते. सर्टन लेजिटिमेट युज म्हणजे ॲरक्टमध्ये विशेषतः मान्य केलेली अशी परिस्थिती, ज्यात कन्सेंट न घेता माहितीची प्रक्रिया करता येते.

२. उत्तरदायित्व : डेटा फिड्युशिअरी स्वतःकडून किंवा त्याच्या वतीने डेटा प्राेसेसरकडून हाेणाऱ्या माहितीच्या प्रक्रियेसाठी जबाबदार राहताे. एखादा व्यवसाय ‘आमच्या साॅफ्टवेअर कंपनीने माहिती हाताळली, म्हणून ती आमची समस्या नाही’ असे म्हणू शकत नाही.

३. माहितीची गुणवत्ता : जेव्हा वैयक्तिक माहितीचा वापर डेटा प्रिंसिपलवर परिणाम करणारा निर्णय घेण्यासाठी केला जाताे किंवा ती दुसऱ्या डेटा फिड्युशिअरीकडे दिली जाते, तेव्हा डेटा फिड्युशिअरीने ती माहिती पूर्ण, अचूक आणि सुसंगत आहे यासाठी वाजवी प्रयत्न करणे आवश्यक आहे. चुकीच्या माेबाईल क्रमांकामुळे एखादी महत्त्वाची सूचना मिळू शकत नाही.

४. सुरक्षा : डेटा फिड्युशिअरीने आपल्या ताब्यात किंवा नियंत्रणात असलेल्या वैयक्तिक माहितीचे पर्सनल डेटा ब्रीच टाळण्यासाठी वाजवी सुरक्षा उपाय करणे आवश्यक आहे. पर्सनल डेटा ब्रीच म्हणजे अशी अनधिकृत प्रक्रिया, अपघाती उघड हाेणे, संपादन, शेअर करणे, वापर, बदल, नाश किंवा माहितीपर्यंतचा प्रवेश गमावणे ज्यामुळे वैयक्तिक माहितीची गाेपनीयता, अखंडता किंवा उपलब्धता धाेक्यात येते.

 

५. पर्सनल डेटा ब्रीच झाल्यास याेग्य प्रतिसाद देणे. रुल्सनुसार डेटा फिड्युशिअरीने प्रभावित प्रत्येक डेटा प्रिंसिपलला विनाविलंब, स्पष्ट आणि साेप्या भाषेत माहिती दिली पाहिजे आणि डेटा प्राेटेक्शन बाेर्ड ऑफ इंडियाकडेही सूचना दिली पाहिजे. प्रभावित व्यक्तीला काय घडले, त्याचे संभाव्य परिणाम काय आहेत, काेणती नुकसान-नियंत्रणाची पावले उचलली जात आहेत, त्या व्यक्तीने स्वतःची सुरक्षा वाढवण्यासाठी काय करावे आणि अधिक माहितीसाठी काेणाशी संपर्क करावा, हे सांगितले पाहिजे. ब्रीचला प्रतिसाद देणे ही केवळ तांत्रिक प्रक्रिया नाही; ती प्रभावित व्यक्तींशी संवाद साधण्याची जबाबदारीही आहे.

 

६. वैयक्तिक माहिती अनिश्चित काळासाठी जतन न करणे. डेटा प्रिंसिपलने कन्सेंट मागे घेतली किंवा विशिष्ट उद्देशासाठी माहितीची गरज उरलेली नाही असे वाजवीपणे मानता येत असेल, तर डेटा फिड्युशिअरीने वैयक्तिक माहिती हटवली पाहिजे, जाेपर्यंत ती माहिती कायद्याचे पालन करण्यासाठी जतन करणे आवश्यक नाही.digital public awareness त्याने आपल्या डेटा प्राेसेसर्सकडे उपलब्ध करून दिलेली वैयक्तिक माहितीही हटविण्यास सांगितली पाहिजे.

 

७. डेटा प्रिंसिपलचे हक्क आणि तक्रार निवारण प्रत्यक्षात साेपे करणे. लागू असल्यास डेटा फिड्युशिअरीने डेटा प्राेटेक्शन ऑफिसरचा किंवा वैयक्तिक माहितीच्या प्रक्रियेबाबत प्रश्नांची उत्तरे देऊ शकणाऱ्या इतर व्यक्तीचा संपर्क तपशील प्रकाशित केला पाहिजे. त्याने सहज उपलब्ध तक्रार निवारणाची व्यवस्था ठेवली पाहिजे. डीपीडीपी रुल्स, २०२५ नुसार तक्रार निवारण प्रणालीत उत्तर देण्याचा कालावधी नमूद असला पाहिजे आणि ताे ९० दिवसांपेक्षा जास्त असू शकत नाही. दुरुस्ती, विलाेपन, कन्सेंट मागे घेणे किंवा माहिती मागणे यासारखी विनंती सामान्य ग्राहक-सेवा प्रक्रियेत हरवून जाता कामा नये.

 

सिग्निफकंट डेटा फिड्युशिअरीसाठी अतिरिक्त जबाबदाऱ्या आहेत. सिग्निफकंट डेटा फिड्युशिअरी म्हणजे वैयक्तिक माहितीचे प्रमाण व संवेदनशीलता, डेटा प्रिंसिपलच्या हक्कांना असलेले धाेके आणि इतर निर्धारित बाबी यांसारख्या निकषांवर केंद्र सरकारने अधिसूचित केलेला डेटा फिड्युशिअरी. अशा संस्थेला भारतात स्थित डेटा प्राेटेक्शन ऑफिसर नेमावा लागू शकताे, स्वतंत्र डेटा ऑडिटर नेमावा लागू शकताे, नियमित डेटा प्राेटेक्शन इम्पॅक्ट असेसमेंट करावा लागू शकताे आणि कायद्यातील इतर उपाय करावे लागू शकतात.

 

दैनंदिन जीवनातील डीपीडीपी.....एखादा दवाखाना क्लाऊड-आधारित अपाॅईंटमेंट आणि बिलिंग प्रणाली वापरताे. साॅफ्टवेअर दुसरी कंपनी देत असली, तरी रुग्णाची माहिती कशी हाताळली जाते याकडे दवाखाना दुर्लक्ष करू शकत नाही. डेटा फिड्युशिअरी म्हणून त्या विक्रेत्याकडे याेग्य सुरक्षा आणि गाेपनीयतेची व्यवस्था आहे याची खात्री करणे ही दवाखान्याचीच जबाबदारी राहते.

 

तुम्हाला माहिती आहे का?.....डीपीडीटी रुल्स, २०२५ नुसार वाजवी सुरक्षा उपायांमध्ये किमान याेग्य माहिती संरक्षण, अॅतक्सेस कंट्राेल्स, लाॅग्स आणि माॅनिटरिंग, बॅकअप्स, डेटा प्राेसेसर्ससाेबतचे करारातील सुरक्षा उपाय आणि तांत्रिक व संस्थात्मक उपाय यांचा समावेश असावा. प्रत्येक संस्थेसाठी याेग्य उपाय परिस्थितीनुसार बदलू शकतात; पण काेणतीही सुरक्षा व्यवस्था न करणे हा पर्याय नाही.

 

लक्षात ठेवण्यासारखे मुद्दे....डेटा फिड्युशिअरीनेे वैयक्तिक माहिती केवळ कायदेशीर उद्देशासाठी आणि अॅयक्ट व रुल्सनुसार प्रक्रिया केली पाहिजे. डेटा प्राेसेसर किंवा विक्रेता त्याच्या वतीने माहिती हाताळत असला, तरी डेटा फिड्युशिअरी उत्तरदायी राहताे. माहिती निर्णय घेण्यासाठी वापरली जात असेल किंवा दुसऱ्या डेटा फिड्युशिअरीकडे दिली जात असेल, तर तिची गुणवत्ता राखण्यासाठी वाजवी प्रयत्न आवश्यक आहेत. वाजवी सुरक्षा उपाय करणे आणि पर्सनल डेटा ब्रीचला याेग्य प्रतिसाद देणे आवश्यक आहे. उद्देश संपल्यावर किंवा कन्सेंट मागे घेतल्यावर, कायद्याने जतन करणे आवश्यक नसल्यास माहिती हटविली पाहिजे. डेटा प्रिंसिपलसाठी प्रभावी संपर्क आणि तक्रार निवारण व्यवस्था उपलब्ध असली पाहिजे. काही अधिसूचित सिग्निफकंट डेटा फिड्युशिअरीजवर डेटा प्राेटेक्शन ऑफिसर आणि स्वतंत्र ऑडिट यांसारख्या अतिरिक्त जबाबदाऱ्या लागू हाेतात.

विचार करा.....तुमच्या संस्थेने वैयक्तिक माहिती कशी सुरक्षित ठेवली आहे, विक्रेत्यांचे व्यवस्थापन कसे केले आहे, पर्सनल डेटा ब्रीचला कसा प्रतिसाद दिला जाईल आणि आता आवश्यक नसलेल्या नाेंदी कशा हटवल्या जातील, असे आज विचारले तर तुमच्याकडे स्पष्ट उत्तर असेल का?