2026 میں DPDPA کی ساخت

DPDPA ایک آزاد ڈیٹا تحفظ قانون ہے، جو بینکاری، ٹیلی کمیونیکیشن اور صحت پر بھارت کے شعبہ جاتی قوانین سے الگ ہے۔ اس کا نفاذ جان بوجھ کر مرحلہ وار کیا گیا تاکہ رضامندی مینیجر کا ماحولیاتی نظام، DPBI اور سرحد پار منتقلی کا نظام ہر ایک ترتیب سے آن لائن آ سکے۔

2023 کی منظوری اور 2024-2025 کا نفاذ

DPDPA اگست 2023 میں پارلیمنٹ سے پاس ہوا اور اس کے فوراً بعد صدارتی منظوری ملی۔ الیکٹرانکس اور انفارمیشن ٹیکنالوجی کی وزارت (MeitY) نے 2024 نفاذی قواعد پر مشاورت میں گزارا، اور حتمی قواعد 2025 میں کئی قسطوں میں مطلع کیے گئے: پہلے رضامندی مینیجر رجسٹریشن فریم ورک، پھر ڈیٹا موضوع کے حقوق کے طریقہ کار، پھر سرحد پار منتقلی کی اطلاعات، پھر اہم ڈیٹا فیڈوشری کی حدیں۔ 2026 کے آغاز تک مکمل فریم ورک نافذ تھا۔

کون منظم ہے

DPDPA بھارت میں افراد کے ڈیجیٹل ذاتی ڈیٹا کی پروسیسنگ پر لاگو ہوتا ہے۔ یہ بیرون ملک بھی لاگو ہوتا ہے جب پروسیسنگ بھارت میں ڈیٹا اصولوں کو سامان یا خدمات کی پیشکش سے متعلق ہو۔ ایک مقامی سائٹ، ہندی زبان کے ورژن، یا بھارتی IP پتوں کے خلاف خریدی گئی پروگرامیٹک انوینٹری کے ذریعے بھارتی صارفین کو خدمات دینے والا امریکی ناشر دائرہ کار میں ہے۔ یہ بیرونی ملکی دائرہ قانون میں واضح ہے اور DPBI کی ابتدائی رہنمائی میں تقویت دی گئی ہے۔

اصطلاحاتی خلیج

DPDPA اپنی ذخیرہ الفاظ استعمال کرتا ہے، جو GDPR اور زیادہ تر نئے ایشیائی فریم ورکس سے مختلف ہے۔ ایک ڈیٹا فیڈوشری وہ ہے جسے GDPR کنٹرولر کہتا ہے۔ ایک ڈیٹا پروسیسر GDPR کے پروسیسر سے واضح طور پر مطابقت رکھتا ہے۔ ایک ڈیٹا اصول ڈیٹا موضوع ہے۔ ایک اہم ڈیٹا فیڈوشری مرکزی حکومت کی طرف سے مطلع کردہ سائز یا حساسیت کی حدوں سے اوپر کا کنٹرولر ہے۔ DPDPA سے پہلی بار ملنے والے غیر ملکی ناشر اکثر ان اصطلاحات کا غلط نقشہ بناتے ہیں؛ ابتدائی مرحلے میں نقشہ درست کرنا بعد میں الجھن سے بچاتا ہے۔

ذاتی ڈیٹا کیا شمار ہوتا ہے

DPDPA کی ذاتی ڈیٹا کی تعریف وسیع ہے اور بین الاقوامی عمل کی قریبی پیروی کرتی ہے۔ ذاتی ڈیٹا ایسے ڈیٹا سے متعلق کسی فرد کے بارے میں کوئی بھی ڈیٹا ہے جو اس طرح کے ڈیٹا سے یا اس کے ذریعے قابل شناخت ہو۔ DPBI نے ابتدائی رہنمائی کے ذریعے اشارہ دیا ہے کہ آن لائن شناخت کنندگان — کوکیز، اشتہاری IDs، IP پتے، آلے کے فنگر پرنٹس اور رویے کے پروفائل — ذاتی ڈیٹا ہیں جب انہیں براہ راست یا معقول ذرائع سے قابل شناخت فرد سے منسلک کیا جا سکتا ہو۔

کوئی حساس زمرہ نہیں، لیکن اہم ڈیٹا فیڈوشری کے قواعد

GDPR، LGPD اور PIPA کے برعکس، DPDPA باضابطہ طور پر حساس ذاتی ڈیٹا کی کوئی زمرہ متعین نہیں کرتا۔ اس کے بجائے، قانون اہم ڈیٹا فیڈوشری کے عہدہ پر انحصار کرتا ہے، جو بڑے پیمانے پر ڈیٹا پروسیس کرنے، بچوں کا ڈیٹا پروسیس کرنے، انتخابی سالمیت کو متاثر کر سکنے والا ڈیٹا پروسیس کرنے، یا قومی سلامتی کو متاثر کر سکنے والا ڈیٹا پروسیس کرنے والے کنٹرولرز پر اضافی ذمہ داریاں عائد کرتا ہے۔ خالص نتیجہ سب سے بڑے اور سب سے حساس پروسیسرز کے لیے GDPR حساس زمرے کے قواعد سے ملتا جلتا ہے، لیکن فن تعمیر مختلف ہے۔

کوکیز کے لیے یہ کیوں اہم ہے

ایک معمول کے اشتہاری شناخت کنندہ کو جمع کرنے والی کوکی ذاتی ڈیٹا ہے لیکن صرف اس لیے بڑھی ہوئی ذمہ داریوں کا نشانہ نہیں ہے کہ یہ ایک حساس دکھنے والے سامعین کے حصے کو کھلاتی ہے۔ لیکن ایک ناشر جو اہم ڈیٹا فیڈوشری کی حد تک پہنچتا ہے — مثال کے طور پر کروڑوں بھارتی صارفین کے ساتھ ایک بڑا پلیٹ فارم — لازمی ڈیٹا پروٹیکشن آفیسر، وقتاً فوقتاً آڈٹ اور ڈیٹا تحفظ اثر کے تجزیے سمیت اضافی ذمہ داریاں اٹھاتا ہے۔ سائز کی حدیں 2025 میں مطلع کی گئیں؛ اب زیادہ تر عالمی پلیٹ فارم دائرہ کار میں ہیں۔

DPDPA کے تحت رضامندی

DPDPA رضامندی کو اپنے فریم ورک کے مرکز میں رکھتا ہے لیکن اسے ایک الگ ضروریات کے سیٹ کے ساتھ متعین کرتا ہے جو GDPR رضامندی سے ایک سے ایک نقشہ نہیں بناتا۔

درست رضامندی کا معیار

DPDPA کے تحت رضامندی یہ ہونی چاہیے:

• آزاد — ایسی خدمت کی فراہمی پر مشروط نہیں جس کا صارف دوسری صورت میں حقدار ہے، اور نہ ہی جبری
• مخصوص — واضح طور پر متعین مقصد سے منسلک، عمومی چھتری رضامندی نہیں
• باخبر — ڈیٹا اصول سمجھتا ہے کہ کیا ڈیٹا پروسیس کیا جا رہا ہے اور کس مقصد کے لیے
• غیر مشروط — رضامندی غیر متعلقہ شرائط سے منسلک نہیں
• غیر مبہم — واضح تصدیقی عمل کے ذریعے ظاہر کی گئی، خاموشی یا عدم فعالیت سے نہیں لی گئی

تفصیل وار نوٹس کی ضرورت

DPDPA رضامندی کے مقام پر یا اس سے پہلے ایک نوٹس کی ضرورت کرتا ہے جو پروسیس کیے جانے والے ذاتی ڈیٹا، پروسیسنگ کے مقصد، وہ طریقہ جس سے ڈیٹا اصول حقوق استعمال کر سکتا ہے، اور وہ طریقہ جس سے ڈیٹا اصول بورڈ سے شکایت کر سکتا ہے، کو بیان کرے۔ نوٹس انگریزی میں اور بھارت کی 22 شیڈول زبانوں میں سے کسی میں بھی دستیاب ہونا چاہیے جسے ڈیٹا اصول درخواست کرے۔

رضامندی مینیجر کا فن تعمیر

یہ وہ جگہ ہے جہاں DPDPA دیگر فریم ورکس سے سب سے زیادہ شدت سے ہٹتا ہے۔ قانون رضامندی مینیجر نامی ایک لائسنس یافتہ کردار قائم کرتا ہے — DPBI کے ساتھ رجسٹرڈ ایک تیسری فریق ادارہ جو ایک قابل تبادلہ رضامندی ڈیش بورڈ فراہم کرتا ہے جو ڈیٹا اصولوں کو ایک انٹرفیس سے متعدد ڈیٹا فیڈوشریوں میں رضامندی دینے، جائزہ لینے، منظم کرنے اور واپس لینے کی اجازت دیتا ہے۔ رضامندی مینیجرز کو بورڈ کے ساتھ رجسٹرڈ ہونا چاہیے اور تکنیکی قابل تعاملیت کی خصوصیات کو پورا کرنا چاہیے۔ عملی طور پر، ڈیٹا فیڈوشریز اپنے CMP کے ذریعے براہ راست یا رجسٹرڈ رضامندی مینیجر کے ذریعے رضامندی حاصل کر سکتی ہیں، اور کئی معاملات میں ڈیٹا اصول ہر سائٹ کے بینر کو الگ سے منظم کرنے کے بجائے رضامندی مینیجر کے ذریعے اپنی رضامندی کو مرکزی بنانا چنتے ہیں۔

تعمیل یافتہ CMP کیسا نظر آتا ہے

2026 میں بھارتی ٹریفک کے لیے کنفیگر کیا گیا CMP یہ پیش کرے:

• کوئی بھی غیر ضروری کوکی یا ٹریکر چالو ہونے سے پہلے ایک نمایاں بینر، قبول کریں، مسترد کریں اور اپنی مرضی کریں کے اعمال کے ساتھ برابر بصری نمایاں
• درخواست پر انگریزی میں اور صارف کی پسندیدہ شیڈول زبان میں دستیابی
• تجزیات، اشتہار، ذاتی سازی اور سرحد پار منتقلی سمیت ہر مقصد کے لیے تفصیلی رضامندی ٹوگل
• حقوق اور DPBI شکایت چینل سمیت مکمل تفصیل وار نوٹس کا واضح لنک
• رضامندی واپس لینے کا ایک مستقل، آسانی سے قابل تلاش طریقہ کار جو رضامندی دینے جتنا آسان ہو
• رجسٹرڈ رضامندی مینیجرز کے ساتھ تکنیکی قابل تعاملیت تاکہ رضامندی کی حالت ڈیٹا اصول کے منتخب رضامندی مینیجر کے ساتھ ہم آہنگ ہو سکے

رضامندی کے ریکارڈ

ڈیٹا فیڈوشریز کو رضامندی کے ریکارڈ برقرار رکھنے ہوں گے، جس میں کس نے رضامندی دی، کب، کس انٹرفیس کے ذریعے، کس مقصد کے لیے اور بعد کی کوئی تبدیلیاں شامل ہیں۔ DPBI نے اپنے کئی ابتدائی کارروائیوں میں ناکافی رضامندی لاگز کا حوالہ دیا ہے، اور برآمد کے قابل، ٹائم اسٹامپ شدہ رضامندی ریکارڈ بنیادی توقع ہے۔

سرحد پار ڈیٹا منتقلی

DPDPA کا سرحد پار منتقلی فریم ورک بھارتی نظام کے سب سے نمایاں عناصر میں سے ایک ہے اور GDPR، PIPA اور ترمیم شدہ KVKK کے ذریعے استعمال کیے جانے والے مناسبیت-زائد-تحفظات کے نمونے سے معنی خیز طور پر مختلف ہے۔

اطلاع کا فریم ورک

DPDPA ایک منفی فہرست کے نقطہ نظر پر کام کرتا ہے: سرحد پار منتقلی عام طور پر جائز ہے جب تک کہ منزل ملک مرکزی حکومت کی طرف سے مطلع کردہ محدود دائرہ اختیار کی فہرست میں نہ آئے۔ یہ GDPR مناسبیت ماڈل کے برعکس ہے، جو منتقلی کو مثبت مناسبیت فیصلے یا تحفظات کی غیر موجودگی میں ممنوع سمجھتا ہے۔ DPDPA کا نقطہ نظر ظاہری طور پر زیادہ اجازت دینے والا ہے، لیکن منفی فہرست کو حکومت کی صوابدید پر بڑھایا جا سکتا ہے، اور 2025 کے دوران مخصوص ڈیٹا زمروں کے لیے متعدد دائرہ اختیار کو فہرست میں رکھا گیا ہے۔

یہ عملی طور پر کیا معنی رکھتا ہے

2026 میں زیادہ تر پروگرامیٹک اشتہاری بہاؤ کے لیے جواب یہ ہے کہ بڑے اشتہاری ٹیک مقامات پر سرحد پار منتقلی جائز ہے بشرطیکہ منزل ملک محدود فہرست میں نہ ہو۔ ناشرین کو موجودہ مطلوعہ فہرست کی جانچ کرنی ہوگی، منتقلی اور اس کے مقصد کی دستاویز رکھنی ہوگی، اور اگر کوئی منزل شامل کی جائے تو بہاؤ کو دوبارہ روٹ کرنے یا روکنے کے لیے تیار رہنا ہوگا۔ یہ زیادہ تر بہاؤ کے لیے GDPR منتقلی میکانکس سے معنی خیز طور پر آسان ہے، لیکن نگرانی کی ضرورت حقیقی ہے۔

شعبہ جاتی مقامی سازی

DPDPA سے الگ، متعدد بھارتی شعبہ جاتی ریگولیٹرز — مالی ڈیٹا کے لیے ریزرو بینک آف انڈیا اور صحت کے ڈیٹا کے لیے وزارت صحت سمیت — کی اپنی مقامی سازی کی ضروریات ہیں جو DPDPA کے اوپر بیٹھتی ہیں۔ ان منظم شعبوں میں سے کسی ایک میں بھارتی صارفین کی خدمت کرنے والے ناشر کو DPDPA اور قابل اطلاق شعبہ جاتی قواعد دونوں کی تعمیل کرنی ہوگی۔

ڈیٹا اصول کے حقوق

DPDPA ڈیٹا اصولوں کو GDPR سے کچھ تنگ لیکن مانوس حقوق کا ایک مجموعہ دیتا ہے:

• پروسیس کیے جا رہے ذاتی ڈیٹا تک رسائی کا حق، زمرے اور پروسیسرز سمیت
• ذاتی ڈیٹا کی تصحیح، تکمیل اور اپ ڈیٹنگ کا حق
• بیان کردہ مقصد کے لیے اب ضروری نہ ہونے والے ذاتی ڈیٹا کے مٹانے کا حق
• موت یا ناقابلیت کی صورت میں ڈیٹا اصول کی جانب سے حقوق استعمال کرنے کے لیے کسی دوسرے فرد کو نامزد کرنے کا حق
• ڈیٹا فیڈوشری کے ذریعے شکایت کے ازالے کا حق
• اگر شکایت کا ازالہ تسلی بخش نہ ہو تو ڈیٹا تحفظ بورڈ کو شکایت کرنے کا حق

حقوق کی فہرست میں کیا نہیں ہے

DPDPA میں قابل انتقال کا کوئی آزاد حق، پروسیسنگ پر اعتراض کا عمومی حق، یا خودکار فیصلہ سازی کے خلاف کوئی صریح حق شامل نہیں ہے — حالانکہ اہم ڈیٹا فیڈوشری نظام اور رضامندی واپسی کا طریقہ کار اسی زمین کا بڑا حصہ بالواسطہ طور پر احاطہ کرتے ہیں۔

جواب کی مدت

ڈیٹا فیڈوشریز کو مطلوعہ قواعد میں مقررہ مدت کے اندر ڈیٹا اصول کی درخواستوں کا جواب دینا ہوگا — جو زیادہ تر معاملات میں مقررہ کھڑکی سے تجاوز نہ کرنے والی معقول مدت کے اندر ہے، جس میں DPBI معنی خیز تاخیر کو تعمیل کی ناکامی کے طور پر سمجھتا ہے۔ شکایت کے ازالے کا نظام پہلا قدم ہے؛ صرف حل نہ ہونے والی شکایات ہی بورڈ تک پہنچتی ہیں۔

اہم ڈیٹا فیڈوشریز

اہم ڈیٹا فیڈوشری (SDF) عہدہ بنیادی DPDPA ضروریات سے آگے اضافی ذمہ داریوں کو متحرک کرتا ہے۔

اضافی ذمہ داریاں

• بھارت میں مقیم ڈیٹا پروٹیکشن آفیسر کی تقرری
• مخصوص پروسیسنگ سرگرمیوں کے لیے وقتاً فوقتاً ڈیٹا تحفظ اثر کا جائزہ
• وقتاً فوقتاً آزاد آڈٹ
• الگورتھمک پروسیسنگ کے بارے میں اضافی شفافیت ذمہ داریاں
• سخت خلاف ورزی کی اطلاع اور ریکارڈ رکھنا

کون اہل ہے

سائز، پروسیس کیے گئے ذاتی ڈیٹا کا حجم، ڈیٹا کی حساسیت، ڈیٹا اصولوں کو خطرہ، انتخابی جمہوریت، سلامتی اور خودمختاری پر ممکنہ اثر، اور امن عامہ پر ممکنہ اثر سب عوامل ہیں۔ مرکزی حکومت SDF کو انفرادی طور پر یا زمرے کے لحاظ سے مطلع کرتی ہے۔ بھارت کی خدمت کرنے والے زیادہ تر بڑے عالمی پلیٹ فارم 2026 میں مطلوعہ زمروں میں آتے ہیں۔

بچوں کا ڈیٹا

DPDPA بچے کی تعریف 18 سال سے کم عمر کے کسی بھی فرد کے طور پر کرتا ہے — GDPR کے 16 کے معیاری حد اور مختلف کم قومی حدود سے زیادہ حد۔ بچوں کے ذاتی ڈیٹا کی پروسیسنگ کے لیے قابل تصدیق والدین کی رضامندی درکار ہے، اور رضامندی کی حالت سے قطع نظر بچوں کی ٹریکنگ، ہدفی اشتہار اور رویے کی نگرانی محدود ہے۔ ناشر جن کے سامعین میں 18 سال سے کم کا اہم ٹریفک شامل ہے انہیں عمر کی رکاوٹ، والدین کی رضامندی کے بہاؤ اور نابالغ طبقے کے لیے محدود پروسیسنگ کی ضرورت ہے — یہ سب کچھ حقیقی انجینئرنگ کام کی ضرورت کرتے ہیں جو چند غیر ملکی ناشرین نے بطور ڈیفالٹ مکمل کیا ہے۔

جرمانے اور نفاذ

DPDPA نے ایک جرمانہ نظام متعارف کرایا جو تاریخی بھارتی انتظامی جرمانوں سے زیادہ تھا اور خلاف ورزی کی سنگینی کے مطابق معنی خیز طور پر درجہ بندی شدہ تھا۔

انتظامی جرمانے

DPDPA سب سے سنگین خلاف ورزیوں کے لیے خلاف ورزی کے لیے INR 250 کروڑ (تقریباً USD 30 ملین) تک جرمانے کی اجازت دیتا ہے۔ رضامندی، نوٹس، سلامتی، خلاف ورزی کی اطلاع اور شکایت کے ازالے کے گرد ناکامیوں پر کم درجے کے جرمانے لاگو ہوتے ہیں۔ DPBI نے 2025 اور 2026 کے اوائل میں کئی مرتبہ رینج کے وسط کا استعمال کیا ہے، اور جرمانے کی ساخت منظم ناکامی کے ساتھ بڑھنے کے لیے ڈیزائن کی گئی ہے۔

DPBI کے نفاذی موضوعات

ابتدائی DPBI کے فیصلے بار بار آنے والے مسائل کے ایک چھوٹے سے سیٹ کے ارد گرد جمع ہوتے ہیں: حقیقی مسترد آپشن کے بغیر رضامندی بینرز، نوٹسز جو DPBI شکایت چینلز کو بیان نہیں کرتے، محدود فہرست میں مقامات کو سرحد پار بہاؤ، شکایت کے ازالے کے نظام جو درحقیقت جواب نہیں دیتے، اور رضامندی مینیجر قابل تعاملیت ناکامیاں۔ غیر ملکی ناشرین کو ان تمام زمروں میں سے تقریباً تمام میں حوالہ دیا گیا ہے۔

شہرت کا پہلو

DPBI اپنے فیصلے عوامی طور پر شائع کرتا ہے، جس میں فیڈوشری کا نام اور ناکامی کا خلاصہ شامل ہے۔ بھارتی بازار میں جہاں ریگولیٹری رگڑ جلدی میڈیا کوریج اور سیاسی توجہ میں تبدیل ہو جاتی ہے، مالی جرمانے کے علاوہ شائع شدہ DPBI فیصلے کی شہرت کی لاگت معنی خیز ہے۔

2026 میں بھارتی ٹریفک کے لیے آڈٹ چیک لسٹ

• CMP بینر قبول کریں، مسترد کریں اور اپنی مرضی کریں کے ساتھ برابر بصری نمایاں پیش کیا جا رہا ہے
• نوٹس انگریزی میں اور قابل اطلاق ہونے پر ڈیٹا اصول کی درخواست کردہ شیڈول زبان میں دستیاب ہے
• نوٹس DPBI شکایت چینل اور ڈیٹا اصول کے حقوق کو واضح طور پر بیان کرتا ہے
• رضامندی کے مقاصد تفصیلی ہیں، سرحد پار منتقلی ایک الگ مقصد کے طور پر
• کم از کم ایک رجسٹرڈ رضامندی مینیجر کے ساتھ تکنیکی قابل تعاملیت موجود ہے
• رضامندی واپس لینا رضامندی دینے جتنا آسان ہے، اور نیچے کی طرف حذف اور فعالیت فلٹرنگ کو متحرک کرتا ہے
• ڈیٹا اصول کے حقوق کا ورک فلو — رسائی، تصحیح، مٹانا، نامزد کرنا — عملے اور دستاویزات سے بھرا ہوا ہے
• شکایت کے ازالے کا چینل ردعمل کی مدت کے ساتھ عملے سے بھرا ہوا ہے
• سرحد پار منتقلی کی منازل موجودہ محدود فہرست کے خلاف جائزہ لی گئی اور دستاویزی ہیں
• اہم ڈیٹا فیڈوشری ذمہ داریاں — DPO، DPIA، آڈٹ — اگر حد پار ہو گئی تو موجود ہیں
• 18 سال سے کم صارفین کے لیے عمر سے آگاہ بہاؤ، قابل اطلاق ہونے پر قابل تصدیق والدین کی رضامندی کے ساتھ
• شعبہ جاتی مقامی سازی اور پروسیسنگ قواعد دستاویزی اور تعمیل یافتہ ہیں اگر ناشر منظم شعبے میں کام کرتا ہے

2026 کا نظریہ

بھارت کا رازداری نظام تھوڑا دو سال سے زیادہ کی جگہ میں قانون سازی کے تجریدیت سے عملیاتی حقیقت تک منتقل ہو گیا ہے۔ DPDPA کا فن تعمیر نمایاں ہے — رضامندی مینیجر کا ماحولیاتی نظام قابل انتقال، قابل تعاملیت رضامندی میں سب سے نمایاں عالمی تجربہ ہے، اور منتقلی کا منفی فہرست نقطہ نظر دیگر فریم ورکس پر غلبہ رکھنے والے مناسبیت-زائد-تحفظات کے نمونے سے معنی خیز طور پر مختلف ہے۔ پہلے سے GDPR گریڈ رضامندی اسٹیک چلانے والے ناشرین کے لیے DPDPA تعمیل کا فرق تعمیراتی کی بجائے عملیاتی ہے: رضامندی مینیجر قابل تعاملیت، شیڈول زبان نوٹسز، DPBI شکایت انکشافات، 18 سال سے کم حد اور منفی فہرست منتقلی جانچ۔ اگر ترجیح دی جائے تو فرق ہفتوں میں بند کیا جا سکتا ہے۔ جو ناشر DPBI کے ان کے دروازے پر آنے سے پہلے اسے بند کر لیتے ہیں وہ منتقلی کو نوٹس نہیں کریں گے۔ جو لوگ انتظار کریں گے وہ 2026 اور 2027 کو گزرے سالوں سے معنی خیز طور پر زیادہ مہنگا پائیں گے۔