DPDPA नोटिस की ज़रूरतें: इसमें क्या-क्या शामिल करें

जब भी आप व्यक्तिगत डेटा इकट्ठा करते हैं, आपको उस व्यक्ति को एक नोटिस देना होता है। नोटिस सही बनाना अनुपालन के सबसे व्यावहारिक कामों में से एक है — और इसे तुरंत लागू किया जा सकता है।

DPDPA के तहत नोटिस क्या है?

DPDPA के Section 5 के तहत, व्यक्तिगत डेटा इकट्ठा करने से पहले या उसी समय, Data Fiduciary (डेटा न्यासी — जो व्यवसाय तय करता है कि डेटा क्यों और कैसे इस्तेमाल होगा) को Data Principal (डेटा प्रधान — वह व्यक्ति जिसका डेटा है) को एक नोटिस देना होता है, जिसमें ये बातें हों:

• कौन-सा व्यक्तिगत डेटा इकट्ठा किया जा रहा है — साफ़-साफ़ बताया हुआ, गोलमोल नहीं
• डेटा किस उद्देश्य से प्रोसेस किया जा रहा है — हर अलग उद्देश्य अलग से लिखा होना चाहिए
• Data Principal अपने अधिकारों का इस्तेमाल कैसे कर सकता है — कहाँ जाना है, अनुरोध कैसे करना है
• सहमति कैसे वापस लें — यह उतना ही आसान होना चाहिए जितना सहमति देना
• Data Protection Board में शिकायत कैसे करें — एक्ट के तहत हर नोटिस में यह बताना ज़रूरी है

नोटिस कहाँ-कहाँ दिखना चाहिए?

नोटिस हर सहमति-अनुरोध के साथ या उससे पहले दिखना ज़रूरी है। यानी इसकी ज़रूरत इन जगहों पर है:

• वेबसाइट के पूछताछ और संपर्क फ़ॉर्म
• चेकआउट और अकाउंट बनाने के फ़्लो
• नौकरी के आवेदन फ़ॉर्म
• एडमिशन और एनरोलमेंट फ़ॉर्म
• WhatsApp और SMS ऑप्ट-इन फ़्लो
• न्यूज़लेटर सब्सक्रिप्शन फ़ॉर्म

अच्छा नोटिस कैसा दिखता है?

DPDPA के अनुरूप नोटिस ऐसा होना चाहिए:

• विशिष्ट — “आपका नाम और ईमेल आपको कोर्स अपडेट भेजने के लिए इस्तेमाल होगा”, न कि “आपका अनुभव बेहतर बनाने के लिए इस्तेमाल होगा”
• आसान भाषा — भारी-भरकम क़ानूनी शब्दों से बचें; ऐसा लिखें कि 12 साल का बच्चा भी समझ ले
• साफ़ दिखने वाला — सहमति देने की जगह के ठीक बगल में रखा हुआ, नियम और शर्तों (T&Cs) में दबा हुआ नहीं
• उद्देश्य के हिसाब से अलग-अलग — अगर आप कई उद्देश्यों के लिए डेटा इकट्ठा कर रहे हैं, तो हर उद्देश्य अलग से लिखें

नोटिस में ये नहीं चलेगा

• “व्यावसायिक उद्देश्यों के लिए” या “सेवाएँ बेहतर बनाने के लिए” जैसे गोलमोल वाक्यांश
• कई उद्देश्यों को एक ही वाक्य में मिला देना
• 30 पेज के नियम और शर्तें (Terms and Conditions) वाले दस्तावेज़ में छिपा होना
• ऐसी भाषा जिससे लगे कि व्यक्ति के पास कोई विकल्प ही नहीं है

नमूना नोटिस भाषा (सिर्फ़ उदाहरण के लिए)

नौकरी के आवेदन फ़ॉर्म के लिए:

“इस फ़ॉर्म में आप जो जानकारी देंगे (नाम, संपर्क विवरण, काम का अनुभव, योग्यताएँ), उसका इस्तेमाल हम [X] पद के लिए आपके आवेदन का मूल्यांकन करने में करेंगे। अगर आपका चयन होता है, तो हम रोज़गार से जुड़े उद्देश्यों के लिए आपका डेटा रखेंगे। अगर चयन नहीं होता, तो हम आपका CV 12 महीने तक रखेंगे, ताकि कोई और उपयुक्त पद निकलने पर उस पर विचार हो सके — आप नीचे इससे ऑप्ट-आउट कर सकते हैं। अपना डेटा देखने, सुधारने या मिटाने के लिए आप privacy@yourcompany.com पर ईमेल करके अनुरोध कर सकते हैं।”

नोटिस बनाम प्राइवेसी नोटिस (प्राइवेसी पॉलिसी)

सहमति नोटिस डेटा इकट्ठा करने की जगह पर दी जाने वाली छोटी, उद्देश्य-विशेष जानकारी है। यह आपके पूरे प्राइवेसी नोटिस (प्राइवेसी पॉलिसी) से अलग है, जो एक विस्तृत दस्तावेज़ है और आपकी सभी डेटा प्रोसेसिंग गतिविधियों को कवर करता है।

दोनों ज़रूरी हैं। सहमति नोटिस ठीक उसी पल दी जाने वाली जानकारी है; प्राइवेसी नोटिस पूरा संदर्भ दस्तावेज़ है। आपके सहमति नोटिस में आपके पूरे प्राइवेसी नोटिस का लिंक होना चाहिए।

लागू करने के व्यावहारिक कदम

• हर वह जगह (टचपॉइंट) लिखें जहाँ आपका व्यवसाय व्यक्तिगत डेटा इकट्ठा करता है
• हर टचपॉइंट के लिए एक छोटा, विशिष्ट नोटिस तैयार करें, जिसमें ऊपर बताई गई पाँचों ज़रूरी बातें हों
• नोटिस को सहमति चेकबॉक्स के ठीक ऊपर या बगल में रखें
• पक्का करें कि नोटिस में आपके पूरे प्राइवेसी नोटिस का लिंक हो
• जब आप डेटा के इस्तेमाल का तरीक़ा बदलें, तो नोटिस अपडेट करें और ज़रूरत हो तो दोबारा सहमति लें
• सहमति के समय नोटिस का कौन-सा वर्ज़न दिखाया गया था, इसका रिकॉर्ड रखें

पहले से मौजूद डेटा के लिए नोटिस

अगर आपने DPDPA लागू होने से पहले व्यक्तिगत डेटा इकट्ठा किया था और अनुपालन वाला नोटिस नहीं दिया था, तो आपको इसे ठीक करना होगा। विकल्प ये हैं:

• नए, अनुपालन वाले नोटिस के साथ दोबारा सहमति लेने का अभियान (री-कंसेंट कैंपेन) चलाना
• मौजूदा संपर्कों को बाद में (रेट्रोएक्टिव) नोटिस भेजना, जिसमें बताया जाए कि उनका डेटा कैसे इस्तेमाल होता है
• अगर दोबारा सहमति न मिल सके, तो अनुपालन के बिना इकट्ठा किया गया डेटा मिटा देना