13 मई 2027 तक DPDP कानून स्कूल और कोचिंग सेंटर के लिए क्या बदलता है?
13 मई 2027 से DPDP के अधिकांश दायित्व आपके संस्थान पर डेटा फ़िड्यूशियरी के रूप में लागू होंगे: स्पष्ट नोटिस, 18 साल से कम के लिए सत्यापित अभिभावक सहमति, सुरक्षा उपाय, उल्लंघन की सूचना और शिकायत व्यवस्था।
अंतिम समीक्षा: प्रकाशित: 9 मिनट पढ़ना
संक्षिप्त उत्तर: डिजिटल पर्सनल डेटा प्रोटेक्शन अधिनियम 2023 और DPDP नियम 2025 (13 नवंबर 2025 को अधिसूचित) हर स्कूल और कोचिंग सेंटर को अपने छात्रों, अभिभावकों और स्टाफ़ के डेटा का डेटा फ़िड्यूशियरी बनाते हैं। अधिकांश दायित्व 13 मई 2027 से शुरू होते हैं, हालाँकि कुछ फ़र्में 12 मई 2027 गिनती हैं, इसलिए मई के पहले सप्ताह तक तैयार रहिए। भारी काम हैं: सरल भाषा के नोटिस, 18 साल से कम बच्चों के लिए सत्यापित अभिभावक सहमति, एक साल तक लॉग रखने वाले सुरक्षा उपाय, 72 घंटे में विस्तृत उल्लंघन रिपोर्ट और 90 दिन में जवाब देने वाली शिकायत व्यवस्था। सुरक्षा में चूक पर जुर्माना ₹250 करोड़ तक हो सकता है। ब्योरे अपने वकील से पक्के कीजिए; यह गाइड योजना की चेकलिस्ट है।
स्कूल या कोचिंग में डेटा फ़िड्यूशियरी कौन है?
छात्र, अभिभावक और स्टाफ़ का डेटा क्यों और कैसे इस्तेमाल होगा, यह आपका संस्थान तय करता है, इसलिए वही डेटा फ़िड्यूशियरी है। जो सॉफ़्टवेयर वेंडर सिर्फ़ आपके निर्देश पर डेटा रखता या प्रोसेस करता है वह डेटा प्रोसेसर है (अधिनियम की धारा 8(2)) और उसे लिखित अनुबंध में काम करना चाहिए। अगर वेंडर आपकी छात्र-सूची अपनी मार्केटिंग, अपनी क्लास या मॉडल ट्रेनिंग के लिए इस्तेमाल करता है, तो वह प्रोसेसर नहीं रहता, खुद फ़िड्यूशियरी बन जाता है और उस उपयोग पर शिक्षा की छूट लागू नहीं होती। हर वेंडर से लिखित में पूछिए कि वह ऐसा कभी नहीं करता। हमारा रुख नो-पोच और डेटा स्वामित्व प्रतिज्ञा पेज पर है।
मुख्य तारीख़ें क्या हैं?
| तारीख़ | क्या होता है | आपके लिए मतलब |
|---|---|---|
| 13 नवंबर 2025 | DPDP नियम 2025 अधिसूचित (G.S.R. 846(E)); बोर्ड गठन के प्रावधान लागू | नियमों का पाठ अंतिम है; एक बार शुरू से अंत तक पढ़िए |
| 13 नवंबर 2026 | कंसेंट मैनेजर प्रावधान (नियम 4) | संस्थान का दायित्व नहीं, पर वेंडर कंसेंट-मैनेजर लिंक देने लग सकते हैं |
| 13 मई 2027 | नोटिस, सहमति, सुरक्षा (नियम 6), उल्लंघन (नियम 7), बच्चे (नियम 10), अधिकार, अवधारण और महत्वपूर्ण डेटा फ़िड्यूशियरी के दायित्व | आपकी कार्य-समय सीमा; कुछ फ़र्में 12 मई 2027 गिनती हैं |
संस्थान के लिए DPDP तैयारी की चेकलिस्ट क्या है?
- डेटा का नक्शा बनाइए। लिखिए कि आपके पास क्या है (एडमिशन फ़ॉर्म, आधार कॉपी, फ़ोटो, स्वास्थ्य नोट, फ़ीस रिकॉर्ड, उपस्थिति, अंक, CCTV), कहाँ रखा है (रजिस्टर, WhatsApp ग्रुप, Excel, ऐप) और कौन देख सकता है।
- नोटिस लिखिए। अलग से, सरल भाषा में, डेटा और उद्देश्यों की मदवार सूची के साथ, सहमति वापस लेने, अधिकार इस्तेमाल करने और डेटा प्रोटेक्शन बोर्ड में शिकायत करने के लिंक सहित। कम से कम हिंदी और अंग्रेज़ी में दीजिए; माँगने पर आठवीं अनुसूची की किसी भी भाषा में।
- बच्चों के लिए सहमति का रास्ता तय कीजिए। 18 साल से कम हर व्यक्ति अधिनियम में बच्चा है, इसलिए छूट न हो तो माता-पिता या अभिभावक की सत्यापित सहमति चाहिए। देखिए सत्यापित अभिभावक सहमति गाइड।
- हर उद्देश्य को छूट वाला या सहमति वाला चिह्नित कीजिए। उपस्थिति, शैक्षणिक प्रगति और सुरक्षा शिक्षा की छूट में आते हैं (नियम 12 और चौथी अनुसूची); प्रचार की फ़ोटो, मार्केटिंग और शिक्षा से बाहर का विश्लेषण सहमति माँगता है।
- डेटा सुरक्षित कीजिए। एन्क्रिप्शन या मास्किंग, भूमिका के अनुसार पहुँच, अनधिकृत पहुँच की निगरानी, बैकअप और 1 साल तक लॉग (नियम 6)।
- उल्लंघन योजना तैयार कीजिए। प्रभावित लोगों को बिना देरी बताइए और बोर्ड को बिना देरी, 72 घंटे में विस्तृत रिपोर्ट के साथ (नियम 7)। तय कीजिए कि निर्णय कौन लेगा, संदेश कौन लिखेगा और फ़ोन कौन करेगा।
- अवधारण और मिटाने के नियम तय कीजिए। उद्देश्य पूरा होने या सहमति वापस होने पर डेटा मिटाइए, जब तक कानून रखने को न कहे (बोर्ड रिकॉर्ड, RTE, कर और श्रम रिकॉर्ड)। लॉग और राज्य-उद्देश्य का डेटा कम से कम एक साल रखिए (नियम 8)।
- शिकायत व्यवस्था प्रकाशित कीजिए। पहुँच, सुधार, मिटाने और नामांकन के अनुरोध; 90 दिन में जवाब (नियम 14(3))। हर ऐप और नोटिस में संपर्क दिखाइए।
- हर प्रोसेसर से अनुबंध कीजिए। केवल निर्देश पर प्रोसेसिंग, सब-प्रोसेसर सूची, घंटों में आपको उल्लंघन की सूचना, अंत में डेटा मिटाना या लौटाना, ऑडिट के अधिकार।
- स्टाफ़ को प्रशिक्षित कीजिए और अभ्यास कीजिए। फ़्रंट ऑफ़िस, क्लास टीचर और अकाउंट्स स्टाफ़ सबसे ज़्यादा निजी डेटा संभालते हैं; साल में दो बार एक घंटे का सत्र एक घटना से बहुत सस्ता पड़ता है।
स्कूल-कोचिंग के किन उद्देश्यों के लिए सहमति चाहिए और किनके लिए नहीं?
| उद्देश्य | आम व्यवहार | कारण |
|---|---|---|
| उपस्थिति, अंक, शैक्षणिक प्रगति | अलग सहमति ज़रूरी नहीं (शैक्षणिक गतिविधि) | शैक्षणिक गतिविधि के लिए ट्रैकिंग या निगरानी की छूट के भीतर |
| बाल सुरक्षा, यात्रा के दौरान ट्रांसपोर्ट GPS | अलग सहमति ज़रूरी नहीं | सुरक्षा और यात्रा के समय की लोकेशन ट्रैकिंग सूचीबद्ध है |
| वेबसाइट या विज्ञापन के लिए फ़ोटो और वीडियो | सहमति ज़रूरी | शैक्षणिक गतिविधि से बाहर; कोचिंग में परिणाम के बाद लिखित सहमति भी चाहिए |
| मार्केटिंग संदेश, शिक्षा से बाहर का विश्लेषण | सहमति ज़रूरी | छूट में शामिल नहीं |
| क्लास के काम से बाहर AI ट्यूटर, कोचिंग में वेलबीइंग विश्लेषण | सहमति को डिफ़ॉल्ट मानें | कोचिंग केंद्र शैक्षणिक संस्थान गिने जाएँगे या नहीं, यह अभी परखा नहीं गया |
| टार्गेटेड विज्ञापन, विज्ञापन के लिए ट्रैकिंग, मार्केटिंग के लिए प्रोफ़ाइलिंग | बच्चों के लिए कभी नहीं | बिना किसी छूट के प्रतिबंधित |
18 साल या उससे बड़े छात्रों का क्या?
वयस्क छात्र अधिनियम में बच्चे नहीं हैं। कोचिंग में ड्रॉपर और सरकारी परीक्षा की तैयारी करने वाले अक्सर वयस्क होते हैं, इसलिए छात्र प्राथमिक संपर्क है और अभिभावक को दिखने वाली जानकारी देना या वापस लेना छात्र की सहमति पर है। जब स्कूल का छात्र 18 का होता है, तो माता-पिता की दी हुई सहमति सही आधार नहीं रहती; ऐसा रिमाइंडर बनाइए कि छात्र से दोबारा सहमति ली जा सके।
गलती करने पर जुर्माना कितना है?
- उचित सुरक्षा उपाय न रखने पर ₹250 करोड़ तक।
- उल्लंघन की सूचना न देने या बच्चों से जुड़े दायित्व तोड़ने पर ₹200 करोड़ तक।
- अन्य उल्लंघनों पर ₹50 करोड़ तक।
ये अनुसूची में तय अधिकतम सीमाएँ हैं; असली राशि बोर्ड तय करता है। छोटे स्कूल के लिए व्यावहारिक जोखिम हैं अभिभावकों की शिकायतें, घटना के बाद भरोसे की कमी और ऐसा वेंडर जो लॉग नहीं दिखा सकता।
30 दिन की DPDP तैयारी कैसे चलाएँ?
स्कूल या कोचिंग सेंटर के लिए 30 दिन की DPDP तैयारी योजना
सप्ताह 1: सूची बनाइए
लिखिए कि छात्र और अभिभावक का डेटा कहाँ-कहाँ है और किसकी पहुँच में है। दोहराई गई Excel शीट और जिन WhatsApp एक्सपोर्ट की ज़रूरत नहीं, उन्हें मिटाइए।
सप्ताह 2: नोटिस और सहमति
हिंदी और अंग्रेज़ी का नोटिस बनाइए, अभिभावक सहमति का रास्ता तय कीजिए और हर उद्देश्य को छूट वाला या सहमति वाला चिह्नित कीजिए।
सप्ताह 3: सुरक्षा और वेंडर
भूमिका-आधारित पहुँच, बैकअप और लॉगिंग चालू कीजिए। हर वेंडर से डेटा प्रोसेसिंग समझौता और सब-प्रोसेसर सूची माँगिए।
सप्ताह 4: उल्लंघन और शिकायत का अभ्यास
नकली उल्लंघन चलाइए: किसे बताना है, संदेश कौन लिखेगा, 72 घंटे की रिपोर्ट कौन दाख़िल करेगा। शिकायत का संपर्क प्रकाशित कीजिए।
सॉफ़्टवेयर कहाँ मदद करता है और कहाँ नहीं?
सॉफ़्टवेयर सहमति का खाता रख सकता है, नोटिस के संस्करण बना सकता है, भूमिकाएँ लागू कर सकता है, ऑडिट लॉग रख सकता है और अवधारण का शेड्यूल चला सकता है। वह आपके उद्देश्य तय नहीं कर सकता और आपके नोटिस पर हस्ताक्षर नहीं कर सकता। इन दायित्वों को पूरा करने में मदद के लिए Acavya क्या देता है, यह DPDP तैयारी पेज पर है; हम प्रमाणन का दावा नहीं करते, क्योंकि DPDP का कोई प्रमाणन मौजूद नहीं है।
क्या 30 छात्रों वाले छोटे ट्यूशन सेंटर पर भी DPDP लागू होता है?
हाँ। अधिनियम आकार की परवाह किए बिना डिजिटल व्यक्तिगत डेटा प्रोसेस करने वाले हर संस्था पर लागू है, हालाँकि राज्यों के कोचिंग कानूनों की अपनी छात्र-संख्या सीमाएँ हैं। छोटे केंद्र कदम हल्के रख सकते हैं, पर नोटिस, नाबालिगों की सहमति और सुरक्षा की बुनियादी बातें लागू रहती हैं।
क्या स्कूल आधार की कॉपी रख सकता है?
सिर्फ़ उतना लीजिए जितना ज़रूरी है और कम से कम रखिए। हमारा तरीका पूरा नंबर नहीं, आख़िरी चार अंक और कुंजी वाला हैश रखना है। पूरी कॉपी लेने से पहले अपने वकील से पूछिए।
अगर हमारे ERP वेंडर पर हैकिंग हो तो रिपोर्ट कौन करता है?
आप डेटा फ़िड्यूशियरी हैं, इसलिए प्रभावित लोगों और बोर्ड को बताना आपका काम है। वेंडर अनुबंध में लिखा होना चाहिए कि वह घंटों में आपको बताए, ताकि आप 72 घंटे की रिपोर्ट दे सकें।
क्या हमें डेटा प्रोटेक्शन ऑफ़िसर चाहिए?
अतिरिक्त अनिवार्य दायित्व सिर्फ़ महत्वपूर्ण डेटा फ़िड्यूशियरी पर हैं। फिर भी हर संस्थान को अधिकार और शिकायत के लिए एक संपर्क व्यक्ति तय करना चाहिए। अपने वकील से पूछिए कि कहीं आप महत्वपूर्ण घोषित तो नहीं हो सकते।
डेमो बुक कीजिए और Acavya में सहमति खाता और नोटिस संस्करण देखिए।
30 छात्रों तक 30 दिन का मुफ़्त ट्रायल, कार्ड की ज़रूरत नहीं। आप अपना संस्थान ख़ुद सेट करते हैं, और सब देखने के लिए एक वैकल्पिक नमूना सेटअप है। मुफ़्त प्लान ट्यूटर के लिए है।