डेटा ब्रीच हो जाए तो क्या करें? DPDP नियम 7 और 2 समयसीमाएँ

मान लीजिए आज, 24 अगस्त 2026 को, आपके संगठन में डेटा ब्रीच हो जाता है। भारत में इस समय जो कानूनी घड़ी चल रही है वह CERT In की 6 घंटे की है, DPDP की 72 घंटे की नहीं। DPDP नियम 7 की सूचना का दायित्व अभी शुरू नहीं हुआ है। व्यवहार में यही फ़र्क़ सबसे ज़रूरी है।

2 समयसीमाएँ, साथ में देखिए

दोनों एक दूसरे की जगह नहीं लेते। CERT In को रिपोर्ट कर देने से Board या प्रभावित व्यक्तियों को सूचना नहीं मिल जाती, और DPDP की सूचनाएँ CERT In का दायित्व पूरा नहीं करतीं। दोनों की तुलना विस्तार से 72 घंटे और 6 घंटे वाले लेख में है।

नियम 7 का आधिकारिक हिंदी पाठ

DPDP Rules 2025 भारत के राजपत्र सं. 760 में 13 नवम्बर 2025 को द्विभाषी रूप में छपे। हिंदी पाठ राजपत्र के पृष्ठ 1 से 23 तक है और अंग्रेज़ी पाठ पृष्ठ 24 से शुरू होता है। नियम 7 हिंदी में पृष्ठ 4 पर शुरू होता है और पृष्ठ 5 पर पूरा होता है। जैसा छपा है:

"7. वैयक्तिक डाटा उल्लंघन की सूचना.—(1) किसी भी वैयक्तिक डाटा उल्लंघन की जानकारी प्राप्त होने पर, डेटा फ़िड्युसरी, अपनी सर्वोत्तम जानकारी के अनुसार, प्रत्येक प्रभावित डेटा प्रिंसिपल को, संक्षिप्त, स्पष्ट और स्पष्ट तरीके से और बिना किसी देरी के, अपने उपयोगकर्ता खाते या डेटा फ़िड्युसरी के साथ पंजीकृत किसी भी संचार माध्यम के माध्यम से, सूचित करेगी —"

नियम 7(1), आधिकारिक हिंदी राजपत्र, राजपत्र सं. 760, हिंदी पृष्ठ 4।

2 बातें ध्यान देने लायक हैं। पहली, पाठ में दायित्व "जानकारी प्राप्त होने पर" से जुड़ा है, किसी न्यूनतम गंभीरता या सीमा से नहीं; नियम के पाठ में कोई ऐसी सीमा नहीं छपी है। दूसरी, नियम 7 के साथ कोई उदाहरण नहीं छपा है, जबकि उसके ठीक बाद वाले नियम 8 के साथ उदाहरण छपे हैं, उसी हिंदी पृष्ठ 5 पर। इसलिए नियम 7 का दायरा उसके अपने शब्दों से ही पढ़ा जाएगा। यह इस साइट का पाठ आधारित निष्कर्ष है; राजपत्र में ऐसा कोई कथन नहीं छपा है जो उदाहरणों की भूमिका तय करता हो।

10 दिसम्बर 2025 की शुद्धिपत्र अधिसूचना सा.का.नि. 892(अ) राजपत्र के पृष्ठ 24, 29, 32, 34 और 38 में सुधार करती है। ये सभी पृष्ठ अंग्रेज़ी खंड के हैं। ऊपर उद्धृत हिंदी पाठ के किसी शब्द में कोई सुधार नहीं हुआ है। इतना और जोड़ना ज़रूरी है: पृष्ठ 24 पर हुआ सुधार आरंभ वाले नियम 1(3) और 1(4) के शब्दों का है, जहाँ अंग्रेज़ी में "of this Gazette" के स्थान पर "in the Official Gazette" पढ़ा जाएगा। हिंदी पाठ में यह सुधार नहीं किया गया, इसलिए हिंदी नियम 1(4) में वही शब्द छपे रहते हैं जो नीचे उद्धृत हैं। 18 महीने की अवधि और उससे निकलने वाली तारीख इस सुधार से नहीं बदलती।

प्रभावित Data Principal को क्या बताना होगा

नियम 7(1) 5 बातें तय करता है। नीचे के शब्द आधिकारिक हिंदी पाठ के हैं, हिंदी पृष्ठ 4 से:

नियम 7 के लागू होने पर यह सूचना उपयोगकर्ता खाते के ज़रिए या Data Fiduciary के साथ पंजीकृत किसी संचार माध्यम से भेजनी होगी। उस समय भाषा आम आदमी की होनी चाहिए, कानूनी भरती की नहीं।

Board को सूचना 2 चरणों में, एक बार में नहीं

यह वह जगह है जहाँ सबसे आम गलती होती है। नियम 7(2) सिर्फ़ 72 घंटे का दायित्व नहीं है। यह 2 चरणों में बँटा है:

"(2) किसी भी वैयक्तिक डेटा भंग की जानकारी मिलने पर, डेटा फ़िड्युसरी बोर्ड को सूचित करेगा, - (क) बिना किसी देरी के, भंग का विवरण, जिसमें उसकी प्रकृति, सीमा, घटना का समय और स्थान तथा संभावित प्रभाव शामिल हैं; (ख) भंग की जानकारी मिलने के बहत्तर घंटों के भीतर, या बोर्ड द्वारा इस संबंध में लिखित रूप में किए गए अनुरोध पर दी गई अधिक अवधि के भीतर, …"

नियम 7(2), हिंदी पृष्ठ 4, मद (i) से (vi) से पहले संक्षिप्त।

चरण 2 की मद (i) और (ii) हिंदी पृष्ठ 4 पर हैं और मद (iii) से (vi) हिंदी पृष्ठ 5 पर, जहाँ नियम 8 भी शुरू होता है।

चरण 1 को पूरी तस्वीर के लिए रोकना गलत रणनीति है, क्योंकि चरण 2 उसी विवरण को अद्यतन करने के लिए ही बना है। और 72 घंटे से अधिक समय अपने आप नहीं मिलता: अंग्रेज़ी पाठ में यह अवधि वह है जो इस संबंध में लिखित रूप में किए गए अनुरोध पर Board अनुमति दे सकता है, इसलिए अनुरोध समयसीमा बीतने से पहले जाना चाहिए। हिंदी पाठ इसी बिंदु पर अलग भी पढ़ा जा सकता है; उस पर नीचे अलग से लिखा है।

हिंदी पाठ की 3 बातें जो अंग्रेज़ी से अलग दिखती हैं

पहली, शब्दावली एक जैसी नहीं है। शीर्षक और नियम 7(1) में "वैयक्तिक डाटा उल्लंघन" छपा है, जबकि नियम 7(2) में "वैयक्तिक डेटा भंग"। खंडों में भी "भंग" ही चलता है। अंग्रेज़ी में दोनों जगह एक ही पद है, personal data breach।

दूसरी, अंग्रेज़ी पाठ में "concise, clear and plain" 3 अलग शब्द हैं, और हिंदी पाठ में "संक्षिप्त, स्पष्ट और स्पष्ट" छपा है, यानी दूसरा और तीसरा शब्द एक ही है। यह दोनों आधिकारिक पाठों का अंतर है, जो इसी राजपत्र अंक में क्रमशः हिंदी पृष्ठ 4 और अंग्रेज़ी पृष्ठ 26 पर देखा जा सकता है। कौन सा पाठ मान्य होगा, यह प्रश्न यहाँ तय नहीं किया जा रहा है।

तीसरी, और कानूनी रूप से सबसे भारी। नियम 7(2)(ख) के हिंदी पाठ में "बोर्ड द्वारा" शब्द "किए गए अनुरोध" के साथ जुड़े हुए छपे हैं, इसलिए हिंदी वाक्य को इस तरह भी पढ़ा जा सकता है कि लिखित अनुरोध बोर्ड करता है। अंग्रेज़ी पाठ में भूमिकाएँ इसकी उलटी हैं: अधिक अवधि वह है जिसकी अनुमति Board, इस संबंध में लिखित रूप में किए गए अनुरोध पर, दे सकता है। इन दोनों में कौन सा पाठ मान्य होगा, इस पर हमारे पास कोई आधिकारिक स्रोत नहीं है, इसलिए यह साइट यह प्रश्न तय नहीं करती। व्यावहारिक सलाह यही है कि अधिक अवधि को अपने आप मिलने वाली छूट न मानें, और नियम 7 लागू होने के बाद लिखित अनुरोध 72 घंटे बीतने से पहले स्वयं भेजें।

ब्रीच होने पर पहले घंटे में क्या करें

नियम 7 अभी लागू नहीं है, लेकिन काम करने का तरीका आज बनाना ही समझदारी है, क्योंकि दोनों घड़ियाँ पता चलने के क्षण से शुरू होती हैं, आपकी सुविधा से नहीं: CERT In में "noticing" से और नियम 7 में "जानकारी मिलने" से।

1. रोकें। प्रभावित सिस्टम अलग करें, उजागर हुए क्रेडेंशियल रद्द करें, रास्ता बंद करें, और साक्ष्य सुरक्षित रखें।
2. समय दर्ज करें। जिस क्षण संगठन को जानकारी मिली, उसकी तारीख और समय घटना लॉग में लिखें। आगे की हर समयसीमा इसी क्षण से नापी जाएगी।
3. CERT In की 6 घंटे की रिपोर्ट। यह दायित्व आज लागू है। यदि आपका संगठन service provider, intermediary, data centre, body corporate या सरकारी संगठन है, और घटना Annexure I की सूची में है, तो 6 घंटे में रिपोर्ट करना अनिवार्य है।
4. Data Processor को निर्देश दें। अधिनियम की धारा 8(1) के लागू होने पर, अपनी ओर से किसी Data Processor द्वारा किए गए प्रसंस्करण के संबंध में भी अनुपालन की जिम्मेदारी Data Fiduciary की होगी। तब वेंडर के यहाँ हुआ ब्रीच भी दायित्व को नहीं हटाएगा। धारा 8 का पूरा पाठ यहाँ है।
5. लॉग लिखते रहें। घटनाएँ, परिस्थितियाँ और कारण जैसे जैसे पता चलें, वैसे वैसे टाइमस्टैंप के साथ लिखें। चरण 2 की सूचना में यही तथ्य मांगे जाएंगे।

कहाँ भेजना है, इस पर एक व्यावहारिक बात: सा.का.नि. 844(अ) Data Protection Board of India की स्थापना करता है और उसका मुख्यालय राष्ट्रीय राजधानी क्षेत्र में रखता है, लेकिन 24 अगस्त 2026 तक इस साइट पर ट्रैक किए जा रहे प्राथमिक स्रोतों में Board का कोई समर्पित सूचना चैनल प्रकाशित नहीं हुआ है। चैनल प्रकाशित होते ही यह साइट उसे स्रोत के साथ जोड़ देगी।

यह कब से लागू होगा

नियम 7 उन नियमों में है जो प्रकाशन की तिथि से 18 महीने बाद प्रवृत्त होंगे। हिंदी पाठ में यह नियम 1(4) है, हिंदी पृष्ठ 2 पर:

"(4) नियम 3, 5 से 16, 22 और 23 इस राजपत्र के प्रकाशन की तिथि से अठारह माह के बाद प्रवृत्त होंगे।"

नियम 1(4), आधिकारिक हिंदी राजपत्र, हिंदी पृष्ठ 2।

नियम 7 "5 से 16" के भीतर आता है। अधिनियम की ओर से भी यही स्थिति है: सा.का.नि. 843(अ) के खंड (ग) के अनुसार धाराएँ 7 से 10 भी 18 महीने वाले समूह में हैं, इसलिए धारा 8 और उसकी उपधारा (6), जो ब्रीच की सूचना का आधार है, उसी समूह में है।

13 नवम्बर 2025 से 18 महीने की गणना करने पर तारीख 13 मई 2027 निकलती है। यह गणना की गई तारीख है और आधिकारिक पुष्टि होने तक व्याख्या मानी जाती है। इसका सीधा मतलब यह है कि 24 अगस्त 2026 को नियम 7 की कोई सूचना Board को देय नहीं है, और CERT In की 6 घंटे की रिपोर्ट देय है। DPDP की चरणबद्ध तारीखों की पूरी तस्वीर DPDP Act क्या है में है।

अभी क्या करें

आज तय कर लें कि पता कौन लगाएगा, ड्राफ्ट कौन बनाएगा, मंज़ूरी कौन देगा और Board तथा CERT In से बात कौन करेगा। दोनों सूचनाओं के ड्राफ्ट सादी भाषा में तैयार रखें, Data Processors की सूची उनके ब्रीच संपर्क के साथ रखें, और जानकारी मिलने से लेकर 72 घंटे की सूचना तक एक बार अभ्यास कर लें।

• नियम 7 का पूरा पाठ स्रोतों के साथ: नियम 7
• कदम दर कदम चलने वाला औज़ार, जिसमें 72 घंटे की जीवंत गिनती है: data breach response playbook
• अंग्रेज़ी में नियम 7 का विश्लेषण: DPDP data breach reporting, what Rule 7 actually requires
• अंग्रेज़ी में घंटे दर घंटे की कार्ययोजना: the hour by hour breach response playbook