DPDP Act का नया पंगा: RBI और Income Tax के नियमों से टकराव, कंपनियों पर पड़ेगा करोड़ों का बोझ!

भारत सरकार के नए डिजिटल पर्सनल डेटा प्रोटेक्शन एक्ट (DPDP Act) ने देश में डेटा मैनेजमेंट के तरीकों पर गंभीर सवाल खड़े कर दिए हैं। यह एक्ट डेटा को उसके मूल उद्देश्य के पूरा होने के बाद डिलीट करने के सिद्धांत पर आधारित है, जो सीधे तौर पर रिजर्व बैंक ऑफ इंडिया (RBI) और इनकम टैक्स एक्ट (Income Tax Act) जैसे मौजूदा कानूनों के डेटा को कुछ समय तक सुरक्षित रखने (retention) के अनिवार्य नियमों के साथ टकराव पैदा कर रहा है। इस जटिल स्थिति से निपटने के लिए कंपनियों को अपने डेटा हैंडलिंग (data handling) के तरीकों में बड़े बदलाव करने होंगे, जिसमें परिचालन (operational) और वित्तीय (financial) दोनों तरह की चुनौतियां शामिल हैं।

कंप्लायंस का महंगा खेल

DPDP Act के अनुसार, यदि व्यक्तिगत डेटा को उसके मूल उद्देश्य के लिए अब और आवश्यकता नहीं है, तो उसे डिलीट कर देना चाहिए, जब तक कि किसी कानून के तहत उसे रखना अनिवार्य न हो। यह नियम सेक्टर-स्पेसिफिक रेगुलेशन के साथ सीधे तौर पर टकराता है। उदाहरण के लिए, RBI के नियमों के तहत, रेगुलेटेड संस्थाओं को ग्राहक को जानने (KYC) के रिकॉर्ड्स को रिलेशनशिप खत्म होने के बाद कम से कम 5 साल तक बनाए रखना होता है, जबकि ट्रांजैक्शन रिकॉर्ड्स को अक्सर 5 से 10 साल तक सुरक्षित रखना पड़ सकता है। इसी तरह, इनकम टैक्स एक्ट, 1961 के अनुसार, अकाउंट रिकॉर्ड्स को कम से कम 6 साल तक रखना आवश्यक है, और कुछ परिस्थितियों में टैक्स अथॉरिटीज 10 साल तक असेसमेंट को फिर से खोल सकती हैं।

ये मौजूदा और कानूनी रूप से अनिवार्य रिटेंशन पीरियड एक तनाव पैदा करते हैं। हालांकि, DPDP फ्रेमवर्क तब डेटा रिटेंशन की अनुमति देता है जब कोई वैध कानूनी बाध्यता हो। इसे लागू करने के लिए कंपनियों को विस्तृत डेटा इन्वेंट्री (data inventory) तैयार करनी होगी, डेटा फ्लो को मैप करना होगा, जानकारी को कानूनी रूप से मान्य श्रेणियों में वर्गीकृत करना होगा और ऑटोमेटेड रिटेंशन शेड्यूल (automated retention schedules) लागू करने होंगे। ऐसे व्यापक डेटा इन्वेंट्री और रिटेंशन मैट्रिक्स को तैयार करने में संगठन की जटिलता के आधार पर 6 से 12 महीने लग सकते हैं।

वित्तीय प्रभाव भी काफी महत्वपूर्ण हैं। DPDP Act के तहत गैर-अनुपालन (non-compliance) के हर मामले में ₹250 करोड़ तक का मौद्रिक जुर्माना लगाया जा सकता है। डेटा ब्रीच (data breach) की सूचना देने में विफलता जैसे विशिष्ट उल्लंघनों के लिए ₹200 करोड़ तक का जुर्माना हो सकता है। इंडस्ट्री का अनुमान है कि मध्यम से बड़े उद्यमों (enterprises) के लिए कंप्लायंस लागत ₹50 लाख से ₹5 करोड़ तक हो सकती है। कुछ रिपोर्ट्स के अनुसार, बड़े उद्यमों के लिए एकमुश्त लागत ₹18 करोड़ तक पहुंच सकती है, जबकि वार्षिक आवर्ती लागत ₹50 लाख से ₹10 करोड़ तक हो सकती है। स्टार्टअप्स और छोटे व मध्यम उद्यमों (SMEs) के लिए, जिनके पास अक्सर समर्पित कानूनी और कंप्लायंस विभाग नहीं होते, यह लागत एक बड़ा बोझ है जो नवाचार (innovation) को बाधित कर सकता है।

वैश्विक संदर्भ और परिचालन दबाव

डेटा रिटेंशन नियमों में यह नियामक अंतर और इससे जुड़ी कंप्लायंस की मार केवल भारत तक सीमित नहीं है। GDPR जैसे वैश्विक फ्रेमवर्क के तहत भी भारी जुर्माना लगाया जाता है, जो कभी-कभी वैश्विक वार्षिक टर्नओवर का 4% या €20 मिलियन तक पहुंच सकता है, जिससे दुनिया भर में इसी तरह का दबाव बना रहता है। हालांकि, भारत का DPDP Act, अपने दायरे में संकीर्ण होने के बावजूद (डिजिटल डेटा पर केंद्रित), अपनी विशिष्ट जटिलताएं पेश करता है, खासकर क्रॉस-बॉर्डर डेटा ट्रांसफर और "लॉफुल पर्पज" (lawful purpose) की व्यापक परिभाषा को लेकर, जिससे अस्पष्टता पैदा हो सकती है।

भारत की विशाल डिजिटल अर्थव्यवस्था को देखते हुए, परिचालन पर व्यापक प्रभाव पड़ेगा। कंपनियां कंप्लायंस के प्रबंधन के लिए प्रौद्योगिकी अपग्रेड और विशेष कर्मियों में तेजी से निवेश कर रही हैं, और डिजिटल ट्रांसफॉर्मेशन (digital transformation) स्वयं परिचालन बजट को बढ़ा रहा है। यह नियामक विकास कंपनियों को डेटा गवर्नेंस को अनिवार्य घटक के रूप में मानने के लिए मजबूर कर रहा है। नई गोपनीयता तकनीकों को मौजूदा लीगेसी सिस्टम (legacy systems) में एकीकृत करने में कई संगठन संघर्ष कर रहे हैं और विषय-विशेषज्ञता (subject-matter expertise) की कमी का सामना कर रहे हैं।

भारी जुर्माने का जोखिम

गंभीर वित्तीय दंड की संभावना, विभिन्न नियामक मांगों को संरेखित करने की अंतर्निहित जटिलता के साथ, एक महत्वपूर्ण जोखिम प्रस्तुत करती है। इस संरेखण को प्राप्त करने में विफलता से ऐसे जुर्माने लग सकते हैं जो सक्रिय अनुपालन उपायों की लागत से कहीं अधिक हों। रिपोर्टों से पता चलता है कि भारत में डेटा ब्रीच की औसत लागत पहले ही ₹22 करोड़ तक पहुंच चुकी है, और DPDP से संबंधित घटनाओं के साथ यह आंकड़ा बढ़ने की उम्मीद है। ₹250 करोड़ तक के व्यापक दंड, जैसे कि उचित सुरक्षा उपाय लागू करने में विफलता के लिए, और ₹200 करोड़ अधिसूचना विफलताओं के लिए, इस बात को रेखांकित करते हैं कि गैर-अनुपालन एक हाई-स्टेक जुआ है।

इसके अलावा, "लॉफुल पर्पज" जैसे शब्दों के आसपास की अस्पष्टता कंपनियों को अनपेक्षित देनदारियों में फंसा सकती है। इन अंतरराष्ट्रीय व्यवस्थाओं की तुलना में स्पष्टता की कमी, कंप्लायंस के बोझ को बढ़ाती है। वित्तीय संस्थानों के लिए, लंबे समय तक KYC रिकॉर्ड बनाए रखने की आवश्यकता, जो डेटा मिनिमाइजेशन (data minimization) के सिद्धांतों के साथ संभावित रूप से टकरा सकती है, परिचालन और कानूनी जांच की एक और परत जोड़ती है। डेटा के अनुचित विलोपन या अत्यधिक प्रतिधारण की संभावना, पिछले वैश्विक मामलों में बहु-मिलियन यूरो के जुर्माने का कारण बनी है, जो मजबूत डेटा लाइफसाइकिल प्रबंधन (data lifecycle management) के महत्वपूर्ण महत्व को उजागर करती है। कई कंपनियां थर्ड-पार्टी वेंडर (third-party vendor) के जोखिमों के लिए तैयार नहीं हैं, जो सीधे तौर पर फिड्यूशियरी लायबिलिटी (fiduciary liabilities) और भारी जुर्माने का कारण बन सकता है।

भविष्य का दृष्टिकोण

DPDP Act को मौजूदा सेक्टरल रेगुलेशन के साथ संरेखित करना एक सतत रणनीतिक अनिवार्यता है। पूर्ण प्रवर्तन (enforcement) से पहले संक्रमण अवधि संगठनों के लिए आंतरिक नीतियों को संरेखित करने हेतु महत्वपूर्ण है। जो संगठन DPDP कंप्लायंस को केवल एक नियामक चेकलिस्ट के बजाय एक संरचनात्मक परिवर्तन के रूप में मानते हैं, वे अधिक विश्वास और लचीलापन (resilience) बनाने की संभावना रखते हैं। डिजिटल कंप्लायंस की बढ़ती प्रवृत्ति और परिष्कृत डेटा गवर्नेंस फ्रेमवर्क की आवश्यकता बताती है कि इस विकसित होते नियामक परिदृश्य को प्रभावी ढंग से प्रबंधित करने के लिए प्रौद्योगिकी, विशेषज्ञता और मजबूत प्रक्रियाओं में निरंतर निवेश आवश्यक होगा।