DPDP சட்டம்: அபராதம் ஒருபக்கம், குழப்பமும் செலவும் மறுபக்கம்!

அரசின் புதிய கட்டுப்பாடு: வணிகங்களுக்கு சவால்கள்!

இந்தியாவின் டிஜிட்டல் பொருளாதாரம் தற்போது வளர்ந்து வரும் நிலையில், புதிய விதிமுறைகள் வணிகங்களுக்கு பெரும் சவாலாக மாறியுள்ளன. இந்தியாவின் டிஜிட்டல் தனிநபர் தரவு பாதுகாப்பு சட்டம், 2023 (DPDP Act) என்பது வெறும் அபராதங்களைப் பற்றியது மட்டுமல்ல. இது வணிகங்களுக்கு ஒரு சிக்கலான செயல்பாட்டு சவாலாக உருவெடுத்துள்ளது.

'சட்டப்பூர்வ நோக்கம்' - குழப்பத்தின் பிடியில் வணிகங்கள்!

இந்த DPDP சட்டத்தில், தரவுகளைச் செயலாக்குவதற்கான "சட்டப்பூர்வ நோக்கம்" (lawful purpose) என்பது, "சட்டத்தால் வெளிப்படையாகத் தடை செய்யப்படாத எதுவும்" என வரையறுக்கப்பட்டுள்ளது. இந்த பரந்த, எதிர்மறையான வரையறை, வணிகங்களுக்கு மிகப்பெரிய சட்டரீதியான குழப்பத்தை ஏற்படுத்தியுள்ளது. தரவு பாதுகாப்பு வாரியம் (Data Protection Board) இதை எப்படிப் புரிந்துகொள்கிறது என்பதைப் பொறுத்து, எதிர்பாராத சட்டச் சிக்கல்களை நிறுவனங்கள் சந்திக்க நேரிடும். இது நெகிழ்வுத்தன்மையை வழங்குவதாகத் தோன்றினாலும், முன்கூட்டியே வரையறுக்கப்பட்ட சட்ட வரம்புகளை விட, ஒழுங்குமுறை முடிவுகள் மூலமாக மட்டுமே சில தரவுப் பயன்பாடுகளின் சட்டப்பூர்வத் தன்மை தெளிவாகும் என்பதால், இது ஒரு பெரிய இணக்க அபாயத்தை உருவாக்குகிறது.

பாதுகாப்புச் செலவு: SMEs-க்கு பெரும் சுமை!

சட்டத்தின் பிரிவு 8(5)-ன் கீழ், "நியாயமான பாதுகாப்பு முன்னெச்சரிக்கைகள்" (reasonable security safeguards) எடுக்க வேண்டும் என்ற கட்டாயம், DPDP விதிகள் 2025-ல் விரிவாகக் கூறப்பட்டுள்ளது. இது "பாதுகாப்புக்கான ஏழு தூண்கள்" (seven pillars of security) என அழைக்கப்படுகிறது. இவை - விரிவான தரவுப் பாதுகாப்பு, கடுமையான அணுகல் கட்டுப்பாடுகள், நிகழ்நேர கண்காணிப்பு, வணிகத் தொடர்ச்சி, ஒரு வருடத்திற்கு பதிவுகளை வைத்திருத்தல், தரவுச் செயலாக்குபவர்களுக்கான ஒப்பந்தக் கடமைகள் மற்றும் பயனுள்ள தொழில்நுட்ப/அமைப்புசார் நடவடிக்கைகள். இவை அனைத்திற்கும் கணிசமான தொழில்நுட்ப மற்றும் செயல்முறை சீர்திருத்தங்களில் முதலீடு செய்ய வேண்டும்.

குறிப்பாக சிறு மற்றும் நடுத்தர நிறுவனங்களுக்கு (SMEs), என்க்ரிப்ஷன், மல்டி-ஃபாக்டர் ஆதென்டிகேஷன், ரோல்-பேஸ்ட் அணுகல் கட்டுப்பாடுகள் மற்றும் வலுவான பேக்கப் அமைப்புகளைச் செயல்படுத்துவதற்கான செலவு மிக அதிகம். சில மதிப்பீடுகளின்படி, இணக்கச் செலவுகள் செயல்பாட்டு பட்ஜெட்டை 10-30% வரை அதிகரிக்கக்கூடும். பெரிய சீர்திருத்தங்கள் தேவைப்பட்டால், SMEs-க்கு இந்த சதவீதம் மேலும் அதிகமாகும்.

இந்த உள்கட்டமைப்புத் தேவைகள், இந்தியாவின் சைபர் செக்யூரிட்டி சந்தை வளர்ச்சியைத் தூண்டுகின்றன. இந்தச் சந்தை 2030-க்குள் $12.9 பில்லியன்-ஐ எட்டும் என எதிர்பார்க்கப்படுகிறது. இருப்பினும், உடனடியாக, ஆரம்ப மூலதனச் செலவு மற்றும் தொடர்ச்சியான பராமரிப்பு ஆகியவை சிறிய நிறுவனங்களின் புதுமைகளைத் தடுக்கலாம்.

உலகளாவிய தரநிலைகள் vs இந்திய நடைமுறைகள்

ஐரோப்பாவின் GDPR மற்றும் கலிபோர்னியாவின் CCPA போன்ற உலகளாவிய தரவுப் பாதுகாப்பு விதிமுறைகளுடன் DPDP சட்டம், சம்மதம், வெளிப்படைத்தன்மை மற்றும் பாதுகாப்பு நடவடிக்கைகள் போன்ற முக்கியக் கொள்கைகளில் ஒத்துப்போகிறது. இருப்பினும், இது தனித்துவமான அம்சங்களையும் கொண்டுள்ளது. GDPR போலல்லாமல், DPDP-யில் தனிப்பட்ட தரவுகளுக்குப் பொதுவான தரநிலைகளே உள்ளன; தனிப்பட்ட தரவுகளுக்கு எனத் தனி வகைகள் எதுவும் இல்லை. இதன் சம்மத அடிப்படையிலான அமைப்பு குறிப்பிடத்தக்கது. GDPR-ஐ விட தரவுச் செயலாக்கத்திற்கு குறைவான மாற்று சட்டப்பூர்வ அடிப்படைகளே உள்ளன.

இந்தச் சட்டத்தின் வெளிநாட்டுப் பயன்பாடு (extraterritorial reach) மிகவும் பரந்தது. இந்தியாவில் பொருட்கள் அல்லது சேவைகளை வழங்கும் வெளிநாட்டு நிறுவனங்களும் இதன் கீழ் வரும். அபராதங்கள் ₹250 கோடி வரை இருந்தாலும், அவை GDPR-ன் வருவாய் அடிப்படையிலான அபராதங்களிலிருந்து வேறுபடுகின்றன.

₹250 கோடி அபராதத்தைத் தாண்டிய ஆபத்துகள்!

சட்டத்தின் கடுமையான மறைமுகப் பொறுப்பு விதிகள் (vicarious liability provisions) காரணமாக, தரவுப் பாதுகாவலர்கள் (Data Fiduciaries) தரவுச் செயலாக்குபவர்களின் (Data Processors) மீறல்களுக்கும் பொறுப்பாவார்கள். இதனால், விற்பனையாளர் ஒப்பந்தங்களை (vendor contracts) மிகவும் கவனமாக மேற்கொள்ள வேண்டும். மூன்றாம் தரப்பு விற்பனையாளர்களை மிகவும் கவனமாகச் சரிபார்க்க வேண்டிய கட்டாயம் நிறுவனங்களுக்கு உள்ளது.

மேலும், இந்தியாவில் நிறுவப்பட்டுள்ள தரவுப் பாதுகாப்பு வாரியம் (Data Protection Board of India), அதன் சுயாட்சி மற்றும் அமலாக்கத் திறனைப் பொறுத்தவரை சில கேள்விகளை எதிர்கொண்டுள்ளது. இது செயலில் உள்ள மேற்பார்வையைக் கட்டுப்படுத்தலாம். வாரியத்தின் மையப்படுத்தப்பட்ட அமைப்பு, நாடு முழுவதும் உள்ள குடிமக்களுக்கு அணுகல் கவலைகளை எழுப்பலாம்.

இந்தியாவின் தரவுப் பாதுகாப்புச் சட்டங்களின் பரிணாம வளர்ச்சி, 2000-ஆம் ஆண்டின் IT சட்டம் முதல் தற்போதைய விரிவான சட்ட அமைப்பு வரை, நீதித்துறை விளக்கங்கள் மற்றும் உலகளாவிய ஒழுங்குமுறைப் போக்குகளால் உந்தப்பட்டுள்ளது. இருப்பினும், தேசியப் பாதுகாப்பு மற்றும் சட்ட அமலாக்கத்திற்கான பரந்த விலக்குகளால் அரசாங்கத்தின் அதிகார துஷ்பிரயோகம் மற்றும் சில அமெரிக்க சட்டங்களைப் போல தரவு உரிமையாளர்களுக்கு (data principals) தனியார் வழக்கு தொடர உரிமை இல்லாதது போன்றவை கவலைகளை எழுப்புகின்றன.

எதிர்காலப் பார்வை: தனியுரிமையுடன் இந்தியாவின் டிஜிட்டல் வளர்ச்சியை வழிநடத்துதல்

இந்தியா எதிர்காலத்தில் டிஜிட்டல் பொருளாதாரத்தில் மிகப்பெரிய வளர்ச்சியை அடைய உள்ளது. இது 2026-க்குள் GDP-யில் 20% பங்களிக்கும் என எதிர்பார்க்கப்படுகிறது. DPDP சட்டம், அதன் இணக்கச் சவால்களுக்கு மத்தியிலும், இந்த ட்ரில்லியன் டாலர் சந்தையில் நிலையான வளர்ச்சிக்குத் தேவையான நம்பிக்கை மற்றும் வெளிப்படைத்தன்மையை வளர்ப்பதை நோக்கமாகக் கொண்டுள்ளது.

இந்தியாவின் சைபர் செக்யூரிட்டி சந்தை, DPDP சட்டம் போன்ற ஒழுங்குமுறை ஆணைகளால் தூண்டப்பட்டு, வலுவான வளர்ச்சியை அனுபவித்து வருகிறது. இது தீர்வு வழங்குநர்களுக்கு வாய்ப்புகளை உருவாக்குகிறது. தரவுப் பாதுகாவலர்களுக்கு, புதிய அமைப்புகள் மற்றும் செயல்முறைகளின் தேவை காரணமாக செயல்பாட்டுச் செலவுகள் கணிசமாக அதிகரிக்கும் என்று ஆய்வாளர்கள் எதிர்பார்க்கின்றனர்.

இந்தச் சட்டம் மிகவும் பொறுப்புணர்வுள்ள ஒரு டிஜிட்டல் சூழலை உருவாக்க முயல்கிறது. இது உலகளாவிய டிஜிட்டல் பொருளாதாரத்தில் ஒரு நம்பகமான கூட்டாளியாக இந்தியாவின் நிலையை வலுப்படுத்தக்கூடும். வணிகங்கள் இந்தச் சட்டத்தின் உள்ளார்ந்த இணக்கச் சிக்கல்களையும், தெளிவின்மைகளையும் திறம்பட நிர்வகிக்க முடிந்தால் இது சாத்தியமாகும்.