डिजीटल डेटा प्रोटेक्शन कायद्याचा डळमळीत पाया

ऑगस्ट २०२३ च्या दुसऱ्या आठवड्यात, डिजिटल पर्सनल डेटा प्रोटेक्शन (डीपीडीपी) विधेयक संसदेच्या दोन्ही सभागृहात मंजूर झाले. डीपीडीपी कायदा म्हणजे २०१८ मधील विधेयकाच्या पहिल्या मसुद्यापासून सुरू झालेल्या पाच वर्षांच्या प्रयत्नांचा एक अपूर्ण निष्कर्ष आहे.

२०२२ मधील विधेयकाच्या अंतिम मसुद्यात अनेक लक्षणीय बदल समाविष्ट करण्यात आले असले तरी या मसुद्यात अनेक सुधारणांकडे दुर्लक्ष करण्यात आले आहे. लेजरच्या उजव्या बाजूला, विश्वासार्ह भौगोलिक क्षेत्रांच्या व्हाइटलिस्टिंगपासून ते पुढे ब्लॅकलिस्टिंग प्रक्रियेपर्यंत डेटाच्या क्रॉस-बॉर्डर हस्तांतरणासाठीच्या परिस्थितीतील बदल समाविष्ट आहेत (कलम १६ (१)). यामध्ये प्रक्रिया केलेल्या वैयक्तिक डेटाची मात्रा आणि स्वरूपावर आधारित डेटा फिड्युशियर्ससाठी डिफरेंशिअल ऑब्लिगेशन्सचाही समावेश करण्यात आला आहे (कलम १० आणि कलम १७(३)). या आधीचे कलम हे डेटा लोकलायझेशनशी निगडीत चर्चा आणि विश्वसनीय भौगोलिक क्षेत्रांचे मूल्यांकन करण्यासाठी विविध पॅरामीटर्समधील गुंतागुंतीवर २०२२ मध्ये ऑब्झर्व्हर रिसर्च फाउंडेशनने उपस्थित केलेल्या प्रश्नांना उत्तर आहे. नवीन उद्योगांना असमान अनुपालन खर्च करावा लागतो त्यामुळे असे उद्योग संसाधने उपलब्ध असणाऱ्या बड्या कंपन्यांच्या तुलनेत मागे पडण्याची भीती व्यक्त करण्यात आली होती. त्याला प्रतिसाद म्हणून या नियमांबाबत स्टार्टअप्सना सूट देण्यात आली आहे. इलेक्ट्रॉनिक्स आणि माहिती तंत्रज्ञानाशी निगडीत लहान उद्योगांना अशा नियमांचे पालन करण्यासाठी दीर्घ कालमर्यादेसह श्रेणीबद्ध दृष्टिकोन अवलंबण्याचा सरकारचा मानस आहे, असे राज्यमंत्री राजीव चंद्रशेखर यांनी सांगितले आहे.

डिजीटल अर्थव्यवस्थेच्या दृष्टीकोनातून, हे विधेयक अनेक बाबींची पुर्तता करते. असे असले तरी, सध्याच्या कायद्यामधील खाचखळग्यांबाबत अधिसूचना प्रलंबित आहे. अनेक वर्षांच्या अनिश्चिततेनंतर मंजूर झालेल्या कायद्यामुळे भारतीय बाजारपेठेतील काही संस्थांना क्लोजर मिळणार आहे. अधिकाधिक परदेशी कंपन्या चीन सोडत असताना आणि अगदी चिनी कंपन्याही त्यांच्या देशातील आर्थिक वाढ मंदावल्यामुळे इतरत्र बाजारपेठांच्या शोधात असताना, भारतातील ७५९ दशलक्ष सक्रिय इंटरनेट वापरकर्ते मोठे आकर्षण ठरणार आहेत. खरे पाहता ही संख्या देशाच्या एकूण लोकसंख्येच्या निम्मी आहे. २०२५ पर्यंत, भारतातील आणखी १५० दशलक्ष वापरकर्त्यांची भर पडणार आहे. ही संख्या जपानच्या संपूर्ण लोकसंख्येपेक्षाही जास्त आहे.

हे विधेयक व्यक्तींच्या संरक्षणासाठी अपुरी चौकट प्रदान करते. या कायद्याच्या निर्मातीपासून नियमांच्या चौकटीतून सरकारला सूट मिळत असल्याने बाब विवादास्पद ठरली आहे. कलम १७(२)(अ) अंतर्गत, हा कायदा पुढील परिस्थितीत लागू होणार नाही.

भारताची सार्वभौमत्व आणि अखंडता, राज्याची सुरक्षा, परकीय राज्यांशी मैत्रीपूर्ण संबंध, सार्वजनिक सुव्यवस्था राखत असताना कोणत्याही संबंधित दखलपात्र गुन्ह्याला प्रतिबंध करण्यासाठी केंद्र सरकार अधिसूचित करेल अशा साधनाद्वारे कोणत्याही वैयक्तिक डेटावर प्रक्रिया करण्यासाठी सामग्री वापरली जाऊ शकते.

युआयडीएआयसारख्या संस्थांअंतर्गत बायोमेट्रिक्ससारख्या वैयक्तिक डेटाचे मोठे भांडार तयार करणे हे देशातील डेटा संरक्षण कायद्यामागील महत्त्वाचे कारण असले तरी सुरक्षित आणि विश्वासार्ह डिजिटल इंडिया कार्यक्रमामधील ही एक मोठी दरी याआधीही होती आणि यापुढेही राहणार आहे. अर्ध्या दशकापूर्वी आलेल्या श्रीकृष्ण समितीच्या अहवालात नमूद केल्याप्रमाणे, “सरकार हे डेटा विश्‍वस्त म्हणून काम करत असते. कर आकारणी, आधार, सामाजिक सुरक्षा योजना, ड्रायव्हिंग परवाने इत्यादींशी संबंधित वैयक्तिक डेटावर मोठ्या प्रमाणात प्रक्रिया करण्यात येते. अशा डेटावरील बेकायदेशीर प्रक्रियेमुळे व्यक्तीचे मोठ्या प्रमाणावर नुकसान होऊ शकते.” असे असले तरी डीपीडीपी कायद्याच्या तरतुदींपलीकडे जाऊन राष्ट्रीय डेटा गव्हर्नन्स फ्रेमवर्क धोरणाद्वारे सरकारला सरकारी कामासाठी सुसंगत मार्गदर्शक तत्त्वे तयार करण्याची संधी उपलब्ध आहे.

यापुढे जाऊन मागील मसुद्यांच्या तुलनेत, डीपीडीपी विधेयक २०२३ हे डेटा प्रोटेक्शन बोर्ड ऑफ इंडिया (डीपीबीआय) (कलम २९) ने दिलेल्या कोणत्याही आदेशाविरुद्ध अपील करण्यासाठी टेलिकॉम डिस्प्युट्स सेटलमेंट अँड अपीलेट ट्रिब्युनल (टीडीसीएटी) ची नेमणुक करण्यात आली आहे. तसेच अशा प्रकरणांवर दिवाणी न्यायालयांचे अधिकार क्षेत्र प्रतिबंधित करण्यात आले आहे. कदाचित या बाबींमुळे लोकांच्या भुवया उंचावू शकतात.

सर्वात महत्त्वाचे म्हणजे, या कायद्याद्वारे, डेटा उल्लंघनाचे बळी ठरलेल्यांना कोणत्याही प्रकारची नुकसान भरपाई देण्यात येणार नाही तर डीपीबीआयद्वारे लावलेला कोणताही आर्थिक दंड हा कंसॉलिडेटेड फंड ऑफ इंडियामध्ये जमा करण्यात येणार आहे. नुकसान भरपाईसाठी पात्रतेची तरतूद असलेल्या जीडीपीआरसारख्या फ्रेमवर्कपेक्षा ह्या कायद्यातील तरतुदी वेगळ्या आहेत. या कायद्यामध्ये खोट्या तक्रारींना आळा घालण्यासाठी १०,००० पर्यंत दंड आकारण्याची तरतूद आहे. एकत्रितपणे, ही कलमे डीपीडीपी कायद्याचा भंग केल्याबद्दल डेटा विश्‍वस्तांवर कायदेशीर कारवाई करण्‍यासाठी व्‍यक्‍तींना प्रतिबंधित करतात. डिजिटल भारत आणि राष्ट्रीय डिजिटल साक्षरता अभियानासारखे उपक्रम देशामध्ये ऑनलाइन लोकसंख्येत डिजिटल साक्षरता आणण्यासाठी प्रयत्नशील असताना, देशभरातील तब्बल ३८ टक्के कुटुंबांमध्ये डिजिटल साक्षरता अजूनही तुलनेने कमी आहे. राज्याराज्यांमध्ये, ग्रामीण आणि शहरी भागात तसेच पुरुष आणि महिलांमध्ये असलेल्या डिजिटल साक्षरतेमध्येही तफावत आहे. ज्यांना डेटा फिड्युशियरीमुळे हानी होण्याचा सर्वाधिक धोका आहे, त्यांना या कायद्यात संरक्षण नाही.

पाच वर्षांतील विविध मसुदे, सल्लामसलती व मुत्सद्देगिरीचा परिपाक म्हणून जरी डीपीडीपी कायद्याकडे पाहिले गेले असले तरी एका ठोस उपायापेक्षा त्याची ती सुरूवात आहे असे म्हणणे वावगे ठरणार नाही. इलेक्ट्रॉनिक्स आणि माहिती तंत्रज्ञान मंत्रालय हे आयटी कायदा आणि नियम २००० च्या जागी डिजिटल इंडिया कायद्याच्या (डीआयए) मसुद्यावर काम करत आहे. ऑनलाइन सुरक्षितता, सायबर सुरक्षा, आणि एआय नियमन-अल्गोरिदमिक पारदर्शकतेसह पाळत ठेवणे या समस्यांचे निराकरण करण्याचे वचन डीआयएमध्ये देण्यात आले आहे. गेल्या महिन्यात अपेक्षित असलेला हा संपूर्ण मसुदा येत्या आठवड्यात लोकांसमोर येणार आहे.

त्रिशा रे अटलांटिक कौन्सिलच्या जिओटेक सेंटरमध्ये असोसिएट डायरेक्टर आणि रेसिडेन्ट फेलो आहेत.