Notification Extraordinary regarding Digital Personal Data Protection Rules 2025, DPDP Rules

रजिस्ट्री सं. डी.एल.- 33004/99

REGD. No. D. L.-33004/99

भारत का राजपत्र

The Gazette of India

सी.जी.-डी.एल.-अ.-14112025-267650 CG-DL-E-14112025-267650

असाधारण EXTRAORDINARY

भाग II—खण्ड 3—उप-खण्ड (i) PART II—Section 3—Sub-section (i)

प्राधिकार से प्रकाशित PUBLISHED BY AUTHORITY

सं. 760] नई दिल्ली, बृहस्पतिवार, नवम्बर 13, 2025/ कार्तिक 22, 1947 No. 760] NEW DELHI, THURSDAY, NOVEMBER 13, 2025/ KARTIKA 22, 1947

---

इलेक्ट्रॉनिकी और सूचना प्रौद्योगिकी मंत्रालय

अधिसूचना

नई दिल्ली, 13 नवम्बर, 2025

सा.का.नि.846(अ).— डिजिटल वैयक्तिक डेटा संरक्षण अधिनियम, 2023 (2023 का 22) की धारा 40 की उप-धारा (1) के अंतर्गत यथापेक्षित डिजिटल वैयक्तिक डेटा संरक्षण नियमावली, 2025 का मसौदा, भारत सरकार के इलेक्ट्रॉनिकी और सूचना प्रौद्योगिकी मंत्रालय की दिनांक 3 जनवरी, 2025 की अधिसूचना संख्या जी.एस.आर. 02 (ई) के तहत भारत के राजपत्र, असाधारण, भाग II, खंड 3, उप-खंड (i) में दिनांक 3 जनवरी, 2025 को प्रकाशित किया गया था, जिसमें इससे प्रभावित होने की संभावना वाले सभी व्यक्तियों से उक्त अधिसूचना वाले आधिकारिक राजपत्र की प्रतियां जनता को उपलब्ध कराए जाने की तारीख से पैंतालीस दिनों की अवधि समाप्त होने से पहले आपत्तियां और सुझाव आमंत्रित किए गए थे;

और जबकि उक्त आधिकारिक राजपत्र की प्रतियां 3 जनवरी, 2025 को जनता को उपलब्ध कराई गईं;

और जबकि उक्त मसौदा नियमों के संबंध में जनता से प्राप्त आपत्तियों और सुझावों पर केंद्र सरकार द्वारा विचार किया गया है;

अतः, अब डिजिटल वैयक्तिक डेटा संरक्षण अधिनियम, 2023 (2023 का 22वां) की धारा 40 की उप-धारा (1) और (2) द्वारा प्रदत्त शक्तियों का प्रयोग करते हुए, केंद्र सरकार एतद्द्वारा निम्नलिखित नियम बनाती है, अर्थात्: -

1. संक्षिप्त नाम और प्रारंभ — (1) इन नियमों को डिजिटल वैयक्तिक डेटा संरक्षण नियमावली, 2025 कहा जाए।

(2) नियम 1, 2 और 17 से 21 राजपत्र में प्रकाशन की तिथि से प्रवृत्त होंगे।

(3) नियम 4 इस राजपत्र के प्रकाशन की तिथि से एक वर्ष के बाद प्रवृत्त होगा।

(4) नियम 3, 5 से 16, 22 और 23 इस राजपत्र के प्रकाशन की तिथि से अठारह माह के बाद प्रवृत्त होंगे।

2. परिभाषाएँ :—(1) इन नियमों में, जब तक कि संदर्भ के अनुसार अन्यथा अपेक्षित न हो, -

• (क) "अधिनियम" से डिजिटल वैयक्तिक डेटा संरक्षण अधिनियम, 2023 (2023 का 22वां) अभिप्रेत है;
• (ख) "तकनीकी-कानूनी उपाय" से नियम 20 और 22 के अंतर्गत यथाविनिर्दिष्ट अर्थ अभिप्रेत है;
• (ग) "उपयोगकर्ता खाता" से डेटा प्रिंसपल द्वारा डेटा फ़िड्यूसरी के साथ पंजीकृत ऑनलाइन खाता अभिप्रेत है; और इसमें कोई भी प्रोफ़ाइल, पृष्ठ, हैंडल, ई-मेल पता, मोबाइल नंबर और ऐसी ही अन्य उपस्थितियाँ शामिल हैं जिनके माध्यम से ऐसा डेटा प्रिंसपल ऐसे डेटा फ़िड्यूसरी की सेवाओं का अभिगम कर सकता है; और
• (घ) "सत्यापन योग्य सहमति" से नियम 10 या 11 में यथाविनिर्दिष्ट सहमति अभिप्रेत है।

(2) इन नियमों में प्रयुक्त और परिभाषित नहीं किए गए, किन्तु अधिनियम में परिभाषित उन शब्दों और अभिव्यक्तियों के वही अर्थ अभिप्रेत होंगे जो अधिनियम में क्रमशः उनके लिए परिभाषित किए गए हैं।

3. डेटा फ़िड्यूसरी द्वारा डेटा प्रिंसपल को दिया गया नोटिस — डेटा फ़िड्यूसरी द्वारा डेटा प्रिंसपल को दिया गया नोटिस—

• (क) प्रस्तुत किया जाएगा और किसी भी अन्य जानकारी से स्वतंत्र रूप से समझने योग्य होगा जो ऐसे डेटा फ़िड्यूसरी द्वारा उपलब्ध कराई गई है, उपलब्ध है या उपलब्ध कराई जा सकती है;
• (ख) स्पष्ट और सरल भाषा में, डेटा प्रिंसपल को उसके वैयक्तिक डेटा के प्रसंस्करण के लिए विशिष्ट और सूचित सहमति देने में सक्षम बनाने के लिए आवश्यक उचित विवरण देगा, जिसमें कम से कम, -
  • (i) ऐसे वैयक्तिक डेटा का एक मदवार विस्तृत विवरण; और
  • (ii) ऐसे प्रसंस्करण द्वारा प्रदान की जाने वाली वस्तुओं या सेवाओं या उपयोगों के विनिर्दिष्ट उद्देश्य या उद्देश्यों और विशिष्ट विवरण दिए जाएंगे; और
• (ग) ऐसे डेटा फ़िड्यूसरी की वेबसाइट या ऐप, या दोनों का अभिगम करने के लिए विशेष संचार लिंक, और अन्य साधनों का विवरण, यदि कोई हो, जिसका उपयोग करके ऐसा डेटा प्रिंसपल -
  • (i) अपनी सहमति वापस ले सकता है, ऐसा करने की सहूलियत उस सहमति के बराबर होगी जिससे ऐसी सहमति दी गई थी;
  • (ii) अधिनियम के तहत अपने अधिकारों का प्रयोग कर सकता है; और
  • (iii) बोर्ड में शिकायत दर्ज कर सकता है।