DPDP एक्ट 2023 और हाउसिंग सोसाइटी: नवंबर 2026 से पहले कमेटी को क्या ठीक करना होगा

DPDP एक्ट 2023 में पास हुआ था, लेकिन असल लागू होने से पहले इसे 18 महीने का ट्रांजिशन पीरियड दिया गया। यह विंडो 13-14 नवंबर 2026 को बंद हो रही है, यानी अभी से करीब आठ हफ्ते बाद। उसके बाद डेटा प्रोटेक्शन बोर्ड ऑफ इंडिया सिर्फ मार्गदर्शन देने की बजाय सक्रिय रूप से कार्रवाई करना शुरू कर देगा, मतलब किसी रहवासी की शिकायत पर वह सीधे एक्शन ले सकेगा, बजाय संस्थाओं को चुपचाप सुधार करने को कहने के।

एक्ट के तहत गंभीर उल्लंघन पर जुर्माना ₹250 करोड़ तक जा सकता है। यह आंकड़ा बड़ी कंपनियों को ध्यान में रखकर लिखा गया है, किसी रेजिडेंशियल सोसाइटी को नहीं, लेकिन कानून में ऐसा कोई अलग नियम नहीं है। कानून सिर्फ यह तय करता है कि डेटा प्रोसेसिंग का मकसद और तरीका जो लोग तय करते हैं, यानी सोसाइटी के मामले में मैनेजिंग कमेटी, वही इसके जवाबदेह होते हैं। ADDA और MyGate जैसे प्रॉपर्टी मैनेजमेंट प्लेटफॉर्म इस साल की शुरुआत से ही RWA के लिए DPDP वर्कशॉप चला रहे हैं, और आमतौर पर इसका मतलब यही होता है कि बेहतर चलने वाली सोसाइटियां नवंबर का इंतजार किए बिना पहले ही इस पर काम कर रही हैं।

लगभग हर सोसाइटी का DPDP रिस्क इन्हीं तीन जगहों पर होता है, और इनमें से किसी में भी उल्लंघन बनने के लिए बुरी नीयत की जरूरत नहीं, बस एक ऐसा प्रोसेस काफी है जिसे शुरू होने के बाद से किसी ने दोबारा नहीं देखा।

विजिटर रजिस्टर सबसे साफ उदाहरण है। सिक्योरिटी गार्ड विजिटर का नाम और फोन नंबर इसलिए लिखता है क्योंकि हमेशा से यही तरीका रहा है, न कि इसलिए कि विजिटर से सहमति ली गई हो या यह तय किया गया हो कि एंट्री कितने समय तक रखी जाएगी। सालों पुराने रजिस्टर, बिना किसी रिटेंशन पॉलिसी के, आम बात है।

CCTV ज्यादा गंभीर एक्सपोजर है। पार्किंग विवाद या चोरी की शिकायत पर फुटेज निकाला जाता है और वह किसी रहवासी के WhatsApp ग्रुप में अनौपचारिक 'न्याय' के लिए फॉरवर्ड हो जाता है, यानी सिक्योरिटी के लिए लिया गया फुटेज कुछ बिल्कुल अलग काम में इस्तेमाल होने लगता है। डेटा किस मकसद से लिया गया था और असल में किस काम में इस्तेमाल हो रहा है, इस बीच का यही फासला एक्ट पकड़ने के लिए बनाया गया है।

सोसाइटी मैनेजमेंट ऐप तीसरी जगह है, और जिसे कमेटियां सबसे कम जांचती हैं। हर रहवासी का फोन नंबर, फ्लैट नंबर, परिवार की जानकारी और पेमेंट हिस्ट्री वेंडर के सर्वर पर पड़ी होती है, और ज्यादातर कमेटियों ने कभी यह पढ़ा ही नहीं कि उस वेंडर का डेटा प्रोसेसिंग एग्रीमेंट असल में क्या कहता है, डेटा कहां रखा जाता है, कौन उसे एक्सेस कर सकता है, या कोई रहवासी सोसाइटी छोड़ने के बाद उसे कितने समय तक रखा जाता है।

यही वह हिस्सा है जिसे कमेटियां सबसे कम गंभीरता से लेती हैं। DPDP एक्ट के तहत शिकायत 'सोसाइटी' नाम की किसी अमूर्त इकाई के खिलाफ दर्ज नहीं होती, बल्कि उन लोगों के खिलाफ जांची जाती है जिन्होंने फैसला लिया, यानी जिन मैनेजिंग कमेटी सदस्यों ने CCTV वेंडर मंजूर किया, विजिटर मैनेजमेंट प्रोसेस पर साइन किया, या कभी कोई रिटेंशन पॉलिसी तय ही नहीं की।

महाराष्ट्र की हाउसिंग सोसाइटियां इस पैटर्न से पहले ही परिचित हैं, MCS एक्ट के तहत उपनियम उल्लंघन पर कमेटी सदस्य पर्सनल लायबिलिटी उठाते हैं, न कि सोसाइटी सामूहिक रूप से। DPDP भी उसी तरह काम करता है। किसी लिस्टेड कंपनी के लिए जो कानूनी सुरक्षा नहीं है, वह 40 फ्लैट की कमेटी के लिए भी अलग से नहीं है, बस इतना फर्क है कि किसी के जांचने की संभावना तब तक कम रहती है जब तक कोई रहवासी असल में शिकायत न कर दे।

कुछ भी ठीक करने से पहले, कमेटी के तौर पर बैठें और वे सारी जगहें लिस्ट करें जहां से सोसाइटी में पर्सनल डेटा आता है। हर एक के सामने लिखें कि क्या लिया जाता है, क्यों लिया जाता है, कौन उसे एक्सेस कर सकता है, और कितने समय तक रखा जाता है। अगर यह ठीक से किया जाए तो यही एक कसरत ज्यादातर कमियां खुद-ब-खुद सामने ला देती है।

• विजिटर रजिस्टर: नाम, फोन नंबर, गाड़ी नंबर, आने का मकसद, अंदर-बाहर जाने का समय
• CCTV फुटेज: एंट्रेंस, लॉबी, पार्किंग, और हर कैमरे का फुटेज असल में अभी कितने दिन तक रखा जा रहा है
• सोसाइटी मैनेजमेंट ऐप: रहवासियों के फोन नंबर, फ्लैट की जानकारी, परिवार के सदस्य, पेमेंट और बकाया हिस्ट्री
• किराएदार और स्टाफ का KYC: आधार कॉपी, पैन, पुलिस वेरिफिकेशन फॉर्म जो फिजिकल फाइल में रखे हैं
• अनौपचारिक रिकॉर्ड: ट्रेजरर की एक्सेल शीट, सेक्रेटरी की WhatsApp ब्रॉडकास्ट लिस्ट, सदस्यों की जानकारी वाली कोई भी शेयर की गई गूगल शीट

ऑडिट हो जाने के बाद, एक आम सोसाइटी के लिए ज्यादातर कमी यही चार बदलाव कवर कर लेते हैं।

• CCTV के लिए एक रिटेंशन लिमिट तय करें, रूटीन फुटेज के लिए तीस दिन एक ठीक-ठाक डिफॉल्ट है जब तक किसी खास घटना में इससे ज्यादा की जरूरत न हो, और फुटेज को रहवासियों के WhatsApp ग्रुप में डालना बंद करें। किसी भी फुटेज की मांग एक तय व्यक्ति और एक छोटी लिखित रिक्वेस्ट के जरिए ही आने दें।
• विजिटर रजिस्टर को सिर्फ उतना ही रखें जितना सिक्योरिटी के लिए वाकई जरूरी है, और अगर विजिटर एंट्री किसी डिजिटल ऐप से होती है, तो वेंडर से सीधे पूछें कि उसके बाद डेटा का क्या होता है।
• बेसिक सिक्योरिटी इस्तेमाल से आगे किसी भी चीज के लिए साफ और अलग सहमति लें। त्योहार के प्लानिंग के लिए शेयर की गई रहवासियों की डायरेक्टरी, और किसी वेंडर को मार्केटिंग के लिए दी गई डायरेक्टरी, दोनों की सहमति अलग होनी चाहिए, और ज्यादातर सोसाइटियां आज यह फर्क करती ही नहीं।
• किसी एक व्यक्ति का नाम तय करें, 'कमेटी' को सामूहिक रूप से नहीं, जो किसी भी रहवासी की डेटा रिक्वेस्ट या शिकायत के लिए पहला कॉन्टैक्ट हो। एक्ट रहवासियों को यह पूछने का अधिकार देता है कि सोसाइटी के पास उनका कौन-सा डेटा है, और उसे ठीक कराने या हटवाने का भी। इसका जवाब देने के लिए किसी को साफ तौर पर जिम्मेदार न बनाना खुद एक गवर्नेंस गैप है, जो जांचे जाने पर बुरा दिखता है।

अगर आपकी सोसाइटी अकाउंटिंग, बिलिंग या गेट एक्सेस किसी ऐप से चलाती है, और आजकल ज्यादातर सोसाइटियां चलाती ही हैं, तो वेंडर का अपना DPDP रुख आपकी सोसाइटी का भी एक्सपोजर बन जाता है। सीधे पूछें कि रहवासियों का डेटा कहां रखा जाता है, कोई सदस्य निकलने के बाद उसे कितने समय तक रखा जाता है, वेंडर की टीम में कौन उसे एक्सेस कर सकता है, और अगर सोसाइटी कभी सॉफ्टवेयर बदले तो उस डेटा का क्या होगा।

SocietyBee पर, सोसाइटी का डेटा Supabase पर AWS के मुंबई रीजन में रखा जाता है, स्टोरेज में AES-256 और ट्रांजिट में TLS 1.3 से एन्क्रिप्टेड, और हर सोसाइटी का डेटा प्लेटफॉर्म की बाकी हर सोसाइटी से अलग रखा जाता है, चाहे एक ही सीए कई सोसाइटियां क्यों न संभालता हो। रहवासियों के फोन नंबर, फ्लैट की जानकारी और पेमेंट हिस्ट्री संभालने वाले किसी भी वेंडर को इतना जवाब बिना झिझक देना चाहिए। अगर आपका वेंडर नहीं दे पा रहा, तो यह बात नवंबर से पहले जान लेना बेहतर है, किसी शिकायत के बाद नहीं।