DPDP एक्ट का हाउसिंग सोसाइटी के लिए मतलब क्या है
डिजिटल पर्सनल डेटा प्रोटेक्शन एक्ट, 2023 (DPDP एक्ट) हर उस संस्था को 'डेटा फिड्यूशियरी' मानता है जो यह तय करती है कि पर्सनल डेटा क्यों और कैसे लिया जाए। इसके लिए हाउसिंग सोसाइटी को कोई बिजनेस चलाना या कुछ बेचना जरूरी नहीं। जिस पल आपका सिक्योरिटी गार्ड रजिस्टर में किसी विजिटर का नाम और फोन नंबर लिखता है, या गेट का कैमरा अंदर आते समय किसी रहवासी का चेहरा रिकॉर्ड करता है, सोसाइटी पर्सनल डेटा प्रोसेस कर रही होती है, और इसकी जिम्मेदार मैनेजिंग कमेटी होती है।
ज्यादातर कमेटियों को यह बात चौंकाती है क्योंकि सोसाइटी खुद को बैंक या ई-कॉमर्स कंपनी जितना 'डेटा' संभालने वाला नहीं मानती। लेकिन एक्ट में 40 फ्लैट की बिल्डिंग के लिए कोई छूट नहीं है। अगर आपकी सोसाइटी किसी विजिटर का फोन नंबर लेती है, पुलिस वेरिफिकेशन के लिए किराएदार की आधार कॉपी रखती है, गेट पर CCTV चलाती है, या ऐसा ऐप इस्तेमाल करती है जिसमें हर रहवासी का फोन नंबर और पेमेंट हिस्ट्री हो, तो यह सब एक्ट के दायरे में आता है।
इसमें शामिल दूसरा पक्ष, आपका CCTV वेंडर, सोसाइटी मैनेजमेंट ऐप, या गार्ड सप्लाई करने वाली सिक्योरिटी एजेंसी, आमतौर पर 'डेटा प्रोसेसर' होता है जो सोसाइटी के निर्देश पर काम करता है। लेकिन एक्ट के तहत कानूनी जिम्मेदारी फिड्यूशियरी की ही रहती है, भले ही डेटा असल में प्रोसेसर के पास पड़ा हो।
14 नवंबर 2026 क्यों मायने रखता है
DPDP एक्ट 2023 में पास हुआ था, लेकिन असल लागू होने से पहले इसे 18 महीने का ट्रांजिशन पीरियड दिया गया। यह विंडो 13-14 नवंबर 2026 को बंद हो रही है, यानी अभी से करीब आठ हफ्ते बाद। उसके बाद डेटा प्रोटेक्शन बोर्ड ऑफ इंडिया सिर्फ मार्गदर्शन देने की बजाय सक्रिय रूप से कार्रवाई करना शुरू कर देगा, मतलब किसी रहवासी की शिकायत पर वह सीधे एक्शन ले सकेगा, बजाय संस्थाओं को चुपचाप सुधार करने को कहने के।
एक्ट के तहत गंभीर उल्लंघन पर जुर्माना ₹250 करोड़ तक जा सकता है। यह आंकड़ा बड़ी कंपनियों को ध्यान में रखकर लिखा गया है, किसी रेजिडेंशियल सोसाइटी को नहीं, लेकिन कानून में ऐसा कोई अलग नियम नहीं है। कानून सिर्फ यह तय करता है कि डेटा प्रोसेसिंग का मकसद और तरीका जो लोग तय करते हैं, यानी सोसाइटी के मामले में मैनेजिंग कमेटी, वही इसके जवाबदेह होते हैं। ADDA और MyGate जैसे प्रॉपर्टी मैनेजमेंट प्लेटफॉर्म इस साल की शुरुआत से ही RWA के लिए DPDP वर्कशॉप चला रहे हैं, और आमतौर पर इसका मतलब यही होता है कि बेहतर चलने वाली सोसाइटियां नवंबर का इंतजार किए बिना पहले ही इस पर काम कर रही हैं।
हर सोसाइटी असल में तीन जगह एक्सपोज्ड है
लगभग हर सोसाइटी का DPDP रिस्क इन्हीं तीन जगहों पर होता है, और इनमें से किसी में भी उल्लंघन बनने के लिए बुरी नीयत की जरूरत नहीं, बस एक ऐसा प्रोसेस काफी है जिसे शुरू होने के बाद से किसी ने दोबारा नहीं देखा।
विजिटर रजिस्टर सबसे साफ उदाहरण है। सिक्योरिटी गार्ड विजिटर का नाम और फोन नंबर इसलिए लिखता है क्योंकि हमेशा से यही तरीका रहा है, न कि इसलिए कि विजिटर से सहमति ली गई हो या यह तय किया गया हो कि एंट्री कितने समय तक रखी जाएगी। सालों पुराने रजिस्टर, बिना किसी रिटेंशन पॉलिसी के, आम बात है।
CCTV ज्यादा गंभीर एक्सपोजर है। पार्किंग विवाद या चोरी की शिकायत पर फुटेज निकाला जाता है और वह किसी रहवासी के WhatsApp ग्रुप में अनौपचारिक 'न्याय' के लिए फॉरवर्ड हो जाता है, यानी सिक्योरिटी के लिए लिया गया फुटेज कुछ बिल्कुल अलग काम में इस्तेमाल होने लगता है। डेटा किस मकसद से लिया गया था और असल में किस काम में इस्तेमाल हो रहा है, इस बीच का यही फासला एक्ट पकड़ने के लिए बनाया गया है।
सोसाइटी मैनेजमेंट ऐप तीसरी जगह है, और जिसे कमेटियां सबसे कम जांचती हैं। हर रहवासी का फोन नंबर, फ्लैट नंबर, परिवार की जानकारी और पेमेंट हिस्ट्री वेंडर के सर्वर पर पड़ी होती है, और ज्यादातर कमेटियों ने कभी यह पढ़ा ही नहीं कि उस वेंडर का डेटा प्रोसेसिंग एग्रीमेंट असल में क्या कहता है, डेटा कहां रखा जाता है, कौन उसे एक्सेस कर सकता है, या कोई रहवासी सोसाइटी छोड़ने के बाद उसे कितने समय तक रखा जाता है।
हाउसिंग सोसाइटी संभाल रहे हैं?
उपनियमों के अनुरूप बिल अपने आप बनाएं, वसूली ट्रैक करें, और ऑडिट-रेडी रिपोर्ट पाएं — 50 फ्लैट तक की सोसाइटियों के लिए मुफ़्त।
मुफ़्त में शुरू करेंरहवासी की शिकायत पर पर्सनल लायबिलिटी किसकी होगी
यही वह हिस्सा है जिसे कमेटियां सबसे कम गंभीरता से लेती हैं। DPDP एक्ट के तहत शिकायत 'सोसाइटी' नाम की किसी अमूर्त इकाई के खिलाफ दर्ज नहीं होती, बल्कि उन लोगों के खिलाफ जांची जाती है जिन्होंने फैसला लिया, यानी जिन मैनेजिंग कमेटी सदस्यों ने CCTV वेंडर मंजूर किया, विजिटर मैनेजमेंट प्रोसेस पर साइन किया, या कभी कोई रिटेंशन पॉलिसी तय ही नहीं की।
महाराष्ट्र की हाउसिंग सोसाइटियां इस पैटर्न से पहले ही परिचित हैं, MCS एक्ट के तहत उपनियम उल्लंघन पर कमेटी सदस्य पर्सनल लायबिलिटी उठाते हैं, न कि सोसाइटी सामूहिक रूप से। DPDP भी उसी तरह काम करता है। किसी लिस्टेड कंपनी के लिए जो कानूनी सुरक्षा नहीं है, वह 40 फ्लैट की कमेटी के लिए भी अलग से नहीं है, बस इतना फर्क है कि किसी के जांचने की संभावना तब तक कम रहती है जब तक कोई रहवासी असल में शिकायत न कर दे।
एक दोपहर में हो जाने वाला डेटा ऑडिट
कुछ भी ठीक करने से पहले, कमेटी के तौर पर बैठें और वे सारी जगहें लिस्ट करें जहां से सोसाइटी में पर्सनल डेटा आता है। हर एक के सामने लिखें कि क्या लिया जाता है, क्यों लिया जाता है, कौन उसे एक्सेस कर सकता है, और कितने समय तक रखा जाता है। अगर यह ठीक से किया जाए तो यही एक कसरत ज्यादातर कमियां खुद-ब-खुद सामने ला देती है।
- विजिटर रजिस्टर: नाम, फोन नंबर, गाड़ी नंबर, आने का मकसद, अंदर-बाहर जाने का समय
- CCTV फुटेज: एंट्रेंस, लॉबी, पार्किंग, और हर कैमरे का फुटेज असल में अभी कितने दिन तक रखा जा रहा है
- सोसाइटी मैनेजमेंट ऐप: रहवासियों के फोन नंबर, फ्लैट की जानकारी, परिवार के सदस्य, पेमेंट और बकाया हिस्ट्री
- किराएदार और स्टाफ का KYC: आधार कॉपी, पैन, पुलिस वेरिफिकेशन फॉर्म जो फिजिकल फाइल में रखे हैं
- अनौपचारिक रिकॉर्ड: ट्रेजरर की एक्सेल शीट, सेक्रेटरी की WhatsApp ब्रॉडकास्ट लिस्ट, सदस्यों की जानकारी वाली कोई भी शेयर की गई गूगल शीट
नवंबर से पहले करने लायक चार बदलाव
ऑडिट हो जाने के बाद, एक आम सोसाइटी के लिए ज्यादातर कमी यही चार बदलाव कवर कर लेते हैं।
- CCTV के लिए एक रिटेंशन लिमिट तय करें, रूटीन फुटेज के लिए तीस दिन एक ठीक-ठाक डिफॉल्ट है जब तक किसी खास घटना में इससे ज्यादा की जरूरत न हो, और फुटेज को रहवासियों के WhatsApp ग्रुप में डालना बंद करें। किसी भी फुटेज की मांग एक तय व्यक्ति और एक छोटी लिखित रिक्वेस्ट के जरिए ही आने दें।
- विजिटर रजिस्टर को सिर्फ उतना ही रखें जितना सिक्योरिटी के लिए वाकई जरूरी है, और अगर विजिटर एंट्री किसी डिजिटल ऐप से होती है, तो वेंडर से सीधे पूछें कि उसके बाद डेटा का क्या होता है।
- बेसिक सिक्योरिटी इस्तेमाल से आगे किसी भी चीज के लिए साफ और अलग सहमति लें। त्योहार के प्लानिंग के लिए शेयर की गई रहवासियों की डायरेक्टरी, और किसी वेंडर को मार्केटिंग के लिए दी गई डायरेक्टरी, दोनों की सहमति अलग होनी चाहिए, और ज्यादातर सोसाइटियां आज यह फर्क करती ही नहीं।
- किसी एक व्यक्ति का नाम तय करें, 'कमेटी' को सामूहिक रूप से नहीं, जो किसी भी रहवासी की डेटा रिक्वेस्ट या शिकायत के लिए पहला कॉन्टैक्ट हो। एक्ट रहवासियों को यह पूछने का अधिकार देता है कि सोसाइटी के पास उनका कौन-सा डेटा है, और उसे ठीक कराने या हटवाने का भी। इसका जवाब देने के लिए किसी को साफ तौर पर जिम्मेदार न बनाना खुद एक गवर्नेंस गैप है, जो जांचे जाने पर बुरा दिखता है।
अपने सोसाइटी ऐप वेंडर से क्या पूछें
अगर आपकी सोसाइटी अकाउंटिंग, बिलिंग या गेट एक्सेस किसी ऐप से चलाती है, और आजकल ज्यादातर सोसाइटियां चलाती ही हैं, तो वेंडर का अपना DPDP रुख आपकी सोसाइटी का भी एक्सपोजर बन जाता है। सीधे पूछें कि रहवासियों का डेटा कहां रखा जाता है, कोई सदस्य निकलने के बाद उसे कितने समय तक रखा जाता है, वेंडर की टीम में कौन उसे एक्सेस कर सकता है, और अगर सोसाइटी कभी सॉफ्टवेयर बदले तो उस डेटा का क्या होगा।
SocietyBee पर, सोसाइटी का डेटा Supabase पर AWS के मुंबई रीजन में रखा जाता है, स्टोरेज में AES-256 और ट्रांजिट में TLS 1.3 से एन्क्रिप्टेड, और हर सोसाइटी का डेटा प्लेटफॉर्म की बाकी हर सोसाइटी से अलग रखा जाता है, चाहे एक ही सीए कई सोसाइटियां क्यों न संभालता हो। रहवासियों के फोन नंबर, फ्लैट की जानकारी और पेमेंट हिस्ट्री संभालने वाले किसी भी वेंडर को इतना जवाब बिना झिझक देना चाहिए। अगर आपका वेंडर नहीं दे पा रहा, तो यह बात नवंबर से पहले जान लेना बेहतर है, किसी शिकायत के बाद नहीं।
अक्सर पूछे जाने वाले सवाल
क्या DPDP एक्ट वाकई हाउसिंग सोसाइटी पर लागू होता है?
हां। यह एक्ट हर उस संस्था पर लागू होता है जो तय करती है कि पर्सनल डेटा क्यों और कैसे लिया जाए, चाहे उसका आकार कुछ भी हो या वह बिजनेस चलाती हो या नहीं। जो हाउसिंग सोसाइटी विजिटर की जानकारी लेती है, CCTV चलाती है, या रहवासियों का डेटा किसी ऐप में रखती है, वह इनमें से कोई भी काम करते ही एक्ट के दायरे में आ जाती है।
DPDP एक्ट की अनुपालन डेडलाइन क्या है?
एक्ट का 18 महीने का ट्रांजिशन पीरियड 13-14 नवंबर 2026 को खत्म हो रहा है। उसके बाद डेटा प्रोटेक्शन बोर्ड ऑफ इंडिया सिर्फ मार्गदर्शन देने की बजाय सीधे शिकायतों पर कार्रवाई कर सकेगा।
हाउसिंग सोसाइटी को CCTV फुटेज कितने समय तक रखना चाहिए?
हर मामले के लिए कानून में एक तय आंकड़ा नहीं है, लेकिन रूटीन फुटेज के लिए तीस दिन एक ठीक-ठाक डिफॉल्ट है, जब तक चोरी की शिकायत या पुलिस रिक्वेस्ट जैसी कोई खास घटना इससे ज्यादा समय की मांग न करे। फुटेज को कभी भी औपचारिक रिक्वेस्ट प्रोसेस की जगह रहवासियों के WhatsApp ग्रुप में फॉरवर्ड नहीं करना चाहिए।
क्या DPDP एक्ट के तहत कमेटी के सदस्यों पर पर्सनल लायबिलिटी आ सकती है?
हां, व्यवहार में आती है। शिकायत उन लोगों के खिलाफ जांची जाती है जिन्होंने तय किया कि डेटा कैसे प्रोसेस होगा, और हाउसिंग सोसाइटी के मामले में यह मैनेजिंग कमेटी के वे सदस्य होते हैं जिन्होंने प्रोसेस मंजूर किया, न कि कोई अमूर्त 'सोसाइटी'। यह वैसा ही है जैसे MCS एक्ट के तहत उपनियम उल्लंघन पर कमेटी सदस्य पहले से पर्सनल लायबिलिटी उठाते हैं।
DPDP एक्ट के उल्लंघन पर जुर्माना कितना है?
गंभीर उल्लंघन पर जुर्माना ₹250 करोड़ तक जा सकता है, यह आंकड़ा बड़ी संस्थाओं को ध्यान में रखकर है, किसी रेजिडेंशियल सोसाइटी को नहीं। एक्ट छोटी संस्थाओं के लिए कोई अलग, कम जुर्माना तय नहीं करता, इसलिए ज्यादातर सोसाइटियों के लिए असल जरूरी काम कोई बड़ा कंप्लायंस बजट नहीं, बल्कि बेसिक हाउसकीपिंग है, रिटेंशन लिमिट, सहमति और एक तय ग्रीवांस कॉन्टैक्ट।
SocietyBee में देखें
Yogesh Randive
संस्थापक, SocietyBee
योगेश ने मुंबई की हाउसिंग सोसाइटियों को एक्सेल में हिसाब-किताब संभालने में मदद करते हुए कई साल बिताए, उसके बाद SocietyBee बनाया। वे महाराष्ट्र सहकारी कानून, सोसाइटी अकाउंटिंग और भारत में हाउसिंग सोसाइटी चलाने की व्यावहारिक चुनौतियों के बारे में लिखते हैं।