DPDP कायदा 2023 आणि हाउसिंग सोसायटी: नोव्हेंबर 2026 आधी कमिटीने काय सुधारायला हवं

DPDP कायदा 2023 मध्ये मंजूर झाला, पण प्रत्यक्ष अंमलबजावणीआधी त्याला 18 महिन्यांचा ट्रांझिशन पीरियड देण्यात आला. ही विंडो 13-14 नोव्हेंबर 2026 रोजी बंद होते आहे, म्हणजे आतापासून जेमतेम आठ आठवड्यांनी. त्यानंतर डेटा प्रोटेक्शन बोर्ड ऑफ इंडिया फक्त मार्गदर्शन करण्याऐवजी सक्रियपणे कारवाई सुरू करेल, म्हणजे एखाद्या रहिवाशाच्या तक्रारीवर तो थेट कारवाई करू शकेल, संस्थांना शांतपणे सुधारणा करायला सांगण्याऐवजी.

कायद्याखाली गंभीर उल्लंघनासाठी दंड ₹250 कोटींपर्यंत जाऊ शकतो. हा आकडा मोठ्या कंपन्यांना डोळ्यासमोर ठेवून लिहिलेला आहे, एखाद्या रेसिडेन्शियल सोसायटीला नाही, पण कायद्यात असा कोणताही वेगळा नियम नाही. कायदा फक्त एवढंच ठरवतो की डेटा प्रोसेसिंगचा उद्देश आणि पद्धत जे लोक ठरवतात, म्हणजे सोसायटीच्या बाबतीत मॅनेजिंग कमिटी, तेच त्याला जबाबदार असतात. ADDA आणि MyGate सारखे प्रॉपर्टी मॅनेजमेंट प्लॅटफॉर्म या वर्षाच्या सुरुवातीपासूनच RWA साठी DPDP वर्कशॉप चालवत आहेत, आणि याचा अर्थ साधारणपणे असा होतो की चांगल्या चालणाऱ्या सोसायट्या नोव्हेंबरची वाट न पाहता आधीच यावर काम करत आहेत.

जवळपास प्रत्येक सोसायटीचा DPDP धोका याच तीन ठिकाणी असतो, आणि यातल्या कोणत्याही ठिकाणी उल्लंघन होण्यासाठी वाईट हेतूची गरज नसते, फक्त असा एक प्रोसेस पुरेसा असतो जो सुरू झाल्यापासून कोणीही पुन्हा तपासलेला नाही.

व्हिजिटर रजिस्टर हे सगळ्यात स्पष्ट उदाहरण आहे. सिक्युरिटी गार्ड पाहुण्याचं नाव आणि फोन नंबर लिहितो कारण नेहमीच असं केलं जातं, पाहुण्याकडून संमती घेतली म्हणून किंवा एंट्री किती काळ ठेवायची हे ठरवलं म्हणून नाही. वर्षानुवर्षे मागे जाणारे रजिस्टर, कोणत्याही रिटेन्शन पॉलिसीशिवाय, सर्रास आढळतात.

CCTV हा जास्त गंभीर धोका आहे. पार्किंगच्या वादासाठी किंवा चोरीच्या तक्रारीसाठी फुटेज काढलं जातं आणि ते रहिवाशांच्या WhatsApp ग्रुपमध्ये अनौपचारिक 'न्याया'साठी फॉरवर्ड होतं, म्हणजे सुरक्षेसाठी घेतलेलं फुटेज पूर्णपणे वेगळ्या कामासाठी वापरलं जातं. डेटा कोणत्या उद्देशाने घेतला होता आणि प्रत्यक्षात कशासाठी वापरला जातो, यामधलं हेच अंतर पकडण्यासाठी हा कायदा बनवला आहे.

सोसायटी मॅनेजमेंट अ‍ॅप ही तिसरी जागा आहे, आणि जी कमिट्या सगळ्यात कमी तपासतात. प्रत्येक रहिवाशाचा फोन नंबर, फ्लॅट नंबर, कुटुंबाची माहिती आणि पेमेंट हिस्ट्री व्हेंडरच्या सर्व्हरवर असते, आणि बहुतांश कमिट्यांनी कधीच वाचलेलं नसतं की त्या व्हेंडरचा डेटा प्रोसेसिंग करार प्रत्यक्षात काय सांगतो, डेटा कुठे ठेवला जातो, तो कोण अ‍ॅक्सेस करू शकतं, किंवा एखादा रहिवासी सोसायटी सोडल्यानंतर तो किती काळ ठेवला जातो.

हाच भाग कमिट्या सगळ्यात कमी गांभीर्याने घेतात. DPDP कायद्याखाली तक्रार 'सोसायटी' नावाच्या कोणत्या अमूर्त संस्थेविरुद्ध दाखल होत नाही, तर ज्या लोकांनी निर्णय घेतला त्यांच्याविरुद्ध तपासली जाते, म्हणजे ज्या मॅनेजिंग कमिटी सदस्यांनी CCTV व्हेंडर मंजूर केला, व्हिजिटर मॅनेजमेंट प्रोसेसवर सही केली, किंवा कधीच कोणतीही रिटेन्शन पॉलिसी ठरवली नाही.

महाराष्ट्रातील हाउसिंग सोसायट्यांना हा पॅटर्न आधीच माहीत आहे, MCS कायद्याखाली उपविधी उल्लंघनासाठी कमिटी सदस्य वैयक्तिक जबाबदारी उचलतात, सोसायटी सामूहिकपणे नाही. DPDP देखील त्याच पद्धतीने काम करतो. एखाद्या लिस्टेड कंपनीसाठी जी कायदेशीर संरक्षण नाही, ती 40 फ्लॅटच्या कमिटीसाठीही वेगळी नाही, फक्त फरक इतकाच की एखादा रहिवासी प्रत्यक्षात तक्रार करेपर्यंत कोणी तपासण्याची शक्यता कमी असते.

काहीही सुधारण्याआधी, कमिटी म्हणून एकत्र बसा आणि सोसायटीत वैयक्तिक डेटा कुठून कुठून येतो त्याची यादी करा. प्रत्येकासमोर लिहा की काय घेतलं जातं, का घेतलं जातं, कोण ते अ‍ॅक्सेस करू शकतं, आणि किती काळ ठेवलं जातं. नीट केलं तर हा एकच व्यायाम बहुतांश त्रुटी आपोआप समोर आणतो.

• व्हिजिटर रजिस्टर: नाव, फोन नंबर, गाडी नंबर, येण्याचा उद्देश, आत-बाहेर जाण्याची वेळ
• CCTV फुटेज: एंट्रन्स, लॉबी, पार्किंग, आणि प्रत्येक कॅमेऱ्याचं फुटेज सध्या प्रत्यक्षात किती दिवस ठेवलं जातं
• सोसायटी मॅनेजमेंट अ‍ॅप: रहिवाशांचे फोन नंबर, फ्लॅटची माहिती, कुटुंबातील सदस्य, पेमेंट आणि थकबाकीची हिस्ट्री
• भाडेकरू आणि स्टाफचं KYC: आधार कॉपी, पॅन, पोलीस व्हेरिफिकेशन फॉर्म जे फिजिकल फाइलमध्ये ठेवलेले आहेत
• अनौपचारिक रेकॉर्ड: ट्रेझररची एक्सेल शीट, सेक्रेटरीची WhatsApp ब्रॉडकास्ट लिस्ट, सदस्यांची माहिती असलेली कोणतीही शेअर केलेली गूगल शीट

ऑडिट झाल्यानंतर, सर्वसाधारण सोसायटीसाठी बहुतांश त्रुटी हे चार बदल भरून काढतात.

• CCTV साठी एक रिटेन्शन लिमिट ठरवा, रूटीन फुटेजसाठी तीस दिवस हा योग्य डिफॉल्ट आहे, जोपर्यंत एखाद्या विशिष्ट घटनेला त्यापेक्षा जास्त वेळ लागत नाही, आणि फुटेज रहिवाशांच्या WhatsApp ग्रुपमध्ये टाकणं बंद करा. फुटेजची कोणतीही मागणी एका ठरावीक व्यक्तीमार्फत आणि छोट्या लेखी विनंतीद्वारेच येऊ द्या.
• व्हिजिटर रजिस्टरमध्ये फक्त तेवढीच माहिती ठेवा जी सुरक्षेसाठी खरोखर आवश्यक आहे, आणि व्हिजिटर एंट्री डिजिटल अ‍ॅपमधून होत असेल, तर व्हेंडरला थेट विचारा की त्यानंतर डेटाचं काय होतं.
• बेसिक सुरक्षेच्या वापराच्या पलीकडे कोणत्याही गोष्टीसाठी स्पष्ट आणि वेगळी संमती घ्या. सणासाठी शेअर केलेली रहिवाशांची डिरेक्टरी, आणि एखाद्या व्हेंडरला मार्केटिंगसाठी दिलेली डिरेक्टरी, या दोघांची संमती वेगळी असायला हवी, आणि बहुतांश सोसायट्या आज हा फरक करतच नाहीत.
• एका व्यक्तीचं नाव निश्चित करा, 'कमिटी' सामूहिकपणे नाही, जी कोणत्याही रहिवाशाच्या डेटा विनंतीसाठी किंवा तक्रारीसाठी पहिला संपर्क असेल. हा कायदा रहिवाशांना हा अधिकार देतो की सोसायटीकडे त्यांचा कोणता डेटा आहे हे विचारावं, आणि तो दुरुस्त किंवा डिलीट करण्याची विनंती करावी. याचं उत्तर देण्यासाठी कोणालाही स्पष्टपणे जबाबदार न ठरवणं हीच एक गव्हर्नन्स त्रुटी आहे, जी तपासली गेली की वाईट दिसते.

तुमची सोसायटी अकाउंटिंग, बिलिंग किंवा गेट अ‍ॅक्सेस एखाद्या अ‍ॅपमधून चालवत असेल, आणि आजकाल बहुतांश सोसायट्या चालवतातच, तर व्हेंडरची स्वतःची DPDP तयारी हा तुमच्या सोसायटीचाही धोका बनतो. थेट विचारा की रहिवाशांचा डेटा कुठे ठेवला जातो, एखादा सदस्य गेल्यानंतर तो किती काळ ठेवला जातो, व्हेंडरच्या टीममध्ये कोण तो अ‍ॅक्सेस करू शकतं, आणि सोसायटीने कधी सॉफ्टवेअर बदललं तर त्या डेटाचं काय होईल.

SocietyBee वर, सोसायटीचा डेटा Supabase वर AWS च्या मुंबई रीजनमध्ये ठेवला जातो, साठवणुकीत AES-256 आणि ट्रान्झिटमध्ये TLS 1.3 ने एन्क्रिप्टेड, आणि प्रत्येक सोसायटीचा डेटा प्लॅटफॉर्मवरील इतर प्रत्येक सोसायटीपासून वेगळा ठेवला जातो, एकच सीए अनेक सोसायट्या सांभाळत असला तरीही. रहिवाशांचे फोन नंबर, फ्लॅटची माहिती आणि पेमेंट हिस्ट्री सांभाळणाऱ्या कोणत्याही व्हेंडरने हे उत्तर विनासंकोच देता यायला हवं. तुमचा व्हेंडर देऊ शकत नसेल, तर ही गोष्ट नोव्हेंबरआधी कळणं चांगलं, तक्रार झाल्यानंतर नाही.