11 जनवरी 2024 को, यूरोपीय संघ का डेटा अधिनियम – विनियमन (ईयू) 2023/2854 – यूरोपीय संघ के आधिकारिक राजपत्र में प्रकाशन के बीस दिन बाद लागू हुआ। यह विनियमन 12 सितंबर 2025 से प्रभावी है। यह कानून कनेक्टेड उत्पादों के निर्माताओं और संबंधित सेवाओं के प्रदाताओं पर मौलिक नए दायित्व डालता है, जो विनिर्माण और ऊर्जा से लेकर स्वास्थ्य सेवा और ऑटोमोटिव उद्योग तक कई क्षेत्रों को प्रभावित करता है। व्यावसायिक संदर्भ में डेटा उत्पन्न करने, संसाधित करने या उपयोग करने वाले किसी भी व्यक्ति को इस कानून के दायरे की समय रहते जांच करने की सलाह दी जाती है।
डेटा अधिनियम किन बातों को नियंत्रित करता है?
डेटा अधिनियम यूरोपीय डेटा रणनीति का एक हिस्सा है, जिसका उद्देश्य डेटा अर्थव्यवस्था में यूरोप की प्रतिस्पर्धी स्थिति को मजबूत करना है। यह विनियमन उन नियमों को निर्धारित करता है कि उत्पादों या सेवाओं के उपयोग से उत्पन्न डेटा तक किसकी पहुंच होगी और किन शर्तों के तहत उस डेटा को साझा किया जाना चाहिए। यह सभी डेटा पर सामान्य अधिकार से संबंधित नहीं है, बल्कि छह विशिष्ट समूहों का एक ढांचा है: उत्पाद और सेवा डेटा तक उपयोगकर्ता की पहुंच, उचित शर्तों पर B2B साझाकरण, असाधारण आवश्यकता के मामलों में सार्वजनिक पहुंच, डेटा प्रसंस्करण सेवाओं के बीच स्विच करना, गैर-व्यक्तिगत डेटा तक अंतरराष्ट्रीय सरकारी पहुंच से सुरक्षा और अंतरसंचालनीयता।
व्यवसायों के लिए दायित्व: उत्पाद डिजाइन
कनेक्टेड उत्पादों को इस प्रकार डिज़ाइन और निर्मित किया जाना चाहिए कि उत्पन्न डेटा स्वतः ही उपयोगकर्ता के लिए आसानी से, सुरक्षित रूप से, निःशुल्क और मशीन-पठनीय प्रारूप में उपलब्ध हो। कनेक्टेड उत्पादों के उपयोगकर्ता – जैसे स्मार्ट होम डिवाइस, औद्योगिक मशीनरी या वाहन – इस प्रकार उस उत्पाद के उपयोग से उत्पन्न डेटा तक पहुँचने का अधिकार प्राप्त कर लेते हैं। निर्माता और सेवा प्रदाता अब उस डेटा को केवल अपने पास नहीं रख सकते।
महत्वपूर्ण बात यह है कि इस दायित्व का लागू होना चरणबद्ध तरीके से होगा। हालांकि डेटा अधिनियम समग्र रूप से 12 सितंबर 2025 से लागू होगा, लेकिन संबंधित उत्पादों के लिए डिजाइन और निर्माण संबंधी दायित्व केवल उन उत्पादों पर लागू होगा जो 12 सितंबर 2026 के बाद बाजार में आएंगे। इसलिए मौजूदा उत्पाद अभी इसके दायरे में नहीं आते हैं।
बी2बी डेटा साझाकरण में उचित शर्तें
इस विनियम में विशिष्ट नियम शामिल हैं। बी2बी डेटा अनुबंधों में संविदात्मक शर्तेंएक कंपनी द्वारा दूसरी कंपनी पर एकतरफा रूप से लगाई गई कोई शर्त अनुचित होने पर दूसरी कंपनी पर बाध्यकारी नहीं होती। किसी शर्त को एकतरफा रूप से लगाई गई शर्त तब माना जाता है जब बातचीत के प्रयास के बावजूद दूसरी कंपनी उस पर कोई प्रभाव नहीं डाल पाती। इसे साबित करने का भार उस कंपनी पर होता है जिसने वह शर्त लगाई है।
कोई शर्त अनुचित तब मानी जाती है जब उसका उपयोग उचित व्यावसायिक व्यवहार से घोर विचलित होता हो और सद्भावना एवं निष्पक्ष व्यवहार के विरुद्ध हो। विनियम में ऐसी शर्तों के उदाहरण दिए गए हैं जो जानबूझकर या घोर लापरवाही के लिए दायित्व से छूट प्रदान करती हैं, दूसरे पक्ष को अपने डेटा का उपयोग करने से रोकती हैं, अनुचित रूप से कम समय के नोटिस पर एकतरफा अनुबंध समाप्ति की अनुमति देती हैं, या एकतरफा रूप से मूल्य या अन्य महत्वपूर्ण परिवर्तनों की अनुमति देती हैं। इसका कानूनी परिणाम यह है कि अनुचित शर्त दूसरे पक्ष पर बाध्यकारी नहीं होती, जबकि अनुबंध के शेष प्रावधान तब तक लागू रहते हैं जब तक कि वह शर्त पृथक्करणीय हो।
GDPR के साथ परस्पर संबंध
डेटा अधिनियम, सामान्य डेटा संरक्षण विनियमन (जीडीपीआर) के साथ-साथ लागू होता है, लेकिन इन दोनों के बीच एक महत्वपूर्ण अंतर्संबंध है। विनियमन व्यक्तिगत डेटा को भी कवर करता है, लेकिन इसे डेटा संरक्षण कानून से अलग नहीं करता है। यदि उपयोगकर्ता वह डेटा विषय नहीं है जिसका व्यक्तिगत डेटा मांगा गया है, तो वह व्यक्तिगत डेटा केवल तभी प्रदान किया जा सकता है जब अनुच्छेद 6 जीडीपीआर के तहत कोई वैध कानूनी आधार मौजूद हो। इसलिए, डेटा अधिनियम जीडीपीआर के लिए कोई स्वतंत्र अपवाद नहीं बनाता है: डेटा अधिनियम के तहत डेटा तक पहुंच पक्षों को इससे मुक्त नहीं करती है। उनके GDPR दायित्वऔर न ही यह उस उद्देश्य से परे प्रदान किए गए डेटा को आगे बनाए रखने या पुन: उपयोग करने का कोई आधार प्रदान करता है जिसके लिए इसे प्राप्त किया गया था।
क्लाउड पोर्टेबिलिटी और स्विचिंग
एक अलग अध्याय के तहत डेटा प्रोसेसिंग सेवाओं के प्रदाताओं को किसी अन्य प्रदाता पर स्विच करना आसान बनाना अनिवार्य है। वे किसी भी प्रकार की पूर्व-व्यावसायिक, व्यावसायिक, तकनीकी, संविदात्मक या संगठनात्मक बाधाएँ नहीं डाल सकते जो ग्राहकों को स्विच करने से रोकें। 12 जनवरी 2027 से, डेटा प्रोसेसिंग सेवाओं के प्रदाता ग्राहकों से किसी भी प्रकार का स्विचिंग शुल्क नहीं ले सकते। डेटा और कॉन्फ़िगरेशन का वास्तविक स्थानांतरण बिना किसी अनावश्यक देरी के और किसी भी स्थिति में अधिकतम तीस दिनों की अनिवार्य संक्रमणकालीन अवधि के बाद नहीं होना चाहिए। किसी एक क्लाउड प्रदाता पर अत्यधिक निर्भर संगठनों के लिए, यह अनुबंधों के नवीनीकरण या पुन: बातचीत के समय सौदेबाजी में नई शक्ति प्रदान करता है।
असाधारण आवश्यकता के मामलों में सार्वजनिक पहुंच
इस नियमन के तहत सार्वजनिक क्षेत्र के निकायों को कुछ सख्त शर्तों के अधीन, असाधारण परिस्थितियों में – जैसे कि सार्वजनिक आपातकाल – निजी डेटा तक पहुंच की मांग करने का अधिकार दिया गया है। ऐसी स्थिति में, सूक्ष्म उद्यमों और लघु उद्यमों को छोड़कर अन्य डेटा धारकों को आवश्यक डेटा नि:शुल्क उपलब्ध कराना अनिवार्य है। अन्य असाधारण परिस्थितियों में, डेटा धारक उचित मुआवजे का हकदार है। यह अधिकार नियमन में निर्धारित आनुपातिकता और सहायकता की शर्तों के अधीन है।
नीदरलैंड में प्रवर्तन
नीदरलैंड्स में, डेटा अधिनियम कार्यान्वयन अधिनियम (Uitvoeringswet dataverordening) के माध्यम से प्रवर्तन को कानून में शामिल कर लिया गया है। नीदरलैंड्स उपभोक्ता एवं बाजार प्राधिकरण (ACM) विनियमन के अधिकांश भाग के लिए सक्षम प्राधिकारी है, जिसमें उत्पाद डेटा, B2B साझाकरण और क्लाउड पोर्टेबिलिटी से संबंधित अध्याय शामिल हैं। डच डेटा संरक्षण प्राधिकरण (AP) गोपनीयता से संबंधित तत्वों और कुछ अनुच्छेदों और अध्याय V के अंतर्गत व्यक्तिगत डेटा के प्रसंस्करण के लिए सक्षम है। दोनों प्राधिकरण अपने-अपने अधिकार क्षेत्र में दंड या प्रशासनिक जुर्माना लगाकर प्रवर्तन कार्रवाई कर सकते हैं। कार्यान्वयन अधिनियम ACM और AP के बीच सहयोग और सूचना-आदान-प्रदान व्यवस्था का भी प्रावधान करता है, ताकि दोनों पर्यवेक्षक परस्पर संबंधित मुद्दों पर समन्वित तरीके से कार्य कर सकें।
अभ्यास में इसका क्या मतलब है?
कनेक्टेड उत्पादों का विकास, आयात या वितरण करने वाले व्यवसायों को डेटा अधिनियम के अनुसार अपने उत्पाद डिज़ाइन और अनुबंध संरचना की समीक्षा करना बुद्धिमानी होगी। 12 सितंबर 2026 के बाद बाज़ार में आने वाले उत्पादों पर डिज़ाइन और सुलभता संबंधी दायित्व पूरी तरह लागू होते हैं। उपयोगकर्ताओं की ओर से डेटा संसाधित करने वाले सेवा प्रदाताओं को यह पता लगाना चाहिए कि उन पर कौन से डेटा साझाकरण दायित्व लागू होते हैं और क्या मौजूदा समझौते – जिनमें एकतरफा रूप से तैयार किए गए डेटा खंड भी शामिल हैं – इन दायित्वों के अनुरूप हैं।
जो लोग नियमों के लागू होने का इंतजार करते हैं, उनके पिछड़ने का खतरा रहता है। उत्पादों, सेवाओं और अनुबंधों को नए नियमों के अनुरूप समय रहते तैयार करना न केवल अनुपालन का मामलालेकिन यह अवसर भी प्रस्तुत करता है: जो कंपनियां अपने ग्राहकों को पारदर्शिता और डेटा तक पहुंच प्रदान करती हैं, वे ऐसे बाजार में अलग पहचान बनाती हैं जो कंपनियों द्वारा डेटा को संभालने के तरीके की बढ़ती आलोचना करता है।
क्या आपके व्यवसाय या अनुबंधों पर यूरोपीय संघ डेटा अधिनियम के प्रभावों के बारे में आपके कोई प्रश्न हैं? हमारे वकील आपकी सहायता के लिए तत्पर हैं। Law & More हम आपकी सहायता करने में प्रसन्न हैं।
अक्सर पूछे जाने वाले प्रश्न
क्या डेटा अधिनियम मेरे मौजूदा कनेक्टेड उत्पादों पर पहले से ही लागू होता है?
यह विनियमन 12 सितंबर 2025 से लागू होगा, लेकिन उपयोगकर्ताओं के लिए डेटा सुलभ बनाने हेतु कनेक्टेड उत्पादों को डिज़ाइन करने की बाध्यता केवल 12 सितंबर 2026 के बाद बाज़ार में आने वाले उत्पादों पर ही लागू होगी। इससे पहले बाज़ार में मौजूद उत्पाद अभी इसके दायरे में नहीं आते हैं। फिर भी, निर्माताओं और आयातकों के लिए यह बुद्धिमानी होगी कि वे अपने उत्पाद विकास को अभी से ही नई आवश्यकताओं के अनुरूप ढाल लें, ताकि भविष्य के उत्पाद बाज़ार में लॉन्च होने पर नियमों का पालन करें।
अगर मेरे डेटा अनुबंध में ऐसे खंड हैं जो डेटा तक पहुंच को प्रतिबंधित करते हैं तो मुझे क्या करना चाहिए?
डेटा अधिनियम के अंतर्गत, संविदात्मक शर्तें जो एकतरफा रूप से लागू की जाती हैं और जो दूसरे पक्ष को अपने डेटा का उपयोग करने या उसका लाभ उठाने से रोकती हैं, उन्हें अनुचित और इसलिए बाध्यकारी नहीं माना जा सकता है। ऐसे खंडों के लिए मौजूदा डेटा अनुबंधों की समीक्षा करवाना उचित है। यह साबित करने का भार कि कोई शर्त एकतरफा रूप से लागू नहीं की गई थी, उस पक्ष पर है जिसने इसे शामिल किया है। दूसरे पक्ष द्वारा विनियमन लागू करने तक प्रतीक्षा करने की तुलना में शीघ्र पुनर्विचार करना आम तौर पर अधिक प्रभावी होता है।
क्या मैं GDPR के कानूनी आधार के बिना डेटा अधिनियम के तहत व्यक्तिगत डेटा साझा कर सकता हूँ?
नहीं। डेटा अधिनियम व्यक्तिगत डेटा के प्रकटीकरण के लिए कोई स्वतंत्र आधार प्रदान नहीं करता है। यदि उपयोगकर्ता वह व्यक्ति नहीं है जिसका व्यक्तिगत डेटा मांगा जा रहा है, तो वह डेटा केवल तभी प्रदान किया जा सकता है जब GDPR के अनुच्छेद 6 के तहत कोई वैध कानूनी आधार मौजूद हो। इसके अलावा, डेटा अधिनियम के तहत डेटा तक पहुंच, प्रकट किए गए व्यक्तिगत डेटा को मूल उद्देश्य से परे आगे रखने या पुनः उपयोग करने का कोई आधार प्रदान नहीं करती है। इसलिए, GDPR अनुपालन और डेटा अधिनियम अनुपालन दोनों को एक साथ सुनिश्चित किया जाना चाहिए।
क्या क्लाउड सेवा प्रदाता के रूप में मैं अभी भी स्विचिंग शुल्क ले सकता हूँ?
12 जनवरी 2027 से, डेटा प्रोसेसिंग सेवाओं के प्रदाताओं को ग्राहकों से स्विचिंग शुल्क लेने से प्रतिबंधित किया गया है। इसके अतिरिक्त, 12 सितंबर 2025 से, स्विचिंग में बाधा डालने वाली कोई भी तकनीकी, संविदात्मक या संगठनात्मक बाधा नहीं लगाई जा सकती है। स्विचिंग के बाद वास्तविक डेटा स्थानांतरण भी अनावश्यक देरी के बिना होना चाहिए और अधिकतम तीस दिनों की संक्रमणकालीन अवधि के भीतर पूरा हो जाना चाहिए। लंबी अवधि या स्विचिंग शुल्क वाले मौजूदा अनुबंधों की समीक्षा आवश्यक है।
नीदरलैंड्स में डेटा अधिनियम को लागू करने के लिए कौन सा पर्यवेक्षी प्राधिकरण सक्षम है?
इस विनियमन को लागू करने का दायित्व नीदरलैंड्स उपभोक्ता एवं बाज़ार प्राधिकरण (ACM) और डच डेटा संरक्षण प्राधिकरण (AP) के बीच विभाजित है। ACM इस विनियमन के अधिकांश भाग के लिए सक्षम है, जिसमें उत्पाद डेटा, B2B साझाकरण और क्लाउड पोर्टेबिलिटी से संबंधित प्रावधान शामिल हैं। AP कुछ अनुच्छेदों और अध्याय V के अंतर्गत गोपनीयता से संबंधित संवेदनशील तत्वों और व्यक्तिगत डेटा के प्रसंस्करण के लिए सक्षम है। दोनों प्राधिकरण दंड या प्रशासनिक जुर्माना लगाने का आदेश जारी कर सकते हैं। ऐसे निर्णयों के विरुद्ध सामान्य प्रशासनिक-कानूनी उपाय उपलब्ध हैं, जिनमें आपत्ति, अपील और अंतरिम राहत शामिल हैं।
क्या डेटा अधिनियम छोटे उद्यमों पर भी लागू होता है?
यह विनियमन कुछ बिंदुओं पर उद्यम के आकार के आधार पर अंतर करता है। उदाहरण के लिए, सार्वजनिक आपातकालीन डेटा अनुरोधों के मामलों में, सूक्ष्म उद्यमों और छोटे उद्यमों को निःशुल्क डेटा उपलब्ध कराने की बाध्यता से छूट दी गई है; ऐसे मामलों में वे उचित मुआवजे के हकदार हैं। अन्य बाध्यताओं के लिए – जिनमें कनेक्टेड उत्पादों के लिए सुलभता की बाध्यता और बी2बी शर्तों के लिए निष्पक्षता परीक्षण शामिल हैं – छोटे और मध्यम आकार के उद्यमों को कोई सामान्य छूट नहीं दी गई है। इसलिए, कनेक्टेड उत्पादों या क्लाउड सेवाओं के छोटे प्रदाताओं को भी समय रहते अपने संचालन को विनियमन के अनुरूप ढालना होगा।
