DPDP Act आपके school के data के लिए क्या मायने रखता है data
आपका school सैकड़ों children के नाम, photos, जन्म तिथि, Fees, marks और health notes रखता है — और अब एक नया कानून आपको इन सबके लिए कानूनी रूप से जिम्मेदार बनाता है। यह guide आसान भाषा में बताती है कि DPDP Act एक Indian school से क्या मांगता है, children data खास क्यों है, और compliant होने के practical steps क्या हैं।
एक class teacher 40 parents के लिए एक WhatsApp group बनाता है। साल भर में वह भर जाता है: एक child का पूरा नाम और admission number, Sports Day की एक photo, fee-defaulter list का एक screenshot, किसी के "records के लिए" forward किए birth certificate का scan। किसी का बुरा इरादा नहीं था। लेकिन इनमें से हर message एक child का personal data है, जो दर्जनों ऐसे phones पर पड़ा है जिन पर school का control नहीं — और late 2025 से, एक कानून है जो इसे ठीक उतनी ही गंभीरता से लेता है जितनी यह बात सुनने में लगती है। ज़्यादातर principals ने "DPDP Act" नाम सुना है। बहुत कम को बताया गया है कि यह एक school से असल में क्या मांगता है।
छोटी बात यह है। Digital Personal Data Protection (DPDP) Act, 2023 आपके school को हर student के data के लिए — जो आप collect, store या share करते हैं — कानूनी रूप से जिम्मेदार बनाता है। चूँकि आपके students children हैं, इसलिए कानून आपको अपनी सबसे सख्त category में रखता है। अच्छी बात: इसके fixes कोई जादुई चीज़ नहीं हैं। ये ज़्यादातर consent, यह तय करने कि कौन क्या देख सकता है, और ऐसा software चुनने के बारे में हैं जो data India में store करे और एक सही agreement sign करे। यह कानून को समझने में मदद के लिए एक explainer है — legal advice नहीं; अपने school की specific compliance के लिए किसी qualified professional से बात करें।
DPDP Act एक school के लिए असल में क्या मायने रखता है?
DPDP Act personal information के लिए India का पहला असली data-protection कानून है। इसकी भाषा में, आपका school एक Data Fiduciary है — वह संस्था जो तय करती है कि children data क्यों और कैसे process होगा — और हर student और parent एक Data Principal है, जिसके पास अपने data पर rights हैं। यह Act 2023 में पास हुआ; इसे लागू करने वाले rules (DPDP Rules) 13 November 2025 को notify हुए, और इसकी मुख्य obligations 13 May 2027 से लागू होंगी, संस्थाओं को तैयार होने के लिए 18-month का समय देने के बाद। एक school को शुरू करने के लिए 2027 तक रुकने की ज़रूरत नहीं; जो schools अभी शुरू करेंगे वे बाद में हड़बड़ी में नहीं होंगे।
Act एक school की थाली में क्या रखता है
- data रखने के लिए आपके पास एक lawful basis होना चाहिए। ज़्यादातर student information के लिए वह basis consent है — जो स्वतंत्र रूप से, एक साफ purpose के लिए दिया गया हो, और जिसे वापस लेना उतना ही आसान हो जितना देना था।
- children data एक खास category है। Indian कानून में 18 साल से कम का हर व्यक्ति "child" है (कई global कानूनों की under-13 सीमा से सख्त), और उनके data को process करने के लिए parent या lawful guardian से verifiable consent चाहिए।
- आप सिर्फ़ वही collect कर सकते हैं जिसकी आपको असल में ज़रूरत है। जब purpose सिर्फ़ attendance हो, तब parent का Aadhaar, जाति या आय माँगना ठीक वैसी ही over-collection है जिसे रोकने के लिए यह Act बना है।
- parents और students को rights मिलते हैं: यह देखने का कि आप क्या data रखते हैं, उसे correct कराने का, ज़रूरत न रहने पर erasure माँगने का, और एक grievance channel का जो उन्हें जवाब दे।
- आपको data को reasonably secure रखना होगा — access controls, कोई shared logins नहीं, WhatsApp groups में घूमते birth certificates नहीं।
- अगर breach होता है, तो आपको रिपोर्ट करनी होगी — प्रभावित families को और Data Protection Board of India को — बिना अनुचित देरी के।
- vendor के पास data होने पर भी जिम्मेदारी आपकी है। आपका ERP, biometric machine और bus-tracking app आपके "data processors" हैं; कानून फिर भी school को ही जवाबदेह मानता है, इसलिए उनके साथ contract मायने रखता है।
- penalties असली हैं। data secure न रख पाने पर सीमा ₹250 crore तक जाती है, और breach या children-data rules को सही से न संभालने पर ₹200 crore तक — ये आँकड़े बड़े fiduciaries के लिए हैं, पर इस बात का संकेत हैं कि कानून इस duty को कितनी गंभीरता से लेता है।
children data को इतना सख्ती से क्यों लिया जाता है?
यही वह हिस्सा है जो schools को चौंका देता है, क्योंकि एक school लगभग पूरी तरह children-data वाला operation है। DPDP Act children को extra protection दो तरीकों से देता है। पहला, एक child के data को process करने से पहले आपको verifiable parental consent लेना होगा — admission form पर एक tick-box नहीं, बल्कि ऐसा consent जहाँ आपने reasonable steps लिए हों यह पक्का करने के लिए कि देने वाला व्यक्ति सचमुच parent या guardian ही है। दूसरा, और यह बिल्कुल पक्का है, Act children की तरफ निर्देशित tracking, behavioural monitoring और targeted advertising पर रोक लगाता है। कोई भी parental consent इन्हें unlock नहीं कर सकता — ये बस मना हैं। एक school के लिए इसका मतलब है कि किसी child की activity का profile बनाकर उसे कुछ बेचना नहीं, और किसी भी "free" app से गंभीर सावधानी जो student के ध्यान से कमाई करती हो।
एक बात साफ़ कहना ज़रूरी है ताकि आप न ज़्यादा react करें न कम। rules कुछ सीमित situations को छूट देते हैं जहाँ children-data obligations के कुछ हिस्से ढीले होते हैं — जैसे, किसी child को सुरक्षित रखने के लिए, safety के लिए real-time location पक्की करने के लिए, या ऐसा benefit देने के लिए जिसका child हकदार है। ये exemptions specific और सीमित हैं; ये schools को consent छोड़ने का कोई खुला पास नहीं देतीं। एक principal के लिए सुरक्षित समझ आसान है: मान लें कि verifiable parental consent और सख्त handling ही हर उस काम का default है जो आप student data के साथ करते हैं, और किसी भी exemption को मान लेने के बजाय किसी advisor से confirm करने वाली बात समझें।
एक school के तौर पर आपकी DPDP checklist क्या है?
असली प्रगति करने के लिए आपको किसी compliance department की ज़रूरत नहीं। इन्हें क्रम से करें — ज़्यादातर technology projects नहीं, बल्कि संस्था की आदतें हैं।
-
पता लगाएँ कि आप क्या data रखते हैं, और कहाँ। हर वह जगह सूचीबद्ध करें जहाँ एक child का data रहता है: ERP, attendance register, biometric device, transport app, photo drive, teachers के personal phones, front-office की Excel sheet। जिसका नक्शा नहीं बनाया, उसे आप protect नहीं कर सकते।
-
verifiable parental consent लें — और उसे लिखकर रखें। admission और re-admission पर एक साफ consent step जोड़ें जो बताए कि आप क्या data collect करते हैं, क्यों, और एक parent उसे कैसे वापस ले सकता है। record रखें कि किसने और कब consent दिया, ताकि आप साबित कर सकें।
-
role के हिसाब से access lock करें। एक class teacher को fee ledger की ज़रूरत नहीं; accountant को medical notes की नहीं। हर staff member को सिर्फ़ वही data दें जिसकी उसके काम को ज़रूरत है, उसके अपने login के साथ — सही role-based access वह सबसे असरदार fix है जिसे ज़्यादातर schools छोड़ देते हैं।
-
ऐसा vendor चुनें जो data India में store करे और agreement sign करे। पूछें कि data शारीरिक रूप से कहाँ रहता है और एक लिखित data-processing agreement लें जो vendor को उन्हीं duties के लिए बाध्य करे। हाथ मिलाना कोई contract नहीं है।
-
breach plan ज़रूरत पड़ने से पहले बना लें। अभी तय करें कि किसे, किस क्रम में बताया जाएगा, और आप families और Data Protection Board को बिना देरी कैसे notify करेंगे। तेज़ और ईमानदारी से संभाला गया breach, छिपाए गए breach से बहुत अलग घटना होती है।
-
deletion और access requests का सम्मान करें। जब कोई child छोड़ता है, या कोई parent पूछता है कि आप क्या रखते हैं या पुराना data हटवाना चाहता है, तो उसे सचमुच करने का तरीका रखें — कोई वादा नहीं जो inbox में दम तोड़ दे।
-
sensitive data के लिए WhatsApp-group की आदत खत्म करें। admission documents, defaulter lists और health information को खुले groups से निकालकर access-controlled software में लाएँ। यह एक बदलाव एक school के रोज़मर्रा के ज़्यादातर exposure को बंद कर देता है।
किसी भी ERP या app vendor से आपको क्या पूछना चाहिए?
ज़्यादातर schools tools के एक ढेर पर चलते हैं — एक ERP, एक communication app, एक biometric system, एक bus tracker — और इनमें से हर एक वह जगह है जहाँ से student data लीक हो सकता है। इन्हें परखने के लिए आपको legal training की ज़रूरत नहीं; आपको कुछ सीधे सवालों की एक छोटी सूची चाहिए। पूछें कि data शारीरिक रूप से कहाँ store होता है, और "India में" लिखित में लें। पूछें कि क्या वे ऐसा data-processing agreement sign करेंगे जो उन्हें उन्हीं obligations से बाँधे जो कानून आप पर रखता है। पूछें कि access कैसे control होता है — क्या आप एक teacher को ऐसा login दे सकते हैं जो सिर्फ़ उसकी class देखे? पूछें कि छोड़ने पर आपके data का क्या होगा: क्या आप उसे export कर सकते हैं और delete करवा सकते हैं? पूछें कि वे breach के बारे में आपको कैसे बताएँगे। जिन names से आप मिलेंगे — Teachmint, Vidyalaya, Fedena, Entab, MyClassboard, Campus 365, Edunext, और इनमें Inkwelly भी — इन सबको ये जवाब बिना झिझके देने आने चाहिए। अगर कोई vendor data कहाँ रहता है इस पर गोलमोल है या agreement sign नहीं करेगा, तो वही आपका जवाब है।
non-compliance की असल कीमत क्या है?
बड़े आँकड़े जानबूझकर बड़े हैं। DPDP Act reasonable security safeguards न रख पाने पर ₹250 crore तक और एक breach या children-data rules को गलत संभालने पर ₹200 crore तक की penalty सीमा रखता है। ये सीमाएँ सबसे बड़े data handlers के लिए हैं, और एक अकेला school इस पैमाने के शिखर तक पहुँचने की संभावना नहीं रखता — पर framing मायने रखती है, क्योंकि यह बताती है कि regulator इस duty को कैसे देखता है। एक school के लिए ज़्यादा असली कीमत घर के करीब है: एक लीक हुई defaulter list या एक घूमती child की photo एक parent की शिकायत, एक WhatsApp screenshot, और एक trust की समस्या बन जाती है जिसे कोई refund ठीक नहीं करता। इसके सामने, compliance का काम सस्ता है — एक consent step, role-based logins, एक India-hosted vendor, और एक आदत का बदलाव एक बुरी घटना से कहीं कम खर्च करते हैं।
Inkwelly कहाँ फिट होता है?
Inkwelly इस तरह बना है कि DPDP Act के उबाऊ-पर-ज़रूरी हिस्से आपके front office से नहीं, software से संभलें। Access को role-based permissions से नियंत्रित किया जाता है — एक teacher अपनी class देखता है, accountant Fees देखता है, default में कोई सब कुछ नहीं देखता। student information के लिए consent admission पर मान लेने के बजाय capture और record किया जाता है, ताकि आप दिखा सकें कि किसने किस बात पर सहमति दी। और आपके school का data India में मौजूद infrastructure पर store होता है, एक साफ processing agreement के साथ, ताकि "हमारा data कहाँ रहता है?" वाले सवाल का सीधा जवाब हो। School-to-parent updates खुले WhatsApp groups के बजाय structured communications से जाते हैं, जो ठीक वही आदत है जिससे कानून आपको दूर ले जाता है। हम यह दावा नहीं करेंगे कि Inkwelly अकेले आपको compliant बना देता है — compliance लोग और process भी है — पर यह उन हिस्सों को हटा देता है जिन्हें schools सबसे ज़्यादा गलत करते हैं।
“DPDP Act किसी school से tech company बनने को नहीं कहता। यह आपसे कहता है कि जानें आप क्या data रखते हैं, उसके लिए असली consent लें, तय करें कौन उसे देख सकता है, और ऐसा vendor चुनें जिस पर आप उसके साथ भरोसा कर सकें।”
आपको यह सब एक हफ़्ते में हल नहीं करना है, और आपको 2027 तक रुकना भी नहीं है। सबसे ज़्यादा फ़ायदा देने वाले दो बदलाव चुनें — admission पर एक साफ, record किया consent और shared के बजाय role-based logins — और इन्हें इसी term में करें। फिर अपना data map करें, अपना vendor agreement लिखित में लें, और एक one-page breach plan लिख लें। जो schools अभी शुरू करेंगे वे 2027 को calendar की एक तारीख की तरह लेंगे, न कि ऐसी deadline जिसकी ओर वे दौड़ रहे हों। और चूँकि यह legal advice नहीं बल्कि एक explainer है, उस पर भरोसा करने से पहले अपनी आखिरी compliance plan किसी qualified professional से जाँच लें।
देखें role-based access और record किया consent असल में कैसे काम करते हैं
एक free, बिना दबाव वाला demo book करें और हम आपको ठीक-ठीक दिखाएँगे कि Inkwelly access control, admission पर consent, और India-hosted student data को कैसे संभालता है।
अक्सर पूछे गए सवाल
8 सवालक्या DPDP Act schools पर लागू होता है?
हाँ। एक school DPDP Act के तहत एक Data Fiduciary है, क्योंकि वह तय करता है कि students का personal data क्यों और कैसे collect और use करना है। चूँकि students children (18 से कम) हैं, schools कानून की सबसे सख्त category में आते हैं और उन्हें verifiable parental consent लेना, data secure रखना और उस data पर parents के rights का सम्मान करना होता है।
DPDP Act के तहत verifiable parental consent क्या है?
इसका मतलब है कि एक child का data process करने से पहले school को parent या lawful guardian से consent लेना होगा और reasonable steps लेने होंगे यह पक्का करने के लिए कि वह व्यक्ति सचमुच parent ही है। admission form पर एक चुपचाप tick-box काफ़ी नहीं — consent साफ, record किया हुआ, और जितना देना आसान था उतना ही वापस लेना आसान होना चाहिए।
DPDP Act schools के लिए कब लागू होता है?
DPDP Act 2023 में पास हुआ था। इसे लागू करने वाले DPDP Rules 13 November 2025 को notify हुए, और मुख्य obligations 18-month की तैयारी अवधि के बाद 13 May 2027 से लागू होंगी। schools deadline का इंतज़ार करने के बजाय अभी से तैयारी कर सकते हैं और करनी भी चाहिए।
क्या schools DPDP Act के तहत students को track कर सकते हैं या targeted ads भेज सकते हैं?
नहीं। Act children की तरफ निर्देशित tracking, behavioural monitoring और targeted advertising पर बिल्कुल रोक लगाता है, और parental consent भी इसे unlock नहीं कर सकता। schools को किसी भी free app से सावधान रहना चाहिए जो student की activity का profile बनाती है या student के ध्यान से कमाई करती है, क्योंकि कानून ठीक यही मना करता है।
School ke data ko India me store karna kyu zaroori hai?
DPDP Act blanket data localisation नहीं थोपता, पर government कुछ देशों को कुछ data के transfer पर रोक लगा सकती है, और data को India में रखना आपको सबसे सुरक्षित तरफ रखता है और "हमारा data कहाँ रहता है?" वाले सवाल का साफ जवाब देता है। किसी भी ERP vendor से पूछें कि data शारीरिक रूप से कहाँ रहता है और जवाब लिखित में लें।
DPDP Act me penalty kitni ho sakti hai?
Act reasonable security safeguards न रख पाने पर ₹250 crore तक और एक data breach या children-data rules को गलत संभालने पर ₹200 crore तक की penalty सीमा रखता है। ये सीमाएँ सबसे बड़े data handlers के लिए हैं, पर बताती हैं कि कानून data सुरक्षित रखने की fiduciary की duty को कितनी गंभीरता से लेता है।
क्या student data share करने के लिए WhatsApp groups का इस्तेमाल DPDP Act के तहत समस्या है?
हो सकता है। खुले WhatsApp groups में children की photos, admission documents, marks या defaulter lists share करना personal data को कई ऐसे devices पर रख देता है जिन पर school का control नहीं, बिना किसी access सीमा और बिना consent के record के। ज़्यादा सुरक्षित तरीका यह है कि sensitive sharing को access-controlled school software में ले जाया जाए।
क्या यह article legal advice है?
नहीं। यह principals और owners की मदद के लिए एक आसान भाषा वाला explainer है ताकि वे समझ सकें कि DPDP Act मोटे तौर पर एक school से क्या माँगता है। यह legal advice नहीं है, और rules अभी चरणों में लागू हो रहे हैं। अपने school के specific compliance steps के लिए किसी qualified data-protection professional या lawyer से सलाह लें।
आपको ये भी पसंद आ सकता है
7 लेखInkwelly आपके स्कूल पर — खुद देखें
30 मिनट का डेमो। आपके मौजूदा ERP को आपके साथ खोलकर, कॉल पर ही आपका डेटा Inkwelly में लोड करते हैं। कॉल ख़त्म होते-होते एक तय तारीख़ का गो-लाइव प्लान आपके हाथ में।