बांग्लादेश का डेटा संरक्षण कानून 2026: व्यक्तिगत डेटा संरक्षण अधिनियम, भारत को डेटा हस्तांतरण और भारतीय कंपनियों के दायित्व

बांग्लादेश का डेटा संरक्षण कानून: भारतीय कंपनियों के लिए 2026 की स्थिति

बांग्लादेश का डेटा संरक्षण कानून अब एक पूर्ण संसदीय अधिनियम है: व्यक्तिगत डेटा संरक्षण अधिनियम, 2026 (Personal Data Protection Act, 2026, अधिनियम संख्या 63, 2026)। यह 10 अप्रैल 2026 को राजपत्र में प्रकाशित हुआ और 2025 के अध्यादेश तथा फ़रवरी 2026 के संशोधन अध्यादेश की जगह लेता है।[1] [2] भारतीय IT, BPO, फ़िनटेक, ई-कॉमर्स, फ़ार्मा और दूरसंचार कंपनियों के लिए, जो बांग्लादेशी ग्राहकों का डेटा भारत से संसाधित करती हैं, यह अधिनियम सीधे लागू हो सकता है।

यह मार्गदर्शिका 24 अक्टूबर 2026 तक की स्थिति बताती है: कौन-से प्रावधान आज लागू हैं, कौन-से बाद में शुरू होंगे, भारत को डेटा भेजने की शर्तें क्या हैं, और साइबर सुरक्षा कानून के साथ इसका संबंध क्या है। भारत के डिजिटल व्यक्तिगत डेटा संरक्षण अधिनियम, 2023 (DPDP Act) का अनुपालन मददगार है, पर बांग्लादेश की अपेक्षाओं का स्थान नहीं लेता।

सारांश: व्यक्तिगत डेटा संरक्षण अधिनियम 2026 को 6 नवंबर 2025 से लागू माना गया है, सिवाय धारा 23 (मुख्य डेटा अधिकारी) और धारा 31 से 35 (शिकायत, प्रशासनिक जुर्माना और मुआवज़ा) के, जो बाद में सरकारी अधिसूचना से शुरू होंगी। अधिनियम बांग्लादेश के बाहर उस प्रसंस्करण पर भी लागू होता है जो बांग्लादेश में लोगों को वस्तुएँ या सेवाएँ देता है या उनकी निगरानी करता है। विदेश में डेटा हस्तांतरण धारा 29 की शर्तों के अधीन है।

मुख्य बिंदु: जुर्माने और शिकायत का ढाँचा 24 अक्टूबर 2026 को लागू नहीं है, पर सहमति, सुरक्षा, अधिकार, रिकॉर्ड और हस्तांतरण के दायित्व पहले से लागू हैं। भारतीय सेवा प्रदाता जो "जुर्माना अभी नहीं" सोचकर तैयारी टालते हैं, वे अनुबंध और साइबर कानून दोनों में जोखिम उठाते हैं।

एक नज़र में

स्वाइप या स्क्रॉल करें →

विषय सूची

डेटा संरक्षण कानून की स्थिति और लागू होने की तारीख़ें

अधिनियम 2025 के व्यक्तिगत डेटा संरक्षण अध्यादेश (अध्यादेश संख्या 61, 2025) और 2026 के संशोधन अध्यादेश को निरस्त करता है, पर उनके तहत की गई कार्रवाइयों को सुरक्षित रखता है।[1] [8] इसलिए 2025 के अध्यादेश के हवाले से बने अनुबंध या नीतियाँ अब अधिनियम 63 के पाठ से जाँचनी चाहिए।

बाद में शुरू होने वाले प्रावधान

धारा 1(3) के अनुसार धारा 23 और धारा 31 से 35 अधिनियम के "जारी होने" के 18 महीने बाद, सरकार द्वारा राजपत्र अधिसूचना में तय तारीख़ से लागू होंगी।[1] यह स्पष्ट नहीं है कि 18 महीने 2025 के अध्यादेश से गिने जाएँगे या 2026 के अधिनियम से; पहली व्याख्या पर यह मई 2027 से पहले और दूसरी पर अक्टूबर 2027 से पहले संभव नहीं। 24 अक्टूबर 2026 तक कोई अधिसूचना नहीं देखी गई।

भारतीय कंपनियों पर क्षेत्रीय पहुँच

अधिनियम उन मामलों में लागू होता है जहाँ डेटा विषय बांग्लादेशी नागरिक है, बांग्लादेश में रहता या काम करता है, जहाँ प्रसंस्करण बांग्लादेश में होता है (केवल पारगमन को छोड़कर), और जहाँ बांग्लादेश के बाहर का प्रसंस्करण बांग्लादेश में व्यक्तियों को वस्तुएँ या सेवाएँ देने, या उनकी निगरानी और प्रोफ़ाइलिंग से जुड़ा है।[1] बेंगलुरु से चलने वाला बांग्लादेशी बैंक का कॉल सेंटर, कोलकाता से संचालित ऐप या हैदराबाद में होस्टेड HR प्रणाली, सभी इस दायरे में आ सकते हैं।

संविधान का अनुच्छेद 43 पत्राचार और संचार के अन्य साधनों की निजता की रक्षा करता है, उचित वैधानिक प्रतिबंधों के अधीन।[5] अधिनियम इस अधिकार को व्यक्तिगत डेटा के लिए विस्तृत वैधानिक रूप देता है, पर क्षेत्रीय नियमों और अनुबंध दायित्वों को समाप्त नहीं करता।

मुख्य परिभाषाएँ: डेटा फ़िड्यूशियरी, प्रोसेसर और संवेदनशील डेटा

व्यक्तिगत डेटा की परिभाषा व्यापक है: नाम, माता-पिता के नाम, पहचान संख्या, मोबाइल नंबर, वित्तीय डेटा, स्थान और ऑनलाइन पहचानकर्ता, साथ ही शारीरिक, आनुवंशिक, बायोमेट्रिक और मनोवैज्ञानिक जानकारी। डेटा विषय वह प्राकृतिक व्यक्ति है जिससे डेटा संबंधित है, चाहे जीवित हो या मृत।[1]

डेटा फ़िड्यूशियरी (data fiduciary) वह है जो अकेले या संयुक्त रूप से किसी उद्देश्य के लिए डेटा संसाधित करता है या उसकी अनुमति देता है; प्रोसेसर फ़िड्यूशियरी की ओर से काम करता है। भारत के DPDP अधिनियम की शब्दावली मिलती-जुलती है, पर भूमिका का निर्धारण वास्तविक निर्णय-शक्ति से होगा, अनुबंध के लेबल से नहीं।[1]

संवेदनशील डेटा और बच्चे

संवेदनशील व्यक्तिगत डेटा में आनुवंशिक और बायोमेट्रिक डेटा, जातीय या आदिवासी समुदाय, राजनीतिक, दार्शनिक और धार्मिक विश्वास, ट्रेड यूनियन सदस्यता, स्वास्थ्य, यौन अभिविन्यास, आपराधिक मामलों का डेटा और रियल-टाइम स्थान शामिल हैं।[1] 18 वर्ष से कम आयु का व्यक्ति बच्चा है, और उसके डेटा के लिए माता-पिता या वैध अभिभावक की सहमति चाहिए।[1]

महत्वपूर्ण डेटा फ़िड्यूशियरी

"महत्वपूर्ण डेटा फ़िड्यूशियरी" का निर्धारण विनियमों से होगा, जिनमें राष्ट्रीय संप्रभुता, डेटा की मात्रा, अधिकारों के जोखिम और सार्वजनिक व्यवस्था पर संभावित प्रभाव जैसे कारक हैं।[1] विनियम आने तक केवल कर्मचारी संख्या या टर्नओवर के आधार पर स्वयं को इस श्रेणी से बाहर मानना सुरक्षित नहीं।

वैध आधार, सहमति और विशेष मामले

धारा 5 में सहमति सामान्य आधार है। सहमति स्वैच्छिक, विशिष्ट, स्पष्ट और वापस लेने योग्य होनी चाहिए, और उससे पहले डेटा विषय को उद्देश्य, अवधि, हस्तांतरण और वापसी के तरीक़े की जानकारी देनी होती है। वैध सहमति साबित करने का भार फ़िड्यूशियरी पर है।[1]

सहमति के बिना प्रसंस्करण केवल सूचीबद्ध आधारों पर हो सकता है: अनुबंध का निष्पादन, अनुबंध से पहले डेटा विषय के अनुरोध पर कदम, क़ानूनी दावे, जीवन या स्वास्थ्य से जुड़े महत्वपूर्ण हित, रोज़गार और सामाजिक सुरक्षा अधिकार, और स्वयं सार्वजनिक किया गया डेटा।[1] यह एक बंद सूची है, जो यूरोपीय GDPR के खुले "वैध हित" परीक्षण से संकरी है।

संवेदनशील डेटा और प्रयोजन की सीमा

धारा 7 संवेदनशील डेटा के लिए अतिरिक्त शर्तें जोड़ती है, जैसे विशिष्ट सहमति, अनुबंध, रोज़गार दायित्व, चिकित्सा कर्तव्य या क़ानूनी दायित्व। धारा 16 मूल संग्रह-उद्देश्य से भिन्न प्रयोजन के लिए बिना सहमति प्रकटीकरण पर रोक लगाती है।[1] भारत में समूह-स्तरीय एनालिटिक्स या मार्केटिंग के लिए बांग्लादेशी ग्राहक डेटा का पुनः उपयोग इसलिए अलग विश्लेषण माँगता है।

पारदर्शिता, सुरक्षा, रिकॉर्ड और प्रोसेसर

धारा 15 के तहत महत्वपूर्ण प्रसंस्करण के लिए डेटा विषय को डेटा की श्रेणियाँ, संग्रह का तरीका, उद्देश्य, अधिकारों का प्रयोग, प्राधिकरण में शिकायत, हस्तांतरण और फ़िड्यूशियरी की पहचान और संपर्क बताना होता है।[1] धारा 17 जोखिम-आधारित तकनीकी और संगठनात्मक उपायों की अपेक्षा करती है, जिनमें छद्मनामकरण, एन्क्रिप्शन, प्रणाली की लचीलापन, घटना के बाद बहाली और नियमित परीक्षण शामिल हैं।[1]

डेटा को उद्देश्य के लिए निर्धारित अवधि से अधिक नहीं रखा जा सकता, और संसाधित डेटा का रजिस्टर कम से कम पाँच वर्ष रखना होता है, जब तक कोई अन्य क़ानून कुछ और न कहे।[1] प्रोसेसर द्वारा किया गया प्रसंस्करण फ़िड्यूशियरी का प्रसंस्करण माना जाता है, और फ़िड्यूशियरी उसके कार्यों के लिए ज़िम्मेदार रहता है।[1] भारतीय प्रोसेसर को इसलिए बांग्लादेशी ग्राहक से स्पष्ट निर्देश, उप-प्रोसेसर नियम, घटना-सूचना और निकास पर डेटा वापसी की शर्तें लिखित में तय करनी चाहिए।

डेटा विषयों के अधिकार और अनुरोधों का प्रबंधन

अध्याय III के अधिकार अनुबंध या नोटिस से त्यागे या सीमित नहीं किए जा सकते। डेटा विषय फ़िड्यूशियरी को लिखित आवेदन देकर अधिकार का प्रयोग करता है।[1] पहुँच के अधिकार में डेटा की संक्षिप्त प्रति, उद्देश्य, प्राप्तकर्ता, अवधि, स्रोत, सीमा-पार सुरक्षा उपाय और स्वचालित निर्णय के तर्क की जानकारी शामिल है, साथ ही उन व्यक्तियों और प्रोसेसरों का विवरण जिनके साथ डेटा साझा हुआ।[1]

गलत डेटा के सुधार का अधिकार है; इनकार पर लिखित कारण देने होते हैं, और सुधार करने पर 30 दिनों में डेटा विषय और संबंधित पक्षों को सूचित करना होता है।[1] सहमति वापसी, उद्देश्य समाप्ति या अवैध प्रसंस्करण जैसी स्थितियों में मिटाने का अधिकार है, कुछ अपवादों के साथ। स्वीकृत सुधार और मिटाव बैक-अप, कैश, परीक्षण और माइग्रेशन प्रणालियों तक पहुँचाने होते हैं, जहाँ लागू हो।[1] प्रतिक्रिया की समय-सीमाएँ विनियमों से तय होंगी; ग्राहकों से ऐसी समय-सीमा का वादा न करें जो अधिनियम में अभी नहीं है।

भारत को डेटा हस्तांतरण और क्लाउड व्यवस्थाएँ

डेटा संरक्षण कानून के तहत सीमा-पार हस्तांतरण न तो स्वतः प्रतिबंधित है, न स्वतः अनुमत। धारा 29 के तहत सरकार डेटा को सार्वजनिक, आंतरिक, गोपनीय या प्रतिबंधित वर्गों में बाँट सकती है। वर्गीकृत डेटा विदेश भेजा जा सकता है यदि डेटा विषय की सहमति हो, डेटा विषय से जुड़ा अनुबंध हो, या सहमति के साथ मामला उसके व्यवसाय, शिक्षा, यात्रा या प्रवासन से संबंधित हो।[1]

डेटा केवल ऐसे देश या स्थान पर भेजा जा सकता है जहाँ विनियमों में निर्धारित उपयुक्त भंडारण तकनीक हो। राष्ट्रीय पहचान, पासपोर्ट और कर पहचान संख्या, बायोमेट्रिक, आनुवंशिक या आपराधिक डेटा के बड़े सीमा-पार हस्तांतरण की सूचना प्राधिकरण को देनी होती है।[1] प्राधिकरण विदेशी राज्य, विदेशी ग्राहक या अंतरराष्ट्रीय संगठन को डेटा आपूर्ति रोकने का निर्देश भी दे सकता है, और सरकार अधिसूचना से नागरिकों के डेटा के उपयोग से अर्जित लाभ पर शुल्क लगा सकती है।[1]

भारतीय कंपनियों के लिए व्यावहारिक सलाह

भारत में होस्टिंग, रिमोट सपोर्ट या समूह डेटा-लेक से पहले रिकॉर्ड करें: डेटा का स्रोत, श्रेणी और संवेदनशीलता; हर पहुँच-स्थान; हस्तांतरण का उद्देश्य और धारा 29 की शर्त; प्रोसेसर और उप-प्रोसेसर; और डेटा वापस लाने, सुधारने या मिटाने की क्षमता। भारत में DPDP नियम 13 नवंबर 2025 को अधिसूचित हुए और चरणबद्ध रूप से लागू हो रहे हैं।[10] दोनों देशों के दायित्वों को एक ही अनुपालन मानचित्र में रखें, पर यह न मानें कि एक का पालन दूसरे का पालन है।

डेटा उल्लंघन और साइबर सुरक्षा कानून

धारा 20 के अनुसार जिस डेटा उल्लंघन से डेटा विषय को गंभीर हानि की संभावना हो, उसकी सूचना प्राधिकरण को विनियमों में निर्धारित रूप, तरीके और समय में देनी होती है। धारा 20 में कोई निश्चित घंटे की सीमा नहीं लिखी है, और अक्टूबर 2026 तक ये विनियम नहीं बने थे।[1]

साइबर संरक्षण अधिनियम 2026

साइबर संरक्षण अधिनियम, 2026 (Cyber Protection Act, 2026, अधिनियम संख्या 81, 2026) ने 2025 के साइबर सुरक्षा अध्यादेश (Cyber Security Ordinance 2025) को फिर से अधिनियमित किया, 21 मई 2025 से लागू माना गया, और साइबर सुरक्षा अधिनियम 2023 का निरसन पुष्ट किया।[4] इसकी धारा 9(4) के परंतुक के अनुसार साइबर घटना से प्रभावित कोई भी सरकारी, निजी या स्वायत्त संस्था तुरंत राष्ट्रीय CERT को सूचित करे।[4] BGD e-GOV CIRT का सार्वजनिक फ़ॉर्म डेटा उल्लंघन सहित घटना-श्रेणियाँ, प्रभावित संपत्ति, लॉग और उठाए गए कदम माँगता है।[6] [7]

1 जुलाई 2026 को प्रकाशित संशोधन अधिनियम (अधिनियम संख्या 99, 2026) ने ऑनलाइन जुए से जुड़ी धारा 20 हटा दी, क्योंकि यह विषय अब जुआ निवारण अधिनियम 2026 के अधीन है।[9] घटना-योजना में इसलिए दोनों अधिनियम, क्षेत्रीय नियामक के नियम और ग्राहक अनुबंध की सूचना-शर्तें एक साथ हों।

प्राधिकरण, प्रवर्तन और जुर्माने की स्थिति

बांग्लादेश के डेटा संरक्षण कानून का नियामक राष्ट्रीय डेटा प्रबंधन प्राधिकरण (National Data Management Authority) है, जिसे राष्ट्रीय डेटा प्रबंधन अधिनियम, 2026 (अधिनियम संख्या 80, 2026) ने प्रधानमंत्री कार्यालय से जुड़ी वैधानिक संस्था के रूप में स्थापित किया।[3] प्राधिकरण निर्देश दे सकता है, डेटा माँग सकता है, नोटिस जारी कर सकता है, परिसरों में प्रवेश कर उपकरण और डेटा की जाँच कर सकता है, और विदेश को डेटा प्रकटीकरण रोक सकता है।[1]

धारा 31 से 35 में अधिकार और सुरक्षा उल्लंघन पर Tk 25 लाख तक, और महत्वपूर्ण डेटा फ़िड्यूशियरी के अधिकार उल्लंघन पर Tk 50 लाख तक के प्रशासनिक जुर्माने हैं, पर ये बाद में शुरू होने वाले प्रावधानों में हैं।[1] नियमों और विनियमों के मसौदे ऑनलाइन और कम से कम एक बांग्ला तथा एक अंग्रेज़ी दैनिक में टिप्पणी के लिए प्रकाशित होने चाहिए, इसलिए आधिकारिक प्रकाशनों पर नज़र रखें।[1] [11]

डेटा संरक्षण कानून के लिए तैयारी के चरण

नीचे का क्रम डेटा संरक्षण कानून की तैयारी के लिए सामान्य जानकारी है, सार्वभौमिक अनुपालन नुस्ख़ा नहीं। यह भारतीय कंपनी को नियामक ढाँचा विकसित होने के दौरान अपने प्रश्न व्यवस्थित करने में मदद करता है।

स्वाइप या स्क्रॉल करें →

नीचे की तालिका बताती है कि 24 अक्टूबर 2026 को कौन-से दायित्व लागू हैं और कौन-से बाद में। फ़ोन पर इसे बग़ल में स्क्रॉल करें।

बांग्लादेश में डेटा संरक्षण कानून नया है और विनियम अभी आने बाकी हैं, पर दायित्व पहले से चल रहे हैं। स्वास्थ्य डेटा और क्लाउड पर TRW का पेशेंट डेटा और क्लाउड विश्लेषण और साइबर कानून अनुपालन मार्गदर्शिका भी देखें। TRW का डेटा संरक्षण और निजता अभ्यास भारतीय और अन्य विदेशी कंपनियों को सलाह देता है।

अक्सर पूछे जाने वाले प्रश्न

क्या बांग्लादेश में अब व्यापक डेटा संरक्षण कानून है?

हाँ। व्यक्तिगत डेटा संरक्षण अधिनियम 2026 (अधिनियम संख्या 63) ने 2025 के अध्यादेश और 2026 के संशोधन की जगह ली है।[1] [2]

क्या यह कानून भारत में स्थित कंपनी पर लागू हो सकता है?

हाँ, यदि भारत से किया गया प्रसंस्करण बांग्लादेश में व्यक्तियों को वस्तुएँ या सेवाएँ देने, या उनकी निगरानी और प्रोफ़ाइलिंग से जुड़ा है।[1]

क्या जुर्माने अभी लागू हैं?

नहीं। धारा 31 से 35 सरकारी अधिसूचना से बाद में लागू होंगी, मई 2027 से पहले नहीं, और यदि 18 महीने अधिनियम से गिने जाएँ तो अक्टूबर 2027 से पहले नहीं।[1]

क्या हर प्रसंस्करण के लिए सहमति ज़रूरी है?

नहीं। सहमति सामान्य आधार है, पर धारा 5 अनुबंध, क़ानूनी दावे, महत्वपूर्ण हित और रोज़गार अधिकार जैसे सीमित गैर-सहमति आधार भी देती है।[1]

क्या बांग्लादेशी ग्राहकों का डेटा भारत में होस्ट किया जा सकता है?

कोई पूर्ण प्रतिबंध नहीं है, पर धारा 29 की शर्तें, भंडारण तकनीक संबंधी विनियम और बड़े संवेदनशील हस्तांतरण की सूचना-आवश्यकता लागू हैं।[1]

डेटा उल्लंघन की सूचना कितने घंटों में देनी है?

धारा 20 में कोई निश्चित घंटे नहीं हैं; गंभीर हानि की संभावना वाले उल्लंघन की सूचना विनियमों में निर्धारित समय में देनी होगी। साइबर घटना की सूचना राष्ट्रीय CERT को तुरंत देनी होती है।[1] [4]

क्या अभी मुख्य डेटा अधिकारी नियुक्त करना अनिवार्य है?

नहीं। धारा 23 महत्वपूर्ण डेटा फ़िड्यूशियरी पर लागू होगी और बाद में शुरू होने वाले प्रावधानों में है।[1]

नियामक कौन है?

राष्ट्रीय डेटा प्रबंधन प्राधिकरण, जिसे राष्ट्रीय डेटा प्रबंधन अधिनियम 2026 ने स्थापित किया है।[3]

क्या भारत के DPDP अधिनियम का पालन पर्याप्त है?

नहीं। दोनों ढाँचे मिलते-जुलते हैं, पर बांग्लादेश के वैध आधार, हस्तांतरण की शर्तें और सूचना-दायित्व अलग से जाँचने होंगे।[1] [10]

रिकॉर्ड कितने समय तक रखने होते हैं?

संसाधित डेटा का रजिस्टर कम से कम पाँच वर्ष, जब तक कोई अन्य क़ानून कुछ और न कहे; डेटा स्वयं उद्देश्य की अवधि से अधिक नहीं रखा जा सकता।[1]