लिखा: फ़रहान क़ुरैशी
जाँच: राजीव साठेजो गेमिंग ऐप जाँच करता है, वह पहचान का एक पूरा सेट माँगता है। यानी Aadhaar या PAN, एक सेल्फ़ी, और कभी-कभी बैंक स्टेटमेंट। यह बैंक वाला KYC नहीं है। Reserve Bank के मुताबिक KYC वह प्रक्रिया है जिसे उसकी निगरानी वाली Regulated Entity चलाती है (RBI FAQs)। गेमिंग प्लेटफ़ॉर्म उनमें से एक नहीं है।
यह पेज गिनाता है कि क्या-क्या माँगा जाता है। यह दिखाता है कि हर चीज़ क्या खोल देती है, और आख़िर में वह किसके पास रहती है। यह बताता है कि DPDP Act के कौन-से हिस्से 2026 में चालू हैं। साथ ही यह भी दिखाता है कि जाँच से मना कर देना आपको बचाता क्यों नहीं।
KYC का असली मतलब क्या है, और कौन कर सकता है
KYC यानी Know Your Customer। Reserve Bank of India कहता है कि यह वह प्रक्रिया है जिसमें कोई Regulated Entity आपके बारे में तथ्य जुटाती है। इन तथ्यों में आपकी पहचान, पता, कारोबार और पैसा शामिल हैं। फिर उस संस्था को उन्हें जाँचना होता है (RBI FAQs on the KYC Master Direction)।
इसे दोबारा पढ़िए। शुरुआत Regulated Entity से होती है। यानी कोई बैंक, या कोई और फ़र्म जिस पर Reserve Bank की निगरानी है (RBI)। गेमिंग प्लेटफ़ॉर्म उस सूची में नहीं है।
तो जो ऐप कागज़ माँगकर उसे KYC कहता है, वह एक शब्द उधार ले रहा है। शब्द सरकारी लगता है। उसके पीछे का काम वैसा कुछ भी नहीं हो सकता।
असली बैंक KYC के साथ ऐसी व्यवस्था आती है जिसे आप इस्तेमाल कर सकते हैं। रिकॉर्ड का एक केंद्रीय भंडार है, नाम CKYCR। एक KYC Identifier होता है। उस भंडार से आपके रिकॉर्ड खींचने से पहले आपके बैंक को साफ़ शब्दों में आपसे पूछना होता है (RBI)। जो ऐप सेल्फ़ी और कार्ड की तस्वीरें जमा करता है, उसके पीछे इसमें से कुछ नहीं होता।
क्या-क्या माँगा जाता है, और हर चीज़ क्या खोल देती है
सूची लगभग हर ऐप में एक जैसी होती है। फ़र्क इसमें है कि फ़ोन से निकलने के बाद हर चीज़ कितना कुछ खोल देती है।
टेबल 1. हर दस्तावेज़, और वह क्या खोल देता है
क्या माँगा जाता है | वह किससे जुड़ता है | इसे पलटना मुश्किल क्यों है |
|---|---|---|
Aadhaar की कॉपी | कई सेवाओं में फैली आपकी पहचान | नंबर बदलता नहीं; कॉपी कहीं और दोबारा इस्तेमाल हो सकती है |
PAN कार्ड | आपका कर रिकॉर्ड और आर्थिक इतिहास | PAN बनावट से ही स्थायी है |
सेल्फ़ी या वीडियो | आपका चेहरा, बाकी दस्तावेज़ों से बँधा हुआ | चेहरा दोबारा जारी नहीं होता |
बैंक स्टेटमेंट | आपकी तनख़्वाह, किराया, कर्ज़, खर्च का ढर्रा | इससे उन लोगों का भी पता चलता है जिन्हें आप पैसे भेजते हैं |
फ़ोन नंबर | आपका OTP रास्ता और आपके मैसेजिंग ऐप | यह आप तक पहुँचने की चाबी बन जाता है |
एक चीज़ को अपनी अलग चेतावनी चाहिए। UIDAI लोगों से कह चुका है कि Aadhaar की फ़ोटोकॉपी किसी भी संस्था को न दें। कॉपी का दुरुपयोग हो सकता है (UIDAI advisory, PIB)।
UIDAI यह भी साफ़ कहता है कि Aadhaar इस्तेमाल कौन कर सकता है। सिर्फ़ वही संस्था, जिसके पास UIDAI का User Licence है, किसी की पहचान साबित करने के लिए Aadhaar इस्तेमाल कर सकती है। बिना उस लाइसेंस वाली निजी फ़र्म कॉपी न जमा कर सकती है, न रख सकती है। सलाह कहती है कि यह Aadhaar Act 2016 के तहत अपराध है (PIB)।
इसी समस्या के लिए मास्क्ड Aadhaar मौजूद है। उसमें नंबर के सिर्फ़ आखिरी चार अंक दिखते हैं (PIB)। कोई ऐप उसे लेगा या नहीं, यह अलग सवाल है। बात का एक हिस्सा यही है।
बाद में आपके कागज़ किसके पास रहते हैं
आप ऐप पर अपलोड करते हैं। ऐप तो बस एक स्क्रीन है। उसके पीछे एक शृंखला बैठी है, और उसकी शक्ल आप कभी नहीं देखते।
वह फ़र्म जो प्लेटफ़ॉर्म चलाती है, जो भारत के बाहर भी हो सकती है।
वह वेंडर जो एक साथ कई ग्राहकों के लिए कागज़ जाँचता है।
किसी देश में बैठा कोई क्लाउड होस्ट, ऐसे अनुबंध पर जिसे आप पढ़ नहीं सकते।
कोई पेमेंट पार्टनर, अगर आपने कार्ड या खाता जोड़ा है।
असली लोगों की सपोर्ट टीम, जो टिकट बंद करने के लिए आपकी फ़ाइल खोल सकती है।
एक दो-टूक तथ्य इसे अहम बनाता है। PROG Act 2025 1 मई 2026 से लागू है। यह पूरे भारत पर लागू है, और भारतीय उपयोगकर्ताओं को सेवा देने वाली विदेशी फ़र्मों तक पहुँचता है (Nishith Desai analysis)। जो फ़र्म पहले ही धारा 5 तोड़ रही है, वह आपके कागज़ों को सँभालकर रखने वाली फ़र्म नहीं है (Act text, MeitY)।
वे फ़र्में कहाँ बैठी हैं, यह हमारा विदेशी ऐप और भारतीय कानून वाला पेज बताता है। रोज़मर्रा में वे डेटा का क्या करती हैं, यह डेटा निजता वाले पेज पर है। यह पेज उन्हीं कागज़ों पर टिका है जो आप खुद सौंपते हैं।
DPDP Act उनसे क्या माँगता है, और कब से
भारत में डेटा का एक कानून है। वह है Digital Personal Data Protection Act, 2023, Act No. 22 of 2023 (Act text, MeitY)। पेच कैलेंडर में है।
13 नवंबर 2025 की एक अधिसूचना, G.S.R. 843(E), ने इस अधिनियम को तीन चरणों में चालू किया (commencement notification)। आज सिर्फ़ कुछ हिस्से लागू हैं।
टेबल 2. DPDP ढाँचे का कौन-सा हिस्सा कब शुरू होता है
चरण | तारीख | क्या शुरू होता है |
|---|---|---|
तुरंत | 13 नवंबर 2025 | परिभाषाएँ, Data Protection Board और उसका ढाँचा, नियम बनाने की शक्तियाँ |
1 साल बाद | 13 नवंबर 2026 | कंसेंट मैनेजर के पंजीकरण और संचालन के नियम |
18 महीने बाद | 13 मई 2027 | सहमति के नियम, डेटा फ़िड्यूशरी के कर्तव्य, और आपके अपने अधिकार |
तो अगस्त 2026 की असली तस्वीर यह है। धारा 11 आपको यह अधिकार देती है कि आप अपने डेटा का सारांश माँग सकें। धारा 12 उसे सुधारने या मिटाने का अधिकार देती है (DPDP Act)। दोनों कानून में लिखे हैं। दोनों में से कोई अभी चालू नहीं है। ये 13 मई 2027 से शुरू होते हैं (Khaitan and Co)।
लागू होने के बाद ये कर्तव्य असली हैं। धारा 8(5) डेटा फ़िड्यूशरी से कहती है कि वह डेटा सुरक्षित रखने के लिए उचित कदम उठाए। ऐसा न करने पर अनुसूची 250 करोड़ रुपये तक के जुर्माने की इजाज़त देती है (DPDP Act)। सेंध लगने पर हर प्रभावित व्यक्ति को बिना देर बताना होगा। Board को बहत्तर घंटे के भीतर बताना होगा (DPDP Rules, Rule 7)।
अब इसे इस बाज़ार के बगल में रखिए। जो फ़र्म यहाँ पहले से गैरकानूनी है, और शायद यहाँ बैठी भी नहीं है, उस पर जुर्माना आपके कागज़ों के लिए बहुत पतली ढाल है।
Aadhaar या PAN का लीक अलग तरह से क्यों चुभता है
लीक हुआ ज़्यादातर डेटा समय के साथ बेकार हो जाता है। पासवर्ड बदला जा सकता है। कार्ड दोबारा जारी हो सकता है। ये चीज़ें नहीं हो सकतीं।
आपका Aadhaar नंबर जीवन भर आपका ही रहता है। आपका PAN स्थायी माना गया है। आपका चेहरा बदला नहीं जाता। तो जो कॉपी आज बाहर निकल जाए, वह पाँच साल बाद भी इस्तेमाल हो सकती है।
एक दूसरा, चुपचाप होने वाला असर भी है। कागज़ों का पूरा सेट किसी के लिए आपका रूप धरने को काफ़ी है। यह जोखिम ऐप पर नहीं बैठता। यह आप पर बैठता है, एक ऐसी लड़ाई में जो आपने शुरू ही नहीं की।
DPDP Act आपकी तरफ़ भी एक कर्तव्य डालता है। धारा 15 के तहत आप किसी और का रूप नहीं धर सकते। आप झूठी या बेतुकी शिकायत नहीं कर सकते। ये कर्तव्य तोड़ने पर दस हज़ार रुपये तक की कीमत चुकानी पड़ सकती है (DPDP Act, Section 15 and the Schedule)।
मान लीजिए आपके कागज़ों का दुरुपयोग अभी हो रहा है। ऑनलाइन पैसे की धोखाधड़ी की शिकायत राष्ट्रीय हेल्पलाइन 1930 पर की जा सकती है (National Cyber Crime Reporting Portal)। यह दुरुपयोग के लिए रास्ता है। यह कॉपियाँ वापस पाने का रास्ता नहीं है।
KYC से इनकार आपको बचाता नहीं
यहाँ एक लुभावना कदम दिखता है। कागज़ छोड़िए, अनजान बने रहिए, जोखिम कम रखिए। यह चलता नहीं। यह एक ही साफ़ दिशा में फ़ेल होता है।
पैसा फिर भी निकल जाता है। जमा करने के लिए आपसे कोई कागज़ नहीं चाहिए। माँग तब आती है जब आप पैसा निकालने चलते हैं।
बिना जाँच वाले खाते को मना करना सबसे आसान है। भुगतान जाँच के नाम पर रोका जा सकता है, और आपके पास दिखाने को कोई अनुबंध नहीं होता।
कागज़ न होना यानी इसका कोई सबूत न होना कि खाता आपका था। बाद की हर लड़ाई में यह आपके खिलाफ़ जाता है।
कर फिर भी नहीं टलता। ऑनलाइन गेम से हुई शुद्ध जीत पर धारा 194BA के तहत कर काटा जाता है। ऐसी कोई निचली सीमा नहीं जिसके नीचे यह रुक जाए (Income Tax Department)।
यानी दोनों दरवाज़े बुरे हैं। कागज़ दे दीजिए, तो आपकी पहचान वहाँ बैठ जाती है जहाँ आप उस पर नज़र नहीं रख सकते। रोक लीजिए, तो स्क्रीन पर दिख रही रकम आपके बैंक तक पहुँचने की संभावना और भी कम है। चुनाव की असली शक्ल यही है। कुछ भी अपलोड करने से पहले इसे देख लेना ठीक रहता है।
भुगतान से इनकार के बाद क्या होता है, यह हमारा पेमेंट फ़्रीज़ क्यों होते हैं वाला पेज दिखाता है। जहाँ कोई जाँच होती ही नहीं, और आपका कोई रिकॉर्ड भी नहीं बचता, वह हाल एजेंट खाते वाले पेज पर है।
शिकायत सचमुच कहाँ जा सकती है
दरवाज़े कम ही खुले हैं। इसलिए यह जान लेना काम आता है कि कौन-सा कौन है।
आपका बैंक। Reserve Bank Integrated Ombudsman Scheme 1 जुलाई 2026 से चलती है। पहले आपको उसी regulated entity को लिखना होगा। फिर या तो ऐसा जवाब चाहिए जो आपको ठीक न लगे, या 30 दिन की चुप्पी (RB-IOS 2026 salient features)।
Data Protection Board। उसके अपने हिस्से 13 नवंबर 2025 से चालू हैं (G.S.R. 843(E))। जिन उपयोगकर्ता अधिकारों को वह लागू कराता, वे चालू नहीं हैं (Khaitan and Co)।
पुलिस, दुरुपयोग के लिए। पैसे की धोखाधड़ी हेल्पलाइन 1930 पर जाती है (cybercrime portal)।
इसमें से किसी पर हम कानूनी सलाह नहीं देते। अगर आपके कागज़ पहले ही बाहर हैं, तो ऐसे वकील से पूछिए जो डेटा और साइबर मामलों पर काम करता हो। हम क्या बताएँगे और क्या नहीं, यह हमारी संपादकीय नीति तय करती है। बाकी सारी व्याख्याएँ गाइड हब पर गिनी हुई हैं।
यह पेज आपको क्या नहीं देगा
इसमें किसी प्लेटफ़ॉर्म का नाम नहीं है, और कागज़ जाँचने वाले किसी वेंडर का भी नहीं। इसमें कम डेटा देकर जाँच पार करने का कोई तरीका नहीं है। यह किसी को आपकी फ़ाइलों के लिए ज़्यादा सुरक्षित नहीं ठहराता।
वजह PROG Act 2025 की धारा 6 में बैठी है। वह धारा पैसे वाले गेम के विज्ञापन पर रोक लगाती है, सीधे हों या घुमाकर (MeitY)। साइन-अप का आसान रास्ता बताना उस सेवा की तरफ़ इशारा करना है। हमारा विज्ञापन नियमों वाला पेज यह लकीर आपके लिए खींच देता है।
लोग जो पूछते हैं
विदेशी सट्टा ऐप जो KYC करता है, क्या वह बैंक वाले KYC जैसा ही है?
नहीं। बैंक KYC वह Regulated Entity चलाती है जिस पर Reserve Bank की निगरानी है (RBI FAQs)। गेमिंग प्लेटफ़ॉर्म उनमें से एक नहीं है। वह वही शब्द और कागज़ों की वही सूची इस्तेमाल कर सकता है, पर उसी निगरानी में से कुछ भी नहीं होता।
क्या मैं किसी गेमिंग ऐप से अपनी Aadhaar कॉपी मिटाने को कह सकता हूँ?
DPDP Act की धारा 12 मिटाने का अधिकार देती है। वह धारा 13 मई 2027 से शुरू होती है (Act text, Khaitan and Co)। आप आज भी कह सकते हैं। बस उस माँग के पीछे अभी कोई कानूनी कर्तव्य नहीं है।
क्या किसी निजी कंपनी को मेरी Aadhaar फ़ोटोकॉपी रखने की इजाज़त भी है?
UIDAI कहता है कि पहचान साबित करने के लिए Aadhaar सिर्फ़ वही संस्था इस्तेमाल कर सकती है जिसके पास UIDAI का User Licence हो। बिना लाइसेंस वाली निजी फ़र्म अगर कॉपी जमा करती है तो वह Aadhaar Act 2016 के तहत अपराध करती है (UIDAI advisory via PIB)। किसी विदेशी ऐप पर यह कैसे लागू कराया जाता है, यह साफ़ नहीं है। अभी क्या चाहिए: भारत के बाहर बैठी फ़र्मों पर अमल को लेकर UIDAI या MeitY का कोई बयान।
अगर मेरे दस्तावेज़ लीक हो जाएँ, तो कीमत कौन चुकाता है?
डेटा सुरक्षित रखने के उचित कदम न उठाने पर DPDP Act की अनुसूची 250 करोड़ रुपये तक के जुर्माने की इजाज़त देती है (DPDP Act)। वह जुर्माना सरकार को जाता है। वह आपको मिलने वाला भुगतान नहीं है। इस अधिनियम के तहत कोई व्यक्ति हर्जाना माँग सकता है या नहीं, यह तय नहीं है। अभी क्या चाहिए: निजी मुआवज़े पर Board का कोई आदेश या अदालत का फ़ैसला।
क्या कम जानकारी देना पैसा निकालते समय मुझे बचाता है?
आम तौर पर उल्टा होता है। जमा के लिए आपसे कुछ नहीं चाहिए। जाँच वहीं माँगी जाती है जहाँ भुगतान होना है, और बिना जाँचे दावे को रोकना सबसे आसान होता है। शुद्ध जीत से कर तब भी काटा जाता है, बिना किसी निचली सीमा के (Income Tax Department)।
