DPDP के प्रश्न, आसान भाषा में
Reviewed by InfraVeritas360 ResearchFirst published Last reviewed
Sources: DPDP Act, 2023 and DPDP Rules, 2025 (MeitY)
यह translated guidance है, legal advice नहीं। Legal terms उनके English नाम के साथ दिए गए हैं। कोई शक हो तो English version और Act का official text ही मान्य है।
- Privacy notice में क्या लिखना है, और वह लोगों को कहाँ दिखना चाहिए?हाँ, हर उस जगह जहाँ आप data लेते हैं
- Consent कब चाहिए, और legitimate use पर कब चल सकते हैं?Use पर निर्भर है; ज़्यादातर organisations को दोनों चाहिए
- किसी ने consent वापस ले लिया। क्या रोकना है, और कितनी जल्दी?वह use जल्दी बंद कीजिए, हर system और vendor में
- कोई पूछे कि उसका कौन-सा data हमारे पास है, तो क्या भेजें?हाँ, साफ़ summary, published timeline के अंदर
- कोई अपना data delete करने को कहे, तो क्या करना ही पड़ेगा?हाँ, जब तक कोई कानून रखने को न कहे
- Privacy complaint को 90 दिन के अंदर कैसे निपटाएँ?अपनी published अवधि में जवाब दीजिए, 90 दिन से ज़्यादा कभी नहीं
- क्या हम बच्चों का data process करते हैं, और करते हैं तो क्या बदलता है?हर channel check कीजिए; बच्चे अक्सर वहाँ मिलते हैं जहाँ उम्मीद नहीं होती
- Personal data कितने समय तक रख सकते हैं?कानूनी या business अवधि तक, फिर delete
- कुछ गड़बड़ हो गई है। पहले 72 घंटों में क्या करना है?CERT-In को छह घंटे; लोगों और Board को बिना देर; detailed report 72 घंटे में
- कौन-से logs रखने हैं, कितने समय और कहाँ?कम से कम एक साल; ICT logs के 180 दिन भारत में
- क्या deletion को backups और test copies तक पहुँचना होगा?हाँ, एक लिखे हुए backup-expiry rule के ज़रिए
- हमारे systems में personal data कौन देख सके?सिर्फ़ जिन्हें ज़रूरत है, हर quarter review के साथ
- Vendor contract में personal data के बारे में क्या लिखा होना चाहिए?हाँ, हर उस vendor के लिए जो personal data छूता है
- क्या personal data भारत के बाहर store या access हो सकता है?हाँ, जब तक sector rule कुछ और न कहे
- क्या employees के data के लिए consent चाहिए?Employment purposes के लिए नहीं; बाकी किसी भी काम के लिए हाँ
- क्या contract और agency workers हमारी ज़िम्मेदारी हैं?हाँ, उस data के लिए जिसके बारे में आप तय करते हैं
- CCTV, visitor register और biometric attendance का क्या?हाँ, notice, सीमा और deletion period के साथ
- क्या हमें DPO चाहिए?SDF notify न हों तो कानूनन ज़रूरी नहीं, पर एक व्यक्ति तय कीजिए
- क्या हम Significant Data Fiduciary बन सकते हैं?सिर्फ़ notification से; अभी तक कोई notify नहीं
- Staff WhatsApp और personal email पर personal data भेजता है। क्या करें?हाँ, यह आम Data Breach है; staff को safe option दीजिए
- क्या पुराने customers और leads को offers भेज सकते हैं?सिर्फ़ अलग consent और रोकने के आसान तरीके के साथ
- Call recordings और customer service screens का क्या?हाँ, notice, retention period और masking के साथ
- DPDP training किसे चाहिए, और उसमें क्या हो?Personal data handle करने वाला हर व्यक्ति, role के हिसाब से
- क्या ISO 27001 या NIST CSF से हमारी DPDP duties पूरी हो जाती हैं?ये security cover करते हैं, पूरा Act नहीं
- हमारे organisation में personal data कहाँ-कहाँ पड़ा है?हर system की एक row से शुरू कीजिए
- 13 May 2027 तक तैयार होने में कितना काम और समय लगेगा?ज़्यादातर के लिए छह से नौ महीने का लगातार काम
- Board of directors को management से DPDP पर क्या पूछना चाहिए?पाँच सीधे सवाल, हर quarter
- DPDP को risk register में कैसे डालें?हर duty की एक line, owner और evidence के साथ
- Police, court या regulator किसी का data माँगे, तो क्या करें?हाँ, जब request lawful और लिखित हो
- हम Data Fiduciary हैं या Data Processor?अक्सर दोनों, अलग-अलग data के लिए
- क्या policy यह दिखा सकती है कि control सच में काम करता है?नहीं; काम चलना records से दिखता है
- Management यह माने कि हम तैयार हैं, उससे पहले कौन-सा evidence होना चाहिए?हर duty का evidence, status colours नहीं
- असल में personal data की accountability किसकी है?हर duty के named owners, जिन्होंने खुद माना हो
- Management को जो DPDP position दिखाई जाती है, क्या उस पर भरोसा करे?बस उतना, जितना पीछे evidence है
- क्या security dashboard privacy readiness दिखाता है?सिर्फ़ security वाले हिस्से के लिए
- क्या customer data analytics और models के लिए इस्तेमाल कर सकते हैं?हाँ, purpose के अंदर या consent के साथ
- नए product या system में privacy शुरू से कैसे डालें?Design पर चार सवाल, फिर basics अंदर build कीजिए
- क्या हमें Data Protection Impact Assessment करना होगा?सिर्फ़ SDFs के लिए ज़रूरी; high-risk बदलावों पर good practice
- क्या मौजूदा customers को insurance, cards या mutual funds cross-sell कर सकते हैं?सिर्फ़ अलग और specific consent से
- KYC और transaction records कितने समय रखने हैं, और उसके बाद क्या?Relationship खत्म होने के बाद कम से कम पाँच साल; फिर erase
- Collection agents borrower के data के साथ क्या कर सकते हैं?सिर्फ़ ज़रूरी data, आपके contract और RBI conduct rules के तहत
- हमारा lending या banking app phone से क्या ले सकता है?सिर्फ़ ज़रूरत के हिसाब से, explicit consent के साथ
- एक incident, कई regulators: हर deadline कैसे पूरी करें?CERT-In को छह घंटे; regulator को उसके rules से; DPDP में बिना देरी और 72 घंटे
- क्या DPDP विदेशी clients के customers के data पर लागू होता है?Offshore data पर ज़्यादातर छूट; security फिर भी लागू
- हमारे लोग client systems को कैसे access करें?Named, logged, और roll-off पर हटाया गया
- Incident में client का data शामिल है। कौन किसे बताएगा?पहले client, contract के समय में; CERT-In को छह घंटे में
- Candidates का data कितने समय तक रख सकते हैं?Hiring purpose तक, फिर delete, जब तक candidate हाँ न कहे
- क्या scheme चलाने के लिए नागरिकों की consent चाहिए?आम तौर पर नहीं; Section 7(b) या 7(c), Rule 5 के standards के साथ
- Second Schedule के standards किसी scheme से क्या माँगते हैं?सात practical standards, हर एक के लिए evidence चाहिए
- क्या नागरिक के कहने पर ministry को data delete करना होगा?नहीं, लेकिन correction और security फिर भी लागू
- RTI amendment से personal information वाले जवाबों में क्या बदला?Personal information exempt है; reasoned orders दें
- Scheme systems में Aadhaar numbers कैसे संभालें?Vault, mask, कभी publish नहीं
- क्या states, banks या दूसरी ministries के साथ data share कर सकते हैं?हाँ, लिखित आधार, कम से कम fields और log के साथ
- क्या हमारा PSU DPDP के तहत 'State' है, और है तो क्या बदलता है?शायद, कुछ activities के लिए; लिखित legal view लें
- Distributors, dealers और franchisees का क्या?हाँ, आपके consumers के data के साथ वे जो करते हैं, उसकी ज़िम्मेदारी आपकी है
- PSU के townships, hospitals और schools: क्या लागू होता है?हाँ, हर service पर पूरी duties
- क्या patient के इलाज के लिए DPDP consent चाहिए?इलाज के लिए नहीं; extra uses के लिए हाँ
- क्या patient records insurers और TPAs के साथ share कर सकते हैं?Patient के claim के लिए हाँ; सिर्फ़ ज़रूरी हिस्सा
- क्या patient data research, audits या case studies में इस्तेमाल कर सकते हैं?पहले consent या de-identification
- दूसरे health laws के तहत किन records को extra protection चाहिए?हाँ, बाकी records से ज़्यादा कड़ा access
- Staff को उन records को देखने से कैसे रोकें जिनकी उन्हें ज़रूरत नहीं?Role access, flags और हर हफ़्ते log review
- हम ABDM से जुड़े हैं। उसकी consent DPDP के साथ कैसे बैठती है?दोनों लागू; wording एक जैसी रखें
- Imaging machines और lab analysers में patient data होता है। क्या करें?अलग network, vendor access पर control, disposal से पहले wipe
- Patient records कितने समय तक रखें?कम से कम legal minimum; उससे ज़्यादा के लिए लिखित कारण
- Contract workers, gate pass और biometric: उनके data की ज़िम्मेदारी किसकी है?आपकी, plant पर इस्तेमाल होने वाले data के लिए; agency contract के तहत आपकी तरफ़ से काम करती है
- Hazardous process वाले workers के medical records: कौन देख सकता है, कब तक रखें?Worker, medical team और inspectors; बाकी लोगों को सिर्फ़ fitness का फ़ैसला
- Retailer के PoS पर किसान का Aadhaar authentication: किसकी क्या ज़िम्मेदारी है?Scheme का flow सरकार का है; आपके अपने farmer programmes आपके हैं
- Dealer, retailer, मिस्त्री और mechanic loyalty programmes: क्या-क्या चाहिए?साफ़ notice के साथ consent; उतना ही लें जितना rewards के लिए चाहिए
- Connected vehicles और product registration: इस data का क्या कर सकते हैं?ख़रीदार ने जो service चुनी, उसके लिए; उससे ज़्यादा के लिए consent चाहिए
- Emergency plan की contact list authorities को देना: क्या यह ठीक है?हाँ, plan के लिए; उतना ही share करें जितना उसे चाहिए