क्या customer data analytics और models के लिए इस्तेमाल कर सकते हैं?
Reviewed by InfraVeritas360 ResearchFirst published Last reviewed
Sources: DPDP Act, 2023 and DPDP Rules, 2025 (MeitY)
यह translated guidance है, legal advice नहीं। Legal terms उनके English नाम के साथ दिए गए हैं। कोई शक हो तो English version और Act का official text ही मान्य है। यह पेज अंग्रेज़ी में पढ़ें
छोटा जवाब: हाँ, purpose के अंदर या consent के साथ
हाँ, जहाँ use उस purpose में आता हो जो लोगों को बताया गया था, या उसके लिए consent हो। जिस service के लिए लोगों ने sign up किया, उसे बेहतर बनाना आम तौर पर purpose में आता है। Insights बेचना, third parties के लिए profiling या बच्चों को target करना नहीं आता। जहाँ सवाल allow करे, mask या aggregate कीजिए, और analysis copies की अपनी deletion date रखिए।
कानून क्या कहता है
Section 4 हर purpose के लिए lawful basis माँगता है। Section 6 specific consent माँगता है। Section 9 बच्चों की behavioural monitoring मना करता है। Section 8(3) कहता है कि data से फ़ैसले हों तो वह accurate हो।
- Section 4: Grounds for processing — data कब process कर सकते हैं. Personal data सिर्फ़ lawful purpose के लिए process किया जा सकता है। इसके दो ही आधार हैं: व्यक्ति का consent, या Section 7 में दिया कोई legitimate use।
- Section 6: Consent — साफ़ और अपनी मर्ज़ी से दी गई हाँ. Consent free, specific, informed, unconditional और unambiguous होना चाहिए। यह किसी clear action से दिया जाए और purpose के लिए ज़रूरी data तक ही सीमित रहे। Consent withdraw करना उतना ही आसान हो, जितना देना था।
- Section 9 · Rules 10, 12: Children's data — बच्चों का data. 18 साल से कम उम्र के किसी भी व्यक्ति के लिए माता-पिता या lawful guardian का verifiable consent लें। बच्चों को track न करें, उनकी behavioural monitoring न करें, और उन्हें target करके advertising न दिखाएँ। Rule 12 और Fourth Schedule कुछ classes और purposes को छूट देते हैं। जैसे clinical establishments और healthcare professionals को, उतनी हद तक जितना बच्चे की health बचाने के लिए ज़रूरी हो।
- Section 8(3): Accuracy — data पूरा और सही हो. अगर personal data के आधार पर किसी व्यक्ति के बारे में फ़ैसला लिया जाता है, या data किसी दूसरे Data Fiduciary के साथ share होता है, तो reasonable care लें कि वह complete, accurate और consistent हो।
Steps
- सवाल और उसके लिए ज़रूरी data लिखिए।
- देखिए लोगों को कौन-सा purpose बताया गया था।
- By default mask या aggregate कीजिए।
- Purpose से बाहर के uses के लिए consent लीजिए।
- Copy की deletion date तय कीजिए।
कौन-सा evidence रखना है
- Purpose checks
- Data specifications
- Retention entries
आम गलतियाँ
- Data है, तो सारा इस्तेमाल कर लेना
- Analysis copies जिनकी कोई end date नहीं
- बच्चों की profiling
किसकी क्या ज़िम्मेदारी
- Data और Analytics Head: हर नई analysis से पहले purpose check करें। Consent चाहिए या नहीं, यह purpose तय करता है।
- Product Head: Product analytics को भी बाकी uses की तरह एक basis चाहिए।
- Marketing Head (CMO): Tracking pixels और ad SDKs personal data इकट्ठा करते हैं; उनका basis check करें।
- Data और analytics department: हर analysis से पहले purpose check करें।
उदाहरण (अंग्रेज़ी में)
An insurer wants to model claim patterns. Service improvement fits the purpose; selling insights to a partner does not. The model runs on masked IDs and the copy is deleted after six months.
Management का अच्छा जवाब कैसा होता है
“हर analysis का purpose check होता है, जहाँ हो सके masked data इस्तेमाल होता है, और उसकी copy की deletion date तय है।” Effort और समय: हल्का · हर analysis के लिए.
अपनी भूमिका के लिए पूरा पेज खोलें →