क्या deletion को backups और test copies तक पहुँचना होगा?
Reviewed by InfraVeritas360 ResearchFirst published Last reviewed
Sources: DPDP Act, 2023 and DPDP Rules, 2025 (MeitY)
यह translated guidance है, legal advice नहीं। Legal terms उनके English नाम के साथ दिए गए हैं। कोई शक हो तो English version और Act का official text ही मान्य है। यह पेज अंग्रेज़ी में पढ़ें
छोटा जवाब: हाँ, एक लिखे हुए backup-expiry rule के ज़रिए
Deletion आपके control वाली हर copy तक पहुँचना चाहिए। Backups में आम तरीका यह है कि deleted records normal backup cycle के साथ expire हो जाएँ, उन्हें कभी live use में restore न किया जाए, और यह लिखकर रखा जाए। Test और training copies में masked data हो।
कानून क्या कहता है
Section 8(7) erasure माँगता है। Rule 6 continuity के लिए backups माँगता है। दोनों बातें एक backup retention rule में मिलती हैं, जो काफ़ी छोटा हो और लिखा हुआ हो।
- Section 8(7) · Rule 8: Erasure and retention — data कब delete करना है. Purpose पूरा होने पर या consent withdraw होने पर personal data delete करें, जब तक कोई कानून उसे रखने को न कहे। अपने processors से भी delete करवाएँ। Rule 8(3) के तहत हर Data Fiduciary को Rules में दिए purposes के लिए personal data, traffic data और logs कम से कम एक साल रखने हैं।
- Section 8(5) · Rule 6: Reasonable security safeguards — data को सुरक्षित रखना. Personal data को reasonable security safeguards से सुरक्षित रखें। Rule 6 में minimum बताया गया है: encryption, masking या tokenisation; access control; logs और monitoring; continuity के लिए backups; logs कम से कम एक साल रखना; और processors के contracts में security terms।
Steps
- देखिए copies कहाँ-कहाँ हैं: backups, replicas, test, analytics, laptops, vendors.
- Backup retention को retention schedule के हिसाब से set कीजिए।
- Rule लिखिए: deleted records live systems में restore नहीं होंगे।
- Test और training copies में personal data mask कीजिए।
- Vendors से deletion confirmations लीजिए।
कौन-सा evidence रखना है
- Backup retention settings
- लिखा हुआ backup-expiry rule
- Test data के लिए masking procedure
आम गलतियाँ
- सुविधा के लिए दस साल के backups
- Test में live data की copies
- पुराना backup restore करना और deleted records वापस आ जाना
किसकी क्या ज़िम्मेदारी
- CISO / Security Head: File restore नहीं, full restore test करें। फिर check करें कि backup retention चुपचाप सालों तक deleted records तो नहीं रख रही।
- CIO / IT Head: Deletion एक engineering काम है। तय करें कि हर system कैसे delete करेगा, backups कैसे expire होंगे, और test copies कैसे mask होंगी।
- CTO / Engineering Head: Deletion और backup expiry को साथ-साथ design करें।
- IT department: Backup-expiry rule लिखें और test data mask करें। ये दो steps deletion के ज़्यादातर gaps बंद कर देते हैं।
- Procurement department: Exit clause जोड़ें: data वापस या delete, certificate के साथ।
- Information security / SOC department: Full restore test करें।
- Software engineering department: Deletion और backup expiry साथ-साथ।
- Records और archives department: पुराने backups भी records हैं।
Management का अच्छा जवाब कैसा होता है
“Backups एक लिखे हुए cycle पर expire होते हैं, test systems में masked data है, और restore हुए backups इस्तेमाल से पहले साफ़ किए जाते हैं।” Effort और समय: मध्यम · 6 से 10 हफ़्ते.
अपनी भूमिका के लिए पूरा पेज खोलें →