हमारा lending या banking app phone से क्या ले सकता है?
Reviewed by InfraVeritas360 ResearchFirst published Last reviewed
Sources: DPDP Act, 2023 and DPDP Rules, 2025 (MeitY)
यह translated guidance है, legal advice नहीं। Legal terms उनके English नाम के साथ दिए गए हैं। कोई शक हो तो English version और Act का official text ही मान्य है। यह पेज अंग्रेज़ी में पढ़ें
छोटा जवाब: सिर्फ़ ज़रूरत के हिसाब से, explicit consent के साथ
सिर्फ़ उतना जितना ज़रूरी है, और वह भी explicit consent से। RBI की Digital Lending Directions पहले से contacts, files, media और call logs के access पर रोक लगाती हैं। Onboarding या KYC के लिए camera, microphone या location का one-time access ही allowed है। DPDP इसके ऊपर notice, consent withdraw करने का अधिकार और यह जानने का अधिकार जोड़ता है कि क्या-क्या लिया गया।
कानून क्या कहता है
Section 6 के हिसाब से consent उतने तक ही सीमित हो जितना ज़रूरी है। RBI की Digital Lending Directions, 2025 specific limits तय करती हैं।
- Section 6: Consent — साफ़ और अपनी मर्ज़ी से दी गई हाँ. Consent free, specific, informed, unconditional और unambiguous होना चाहिए। यह किसी clear action से दिया जाए और purpose के लिए ज़रूरी data तक ही सीमित रहे। Consent withdraw करना उतना ही आसान हो, जितना देना था।
- Section 5 · Rule 3: Notice — consent माँगने से पहले साफ़ जानकारी. Consent माँगते समय एक साफ़ notice दें, जो अपने आप में पूरा हो। उसमें बताएँ: कौन-सा data, किस purpose के लिए, consent कैसे withdraw करें, rights कैसे इस्तेमाल करें, और Data Protection Board को complaint कैसे करें। Act से पहले लिए गए data के लिए भी notice देना है, जितनी जल्दी reasonably practicable हो।
- Section 8(5) · Rule 6: Reasonable security safeguards — data को सुरक्षित रखना. Personal data को reasonable security safeguards से सुरक्षित रखें। Rule 6 में minimum बताया गया है: encryption, masking या tokenisation; access control; logs और monitoring; continuity के लिए backups; logs कम से कम एक साल रखना; और processors के contracts में security terms।
Steps
- App जो भी permissions माँगता है, उनकी list बनाएँ।
- जो permissions ज़रूरी नहीं हैं, उन्हें हटाएँ।
- Camera और location सिर्फ़ KYC step पर माँगें।
- Sign-up से पहले app में notice दिखाएँ।
- Partner apps को भी इसी तरह check करें।
कौन-सा evidence रखना है
- कारण के साथ permissions की list
- App store listing
- Partner apps का review
आम गलतियाँ
- 'Reference check' के नाम पर contacts permission
- Third-party analytics SDKs का device data इकट्ठा करना
- Partner apps का review न होना
किसकी क्या ज़िम्मेदारी
- CISO / Security Head: Test करें कि app के logs और storage से data leak तो नहीं हो रहा।
- CIO / IT Head: SDKs भी review करें। वे अक्सर app से ज़्यादा data उठाते हैं।
- Legal & Compliance: Permission की wording RBI के directions के हिसाब से रखें।
उदाहरण (अंग्रेज़ी में)
A lending app's release adds a contacts permission. Compliance blocks it under RBI's Digital Lending Directions; references are entered by the borrower instead.
Management का अच्छा जवाब कैसा होता है
“हमारे apps और partner apps सिर्फ़ ज़रूरी permissions माँगते हैं, और उसी step पर जहाँ उनकी ज़रूरत है।” Effort और समय: Light से medium · 4 से 8 हफ़्ते.
अपनी भूमिका के लिए पूरा पेज खोलें →