क्या मौजूदा customers को insurance, cards या mutual funds cross-sell कर सकते हैं?
Reviewed by InfraVeritas360 ResearchFirst published Last reviewed
Sources: DPDP Act, 2023 and DPDP Rules, 2025 (MeitY)
यह translated guidance है, legal advice नहीं। Legal terms उनके English नाम के साथ दिए गए हैं। कोई शक हो तो English version और Act का official text ही मान्य है। यह पेज अंग्रेज़ी में पढ़ें
छोटा जवाब: सिर्फ़ अलग और specific consent से
हाँ, लेकिन सिर्फ़ उसी purpose के लिए ली गई specific consent से। Account opening की terms को offers भेजने की consent नहीं माना जा सकता। Partner insurer या fund house के साथ data share करने की consent भी उससे नहीं मिलती। Customer के अपने account से जुड़े service messages अलग चीज़ हैं। उनके लिए marketing consent नहीं चाहिए।
कानून क्या कहता है
Section 6 के हिसाब से हर purpose के लिए specific consent चाहिए। Section 5 के हिसाब से notice में purpose साफ़ लिखा होना चाहिए।
- Section 6: Consent — साफ़ और अपनी मर्ज़ी से दी गई हाँ. Consent free, specific, informed, unconditional और unambiguous होना चाहिए। यह किसी clear action से दिया जाए और purpose के लिए ज़रूरी data तक ही सीमित रहे। Consent withdraw करना उतना ही आसान हो, जितना देना था।
- Section 5 · Rule 3: Notice — consent माँगने से पहले साफ़ जानकारी. Consent माँगते समय एक साफ़ notice दें, जो अपने आप में पूरा हो। उसमें बताएँ: कौन-सा data, किस purpose के लिए, consent कैसे withdraw करें, rights कैसे इस्तेमाल करें, और Data Protection Board को complaint कैसे करें। Act से पहले लिए गए data के लिए भी notice देना है, जितनी जल्दी reasonably practicable हो।
- Section 8(1)–(2): Responsibility of Data Fiduciary — vendor काम करे, ज़िम्मेदारी आपकी. जो organisation तय करती है कि data क्यों और कैसे इस्तेमाल होगा (Data Fiduciary), ज़िम्मेदारी उसी की रहती है, भले ही काम vendor (Data Processor) करे। Processor को सिर्फ़ valid contract के तहत ही लगाया जा सकता है।
Steps
- Systems में service messages और offers को अलग करें।
- Offers और partner sharing की consent अलग-अलग लें, हर channel के लिए।
- Consent का record purpose और partner के हिसाब से रखें।
- हर campaign से पहले record check करें।
- Consent withdrawal उसी दिन partners तक पहुँचाएँ।
कौन-सा evidence रखना है
- Purpose और partner के हिसाब से consent records
- Consent check के साथ campaign approval
- Withdrawal के logs
आम गलतियाँ
- Account की terms को ही consent मान लेना
- Partners का अपनी lists से customers को call करना
- Withdrawal का partners तक न पहुँचना
किसकी क्या ज़िम्मेदारी
- DPO / Privacy Lead: हर purpose के लिए consent का record आपके पास रहे। ज़्यादातर cross-sell complaints का जवाब यही है।
- CEO / MD: Campaign धीमा हो, फिर भी rule के साथ खड़े रहें। Mis-selling complaints उससे महँगी पड़ती हैं।
- Legal & Compliance: हर partner product के लिए consent की wording अलग लिखें।
- Branch / Business Head: Branch targets अक्सर cross-selling की ओर धकेलते हैं। देखें कि हर lead के पीछे consent है।
- Chief Risk Officer: Mis-selling और consent जुड़े हुए risks हैं। दोनों को साथ track करें।
- Marketing department: Consent check के बिना कोई campaign बाहर न जाए।
उदाहरण (अंग्रेज़ी में)
A bank's campaign team pulls a list for insurance offers. The consent check removes customers who never ticked the offers box; only consented customers are sent to the partner insurer.
Management का अच्छा जवाब कैसा होता है
“हर campaign purpose के हिसाब से consent से मिलाकर check होता है। Partners को सिर्फ़ वही customers मिलते हैं जिन्होंने consent दी है। Withdrawal एक दिन के अंदर उन तक पहुँच जाता है।” Effort और समय: Medium · 8 से 12 हफ़्ते.
अपनी भूमिका के लिए पूरा पेज खोलें →