एक incident, कई regulators: हर deadline कैसे पूरी करें?
Reviewed by InfraVeritas360 ResearchFirst published Last reviewed
Sources: DPDP Act, 2023 and DPDP Rules, 2025 (MeitY)
यह translated guidance है, legal advice नहीं। Legal terms उनके English नाम के साथ दिए गए हैं। कोई शक हो तो English version और Act का official text ही मान्य है। यह पेज अंग्रेज़ी में पढ़ें
छोटा जवाब: CERT-In को छह घंटे; regulator को उसके rules से; DPDP में बिना देरी और 72 घंटे
ज़्यादातर BFSI incidents में छह घंटे के अंदर CERT-In report चाहिए। Regulator को उसके rules के हिसाब से report करना है (IRDAI, CERT-In report के 24 घंटे के अंदर माँगता है)। DPDP के तहत customers और Data Protection Board को बिना देरी बताना है, और 72 घंटे में Board को detailed report देनी है। एक playbook और एक timeline रखने से कोई step नहीं छूटता।
कानून क्या कहता है
DPDP के steps Section 8(6) और Rule 7 तय करते हैं। बाकी CERT-In और आपका regulator तय करते हैं।
- Section 8(6) · Rule 7: Data Breach intimation — लोगों और Board को बताना. Personal data breach का पता चलते ही हर प्रभावित व्यक्ति और Data Protection Board को बिना देरी बताएँ। Board को 72 घंटे के अंदर detailed report भेजें, या request करने पर Board जो लंबा समय दे, उसके अंदर।
- Section 8(5) · Rule 6: Reasonable security safeguards — data को सुरक्षित रखना. Personal data को reasonable security safeguards से सुरक्षित रखें। Rule 6 में minimum बताया गया है: encryption, masking या tokenisation; access control; logs और monitoring; continuity के लिए backups; logs कम से कम एक साल रखना; और processors के contracts में security terms।
Steps
- सारी deadlines एक page पर रखें।
- तय करें कि कौन-सी report कौन file करेगा।
- Templates पहले से तैयार रखें।
- सभी filers के साथ rehearsal करें।
- हर report किस समय गई, यह log करें।
कौन-सा evidence रखना है
- Deadlines वाला page
- तैयार templates
- Drill का record
आम गलतियाँ
- हर regulator के लिए अलग playbook
- DPO को सबसे आखिर में बताना
- Customers को भेजने वाले message का template न होना
किसकी क्या ज़िम्मेदारी
- DPO / Privacy Lead: Customer और Board को क्या message जाएगा, यह आप तय करते हैं।
- CISO / Security Head: Clocks आप शुरू करते हैं। Timeline का evidence संभालकर रखें।
- Director: पूछें कि सभी filing teams ने आख़िरी बार साथ में rehearsal कब किया।
- Chief Risk Officer: Clock page को risk register में रखें।
उदाहरण (अंग्रेज़ी में)
An insurer's incident lead files with CERT-In at hour five, IRDAI within 24 hours of that, and the DPO's first note to the Data Protection Board the same day. One page lists all three times.
Management का अच्छा जवाब कैसा होता है
“एक ही playbook में CERT-In, हमारा regulator और Data Protection Board तीनों शामिल हैं। इस साल सभी filers के साथ इसका rehearsal हुआ।” Effort और समय: Light · 3 से 6 हफ़्ते.
अपनी भूमिका के लिए पूरा पेज खोलें →