KYC और transaction records कितने समय रखने हैं, और उसके बाद क्या?
Reviewed by InfraVeritas360 ResearchFirst published Last reviewed
Sources: DPDP Act, 2023 and DPDP Rules, 2025 (MeitY)
यह translated guidance है, legal advice नहीं। Legal terms उनके English नाम के साथ दिए गए हैं। कोई शक हो तो English version और Act का official text ही मान्य है। यह पेज अंग्रेज़ी में पढ़ें
छोटा जवाब: Relationship खत्म होने के बाद कम से कम पाँच साल; फिर erase
PMLA और RBI की KYC Master Direction के हिसाब से identity records relationship खत्म होने के बाद कम से कम पाँच साल रखने हैं। Transaction records transaction की तारीख से कम से कम पाँच साल रखने हैं। इस दौरान इन्हें सिर्फ़ उसी legal purpose के लिए रखें। उसके बाद erase या anonymise करें, जब तक कोई दूसरा कानून ज़्यादा समय न माँगे।
कानून क्या कहता है
जहाँ कोई कानून माँगे, वहाँ Section 8(7) retention की इजाज़त देता है। PMLA और RBI के KYC rules ऐसे ही कानून हैं।
- Section 8(7) · Rule 8: Erasure and retention — data कब delete करना है. Purpose पूरा होने पर या consent withdraw होने पर personal data delete करें, जब तक कोई कानून उसे रखने को न कहे। अपने processors से भी delete करवाएँ। Rule 8(3) के तहत हर Data Fiduciary को Rules में दिए purposes के लिए personal data, traffic data और logs कम से कम एक साल रखने हैं।
- Section 7: Legitimate uses — consent के बिना allowed uses. कुछ uses के लिए consent ज़रूरी नहीं है: व्यक्ति ने किसी specified purpose के लिए अपनी मर्ज़ी से जो data दिया, कानून के तहत duties, जान के खतरे वाली medical emergency, epidemic के समय health services, disaster के समय safety, और employment के purposes।
Steps
- KYC और transaction records के types की list बनाएँ।
- गिनती कब से शुरू होगी, यह तय करें: relationship खत्म होने की तारीख या transaction की तारीख।
- Closed accounts के records पर access सीमित करें।
- तय अवधि के बाद erase या anonymise करें।
- Erasure requests के जवाब में यह बात समझाएँ।
कौन-सा evidence रखना है
- Retention schedule
- Closed accounts पर access restrictions
- Deletion के logs
आम गलतियाँ
- सब कुछ हमेशा के लिए रख लेना
- Legal अवधि से पहले delete कर देना
- Closed accounts का data marketing में इस्तेमाल करना
किसकी क्या ज़िम्मेदारी
- DPO / Privacy Lead: Delete करने से मना करना पड़े, तो इसी से सीधे शब्दों में समझाएँ।
- CIO / IT Head: Closed accounts के लिए अलग archive tier बनाएँ, जिसमें access सीमित हो।
- Legal & Compliance: Retention वाले कानूनों की list अपडेट रखें।
- Customer service department: Customer delete करने को कहे, तो retention की बात विनम्रता से समझाएँ।
उदाहरण (अंग्रेज़ी में)
A customer closes her account and asks for deletion. KYC and transaction records stay for five years under PMLA, locked from marketing; her offer preferences and app analytics are deleted.
Management का अच्छा जवाब कैसा होता है
“Closed accounts के records lock रहते हैं। वे सिर्फ़ legal अवधि तक रखे जाते हैं, फिर erase होते हैं।” Effort और समय: Medium · 8 से 12 हफ़्ते.
अपनी भूमिका के लिए पूरा पेज खोलें →