Consent कब चाहिए, और legitimate use पर कब चल सकते हैं?
Reviewed by InfraVeritas360 ResearchFirst published Last reviewed
Sources: DPDP Act, 2023 and DPDP Rules, 2025 (MeitY)
यह translated guidance है, legal advice नहीं। Legal terms उनके English नाम के साथ दिए गए हैं। कोई शक हो तो English version और Act का official text ही मान्य है। यह पेज अंग्रेज़ी में पढ़ें
छोटा जवाब: Use पर निर्भर है; ज़्यादातर organisations को दोनों चाहिए
Personal data के हर इस्तेमाल के लिए एक आधार चाहिए: consent, या Section 7 का कोई legitimate use. जैसे कानूनी duty, employment, medical emergency, या ऐसा data जो व्यक्ति ने किसी खास काम के लिए खुद दिया हो। जो इस्तेमाल व्यक्ति की उम्मीद से बाहर है, जैसे marketing, profiling या partners के साथ sharing, उसके लिए आम तौर पर consent चाहिए।
कानून क्या कहता है
Section 4 processing की इजाज़त सिर्फ़ consent या legitimate use पर देता है। Section 6 बताता है कि valid consent कैसा होता है। Section 7 में वे uses हैं जिनके लिए consent नहीं चाहिए।
- Section 4: Grounds for processing — data कब process कर सकते हैं. Personal data सिर्फ़ lawful purpose के लिए process किया जा सकता है। इसके दो ही आधार हैं: व्यक्ति का consent, या Section 7 में दिया कोई legitimate use।
- Section 6: Consent — साफ़ और अपनी मर्ज़ी से दी गई हाँ. Consent free, specific, informed, unconditional और unambiguous होना चाहिए। यह किसी clear action से दिया जाए और purpose के लिए ज़रूरी data तक ही सीमित रहे। Consent withdraw करना उतना ही आसान हो, जितना देना था।
- Section 7: Legitimate uses — consent के बिना allowed uses. कुछ uses के लिए consent ज़रूरी नहीं है: व्यक्ति ने किसी specified purpose के लिए अपनी मर्ज़ी से जो data दिया, कानून के तहत duties, जान के खतरे वाली medical emergency, epidemic के समय health services, disaster के समय safety, और employment के purposes।
Steps
- हर उस purpose की list बनाइए जिसके लिए आप personal data इस्तेमाल करते हैं।
- हर purpose के सामने आधार लिखिए: consent, या Section 7 की exact clause.
- जहाँ आधार consent है, वहाँ देखिए कि वह अलग से माँगा गया, साफ़ action के साथ, और कोई pre-ticked box नहीं था।
- जिस purpose का कोई आधार नहीं, उसे रोकिए या उसके papers फिर से तैयार कीजिए।
- कोई नया product, campaign या system शुरू हो, तो list फिर से देखिए।
कौन-सा evidence रखना है
- Purpose and basis register
- Consent records: तारीख, version और channel के साथ
- हर legitimate use पर Legal sign-off
आम गलतियाँ
- Account terms को marketing का consent मान लेना
- कई purposes को एक ही tick-box में बाँध देना
- 'Legitimate interest' पर भरोसा करना, जो Indian Act में है ही नहीं
किसकी क्या ज़िम्मेदारी
- DPO / Privacy Lead: Purpose और basis का register आप खुद बनाएँ, भले ही हर team अपनी rows खुद भरे। जब कोई पूछे कि उसका data क्यों इस्तेमाल हुआ, तो यही register आपका जवाब है।
- Legal & Compliance: हर purpose का basis लिखें और उसे register के साथ रखें। जहाँ Section 7 पर निर्भर हैं, वहाँ exact clause लिखें।
- Branch / Business Head: पता रखें कि आपके area में किन uses के लिए consent चाहिए और किनके लिए नहीं, ताकि staff आसान जवाब दे सके।
- Chief Compliance Officer: Check करें कि हर purpose का लिखा हुआ basis हो।
- Data और Analytics Head: आपके models सिर्फ़ वही data इस्तेमाल कर सकते हैं जिसका basis उस use को cover करता है।
- Product Head: अलग purposes के लिए अलग boxes, कभी pre-ticked नहीं।
- Marketing Head (CMO): Marketing consent अलग से लें, हर channel के लिए।
- Marketing department: Marketing consent अलग से लें, और record तारीख और version के साथ रखें।
- Legal department: हर purpose का legal basis exact clause के साथ record करें।
- Sales department: Business card को campaigns की consent न मानें।
- Data और analytics department: सिर्फ़ वही data इस्तेमाल करें जिसका basis उस use को cover करे।
Management का अच्छा जवाब कैसा होता है
“हर purpose का लिखित आधार है। Marketing और partner sharing सिर्फ़ अलग consent पर चलते हैं, और किसी भी customer का record हम कुछ मिनटों में निकाल सकते हैं।” Effort और समय: मध्यम · 6 से 10 हफ़्ते.
अपनी भूमिका के लिए पूरा पेज खोलें →