क्या हमें Data Protection Impact Assessment करना होगा?
Reviewed by InfraVeritas360 ResearchFirst published Last reviewed
Sources: DPDP Act, 2023 and DPDP Rules, 2025 (MeitY)
यह translated guidance है, legal advice नहीं। Legal terms उनके English नाम के साथ दिए गए हैं। कोई शक हो तो English version और Act का official text ही मान्य है। यह पेज अंग्रेज़ी में पढ़ें
छोटा जवाब: सिर्फ़ SDFs के लिए ज़रूरी; high-risk बदलावों पर good practice
कानूनन हर साल impact assessment सिर्फ़ Significant Data Fiduciaries के लिए ज़रूरी है। बाकी सबके लिए high-risk बदलावों पर यह good practice है: नई tracking, profiling, बड़े पैमाने पर data sharing, बच्चों का data या data विदेश ले जाना। बदलाव से पहले छोटा assessment, बाद में ठीक करने से सस्ता पड़ता है।
कानून क्या कहता है
Section 10 और Rule 13 Significant Data Fiduciaries के लिए हर साल impact assessment माँगते हैं।
- Section 10 · Rule 13: Significant Data Fiduciary — ज़्यादा duties वाली organisations. Government data की मात्रा, उसकी sensitivity और risk के आधार पर कुछ organisations को Significant Data Fiduciary notify कर सकती है। इन्हें India में based DPO, एक independent data auditor, और हर साल impact assessment और audit चाहिए। इस page के आखिरी review तक किसी को notify नहीं किया गया था।
- Section 9 · Rules 10, 12: Children's data — बच्चों का data. 18 साल से कम उम्र के किसी भी व्यक्ति के लिए माता-पिता या lawful guardian का verifiable consent लें। बच्चों को track न करें, उनकी behavioural monitoring न करें, और उन्हें target करके advertising न दिखाएँ। Rule 12 और Fourth Schedule कुछ classes और purposes को छूट देते हैं। जैसे clinical establishments और healthcare professionals को, उतनी हद तक जितना बच्चे की health बचाने के लिए ज़रूरी हो।
- Section 16 · Rule 15: Cross-border transfer — data का India से बाहर जाना. Personal data India से बाहर जा सकता है, जब तक government किसी देश पर रोक न लगाए। अगर कोई sector law या regulator ज़्यादा सख़्त rule रखता है, तो वह लागू रहता है। इस page के आखिरी review तक किसी देश पर रोक नहीं लगी थी।
Steps
- तय कीजिए कि आपके लिए high-risk बदलाव किसे कहेंगे।
- दो page का template इस्तेमाल कीजिए।
- Data, purpose, risks और safeguards record कीजिए।
- Approval से पहले DPO की राय लीजिए।
- इसे project record के साथ रखिए।
कौन-सा evidence रखना है
- Assessment template
- पूरे हुए assessments
- DPO की राय
आम गलतियाँ
- Launch के बाद इसे paperwork की तरह करना
- 40 page का template जिसे कोई पूरा नहीं करता
- कोई trigger list नहीं
किसकी क्या ज़िम्मेदारी
- Chief Compliance Officer: High-risk changes के लिए impact assessment करें, भले ही आप SDF न हों।
- CTO / Engineering Head: High-risk features का assessment build से पहले हो, launch के बाद नहीं।
- Data और Analytics Head: Profiling और automated decisions का assessment होना चाहिए।
- Product Head: जो नए features लोगों की profiling या tracking करते हैं, उनका assessment चाहिए।
- Data और analytics department: Profiling का assessment करें।
उदाहरण (अंग्रेज़ी में)
A hospital plans to share imaging with a research partner abroad. A two-page assessment records the data, purpose, transfer and safeguards, and the DPO asks for de-identification first.
Management का अच्छा जवाब कैसा होता है
“हम high-risk बदलावों का assessment approval से पहले, छोटे template से करते हैं, और DPO sign off करते हैं।” Effort और समय: हल्का · हर बदलाव के लिए.
अपनी भूमिका के लिए पूरा पेज खोलें →