क्या employees के data के लिए consent चाहिए?
Reviewed by InfraVeritas360 ResearchFirst published Last reviewed
Sources: DPDP Act, 2023 and DPDP Rules, 2025 (MeitY)
यह translated guidance है, legal advice नहीं। Legal terms उनके English नाम के साथ दिए गए हैं। कोई शक हो तो English version और Act का official text ही मान्य है। यह पेज अंग्रेज़ी में पढ़ें
छोटा जवाब: Employment purposes के लिए नहीं; बाकी किसी भी काम के लिए हाँ
Normal employment purposes के लिए आम तौर पर नहीं। Section 7(i) employment के लिए employee data process करने देता है, जैसे payroll, attendance, safety और corporate espionage रोकना। इससे आगे कुछ भी, जैसे wellness apps, marketing के लिए photos या offers के लिए bank के साथ sharing, उसके लिए consent चाहिए।
कानून क्या कहता है
Section 7(i) employment purposes और employer को नुकसान या liability से बचाने को cover करता है। Notice, security, retention और rights employees पर भी लागू रहते हैं।
- Section 7: Legitimate uses — consent के बिना allowed uses. कुछ uses के लिए consent ज़रूरी नहीं है: व्यक्ति ने किसी specified purpose के लिए अपनी मर्ज़ी से जो data दिया, कानून के तहत duties, जान के खतरे वाली medical emergency, epidemic के समय health services, disaster के समय safety, और employment के purposes।
- Section 5 · Rule 3: Notice — consent माँगने से पहले साफ़ जानकारी. Consent माँगते समय एक साफ़ notice दें, जो अपने आप में पूरा हो। उसमें बताएँ: कौन-सा data, किस purpose के लिए, consent कैसे withdraw करें, rights कैसे इस्तेमाल करें, और Data Protection Board को complaint कैसे करें। Act से पहले लिए गए data के लिए भी notice देना है, जितनी जल्दी reasonably practicable हो।
- Section 8(7) · Rule 8: Erasure and retention — data कब delete करना है. Purpose पूरा होने पर या consent withdraw होने पर personal data delete करें, जब तक कोई कानून उसे रखने को न कहे। अपने processors से भी delete करवाएँ। Rule 8(3) के तहत हर Data Fiduciary को Rules में दिए purposes के लिए personal data, traffic data और logs कम से कम एक साल रखने हैं।
- Sections 11–14 · Rule 14: Rights of Data Principal — लोगों के rights. लोग अपने data का summary माँग सकते हैं, और यह भी कि data किसके साथ share हुआ। वे correction, completion, updating या erasure माँग सकते हैं, complaint कर सकते हैं, और अपनी जगह काम करने के लिए किसी को nominate कर सकते हैं। यह सब कैसे करना है, आपको publish करना होगा।
Steps
- Staff से आप क्या लेते हैं और क्यों, इसकी list बनाइए।
- Mark कीजिए कि कौन-से items employment purpose हैं और कौन-से extra.
- Extras के लिए अलग से consent लीजिए।
- Staff को एक छोटा employee privacy notice दीजिए।
- Ex-employee records के लिए retention तय कीजिए।
कौन-सा evidence रखना है
- आधार के साथ employee data list
- Employee privacy notice
- Extras के लिए consent
आम गलतियाँ
- Offer letter में एक blanket consent clause
- Candidates का data हमेशा के लिए रखना
- बिना terms के staff data vendors के साथ share करना
किसकी क्या ज़िम्मेदारी
- HR Head: एक page का employee privacy notice लिखें और joining पर दें। Wellness apps या photos जैसी extra चीज़ों के लिए consent अलग रखें।
- CFO / Finance Head: Salary और bank details आपके पास सबसे sensitive data में से हैं।
- HR department: Employee privacy notice तैयार करें और हर joiner को दें।
- Finance department: Salary और bank details employment data हैं। Employment से आगे इन्हें share करने में सावधानी चाहिए।
- Training और L&D department: Training records भी staff का data हैं।
Management का अच्छा जवाब कैसा होता है
“Staff data सिर्फ़ employment purposes के लिए इस्तेमाल होता है। Extras consent पर चलते हैं, और ex-employee records retention schedule के हिसाब से चलते हैं।” Effort और समय: हल्का · 4 से 6 हफ़्ते.
अपनी भूमिका के लिए पूरा पेज खोलें →