Management यह माने कि हम तैयार हैं, उससे पहले कौन-सा evidence होना चाहिए?
Reviewed by InfraVeritas360 ResearchFirst published Last reviewed
Sources: DPDP Act, 2023 and DPDP Rules, 2025 (MeitY)
यह translated guidance है, legal advice नहीं। Legal terms उनके English नाम के साथ दिए गए हैं। कोई शक हो तो English version और Act का official text ही मान्य है। यह पेज अंग्रेज़ी में पढ़ें
छोटा जवाब: हर duty का evidence, status colours नहीं
Readiness statement मानने से पहले management को हर duty का evidence देखना चाहिए: dated notices, consent records, जवाबों के साथ request register, signed vendor terms, access review sign-offs, log settings, Data Breach drill report और deletion log. इनके बिना status colour सिर्फ़ एक दावा है, evidence नहीं।
कानून क्या कहता है
Act duties Data Fiduciary पर, एक organisation के रूप में, डालता है। वे सच में पूरी हुईं या नहीं, इसके लिए management accountable है।
- Section 8(1)–(2): Responsibility of Data Fiduciary — vendor काम करे, ज़िम्मेदारी आपकी. जो organisation तय करती है कि data क्यों और कैसे इस्तेमाल होगा (Data Fiduciary), ज़िम्मेदारी उसी की रहती है, भले ही काम vendor (Data Processor) करे। Processor को सिर्फ़ valid contract के तहत ही लगाया जा सकता है।
- Section 8(5) · Rule 6: Reasonable security safeguards — data को सुरक्षित रखना. Personal data को reasonable security safeguards से सुरक्षित रखें। Rule 6 में minimum बताया गया है: encryption, masking या tokenisation; access control; logs और monitoring; continuity के लिए backups; logs कम से कम एक साल रखना; और processors के contracts में security terms।
- Section 8(6) · Rule 7: Data Breach intimation — लोगों और Board को बताना. Personal data breach का पता चलते ही हर प्रभावित व्यक्ति और Data Protection Board को बिना देरी बताएँ। Board को 72 घंटे के अंदर detailed report भेजें, या request करने पर Board जो लंबा समय दे, उसके अंदर।
- Section 8(9)–(10) · Rules 9, 14: Contact person and grievance redressal — सवाल और complaints. DPO या किसी ऐसे व्यक्ति का business contact publish करें, जो personal data से जुड़े सवालों का जवाब दे सके। एक चालू grievance process रखें और reasonable period में जवाब दें, जो 90 दिन से ज़्यादा न हो।
Steps
- लागू होने वाली duties की list बनाइए।
- हर एक के लिए वह evidence लिखिए जिससे auditor संतुष्ट हो।
- Owners से उसे attach करवाइए।
- बिना evidence वाली duties को open mark कीजिए, ready नहीं।
- हर management sign-off से पहले list review कीजिए।
कौन-सा evidence रखना है
- Duty-to-evidence list
- Attached evidence
- Sign-off record
आम गलतियाँ
- कुछ देखे बिना 'done' मान लेना
- Policies को evidence गिनना
- एक बार sign-off, उसके बाद कोई review नहीं
किसकी क्या ज़िम्मेदारी
- Internal Audit Head: कोई भी readiness statement मानने से पहले evidence list माँगें।
- CFO / Finance Head: सिर्फ़ policies नहीं, evidence को fund करें। Evidence से ही खर्च का फ़ायदा दिखता है।
- Internal Audit department: पहले evidence list माँगें।
उदाहरण (अंग्रेज़ी में)
Before a hospital's management signs off DPDP readiness, the DPO attaches one item per duty: dated notices, the request register, signed lab contracts, the drill report. Two duties have nothing attached and are shown as open.
Management का अच्छा जवाब कैसा होता है
“हर duty के साथ एक named evidence attached है। बिना evidence वाली duties open दिखती हैं, और हर sign-off से पहले हम list review करते हैं।” Effort और समय: मध्यम · 4 से 8 हफ़्ते.
अपनी भूमिका के लिए पूरा पेज खोलें →