क्या policy यह दिखा सकती है कि control सच में काम करता है?
Reviewed by InfraVeritas360 ResearchFirst published Last reviewed
Sources: DPDP Act, 2023 and DPDP Rules, 2025 (MeitY)
यह translated guidance है, legal advice नहीं। Legal terms उनके English नाम के साथ दिए गए हैं। कोई शक हो तो English version और Act का official text ही मान्य है। यह पेज अंग्रेज़ी में पढ़ें
छोटा जवाब: नहीं; काम चलना records से दिखता है
नहीं। Policy बताती है कि organisation क्या करना चाहता है। उससे यह नहीं दिखता कि control चल रहा है। चलना दिखाने के लिए records चाहिए: deletion log, access review sign-off, drill report, समय पर जवाब दी गई requests का sample. Auditors और regulators यही देखते हैं।
कानून क्या कहता है
Section 8(4) compliance पक्का करने के लिए appropriate technical और organisational measures माँगता है। यह दिखा पाना कि वे measures काम करते हैं, इसी duty का हिस्सा है।
- Section 8(5) · Rule 6: Reasonable security safeguards — data को सुरक्षित रखना. Personal data को reasonable security safeguards से सुरक्षित रखें। Rule 6 में minimum बताया गया है: encryption, masking या tokenisation; access control; logs और monitoring; continuity के लिए backups; logs कम से कम एक साल रखना; और processors के contracts में security terms।
- Section 8(1)–(2): Responsibility of Data Fiduciary — vendor काम करे, ज़िम्मेदारी आपकी. जो organisation तय करती है कि data क्यों और कैसे इस्तेमाल होगा (Data Fiduciary), ज़िम्मेदारी उसी की रहती है, भले ही काम vendor (Data Processor) करे। Processor को सिर्फ़ valid contract के तहत ही लगाया जा सकता है।
Steps
- हर policy के लिए वह record लिखिए जो उसे काम करते हुए दिखाएगा।
- Check कीजिए कि पिछले quarter का वह record मौजूद है या नहीं।
- जहाँ नहीं है, वहाँ बनाना शुरू कीजिए।
- हर quarter कुछ records का sample लीजिए।
- Samples policy के साथ रखिए।
कौन-सा evidence रखना है
- Policy-to-record map
- Quarterly samples
- Gaps और actions
आम गलतियाँ
- ऐसी policies approve करना जिनके पीछे कोई record नहीं
- Evidence माँगा जाए तो policy दिखा देना
- Records जो सिर्फ़ audit से पहले बनते हैं
किसकी क्या ज़िम्मेदारी
- Internal Audit Head: Policy है या नहीं, यह नहीं, वह चल रही है या नहीं, यह test करें। पाँच records चुनें और हर एक को शुरू से आखिर तक trace करें।
- Chief Compliance Officer: Policy सिर्फ़ शुरुआत है। वह record माँगें जो दिखाए कि policy काम कर रही है।
- Internal Audit department: पाँच samples शुरू से आखिर तक test करें।
- Training और L&D department: दिखाएँ कि training से व्यवहार बदला, जैसे wrong sends कम हुए।
उदाहरण (अंग्रेज़ी में)
A bank's access policy says rights are reviewed every quarter. Internal audit asks for the last two review sign-offs; one quarter has none. The policy is fine; the control did not run that quarter.
Management का अच्छा जवाब कैसा होता है
“हर policy के लिए हम वह record दिखा सकते हैं जो साबित करता है कि वह पिछले quarter चली, और Internal Audit उनका sample लेता है।” Effort और समय: मध्यम · लगातार.
अपनी भूमिका के लिए पूरा पेज खोलें →