क्या states, banks या दूसरी ministries के साथ data share कर सकते हैं?
Reviewed by InfraVeritas360 ResearchFirst published Last reviewed
Sources: DPDP Act, 2023 and DPDP Rules, 2025 (MeitY)
यह translated guidance है, legal advice नहीं। Legal terms उनके English नाम के साथ दिए गए हैं। कोई शक हो तो English version और Act का official text ही मान्य है। यह पेज अंग्रेज़ी में पढ़ें
छोटा जवाब: हाँ, लिखित आधार, कम से कम fields और log के साथ
हाँ, जहाँ scheme या कोई कानून इसकी ज़रूरत रखता है। यह एक लिखित MoU या order के ज़रिए हो, जिसमें purpose, fields, security और retention तय हों। कम से कम data share करें, logged channels से, और हर transfer record करें। Private parties के साथ bulk sharing के लिए साफ़ legal basis चाहिए, और जहाँ हो सके personal details mask करें।
कानून क्या कहता है
आधार के लिए Section 7, processors के लिए Section 8(1), safeguards के लिए Section 8(5)।
- Section 7: Legitimate uses — consent के बिना allowed uses. कुछ uses के लिए consent ज़रूरी नहीं है: व्यक्ति ने किसी specified purpose के लिए अपनी मर्ज़ी से जो data दिया, कानून के तहत duties, जान के खतरे वाली medical emergency, epidemic के समय health services, disaster के समय safety, और employment के purposes।
- Section 8(1)–(2): Responsibility of Data Fiduciary — vendor काम करे, ज़िम्मेदारी आपकी. जो organisation तय करती है कि data क्यों और कैसे इस्तेमाल होगा (Data Fiduciary), ज़िम्मेदारी उसी की रहती है, भले ही काम vendor (Data Processor) करे। Processor को सिर्फ़ valid contract के तहत ही लगाया जा सकता है।
- Section 8(5) · Rule 6: Reasonable security safeguards — data को सुरक्षित रखना. Personal data को reasonable security safeguards से सुरक्षित रखें। Rule 6 में minimum बताया गया है: encryption, masking या tokenisation; access control; logs और monitoring; continuity के लिए backups; logs कम से कम एक साल रखना; और processors के contracts में security terms।
Steps
- बाहर जाने वाले हर data flow की list बनाएँ।
- हर flow के लिए MoU या order लिखें।
- Fields कम से कम रखें।
- Logged channels इस्तेमाल करें।
- हर साल flows का review करें।
कौन-सा evidence रखना है
- Flow register
- MoUs
- हर transfer का log
आम गलतियाँ
- Email attachments से भेजना
- जहाँ सिर्फ़ गिनती से काम चलता, वहाँ पूरा data भेजना
- कोई MoU न होना
किसकी क्या ज़िम्मेदारी
- IT Head / NIC coordinator: Email से data भेजने की जगह APIs लगाएँ।
- Oversight: AS / JS / Board: पूछें कि बाहर कितने data flows जाते हैं और उनमें से कितनों का MoU है।
- Legal cell: MoU का template draft करें।
- Scheme / Programme Head: हर partner को कौन-से fields मिलेंगे, यह आप approve करें।
उदाहरण (अंग्रेज़ी में)
A ministry sends beneficiary data to 30 states. Email attachments are replaced by a logged API with masked fields, under an MoU that sets purpose and retention.
Management का अच्छा जवाब कैसा होता है
“बाहर जाने वाले हर flow का MoU है, fields कम से कम हैं, और log है।” Effort और समय: Medium.
अपनी भूमिका के लिए पूरा पेज खोलें →