हमारे organisation में personal data कहाँ-कहाँ पड़ा है?
Reviewed by InfraVeritas360 ResearchFirst published Last reviewed
Sources: DPDP Act, 2023 and DPDP Rules, 2025 (MeitY)
यह translated guidance है, legal advice नहीं। Legal terms उनके English नाम के साथ दिए गए हैं। कोई शक हो तो English version और Act का official text ही मान्य है। यह पेज अंग्रेज़ी में पढ़ें
छोटा जवाब: हर system की एक row से शुरू कीजिए
आम तौर पर जितना कोई सोचता है उससे ज़्यादा जगहों पर: core systems, email, shared drives, laptops, vendor systems, backups, test copies, spreadsheets और paper. एक सीधी inventory, हर system की एक row, बाकी हर duty की नींव है।
कानून क्या कहता है
Sections 5 से 12 की हर duty यह मानकर चलती है कि आपको पता है data कहाँ है। Rule 6 हर system के लिए safeguards माँगता है, और Section 11 के लिए ज़रूरी है कि कोई पूछे तो आप data ढूँढ सकें।
- Section 8(5) · Rule 6: Reasonable security safeguards — data को सुरक्षित रखना. Personal data को reasonable security safeguards से सुरक्षित रखें। Rule 6 में minimum बताया गया है: encryption, masking या tokenisation; access control; logs और monitoring; continuity के लिए backups; logs कम से कम एक साल रखना; और processors के contracts में security terms।
- Sections 11–14 · Rule 14: Rights of Data Principal — लोगों के rights. लोग अपने data का summary माँग सकते हैं, और यह भी कि data किसके साथ share हुआ। वे correction, completion, updating या erasure माँग सकते हैं, complaint कर सकते हैं, और अपनी जगह काम करने के लिए किसी को nominate कर सकते हैं। यह सब कैसे करना है, आपको publish करना होगा।
- Section 8(7) · Rule 8: Erasure and retention — data कब delete करना है. Purpose पूरा होने पर या consent withdraw होने पर personal data delete करें, जब तक कोई कानून उसे रखने को न कहे। अपने processors से भी delete करवाएँ। Rule 8(3) के तहत हर Data Fiduciary को Rules में दिए purposes के लिए personal data, traffic data और logs कम से कम एक साल रखने हैं।
- Section 3: Applicability — Act किस पर लागू होता है. Act India में process होने वाले digital personal data पर लागू होता है। Paper records भी digitise होने के बाद इसमें आ जाते हैं। India के लोगों को goods या services देने वाली विदेश की organisations पर भी यह लागू होता है।
Steps
- पहले systems की list बनाइए, फिर shared drives, email, spreadsheets और paper stores.
- हर एक के लिए note कीजिए: किसका data, कौन-से items, purpose, owner, hosting location और vendors.
- Copies जोड़िए: backups, test, analytics.
- हर owner से उसकी rows confirm करवाइए।
- कोई system खरीदा या बंद हो, तो इसे update कीजिए।
कौन-सा evidence रखना है
- Data inventory
- Owner confirmations
- Change log
आम गलतियाँ
- 200 columns वाली spreadsheet जो कोई पूरी नहीं करता
- Departments के खरीदे SaaS tools छोड़ देना
- हर row का कोई owner नहीं
किसकी क्या ज़िम्मेदारी
- CIO / IT Head: अपनी application list और cloud bills से शुरू करें। हर system का एक owner, hosting location और उसे छूने वाले vendors की list होनी चाहिए।
- CTO / Engineering Head: हर नई service live होते ही inventory में खुद register हो।
- Data और Analytics Head: हर data set और उसका source register करें।
- IT department: System list IT के पास है। अलग spreadsheet शुरू करने के बजाय उसी में personal data के columns जोड़ें।
Management का अच्छा जवाब कैसा होता है
“Personal data वाले systems की हमारी inventory है, हर एक का owner है, और इस quarter में confirm हुई है।” Effort और समय: मध्यम · 4 से 10 हफ़्ते.
अपनी भूमिका के लिए पूरा पेज खोलें →