Incident में client का data शामिल है। कौन किसे बताएगा?
Reviewed by InfraVeritas360 ResearchFirst published Last reviewed
Sources: DPDP Act, 2023 and DPDP Rules, 2025 (MeitY)
यह translated guidance है, legal advice नहीं। Legal terms उनके English नाम के साथ दिए गए हैं। कोई शक हो तो English version और Act का official text ही मान्य है। यह पेज अंग्रेज़ी में पढ़ें
छोटा जवाब: पहले client, contract के समय में; CERT-In को छह घंटे में
सबसे पहले client को बताएँ, contract में तय समय के अंदर। Fiduciary client है, और उसे ही अपने customers और Data Protection Board को बताना है। अगर incident reportable है, तो छह घंटे में CERT-In को report करें। Client को logs और facts जल्दी दें। Client के customers से खुद संपर्क न करें, जब तक client न कहे।
कानून क्या कहता है
Section 8(6) लोगों को बताने की ज़िम्मेदारी fiduciary पर डालता है। Processor के तौर पर client के प्रति आपकी ज़िम्मेदारी आपका contract तय करता है।
- Section 8(6) · Rule 7: Data Breach intimation — लोगों और Board को बताना. Personal data breach का पता चलते ही हर प्रभावित व्यक्ति और Data Protection Board को बिना देरी बताएँ। Board को 72 घंटे के अंदर detailed report भेजें, या request करने पर Board जो लंबा समय दे, उसके अंदर।
- Section 8(1)–(2): Responsibility of Data Fiduciary — vendor काम करे, ज़िम्मेदारी आपकी. जो organisation तय करती है कि data क्यों और कैसे इस्तेमाल होगा (Data Fiduciary), ज़िम्मेदारी उसी की रहती है, भले ही काम vendor (Data Processor) करे। Processor को सिर्फ़ valid contract के तहत ही लगाया जा सकता है।
Steps
- हर client का notice time एक list में रखें।
- तय करें कि किस client को कौन call करेगा।
- Client incident template तैयार रखें।
- Reportable हो तो CERT-In को file करें।
- Logs और लिखित account share करें।
कौन-सा evidence रखना है
- Clients के notice time की list
- Incident timeline
- CERT-In को भेजी report का record
आम गलतियाँ
- Client को बताने से पहले investigation पूरी होने का इंतज़ार
- Client के customers से सीधे संपर्क
- CERT-In की deadline चूक जाना
किसकी क्या ज़िम्मेदारी
- CISO / Security Head: दोनों clocks शुरू करें: client और CERT-In।
- Director: पिछली drill में सबसे तेज़ और सबसे धीमा client notice कितना था, यह पूछें।
- Legal & Compliance: जाँचें कि contract में दिए notice के समय practical हैं।
- Delivery Head: Client को call आप करेंगे। Number तैयार रखें।
उदाहरण (अंग्रेज़ी में)
A developer's laptop with client data is stolen at night. The client is told within the four hours the contract sets, and CERT-In within six. The client handles notices to its own customers.
Management का अच्छा जवाब कैसा होता है
“हमें हर client का notice time पता है। पिछली drill में client को दो घंटे के अंदर बता दिया गया।” Effort और समय: Light · 3 से 4 हफ़्ते.
अपनी भूमिका के लिए पूरा पेज खोलें →