क्या DPDP विदेशी clients के customers के data पर लागू होता है?
Reviewed by InfraVeritas360 ResearchFirst published Last reviewed
Sources: DPDP Act, 2023 and DPDP Rules, 2025 (MeitY)
यह translated guidance है, legal advice नहीं। Legal terms उनके English नाम के साथ दिए गए हैं। कोई शक हो तो English version और Act का official text ही मान्य है। यह पेज अंग्रेज़ी में पढ़ें
छोटा जवाब: Offshore data पर ज़्यादातर छूट; security फिर भी लागू
ज़्यादातर नहीं। Section 17(1)(d) उन लोगों के personal data की processing को छूट देता है जो India से बाहर हैं, जब यह काम India से बाहर की किसी party के साथ contract के तहत हो। Security safeguards और अपने processors की ज़िम्मेदारी फिर भी लागू रहती है। यह छूट आपके Indian staff, Indian customers, या उसी काम में मिले हुए Indian data पर लागू नहीं होती।
कानून क्या कहता है
छूट Section 17(1)(d) में है। Section 8(5) और 8(1) फिर भी लागू रहते हैं।
- Section 17(1)(d): Exemption — offshore clients का data. जब India की कोई organisation, India से बाहर की किसी party के साथ contract के तहत, India से बाहर के लोगों का personal data process करती है, तो Act का ज़्यादातर हिस्सा लागू नहीं होता। Security safeguards की duty और processors की ज़िम्मेदारी फिर भी लागू रहती है।
- Section 8(5) · Rule 6: Reasonable security safeguards — data को सुरक्षित रखना. Personal data को reasonable security safeguards से सुरक्षित रखें। Rule 6 में minimum बताया गया है: encryption, masking या tokenisation; access control; logs और monitoring; continuity के लिए backups; logs कम से कम एक साल रखना; और processors के contracts में security terms।
- Section 8(1)–(2): Responsibility of Data Fiduciary — vendor काम करे, ज़िम्मेदारी आपकी. जो organisation तय करती है कि data क्यों और कैसे इस्तेमाल होगा (Data Fiduciary), ज़िम्मेदारी उसी की रहती है, भले ही काम vendor (Data Processor) करे। Processor को सिर्फ़ valid contract के तहत ही लगाया जा सकता है।
Steps
- हर project को इस हिसाब से tag करें कि लोग कहाँ रहते हैं।
- ऐसे mixed projects ढूँढें जिनमें Indian data है।
- Security controls सबके लिए एक जैसे रखें।
- किन contracts में छूट ली जा रही है, यह record करें।
- Project बदलने पर दोबारा review करें।
कौन-सा evidence रखना है
- Projects की tagging
- Contracts की list
आम गलतियाँ
- मान लेना कि client का सारा काम छूट में है
- छूट वाले data के लिए कमज़ोर security
- Global data sets में मिला Indian data न पकड़ पाना
किसकी क्या ज़िम्मेदारी
- DPO / Privacy Lead: Project tagging की ज़िम्मेदारी आपकी है।
- CEO / MD: Exempt काम के लिए कम standards की marketing न करें।
- Legal & Compliance: Exemption के लिए जाँचें कि contract की parties India के बाहर हैं।
- Delivery Head: कोई project Indian data handle करने लगे, तो DPO को बताएँ।
उदाहरण (अंग्रेज़ी में)
An IT company's project for a US client also starts handling an Indian subsidiary's customers. The DPO tags the project as mixed; Indian data follows full DPDP duties.
Management का अच्छा जवाब कैसा होता है
“हर project tag है। Mixed projects में Indian data पर पूरा DPDP लागू होता है, और security हर जगह एक जैसी है।” Effort और समय: Light · 2 से 4 हफ़्ते.
अपनी भूमिका के लिए पूरा पेज खोलें →