Contract workers, gate pass और biometric: उनके data की ज़िम्मेदारी किसकी है?
Reviewed by InfraVeritas360 ResearchFirst published Last reviewed
Sources: DPDP Act, 2023 and DPDP Rules, 2025 (MeitY)
यह translated guidance है, legal advice नहीं। Legal terms उनके English नाम के साथ दिए गए हैं। कोई शक हो तो English version और Act का official text ही मान्य है। यह पेज अंग्रेज़ी में पढ़ें
छोटा जवाब: आपकी, plant पर इस्तेमाल होने वाले data के लिए; agency contract के तहत आपकी तरफ़ से काम करती है
आपके plant पर contract workers का data क्यों लिया जाता है, यह आपकी company तय करती है: gate access, attendance, safety और Labour Codes में माँगे गए records। इसलिए इस data की ज़िम्मेदारी आपकी है, चाहे data manpower agency ले या contractor। Agency के साथ ऐसा contract होना चाहिए जिसमें data की शर्तें लिखी हों। उतना ही data लें जितना gate और क़ानून के लिए ज़रूरी है। Worker के जाने पर biometric template और photo delete कर दें।
कानून क्या कहता है
Section 7 में employment के काम और क़ानूनी duties आती हैं। Section 8(1) के तहत processors के काम की ज़िम्मेदारी भी आपकी रहती है। Section 8(7) कहता है कि purpose पूरा होने पर data delete करना है।
- Section 7: Legitimate uses — consent के बिना allowed uses. कुछ uses के लिए consent ज़रूरी नहीं है: व्यक्ति ने किसी specified purpose के लिए अपनी मर्ज़ी से जो data दिया, कानून के तहत duties, जान के खतरे वाली medical emergency, epidemic के समय health services, disaster के समय safety, और employment के purposes।
- Section 8(1)–(2): Responsibility of Data Fiduciary — vendor काम करे, ज़िम्मेदारी आपकी. जो organisation तय करती है कि data क्यों और कैसे इस्तेमाल होगा (Data Fiduciary), ज़िम्मेदारी उसी की रहती है, भले ही काम vendor (Data Processor) करे। Processor को सिर्फ़ valid contract के तहत ही लगाया जा सकता है।
- Section 8(5) · Rule 6: Reasonable security safeguards — data को सुरक्षित रखना. Personal data को reasonable security safeguards से सुरक्षित रखें। Rule 6 में minimum बताया गया है: encryption, masking या tokenisation; access control; logs और monitoring; continuity के लिए backups; logs कम से कम एक साल रखना; और processors के contracts में security terms।
- Section 8(7) · Rule 8: Erasure and retention — data कब delete करना है. Purpose पूरा होने पर या consent withdraw होने पर personal data delete करें, जब तक कोई कानून उसे रखने को न कहे। अपने processors से भी delete करवाएँ। Rule 8(3) के तहत हर Data Fiduciary को Rules में दिए purposes के लिए personal data, traffic data और logs कम से कम एक साल रखने हैं।
- Section 5 · Rule 3: Notice — consent माँगने से पहले साफ़ जानकारी. Consent माँगते समय एक साफ़ notice दें, जो अपने आप में पूरा हो। उसमें बताएँ: कौन-सा data, किस purpose के लिए, consent कैसे withdraw करें, rights कैसे इस्तेमाल करें, और Data Protection Board को complaint कैसे करें। Act से पहले लिए गए data के लिए भी notice देना है, जितनी जल्दी reasonably practicable हो।
Steps
- हर contract worker का क्या-क्या लिया जाता है, उसकी सूची बनाएँ: ID, photo, biometric, bank details, medical fitness।
- जो gate और Labour Codes के लिए ज़रूरी नहीं, वह लेना बंद करें।
- Enrolment के समय worker की भाषा में छोटा notice दें।
- हर agency और contractor के contract में data schedule जोड़ें।
- Exit पर template और photo delete करें; सिर्फ़ क़ानून में माँगे गए registers रखें।
कौन-सा evidence रखना है
- Enrolment fields की सूची, हर field का कारण
- Local भाषाओं में notice
- Agencies के signed data schedules
- Exit पर deletion log
आम गलतियाँ
- Agencies के पास Aadhaar card की अपनी copies
- सालों पहले गए workers के templates अभी भी पड़े हुए
- Workers की सूचियाँ chat groups पर contractors को भेजना
किसकी क्या ज़िम्मेदारी
- DPO / Privacy Lead: Agency workers भी requests करेंगे। आपके जवाब में agency के records भी शामिल हों।
- CISO / Security Head: Biometric devices और gate servers, plant control networks से अलग हों, और vendor logins नाम से हों।
- HR Head: Contract workers का enrolment एक HR system में करें, हर agency की अलग spreadsheet में नहीं।
- Legal & Compliance: सभी agencies और contractors के लिए एक data schedule से महीनों बचते हैं।
- Operations Head: Agency क्या करती है, यह gate और shift teams पहले देखती हैं। जो copies और lists नहीं होनी चाहिए, उनकी report करें।
- Plant Head / Factory Manager: Data आपके gate पर ही लिया जाता है। हर महीने notice, device और exit clean-up check करें।
- Procurement department: हर नए labour contract में यह schedule डालें।
उदाहरण (अंग्रेज़ी में)
A chemical plant's agency enrols 300 contract workers for a shutdown. Workers get a notice at the gate, the agency signs the data schedule, and when the shutdown ends, fingerprints and gate photos are deleted within a month while the registers the Labour Codes require are kept.
Management का अच्छा जवाब कैसा होता है
“हर contract worker को enrolment पर notice मिलता है। Agencies हमारे data schedule पर sign करती हैं। Exit के एक महीने के अंदर templates और photos delete होते हैं, और logs में यह दिखता है।” Effort और समय: मध्यम · सभी plants में 8 से 12 हफ़्ते.
अपनी भूमिका के लिए पूरा पेज खोलें →