Hazardous process वाले workers के medical records: कौन देख सकता है, कब तक रखें?
Reviewed by InfraVeritas360 ResearchFirst published Last reviewed
Sources: DPDP Act, 2023 and DPDP Rules, 2025 (MeitY)
यह translated guidance है, legal advice नहीं। Legal terms उनके English नाम के साथ दिए गए हैं। कोई शक हो तो English version और Act का official text ही मान्य है। यह पेज अंग्रेज़ी में पढ़ें
छोटा जवाब: Worker, medical team और inspectors; बाकी लोगों को सिर्फ़ fitness का फ़ैसला
OSH Code के तहत hazardous process में काम करने वाले workers का pre-employment, periodic और post-exposure medical check-up होता है। इनके health records रखना ज़रूरी है, और worker तथा inspectors इन्हें देख सकते हैं। ये records medical centre या occupational health team के पास ही रखें। HR और supervisors को सिर्फ़ fitness का फ़ैसला चाहिए। Records उतने समय रखें जितना Code और state rules कहते हैं। उसके बाद destroy करें और इसका log रखें।
कानून क्या कहता है
Section 7 में क़ानूनी duties और employment के काम आते हैं, इसलिए medical check-up के लिए consent नहीं चाहिए। Section 8(5) मज़बूत safeguards माँगता है। Section 11 के तहत worker अपने data का summary माँग सकता है।
- Section 7: Legitimate uses — consent के बिना allowed uses. कुछ uses के लिए consent ज़रूरी नहीं है: व्यक्ति ने किसी specified purpose के लिए अपनी मर्ज़ी से जो data दिया, कानून के तहत duties, जान के खतरे वाली medical emergency, epidemic के समय health services, disaster के समय safety, और employment के purposes।
- Section 8(5) · Rule 6: Reasonable security safeguards — data को सुरक्षित रखना. Personal data को reasonable security safeguards से सुरक्षित रखें। Rule 6 में minimum बताया गया है: encryption, masking या tokenisation; access control; logs और monitoring; continuity के लिए backups; logs कम से कम एक साल रखना; और processors के contracts में security terms।
- Section 8(7) · Rule 8: Erasure and retention — data कब delete करना है. Purpose पूरा होने पर या consent withdraw होने पर personal data delete करें, जब तक कोई कानून उसे रखने को न कहे। अपने processors से भी delete करवाएँ। Rule 8(3) के तहत हर Data Fiduciary को Rules में दिए purposes के लिए personal data, traffic data और logs कम से कम एक साल रखने हैं।
- Sections 11–14 · Rule 14: Rights of Data Principal — लोगों के rights. लोग अपने data का summary माँग सकते हैं, और यह भी कि data किसके साथ share हुआ। वे correction, completion, updating या erasure माँग सकते हैं, complaint कर सकते हैं, और अपनी जगह काम करने के लिए किसी को nominate कर सकते हैं। यह सब कैसे करना है, आपको publish करना होगा।
- Section 8(1)–(2): Responsibility of Data Fiduciary — vendor काम करे, ज़िम्मेदारी आपकी. जो organisation तय करती है कि data क्यों और कैसे इस्तेमाल होगा (Data Fiduciary), ज़िम्मेदारी उसी की रहती है, भले ही काम vendor (Data Processor) करे। Processor को सिर्फ़ valid contract के तहत ही लगाया जा सकता है।
Steps
- Health records कहाँ-कहाँ पड़े हैं, उसकी सूची बनाएँ: medical centre, outsourced clinic, HR files, contractor files।
- सारे results medical team के पास ले जाएँ; HR को सिर्फ़ fit, unfit या restricted का note दें।
- Access नाम से दें, और हर बार record खुलने का log रखें।
- Worker को अपना record देखने का आसान तरीका दें।
- Code और state rules के हिसाब से retention तय करें, और schedule पर destroy करें।
कौन-सा evidence रखना है
- Records कहाँ रखे हैं, उसकी सूची
- Access list और logs
- Fitness note का format
- Retention schedule और destruction log
आम गलतियाँ
- HR की personal files में blood और lung test के results
- Outsourced clinic के पास records, पर कोई contract नहीं
- Contract workers के results सिर्फ़ agency के पास
किसकी क्या ज़िम्मेदारी
- DPO / Privacy Lead: Health record leak होने पर सबसे ज़्यादा नुकसान worker का होता है। इसे priority breach मानें।
- CISO / Security Head: Occupational health system में हर user का अपना नाम वाला account हो, logs रहें, और backups encrypted हों।
- HR Head: Medical results HR files से निकालें। सिर्फ़ fitness note रखें।
- Legal & Compliance: Code और state rules से retention period लेकर schedule में लिखें।
- Operations Head: Supervisors को यह जानना है कि कौन काम के लिए fit है, यह नहीं कि क्यों। Report नहीं, note माँगें।
- Plant Head / Factory Manager: Medical centre आपके plant में है। देखें कि keys और logins किसके पास हैं।
- Procurement department: Outsourced clinics और labs के लिए data schedule ज़रूरी है।
उदाहरण (अंग्रेज़ी में)
A worker in a hazardous process asks for his lung test results. The medical centre gives him a copy within a week. His supervisor had only ever seen a 'fit with restrictions' note, and the access log shows no one outside the medical team opened the record.
Management का अच्छा जवाब कैसा होता है
“Health records medical team के पास रहते हैं। Access नाम से है और logs रखे जाते हैं। HR को सिर्फ़ fitness notes दिखते हैं। Workers अपने records देख सकते हैं, और contract workers के records भी इसी तरह रखे जाते हैं।” Effort और समय: मध्यम · 6 से 10 हफ़्ते.
अपनी भूमिका के लिए पूरा पेज खोलें →