क्या personal data भारत के बाहर store या access हो सकता है?
Reviewed by InfraVeritas360 ResearchFirst published Last reviewed
Sources: DPDP Act, 2023 and DPDP Rules, 2025 (MeitY)
यह translated guidance है, legal advice नहीं। Legal terms उनके English नाम के साथ दिए गए हैं। कोई शक हो तो English version और Act का official text ही मान्य है। यह पेज अंग्रेज़ी में पढ़ें
छोटा जवाब: हाँ, जब तक sector rule कुछ और न कहे
DPDP के तहत हाँ, जब तक सरकार किसी देश पर रोक न लगाए। इस page के last review तक किसी देश पर रोक नहीं लगी थी। Sector rule इससे सख्त हो सकता है, जैसे RBI का rule कि payment system data सिर्फ़ भारत में store होगा। विदेश से remote support access भी data के भारत से बाहर जाने में गिना जाता है।
कानून क्या कहता है
Section 16 transfers allow करता है जब तक रोक न हो, और सख्त sector laws को लागू रहने देता है। Rule 15 विदेशी State को data उपलब्ध कराने पर शर्तें जोड़ता है।
- Section 16 · Rule 15: Cross-border transfer — data का India से बाहर जाना. Personal data India से बाहर जा सकता है, जब तक government किसी देश पर रोक न लगाए। अगर कोई sector law या regulator ज़्यादा सख़्त rule रखता है, तो वह लागू रहता है। इस page के आखिरी review तक किसी देश पर रोक नहीं लगी थी।
- Section 8(1)–(2): Responsibility of Data Fiduciary — vendor काम करे, ज़िम्मेदारी आपकी. जो organisation तय करती है कि data क्यों और कैसे इस्तेमाल होगा (Data Fiduciary), ज़िम्मेदारी उसी की रहती है, भले ही काम vendor (Data Processor) करे। Processor को सिर्फ़ valid contract के तहत ही लगाया जा सकता है।
Steps
- हर system कहाँ hosted है और support teams कहाँ से login करती हैं, इसकी list बनाइए।
- Localisation के लिए sector rules check कीजिए।
- Cloud और vendor contracts में location और access की terms डालिए।
- List को update रखिए; नए SaaS tools इसे चुपचाप बदल देते हैं।
- अगर data विदेश जाता है तो notice में लोगों को बताइए।
कौन-सा evidence रखना है
- Hosting और access-location list
- Contract clauses
- Sector rule check
आम गलतियाँ
- Email, CRM और helpdesk SaaS भूल जाना
- विदेश से होने वाले support logins को नज़रअंदाज़ करना
- यह मान लेना कि 'Indian vendor' है तो 'data भारत में' है
किसकी क्या ज़िम्मेदारी
- CISO / Security Head: सिर्फ़ यह न देखें कि servers कहाँ हैं। यह भी देखें कि admins और support staff कहाँ से login करते हैं। Overseas support access भी एक transfer है।
- CIO / IT Head: Departments के खरीदे हुए SaaS tools अक्सर surprise निकलते हैं। Finance से software subscriptions की list माँगें।
- Chief Risk Officer: India से बाहर का हर system या support team record करें, और हर एक को sector के localisation rules से check करें।
- CFO / Finance Head: Check करें कि finance और payroll का SaaS कहाँ hosted है।
- CTO / Engineering Head: पता रखें कि हर service कौन-से regions और support teams इस्तेमाल करती है।
- IT department: Cloud regions और overseas support logins की list बनाएँ, और उसे हमेशा current रखें।
- Finance department: Check करें कि finance और payroll का SaaS कहाँ hosted है।
- Legal department: Sector के localisation rules track करें, और contracts में location clauses जोड़ें।
- Procurement department: हर vendor से पूछें कि data कहाँ hosted है और support staff कहाँ बैठता है।
Management का अच्छा जवाब कैसा होता है
“हमें पता है हर system कहाँ hosted है और विदेश से कौन login करता है। कोई भी sector rule नहीं टूटता।” Effort और समय: हल्का से मध्यम · 4 से 8 हफ़्ते.
अपनी भूमिका के लिए पूरा पेज खोलें →