PSU के townships, hospitals और schools: क्या लागू होता है?
Reviewed by InfraVeritas360 ResearchFirst published Last reviewed
Sources: DPDP Act, 2023 and DPDP Rules, 2025 (MeitY)
यह translated guidance है, legal advice नहीं। Legal terms उनके English नाम के साथ दिए गए हैं। कोई शक हो तो English version और Act का official text ही मान्य है। यह पेज अंग्रेज़ी में पढ़ें
छोटा जवाब: हाँ, हर service पर पूरी duties
इनके पास residents, patients और students का data होता है। हर एक के लिए notice, access limits और retention चाहिए। PSU hospital के records medical record rules के हिसाब से चलते हैं। School records में बच्चों का data हो सकता है। वहाँ educational institutions और healthcare के लिए Fourth Schedule की छूट कुछ purposes पर लागू हो सकती है।
कानून क्या कहता है
Sections 5, 8(5), 8(7) और 9 हर service पर लागू होते हैं।
- Section 5 · Rule 3: Notice — consent माँगने से पहले साफ़ जानकारी. Consent माँगते समय एक साफ़ notice दें, जो अपने आप में पूरा हो। उसमें बताएँ: कौन-सा data, किस purpose के लिए, consent कैसे withdraw करें, rights कैसे इस्तेमाल करें, और Data Protection Board को complaint कैसे करें। Act से पहले लिए गए data के लिए भी notice देना है, जितनी जल्दी reasonably practicable हो।
- Section 8(5) · Rule 6: Reasonable security safeguards — data को सुरक्षित रखना. Personal data को reasonable security safeguards से सुरक्षित रखें। Rule 6 में minimum बताया गया है: encryption, masking या tokenisation; access control; logs और monitoring; continuity के लिए backups; logs कम से कम एक साल रखना; और processors के contracts में security terms।
- Section 9 · Rules 10, 12: Children's data — बच्चों का data. 18 साल से कम उम्र के किसी भी व्यक्ति के लिए माता-पिता या lawful guardian का verifiable consent लें। बच्चों को track न करें, उनकी behavioural monitoring न करें, और उन्हें target करके advertising न दिखाएँ। Rule 12 और Fourth Schedule कुछ classes और purposes को छूट देते हैं। जैसे clinical establishments और healthcare professionals को, उतनी हद तक जितना बच्चे की health बचाने के लिए ज़रूरी हो।
- Section 8(7) · Rule 8: Erasure and retention — data कब delete करना है. Purpose पूरा होने पर या consent withdraw होने पर personal data delete करें, जब तक कोई कानून उसे रखने को न कहे। अपने processors से भी delete करवाएँ। Rule 8(3) के तहत हर Data Fiduciary को Rules में दिए purposes के लिए personal data, traffic data और logs कम से कम एक साल रखने हैं।
Steps
- Township की उन services की list बनाएँ जिनके पास personal data है।
- हर service को notice दें।
- Medical records पर access सीमित करें।
- Schools के लिए बच्चों के data के rules check करें।
- Retention तय करें।
कौन-सा evidence रखना है
- Services की list
- हर service के notices
- Access settings
आम गलतियाँ
- Township के PCs पर कोई security नहीं
- Medical records HR को दिखना
- School data के लिए parents को कोई notice नहीं
किसकी क्या ज़िम्मेदारी
- CISO / Security Head: Township systems को central control में लाएँ।
- HR Head: Medical records को HR records से अलग रखें।
- Unit / Plant / Region Head: ये services आपकी unit में आती हैं।
- Administration department: Township offices आपकी ज़िम्मेदारी हैं।
उदाहरण (अंग्रेज़ी में)
A steel PSU lists its township services: hospital, school, housing, canteen. Each gets a short notice, its own access list and a retention period.
Management का अच्छा जवाब कैसा होता है
“Township की हर service का notice है, access सीमित है, और retention period तय है।” Effort और समय: Medium.
अपनी भूमिका के लिए पूरा पेज खोलें →