Personal data कितने समय तक रख सकते हैं?
Reviewed by InfraVeritas360 ResearchFirst published Last reviewed
Sources: DPDP Act, 2023 and DPDP Rules, 2025 (MeitY)
यह translated guidance है, legal advice नहीं। Legal terms उनके English नाम के साथ दिए गए हैं। कोई शक हो तो English version और Act का official text ही मान्य है। यह पेज अंग्रेज़ी में पढ़ें
छोटा जवाब: कानूनी या business अवधि तक, फिर delete
Data तब तक रखिए जब तक उसके purpose को ज़रूरत है, या कोई कानून जितना कहे, फिर delete कीजिए। Rule 8(3) के तहत हर organisation को personal data और logs कम से कम एक साल रखने हैं। Record type के हिसाब से retention schedule लिखिए, और हर अवधि के सामने कानून या वजह लिखिए।
कानून क्या कहता है
Section 8(7) कहता है कि purpose पूरा होने पर data delete हो, जब तक कोई कानून retention न माँगे। Rule 8(3) personal data, traffic data और logs के लिए कम से कम एक साल तय करता है।
- Section 8(7) · Rule 8: Erasure and retention — data कब delete करना है. Purpose पूरा होने पर या consent withdraw होने पर personal data delete करें, जब तक कोई कानून उसे रखने को न कहे। अपने processors से भी delete करवाएँ। Rule 8(3) के तहत हर Data Fiduciary को Rules में दिए purposes के लिए personal data, traffic data और logs कम से कम एक साल रखने हैं।
- Section 8(5) · Rule 6: Reasonable security safeguards — data को सुरक्षित रखना. Personal data को reasonable security safeguards से सुरक्षित रखें। Rule 6 में minimum बताया गया है: encryption, masking या tokenisation; access control; logs और monitoring; continuity के लिए backups; logs कम से कम एक साल रखना; और processors के contracts में security terms।
Steps
- आपके पास जो record types हैं, उनकी list बनाइए।
- हर एक की अवधि लिखिए, साथ में कानून, regulator का rule या business वजह।
- अवधि कब से गिनी जाएगी, यह तय कीजिए: relationship खत्म होने से, transaction की तारीख से, exit date से।
- जहाँ हो सके deletion automate कीजिए; paper के लिए shredding schedule कीजिए।
- Deletion log रखिए।
कौन-सा evidence रखना है
- Legal से approved retention schedule
- Deletion log
- Shredding या disposal certificates
आम गलतियाँ
- Storage सस्ता है, तो 'सब कुछ हमेशा के लिए रखो'
- कानूनी minimum से पहले delete कर देना
- Email, shared drives और backups भूल जाना
किसकी क्या ज़िम्मेदारी
- DPO / Privacy Lead: Schedule का draft आप बनाएँ, लेकिन Legal और हर department head से उनकी rows sign करवाएँ। आपका काम यह पक्का करना है कि deletion सच में हो।
- HR Head: Ex-employees की files अक्सर जमा होती रहती हैं। हर record type के लिए labour-law minimums के साथ एक अवधि तय करें, और उसके बाद delete करें।
- Internal Audit Head: एक record type चुनें और check करें कि deletion सच में चली या नहीं।
- CFO / Finance Head: Tax और audit की अवधि अक्सर सबसे लंबी होती है। पक्का करें कि finance records उतने समय रहें और फिर हटें।
- Data और Analytics Head: Analytics copies अक्सर source से ज़्यादा समय तक रह जाती हैं। उनकी अपनी अवधि तय करें।
- Administration department: Visitor registers, gate passes और paper files के लिए एक अवधि और shredding की तारीख चाहिए।
- HR department: Candidates, employees और ex-employees के records के लिए अवधि तय करें।
- Finance department: Tax और audit rules कुछ records सालों तक रखने को कहते हैं। उनकी list बनाएँ, ताकि वे रखे जाएँ और बाकी delete हो जाएँ।
- Internal Audit department: एक deletion run check करें।
- Data और analytics department: Analytics copies की भी अवधि तय हो।
- Facilities और physical security department: Visitor registers और footage की अवधि।
- Records और archives department: Schedule और destruction log आपकी ज़िम्मेदारी है।
Management का अच्छा जवाब कैसा होता है
“हमारा एक retention schedule है, Legal से approved. Deletion उसी पर चलता है, और हम log दिखा सकते हैं।” Effort और समय: मध्यम · 8 से 12 हफ़्ते.
अपनी भूमिका के लिए पूरा पेज खोलें →