DPDP को risk register में कैसे डालें?
Reviewed by InfraVeritas360 ResearchFirst published Last reviewed
Sources: DPDP Act, 2023 and DPDP Rules, 2025 (MeitY)
यह translated guidance है, legal advice नहीं। Legal terms उनके English नाम के साथ दिए गए हैं। कोई शक हो तो English version और Act का official text ही मान्य है। यह पेज अंग्रेज़ी में पढ़ें
छोटा जवाब: हर duty की एक line, owner और evidence के साथ
हर duty को एक risk line बनाइए, जिसमें owner, control, evidence और review date हो। जो controls आप पहले से अपने regulator, auditors या certifications के लिए चलाते हैं, उन्हें map कीजिए, ताकि वही evidence कई कामों में आए। Vendor risk अलग से track कीजिए।
कानून क्या कहता है
Act Sections 5 से 12 में duties तय करता है। Risk register management को दिखाता है कि हर duty कहाँ खड़ी है।
- Section 8(1)–(2): Responsibility of Data Fiduciary — vendor काम करे, ज़िम्मेदारी आपकी. जो organisation तय करती है कि data क्यों और कैसे इस्तेमाल होगा (Data Fiduciary), ज़िम्मेदारी उसी की रहती है, भले ही काम vendor (Data Processor) करे। Processor को सिर्फ़ valid contract के तहत ही लगाया जा सकता है।
- Section 8(5) · Rule 6: Reasonable security safeguards — data को सुरक्षित रखना. Personal data को reasonable security safeguards से सुरक्षित रखें। Rule 6 में minimum बताया गया है: encryption, masking या tokenisation; access control; logs और monitoring; continuity के लिए backups; logs कम से कम एक साल रखना; और processors के contracts में security terms।
- Section 8(6) · Rule 7: Data Breach intimation — लोगों और Board को बताना. Personal data breach का पता चलते ही हर प्रभावित व्यक्ति और Data Protection Board को बिना देरी बताएँ। Board को 72 घंटे के अंदर detailed report भेजें, या request करने पर Board जो लंबा समय दे, उसके अंदर।
- Section 10 · Rule 13: Significant Data Fiduciary — ज़्यादा duties वाली organisations. Government data की मात्रा, उसकी sensitivity और risk के आधार पर कुछ organisations को Significant Data Fiduciary notify कर सकती है। इन्हें India में based DPO, एक independent data auditor, और हर साल impact assessment और audit चाहिए। इस page के आखिरी review तक किसी को notify नहीं किया गया था।
Steps
- आप पर लागू होने वाली duties की list बनाइए।
- हर एक के लिए सीधी भाषा में risk, control और owner लिखिए।
- मौजूदा controls और audits को evidence के रूप में link कीजिए।
- Likelihood और impact अपने usual तरीके से rate कीजिए।
- हर quarter management के साथ review कीजिए।
कौन-सा evidence रखना है
- Risk register extract
- Linked evidence
- Quarterly review minutes
आम गलतियाँ
- एक ही line: 'DPDP compliance'
- कोई owners नहीं
- Evidence के नाम पर सिर्फ़ policy document
किसकी क्या ज़िम्मेदारी
- Chief Risk Officer: DPDP को अलग-अलग duties में तोड़ें। 'DPDP compliance' नाम की एक line यह छिपा देती है कि risk असल में कहाँ है।
- Internal Audit Head: Check करें कि हर DPDP line के पीछे ऐसा control है जिसे सच में test किया जा सके।
- Chief Compliance Officer: हर DPDP duty को अपने compliance calendar से जोड़ें।
- Internal Audit department: हर control test करें।
Management का अच्छा जवाब कैसा होता है
“DPDP हमारे risk register में अलग-अलग duties के रूप में है, हर एक का owner, control और evidence है, और हर quarter review होता है।” Effort और समय: हल्का · 2 से 4 हफ़्ते.
अपनी भूमिका के लिए पूरा पेज खोलें →