क्या हम Significant Data Fiduciary बन सकते हैं?
Reviewed by InfraVeritas360 ResearchFirst published Last reviewed
Sources: DPDP Act, 2023 and DPDP Rules, 2025 (MeitY)
यह translated guidance है, legal advice नहीं। Legal terms उनके English नाम के साथ दिए गए हैं। कोई शक हो तो English version और Act का official text ही मान्य है। यह पेज अंग्रेज़ी में पढ़ें
छोटा जवाब: सिर्फ़ notification से; अभी तक कोई notify नहीं
किसी organisation या organisations की class को Significant Data Fiduciary सिर्फ़ सरकार notify कर सकती है। आधार होता है data की मात्रा और sensitivity, और लोगों या State के लिए risk. इस page के last review तक कोई notify नहीं हुआ था। जिनके पास बड़ी मात्रा में sensitive data है, उन्हें ऐसे plan करना चाहिए जैसे यह हो सकता है।
कानून क्या कहता है
Section 10 और Rule 13 extra duties तय करते हैं: भारत में DPO, एक independent data auditor, हर साल Data Protection Impact Assessment और audit, और algorithms की जाँच। Rule 13(4) सरकार को कुछ data को भारत से बाहर जाने से रोकने देता है।
- Section 10 · Rule 13: Significant Data Fiduciary — ज़्यादा duties वाली organisations. Government data की मात्रा, उसकी sensitivity और risk के आधार पर कुछ organisations को Significant Data Fiduciary notify कर सकती है। इन्हें India में based DPO, एक independent data auditor, और हर साल impact assessment और audit चाहिए। इस page के आखिरी review तक किसी को notify नहीं किया गया था।
- Section 16 · Rule 15: Cross-border transfer — data का India से बाहर जाना. Personal data India से बाहर जा सकता है, जब तक government किसी देश पर रोक न लगाए। अगर कोई sector law या regulator ज़्यादा सख़्त rule रखता है, तो वह लागू रहता है। इस page के आखिरी review तक किसी देश पर रोक नहीं लगी थी।
Steps
- अंदाज़ा लगाइए कि आपके पास कितने लोगों का data है और वह कितना sensitive है।
- आपके data का कोई public या security role हो तो note कीजिए।
- अगर आप likely candidate हैं, तो इसी साल एक trial impact assessment कीजिए।
- ऐसा auditor पहचानिए जिसे आप appoint कर सकें।
- MeitY notifications पर नज़र रखिए।
कौन-सा evidence रखना है
- Volume और sensitivity note
- Trial impact assessment
- Board note
आम गलतियाँ
- 'Notify नहीं हुए' को 'कभी नहीं होंगे' मान लेना
- शुरू करने के लिए notification का इंतज़ार करना
- यह सोचना कि सिर्फ़ tech companies notify होंगी
किसकी क्या ज़िम्मेदारी
- CEO / MD: Management से एक छोटा note माँगें: क्या आप notify हो सकते हैं, और तैयार होने के लिए क्या करना होगा।
- Director: पूछें कि क्या Management ने notification की संभावना का आकलन किया है। जिनके पास बड़ा या sensitive data है, उनकी इस पर एक राय होनी चाहिए।
- Chief Risk Officer: Notification को register में एक scenario की तरह रखें, trigger और owner के साथ।
- CFO / Finance Head: अगर notification हो सकता है, तो auditor और सालाना assessment हर साल का खर्च बन जाते हैं।
- Company Secretary: अगर notify हुए, तो board को हर साल impact assessment और audit देखना होगा।
Management का अच्छा जवाब कैसा होता है
“हमने अपना exposure estimate कर लिया है। अगर notify हुए, तो कुछ हफ़्तों में DPO और auditor appoint कर सकते हैं, क्योंकि बुनियादी काम हो चुका है।” Effort और समय: मध्यम, अगर आप likely candidate हैं.
अपनी भूमिका के लिए पूरा पेज खोलें →