Consent कधी लागते, आणि legitimate use वर कधी चालते?
Reviewed by InfraVeritas360 ResearchFirst published Last reviewed
Sources: DPDP Act, 2023 and DPDP Rules, 2025 (MeitY)
भाषांतरित मार्गदर्शन, legal advice नाही. Legal terms त्यांच्या English नावानेच दिले आहेत. शंका असल्यास English version आणि Act चा official text ग्राह्य धरा. हे पान इंग्रजीत वाचा
थोडक्यात उत्तर: वापरावर अवलंबून; बहुतेक organisations ना दोन्ही लागतात
Personal data च्या प्रत्येक वापरासाठी एक basis हवा: consent, किंवा Section 7 मधला एखादा legitimate use. उदा. कायद्याने दिलेली जबाबदारी, employment, medical emergency, किंवा व्यक्तीने एखाद्या specific purpose साठी स्वतःहून दिलेला data. व्यक्तीच्या अपेक्षेबाहेरच्या गोष्टींसाठी, जसे marketing, profiling किंवा partners सोबत sharing, साधारणपणे consent लागते.
कायदा काय सांगतो
Section 4 नुसार processing फक्त consent ने किंवा legitimate use साठीच करता येते. Valid consent कशी असावी हे Section 6 सांगते. Consent न लागणारे uses Section 7 मध्ये दिले आहेत.
- Section 4: Grounds for processing — data कधी वापरता येतो. Personal data फक्त lawful purpose साठीच process करता येतो. त्यासाठी एकतर त्या व्यक्तीचा consent हवा, किंवा Section 7 मधील legitimate uses पैकी एखादा आधार हवा.
- Section 6: Consent — वैध consent कसा असावा. Consent free, specific, informed, unconditional आणि unambiguous असावा. तो clear action ने दिलेला असावा. Purpose साठी आवश्यक तेवढ्याच data पुरता मर्यादित असावा. तो देणे जितके सोपे, तितकेच withdraw करणेही सोपे असावे.
- Section 7: Legitimate uses — consent शिवाय वापर. काही वापरांसाठी consent लागत नाही: व्यक्तीने specified purpose साठी स्वतःहून दिलेला data, कायद्याखालील duties, जीवाला धोका असलेली medical emergency, epidemic च्या काळात health services, disaster च्या वेळी सुरक्षितता, आणि employment चे purposes.
Steps
- Personal data कोणकोणत्या purposes साठी वापरता, त्यांची यादी करा.
- प्रत्येक purpose समोर basis लिहा: consent, की Section 7 मधला नेमका clause.
- जिथे basis consent आहे, तिथे ती वेगळी मागितली होती का, clear action ने दिली होती का, आणि box आधीच tick केलेला नव्हता ना, हे तपासा.
- ज्या purpose ला basis नाही, तो थांबवा किंवा त्याचे papers नव्याने करा.
- नवीन product, campaign किंवा system सुरू होईल तेव्हा ही यादी पुन्हा तपासा.
ठेवायचा evidence
- Purpose आणि basis register
- Consent records, तारीख, version आणि channel सह
- प्रत्येक legitimate use साठी Legal sign-off
नेहमीच्या चुका
- Account terms लाच marketing consent मानणे
- अनेक purposes एकाच tick-box मध्ये
- 'Legitimate interest' वर अवलंबून राहणे; भारतीय Act मध्ये तो नाहीच
कोणाची काय जबाबदारी
- DPO / Privacy Lead: Purpose-and-basis register तुम्ही स्वतः बनवा, rows प्रत्येक team भरत असली तरी. ‘माझा data का वापरला?’ असे कोणी विचारले, तर हे register च तुमचे उत्तर असते.
- Legal & Compliance: प्रत्येक purpose चा basis लिहा आणि तो register सोबत ठेवा. जिथे Section 7 वर अवलंबून आहात, तिथे नेमका clause cite करा.
- Branch / Business Head: तुमच्या area मधल्या कोणत्या वापरांना consent लागते आणि कोणत्यांना नाही, हे माहीत ठेवा, म्हणजे staff सोपे उत्तर देऊ शकेल.
- Chief Compliance Officer: प्रत्येक purpose ला लेखी basis आहे का, ते तपासा.
- Data & Analytics Head: ज्या data चा basis त्या वापराला cover करतो, तोच data तुमच्या models ना वापरता येतो.
- Product Head: वेगवेगळ्या purposes साठी वेगळे boxes, आणि आधीच tick केलेले कधीच नाहीत.
- Marketing Head (CMO): Marketing consent वेगळी, channel नुसार मागा.
- Marketing विभाग: Marketing consent वेगळी मागा, आणि तिची नोंद date आणि version सह ठेवा.
- Legal विभाग: प्रत्येक purpose चा legal basis नेमक्या clause सह नोंदवा.
- Sales विभाग: Visiting card म्हणजे campaigns साठी consent नाही.
- Data आणि analytics विभाग: ज्याचा basis त्या वापराला cover करतो, तोच data वापरा.
Management कडून चांगले उत्तर कसे असते
“प्रत्येक purpose ला लिखित basis आहे. Marketing आणि partner sharing फक्त वेगळ्या consent वरच चालते, आणि कोणत्याही customer चा record आम्ही काही मिनिटांत काढून दाखवू शकतो.” मेहनत आणि वेळ: मध्यम · 6 ते 10 आठवडे.
तुमच्या भूमिकेसाठी पूर्ण पान उघडा →