आम्हाला Data Protection Impact Assessment करावा लागेल का?
Reviewed by InfraVeritas360 ResearchFirst published Last reviewed
Sources: DPDP Act, 2023 and DPDP Rules, 2025 (MeitY)
भाषांतरित मार्गदर्शन, legal advice नाही. Legal terms त्यांच्या English नावानेच दिले आहेत. शंका असल्यास English version आणि Act चा official text ग्राह्य धरा. हे पान इंग्रजीत वाचा
थोडक्यात उत्तर: फक्त SDFs ना बंधनकारक; high-risk बदलांसाठी चांगली पद्धत
कायद्याने फक्त Significant Data Fiduciaries नी दरवर्षी impact assessment करायचा आहे. इतरांसाठी high-risk बदलांसाठी ही चांगली पद्धत आहे: नवीन tracking, profiling, मोठ्या प्रमाणात data sharing, children's data किंवा data परदेशात नेणे. बदलाआधी केलेला छोटा assessment नंतरच्या दुरुस्तीपेक्षा स्वस्त पडतो.
कायदा काय सांगतो
Section 10 आणि Rule 13 नुसार Significant Data Fiduciaries ना दरवर्षी impact assessment करायचा आहे.
- Section 10 · Rule 13: Significant Data Fiduciary — जास्तीच्या जबाबदाऱ्या. Data चे प्रमाण, त्याची sensitivity आणि त्यातील risk पाहून सरकार काही संस्थांना Significant Data Fiduciary म्हणून notify करू शकते. त्यांना भारतात असलेला DPO, independent data auditor, आणि दरवर्षी impact assessment व audit लागतो. हे पान शेवटचे review झाले तेव्हा एकही संस्था notify झालेली नव्हती.
- Section 9 · Rules 10, 12: Processing of children's data — मुलांचा data. 18 वर्षांखालील कोणाच्याही बाबतीत parent किंवा lawful guardian चा verifiable consent घ्या. मुलांचे tracking, behavioural monitoring किंवा त्यांना target करून advertising करू नका. Rule 12 आणि Fourth Schedule काही classes आणि purposes ना सूट देतात. उदा. मुलाच्या आरोग्याच्या रक्षणासाठी आवश्यक तेवढ्या मर्यादेत clinical establishments आणि healthcare professionals.
- Section 16 · Rule 15: Transfer outside India — data भारताबाहेर पाठवणे. सरकारने एखाद्या देशावर निर्बंध घातले नसतील, तर personal data भारताबाहेर जाऊ शकतो. एखादा sector law किंवा regulator यापेक्षा कडक नियम लावत असेल, तर तो लागू राहतोच. हे पान शेवटचे review झाले तेव्हा कोणत्याही देशावर निर्बंध नव्हते.
Steps
- तुमच्यासाठी high-risk बदल कोणता, ते ठरवा.
- दोन पानांचा template वापरा.
- Data, purpose, risks आणि safeguards नोंदवा.
- Approval आधी DPO चे मत घ्या.
- तो project record सोबत ठेवा.
ठेवायचा evidence
- Assessment template
- पूर्ण केलेले assessments
- DPO ची मते
नेहमीच्या चुका
- Launch नंतरचे paperwork म्हणून पाहणे
- कोणीच पूर्ण न करणारा 40 पानांचा template
- Trigger list नाही
कोणाची काय जबाबदारी
- Chief Compliance Officer: तुम्ही SDF नसलात, तरी high-risk changes साठी impact assessments वापरा.
- CTO / Engineering Head: High-risk features साठी assessment build च्या आधी हवे, launch नंतर नाही.
- Data & Analytics Head: Profiling आणि automated decisions साठी assessment करायलाच हवे.
- Product Head: लोकांचे profiling किंवा tracking करणाऱ्या नव्या features साठी assessment लागते.
- Data आणि analytics विभाग: Profiling चे assessment करा.
उदाहरण (इंग्रजीत)
A hospital plans to share imaging with a research partner abroad. A two-page assessment records the data, purpose, transfer and safeguards, and the DPO asks for de-identification first.
Management कडून चांगले उत्तर कसे असते
“High-risk बदलांचा आम्ही approval आधी छोट्या template ने assessment करतो, आणि DPO sign-off करतो.” मेहनत आणि वेळ: प्रत्येक बदलासाठी कमी.
तुमच्या भूमिकेसाठी पूर्ण पान उघडा →