Foreign clients च्या customers च्या data ला DPDP लागू होतो का?
Reviewed by InfraVeritas360 ResearchFirst published Last reviewed
Sources: DPDP Act, 2023 and DPDP Rules, 2025 (MeitY)
भाषांतरित मार्गदर्शन, legal advice नाही. Legal terms त्यांच्या English नावानेच दिले आहेत. शंका असल्यास English version आणि Act चा official text ग्राह्य धरा. हे पान इंग्रजीत वाचा
थोडक्यात उत्तर: Offshore data साठी बहुतेक exempt; security लागू राहते
बहुतेक वेळा नाही. भारताबाहेरच्या party सोबतच्या contract खाली तुम्ही भारताबाहेरच्या लोकांचा personal data process करत असाल, तर Section 17(1)(d) चे exemption मिळते. Security safeguards आणि तुमच्या processors ची जबाबदारी मात्र लागू राहते. हे exemption तुमचे भारतीय staff, भारतीय customers किंवा त्याच कामात मिसळलेला भारतीय data यांना लागू नाही.
कायदा काय सांगतो
Section 17(1)(d) exemption देतो. Section 8(5) आणि 8(1) तरीही लागू राहतात.
- Section 17(1)(d): Exemptions — परदेशी clients चा data. भारतातील संस्था भारताबाहेरील party सोबतच्या contract अंतर्गत भारताबाहेरील लोकांचा personal data process करत असेल, तर Act चा बहुतांश भाग लागू होत नाही. Security safeguards ची duty आणि processors ची जबाबदारी मात्र लागू राहते.
- Section 8(5) · Rule 6: Reasonable security safeguards — data सुरक्षित ठेवणे. Personal data reasonable security safeguards ने सुरक्षित ठेवा. Rule 6 किमान गोष्टी सांगतो: encryption, masking किंवा tokenisation; access control; logs आणि monitoring; continuity साठी backups; logs किमान एक वर्ष ठेवणे; आणि processors सोबतच्या contracts मध्ये security terms.
- Section 8(1)–(2): Obligations of Data Fiduciary — vendors ची जबाबदारी. Data का आणि कसा वापरायचा हे ठरवणारी संस्था (Data Fiduciary) जबाबदार राहते, काम vendor (Data Processor) करत असला तरीही. Processor ला फक्त valid contract अंतर्गतच काम देता येते.
Steps
- लोक कुठे राहतात त्यानुसार प्रत्येक project tag करा.
- भारतीय data असलेले mixed projects शोधा.
- सगळ्यांसाठी security controls सारखेच ठेवा.
- कोणते contracts exemption वर अवलंबून आहेत ते नोंदवा.
- Projects बदलले की पुन्हा review करा.
ठेवायचा evidence
- Projects चे tagging
- Contracts ची list
नेहमीच्या चुका
- सगळे client work exempt आहे असे मानणे
- Exempt data साठी कमी security
- Global data sets मधला भारतीय data लक्षात न येणे
कोणाची काय जबाबदारी
- DPO / Privacy Lead: Project tagging ची जबाबदारी तुमची आहे.
- CEO / MD: Exempt कामासाठी कमी standards ची marketing करू नका.
- Legal & Compliance: Exemption साठी contract चे parties India बाहेरचे आहेत का, ते तपासा.
- Delivery Head: एखादा project Indian data handle करू लागला, तर DPO ला कळवा.
उदाहरण (इंग्रजीत)
An IT company's project for a US client also starts handling an Indian subsidiary's customers. The DPO tags the project as mixed; Indian data follows full DPDP duties.
Management कडून चांगले उत्तर कसे असते
“प्रत्येक project tag केलेला आहे. Mixed projects मध्ये भारतीय data साठी पूर्ण DPDP पाळला जातो, आणि security सगळीकडे सारखी आहे.” मेहनत आणि वेळ: कमी · 2 ते 4 आठवडे.
तुमच्या भूमिकेसाठी पूर्ण पान उघडा →