Hazardous process मधील कामगारांचे medical records: कोण पाहू शकतो, किती काळ ठेवायचे?
Reviewed by InfraVeritas360 ResearchFirst published Last reviewed
Sources: DPDP Act, 2023 and DPDP Rules, 2025 (MeitY)
भाषांतरित मार्गदर्शन, legal advice नाही. Legal terms त्यांच्या English नावानेच दिले आहेत. शंका असल्यास English version आणि Act चा official text ग्राह्य धरा. हे पान इंग्रजीत वाचा
थोडक्यात उत्तर: कामगार, medical team आणि inspectors; इतरांना फक्त fitness चा निर्णय
OSH Code नुसार hazardous process मध्ये काम करणाऱ्या कामगारांची pre-employment, periodic आणि post-exposure medical check-up होते. त्यांचे health records ठेवणे बंधनकारक आहे, आणि कामगार व inspectors ते पाहू शकतात. हे records medical centre किंवा occupational health team कडेच ठेवा. HR आणि supervisors ना फक्त fitness चा निर्णय लागतो. Code आणि state rules सांगतात तेवढा काळ records ठेवा. नंतर नष्ट करा आणि त्याचा log ठेवा.
कायदा काय सांगतो
Section 7 मध्ये कायद्याने आलेली कर्तव्ये आणि नोकरीशी संबंधित कामे येतात, म्हणून medical check-up साठी consent लागत नाही. Section 8(5) मजबूत safeguards मागतो. Section 11 नुसार कामगार स्वतःच्या data चा summary मागू शकतो.
- Section 7: Legitimate uses — consent शिवाय वापर. काही वापरांसाठी consent लागत नाही: व्यक्तीने specified purpose साठी स्वतःहून दिलेला data, कायद्याखालील duties, जीवाला धोका असलेली medical emergency, epidemic च्या काळात health services, disaster च्या वेळी सुरक्षितता, आणि employment चे purposes.
- Section 8(5) · Rule 6: Reasonable security safeguards — data सुरक्षित ठेवणे. Personal data reasonable security safeguards ने सुरक्षित ठेवा. Rule 6 किमान गोष्टी सांगतो: encryption, masking किंवा tokenisation; access control; logs आणि monitoring; continuity साठी backups; logs किमान एक वर्ष ठेवणे; आणि processors सोबतच्या contracts मध्ये security terms.
- Section 8(7) · Rule 8: Erasure and retention — data delete करणे आणि ठेवणे. Purpose संपला किंवा consent withdraw झाला की personal data delete करा. एखाद्या कायद्याने तो ठेवणे बंधनकारक असेल, तर तेवढा अपवाद. तुमच्या processors कडूनही तो delete करून घ्या. Rule 8(3) नुसार प्रत्येक Data Fiduciary ने Rules मध्ये दिलेल्या purposes साठी personal data, traffic data आणि logs किमान एक वर्ष ठेवायचे आहेत.
- Sections 11–14 · Rule 14: Rights of Data Principal — लोकांचे हक्क. लोक त्यांच्या data चा summary आणि तो कोणासोबत share झाला ते मागू शकतात. Correction, completion, updating किंवा erasure मागू शकतात, complaint करू शकतात, आणि त्यांच्या वतीने काम करण्यासाठी कोणालातरी nominate करू शकतात. हे कसे करायचे ते तुम्ही publish करायला हवे.
- Section 8(1)–(2): Obligations of Data Fiduciary — vendors ची जबाबदारी. Data का आणि कसा वापरायचा हे ठरवणारी संस्था (Data Fiduciary) जबाबदार राहते, काम vendor (Data Processor) करत असला तरीही. Processor ला फक्त valid contract अंतर्गतच काम देता येते.
Steps
- Health records कुठे कुठे आहेत, त्याची यादी करा: medical centre, बाहेरचे clinic, HR च्या files, contractor कडच्या files.
- सगळे निकाल medical team कडे न्या; HR ला फक्त fit, unfit किंवा restricted असा note द्या.
- Access नावाने द्या, आणि प्रत्येक वेळी record उघडल्याचा log ठेवा.
- कामगाराला स्वतःचा record पाहण्याचा सोपा मार्ग द्या.
- Code आणि state rules नुसार retention ठरवा, आणि schedule प्रमाणे नष्ट करा.
ठेवायचा evidence
- Records कुठे आहेत त्याची यादी
- Access list आणि logs
- Fitness note चा format
- Retention schedule आणि destruction log
नेहमीच्या चुका
- HR च्या personal files मध्ये blood आणि lung test चे निकाल
- बाहेरच्या clinic कडे records, पण contract नाही
- Contract workers चे निकाल फक्त agency कडे
कोणाची काय जबाबदारी
- DPO / Privacy Lead: Health record leak झाला तर सर्वात जास्त नुकसान worker चे होते. याला priority breach माना.
- CISO / Security Head: Occupational health system मध्ये प्रत्येकाचे नावाने account, logs आणि encrypted backups असावेत.
- HR Head: Medical results HR files मधून काढा. फक्त fitness note ठेवा.
- Legal & Compliance: Code आणि state rules मधून retention period घेऊन schedule मध्ये लिहा.
- Operations Head: Supervisors ना कोण कामासाठी fit आहे हे कळायला हवे, का ते नाही. Report नको, note मागा.
- Plant Head / Factory Manager: Medical centre तुमच्या plant मध्ये आहे. Keys आणि logins कोणाकडे आहेत ते तपासा.
- Procurement विभाग: Outsourced clinics आणि labs साठी data schedule आवश्यक आहे.
उदाहरण (इंग्रजीत)
A worker in a hazardous process asks for his lung test results. The medical centre gives him a copy within a week. His supervisor had only ever seen a 'fit with restrictions' note, and the access log shows no one outside the medical team opened the record.
Management कडून चांगले उत्तर कसे असते
“Health records medical team कडेच असतात. Access नावाने दिलेला आहे आणि logs ठेवले जातात. HR ला फक्त fitness notes दिसतात. कामगार स्वतःचे records पाहू शकतात, आणि contract workers चे records पण तसेच ठेवले जातात.” मेहनत आणि वेळ: मध्यम · 6 ते 10 आठवडे.
तुमच्या भूमिकेसाठी पूर्ण पान उघडा →