Personal data किती काळ ठेवता येतो?
Reviewed by InfraVeritas360 ResearchFirst published Last reviewed
Sources: DPDP Act, 2023 and DPDP Rules, 2025 (MeitY)
भाषांतरित मार्गदर्शन, legal advice नाही. Legal terms त्यांच्या English नावानेच दिले आहेत. शंका असल्यास English version आणि Act चा official text ग्राह्य धरा. हे पान इंग्रजीत वाचा
थोडक्यात उत्तर: कायदेशीर किंवा business कालावधीपर्यंत, मग erase
Data त्याच्या purpose ला लागेल तितका काळ, किंवा कायदा सांगेल तितका काळ ठेवा, आणि मग erase करा. Rule 8(3) नुसार प्रत्येक organisation ने personal data आणि logs किमान एक वर्ष ठेवायचे. Record type नुसार retention schedule लिहा, आणि प्रत्येक कालावधीसमोर कायदा किंवा कारण लिहा.
कायदा काय सांगतो
Section 8(7) नुसार purpose संपला की data erase करायचा, जोपर्यंत कायदा retention सांगत नाही. Rule 8(3) personal data, traffic data आणि logs साठी किमान एक वर्ष ठरवते.
- Section 8(7) · Rule 8: Erasure and retention — data delete करणे आणि ठेवणे. Purpose संपला किंवा consent withdraw झाला की personal data delete करा. एखाद्या कायद्याने तो ठेवणे बंधनकारक असेल, तर तेवढा अपवाद. तुमच्या processors कडूनही तो delete करून घ्या. Rule 8(3) नुसार प्रत्येक Data Fiduciary ने Rules मध्ये दिलेल्या purposes साठी personal data, traffic data आणि logs किमान एक वर्ष ठेवायचे आहेत.
- Section 8(5) · Rule 6: Reasonable security safeguards — data सुरक्षित ठेवणे. Personal data reasonable security safeguards ने सुरक्षित ठेवा. Rule 6 किमान गोष्टी सांगतो: encryption, masking किंवा tokenisation; access control; logs आणि monitoring; continuity साठी backups; logs किमान एक वर्ष ठेवणे; आणि processors सोबतच्या contracts मध्ये security terms.
Steps
- तुमच्याकडे असलेल्या record types ची यादी करा.
- प्रत्येकासाठी कालावधी लिहा, सोबत कायदा, regulator चा नियम किंवा business कारण.
- कालावधी कधी सुरू होतो त्याचा trigger ठरवा: relationship संपल्यावर, transaction ची तारीख, exit date.
- शक्य तिथे deletion automate करा; कागदासाठी shredding schedule करा.
- Deletion log ठेवा.
ठेवायचा evidence
- Legal ने approve केलेले retention schedule
- Deletion log
- Shredding / disposal certificates
नेहमीच्या चुका
- Storage स्वस्त आहे म्हणून 'सगळे कायमचे ठेवा'
- कायदेशीर किमान कालावधीआधीच delete करणे
- Email, shared drives आणि backups विसरणे
कोणाची काय जबाबदारी
- DPO / Privacy Lead: Schedule चा draft तुम्ही करा, पण आपापल्या rows वर Legal आणि प्रत्येक department head ची sign घ्या. Deletion खरोखर होते आहे ना, हे पाहणे तुमचे काम आहे.
- HR Head: Ex-employee files चा ढीग नेहमी साचतो. Labour-law minimums लक्षात ठेवून record type नुसार period ठरवा, आणि तो संपला की delete करा.
- Internal Audit Head: एक record type निवडा, आणि deletion प्रत्यक्ष झाले का ते तपासा.
- CFO / Finance Head: Tax आणि audit periods बहुतेक वेळा सर्वात लांब असतात. Finance records ते पाळतात आणि मग delete होतात, याची खात्री करा.
- Data & Analytics Head: Analytics copies बहुतेक वेळा source पेक्षा जास्त काळ टिकतात. त्यांना स्वतःचा period द्या.
- Administration विभाग: Visitor registers, gate passes आणि कागदी files किती काळ ठेवायच्या, आणि कधी shred करायच्या, ते ठरवा.
- HR विभाग: Candidate, employee आणि ex-employee records साठी periods ठरवा.
- Finance विभाग: Tax आणि audit नियमांनुसार काही records वर्षानुवर्षे ठेवावे लागतात. त्यांची list करा, म्हणजे ते ठेवले जातील आणि बाकीचे delete होतील.
- Internal Audit विभाग: एक deletion run तपासा.
- Data आणि analytics विभाग: Analytics copies ना पण period हवा.
- Facilities आणि physical security विभाग: Visitor registers आणि footage चे periods.
- Records आणि archives विभाग: Schedule आणि destruction log तुमच्याकडे ठेवा.
Management कडून चांगले उत्तर कसे असते
“आमचे एकच retention schedule आहे, Legal ने approve केलेले. Deletion त्यानुसार चालते, आणि log आम्ही दाखवू शकतो.” मेहनत आणि वेळ: मध्यम · 8 ते 12 आठवडे.
तुमच्या भूमिकेसाठी पूर्ण पान उघडा →