DPDP risk register मध्ये कसे घालायचे?
Reviewed by InfraVeritas360 ResearchFirst published Last reviewed
Sources: DPDP Act, 2023 and DPDP Rules, 2025 (MeitY)
भाषांतरित मार्गदर्शन, legal advice नाही. Legal terms त्यांच्या English नावानेच दिले आहेत. शंका असल्यास English version आणि Act चा official text ग्राह्य धरा. हे पान इंग्रजीत वाचा
थोडक्यात उत्तर: प्रत्येक जबाबदारीची एक line, owner आणि evidence सह
प्रत्येक जबाबदारीची एक risk line करा, सोबत owner, control, evidence आणि review date. Regulator, auditors किंवा certifications साठी आधीच चालू असलेले controls map करा, म्हणजे तोच evidence अनेक कामांसाठी वापरता येतो. Vendor risk वेगळी track करा.
कायदा काय सांगतो
Act ने Sections 5 ते 12 मध्ये जबाबदाऱ्या दिल्या आहेत. प्रत्येक जबाबदारी कुठपर्यंत आली आहे, हे risk register management ला दाखवते.
- Section 8(1)–(2): Obligations of Data Fiduciary — vendors ची जबाबदारी. Data का आणि कसा वापरायचा हे ठरवणारी संस्था (Data Fiduciary) जबाबदार राहते, काम vendor (Data Processor) करत असला तरीही. Processor ला फक्त valid contract अंतर्गतच काम देता येते.
- Section 8(5) · Rule 6: Reasonable security safeguards — data सुरक्षित ठेवणे. Personal data reasonable security safeguards ने सुरक्षित ठेवा. Rule 6 किमान गोष्टी सांगतो: encryption, masking किंवा tokenisation; access control; logs आणि monitoring; continuity साठी backups; logs किमान एक वर्ष ठेवणे; आणि processors सोबतच्या contracts मध्ये security terms.
- Section 8(6) · Rule 7: Personal data breach intimation — breach बद्दल कळवणे. Personal data breach लक्षात येताच, प्रत्येक बाधित व्यक्तीला आणि Data Protection Board ला विलंब न करता कळवा. Board ला 72 तासांच्या आत सविस्तर report पाठवा. Request केल्यावर Board ने जास्त वेळ दिला, तर त्या मुदतीत.
- Section 10 · Rule 13: Significant Data Fiduciary — जास्तीच्या जबाबदाऱ्या. Data चे प्रमाण, त्याची sensitivity आणि त्यातील risk पाहून सरकार काही संस्थांना Significant Data Fiduciary म्हणून notify करू शकते. त्यांना भारतात असलेला DPO, independent data auditor, आणि दरवर्षी impact assessment व audit लागतो. हे पान शेवटचे review झाले तेव्हा एकही संस्था notify झालेली नव्हती.
Steps
- तुम्हाला लागू असलेल्या जबाबदाऱ्यांची यादी करा.
- प्रत्येकासाठी साध्या शब्दांत risk, control आणि owner लिहा.
- सध्याचे controls आणि audits evidence म्हणून link करा.
- Likelihood आणि impact तुमच्या नेहमीच्या पद्धतीने rate करा.
- दर quarter ला management सोबत review करा.
ठेवायचा evidence
- Risk register extract
- Link केलेला evidence
- Quarterly review minutes
नेहमीच्या चुका
- 'DPDP compliance' अशी एकच line
- Owners नाहीत
- Evidence म्हणजे फक्त policy document
कोणाची काय जबाबदारी
- Chief Risk Officer: DPDP वेगवेगळ्या duties मध्ये विभागा. ‘DPDP compliance’ नावाची एकच line खरा risk कुठे आहे ते लपवते.
- Internal Audit Head: प्रत्येक DPDP line ला खरोखर test करता येईल असा control आहे का, ते तपासा.
- Chief Compliance Officer: प्रत्येक DPDP duty तुमच्या compliance calendar शी जोडा.
- Internal Audit विभाग: प्रत्येक control test करा.
Management कडून चांगले उत्तर कसे असते
“आमच्या risk register मध्ये DPDP वेगवेगळ्या जबाबदाऱ्या म्हणून आहे. प्रत्येकाला owner, control आणि evidence आहे, आणि दर quarter ला review होतो.” मेहनत आणि वेळ: कमी · 2 ते 4 आठवडे.
तुमच्या भूमिकेसाठी पूर्ण पान उघडा →