நமக்கு Data Protection Impact Assessment தேவையா?
Reviewed by InfraVeritas360 ResearchFirst published Last reviewed
Sources: DPDP Act, 2023 and DPDP Rules, 2025 (MeitY)
இது மொழிபெயர்த்த வழிகாட்டல்; legal advice அல்ல. சட்டச் சொற்கள் அவற்றின் English பெயருடன் காட்டப்பட்டுள்ளன. சந்தேகம் இருந்தால் English version-உம் Act-இன் official text-உம்தான் பொருந்தும். இந்தப் பக்கத்தை ஆங்கிலத்தில் படிக்கவும்
சுருக்கமான பதில்: SDFs-க்கு மட்டும் கட்டாயம்; high-risk மாற்றங்களுக்கு நல்ல நடைமுறை
சட்டப்படி, Significant Data Fiduciaries மட்டுமே வருடாந்திர impact assessment செய்ய வேண்டும். மற்றவர்களுக்கு, high-risk மாற்றங்களுக்கு இது நல்ல நடைமுறை: புதிய tracking, profiling, பெரிய அளவில் data sharing, குழந்தைகளின் data, data-வை வெளிநாட்டுக்குக் கொண்டு போவது. மாற்றத்துக்கு முன் ஒரு சிறிய assessment, பின்னால் சரிசெய்வதை விடச் செலவு குறைவு.
சட்டம் என்ன சொல்கிறது
Section 10 மற்றும் Rule 13: Significant Data Fiduciaries-க்கு வருடாந்திர impact assessment-ஐக் கட்டாயமாக்குகின்றன.
- Section 10 · Rule 13: Significant Data Fiduciary — கூடுதல் கடமைகள் உள்ள நிறுவனங்கள். Data-வின் அளவு, sensitivity, அதிலுள்ள risk ஆகியவற்றைப் பொறுத்து, அரசு சில நிறுவனங்களை Significant Data Fiduciaries என notify செய்யலாம். அவற்றுக்கு India-வில் உள்ள DPO, ஒரு independent data auditor, ஆண்டுதோறும் impact assessment மற்றும் audit தேவை. இந்தப் பக்கம் கடைசியாகச் சரிபார்க்கப்பட்டபோது எந்த நிறுவனமும் notify செய்யப்படவில்லை.
- Section 9 · Rules 10, 12: Children's data — 18 வயதுக்குக் குறைவானவர்களின் data. 18 வயதுக்குக் குறைவான யாருக்கும், பெற்றோர் அல்லது lawful guardian-இடமிருந்து verifiable consent பெற வேண்டும். குழந்தைகளை track செய்யவோ, behavioural monitoring செய்யவோ, அவர்களை target செய்து advertising செய்யவோ கூடாது. Rule 12-உம் Fourth Schedule-உம் சில classes, purposes-க்கு விலக்கு தருகின்றன. உதாரணமாக, குழந்தையின் உடல்நலத்தைப் பாதுகாக்கத் தேவையான அளவுக்கு clinical establishments, healthcare professionals.
- Section 16 · Rule 15: Transfer outside India — India-வுக்கு வெளியே data. அரசு ஒரு நாட்டுக்குத் தடை விதிக்காத வரை, personal data India-வுக்கு வெளியே போகலாம். ஒரு sector law அல்லது regulator இதைவிடக் கடுமையான rule வைத்திருந்தால், அது தொடர்ந்து பொருந்தும். இந்தப் பக்கம் கடைசியாகச் சரிபார்க்கப்பட்டபோது எந்த நாட்டுக்கும் தடை விதிக்கப்படவில்லை.
Steps
- உங்களுக்கு high-risk மாற்றம் எது என்று வரையறுங்கள்.
- இரண்டு பக்க template பயன்படுத்துங்கள்.
- Data, purpose, risks, safeguards-ஐப் பதிவு செய்யுங்கள்.
- Approval-க்கு முன் DPO-வின் கருத்தைப் பெறுங்கள்.
- அதை project record-உடன் வையுங்கள்.
வைத்திருக்க வேண்டிய evidence
- Assessment template
- முடிக்கப்பட்ட assessments
- DPO கருத்துகள்
பொதுவான தவறுகள்
- Launch-க்குப் பிறகு செய்யும் paperwork ஆக நினைப்பது
- யாரும் முடிக்காத 40 பக்க template
- Trigger list இல்லை
யார் என்ன செய்ய வேண்டும்
- Chief Compliance Officer: நீங்கள் SDF இல்லாவிட்டாலும், high-risk மாற்றங்களுக்கு impact assessments-ஐப் பயன்படுத்துங்கள்.
- CTO / Engineering Head: High-risk features-க்கு assessment launch-க்குப் பிறகு அல்ல, build-க்கு முன்பே வேண்டும்.
- Data & Analytics Head: Profiling-க்கும் automated decisions-க்கும் ஒரு assessment தேவை.
- Product Head: மக்களை profile அல்லது track செய்யும் புதிய features-க்கு ஒரு assessment வேண்டும்.
- Data & analytics துறை: Profiling-ஐ assess செய்யுங்கள்.
உதாரணம் (ஆங்கிலத்தில்)
A hospital plans to share imaging with a research partner abroad. A two-page assessment records the data, purpose, transfer and safeguards, and the DPO asks for de-identification first.
Management-இடமிருந்து நல்ல பதில் எப்படி இருக்கும்
“High-risk மாற்றங்களை approval-க்கு முன், ஒரு சிறிய template வைத்து assess செய்கிறோம். DPO sign-off செய்கிறார்.” முயற்சியும் நேரமும்: ஒவ்வொரு மாற்றத்துக்கும் குறைவு.
உங்கள் பொறுப்புக்கான முழுப் பக்கத்தைத் திறக்கவும் →