நாம் தயார் என்று management ஏற்கும் முன் என்ன evidence இருக்க வேண்டும்?
Reviewed by InfraVeritas360 ResearchFirst published Last reviewed
Sources: DPDP Act, 2023 and DPDP Rules, 2025 (MeitY)
இது மொழிபெயர்த்த வழிகாட்டல்; legal advice அல்ல. சட்டச் சொற்கள் அவற்றின் English பெயருடன் காட்டப்பட்டுள்ளன. சந்தேகம் இருந்தால் English version-உம் Act-இன் official text-உம்தான் பொருந்தும். இந்தப் பக்கத்தை ஆங்கிலத்தில் படிக்கவும்
சுருக்கமான பதில்: ஒவ்வொரு கடமைக்கும் evidence; status colours அல்ல
Readiness statement-ஐ ஏற்கும் முன், ஒவ்வொரு கடமைக்குமான evidence-ஐ management பார்க்க வேண்டும்: தேதியுடன் notices, consent records, replies உடன் request register, sign செய்யப்பட்ட vendor terms, access review sign-offs, log settings, breach drill report, deletion log. இவை இல்லாத status colour ஒரு statement மட்டுமே; evidence அல்ல.
சட்டம் என்ன சொல்கிறது
Act கடமைகளை ஒரு நிறுவனமாக Data Fiduciary மீது வைக்கிறது. அவை உண்மையில் நிறைவேற்றப்படுகின்றனவா என்பதற்கு management பொறுப்பு.
- Section 8(1)–(2): Data Fiduciary responsibility — vendor வேலை செய்தாலும் பொறுப்பு உங்களுடையது. Data எதற்காக, எப்படிப் பயன்படுத்தப்படுகிறது என்று முடிவு செய்யும் நிறுவனமே (Data Fiduciary) பொறுப்பு. வேலையை ஒரு vendor (Data Processor) செய்தாலும் இது மாறாது. Valid contract இருந்தால் மட்டுமே ஒரு processor-ஐ engage செய்யலாம்.
- Section 8(5) · Rule 6: Reasonable security safeguards — பாதுகாப்பு ஏற்பாடுகள். Reasonable security safeguards மூலம் personal data-வைப் பாதுகாக்க வேண்டும். Rule 6 குறைந்தபட்சத் தேவைகளைப் பட்டியலிடுகிறது: encryption, masking அல்லது tokenisation; access control; logs மற்றும் monitoring; continuity-க்கு backups; logs-ஐக் குறைந்தது ஒரு ஆண்டு வைத்திருத்தல்; processors-உடனான contracts-இல் security terms.
- Section 8(6) · Rule 7: Data Breach intimation — பாதிக்கப்பட்டவர்களுக்குத் தெரிவித்தல். Personal data breach பற்றித் தெரியவந்தவுடன், பாதிக்கப்பட்ட ஒவ்வொருவருக்கும் Data Protection Board-க்கும் தாமதமின்றித் தெரிவிக்க வேண்டும். 72 மணி நேரத்துக்குள் Board-க்கு விரிவான report அனுப்ப வேண்டும். Request செய்து Board கூடுதல் காலம் அனுமதித்தால், அந்தக் காலத்துக்குள் அனுப்பலாம்.
- Section 8(9)–(10) · Rules 9, 14: Contact person and grievance redressal — தொடர்பு நபரும் complaints-உம். Personal data பற்றிய கேள்விகளுக்குப் பதில் சொல்லக்கூடிய DPO-வின் அல்லது வேறொரு நபரின் business contact-ஐ வெளியிட வேண்டும். ஒரு செயல்படும் grievance process வைத்திருந்து, reasonable காலத்துக்குள், 90 நாட்களுக்கு மிகாமல் பதில் தர வேண்டும்.
Steps
- பொருந்தும் கடமைகளை list செய்யுங்கள்.
- ஒவ்வொன்றுக்கும், ஒரு auditor-ஐத் திருப்திப்படுத்தும் evidence எது என்று பெயரிடுங்கள்.
- Owners-ஐ அதை attach செய்யச் சொல்லுங்கள்.
- Evidence இல்லாத கடமைகளை 'ready' அல்ல, 'open' என்று குறியுங்கள்.
- ஒவ்வொரு management sign-off-க்கு முன்பும் list-ஐ review செய்யுங்கள்.
வைத்திருக்க வேண்டிய evidence
- கடமை வாரியான evidence list
- Attach செய்யப்பட்ட evidence
- Sign-off record
பொதுவான தவறுகள்
- எதையும் பார்க்காமல் 'done' என்பதை ஏற்பது
- Policies-ஐ evidence ஆக எண்ணுவது
- ஒரே ஒரு sign-off, அதன் பிறகு review இல்லை
யார் என்ன செய்ய வேண்டும்
- Internal Audit Head: எந்த readiness statement-ஐயும் ஏற்கும் முன், evidence list-ஐக் கேளுங்கள்.
- CFO / Finance Head: Policies-க்கு மட்டும் அல்ல, evidence-க்குப் பணம் ஒதுக்குங்கள். செலவு பலன் தருவது evidence மூலம்தான்.
- Internal Audit துறை: முதலில் evidence list-ஐக் கேளுங்கள்.
உதாரணம் (ஆங்கிலத்தில்)
Before a hospital's management signs off DPDP readiness, the DPO attaches one item per duty: dated notices, the request register, signed lab contracts, the drill report. Two duties have nothing attached and are shown as open.
Management-இடமிருந்து நல்ல பதில் எப்படி இருக்கும்
“ஒவ்வொரு கடமைக்கும் பெயர் சொல்லப்பட்ட evidence attach செய்யப்பட்டுள்ளது. Evidence இல்லாதவை open என்று காட்டப்படுகின்றன. ஒவ்வொரு sign-off-க்கு முன்பும் list-ஐ review செய்கிறோம்.” முயற்சியும் நேரமும்: நடுத்தரம் · 4 முதல் 8 வாரங்கள்.
உங்கள் பொறுப்புக்கான முழுப் பக்கத்தைத் திறக்கவும் →