காட்டப்படும் DPDP நிலையை management நம்பலாமா?

Reviewed by InfraVeritas360 ResearchFirst published 10 October 2026Last reviewed 11 October 2026

Sources: DPDP Act, 2023 and DPDP Rules, 2025 (MeitY)

இது மொழிபெயர்த்த வழிகாட்டல்; legal advice அல்ல. சட்டச் சொற்கள் அவற்றின் English பெயருடன் காட்டப்பட்டுள்ளன. சந்தேகம் இருந்தால் English version-உம் Act-இன் official text-உம்தான் பொருந்தும். இந்தப் பக்கத்தை ஆங்கிலத்தில் படிக்கவும்

சுருக்கமான பதில்: பின்னால் உள்ள evidence அளவுக்கு மட்டுமே

பின்னால் உள்ள evidence அளவுக்கு மட்டுமே. மூன்று விஷயங்களைக் கேளுங்கள்: உண்மையில் எது test செய்யப்பட்டது, எது ஒருவரின் statement-ஐ மட்டும் நம்பி இருக்கிறது, எது பார்க்கப்படவே இல்லை. வெறும் பதில்களை வைத்துக் கட்டிய position, data-வுக்கு உண்மையில் என்ன நடக்கிறது என்பதை அல்ல, மக்கள் என்ன நம்புகிறார்கள் என்பதைச் சொல்லலாம்.

சட்டம் என்ன சொல்கிறது

Act-இன் கீழ் பொறுப்பு (Accountability) நிறுவனத்திடம் உள்ளது; management மேற்பார்வை மூலம்தான் அந்தப் பொறுப்பு உண்மையாகிறது.

Section 8(1)–(2): Data Fiduciary responsibility — vendor வேலை செய்தாலும் பொறுப்பு உங்களுடையது. Data எதற்காக, எப்படிப் பயன்படுத்தப்படுகிறது என்று முடிவு செய்யும் நிறுவனமே (Data Fiduciary) பொறுப்பு. வேலையை ஒரு vendor (Data Processor) செய்தாலும் இது மாறாது. Valid contract இருந்தால் மட்டுமே ஒரு processor-ஐ engage செய்யலாம்.
Section 8(5) · Rule 6: Reasonable security safeguards — பாதுகாப்பு ஏற்பாடுகள். Reasonable security safeguards மூலம் personal data-வைப் பாதுகாக்க வேண்டும். Rule 6 குறைந்தபட்சத் தேவைகளைப் பட்டியலிடுகிறது: encryption, masking அல்லது tokenisation; access control; logs மற்றும் monitoring; continuity-க்கு backups; logs-ஐக் குறைந்தது ஒரு ஆண்டு வைத்திருத்தல்; processors-உடனான contracts-இல் security terms.
Section 10 · Rule 13: Significant Data Fiduciary — கூடுதல் கடமைகள் உள்ள நிறுவனங்கள். Data-வின் அளவு, sensitivity, அதிலுள்ள risk ஆகியவற்றைப் பொறுத்து, அரசு சில நிறுவனங்களை Significant Data Fiduciaries என notify செய்யலாம். அவற்றுக்கு India-வில் உள்ள DPO, ஒரு independent data auditor, ஆண்டுதோறும் impact assessment மற்றும் audit தேவை. இந்தப் பக்கம் கடைசியாகச் சரிபார்க்கப்பட்டபோது எந்த நிறுவனமும் notify செய்யப்படவில்லை.

Steps

நிலையை tested, stated, பார்க்கப்படாதது என்று மூன்றாகப் பிரித்துக் கேளுங்கள்.
நீங்களே பார்க்கக்கூடிய இரண்டு மூன்று samples கேளுங்கள்.
Evidence-ஐ யார் review செய்தார்கள் என்று கேளுங்கள்.
கடந்த review-க்குப் பிறகு என்ன மாறியது என்று கேளுங்கள்.
பதில்களை minutes-இல் பதிவு செய்யுங்கள்.

வைத்திருக்க வேண்டிய evidence

Tested, stated பகுதிகள் பிரிக்கப்பட்ட position
பார்த்த samples
Minutes

பொதுவான தவறுகள்

ஒரே ஒரு summary slide-ஐ நம்புவது
Stated-க்கும் tested-க்கும் வித்தியாசம் இல்லை
Management என்ன பார்த்தது என்பதற்கு record இல்லை

யார் என்ன செய்ய வேண்டும்

Internal Audit Head: Management-க்குக் கிடைக்கும் சில independent பார்வைகளில் உங்கள் report ஒன்று. எது test செய்யப்பட்டது, எது செய்யப்படவில்லை என்று சொல்லுங்கள்.
Company Secretary: Board-இடம் என்ன சொல்லப்பட்டது என்பதை மட்டும் அல்ல, board என்ன evidence பார்த்தது என்பதையும் minutes பதிவு செய்ய வேண்டும்.

உதாரணம் (ஆங்கிலத்தில்)

A PSU board is shown a readiness summary. A director asks which parts were tested. The answer: vendor contracts and logs were sampled; notices and deletion rest on statements. The minutes record both.

Management-இடமிருந்து நல்ல பதில் எப்படி இருக்கும்

“நாங்கள் பார்க்கும் நிலை, test செய்யப்பட்டதையும் சொல்லப்பட்டது மட்டுமேயானதையும் தனித்தனியாகக் காட்டுகிறது. ஒவ்வொரு quarter-உம் samples-ஐப் பார்க்கிறோம்.” முயற்சியும் நேரமும்: குறைவு · ஒவ்வொரு review-இலும்.

உங்கள் பொறுப்புக்கான முழுப் பக்கத்தைத் திறக்கவும் →