Contract workers, gate pass, biometric: அவர்களின் data-க்கு யார் பொறுப்பு?

Reviewed by InfraVeritas360 ResearchFirst published 10 October 2026Last reviewed 11 October 2026

Sources: DPDP Act, 2023 and DPDP Rules, 2025 (MeitY)

இது மொழிபெயர்த்த வழிகாட்டல்; legal advice அல்ல. சட்டச் சொற்கள் அவற்றின் English பெயருடன் காட்டப்பட்டுள்ளன. சந்தேகம் இருந்தால் English version-உம் Act-இன் official text-உம்தான் பொருந்தும். இந்தப் பக்கத்தை ஆங்கிலத்தில் படிக்கவும்

சுருக்கமான பதில்: Plant-ல் பயன்படும் data-க்கு நீங்கள்தான்; agency contract படி உங்கள் சார்பில் வேலை செய்கிறது

உங்கள் plant-ல் contract workers-இன் data ஏன் எடுக்கப்படுகிறது என்பதை உங்கள் company தான் முடிவு செய்கிறது: gate access, attendance, safety, Labour Codes கேட்கும் records. அதனால் manpower agency எடுத்தாலும் contractor எடுத்தாலும், அந்த data-க்கு பொறுப்பு உங்களுடையதே. Agency-உடன் data நிபந்தனைகள் உள்ள contract வேண்டும். Gate-க்கும் சட்டத்துக்கும் தேவையானதை மட்டும் எடுங்கள். தொழிலாளர் வேலையை விட்டுப் போனதும் biometric template-ஐயும் photo-வையும் delete செய்யுங்கள்.

சட்டம் என்ன சொல்கிறது

Section 7-ல் வேலை தொடர்பான பணிகளும் சட்டப்படியான கடமைகளும் வருகின்றன. Section 8(1) படி processors செய்யும் வேலைக்கும் பொறுப்பு உங்களுடையதே. Section 8(7) படி purpose முடிந்ததும் data delete செய்ய வேண்டும்.

Section 7: Legitimate uses — consent இல்லாமல் அனுமதிக்கப்பட்டவை. சில uses-க்கு consent தேவையில்லை: ஒரு குறிப்பிட்ட purpose-க்காக ஒருவர் தானாக முன்வந்து கொடுத்த data, சட்டப்படியான கடமைகள், உயிருக்கு ஆபத்து உள்ள medical emergency, epidemic காலத்தில் health services, disaster காலத்தில் பாதுகாப்பு, employment purposes.
Section 8(1)–(2): Data Fiduciary responsibility — vendor வேலை செய்தாலும் பொறுப்பு உங்களுடையது. Data எதற்காக, எப்படிப் பயன்படுத்தப்படுகிறது என்று முடிவு செய்யும் நிறுவனமே (Data Fiduciary) பொறுப்பு. வேலையை ஒரு vendor (Data Processor) செய்தாலும் இது மாறாது. Valid contract இருந்தால் மட்டுமே ஒரு processor-ஐ engage செய்யலாம்.
Section 8(5) · Rule 6: Reasonable security safeguards — பாதுகாப்பு ஏற்பாடுகள். Reasonable security safeguards மூலம் personal data-வைப் பாதுகாக்க வேண்டும். Rule 6 குறைந்தபட்சத் தேவைகளைப் பட்டியலிடுகிறது: encryption, masking அல்லது tokenisation; access control; logs மற்றும் monitoring; continuity-க்கு backups; logs-ஐக் குறைந்தது ஒரு ஆண்டு வைத்திருத்தல்; processors-உடனான contracts-இல் security terms.
Section 8(7) · Rule 8: Erasure and retention — எப்போது நீக்க வேண்டும், எவ்வளவு காலம் வைக்க வேண்டும். Purpose முடிந்தவுடன் அல்லது consent திரும்பப் பெறப்பட்டவுடன் personal data-வை erase செய்ய வேண்டும். ஏதாவது சட்டம் அதை வைத்திருக்கச் சொன்னால் மட்டுமே விதிவிலக்கு. உங்கள் processors-உம் erase செய்வதை உறுதிசெய்யுங்கள். Rules-இல் சொல்லப்பட்ட purposes-க்காக, ஒவ்வொரு Data Fiduciary-உம் personal data, traffic data, logs-ஐக் குறைந்தது ஒரு ஆண்டு வைத்திருக்க வேண்டும் என்று Rule 8(3) சொல்கிறது.
Section 5 · Rule 3: Notice — consent கேட்கும்போது தர வேண்டியது. Consent கேட்கும்போது, தனியாகப் படித்தாலே புரியும் தெளிவான notice கொடுக்க வேண்டும்: என்ன data, எந்த purpose-க்கு, consent-ஐ எப்படித் திரும்பப் பெறுவது, உரிமைகளை எப்படிப் பயன்படுத்துவது, Data Protection Board-இடம் எப்படி complaint செய்வது. Act-க்கு முன் சேகரித்த data-க்கு, reasonably practicable ஆனவுடன் notice தர வேண்டும்.

Steps

ஒவ்வொரு contract worker-இடமும் என்ன எடுக்கப்படுகிறது என்று பட்டியல் போடுங்கள்: ID, photo, biometric, bank details, medical fitness.
Gate-க்கும் Labour Codes-க்கும் தேவையில்லாததை எடுப்பதை நிறுத்துங்கள்.
Enrolment நேரத்தில் தொழிலாளரின் மொழியில் சிறிய notice கொடுங்கள்.
ஒவ்வொரு agency, contractor contract-லும் data schedule சேருங்கள்.
தொழிலாளர் விலகும்போது template, photo-வை delete செய்யுங்கள்; சட்டம் கேட்கும் registers மட்டும் வைத்திருங்கள்.

வைத்திருக்க வேண்டிய evidence

காரணத்துடன் enrolment fields பட்டியல்
உள்ளூர் மொழிகளில் notice
Agency-கள் கையெழுத்திட்ட data schedules
விலகியவர்களின் deletion log

பொதுவான தவறுகள்

Agency-கள் தனியாக Aadhaar card நகல்கள் வைத்திருப்பது
பல வருடங்களுக்கு முன் போன தொழிலாளர்களின் templates இன்னும் இருப்பது
Chat groups-ல் contractors-உடன் தொழிலாளர் பட்டியல்களை share செய்வது

யார் என்ன செய்ய வேண்டும்

DPO / Privacy Lead: Agency workers-உம் requests அனுப்புவார்கள். உங்கள் பதிலில் agency records-உம் இருக்க வேண்டும்.
CISO / Security Head: Biometric devices, gate servers இரண்டும் plant control networks-இலிருந்து தனியாக இருக்க வேண்டும்; vendor logins பெயருடன் இருக்க வேண்டும்.
HR Head: Contract workers enrolment-ஐ ஒரே HR system-இல் செய்யுங்கள்; ஒவ்வொரு agency-யின் spreadsheet-இலும் அல்ல.
Legal & Compliance: எல்லா agencies, contractors-க்கும் ஒரே data schedule இருந்தால் பல மாதங்கள் மிச்சமாகும்.
Operations Head: Agency நடைமுறையை gate, shift teams-தான் முதலில் பார்க்கின்றன. இருக்கக்கூடாத copies, lists பற்றி report செய்யுங்கள்.
Plant Head / Factory Manager: Data சேகரிக்கப்படுவது உங்கள் gate-இல்தான். மாதம்தோறும் notice, device, exit clean-up-ஐ சரிபாருங்கள்.
Procurement துறை: ஒவ்வொரு புதிய labour contract-இலும் இந்த schedule-ஐச் சேருங்கள்.

உதாரணம் (ஆங்கிலத்தில்)

A chemical plant's agency enrols 300 contract workers for a shutdown. Workers get a notice at the gate, the agency signs the data schedule, and when the shutdown ends, fingerprints and gate photos are deleted within a month while the registers the Labour Codes require are kept.

Management-இடமிருந்து நல்ல பதில் எப்படி இருக்கும்

“ஒவ்வொரு contract worker-க்கும் enrolment-ல் notice கிடைக்கிறது. Agency-கள் எங்கள் data schedule-ல் கையெழுத்திடுகின்றன. விலகிய ஒரு மாதத்துக்குள் templates, photos delete ஆகின்றன; logs-ல் அது தெரிகிறது.” முயற்சியும் நேரமும்: நடுத்தரம் · எல்லா plants-லும் 8 முதல் 12 வாரங்கள்.

உங்கள் பொறுப்புக்கான முழுப் பக்கத்தைத் திறக்கவும் →