புதிய product அல்லது system-இல் privacy-ஐ எப்படிக் கட்டமைப்பது?
Reviewed by InfraVeritas360 ResearchFirst published Last reviewed
Sources: DPDP Act, 2023 and DPDP Rules, 2025 (MeitY)
இது மொழிபெயர்த்த வழிகாட்டல்; legal advice அல்ல. சட்டச் சொற்கள் அவற்றின் English பெயருடன் காட்டப்பட்டுள்ளன. சந்தேகம் இருந்தால் English version-உம் Act-இன் official text-உம்தான் பொருந்தும். இந்தப் பக்கத்தை ஆங்கிலத்தில் படிக்கவும்
சுருக்கமான பதில்: Design-இல் நான்கு கேள்விகள்; பிறகு அடிப்படைகளை உள்ளேயே கட்டுங்கள்
Design நிலையிலேயே நான்கு கேள்விகள் கேளுங்கள்: என்ன personal data, ஏன், எவ்வளவு காலம், யார் பார்க்கிறார்கள். பிறகு Act எதிர்பார்ப்பவற்றை உள்ளேயே கட்டுங்கள்: notice, தேவையான இடங்களில் consent, role-based access, record views-க்கான logs, delete செய்யும் வழி, requests-க்குப் பதில் தரும் வழி. Launch-க்குப் பிறகு இவற்றைச் சேர்ப்பது பல மடங்கு அதிகச் செலவு.
சட்டம் என்ன சொல்கிறது
Sections 5 முதல் 12 வரை, systems notices காட்ட, consent பதிவு செய்ய, access-ஐக் கட்டுப்படுத்த, log செய்ய, delete செய்ய, requests-க்குப் பதில் தர முடியும் என்று எடுத்துக்கொள்கின்றன.
- Section 5 · Rule 3: Notice — consent கேட்கும்போது தர வேண்டியது. Consent கேட்கும்போது, தனியாகப் படித்தாலே புரியும் தெளிவான notice கொடுக்க வேண்டும்: என்ன data, எந்த purpose-க்கு, consent-ஐ எப்படித் திரும்பப் பெறுவது, உரிமைகளை எப்படிப் பயன்படுத்துவது, Data Protection Board-இடம் எப்படி complaint செய்வது. Act-க்கு முன் சேகரித்த data-க்கு, reasonably practicable ஆனவுடன் notice தர வேண்டும்.
- Section 6: Consent — சரியான consent எப்படி இருக்க வேண்டும். Consent free, specific, informed, unconditional, unambiguous ஆக இருக்க வேண்டும். அது ஒரு தெளிவான செயல் மூலம் தரப்பட வேண்டும், purpose-க்குத் தேவையான data-வுக்கு மட்டுமே இருக்க வேண்டும். கொடுப்பது போலவே திரும்பப் பெறுவதும் எளிதாக இருக்க வேண்டும்.
- Section 8(5) · Rule 6: Reasonable security safeguards — பாதுகாப்பு ஏற்பாடுகள். Reasonable security safeguards மூலம் personal data-வைப் பாதுகாக்க வேண்டும். Rule 6 குறைந்தபட்சத் தேவைகளைப் பட்டியலிடுகிறது: encryption, masking அல்லது tokenisation; access control; logs மற்றும் monitoring; continuity-க்கு backups; logs-ஐக் குறைந்தது ஒரு ஆண்டு வைத்திருத்தல்; processors-உடனான contracts-இல் security terms.
- Section 8(7) · Rule 8: Erasure and retention — எப்போது நீக்க வேண்டும், எவ்வளவு காலம் வைக்க வேண்டும். Purpose முடிந்தவுடன் அல்லது consent திரும்பப் பெறப்பட்டவுடன் personal data-வை erase செய்ய வேண்டும். ஏதாவது சட்டம் அதை வைத்திருக்கச் சொன்னால் மட்டுமே விதிவிலக்கு. உங்கள் processors-உம் erase செய்வதை உறுதிசெய்யுங்கள். Rules-இல் சொல்லப்பட்ட purposes-க்காக, ஒவ்வொரு Data Fiduciary-உம் personal data, traffic data, logs-ஐக் குறைந்தது ஒரு ஆண்டு வைத்திருக்க வேண்டும் என்று Rule 8(3) சொல்கிறது.
- Sections 11–14 · Rule 14: Rights of the Data Principal — மக்களின் உரிமைகள். மக்கள் தங்கள் data-வின் summary-ஐயும், அது யாருடன் share செய்யப்பட்டது என்பதையும் கேட்கலாம். Correction, completion, updating அல்லது erasure கேட்கலாம், complaint செய்யலாம், தங்களுக்காகச் செயல்பட ஒருவரை nominate செய்யலாம். இதை எப்படிச் செய்வது என்று நீங்கள் வெளியிட வேண்டும்.
Steps
- நான்கு கேள்விகளையும் design templates-இல் சேருங்கள்.
- தேவையில்லாத data-வை விட்டுவிடுங்கள்.
- Access roles-ஐயும் record-view logs-ஐயும் கட்டுங்கள்.
- Deletion மற்றும் request export வசதியைக் கட்டுங்கள்.
- Launch அன்றே system-ஐ inventory-இல் பதிவு செய்யுங்கள்.
வைத்திருக்க வேண்டிய evidence
- Design review records
- Inventory entries
- Deletion test results
பொதுவான தவறுகள்
- Launch நேரத்தில் மட்டும் privacy review
- 'தேவைப்பட்டால்' என்று எல்லாவற்றையும் சேகரிப்பது
- Delete function இல்லை
யார் என்ன செய்ய வேண்டும்
- CTO / Engineering Head: Privacy கேள்விகளை design review-இன் ஒரு பகுதியாக்குங்கள். கடைசியில் ஒரு sign-off ஆக விடாதீர்கள்.
- Data & Analytics Head: கேள்வி அனுமதிக்கும் இடங்களில் masked அல்லது aggregated data-வுடன் வேலை செய்யுங்கள்.
- Product Head: ஒவ்வொரு feature brief-இலும் நான்கு கேள்விகள் சேருங்கள்: என்ன data, ஏன், எவ்வளவு காலம், யார் பார்ப்பார்கள்.
- Data & analytics துறை: Default-ஆக mask, aggregate செய்யுங்கள்.
- Software engineering துறை: அந்த நான்கு கேள்விகளையும் design review-க்குள் கொண்டுவாருங்கள்.
உதாரணம் (ஆங்கிலத்தில்)
A bank's new app feature would collect location all the time. Design review asks why; location is needed only at KYC. The permission is limited to that step before build.
Management-இடமிருந்து நல்ல பதில் எப்படி இருக்கும்
“ஒவ்வொரு design review-உம் நான்கு கேள்விகளுக்கும் பதில் தருகிறது. புதிய systems access roles, logs, deletion எல்லாம் தயாராக இருக்கும்போதுதான் launch ஆகின்றன.” முயற்சியும் நேரமும்: ஒவ்வொரு project-க்கும் குறைவு.
உங்கள் பொறுப்புக்கான முழுப் பக்கத்தைத் திறக்கவும் →