DPDP-ஐ risk register-இல் எப்படிச் சேர்ப்பது?
Reviewed by InfraVeritas360 ResearchFirst published Last reviewed
Sources: DPDP Act, 2023 and DPDP Rules, 2025 (MeitY)
இது மொழிபெயர்த்த வழிகாட்டல்; legal advice அல்ல. சட்டச் சொற்கள் அவற்றின் English பெயருடன் காட்டப்பட்டுள்ளன. சந்தேகம் இருந்தால் English version-உம் Act-இன் official text-உம்தான் பொருந்தும். இந்தப் பக்கத்தை ஆங்கிலத்தில் படிக்கவும்
சுருக்கமான பதில்: ஒரு கடமைக்கு ஒரு line, owner மற்றும் evidence உடன்
ஒவ்வொரு கடமையையும் ஒரு risk line ஆக மாற்றுங்கள்: owner, control, evidence, review தேதியுடன். உங்கள் regulator, auditors அல்லது certifications-க்காக ஏற்கெனவே நடத்தும் controls-ஐ map செய்யுங்கள்; அப்போது அதே evidence பல வேலைகளுக்குப் பயன்படும். Vendor risk-ஐத் தனியாக track செய்யுங்கள்.
சட்டம் என்ன சொல்கிறது
Act கடமைகளை Sections 5 முதல் 12 வரை வைக்கிறது. ஒவ்வொரு கடமையும் எந்த நிலையில் உள்ளது என்று risk register management-க்குக் காட்டுகிறது.
- Section 8(1)–(2): Data Fiduciary responsibility — vendor வேலை செய்தாலும் பொறுப்பு உங்களுடையது. Data எதற்காக, எப்படிப் பயன்படுத்தப்படுகிறது என்று முடிவு செய்யும் நிறுவனமே (Data Fiduciary) பொறுப்பு. வேலையை ஒரு vendor (Data Processor) செய்தாலும் இது மாறாது. Valid contract இருந்தால் மட்டுமே ஒரு processor-ஐ engage செய்யலாம்.
- Section 8(5) · Rule 6: Reasonable security safeguards — பாதுகாப்பு ஏற்பாடுகள். Reasonable security safeguards மூலம் personal data-வைப் பாதுகாக்க வேண்டும். Rule 6 குறைந்தபட்சத் தேவைகளைப் பட்டியலிடுகிறது: encryption, masking அல்லது tokenisation; access control; logs மற்றும் monitoring; continuity-க்கு backups; logs-ஐக் குறைந்தது ஒரு ஆண்டு வைத்திருத்தல்; processors-உடனான contracts-இல் security terms.
- Section 8(6) · Rule 7: Data Breach intimation — பாதிக்கப்பட்டவர்களுக்குத் தெரிவித்தல். Personal data breach பற்றித் தெரியவந்தவுடன், பாதிக்கப்பட்ட ஒவ்வொருவருக்கும் Data Protection Board-க்கும் தாமதமின்றித் தெரிவிக்க வேண்டும். 72 மணி நேரத்துக்குள் Board-க்கு விரிவான report அனுப்ப வேண்டும். Request செய்து Board கூடுதல் காலம் அனுமதித்தால், அந்தக் காலத்துக்குள் அனுப்பலாம்.
- Section 10 · Rule 13: Significant Data Fiduciary — கூடுதல் கடமைகள் உள்ள நிறுவனங்கள். Data-வின் அளவு, sensitivity, அதிலுள்ள risk ஆகியவற்றைப் பொறுத்து, அரசு சில நிறுவனங்களை Significant Data Fiduciaries என notify செய்யலாம். அவற்றுக்கு India-வில் உள்ள DPO, ஒரு independent data auditor, ஆண்டுதோறும் impact assessment மற்றும் audit தேவை. இந்தப் பக்கம் கடைசியாகச் சரிபார்க்கப்பட்டபோது எந்த நிறுவனமும் notify செய்யப்படவில்லை.
Steps
- உங்களுக்குப் பொருந்தும் கடமைகளை list செய்யுங்கள்.
- ஒவ்வொன்றுக்கும் risk-ஐ எளிய வார்த்தைகளில் எழுதுங்கள்; control, owner-ஐயும் எழுதுங்கள்.
- ஏற்கெனவே உள்ள controls, audits-ஐ evidence ஆக link செய்யுங்கள்.
- Likelihood, impact-ஐ உங்கள் வழக்கமான முறையில் rate செய்யுங்கள்.
- ஒவ்வொரு quarter-உம் management-உடன் review செய்யுங்கள்.
வைத்திருக்க வேண்டிய evidence
- Risk register-இலிருந்து extract
- Link செய்யப்பட்ட evidence
- Quarterly review minutes
பொதுவான தவறுகள்
- 'DPDP compliance' என்று ஒரே ஒரு line
- Owners இல்லை
- Policy document மட்டுமே evidence ஆக இருப்பது
யார் என்ன செய்ய வேண்டும்
- Chief Risk Officer: DPDP-ஐத் தனித்தனிக் கடமைகளாகப் பிரியுங்கள். 'DPDP compliance' என்ற ஒரே line, risk உண்மையில் எங்கே உள்ளது என்பதை மறைத்துவிடும்.
- Internal Audit Head: ஒவ்வொரு DPDP line-க்கும் உண்மையில் test செய்யக்கூடிய ஒரு control உள்ளதா என்று பாருங்கள்.
- Chief Compliance Officer: ஒவ்வொரு DPDP கடமையையும் உங்கள் compliance calendar-உடன் இணையுங்கள்.
- Internal Audit துறை: ஒவ்வொரு control-ஐயும் test செய்யுங்கள்.
Management-இடமிருந்து நல்ல பதில் எப்படி இருக்கும்
“DPDP எங்கள் risk register-இல் தனித்தனிக் கடமைகளாக உள்ளது. ஒவ்வொன்றுக்கும் owner, control, evidence உள்ளன. ஒவ்வொரு quarter-உம் review செய்கிறோம்.” முயற்சியும் நேரமும்: குறைவு · 2 முதல் 4 வாரங்கள்.
உங்கள் பொறுப்புக்கான முழுப் பக்கத்தைத் திறக்கவும் →