English

यह पेज मशीन की सहायता से अनुवादित है और किसी मूल हिंदी भाषी कानूनी अनुवादक ने इसकी जाँच नहीं की है। किसी अंतर की स्थिति में अंग्रेज़ी पेज मान्य है।

DPDP तैयारी जाँच

15 प्रश्न, लगभग 5 मिनट। हर प्रश्न DPDP अधिनियम 2023 की किसी धारा या DPDP नियम 2025 के किसी नियम से जुड़ा है। अंत में आपको 100 में से स्कोर और आपकी कमियाँ मिलेंगी, सबसे ज़रूरी पहले।

अपने व्यवसाय के आज के काम के हिसाब से उत्तर दें। "आंशिक" का अर्थ है कि आप यह केवल कुछ ग्राहकों या कुछ माध्यमों के लिए करते हैं।

प्रश्न 1/15 क्या आपके पास लिखित सूची है कि आप कौन-सा व्यक्तिगत डेटा लेते हैं, वह कहाँ रखा जाता है और क्यों लिया जाता है?

ग्राहकों के नाम, फ़ोन नंबर, WhatsApp चैट, Google Sheets, बिलिंग सॉफ़्टवेयर, CRM। हर जगह गिनी जाती है। (s.4, s.5, s.8(1))

प्रश्न 2/15 क्या आप जानते हैं कि व्यक्तिगत डेटा के हर उपयोग के लिए आप सहमति पर निर्भर हैं या धारा 7 के किसी "वैध उपयोग" पर?

अधिनियम केवल सहमति से या धारा 7 में दिए गए वैध उपयोग के लिए प्रोसेसिंग की अनुमति देता है (जैसे व्यक्ति ने किसी खास उद्देश्य के लिए स्वेच्छा से डेटा दिया और आपत्ति नहीं की, या किसी कानून का पालन)। (s.4, s.6, s.7)

प्रश्न 3/15 सहमति माँगते समय क्या आप एक अलग सूचना दिखाते हैं जिसमें हर डेटा, हर उद्देश्य, सहमति वापस लेने का तरीका, अधिकारों का उपयोग और डेटा संरक्षण बोर्ड से शिकायत का तरीका लिखा हो?

नियम 3 ऐसी सूचना माँगता है जो अपने आप में पूरी हो, स्पष्ट और सरल भाषा में हो, और डेटा व उद्देश्यों को अलग-अलग बताए। IT अधिनियम के लिए लिखी गई लंबी वेबसाइट पॉलिसी में अक्सर कुछ बातें छूट जाती हैं। (s.5, r.3)

प्रश्न 4/15 यदि ग्राहक माँगे, तो क्या वह आपकी सूचना अंग्रेज़ी में या आठवीं अनुसूची की 22 भाषाओं में से किसी में पढ़ सकता है?

धारा 5(3) के अनुसार सूचना को अंग्रेज़ी या संविधान की आठवीं अनुसूची की किसी भी भाषा में पढ़ने का विकल्प देना होगा। (s.5(3))

प्रश्न 6/15 क्या लोग सहमति उतनी ही आसानी से वापस ले सकते हैं जितनी आसानी से दी थी, और क्या उसके बाद आप (और आपके वेंडर) उनका डेटा उपयोग करना बंद कर देते हैं?

यदि सहमति एक टैप में दी गई थी, तो वापसी के लिए पत्र लिखना नहीं होना चाहिए। वापसी के बाद आपको और आपके प्रोसेसरों को उचित समय में प्रोसेसिंग बंद करनी होगी, जब तक कोई कानून कुछ और न कहे। (s.6(4), s.6(6))

प्रश्न 7/15 क्या आप साबित कर सकते हैं कि किसने, कब, किस काम के लिए सहमति दी और उसने सूचना का कौन-सा संस्करण देखा?

विवाद होने पर धारा 6(10) के अनुसार यह साबित करने की ज़िम्मेदारी आप पर (डेटा फ़िड्युशरी पर) है कि सूचना दी गई और सहमति ली गई। (s.6(10))

प्रश्न 8/15 क्या आपके लिए व्यक्तिगत डेटा संभालने वाले हर वेंडर (होस्टिंग, CRM, पेरोल, WhatsApp या SMS प्रदाता, एजेंसी) के साथ आपका लिखित अनुबंध है?

डेटा फ़िड्युशरी किसी डेटा प्रोसेसर को केवल वैध अनुबंध के तहत ही काम दे सकता है, और प्रोसेसर उसकी ओर से जो करता है उसकी ज़िम्मेदारी फ़िड्युशरी की रहती है। (s.8(1), s.8(2))

प्रश्न 9/15 क्या आपके पास बुनियादी सुरक्षा है: केवल ज़रूरी स्टाफ़ को एक्सेस, एन्क्रिप्शन या मास्किंग, कम से कम एक साल तक रखे गए एक्सेस लॉग, और बैकअप?

नियम 6 न्यूनतम "उचित सुरक्षा उपाय" बताता है, जिनमें एक्सेस नियंत्रण, लॉग और निगरानी, और कम से कम एक साल तक लॉग रखना शामिल है। उचित सुरक्षा उपाय न करने पर अनुसूची का सबसे बड़ा जुर्माना है, ₹250 करोड़ तक। (s.8(5), r.6)

प्रश्न 10/15 यदि ग्राहकों का डेटा लीक हो जाए, तो क्या आप जानते हैं कि प्रभावित लोगों और डेटा संरक्षण बोर्ड को कौन सूचित करेगा, और यह कि बोर्ड को विस्तृत रिपोर्ट 72 घंटों के भीतर देनी है?

नियम 7: हर प्रभावित व्यक्ति और बोर्ड को बिना देरी सूचित करें, फिर ब्रीच की जानकारी होने के 72 घंटों के भीतर (या बोर्ड द्वारा अनुमति दी गई लंबी अवधि में) बोर्ड को विस्तृत रिपोर्ट भेजें। सूचना न देने पर ₹200 करोड़ तक का जुर्माना हो सकता है। (s.8(6), r.7)

प्रश्न 11/15 क्या उद्देश्य पूरा होने या सहमति वापस लेने पर आप व्यक्तिगत डेटा मिटा देते हैं, और अपने वेंडरों से भी मिटवाते हैं?

धारा 8(7) के अनुसार सहमति वापस लेने पर या उद्देश्य पूरा होने पर डेटा मिटाना होगा, जब तक कोई कानून उसे रखने को न कहे। नियम 8 दो बातें जोड़ता है: कुछ बड़े प्लेटफ़ॉर्म के लिए तय अवधि और 48 घंटे पहले चेतावनी (तीसरी अनुसूची), और हर व्यवसाय के लिए, हर प्रोसेसिंग का डेटा और लॉग मिटाने से पहले कम से कम एक वर्ष तक रखना (नियम 8(3))। (s.8(7), r.8, r.8(3))

प्रश्न 12/15 क्या आपकी वेबसाइट, ऐप और जवाबों में उस व्यक्ति का संपर्क विवरण है जो बता सके कि आप व्यक्तिगत डेटा का उपयोग कैसे करते हैं?

नियम 9: अपनी वेबसाइट या ऐप पर प्रमुखता से ऐसे व्यक्ति की व्यावसायिक संपर्क जानकारी दें जो ऐसे प्रश्नों का उत्तर दे सके (महत्वपूर्ण डेटा फ़िड्युशरी के लिए डेटा संरक्षण अधिकारी की), और डेटा से जुड़े हर जवाब में उसका उल्लेख करें। (s.8(9), r.9)

प्रश्न 13/15 क्या आपके पास प्रकाशित उत्तर-समय वाली शिकायत प्रक्रिया है, और क्या आप शिकायतों को बंद होने तक ट्रैक करते हैं?

आपके पास प्रभावी शिकायत निवारण व्यवस्था होनी चाहिए। नियम 14 के अनुसार उत्तर देने की अवधि प्रकाशित करनी होगी और अधिकतम 90 दिनों में उत्तर देना होगा। बोर्ड से शिकायत करने से पहले व्यक्ति को आपकी प्रक्रिया का उपयोग करना होता है। (s.8(10), s.13, r.14)

प्रश्न 14/15 क्या आप किसी व्यक्ति के डेटा को देखने, सुधारने या मिटाने, या नामिती दर्ज करने के अनुरोध का बिना हड़बड़ी के उत्तर दे सकते हैं?

डेटा प्रिंसिपल अपने डेटा का सारांश और वह किसके साथ साझा हुआ यह माँग सकते हैं (धारा 11), सुधार या मिटाने की माँग कर सकते हैं (धारा 12), और किसी को नामित कर सकते हैं (धारा 14)। नियम 14 के अनुसार अनुरोध करने का तरीका प्रकाशित करना होगा। (s.11, s.12, s.14, r.14)

प्रश्न 15/15 यदि आप 18 वर्ष से कम आयु के किसी व्यक्ति का डेटा प्रोसेस करते हैं, तो क्या आप माता-पिता या अभिभावक की सत्यापन-योग्य सहमति लेते हैं, और बच्चों पर लक्षित ट्रैकिंग और विज्ञापन से बचते हैं?

स्कूल, कोचिंग संस्थान, बच्चों के ब्रांड और गेमिंग ऐप सीधे प्रभावित हैं। धारा 9 बच्चों की ट्रैकिंग, व्यवहार की निगरानी और उन पर लक्षित विज्ञापन पर भी रोक लगाती है। उल्लंघन पर ₹200 करोड़ तक का जुर्माना हो सकता है। चौथी अनुसूची कुछ वर्गों (क्लिनिकल प्रतिष्ठान, शैक्षणिक संस्थान, क्रेच, बच्चों का परिवहन) को केवल विशिष्ट उद्देश्यों के लिए आंशिक छूट देती है; उस पर निर्भर होने से पहले शर्तें पढ़ें। (s.9, r.10, r.11)