भारत का DPDPA तैयारी श्वेतपत्र 2026-2027

अनुभाग 1: आवरण

भारत का डिजिटल व्यक्तिगत डेटा संरक्षण अधिनियम अब अब किसी शेल्फ पर रखा भविष्य का कानून नहीं है। नियम अधिसूचित हो चुके हैं, Data Protection Board of India (DPBI) का गठन हो रहा है, और परिचालन अनुपालन की तिथियाँ 2026 और 2027 के कैलेंडर पर हैं। यह श्वेतपत्र उस कानूनी मशीनरी को ऐसे निर्णयों में बदलता है जिन पर संस्थापक, बोर्ड और ऑपरेटर इसी तिमाही में कार्रवाई कर सकते हैं।

यहाँ आपको क्या मिलेगा:

• अधिनियम क्या माँगता है और क्या अभी भी खुला कानून है — इसका सरल हिंदी/अंग्रेज़ी नक्शा
• SaralPrivacy OPERATE v6.1 ढाँचा: सात व्यावसायिक क्षमताएँ, सात कानूनी अध्याय नहीं
• कार्यान्वयन किट, उद्योग जोखिम स्नैपशॉट, और 90-दिवसीय कार्य योजना
• अधिनियम और नियमों की तालिकाओं, केस वॉचलिस्ट, शब्दकोश और स्रोतों के साथ कानूनी परिशिष्ट

कानूनी स्थिति — एक पंक्ति (14 जून 2026): Sec 3-17 के तहत मुख्य परिचालन कर्तव्य और अधिकांश Rules 13 मई 2027 को प्रभावी होंगे, जब तक राजपत्र संशोधन समयसीमा को तेज़ न कर दें; Consent Manager के कर्तव्य 13 नवंबर 2026 से शुरू होते हैं। किसी भी छोटी समयसीमा को अधिसूचित होने तक प्रस्तावित मानें।

अनुभाग 2: यह श्वेतपत्र किसके लिए है

यह किसके लिए है

• भारतीय व्यवसायों के संस्थापक और ऑपरेटर जो ग्राहक, कर्मचारी या विक्रेता का डेटा डिजिटल रूप से एकत्र करते हैं
• अनुपालन प्रमुख, CFO, HR प्रमुख, और प्रोडक्ट मैनेजर जिन्हें कानून की किताब नहीं, सरल मार्गदर्शन चाहिए
• सलाहकार (CA, सलाहकार, कानूनी ऑप्स) जो SMEs को समयसीमा से पहले DPDPA-तैयार करने में मदद करते हैं
• अंतरराष्ट्रीय टीमें जो भारतीय उपयोगकर्ताओं की सेवा करती हैं और GDPR की कॉपी-पेस्ट नहीं, भारत-विशिष्ट यांत्रिकी चाहती हैं
• बोर्ड सदस्य और CXO जिन्हें बजट और स्वामित्व मंज़ूर करने से पहले एक-पृष्ठ जोखिम दृश्य चाहिए

यह किसके लिए नहीं है

• वकील जो खंड-दर-खंड टिप्पणी चाहते हैं (इसके बजाय अनुभाग 20-22 और शब्दकोश का उपयोग करें)
• संगठन जो परिचालन परिवर्तन के बिना एक-पृष्ठ चेकबॉक्स चाहते हैं
• पाठक जो अभी अधिसूचित नहीं हुए नियमों पर निश्चितता चाहते हैं (SDF सूची, प्रतिबंधित देश, Board पोर्टल विवरण)

अनुभाग 19 में समर्पित स्नैपशॉट वाले क्षेत्र

CA फर्म, भर्ती एजेंसियाँ, प्रशिक्षण संस्थान, D2C ब्रांड, क्लिनिक और डायग्नोस्टिक लैब, स्कूल और कॉलेज, लॉ फर्म, रियल एस्टेट, होटल और यात्रा, फार्मेसी, fintech और NBFC, जिम, सैलून और स्पा।

अनुभाग 3: कार्यकारी सारांश

अपने अंतराल जानें। जो मायने रखता है उसे ठीक करें। विश्वास दिखाएँ।

भारत का DPDPA व्यवसायों के व्यक्तिगत डेटा के व्यवहार को पहले संग्रह से उल्लंघन प्रतिक्रिया तक बदल देता है। अधिनियम डेटा उपयोग पर प्रतिबंध नहीं लगाता। यह वैध उद्देश्य, स्पष्ट सूचना, बचाव योग्य सहमति या संकीर्ण वैध उपयोग, उचित सुरक्षा, समय पर उल्लंघन प्रतिक्रिया, कार्यशील अधिकार चैनल, और प्रोसेसर नियंत्रण माँगता है — साथ ही प्रमाण कि प्रत्येक नियंत्रण मौजूद है। अधिकांश भारतीय ऑपरेटरों के लिए बदलाव अनौपचारिक आदतों (WhatsApp इनटेक, साझा फ़ोल्डर, बंडल सहमति, अनिश्चितकालीन प्रतिधारण) से दस्तावेज़ित, स्वामित्व वाले कार्यक्रमों की ओर है जो नियामक या एंटरप्राइज़ ग्राहक के "दिखाओ" पूछने पर टिके रहें।

CEO को अभी क्यों परवाह करनी चाहिए। तीन घड़ियाँ चल रही हैं: Board सक्रिय है; Consent Manager बुनियादी ढाँचा नवंबर 2026 से वास्तविक होगा; परिचालन अनुपालन 13 मई 2027 के लिए निर्धारित है लेकिन MeitY रनवे छोटा करे तो तेज़ हो सकता है। जुर्माना Rs 250 करोड़ तक पहुँचता है, लेकिन निकट-अवधि जोखिम विश्वास, खरीद, और मुकदमeb की शक्ल है — साझेदार और ग्राहक पहले से डेटा मैप और उल्लंघन प्लेबुक माँगते हैं। अंतिम राजपत्र तिथि तक इंतज़ार करने का मतलब दबाव में पुनर्निर्माण है।

इस तिमाही शुरू करने योग्य पाँच बातें:

1. DPDPA तैयारी के लिए एक जवाबदेह स्वामी नामित करें (बिना चालक की समिति नहीं)।
2. प्रसंस्करण गतिविधि रजिस्टर बनाएँ — कौन सा डेटा, क्यों, कहाँ, कौन एक्सेस करता है, कितने समय तक रहता है।
3. प्रमुख संग्रह बिंदुओं पर स्वतंत्र सूचनाएँ ठीक करें; वैकल्पिक मार्केटिंग सहमति अलग रखें।
4. प्रोसेसर अनुबंध अपग्रेड करें और cross-border प्रवाह मैप करें।
5. उल्लंघन टेबलटॉप चलाएँ और 90-दिवसीय SLA ट्रैकर के साथ अधिकार/शिकायत इनबॉक्स खोलें।

क्या खुला कानून है। प्रतिबंधित-देश सूचियाँ, Significant Data Fiduciary (SDF) पदनाम, निर्दिष्ट स्थानीयकरण श्रेणियाँ, Consent Manager परिचालन विवरण, और समयसीमा संपीड़न राजपत्र पुष्टि तक वॉच आइटम हैं। यह श्वेतपत्र प्रत्येक आइटम को प्रभाव में, अधिसूचित चरण, प्रस्तावित, या लंबित मुकदमeb के रूप में लेबल करता है — कभी मिलाता नहीं।

इस दस्तावेज़ का बाकी हिस्सा कैसे पढ़ें। अनुभाग 5-9 कानूनी आधार देते हैं। अनुभाग 10-17 OPERATE v6.1 अध्याय-दर-अध्याय चलते हैं। अनुभाग 18 किट देता है; अनुभाग 19 उद्योग के अनुसार जोखिम कहाँ केंद्रित है दिखाता है। अनुभाग 20-22 कानूनी परिशिष्ट सामग्री हैं। अनुभाग 23 आपकी 90-दिवसीय शुरुआती योजना है। अनुभाग 24 दायरा और SaralPrivacy उपकरण कैसे फिट होते हैं बताता है — वकील की जगह नहीं लेते।

नेतृत्व के लिए निष्कर्ष: DPDPA तैयारी एक परिचालन क्षमता है — इन्वेंटरी, अनुमति, प्रमाण, अधिकार, शासन, विक्रेता, और घटना प्रतिक्रिया — नीति PDF नहीं। 2026 में प्रमाण बनाने वाले संगठन साझेदारी की बातचीत, शिकायतें, और नियामक प्रश्नों का स्पष्ट स्थिति से सामना करेंगे। अंतिम हेडलाइन तिथि का इंतज़ार करने वाले दबाव में पुनर्निर्माण का जोखिम उठाते हैं।

अनुभाग 4: CEO और बोर्ड प्राथमिकता पृष्ठ

बोर्ड को पूरा अधिनियम पढ़ने की ज़रूरत नहीं। उन्हें पाँच निर्णय, पाँच जोखिम, पाँच प्रमाण आइटम, और कानून स्थिर होने से पहले क्या न overbuild करें — इसकी स्पष्टता चाहिए।

पाँच नेतृत्व निर्णय

1. एक जवाबदेह स्वामी नामित करें — प्रोडक्ट, कानूनी, या ऑप्स — बोर्ड दृश्यता के साथ, "सभी की गोपनीयता" नहीं।
2. तय करें कौन सा प्रसंस्करण सहमति बनाम वैध उपयोग है और निर्णय दस्तावेज़ करें; सभी HR या KYC प्रवाह छूट न मानें।
3. इस तिमाही विक्रेता और cross-border समीक्षा मंज़ूर करें — क्लाउड, पेरोल, CRM, ad-tech, BGV, भुगतान साझेदार।
4. घटना से पहले उल्लंघन एस्केलेशन पथ तय करें — कानूनी, सुरक्षा, संचार, और Board सूचना भूमिकाएँ।
5. पहले ठीक करने के लिए दो उद्योग-विशिष्ट प्रवाह चुनें (अनुभाग 19 से) जहाँ आज वास्तविक डेटा लीक होता है।

पाँच परिचालन जोखिम

1. WhatsApp और व्यक्तिगत फ़ोन PAN, स्वास्थ्य, प्रिस्क्रिप्शन, CV, या अतिथि ID के लिए डिफ़ॉल्ट चैनल।
2. साझा क्लाउड फ़ोल्डर और पुरानी एक्सेस — पूर्व कर्मचारी, इंटर्न, फ्रीलांसर, पुराने ब्रोकर साझेदार।
3. अलग सहमति के बिना मार्केटिंग और एनालिटिक्स — पिक्सेल, कार्ट अभियान, WhatsApp प्रोमो।
4. पुराने ग्राहक, उम्मीदवार, रोगी, या कर्मचारी रिकॉर्ड का अनिश्चितकालीन प्रतिधारण।
5. बिना अनुबंध या सुरक्षा और उल्लंघन-सहयोग खंडों के प्रोसेसर।

बनाए रखने योग्य पाँच प्रमाण आइटम

1. प्रसंस्करण गतिविधि रजिस्टर (दिनांकित, स्वामित्व, त्रैमासिक समीक्षा)।
2. सूचना और सहमति संस्करण लॉग (उपयोगकर्ता ने क्या देखा, कब, किस चैनल पर)।
3. DPDPA-संरेखित खंडों वाला प्रोसेसर और विक्रेता अनुबंध रजिस्टर।
4. समापन तिथियों के साथ अधिकार और शिकायत अनुरोध लॉग।
5. उल्लंघन और घटना रिकॉर्ड — टेबलटॉप अभ्यास सहित।

अभी overbuild न करने योग्य पाँच बातें

1. पदनाम मानदंड और सूचियाँ अंतिम होने से पहले पूर्ण SDF कार्यक्रम।
2. नवंबर 2026 ढाँचा आपके क्षेत्र में परिचालन होने से पहले Consent Manager एकीकरण।
3. सरकारी अधिसूचनाएँ प्रकाशित होने से पहले देश-स्तर स्थानांतरण ब्लॉकलिस्ट।
4. बुनियादी इन्वेंटरी, सूचनाएँ, और विक्रेता अनुबंध होने से पहले एंटरप्राइज़ GRC प्लेटफ़ॉर्म।
5. मुकदमeb और चरण तिथियाँ अभी भी बदल रही हों तब "पूर्ण अनुपालन" का दावा।

एक नज़र में प्रमाण पैक

Diagram: see figure below.

CEO निष्कर्ष: अनुपालन रिकॉर्ड से सिद्ध होता है, इरादों से नहीं।

अनुभाग 5: कानूनी स्थिति स्नैपशॉट (जून 2026)

नीति क्षितिज चेतावनी

नीचे दिए आइटमों को राजपत्र संशोधन पुष्टि होने तक वॉच आइटम मानें। ये प्रस्तावित या चर्चित हैं — 14 जून 2026 तक अधिसूचित कानून नहीं।

लेखक नियम: हमेशा आइटमों को प्रभाव में, अधिसूचित चरण, प्रस्तावित, या लंबित मुकदमeb लेबल करें। कभी मिलाएँ नहीं।

संख्या पट्टी

अनुभाग 6: 2026-2027 में DPDPA क्यों महत्वपूर्ण है

भारत का डिजिटल स्टैक — विश्वास की परत के रूप में गोपनीयता

भारत ने एक डिजिटल सार्वजनिक बुनियादी ढाँचा बनाया जिसकी अधिकांश देश केवल बात करते हैं: पहचान (Aadhaar), भुगतान (UPI), दस्तावेज़ (DigiLocker), और सहमति रेल (Account Aggregator)। इसे आधुनिक हाईवे प्रणाली की तरह समझें — वाणिज्य के लिए फास्ट लेन, सत्यापन के लिए टोल प्लाज़ा, और सड़क पर लाखों वाहन (ऐप और व्यवसाय)।

हाल तक, हाईवे पर गति सीमा थी लेकिन व्यक्तिगत डेटा के लिए कोई एकसमान ट्रैफ़िक पुलिस नहीं थी। DPDPA वह ट्रैफ़िक प्रणाली है: यह व्यवसायों को बताता है कौन सा डेटा ले जा सकते हैं, कैसे सुरक्षित करना है, और दुर्घटना होने पर क्या होता है।

गैर-तकनीकी पाठकों के लिए उपमा: आपकी दुकान में हमेशा ग्राहक रजिस्टर रहा। DPDPA पूछता है (1) ग्राहकों को बताएँ रजिस्टर में क्या लिखते हैं, (2) केवल ज़रूरी लिखें, (3) रजिस्टर ताला लगाएँ, (4) ग्राहकों को अपना पृष्ठ देखने या मिटाने दें, और (5) रजिस्टर चोरी हो तो तुरंत अधिकारियों को बताएँ। रजिस्टर गैरकानूनी नहीं हुआ — लापरवाह संभाल गैरकानूनी हुई।

सहमति अकेली काफ़ी नहीं

कई टीमें "DPDPA" सुनकर सीधे सहमति बैनर पर कूदती हैं। कई प्रवाहों के लिए सहमति ज़रूरी है, लेकिन अधिनियम सुरक्षा, उल्लंघन सूचना, प्रतिधारण अनुशासन, अधिकार संभाल, प्रोसेसर अनुबंध, और जवाबदेही प्रमाण भी माँगता है। परफ़ेक्ट सहमति लॉग लेकिन साझा WhatsApp फ़ोल्डर, कोई उल्लंघन प्लेबुक नहीं, और अनिश्चितकालीन CV भंडारण वाला व्यवसाय अभी भी जोखिम में है। OPERATE v6.1 इसलिए Permission (वैध आधार) को Evidence (प्रमाण) और Accountability (शासन) से अलग करता है।

सार्वभौमिक गोपनीयता सिद्धांत (OECD / APEC आधार)

160+ अधिकार क्षेत्रों में वही विषय दोहराते हैं। भारत इनसे संरेखित है, यांत्रिकी अलग हो:

1. पारदर्शिता — लोगों को बताएँ क्या एकत्र करते हैं और क्यों
2. उद्देश्य सीमा — डेटा केवल बताए गए कारण के लिए
3. डेटा न्यूनीकरण — काम चलाने के लिए सबसे छोटी मात्रा
4. सुरक्षा — उचित सुरक्षा से डेटा की रक्षा
5. व्यक्तिगत अधिकार — पहुँच, सुधार, विलोपन, शिकायत मार्ग
6. जवाबदेही — ऊपर का प्रमाण, विशेषकर डिजिटल नियामक के तहत
7. Cross-border जिम्मेदारी — डेटा कहाँ जाता है और कौन जवाब देता है

DPDPA इन आदतों का भारतीय संस्करण है, भारतीय लेटरहेड वाला विदेशी आयात नहीं।

वैश्विक तुलना — व्यवसाय दृष्टि

भारत बनाम GDPR — मिथक बनाम तथ्य

2026 वास्तविक शुरुआती रेखा क्यों है

तीन घड़ियाँ एक साथ चल रही हैं:

1. Board घड़ी (सक्रिय): DPBI मौजूद। प्रमाण-आधारित डिजिटल प्रवर्तन अभी बन रहा है।
2. Consent Manager घड़ी (13 नवं 2026): पंजीकृत मध्यस्थ और एकीकरण वास्तविक होते हैं।
3. परिचालन घड़ी (13 मई 2027, संभवतः जल्दी): सूचना, सहमति, सुरक्षा, उल्लंघन, अधिकार, बच्चे, प्रोसेसर — जो अधिकांश व्यवसाय महसूस करते हैं।

2026 वह समय है जब कार्यक्रम "बाद में किसी को रखेंगे" से "आज डेटा मैप और उल्लंघन प्लेबुक दिखा सकते हैं" में बदलें। गोपनीयता को ग्राहक विश्वास मानने वाले व्यवसाय तेज़ी से आगे बढ़ेंगे जब खरीद, साझेदारी, और नियामक प्रमाण माँगें।

अनुभाग 7: अधिनियम क्या कवर करता है

नियंत्रण बनाने से पहले, नेताओं को साझा शब्दावली चाहिए। DPDPA परिभाषित भूमिकाएँ और डिजिटल-प्रथम दायरा उपयोग करता है। यह अनुभाग सरल हिंदी/अंग्रेज़ी नक्शा है।

मुख्य परिभाषाएँ

लागूता — अधिनियम आपके व्यवसाय को कब छूता है

Sec 3 लागू होता है जब आप digital personal data process करते हैं:

• भारत में — ग्राहक, कर्मचारी, विक्रेता, वेबसाइट उपयोगकर्ता
• बाद में digitised ऑफ़लाइन डेटा — कागज़ फ़ॉर्म सिस्टम में स्कैन
• भारत के बाहर — यदि processing भारत में लोगों को वस्तुएँ या सेवाएँ देने से जुड़ी हो

Sec 17 और Rule अनुसूचियों में कुछ राज्य, अनुसंधान, कानूनी, और सुरक्षा संदर्भों के लिए अपवाद और carve-out हैं। वकील के बिना व्यापक छूट self-certify न करें। टीमों को भ्रमित करने वाले उदाहरण: कानूनी दावे के लिए सख्ती से आवश्यक processing, कुछ अदालत-निर्देशित प्रकटीकरण, और Rule 16 मानकों को पूरा करने वाला अनुसंधान/सांख्यिकी बिना व्यक्तिगत निर्णयन के। छूट लागू हो भी सकती है, दस्तावेज़ीकरण कानूनी आधार और संकीर्ण दायरे का जवाबदेही के लिए महत्वपूर्ण।

व्यवहार में व्यक्तिगत डेटा — टीमें क्या गिनना भूलती हैं

ऑपरेटर अक्सर व्यक्तिगत डेटा कम गिनते हैं क्योंकि यह ग्राहक डेटाबेस नहीं, परिचालन उपकरणों में छिपा है। अक्सर overlooked स्रोत: recruiter Excel trackers, WhatsApp Business chat exports, पहचान योग्य व्यक्तियों वाली CCTV फुटेज, attendance और GPS logs, कार्य उपकरणों पर कर्मचारी monitoring, पुराने backup tapes, production copies वाले test environments, और customer support tickets से बने AI training sets। Observe का मतलब केवल CRM rows नहीं, इन्हें ईमानदारी से गिनना है।

GDPR के विपरीत, भारत statutory special category label नहीं करता। इसका मतलब नहीं कि स्वास्थ्य, वित्तीय, बच्चों का, या बायोमेट्रिक डेटा कम जोखिम है। क्षेत्र नियम, SDF जांच, और ग्राहक विश्वास अभी भी इन्हें उच्च-देखभाल डेटा मानते हैं — मजबूत सूचना, सुरक्षा, प्रतिधारण, और अधिकार संभाल की ज़रूरत।

भूमिका पारिस्थितिकी

Diagram: see figure below.

सरल भाषा: व्यवसाय आमतौर पर Data Fiduciary है। आपके विक्रेता Processors हैं। व्यक्ति Data Principal है। Consent Managers भारत-विशिष्ट परत हैं। SDF केवल यदि सरकार आपके संगठन को notify करे।

अनुभाग 8: वैध प्रसंस्करण — सहमति और वैध उपयोग

हर संग्रह और उपयोग को वैध मार्ग चाहिए: Sec 6 के तहत सहमति या Sec 7 के तहत संकीर्ण वैध उपयोग। यह अनुभाग OPERATE अध्याय परिचालन से पहले कानूनी आधार समेटता है।

सहमति आवश्यकताएँ (Sec 6)

सहमति होनी चाहिए:

• स्वतंत्र — वैकल्पिक processing से इनकार पर मुख्य सेवा नहीं रोकें
• विशिष्ट — मार्केटिंग, analytics, photos, referrals मुख्य delivery से अलग
• सूचित — स्वतंत्र सूचना (Sec 5, Rule 3) द्वारा समर्थित
• बिना शर्त — असंबंधित शर्तों से बंडल नहीं
• अस्पष्ट नहीं — स्पष्ट सकारात्मक कार्रवाई; pre-ticked बॉक्स नहीं
• वापस लेने योग्य — देने जितना आसान

बच्चे (Sec 9): 18 से कम एकसमान सीमा। सत्यापन योग्य अभिभावक सहमति; बच्चों पर tracking, behavioural monitoring, या targeted advertising नहीं।

वैध उपयोग (Sec 7) — संकीर्ण सूची, सुविधा का दरवाज़ा नहीं

उदाहरण: Data Principal द्वारा निर्दिष्ट उद्देश्य के लिए स्वैच्छिक डेटा, राज्य कार्य, कानून अनुपालन, अदालत आदेश, चिकित्सा आपात, आपदा/सार्वजनिक व्यवस्था, और कुछ रोज़गार सुरक्षा। GDPR "legitimate interests" को सीधे Sec 7 पर map न करें। अनिश्चित हो तो सूचना + सहमति और निर्णय दस्तावेज़ करें।

सूचना संरेखण (Sec 5, Rule 3)

सूचना स्वतंत्र रूप से समझने योग्य, सरल, itemised, और संग्रह बिंदु पर उपलब्ध — Terms and Conditions में दबी नहीं। एकत्र डेटा, उद्देश्य, अधिकार, withdrawal, शिकायत संपर्क, और Board शिकायत मार्ग समझाना चाहिए।

सहमति और वैध-उपयोग निर्णय प्रवाह

Diagram: see figure below.

निर्णय नियम: हर व्यवसाय सुविधा को वैध उपयोग default न करें। संदेह हो तो सूचना + सहमति और प्रमाण रखें।

रोज़गार, राज्य, और कानूनी संदर्भ

HR payroll, attendance, और statutory filings अक्सर legitimate-use या contractual necessity patterns में फिट — लेकिन सूचना, सुरक्षा, प्रतिधारण सीमा, और अधिकार चैनल अभी भी चाहिए। सरकार-जुड़े लाभ कार्यक्रम Schedule 2 मानक समीक्षा करें। कानूनी कार्यवाही और नियामक अनुरोध documented कानूनी आधार और counsel escalation चाहते हैं।

अनुभाग 9: DPDPA के तहत मुख्य दायित्व

यह तालिका वैधानिक कर्तव्यों को OPERATE v6.1 और नेताओं को अपेक्षित प्रमाण से map करती है।

नेतृत्व पढ़ना: यदि किसी पंक्ति के लिए evidence कॉलम नहीं दिखा सकते, मानें दायित्व अभी चल नहीं रहा।

वास्तविक परिचालन में दायित्व कैसे जुड़ते हैं

क few businesses एक missing checkbox पर fail होते हैं। failure patterns आमतौर compound हैं: सूचना के बिना WhatsApp intake, अनिश्चितकालीन प्रतिधारण, कोई उल्लंघन प्लेबुक नहीं, बिना अनुबंध vendor। ऊपर की तालिका diagnostic grid है। प्रवाह audit करते समय — उदाहरण clinic report sharing या fintech KYC — पंक्ति ऊपर से नीचे चलें और mark करें कौन सा evidence आज मौजूद है। वह compound view DPBI proceedings और enterprise procurement diligence जैसा बढ़ रहा है।

अनुभाग 10: SaralPrivacy OPERATE मॉडल (v6.1)

SaralPrivacy OPERATE मॉडल DPDPA को statute sections से सात व्यावसायिक क्षमताओं में बदलता है। v6.1 अक्षरों को reframe करता है जैसे operators वास्तव में कार्यक्रम बनाते हैं: डेटा observe करें, permission अर्जित करें, evidence रखें, rights सम्मान करें, accountability दिखाएँ, third parties नियंत्रित करें, और events (विशेषकर breaches) rehearse करें।

O  OBSERVE        - जानें कौन सा डेटा है और कहाँ बहता है
P  PERMISSION     - वैध आधार, सूचना, सहमति, वैध उपयोग
E  EVIDENCE       - logs, contracts, versions, proof packs
R  RIGHTS         - पहुँच, सुधार, विलोपन, शिकायत, नामांकन
A  ACCOUNTABILITY - स्वामी, नीतियाँ, प्रशिक्षण, board reporting
T  THIRD-PARTY    - processors, vendors, cross-border
E  EVENT          - उल्लंघन detection, 72-घंटे clock, escalation

Diagram: see figure below.

नीचे प्रत्येक अध्याय वही six-block recipe: hook, outcomes, actions, India anchors, GDPR comparison, evidence checklist।

अनुभाग 11: OPERATE अध्याय 1 — व्यक्तिगत डेटा Observe करें

1. व्यवसाय hook

जो नाम नहीं दे सकते, उसकी रक्षा नहीं कर सकते। अधिकांश DPDPA failures एक ही तरह शुरू: नेतृत्व सोचता है कंपनी के पास "बुनियादी ग्राहक जानकारी" है, जबकि engineers, HR, vendors चुपचाप PAN copies, health records, और वर्षों के WhatsApp exports रखते हैं। Observe का मतलब व्यक्तिगत डेटा का जीवंत नक्शा — गोदाम में inventory की तरह, one-time Excel dump नहीं।

उपमा: DPDPA तैयारी tax audit की तैयारी जैसी। notice का इंतज़ार नहीं करते कि कौन सी drawers में पुराने receipts हैं। अभी drawers label करें।

2. अच्छा कैसा दिखता है

• प्रसंस्करण गतिविधि रजिस्टर (PAR) क्या डेटा, क्यों, कौन एक्सेस, कहाँ stored, कितने समय रहता है
• प्रत्येक गतिविधि के लिए स्वामी (marketing, HR, finance, product)
• भारत और cross-border systems के लिए data flows documented
• red-flag flows early flagged: WhatsApp intake, shared drives, ex-employee access, shadow IT
• features, vendors, या नए collection points launch पर updates

3. अभी करें

1. हर जगह सूची बनाएँ जहाँ व्यक्तिगत डेटा enters: website forms, apps, WhatsApp, email, paper, CCTV, HR tools, payment gateways।
2. प्रत्येक entry point पर data categories record करें (name, phone, PAN, health, photos, location, etc.)।
3. प्रत्येक flow customer, employee, vendor, या lead data purpose tag के साथ mark करें।
4. processors (cloud, payroll, ATS, CRM, ad-tech) identify करें और activities से link करें।
5. "sensitive" label के बिना भी high-care data highlight: children, health, financial, biometric।
6. activity owner और review calendar (न्यूनतम त्रैमासिक) assign करें।
7. register वहाँ store करें जहाँ legal, security, product सभी access कर सकें।

4. India anchor box

5. यदि GDPR जानते हैं

GDPR Art 30 कई controllers के लिए Records of Processing Activities (ROPA) माँगता है। भारत का approach व्यवहार में similar लेकिन form identical नहीं: वही inventory habit, लेकिन lawful basis Sec 4 + 6/7 के तहत tag, GDPR Art 6 labels नहीं।

6. Evidence checklist

• [ ] प्रसंस्करण गतिविधि रजिस्टर (version dated)
• [ ] Data flow diagram या table (internal + cross-border)
• [ ] activities से linked processor/vendor list
• [ ] High-care data classification notes
• [ ] named owner के साथ quarterly review log

अनुभाग 12: OPERATE अध्याय 2 — Permission और वैध आधार

Permission v6 में Permit और Explain को जोड़ता है: lawful basis discipline और collection moment पर समझने योग्य notices।

1. व्यवसाय hook

डेटा collect करना आसान। उपयोग की अनुमति कानून है। Permission lawful-processing plus notice discipline: हर use को सहमति या संकीर्ण Sec 7 legitimate use चाहिए — "हमेशा ऐसे करते थे" नहीं। और users collection point पर समझें क्या agreed — policy PDF page 47 पर नहीं।

उपमा: सहमति शादी की guest list जैसी। Legitimate use caterer को kitchen में बिना अलग invite — लेकिन specific job के लिए, wander in नहीं। invite पर notice दोनों legitimate बनाता है।

2. अच्छा कैसा दिखता है

• हर processing activity tagged: consent या legitimate use (Sec 7 subsection cited)
• Marketing, profiling, photos, referrals, optional analytics अलग consent
• Consent records show क्या agreed, कब, withdrawal कैसे
• Pre-ticked boxes नहीं; clear affirmative action
• प्रत्येक collection point पर standalone notice — Terms and Conditions में hidden नहीं
• Plain language, itemised: क्या data, क्यों, rights, withdrawal, grievance contact, Board complaint route
• Consent Manager strategy documented यदि registered intermediaries integrate (13 नवं 2026 से)
• Children's flows verifiable parental consent; बच्चों को targeted ads नहीं

3. अभी करें

1. Current consents audit: website, app, WhatsApp, paper forms, contracts — specific या bundled?
2. Necessary processing (order fulfilment, payroll) optional (ads, testimonials, talent pools) से split।
3. हर collection point inventory: web, app, offline form, WhatsApp bot, reception desk।
4. major flow के लिए short notice template (200-400 words) draft।
5. Core notice T&Cs से हटाएँ; notice separately link/embed।
6. product और sales teams के लिए one-page lawful processing decision tree।
7. Sec 7 uses narrowly document (employment safeguards, legal compliance, medical emergency — "business convenience" नहीं)।
8. Opt-in जितना आसान withdrawal implement।
9. Under-18 users: behavioural ads और tracking block; parent verification plan (Rule 10)।
10. Withdrawal, rights request, grievance paths working contact details के साथ add।

4. India anchor box

5. यदि GDPR जानते हैं

GDPR six lawful bases और Arts 13/14 transparency देता है। भारत essentially दो routes और Rule 3 explicitly notices independently understandable — T&C bundling के खिलाफ direct strike। GDPR "legitimate interests" को सीधे Sec 7 पर map न करें।

6. Evidence checklist

• [ ] प्रति processing activity lawful basis tag
• [ ] Consent logs (timestamp, scope, channel)
• [ ] Withdrawal mechanism screenshots या workflow
• [ ] Sec 7 justification memos जहाँ used
• [ ] प्रति collection channel notice copies (dated versions)
• [ ] In-product notice placement screenshots
• [ ] Child-facing flow assessment और parent consent design
• [ ] Consent Manager integration plan (यदि applicable)

अनुभाग 13: OPERATE अध्याय 3 — प्रमाण और रिकॉर्ड

प्रमाण वह proof layer है। DPBI की कार्यवाही डिजिटल और दस्तावेज़-आधारित है। जब कोई ग्राहक शिकायत करता है, विक्रेता लीक करता है, या बोर्ड पूछता है "हम तैयार हैं?", संगठन रिकॉर्ड पर जीतते या हारते हैं, इरादों पर नहीं।

1. व्यवसाय हुक

स्लाइड डेक में नीतियाँ जांच में नहीं टिकती। प्रमाण का मतलब है कि आप दिखा सकें कि उपयोगकर्ता कौन सी सूचना देखा, कौन सी सहमति दी, कौन सा अनुबंध विक्रेता को नियंत्रित करता था, शिकायत कैसे बंद हुई, और उल्लंघन अभ्यास में घंटे-दर-घंटे क्या हुआ। इसे GST के लिए इनवॉइस रखने जैसा सोचें — कानून प्रक्रिया के proof की परवाह करता है।

उपमा: पायलट की लॉगबुक विमान नहीं उड़ाती, लेकिन कोई एयरलाइन बिना इसके पायलट certify नहीं करती। DPDPA प्रमाण उसी तरह काम करता है।

2. अच्छा क्या दिखता है

• समय-मुहरा वाली सूचनाएँ और सहमति प्रवाह
• सूचना संस्करण, चैनल, और दायरे से जुड़े consent logs
• हस्ताक्षरित अनुबंध और समीक्षा तिथियों वाला processor register
• पहचान सत्यापन चरण और बंद होने के proof के साथ अधिकार और शिकायत register
• टेबलटॉप अभ्यास सहित उल्लंघन और घटना log
• विलोपन रिकॉर्ड और दस्तावेज़ित अपवादों के साथ प्रतिधारण अनुसूची
• सुरक्षा baseline दस्तावेज़ीकरण और त्रैमासिक access reviews
• अधिसूचित और प्रस्तावित परिवर्तनों को अलग करने वाला policy horizon log

3. अभी यह करें

1. स्वामियों और समीक्षा cadence के साथ एक evidence pack index बनाएँ (इन्फोग्राफिक 1 देखें)।
2. सूचना और सहमति संस्करण log शुरू करें — तिथि, चैनल, screenshot या URL, approver।
3. DPDPA सुरक्षा, उल्लंघन, विलोपन, और audit खंडों के साथ विक्रेता अनुबंध केंद्रीकृत करें।
4. अधिकार/शिकायत register खोलें — ticket ID, प्राप्ति तिथि, कार्रवाई, बंद होने की तिथि।
5. डेटा हटाए जाने या मानक अवधि से आगे बढ़ाए जाने पर प्रतिधारण निर्णय log करें।
6. वास्तविक घटनाओं जैसे उल्लंघन अभ्यास रिकॉर्ड फाइल करें — timeline, roles, उपयोग किए टेम्पलेट।
7. प्रमाण आइटम को अपने processing activity register की entries से जोड़ें।

4. भारत एंकर बॉक्स

5. यदि आप GDPR जानते हैं

GDPR accountability (Article 5(2)) और record-keeping इस अध्याय को mirror करते हैं। भारत का phased commencement का मतलब है कि कई फर्में पूर्ण प्रवर्तन पहले प्रमाण बना रही हैं — paper-only अनुपालन से बचने के लिए runway का उपयोग करें।

6. प्रमाण चेकलिस्ट

• [ ] स्वामियों के साथ evidence pack index
• [ ] सूचना और सहमति संस्करण log
• [ ] सहमति और withdrawal रिकॉर्ड
• [ ] Processor अनुबंध register
• [ ] अधिकार/शिकायत register
• [ ] उल्लंघन/घटना log (अभ्यास सहित)
• [ ] प्रतिधारण अनुसूची और विलोपन proof
• [ ] सुरक्षा baseline और access review रिकॉर्ड
• [ ] नियामक watch log

अनुभाग 14: OPERATE अध्याय 4 — अधिकार और शिकायत संचालन

गोपनीयता कानून केवल बुरी बातें रोकने के बारे में नहीं है। लोगों को पूछने का अधिकार होना चाहिए — अपना डेटा देखें, ठीक करें, मिटाएँ, शिकायत करें, और किसी को उनकी जगह कार्य करने के लिए nominate करें। अधिकार डेटा अनुरोधों के लिए आपका customer service lane है, 90-दिवसीय शिकायत छत के साथ।

1. व्यवसाय हुक

यदि बैंक खाताधारक अनुरोध पर statement नहीं पा सकता, बैंक बिना fraud के भी विश्वास खो देता है। डेटा अधिकार उसी तरह काम करते हैं।

उपमा: Returns desk मौजूद हैं क्योंकि commerce को fair correction path चाहिए। अधिकार अनुरोध व्यक्तिगत डेटा के लिए वही desk हैं।

2. अच्छा क्या दिखता है

• access, correction, erasure, grievance, और nomination अनुरोधों के लिए प्रकाशित चैनल
• निष्पक्ष और दस्तावेज़ित पहचान सत्यापन चरण
• स्वामी, SLA tracker, और closure evidence के साथ ticket queue
• 90 दिन अधिकतम के भीतर शिकायत प्रतिक्रियाएँ (Rule 14)
• Data Principal कर्तव्यों के लिए fair-use भाषा (कोई झूठी शिकायत नहीं, कोई impersonation नहीं)
• सूचना में DPBI तक escalation path दस्तावेज़ित

3. अभी यह करें

1. वेबसाइट/ऐप पर "अपने अधिकारों का प्रयोग करें" निर्देश प्रकाशित करें — email या फॉर्म के साथ।
2. शिकायत स्वामी नियुक्त करें (सभी फर्मों के लिए full-time DPO ज़रूरी नहीं)।
3. अनुरोध टेम्पलेट बनाएँ: access, correction, erasure, nomination।
4. पहचान सत्यापन परिभाषित करें (जोखिम के अनुपात में)।
5. तिथियों और परिणामों के साथ सरल register में अनुरोध ट्रैक करें।
6. 90 दिन से काफ़ी कम internal SLA सेट करें; दिन 60 पर escalate करें।
7. सपोर्ट स्टाफ को प्रशिक्षित करें कि अनुरोध "केवल IT" के रूप में dismiss न करें।

4. भारत एंकर बॉक्स

5. यदि आप GDPR जानते हैं

GDPR Chapter III अधिकार case law volume में व्यापक हैं लेकिन आकार में समान हैं। भारत की 90-दिवसीय शिकायत cap एक स्पष्ट संख्या है — informal email threads के लिए नहीं, ops को इस पर बनाएँ।

6. प्रमाण चेकलिस्ट

• [ ] प्रकाशित अधिकार और शिकायत प्रक्रिया
• [ ] समय-मुहरा वाला अनुरोध register
• [ ] पहचान सत्यापन प्रक्रिया
• [ ] बंद अनुरोध नमूने (redacted)
• [ ] SLA dashboard या मासिक रिपोर्ट
• [ ] Nomination संचालन नोट्स

अनुभाग 15: OPERATE अध्याय 5 — जवाबदेही और शासन

जवाबदेही गोपनीयता को project से managed business function में बदल देती है। किसी को programme का स्वामित्व होना चाहिए, बोर्ड को material risk दिखनी चाहिए, और स्टाफ को नियम पता होना चाहिए।

1. व्यवसाय हुक

शासन के बिना, गोपनीयता annual policy PDF और भूली vendor spreadsheet बन जाती है। जवाबदेही स्वामी नामित करती है, समीक्षा cadence सेट करती है, टीमों को प्रशिक्षित करती है, और ऊपर रिपोर्ट करती है — जैसे finance में CFO और monthly closes होते हैं।

उपमा: workplace safety को fire marshal और drills चाहिए, केवल poster नहीं। गोपनीयता शासन वही operating layer है।

2. अच्छा क्या दिखता है

• executive sponsor के साथ नामित DPDPA programme स्वामी
• वेबसाइट, ऐप, और सूचनाओं पर प्रकाशित DPO या authorised contact (Rule 9)
• मुख्य policy set: privacy notice framework, retention, security baseline, vendor standard, rights SOP, breach playbook
• व्यक्तिगत डेटा छूने वाले स्टाफ के लिए onboarding और वार्षिक refresher प्रशिक्षण
• उच्च-देखभाल सिस्टमों के लिए त्रैमासिक access reviews
• वर्ष में कम से कम दो बार बोर्ड या leadership summary: top risks, open items, evidence maturity
• SDF readiness track केवल यदि designation plausible है

3. अभी यह करें

1. एक accountable स्वामी नियुक्त करें और ज़िम्मेदारियाँ दस्तावेज़ करें।
2. सूचनाओं और वेबसाइट footer में grievance/DPO contact प्रकाशित करें।
3. OPERATE letters से mapped minimal policy set approve करें।
4. frontline टीमों (WhatsApp, HR, support) के लिए 60-मिनट DPDPA awareness session चलाएँ।
5. legal, security, product, और ops के साथ त्रैमासिक programme reviews schedule करें।
6. एक-पृष्ठ बोर्ड summary प्रस्तुत करें: पाँच risks, पाँच evidence gaps, 90-दिवसीय योजना स्थिति।
7. मासिक scan स्वामी के साथ policy horizon log (अनुभाग 22) बनाए रखें।

4. भारत एंकर बॉक्स

5. यदि आप GDPR जानते हैं

GDPR DPO आवश्यकताएँ controllers के subsets पर लागू होती हैं। भारत Rule 9 के माध्यम से प्रकाशित contact व्यापक रूप से माँगता है; SDFs पर भारी कर्तव्य। Processors और ग्राहक upstream audit करते बढ़ रहे हैं, इसलिए SMEs के लिए भी governance maturity मायने रखती है।

6. प्रमाण चेकलिस्ट

• [ ] नामित programme स्वामी और executive sponsor
• [ ] प्रकाशित DPO/authorised contact
• [ ] संस्करण तिथियों के साथ approved policy set
• [ ] प्रशिक्षण attendance या completion रिकॉर्ड
• [ ] त्रैमासिक समीक्षा minutes
• [ ] बोर्ड या leadership summary नमूने
• [ ] Access review रिकॉर्ड

अनुभाग 16: OPERATE अध्याय 6 — तृतीय-पक्ष और विक्रेता नियंत्रण

आपके विक्रेता की गलती भी आपकी ग्राहक समस्या है। तृतीय-पक्ष vendor governance और cross-border discipline है — अनुबंध, audits, और transfer registers ताकि partners आपका weakest shutter न बनें।

उपमा: यदि आप delivery outsource करते हैं, रास्ते में package खुलने पर भी आप जवाब देते हैं। Processors डेटा के लिए वही delivery chain हैं।

1. अच्छा क्या दिखता है

• purpose, साझा डेटा, और location के साथ processor register
• अनुबंधों में DPDPA-संरेखित सुरक्षा, उल्लंघन सहयोग, विलोपन, और audit खंड (Rule 6)
• destination countries और Rule 15 पर legal watch के साथ cross-border transfer register
• HR, cloud, payment, ad-tech, BGV vendors onboard करने से पहले due diligence
• SDF-designated फर्म algorithmic tools पर due diligence extend करती हैं (Rule 13)
• सरकारी सूचना अनुरोध legal leadership तक escalate (Rules 23/Schedule 7)

2. अभी यह करें

1. सभी processors सूचीबद्ध करें: cloud, email, CRM, payroll, payments, analytics, support tools।
2. processor obligations और breach notification cooperation के साथ अनुबंध अपग्रेड करें।
3. cross-border flows मैप करें (US, EU, Singapore, आदि); MeitY restricted-country अधिसूचनाएँ monitor करें।
4. least privilege से vendor access block करें; त्रैमासिक समीक्षा करें।
5. critical vendors के लिए subprocessors list बनाए रखें।
6. सरकारी सूचना demands के लिए legal escalation path बनाएँ।
7. यदि SDF-scale, algorithmic due diligence और audit cadence तैयार करें।

3. भारत एंकर बॉक्स

4. यदि आप GDPR जानते हैं

GDPR Article 28 processor terms और SCCs reference point हैं। भारत में उसी रूप में SCC regime नहीं; इसके बजाय सरकारी प्रतिबंध और Rule 15 conditions watch करें। अभी flows मैप करें; केवल GDPR transfer tools पर्याप्त मानें नहीं।

5. प्रमाण चेकलिस्ट

• [ ] Processor/vendor register
• [ ] privacy/security खंडों वाले हस्ताक्षरित अनुबंध
• [ ] Cross-border transfer map
• [ ] Vendor समीक्षा या audit trail
• [ ] Subprocessor disclosures
• [ ] सरकारी अनुरोध escalation log (यदि लागू)

अनुभाग 17: OPERATE अध्याय 7 — घटना और उल्लंघन तैयारी

घटना security incidents और breach clock को कवर करती है — detection, containment, notification, और recovery। प्रतिधारण और preventive security यहाँ और Evidence में बैठती है; यह अध्याय जब कुछ गलत हो पर केंद्रित है।

1. व्यवसाय हुक

विश्वास दो कृत्यों में टूटता है: leak, और धीमी प्रतिक्रिया। घटना आपकी immune response है — केवल firewalls नहीं, users, Board, और अपनी टीम के लिए अभ्यासित timelines।

उपमा: दुकानदार रात shutter बंद करता है, expired stock फेंकता है, और break-in के तुरंत बाद पुलिस बुलाता है। घटना break-in response playbook है।

2. अच्छा क्या दिखता है

• दस्तावेज़ित security baseline: जहाँ उचित encryption, access control, logging, backups, monitoring (Rule 6)
• विलोपन workflows और दस्तावेज़ित अपवादों के साथ प्रतिधारण अनुसूची
• roles, templates, और timers के साथ incident response playbook
• प्रभावित users को undue delay के बिना सूचित; Board को undue delay के बिना; 72 घंटे के भीतर detailed Board report (Rule 7)
• Rule 6 लागू होने पर security events के लिए एक-वर्ष log retention
• बड़े e-commerce/social/gaming entities Rule 8/Schedule 3 inactivity erasure track करें यदि लागू

3. अभी यह करें

1. Rule 6 से aligned minimum security baseline checklist अपनाएँ।
2. उच्च-देखभाल डेटा कौन access कर सकता है मैप करें; shared logins और stale accounts हटाएँ।
3. डेटा प्रकार के अनुसार retention rules लिखें; जहाँ possible deletion automate करें।
4. breach playbooks बनाएँ: contain, assess, users notify, Board notify, 72-घंटे report।
5. "गलत WhatsApp report" और laptop-loss scenarios पर frontline staff प्रशिक्षित करें।
6. त्रैमासिक backups और ex-employees के लिए access removal test करें।
7. वार्षिक tabletop breach drill चलाएँ और evidence pack में record फाइल करें।

4. उल्लंघन प्रतिक्रिया घड़ी

Diagram: see figure below.

उपमा: Fire drill जैसा — आप आग के दौरान plan नहीं बनाते।

5. भारत एंकर बॉक्स

6. यदि आप GDPR जानते हैं

GDPR Articles 32-33 सुरक्षा और breach notification माँगते हैं। भारत का Rule 7 Board notification के बाद 72-घंटे detailed report सेट करता है — इसे hard operational SLA मानें, "best efforts" email नहीं।

7. प्रमाण चेकलिस्ट

• [ ] Security baseline दस्तावेज़ और implementation evidence
• [ ] Access control matrix और offboarding रिकॉर्ड
• [ ] प्रतिधारण अनुसूची + deletion logs
• [ ] Incident response plan और tabletop exercise नोट्स
• [ ] उल्लंघन notification templates (user + Board)
• [ ] Security log retention policy (जहाँ आवश्यक minimum एक वर्ष)

अनुभाग 18: कार्यान्वयन किट

ये किट OPERATE v6.1 को इस महीने चलाई जा सकने वाली checklists में अनुवाद करती हैं। maturity score करें, notices ठीक करें, और v6 में आंशिक coverage के स्थान पर children's data और retention जोड़ें।

DPDPA तैयारी चेकलिस्ट (OPERATE v6.1 से mapped)

प्रत्येक पंक्ति score करें: 0 = शुरू नहीं, 1 = आंशिक, 2 = दस्तावेज़ित और operating।

Maturity bands: 0-7 = Ad hoc | 8-14 = Repeatable | 15-20 = Defined | 21-24 = Managed

डेटा इन्वेंटरी टेम्पलेट (standalone)

सूचना लेखन किट (5 bullets)

1. Purpose से शुरू करें — पहली screen या paragraph में "हम X collect करते हैं Y करने के लिए"।
2. डेटा itemise करें — phone, email, payment reference, device ID — "personal information" नहीं।
3. वैकल्पिक उपयोग अलग रखें — marketing, analytics, testimonials अपनी पंक्तियों पर।
4. अधिकार paths दिखाएँ — access, correction, erasure, grievance, Board complaint links के साथ।
5. Standalone रखें — core notice Terms and Conditions में कभी bury न करें (Rule 3)।

सहमति प्रवाह किट (5 चरण)

1. क्षण पहचानें — checkout, signup, form, WhatsApp opt-in।
2. आवश्यक बनाम वैकल्पिक अलग करें — वैकल्पिक processing के लिए केवल वैकल्पिक boxes।
3. स्पष्ट affirmative action — button या unchecked tick; pre-ticked marketing नहीं।
4. प्रमाण log करें — क्या, कब, चैनल, दिखाई गई notice का संस्करण।
5. Withdrawal mirror करें — समान या आसान channels; withdrawal user को confirm करें।

विक्रेता शासन किट (5 bullets)

1. अपने data map से जुड़ा processor register बनाए रखें।
2. अनुबंधों में security, breach, deletion, और audit खंड आवश्यक (Rule 6)।
3. Cloud और ad-tech के लिए data location और subprocessors मैप करें।
4. Vendors offboard करें access removal और return/deletion certificates के साथ।
5. वार्षिक समीक्षा — या vendor incident news आने पर।

उल्लंघन प्रतिक्रिया चेकलिस्ट

1. Contain — spread रोकें, logs संरक्षित करें, incident lead नियुक्त करें।
2. Assess — डेटा प्रकार, volume, harm likelihood।
3. Users notify undue delay के बिना ज्ञात तथ्य और remediation steps के साथ।
4. DPBI notify undue delay के बिना; 72-घंटे detailed report तैयार करें।
5. Record timeline, decisions, templates, root cause, और fixes evidence pack में।
6. Review access controls और vendor खंड जो fail हुए।

बच्चों के डेटा चेकलिस्ट

Diagram: see figure below.

भारत-विशिष्ट: Uniform age threshold 18 से कम है (कई global कानूनों से सख्त)।

व्यावहारिक चरण:

1. पहचानें कहाँ users 18 से कम हो सकते हैं (education, gaming, family apps)।
2. जहाँ उचित age gate या account type declaration लागू करें।
3. वैकल्पिक processing से पहले verifiable parental consent capture करें।
4. child-directed services पर behavioural ads और tracking block करें।
5. Schedule 4 exemptions संकीर्ण दस्तावेज़ करें यदि लागू (schools, clinics)।

प्रतिधारण चेकलिस्ट

1. purpose से जुड़ा प्रति data category retention period परिभाषित करें (tax, contract, dispute)।
2. अपवाद दस्तावेज़ करें (legal hold, active grievance, regulatory request)।
3. जहाँ systems अनुमति दें deletion या anonymisation automate करें।
4. बड़े e-commerce/social/gaming के लिए Schedule 3 inactivity erasure कर्तव्य assess करें।
5. evidence pack में deletions और periodic retention reviews log करें।

SDF तैयारी पैक (सशर्त)

केवल यदि scale, sector sensitivity, या systemic risk Significant Data Fiduciary designation plausible बनाता है:

• Data Protection Officer contact नियुक्त या designate करें (Rule 9)
• वार्षिक Data Protection Impact Assessment और audit (Rule 13)
• आवश्यकतानुसार Board को significant audit observations furnish करें
• व्यक्तियों पर scale पर प्रभाव डालने वाले tools के लिए algorithmic due diligence
• सरकार निर्दिष्ट कर सकती है श्रेणियों के लिए localisation watch
• Board-facing evidence pack और executive sponsor
• Enhanced processor और transfer governance

तैयारी scorecard (OPERATE v6.1 से mapped 10 प्रश्न)

Scoring: 8-10 yes = strong runway | 5-7 = 2027 से पहले बंद करने योग्य gaps | 0-4 = Observe + Permission से शुरू करें

अनुभाग 19: 12 उद्योग जोखिम स्नैपशॉट

पूर्ण 12-block उद्योग playbooks SaralPrivacy वेबसाइट पर हैं। यह अनुभाग PDF readers के लिए compact snapshots देता है — पहले ठीक करने के लिए दो flows prioritise करने के लिए पर्याप्त (CEO page, अनुभाग 4)।

जोखिम heatmap

Diagram: see figure below.

CA फर्म

प्राथमिक जोखिम थीम: Client-document control — tax knowledge नहीं।

कौन: Solo CA और partnerships, GST/payroll/advisory फर्म, article assistants और shared cloud folders उपयोग करने वाली टीमें।

सामान्य व्यक्तिगत डेटा: PAN, Aadhaar, ITR files, bank statements, payroll, Google Drive, WhatsApp, article staff access, old client files

उच्च-जोखिम flows:
1. Clients बिना standard intake के WhatsApp या email से PAN और bank statements भेजते हैं
2. ex-articles और interns के लिए stale access के साथ shared Drive folders
3. deletion rules के बिना indefinitely रखे old ITR और KYC copies

DPDPA कर्तव्य triggered: Notice (R3) | Security (R6) | Breach (R7) | Rights (R14) | Sections 4, 5, 6/7, 8

तत्काल कार्रवाई:
1. Clients PAN, Aadhaar, ITR और bank documents upload करने का तरीका standardise करें
2. Google Drive, email folders और client files पर access restrict और review करें
3. old ITR files, PAN copies, bank statements और payroll data के retention rules परिभाषित करें

Scan: saralprivacy.com/assessment/ca-firms - 10 questions - ~3 min

भर्ती एजेंसियाँ

प्राथमिक जोखिम थीम: CV movement clients, tools, और teams के पार — केवल resumes forward करना नहीं।

कौन: Recruitment और staffing agencies, executive search, email या portals के माध्यम से CVs साझा करने वाली RPO टीमें।

सामान्य व्यक्तिगत डेटा: CVs, candidate consent, job portals, LinkedIn, ATS, WhatsApp, client sharing, BGV, salary slips, rejected profiles, AI screening

उच्च-जोखिम flows:
1. Offer stage से पहले PAN, Aadhaar, salary slips की early collection
2. WhatsApp या email attachments के माध्यम से clients के साथ bulk CV folders साझा
3. deletion process के बिना indefinitely रखे rejected candidate profiles

DPDPA कर्तव्य triggered: Notice (R3) | Consent (Sec 6) | Security (R6) | Breach (R7) | Rights (R14)

तत्काल कार्रवाई:
1. Candidate sourcing और consent/notice भाषा standardise करें
2. PAN, Aadhaar, salary slips और BGV files की early collection कम करें
3. Clients के साथ CV sharing control करें और bulk folders से बचें

Scan: saralprivacy.com/assessment/recruitment - 10 questions - ~3 min

प्रशिक्षण संस्थान

प्राथमिक जोखिम थीम: Minors, parents, WhatsApp groups, और LMS data — केवल classroom delivery नहीं।

कौन: Coaching centres, test-prep brands, live classes और LMS वाली EdTech, parent WhatsApp groups वाले institutes।

सामान्य व्यक्तिगत डेटा: Student data, parent details, minors, WhatsApp groups, LMS tools, student photos, testimonials, attendance, fee records, placement data

उच्च-जोखिम flows:
1. 18 से कम students बिना documented parent/guardian consent के
2. Marketing के लिए बिना separate consent photos, testimonials, और demo-class recordings का उपयोग
3. clear rules के बिना रखे old leads और admission records

DPDPA कर्तव्य triggered: Notice (R3) | Children (Sec 9, R10) | Security (R6) | Rights (R14)

तत्काल कार्रवाई:
1. Record करें students 18 से कम हैं या नहीं और parent/guardian consent capture करें
2. Student और parent data intake informal channels से दूर standardise करें
3. WhatsApp groups, photos, testimonials और demo-class recordings review करें

Scan: saralprivacy.com/assessment/training-institutes - 10 questions - ~3 min

D2C ब्रांड

प्राथमिक जोखिम थीम: हर order के पीछे marketing और ad-tech engine — केवल product sales नहीं।

कौन: Shopify/Woo D2C brands, beauty/wellness/food lifestyle labels, Meta ads और WhatsApp campaigns चलाने वाली टीमें।

सामान्य व्यक्तिगत डेटा: WhatsApp marketing, Meta Pixel, cart abandonment, Shopify, SMS opt-in, logistics vendors, loyalty, unsubscribe, customer data, marketplace

उच्च-जोखिम flows:
1. Provable opt-in के बिना promotional WhatsApp/SMS
2. Cookie/notice disclosure के बिना Meta Pixel और retargeting
3. Mapped contracts के बिना customer data पाने वाले logistics और ad vendors

DPDPA कर्तव्य triggered: Notice (R3) | Consent (Sec 6) | Security (R6) | Vendors (R6, R15) | Rights (R14)

तत्काल कार्रवाई:
1. WhatsApp/SMS/email promotions के लिए separate opt-in capture और prove करें
2. Privacy/cookie notice में Meta Pixel, GA और retargeting tools disclose करें
3. सभी channels पर unsubscribe और preference management enable करें

Scan: saralprivacy.com/assessment/d2c - 10 questions - ~3 min

क्लिनिक और डायग्नोस्टिक लैब

प्राथमिक जोखिम थीम: Health reports, WhatsApp sharing, और access control — उच्चतम sensitivity band।

कौन: Single और multi-speciality clinics, pathology और radiology labs, home sample collection chains।

सामान्य व्यक्तिगत डेटा: Patient reports, prescriptions, health data, WhatsApp sharing, lab software, reception access, home collection, doctor referrals, insurance/TPA, old reports

उच्च-जोखिम flows:
1. Lab reports patients या family को recipient verification के बिना WhatsApp पर साझा
2. Clinic/HIS systems पर shared logins या ex-staff access
3. Vendor register के बिना outsourced labs और home collection partners

DPDPA कर्तव्य triggered: Notice (R3) | Security (R6) | Breach (R7) | Rights (R14) | Rule 12/Schedule 4 (child health)

तत्काल कार्रवाई:
1. Patient intake channels standardise करें — scattered WhatsApp और paper intake कम करें
2. WhatsApp या email से reports साझा करने से पहले recipients verify करें
3. Reception, billing, lab और support staff access role-based controls से restrict करें

Scan: saralprivacy.com/assessment/clinics-diagnostic-labs - 10 questions - ~3 min

स्कूल और कॉलेज

प्राथमिक जोखिम थीम: Children's data, CCTV, apps, और transport monitoring — critical priority।

कौन: K-12 schools, colleges, ERP apps, CCTV, transport GPS, और fee systems वाले institutions।

सामान्य व्यक्तिगत डेटा: Children's data, parent records, school apps, CCTV, attendance, transport GPS, student photos, fee records, LMS, old student files

उच्च-जोखिम flows:
1. 18 से कम students बिना specific parent notice और consent process के
2. बिना separate consent public photos, videos, और results
3. Governance और retention rules के बिना CCTV, biometric, RFID, और transport GPS

DPDPA कर्तव्य triggered: Notice (R3) | Children (Sec 9, R10-12) | Security (R6) | Breach (R7) | Rights (R14)

तत्काल कार्रवाई:
1. Map करें student और parent data कहाँ collect और store होता है
2. 18 से कम students के लिए parent/guardian notice और consent मजबूत करें
3. CCTV, biometric, RFID, transport GPS और hostel monitoring govern करें

Scan: saralprivacy.com/assessment/schools-colleges - 10 questions - ~3 min

लॉ फर्म

प्राथमिक जोखिम थीम: Matter files, evidence, और junior access — confidentiality plus DPDPA evidence।

कौन: Litigation और corporate practices, boutiques, juniors, interns, और matter folders वाली टीमें।

सामान्य व्यक्तिगत डेटा: Client KYC, PAN/Aadhaar, case files, evidence records, affidavits, WhatsApp instructions, court filing, junior access, external counsel, closed matters

उच्च-जोखिम flows:
1. Matter-team restriction के बिना shared drives पर sensitive case files
2. WhatsApp या informal email exports के माध्यम से प्राप्त evidence
3. Ex-staff, interns, या associates cloud या device access बनाए रखते हैं

DPDPA कर्तव्य triggered: Notice (R3) | Security (R6) | Breach (R7) | Rights (R14) | Cross-border (Sec 16)

तत्काल कार्रवाई:
1. Client documents और matter-data flows मैप करें
2. Sensitive case files matter team पर restrict करें
3. Client documents के लिए WhatsApp/email/shared-folder usage standardise करें

Scan: saralprivacy.com/assessment/law-firms - 10 questions - ~3 min

रियल एस्टेट

प्राथमिक जोखिम थीम: KYC और broker networks property और identity data move करते हैं।

कौन: Brokers, property consultants, developer sales desks, rental और resale teams।

सामान्य व्यक्तिगत डेटा: Buyer leads, tenant KYC, PAN/Aadhaar, rent agreements, sale deeds, property papers, WhatsApp groups, broker networks, loan partners, old leads

उच्च-जोखिम flows:
1. PAN/Aadhaar/property docs WhatsApp से प्राप्त और forward
2. Client notice के बिना broker WhatsApp groups में lead sheets
3. Ex-staff या old broker partners CRM या cloud access बनाए रखते हैं

DPDPA कर्तव्य triggered: Notice (R3) | Security (R6) | Breach (R7) | Rights (R14)

तत्काल कार्रवाई:
1. KYC और property-document collection standardise करें
2. PAN, Aadhaar और agreement documents की WhatsApp forwarding कम करें
3. Co-brokers, builders, landlords और loan partners के साथ lead sharing control करें

Scan: saralprivacy.com/assessment/real-estate - 10 questions - ~3 min

होटल और यात्रा

प्राथमिक जोखिम थीम: Guest IDs, passport copies, और OTA data sharing।

कौन: Hotels, resorts, homestays, travel agencies, corporate travel desks।

सामान्य व्यक्तिगत डेटा: Guest IDs, passport copies, booking history, OTA sharing, travel documents, WhatsApp confirmations, CCTV, PMS access, transport vendors, old guest records

उच्च-जोखिम flows:
1. WhatsApp या personal email के माध्यम से collect passport और visa documents
2. Foreign guest और C-Form data indefinitely रखा
3. Shared PMS/OTA logins और guest systems पर ex-staff access

DPDPA कर्तव्य triggered: Notice (R3) | Security (R6) | Breach (R7) | Rights (R14) | Cross-border (R15)

तत्काल कार्रवाई:
1. ID, passport और travel-document collection standardise करें
2. Guest IDs और passport copies की WhatsApp/email sharing कम करें
3. PMS, CRM, OTA dashboard, CCTV और staff device access restrict करें

Scan: saralprivacy.com/assessment/hotels-travel - 10 questions - ~3 min

फार्मेसी

प्राथमिक जोखिम थीम: Prescriptions, medicine history, और refill campaigns।

कौन: Retail और chain pharmacies, online pharmacy fulfilment, WhatsApp पर prescriptions पाने वाली टीमें।

सामान्य व्यक्तिगत डेटा: Prescriptions, medicine history, WhatsApp orders, refill reminders, delivery partners, billing software, health indicators, staff access, old records

उच्च-जोखिम flows:
1. WhatsApp या staff phones के माध्यम से प्राप्त prescription images
2. Sensitive medicine categories के लिए बिना separate consent refill या promotional messages
3. Shared pharmacy software logins और uncleared ex-staff access

DPDPA कर्तव्य triggered: Notice (R3) | Security (R6) | Breach (R7) | Children (R10-12) | Rights (R14)

तत्काल कार्रवाई:
1. Prescription collection और storage standardise करें
2. Prescription images की WhatsApp और staff-phone handling कम करें
3. Medicine-history data के retention और refill-message rules परिभाषित करें

Scan: saralprivacy.com/assessment/pharmacies - 10 questions - ~3 min

Fintech और NBFC

प्राथमिक जोखिम थीम: KYC, profiling, DSAs, और cross-border analytics — critical complexity।

कौन: NBFCs, digital lenders, payment apps, UPI/wallet/BNPL, collections businesses।

सामान्य व्यक्तिगत डेटा: KYC, PAN/Aadhaar, bank data, UPI, credit bureau, profiling, DSAs, collection agents, payment partners, old records

उच्च-जोखिम flows:
1. Consent evidence के बिना WhatsApp या field agents के माध्यम से KYC और bureau data
2. Limited customer-facing explanation के साथ automated decisioning
3. Customer lists download/export access वाले DSAs और collection agents

DPDPA कर्तव्य triggered: Notice (R3) | Consent (Sec 6) | Security (R6) | Breach (R7) | SDF watch (R13) | Rights (R14) | RBI sector rules

तत्काल कार्रवाई:
1. KYC, bank, bureau, UPI और repayment data flows मैप करें
2. Verification, profiling और sharing के लिए timestamped consent मजबूत करें
3. DSA, collection-agent, call-centre और vendor access control करें

Scan: saralprivacy.com/assessment/fintech-nbfc - 10 questions - ~3 min

जिम, सैलून और स्पा

प्राथमिक जोखिम थीम: Health-adjacent body data, photos, और WhatsApp campaigns।

कौन: Gyms, fitness studios, salons, spas, membership और appointment apps वाली wellness chains।

सामान्य व्यक्तिगत डेटा: Membership data, health details, body measurements, customer photos, before-after images, WhatsApp campaigns, appointment apps, staff phones, old records

उच्च-जोखिम flows:
1. बिना separate consent customer photos social media या ads के लिए
2. Staff phones या WhatsApp पर recorded health और body data
3. Trainers और therapists के पार shared CRM या appointment app logins

DPDPA कर्तव्य triggered: Notice (R3) | Consent (Sec 6) | Security (R6) | Breach (R7) | Rights (R14)

तत्काल कार्रवाई:
1. Forms, apps, WhatsApp, DMs और staff notes के पार customer data मैप करें
2. Customer photos, before-after images या testimonials उपयोग से पहले consent capture करें
3. Health, body, consultation और transformation data पर access restrict करें

Scan: saralprivacy.com/assessment/gyms-salons-spas - 10 questions - ~3 min

अनुभाग 20: अधिनियम Section Map

Rules और schedules map

अनुभाग 21: अदालत के मामले और मुकदमeb ट्रैकर

चेतावनी: Pending cases केवल awareness items हैं। 14 जून 2026 तक कोई अदालत DPDPA stay या strike down नहीं की है।

अनुभाग 22: ट्रैक करने योग्य वर्तमान खुले आइटम

इस tracker को मासिक governance reviews में उपयोग करें। प्रत्येक पंक्ति label करें: in force, notified phase, proposed, या pending litigation।

Evolve discipline (v6 से): 30-मिनट मासिक scan स्वामी नियुक्त करें; internal "what changed this quarter" memo प्रकाशित करें; वर्ष में दो बार breach tabletop refresh करें; major product या vendor changes के बाद data inventory re-run करें।

अनुभाग 23: 90-दिवसीय DPDPA कार्य योजना

यह योजना mid-market operator के लिए है जिसमें अभी dedicated privacy team नहीं है। Owners अपने org chart में adjust करें। लक्ष्य: दिन 90 पर board-ready evidence pack v1, perfection नहीं।

Diagram: see figure below.

सप्ताह-दर-सप्ताह विवरण

सप्ताह 1-2 (Discover): Accountable owner नामित करें। Systems सूचीबद्ध करें: CRM, HRMS, website, WhatsApp Business, cloud drives, payment tools। Top 10 flows के साथ processing register draft करें। अनुभाग 19 से दो industry-specific risks flag करें।

सप्ताह 3-4 (Permission): Website, app, और top offline form के लिए standalone notices प्रकाशित करें। Marketing consent अलग करें। Payroll और legal compliance के लिए Section 7 uses दस्तावेज़ करें केवल जहाँ counsel सहमत। Consent/version log शुरू करें।

सप्ताह 5-6 (Control - vendors और rights): Processor register पूरा करें। Top five vendor contracts अपग्रेड करें। rights@grievance inbox खोलें। Rights instructions प्रकाशित करें। 60-दिवसीय internal SLA परिभाषित करें।

सप्ताह 7-8 (Control - retention और access): Retention schedule approve करें। Ex-employee और vendor access हटाएँ। Shared folders और admin panels पर access review चलाएँ।

सप्ताह 9-10 (Prove): Tabletop breach scenario (WhatsApp mis-send या vendor leak)। 72-घंटे report draft का समय लें। Drill के लिए भी incident record फाइल करें।

सप्ताह 11-12 (Prove): Readiness scorecard के विरुद्ध leadership review। एक-पृष्ठ board summary: पाँच risks, पाँच evidence items, open law watchlist। 90-दिवसीय योजना wave 2 पर executive sign-off।

दिन 90 पर सफलता मानदंड

आप हिचकिचाहट के बिना इन पर हाँ कह सकें:

• नामित owner 15-मिनट walkthrough में processing activity register प्रस्तुत कर सकता है।
• कम से कम तीन collection points standalone notices दिखाते हैं जो पिछले 30 दिनों के भीतर dated हैं।
• Top five vendors के signed या amended contracts security और breach clauses के साथ हैं, या upgrade करने की documented plan है।
• Test rights request log, assign, और evidence pack में redacted sample के साथ close हुआ।
• Breach tabletop exercise window के भीतर timeline, draft user notice, और draft Board notification produce किया।
• Leadership अनुभाग 19 से priority one और two industry flows समझा सकती है।

यदि कोई उत्तर नहीं है, readiness declare करने के बजाय gap को अगले 90-दिवसीय wave में ले जाएँ। DPDPA programmes compound — हर quarter evidence depth जोड़ता है, नया project नहीं।

अनुभाग 24: अस्वीकरण और SaralPrivacy Product Bridge

अस्वीकरण

यह श्वेतपत्र SaralPrivacy द्वारा सूचनात्मक और शैक्षिक उद्देश्यों के लिए प्रकाशित है। यह legal advice नहीं है, भारतीय कानून में qualified counsel का substitute नहीं है, और compliance या regulatory outcome की guarantee नहीं है। Law, Rules, अधिसूचनाएँ, और court decisions status date (14 जून 2026) के बाद बदल सकते हैं। Operational decisions पर rely करने से पहले सभी deadlines, exemptions, और sectoral obligations अपने advisors और official Gazette sources से verify करें। SaralPrivacy इस दस्तावेज़ के आधार पर solely की गई कार्रवाइयों के लिए कोई liability स्वीकार नहीं करता।

SaralPrivacy product bridge (संयमित)

SaralPrivacy भारतीय operators को discover करने में मदद करता है कि वे वास्तव में कौन सा व्यक्तिगत डेटा process करते हैं और deep legal spend से पहले assess readiness। यह श्वेतपत्र map है; tools compass check हैं।

इस path का उपयोग कैसे करें: अनुभाग 3-5 और अपना industry snapshot पढ़ें। Discovery चलाएँ यदि plain English में data types सूचीबद्ध नहीं कर सकते। Generic या sector Assessment चलाएँ gaps prioritise करने के लिए। Outputs counsel और 90-दिवसीय योजना owner को ले जाएँ — दूसरे क्रम में नहीं।

कोई product feature law की माँग notice, security, breach response, या rights operations replace नहीं करता। Tools कहाँ शुरू करें narrow करते हैं ताकि teams real flows पर legal और engineering time खर्च करें, generic anxiety पर नहीं।

पहली बार पाठक के लिए suggested sequence:

1. CEO या founder: अनुभाग 3, 4, 5, और 19 (आपका industry) — 20 मिनट।
2. Programme owner: अनुभाग 7-18 plus अनुभाग 23 — एक working session।
3. Legal counsel: अनुभाग 8, 9, 20-22 और glossary — validation pass।
4. Board packet: इन्फोग्राफिक 1, अनुभाग 9 obligation table, अनुभाग 23 gantt, अनुभाग 18 से readiness scorecard।

यह श्वेतपत्र update होगा जब Gazette अधिसूचनाएँ dates बदलें या SaralPrivacy नए industry scan versions प्रकाशित करे। Externally deadlines cite करने से पहले cover पर status date check करें।

प्रकाशक नोट: SaralPrivacy भारतीय operators के लिए discovery और assessment tools बनाता है। यह दस्तावेज़ OPERATE v6.1 और जून 2026 legal status snapshot से aligned public reference edition है। SaralPrivacy support channels के माध्यम से feedback और corrections welcome हैं।

शब्दकोश (25 शब्द)

स्रोत रजिस्टर

India's DPDPA Readiness Whitepaper 2026-2027 v6.1 - SaralPrivacy - 14 June 2026 - OPERATE model - Informational structure, not legal advice.