डीपीडीपी डेटा उल्लंघन की सूचना: क्या भेजें, किसे, कब तक
वैयक्तिक डेटा उल्लंघन का मतलब है वैयक्तिक डेटा का कोई भी अनधिकृत प्रसंस्करण, आकस्मिक प्रकटीकरण, साझा करना, बदलाव, नष्ट होना या उस तक पहुँच खो जाना, जिससे उसकी गोपनीयता, अखंडता या उपलब्धता पर असर पड़े (धारा 2(u))। 13 मई 2027 से हर उल्लंघन की सूचना देनी होगी, चाहे वह कितना भी छोटा हो (धारा 8(6), नियम 7)।
हर प्रभावित व्यक्ति को, बिना देरी के (नियम 7(1))
संक्षिप्त, स्पष्ट और सरल ढंग से, उनके यूज़र अकाउंट या आपके पास दर्ज उनके संपर्क के ज़रिए:
- क्या हुआ: उल्लंघन की प्रकृति, विस्तार और वह कब हुआ;
- उनके लिए संभावित परिणाम;
- जोखिम कम करने के लिए आपने क्या किया है और क्या कर रहे हैं;
- वे अपनी सुरक्षा के लिए क्या कर सकते हैं;
- आपकी ओर से उनके सवालों का जवाब कौन देगा, कारोबारी संपर्क विवरण के साथ।
डेटा संरक्षण बोर्ड को, दो चरणों में (नियम 7(2))
- बिना देरी के: उल्लंघन का विवरण, उसकी प्रकृति, विस्तार, समय और स्थान, और संभावित असर।
- उल्लंघन का पता चलने के 72 घंटे के भीतर, या बोर्ड लिखित अनुरोध पर जो लंबी अवधि दे: अद्यतन और विस्तृत जानकारी, उल्लंघन तक ले जाने वाले तथ्य और कारण, उठाए गए या प्रस्तावित उपाय, उल्लंघन करने वाले के बारे में कोई निष्कर्ष, उसे दोबारा होने से रोकने के लिए आप क्या करते हैं, और प्रभावित लोगों को भेजी गई सूचनाओं की रिपोर्ट।
अपनी 72 घंटे की समय-सीमा निकालें
कैलकुलेटर के लिए JavaScript चाहिए। उसके बिना, उल्लंघन का पता चलने के समय में 72 घंटे जोड़ें।
उल्लंघन संदेश और बोर्ड के लिए मसौदा लिखें
सवाल
क्या सूचना देने के लिए उल्लंघन का कोई न्यूनतम आकार है?
नहीं। नियम 7 हर वैयक्तिक डेटा उल्लंघन पर लागू होता है; न अधिनियम कोई सीमा तय करता है, न नियम।
अगर उल्लंघन हमारे वेंडर के यहाँ हुआ हो?
आपकी ओर से डेटा प्रोसेसर द्वारा किए गए प्रसंस्करण की ज़िम्मेदारी आपकी ही रहती है (धारा 8(1)), इसलिए बोर्ड और प्रभावित लोगों को सूचना आप देते हैं।
क्या हमें और समय मिल सकता है?
केवल विस्तृत रिपोर्ट के लिए: बोर्ड लिखित अनुरोध पर लंबी अवधि दे सकता है (नियम 7(2))। पहली सूचना फिर भी बिना देरी के देनी है।
अधिनियम और नियमों में 28 अक्टूबर 2026 को पढ़ा गया। यह क़ानूनी सलाह नहीं है।