DPDP Act 8अध्याय II · Obligations of Data Fiduciary
धारा 8 · डेटा फिड्यूशरी के सामान्य दायित्व।
अक्षर आकार — स्तर 1, कुल 4 में से
(1) डेटा न्यासी, इसके विपरीत किसी भी समझौते के बावजूद या डेटा प्रिंसिपल द्वारा इस अधिनियम के तहत प्रदान किए गए कर्तव्यों को पूरा करने में विफलता के बावजूद, अपने द्वारा या अपनी ओर से डेटा प्रोसेसर द्वारा किए गए किसी भी प्रसंस्करण के संबंध में इस अधिनियम और इसके तहत बनाए गए नियमों के प्रावधानों का अनुपालन करने के लिए जिम्मेदार होगा।
(2) डेटा फिड्यूशरी किसी वैध अनुबंध के तहत ही डेटा प्रिंसिपल को माल या सेवाओं की पेशकश से संबंधित किसी गतिविधि के लिए अपनी ओर से व्यक्तिगत डेटा को संसाधित करने के लिए डेटा प्रोसेसर को नियुक्त, उपयोग या अन्यथा शामिल कर सकता है।
(3) जहां डेटा फिड्यूशरी द्वारा संसाधित व्यक्तिगत डेटा के होने की संभावना है---
(क) डेटा प्रिंसिपल को प्रभावित करने वाला निर्णय लेने के लिए उपयोग किया जाता है; या
(ख) किसी अन्य डेटा न्यासी को प्रकट किया गया,
ऐसे व्यक्तिगत डेटा को संसाधित करने वाला डेटा फिड्यूशरी इसकी पूर्णता, सटीकता और निरंतरता सुनिश्चित करेगा।
(4) डेटा फिड्यूशरी इस अधिनियम और इसके अंतर्गत बनाए गए नियमों के प्रावधानों के प्रभावी अनुपालन को सुनिश्चित करने के लिए उचित तकनीकी और संगठनात्मक उपाय लागू करेगा।
(5) डेटा फिड्यूशरी अपने कब्जे में या अपने नियंत्रण में मौजूद व्यक्तिगत डेटा की सुरक्षा करेगा, जिसमें उसके द्वारा या उसकी ओर से डेटा प्रोसेसर द्वारा किए गए किसी भी प्रसंस्करण के संबंध में, व्यक्तिगत डेटा उल्लंघन को रोकने के लिए उचित सुरक्षा उपाय अपनाकर शामिल है।
(6) व्यक्तिगत डेटा उल्लंघन की स्थिति में, डेटा फिड्यूशरी बोर्ड और प्रत्येक प्रभावित डेटा प्रिंसिपल को ऐसे उल्लंघन की सूचना ऐसे प्रपत्र और तरीके से देगा जैसा कि निर्धारित किया जा सकता है।
(7) डेटा फिड्यूशरी, जब तक कि किसी लागू कानून के अनुपालन के लिए डेटा को बनाए रखना आवश्यक न हो,
(क) डेटा प्रिंसिपल द्वारा अपनी सहमति वापस लेने पर या जैसे ही यह मानना उचित हो कि निर्दिष्ट उद्देश्य की पूर्ति नहीं हो रही है, जो भी पहले हो, व्यक्तिगत डेटा को मिटा देना; और
(ख) अपने डेटा प्रोसेसर को ऐसा कोई भी व्यक्तिगत डेटा मिटाने के लिए कहें जो डेटा फिड्यूशरी द्वारा ऐसे डेटा प्रोसेसर को प्रसंस्करण के लिए उपलब्ध कराया गया था।
चित्र।
(I) X, एक व्यक्ति, Y द्वारा संचालित एक ऑनलाइन बाज़ार में अपना पंजीकरण कराती है, Y एक ई-कॉमर्स सेवा प्रदाता है। X अपनी प्रयुक्त कार बेचने के लिए Y को अपने व्यक्तिगत डेटा के प्रसंस्करण की सहमति देती है। ऑनलाइन बाज़ार बिक्री को पूरा करने में सहायता करता है। Y अब उसके व्यक्तिगत डेटा को अपने पास नहीं रखेगा।
(II) X, एक व्यक्ति, Y नामक बैंक में अपना बचत खाता बंद करने का निर्णय लेती है। बैंकों पर लागू कानून के अनुसार, Y को खाता बंद होने के बाद दस वर्षों तक अपने ग्राहकों की पहचान का रिकॉर्ड रखना अनिवार्य है। चूंकि कानून के अनुपालन के लिए रिकॉर्ड रखना आवश्यक है, इसलिए Y उक्त अवधि के लिए X का व्यक्तिगत डेटा सुरक्षित रखेगा।
(8) उपधारा (7) के खंड (क) में निर्दिष्ट उद्देश्य की पूर्ति नहीं मानी जाएगी, यदि डेटा प्रिंसिपल ऐसा नहीं करता है---
(क) निर्दिष्ट उद्देश्य की पूर्ति के लिए डेटा फिड्यूशरी से संपर्क करना; और
(ख) ऐसे प्रसंस्करण के संबंध में अपने किसी भी अधिकार का प्रयोग करना,
ऐसी समयावधि के लिए जैसा कि निर्धारित किया जा सकता है, और डेटा फिड्यूशरी के विभिन्न वर्गों और विभिन्न उद्देश्यों के लिए अलग-अलग समयावधि निर्धारित की जा सकती है।
(9) डेटा फिड्यूशरी, निर्धारित तरीके से, डेटा प्रोटेक्शन ऑफिसर की व्यावसायिक संपर्क जानकारी प्रकाशित करेगा, यदि लागू हो, या ऐसे व्यक्ति की जो डेटा फिड्यूशरी की ओर से, डेटा प्रिंसिपल द्वारा उसके व्यक्तिगत डेटा के प्रसंस्करण के बारे में उठाए गए किसी भी प्रश्न का उत्तर देने में सक्षम हो।
(10) डेटा फिड्यूशरी डेटा प्रिंसिपल्स की शिकायतों के निवारण के लिए एक प्रभावी तंत्र स्थापित करेगा।
(11) इस धारा के प्रयोजनों के लिए, यह स्पष्ट किया जाता है कि डेटा प्रिंसिपल को निर्दिष्ट उद्देश्य के निष्पादन के लिए डेटा फिड्यूशरी से संपर्क नहीं किया हुआ माना जाएगा, उस अवधि के दौरान जब उसने ऐसे निष्पादन के लिए डेटा फिड्यूशरी से व्यक्तिगत रूप से या इलेक्ट्रॉनिक या भौतिक रूप में संचार के माध्यम से संपर्क शुरू नहीं किया हो।
(2) डेटा फिड्यूशरी किसी वैध अनुबंध के तहत ही डेटा प्रिंसिपल को माल या सेवाओं की पेशकश से संबंधित किसी गतिविधि के लिए अपनी ओर से व्यक्तिगत डेटा को संसाधित करने के लिए डेटा प्रोसेसर को नियुक्त, उपयोग या अन्यथा शामिल कर सकता है।
(3) जहां डेटा फिड्यूशरी द्वारा संसाधित व्यक्तिगत डेटा के होने की संभावना है---
(क) डेटा प्रिंसिपल को प्रभावित करने वाला निर्णय लेने के लिए उपयोग किया जाता है; या
(ख) किसी अन्य डेटा न्यासी को प्रकट किया गया,
ऐसे व्यक्तिगत डेटा को संसाधित करने वाला डेटा फिड्यूशरी इसकी पूर्णता, सटीकता और निरंतरता सुनिश्चित करेगा।
(4) डेटा फिड्यूशरी इस अधिनियम और इसके अंतर्गत बनाए गए नियमों के प्रावधानों के प्रभावी अनुपालन को सुनिश्चित करने के लिए उचित तकनीकी और संगठनात्मक उपाय लागू करेगा।
(5) डेटा फिड्यूशरी अपने कब्जे में या अपने नियंत्रण में मौजूद व्यक्तिगत डेटा की सुरक्षा करेगा, जिसमें उसके द्वारा या उसकी ओर से डेटा प्रोसेसर द्वारा किए गए किसी भी प्रसंस्करण के संबंध में, व्यक्तिगत डेटा उल्लंघन को रोकने के लिए उचित सुरक्षा उपाय अपनाकर शामिल है।
(6) व्यक्तिगत डेटा उल्लंघन की स्थिति में, डेटा फिड्यूशरी बोर्ड और प्रत्येक प्रभावित डेटा प्रिंसिपल को ऐसे उल्लंघन की सूचना ऐसे प्रपत्र और तरीके से देगा जैसा कि निर्धारित किया जा सकता है।
(7) डेटा फिड्यूशरी, जब तक कि किसी लागू कानून के अनुपालन के लिए डेटा को बनाए रखना आवश्यक न हो,
(क) डेटा प्रिंसिपल द्वारा अपनी सहमति वापस लेने पर या जैसे ही यह मानना उचित हो कि निर्दिष्ट उद्देश्य की पूर्ति नहीं हो रही है, जो भी पहले हो, व्यक्तिगत डेटा को मिटा देना; और
(ख) अपने डेटा प्रोसेसर को ऐसा कोई भी व्यक्तिगत डेटा मिटाने के लिए कहें जो डेटा फिड्यूशरी द्वारा ऐसे डेटा प्रोसेसर को प्रसंस्करण के लिए उपलब्ध कराया गया था।
चित्र।
(I) X, एक व्यक्ति, Y द्वारा संचालित एक ऑनलाइन बाज़ार में अपना पंजीकरण कराती है, Y एक ई-कॉमर्स सेवा प्रदाता है। X अपनी प्रयुक्त कार बेचने के लिए Y को अपने व्यक्तिगत डेटा के प्रसंस्करण की सहमति देती है। ऑनलाइन बाज़ार बिक्री को पूरा करने में सहायता करता है। Y अब उसके व्यक्तिगत डेटा को अपने पास नहीं रखेगा।
(II) X, एक व्यक्ति, Y नामक बैंक में अपना बचत खाता बंद करने का निर्णय लेती है। बैंकों पर लागू कानून के अनुसार, Y को खाता बंद होने के बाद दस वर्षों तक अपने ग्राहकों की पहचान का रिकॉर्ड रखना अनिवार्य है। चूंकि कानून के अनुपालन के लिए रिकॉर्ड रखना आवश्यक है, इसलिए Y उक्त अवधि के लिए X का व्यक्तिगत डेटा सुरक्षित रखेगा।
(8) उपधारा (7) के खंड (क) में निर्दिष्ट उद्देश्य की पूर्ति नहीं मानी जाएगी, यदि डेटा प्रिंसिपल ऐसा नहीं करता है---
(क) निर्दिष्ट उद्देश्य की पूर्ति के लिए डेटा फिड्यूशरी से संपर्क करना; और
(ख) ऐसे प्रसंस्करण के संबंध में अपने किसी भी अधिकार का प्रयोग करना,
ऐसी समयावधि के लिए जैसा कि निर्धारित किया जा सकता है, और डेटा फिड्यूशरी के विभिन्न वर्गों और विभिन्न उद्देश्यों के लिए अलग-अलग समयावधि निर्धारित की जा सकती है।
(9) डेटा फिड्यूशरी, निर्धारित तरीके से, डेटा प्रोटेक्शन ऑफिसर की व्यावसायिक संपर्क जानकारी प्रकाशित करेगा, यदि लागू हो, या ऐसे व्यक्ति की जो डेटा फिड्यूशरी की ओर से, डेटा प्रिंसिपल द्वारा उसके व्यक्तिगत डेटा के प्रसंस्करण के बारे में उठाए गए किसी भी प्रश्न का उत्तर देने में सक्षम हो।
(10) डेटा फिड्यूशरी डेटा प्रिंसिपल्स की शिकायतों के निवारण के लिए एक प्रभावी तंत्र स्थापित करेगा।
(11) इस धारा के प्रयोजनों के लिए, यह स्पष्ट किया जाता है कि डेटा प्रिंसिपल को निर्दिष्ट उद्देश्य के निष्पादन के लिए डेटा फिड्यूशरी से संपर्क नहीं किया हुआ माना जाएगा, उस अवधि के दौरान जब उसने ऐसे निष्पादन के लिए डेटा फिड्यूशरी से व्यक्तिगत रूप से या इलेक्ट्रॉनिक या भौतिक रूप में संचार के माध्यम से संपर्क शुरू नहीं किया हो।
इस धारा पर आपका निजी नोट
यह नोट सिर्फ़ आप देख सकते हैं।