पहचान से अधिसूचना तक: चार चरण
चरण 1: पहचान (T+0 से T+2 घंटे)
जागरूकता किससे उत्पन्न हुई: निगरानी से अलर्ट, वेंडर प्रकटीकरण, ग्राहक शिकायत, पत्रकार की पूछताछ, नियामक संपर्क? प्रत्येक के लिए भिन्न प्रारंभिक-चरण संचालन चाहिए। रोकथाम तात्कालिक प्राथमिकता है — पहुँच मार्ग बंद करें, प्रभावित सिस्टम अलग करें, साक्ष्य सुरक्षित रखें।
चरण 2: छँटाई (T+2 से T+12 घंटे)
क्रॉस-फ़ंक्शनल घटना प्रतिक्रिया टीम बैठती है (तकनीकी, क़ानूनी, संचार, व्यवसाय स्वामी, कार्यकारी प्रायोजक)। प्रारंभिक दायरा आकलन: कौन-सा डेटा, कितने रिकॉर्ड, कौन-सा आक्रमण मार्ग। गंभीरता वर्गीकरण: क्या यह अधिसूचनीय है? DPDP की सीमा व्यापक है — कोई भी 'व्यक्तिगत डेटा उल्लंघन' जो 'अनधिकृत प्रसंस्करण' या 'आकस्मिक प्रकटीकरण' हो, Section 8(6) को सक्रिय करता है।
चरण 3: अधिसूचना (T+12 से T+72 घंटे)
यदि अधिसूचनीय है, तो बिना विलंब दो अलग अधिसूचनाएँ जानी चाहिए:
- Data Protection Board of India को: Rule 7 के अनुसार विस्तृत रिपोर्ट — उल्लंघन की प्रकृति, श्रेणियाँ और रिकॉर्डों की अनुमानित संख्या, संभावित परिणाम, किए गए उपाय।
- प्रत्येक प्रभावित Data Principal को: स्पष्ट, सरल-भाषा सूचना — क्या हुआ, कौन-सा डेटा, उन्हें कौन-से क़दम उठाने चाहिए, सहायता के लिए किससे संपर्क करें।
'बिना विलंब' का अर्थ 72 घंटे नहीं है। 72-घंटे का आँकड़ा GDPR का है — DPDP निर्दिष्ट नहीं करता, पर प्रवर्तन अपेक्षाएँ संभवतः समान होंगी। पूरी जाँच की प्रतीक्षा न करें; जो ज्ञात है उसके साथ प्रारंभिक अधिसूचना भेजें, और अधिक स्थापित होने पर अद्यतन करें।
चरण 4: रोकथाम, पुनर्प्राप्ति, सबक़ (T+72 घंटे के बाद)
पूर्ण फ़ोरेंसिक जाँच, मूल-कारण विश्लेषण, उपचार योजना, नियामक अनुवर्ती, ग्राहक संचार, घटना-पश्चात समीक्षा। घटना-पश्चात समीक्षा महत्वपूर्ण है — यही 'उचित उपायों' का साक्ष्य है जो Section 8(5) के अंतर्गत दायित्व सीमित करता है।
संचार की व्यवस्था
पूर्व-तैयार अधिसूचना टेम्पलेट (Template 05 का उपयोग करें) वास्तविक घटना के दौरान 6+ घंटे बचाते हैं। टेम्पलेट में घटना-विशिष्ट डेटा के लिए प्लेसहोल्डर होने चाहिए, पर संरचना, स्वर और आवश्यक तत्व स्थिर होने चाहिए।
आंतरिक संचार: एक स्थापित एस्केलेशन वृक्ष, प्रत्येक प्राथमिक संपर्क के लिए बैकअप सहित। T+0 पर वॉर-रूम चैनल स्थापित।
निर्णय प्राधिकरण
दस्तावेज़ करें कि किसके पास अधिकार है: घटना घोषित करने, Board तक एस्केलेट करने, अधिसूचना आरंभ करने, किसी बाद के दावे के निपटान पर सहमत होने, सार्वजनिक रूप से संवाद करने का। ये निर्णय घटना के दौरान पहली बार नहीं लिए जा सकते।
रनबुक
Template 04 (72-Hour Breach Runbook) हमारा 25-पृष्ठ संदर्भ है जो सभी छह चरणों (T+0 से T+30) को कवर करता है, भूमिका-विशिष्ट चेकलिस्ट, गंभीरता वर्गीकरण, निर्णय वृक्ष और टेबलटॉप परिदृश्यों सहित। आवश्यकता पड़ने से पहले इसे पढ़ें।