टकराव के बिंदु
BFSI संस्थान अनेक नियामकों के अधीन काम करते हैं। DPDP उनमें से किसी को प्रतिस्थापित नहीं करता — यह ऊपर से जुड़ता है। घर्षण तीन बिंदुओं पर सबसे तीव्र है:
1. KYC प्रतिधारण बनाम DSAR मिटाना
RBI का KYC पर Master Direction ग्राहक संबंध की समाप्ति से 5-वर्षीय प्रतिधारण की अपेक्षा करता है। PMLA Section 12 भी 5-वर्षीय प्रतिधारण की अपेक्षा करती है। मिटाने का अनुरोध करने वाले ग्राहक का KYC इस अवधि से पहले नहीं मिटाया जा सकता — पर आपको यह अपनी DSAR प्रतिक्रिया में स्पष्ट रूप से समझाना होगा, चुपचाप इनकार नहीं करना।
सर्वोत्तम-अभ्यास प्रतिक्रिया टेम्पलेट: '[क़ानून] के अनुसार, हमें [श्रेणी] को [ट्रिगर] से [अवधि] तक रखना आवश्यक है। जो डेटा रखना आवश्यक नहीं है उसे हमने मिटा दिया है — अर्थात् [सूची]। शेष डेटा केवल वैधानिक प्रयोजन के लिए रखा गया है और किसी अन्य उपयोग के लिए सुलभ नहीं है।'
2. भुगतान डेटा स्थानीयकरण
RBI का भुगतान-प्रणाली डेटा स्थानीयकरण निर्देश (2018) अपेक्षा करता है कि भुगतान डेटा केवल भारत में संग्रहीत हो। इसके विपरीत DPDP Section 16 वर्तमान में सीमा-पार हस्तांतरण की अनुमति देता है, सिवाय जहाँ केंद्र सरकार देश-प्रतिबंध अधिसूचना जारी करे। जहाँ वे अतिव्यापी होते हैं (भारतीय उपयोगकर्ताओं का भुगतान डेटा), RBI नियम अधिक सख़्त है — उसका पालन करें।
भ्रम का बिंदु: कई BFSI टीमें RBI स्थानीयकरण को ऐसे मानती हैं मानो वह DPDP अपेक्षा हो। वह नहीं है। वे स्वतंत्र हैं। यदि भविष्य में Section 16 के अंतर्गत कोई MeitY अधिसूचना ग़ैर-भुगतान डेटा को प्रतिबंधित करती है, तो वह एक अतिरिक्त बाध्यता है, विकल्प नहीं।
3. उल्लंघन अधिसूचना की दौड़ की स्थितियाँ
एक ही उल्लंघन के लिए, आपके सामने समवर्ती अधिसूचना बाध्यताएँ हो सकती हैं:
- CERT-In: 6 घंटे (28 अप्रैल 2022 के Directions के अंतर्गत)
- RBI: सूचना सुरक्षा पर Master Direction के अनुसार (इकाई प्रकार से भिन्न)
- IRDAI / SEBI: क्षेत्रीय साइबर-सुरक्षा दिशानिर्देशों के अनुसार
- DPDP: DPBI तथा प्रभावित Data Principals को 'बिना विलंब'
एकीकृत प्लेबुक के बिना, अधिसूचनाएँ अलग-अलग समय पर, अलग दायरे के साथ, अलग भाषा में जाती हैं — और एक-दूसरे का खंडन कर सकती हैं। सबसे सरल बचाव: एकल घटना-प्रबंधन प्रक्रिया जो साझा घटना रिकॉर्ड से सभी आवश्यक अधिसूचनाएँ उत्पन्न करे।
SDF का प्रश्न
लगभग हर सार्थक BFSI संस्थान को मानदंड अधिसूचित होने पर SDF नामांकन की अपेक्षा करनी चाहिए। मात्रा + संवेदनशीलता + क्षेत्रीय जोखिम + संप्रभु-हित कारक सभी उसी दिशा में धकेलते हैं। अतिरिक्त Rule 13 बाध्यताओं (DPIA कार्यक्रम, ऑडिट चक्र, बोर्ड रिपोर्टिंग सहित भारत-निवासी DPO) को इस मान्यता पर अपने रोडमैप में शामिल करें कि आप नामित होंगे।
Account Aggregator का प्रश्न
यदि आप AA ढाँचे के अंतर्गत FIU हैं: आपका AA-मध्यस्थ डेटा साझाकरण RBI नियमों के अंतर्गत सहमति-आधारित है। उस पर DPDP Section 6 अपेक्षाएँ जोड़ें — प्रति प्रयोजन सूक्ष्मता, वापसी समानता, ऑडिट ट्रेल। कई AA कार्यान्वयन RBI सहमति दर्ज करते हैं पर DPDP तत्वों के बिना।