वर्तमान व्यवस्था
DPDP Act की Section 16 — अंतरराष्ट्रीय मानकों से — उदार है। यह कहती है कि केंद्र सरकार, अधिसूचना द्वारा, निर्दिष्ट देशों या क्षेत्रों को भारत के बाहर व्यक्तिगत डेटा के हस्तांतरण को प्रतिबंधित कर सकती है। डिफ़ॉल्ट स्थिति: हस्तांतरण अनुमत है। प्रतिबंध के लिए विशिष्ट अधिसूचना चाहिए।
यह 2019 के PDP Bill से सारवान रूप से भिन्न है, जिसमें व्यापक सीमा-पार प्रतिबंध थे। अधिनियमित रूप में Act प्रतिबंध को अपवाद बनाता है।
भविष्य की व्यवस्था
कई कारक भविष्य के प्रतिबंधों की ओर संकेत करते हैं:
- पारस्परिकता विचार — प्रतिबंधात्मक व्यवस्थाओं वाले देश (चीन) भारतीय प्रतिबंध आकर्षित कर सकते हैं
- संप्रभु-हित डेटा श्रेणियाँ (रक्षा, महत्वपूर्ण अवसंरचना)
- Rule 13(4) के अंतर्गत SDF-विशिष्ट बाध्यताएँ — सरकार अपेक्षा कर सकती है कि SDFs का कुछ व्यक्तिगत डेटा भारत में ही रहे
इकाइयों को इस मान्यता पर योजना बनानी चाहिए कि कुछ श्रेणियों का डेटा, कुछ वर्गों के fiduciary के लिए, भविष्य में किसी तिथि पर स्थानीयकरण या हस्तांतरण प्रतिबंध के अधीन होगा।
मानचित्रण अभ्यास
वर्तमान व्यवस्था चाहे जो हो, आपको अपने सीमा-पार व्यक्तिगत डेटा प्रवाहों का पूर्ण मानचित्र चाहिए। मानचित्र में दर्ज होना चाहिए:
- स्रोत सिस्टम (कौन-सा एप्लिकेशन, किस देश में, डेटा उत्पन्न करता है)
- गंतव्य सिस्टम (कौन-सा एप्लिकेशन, किस देश में, डेटा प्राप्त करता है)
- हस्तांतरित व्यक्तिगत डेटा की श्रेणियाँ
- हस्तांतरण का प्रयोजन
- स्रोत पर Data Fiduciary, गंतव्य पर Processor / Data Fiduciary
- हस्तांतरण का क़ानूनी आधार (सहमति, अनुबंध, क़ानूनी बाध्यता)
- मात्राएँ (प्रति तिमाही रिकॉर्ड)
त्वरित लाभ
मानचित्रण करते समय, स्पष्ट जोखिमों को संबोधित करें:
- ऐसे SaaS उपकरण जो भारतीय ग्राहक डेटा को ग़ैर-भारतीय क्षेत्रों में संग्रहीत करते हैं जबकि भारतीय क्षेत्र उपलब्ध है — भारतीय क्षेत्र पर स्विच करें
- ऐसे एनालिटिक्स प्लेटफ़ॉर्म जो भारतीय उपयोगकर्ता व्यवहार डेटा को वैश्विक इंस्टेंस में समेकित करते हैं — क्षेत्र प्रतिबंधों की जाँच करें या हस्तांतरण-पूर्व अनाम करें
- भारत के बाहर बैकअप गंतव्य — आकलन करें और दस्तावेज़ करें
प्रोसेसर का प्रश्न
कई सीमा-पार 'हस्तांतरण' वास्तव में प्रोसेसर-से-प्रोसेसर होते हैं। Data Fiduciary भारत में रहता है; Processor (जैसे, किसी क्लाउड प्रदाता की US-आधारित एनालिटिक्स सेवा) बाहर प्रसंस्करण करता है। इस पर भी Section 16 लागू होती है। आपके DPA को इसे संबोधित करना होगा।