കൂട്ടിയിടി ബിന്ദുക്കൾ
BFSI സ്ഥാപനങ്ങൾ ഒന്നിലധികം റെഗുലേറ്റർമാർക്ക് കീഴിൽ പ്രവർത്തിക്കുന്നു. DPDP അവരിൽ ആരെയും മാറ്റിസ്ഥാപിക്കുന്നില്ല — അത് മുകളിൽ പാളിയായി ചേരുന്നു. ഘർഷണം മൂന്ന് ബിന്ദുക്കളിൽ ഏറ്റവും രൂക്ഷമാണ്:
1. KYC സൂക്ഷിപ്പ് vs DSAR മായ്ക്കൽ
RBI-യുടെ KYC സംബന്ധിച്ച Master Direction ഉപഭോക്തൃ ബന്ധം അവസാനിച്ച ദിവസം മുതൽ 5-വർഷത്തെ സൂക്ഷിപ്പ് ആവശ്യപ്പെടുന്നു. PMLA Section 12-ഉം 5-വർഷത്തെ സൂക്ഷിപ്പ് ആവശ്യപ്പെടുന്നു. മായ്ക്കൽ അഭ്യർത്ഥിക്കുന്ന ഉപഭോക്താവിന്റെ KYC ഈ കാലയളവിന് മുമ്പ് മായ്ക്കാനാവില്ല — പക്ഷേ ഇത് നിങ്ങളുടെ DSAR പ്രതികരണത്തിൽ വ്യക്തമായി വിശദീകരിക്കണം, നിശ്ശബ്ദമായി നിരസിക്കരുത്.
മികച്ച-രീതി പ്രതികരണ ടെംപ്ലേറ്റ്: '[നിയമം] പ്രകാരം, ഞങ്ങൾ [വിഭാഗം] [ട്രിഗർ] മുതൽ [കാലയളവ്] വരെ സൂക്ഷിക്കേണ്ടതുണ്ട്. സൂക്ഷിക്കേണ്ടതില്ലാത്ത ഡാറ്റ ഞങ്ങൾ മായ്ച്ചു — അതായത് [പട്ടിക]. ബാക്കിയുള്ള ഡാറ്റ നിയമപരമായ ഉദ്ദേശ്യത്തിന് മാത്രമാണ് സൂക്ഷിക്കുന്നത്, മറ്റൊരു ഉപയോഗത്തിനും ലഭ്യമല്ല.'
2. പേയ്മെന്റ് ഡാറ്റ പ്രാദേശികവൽക്കരണം
RBI-യുടെ പേയ്മെന്റ്-സിസ്റ്റം ഡാറ്റ പ്രാദേശികവൽക്കരണ നിർദ്ദേശം (2018) പേയ്മെന്റ് ഡാറ്റ ഇന്ത്യയിൽ മാത്രം സൂക്ഷിക്കണമെന്ന് ആവശ്യപ്പെടുന്നു. ഇതിന് വിപരീതമായി DPDP Section 16 നിലവിൽ അതിർത്തി കടന്നുള്ള കൈമാറ്റം അനുവദിക്കുന്നു, കേന്ദ്ര സർക്കാർ രാജ്യ-നിയന്ത്രണ വിജ്ഞാപനം പുറപ്പെടുവിക്കുന്നിടത്തൊഴികെ. അവ ഒത്തുചേരുന്നിടത്ത് (ഇന്ത്യൻ ഉപയോക്താക്കളുടെ പേയ്മെന്റ് ഡാറ്റ), RBI നിയമം കൂടുതൽ കർശനമാണ് — അത് പാലിക്കുക.
ആശയക്കുഴപ്പത്തിന്റെ ബിന്ദു: പല BFSI ടീമുകളും RBI പ്രാദേശികവൽക്കരണത്തെ ഒരു DPDP ആവശ്യകതയായി കണക്കാക്കുന്നു. അതല്ല. അവ സ്വതന്ത്രമാണ്. ഭാവിയിൽ Section 16 പ്രകാരമുള്ള ഏതെങ്കിലും MeitY വിജ്ഞാപനം പേയ്മെന്റ് അല്ലാത്ത ഡാറ്റ നിയന്ത്രിക്കുകയാണെങ്കിൽ, അത് ഒരു അധിക ബാധ്യതയാണ്, പകരമല്ല.
3. ലംഘന അറിയിപ്പ് മത്സര സാഹചര്യങ്ങൾ
ഒരൊറ്റ ലംഘനത്തിന് നിങ്ങൾക്ക് ഒരേസമയം ഒന്നിലധികം അറിയിപ്പ് ബാധ്യതകൾ ഉണ്ടായേക്കാം:
- CERT-In: 6 മണിക്കൂർ (2022 ഏപ്രിൽ 28-ലെ Directions പ്രകാരം)
- RBI: വിവര സുരക്ഷ സംബന്ധിച്ച Master Direction പ്രകാരം (സ്ഥാപന തരം അനുസരിച്ച് വ്യത്യാസപ്പെടുന്നു)
- IRDAI / SEBI: മേഖലാ സൈബർ-സുരക്ഷാ മാർഗ്ഗനിർദ്ദേശങ്ങൾ പ്രകാരം
- DPDP: DPBI-ക്കും ബാധിത Data Principals-നും 'കാലതാമസമില്ലാതെ'
ഏകീകൃത പ്ലേബുക്കില്ലാതെ, അറിയിപ്പുകൾ വ്യത്യസ്ത സമയങ്ങളിൽ, വ്യത്യസ്ത വ്യാപ്തിയോടെ, വ്യത്യസ്ത ഭാഷയിൽ പോകുന്നു — പരസ്പരം വിരുദ്ധമാകാം. ഏറ്റവും ലളിതമായ പ്രതിരോധം: പങ്കിട്ട സംഭവ രേഖയിൽ നിന്ന് ആവശ്യമായ എല്ലാ അറിയിപ്പുകളും ഉത്പാദിപ്പിക്കുന്ന ഒരൊറ്റ സംഭവ-മാനേജ്മെന്റ് പ്രക്രിയ.
SDF ചോദ്യം
മാനദണ്ഡങ്ങൾ വിജ്ഞാപനം ചെയ്യുമ്പോൾ മിക്കവാറും എല്ലാ അർത്ഥവത്തായ BFSI സ്ഥാപനവും SDF നാമനിർദ്ദേശം പ്രതീക്ഷിക്കണം. അളവ് + സംവേദനക്ഷമത + മേഖലാപരമായ അപകടസാധ്യത + പരമാധികാര-താൽപ്പര്യ ഘടകങ്ങൾ എല്ലാം ആ ദിശയിലേക്ക് തള്ളുന്നു. നിങ്ങൾ നാമനിർദ്ദേശം ചെയ്യപ്പെടുമെന്ന അനുമാനത്തിൽ അധിക Rule 13 ബാധ്യതകൾ (DPIA പ്രോഗ്രാം, ഓഡിറ്റ് സൈക്കിൾ, ബോർഡ് റിപ്പോർട്ടിംഗോടെ ഇന്ത്യ-നിവാസി DPO) നിങ്ങളുടെ റോഡ്മാപ്പിൽ ഉൾപ്പെടുത്തുക.
Account Aggregator ചോദ്യം
നിങ്ങൾ AA ചട്ടക്കൂടിന് കീഴിൽ FIU ആണെങ്കിൽ: നിങ്ങളുടെ AA-മധ്യസ്ഥ ഡാറ്റ പങ്കിടൽ RBI നിയമങ്ങൾ പ്രകാരം സമ്മത-അധിഷ്ഠിതമാണ്. അതിന് മുകളിൽ DPDP Section 6 ആവശ്യകതകൾ പാളിയായി ചേർക്കുക — ഓരോ ഉദ്ദേശ്യത്തിനും സൂക്ഷ്മത, പിൻവലിക്കൽ തുല്യത, ഓഡിറ്റ് ട്രെയിൽ. പല AA നടപ്പാക്കലുകളും RBI സമ്മതം രേഖപ്പെടുത്തുന്നു പക്ഷേ DPDP ഘടകങ്ങളില്ലാതെ.