टक्कर बिंदू
BFSI संस्था अनेक नियामकांखाली काम करतात. DPDP त्यांच्यापैकी कोणालाही बदलत नाही — तो वर थर म्हणून जोडला जातो. घर्षण तीन बिंदूंवर सर्वाधिक तीव्र आहे:
1. KYC धारण vs DSAR पुसणे
RBI चे KYC वरील Master Direction ग्राहक संबंध संपल्यापासून 5-वर्षांची धारण मागते. PMLA Section 12 सुद्धा 5-वर्षांची धारण मागते. पुसण्याची विनंती करणाऱ्या ग्राहकाचे KYC या कालावधीपूर्वी पुसता येत नाही — पण हे तुमच्या DSAR प्रतिसादात स्पष्टपणे समजावून सांगावे लागेल, मौन नकार नाही.
सर्वोत्तम-पद्धत प्रतिसाद टेम्पलेट: '[कायदा] नुसार, आम्हाला [श्रेणी] [ट्रिगर] पासून [कालावधी] पर्यंत ठेवावी लागते. ठेवणे आवश्यक नसलेला डेटा आम्ही पुसला आहे — म्हणजे [यादी]. उर्वरित डेटा केवळ वैधानिक उद्देशासाठी ठेवला आहे आणि इतर कोणत्याही वापरासाठी उपलब्ध नाही.'
2. पेमेंट डेटा स्थानिकीकरण
RBI चा पेमेंट-प्रणाली डेटा स्थानिकीकरण निर्देश (2018) पेमेंट डेटा फक्त भारतात साठवावा असे मागतो. याउलट DPDP Section 16 सध्या सीमापार हस्तांतरणास परवानगी देते, केंद्र सरकार देश-निर्बंध अधिसूचना जारी करते तिथे वगळता. जिथे ते एकत्र येतात (भारतीय वापरकर्त्यांचा पेमेंट डेटा), तिथे RBI नियम अधिक कठोर आहे — त्याचेच पालन करा.
गोंधळाचा बिंदू: अनेक BFSI संघ RBI स्थानिकीकरणाला DPDP आवश्यकता असल्यासारखे मानतात. ते तसे नाही. ते स्वतंत्र आहेत. भविष्यात Section 16 अंतर्गत कोणतीही MeitY अधिसूचना पेमेंट-नसलेला डेटा प्रतिबंधित करत असेल, तर ती अतिरिक्त बंधनकारकता आहे, पर्याय नाही.
3. उल्लंघन अधिसूचना स्पर्धात्मक परिस्थिती
एकाच उल्लंघनासाठी तुमच्यासमोर एकाच वेळी अनेक अधिसूचना बंधने असू शकतात:
- CERT-In: 6 तास (28 एप्रिल 2022 च्या Directions अंतर्गत)
- RBI: माहिती सुरक्षेवरील Master Direction नुसार (संस्थेच्या प्रकारानुसार बदलते)
- IRDAI / SEBI: क्षेत्रीय सायबर-सुरक्षा मार्गदर्शक तत्त्वांनुसार
- DPDP: DPBI ला आणि प्रभावित Data Principals ला 'विलंब न करता'
एकात्मिक प्लेबुकशिवाय, अधिसूचना वेगवेगळ्या वेळी, वेगळ्या व्याप्तीसह, वेगळ्या भाषेत जातात — आणि परस्परविरोधी असू शकतात. सर्वात सोपा बचाव: सामायिक घटना नोंदीतून सर्व आवश्यक अधिसूचना तयार करणारी एकच घटना-व्यवस्थापन प्रक्रिया.
SDF प्रश्न
निकष अधिसूचित झाल्यावर जवळपास प्रत्येक अर्थपूर्ण BFSI संस्थेने SDF नामनिर्देशनाची अपेक्षा करावी. प्रमाण + संवेदनशीलता + क्षेत्रीय जोखीम + सार्वभौम-हित घटक सर्व त्याच दिशेने ढकलतात. तुम्ही नामनिर्देशित व्हाल या गृहीतकावर अतिरिक्त Rule 13 बंधने (DPIA कार्यक्रम, लेखापरीक्षण चक्र, मंडळ अहवालासह भारत-निवासी DPO) तुमच्या रोडमॅपमध्ये समाविष्ट करा.
Account Aggregator प्रश्न
तुम्ही AA चौकटीअंतर्गत FIU असाल तर: तुमचे AA-मध्यस्थ डेटा सामायिकरण RBI नियमांअंतर्गत संमती-आधारित आहे. त्यावर DPDP Section 6 आवश्यकता थर म्हणून जोडा — प्रत्येक उद्देशासाठी सूक्ष्मता, मागे घेण्याची समानता, लेखापरीक्षण माग. अनेक AA अंमलबजावणी RBI संमती नोंदवतात पण DPDP घटकांशिवाय.