सध्याची व्यवस्था
DPDP Act ची Section 16 — आंतरराष्ट्रीय निकषांनुसार — उदार आहे. केंद्र सरकार अधिसूचनेद्वारे विशिष्ट देशांना किंवा प्रदेशांना भारताबाहेर वैयक्तिक डेटा हस्तांतरण प्रतिबंधित करू शकते असे ती म्हणते. डीफॉल्ट स्थिती: हस्तांतरणास परवानगी आहे. निर्बंधासाठी विशिष्ट अधिसूचना लागते.
विस्तृत सीमापार निर्बंध असलेल्या 2019 च्या PDP Bill पेक्षा हे लक्षणीयरीत्या वेगळे आहे. लागू झालेल्या स्वरूपात Act निर्बंधाला अपवाद बनवते.
भविष्यातील व्यवस्था
अनेक घटक भविष्यातील निर्बंधांकडे निर्देश करतात:
- परस्परता विचार — निर्बंधात्मक व्यवस्था असलेले देश (चीन) भारतीय निर्बंध आकर्षित करू शकतात
- सार्वभौम-हित डेटा श्रेणी (संरक्षण, निर्णायक पायाभूत सुविधा)
- Rule 13(4) अंतर्गत SDF-विशिष्ट बंधने — SDFs चा काही वैयक्तिक डेटा भारतात राहावा अशी सरकार मागणी करू शकते
काही श्रेणींचा डेटा, काही वर्गांच्या fiduciary साठी, भविष्यात कधीतरी स्थानिकीकरण किंवा हस्तांतरण निर्बंधाखाली येईल या गृहीतकावर संस्थांनी नियोजन करावे.
मॅपिंग सराव
सध्याची व्यवस्था कोणतीही असो, तुमच्या सीमापार वैयक्तिक डेटा प्रवाहांचा संपूर्ण नकाशा हवा. नकाशात नोंदवले जावे:
- स्रोत प्रणाली (कोणते अ‍ॅप्लिकेशन, कोणत्या देशात, डेटा तयार करते)
- गंतव्य प्रणाली (कोणते अ‍ॅप्लिकेशन, कोणत्या देशात, डेटा स्वीकारते)
- हस्तांतरित वैयक्तिक डेटाच्या श्रेणी
- हस्तांतरणाचा उद्देश
- स्रोतावर Data Fiduciary, गंतव्यावर Processor / Data Fiduciary
- हस्तांतरणाचा कायदेशीर आधार (संमती, करार, कायदेशीर बंधन)
- प्रमाण (प्रति तिमाही नोंदी)
झटपट यश
मॅपिंग करताना स्पष्ट जोखमी हाताळा:
- भारतीय प्रदेश उपलब्ध असूनही भारतीय ग्राहक डेटा भारताबाहेरील प्रदेशांत साठवणारी SaaS साधने — भारतीय प्रदेशावर स्विच करा
- भारतीय वापरकर्त्यांचा वर्तन डेटा जागतिक इन्स्टन्समध्ये एकत्रित करणारी विश्लेषण व्यासपीठे — प्रदेश निर्बंध तपासा किंवा हस्तांतरणापूर्वी निनावी करा
- भारताबाहेरील बॅकअप गंतव्ये — मूल्यांकन करा आणि नोंदवा
प्रोसेसर प्रश्न
अनेक सीमापार 'हस्तांतरणे' प्रत्यक्षात प्रोसेसर-ते-प्रोसेसर असतात. Data Fiduciary भारतात राहतो; Processor (उदा., एखाद्या क्लाउड पुरवठादाराची US-आधारित विश्लेषण सेवा) बाहेर प्रक्रिया करतो. यालाही Section 16 लागू होते. तुमच्या DPA ने हे हाताळले पाहिजे.