टकरावका बिन्दु
BFSI संस्थाहरू धेरै नियामकअन्तर्गत काम गर्छन्। DPDP ले तीमध्ये कसैलाई प्रतिस्थापन गर्दैन — यो माथि तहका रूपमा जोडिन्छ। घर्षण तीन बिन्दुमा सबैभन्दा तीव्र छ:
1. KYC धारण vs DSAR मेटाउने
RBI को KYC सम्बन्धी Master Direction ले ग्राहक सम्बन्ध समाप्त भएको दिनदेखि 5-वर्षको धारण माग्छ। PMLA Section 12 ले पनि 5-वर्षको धारण माग्छ। मेटाउन अनुरोध गर्ने ग्राहकको KYC यो अवधिअघि मेटाउन सकिँदैन — तर यो तपाईंको DSAR प्रतिक्रियामा स्पष्ट बुझाउनुपर्छ, मौन अस्वीकार होइन।
उत्तम-अभ्यास प्रतिक्रिया टेम्प्लेट: '[कानुन] अनुसार, हामीले [वर्ग] लाई [ट्रिगर] देखि [अवधि] सम्म राख्नुपर्छ। राख्नु आवश्यक नभएको डेटा हामीले मेटाएका छौं — अर्थात् [सूची]। बाँकी डेटा केवल कानुनी उद्देश्यका लागि राखिएको छ र अन्य कुनै प्रयोगका लागि उपलब्ध छैन।'
2. भुक्तानी डेटा स्थानीयकरण
RBI को भुक्तानी-प्रणाली डेटा स्थानीयकरण निर्देशन (2018) ले भुक्तानी डेटा केवल भारतमा भण्डारण गर्न माग्छ। यसको विपरीत DPDP Section 16 ले हाल सीमापार स्थानान्तरणलाई अनुमति दिन्छ, जहाँ केन्द्र सरकारले देश-प्रतिबन्ध सूचना जारी गर्छ त्यसबाहेक। जहाँ ती मिल्छन् (भारतीय प्रयोगकर्ताको भुक्तानी डेटा), त्यहाँ RBI नियम बढी कडा छ — त्यही पालना गर्नुहोस्।
अन्योलको बिन्दु: धेरै BFSI टोलीले RBI स्थानीयकरणलाई DPDP आवश्यकता जसरी लिन्छन्। त्यो होइन। ती स्वतन्त्र छन्। भविष्यमा Section 16 अन्तर्गत कुनै MeitY सूचनाले गैर-भुक्तानी डेटा प्रतिबन्धित गरे, त्यो एक थप बाध्यता हो, विकल्प होइन।
3. उल्लङ्घन सूचनाका प्रतिस्पर्धी अवस्था
एउटै उल्लङ्घनका लागि तपाईंसामु एकैचोटि धेरै सूचना बाध्यता हुन सक्छन्:
- CERT-In: 6 घण्टा (28 अप्रिल 2022 का Directions अन्तर्गत)
- RBI: सूचना सुरक्षासम्बन्धी Master Direction अनुसार (संस्थाको प्रकारअनुसार फरक)
- IRDAI / SEBI: क्षेत्रगत साइबर-सुरक्षा निर्देशिका अनुसार
- DPDP: DPBI लाई र प्रभावित Data Principals लाई 'ढिलाइ नगरी'
एकीकृत प्लेबुक बिना, सूचनाहरू फरक-फरक समयमा, फरक दायरासहित, फरक भाषामा जान्छन् — र एकअर्काको खण्डन गर्न सक्छन्। सरलतम बचाव: साझा घटना रेकर्डबाट सबै आवश्यक सूचना उत्पादन गर्ने एउटै घटना-व्यवस्थापन प्रक्रिया।
SDF प्रश्न
मापदण्ड सूचित हुँदा लगभग प्रत्येक अर्थपूर्ण BFSI संस्थाले SDF मनोनयनको अपेक्षा गर्नुपर्छ। परिमाण + संवेदनशीलता + क्षेत्रगत जोखिम + सार्वभौम-हित कारक सबै त्यही दिशामा धकेल्छन्। तपाईं मनोनीत हुनुहुनेछ भन्ने अनुमानमा थप Rule 13 बाध्यता (DPIA कार्यक्रम, लेखापरीक्षण चक्र, बोर्ड रिपोर्टिङसहित भारत-निवासी DPO) आफ्नो रोडम्यापमा समावेश गर्नुहोस्।
Account Aggregator प्रश्न
यदि तपाईं AA ढाँचाअन्तर्गत FIU हुनुहुन्छ भने: तपाईंको AA-मध्यस्थ डेटा साझेदारी RBI नियमअन्तर्गत सहमति-आधारित छ। त्यसमाथि DPDP Section 6 आवश्यकता तहका रूपमा थप्नुहोस् — प्रत्येक उद्देश्यका लागि सूक्ष्मता, फिर्ता समानता, लेखापरीक्षण मार्ग। धेरै AA कार्यान्वयनले RBI सहमति लेख्छन् तर DPDP तत्त्वबिना।