ٹکراؤ کے نکات
BFSI ادارے متعدد ریگولیٹرز کے تحت کام کرتے ہیں۔ DPDP ان میں سے کسی کی جگہ نہیں لیتا — یہ اوپر ایک تہہ کے طور پر جڑتا ہے۔ رگڑ تین نکات پر سب سے شدید ہے:
1. KYC برقراری بمقابلہ DSAR مٹانا
RBI کا KYC سے متعلق Master Direction گاہک کے تعلق کے اختتام سے 5 سال کی برقراری مانگتا ہے۔ PMLA Section 12 بھی 5 سال کی برقراری مانگتی ہے۔ مٹانے کی درخواست کرنے والے گاہک کا KYC اس مدت سے پہلے نہیں مٹایا جا سکتا — مگر یہ آپ کو اپنے DSAR جواب میں واضح سمجھانا ہوگا، خاموش انکار نہیں۔
بہترین عمل کا جوابی ٹیمپلیٹ: '[قانون] کے مطابق، ہمیں [زمرہ] کو [محرک] سے [مدت] تک رکھنا ہوتا ہے۔ جو ڈیٹا رکھنا ضروری نہیں وہ ہم نے مٹا دیا ہے — یعنی [فہرست]۔ باقی ڈیٹا صرف قانونی مقصد کے لیے رکھا گیا ہے اور کسی اور استعمال کے لیے دستیاب نہیں۔'
2. ادائیگی کے ڈیٹا کی مقامی کاری
RBI کی ادائیگی نظام ڈیٹا مقامی کاری ہدایت (2018) ادائیگی کا ڈیٹا صرف بھارت میں رکھنے کا مطالبہ کرتی ہے۔ اس کے برعکس DPDP Section 16 فی الحال سرحد پار منتقلی کی اجازت دیتا ہے، جہاں مرکزی حکومت ملکی پابندی کی اطلاع جاری کرے اس کے سوا۔ جہاں وہ ملتے ہیں (بھارتی صارفین کا ادائیگی ڈیٹا)، وہاں RBI کا اصول زیادہ سخت ہے — اسی کی پابندی کریں۔
الجھن کا نقطہ: کئی BFSI ٹیمیں RBI مقامی کاری کو DPDP کا تقاضا سمجھتی ہیں۔ وہ نہیں ہے۔ وہ آزاد ہیں۔ مستقبل میں Section 16 کے تحت کوئی MeitY اطلاع غیر ادائیگی ڈیٹا کو محدود کرے، تو وہ ایک اضافی پابندی ہے، متبادل نہیں۔
3. خلاف ورزی کی اطلاع کی مسابقتی صورتیں
ایک ہی خلاف ورزی کے لیے آپ کے سامنے بیک وقت متعدد اطلاعی پابندیاں ہو سکتی ہیں:
- CERT-In: 6 گھنٹے (28 اپریل 2022 کے Directions کے تحت)
- RBI: معلوماتی سیکیورٹی سے متعلق Master Direction کے مطابق (ادارے کی قسم کے لحاظ سے مختلف)
- IRDAI / SEBI: شعبہ جاتی سائبر سیکیورٹی رہنما اصولوں کے مطابق
- DPDP: DPBI کو اور متاثرہ Data Principals کو 'تاخیر کے بغیر'
مربوط پلے بک کے بغیر، اطلاعات مختلف اوقات میں، مختلف دائرہ کار کے ساتھ، مختلف زبان میں جاتی ہیں — اور ایک دوسرے کی تردید کر سکتی ہیں۔ سادہ ترین دفاع: مشترکہ واقعہ ریکارڈ سے تمام مطلوبہ اطلاعات پیدا کرنے والا ایک ہی واقعہ انتظامی عمل۔
SDF کا سوال
معیارات مطلع ہونے پر تقریباً ہر بامعنی BFSI ادارے کو SDF نامزدگی کی توقع رکھنی چاہیے۔ مقدار + حساسیت + شعبہ جاتی خطرہ + خودمختاری کے مفاد کے عوامل سب اسی سمت دھکیلتے ہیں۔ آپ نامزد ہوں گے، اس مفروضے پر اضافی Rule 13 پابندیاں (DPIA پروگرام، آڈٹ سائیکل، بورڈ رپورٹنگ کے ساتھ بھارت میں مقیم DPO) اپنے روڈ میپ میں شامل کریں۔
Account Aggregator کا سوال
اگر آپ AA ڈھانچے کے تحت FIU ہیں: آپ کا AA کے ذریعے ڈیٹا اشتراک RBI کے اصولوں کے تحت رضامندی پر مبنی ہے۔ اس پر DPDP Section 6 کے تقاضے تہہ کے طور پر جوڑیں — ہر مقصد کے لیے باریکی، واپسی کی برابری، آڈٹ ٹریل۔ کئی AA نفاذ RBI رضامندی درج کرتے ہیں مگر DPDP عناصر کے بغیر۔