डेटा फिड्यूशियरी, प्रोसेसर और डेटा प्रिंसिपल को समझना

डेटा प्रिंसिपल वह व्यक्ति है जिसके बारे में व्यक्तिगत डेटा है: कोई कर्मचारी, कोई ग्राहक, नौकरी का कोई आवेदक, वेबसाइट का कोई विज़िटर। यह वही व्यक्ति है जिसके अधिकारों के इर्द-गिर्द DPDPA बना है: सूचित किए जाने का, अपने डेटा तक पहुँचने का, उसे सुधरवाने या मिटवाने का, और सहमति वापस लेने का।

डेटा फिड्यूशियरी वह संगठन है जो तय करता है कि व्यक्तिगत डेटा क्यों और कैसे प्रोसेस किया जाएगा (आमतौर पर आपका अपना संगठन, अगर आप ग्राहकों या कर्मचारियों से डेटा इकट्ठा कर रहे हैं)। यही वह भूमिका है जिस पर DPDPA के ज़्यादातर दायित्व आते हैं: नोटिस देना, सहमति लेना, डेटा प्रिंसिपल के अनुरोधों का सम्मान करना, डेटा को सुरक्षित रखना और डेटा उल्लंघन (ब्रीच) की रिपोर्ट करना।

'सिग्निफिकेंट डेटा फिड्यूशियरी' एक अतिरिक्त पदनाम है, जिसे सरकार उन फिड्यूशियरी पर लागू कर सकती है जो ऐसे पैमाने या संवेदनशीलता का डेटा सँभालते हैं जिसके लिए अतिरिक्त दायित्व उचित हों, जैसे समय-समय पर ऑडिट और भारत में स्थित डेटा प्रोटेक्शन ऑफ़िसर। ज़्यादातर संगठन अपने-आप इस श्रेणी में नहीं आते।

डेटा प्रोसेसर, डेटा फिड्यूशियरी की ओर से, उसके निर्देशों के तहत व्यक्तिगत डेटा सँभालता है: जैसे कोई पेरोल वेंडर, क्लाउड होस्टिंग प्रदाता या कस्टमर सपोर्ट प्लेटफ़ॉर्म। प्रोसेसर यह तय नहीं करता कि डेटा क्यों प्रोसेस किया जाए; वह फिड्यूशियरी की ओर से काम करता है।

प्रोसेसर का उपयोग करने से ज़िम्मेदारी फिड्यूशियरी से हट नहीं जाती। टीमें अक्सर यहीं चूक जाती हैं: अगर कोई वेंडर उस डेटा को गलत तरीक़े से सँभालता है जो आपने उसे प्रोसेस करने के लिए दिया था, तो जवाब देना अब भी आपकी ही ज़िम्मेदारी है, और इसीलिए वेंडर अनुबंध और निगरानी मायने रखते हैं (नीचे वेंडर समीक्षा चेकलिस्ट देखें)।

कंसेंट मैनेजर एक अलग, पंजीकृत संस्था है जो डेटा प्रिंसिपल को एक ही इंटरफ़ेस से कई फिड्यूशियरी में सहमति देने, प्रबंधित करने, देखने और वापस लेने की सुविधा देती है। ज़्यादातर संगठन खुद कंसेंट मैनेजर के रूप में काम नहीं करेंगे (यह एक अलग, विनियमित भूमिका है), लेकिन यह ऐसा शब्द है जो आपको नियमों में बाकी शब्दों के साथ दिखेगा।