वेंडर जोखिम स्कोरकार्ड क्या है और DPDP अनुपालन में यह क्यों ज़रूरी है? वेंडर जोखिम स्कोरकार्ड एक ऐसा ढाँचा है जिससे आप अपने हर डेटा प्रोसेसर, वेंडर और थर्ड-पार्टी सेवा प्रदाता को उनके DPDP जोखिम के आधार पर अंक देते हैं और उन्हें उच्च, मध्यम या निम्न जोखिम टियर में बाँटते हैं। DPDP अधिनियम, 2023 के तहत डेटा फ़िड्युशरी अपने प्रोसेसरों के आचरण के लिए ज़िम्मेदार रहता है — इसलिए यदि आपका कोई वेंडर व्यक्तिगत डेटा गलत तरीके से संभालता है, तो जुर्माने की ज़िम्मेदारी आप पर भी आती है। यह हिंदी वेंडर जोखिम स्कोरकार्ड आपको स्कोरिंग शीट, टियरिंग तर्क, अनुबंध खंड और वेंडर-वार सुधार योजना देता है, ताकि आप अपने सबसे जोखिम भरे वेंडरों को पहले ठीक कर सकें।
अपने वेंडरों और डेटा प्रोसेसरों का DPDP जोखिम स्कोर निकालने का पूरा ढाँचा — स्कोरिंग शीट, जोखिम टियरिंग, अनुबंध खंड और वेंडर-वार सुधार योजना, सब हिंदी में।
हर वेंडर का जोखिम पाँच आयामों पर मापा जाता है और प्रत्येक को 0 से 5 तक अंक दिए जाते हैं: (क) डेटा संवेदनशीलता — वेंडर के पास कैसा डेटा जाता है (सामान्य संपर्क डेटा बनाम स्वास्थ्य, वित्तीय या बच्चों का डेटा); (ख) डेटा की मात्रा — कितने डेटा प्रिंसिपलों का डेटा उस तक पहुँचता है; (ग) अनुबंधात्मक स्थिति — क्या एक हस्ताक्षरित DPA मौजूद है जिसमें उद्देश्य-सीमा, उप-प्रोसेसर नियंत्रण और उल्लंघन-सूचना खंड हैं; (घ) सुरक्षा परिपक्वता — क्या वेंडर के पास एन्क्रिप्शन, एक्सेस नियंत्रण और मान्यता-प्राप्त प्रमाणन हैं; और (ङ) सीमा-पार जोखिम — क्या डेटा भारत से बाहर जाता है।
अंक जितना अधिक, जोखिम उतना अधिक। इन पाँच आयामों का योग हर वेंडर को 0 से 25 तक का कुल स्कोर देता है। यह पद्धति व्यक्तिपरक 'गट फीलिंग' के बजाय एक निरंतर, दोहराने योग्य आधार देती है — यही चीज़ डेटा संरक्षण बोर्ड (DPB) की जाँच के समय यह दिखाने में मदद करती है कि आपने अपने प्रोसेसरों का उचित परिश्रम (due diligence) किया था।
कुल स्कोर के आधार पर हर वेंडर को तीन में से एक टियर में रखें: उच्च जोखिम (17–25) — इन वेंडरों को तत्काल ध्यान चाहिए, इनका DPA अभी ठीक करें, सुरक्षा प्रमाण माँगें, और इन्हें वार्षिक के बजाय अर्ध-वार्षिक समीक्षा में रखें; मध्यम जोखिम (9–16) — इन्हें मानक DPA खंडों और वार्षिक समीक्षा से नियंत्रित करें; निम्न जोखिम (0–8) — इनके लिए हल्की निगरानी पर्याप्त है, पर बुनियादी अनुबंध खंड फिर भी होने चाहिए।
टियरिंग का असली फ़ायदा यह है कि यह आपके सीमित समय और बजट को प्राथमिकता देता है। अधिकांश मध्यम-आकार के संगठनों के पास दर्जनों वेंडर होते हैं पर उनमें से केवल कुछ ही वास्तव में उच्च जोखिम वाले होते हैं — आमतौर पर वे जो बड़ी मात्रा में ग्राहक या कर्मचारी डेटा संभालते हैं या विदेश में स्थित हैं। पहले उन्हीं पर ध्यान दें। यह टियर-आधारित दृष्टिकोण ही Niti Bharat के DPDP अनुपालन कार्यक्रमों की रीढ़ है।
आपके स्कोरकार्ड के लिए चुने गए डेटा आयाम:
DPDP अधिनियम, 2023 के तहत डेटा फ़िड्युशरी (यानी वह संगठन जो यह तय करता है कि व्यक्तिगत डेटा क्यों और कैसे संसाधित होगा) अपने डेटा प्रोसेसरों के आचरण के लिए ज़िम्मेदार बना रहता है। इसका सीधा अर्थ यह है कि यदि आपका कोई पेरोल वेंडर, क्लाउड होस्टिंग प्रदाता या मार्केटिंग एजेंसी व्यक्तिगत डेटा को गलत तरीके से संभालती है, तो डेटा संरक्षण बोर्ड की नज़र में जवाबदेही आपकी है। इसलिए हर वेंडर का जोखिम व्यवस्थित रूप से मापना कोई वैकल्पिक कदम नहीं, बल्कि आपके अपने जोखिम प्रबंधन का केंद्र है।
अधिकांश मध्यम-आकार के भारतीय संगठनों की समस्या यह है कि उनके पास वेंडरों की एक लंबी सूची तो होती है, पर यह जानने का कोई ढाँचा नहीं होता कि कौन-सा वेंडर सबसे अधिक जोखिम भरा है। एक स्कोरकार्ड यह अंतर मिटाता है — यह हर वेंडर को समान पैमाने पर मापता है और आपको बताता है कि सीमित समय में किन वेंडरों को पहले ठीक करना चाहिए।
DPDP अधिनियम के तहत जुर्माने की सीमाएँ काफ़ी ऊँची हैं — सुरक्षा उपायों की विफलता से हुए उल्लंघन पर ₹250 करोड़ तक, उल्लंघन की सूचना न देने पर ₹200 करोड़ तक, और अन्य दायित्वों की चूक पर ₹50 करोड़ तक। ये अधिकतम सीमाएँ हैं, तय राशि नहीं — बोर्ड वास्तविक जुर्माना तय करते समय यह देखता है कि आपने क्या सावधानी बरती थी। एक दस्तावेज़ी वेंडर स्कोरकार्ड यह दिखाता है कि आपने अपने प्रोसेसरों का उचित परिश्रम किया था, जो जुर्माने को कम करने वाला एक ठोस साक्ष्य है।
मई 2027 के आसपास पूर्ण प्रवर्तन अपेक्षित है, इसलिए हर उस संगठन को जो कई वेंडरों के साथ काम करता है, यह स्कोरकार्ड अभी तैयार रखना चाहिए। Niti Bharat के निश्चित-मूल्य DPDP अनुपालन कार्यक्रम (₹75,000–₹3.2 लाख) इस स्कोरकार्ड के पीछे का पूरा वेंडर-प्रबंधन ढाँचा और अनुबंध दस्तावेज़ीकरण खड़ा करते हैं।
One real DPDP development explained in plain English, one practical how-to, one number from our own assessment data. Nothing else — no daily noise, no sales pitch.
No spam. Unsubscribe with one click, anytime.
