India DPDP eeskirjad: arendustööd, mis peavad valmis olema 2027. aasta maiks

India avaldas 13. novembril 2025 isikuandmete kaitse eeskirjad Digital Personal Data Protection Rules, 2025 (G.S.R. 846(E)). Suurem osa eeskirjadest, mis teie toodet puudutavad, ei ole veel jõustunud. Eeskirja 1 lõike 4 järgi jõustuvad eeskirjad 3, 5 kuni 16, 22 ja 23 „kaheksateist kuud pärast käesoleva Gazette'i avaldamise kuupäeva“. Arvestage kaheksateist kuud juurde ja jõuate 13. maini 2027, mis on tänasest veidi rohkem kui seitsme kuu kaugusel.

Need eeskirjad käsitlevad teavitusi, turvalisust, rikkumisest teatamist, säilitamist ja kustutamist, laste andmeid ning õiguste taotlusi. Eeskiri 4, mis lubab nõusolekuhalduritel (Consent Manager) end andmekaitsenõukogus (Data Protection Board) registreerida, jõustub varem: aasta pärast avaldamist ehk umbes 13. novembril 2026. Valitsuse teadaanne nimetab seda 18-kuuliseks järkjärguliseks ajakavaks.

Artikkel on mõeldud India tarbijarakenduste, finantstehnoloogia-, haridustehnoloogia- ja e-kaubandusettevõtete ning India kasutajatega välisettevõtete tehnikajuhtidele ja tootejuhtidele. Seadus hõlmab ka väljaspool Indiat toimuvat töötlemist, kui see on „seotud mis tahes tegevusega, millega pakutakse kaupu või teenuseid andmesubjektidele India territooriumil“ (paragrahvi 3 punkt b). Allpool on kirjas tarkvara, mille peate ehitama või mida peate muutma. See ei ole juriidiline lünkade analüüs: kas te kuulute kohaldamisalasse, millised erandid kehtivad ja kuidas teie eesmärgid on sõnastatud, on küsimused juristile.

Kellel on tegelikult arendustööd

Kui kõik teie kliendiandmed on ühes valmis SaaS-platvormis, tuleb suur osa torustikust (krüpteerimine, juurdepääsulogid, kustutustööd) tarnija tootearenduskavast. Teie töö on teavitused, seadistused ja lepingud. Lugege need lepingud läbi: eeskirja 6 lõike 1 punkt f nõuab, et turvameetmed oleksid neisse kirja pandud, ning eeskirja 8 juurde kuuluv näide teeb teid vastutavaks selle eest, et teie pilveteenuse pakkuja säilitab andmeid ja logisid nõutud aasta.

Raske töö langeb ettevõtetele, kes käitavad oma rakendusi ja andmebaase, toidavad andmeladu kümnekonnast andmevoost ja lisavad mobiilirakendusse kolmandate osapoolte SDK-sid. See on suurem osa India tarbijainternetist.

Mida iga eeskiri teie tarkvaralt nõuab

Teavitus (eeskiri 3)

Teavitus peab olema „arusaadav sõltumata mis tahes muust teabest“, mida te avaldate. See peab sisaldama vähemalt „selliste isikuandmete üksikasjalikku kirjeldust“, konkreetset eesmärki ning konkreetset kirjeldust kaupadest, teenustest või kasutusviisidest, mida töötlemine võimaldab. Samuti peab see ütlema, kuidas nõusolekut tagasi võtta, õigusi kasutada ja nõukogule kaevata.

Praktikas:

• Koostage teavitused andmeinventuuri põhjal. Väli välja haaval, seotuna eesmärkidega. „Võime koguda teavet, näiteks“ ei ole üksikasjalik kirjeldus.
• Versioonige iga teavitus. Iga nõusolekukirje peab viitama täpselt sellele tekstile, mida kasutaja nägi.
• Arvestage keeltega. Seaduse paragrahvi 6 lõige 3 nõuab võimalust lugeda nõusolekutaotlust inglise keeles või mis tahes keeles, mis on loetletud põhiseaduse kaheksandas lisas. Hoidke teavituse sisu tõlgitavate stringidena, mitte PDF-ina.
• Hõlmake olemasolevad kasutajad. Paragrahvi 5 lõige 2 nõuab teavitust „niipea kui see on mõistlikult võimalik“ inimestele, kes andsid nõusoleku enne seaduse jõustumist. See tähendab kampaaniat kogu teie kasutajaskonnale.

Nõusolek, selle tagasivõtmine ja nõusolekuhaldurid

Paragrahvi 6 järgi peab nõusolek olema konkreetne ja piirduma andmetega, mida eesmärk vajab. Paragrahvi 6 lõige 10 paneb tõendamiskohustuse teile: vaidluse korral näitate teie, et teavitus anti ja nõusolek saadi. Just selle lause pärast vajate nõusolekuregistrit, mitte tõeväärtusega veergu.

Toimiv register salvestab iga kasutaja ja eesmärgi kohta teavituse versiooni, ajatempli, kanali (veeb, rakendus, nõusolekuhaldur) ja toimingu (antud või tagasi võetud). Ainult lisamine, mitte muutmine.

Nõusoleku tagasivõtmine peab olema sama lihtne kui selle andmine (eeskirja 3 punkti c alapunkt i, paragrahvi 6 lõige 4). Kui nõusolek oli liitumisel üks puudutus, ei saa tagasivõtmine olla e-kiri klienditoele. See peab ka edasi liikuma. Paragrahvi 6 lõige 6 nõuab, et lõpetaksite töötlemise mõistliku aja jooksul ja tagaksite, et ka teie volitatud töötlejad selle lõpetavad. Seega avaldab nõusolekuteenus tagasivõtmise sündmused igale süsteemile ja tarnijale, kes selle eesmärgi alusel tegutseb: CRM, turundusplatvorm, analüütika andmevoog.

Nõusolekuhaldur on registreeritud ühtne kontaktpunkt, mille kaudu kasutaja saab oma nõusolekut „anda, hallata, üle vaadata või tagasi võtta“ (paragrahvi 6 lõige 7). Esimese lisa järgi peab see olema Indias asutatud äriühing, mille netovara on vähemalt 20 miljonit ruupiat, selle platvorm peab olema sõltumatult sertifitseeritud nõukogu avaldatavate standardite järgi, see ei tohi saada lugeda andmeid, mida ta edastab, ning see säilitab nõusolekukirjeid vähemalt seitse aastat.

Eeskirjad jätavad selle standardi nõukogu otsustada. Ehitage sissetulev kanal juba praegu, nii et välisplatvormilt saabuv nõusolek või tagasivõtmine käsitletakse täpselt nagu teie enda kasutajaliidesest tulev, ja siduge end konkreetse andmevorminguga alles siis, kui nõukogu selle avaldab. Registreerimine algab umbes 13. novembril 2026, nii et liidestamine algab realistlikult 2027. aasta alguses.

Turvameetmed ja logid (eeskiri 6)

Miinimumloetelu: krüpteerimine, hägustamine, maskimine või tokeniseerimine; juurdepääsukontroll asjaomastes süsteemides; „nähtavus selliste isikuandmete kasutamise üle asjakohaste logide, seire ja ülevaatuse abil“; varukoopiad, et töötlemine saaks pärast intsidenti jätkuda; ning „selliste logide ja isikuandmete säilitamine ühe aasta jooksul“.

Logimisnõue on koht, kus enamik süsteeme jääb puudu. Taristulogid ei ütle teile, kes luges millise kliendi kirjet millisest teenusest, ja seda vastust on teil vaja aasta pärast. Seega: rakenduse tasemel juurdepääsulogimine igas isikuandmeid sisaldavas andmehoidlas, logid saadetakse kohta, kus teenused neid muuta ei saa, ja neid hoitakse vähemalt aasta. Alustage varakult; paljudes teenustes kasutuselevõtt võtab kauem aega kui ükski teine siinne funktsioon.

Rikkumisest teatamine (eeskiri 7)

Rikkumisest teada saades teavitate iga mõjutatud kasutajat „viivitamata“ kasutajakonto või registreeritud kontaktkanali kaudu: mis juhtus, millised on tõenäolised tagajärjed talle, mida te ette võtate, mida tema teha saab ja kelle poole pöörduda. Nõukogu saab viivitamata kirjelduse ja seejärel 72 tunni jooksul üksikasjaliku aruande põhjuste, leevendusmeetmete, toimepanija kohta tehtud järelduste, parandusmeetmete ja kasutajatele saadetud teadete kohta. Kirjaliku taotluse alusel võib nõukogu anda pikema tähtaja.

Tarkvaras tähendab see võimalust arvutada mõjutatud kasutajate hulk (mis sõltub ülalnimetatud juurdepääsulogidest), eelnevalt kirjutatud malle, teavituskanalit, mis ei kulge läbi rikutud süsteemi, ja tegevusjuhendit, mis nimetab, kes nõukogule teatab.

Kustutamine ja säilitamine (eeskiri 8)

Paragrahvi 8 lõige 7 nõuab andmete kustutamist, kui nõusolek võetakse tagasi või eesmärk ei ole enam asjakohane, välja arvatud juhul, kui muu seadus nõuab säilitamist. Eeskiri 8 lisab kaks asja.

Esiteks loetakse kolme kolmanda lisa kategooria puhul eesmärk lõppenuks, kui kasutajaga pole kolm aastat kontakti olnud: e-kaubandusettevõtted, millel on Indias vähemalt 20 miljonit registreeritud kasutajat, veebimänguvahendajad, millel on vähemalt 5 miljonit, ning sotsiaalmeediavahendajad, millel on vähemalt 20 miljonit. Erandiks on kontole juurdepääs ja salvestatud väärtusega tokenid. Peate kasutajat hoiatama vähemalt 48 tundi enne kustutamist ja sisselogimine tühistab selle. See tähendab aktiivsuse jälgijat, ajastajat ja teavitustööd. Kolm aastat arvestatakse viimasest kontaktist või eeskirjade jõustumisest, olenevalt sellest, kumb on hilisem, nii et kustutamine ei ole veel aastaid ees, kuid jälgimine peab algusest peale õige olema.

Teiseks seab eeskirja 8 lõige 3 alampiiri: isikuandmeid, liiklusandmeid ja töötlemislogisid säilitatakse vähemalt aasta alates töötlemisest. Eeskirja näide on e-raamatu tellimus, mille andmed peavad säilima ka pärast konto kustutamist. Seega ei saa „kustuta minu konto“ tähendada DELETE FROM users. See tähendab: lõpetage töötlemine, viige see, mida tuleb säilitada, piiratud juurdepääsuga hoidlasse koos säilitamise lõppkuupäevaga ja kustutage see, kui kuupäev möödub. Igal tabelil on vaja säilitusklassi, nagu ka igal koopial varukoopiates, andmelaos ja teie volitatud töötlejate süsteemides.

Õiguste taotlused ja kontaktandmed (eeskirjad 9 ja 14)

Kasutajad võivad küsida kokkuvõtet oma andmetest ja nende töötlemisest ning iga vastutava töötleja ja volitatud töötleja nime, kellega te neid jagasite (paragrahv 11), taotleda andmete parandamist, täiendamist, ajakohastamist või kustutamist (paragrahv 12) ja määrata isiku, kes tegutseb nende eest surma või teovõimetuse korral (paragrahv 14). Eeskiri 14 nõuab, et avaldaksite, kuidas taotlust esitada ja millist identifikaatorit vajate, ning vastaksite kaebustele avaldatud tähtaja jooksul, mis ei ole pikem kui üheksakümmend päeva. Eeskiri 9 nõuab, et igas vastuses oleksid teie andmekaitseametniku või vastamisvõimelise isiku kontaktandmed.

Ehitada tuleb: taotluste vastuvõtt rakenduses, kontoga seotud isikusamasuse kontroll, juhtumite jälgimine, mis peab arvet üheksakümne päeva üle, eksport, mis leiab kasutaja andmed kõigist teenustest, ja jagamisregister, et küsimus „kellega te neid jagasite“ oleks päring, mitte uurimine.

Lapsed ja puudega inimesed (eeskirjad 10 kuni 12)

Seaduse järgi on laps iga alla kaheksateistaastane isik. Enne lapse andmete töötlemist vajate vanema kontrollitavat nõusolekut ning eeskiri 10 nõuab kontrollimist, et vanem on tuvastatav täisealine. Kontrollimisel võib kasutada registreeritud vanema kohta juba olemasolevaid isikusamasuse ja vanuse andmeid, vanema esitatud andmeid või volitatud üksuse poolt nende andmetega seotud „virtuaalset tokenit“, sealhulgas Digital Lockeri teenusepakkujalt. MeitY DigiLocker avaldab päringu-API-sid organisatsioonidele, kes küsivad kontrollitud dokumente; laske juristil kinnitada, millised allikad teie protsesside puhul eeskirja nõuetele vastavad.

Paragrahvi 9 lõige 3 keelab lastele suunatud jälgimise, käitumise seire ja sihitud reklaami. Tarbijarakenduse jaoks on see SDK probleem ja turvaline vaikevalik on lülitada analüütika- ja reklaami-SDK-d alaealiseks märgitud kontode puhul välja, mitte püüda neid nõuetele vastavaks seadistada.

Eeskiri 11 käsitleb puudega inimeste seaduslikke eestkostjaid: kontrollite, et eestkostja on määranud kohus, määratud asutus või kohaliku tasandi komitee. See tähendab dokumendi üleslaadimist ja käsitsi ülevaatuse järjekorda. India advokaadibüroode andmetel andis MeitY 2026. aasta oktoobris seaduse paragrahvi 43 alusel välja korralduse Digital Personal Data Protection (Removal of Difficulties) Order, 2026 (S.O. 5458(E)), mis parandab paragrahvi 9 lõike 1 sõnastuseks „lapse või puudega isiku“. Kontrollitava nõusoleku kohustus hõlmab nüüd selgelt nii puudega isiku kui ka lapse andmeid. Seda kirjeldatakse toimetusliku parandusena ja see ei lisa protsessi ühtegi sammu.

Eeskiri 12 ja neljas lisa vabastavad osa töötlemisest vanema nõusoleku nõudest ja jälgimiskeelust, nende hulgas tervishoiu, haridusasutused (haridustegevuse ja turvalisuse jaoks), reaalajas asukoha turvalisuse tagamiseks ning kinnituse, et kasutaja ei ole laps. Haridustehnoloogia ettevõte ei tohiks eeldada, et ta on „haridusasutus“. Hankige sellele vastus kirjalikult.

Olulised vastutavad töötlejad (eeskiri 13)

Kui valitsus määrab teid olulise vastutava töötlejana (Significant Data Fiduciary), lisab eeskiri 13 iga-aastase andmekaitsealase mõjuhinnangu ja auditi koos aruandega nõukogule, hoolsuskohustuse tagada, et teie algoritmiline tarkvara ei sea ohtu kasutajate õigusi, ning kohustuse hoida Indias isikuandmeid, mille valitsus määrab. Seaduse paragrahv 10 lisab Indias asuva andmekaitseametniku ja sõltumatu andmeaudiitori. Sama korraldus asendab väidetavalt paragrahvi 10 lõike 2 punkti c alapunktis ii sõna „audit“ sõnaga „andmeaudit“, mis seob perioodilise auditi selle audiitori tööga. Ka kuupäev võib muutuda: 2026. aasta jaanuaris teatas Business Standard, et MeitY oli teinud ettepaneku lühendada mõne sätte, sealhulgas eeskirja 13 üleminekuaega 18 kuult 12 kuule. 10. oktoobri 2026 seisuga ei ole me leidnud ühtegi teadaannet, mis selle muudatuse teeks, seega jääb kehtima 13. mai 2027.

Mida eksimine maksma läheb

Seaduse lisa sätestab maksimaalsed trahvid: kuni 2,5 miljardit ruupiat mõistlike turvameetmete võtmata jätmise eest, kuni 2 miljardit rikkumisest teatamata jätmise eest, kuni 2 miljardit laste andmeid puudutavate kohustuste rikkumise eest, kuni 1,5 miljardit olulise vastutava töötleja lisakohustuste eest ja kuni 500 miljonit mis tahes muu sätte rikkumise eest.

Seitsme kuu plaan

Oktoober 2026: inventuur. Loetlege kõik andmehoidlad ja andmevood, mis sisaldavad India kasutajate isikuandmeid, sealhulgas varukoopiad, andmeladu, logid ja volitatud töötlejad. Siduge iga väli eesmärgiga. Märkige ära alaealised kasutajad, kontrollige kolmanda lisa piirmäärasid ja küsige juristilt hinnangut kohaldamisala ja erandite kohta.

November 2026: kavandamine. Teavituse sisumudel ja versioonimine, nõusolekuregistri skeem, säilitusklassid tabelite kaupa, õiguste taotluste protsess. Alustage juurdepääsu logimisega. Pärast umbes 13. novembrit jälgige, milliseid nõusolekuhaldureid nõukogu registreerib ja millise koostalitlusstandardi avaldab.

Detsember 2026 kuni jaanuar 2027: teavitused ja nõusolek. Võtke kasutusele nõusolekuteenus, mis edastab tagasivõtmise sündmused volitatud töötlejatele. Tõlkige teavitused.

Veebruar 2027: säilitamine ja kustutamine. Piiratud juurdepääsuga säilitushoidla, kustutustööd põhihoidlates ja volitatud töötlejate juures ning aktiivsuse jälgija, kui kuulute kolmanda lisa kategooriasse. Muutke volitatud töötlejatega sõlmitud lepinguid turvameetmete ja üheaastase säilitamise osas.

Märts 2027: õigused ja rikkumised. Taotluste vastuvõtt, kontrollimine, üheksakümne päeva juhtumite jälgimine, teenusteülene eksport, jagamisregister. Rikkumiste tegevusjuhend, mallid ja sõltumatu teavituskanal, seejärel üks lauaharjutus.

Aprill 2027: lapsed ja olemasolevad kasutajad. Vanusepiirang, vanema kontrollimine, SDK-de väljalülitamine alaealiste puhul, eestkostjate ülevaatus. Saatke olemasolevatele kasutajatele paragrahvi 5 lõike 2 kohane teavitus. Liidestuge nõusolekuhalduritega, kui standard on avaldatud.

Mai 2027 algus: testimine ja külmutamine. Võtke nõusolek tagasi ja veenduge, et turundusplatvorm lõpetas töötlemise. Taotlege kustutamist ja veenduge, et andmelao koopia läks säilitushoidlasse. Koguge tõendid kokku ja lõpetage muudatuste tegemine nädal enne 13. maid.

See eeldab kolme või nelja paralleelset töövoogu. Vanemate või dokumenteerimata süsteemide puhul võtab ainuüksi inventuur kauem kui kuu.

Kuhu see sobitub

Kui ehitasite süsteemi isikuandmete kaitse üldmääruse (GDPR) jaoks, kandub suur osa torustikust üle ja meie GDPR-i arendusjuhend käsitleb nõusoleku ja kustutamise mustreid. Valusad erinevused on üksikasjalik teavitus, üheaastane säilitamise alampiir ja vanema kontrollitav nõusolek kuni kaheksateistkümnenda eluaastani. Teise oma reeglistikuga Aasia turu kohta lugege Indoneesia PSE registreerimisest.

Ehitame olemasolevatesse toodetesse nõusolekuteenuseid, säilitamis- ja kustutustöid, juurdepääsulogimist ning õiguste taotluste töövooge ja lisame teie meeskonda arendajaid personalirendi kaudu, kui plaan vajab rohkem käsi, kui teil on. Oleme insenerid, mitte juristid: kohaldamisala ja sõnastus on teie juristi otsustada ning meie ehitame tema vastuse järgi. Kirjutage meile aadressil office@c9group.dev.