Indijos DPDP taisyklės: inžinerinis darbas, kurį reikia atlikti iki 2027 m. gegužės

Indija 2025 m. lapkričio 13 d. paskelbė Skaitmeninių asmens duomenų apsaugos taisykles (Digital Personal Data Protection Rules, 2025), G.S.R. 846(E). Dauguma taisyklių, kurios liečia jūsų produktą, dar neįsigaliojo. 1 taisyklės 4 dalyje nurodyta, kad 3, nuo 5 iki 16, 22 ir 23 taisyklės „įsigalioja praėjus aštuoniolikai mėnesių nuo šio oficialiojo leidinio paskelbimo dienos“. Suskaičiavę aštuoniolika mėnesių, gaunate 2027 m. gegužės 13 d., t. y. šiek tiek daugiau nei septynis mėnesius nuo šiandien.

Šios taisyklės apima pranešimus, saugumą, pranešimą apie pažeidimus, saugojimą ir ištrynimą, vaikų duomenis ir teisių įgyvendinimo prašymus. 4 taisyklė, leidžianti sutikimų valdytojams (Consent Managers) registruotis Duomenų apsaugos valdyboje, įsigalioja anksčiau: praėjus metams nuo paskelbimo, t. y. apie 2026 m. lapkričio 13 d. Vyriausybės pranešime tai vadinama 18 mėnesių etapiniu tvarkaraščiu.

Šis straipsnis skirtas Indijos vartotojų programėlių, finansinių technologijų, švietimo technologijų ir e. prekybos įmonių CTO ir produktų vadovams, taip pat užsienio įmonėms, turinčioms naudotojų Indijoje. Įstatymas taikomas ir duomenų tvarkymui už Indijos ribų, kai jis vykdomas „vykdant bet kokią veiklą, susijusią su prekių ar paslaugų siūlymu duomenų subjektams (Data Principals) Indijos teritorijoje“ (3 skirsnio b punktas). Toliau aprašyta programinė įranga, kurią turite sukurti arba pakeisti. Tai nėra teisinis atotrūkio vertinimas: ar jums taikomas įstatymas, kokios išimtys galioja ir kaip suformuluoti jūsų tikslai, yra klausimai teisininkams.

Kam iš tikrųjų teks kūrimo darbas

Jei visi jūsų klientų duomenys yra vienoje supakuotoje SaaS platformoje, didelę dalį infrastruktūros (šifravimą, prieigos žurnalus, ištrynimo užduotis) pateiks tiekėjo veiksmų planas. Jūsų darbas: pranešimai, konfigūracija ir sutartys. Perskaitykite tas sutartis: 6 taisyklės 1 dalies f punktas reikalauja, kad saugumo priemonės būtų jose įrašytos, o 8 taisyklės iliustracija įpareigoja jus užtikrinti, kad debesijos paslaugų teikėjas saugotų duomenis ir žurnalus reikalaujamus metus.

Sunkiausias darbas tenka įmonėms, kurios valdo savo programėles ir duomenų bazes, pildo duomenų saugyklą iš keliolikos srautų ir mobiliajame kliente naudoja trečiųjų šalių SDK. Tai didžioji Indijos vartotojų interneto dalis.

Ko kiekviena taisyklė reikalauja iš jūsų programinės įrangos

Pranešimas (3 taisyklė)

Pranešimas turi būti „suprantamas nepriklausomai nuo bet kokios kitos informacijos“, kurią skelbiate. Jame turi būti bent „detalizuotas tokių asmens duomenų aprašymas“, nurodytas tikslas ir konkretus prekių, paslaugų ar naudojimo būdų, kuriuos įgalina duomenų tvarkymas, aprašymas. Jame taip pat turi būti nurodyta, kaip atšaukti sutikimą, įgyvendinti teises ir pateikti skundą Valdybai.

Praktiškai:

• Generuokite pranešimus iš duomenų inventoriaus. Laukas po lauko, susietas su tikslais. „Galime rinkti tokią informaciją kaip“ nėra detalizuotas aprašymas.
• Kiekvienam pranešimui suteikite versiją. Kiekvienas sutikimo įrašas turi rodyti į tikslų tekstą, kurį naudotojas matė.
• Numatykite kalbas. Įstatymo 6 skirsnio 3 dalis reikalauja galimybės perskaityti sutikimo prašymą anglų kalba arba bet kuria Konstitucijos aštuntajame priede nurodyta kalba. Pranešimų turinį laikykite verčiamomis eilutėmis, o ne PDF faile.
• Apimkite esamus naudotojus. 5 skirsnio 2 dalis reikalauja pateikti pranešimą „kai tik tai pagrįstai įmanoma“ žmonėms, kurie sutikimą davė iki įstatymo įsigaliojimo. Tai kampanija visai jūsų naudotojų bazei.

Sutikimas, jo atšaukimas ir sutikimų valdytojai

Sutikimas pagal 6 skirsnį turi būti konkretus ir apsiriboti duomenimis, kurių reikia tikslui. 6 skirsnio 10 dalis įrodinėjimo naštą perkelia jums: ginčo atveju jūs įrodote, kad pranešimas buvo pateiktas ir sutikimas gautas. Būtent dėl šio sakinio jums reikia sutikimų registro, o ne loginio stulpelio.

Veikiantis registras kiekvienam naudotojui ir tikslui fiksuoja: pranešimo versiją, laiko žymą, kanalą (svetainė, programėlė, sutikimų valdytojas) ir veiksmą (duotas ar atšauktas). Tik papildymas.

Atšaukti sutikimą turi būti taip pat lengva, kaip jį duoti (3 taisyklės c punkto i papunktis, 6 skirsnio 4 dalis). Jei sutikimas buvo vienas palietimas registruojantis, atšaukimas negali būti el. laiškas pagalbos tarnybai. Atšaukimas taip pat turi pasiekti kitas sistemas. 6 skirsnio 6 dalis reikalauja per pagrįstą laiką nutraukti duomenų tvarkymą ir užtikrinti, kad jį nutrauktų jūsų duomenų tvarkytojai. Todėl sutikimų paslauga skelbia atšaukimo įvykius kiekvienai sistemai ir tiekėjui, veikiančiam pagal tą tikslą: CRM, rinkodaros platformai, analitikos srautui.

Sutikimų valdytojas yra registruotas vieno langelio kontaktinis punktas, per kurį naudotojas gali „duoti, valdyti, peržiūrėti ar atšaukti savo sutikimą“ (6 skirsnio 7 dalis). Pagal pirmąjį priedą tai turi būti Indijoje įsteigta bendrovė, kurios grynoji vertė ne mažesnė kaip du krorai (20 mln.) rupijų, jos platforma turi būti nepriklausomai sertifikuota pagal Valdybos skelbiamus standartus, ji neturi galėti skaityti per ją perduodamų duomenų ir sutikimų įrašus turi saugoti ne trumpiau kaip septynerius metus.

Taisyklės tą standartą palieka nustatyti Valdybai. Jau dabar sukurkite įeinantį kelią, kad sutikimas ar atšaukimas, atėjęs iš išorinės platformos, būtų apdorojamas lygiai taip pat kaip gautas per jūsų pačių sąsają, o perdavimo formatą fiksuokite tik tada, kai Valdyba jį paskelbs. Registracija prasideda apie 2026 m. lapkričio 13 d., todėl realiai integracija prasidės 2027 m. pradžioje.

Saugumo priemonės ir žurnalai (6 taisyklė)

Minimalus sąrašas: šifravimas, maskavimas, užtamsinimas ar pakeitimas žetonais; prieigos kontrolė susijusiose sistemose; „matomumas, kas pasiekia tokius asmens duomenis, naudojant tinkamus žurnalus, stebėseną ir peržiūrą“; atsarginės kopijos, kad duomenų tvarkymas galėtų tęstis po incidento; ir „tokių žurnalų bei asmens duomenų saugojimas vienerius metus“.

Būtent žurnalų reikalavimo daugelis sistemų neatitinka. Infrastruktūros žurnalai nepasako, kas iš kurios paslaugos skaitė kurio kliento įrašą, o šio atsakymo jums prireiks ir po metų. Todėl reikia prieigos žurnalų programos lygmeniu kiekvienoje asmens duomenų saugykloje, siunčiamų ten, kur paslaugos negali jų pakeisti, ir saugomų ne trumpiau kaip metus. Pradėkite anksti: jų įdiegimas daugelyje paslaugų užtrunka ilgiau nei bet kuri kita čia aprašyta funkcija.

Pranešimas apie pažeidimą (7 taisyklė)

Sužinoję apie pažeidimą, „nedelsdami“ informuojate kiekvieną paveiktą naudotoją per jo paskyrą arba registruotą kontaktinį kanalą: kas nutiko, kokios galimos pasekmės jam, ką darote jūs, ką gali padaryti jis ir į ką kreiptis. Valdyba nedelsiant gauna aprašymą, o per 72 valandas išsamią ataskaitą apie priežastis, padarinių mažinimą, bet kokias išvadas apie tai, kas pažeidimą sukėlė, taisomąsias priemones ir išsiųstus pranešimus naudotojams. Pateikus rašytinį prašymą, Valdyba gali leisti ilgesnį terminą.

Programinėje įrangoje tai reiškia: būdą apskaičiuoti paveiktų naudotojų aibę (tam reikia minėtų prieigos žurnalų), iš anksto parengtus šablonus, pranešimų kanalą, kuris neveikia per pažeistą sistemą, ir veiksmų vadovą, kuriame nurodyta, kas teikia informaciją Valdybai.

Ištrynimas ir saugojimas (8 taisyklė)

8 skirsnio 7 dalis reikalauja ištrinti duomenis, kai sutikimas atšaukiamas arba tikslas nebetarnauja, nebent kitas įstatymas reikalauja juos saugoti. 8 taisyklė prideda du dalykus.

Pirma, trims trečiojo priedo kategorijoms tikslas laikomas pasibaigusiu po trejų metų be kontakto: e. prekybos subjektams, turintiems ne mažiau kaip du krorus (20 mln.) registruotų naudotojų Indijoje, internetinių žaidimų tarpininkams, turintiems ne mažiau kaip penkiasdešimt lakų (5 mln.), ir socialinių tinklų tarpininkams, turintiems ne mažiau kaip du krorus. Prieiga prie paskyros ir išsaugotos vertės žetonai yra išimtis. Naudotoją turite įspėti ne vėliau kaip prieš 48 valandas iki ištrynimo, o prisijungimas jį atšaukia. Tai neaktyvumo sekiklis, planuoklis ir pranešimų užduotis. Treji metai skaičiuojami nuo paskutinio kontakto arba Taisyklių įsigaliojimo, atsižvelgiant į tai, kas vėliau, todėl jokio ištrynimo neprireiks dar keletą metų, tačiau sekimas nuo pat pradžių turi būti teisingas.

Antra, 8 taisyklės 3 dalis nustato minimalų terminą: asmens duomenys, srauto duomenys ir tvarkymo žurnalai saugomi ne trumpiau kaip vienerius metus nuo tvarkymo. Taisyklės iliustracija yra elektroninės knygos užsakymas, kurio duomenys turi išlikti ir ištrynus paskyrą. Taigi „ištrinti mano paskyrą“ negali reikšti DELETE FROM users. Tai reiškia: nutraukti tvarkymą, tai, ką privaloma saugoti, perkelti į ribotos prieigos saugyklą su saugojimo data ir ištrinti tai, kai data praeina. Kiekvienai lentelei reikia saugojimo klasės, kaip ir kiekvienai kopijai atsarginėse kopijose, duomenų saugykloje ir jūsų tvarkytojų sistemose.

Teisių įgyvendinimo prašymai ir kontaktiniai duomenys (9 ir 14 taisyklės)

Naudotojai gali paprašyti savo duomenų ir jų tvarkymo santraukos bei visų patikėtinių ir tvarkytojų, kuriems juos perdavėte, tapatybės (11 skirsnis), paprašyti juos ištaisyti, papildyti, atnaujinti ar ištrinti (12 skirsnis) ir paskirti asmenį, kuris veiktų jų vardu mirties ar neveiksnumo atveju (14 skirsnis). 14 taisyklė reikalauja paskelbti, kaip pateikti prašymą ir kokio identifikatoriaus jums reikia, ir atsakyti į skundus per paskelbtą terminą, ne ilgesnį kaip devyniasdešimt dienų. 9 taisyklė reikalauja kiekviename atsakyme nurodyti jūsų duomenų apsaugos pareigūno arba asmens, galinčio atsakyti, kontaktinius duomenis.

Ką sukurti: prašymų priėmimą programėlėje, su paskyra susietą tapatybės patikrą, bylų sekimo sistemą, skaičiuojančią devyniasdešimties dienų terminą, eksportą, randantį naudotojo duomenis visose paslaugose, ir duomenų perdavimo registrą, kad klausimas „kam juos perdavėte“ būtų užklausa, o ne tyrimas.

Vaikai ir asmenys su negalia (10, 11 ir 12 taisyklės)

Pagal įstatymą vaikas yra bet kuris asmuo, jaunesnis nei aštuoniolikos metų. Prieš tvarkydami vaiko duomenis turite gauti patikrinamą tėvų sutikimą, o 10 taisyklė reikalauja patikrinti, ar tėvas ar motina yra identifikuojamas suaugęs asmuo. Patikrai galima naudoti tapatybės ir amžiaus duomenis, kuriuos jau turite apie registruotą tėvą ar motiną, tėvų pateiktus duomenis arba „su tokiais duomenimis susietą virtualų žetoną“ iš įgalioto subjekto, įskaitant skaitmeninės dokumentų saugyklos (Digital Locker) paslaugų teikėją. MeitY sistema DigiLocker skelbia užklausų API organizacijoms, gaunančioms patikrintus dokumentus; paprašykite teisininkų patvirtinti, kurie šaltiniai atitinka taisyklę jūsų procesuose.

9 skirsnio 3 dalis draudžia sekti vaikus, stebėti jų elgesį ir jiems skirti tikslinę reklamą. Vartotojų programėlei tai SDK problema, o saugiausias numatytasis sprendimas yra išjungti analitikos ir reklamos SDK bet kuriai paskyrai, pažymėtai kaip nepilnamečio, užuot bandžius juos sukonfigūruoti taip, kad atitiktų reikalavimus.

11 taisyklė apima teisėtus asmenų su negalia globėjus: patikrinate, ar globėją paskyrė teismas, paskirta institucija ar vietos lygmens komitetas. Tai dokumento įkėlimas ir rankinės peržiūros eilė. Pasak Indijos advokatų kontorų, MeitY 2026 m. spalį pagal įstatymo 43 skirsnį išleido įsakymą Digital Personal Data Protection (Removal of Difficulties) Order, 2026 (S.O. 5458(E)), kuriuo 9 skirsnio 1 dalis pataisoma į „vaiko arba asmens su negalia“. Pareiga gauti patikrinamą sutikimą dabar aiškiai apima ir asmens su negalia, ir vaiko duomenis. Pakeitimas apibūdinamas kaip redakcinis ir šiam procesui jokio papildomo žingsnio neprideda.

12 taisyklė ir ketvirtasis priedas kai kurį duomenų tvarkymą atleidžia nuo tėvų sutikimo reikalavimo ir sekimo draudimo, be kita ko, sveikatos priežiūrą, švietimo įstaigas (švietimo veiklai ir saugumui), buvimo vietos realiuoju laiku nustatymą saugumo tikslais ir patvirtinimą, kad naudotojas nėra vaikas. Švietimo technologijų įmonė neturėtų daryti prielaidos, kad ji laikoma „švietimo įstaiga“. Gaukite atsakymą raštu.

Reikšmingieji duomenų patikėtiniai (13 taisyklė)

Jei vyriausybė jus paskelbia reikšminguoju duomenų patikėtiniu (Significant Data Fiduciary), 13 taisyklė prideda kasmetinį poveikio duomenų apsaugai vertinimą ir auditą su ataskaita Valdybai, deramą patikrinimą, kad jūsų algoritminė programinė įranga nekeltų rizikos naudotojų teisėms, ir pareigą vyriausybės nurodytus asmens duomenis laikyti Indijoje. Įstatymo 10 skirsnis prideda Indijoje esantį duomenų apsaugos pareigūną ir nepriklausomą duomenų auditorių. Tuo pačiu įsakymu, kaip skelbiama, 10 skirsnio 2 dalies c punkto ii papunktyje žodis „auditas“ pakeičiamas „duomenų auditu“, taip periodinis auditas susiejamas su to auditoriaus darbu. Data taip pat gali pasikeisti: 2026 m. sausį Business Standard pranešė, kad MeitY pasiūlė kai kurių nuostatų, tarp jų ir 13 taisyklės, terminą sutrumpinti nuo 18 iki 12 mėnesių. 2026 m. spalio 10 d. duomenimis, neradome jokio pranešimo apie tokį pakeitimą, todėl galioja 2027 m. gegužės 13 d.

Kiek kainuoja klaida

Įstatymo priede nustatytos didžiausios baudos: iki 250 krorų rupijų už tinkamų saugumo priemonių nesiėmimą, iki 200 krorų už nepranešimą apie pažeidimą, iki 200 krorų už su vaikų duomenimis susijusių pareigų pažeidimą, iki 150 krorų už reikšmingojo duomenų patikėtinio papildomas pareigas ir iki 50 krorų už bet kurios kitos nuostatos pažeidimą.

Septynių mėnesių planas

2026 m. spalis: inventorizacija. Surašykite kiekvieną saugyklą ir srautą, kuriuose yra Indijos naudotojų asmens duomenų, įskaitant atsargines kopijas, duomenų saugyklą, žurnalus ir tvarkytojus. Kiekvieną lauką susiekite su tikslu. Pažymėkite naudotojus vaikus, patikrinkite trečiojo priedo ribas ir gaukite teisininkų nuomonę dėl taikymo srities ir išimčių.

2026 m. lapkritis: projektavimas. Pranešimų turinio modelis ir versijos, sutikimų registro schema, saugojimo klasės kiekvienai lentelei, teisių įgyvendinimo prašymų procesas. Pradėkite rinkti prieigos žurnalus. Po maždaug lapkričio 13 d. stebėkite, kokius sutikimų valdytojus užregistruos Valdyba ir ar paskelbs sąveikumo standartą.

Nuo 2026 m. gruodžio iki 2027 m. sausio: pranešimai ir sutikimas. Paleiskite sutikimų paslaugą, kurios atšaukimo įvykiai paskirstomi tvarkytojams. Išverskite pranešimus.

2027 m. vasaris: saugojimas ir ištrynimas. Ribotos prieigos saugojimo saugykla, ištrynimo užduotys pagrindinėse saugyklose ir pas tvarkytojus, neaktyvumo sekiklis, jei patenkate į trečiojo priedo kategoriją. Pakeiskite sutartis su tvarkytojais dėl saugumo priemonių ir vienerių metų saugojimo.

2027 m. kovas: teisės ir pažeidimai. Prašymų priėmimas, patikra, devyniasdešimties dienų bylų sekimas, eksportas iš visų paslaugų, duomenų perdavimo registras. Pažeidimų veiksmų vadovas, šablonai ir nepriklausomas pranešimų kanalas, tada viena stalo pratybų sesija.

2027 m. balandis: vaikai ir esami naudotojai. Amžiaus patikra, tėvų patikra, SDK išjungimas nepilnamečiams, globėjų peržiūra. Išsiųskite esamiems naudotojams 5 skirsnio 2 dalyje numatytą pranešimą. Integruokitės su sutikimų valdytojais, jei standartas jau paskelbtas.

2027 m. gegužės pradžia: testavimas ir įšaldymas. Atšaukite sutikimą ir įsitikinkite, kad rinkodaros platforma nustojo tvarkyti duomenis. Pateikite ištrynimo prašymą ir įsitikinkite, kad kopija duomenų saugykloje perkelta į saugojimą. Surinkite įrodymus ir savaitę prieš gegužės 13 d. nebekeiskite nieko.

Planas grindžiamas trimis ar keturiomis lygiagrečiomis darbo kryptimis. Senesnėse ar nedokumentuotose sistemose vien inventorizacija užtrunka ilgiau nei mėnesį.

Kur tai pritaikoma

Jei kūrėte pagal BDAR, nemaža infrastruktūros dalis tiks ir čia, o mūsų BDAR inžinerijos vadove aprašyti sutikimo ir ištrynimo modeliai. Esminiai skirtumai: detalizuotas pranešimas, vienerių metų minimalus saugojimo terminas ir patikrinamas tėvų sutikimas iki aštuoniolikos metų. Apie kitą Azijos rinką su savo režimu skaitykite straipsnyje apie Indonezijos PSE registraciją.

Esamuose produktuose kuriame sutikimų paslaugas, saugojimo ir ištrynimo užduotis, prieigos žurnalus ir teisių įgyvendinimo prašymų procesus, o kai planui reikia daugiau rankų, nei turite, į jūsų komandą įtraukiame inžinierių per darbuotojų išteklių papildymą. Esame inžinieriai, ne teisininkai: taikymo sritis ir formuluotės yra jūsų teisininkų reikalas, o mes kuriame pagal jų atsakymą. Rašykite office@c9group.dev.