Indijas DPDP noteikumi: inženiertehniskais darbs, kas jāpaveic līdz 2027. gada maijam

Indija 2025. gada 13. novembrī publicēja Digitālo personas datu aizsardzības noteikumus (Digital Personal Data Protection Rules, 2025) kā G.S.R. 846(E). Lielākā daļa noteikumu, kas skar jūsu produktu, vēl nav stājušies spēkā. Noteikumu 1(4) punktā teikts, ka 3., 5. līdz 16., 22. un 23. noteikums „shall come into force eighteen months after the date of publication of this Gazette“. Saskaitiet astoņpadsmit mēnešus, un iznāk 2027. gada 13. maijs: nedaudz vairāk nekā septiņi mēneši no šodienas.

Tie aptver paziņojumus, drošību, ziņošanu par pārkāpumiem, glabāšanu un dzēšanu, bērnu datus un tiesību pieprasījumus. 4. noteikums, kas ļauj piekrišanas pārvaldniekiem (Consent Managers) reģistrēties Datu aizsardzības padomē (Data Protection Board), stājas spēkā agrāk: gadu pēc publicēšanas, tātad ap 2026. gada 13. novembri. Valdības paziņojumā to sauc par 18 mēnešu pakāpenisku grafiku.

Raksts ir domāts tehniskajiem direktoriem un produktu vadītājiem Indijas patērētāju lietotnēs, finanšu tehnoloģiju, izglītības tehnoloģiju un e-komercijas uzņēmumos, kā arī ārvalstu uzņēmumos, kuriem ir lietotāji Indijā. Likums attiecas arī uz apstrādi ārpus Indijas, ja tā notiek „in connection with any activity related to offering of goods or services to Data Principals within the territory of India“ (3. panta b) punkts). Turpmāk aprakstīta programmatūra, kas jums jāizstrādā vai jāmaina. Tas nav juridisks neatbilstību novērtējums: vai uz jums attiecas likums, kādi izņēmumi piemērojami un kā formulēti jūsu nolūki, ir jautājumi juristiem.

Kam patiešām ir izstrādes darbs

Ja visi jūsu klientu dati atrodas vienā gatavā SaaS platformā, liela daļa infrastruktūras (šifrēšana, piekļuves žurnāli, dzēšanas uzdevumi) nāk no piegādātāja ceļveža. Jūsu darbs ir paziņojumi, konfigurācija un līgumi. Izlasiet šos līgumus: 6(1)(f) noteikums prasa, lai drošības pasākumi būtu ierakstīti tajos, un 8. noteikuma piemērs padara jūs atbildīgus par to, ka jūsu mākoņpakalpojumu sniedzējs glabā datus un žurnālus noteikto gadu.

Smagākais darbs krīt uz uzņēmumiem, kas darbina pašu lietotnes un datubāzes, piepilda datu noliktavu no ducis datu plūsmām un iekļauj mobilajā klientā trešo pušu SDK. Tāda ir lielākā daļa Indijas patērētāju interneta.

Ko katrs noteikums prasa no jūsu programmatūras

Paziņojums (3. noteikums)

Paziņojumam jābūt „understandable independently of any other information“, ko jūs publicējat. Tajā vismaz jābūt „an itemised description of such personal data“, konkrētajam nolūkam un konkrētam aprakstam par precēm, pakalpojumiem vai lietojumiem, ko apstrāde nodrošina. Tajā arī jānorāda, kā atsaukt piekrišanu, īstenot tiesības un iesniegt sūdzību padomei.

Praksē:

• Ģenerējiet paziņojumus no datu inventāra. Lauku pa laukam, piesaistītu nolūkiem. „Mēs varam vākt tādu informāciju kā“ nav detalizēts uzskaitījums.
• Piešķiriet katram paziņojumam versiju. Katram piekrišanas ierakstam jānorāda uz precīzo tekstu, ko lietotājs redzēja.
• Paredziet valodas. Likuma 6. panta 3. daļa prasa iespēju izlasīt piekrišanas pieprasījumu angļu valodā vai jebkurā valodā, kas iekļauta Konstitūcijas Astotajā sarakstā. Glabājiet paziņojuma saturu kā tulkojamas virknes, nevis PDF.
• Aptveriet esošos lietotājus. 5. panta 2. daļa prasa paziņojumu „as soon as it is reasonably practicable“ cilvēkiem, kuri deva piekrišanu pirms likuma spēkā stāšanās. Tā ir kampaņa visai jūsu lietotāju bāzei.

Piekrišana, tās atsaukšana un piekrišanas pārvaldnieki

Piekrišanai saskaņā ar 6. pantu jābūt konkrētai un jāaprobežojas ar datiem, kas nolūkam vajadzīgi. 6. panta 10. daļa uzliek pierādīšanas pienākumu jums: strīda gadījumā jūs pierādāt, ka paziņojums tika sniegts un piekrišana iegūta. Šī teikuma dēļ jums vajag piekrišanu reģistru, nevis Būla kolonnu.

Lietojams reģistrs katram lietotājam un nolūkam fiksē: paziņojuma versiju, laika zīmogu, kanālu (tīmeklis, lietotne, piekrišanas pārvaldnieks) un darbību (dota vai atsaukta). Tikai papildināms.

Atsaukt piekrišanu jābūt tikpat viegli kā to dot (3(c)(i) noteikums, 6. panta 4. daļa). Ja piekrišana bija viens pieskāriens reģistrācijas laikā, atsaukšana nevar būt e-pasts atbalsta dienestam. Atsaukumam arī jānonāk līdz visiem. 6. panta 6. daļa prasa saprātīgā laikā pārtraukt apstrādi un panākt, lai to pārtrauc arī jūsu datu apstrādātāji (Data Processors). Tātad piekrišanu serviss publicē atsaukuma notikumus katrai sistēmai un piegādātājam, kas darbojas šī nolūka labā: CRM, mārketinga platformai, analītikas datu plūsmai.

Piekrišanas pārvaldnieks ir reģistrēts vienots kontaktpunkts, ar kura starpniecību lietotājs var „give, manage, review or withdraw her consent“ (6. panta 7. daļa). Saskaņā ar Pirmo pielikumu tam jābūt Indijā reģistrētam uzņēmumam ar pašu kapitālu vismaz divi kroru (20 miljoni) rūpiju, tā platformai jābūt neatkarīgi sertificētai pēc standartiem, ko publicē padome, tas nedrīkst spēt lasīt datus, ko tas pārsūta, un tas glabā piekrišanu ierakstus vismaz septiņus gadus.

Noteikumi šo standartu atstāj padomes ziņā. Izveidojiet ienākošo ceļu jau tagad, lai piekrišana vai atsaukums, kas pienāk no ārējas platformas, tiktu apstrādāts tieši tāpat kā no jūsu pašu saskarnes, un apņemieties lietot konkrētu datu apmaiņas formātu tikai tad, kad padome to publicēs. Reģistrācija sākas ap 2026. gada 13. novembri, tāpēc integrācija reāli sāksies 2027. gada sākumā.

Drošības pasākumi un žurnāli (6. noteikums)

Minimālais saraksts: šifrēšana, aizsegšana, maskēšana vai tokenizācija; piekļuves kontrole iesaistītajām sistēmām; „visibility on the accessing of such personal data, through appropriate logs, monitoring and review“; rezerves kopijas, lai apstrāde varētu turpināties pēc incidenta; un „such logs and personal data for a period of one year“ glabāšana.

Žurnālēšanas prasībā lielākā daļa sistēmu neiztur. Infrastruktūras žurnāli nepasaka, kurš un no kura servisa lasīja konkrētā klienta ierakstu, bet šī atbilde jums vajadzīga vēl pēc gada. Tātad: piekļuves žurnālēšana lietotnes līmenī katrā personas datu krātuvē, nosūtīta uz vietu, kur servisi to nevar mainīt, un glabāta vismaz gadu. Sāciet agri: ieviešana daudzos servisos aizņem vairāk laika nekā jebkura cita atsevišķa funkcija šeit.

Ziņošana par pārkāpumiem (7. noteikums)

Uzzinot par pārkāpumu, jūs „without delay“ informējat katru skarto lietotāju, izmantojot lietotāja kontu vai reģistrētu saziņas kanālu: kas notika, kādas varētu būt sekas viņam, ko jūs darāt, ko viņš var darīt un ar ko sazināties. Padome nekavējoties saņem aprakstu, bet 72 stundu laikā detalizētu ziņojumu par cēloņiem, seku mazināšanu, jebkādiem atklājumiem par vainīgo, korektīvajiem pasākumiem un lietotājiem nosūtītajiem paziņojumiem. Padome pēc rakstiska pieprasījuma var atļaut ilgāku termiņu.

Programmatūrā tas nozīmē: veidu, kā noteikt skarto lietotāju kopu (tas atkarīgs no iepriekš minētajiem piekļuves žurnāliem), iepriekš sagatavotas veidnes, paziņošanas ceļu, kas neiet caur skarto sistēmu, un rīcības plānu, kurā norādīts, kurš iesniedz ziņojumu padomei.

Dzēšana un glabāšana (8. noteikums)

8. panta 7. daļa prasa dzēst datus, kad piekrišana atsaukta vai nolūks vairs netiek pildīts, ja vien cits likums neprasa tos glabāt. 8. noteikums pievieno divas lietas.

Pirmkārt, trim Trešā pielikuma kategorijām nolūks tiek uzskatīts par izbeigtu pēc trim gadiem bez saziņas: e-komercijas uzņēmumiem ar vismaz divi kroru (20 miljoni) reģistrētu lietotāju Indijā, tiešsaistes spēļu starpniekiem ar vismaz piecdesmit lakh (5 miljoni) un sociālo mediju starpniekiem ar vismaz divi kroru. Izņēmums ir piekļuve kontam un uzkrātās vērtības žetoni. Lietotājs jābrīdina vismaz 48 stundas pirms dzēšanas, un pieteikšanās to atceļ. Tas nozīmē neaktivitātes uzskaiti, plānotāju un paziņojumu uzdevumu. Trīs gadi tiek skaitīti no pēdējās saziņas vai noteikumu spēkā stāšanās, atkarībā no tā, kas ir vēlāk, tāpēc dzēšana nebūs vajadzīga vēl vairākus gadus, bet uzskaitei jābūt pareizai jau no sākuma.

Otrkārt, 8. noteikuma 3. punkts nosaka minimumu: personas dati, datplūsmas dati un apstrādes žurnāli tiek glabāti vismaz vienu gadu no apstrādes brīža. Noteikuma piemērs ir e-grāmatas pasūtījums, kura informācijai jāsaglabājas arī pēc konta dzēšanas. Tātad „dzēst manu kontu“ nevar nozīmēt DELETE FROM users. Tas nozīmē: pārtraukt apstrādi, pārvietot to, kas jāsaglabā, ierobežotas piekļuves krātuvē ar glabāšanas datumu un dzēst, kad datums pienācis. Katrai tabulai vajadzīga glabāšanas klase, tāpat katrai kopijai rezerves kopijās, datu noliktavā un jūsu apstrādātāju sistēmās.

Tiesību pieprasījumi un kontaktinformācija (9. un 14. noteikums)

Lietotāji var pieprasīt kopsavilkumu par saviem datiem un to apstrādi, kā arī katra pārziņa un apstrādātāja identitāti, kuram jūs tos nodevāt (11. pants), pieprasīt labošanu, papildināšanu, atjaunināšanu vai dzēšanu (12. pants) un iecelt personu, kas rīkosies viņu vārdā nāves vai rīcībnespējas gadījumā (14. pants). 14. noteikums prasa publicēt, kā iesniegt pieprasījumu un kurš identifikators jums vajadzīgs, un atbildēt uz sūdzībām publicētā termiņā, kas nav garāks par deviņdesmit dienām. 9. noteikums prasa katrā atbildē norādīt jūsu datu aizsardzības speciālista (Data Protection Officer) vai cita atbildēt spējīga cilvēka kontaktinformāciju.

Jāizstrādā: pieprasījumu pieņemšana lietotnē, identitātes pārbaude, kas piesaistīta kontam, lietu uzskaites sistēma, kas skaita deviņdesmit dienu termiņu, eksports, kas atrod lietotāja datus visos servisos, un datu nodošanas reģistrs, lai „kam jūs tos nodevāt“ būtu vaicājums, nevis izmeklēšana.

Bērni un personas ar invaliditāti (10. līdz 12. noteikums)

Saskaņā ar likumu bērns ir ikviens, kas jaunāks par astoņpadsmit gadiem. Pirms bērna datu apstrādes jums vajadzīga pārbaudāma vecāka piekrišana, un 10. noteikums prasa pārbaudīt, ka vecāks ir identificējams pieaugušais. Pārbaudē var izmantot identitātes un vecuma datus, kas jums jau ir par reģistrētu vecāku, datus, ko sniedz vecāks, vai „a virtual token mapped to such details“ no pilnvarotas iestādes, tostarp Digital Locker pakalpojuma sniedzēja. MeitY DigiLocker publicē pieprasītāju API organizācijām, kas iegūst pārbaudītus dokumentus; lūdziet juristiem apstiprināt, kuri avoti atbilst noteikumam jūsu procesos.

9. panta 3. daļa aizliedz izsekošanu, uzvedības uzraudzību un mērķētu reklāmu, kas vērsta uz bērniem. Patērētāju lietotnei tā ir SDK problēma, un drošākais noklusējums ir izslēgt analītikas un reklāmas SDK jebkuram kontam, kas atzīmēts kā nepilngadīgā konts, nevis mēģināt tos konfigurēt atbilstoši prasībām.

11. noteikums attiecas uz personu ar invaliditāti likumīgajiem aizbildņiem: jūs pārbaudāt, vai aizbildni iecēlusi tiesa, norīkota iestāde vai vietējā līmeņa komiteja. Tā ir dokumenta augšupielāde un manuālas pārskatīšanas rinda. Pēc Indijas juridisko biroju ziņām MeitY 2026. gada oktobrī saskaņā ar likuma 43. pantu izdeva rīkojumu Digital Personal Data Protection (Removal of Difficulties) Order, 2026 (S.O. 5458(E)), kas labo 9. panta 1. daļu, lai tā skanētu „a child or of a person with disability“. Pārbaudāmas piekrišanas pienākums tagad nepārprotami aptver gan personas ar invaliditāti, gan bērna datus. Tas tiek raksturots kā redakcionāls labojums un šim procesam nepievieno nevienu soli.

12. noteikums un Ceturtais pielikums atbrīvo daļu apstrādes no vecāku piekrišanas prasības un izsekošanas aizlieguma, tostarp veselības aprūpi, izglītības iestādes (izglītības darbībām un drošībai), reāllaika atrašanās vietu drošības nolūkos un pārbaudi, ka lietotājs nav bērns. Izglītības tehnoloģiju uzņēmumam nevajadzētu pieņemt, ka tas ir „izglītības iestāde“. Saņemiet atbildi uz to rakstiski.

Nozīmīgi datu pārziņi (13. noteikums)

Ja valdība jūs paziņo par nozīmīgu datu pārzini (Significant Data Fiduciary), 13. noteikums pievieno ikgadēju datu aizsardzības ietekmes novērtējumu un auditu ar ziņojumu padomei, rūpīgu pārbaudi, ka jūsu algoritmiskā programmatūra neapdraud lietotāju tiesības, un pienākumu glabāt Indijā jebkurus personas datus, ko norāda valdība. Likuma 10. pants pievieno Indijā bāzētu datu aizsardzības speciālistu un neatkarīgu datu auditoru. Tas pats rīkojums, kā ziņots, 10. panta 2. daļas c) punkta ii) apakšpunktā aizstāj „audit“ ar „data audit“, kas periodisko auditu piesaista šī auditora darbam. Arī datums var mainīties: 2026. gada janvārī Business Standard ziņoja, ka MeitY ierosinājusi dažiem noteikumiem, tostarp 13. noteikumam, termiņu saīsināt no 18 līdz 12 mēnešiem. Līdz 2026. gada 10. oktobrim neesam atraduši nevienu paziņojumu, kas šīs izmaiņas ieviestu, tāpēc 2027. gada 13. maijs paliek spēkā.

Cik maksā kļūdas

Likuma pielikums nosaka maksimālos sodus: līdz 250 kroru rūpiju par saprātīgu drošības pasākumu neveikšanu, līdz 200 kroru par neziņošanu par pārkāpumu, līdz 200 kroru par bērnu datu pienākumu pārkāpšanu, līdz 150 kroru par nozīmīga datu pārziņa papildu pienākumu neizpildi un līdz 50 kroru par jebkura cita noteikuma pārkāpšanu.

Septiņu mēnešu plāns

2026. gada oktobris: inventarizācija. Uzskaitiet katru krātuvi un datu plūsmu, kurā ir Indijas lietotāju personas dati, ieskaitot rezerves kopijas, datu noliktavu, žurnālus un apstrādātājus. Piesaistiet katru lauku nolūkam. Atzīmējiet lietotājus, kas ir bērni, pārbaudiet Trešā pielikuma sliekšņus un saņemiet juristu viedokli par piemērošanas jomu un izņēmumiem.

2026. gada novembris: projektēšana. Paziņojumu satura modelis un versijas, piekrišanu reģistra shēma, glabāšanas klases katrai tabulai, tiesību pieprasījumu process. Sāciet piekļuves žurnālēšanu. Pēc 13. novembra sekojiet padomes informācijai par reģistrētajiem piekrišanas pārvaldniekiem un sadarbspējas standartu.

2026. gada decembris līdz 2027. gada janvāris: paziņojumi un piekrišana. Palaidiet piekrišanu servisu, kas atsaukuma notikumus izsūta apstrādātājiem. Iztulkojiet paziņojumus.

2027. gada februāris: glabāšana un dzēšana. Ierobežotas piekļuves glabāšanas krātuve, dzēšanas uzdevumi primārajās krātuvēs un pie apstrādātājiem, un neaktivitātes uzskaite, ja ietilpstat kādā Trešā pielikuma kategorijā. Grozījumi līgumos ar apstrādātājiem par drošības pasākumiem un viena gada glabāšanu.

2027. gada marts: tiesības un pārkāpumi. Pieprasījumu pieņemšana, pārbaude, deviņdesmit dienu lietu uzskaite, eksports pāri servisiem, datu nodošanas reģistrs. Rīcības plāns pārkāpumu gadījumiem, veidnes un neatkarīgs paziņošanas ceļš, pēc tam viens galda mācību vingrinājums.

2027. gada aprīlis: bērni un esošie lietotāji. Vecuma pārbaude, vecāku verifikācija, SDK slēdži nepilngadīgajiem, aizbildņu dokumentu pārskatīšana. Nosūtiet 5. panta 2. daļā prasīto paziņojumu esošajiem lietotājiem. Integrējieties ar piekrišanas pārvaldniekiem, ja standarts jau publicēts.

2027. gada maija sākums: testēšana un iesaldēšana. Atsauciet piekrišanu un pārliecinieties, ka mārketinga platforma pārtrauca apstrādi. Pieprasiet dzēšanu un pārliecinieties, ka kopija datu noliktavā nonāca glabāšanā. Apkopojiet pierādījumus un pārtrauciet jebkādas izmaiņas nedēļā pirms 13. maija.

Plāns paredz trīs vai četras paralēlas darba plūsmas. Vecākās vai nedokumentētās sistēmās tikai inventarizācija vien aizņem vairāk nekā mēnesi.

Kur tas iekļaujas

Ja esat izstrādājuši risinājumus atbilstoši VDAR (GDPR), laba daļa infrastruktūras ir izmantojama arī šeit, un mūsu VDAR inženiertehniskais ceļvedis apraksta piekrišanas un dzēšanas modeļus. Atšķirības, kas sagādā grūtības, ir detalizētais paziņojums, viena gada minimālais glabāšanas termiņš un pārbaudāma vecāku piekrišana līdz astoņpadsmit gadu vecumam. Par citu Āzijas tirgu ar savu regulējumu skatiet Indonēzijas PSE reģistrāciju.

Mēs iebūvējam esošos produktos piekrišanu servisus, glabāšanas un dzēšanas uzdevumus, piekļuves žurnālēšanu un tiesību pieprasījumu darbplūsmas, un ar personāla papildināšanas palīdzību pievienojam inženierus jūsu komandai, ja plānam vajag vairāk roku, nekā jums ir. Mēs esam inženieri, nevis juristi: piemērošanas joma un formulējumi ir jūsu juristu ziņā, un mēs izstrādājam atbilstoši viņu atbildei. Rakstiet uz office@c9group.dev.