Indický DPDPA 2023: Technický soulad pro globální týmy
Indický zákon o ochraně digitálních osobních dat pokrývá 1,4 miliardy lidí. Je to zákon o ochraně soukromí s největším populačním dosahem na světě. Úřad pro ochranu dat zahájil činnost v roce 2025. Vymáhání začalo. Pokud vaše firma obsluhuje indické uživatele, uchovává spisy indických zaměstnanců nebo spolupracuje s indickými IT dodavateli, je tento zákon nyní živou povinností.
Co DPDPA pokrývá
Teritoriální rozsah: Zákon se vztahuje na zpracování v Indii. Vztahuje se také na zpracování mimo Indii, pokud je jeho cílem prodej zboží nebo služeb indickým uživatelům. Stejně jako GDPR sleduje osobu — nikoli server.
Maximální pokuty: Až ₹250 crore za porušení. Při aktuálním kurzu je to přibližně 27 milionů EUR. Výše pokut závisí na závažnosti a délce trvání porušení.
Právní základy: Souhlas musí být svobodný, informovaný a jasný. Dalšími platnými základy jsou pracovní poměr, právní povinnosti, naléhavé potřeby, veřejný zájem a výzkum.
Práva jednotlivců: Lidé se mohou ptát, jak jsou jejich záznamy využívány. Mohou požádat o opravu nebo výmaz. Mohou podat stížnost. Mohou jmenovat zástupce, pokud ztratí způsobilost.
Fiduciáři dat: Toto je označení DPDPA pro správce. Musí chránit osobní záznamy. Musí nahlásit narušení Úřadu do 72 hodin. Musí jmenovat pověřence pro ochranu dat, pokud jsou Významným fiduciářem dat.
Aadhaar: jedinečný problém pro detekci
Aadhaar je indický národní systém biometrické identifikace. Každý držitel dostane dvanáctimístné číslo propojené s otisky prstů a skeny duhovky. Přibližně 1,36 miliardy obyvatel ho má. Banky, vládní agentury, mobilní operátoři a nemocnice ho všichni používají.
Čísla Aadhaar se vyskytují ve finančních, zdravotních a administrativních souborech. Zákon Aadhaar z roku 2016 omezuje jeho využití. Soukromé služby ho nemohou vyžadovat jako povinný doklad totožnosti. Uchovávání je omezeno na specifické oprávněné případy.
Proč je detekce obtížná: Aadhaar používá pro svou kontrolní číslici Verhoeffovu metodu. Nástroj, který pouze vyhledává dvanáctimístné řetězce, označí jakékoli dvanáctimístné číslo. To vytváří falešné poplachy. Dobrá detekce vyžaduje logiku Verhoeffovy kontrolní číslice. Prosté porovnávání vzorů nestačí.
Další indické PII formáty
PAN (Permanentní číslo účtu): Desetimístný daňový identifikátor. Formát: pět písmen, čtyři číslice, jedno písmeno. Čtvrté písmeno označuje typ daňového poplatníka. Páté je prvním písmenem jména daňového poplatníka. PAN je potřeba pro jakoukoliv transakci nad ₹50 000. Je běžný v indických finančních souborech.
Indický cestovní pas: Písmeno X následované sedmi číslicemi. Tento formát je pro Indii jedinečný.
Řidičské průkazy: Každý stát má vlastní formát. Dillíský průkaz může vypadat jako DL-0420110149646.
Bankovní účty: Neexistuje národní standard. Čísla účtů mají 9 až 18 číslic. Kódy IFSC — jedenáctimístné kódy bankovní pobočky — se vyskytují vedle čísel účtů v platebních souborech.
Mobilní čísla: Deset číslic s předvolbou země +91. Indie má 1,2 miliardy mobilních předplatitelů. Telefonní čísla se v obchodních dokumentech vyskytují velmi často.
Podívejte se, jak anonym.legal zpracovává všechny indické PII formáty na /blog/apac-pii-detection-thai-indonesian-vietnamese-2025.
Technické požadavky DPDPA
Bezpečnostní záruky: DPDPA požaduje „přiměřené bezpečnostní záruky” přizpůsobené riziku. Zákon definuje toto kritérium výsledkem. Neposkytuje pevný seznam kroků. Minimální technické standardy vyjdou v pravidlech DPDPA. Očekávají se od roku 2025.
Oznámení o narušení: Jakékoli narušení osobních záznamů nahlaste Úřadu do 72 hodin. Podle GDPR se toto časové okno vztahuje pouze na regulátora. Podle DPDPA vyžadují závažná narušení oznámení Úřadu i oznámení dotčeným osobám. Oboje musí proběhnout do 72 hodin.
Lokalizace: Vláda může označit společnosti jako Významné fiduciáře dat. Tyto společnosti mohou muset uchovávat kopii záznamů v Indii. Finální pravidla zatím nejsou stanovena.
Přeshraniční přenosy: Zákon blokuje přenosy do zemí, které nejsou na schváleném seznamu. Tento seznam nebyl k roku 2025 stanoven. Mezi EU a Indií neexistuje dohoda o přiměřenosti. Firmy s toky EU-Indie by měly nyní zavést smluvní ujednání.
Pro přehled toho, jak se pravidla pro přeshraniční přenosy kumulují napříč zákony, viz /blog/global-pii-compliance-2025-gdpr-lgpd-dpdp-ssn.
Váš základní technický kontrolní seznam
Pokud zpracováváte indické osobní záznamy, začněte zde:
- Detekce Aadhaar s logikou Verhoeffovy kontrolní číslice.
- Detekce PAN s kontrolami znaku typu daňového poplatníka.
- Podpora indického cestovního pasu a státních řidičských průkazů.
- Detekce bankovních účtů pro délky 9–18 číslic s kódy IFSC.
- Záznamy účelu odpovídající právním základům DPDPA.
- Plán reakce na narušení splňující 72hodinové časové okno.
Přečtěte si, jak jediná předvolba pokrývá všechny indické PII typy na /blog/global-privacy-compliance-gdpr-ccpa-pdpa-one-tool-2025.