Indien DPDPA 2023: Teknisk Compliance for Globale Teams
Indiens Digital Personal Data Protection Act dækker 1,4 milliarder mennesker. Det er verdens største privatlivslov målt på befolkning. Data Protection Board blev aktivt i 2025. Håndhævelse er begyndt. Hvis dit firma betjener indiske brugere, besidder indiske medarbejderfiler eller arbejder med indiske IT-leverandører, er denne lov nu en aktiv pligt.
Hvad DPDPA Dækker
Territorialt omfang: Loven dækker behandling inden for Indien. Den dækker også behandling uden for Indien, når formålet er at sælge varer eller tjenester til indiske brugere. Ligesom GDPR følger den personen — ikke serveren.
Maksimale bøder: Op til ₹250 crore pr. brud. Det svarer til ca. €27 millioner til aktuelle kurser. Bøder afhænger af bruddets alvor og varighed.
Retsgrundlag: Samtykke skal være frit, informeret og klart. Andre gyldige grundlag inkluderer jobs, juridiske pligter, vitale behov, offentlig interesse og forskning.
Individuelle rettigheder: Folk kan spørge, hvordan deres journaler bruges. De kan anmode om rettelse eller sletning. De kan indgive en klage. De kan udnævne en repræsentant, hvis de mister handleevne.
Data Fiduciaries: Dette er DPDPAs betegnelse for dataansvarlige. De skal beskytte personlige journaler. De skal rapportere brud til Bestyrelsen inden for 72 timer. De skal udnævne en Data Protection Officer, hvis de er en Significant Data Fiduciary.
Aadhaar: Et Unikt Detektionsproblem
Aadhaar er Indiens nationale biometriske ID-system. Hver indehaver får et 12-cifret nummer knyttet til fingeraftryk og irisscanninger. Ca. 1,36 milliarder borgere har et. Banker, offentlige myndigheder, mobiloperatører og hospitaler bruger det alle.
Aadhaar-numre optræder i finansielle, sundheds- og administrationsfiler. Aadhaar Act 2016 begrænser brugen. Private tjenester må ikke kræve det som obligatorisk ID. Opbevaring er begrænset til specifikke autoriserede tilfælde.
Hvorfor detektion er svær: Aadhaar bruger Verhoeff-metoden til sit kontrolciffer. Et værktøj, der kun scanner efter 12-cifrede strenge, vil markere ethvert 12-cifret nummer. Det skaber falske positive. God detektion kræver Verhoeff-checklogik. Simpel mønstermatching er ikke nok.
Andre Indiske PII-Formater
PAN (Permanent Account Number): Et 10-tegns skatte-ID. Format: fem bogstaver, fire cifre, ét bogstav. Det fjerde bogstav viser skatteyderstype. Det femte er det første bogstav i skattyderens navn. PAN er påkrævet for enhver transaktion over ₹50.000. Det er almindeligt i indiske finansfiler.
Indisk pas: Bogstavet X efterfulgt af syv cifre. Dette format er unikt for Indien.
Kørekort: Hver stat har sit eget format. Et Delhi-kørekort kan se ud som DL-0420110149646.
Bankkonti: Der er ingen national standard. Kontonumre er fra 9 til 18 cifre. IFSC-koder — 11-tegns bankafdelingskoder — optræder ved siden af kontonumre i betalingsfiler.
Mobilnumre: Ti cifre med landekode +91. Indien har 1,2 milliarder mobilabonnenter. Telefonnumre optræder ofte i kommercielle dokumenter.
Se, hvordan anonym.legal håndterer alle indiske PII-formater på /blog/apac-pii-detection-thai-indonesian-vietnamese-2025.
DPDPAs Tekniske Krav
Sikkerhedsforanstaltninger: DPDPA kræver "rimelige sikkerhedsforanstaltninger" tilpasset risikoen. Loven definerer dette ved resultat. Den giver ikke en fast liste over trin. Minimale tekniske standarder vil komme i DPDPA-regler. Disse forventes fra 2025 og frem.
Brudsmeddelelse: Rapportér ethvert brud på personlige journaler til Bestyrelsen inden for 72 timer. Under GDPR dækker det vindue kun regulatoren. Under DPDPA kræver store brud bestyrelsesbeskeder og beskeder til berørte personer. Begge skal ske inden for 72 timer.
Lokalisering: Regeringen kan udnævne virksomheder som Significant Data Fiduciaries. Disse virksomheder skal muligvis opbevare en kopi af journaler inden for Indien. Endelige regler er endnu ikke fastsat.
Grænseoverskridende overførsler: Loven blokerer overførsler til lande, der ikke er på en godkendt liste. Den liste var ikke fastsat pr. 2025. Der er ingen EU-Indien-tilstrækkelighedsaftale. Firmaer med EU-Indien-flows bør sætte kontrakter i kraft nu.
For et overblik over, hvordan grænseoverskridende regler stakker på tværs af love, se /blog/global-pii-compliance-2025-gdpr-lgpd-dpdp-ssn.
Din Tekniske Minimumscheck-liste
Hvis du håndterer indiske personlige journaler, start her:
- Aadhaar-detektion med Verhoeff-kontrolciffer-logik.
- PAN-detektion med tegntjek for skatteyderstype.
- Indisk pas og statslige kørekortstøtte.
- Bankkontodetektion for 9–18 cifrers længder med IFSC-koder.
- Formålsjournaler, der matcher DPDPAs retsgrundlag.
- En brudplan, der opfylder 72-timers-vinduet.
Læs, hvordan én forudindstilling dækker alle indiske PII-typer på /blog/global-privacy-compliance-gdpr-ccpa-pdpa-one-tool-2025.