Intian DPDPA 2023: Tekninen Vaatimustenmukaisuus Maailmanlaajuisille Tiimeille
Intian Digital Personal Data Protection Act kattaa 1,4 miljardia ihmistä. Se on maailman suurin tietosuojalaki väestön mukaan. Tietosuojalautakunta tuli toimintaan vuonna 2025. Täytäntöönpano on alkanut. Jos yrityksesi palvelee intialaisia käyttäjiä, säilyttää intialaisen henkilöstön tiedostoja tai työskentelee intialaisten tietotekniikkantoimittajien kanssa, tämä laki on nyt voimassa oleva velvollisuus.
Mitä DPDPA Kattaa
Alueellinen soveltamisala: Laki kattaa Intiassa tapahtuvan käsittelyn. Se kattaa myös Intian ulkopuolella tapahtuvan käsittelyn, kun tavoitteena on tavaroiden tai palveluiden myyminen intialaisille käyttäjille. Kuten GDPR, se seuraa henkilöä — ei palvelinta.
Enimmäissakot: Enintään ₹250 crore per rikkomus. Se on noin 27 miljoonaa euroa nykyisillä kursseilla. Sakot riippuvat rikkomuksen vakavuudesta ja sen kestosta.
Oikeusperusteet: Suostumuksen on oltava vapaaehtoinen, tietoinen ja selkeä. Muita hyväksyttäviä perusteita ovat työsuhde, oikeudelliset velvollisuudet, elintärkeät tarpeet, yleinen etu ja tutkimus.
Yksilöiden oikeudet: Henkilöillä voi kysyä, miten tietojaan käytetään. He voivat pyytää korjausta tai poistamista. He voivat tehdä valituksen. He voivat nimetä edustajan, jos he menettävät toimintakykynsä.
Tietojen fiduciaarit: Tämä on DPDPA:n nimi rekisterinpitäjille. Niiden on suojattava henkilötietoja. Niiden on ilmoitettava rikkomuksista lautakunnalle 72 tunnin kuluessa. Niiden on nimettävä tietosuojavastaava, jos ne ovat merkittäviä tietojen fiduciaareja.
Aadhaar: Ainutlaatuinen Havaitsemisongelma
Aadhaar on Intian kansallinen biometrinen tunnistusjärjestelmä. Jokainen haltija saa 12-numeroisen numeron, joka on linkitetty sormenjälkiin ja iristunnistuksiin. Noin 1,36 miljardia asukasta omistaa sellaisen. Pankit, valtiovallan virastot, matkapuhelinoperaattorit ja sairaalat kaikki käyttävät sitä.
Aadhaar-numerot esiintyvät rahoitus-, terveydenhuolto- ja hallintotiedostoissa. Aadhaar-laki 2016 rajoittaa sen käyttöä. Yksityiset palvelut eivät voi vaatia sitä pakollisena tunnistuksena. Tallentaminen on rajoitettu tiettyihin valtuutettuihin tapauksiin.
Miksi havaitseminen on vaikeaa: Aadhaar käyttää Verhoeff-menetelmää tarkistusnumerossaan. Työkalu, joka vain etsii 12-numeroisia merkkijonoja, merkitsee minkä tahansa 12-numeroisen numeron. Se luo väärän positiiviset. Hyvä havaitseminen vaatii Verhoeff-tarkistuslogiikan. Yksinkertainen kuviontäsmäys ei riitä.
Muut Intialaiset Henkilötietomuodot
PAN (Permanent Account Number): 10-merkkinen verotunnus. Muoto: viisi kirjainta, neljä numeroa, yksi kirjain. Neljäs kirjain osoittaa veronmaksajatyypin. Viides on veronmaksajan nimen ensimmäinen kirjain. PAN tarvitaan mihin tahansa yli ₹50 000:n sopimukseen. Se on yleinen intialaisissa rahoitustiedostoissa.
Intialainen passi: Kirjain X seurattuna seitsemällä numerolla. Tämä muoto on ainutlaatuinen Intialle.
Ajokortit: Jokaisella osavaltiolla on oma muotonsa. Delhin ajokortti voi näyttää tältä: DL-0420110149646.
Pankkitilit: Kansallista standardia ei ole. Tilinumerot ovat 9–18 numeroa pitkiä. IFSC-koodit — 11-merkkiset pankin haarakoodit — esiintyvät tilinumeroiden vieressä maksutiedostoissa.
Matkapuhelinnumerot: Kymmenen numeroa maakoodilla +91. Intiassa on 1,2 miljardia matkapuhelintilaajaa. Puhelinnumerot esiintyvät usein kaupallisissa asiakirjoissa.
Katso, miten anonym.legal käsittelee kaikkia intialaisia henkilötietomuotoja osoitteessa /blog/apac-pii-detection-thai-indonesian-vietnamese-2025.
DPDPA:n Tekniset Vaatimukset
Turvatoimenpiteet: DPDPA edellyttää "kohtuullisia turvatoimenpiteitä" riskiin nähden. Laki määrittelee tämän tuloksen mukaan. Se ei anna kiinteää luetteloa toimenpiteistä. Minimaaliset tekniset standardit tulevat DPDPA:n säädöksistä. Niitä odotetaan vuodesta 2025 eteenpäin.
Rikkomusilmoitus: Ilmoita kaikista henkilötietueiden rikkomuksista lautakunnalle 72 tunnin kuluessa. GDPR:n nojalla kyseinen ikkuna kattaa vain valvojan. DPDPA:n nojalla merkittävät rikkomukset vaativat lautakunnan ilmoituksen ja ilmoituksen asianomaisille henkilöille. Molempien on tapahduttava 72 tunnin kuluessa.
Paikallistaminen: Hallitus voi nimetä yrityksiä merkittäviksi tietojen fiduciaareja. Nämä yritykset saattavat joutua säilyttämään kopion tietueista Intiassa. Lopullisia sääntöjä ei ole vielä asetettu.
Rajat ylittävät siirrot: Laki estää siirrot maihin, jotka eivät ole hyväksytyllä listalla. Tätä listaa ei ollut asetettu vuoteen 2025 mennessä. EU:n ja Intian välillä ei ole riittävyyttä. Yritysten, joilla on EU–Intia-virtauksia, pitäisi tehdä sopimukset nyt.
Katso, miten rajat ylittävät säännöt pinoavat eri lakien välillä, osoitteessa /blog/global-pii-compliance-2025-gdpr-lgpd-dpdp-ssn.
Tekninen Perustarkistuslista
Jos käsittelet intialaisia henkilötietoja, aloita tästä:
- Aadhaar-havaitseminen Verhoeff-tarkistusnumerologiikalla.
- PAN-havaitseminen veronmaksajatyypin merkistötarkistuksilla.
- Intialainen passi ja osavaltiollinen ajokorttituki.
- Pankkitilin havaitseminen 9–18-numeroisten pituuksien IFSC-koodeilla.
- Tarkoitustietueet, jotka vastaavat DPDPA:n oikeusperusteita.
- Rikkomussuunnitelma, joka täyttää 72 tunnin ikkunan.
Lue, miten yksi esiasetus kattaa kaikki intialaiset henkilötietotyypit osoitteessa /blog/global-privacy-compliance-gdpr-ccpa-pdpa-one-tool-2025.