DPDPA הודו 2023: ציות טכני לצוותים גלובליים
חוק הגנת הנתונים הדיגיטליים האישיים של הודו מכסה 1.4 מיליארד אנשים. הוא חוק הפרטיות הגדול בעולם לפי אוכלוסייה. מועצת הגנת הנתונים הפכה פעילה ב-2025. האכיפה החלה. אם חברתכם משרתת משתמשים הודיים, מחזיקה תיקי עובדים הודיים, או עובדת עם ספקי IT הודיים, חוק זה הוא חובה פעילה כעת.
מה DPDPA מכסה
תחולה טריטוריאלית: החוק מכסה עיבוד בתוך הודו. הוא גם מכסה עיבוד מחוץ להודו כאשר המטרה היא מכירת סחורות או שירותים למשתמשים הודיים. כמו GDPR, הוא עוקב אחר האדם — לא אחר השרת.
קנסות מקסימליים: עד ₹250 קרור להפרה. זה כ-€27 מיליון בשערים נוכחיים. הקנסות תלויים בחומרת ההפרה ובמשך הזמן.
בסיסים משפטיים: הסכמה חייבת להיות חופשית, מיודעת וברורה. בסיסים תקפים אחרים כוללים עבודות, חובות משפטיות, צרכים חיוניים, אינטרס ציבורי ומחקר.
זכויות אישיות: אנשים יכולים לשאול כיצד הרשומות שלהם משמשות. הם יכולים לבקש תיקון או מחיקה. הם יכולים להגיש תלונה. הם יכולים למנות נציג אם הם מאבדים כשרות.
אמוני נתונים: זהו שם DPDPA לבקרים. הם חייבים להגן על רשומות אישיות. הם חייבים לדווח על הפרות למועצה תוך 72 שעות. הם חייבים למנות קצין הגנת נתונים אם הם אמין נתונים משמעותי.
Aadhaar: בעיית זיהוי ייחודית
Aadhaar היא מערכת הזיהוי הביומטרי הלאומי של הודו. לכל בעל יש מספר בן 12 ספרות המקושר לטביעות אצבע וסריקות קשתית. כ-1.36 מיליארד תושבים מחזיקים באחד. בנקים, גופים ממשלתיים, מפעילי סלולר ובתי חולים — כולם משתמשים בו.
מספרי Aadhaar מופיעים בקבצים פיננסיים, בריאות ומנהליים. חוק Aadhaar 2016 מגביל את השימוש בו. שירותים פרטיים אינם יכולים לדרוש אותו כתעודה מזהה חובה. האחסון מוגבל למקרים מורשים ספציפיים.
מדוע הזיהוי קשה: Aadhaar משתמש בשיטת Verhoeff לספרת הביקורת שלו. כלי הסורק רק לרצפי 12 ספרות יסמן כל מספר בן 12 ספרות. זה יוצר פגיעות כוזבות. זיהוי טוב דורש לוגיקת ביקורת Verhoeff. התאמת תבניות פשוטה אינה מספיקה.
פורמטים אחרים של PII הודי
PAN (מספר חשבון קבוע): תעודת זיהוי מס בת 10 תווים. פורמט: חמש אותיות, ארבע ספרות, אות אחת. האות הרביעית מציגה את סוג הנישום. החמישית היא האות הראשונה של שם הנישום. PAN נדרש לכל עסקה מעל ₹50,000. הוא נפוץ בתיקים פיננסיים הודיים.
דרכון הודי: האות X ואחריה שבע ספרות. פורמט זה ייחודי להודו.
רישיונות נהיגה: לכל מדינה יש פורמט משלה. רישיון דלהי עשוי להיראות כ-DL-0420110149646.
חשבונות בנק: אין סטנדרט לאומי. מספרי חשבון נעים בין 9 ל-18 ספרות. קודי IFSC — קודי סניף בנק בני 11 תווים — מופיעים לצד מספרי חשבון בקבצי תשלום.
מספרי סלולר: עשר ספרות עם קידומת +91. להודו יש 1.2 מיליארד מנויי סלולר. מספרי טלפון מופיעים לעתים קרובות במסמכים מסחריים.
ראו כיצד anonym.legal מטפלת בכל פורמטי PII הודיים ב-/blog/apac-pii-detection-thai-indonesian-vietnamese-2025.
דרישות טכניות של DPDPA
אמצעי אבטחה: DPDPA דורש "אמצעי אבטחה סבירים" התואמים לסיכון. החוק מגדיר זאת לפי תוצאה. הוא אינו נותן רשימת שלבים קבועה. סטנדרטים טכניים מינימליים יגיעו בתקנות DPDPA. אלה צפויים מ-2025 ואילך.
הודעת הפרה: דווחו על כל הפרת רשומות אישיות למועצה תוך 72 שעות. תחת GDPR, חלון זה מכסה רק את הרגולטור. תחת DPDPA, הפרות גדולות דורשות הודעה למועצה ולאנשים שנפגעו. שניהם חייבים לקרות תוך 72 שעות.
לוקליזציה: הממשלה יכולה למנות חברות כאמינות נתונים משמעותיים. אותן חברות עשויות לצטרך לשמור עותק של רשומות בתוך הודו. הכללים הסופיים עדיין לא נקבעו.
העברות חוצי-גבולות: החוק חוסם העברות למדינות שאינן ברשימה מאושרת. הרשימה לא נקבעה נכון ל-2025. אין הסכם נאותות EU-הודו. חברות עם זרימות EU-הודו צריכות להכניס חוזים עכשיו.
לתצוגה של כיצד כללים חוצי-גבולות מצטברים על פני חוקים שונים, ראו /blog/global-pii-compliance-2025-gdpr-lgpd-dpdp-ssn.
רשימת פעולות טכניות בסיסית
אם אתם מטפלים ברשומות אישיות הודיות, התחילו כאן:
- זיהוי Aadhaar עם לוגיקת ספרת ביקורת Verhoeff.
- זיהוי PAN עם בדיקות תווי סוג נישום.
- תמיכה בדרכון הודי ורישיון נהיגה מדינתי.
- זיהוי חשבון בנק לאורכים של 9–18 ספרות עם קודי IFSC.
- רשומות מטרה התואמות בסיסים משפטיים DPDPA.
- תוכנית הפרה העומדת בחלון 72 השעות.
קראו כיצד פריסט יחיד מכסה את כל סוגי PII הודיים ב-/blog/global-privacy-compliance-gdpr-ccpa-pdpa-one-tool-2025.