Indland DPDPA 2023: Tæknilegt samræmi fyrir alþjóðleg teymi
Digital Personal Data Protection Act Indlands nær til 1,4 milljarðs manna. Þetta er stærstu friðhelgislög heims miðað við íbúafjölda. Gagnaverndarráðið tók til starfa árið 2025. Framkvæmd hefur hafist. Ef fyrirtæki þitt þjónar indverskum notendum, geymir indverskar starfsmannskrár eða vinnur með indverska tæknilega lánardrottna, er þetta löggjöf nú lifandi skyld.
Hvað DPDPA þekur
Landsvísað gildissvið: Lögin þekja vinnslu á Indlandi. Þau þekja einnig vinnslu utan Indlands þegar markmiðið er að selja vörur eða þjónustu til indverskra notenda. Eins og GDPR fylgja þau manninum — ekki þjóninum.
Hámarkssektir: Allt að ₹250 crore á brot. Það er um €27 milljónar á núverandi gengi. Sektir eru háðar alvarleika brotsins og hversu lengi það stóð.
Lagalegir grunnar: Samþykki verður að vera frítt, upplýst og skýrt. Aðrir gildlegir grunnar eru störf, lagalegar skyldur, lífsnauðsynlegar þarfir, almannahagsmunir og rannsóknir.
Einstaklingsréttindi: Menn geta spurt hvernig gögnum þeirra er beitt. Þeir geta óskað leiðréttingar eða eyðingar. Þeir geta lagt fram kvörtun. Þeir geta nefnt fulltrúa ef þeir missa getu.
Gagnatrúnaðarmenn: Þetta er DPDPA-heiti á stjórnendum. Þeir verða að vernda persónuupplýsingar. Þeir verða að tilkynna brot til Ráðsins innan 72 klukkustunda. Þeir verða að nefna Gagnaverndarsérfræðing ef þeir eru Mikilvægar Gagnatrúnaðarmenn.
Aadhaar: Einstakt greiningarvandamál
Aadhaar er þjóðarauðkenniskerfi Indlands með líffræðilegum gögnum. Sérhver handhafi fær 12 stafa númer tengt fingraförum og augnarlestrarmyndatöku. Um 1,36 milljarðar íbúa hafa eitt. Bankar, ríkisstofnanir, farsímarekendur og sjúkrahús nota það öll.
Aadhaar-númer birtast í fjármála-, heilbrigðis- og stjórnsýsluskrám. Aadhaar-lög 2016 takmarka notkun þess. Einkafyrirtæki geta ekki krafist þess sem skylduauðkenning. Geymsla er takmörkuð við sérstakar heimilaðar tilvik.
Hvers vegna greining er erfið: Aadhaar notar Verhoeff-aðferðina fyrir eftirlitsstöfu. Tæki sem skannar aðeins að 12 stafa strengir mun merkja hvaða 12 stafa tölu sem er. Það skapar ranga jákvæða. Góð greining þarfnast Verhoeff-eftirlitssrökfræði. Einfalt mynstursleiting er ekki nóg.
Aðrar indverskar PII-snið
PAN (Permanent Account Number): 10 stafa skattnúmer. Snið: fimm bókstafir, fjórar tölur, einn bókstafur. Fjórði bókstafurinn sýnir tegund skattgreiðanda. Fimmti er fyrsti bókstafur nafns skattgreiðanda. PAN þarf fyrir sérhvern viðskipting yfir ₹50.000. Það er algengt í indverskum fjármálaskrám.
Indverskt vegabréf: Bókstafurinn X fylgt af sjö tölum. Þetta snið er einstakt fyrir Indland.
Ökuskírteini: Sérhvert ríki hefur sitt eigið snið. Delhi-skírteini gæti litið út eins og DL-0420110149646.
Bankareikningar: Engin þjóðarstaðall er til. Reikningsnúmer eru 9 til 18 tölur. IFSC-kóðar — 11 stafa bankaveifukóðar — birtast við hliðina á reikningsnúmerum í greiðsluskrám.
Farsímanúmer: Tíu tölur með landsnúmeri +91. Indland hefur 1,2 milljarðar farsímaáskrifenda. Símanúmer birtast oft í viðskiptaskjölum.
Sjá hvernig anonym.legal meðhöndlar allar indverskar PII-snið á /blog/apac-pii-detection-thai-indonesian-vietnamese-2025.
Tæknilegar kröfur DPDPA
Öryggisráðstafanir: DPDPA krefst "hæfilegra öryggisráðstafana" í samræmi við áhættu. Lögin skilgreina þetta með niðurstöðum. Þau gefa ekki fastan lista yfir skref. Lágmarks tæknilegar staðlar munu koma í DPDPA-reglum. Þær eru væntanlegar frá 2025 og fram.
Tilkynning um brot: Tilkynna skal sérhvert brot á persónuupplýsingum til Ráðsins innan 72 klukkustunda. Samkvæmt GDPR nær þetta glugga aðeins til eftirlitsaðila. Samkvæmt DPDPA þurfa stór brot bæði tilkynningu til Ráðsins og til þeirra sem verða fyrir áhrifum. Bæði verður að gerast innan 72 klukkustunda.
Staðsetning: Ríkisstjórnin getur nefnt fyrirtæki sem Mikilvægar Gagnatrúnaðarmenn. Þau fyrirtæki gætu þurft að geyma eintak af gögnum í Indlandi. Lokaleg reglur eru enn ekki settar.
Þverlanda flutningur: Lögin hindra flutning til landa sem eru ekki á samþykktum lista. Sá listi var ekki settur frá 2025. Engin ESB-Indland viðhæfiákvörðun er til. Fyrirtæki með ESB-Indland-flæði ættu að setja samninga í stað nú.
Sjá /blog/global-pii-compliance-2025-gdpr-lgpd-dpdp-ssn til að fá yfirlit yfir hvernig þverlanda reglur safnast saman yfir lög.
Grunntæknilegt gátlisti
Ef þú meðhöndlar indverskar persónuupplýsingar, byrjaðu hér:
- Aadhaar-greining með Verhoeff-eftirlitsstafa-rökfræði.
- PAN-greining með skattgreiðandategund-stafaathugunum.
- Stuðningur við indversk vegabréf og ríkjasér-ökuskírteini.
- Bankareikningsgreining fyrir 9–18 stafa lengdir með IFSC-kóðum.
- Tilgangarskrár sem samsvara lagalegum grunnum DPDPA.
- Brotaáætlun sem uppfyllir 72 klukkustunda gluggann.
Les hvernig eitt forstilling þekur allar indverskar PII-gerðir á /blog/global-privacy-compliance-gdpr-ccpa-pdpa-one-tool-2025.