Indijos DPDPA 2023: techninė atitiktis pasaulinėms komandoms
Indijos Skaitmeninių asmens duomenų apsaugos įstatymas apima 1,4 milijardo žmonių. Tai pasaulio didžiausias privatumo įstatymas pagal gyventojų skaičių. Duomenų apsaugos taryba tapo aktyvi 2025 m. Vykdymas prasidėjo. Jei Jūsų firma aptarnauja Indijos vartotojus, turi Indijos darbuotojų failus ar dirba su Indijos IT tiekėjais, šis įstatymas dabar yra aktyvus įpareigojimas.
Ką apima DPDPA
Teritorinė taikymo sritis: Įstatymas apima apdorojimą Indijoje. Jis taip pat apima apdorojimą už Indijos ribų, kai tikslas yra parduoti prekes ar paslaugas Indijos vartotojams. Kaip GDPR, jis seka žmogų -- ne serverį.
Maksimalios baudos: Iki 250 crore rupijų už pažeidimą. Tai apytiksliai 27 milijonai eurų dabartiniais kursais. Baudos priklauso nuo pažeidimo sunkumo ir trukmės.
Teisiniai pagrindai: Sutikimas turi būti laisvas, informuotas ir aiškus. Kiti galiojantys pagrindai apima darbus, teisinius įpareigojimus, gyvybiškai svarbius poreikius, viešąjį interesą ir tyrimus.
Individualios teisės: Žmonės gali klausti, kaip naudojami jų įrašai. Jie gali prašyti taisymo ar ištrynimo. Jie gali pateikti skundą. Jie gali paskirti atstovą, jei praranda gebėjimą.
Duomenų patikėtiniai: Tai DPDPA pavadinimas valdytojams. Jie turi saugoti asmeninius įrašus. Jie turi pranešti apie pažeidimus Tarybai per 72 valandas. Jie turi paskirti Duomenų apsaugos pareigūną, jei yra Reikšmingi duomenų patikėtiniai.
Aadhaar: unikalus aptikimo iššūkis
Aadhaar yra Indijos nacionalinė biometrinė ID sistema. Kiekvienas turėtojas gauna 12 skaitmenų numerį, susietą su pirštų atspaudais ir akies rainelės nuskaitymais. Apie 1,36 milijardo gyventojų jį turi. Bankai, valdžios agentūros, mobiliojo ryšio operatoriai ir ligoninės visi jį naudoja.
Aadhaar numeriai rodomi finansiniuose, sveikatos ir administraciniuose failuose. Aadhaar aktas 2016 m. riboja jo naudojimą. Privačios paslaugos negali reikalauti jo kaip privalomo ID. Saugojimas apribotas konkrečiais įgaliotais atvejais.
Kodėl aptikimas yra sunkus: Aadhaar naudoja Verhoeff metodą kontroliniam skaitmeniui. Įrankis, kuris tik ieško 12 skaitmenų eilučių, žymes bet kurį 12 skaitmenų numerį. Tai sukuria klaidingus pataikymus. Geras aptikimas reikalauja Verhoeff kontrolinio skaitmens logikos. Paprastas šablono atitikimas nepakankamas.
Kiti Indijos PII formatai
PAN (Nuolatinė sąskaitos numeris): 10 simbolių mokesčių ID. Formatas: penki raidės, keturi skaitmenys, viena raidė. Ketvirtoji raidė rodo mokesčių mokėtojo tipą. Penktoji yra pirmoji mokesčių mokėtojo vardo raidė. PAN reikalingas bet kuriam sandoriui virš 50 000 rupijų. Jis dažnas Indijos finansiniuose failuose.
Indijos pasas: Raidė X, po to septyni skaitmenys. Šis formatas yra unikalus Indijai.
Vairuotojo pažymėjimai: Kiekviena valstija turi savo formatą. Delio licencija gali atrodyti kaip DL-0420110149646.
Banko sąskaitos: Nėra nacionalinio standarto. Sąskaitų numeriai svyruoja nuo 9 iki 18 skaitmenų. IFSC kodai -- 11 simbolių banko filialo kodai -- rodomi šalia sąskaitų numerių mokėjimų failuose.
Mobiliojo ryšio numeriai: Dešimt skaitmenų su šalies kodu +91. Indija turi 1,2 milijardo mobiliojo ryšio abonentų. Telefono numeriai dažnai randami komerciniuose dokumentuose.
Žiūrėkite, kaip anonym.legal tvarko visus Indijos PII formatus adresu /blog/apac-pii-detection-thai-indonesian-vietnamese-2025.
DPDPA techniniai reikalavimai
Saugumo apsaugos priemonės: DPDPA reikalauja "pagrįstų saugumo apsaugos priemonių", atitinkančių riziką. Aktas apibrėžia tai pagal rezultatą. Jame nėra fiksuoto žingsnių sąrašo. Minimalūs techniniai standartai ateis DPDPA taisyklėse. Jie tikimasi nuo 2025 m. toliau.
Pranešimas apie pažeidimus: Pranešti apie bet kokį asmens duomenų pažeidimą Tarybai per 72 valandas. Pagal GDPR tas laikas apima tik reguliuotoją. Pagal DPDPA dideli pažeidimai reikalauja Tarybos pranešimo ir pranešimo paveiktiems žmonėms. Abu turi įvykti per 72 valandas.
Lokalizacija: Vyriausybė gali pavadinti įmones Reikšmingais duomenų patikėtiniais. Tos įmonės gali turėti saugoti įrašų kopiją Indijoje. Galutinės taisyklės dar nenustatytos.
Tarpvalstybiniai pervedimai: Įstatymas blokuoja pervedimus į šalis, kurių nėra patvirtintame sąraše. Tas sąrašas nebuvo nustatytas 2025 m. Nėra ES ir Indijos tinkamumo susitarimo. Firmos su ES ir Indijos srautais turėtų dabar pasirūpinti sutartimis.
Norėdami pamatyti, kaip tarpvalstybinės taisyklės derinamos įstatymuose, žiūrėkite /blog/global-pii-compliance-2025-gdpr-lgpd-dpdp-ssn.
Jūsų bazinis techninis kontrolinis sąrašas
Jei tvarkote Indijos asmeninius įrašus, pradėkite čia:
- Aadhaar aptikimas su Verhoeff kontrolinio skaitmens logika.
- PAN aptikimas su mokesčių mokėtojo tipo simbolio patikrinimais.
- Indijos paso ir valstijų vairuotojo pažymėjimo palaikymas.
- Banko sąskaitų aptikimas 9--18 skaitmenų ilgiams su IFSC kodais.
- Tikslo įrašai, atitinkantys DPDPA teisinius pagrindus.
- Pažeidimų planas, atitinkantis 72 valandų langą.
Skaitykite, kaip vienas išankstinis nustatymas apima visus Indijos PII tipus adresu /blog/global-privacy-compliance-gdpr-ccpa-pdpa-one-tool-2025.