India DPDPA 2023: Teknisk samsvar for globale team
Indias Digital Personal Data Protection Act dekker 1,4 milliarder mennesker. Det er verdens største personvernlov etter befolkningsgrunnlag. Data Protection Board ble aktivt i 2025. Håndhevelsen har startet. Dersom ditt selskap betjener indiske brukere, oppbevarer indiske ansattfiler eller samarbeider med indiske IT-leverandører, er denne loven nå en aktiv plikt.
Hva DPDPA dekker
Territorialt virkeområde: Loven dekker behandling inne i India. Den dekker også behandling utenfor India når formålet er å selge varer eller tjenester til indiske brukere. Som GDPR følger den personen – ikke serveren.
Maksimale bøter: Inntil ₹250 crore per brudd. Det er cirka 27 millioner euro til gjeldende kurs. Bøter avhenger av hvor alvorlig bruddet var og hvor lenge det varte.
Rettslige grunnlag: Samtykke må være fritt, informert og klart. Andre gyldige grunnlag inkluderer ansettelse, rettslige plikter, vitale behov, offentlig interesse og forskning.
Individuelle rettigheter: Folk kan spørre om hvordan opplysningene deres brukes. De kan be om retting eller sletting. De kan klage. De kan utpeke en representant dersom de mister handleevnen.
Dataforvaltere: Dette er DPDPAs betegnelse for behandlingsansvarlige. De må beskytte personopplysninger. De må rapportere brudd til Styret innen 72 timer. De må utpeke en Data Protection Officer dersom de er en Significant Data Fiduciary.
Aadhaar: Et unikt deteksjonsproblem
Aadhaar er Indias nasjonale biometriske ID-system. Hver innehaver får et 12-sifret nummer knyttet til fingeravtrykk og irisskanninger. Cirka 1,36 milliarder innbyggere har ett. Banker, offentlige etater, mobiloperatører og sykehus bruker det alle.
Aadhaar-numre dukker opp i finansielle, helsemessige og administrative filer. Aadhaar Act 2016 begrenser bruken. Private tjenester kan ikke kreve det som obligatorisk ID. Lagring er begrenset til spesifikt autoriserte tilfeller.
Hvorfor deteksjon er vanskelig: Aadhaar bruker Verhoeff-metoden for kontrollsifferet. Et verktøy som bare søker etter 12-sifrede strenger, vil flagge ethvert 12-sifret tall. Det skaper falske treff. God deteksjon krever Verhoeff-kontrollsifferlogikk. Enkel mønstermatching er ikke tilstrekkelig.
Andre indiske PII-formater
PAN (Permanent Account Number): Et 10-tegns skatte-ID. Format: fem bokstaver, fire sifre, én bokstav. Den fjerde bokstaven viser skattytertypen. Den femte er første bokstav i skattyterens navn. PAN kreves for enhver transaksjon over ₹ 50 000. Det er vanlig i indiske finansdokumenter.
Indisk pass: Bokstaven X etterfulgt av sju sifre. Dette formatet er unikt for India.
Førekort: Hver delstat har sitt eget format. Et Delhi-sertifikat kan se ut som DL-0420110149646.
Bankkontoer: Det finnes ingen nasjonal standard. Kontonumre varierer fra 9 til 18 sifre. IFSC-koder – 11-tegns bankfilialkoder – forekommer ved siden av kontonumre i betalingsfiler.
Mobilnumre: Ti sifre med landskode +91. India har 1,2 milliarder mobilabonnenter. Telefonnumre forekommer hyppig i kommersielle dokumenter.
Se hvordan anonym.legal håndterer alle indiske PII-formater på /blog/apac-pii-detection-thai-indonesian-vietnamese-2025.
DPDPAs tekniske krav
Sikkerhetstiltak: DPDPA krever "rimelige sikkerhetstiltak" tilpasset risikoen. Loven definerer dette etter utfall. Den gir ikke en fast liste med tiltak. Minimumstekniske standarder vil komme i DPDPA-reglene. Disse forventes fra 2025 og framover.
Varsling ved brudd: Rapporter ethvert brudd på personopplysninger til Styret innen 72 timer. Under GDPR dekker dette vinduet bare regulatoren. Under DPDPA krever store brudd varsel til Styret og varsel til berørte personer. Begge må skje innen 72 timer.
Lokalisering: Myndighetene kan utpeke selskaper som Significant Data Fiduciaries. Disse selskapene kan bli pålagt å oppbevare en kopi av opplysningene inne i India. Endelige regler er ennå ikke fastsatt.
Grenseoverskridende overføringer: Loven blokkerer overføringer til land som ikke er på en godkjent liste. Denne listen var ikke fastsatt per 2025. Det finnes ingen EU–India-adekvansavtale. Selskaper med EU–India-strømmer bør inngå kontrakter nå.
For et blikk på hvordan grenseoverskridende regler stables på tvers av lover, se /blog/global-pii-compliance-2025-gdpr-lgpd-dpdp-ssn.
Din tekniske minimumssjekkliste
Dersom du håndterer indiske personopplysninger, start her:
- Aadhaar-deteksjon med Verhoeff-kontrollsiffer-logikk.
- PAN-deteksjon med tegn-kontroller for skattytertype.
- Støtte for indisk pass og delstatsførekort.
- Bankkontodeteksjon for 9–18 sifre lengde med IFSC-koder.
- Formålsregistre som samsvarer med DPDPAs rettslige grunnlag.
- En beredskapsplan som oppfyller 72-timers-vinduet.
Les hvordan ett enkelt forhåndsinnstillingsoppsett dekker alle indiske PII-typer på /blog/global-privacy-compliance-gdpr-ccpa-pdpa-one-tool-2025.