India DPDPA 2023: Technický súlad pre globálne tímy
Indický zákon o ochrane digitálnych osobných údajov pokrýva 1,4 miliardy ľudí. Je to najväcší zákon o ochrane súkromia na svete podľa poctu obyvateľov. Rada na ochranu údajov sa stala aktívnou v roku 2025. Presadzovanie zacalo. Ak vaša firma obsluhuje indických používateľov, uchováva spisy indických zamestnancov alebo spolupracuje s indickými IT dodávateľmi, tento zákon je teraz pre vás záväzný.
Čo DPDPA pokrýva
Územná pôsobnosť: Zákon pokrýva spracovanie v Indii. Vzťahuje sa aj na spracovanie mimo Indie, ak je cieľom predaj tovaru alebo služieb indickým používateľom. Rovnako ako GDPR sleduje osobu, nie server.
Maximálne pokuty: Až 250 crore INR za narušenie. To je pri aktuálnych kurzoch približne 27 miliónov EUR. Pokuty závisia od závažnosti narušenia a jeho trvania.
Právne základy: Súhlas musí byť slobodný, informovaný a jasný. Ďalšie platné základy zahrnujú zamestnanie, právne povinnosti, životne dôležité potreby, verejný záujem a výskum.
Práva jednotlivcov: Ľudia môžu žiadať informácie o tom, ako sa ich záznamy používajú. Môžu žiadať opravu alebo vymazanie. Môžu podať sťažnosť. Môžu vymenovať zástupcu v prípade straty spôsobilosti.
Data Fiduciaries: Toto je názov DPDPA pre správcov. Musia chráňať osobné záznamy. Musia nahlasovať narušenia Rade do 72 hodín. Musia menovať zodpovednú osobu za ochranu údajov, ak sú Significant Data Fiduciary.
Aadhaar: Jedinecný detekčný problém
Aadhaar je indický národný biometrický systém ID. Každý držiteľ dostane 12-miestne číslo prepojené s odtlackami prstov a skenom dúhovky. Okolo 1,36 miliardy obyvateľov ho má. Banky, vládne agentúry, mobilní operátori a nemocnice ho všetci používajú.
Čísla Aadhaar sa objavujú vo financných, zdravotníckych a administratívnych súboroch. Zákon Aadhaar 2016 obmedzuje jeho použitie. Súkromné služby ho nemôžu vyžadovať ako povinný preukaz. Uchovávanie je obmedzené na konkrétne oprávnené prípady.
Preco je detekcia nárocná: Aadhaar používa metódu Verhoeff pre svoju kontrolnú číslicu. Nástroj, ktorý skenuje iba 12-miestne reťazce, oznáci akékoľvek 12-miestne číslo. To vytvára falošné zásahy. Dobrá detekcia vyžaduje logiku kontrolného suctu Verhoeff. Jednoduché zhody vzorov nestacujú.
Ďalšie indické PII formáty
PAN (Permanent Account Number): 10-znakové danové ID. Formát: päť písmen, štyri číslice, jedno písmeno. Štvrtý znak ukazuje typ daňovníka. Piaty je prvé písmeno mena daňovníka. PAN je potrebný pri akomkoľvek obchode nad 50 000 INR. Je bežný v indických financných súboroch.
Indický pas: Písmeno nasledované siedmimi číslicami. Tento formát je jedinecný pre Indiu.
Vodické preukazy: Každý štát má vlastný formát. Delhský preukaz môže vyzerať ako DL-0420110149646.
Bankové účty: Neexistuje žiadny národný štandard. Čísla účtov majú od 9 do 18 číslic. Kódy IFSC - 11-znakové kódy pobociek banky - sa objavujú vedľa čísel účtov v platobných súboroch.
Mobilné čísla: Desat číslic s predvolbou krajiny +91. India má 1,2 miliardy mobilných predplatiteľov. Telefónne čísla sa casto objavujú v obchodných dokumentoch.
Pozrite si, ako anonym.legal spracúva všetky indické PII formáty na /blog/apac-pii-detection-thai-indonesian-vietnamese-2025.
Technické požiadavky DPDPA
Bezpecnostné záruky: DPDPA žiada "primerané bezpecnostné záruky" zodpovedajúce riziku. Zákon to definuje výsledkom, nie pevným zoznamom krokov. Minimálne technické štandardy prídu v pravidlách DPDPA, ktoré sa ocakávajú od roku 2025.
Oznamovanie narušení: Nahláste akékoľvek narušenie osobných záznamov Rade do 72 hodín. Podľa GDPR toto okno pokrýva iba regulátora. Podľa DPDPA väcšie narušenia vyžadujú oznámenie Rade aj dotknutým osobám. Obe musia prebehnut do 72 hodín.
Lokalizácia: Vláda môže vymenovát spolocnosti za Significant Data Fiduciaries. Tieto spolocnosti môžu musiet uchovávat kópiu záznamov v Indii. Konecné pravidlá ešte neboli stanovené.
Cezhranicné prenosy: Zákon blokuje prenosy do krajín, ktoré nie sú na schválenom zozname. Tento zoznam nebol k roku 2025 stanovený. Neexistuje dohoda o primeranosti EÚ-India. Firmy s tokmi EÚ-India by mali teraz uzatvoriť zmluvy.
Pre pohľad na to, ako sa cezhranicné pravidlá vrstvujú napriec zákonmi, pozrite /blog/global-pii-compliance-2025-gdpr-lgpd-dpdp-ssn.
Váš základný technický kontrolný zoznam
Ak spracúvate indické osobné záznamy, zacnite tu:
- Detekcia Aadhaar s logikou kontrolného suctu Verhoeff.
- Detekcia PAN s kontrolami znakov pre typ daňovníka.
- Podpora indického pasu a štátnych vodičských preukazov.
- Detekcia bankových účtov pre dĺžky 9-18 číslic s kódmi IFSC.
- Záznamy o účele zodpovedajúce právnym základom DPDPA.
- Plán narušenia splnajúci 72-hodinové okno.
Prectajte si, ako jeden preset pokrýva všetky indické PII typy na /blog/global-privacy-compliance-gdpr-ccpa-pdpa-one-tool-2025.