Indiens DPDPA 2023: Teknisk efterlevnad för globala team
Indiens Digital Personal Data Protection Act täcker 1,4 miljarder människor. Det är världens folkrikaste integritetslag. Dataskyddsnämnden blev aktiv 2025. Tillsynen har inletts. Om ditt företag betjänar indiska användare, hanterar indisk personals akter eller arbetar med indiska IT-leverantörer är denna lag nu en reell skyldighet.
Vad DPDPA täcker
Territoriell räckvidd: Lagen täcker behandling inom Indien. Den täcker också behandling utanför Indien när syftet är att sälja varor eller tjänster till indiska användare. Precis som GDPR följer den personen — inte servern.
Maximala böter: Upp till 250 crore rupier per intrång. Det är ungefär 27 miljoner euro till aktuella kurser. Böterna beror på hur allvarligt intrånget var och hur länge det pågick.
Rättsliga grunder: Samtycke måste vara fritt, informerat och tydligt. Andra giltiga grunder inkluderar anställning, rättsliga skyldigheter, vitala behov, allmänt intresse och forskning.
Individuella rättigheter: Människor kan fråga hur deras uppgifter används. De kan begära rättelse eller radering. De kan lämna in ett klagomål. De kan utse en företrädare om de förlorar sin handlingsförmåga.
Data Fiduciaries: Detta är DPDPA:s benämning för personuppgiftsansvariga. De måste skydda personuppgifter. De måste rapportera intrång till nämnden inom 72 timmar. De måste utse ett dataskyddsombud om de är ett Significant Data Fiduciary.
Aadhaar: Ett unikt identifieringsproblem
Aadhaar är Indiens nationella biometriska ID-system. Varje innehavare får ett 12-siffrigt nummer kopplat till fingeravtryck och iris-skanningar. Ungefär 1,36 miljarder invånare har ett. Banker, myndigheter, mobiloperatörer och sjukhus använder alla systemet.
Aadhaar-nummer förekommer i finansiella, medicinska och administrativa filer. Aadhaar Act 2016 begränsar dess användning. Privata tjänster kan inte kräva det som obligatorisk identifiering. Lagring är begränsad till specifikt tillåtna fall.
Varför identifiering är svår: Aadhaar använder Verhoeff-metoden för sin kontrollsiffra. Ett verktyg som bara söker efter 12-siffriga strängar flaggar vilket 12-siffrigt nummer som helst. Det skapar falska träffar. God identifiering kräver Verhoeff-kontrolllogik. Enkel mönstermatchning räcker inte.
Andra indiska PII-format
PAN (Permanent Account Number): Ett 10-teckens skatte-ID. Format: fem bokstäver, fyra siffror, en bokstav. Den fjärde bokstaven visar skattebetalartyp. Den femte är den första bokstaven i skattebetalarens namn. PAN krävs för alla transaktioner över 50 000 rupier. Det är vanligt i indiska finansiella filer.
Indiskt pass: Bokstaven X följt av sju siffror. Detta format är unikt för Indien.
Körkort: Varje delstat har sitt eget format. Ett Delhi-körkort kan se ut som DL-0420110149646.
Bankkonton: Det finns ingen nationell standard. Kontonummer har 9 till 18 siffror. IFSC-koder — 11-teckniga bankfilialkoder — förekommer bredvid kontonummer i betalningsfiler.
Mobilnummer: Tio siffror med landskod +91. Indien har 1,2 miljarder mobilabonnenter. Telefonnummer förekommer ofta i kommersiella dokument.
Se hur anonym.legal hanterar alla indiska PII-format på /blog/apac-pii-detection-thai-indonesian-vietnamese-2025.
DPDPA:s tekniska krav
Säkerhetsskyddsåtgärder: DPDPA kräver "rimliga säkerhetsskyddsåtgärder" anpassade till risk. Lagen definierar detta via utfall. Den ger ingen fastställd lista med åtgärder. Minimitekniska standarder kommer i DPDPA-reglerna. Dessa förväntas från 2025 och framåt.
Intrångsanmälan: Rapportera alla personuppgiftsintrång till nämnden inom 72 timmar. Under GDPR gäller det fönstret enbart tillsynsmyndigheten. Under DPDPA kräver stora intrång notification till nämnden och till drabbade personer. Båda måste ske inom 72 timmar.
Lokalisering: Regeringen kan peka ut företag som Significant Data Fiduciaries. Dessa företag kan behöva behålla en kopia av uppgifter i Indien. Slutliga regler är ännu inte fastställda.
Gränsöverskridande överföringar: Lagen blockerar överföringar till länder som inte finns på en godkänd lista. Den listan hade inte fastställts per 2025. Det finns inget EU-Indien-adekvansbeslut. Företag med EU-Indien-flöden bör sätta avtal på plats nu.
För en bild av hur gränsöverskridande regler staplas i olika lagar, se /blog/global-pii-compliance-2025-gdpr-lgpd-dpdp-ssn.
Din tekniska baschecklista
Om du hanterar indiska personuppgifter, börja här:
- Aadhaar-identifiering med Verhoeff-kontrollsifferlogik.
- PAN-identifiering med kontroll av skattebetalartypskaraktär.
- Stöd för indiska pass och delstatskörkort.
- Bankkontoidentifiering för längder på 9–18 siffror med IFSC-koder.
- Ändamålsposter som stämmer överens med DPDPA:s rättsliga grunder.
- En intrångsplan som uppfyller 72-timmarsfönstret.
Läs om hur ett enda förinställt alternativ täcker alla indiska PII-typer på /blog/global-privacy-compliance-gdpr-ccpa-pdpa-one-tool-2025.