PDP Bill 2019 vs. Ley DPDP 2023 de la India: qué cambió

El Personal Data Protection Bill, 2019 ya no está en trámite y nunca llegó a ser ley. El Gobierno lo retiró en agosto de 2022. La ley de protección de datos de la India hoy es la Digital Personal Data Protection Act, 2023 (Ley DPDP), que entra en vigor por fases mediante las DPDP Rules, 2025. Para conocer las obligaciones, plazos y sanciones actuales, consulte nuestra guía de la Ley DPDP.

Esta página ofrece una breve historia del PDP Bill y una comparación directa PDP Bill 2019 vs. Ley DPDP 2023, para que vea qué cambió y por qué los consejos antiguos sobre el PDP Bill ya no se aplican.

¿Qué fue el Personal Data Protection Bill 2019?

El Personal Data Protection Bill, 2019 (PDP Bill) fue el primer intento de la India de aprobar una ley integral de protección de datos al estilo del RGPD. Surgió de la sentencia Puttaswamy del Tribunal Supremo de 2017, que reconoció la privacidad como derecho fundamental, y del proyecto de ley preparado por un comité presidido por el juez retirado B.N. Srikrishna.

El PDP Bill era extenso y ambicioso. Dividía los datos personales en tres niveles, proponía la localización de los datos personales sensibles y críticos, creaba una poderosa Data Protection Authority of India y fijaba sanciones vinculadas a la facturación mundial de la empresa. También introdujo la figura de los gestores de consentimiento (consent managers), que se mantuvo en la Ley DPDP.

Cronología del PDP Bill: del borrador a la retirada

Fecha	Hecho
27 de julio de 2018	El comité Srikrishna entrega su informe y el borrador del Personal Data Protection Bill, 2018 al Ministerio de TI
11 de diciembre de 2019	El Personal Data Protection Bill, 2019 se presenta en la Lok Sabha y después se remite a una Comisión Parlamentaria Conjunta (JPC)
16 de diciembre de 2021	Se presenta al Parlamento el informe de la JPC; cambia el nombre del proyecto a Data Protection Bill, 2021 y propone incluir los datos no personales
3 de agosto de 2022	El Gobierno retira el proyecto de la Lok Sabha y anuncia un nuevo proyecto que encaje en un marco jurídico integral
18 de noviembre de 2022	El MeitY publica el borrador del Digital Personal Data Protection Bill, 2022 para consulta pública
11 de agosto de 2023	La Digital Personal Data Protection Act, 2023 recibe la sanción presidencial y se publica en la Gaceta
13 de noviembre de 2025	Se publican las DPDP Rules, 2025, que aplican la ley por fases hasta el 13 de mayo de 2027

¿Por qué se retiró el PDP Bill?

La JPC deliberó durante dos años y propuso enmiendas extensas. Su versión iba más allá de los datos personales: incluía los datos no personales, proponía un único regulador para ambos e iba más lejos en la localización de datos. Los comentaristas criticaron hasta qué punto el alcance ampliado superaba la protección de datos. En lugar de volver a modificar el proyecto, el Gobierno lo retiró en agosto de 2022 y empezó de nuevo con un borrador mucho más breve, que se convirtió en la Ley DPDP.

PDP Bill 2019 vs. Ley DPDP 2023: comparación

Tema	PDP Bill 2019 (retirado)	Ley DPDP 2023 (en vigor por fases)
Estado	Nunca se aprobó; retirado el 3 de agosto de 2022	Promulgada el 11 de agosto de 2023; DPDP Rules publicadas el 13 de noviembre de 2025
Ámbito	Datos personales, en línea y fuera de línea	Solo datos personales digitales, incluidos los datos recogidos fuera de línea y digitalizados después
Categorías de datos	Tres niveles: datos personales, datos personales sensibles (como datos financieros, de salud y biométricos, casta y creencias religiosas o políticas) y datos personales críticos notificados por el Gobierno	Una sola categoría de datos personales; sin nivel sensible ni crítico, pero con obligaciones adicionales para los datos de menores y los Significant Data Fiduciaries
Localización de datos	Los datos personales sensibles debían almacenarse en la India (transferencias al extranjero para su tratamiento solo con consentimiento explícito y otras condiciones); los datos personales críticos solo podían tratarse en la India	Sin obligación general de localización; siguen aplicándose normas sectoriales más estrictas, como las del RBI sobre datos de pago
Transferencias internacionales	Restringidas para los datos personales sensibles y críticos	Permitidas a cualquier país salvo que el Gobierno lo restrinja mediante notificación
Datos no personales	El Gobierno podía ordenar a las empresas que compartieran datos personales anonimizados o datos no personales; la JPC quería incluirlos plenamente	Fuera del ámbito
Regulador	Data Protection Authority of India, con un presidente y seis miembros; recursos ante un Tribunal de Apelación y después ante el Tribunal Supremo	Data Protection Board of India, un órgano resolutorio creado por el Gobierno central; recursos ante el TDSAT
Sanciones	Hasta ₹15 crore o el 4 % de la facturación mundial, lo que sea mayor, por infracciones graves; ₹5 crore o el 2 % por otras, como no realizar una auditoría de datos	Límites fijos por infracción, hasta ₹250 crore por no adoptar medidas de seguridad razonables
Gestores de consentimiento	Introducidos: gestores de consentimiento registrados ante la Data Protection Authority	Se mantienen: se registran ante el Data Protection Board; el registro se abre el 13 de noviembre de 2026
Notificación de brechas	Notificar al regulador solo si la brecha podía causar daño	Notificar toda brecha al Board y a cada persona afectada
Portabilidad de datos	Incluida	No incluida

En resumen, la Ley DPDP conserva el núcleo del PDP Bill (aviso, consentimiento, seguridad, derechos sobre los datos y gestores de consentimiento), pero elimina los niveles de datos, la localización y las multas basadas en la facturación. No utilice hoy una lista de verificación del PDP Bill para cumplir la normativa: algunas de sus obligaciones ya no existen y la Ley DPDP añade otras nuevas, como notificar toda brecha de datos personales.

Qué significa esto ahora para su sitio web

Si su sitio web o aplicación atiende a personas en la India, la norma que debe tener en cuenta es la Ley DPDP y las DPDP Rules, no el PDP Bill. Las normas sobre gestores de consentimiento se aplican desde el 13 de noviembre de 2026, y la mayoría de las obligaciones, como el aviso, el consentimiento, las medidas de seguridad, la notificación de brechas, los datos de menores y los derechos sobre los datos, se aplican desde el 13 de mayo de 2027.

En la práctica, esto significa:

Mostrar un aviso claro, independiente y en lenguaje sencillo antes de recoger datos personales
Obtener un consentimiento libre, específico, informado e inequívoco, y que retirarlo sea tan fácil como darlo
Conservar registros que demuestren cuándo y cómo se dio el consentimiento
Obtener un consentimiento parental verificable antes de tratar datos de menores de 18 años
Atender las solicitudes de acceso, rectificación y supresión

Nuestra guía de la Ley DPDP explica en detalle cada plazo, obligación y sanción. UniConsent le ayuda a mostrar avisos de consentimiento preparados para la DPDP, recoger y registrar el consentimiento y admitir varios idiomas, junto con el RGPD y otras leyes de privacidad globales.

Fuentes

Preguntas Frecuentes

¿Sigue en vigor el Personal Data Protection Bill 2019?

No. El PDP Bill 2019 nunca llegó a ser ley. El Gobierno lo retiró de la Lok Sabha el 3 de agosto de 2022. La ley de protección de datos de la India es ahora la Digital Personal Data Protection Act, 2023, que las DPDP Rules, 2025 ponen en vigor por fases.

¿Por qué se retiró el PDP Bill?

El informe de diciembre de 2021 de la Comisión Parlamentaria Conjunta propuso cambios extensos, como renombrarlo Data Protection Bill, 2021 e incluir los datos no personales. El Gobierno retiró el proyecto en agosto de 2022 para presentar uno nuevo que encajara en un marco jurídico integral.

¿Cuál es la principal diferencia entre el PDP Bill y la Ley DPDP?

La Ley DPDP es más breve y sencilla. Elimina las categorías de datos personales sensibles y críticos y las normas de localización de datos, abarca solo los datos personales digitales, sustituye la Data Protection Authority prevista por un Data Protection Board con funciones resolutorias, permite las transferencias al extranjero salvo que un país esté restringido y fija sanciones de hasta ₹250 crore en lugar de un porcentaje de la facturación mundial.

¿Tengo que cumplir el PDP Bill 2019?

No. Los sitios web y aplicaciones que atienden a personas en la India deben prepararse para la Ley DPDP y las DPDP Rules. Las normas sobre gestores de consentimiento se aplican desde el 13 de noviembre de 2026, y la mayoría de las obligaciones, como el aviso, las medidas de seguridad, la notificación de brechas y los derechos sobre los datos, desde el 13 de mayo de 2027.

Cumple con las normativas de privacidad globales

Reglamento General de Protección de Datos (RGPD)

Logra un cumplimiento sin complicaciones del Reglamento General de Protección de Datos (RGPD), la piedra angular de la privacidad de datos en la Unión Europea. Protege los datos de los usuarios y genera confianza con nuestras soluciones integrales de cumplimiento del RGPD.

Ley de Privacidad del Consumidor de California (CCPA)

Navega sin esfuerzo por el complejo panorama de la Ley de Privacidad del Consumidor de California (CCPA). Nuestras herramientas de cumplimiento de la CCPA garantizan que cumplas con los rigurosos estándares de protección de datos exigidos para los residentes de California.

Leyes de privacidad estatales de EE. UU.

Anticípate a la evolución de las normativas de privacidad en Estados Unidos. Nuestra plataforma es compatible con diversas leyes estatales, como la CCPA, CPRA, CPA, VCDPA, UCPA y COPPA, garantizando el cumplimiento en todas las jurisdicciones.

Ley de Derechos de Privacidad de California (CPRA)

Abraza el futuro de la privacidad de datos con la Ley de Derechos de Privacidad de California (CPRA). Como legislación estatal pionera, la CPRA permite a las empresas mejorar sus prácticas de protección de datos y priorizar la privacidad del consumidor.

Ley de Privacidad de Colorado (CPA)

Prepárate para la Ley de Privacidad de Colorado (CPA) con la CMP de UniConsent. Nuestras soluciones te ayudan a cumplir los estrictos requisitos de esta vanguardista ley de privacidad estatal, garantizando el máximo nivel de seguridad de datos y cumplimiento.

Ley de Protección de Datos del Consumidor de Virginia (VCDPA)

Cumple con confianza la Ley de Protección de Datos del Consumidor de Virginia (VCDPA). La CMP de UniConsent proporciona las herramientas y la experiencia necesarias para que tu organización se alinee con el sólido marco de privacidad de datos de la VCDPA, reforzando la confianza entre los residentes de Virginia.

Ley de Privacidad del Consumidor de Utah (UCPA)

Protege los datos de los usuarios de forma eficaz con la Ley de Privacidad del Consumidor de Utah (UCPA). La CMP de UniConsent ofrece soluciones que facilitan el cumplimiento de esta ley de privacidad emergente, garantizando que tu empresa esté bien preparada para los retos de privacidad de datos en Utah.

Ley de Protección de Datos de Connecticut (CTDPA)

Protege la información de los usuarios y respeta sus derechos de privacidad conforme a la Ley de Protección de Datos de Connecticut (CTDPA). El conjunto de herramientas de cumplimiento de la CMP de UniConsent te permite navegar por esta ley estatal de forma fluida y responsable.

Ley de Protección de la Privacidad Infantil en Línea (COPPA)

Prioriza la privacidad de los menores con las soluciones de cumplimiento de la COPPA de la CMP de UniConsent. Cumplir con la Ley de Protección de la Privacidad Infantil en Línea (COPPA) resulta sencillo, lo que te permite ofrecer un entorno en línea seguro para los usuarios más jóvenes.

Protección General de Datos en Tailandia (PDPA)

Cumple con la Ley de Protección de Datos Personales de 2019 (PDPA) de Tailandia con la CMP de UniConsent. Nuestra experiencia en el cumplimiento de la PDPA garantiza que tu organización pueda operar con confianza y seguridad en el mercado tailandés, respetando la privacidad de los datos de los usuarios.

La Ley General de Protección de Datos de Brasil (LGPD)

La CMP de UniConsent facilita el cumplimiento de la Ley General de Protección de Datos (LGPD) de Brasil. Nuestras soluciones permiten a las empresas cumplir los estrictos requisitos de la LGPD, protegiendo los datos personales de las personas en Brasil.

Canada's Federal Privacy Law (PIPEDA)

Comply with Canada's Personal Information Protection and Electronic Documents Act (PIPEDA). UniConsent CMP provides geo-targeted consent banners, prior cookie blocking, and consent logs to meet PIPEDA and Quebec Law 25 requirements.

Ley de Protección de la Información Personal de China (PIPL)

Prepárate para la Ley de Protección de la Información Personal (PIPL) de China con la CMP de UniConsent. A medida que evolucionan las normativas de protección de datos en China, nuestra plataforma garantiza que tu organización esté bien preparada para tratar la información personal de forma responsable y segura.

Ley de Protección de la Información Personal de Sudáfrica (POPIA)

Resumen de la Ley de Protección de la Información Personal, POPI Act, POPIA, ley de privacidad de Sudáfrica.

Protección de Datos Personales de la India (PDP)

El proyecto de ley de Protección de Datos Personales de la India podría requerir cambios en tu gestión de datos y no se resuelve directamente con el cumplimiento del RGPD.

Ley de Protección de Datos Personales de Turquía (KVKK)

Resumen de la Ley de Protección de Datos Personales de Turquía: KVKK.

Reglamento General de Protección de Datos del Reino Unido (UK GDPR)

Logra un cumplimiento sin complicaciones del Reglamento General de Protección de Datos (RGPD), la piedra angular de la privacidad de datos en el Reino Unido. Protege los datos de los usuarios y genera confianza con nuestras soluciones integrales de cumplimiento del RGPD.

Texas Data Privacy and Security Act (TDPSA)

Cumple con la Ley de Privacidad y Seguridad de Datos de Texas (TDPSA), en vigor desde el 1 de julio de 2024. La CMP de UniConsent es compatible con los derechos de exclusión (opt-out), las señales universales de exclusión y las evaluaciones de protección de datos para los residentes de Texas.

Delaware Personal Data Privacy Act (DPDPA)

Cumple los requisitos de la Ley de Privacidad de Datos Personales de Delaware (DPDPA). La CMP de UniConsent ofrece herramientas de consentimiento de exclusión (opt-out) e inclusión (opt-in), gestión de derechos del consumidor y flujos de trabajo para datos sensibles para el cumplimiento en Delaware.

New Hampshire Privacy Act (NHPA)

Cumple con la Ley de Privacidad de New Hampshire (NHPA). La CMP de UniConsent ofrece banners de consentimiento, compatibilidad con Global Privacy Control y gestión de solicitudes de derechos del consumidor para los residentes de New Hampshire.

Montana Consumer Data Privacy Act (MTCDPA)

Cumple los requisitos de la Ley de Privacidad de Datos del Consumidor de Montana (MTCDPA). La CMP de UniConsent ayuda a las empresas a gestionar los derechos de exclusión (opt-out), el consentimiento para datos sensibles y las solicitudes de los consumidores para los residentes de Montana.

Florida Digital Bill of Rights (FDBR)

Cumple los requisitos de la Declaración de Derechos Digitales de Florida (FDBR). La CMP de UniConsent ofrece herramientas de consentimiento de exclusión (opt-out), protecciones de datos de menores y gestión de derechos del consumidor para el cumplimiento en Florida.

New Jersey Data Protection Act (NJDPA)

Cumple con la Ley de Protección de Datos de Nueva Jersey (NJDPA). La CMP de UniConsent ofrece banners de consentimiento de exclusión (opt-out), reconocimiento de la señal Global Privacy Control y gestión de solicitudes de derechos del consumidor para los residentes de Nueva Jersey.

Indiana Consumer Data Protection Act (INCDPA)

Cumple los requisitos de la Ley de Protección de Datos del Consumidor de Indiana (INCDPA). La CMP de UniConsent ofrece herramientas de consentimiento de exclusión (opt-out), flujos de trabajo para datos sensibles y gestión de derechos del consumidor para los residentes de Indiana.

Iowa Consumer Data Protection Act (ICDPA)

Cumple con la Ley de Protección de Datos del Consumidor de Iowa (ICDPA). La CMP de UniConsent ofrece banners de consentimiento de exclusión (opt-out) y gestión de solicitudes de derechos del consumidor para los residentes de Iowa.

Maryland Online Data Privacy Act (MODPA)

Cumple los estrictos requisitos de la Ley de Privacidad de Datos en Línea de Maryland (MODPA). La CMP de UniConsent es compatible con la minimización de datos, el consentimiento de inclusión (opt-in) para datos sensibles y la gestión de derechos del consumidor para los residentes de Maryland.

Minnesota Consumer Data Privacy Act (MNCDPA)

Cumple con la Ley de Privacidad de Datos del Consumidor de Minnesota (MNCDPA). La CMP de UniConsent ofrece herramientas de consentimiento de exclusión (opt-out), flujos de trabajo para datos sensibles y gestión de derechos del consumidor para los residentes de Minnesota.

Nebraska Data Privacy Act (NDPA)

Cumple los requisitos de la Ley de Privacidad de Datos de Nebraska (NDPA). La CMP de UniConsent ofrece herramientas de consentimiento de exclusión (opt-out) e inclusión (opt-in), compatibilidad con Global Privacy Control y gestión de derechos del consumidor para los residentes de Nebraska.

Oregon Consumer Privacy Act (OCPA)

Cumple con la Ley de Privacidad del Consumidor de Oregón (OCPA). La CMP de UniConsent ofrece banners de consentimiento de exclusión (opt-out), flujos de trabajo de inclusión (opt-in) para datos sensibles y gestión de derechos del consumidor para los residentes de Oregón.

Rhode Island Data Transparency and Privacy Protection Act (RIDTPPA)

Cumple los requisitos de la Ley de Transparencia de Datos y Protección de la Privacidad de Rhode Island (RIDTPPA). La CMP de UniConsent ofrece banners de consentimiento, compatibilidad con Global Privacy Control y gestión de derechos del consumidor para los residentes de Rhode Island.

Tennessee Information Protection Act (TIPA)

Cumple con la Ley de Protección de la Información de Tennessee (TIPA). La CMP de UniConsent ofrece herramientas de consentimiento de exclusión (opt-out), flujos de trabajo para datos sensibles y una gestión de la privacidad alineada con el NIST Privacy Framework para los residentes de Tennessee.

Oklahoma Computer Data Privacy Act (OKCDPA)

Cumple los requisitos de la Ley de Privacidad de Datos Informáticos de Oklahoma (OKCDPA). La CMP de UniConsent ofrece banners de consentimiento de exclusión (opt-out), flujos de trabajo de consentimiento para datos sensibles y gestión de derechos del consumidor para los residentes de Oklahoma.

Ley de Privacidad de Nevada (NRS 603A)

Cumple con la ley de privacidad de Nevada (NRS 603A). La CMP de UniConsent es compatible con los derechos de exclusión de la venta de datos y la gestión de consentimiento para los residentes de Nevada.

California Invasion of Privacy Act (CIPA)

Gestiona el cumplimiento de la CIPA en tu sitio web. La CMP de UniConsent ofrece herramientas de consentimiento de inclusión (opt-in) que bloquean los scripts de rastreo de terceros hasta que se otorgue el consentimiento, facilitando el cumplimiento de la ley de escuchas de California.

California Delete Act (SB 362)

Cumple con la Ley de Eliminación de California (SB 362). La CMP de UniConsent ayuda a las empresas a gestionar las solicitudes de eliminación de los consumidores, las obligaciones de los data brokers y las señales de preferencia de exclusión (opt-out).

Kentucky Consumer Data Protection Act (KCDPA)

Cumple los requisitos de la Ley de Protección de Datos del Consumidor de Kentucky (KCDPA). La CMP de UniConsent ofrece herramientas de consentimiento de exclusión (opt-out), flujos de trabajo para datos sensibles y gestión de derechos del consumidor para los residentes de Kentucky.

Ley de Protección de Datos Personales de Alabama (APDPA)

Prepárate para la Ley de Protección de Datos Personales de Alabama (APDPA), en vigor desde el 1 de mayo de 2027. La CMP de UniConsent ofrece herramientas de consentimiento de exclusión (opt-out) e inclusión (opt-in), flujos de trabajo para datos sensibles y gestión de derechos del consumidor para los residentes de Alabama.

Ley My Health My Data de Washington (MHMDA)

Cumple la My Health My Data Act de Washington (MHMDA). UniConsent CMP ofrece consentimientos opt-in separados para recoger y para compartir datos de salud del consumidor, señales de datos sensibles de IAB GPP y registros de consentimiento.

Ley estadounidense de derechos de privacidad (APRA)

Siga el proyecto de American Privacy Rights Act (APRA), una ley federal que establecería un estándar nacional único. UniConsent CMP cubre sus requisitos de exclusión voluntaria, consentimiento y señales universales de exclusión.

Ley de privacidad de la información de Massachusetts (MIPA)

Prepárese para el proyecto de Massachusetts Information Privacy Act (MIPA). UniConsent CMP ofrece banners de consentimiento, compatibilidad con Global Privacy Control y gestión de derechos del consumidor para los residentes de Massachusetts.

Ley de Protección de Datos Personales de Vietnam (PDPL)

Cumple con la Ley de Protección de Datos Personales (PDPL) de Vietnam, Ley n.º 91/2025/QH15, en vigor desde el 1 de enero de 2026. La CMP de UniConsent ofrece recopilación de consentimiento, gestión de preferencias y almacenamiento de registros de consentimiento para cumplir los requisitos centrados en el consentimiento de Vietnam.