什么是 DPDP 法案？
《2023年数字个人数据保护法》（Digital Personal Data Protection Act, 2023，简称 DPDP 法案） 是印度首部综合性数据保护法律。它规定了组织如何收集、使用、存储和共享印度境内个人的数字个人数据，并赋予个人对其数据的权利。印度议会于 2023年8月11日 颁布该法案，而 2025年11月发布的 《2025年数字个人数据保护规则》（DPDP Rules，简称 DPDP 规则） 分阶段使其生效，大部分义务自 2027年5月13日 起适用。
简而言之，DPDP 法案要求企业提供清晰的告知、获得自由且具体的同意（或依据有限的"合法用途"）、以合理的安全保障措施保护数据、报告数据泄露、尊重数据权利，并在不再需要时删除数据。印度数据保护委员会（Data Protection Board of India）可对每次违规处以最高 25亿卢比（₹250 crore） 的罚款。
DPDP 法案时间表：何时生效？
该法案于 2023年8月11日获得总统批准并公布，但在政府发布 DPDP 规则之前并未实际适用。DPDP 规则于 2025年11月13日 在《印度公报》（Gazette of India）上公布（政府于 2025年11月14日宣布），并按照规则第1条设定了为期 18 个月的分阶段实施安排：
| 日期 | 适用内容 |
|---|---|
| 2023年8月11日 | DPDP 法案经总统批准后颁布 |
| 2025年11月13日 | DPDP 规则公布；印度数据保护委员会相关条款（规则第1、2条及第17至21条）生效 |
| 2026年11月13日 | 同意管理者（Consent Manager）注册及义务（规则第4条）生效，即公布后 12 个月 |
| 2027年5月13日 | 公布后 18 个月核心义务生效：告知、安全保障措施、数据泄露通知、数据保留与删除、儿童数据、重要数据受托人义务、数据主体权利及跨境传输（规则第3条、第5至16条、第22和23条） |
2026年10月，政府还发布了《2026年 DPDP（消除困难）令》（DPDP (Removal of Difficulties) Order, 2026），对法案第9(1)条和第10(2)条的措辞进行了澄清，但未增加新的义务。在依赖任何日期之前，请务必查阅 MeitY 发布的最新通知。
DPDP 法案适用于谁？
该法案适用于 在印度境内处理的数字个人数据，无论数据是在线收集的，还是线下收集后被数字化的。如果处理活动与向印度境内个人提供商品或服务有关，该法案也适用于 在印度境外 的处理。个人出于纯粹个人或家庭目的处理的个人数据，以及个人自行公开的数据，不在该法案的适用范围内。
DPDP 法案中的关键角色
| 角色 | 定义 | GDPR 对应概念 |
|---|---|---|
| 数据主体（Data Principal） | 个人数据所涉及的个人；对于儿童，包括其父母或法定监护人 | 数据主体（data subject） |
| 数据受托人（Data Fiduciary） | 决定处理目的和方式的组织 | 控制者（controller） |
| 重要数据受托人（Significant Data Fiduciary，SDF） | 政府根据数据量、敏感性和风险指定的数据受托人；承担额外义务 | 无直接对应 |
| 数据处理者（Data Processor） | 代表数据受托人处理数据的实体 | 处理者（processor） |
| 同意管理者（Consent Manager） | 在数据保护委员会注册的公司，提供单一、可互操作的平台，供个人给予、管理、查看和撤回同意 | 无直接对应 |
| 印度数据保护委员会 | 以数字化方式运作的监管机构，负责调查违规并处以罚款；上诉由电信争议解决和上诉法庭（TDSAT）审理 | 监管机构（supervisory authority） |
数据受托人的主要义务
1. 告知
在请求同意之前或之时，数据受托人必须提供一份可独立理解的告知，以清晰、简明的语言列明个人数据的逐项说明、处理的具体目的，以及撤回同意、行使权利和向委员会投诉的链接或其他方式（规则第3条）。
2. 同意
同意必须是 自由、具体、知情、无条件且明确的，通过 明确的肯定性行为 作出，并仅限于实现所述目的所必需的数据。撤回同意必须与给予同意一样容易。预先勾选的选项和捆绑同意不符合这一标准。少数"合法用途"（例如个人为特定目的自愿提供的数据、雇佣、法律义务和医疗紧急情况）可在无需同意的情况下适用。
3. 目的限制与数据最小化
仅收集为所披露目的所需的数据，并在同意被撤回或目的已实现时停止处理。
4. 合理的安全保障措施
规则第6条设定了最低要求：加密、混淆、掩码或令牌化；访问控制；用于发现未经授权访问的日志记录和监控；保障业务连续性的备份；约束数据处理者采取安全保障措施的合同；以及将相关日志保留 一年。
5. 个人数据泄露通知
在知悉数据泄露后，数据受托人必须以通俗易懂的语言 立即通知每一位受影响的数据主体，并 立即通知数据保护委员会，随后在 72 小时内 提交详细报告（规则第7条）。与 GDPR 不同，这里没有风险门槛：所有个人数据泄露都必须报告。
6. 儿童数据与可验证的父母同意
未满 18 周岁 的任何人均为儿童。数据受托人在处理儿童个人数据之前必须获得 可验证的父母同意（规则第10条），且不得进行针对儿童的跟踪、行为监测或定向广告。有法定监护人的残障人士享有类似保护。
7. 数据保留与删除
一旦目的不再需要，个人数据必须被删除，除非法律要求保留。对于大型电子商务、网络游戏和社交媒体平台，规则第8条规定用户 三年 未活跃即视为目的已实现，且须在删除前至少 48 小时 提醒用户。所有数据受托人必须将处理日志保留至少一年。
8. 联系人与投诉处理
公布数据保护官（DPO）或其他能够回答隐私问题的人员的业务联系方式，并建立在 90 天 内作出回应的投诉处理机制。
9. 重要数据受托人的额外义务
重要数据受托人必须任命常驻印度的 数据保护官、任命独立数据审计员，并 每 12 个月 开展一次 数据保护影响评估 和审计，向委员会报告重要发现。请参阅我们关于 DPO 角色 和 DPIA 的指南。
数据主体的权利
| 权利 | 含义 |
|---|---|
| 知情权 | 了解哪些个人数据被处理、出于何种目的以及与谁共享 |
| 更正、补充和更新权 | 修正不准确或不完整的数据 |
| 删除权 | 在数据不再需要时要求删除 |
| 申诉救济权 | 先向数据受托人投诉，再向数据保护委员会投诉 |
| 指定代理人权 | 指定他人在本人死亡或丧失能力时代为行使这些权利 |
| 撤回同意权 | 随时撤回，且与给予同意一样容易 |
数据主体也负有义务，例如不得提出虚假或无理的投诉；违反这些义务可被处以最高 1万卢比（₹10,000）的罚款。
跨境数据传输
DPDP 法案采用 负面清单 方式：除非政府限制向特定国家传输，否则个人数据可以传输至印度境外。规则第15条补充规定，传输须满足政府就向外国或其控制的实体提供数据所设定的任何要求，且重要数据受托人可能被要求将特定类别的数据保存在印度境内。金融监管机构等更严格的行业规定继续适用。
DPDP 法案罚款
法案附表规定了每次违规的最高罚款，由数据保护委员会在调查后作出。罚款为固定金额，而非营业额的百分比。
| 违规行为 | 最高罚款 |
|---|---|
| 未采取合理的安全保障措施以防止个人数据泄露 | 25亿卢比（₹250 crore） |
| 未向委员会或受影响个人通知个人数据泄露 | 20亿卢比（₹200 crore） |
| 违反与儿童相关的义务 | 20亿卢比（₹200 crore） |
| 违反重要数据受托人的额外义务 | 15亿卢比（₹150 crore） |
| 违反委员会已接受的自愿承诺 | 以原违规行为的罚款为上限 |
| 数据受托人违反法案或规则的其他行为 | 5亿卢比（₹50 crore） |
| 数据主体违反义务 | 1万卢比（₹10,000） |
DPDP 法案与 GDPR 对比
如果您已遵守 GDPR，您已领先一步，但两部法律在重要方面存在差异。
| 主题 | DPDP 法案（印度） | GDPR（欧盟） |
|---|---|---|
| 适用范围 | 仅限数字个人数据 | 所有个人数据，包括数字数据和纸质归档系统 |
| 合法依据 | 同意或有限的合法用途清单 | 六种合法依据，包括正当利益 |
| 敏感数据 | 无单独的特殊类别 | 特殊类别数据适用更严格规则 |
| 儿童 | 未满 18 周岁；可验证的父母同意；禁止跟踪或定向广告 | 低于 13 至 16 岁（由各国确定）使用在线服务须经父母同意 |
| 数据泄露通知 | 所有泄露均须通知委员会和所有受影响个人；72 小时内提交详细报告 | 基于风险；72 小时内通知监管机构 |
| 跨境传输 | 除非国家受到限制，否则允许 | 需要充分性认定或适当保障措施 |
| 数据可携带性 | 无可携带权 | 享有数据可携带权 |
| 同意管理者 | 在委员会注册的同意管理者 | 无对应机制 |
| 罚款 | 每次违规固定上限，最高 25亿卢比 | 最高 2000万欧元或全球年营业额的 4% |
| 数据保护官 | 重要数据受托人必须任命 | 公共机构及大规模监控或处理敏感数据的组织必须任命 |
在两部法律下，与供应商签订的合同同样重要；请参阅我们关于 数据处理协议 的指南。
网站和应用的 DPDP 合规清单
- 梳理数据：列出您的网站、应用、Cookie、SDK 和第三方标签收集的个人数据及其原因。
- 展示 DPDP 告知：提供一份独立的告知，逐项列出数据和目的，并在相关情况下提供英语或《印度宪法》第八附表所列 22 种语言中的任一语言版本。
- 收集有效同意：使用带有明确"接受"按钮且同样便于拒绝的同意横幅，不预先勾选任何选项。
- 在获得同意前阻止非必要标签：分析、广告和社交像素只能在获得同意后触发。
- 便于撤回：提供常驻链接或偏好中心，让用户随时更改选择。
- 保存同意记录：记录每项同意的时间、方式和内容，以便向委员会证明。
- 处理儿童数据：添加年龄验证和可验证的父母同意，并对未满 18 岁的用户关闭跟踪和定向广告。
- 为数据泄露做好准备：制定通知受影响用户和委员会的预案，并在 72 小时内提交详细报告。
- 设定保留期限：在目的实现后删除数据，并将处理日志保留一年。
- 公布联系人和投诉流程：指定 DPO 或联系人，并在 90 天内回应请求。
- 审查供应商和跨境传输：更新处理者合同，并确认没有数据传输至受限国家。
UniConsent 如何帮助您实现 DPDP 合规
UniConsent 是一款同意管理平台（CMP），只需一个标签即可落实上述清单中与网站和应用相关的部分：
- DPDP 同意横幅：展示清晰的告知，逐项列出目的，并提供同等的"接受"和"拒绝"选项，可针对印度访客进行地理定向。请参阅 Cookie 横幅。
- 多语言告知：以英语、印地语等 50 多种语言展示告知，让每位数据主体都能理解。
- 标签和 Cookie 拦截：在用户同意之前自动阻止分析和广告脚本，并支持 Google Consent Mode v2。
- Cookie 扫描：发现网站上的所有 Cookie 和跟踪器，确保告知内容完整。请参阅 Cookie 扫描器。
- 偏好中心：让用户像给予同意一样轻松地查看和撤回同意，并通过 隐私门户 和 DSAR 工具管理数据请求。
- 同意日志：通过带时间戳的 同意审计跟踪 记录每一次选择，向数据保护委员会证明同意有效。
- 移动应用：借助 UniConsent 移动 SDK，在 iOS 和 Android 应用中应用相同的同意规则。
请注意，您网站上的 CMP 不同于 DPDP 法案中的 同意管理者（Consent Manager），后者是在印度注册成立并在数据保护委员会登记的公司。UniConsent 帮助您在自己的网站和应用上履行作为数据受托人的义务。
业务覆盖多个市场？请在我们的 全球隐私法 指南中将印度法律与其他法规进行比较。
官方资料
UniConsent 用于 DPDP 合规的同意管理器
- Cookie扫描和披露
- JavaScript标签阻止和Cookie阻止
- 支持 Google Consent Mode v2
- 经过认证的IAB CMP
- 一标签实施
- 多语言支持
- 简单的自助解决方案
- 查看所有全球隐私法律
遵守全球隐私法规
开始使您的网站和应用符合欧盟 GDPR、美国 CPRA、加拿大 PIPEDA 等法规
注册掌握隐私与同意管理的最新动态
隐私法规、同意管理与合规动态，每月几封邮件。