印度 PDP 法案 2019 与 DPDP 法案 2023：有哪些变化
《2019年个人数据保护法案》已于 2022年撤回。了解 PDP 法案的时间线，以及它与现行《2023年 DPDP 法案》的对比。
《2019年个人数据保护法案》（Personal Data Protection Bill, 2019）已不再审议，也从未成为法律。 印度政府已于 2022年8月撤回该法案。印度现行的数据保护法律是 《2023年数字个人数据保护法》（Digital Personal Data Protection Act, 2023，简称 DPDP 法案），并由 《2025年 DPDP 规则》（DPDP Rules, 2025） 分阶段实施。如需了解当前的义务、期限和处罚，请阅读我们的 DPDP 法案指南。
本页简要回顾 PDP 法案 的历史，并对 PDP 法案 2019 与 DPDP 法案 2023 进行对比，帮助您了解发生了哪些变化，以及为什么有关 PDP 法案的旧建议已不再适用。
什么是《2019年个人数据保护法案》？
《2019年个人数据保护法案》（PDP 法案） 是印度首次尝试制定类似 GDPR 的综合性数据保护法律。它源于印度最高法院 2017年的 Puttaswamy 判决（该判决承认隐私是一项基本权利），以及由退休法官 B.N. Srikrishna 担任主席的委员会起草的法律草案。
PDP 法案内容庞大且雄心勃勃。它将个人数据分为三个层级，提议对敏感和关键个人数据实行数据本地化，设立权力很大的印度数据保护局（Data Protection Authority of India），并将罚款与企业的全球营业额挂钩。它还引入了 同意管理者（consent manager） 的概念，这一概念被保留在 DPDP 法案中。
PDP 法案时间线：从草案到撤回
| 日期 | 事件 |
|---|---|
| 2018年7月27日 | Srikrishna 委员会向信息技术部提交报告及《2018年个人数据保护法案》草案 |
| 2019年12月11日 | 《2019年个人数据保护法案》提交印度人民院（Lok Sabha），随后提交联合议会委员会（JPC）审议 |
| 2021年12月16日 | JPC 报告提交议会；报告将法案更名为 《2021年数据保护法案》（Data Protection Bill, 2021），并提议将非个人数据纳入范围 |
| 2022年8月3日 | 政府从人民院撤回该法案，表示将提出一部符合综合性法律框架的新法案 |
| 2022年11月18日 | 印度电子和信息技术部（MeitY）发布《2022年数字个人数据保护法案》草案，公开征求意见 |
| 2023年8月11日 | 《2023年数字个人数据保护法》 获得总统批准并在公报上公布 |
| 2025年11月13日 | 《2025年 DPDP 规则》 发布，分阶段实施该法，直至 2027年5月13日 |
PDP 法案为何被撤回？
JPC 审议了两年，并提出了大量修正。其版本超出了个人数据的范围：将非个人数据纳入法律，提议由单一监管机构同时监管两者，并在数据本地化方面走得更远。评论人士批评其扩大后的范围远远超出了数据保护本身。政府没有再次修改该法案，而是于 2022年8月将其撤回，并以一份短得多的草案重新开始，该草案最终成为 DPDP 法案。
PDP 法案 2019 与 DPDP 法案 2023 对比
| 主题 | PDP 法案 2019（已撤回） | DPDP 法案 2023（分阶段生效） |
|---|---|---|
| 状态 | 从未颁布；2022年8月3日撤回 | 2023年8月11日颁布；DPDP 规则于 2025年11月13日发布 |
| 适用范围 | 个人数据，包括线上和线下 | 仅限数字个人数据，包括线下收集后被数字化的数据 |
| 数据类别 | 三个层级：个人数据、敏感个人数据（如财务、健康和生物识别数据、种姓以及宗教或政治信仰）和由政府通知的关键个人数据 | 只有一类个人数据；没有敏感或关键层级，但对儿童数据和重要数据受托人（Significant Data Fiduciary）有额外义务 |
| 数据本地化 | 敏感个人数据必须存储在印度（只有在明确同意并满足其他条件时才能传输至境外处理）；关键个人数据只能在印度境内处理 | 无一般性本地化要求；更严格的行业规则（如 RBI 支付数据规则）仍然适用 |
| 跨境传输 | 对敏感和关键个人数据加以限制 | 可传输至任何国家，除非政府通过通知加以限制 |
| 非个人数据 | 政府可要求企业提供匿名化个人数据或非个人数据；JPC 希望将非个人数据全面纳入 | 不在适用范围内 |
| 监管机构 | 印度数据保护局，由一名主席和六名成员组成；可向上诉法庭上诉，再上诉至最高法院 | 印度数据保护委员会（Data Protection Board of India），由中央政府设立的裁决机构；可向 TDSAT 上诉 |
| 处罚 | 严重违规最高 ₹15 crore（1.5亿卢比）或全球营业额的 4%，以较高者为准；其他违规（如未进行数据审计）为 ₹5 crore（5000万卢比）或 2% | 按每次违规设定固定上限，未采取合理安全保障措施最高 ₹250 crore（25亿卢比） |
| 同意管理者 | 首次引入：在数据保护局注册的同意管理者 | 予以保留：在数据保护委员会注册；注册自 2026年11月13日开放 |
| 数据泄露报告 | 仅在泄露可能造成损害时向监管机构报告 | 每次泄露都须向委员会及每位受影响的个人报告 |
| 数据可携带权 | 有 | 无 |
简而言之，DPDP 法案保留了 PDP 法案的核心内容（告知、同意、安全、数据权利和同意管理者），但取消了数据分级、本地化和基于营业额的罚款。请勿再使用 PDP 法案的合规清单：其中部分义务已不复存在，而 DPDP 法案又增加了新的义务，例如报告每一次个人数据泄露。
这对您的网站现在意味着什么
如果您的网站或应用面向印度用户，需要遵循的是 DPDP 法案和 DPDP 规则，而不是 PDP 法案。同意管理者规则自 2026年11月13日 起适用，而大部分义务，包括告知、同意、安全保障、泄露通知、儿童数据和数据权利，自 2027年5月13日 起适用。
具体而言，这意味着：
- 在收集个人数据之前，以通俗语言展示清晰、独立的告知
- 获取自由、具体、知情且明确的同意，并让撤回同意与给予同意一样简单
- 保留能够证明何时以及如何获得同意的记录
- 在处理任何未满 18 岁者的数据之前，获取可验证的父母同意
- 响应访问、更正和删除请求
我们的 DPDP 法案指南 详细介绍了每个期限、义务和处罚。UniConsent 帮助您展示符合 DPDP 要求的同意通知、收集并记录同意、支持多种语言，同时兼顾 GDPR 及其他 全球隐私法律。
资料来源
- PRS Legislative Research：Personal Data Protection Bill, 2019
- PRS Legislative Research：Digital Personal Data Protection Bill, 2023
- Ministry of Electronics and Information Technology (MeitY)
常见问题
《2019年个人数据保护法案》是否仍然有效？
不。PDP 法案 2019 从未成为法律。印度政府已于 2022年8月3日将其从人民院撤回。印度现行的数据保护法律是《2023年数字个人数据保护法》，并由《2025年 DPDP 规则》分阶段实施。
PDP 法案为何被撤回？
联合议会委员会 2021年12月的报告提出了大量修改，包括将其更名为《2021年数据保护法案》并将非个人数据纳入范围。政府于 2022年8月撤回该法案，以便提出一部符合综合性法律框架的新法案。
PDP 法案与 DPDP 法案的主要区别是什么？
DPDP 法案更简短、更简单。它取消了敏感和关键个人数据类别以及数据本地化规则，仅适用于数字个人数据，以具有裁决职能的数据保护委员会取代原拟设立的数据保护局，允许向境外传输数据（受限国家除外），并设定最高 ₹250 crore（25亿卢比）的固定罚款，而非按全球营业额比例计算。
我需要遵守 PDP 法案 2019 吗？
不需要。面向印度用户的网站和应用应转而为 DPDP 法案和 DPDP 规则做好准备。同意管理者规则自 2026年11月13日起适用，而大部分义务，包括告知、安全保障、泄露通知和数据权利，自 2027年5月13日起适用。
遵守全球隐私法规
开始使您的网站和应用符合欧盟 GDPR、美国 CPRA、加拿大 PIPEDA 等法规
注册掌握隐私与同意管理的最新动态
隐私法规、同意管理与合规动态，每月几封邮件。