出海印度必修课：读懂《数字个人数据保护法》，避免天价罚单

印度DPDPA建立了一个以“数据信托人”为核心的责任框架。简而言之，企业不再是简单的“数据控制者”，而是承担起“信托人”的角色。这一法律概念意味着，当企业处理个人数据时，必须像受托管理他人财产那样，以最大诚信和谨慎态度行事。

· DPDPA第4章：数据信托人义务 -- 该章节定义了“数据信托人”的法律地位、义务和责任范围，确立了信托责任原则。

· 第8条：数据信托人的义务 -- 明确规定了数据信托人必须为“特定、明确且合法”的目的处理数据（8(1)），并确保数据在实现处理目的后不被保留（8(7)）。

法律明确要求数据信托人只能为“特定、明确且合法”的目的收集数据。这意味着漫无目的的数据收集、非必要的用户画像构建，都可能面临合规风险。隐私声明必须清晰透明，让数据主体充分了解其数据将如何被使用、存储和保护。

印度法律对“同意”提出了极为具体的要求——自由、具体、知情且明确。与以往宽泛的条款不同，DPDPA要求企业必须获得针对特定数据处理目的的明确同意。用户必须清楚地知道他们同意什么、为什么同意以及同意后将产生什么后果。

法律更设立了一个创新机制——同意管理器。这是一种独立的第三方机构，作为数据主体与企业之间的桥梁。用户可以通过同意管理器统一管理自己在不同平台的数据许可，随时查看、修改或撤回授权。这一制度极大增强了用户对自己数据的控制能力。

DPDPA对儿童数据的保护堪称全球最严格之一。法律将儿童定义为18岁以下人群，对儿童数据的处理设置了多重屏障。企业被禁止对儿童进行跟踪监控和定向广告投放。处理儿童数据前，必须获得其父母或法定监护人的可验证同意，这一要求大大增加了企业在儿童市场运营的技术与合规成本。

· 第9条：儿童数据处理 -- 禁止对儿童进行跟踪、监控或定向广告（9(4)）。要求处理儿童数据前必须获得父母或法定监护人的可验证同意（9(1)）。

· 第10条：残障人士数据处理 -- 规定在获得监护人同意的情况下，此类数据处理可参照儿童数据保护规定，体现了对弱势群体的特别保护。

法律还要求企业必须确保数据处理不会对儿童身心健康造成损害，并要求数据信托人提供简单明了的隐私声明，确保儿童和监护人都能理解数据处理的范围和目的。

数据本地化是印度数据合规中最具挑战性的要求之一，尤其是在特定行业：

金融服务业的数据本地化要求最为严格，所有支付相关数据必须完全存储在印度境内，端到端的交易详情必须在本土服务器上处理与保存。信息技术行业要求针对印度客户的云基础设施必须本地化，跨境数据传输受到严格限制。医疗健康行业则面临跨境研究数据传输的合规挑战，患者数据的安全标准被进一步提高。

· 第16条：数据跨境传输 -- 授权中央政府可以通知允许将个人数据传输至某些国家或地区（16(1)），反之则可能限制。这为政府实施特定行业的数据本地化要求提供了法律基础。

· 《2019年公共信用登记处（印度储备银行）指令》及《2018年印度支付系统数据存储指令》 -- 这些由印度储备银行发布的行业特定法规，实际上已对支付数据等实施了严格的本地化存储要求，DPDPA的实施将与这些既有规定协同生效。

这些差异化要求意味着企业不能采取“一刀切”的合规策略，必须根据所处行业量身定制数据存储和传输方案。

DPDPA设立了分层次的处罚机制，最严重的违规行为可能面临高达250亿卢比的罚款——约合人民币21.6亿元。处罚范围涵盖未履行数据信托义务、违反数据处理限制、未实施足够安全措施、未能及时报告数据泄露等多方面。

· 第33条：处罚 -- 详细列明了不同违规行为对应的罚款金额。例如，未能采取合理安全措施以防止数据泄露，最高可处250亿卢比罚款（附表1，第3项）。

· 第8(6)条与第33条关联 -- 未能履行数据泄露通知义务（第8(6)条规定72小时内通知），将根据第33条及其附表受到相应处罚。

数据泄露报告要求尤其严格，企业必须在发现安全事件后的72小时内向数据保护委员会和受影响的个人通报。法律还授权政府对屡教不改的违规者施加重罚，并在严重情况下禁止其继续处理个人数据，这对依赖数据驱动的数字企业来说无疑是致命打击。

律意是一家创新型综合性跨境法律服务平台。

基于创始团队在法律大数据及法律服务行业近20年的经验，拥有覆盖全球156个国家和地区的资深律师网络及各行业法律专家资源，已经为数十家跨境制造与消费类企业节约了50%的时间与经济成本。致力于为企业出海提供专业、完善、便捷的一站式法律服务。