App出海印度没过DPDP新规，违规罚款最高25亿卢比

北京做社交出海的郑总，2026 年 4 月经历了一场冷汗。他团队做的那款社交 App 在印度一路增长，当月活刚破百万没多久，一封来自印度当地监管口的合规问询函就到了。对方点名了两块硬伤：一是用户注册时的同意管理太粗糙，基本是默认勾选就过了，没有给数据主体明确的通知，也没有可撤回的有效同意；二是数据跨境回传，用户行为数据直接传回国内总部，没核对印度政府认可的国家和地区名单。郑总一开始还觉得，国内那套玩法搬过去用用就行，真被点名才慌了神。他私下算了笔账，按印度《数字个人数据保护法》（DPDP Act, 2023）的规定，违规罚款是按违规事项分别计算，单项最高就能到二十五亿卢比，折合人民币大约两个亿。百万月活的产品，一旦被正式立案，罚单足以把这一年的利润全吞掉，甚至拖垮整条出海线。

不少出海团队对印度数据合规有个典型误区，以为只要用户点了同意按钮，数据怎么收、怎么传都算合法，DPDP 只是纸面法律不会真罚。事实恰恰相反，DPDP Act 已经生效，配套细则还在陆续落地，执法的牙齿非常清楚：收集个人数据之前，必须给数据主体一份明确的通知，并取得有效、可撤回的同意；用户要求删除或更正，平台得有真能响应的流程；一旦发生数据泄露，既要向数据保护委员会（Data Protection Board）通报，也要通知受影响的用户；跨境传输必须落在政府通知的国家和地区名单里；儿童数据还有额外一层的特殊保护。任何一块掉链子，都可能单独构成一项违规，罚额是分别计算的，不是一票打包。

一、先对照：六个硬要求

二、三种最容易踩的情形

·情形一：把国内默认勾选即同意搬去印度，缺少明确通知与有效同意。注册页一行小字带个预勾选框，用户没细看就下一步，这在印度 DPDP 下站不住脚，同意本身可能被认定无效。

·情形二：数据跨境回传总部，未核对政府认可的国家和地区名单。工程师图省事，把印度用户数据直接同步回国内服务器，压根没查传输目的地是否在许可名单内。

·情形三：出事才补材料，平时没有同意记录与处理活动留痕。监管来问询才翻日志，发现连用户什么时候给过什么范围的同意都说不清，举证直接塌方。

三、郑总后来是怎么把合规缺口补上的

郑总收到问询函后没有硬扛，而是先把产品数据流完整地摸清，再一步步补齐。第一步，他让法务和技术连夜画出数据地图，把印度用户到底收了哪些字段、存在哪、传给谁，全部列成清单，找出跨境回传那一段。第二步，他重做同意管理，把注册流程改成先弹明确通知、再让用户逐项勾选可撤回的同意，旧用户也推送一次重新确认。第三步，他核对印度政府公布的可传输国家和地区名单，把不合规的回传通道切到合规节点，同时上线删除与更正的自助入口。第四步，他建立处理活动记录与同意日志，按问询要求向监管提交整改说明，并预留了泄露通报的应急流程。大约两个多月，郑总拿到了监管认可的整改反馈，产品继续在印度跑，那张最高二十五亿卢比的罚单算是擦着边避开了。

四、现在就能做的四步

·第一步：重做同意流程，把默认勾选改成明确通知加逐项可撤回同意。注册、授权、弹窗全部过一遍，确保每一次收集都有对应的有效同意记录。

·第二步：画一张数据地图，查清个人数据收了什么、存在哪、传给谁，标出所有跨境环节。

·第三步：核对印度政府通知的国家和地区名单，把不合规的传输通道切到合规节点，上线删除与更正入口。

·第四步：建立同意日志与处理活动记录，并备好泄露通报和监管沟通的应急模板。

写在最后

印度不是法外之地，DPDP 的牙齿已经露出来了。出海 App 最危险的不是增长慢，而是增长起来之后才发现自己踩在红线边上。同意管理、跨境传输、留痕举证这三件事，越早做越便宜，等监管函寄到门口，代价就是另一个量级了。

👉 在公众号后台回复「印度DPDP」，获取《印度DPDP出海合规落地清单》完整说明。

CHENXING GLOBAL

全球设立，合规经营｜Build Globally. Operate Compliantly.

免责声明：本文为一般性信息分享，不构成针对任何具体情形的税务、法律或审计意见。各国及地区的政策、申报要求、费用标准与办理时效可能发生调整，实际操作应以当地现行法规、主管部门要求及专业机构核实结果为准。