2025年1月数字个人数据保护规则（DPDP规则）核心内容
1. DPDP规则核心原则
- 数据隐私声明和同意：要求明确列出收集的个人信息、处理目的及商品/服务描述，并提供访问网站或应用撤回同意的链接。
- 合理的安保保障：数据托管方需采取充分措施保护个人数据，包括加密、访问控制、日志维护等。
- 可验证的家长同意：对18岁以下或残疾个体，需获得父母或监护人可验证的同意。
- 数据隐私泄露通知：数据泄露后，需在72小时内通知受影响的数据主体和董事会。
- 个人数据删除：特定场景下，与数据受托人合作三年未互动的个人信息需删除，并提前至少48小时通知数据主体。
2. 数据主体权利
- 数据主体拥有获取信息、更正/删除个人信息、纠纷救济及提名代表的权利。
- 数据托管方和同意管理方需建立流程处理数据主体的权利请求。
3. 受托人义务
- 电子商务实体（>200万印度用户）、游戏中介（>50万印度用户）和社交媒体中介（>200万用户）：需在数据主体最后接触后三年内删除个人数据，并提前48小时通知（除非用户登录账户）。
- 数据受托人普遍义务：需保护个人数据，采取合理安保措施，及时通知数据泄露，并删除数据主体撤回同意或法律要求的情况下的数据。
- 数据隐私权：需在网站或应用上发布联系方式，并保持更新。
4. SDFs（重大数据义务受托人）义务
- 年度数据保护影响评估（DPIA）和隐私审计：每年进行一次，并向董事会提交报告。
- 算法软件部署：需进行尽职调查，确保不构成对数据主体权利的风险。
- 跨境数据传输：需遵守中央政府规范，确保个人数据和流量数据不转移到印度境外。
5. 同意管理器义务
- 注册条件：在印度注册，净资产至少2000万卢比，具备互操作平台和适当的技术/组织措施。
- 记录维护：需记录同意状态、通知内容、数据共享等。
- 安保措施：需防止个人数据泄露，不得分包义务。
- 利益冲突：需避免与数据受托人的利益冲突。
6. 国家及其机构的职责
- 合法用途：可处理个人数据提供补贴、福利、服务、证书等，需遵守技术和组织措施。
- 通知机制：需提供个人商务联系信息、访问链接及行使权利的方式。
7. 豁免条款
- 研究目的：存档或统计目的的数据处理不受法案规定限制，但需遵守第二附表标准。
- 国家安全等：在维护国家主权、安全、公共秩序等情况下，中央政府可豁免部分规定。
8. 跨境数据传输限制
- 中央政府规范：数据受托人向印度境外转移个人数据需遵守中央政府要求。
- 未来限制：若政府未来发布限制性订单，需重新评估IT战略和架构。
9. 数据分类标准
- SDFs分类标准：未明确，需进一步澄清。
- 数据删除时间段：根据数据托管方类别（电子商务实体、社交媒体中介、在线游戏中介）确定，最长三年。
10. 总结
DPDP规则旨在强化个人数据保护，要求数据受托方明确声明、采取安保措施、及时通知泄露、删除数据，并赋予数据主体多项权利。SDFs需进行DPIA和审计，同意管理器需满足注册条件并维护记录。国家及其机构在特定情况下可处理个人数据，但需遵守技术和组织措施。跨境数据传输需遵守中央政府规范，未来可能面临更多限制。
