《2023 年数字个人数据保护法》（2023 年第 22 号法）
印度议会 · 电子与信息技术部（MeitY）主管；数据保护委员会（Data Protection Board）执法 · Act No. 22 of 2023
DPDP Act 是印度首部综合性个人数据保护法，采用“数据受托人（Data Fiduciary）—数据处理者（Data Processor）—数据主体（Data Principal）”架构。核心义务包括：以清晰易懂的通知取得同意；确保数据准确完整；采取合理安全保障措施防止泄露；发生个人数据泄露时向委员会及受影响数据主体通知；处理儿童数据的附加义务；被中央政府指定为“重要数据受托人”（Significant Data Fiduciary）时的加重义务——任命常驻印度的数据保护官、委任独立数据审计师、开展定期数据保护影响评估等；以及第 16 条授权中央政府以通知限制向特定国家或地区传输数据。第 3 条确立域外效力：在印度境外处理数字个人数据的，若该处理与向印度境内数据主体提供商品或服务的活动相关联，同样适用本法。
第 3(b) 条写明：在印度境外处理数字个人数据的，若该处理与向印度境内数据主体提供商品或服务的活动有关，同样适用。对中国 AI 企业的意义是：只要通过应用商店、网站、API 或本地分销向印度用户提供产品或服务，并因此处理其数字个人数据，即落入适用范围，无需在印度设有实体。反向豁免见第 17(1)(d) 条：印度境内主体依与境外主体订立的合同处理“非印度境内数据主体”的个人数据时，第二章（第 8(1)、8(5) 条除外）、第三章与第 16 条不适用——这是印度承接境外数据处理外包的制度基础，但不适用于处理印度本国用户数据的情形。
重点行业：通用、大模型 / 生成式 AI、企业软件 SaaS、金融科技 AI、计算机视觉、AI 智能体
2023-08-11
法案获总统同意并在印度政府公报公布
第 1(2) 条规定：本法自中央政府以政府公报通知指定之日起施行，且可对不同条款指定不同日期——即公布本身不等于生效。
每条都写明触发条件、需要留存的证据与条款出处
处理数字个人数据须以数据主体的同意为依据（或落入法定“合法用途”），并在请求同意时或之前提供通知，说明将处理哪些个人数据、处理目的、行使权利的方式与向委员会投诉的方式；同意须为自由作出、具体、知情、无条件且明确，并以明确肯定行为表示，仅限于为指定目的所必要的个人数据。数据主体可随时撤回同意，撤回的难易程度须与给予同意相当。
首次达标投入估算：8–20 人日（估算，非承诺）
数据受托人须采取合理的安全保障措施防止个人数据泄露，包括对其数据处理者所持数据的情形；该义务是附表中罚款最高的一项（最高 2.5 亿卢比）。实践中须覆盖访问控制、加密、日志、供应商管理与事件演练，并保留可向委员会展示的实施证据。
首次达标投入估算：12–30 人日（估算，非承诺）
发生个人数据泄露时，数据受托人须按规定向数据保护委员会以及每一位受影响的数据主体发出通知。“个人数据泄露”定义为对个人数据的任何未经授权处理，或意外的披露、获取、共享、使用、变更、破坏或访问权丧失，且损害个人数据的机密性、完整性或可用性。未履行该通知义务最高可罚 2 亿卢比。
首次达标投入估算：6–15 人日（估算，非承诺）
处理儿童或有残障的数据主体（由其合法监护人代为行使权利）的个人数据时，须遵守第 9 条的附加义务。违反该条最高可罚 2 亿卢比，与泄露通知义务同级，反映印度对未成年人数据的高度重视。面向印度的教育、游戏、社交或陪伴类 AI 产品须建立年龄判定与监护人同意机制。
首次达标投入估算：8–20 人日（估算，非承诺）
中央政府可基于所处理个人数据的数量与敏感度、对数据主体权利的风险、对印度主权与完整性的潜在影响、对选举民主的风险、国家安全与公共秩序等因素，将特定数据受托人或其类别指定为“重要数据受托人”。被指定者须：（a）任命数据保护官——该人须在印度境内、对董事会或类似治理机构负责、并作为申诉救济机制的联络点，代表该受托人履行本法项下事务；（b）委任独立数据审计师评估其合规状况；（c）开展定期数据保护影响评估等其他措施。违反第 10 条最高可罚 1.5 亿卢比。
首次达标投入估算：15–40 人日（估算，非承诺）
第 16(1) 条授权中央政府以通知方式限制数据受托人将个人数据传输至其指定的境外国家或地区处理。第 16(2) 条明确：印度现行法中对跨境传输设有更高保护或更严限制的规定不受本条影响——即行业监管（如金融、支付领域的数据本地化要求）仍然优先适用。企业应据此建立通知监测机制，并确保数据架构具备在被限制国家与其他地区之间切换处理位置的能力。
首次达标投入估算：8–20 人日（估算，非承诺）
数据受托人须建立有效的申诉救济机制并公布其联络方式，供数据主体就本法项下义务的履行提出申诉；在数据用于作出影响数据主体的决定或被披露给其他数据受托人时，须确保个人数据的准确、完整与一致。AI 场景中，基于不准确画像作出的自动化决定属该义务的典型风险点。
首次达标投入估算：5–12 人日（估算，非承诺）
第 33 条与附表：委员会经调查认定违反行为“重大”的，可处附表所定金钱罚款——未履行第 8(5) 条合理安全保障义务以防止个人数据泄露：最高 2.5 亿卢比（25 crore）；未按第 8(6) 条向委员会或受影响数据主体通知个人数据泄露：最高 2 亿卢比（20 crore）；违反第 9 条儿童相关附加义务：最高 2 亿卢比（20 crore）；违反第 10 条重要数据受托人附加义务：最高 1.5 亿卢比（15 crore）；违反第 15 条数据主体义务：最高 1 万卢比；违反依第 32 条接受的自愿承诺条款：以该程序所涉违反行为适用的额度为限；违反本法或其规则其他任何条款：最高 5,000 万卢比（5 crore）。确定罚款额时委员会须考虑违反的性质、严重程度与持续时间、所涉数据类型、重复性、是否因此获益或避损等因素。
本轮的重大局限：未能从印度官方渠道核实施行通知与实施细则的当前状态。MeitY 官网为 Next.js 静态导出的前端渲染站点，其 sitemap 未暴露法规文档路由；lom/indiacode 与 PIB 的定向检索本轮亦未命中，仅取得 DPDP Act 2023 正文 PDF，未能取得施行通知（第 1(2) 条所指）或《数字个人数据保护规则》的官方文本。因此本条目未填写 effectiveFrom，timeline 亦未记载施行日与合规过渡期。**必须注意：本条目“未核实”不等于“不存在”——不得据此对外表述为“印度 DPDP 尚未出台实施细则”或“该法尚未施行”。** 施行通知与规则的状态、同意通知格式、泄露通知时限与内容、重要数据受托人的指定名单与门槛、儿童年龄验证方式、以及第 16 条是否已有限制通知，均须回到 MeitY 官网或印度政府公报确认后再对外引用。第 1(2)、3、10、16、17(1)(d) 条条文与附表全部罚款额度已依官方 PDF 逐条核实。
内容截至 2026-09-12 · 语料版本 2026.09|本内容基于公开官方来源整理，标注了来源链接与复核日期，供合规决策参考；监管要求可能变化，正式对外披露、监管申报或合同承诺前请由持证专业人士复核。