说清楚你的生意，拿走一份能派工的义务清单

处理数字个人数据须以数据主体的同意为依据（或落入法定“合法用途”），并在请求同意时或之前提供通知，说明将处理哪些个人数据、处理目的、行使权利的方式与向委员会投诉的方式；同意须为自由作出、具体、知情、无条件且明确，并以明确肯定行为表示，仅限于为指定目的所必要的个人数据。数据主体可随时撤回同意，撤回的难易程度须与给予同意相当。

需留存证据：同意通知文本（含英语及法定所列印度语言的可选版本）；同意记录与撤回记录；目的与所需数据项的必要性映射表；撤回同意后的下游停止处理执行记录

数据受托人须采取合理的安全保障措施防止个人数据泄露，包括对其数据处理者所持数据的情形；该义务是附表中罚款最高的一项（最高 2.5 亿卢比）。实践中须覆盖访问控制、加密、日志、供应商管理与事件演练，并保留可向委员会展示的实施证据。

需留存证据：安全保障措施清单与实施证据；数据处理者合同与安全要求附件；访问控制与日志审计记录；安全事件演练记录

发生个人数据泄露时，数据受托人须按规定向数据保护委员会以及每一位受影响的数据主体发出通知。“个人数据泄露”定义为对个人数据的任何未经授权处理，或意外的披露、获取、共享、使用、变更、破坏或访问权丧失，且损害个人数据的机密性、完整性或可用性。未履行该通知义务最高可罚 2 亿卢比。

需留存证据：事件响应预案（含印度通知路径）；向委员会提交的通知记录；向受影响数据主体的通知文本与发送证明；泄露定性判定记录

AI 事件与严重事故报告记录（事件台账 + 对外报告底稿）

处理儿童或有残障的数据主体（由其合法监护人代为行使权利）的个人数据时，须遵守第 9 条的附加义务。违反该条最高可罚 2 亿卢比，与泄露通知义务同级，反映印度对未成年人数据的高度重视。面向印度的教育、游戏、社交或陪伴类 AI 产品须建立年龄判定与监护人同意机制。

需留存证据：年龄判定机制说明与准确率评估；监护人同意取得记录；面向儿童的功能限制与默认设置说明；第 9 条义务逐项落实核查表

中央政府可基于所处理个人数据的数量与敏感度、对数据主体权利的风险、对印度主权与完整性的潜在影响、对选举民主的风险、国家安全与公共秩序等因素，将特定数据受托人或其类别指定为“重要数据受托人”。被指定者须：（a）任命数据保护官——该人须在印度境内、对董事会或类似治理机构负责、并作为申诉救济机制的联络点，代表该受托人履行本法项下事务；（b）委任独立数据审计师评估其合规状况；（c）开展定期数据保护影响评估等其他措施。违反第 10 条最高可罚 1.5 亿卢比。

需留存证据：DPO 任命文件（含在印度境内的证明与汇报关系）；独立数据审计师委任书与审计报告；定期数据保护影响评估报告；申诉救济机制运行记录

第 16(1) 条授权中央政府以通知方式限制数据受托人将个人数据传输至其指定的境外国家或地区处理。第 16(2) 条明确：印度现行法中对跨境传输设有更高保护或更严限制的规定不受本条影响——即行业监管（如金融、支付领域的数据本地化要求）仍然优先适用。企业应据此建立通知监测机制，并确保数据架构具备在被限制国家与其他地区之间切换处理位置的能力。

需留存证据：跨境数据流清单与处理位置台账；第 16 条通知监测机制与复核记录；行业专门法（金融、支付、健康）本地化要求的适用性分析；处理位置切换预案与演练记录

打开工具：跨境传输矩阵

数据受托人须建立有效的申诉救济机制并公布其联络方式，供数据主体就本法项下义务的履行提出申诉；在数据用于作出影响数据主体的决定或被披露给其他数据受托人时，须确保个人数据的准确、完整与一致。AI 场景中，基于不准确画像作出的自动化决定属该义务的典型风险点。

需留存证据：申诉渠道公示页面与响应时限内规；申诉处理台账与结案记录；数据准确性校验规则与执行日志；用于决策的数据字段清单与更新机制