قانون Digital Personal Data Protection Act, 2023 (DPDPA) واللائحة العامة لحماية البيانات (GDPR) إطاران شاملان لحماية البيانات يحكمان معالجة البيانات الشخصية. يستند DPDPA الهند إلى عدة مفاهيم مألوفة في تنظيم الخصوصية عالميًا، لكن له نهجه الخاص في الموافقة والاستخدامات المشروعة وحقوق الأفراد وبيانات الأطفال ونقل البيانات عبر الحدود والتزامات أمين البيانات (Data Fiduciary) والإنفاذ. وللمؤسسات العاملة في الهند والاتحاد الأوروبي، يُعد فهم الفروق بين DPDPA وGDPR ضروريًا لبناء برنامج امتثال للخصوصية فعّال وقابل للتوسع. يقارن هذا الدليل بين الإطارين ويبرز المواضع التي يمكن فيها للمؤسسات استخدام ضوابط مشتركة مع الحفاظ على المتطلبات الخاصة بكل ولاية قضائية.
جنبًا إلى جنب: DPDPA مقابل GDPR
| البُعد | 🇮🇳 DPDPA | 🇪🇺 GDPR |
|---|---|---|
| الولاية القضائية | الهند | الاتحاد الأوروبي/المنطقة الاقتصادية الأوروبية والمعالجة خارج الحدود الإقليمية المستوفية للشروط |
| القانون الأساسي | Digital Personal Data Protection Act, 2023 | اللائحة (EU) 2016/679 |
| القواعد الداعمة | DPDP Rules, 2025 | الإرشادات التنفيذية لـ GDPR والقوانين الوطنية |
| الجهة التنظيمية | Data Protection Board of India | السلطات الإشرافية في الاتحاد الأوروبي/المنطقة الاقتصادية الأوروبية وEDPB |
| النطاق | البيانات الشخصية الرقمية ضمن الأحكام الإقليمية للقانون | معالجة البيانات الشخصية ضمن النطاق الإقليمي لـ GDPR |
| الكيان الرئيسي الخاضع للتنظيم | أمين البيانات (Data Fiduciary) | المتحكم في البيانات |
| ما يقابل معالج البيانات | معالج البيانات (Data Processor) | معالج البيانات |
| الفرد | صاحب البيانات (Data Principal) | صاحب البيانات (Data Subject) |
| الأساس القانوني | الموافقة واستخدامات مشروعة محددة | ستة أسس قانونية في المادة 6 |
| الموافقة | حرة ومحددة ومستنيرة ولا لبس فيها، مع متطلبات الإشعار المنطبقة | حرة ومحددة ومستنيرة ولا لبس فيها |
| المصالح المشروعة | لا يوجد مقابل واسع للمصالح المشروعة في GDPR | متاحة بموجب المادة 6(1)(f)، وفق شروط |
| DPO | إلزامي لأمناء البيانات المهمين (Significant Data Fiduciaries) | إلزامي في ظروف محددة |
| بيانات الأطفال | تنطبق متطلبات معززة على الأطفال؛ ويعتمد الإطار القانوني تعريف من هم دون 18 عامًا | حماية خاصة؛ يحدد GDPR سنًا أساسية هي 16 عامًا لبعض خدمات مجتمع المعلومات القائمة على الموافقة، مع تفاوت بين الدول الأعضاء |
| قابلية نقل البيانات | لا يوجد في DPDPA حق عام مكافئ للمادة 20 من GDPR | نعم |
| الحق المتعلق باتخاذ القرار المؤتمت | لا يوجد مقابل مباشر للمادة 22 من GDPR | حماية محددة بموجب المادة 22 |
| نقل البيانات عبر الحدود | مسموح به مع مراعاة القيود التي تعلنها الحكومة المركزية | تنطبق آليات النقل في الفصل الخامس |
| بيانات الفئات الخاصة | لا يوجد تصنيف للفئات الخاصة على غرار GDPR | الفئات الخاصة في المادة 9 |
| ما يقابل DPIA | تقع على أمناء البيانات المهمين التزامات إضافية بتقييم الأثر | DPIA إلزامي حين يُرجَّح أن تنطوي المعالجة على مخاطر عالية |
| الإخطار بخرق البيانات | المتطلبات بموجب DPDPA والقواعد المنطبقة | إخطار السلطة الإشرافية عمومًا خلال 72 ساعة حيثما لزم |
| الحد الأقصى للعقوبة الإدارية | حتى 250 كرور روبية لمخالفات محددة | حتى 20 مليون يورو أو 4% من إجمالي حجم الأعمال السنوي العالمي لمخالفات محددة |
| ممثل الاتحاد الأوروبي | لا يوجد مقابل مباشر في DPDPA | قد تشترط المادة 27 تعيين ممثل الاتحاد الأوروبي لبعض المؤسسات غير القائمة في الاتحاد الأوروبي |
ينبغي التحقق من تواريخ التنفيذ ضمن إطار DPDPA الهند بالرجوع إلى إشعارات بدء السريان والقواعد الحالية الصادرة عن الحكومة. وقد أُعلنت القواعد في 14 نوفمبر 2025 وتنص على تنفيذ مرحلي.
ما هو DPDPA؟
قانون Digital Personal Data Protection Act, 2023 هو التشريع الرئيسي في الهند الذي يحكم معالجة البيانات الشخصية الرقمية.
يسعى القانون إلى الموازنة بين حق الأفراد في حماية بياناتهم الشخصية وحاجة المؤسسات إلى معالجة البيانات الشخصية لأغراض مشروعة. وهو يحدد التزامات أمناء البيانات (Data Fiduciaries)، وحقوق أصحاب البيانات (Data Principals) وواجباتهم، ومتطلبات معالجي البيانات، وإطارًا للإنفاذ يتولاه Data Protection Board of India.
توفر DPDP Rules, 2025 متطلبات تنفيذ إضافية وتفاصيل تشغيلية بموجب القانون. وقد أعلنت وزارة الإلكترونيات وتقنية المعلومات (Ministry of Electronics and Information Technology) القواعد رسميًا في 14 نوفمبر 2025.
ما هو GDPR؟
اللائحة العامة لحماية البيانات (GDPR) هي الإطار الشامل لحماية البيانات في الاتحاد الأوروبي.
وهي تنظم معالجة البيانات الشخصية من جانب المؤسسات التي تعمل بصفة متحكم في البيانات أو معالج بيانات، وتضع متطلبات تشمل:
- المعالجة المشروعة
- الشفافية
- تقييد الغرض
- تقليل البيانات إلى الحد الأدنى
- الدقة
- تقييد مدة التخزين
- الأمن
- المساءلة
- حقوق الأفراد
- النقل الدولي للبيانات
قد ينطبق GDPR كذلك على مؤسسات خارج الاتحاد الأوروبي متى تحققت الشروط الواردة في أحكام نطاقه الإقليمي.
DPDPA مقابل GDPR: أبرز الفروق
1. النطاق الإقليمي
DPDPA
ينطبق DPDPA على معالجة البيانات الشخصية الرقمية داخل الهند، وقد ينطبق كذلك على المعالجة خارج الهند في سياق عرض سلع أو خدمات على أصحاب البيانات (Data Principals) في الهند، وفقًا للنطاق القانوني للقانون.
لذلك ينبغي للمؤسسات تقييم عملياتها في الهند وخدماتها الرقمية وقاعدة عملائها وأنشطة المعالجة لديها، بدلًا من افتراض أن الموقع الفعلي وحده يحدد الانطباق.
GDPR
ينطبق GDPR على المعالجة داخل الاتحاد الأوروبي/المنطقة الاقتصادية الأوروبية بموجب أحكامه الإقليمية، وقد ينطبق على مؤسسات خارج الاتحاد الأوروبي متى تحققت شروط المادة 3.
الفرق الرئيسي: قد يمتد أثر الإطارين كليهما خارج الحدود الإقليمية، لكن معاييرهما القانونية ومصطلحاتهما مختلفة.
2. أمين البيانات (Data Fiduciary) مقابل المتحكم في البيانات
DPDPA
يستخدم DPDPA مصطلح أمين البيانات (Data Fiduciary) للكيان الذي يحدد غرض معالجة البيانات الشخصية ووسائلها.
GDPR
يستخدم GDPR مصطلح المتحكم في البيانات (Controller) للكيان الذي يحدد أغراض معالجة البيانات الشخصية ووسائلها.
مع أن المفهومين متقاربان، فإنهما غير متطابقين قانونًا. لذلك ينبغي للمؤسسات حصر مسؤولياتها في كل منهما على حدة عند تنفيذ برنامج خصوصية متعدد الولايات القضائية.
3. الموافقة والأسس القانونية
من أهم الفروق بين DPDPA وGDPR طريقة تناول المعالجة المشروعة.
DPDPA
يرتكز DPDPA بقوة على الموافقة وعلى استخدامات مشروعة محددة.
عند الاستناد إلى الموافقة، يجب على أمين البيانات تقديم إشعار مناسب والحصول على موافقة تستوفي متطلبات القانون.
لا يكرر DPDPA بنية الأسس القانونية الستة في GDPR.
GDPR
يعترف GDPR بستة أسس قانونية في المادة 6:
- الموافقة
- العقد
- الالتزام القانوني
- المصالح الحيوية
- المهمة العامة
- المصالح المشروعة
تنطبق متطلبات إضافية عند معالجة الفئات الخاصة من البيانات الشخصية.
الفرق الرئيسي: يوفر GDPR إطارًا أوسع للأسس القانونية، بينما يعتمد DPDPA الموافقة والاستخدامات المشروعة المنصوص عليها قانونًا مسارين رئيسيين للمعالجة.
4. متطلبات الموافقة
DPDPA
يجب أن تستوفي الموافقة المتطلبات القانونية وأن يكون سحبها ممكنًا.
ينبغي للمؤسسات التأكد من أن آليات الموافقة:
- واضحة
- محددة
- مستنيرة
- لا لبس فيها
- سهلة السحب
GDPR
يجب أن تكون الموافقة وفق GDPR أيضًا حرة ومحددة ومستنيرة ولا لبس فيها.
حين تكون الموافقة هي الأساس القانوني، يجب أن تكون المؤسسات قادرة على إثبات الحصول على موافقة صحيحة وأن توفر آلية فعالة للسحب.
الأثر العملي: يمكن لنظام إدارة موافقات محكم التصميم أن يدعم الإطارين كليهما، لكن التحليل القانوني الأساسي ينبغي أن يبقى خاصًا بكل ولاية قضائية.
5. المصالح المشروعة
هذا فرق جوهري.
DPDPA
لا يتضمن DPDPA مقابلًا واسعًا للأساس القانوني المتمثل في المصالح المشروعة في GDPR.
بل يحدد القانون استخدامات مشروعة بعينها ضمن إطاره القانوني.
GDPR
يعترف GDPR صراحةً بالمصالح المشروعة بموجب المادة 6(1)(f)، شريطة تحقق الشروط اللازمة وألا تعلو على تلك المصالح حقوقُ الأفراد وحرياتهم.
توثّق المؤسسات ذلك عادةً عبر تقييم للمصالح المشروعة حيثما كان مناسبًا.
النتيجة: لا يمكن للمؤسسات أن تنسخ تقييم المصالح المشروعة وفق GDPR وتعدّه تحليلًا للاستخدام المشروع وفق DPDPA.
6. حقوق الأفراد
حقوق صاحب البيانات (Data Principal) في DPDPA
ينص DPDPA على حقوق منها:
- الوصول إلى معلومات عن البيانات الشخصية
- التصحيح والتحديث
- المحو
- معالجة التظلمات
- سحب الموافقة
- تسمية فرد آخر في ظروف محددة
حقوق صاحب البيانات (Data Subject) في GDPR
ينص GDPR على مجموعة أوسع من الحقوق، منها:
- الوصول
- التصحيح
- المحو
- تقييد المعالجة
- قابلية نقل البيانات
- الاعتراض
- سحب الموافقة
- حقوق تتعلق ببعض حالات اتخاذ القرار المؤتمت والتنميط
لا يكرر DPDPA جميع حقوق GDPR. فمثلًا، لا يوجد في DPDPA مقابل عام للحق في قابلية نقل البيانات الوارد في المادة 20 من GDPR، ولا للإطار المحدد في المادة 22 الذي يحكم بعض القرارات المؤتمتة حصرًا.
7. بيانات الأطفال
DPDPA
يعرّف DPDPA الطفل بأنه كل فرد دون 18 عامًا.
يضع القانون التزامات إضافية بشأن البيانات الشخصية للأطفال، منها متطلبات تتعلق بموافقة ولي الأمر القابلة للتحقق وقيود على أنشطة معالجة معينة تخص الأطفال، مع مراعاة الاستثناءات القانونية والأحكام التي تعلنها الحكومة.
GDPR
لا يضع GDPR قاعدة عامة للموافقة لمن هم دون 18 عامًا تماثل ما في DPDPA.
في بعض خدمات مجتمع المعلومات المعروضة مباشرةً على الأطفال، تحدد المادة 8 سنًا أساسية هي 16 عامًا للمعالجة القائمة على الموافقة، ويجوز للدول الأعضاء تخفيضها إلى ما لا يقل عن 13 عامًا.
يُلزم GDPR المؤسسات كذلك بمراعاة مواطن الضعف والمصالح الخاصة بالأطفال.
الفرق الرئيسي: يعتمد الإطار القانوني الهندي تعريفًا أوسع بكثير لـ "الطفل" يشمل من هم دون 18 عامًا، بينما تركز المادة 8 من GDPR على سياق محدد للموافقة.
8. مسؤولو حماية البيانات
DPDPA
يُلزم DPDPA أمين البيانات المهم (Significant Data Fiduciary - SDF) بتعيين مسؤول حماية البيانات (DPO) يكون مقره في الهند ويعمل نقطة اتصال لمسؤوليات المؤسسة في حماية البيانات.
ليس كل أمين بيانات ملزمًا تلقائيًا بتعيين DPO قانوني بموجب DPDPA.
GDPR
تعيين مسؤول حماية البيانات وفق GDPR إلزامي فقط في الظروف التي تحددها المادة 37.
وتشمل هذه الظروف بعض أنشطة الرصد المنتظم والمنهجي واسع النطاق، وبعض حالات المعالجة واسعة النطاق للفئات الخاصة من البيانات الشخصية.
الفرق الرئيسي: يعترف الإطاران كلاهما بدور DPO، لكن موجبات التعيين والمسؤوليات القانونية تختلف.
9. ممثل الخصوصية / الحضور المحلي
DPDPA
لا ينشئ DPDPA مقابلًا مباشرًا لممثل الاتحاد الأوروبي بموجب المادة 27 من GDPR.
غير أنه ينبغي للمؤسسات الخاضعة لـ DPDPA أن تحافظ على ترتيبات مناسبة للحوكمة والمساءلة والتواصل مع الجهات التنظيمية.
GDPR
قد تُلزَم بعض المؤسسات خارج الاتحاد الأوروبي بتعيين ممثل الاتحاد الأوروبي بموجب المادة 27.
يعمل الممثل نقطة اتصال للأفراد والسلطات الإشرافية فيما يتعلق بأنشطة المعالجة لدى المؤسسة.
مهم: ينبغي ألا تُوصف خدمة تجارية باسم "ممثل في الهند" بأنها مقابل قانوني في DPDPA لممثل الاتحاد الأوروبي بموجب المادة 27.
10. الإخطار بخرق البيانات
DPDPA
يضع DPDPA وDPDP Rules التزامات متصلة بالخروقات على أمناء البيانات.
ينبغي للمؤسسات اعتماد إجراءات لما يلي:
- اكتشاف خروقات البيانات الشخصية
- تقييم الأثر
- احتواء الحوادث
- توثيق القرارات
- إخطار الجهة المختصة حيثما لزم
- إبلاغ أصحاب البيانات (Data Principals) المتضررين حيثما لزم
ينبغي عرض المهل الدقيقة للإخطار ومتطلبات التنفيذ وفقًا للقواعد المنطبقة وأحكام بدء السريان.
GDPR
بموجب المادة 33، على المتحكم في البيانات عمومًا إخطار السلطة الإشرافية المختصة بخرق البيانات الشخصية المستوفي للشروط دون تأخير غير مبرر، وخلال 72 ساعة من علمه به متى أمكن ذلك.
إذا كان من المرجح أن ينطوي الخرق على مخاطر عالية للأفراد، فقد تشترط المادة 34 إبلاغ أصحاب البيانات المتضررين.
الفرق الرئيسي: لا تعرض النظامين على أن لهما إجراءات متطابقة للإخطار بالخروقات لمجرد أن كليهما يتضمن التزامات بشأنها.
11. نقل البيانات عبر الحدود
DPDPA
يجيز DPDPA نقل البيانات عبر الحدود مع مراعاة القيود التي قد تفرضها الحكومة المركزية بشأن دول أو أقاليم محددة.
ومعنى ذلك أن DPDPA لا يضع آلية نقل شاملة على غرار GDPR تقوم على قرارات الكفاية وSCCs وBCRs.
GDPR
يتطلب النقل الدولي بموجب الفصل الخامس من GDPR آلية نقل مناسبة، مثل:
- قرارات الكفاية
- البنود التعاقدية القياسية
- القواعد المؤسسية الملزمة
- الاستثناءات المنطبقة
قد تحتاج المؤسسات كذلك إلى النظر في ضمانات تكميلية وتقييمات لمخاطر النقل بحسب آلية النقل والظروف.
12. البيانات الحساسة / الفئات الخاصة من البيانات
DPDPA
لا يكرر DPDPA الفئة المستقلة للبيانات الشخصية من الفئات الخاصة في GDPR.
بل يضع الإطار التزامات تستند إلى عوامل مثل طبيعة المعالجة وتصنيف أمين البيانات ومتطلبات قانونية محددة.
GDPR
توفر المادة 9 حماية معززة للفئات الخاصة من البيانات الشخصية، ومنها المعلومات المتعلقة بـ:
- الصحة
- البيانات البيومترية المستخدمة لتحديد الهوية
- البيانات الجينية
- الآراء السياسية
- المعتقدات الدينية أو الفلسفية
- العضوية في النقابات العمالية
- الأصل العرقي أو الإثني
- الحياة الجنسية أو التوجه الجنسي
تتطلب المعالجة أساسًا قانونيًا بموجب المادة 6 وشرطًا منطبقًا من شروط المادة 9 معًا.
13. DPIA وتقييمات الأثر
DPDPA
يخضع أمناء البيانات المهمون (Significant Data Fiduciaries) لالتزامات إضافية في الحوكمة والتقييم بموجب القانون والقواعد.
وقد تشمل متطلبات تتعلق بتقييمات الأثر وعمليات التدقيق وتدابير أخرى مقررة على SDFs.
GDPR
يلزم إجراء تقييم أثر حماية البيانات (DPIA) حين يُرجَّح أن تنطوي المعالجة على مخاطر عالية على حقوق الأفراد وحرياتهم.
يكتسب DPIA أهمية خاصة في الأنشطة التي تنطوي على بيانات حساسة واسعة النطاق أو رصد منهجي أو معالجة أخرى عالية المخاطر.
الفرق الرئيسي: ترتبط متطلبات تقييم الأثر في DPDPA ارتباطًا وثيقًا بإطار أمناء البيانات المهمين، بينما تقوم تقييمات DPIA في GDPR على المخاطر.
14. توطين البيانات
لا ينبغي وصف أي من الإطارين بأنه يفرض اشتراطًا شاملًا ببقاء جميع البيانات الشخصية داخل الدولة أو المنطقة.
DPDPA
يجيز DPDPA نقل البيانات عبر الحدود مع مراعاة القيود الحكومية.
قد تنطبق متطلبات قطاعية مستقلة على فئات معينة من البيانات-مثل متطلبات القطاع المالي.
GDPR
لا يفرض GDPR توطينًا عامًا للبيانات داخل الاتحاد الأوروبي.
بل يجب أن يستوفي النقل الدولي متطلبات الفصل الخامس.
15. العقوبات
DPDPA
ينص DPDPA على عقوبات مالية كبيرة، ويبلغ الحد الأقصى للعقوبة على بعض المخالفات المحددة 250 كرور روبية.
تعتمد العقوبة المنطبقة على طبيعة المخالفة وظروفها.
GDPR
في المخالفات الجسيمة المحددة، قد تبلغ الغرامات الإدارية بموجب GDPR 20 مليون يورو أو 4% من إجمالي حجم الأعمال السنوي العالمي للسنة المالية السابقة، أيهما أعلى.
مهم: لا ينبغي المقارنة المباشرة بين هيكلي العقوبات في DPDPA وGDPR بمجرد تحويل العملات. فأطرهما القانونية ومنهجيات احتساب العقوبات وهياكل الإنفاذ مختلفة.
16. الجهات التنظيمية
الهند
أُنشئ Data Protection Board of India ضمن إطار DPDPA لأداء المهام المسندة إليه بموجب القانون.
ينبغي للمؤسسات التمييز بين الدور القانوني للمجلس وبدء السريان المرحلي للالتزامات الموضوعية بموجب DPDPA والقواعد.
الاتحاد الأوروبي
تتولى إنفاذ GDPR السلطات الإشرافية الوطنية لحماية البيانات في ولايات الاتحاد الأوروبي/المنطقة الاقتصادية الأوروبية، فيما يوفر المجلس الأوروبي لحماية البيانات (EDPB) آليات التنسيق والاتساق.
DPDPA مقابل GDPR: أيهما أشد صرامة؟
لا توجد إجابة بسيطة.
GDPR أكثر تفصيلًا عمومًا في مجالات مثل:
- الأسس القانونية
- حقوق أصحاب البيانات
- قابلية نقل البيانات
- اتخاذ القرار المؤتمت
- بيانات الفئات الخاصة
- النقل الدولي للبيانات
- تقييمات أثر حماية البيانات (DPIA)
- مساءلة المتحكم في البيانات/معالج البيانات
لـ DPDPA بنية تنظيمية مختلفة تركز بقوة على:
- الموافقة
- مساءلة أمين البيانات
- أمناء البيانات المهمون
- بيانات الأطفال
- حقوق صاحب البيانات (Data Principal)
- الاستخدامات المشروعة المحددة
- نقل البيانات عبر الحدود الخاضع لتنظيم الحكومة
لذلك ينبغي للمؤسسات ألا تعدّ أيًا من الإطارين "خط أساس" شاملًا للآخر.
هل يكفي برنامج خصوصية واحد لـ DPDPA وGDPR؟
نعم.
يمكن لإطار مشترك لإدارة الخصوصية أن يشكل الأساس، مع إضافة ضوابط خاصة بكل ولاية قضائية للهند والاتحاد الأوروبي.
1. حصر البيانات
احتفظ بجرد مركزي يشمل:
- البيانات الشخصية المجموعة
- أغراض المعالجة
- أصحاب البيانات (Data Subjects / Data Principals)
- أمناء البيانات / المتحكمون في البيانات
- معالجو البيانات
- المتلقون
- مواقع التخزين
- النقل الدولي للبيانات
- مدد الاحتفاظ
2. إدارة الموافقات
ابنِ إطارًا للموافقة يدعم:
- الموافقة وفق GDPR
- الموافقة وفق DPDPA
- سحب الموافقة
- سجلات الموافقة
- إشعارات الخصوصية
- إدارة التفضيلات
3. إدارة حقوق الخصوصية
استخدم مسار عمل مركزيًا لإدارة:
- طلبات أصحاب البيانات وفق GDPR
- طلبات أصحاب البيانات (Data Principals) وفق DPDPA
- التحقق من الهوية
- تتبع الطلبات
- مهل الرد
- الأدلة وسجلات التدقيق
4. إدارة الموردين ومعالجي البيانات
قيّم:
- معالجو البيانات
- المعالجون الفرعيون
- مقدمو الخدمات
- مقدمو الخدمات السحابية
- منصات التحليلات
- تقنيات الإعلان
- الموردون الدوليون
5. الاستجابة للخروقات
أنشئ إجراءً موحدًا للاستجابة للحوادث يتضمن نقاط قرار خاصة بكل ولاية قضائية لما يلي:
- تصنيف الحوادث
- إخطار الجهات التنظيمية
- إخطار الأفراد
- حفظ الأدلة
- التوثيق
- المعالجة التصحيحية
6. الرصد التنظيمي
ينبغي لبرامج الخصوصية أن ترصد باستمرار التغيرات في المتطلبات الهندية والأوروبية معًا.
ولهذا أهمية خاصة في حالة DPDPA، لأن القواعد الهندية أُعلنت في نوفمبر 2025 وللإطار بنية تنفيذ مرحلية.
الأسئلة الشائعة
هل DPDPA مماثل لـ GDPR؟
لا. يتضمن DPDPA مفاهيم مألوفة في تنظيم الخصوصية دوليًا، لكن له بنية قانونية ومصطلحات وإطار حقوق ونموذج موافقة وآلية إنفاذ مستقلة.
هل يحل DPDPA محل GDPR للشركات العاملة في الهند؟
لا. قد يلزم المؤسسة الامتثال لـ DPDPA في أنشطة المعالجة التي تجريها في الهند، مع الامتثال كذلك لـ GDPR متى تحققت متطلبات نطاقه الإقليمي.
هل ينطبق DPDPA على الشركات خارج الهند؟
نعم، هذا محتمل. يتضمن DPDPA أحكامًا قد تنطبق على المعالجة خارج الهند في سياق عرض سلع أو خدمات على أصحاب البيانات (Data Principals) في الهند، وفقًا للنطاق القانوني للقانون.
هل يشترط DPDPA الموافقة على كل معالجة؟
لا. الموافقة أساس محوري للمعالجة، لكن القانون يحدد كذلك استخدامات مشروعة بعينها وظروفًا أخرى ضمن إطاره.
هل في DPDPA أساس للمصالح المشروعة مثل GDPR؟
لا. لا يتضمن DPDPA أساسًا قانونيًا واسعًا للمصالح المشروعة على غرار المادة 6(1)(f). بل ينص على استخدامات مشروعة محددة.
هل في DPDPA حق في قابلية نقل البيانات؟
لا ينص DPDPA على حق عام مكافئ لقابلية نقل البيانات في المادة 20 من GDPR.
هل يشترط DPDPA تعيين DPO؟
ليس على كل مؤسسة. يُلزَم أمين البيانات المهم (Significant Data Fiduciary) بتعيين DPO في الهند بموجب القانون.
هل يشترط DPDPA ممثلًا في الهند؟
لا يوجد مقابل قانوني مباشر لاشتراط ممثل الاتحاد الأوروبي بموجب المادة 27 من GDPR. غير أنه ينبغي للمؤسسات إرساء ترتيبات مناسبة داخل الهند للحوكمة والتواصل مع الجهات التنظيمية حيثما كان ذلك ذا صلة.
هل في DPDPA قاعدة الإخطار بالخرق خلال 72 ساعة نفسها الواردة في GDPR؟
لا ينبغي وصف الإطارين بأنهما متطابقان. تتضمن المادة 33 من GDPR الاشتراط المعروف بإخطار السلطة الإشرافية خلال 72 ساعة بالخروقات المستوفية للشروط. أما التزامات الخروقات في DPDPA فيحكمها القانون والقواعد، بما يشمل متطلبات بدء السريان والتنفيذ المنطبقة.
هل دخل DPDPA حيز التطبيق الكامل؟
يجري تنفيذ إطار DPDPA عبر بنية بدء سريان مرحلية. وقد أُعلنت DPDP Rules, 2025 في 14 نوفمبر 2025، وينبغي للمؤسسات التحقق من تاريخ بدء السريان المنطبق على كل حكم بدلًا من افتراض أن الإطار كله يدخل حيز النفاذ في وقت واحد.
الامتثال لـ DPDPA وGDPR مع RegulatoryBridge
إدارة متطلبات الخصوصية في الهند والاتحاد الأوروبي عبر إجراءات منفصلة قد تؤدي إلى ازدواجية في العمل، وإشعارات خصوصية غير متسقة، ومسارات عمل مجزأة لحقوق البيانات.
تساعد RegulatoryBridge المؤسسات على بناء برامج منسقة للامتثال للخصوصية عبر الولايات القضائية.
قد يشمل دعمنا:
- تقييمات الجاهزية والامتثال لـ DPDPA
- تقييمات الامتثال لـ GDPR
- حصر البيانات وجردها
- مراجعة إشعارات الخصوصية
- إدارة الموافقات
- مسارات عمل طلبات أصحاب البيانات (Data Principals وData Subjects)
- تقييمات معالجي البيانات / الموردين
- تقييمات نقل البيانات عبر الحدود
- دعم DPIA وتقييمات الأثر
- تخطيط الاستجابة للخروقات
- دعم DPO وحوكمة الخصوصية
- الرصد التنظيمي
- دعم تمثيل الخصوصية في الهند والاتحاد الأوروبي
- الإدارة المستمرة للامتثال
غطِّ DPDPA وGDPR ضمن برنامج واحد.
خطّط الضوابط مرة واحدة، والتزم مرتين. يمنحك RegulatoryBridge مسار DSAR واحدًا، ومسؤول حماية بيانات (DPO) واحدًا، ودليل إجراءات واحدًا للخروقات - يغطي كلا الإطارين.