O Digital Personal Data Protection Act, 2023 (DPDPA) e o General Data Protection Regulation (GDPR) são marcos abrangentes de proteção de dados que regem o tratamento de dados pessoais. Embora a DPDPA da Índia se baseie em vários conceitos conhecidos da regulamentação global de privacidade, ela tem abordagem própria para consentimento, usos legítimos, direitos dos indivíduos, dados de crianças, transferências internacionais, obrigações dos Data Fiduciaries e fiscalização. Para organizações que atuam na Índia e na União Europeia, entender as diferenças entre a DPDPA e o GDPR é essencial para construir um programa de conformidade em privacidade eficaz e escalável. Este guia compara os dois marcos e destaca onde as organizações podem usar controles comuns, mantendo os requisitos específicos de cada jurisdição.
Lado a lado: DPDPA vs. GDPR
| Dimensão | 🇮🇳 DPDPA | 🇪🇺 GDPR |
|---|---|---|
| Jurisdição | Índia | UE/EEE e tratamento extraterritorial qualificado |
| Lei principal | Digital Personal Data Protection Act, 2023 | Regulamento (UE) 2016/679 |
| Normas complementares | DPDP Rules, 2025 | Orientações de implementação do GDPR e leis nacionais |
| Autoridade reguladora | Data Protection Board of India | Autoridades supervisoras da UE/EEE e EDPB |
| Escopo | Dados pessoais digitais abrangidos pelas disposições territoriais da lei | Tratamento de dados pessoais dentro do escopo territorial do GDPR |
| Principal entidade regulada | Data Fiduciary | Controlador |
| Equivalente ao operador | Data Processor | Operador |
| Indivíduo | Data Principal | Titular dos dados |
| Base legal | Consentimento e usos legítimos especificados | Seis bases legais do artigo 6 |
| Consentimento | Livre, específico, informado e inequívoco, com os requisitos de aviso aplicáveis | Livre, específico, informado e inequívoco |
| Interesses legítimos | Sem equivalente amplo aos interesses legítimos do GDPR | Disponível nos termos do artigo 6(1)(f), sujeito a condições |
| DPO | Exigido para Significant Data Fiduciaries | Exigido em circunstâncias definidas |
| Dados de crianças | Requisitos reforçados se aplicam a crianças; o marco legal adota a definição de menores de 18 anos | Proteções especiais; o GDPR estabelece a idade de referência de 16 anos para determinados serviços da sociedade da informação baseados em consentimento, sujeita a variação entre os Estados-Membros |
| Portabilidade de dados | Sem direito geral na DPDPA equivalente ao artigo 20 do GDPR | Sim |
| Direito relativo a decisões automatizadas | Sem equivalente direto ao artigo 22 do GDPR | Proteções específicas nos termos do artigo 22 |
| Transferências internacionais | Permitidas, sujeitas às restrições notificadas pelo Governo Central | Aplicam-se os mecanismos de transferência do Capítulo V |
| Dados de categorias especiais | Sem classificação de categorias especiais nos moldes do GDPR | Categorias especiais do artigo 9 |
| Equivalente à DPIA | Os Significant Data Fiduciaries têm obrigações adicionais de avaliação de impacto | DPIA exigida quando o tratamento for suscetível de resultar em alto risco |
| Notificação de violação de dados | Requisitos previstos na DPDPA e nas Rules aplicáveis | Notificação à autoridade supervisora geralmente em até 72 horas, quando exigida |
| Sanção administrativa máxima | Até ₹250 crore para violações especificadas | Até 20 milhões de euros ou 4% do faturamento anual mundial para infrações especificadas |
| Representante na UE | Sem equivalente direto na DPDPA | O artigo 27 pode exigir um representante na UE para determinadas organizações de fora da UE |
As datas de implementação no âmbito da DPDPA da Índia devem ser verificadas nas notificações de início de vigência e nas Rules atuais do Governo. As Rules foram notificadas em 14 de novembro de 2025 e preveem implementação em fases.
O que é a DPDPA?
O Digital Personal Data Protection Act, 2023 é a principal legislação da Índia sobre o tratamento de dados pessoais digitais.
A lei busca equilibrar o direito dos indivíduos de proteger seus dados pessoais com a necessidade das organizações de tratar dados pessoais para finalidades lícitas. Ela estabelece obrigações para os Data Fiduciaries, direitos e deveres dos Data Principals, requisitos para os Data Processors e um regime de fiscalização que envolve o Data Protection Board of India.
As DPDP Rules, 2025 trazem requisitos adicionais de implementação e detalhes operacionais no âmbito da lei. As Rules foram oficialmente notificadas pelo Ministry of Electronics and Information Technology em 14 de novembro de 2025.
O que é o GDPR?
O General Data Protection Regulation (GDPR) é o marco abrangente de proteção de dados da União Europeia.
Ele regula o tratamento de dados pessoais por organizações que atuam como controladores e operadores e estabelece requisitos que abrangem:
- Tratamento lícito
- Transparência
- Limitação da finalidade
- Minimização de dados
- Exatidão
- Limitação do armazenamento
- Segurança
- Responsabilização
- Direitos dos indivíduos
- Transferências internacionais de dados
O GDPR também pode se aplicar a organizações fora da UE quando forem atendidas as condições de suas disposições sobre escopo territorial.
DPDPA vs GDPR: principais diferenças
1. Escopo territorial
DPDPA
A DPDPA se aplica ao tratamento de dados pessoais digitais na Índia e também pode se aplicar ao tratamento fora da Índia em conexão com a oferta de bens ou serviços a Data Principals na Índia, observado o escopo legal da lei.
Por isso, as organizações devem avaliar suas operações na Índia, seus serviços digitais, sua base de clientes e suas atividades de tratamento, em vez de presumir que a localização física, por si só, determina a aplicabilidade.
GDPR
O GDPR se aplica ao tratamento na UE/EEE nos termos de suas disposições territoriais e pode se aplicar a organizações fora da UE quando as condições do artigo 3 forem atendidas.
Principal diferença: Ambos os marcos podem ter alcance extraterritorial, mas seus critérios legais e sua terminologia são diferentes.
2. Data Fiduciary vs controlador de dados
DPDPA
A DPDPA usa o termo Data Fiduciary para a entidade que determina a finalidade e os meios do tratamento de dados pessoais.
GDPR
O GDPR usa o termo controlador para a entidade que determina as finalidades e os meios do tratamento de dados pessoais.
Embora os conceitos sejam comparáveis, eles não são juridicamente idênticos. Por isso, as organizações devem mapear suas responsabilidades separadamente ao implementar um programa de privacidade multijurisdicional.
3. Consentimento e bases legais
Uma das diferenças mais importantes entre a DPDPA e o GDPR é o regime do tratamento lícito.
DPDPA
A DPDPA é fortemente centrada no consentimento e em usos legítimos especificados.
Quando o tratamento se baseia no consentimento, o Data Fiduciary deve fornecer um aviso adequado e obter um consentimento que atenda aos requisitos da lei.
A DPDPA não reproduz a estrutura de seis bases legais do GDPR.
GDPR
O GDPR reconhece seis bases legais no artigo 6:
- Consentimento
- Contrato
- Obrigação legal
- Interesses vitais
- Missão de interesse público
- Interesses legítimos
Requisitos adicionais se aplicam quando são tratadas categorias especiais de dados pessoais.
Principal diferença: O GDPR oferece uma estrutura de bases legais mais ampla, enquanto a DPDPA adota o consentimento e os usos legítimos previstos em lei como suas principais vias de tratamento.
4. Requisitos de consentimento
DPDPA
O consentimento deve atender aos requisitos legais e poder ser revogado.
As organizações devem garantir que os mecanismos de consentimento sejam:
- Claros
- Específicos
- Informados
- Inequívocos
- Fáceis de revogar
GDPR
O consentimento do GDPR também deve ser livre, específico, informado e inequívoco.
Quando o consentimento é a base legal, as organizações devem ser capazes de demonstrar que um consentimento válido foi obtido e oferecer um mecanismo eficaz de revogação.
Implicação prática: um sistema de gestão de consentimento bem projetado pode atender a ambos os marcos, mas a análise jurídica subjacente deve permanecer específica para cada jurisdição.
5. Interesses legítimos
Esta é uma diferença importante.
DPDPA
A DPDPA não contém um equivalente amplo à base legal de interesses legítimos do GDPR.
Em vez disso, a lei identifica usos legítimos específicos em seu regime legal.
GDPR
O GDPR reconhece expressamente os interesses legítimos no artigo 6(1)(f), desde que as condições necessárias sejam atendidas e que os direitos e liberdades dos indivíduos não prevaleçam sobre esses interesses.
As organizações costumam documentar isso por meio de uma avaliação de interesses legítimos, quando apropriado.
Resultado: as organizações não podem simplesmente copiar uma avaliação de interesses legítimos do GDPR e tratá-la como uma análise de uso lícito da DPDPA.
6. Direitos dos indivíduos
Direitos do Data Principal na DPDPA
A DPDPA prevê direitos como:
- Acesso a informações sobre os dados pessoais
- Correção e atualização
- Eliminação
- Resolução de reclamações
- Revogação do consentimento
- Indicação de outro indivíduo em circunstâncias específicas
Direitos do titular dos dados no GDPR
O GDPR prevê um conjunto mais amplo de direitos, incluindo:
- Acesso
- Retificação
- Eliminação
- Restrição do tratamento
- Portabilidade de dados
- Oposição
- Revogação do consentimento
- Direitos relativos a determinadas decisões automatizadas e à definição de perfis
A DPDPA não reproduz todos os direitos do GDPR. Por exemplo, não há na DPDPA um equivalente geral ao direito à portabilidade de dados do artigo 20 do GDPR nem ao regime específico do artigo 22, que rege determinadas decisões exclusivamente automatizadas.
7. Dados de crianças
DPDPA
A DPDPA define criança como o indivíduo com menos de 18 anos de idade.
A lei estabelece obrigações adicionais relativas aos dados pessoais de crianças, incluindo requisitos de consentimento parental verificável e restrições a determinadas atividades de tratamento que envolvem crianças, ressalvadas as exceções legais e as disposições notificadas pelo governo.
GDPR
O GDPR não estabelece uma regra universal de consentimento para menores de 18 anos equivalente à da DPDPA.
Para determinados serviços da sociedade da informação oferecidos diretamente a crianças, o artigo 8 estabelece a idade de referência de 16 anos para o tratamento baseado em consentimento, podendo os Estados-Membros reduzir essa idade até o mínimo de 13 anos.
O GDPR também exige que as organizações considerem as vulnerabilidades e os interesses específicos das crianças.
Principal diferença: O marco legal da Índia adota uma definição de “criança” significativamente mais ampla, de menores de 18 anos, enquanto o artigo 8 do GDPR se concentra em um contexto específico de consentimento.
8. Encarregados de proteção de dados (DPOs)
DPDPA
A DPDPA exige que um Significant Data Fiduciary (SDF) nomeie um Data Protection Officer sediado na Índia, que atue como ponto de contato para as responsabilidades de proteção de dados da organização.
Nem todo Data Fiduciary é automaticamente obrigado a nomear um DPO legal nos termos da DPDPA.
GDPR
No GDPR, o encarregado de proteção de dados (DPO) é obrigatório apenas nas circunstâncias especificadas no artigo 37.
Elas incluem determinadas atividades de monitoramento regular e sistemático em grande escala e determinados tratamentos em grande escala de categorias especiais de dados pessoais.
Principal diferença: Ambos os marcos reconhecem a função de DPO, mas os gatilhos e as responsabilidades legais diferem.
9. Representante de privacidade / presença local
DPDPA
A DPDPA não cria um equivalente direto ao representante na UE do artigo 27 do GDPR.
No entanto, as organizações sujeitas à DPDPA devem manter estruturas adequadas de governança, responsabilização e contato com a autoridade reguladora.
GDPR
Determinadas organizações fora da UE podem ser obrigadas a nomear um representante na UE nos termos do artigo 27.
O representante atua como ponto de contato para indivíduos e autoridades supervisoras em relação às atividades de tratamento da organização.
Importante: um serviço comercial de “representante na Índia” não deve ser descrito como um equivalente legal, na DPDPA, ao representante na UE do artigo 27.
10. Notificação de violação de dados
DPDPA
A DPDPA e as DPDP Rules estabelecem obrigações relacionadas a violações para os Data Fiduciaries.
As organizações devem manter procedimentos para:
- Detectar violações de dados pessoais
- Avaliar o impacto
- Conter incidentes
- Documentar decisões
- Notificar a autoridade competente, quando exigido
- Comunicar-se com os Data Principals afetados, quando exigido
Os prazos exatos de notificação e os requisitos de implementação devem ser apresentados de acordo com as Rules aplicáveis e as disposições de início de vigência.
GDPR
Nos termos do artigo 33, o controlador geralmente deve notificar a autoridade supervisora competente sobre uma violação de dados pessoais qualificada sem demora injustificada e, quando possível, em até 72 horas após tomar conhecimento dela.
Quando uma violação for suscetível de resultar em alto risco para os indivíduos, o artigo 34 pode exigir a comunicação aos titulares dos dados afetados.
Principal diferença: Não apresente os dois regimes como se tivessem procedimentos idênticos de notificação de violação apenas porque ambos contêm obrigações relativas a violações.
11. Transferências internacionais de dados
DPDPA
A DPDPA permite transferências internacionais, sujeitas às restrições que o Governo Central venha a impor em relação a países ou territórios especificados.
Isso significa que a DPDPA não estabelece um mecanismo abrangente de transferência nos moldes do GDPR, baseado em decisões de adequação, SCCs e BCRs.
GDPR
As transferências internacionais nos termos do Capítulo V do GDPR exigem um mecanismo de transferência adequado, como:
- Decisões de adequação
- Cláusulas contratuais padrão
- Normas corporativas globais
- Derrogações aplicáveis
As organizações também podem precisar considerar salvaguardas complementares e avaliações de risco de transferência, dependendo do mecanismo de transferência e das circunstâncias.
12. Dados sensíveis / categorias especiais de dados
DPDPA
A DPDPA não reproduz a categoria separada de dados pessoais de categorias especiais do GDPR.
Em vez disso, o marco estabelece obrigações com base em fatores como a natureza do tratamento, a designação do Data Fiduciary e requisitos legais específicos.
GDPR
O artigo 9 prevê proteção reforçada para categorias especiais de dados pessoais, incluindo informações relativas a:
- Saúde
- Dados biométricos usados para identificação
- Dados genéticos
- Opiniões políticas
- Convicções religiosas ou filosóficas
- Filiação sindical
- Origem racial ou étnica
- Vida sexual ou orientação sexual
O tratamento exige tanto uma base legal do artigo 6 quanto uma condição aplicável do artigo 9.
13. DPIA e avaliações de impacto
DPDPA
Os Significant Data Fiduciaries estão sujeitos a obrigações adicionais de governança e avaliação nos termos da lei e das Rules.
Elas podem incluir requisitos relativos a avaliações de impacto, auditorias e outras medidas prescritas para os SDFs.
GDPR
Uma avaliação de impacto sobre a proteção de dados (DPIA) é exigida quando o tratamento for suscetível de resultar em alto risco para os direitos e liberdades dos indivíduos.
A DPIA é especialmente relevante para atividades que envolvem dados sensíveis em grande escala, monitoramento sistemático ou outros tratamentos de alto risco.
Principal diferença: Os requisitos de avaliação de impacto da DPDPA estão intimamente ligados ao regime dos Significant Data Fiduciaries, enquanto as DPIAs do GDPR são baseadas em risco.
14. Localização de dados
Nenhum dos dois marcos deve ser descrito como se impusesse uma exigência geral de que todos os dados pessoais permaneçam no país ou na região.
DPDPA
A DPDPA permite transferências internacionais, sujeitas a restrições governamentais.
Requisitos setoriais distintos podem se aplicar a categorias específicas de dados - por exemplo, requisitos do setor financeiro.
GDPR
O GDPR não impõe uma localização geral de dados na UE.
Em vez disso, as transferências internacionais devem atender aos requisitos do Capítulo V.
15. Sanções
DPDPA
A DPDPA prevê sanções pecuniárias significativas, com a sanção máxima para determinadas violações especificadas chegando a ₹250 crore.
A sanção aplicável depende da natureza e das circunstâncias da infração.
GDPR
Para infrações graves especificadas, as multas administrativas do GDPR podem chegar a 20 milhões de euros ou 4% do faturamento anual mundial do exercício financeiro anterior, o que for maior.
Importante: as estruturas de sanções da DPDPA e do GDPR não devem ser comparadas diretamente apenas pela conversão de moedas. Seus marcos legais, metodologias de cálculo de sanções e estruturas de fiscalização diferem.
16. Autoridades regulatórias
Índia
O Data Protection Board of India é instituído no âmbito da DPDPA para desempenhar as funções atribuídas pela lei.
As organizações devem distinguir entre o papel legal do Board e o início de vigência em fases das obrigações substantivas previstas na DPDPA e nas Rules.
União Europeia
A fiscalização do GDPR é realizada pelas autoridades supervisoras nacionais de proteção de dados nas jurisdições da UE/EEE, com o European Data Protection Board (EDPB) oferecendo mecanismos de coordenação e consistência.
DPDPA vs GDPR: qual é mais rigoroso?
Não há resposta simples.
O GDPR é geralmente mais detalhado em áreas como:
- Bases legais
- Direitos dos titulares dos dados
- Portabilidade de dados
- Decisões automatizadas
- Dados de categorias especiais
- Transferências internacionais
- DPIAs
- Responsabilização de controladores/operadores
A DPDPA tem uma arquitetura regulatória diferente, com forte foco em:
- Consentimento
- Responsabilização do Data Fiduciary
- Significant Data Fiduciaries
- Dados de crianças
- Direitos do Data Principal
- Usos legítimos especificados
- Transferências internacionais reguladas pelo governo
Por isso, as organizações devem evitar tratar qualquer um dos marcos como uma “base de referência” universal para o outro.
Um único programa de privacidade pode cobrir a DPDPA e o GDPR?
Sim.
Uma estrutura comum de gestão de privacidade pode servir de base, e controles específicos por jurisdição podem ser acrescentados para a Índia e a UE.
1. Mapeamento de dados
Mantenha um inventário central que abranja:
- Dados pessoais coletados
- Finalidades do tratamento
- Titulares dos dados / Data Principals
- Data Fiduciaries / controladores
- Data Processors
- Destinatários
- Locais de armazenamento
- Transferências internacionais
- Prazos de retenção
2. Gestão de consentimento
Construa uma estrutura de consentimento que dê suporte a:
- Consentimento do GDPR
- Consentimento da DPDPA
- Revogação do consentimento
- Registros de consentimento
- Avisos de privacidade
- Gestão de preferências
3. Gestão de direitos de privacidade
Use um fluxo de trabalho central para gerenciar:
- Solicitações de titulares dos dados do GDPR
- Solicitações de Data Principals da DPDPA
- Verificação de identidade
- Acompanhamento de solicitações
- Prazos de resposta
- Evidências e trilhas de auditoria
4. Gestão de fornecedores e operadores
Avalie:
- Data Processors
- Suboperadores
- Prestadores de serviços
- Provedores de nuvem
- Plataformas de analytics
- Tecnologia de publicidade
- Fornecedores internacionais
5. Resposta a violações
Crie um processo unificado de resposta a incidentes, com pontos de decisão específicos por jurisdição para:
- Classificação de incidentes
- Notificação regulatória
- Notificação aos indivíduos
- Preservação de evidências
- Documentação
- Remediação
6. Monitoramento regulatório
Os programas de privacidade devem monitorar continuamente as mudanças nos requisitos indianos e europeus.
Isso é especialmente importante para a DPDPA porque as Rules da Índia foram notificadas em novembro de 2025 e o marco tem uma estrutura de implementação em fases.
Perguntas frequentes
A DPDPA é igual ao GDPR?
Não. A DPDPA incorpora conceitos conhecidos da regulamentação internacional de privacidade, mas tem estrutura legal, terminologia, regime de direitos, modelo de consentimento e mecanismo de fiscalização próprios.
A DPDPA substitui o GDPR para empresas que atuam na Índia?
Não. Uma organização pode precisar cumprir a DPDPA em suas atividades de tratamento na Índia e, ao mesmo tempo, cumprir o GDPR quando os requisitos de escopo territorial do GDPR forem atendidos.
A DPDPA se aplica a empresas fora da Índia?
Potencialmente, sim. A DPDPA contém disposições que podem se aplicar ao tratamento fora da Índia em conexão com a oferta de bens ou serviços a Data Principals na Índia, observado o escopo legal da lei.
A DPDPA exige consentimento para todo tratamento?
Não. O consentimento é uma base central para o tratamento, mas a lei também identifica usos legítimos especificados e outras circunstâncias em seu regime.
A DPDPA tem uma base de interesse legítimo como o GDPR?
Não. A DPDPA não contém uma base legal ampla de interesse legítimo nos moldes do artigo 6(1)(f). Em vez disso, ela prevê usos legítimos especificados.
A DPDPA prevê o direito à portabilidade de dados?
A DPDPA não prevê um direito geral equivalente à portabilidade de dados do artigo 20 do GDPR.
A DPDPA exige um DPO?
Não de todas as organizações. Um Significant Data Fiduciary é obrigado a nomear um DPO na Índia nos termos da lei.
A DPDPA exige um representante na Índia?
Não há equivalente legal direto à exigência de representante na UE do artigo 27 do GDPR. No entanto, as organizações devem estabelecer estruturas adequadas de governança e de contato com a autoridade reguladora sediadas na Índia, quando pertinente.
A DPDPA tem a mesma regra de notificação de violação em 72 horas do GDPR?
Os dois marcos não devem ser descritos como idênticos. O artigo 33 do GDPR contém a conhecida exigência de notificação à autoridade supervisora em 72 horas para violações qualificadas. As obrigações da DPDPA em caso de violação são regidas pela lei e pelas Rules, incluindo seus requisitos aplicáveis de início de vigência e de implementação.
A DPDPA está em plena operação?
O marco da DPDPA está sendo implementado por meio de uma estrutura de início de vigência em fases. As DPDP Rules, 2025 foram notificadas em 14 de novembro de 2025, e as organizações devem verificar a data de início de vigência aplicável a cada disposição, em vez de tratar todo o marco como se entrasse em vigor simultaneamente.
Conformidade com a DPDPA e o GDPR com a RegulatoryBridge
Gerenciar os requisitos de privacidade da Índia e da UE por meio de processos separados pode gerar trabalho duplicado, avisos de privacidade inconsistentes e fluxos de direitos sobre dados fragmentados.
A RegulatoryBridge ajuda organizações a construir programas coordenados de conformidade em privacidade entre jurisdições.
Nosso suporte pode incluir:
- Avaliações de prontidão e conformidade com a DPDPA
- Avaliações de conformidade com o GDPR
- Mapeamento e inventário de dados
- Revisões de avisos de privacidade
- Gestão de consentimento
- Fluxos de solicitações de Data Principals e de titulares dos dados
- Avaliações de Data Processors / fornecedores
- Avaliações de transferências internacionais
- Suporte a DPIAs e avaliações de impacto
- Planejamento de resposta a violações
- Suporte a DPO e à governança de privacidade
- Monitoramento regulatório
- Suporte à representação de privacidade na Índia e na UE
- Gestão contínua da conformidade
Cubra DPDPA e GDPR em um único programa.
Mapeie os controles uma vez e cumpra duas. A RegulatoryBridge oferece um único pipeline de DSAR, um único DPO, um único runbook de violações - cobrindo ambas as estruturas.