Закон Digital Personal Data Protection Act, 2023 (DPDPA) и Общий регламент по защите данных (GDPR) - комплексные нормативные режимы, регулирующие обработку персональных данных. Хотя DPDPA Индии опирается на ряд понятий, знакомых по мировому регулированию конфиденциальности, у него собственный подход к согласию, законным видам использования, правам физических лиц, данным детей, трансграничной передаче данных, обязанностям фидуциаров данных и правоприменению. Организациям, работающим и в Индии, и в Европейском союзе, необходимо понимать различия между DPDPA и GDPR, чтобы выстроить эффективную и масштабируемую программу соответствия в области конфиденциальности. В этом руководстве два режима сравниваются и показано, где организации могут использовать общие средства контроля, сохраняя требования, специфичные для каждой юрисдикции.
Сравнение: DPDPA против GDPR
| Параметр | 🇮🇳 DPDPA | 🇪🇺 GDPR |
|---|---|---|
| Юрисдикция | Индия | ЕС/ЕЭЗ и экстерриториальная обработка, отвечающая установленным критериям |
| Основной закон | Digital Personal Data Protection Act, 2023 | Регламент (ЕС) 2016/679 |
| Подзаконные акты | DPDP Rules, 2025 | Руководства по применению GDPR и национальные законы |
| Регулятор | Data Protection Board of India | Надзорные органы ЕС/ЕЭЗ и EDPB |
| Сфера действия | Цифровые персональные данные в пределах территориальных положений закона | Обработка персональных данных в пределах территориальной сферы действия GDPR |
| Основной регулируемый субъект | Фидуциар данных (Data Fiduciary) | Контролёр |
| Аналог обработчика | Обработчик данных (Data Processor) | Обработчик |
| Физическое лицо | Субъект данных (Data Principal) | Субъект данных (Data Subject) |
| Правовое основание | Согласие и определённые законные виды использования | Шесть правовых оснований по статье 6 |
| Согласие | Свободное, конкретное, информированное и недвусмысленное, с соблюдением применимых требований об уведомлении | Свободное, конкретное, информированное и недвусмысленное |
| Законные интересы | Широкого аналога законных интересов по GDPR нет | Доступны по статье 6(1)(f) при соблюдении условий |
| DPO | Обязателен для значимых фидуциаров данных | Обязателен в определённых обстоятельствах |
| Данные детей | К детям применяются усиленные требования; закон определяет ребёнка как лицо младше 18 лет | Особая защита; GDPR устанавливает базовый возраст 16 лет для отдельных услуг информационного общества, основанных на согласии, с возможными отличиями в государствах-членах |
| Переносимость данных | Общего права, аналогичного статье 20 GDPR, в DPDPA нет | Да |
| Право в отношении автоматизированного принятия решений | Прямого аналога статьи 22 GDPR нет | Специальные гарантии по статье 22 |
| Трансграничная передача данных | Разрешена с учётом ограничений, о которых уведомляет центральное правительство | Применяются механизмы передачи главы V |
| Данные особых категорий | Классификации особых категорий по образцу GDPR нет | Особые категории по статье 9 |
| Аналог DPIA | Значимые фидуциары данных несут дополнительные обязанности по оценке воздействия | DPIA обязательна, если обработка может повлечь высокий риск |
| Уведомление об утечке данных | Требования DPDPA и применимых Правил | Уведомление надзорного органа, как правило, в течение 72 часов, когда оно требуется |
| Максимальный административный штраф | До ₹250 крор за определённые нарушения | До 20 млн евро или 4% мирового годового оборота за определённые нарушения |
| Представитель в ЕС | Прямого аналога в DPDPA нет | Статья 27 может требовать назначения представителя в ЕС от некоторых организаций за пределами ЕС |
Сроки внедрения в рамках DPDPA Индии следует сверять с действующими уведомлениями правительства о вступлении в силу и с Правилами. Правила были опубликованы 14 ноября 2025 года и предусматривают поэтапное внедрение.
Что такое DPDPA?
Digital Personal Data Protection Act, 2023 - основной закон Индии, регулирующий обработку цифровых персональных данных.
Закон стремится уравновесить право физических лиц на защиту своих персональных данных и потребность организаций обрабатывать персональные данные в законных целях. Он устанавливает обязанности фидуциаров данных (Data Fiduciary), права и обязанности субъектов данных (Data Principal), требования к обработчикам данных и механизм правоприменения с участием органа Data Protection Board of India.
Правила DPDP Rules, 2025 содержат дополнительные требования к внедрению и операционные детали в развитие закона. Правила были официально опубликованы Министерством электроники и информационных технологий 14 ноября 2025 года.
Что такое GDPR?
Общий регламент по защите данных (GDPR) - комплексный нормативный режим Европейского союза в области защиты данных.
Он регулирует обработку персональных данных организациями, действующими в качестве контролёров и обработчиков, и устанавливает требования, охватывающие:
- Законность обработки
- Прозрачность
- Ограничение цели
- Минимизацию данных
- Точность
- Ограничение срока хранения
- Безопасность
- Подотчётность
- Права физических лиц
- Международную передачу данных
GDPR может применяться и к организациям за пределами ЕС, если выполнены условия его положений о территориальной сфере действия.
DPDPA vs GDPR: ключевые различия
1. Территориальная сфера действия
DPDPA
DPDPA применяется к обработке цифровых персональных данных на территории Индии и может также применяться к обработке за пределами Индии в связи с предложением товаров или услуг субъектам данных в Индии - в пределах сферы действия, установленной законом.
Поэтому организациям следует оценить свою деятельность в Индии, цифровые услуги, клиентскую базу и операции по обработке, а не исходить из того, что применимость определяется одним лишь физическим местонахождением.
GDPR
GDPR применяется к обработке в ЕС/ЕЭЗ согласно его территориальным положениям и может применяться к организациям за пределами ЕС, если выполнены условия статьи 3.
Ключевое различие: Оба режима могут действовать экстерриториально, но их критерии и терминология различаются.
2. Фидуциар данных vs контролёр данных
DPDPA
DPDPA использует термин «фидуциар данных» (Data Fiduciary) для лица, которое определяет цель и средства обработки персональных данных.
GDPR
GDPR использует термин «контролёр» для лица, которое определяет цели и средства обработки персональных данных.
Хотя эти понятия сопоставимы, юридически они не тождественны. Поэтому при внедрении программы конфиденциальности для нескольких юрисдикций организациям следует определять свои обязанности по каждому режиму отдельно.
3. Согласие и правовые основания
Одно из важнейших различий между DPDPA и GDPR - подход к законности обработки.
DPDPA
DPDPA в значительной мере строится вокруг согласия и определённых законных видов использования.
Если обработка опирается на согласие, фидуциар данных обязан предоставить надлежащее уведомление и получить согласие, отвечающее требованиям закона.
DPDPA не воспроизводит структуру шести правовых оснований GDPR.
GDPR
GDPR признаёт шесть правовых оснований по статье 6:
- Согласие
- Договор
- Юридическая обязанность
- Жизненно важные интересы
- Задача в общественных интересах
- Законные интересы
При обработке особых категорий персональных данных применяются дополнительные требования.
Ключевое различие: GDPR предлагает более широкий набор правовых оснований, тогда как в DPDPA основными путями обработки служат согласие и установленные законом законные виды использования.
4. Требования к согласию
DPDPA
Согласие должно отвечать требованиям закона, и должна быть возможность его отозвать.
Организациям следует обеспечить, чтобы согласие было:
- Ясным
- Конкретным
- Информированным
- Недвусмысленным
- Легко отзываемым
GDPR
Согласие по GDPR также должно быть свободным, конкретным, информированным и недвусмысленным.
Если правовым основанием служит согласие, организации должны быть способны доказать, что получено действительное согласие, и предоставить действенный механизм его отзыва.
Практический вывод: продуманная система управления согласиями может поддерживать оба режима, но правовой анализ в её основе должен оставаться отдельным для каждой юрисдикции.
5. Законные интересы
Это существенное различие.
DPDPA
DPDPA не содержит широкого аналога такого правового основания GDPR, как законные интересы.
Вместо этого закон определяет конкретные законные виды использования.
GDPR
GDPR прямо признаёт законные интересы в статье 6(1)(f) при условии, что соблюдены необходимые условия и над этими интересами не преобладают права и свободы физических лиц.
Обычно организации документируют это, проводя при необходимости оценку законных интересов.
Итог: нельзя просто скопировать оценку законных интересов по GDPR и считать её анализом законного использования по DPDPA.
6. Права физических лиц
Права субъектов данных (Data Principal) по DPDPA
DPDPA предусматривает, в частности, следующие права:
- Доступ к информации о персональных данных
- Исправление и обновление
- Удаление
- Рассмотрение жалоб
- Отзыв согласия
- Назначение другого лица в определённых обстоятельствах
Права субъектов данных по GDPR
GDPR предусматривает более широкий набор прав, включая:
- Доступ
- Исправление
- Удаление
- Ограничение обработки
- Переносимость данных
- Возражение
- Отзыв согласия
- Права, связанные с определёнными видами автоматизированного принятия решений и профилирования
DPDPA воспроизводит не все права GDPR. Например, в DPDPA нет общего аналога права на переносимость данных по статье 20 GDPR или специального режима статьи 22, регулирующего определённые исключительно автоматизированные решения.
7. Данные детей
DPDPA
DPDPA определяет ребёнка как лицо младше 18 лет.
Закон устанавливает дополнительные обязанности в отношении персональных данных детей, включая требование о проверяемом согласии родителей и ограничения на отдельные операции обработки, затрагивающие детей, - с учётом предусмотренных законом исключений и положений, о которых уведомляет правительство.
GDPR
GDPR не устанавливает универсального правила о согласии для лиц младше 18 лет, аналогичного DPDPA.
Для определённых услуг информационного общества, предлагаемых непосредственно детям, статья 8 устанавливает базовый возраст 16 лет для обработки на основании согласия, при этом государства-члены вправе снизить этот возраст, но не ниже 13 лет.
GDPR также требует от организаций учитывать особую уязвимость и интересы детей.
Ключевое различие: Индийский закон использует значительно более широкое определение «ребёнка» - лицо младше 18 лет, тогда как статья 8 GDPR касается конкретного контекста согласия.
8. Инспекторы по защите данных
DPDPA
DPDPA требует, чтобы значимый фидуциар данных (SDF) назначил инспектора по защите данных (DPO), который находится в Индии и выступает контактным лицом по вопросам обязанностей организации в области защиты данных.
Не каждый фидуциар данных автоматически обязан назначать предусмотренного законом DPO по DPDPA.
GDPR
Инспектор по защите данных по GDPR обязателен только в обстоятельствах, указанных в статье 37.
К ним относятся определённые виды регулярного и систематического мониторинга в крупном масштабе и определённая крупномасштабная обработка особых категорий персональных данных.
Ключевое различие: Оба режима признают роль DPO, но условия назначения и установленные законом обязанности различаются.
9. Представитель по вопросам конфиденциальности / местное присутствие
DPDPA
DPDPA не вводит прямого аналога представителя в ЕС по статье 27 GDPR.
Однако организациям, на которые распространяется DPDPA, следует поддерживать надлежащие механизмы управления, подотчётности и взаимодействия с регулятором.
GDPR
Некоторые организации за пределами ЕС могут быть обязаны назначить представителя в ЕС по статье 27.
Представитель выступает контактным лицом для физических лиц и надзорных органов по вопросам операций по обработке, которые ведёт организация.
Важно: коммерческую услугу «представителя в Индии» не следует описывать как предусмотренный DPDPA аналог представителя в ЕС по статье 27.
10. Уведомление об утечке данных
DPDPA
DPDPA и правила DPDP Rules устанавливают для фидуциаров данных обязанности, связанные с утечками.
Организациям следует поддерживать процедуры, которые обеспечивают:
- Обнаружение утечек персональных данных
- Оценку последствий
- Локализацию инцидентов
- Документирование решений
- Уведомление компетентного органа, когда это требуется
- Информирование затронутых субъектов данных, когда это требуется
Точные сроки уведомления и требования к внедрению следует указывать в соответствии с применимыми Правилами и положениями о вступлении в силу.
GDPR
По статье 33 контролёр, как правило, обязан уведомить компетентный надзорный орган об утечке персональных данных, отвечающей установленным критериям, без неоправданной задержки и, по возможности, в течение 72 часов с момента, когда ему стало о ней известно.
Если утечка может повлечь высокий риск для физических лиц, статья 34 может требовать сообщить о ней затронутым субъектам данных.
Ключевое различие: Не представляйте порядок уведомления об утечках в двух режимах как одинаковый лишь потому, что оба режима содержат обязанности, связанные с утечками.
11. Трансграничная передача данных
DPDPA
DPDPA разрешает трансграничную передачу данных с учётом ограничений, которые центральное правительство может ввести в отношении определённых стран или территорий.
Это означает, что DPDPA не устанавливает комплексного механизма передачи по образцу GDPR, основанного на решениях об адекватности, SCCs и BCRs.
GDPR
Международная передача данных по главе V GDPR требует надлежащего механизма передачи, например:
- Решения об адекватности
- Стандартные договорные условия (SCCs)
- Обязательные корпоративные правила (BCRs)
- Применимые исключения
В зависимости от механизма передачи и обстоятельств организациям может также потребоваться предусмотреть дополнительные гарантии и провести оценку рисков передачи.
12. Чувствительные данные / особые категории данных
DPDPA
DPDPA не воспроизводит предусмотренную GDPR отдельную категорию персональных данных особых категорий.
Вместо этого обязанности определяются такими факторами, как характер обработки, статус фидуциара данных и конкретные требования закона.
GDPR
Статья 9 предусматривает усиленную защиту особых категорий персональных данных, включая сведения, которые касаются:
- Здоровья
- Биометрических данных, используемых для идентификации
- Генетических данных
- Политических взглядов
- Религиозных или философских убеждений
- Членства в профсоюзах
- Расового или этнического происхождения
- Половой жизни или сексуальной ориентации
Для обработки необходимы и правовое основание по статье 6, и применимое условие статьи 9.
13. DPIA и оценки воздействия
DPDPA
Закон и Правила возлагают на значимых фидуциаров данных дополнительные обязанности в области управления и оценки.
К ним могут относиться требования об оценках воздействия, аудитах и других мерах, предписанных для SDF.
GDPR
Оценка воздействия на защиту данных (DPIA) обязательна, если обработка может повлечь высокий риск для прав и свобод физических лиц.
DPIA особенно актуальна для деятельности, связанной с крупномасштабной обработкой чувствительных данных, систематическим мониторингом или иной обработкой высокого риска.
Ключевое различие: Требования DPDPA об оценке воздействия тесно связаны с режимом значимых фидуциаров данных, тогда как DPIA по GDPR основаны на оценке риска.
14. Локализация данных
Ни один из режимов не следует описывать как устанавливающий общее требование о том, что все персональные данные должны оставаться в пределах страны или региона.
DPDPA
DPDPA разрешает трансграничную передачу данных с учётом ограничений, вводимых правительством.
К отдельным категориям данных могут применяться самостоятельные отраслевые требования - например, требования финансового сектора.
GDPR
GDPR не устанавливает общего требования о локализации данных в ЕС.
Вместо этого международная передача данных должна отвечать требованиям главы V.
15. Санкции
DPDPA
DPDPA предусматривает значительные денежные штрафы: максимальный штраф за отдельные определённые нарушения достигает ₹250 крор.
Применимый штраф зависит от характера и обстоятельств нарушения.
GDPR
За определённые серьёзные нарушения административные штрафы по GDPR могут достигать 20 млн евро или 4% мирового годового оборота за предыдущий финансовый год - в зависимости от того, какая сумма больше.
Важно: структуры санкций DPDPA и GDPR не следует сравнивать напрямую, просто пересчитывая валюты. Их правовые основы, методики расчёта штрафов и системы правоприменения различаются.
16. Регуляторы
Индия
Орган Data Protection Board of India учреждён в рамках DPDPA для выполнения функций, возложенных на него законом.
Организациям следует различать предусмотренную законом роль этого органа и поэтапное вступление в силу материальных обязанностей по DPDPA и Правилам.
Европейский союз
Правоприменение по GDPR осуществляют национальные надзорные органы по защите данных в юрисдикциях ЕС/ЕЭЗ, а Европейский совет по защите данных (EDPB) обеспечивает координацию и механизмы единообразия.
DPDPA vs GDPR: какой режим строже?
Простого ответа нет.
GDPR в целом более детален в таких областях, как:
- Правовые основания
- Права субъектов данных
- Переносимость данных
- Автоматизированное принятие решений
- Данные особых категорий
- Международная передача данных
- DPIA
- Подотчётность контролёров и обработчиков
У DPDPA иная регуляторная архитектура, в центре которой:
- Согласие
- Подотчётность фидуциаров данных
- Значимые фидуциары данных
- Данные детей
- Права субъектов данных
- Определённые законные виды использования
- Трансграничная передача данных, регулируемая правительством
Поэтому ни один из режимов не следует считать универсальным «базовым уровнем» для другого.
Может ли одна программа конфиденциальности охватить DPDPA и GDPR?
Да.
Основой может служить общая система управления конфиденциальностью, которую дополняют средства контроля, специфичные для Индии и ЕС.
1. Картирование данных
Ведите централизованный реестр, который охватывает:
- Собираемые персональные данные
- Цели обработки
- Субъектов данных (Data Subjects / Data Principals)
- Фидуциаров данных / контролёров
- Обработчиков данных
- Получателей
- Места хранения
- Международную передачу данных
- Сроки хранения
2. Управление согласиями
Выстройте систему согласий, которая поддерживает:
- Согласие по GDPR
- Согласие по DPDPA
- Отзыв согласия
- Учёт согласий
- Уведомления о конфиденциальности
- Управление предпочтениями
3. Управление правами в области конфиденциальности
Используйте единый рабочий процесс для управления следующим:
- Запросы субъектов данных по GDPR
- Запросы субъектов данных (Data Principal) по DPDPA
- Проверка личности
- Отслеживание запросов
- Сроки ответа
- Доказательства и журналы аудита
4. Управление поставщиками и обработчиками
Оцените:
- Обработчиков данных
- Субобработчиков
- Поставщиков услуг
- Облачных провайдеров
- Аналитические платформы
- Рекламные технологии
- Зарубежных поставщиков
5. Реагирование на утечки
Создайте единый процесс реагирования на инциденты с точками принятия решений, специфичными для каждой юрисдикции, по следующим вопросам:
- Классификация инцидентов
- Уведомление регулятора
- Уведомление физических лиц
- Сохранение доказательств
- Документирование
- Устранение последствий
6. Регуляторный мониторинг
Программы конфиденциальности должны постоянно отслеживать изменения и индийских, и европейских требований.
Для DPDPA это особенно важно, поскольку Правила в Индии были опубликованы в ноябре 2025 года, а режим внедряется поэтапно.
Часто задаваемые вопросы
DPDPA - это то же самое, что GDPR?
Нет. DPDPA включает понятия, знакомые по международному регулированию конфиденциальности, но имеет собственную правовую структуру, терминологию, систему прав, модель согласия и механизм правоприменения.
Заменяет ли DPDPA GDPR для компаний, работающих в Индии?
Нет. Организации может потребоваться соблюдать DPDPA в отношении обработки в Индии и одновременно GDPR, если выполнены требования GDPR о территориальной сфере действия.
Применяется ли DPDPA к компаниям за пределами Индии?
Возможно, да. DPDPA содержит положения, которые могут применяться к обработке за пределами Индии в связи с предложением товаров или услуг субъектам данных в Индии - в пределах сферы действия, установленной законом.
Требует ли DPDPA согласия на любую обработку?
Нет. Согласие - центральное основание обработки, но закон также определяет законные виды использования и иные предусмотренные им обстоятельства.
Есть ли в DPDPA основание «законные интересы», как в GDPR?
Нет. DPDPA не содержит широкого правового основания «законные интересы» по образцу статьи 6(1)(f). Вместо этого он предусматривает определённые законные виды использования.
Есть ли в DPDPA право на переносимость данных?
DPDPA не предусматривает общего права, аналогичного праву на переносимость данных по статье 20 GDPR.
Требует ли DPDPA назначать DPO?
Не от каждой организации. По закону значимый фидуциар данных обязан назначить DPO в Индии.
Требует ли DPDPA назначать представителя в Индии?
Прямого предусмотренного законом аналога требования статьи 27 GDPR о представителе в ЕС нет. Однако там, где это уместно, организациям следует наладить в Индии надлежащие механизмы управления и взаимодействия с регулятором.
Действует ли в DPDPA то же правило об уведомлении об утечке в течение 72 часов, что и в GDPR?
Два режима не следует описывать как одинаковые. Статья 33 GDPR содержит известное требование уведомлять надзорный орган в течение 72 часов об утечках, отвечающих установленным критериям. Обязанности при утечках по DPDPA регулируются законом и Правилами, включая применимые требования о вступлении в силу и внедрении.
Действует ли DPDPA в полном объёме?
Режим DPDPA вводится поэтапно. Правила DPDP Rules, 2025 были опубликованы 14 ноября 2025 года, и организациям следует проверять дату вступления в силу каждого положения, а не считать, что весь режим начинает действовать одновременно.
Соответствие DPDPA и GDPR с RegulatoryBridge
Если управлять требованиями Индии и ЕС в области конфиденциальности через раздельные процессы, это может привести к дублированию работы, несогласованным уведомлениям о конфиденциальности и разрозненным процессам обработки запросов о правах на данные.
RegulatoryBridge помогает организациям выстраивать согласованные программы соответствия в области конфиденциальности для разных юрисдикций.
Наша поддержка может включать:
- Оценку готовности и соответствия DPDPA
- Оценку соответствия GDPR
- Картирование и инвентаризацию данных
- Анализ уведомлений о конфиденциальности
- Управление согласиями
- Процессы обработки запросов субъектов данных (Data Principal и Data Subject)
- Оценку обработчиков данных / поставщиков
- Оценку трансграничной передачи данных
- Поддержку при DPIA и оценках воздействия
- Планирование реагирования на утечки
- Поддержку DPO и управления конфиденциальностью
- Регуляторный мониторинг
- Поддержку представительства по вопросам конфиденциальности в Индии и ЕС
- Постоянное управление соответствием
Охватите DPDPA и GDPR в рамках одной программы.
Сопоставьте средства контроля один раз, соответствуйте дважды. RegulatoryBridge предоставляет вам единый конвейер DSAR, единого DPO, единый план реагирования на нарушения - охватывающий обе системы.