المدونة
قانون DPDP الهندي: دليل عملي للامتثال (2025)
· ٩ دقائق للقراءة
باختصار
- قانون DPDP Act لعام 2023 هو قانون حماية البيانات في الهند؛ وهو ينظّم البيانات الشخصية الرقمية للأشخاص في الهند، كما ينطبق على الشركات الأجنبية التي تقدّم سلعًا أو خدمات للمستخدمين الهنود.
- إذا كنت أنت من يحدّد سبب معالجة البيانات الشخصية وكيفيتها، فأنت وصيّ على البيانات (Data Fiduciary) وتتحمّل الواجبات الأساسية: الموافقة المشروعة، وتحديد الغرض، والضمانات الأمنية، والإخطار بالاختراقات.
- تضيف مسودة قواعد DPDP لعام 2025 التفاصيل التشغيلية، ويجري تفعيلها على مراحل، مما يتيح نافذة انتقالية.
- تصل العقوبات إلى ₹250 crore عند الإخفاق في اتخاذ ضمانات أمنية معقولة, لذا فإن أسرع طريقة لتقليل مخاطر DPDP هي العمل نفسه الذي يمنع الاختراقات.
يُعدّ قانون حماية البيانات الشخصية الرقمية لعام 2023 (Digital Personal Data Protection Act, 2023)، أي قانون DPDP، أول قانون مستقل لحماية البيانات في الهند. وهو ينظّم كيفية قيام المؤسسات بجمع البيانات الشخصية الرقمية للأفراد في الهند وتخزينها واستخدامها، ويفرض عقوبات مالية ضخمة بما يكفي ليصبح الامتثال اليوم مسألة على مستوى مجلس الإدارة، لا مجرد هامش قانوني.
يشرح هذا الدليل ما يتطلبه القانون بعبارات واضحة، وعلى من ينطبق، وما الذي تضيفه مسودة لوائح DPDP لعام 2025، إضافةً إلى تسلسل عملي لتحقيق الامتثال. وهو مكتوب لفرق الهندسة والأمن، لا للمحامين، ويمثّل معلومات عامة لا نصيحة قانونية.
ما هو قانون DPDP؟
ينظّم قانون حماية البيانات الشخصية الرقمية لعام 2023 (Digital Personal Data Protection Act, 2023) معالجة البيانات الشخصية الرقمية, أي بيانات تخصّ فردًا قابلاً للتعريف تُجمع بشكل رقمي، أو تُجمع ورقيًّا ثم تُرقمن لاحقًا. وينطبق على المعالجة داخل الهند، وعلى المعالجة خارج الهند متى كانت متعلقة بتقديم سلع أو خدمات للأفراد في الهند.
يقوم القانون على مبدأي الموافقة والمساءلة: لا يجوز لك معالجة البيانات الشخصية لأي شخص إلا لغرض مشروع، وبموافقته أو ضمن مجموعة محدودة من 'الاستخدامات المشروعة'، وتبقى مسؤولاً عن الحفاظ على أمان تلك البيانات وحذفها بمجرد تحقيق الغرض منها.
على من ينطبق: الأوصياء على البيانات ومعالجوها وأصحابها
يستخدم القانون ثلاثة أدوار رئيسية. فصاحب البيانات (Data Principal) هو الفرد الذي تخصّه البيانات. والوصي على البيانات (Data Fiduciary) هو المؤسسة التي تقرّر لماذا وكيف تُعالَج البيانات, وهو ما يعادل 'المتحكم' (controller) بموجب GDPR. ومعالج البيانات (Data Processor) هو من يعالج البيانات نيابةً عن الوصي، بموجب عقد.
إذا كانت مؤسستك هي التي تقرّر ما البيانات الشخصية التي تُجمع ولماذا، فأنت وصيّ على البيانات (Data Fiduciary) وتقع عليك الالتزامات الأساسية. ويمكن تصنيف المؤسسات الأكبر أو الأعلى مخاطرةً باعتبارها أوصياء بيانات ذوي أهمية (Significant Data Fiduciaries)، وهو ما يضيف واجبات مثل تعيين مسؤول حماية البيانات (DPO) في الهند، وتكليف جهات مستقلة بإجراء عمليات تدقيق لحماية البيانات، وتنفيذ تقييمات دورية للأثر.
الالتزامات الأساسية بموجب القانون
الموافقة والإشعار: اجمع البيانات الشخصية على أساس موافقة حرة ومحددة ومستنيرة ولا لبس فيها، مسبوقةً بإشعار واضح يبيّن ما تجمعه ولماذا. ويجب أن يكون سحب الموافقة بنفس سهولة منحها.
تحديد الغرض والتقليل إلى الحد الأدنى: اجمع فقط ما يحتاجه الغرض المعلن، واستخدمه لذلك الغرض وحده، واحذفه بمجرد تحقيق الغرض أو سحب الموافقة, ما لم يُلزمك قانون بالاحتفاظ به.
الضمانات الأمنية: اتخذ تدابير تقنية وتنظيمية معقولة لحماية البيانات الشخصية. والإخفاق في ذلك هو أشدّ المخالفات عقوبةً في القانون على الإطلاق.
الإخطار بالاختراق: عند حدوث اختراق للبيانات الشخصية، أخطر كلًّا من مجلس حماية البيانات في الهند (Data Protection Board of India) وكل صاحب بيانات (Data Principal) متضرر.
حقوق أصحاب البيانات: امنح الأفراد وسيلةً للوصول إلى بياناتهم وتصحيحها وحذفها، ومسارًا لمعالجة الشكاوى، وإمكانية تسمية شخص يتصرف نيابةً عنهم.
ما الذي تضيفه مسودة لوائح DPDP لعام 2025
أرسى القانون الإطار العام؛ أما التفاصيل التشغيلية فتقع ضمن اللوائح. وقد نُشرت مسودة لوائح حماية البيانات الشخصية الرقمية للتشاور العام في يناير 2025، ومن المتوقع أن تدخل حيّز التنفيذ على مراحل، بما يمنح المؤسسات نافذة انتقالية بدلاً من موعد نهائي واحد يحلّ بين عشية وضحاها.
تفصّل مسودة اللوائح كيفية صياغة الإشعارات، وكيفية تسجيل مديري الموافقة وعملهم، وتفاصيل الإخطار بالاختراق، وضمانات إضافية لبيانات الأطفال وبيانات أوصياء البيانات ذوي الأهمية (Significant Data Fiduciary)، والممارسات الأمنية المعقولة المتوقعة من كل وصيّ. تعامل معها باعتبارها قائمة التحقق التنفيذية التي يشير إليها القانون.
عقوبات عدم الامتثال
تُحدَّد العقوبات في جدول خاص ويقدّرها مجلس حماية البيانات في الهند (Data Protection Board of India). وترتبط أكبر عقوبة, تصل إلى ₹250 crore لكل حالة, بالإخفاق في اتخاذ ضمانات أمنية معقولة لمنع اختراق البيانات الشخصية. أما الإخفاق في الإخطار بالاختراق، ومخالفة واجبات حماية بيانات الأطفال، فيستوجبان عقوبات تصل إلى ₹200 crore.
ولأن العقوبة الأبرز مرتبطة بالضمانات الأمنية، فإن أسرع طريق لتقليل مخاطر DPDP هو العمل ذاته الذي يقلّل مخاطر الاختراق عمومًا: اكتشاف نقاط الضعف القابلة للاستغلال في الأنظمة التي تحتفظ بالبيانات الشخصية وإصلاحها، قبل أن يسبقك إليها مهاجم أو جهة تنظيمية.
مسار عملي نحو الامتثال
ارسم خريطة بياناتك: اعدد البيانات الشخصية التي تجمعها، وأين تقيم، ومن يمكنه الوصول إليها، ولماذا. فلا يمكنك حماية أو حذف ما لم ترسم له خريطة.
أصلح تدفق الموافقة والإشعار: اجعل الإشعارات واضحة، والموافقة مفصّلة، والسحب سهلاً، وسجّل الموافقة لتتمكن من إثباتها.
حصّن الأنظمة التي تحتفظ بالبيانات الشخصية: افرض الوصول بأقل صلاحية ممكنة، والتشفير، وتسجيل الأحداث، وخطة مختبَرة للاستجابة للاختراق, وتحقّق منها عبر اختبار اختراق بدلاً من افتراض متانتها.
حدّد الاحتفاظ والحذف: اضبط مدة الاحتفاظ بكل فئة من البيانات، وأتمِت الحذف عند انتهاء الغرض أو سحب الموافقة.
أرسِ الحوكمة: وزّع المسؤوليات، وجهّز أدلة تشغيل الإخطار بالاختراق، و, إن كنت وصيًّا على بيانات ذا أهمية (Significant Data Fiduciary), عيّن مسؤول حماية بيانات (DPO) وحدّد جدولاً لعمليات تدقيق مستقلة.
اربط DPDP بالأطر التي قد تطبّقها بالفعل: يتداخل جزء كبير من الأدلة الأمنية مع SOC 2 وISO 27001، بحيث يمكن لبرنامج واحد أن يخدم الثلاثة معًا.
الأسئلة الشائعة
- ما هو قانون DPDP؟
- قانون حماية البيانات الشخصية الرقمية لعام 2023 (Digital Personal Data Protection Act, 2023) هو قانون حماية البيانات في الهند. وهو ينظّم كيفية معالجة المؤسسات للبيانات الشخصية الرقمية للأفراد في الهند، ويشترط الموافقة والضمانات الأمنية المعقولة، ويُنفَّذ من قبل مجلس حماية البيانات في الهند (Data Protection Board of India) بعقوبات تصل إلى ₹250 crore.
- من هو الوصي على البيانات (Data Fiduciary) بموجب قانون DPDP؟
- الوصي على البيانات (Data Fiduciary) هو أي شخص أو مؤسسة يقرّر، بمفرده أو مع آخرين، غرض ووسائل معالجة البيانات الشخصية, وهو ما يعادل 'المتحكم' (controller) بموجب GDPR. فإن كنت أنت من يقرّر ما البيانات الشخصية التي تُجمع ولماذا، فأنت وصيّ على البيانات وتقع عليك الالتزامات الأساسية.
- ما هي العقوبات بموجب قانون DPDP؟
- تُحدَّد العقوبات بموجب جدول خاص ويفرضها مجلس حماية البيانات في الهند (Data Protection Board of India). ويبلغ الحد الأقصى ما يصل إلى ₹250 crore لكل حالة عند الإخفاق في اتخاذ ضمانات أمنية معقولة لمنع اختراق البيانات الشخصية؛ أما الإخفاق في الإخطار بالاختراق أو مخالفة واجبات حماية بيانات الأطفال فقد يبلغ ₹200 crore.
- متى يدخل قانون DPDP حيّز التنفيذ؟
- صدر القانون في عام 2023، ونُشرت مسودة لوائح DPDP للتشاور في يناير 2025. ويجري إدخال الإطار حيّز التنفيذ على مراحل بدلاً من تاريخ واحد، بما يمنح المؤسسات نافذة انتقالية للامتثال.
- هل ينطبق قانون DPDP على الشركات خارج الهند؟
- نعم. ينطبق القانون على معالجة البيانات الشخصية خارج الهند متى كانت تلك المعالجة مرتبطة بتقديم سلع أو خدمات لأصحاب البيانات (Data Principals) داخل الهند، ومن ثمّ فإن الشركات الأجنبية التي تخدم مستخدمين هنودًا تقع ضمن النطاق.
هذا المقال معلومات عامة عن قانون DPDP، وليس نصيحة قانونية. تحقّق من التزاماتك المحددة مع مستشار قانوني مؤهل.
المهام بنطاق وسعر ثابتين بعد الاتفاق. إن لم تكن متأكداً أي خدمة تناسبك، سواء أكانت الجاهزية للشهادات أم الاستشارات في الحوكمة والمخاطر والامتثال أم اختبار اختراق، صف وضعك وسنقترح نطاقاً، بما في ذلك إخبارك بصدق إن كنت لا تحتاجنا بعد.