La DPDP Act de la India: una guía práctica de cumplimiento (2025)

La Digital Personal Data Protection Act, 2023 regula el tratamiento de datos personales digitales, es decir, cualquier dato sobre una persona identificable que se recopile en formato digital, o que se recopile en papel y se digitalice posteriormente. Se aplica al tratamiento dentro de la India y al tratamiento fuera de la India cuando esté relacionado con la oferta de bienes o servicios a personas en la India.

La Ley se articula en torno al consentimiento y la rendición de cuentas: solo puede tratar los datos personales de alguien para un fin lícito, con su consentimiento o al amparo de un pequeño conjunto de 'usos legítimos', y sigue siendo responsable de mantener esos datos seguros y de eliminarlos una vez cumplido el fin.

La Ley emplea tres funciones clave. Un interesado (Data Principal) es la persona a la que se refieren los datos. Un responsable de los datos (Data Fiduciary) es la organización que decide por qué y cómo se tratan los datos, el equivalente a un 'responsable del tratamiento' (controller) bajo el GDPR. Un encargado del tratamiento (Data Processor) trata los datos por cuenta de un responsable, en virtud de un contrato.

Si su organización decide qué datos personales recopilar y por qué, usted es un responsable de los datos (Data Fiduciary) y asume las obligaciones principales. Las organizaciones de mayor tamaño o de mayor riesgo pueden ser designadas como Significant Data Fiduciaries, lo que añade deberes como nombrar a un Data Protection Officer en la India, encargar auditorías independientes de protección de datos y llevar a cabo evaluaciones de impacto periódicas.

Consentimiento y aviso: recopile datos personales sobre la base de un consentimiento libre, específico, informado e inequívoco, precedido de un aviso claro que indique qué recopila y por qué. Retirar el consentimiento debe ser tan fácil como otorgarlo.

Limitación de la finalidad y minimización: recopile únicamente lo que necesite la finalidad declarada, utilícelo solo para esa finalidad y bórrelo una vez cumplida la finalidad o retirado el consentimiento, salvo que una ley le exija conservarlo.

Salvaguardas de seguridad: adopte medidas técnicas y organizativas razonables para proteger los datos personales. No hacerlo es la infracción más fuertemente sancionada de la Ley.

Notificación de brechas: ante una brecha de datos personales, notifique tanto al Data Protection Board of India como a cada interesado (Data Principal) afectado.

Derechos del interesado: ofrezca a las personas una vía para acceder, corregir y borrar sus datos, un cauce de resolución de reclamaciones y la posibilidad de designar a alguien que actúe en su nombre.

La Ley estableció el marco; el detalle operativo reside en las Reglas. El borrador de las Digital Personal Data Protection Rules se publicó para consulta pública en enero de 2025 y se prevé que entre en vigor por fases, lo que concede a las organizaciones un periodo de transición en lugar de un único plazo repentino.

El borrador de las Reglas desarrolla cómo deben redactarse los avisos, cómo se registran y operan los gestores de consentimiento, los detalles de la notificación de brechas, salvaguardas adicionales para los datos de menores y de los Significant Data Fiduciaries, y las prácticas de seguridad razonables que se esperan de cada responsable. Trátelas como la lista de verificación de implementación a la que apunta la Ley.

Las sanciones se establecen en un anexo y las evalúa el Data Protection Board of India. La mayor, de hasta ₹250 crore por caso, se vincula a no adoptar salvaguardas de seguridad razonables para prevenir una brecha de datos personales. No notificar una brecha, así como las infracciones de los deberes relativos a los datos de menores, conllevan sanciones de hasta ₹200 crore.

Dado que la sanción principal está ligada a las salvaguardas de seguridad, la forma más rápida de reducir el riesgo bajo la DPDP es el mismo trabajo que reduce el riesgo de brechas en general: encontrar y corregir las debilidades explotables de los sistemas que contienen datos personales, antes de que lo haga un atacante o un regulador.

Mapee sus datos: enumere los datos personales que recopila, dónde residen, quién puede acceder a ellos y por qué. No puede proteger ni eliminar lo que no ha mapeado.

Corrija el flujo de consentimiento y aviso: haga que los avisos sean claros, el consentimiento granular y la retirada sencilla, y registre el consentimiento para poder demostrarlo.

Refuerce los sistemas que contienen datos personales: imponga acceso con mínimos privilegios, cifrado, registro de eventos y un plan de respuesta a brechas probado, y verifíquelo con una prueba de penetración en lugar de suponer que se sostiene.

Establezca retención y eliminación: defina cuánto tiempo se conserva cada categoría de datos y automatice el borrado cuando finalice la finalidad o se retire el consentimiento.

Ponga en marcha la gobernanza: asigne responsabilidades, prepare los manuales de notificación de brechas y, si es un Significant Data Fiduciary, nombre a un DPO y programe auditorías independientes.

Correlacione la DPDP con marcos que quizá ya aplique: gran parte de la evidencia de seguridad se solapa con SOC 2 e ISO 27001, de modo que un único programa puede servir a los tres.