Privacidad y protección de datos
DPDP Act
La Digital Personal Data Protection Act (DPDP) de la India
La DPDP Act es la ley de la India que regula el tratamiento de datos personales digitales. Le ayudamos a comprender sus obligaciones como Data Fiduciary, a establecer los controles adecuados y a demostrar el cumplimiento.
Qué es DPDP Act
La Digital Personal Data Protection Act, 2023 de la India regula el tratamiento de datos personales digitales. Se construye en torno al consentimiento y la notificación, exige una base lícita para el tratamiento e impone obligaciones a los Data Fiduciaries, las entidades que determinan la finalidad y los medios del tratamiento, frente a los Data Principals, las personas a las que se refieren los datos.
La DPDP Act es una regulación cuyo cumplimiento usted demuestra, no una norma frente a la que se certifica. Introduce conceptos como los consent managers, obligaciones relativas a los datos de menores y la posibilidad de que determinadas organizaciones sean designadas como Significant Data Fiduciaries con deberes adicionales. Su funcionamiento detallado se perfila mediante las reglas dictadas al amparo de la ley, por lo que el cumplimiento significa mantenerse alineado tanto con la ley como con sus reglas de desarrollo.
La estructura de la ley
Notificación y consentimiento
Un Data Fiduciary debe ofrecer una notificación clara y detallada y obtener un consentimiento libre, específico, informado e inequívoco antes de tratar datos personales, siendo el consentimiento tan fácil de retirar como lo fue de otorgar.
Fundamentos lícitos
El tratamiento debe basarse en el consentimiento o en usos legítimos definidos, como una finalidad para la que la persona ha facilitado voluntariamente sus datos o determinadas funciones estatales y de empleo.
Deberes del Data Fiduciary
La entidad que decide la finalidad y los medios del tratamiento debe mantener los datos exactos, conservarlos solo el tiempo necesario, aplicar salvaguardas de seguridad razonables e informar de las brechas de datos personales.
Derechos de los Data Principals
Las personas pueden acceder a sus datos y corregirlos, solicitar su supresión, designar a otra persona para que actúe en su nombre y presentar reclamaciones ante el Data Fiduciary.
Menores y tutores
El tratamiento de los datos de menores y de personas con un tutor legal requiere el consentimiento verificable del tutor, quedando generalmente restringidos el seguimiento, la monitorización del comportamiento y la publicidad dirigida.
Significant Data Fiduciary
Las organizaciones que el gobierno designa en esta categoría asumen deberes adicionales, incluida la designación de un delegado de protección de datos en la India, un auditor de datos independiente y evaluaciones de impacto relativas a la protección de datos periódicas.
Consent Managers
La ley prevé Consent Managers registrados a través de los cuales las personas pueden otorgar, gestionar, revisar y retirar el consentimiento mediante una plataforma accesible.
Data Protection Board of India
Un Board independiente conoce las reclamaciones, ordena medidas correctivas y de mitigación ante las brechas y puede imponer sanciones pecuniarias por incumplimiento.
Quién lo necesita
- Organizaciones en la India que tratan los datos personales digitales de personas
- Empresas fuera de la India que tratan datos personales en relación con la oferta de bienes o servicios a personas en la India
- Negocios de SaaS y de plataforma que manejan datos de usuarios indios como Data Fiduciary o por cuenta de un fiduciary
Qué obtiene
- Un ejercicio de mapeo de datos y una evaluación de su rol conforme a la ley
- Mecanismos de consentimiento y notificación y procesos para los derechos de los Data Principals
- Gobernanza y políticas alineadas con la ley y sus reglas
- Salvaguardas de seguridad con evidencia de pruebas de penetración
Los plazos dependen del volumen y la sensibilidad de los datos que usted trata y de su madurez actual. Definimos el alcance con honestidad desde el principio en lugar de prometer un número fijo de semanas.
Versión actual
La ley aplicable es la Digital Personal Data Protection Act, 2023. Las Digital Personal Data Protection Rules, 2025 se notificaron el 13 de noviembre de 2025 y dotan a la ley de su detalle operativo, entrando en vigor sus disposiciones por fases en lugar de todas a la vez. Algunas obligaciones se aplicaron desde la notificación mientras que otras, incluidos varios deberes básicos de cumplimiento, siguen tras una ventana de transición, de modo que la fecha práctica en la que su organización debe cumplir un requisito dado depende de la disposición bajo la que recae. Hacemos seguimiento del escalonamiento y le decimos qué se aplica a usted y cuándo, en lugar de tratar todo el marco como vigente desde el primer día.
Qué cuesta
La DPDP Act es una ley cuyo cumplimiento usted demuestra, no una norma frente a la que se certifica, por lo que no hay certificado que comprar ni organismo de certificación acreditado de por medio. Los costes que van en paralelo son nuestros honorarios de asesoramiento e implementación con alcance definido, cotizados desde el principio una vez que comprendemos su tamaño, su rol conforme a la ley y su punto de partida, y cualquier gasto aparte que usted elija en aportaciones independientes como un auditor de datos, asesoramiento jurídico externo o un delegado de protección de datos, lo cual es especialmente relevante si está designado como Significant Data Fiduciary. Esas partes fijan sus propios honorarios con sus propios calendarios, y nosotros nunca somos el auditor, el Board ni el regulador. Definimos el alcance con usted en lugar de cotizar a ciegas.
Cómo tr3labs le lleva hasta allí
Evaluación de alcance y de brechas
Mapeamos su tratamiento de datos personales digitales, confirmamos su rol conforme a la ley y medimos sus prácticas actuales frente a sus obligaciones de consentimiento, notificación y seguridad.
Construir los controles y las notificaciones
Le ayudamos a implementar mecanismos lícitos de consentimiento y notificación, procesos para los derechos de los Data Principals y la gobernanza que la ley espera, incluidas las obligaciones relativas a los datos de menores cuando proceda.
Asegurar los datos
Evaluamos y reforzamos sus salvaguardas de seguridad y empleamos pruebas de penetración para evidenciar que los datos personales están debidamente protegidos frente a las brechas.
Preparación y apoyo continuo
Reunimos la documentación que demuestra el cumplimiento y lo mantenemos alineado a medida que evolucionan las reglas al amparo de la ley, incluidos los deberes adicionales si usted es un Significant Data Fiduciary.
La India DPDP Act y la GDPR en paralelo
Ambas son leyes de privacidad basadas en el consentimiento y los derechos, con roles y deberes similares, por lo que los equipos a menudo asumen que alinearse con una cubre la otra.
| India DPDP Act | GDPR | |
|---|---|---|
| Cubre | Datos personales digitales de personas en la India | Datos personales de personas en la UE y el EEE |
| Quién la aplica | Data Protection Board of India | Las autoridades de control nacionales de cada Estado miembro |
| Idea central | Deberes guiados por el consentimiento para los Data Fiduciaries | Base lícita y responsabilidad proactiva para los responsables del tratamiento |
| Fundamentos lícitos | Consentimiento o usos legítimos definidos | Seis bases lícitas, incluido el interés legítimo |
| Modelo de auditoría | Sin certificado; cumplimiento evidenciado mediante registros | Sin certificado; cumplimiento evidenciado mediante registros |
| A menudo junto con | Programas ISO 27001 y HIPAA | ISO 27001 y trabajo de privacidad sectorial |
Preguntas frecuentes sobre DPDP Act
- ¿A quién se aplica la DPDP Act?
- Se aplica al tratamiento de datos personales digitales en la India y al tratamiento fuera de la India cuando está relacionado con la oferta de bienes o servicios a personas en la India. Le ayudamos a confirmar si se aplica y cómo durante la definición del alcance.
- ¿Qué es un Data Fiduciary?
- Un Data Fiduciary es la entidad que determina la finalidad y los medios del tratamiento de datos personales, un concepto en términos generales similar al de responsable del tratamiento conforme a la GDPR. Determinadas organizaciones pueden ser designadas como Significant Data Fiduciaries con obligaciones adicionales. Establecer su rol es una de las primeras cosas que hacemos.
- ¿Es el cumplimiento de la DPDP una certificación?
- No. La DPDP Act es una regulación cuyo cumplimiento usted demuestra, no una norma certificable. El cumplimiento se demuestra mediante mecanismos de consentimiento y notificación, procesos documentados, salvaguardas de seguridad y registros. Le ayudamos a construir y mantener esa evidencia.
Los servicios que te llevan hasta allí
Normas relacionadas
Lectura relacionada
La DPDP Act de la India: una guía práctica de cumplimiento (2025)
Qué exige la Digital Personal Data Protection (DPDP) Act de la India, quién se considera un responsable de los datos (Data Fiduciary), qué añaden las Reglas de 2025, las sanciones y un camino práctico hacia el cumplimiento.
9 min de lectura
El OWASP LLM Top 10, explicado: una guía en lenguaje sencillo para equipos que lanzan funcionalidades de IA
A clear, practical walkthrough of the OWASP Top 10 risks for LLM applications, in Spanish.
9 min de lectura
Cómo leer un informe de test de intrusión (VAPT): una guía en lenguaje sencillo para equipos
Un recorrido práctico, sección por sección, por lo que contiene un informe de test de intrusión, para que fundadores y equipos de ingeniería puedan leerlo con confianza y actuar según lo que dice.
8 min de lectura