DPDP Act 2023: Почему «законный интерес» не пройдет в Индии?

Что случилось? Индия переписывает правила игры

В 2023 году Индия приняла Digital Personal Data Protection Act (DPDP Act), который кардинально меняет подход к обработке персональных данных. Одно из самых громких отличий от GDPR — отсутствие «законного интереса» как самостоятельного правового основания. Вместо этого закон предлагает свой набор условий, которые заставят компании пересмотреть стратегии сбора данных.

Представьте, что вы приходите в ресторан, а официант говорит: «Мы можем использовать ваши данные, потому что нам так удобно». В Индии такой номер не пройдет. DPDP Act требует четкого согласия или выполнения конкретных законных функций.

Какие основания остались? Список для бизнеса

DPDP Act выделяет два основных легальных пути: согласие и определенные законные цели. Согласие должно быть свободным, конкретным, информированным и однозначным — никаких предустановленных галочек. Законные цели включают, например, выполнение государственных функций, соблюдение судебных решений, медицинские экстренные случаи и обработку для найма сотрудников.

Важно: «законный интерес» бизнеса (как в GDPR) не признается. Если вы хотите обрабатывать данные для маркетинга или улучшения сервиса — только через согласие. Это как если бы вам нужно было каждый раз спрашивать разрешение, прежде чем использовать чужую зубную щетку. Неудобно, зато честно.

Featured Snippet: Чем DPDP Act отличается от GDPR в части оснований?

В отличие от GDPR, DPDP Act не включает «законный интерес» как основание обработки. Вместо этого он предлагает ограниченный перечень законных целей (например, государственные функции, экстренные ситуации) и требует согласия для всех коммерческих целей. Это делает индийский закон более строгим для бизнеса, но более прозрачным для пользователей.

Как это повлияет на международные компании?

Компании, работающие в Индии, больше не смогут ссылаться на «законный интерес» для обработки данных без согласия. Это означает, что придется переписывать политики конфиденциальности, внедрять механизмы получения согласия и пересматривать договоры с партнерами. Особенно это затронет рекламные сети, аналитику и HR-процессы.

Например, если вы используете данные пользователей для таргетированной рекламы на основе их поведения на сайте, раньше можно было оправдаться «законным интересом». Теперь — только явное согласие. И да, отозвать его можно в любой момент.

Что делать бизнесу? Практические шаги

• Провести аудит всех процессов обработки данных и определить, какие из них требуют согласия.
• Внедрить механизмы получения согласия (например, cookie-баннеры с возможностью выбора).
• Обновить политику конфиденциальности, четко указав правовые основания для каждого типа обработки.
• Обучить сотрудников новым требованиям, особенно в отделах маркетинга и HR.

Не ждите, пока штрафы заставят вас действовать. DPDP Act предусматривает серьезные санкции — до 250 крор рупий (около $30 млн). Лучше потратить время на compliance сейчас, чем потом платить.

FAQ