Indiens Digital Personal Data Protection Act verändert, wie jedes Unternehmen mit indischen Nutzerinnen und Nutzern personenbezogene Daten behandelt. Wenn Sie Namen, E-Mail-Adressen, Telefonnummern oder Gerätekennungen von Menschen in Indien erheben, gilt der DPDPA für Sie. Hier ist eine klare Checkliste zum Abarbeiten – geschrieben für Teams, die das richtig machen wollen, ohne in Juristensprache zu versinken.
Beginnen Sie mit Hinweis und Einwilligung
Der DPDPA ist rund um die informierte Einwilligung gebaut. Bevor Sie personenbezogene Daten erheben, müssen Sie den Menschen in klaren Worten sagen, was Sie erheben und warum.
- Veröffentlichen Sie einen klaren Datenschutzhinweis, der die erhobenen Daten und den Zweck jeder Nutzung auflistet.
- Bieten Sie den Hinweis auf Englisch an und, wo es für Ihre Nutzerinnen und Nutzer wichtig ist, in ihrer bevorzugten indischen Sprache.
- Machen Sie die Einwilligung spezifisch. Unzusammenhängende Zwecke in ein einziges Ich stimme zu zu bündeln, ist nicht gültig.
- Machen Sie den Widerruf so einfach wie die Einwilligung. Eine vergrabene E-Mail-Anfrage zählt nicht.
Der Grundsatz, den Sie sich merken sollten: Einwilligung muss freiwillig, spezifisch, informiert und unmissverständlich sein. Wenn eine vernünftige Person nicht verstehen würde, wozu sie zugestimmt hat, haben Sie keine gültige Einwilligung.
Erfassen Sie Ihre Daten und Ihre Auftragsverarbeiter
Sie können keine Daten schützen, die Sie nicht erfasst haben. Halten Sie zuallererst fest, was Sie erheben, wo es liegt und wer sonst noch darauf zugreift.
- Listen Sie jedes Formular, jeden Tracker und jede Integration auf, die personenbezogene Daten sammelt.
- Bestimmen Sie jeden Dritten, mit dem Sie Daten teilen, und stellen Sie sicher, dass er vertraglich gebunden ist.
- Notieren Sie, wo Daten gespeichert werden und wie lange Sie sie aufbewahren.
- Legen Sie je Kategorie eine Aufbewahrungsfrist fest und löschen Sie die Daten, sobald der Zweck erfüllt ist.
Respektieren Sie die Rechte der Data Principals
Nach dem DPDPA ist die Person, deren Daten Sie verarbeiten, der Data Principal, und sie hat echte Rechte. Ihre Website braucht einen funktionierenden Weg, diese Rechte umzusetzen.
- Stellen Sie einen Weg bereit, Auskunft über die eigenen Daten zu verlangen.
- Ermöglichen Sie die Berichtigung und Aktualisierung unrichtiger Daten.
- Unterstützen Sie die Löschung, sobald die Daten nicht mehr benötigt werden.
- Bieten Sie einen Beschwerdekanal an und antworten Sie innerhalb einer angemessenen Frist.
Bauen Sie das als Workflow, nicht als einmaliges Entgegenkommen. Wenn Anfragen eintreffen, wollen Sie einen nachverfolgten Prozess mit Fristen, kein hektisches Wühlen im Postfach.
Gehen Sie sorgfältig mit Kinderdaten um
Der DPDPA legt für alle unter achtzehn Jahren einen strengeren Maßstab an. Wenn Kinder Ihren Dienst nutzen könnten, können Sie das nicht ignorieren.
- Holen Sie eine nachweisbare Einwilligung der Eltern ein, bevor Sie Daten eines Kindes verarbeiten.
- Betreiben Sie kein Tracking und keine verhaltensbasierte Werbung, die sich an Kinder richtet.
- Ergänzen Sie ein Alterssignal oder eine Altersprüfung, damit Kinderkonten standardmäßig die strengere Behandlung erhalten.
Am sichersten ist die Annahme, dass ein Teil Ihrer Nutzerinnen und Nutzer minderjährig ist – und ein Einwilligungsablauf, der ihre Daten ohne klare Zustimmung eines Elternteils nie für Werbung verarbeitet.
Bewahren Sie vorzeigbare Nachweise auf
Eine Einwilligung, die Sie nicht belegen können, ist keine Einwilligung. Behörden und Prüfer werden fragen, woher Sie wissen, dass eine Person zugestimmt hat.
- Erfassen Sie jede Einwilligung mit Zeitstempel und der Version des angezeigten Hinweises.
- Führen Sie ein manipulationssicheres Protokoll, damit der Eintrag später nicht unbemerkt geändert werden kann.
- Machen Sie die Nachweise exportierbar, damit Sie eine Anfrage schnell beantworten können.
Alles zusammengesetzt
Hinweis, spezifische Einwilligung, einfacher Widerruf, erfasste Daten, funktionierende Rechte, sorgfältiger Umgang mit Kindern und belastbare Nachweise. Das ist das Rückgrat der DPDPA-Bereitschaft. Nichts davon ist exotisch, aber es muss bewusst geschehen und im Produkt verankert sein, statt nachträglich angeflanscht zu werden.
Wenn Sie eine Einwilligungsebene wollen, die Hinweis, Widerruf, DSAR-Workflows und manipulationssichere Nachweise von Haus aus abdeckt: Starten Sie kostenlos mit ConsentX und erfassen Sie Ihren Datenfußabdruck an einem Nachmittag.