Intian datalaki tulee voimaan: Startupit toimivat eri tahdissa

Intian uusi digitaalisen henkilötiedon suojaa koskeva laki (Digital Personal Data Protection, DPDP) astuu voimaan vaiheittain, ja yrityksillä on reilut neljä kuukautta aikaa ensimmäiseen vaatimustenmukaisuuspisteeseen ja noin 10 kuukautta lain täysimääräiseen voimaantuloon.

Lain rikkomisesta määrättävät sakot ovat merkittäviä, jopa 250 miljoonaa rupiaa (noin 2,7 miljoonaa euroa) kohtuuttomista turvatoimista tai 200 miljoonaa rupiaa (noin 2,1 miljoonaa euroa) tietovuotojen raportoinnin tai lasten tietojen väärinkäytön osalta. Marraskuussa käyttöön otettava suostumusten hallintajärjestelmä on ensimmäinen merkittävä vaatimus, jota seuraavat laajemmat säännökset toukokuussa 2027.

Valmistautuminen lakiin on kuitenkin vaihtelevaa. EY Intian kyselyn mukaan vain harvat yritykset ovat päivittäneet tietosuojakäytäntönsä tai hallintorakenteensa DPDP:n mukaisiksi. Sääntelyalojen kuten FinTechin, pankki-, vakuutus- ja telekommunikaatioalan yritykset ovat pidemmällä valmistautumisessa, osittain siksi, että tietosuoja on jo entuudestaan keskeinen osa niiden toimintaa. Myös globaalit yritykset soveltavat olemassa olevia GDPR-prosessejaan Intiaan.

Sen sijaan perinteisillä aloilla, kuten valmistavassa teollisuudessa, vähittäiskaupassa ja kiinteistöalalla, sekä monissa keskisuurissa yrityksissä, valmistautuminen on hitaampaa. Useita yrityksiä kamppailee perustavanlaatuisen vaiheen, eli tiedonkeruun, tallennuksen ja käytön ymmärtämisessä, ennen kuin muita toimenpiteitä voidaan edes aloittaa. Erityisen haastavaa tilanne on mikro- ja pienille sekä keskisuurille yrityksille (MSME), joilla on rajallisemmat resurssit ja budjetit tietosuojakonsultointiin ja teknologisiin investointeihin.