Indiens dataskyddslag träder i kraft – startups varierar i beredskap
Indiens nya regler för skydd av personuppgifter (DPDP) är på plats, och företag har mindre än ett år på sig att uppnå full efterlevnad. Potentialen för böter är betydande.
Indiens lag om skydd för digitala personuppgifter (DPDP) har officiellt börjat rullas ut, och bedömningar tyder på att indiska startups anpassar sig i varierande takt.
Den första milstolpen, som kräver en mekanism för samtyckeshantering, börjar gälla i november 2024. Full efterlevnad av lagen förväntas senast maj 2027. Företag som inte följer reglerna riskerar betydande böter, som kan uppgå till 250 crore rupier (cirka 3 miljoner USD) för bristande säkerhetsåtgärder, eller 200 crore rupier för dataintrång eller felaktig hantering av barns uppgifter.
En undersökning från EY India i februari visade att endast 48 % av organisationerna hade påbörjat utvärdering av sina brister, och hela 81 % hade ännu inte uppdaterat sina integritetspolicyer eller styrningsramar. Reglerade sektorer som fintech, bank och telekom ligger längst fram, medan mer traditionella sektorer som tillverkning, detaljhandel och fastigheter släpar efter. Globala företag anpassar ofta befintliga GDPR-processer. Mindre företag brottas med bristande resurser och expertis, vilket försvårar anpassningen.
Ett av de största hindren är att identifiera och kartlägga all personlig data som samlas in, var den lagras och vem som har tillgång till den. Att integrera efterlevnad i den dagliga verksamheten, särskilt vid informell datainsamling, utgör ytterligare en utmaning. Kostnaderna för efterlevnad kan bli betydande, särskilt för startups och småföretag, och kan variera från några hundra tusen till flera miljoner rupier per år beroende på företagets storlek och komplexitet.