अंतिम समीक्षा: 27 अगस्त 2026। आधार: DPDP Act, 2023 और DPDP Rules, 2025 (नवंबर 2025 में अधिसूचित)।
DPDP Act, GDPR की कोई भारतीय प्रति नहीं है। यह सूचना, सहमति, अधिकारों और उल्लंघन-रिपोर्टिंग की शब्दावली साझा करता है, परंतु यह legitimate interests, संवेदनशील डेटा श्रेणियों और एक-माह की DSAR समय-सीमा को छोड़ देता है, तथा टर्नओवर-आधारित जुर्मानों के स्थान पर Rs 250 crore तक की निश्चित रुपया-सीमाएँ रखता है। EU ग्राहकों के लिए GDPR कार्यक्रम चलाने वाली एक भारतीय मध्य-बाज़ार फ़र्म अपने लगभग एक-तिहाई दस्तावेज़ों का ज्यों-का-त्यों पुनः उपयोग कर सकती है, एक-तिहाई को फिर से लिखना होगा, और शेष का निर्माण करना होगा। यह पृष्ठ 15 अंतरों को एक तालिका में रखता है, फिर आपके GDPR दस्तावेज़ों को पुनः उपयोग, पुनर्लेखन और नव-निर्माण की सूचियों में बाँटता है।
क्या DPDP, GDPR के समान है? संक्षिप्त उत्तर 'नहीं' क्यों है
EU ग्राहकों की सेवा करने वाली कई भारतीय फ़र्में मानती हैं कि 'GDPR compliant' का अर्थ 'DPDP covered' है। हमारे आकलन में, इस वर्ष कोई अनुपालन प्रमुख इससे अधिक महँगी धारणा नहीं बना सकता।
दोनों क़ानूनों की वंशावली साझा है: एक नियंत्रक-शैली की इकाई (controller, Data Fiduciary), एक processor, एक व्यक्ति (data subject, Data Principal) और एक नियामक। दोनों सूचना, पहुँच तथा सुधार के अधिकार, सुरक्षा उपाय और उल्लंघन-रिपोर्टिंग की अपेक्षा करते हैं।
समानता वास्तुकला पर समाप्त हो जाती है। GDPR एक व्यापक, सिद्धांत-संचालित विनियमन है जिसमें छह वैध आधार और मार्गदर्शन का विशाल संग्रह है। DPDP Act अधिक संकीर्ण और अधिक निर्देशात्मक है: यह केवल डिजिटल व्यक्तिगत डेटा पर लागू होता है, यह सहमति के साथ-साथ Section 7 के अंतर्गत 'legitimate uses' की एक बंद सूची को मान्यता देता है, और विस्तार को DPDP Rules, 2025 (नवंबर 2025 में अधिसूचित) तथा भविष्य की अधिसूचनाओं पर छोड़ देता है। यदि आप भारतीय ढाँचे में नए हैं, तो हमारे DPDP 101 व्याख्याता से आरंभ करें।
समय मायने रखता है। अधिकांश मूलभूत DPDP दायित्व मई 2027 में प्रवर्तनीय हो जाते हैं — Rules की अधिसूचना के 18 महीने बाद — जबकि Consent Manager संबंधी प्रावधान 12 महीने पर लागू होते हैं। अंतर पाटने के लिए यही अवधि उपलब्ध है।
DPDP Act बनाम GDPR के अंतर: 15-पंक्ति की तुलना
नीचे दी गई तालिका इस पृष्ठ का केंद्र है। कार्य की योजना बनाने के लिए आगे दी गई पुनः उपयोग, पुनर्लेखन और नव-निर्माण सूचियों का प्रयोग करें।
| # | क्षेत्र | GDPR | DPDP Act, 2023 और Rules, 2025 | कार्यक्रम पर प्रभाव |
|---|---|---|---|---|
| 1 | दायरा | किसी भी रूप में व्यक्तिगत डेटा, जिसमें संरचित कागज़ी अभिलेख शामिल हैं | केवल डिजिटल व्यक्तिगत डेटा, जिसमें संग्रह के बाद डिजिटलीकृत किया गया डेटा शामिल है | इन्वेंट्री में केवल-कागज़ी अभिलेखों को GDPR-only के रूप में चिह्नित करना होगा |
| 2 | व्यक्तिगत डेटा की परिभाषा | पहचाना गया या पहचान-योग्य प्राकृतिक व्यक्ति; pseudonymised डेटा स्पष्ट रूप से दायरे में | ऐसे व्यक्ति से संबंधित डेटा जो उसके द्वारा या उसके संबंध में पहचान-योग्य हो; pseudonymisation की कोई अवधारणा नहीं | वर्गीकरण बना रहता है; pseudonymisation से कोई हल्की व्यवस्था नहीं मिलती |
| 3 | संवेदनशील डेटा | Article 9 के प्रतिबंधों के साथ विशेष श्रेणियाँ | कोई संवेदनशील श्रेणी नहीं; बढ़े हुए कर्तव्य केवल बच्चों और SDFs के लिए | केवल-भारत डेटा हेतु Article 9 की प्रक्रियाएँ समाप्त हो जाती हैं; बच्चों के डेटा के लिए नया ट्रैक चाहिए |
| 4 | वैध आधार | Article 6 के अंतर्गत छह आधार | Section 6 के अंतर्गत सहमति, या Section 7 का कोई legitimate use (स्वैच्छिक प्रावधान, रोज़गार, चिकित्सा आपात, राज्य के कार्य, आदि) | अनुबंध या legitimate interests पर मैप की गई गतिविधियों को फिर से मैप करना होगा |
| 5 | Legitimate interests | प्रलेखित संतुलन-परीक्षण के साथ उपलब्ध | कोई समकक्ष नहीं; Section 7 एक बंद सूची है | LIAs पर निर्भर रही मार्केटिंग और विश्लेषण के लिए सामान्यतः सहमति आवश्यक होगी |
| 6 | बच्चे: आयु और सहमति | डिफ़ॉल्ट रूप से 16 से कम; सदस्य राष्ट्र इसे 13 तक घटा सकते हैं | 18 से कम; Section 9 के अंतर्गत सत्यापन-योग्य अभिभावकीय सहमति; बच्चों की ट्रैकिंग या उन्हें लक्षित विज्ञापन नहीं | आयु-द्वार 18 पर जाते हैं; ad-tech को बच्चों हेतु एक अपवर्जन चाहिए |
| 7 | DPO की अपेक्षा | सार्वजनिक निकायों तथा बड़े पैमाने की निगरानी या विशेष-श्रेणी प्रसंस्करण के लिए अनिवार्य | केवल SDFs के लिए, Section 10 के अंतर्गत; DPO का भारत में स्थित होना आवश्यक | यदि आप SDF हैं तो EU में स्थित DPO से DPDP की पूर्ति नहीं होती |
| 8 | DPIA | Article 35 के अंतर्गत उच्च-जोखिम प्रसंस्करण हेतु आवश्यक | केवल SDFs के लिए आवधिक DPIA, साथ में एक स्वतंत्र डेटा ऑडिट | टेम्पलेट पुनः उपयोग-योग्य; ट्रिगर और आवृत्ति भिन्न |
| 9 | उल्लंघन-सूचना की समय-सीमाएँ और प्राप्तकर्ता | प्राधिकरण को 72 घंटे; व्यक्तियों को केवल उच्च जोखिम होने पर | Board और प्रत्येक प्रभावित principal को 'बिना विलंब'; Board को 72 घंटे के भीतर विस्तृत रिपोर्ट; कोई जोखिम-सीमा नहीं | व्यक्तियों को सूचना तुरंत आरंभ होती है, किसी जोखिम-द्वार के बाद नहीं |
| 10 | जुर्माने की संरचना | वैश्विक टर्नओवर का 4% तक या EUR 20 million | निश्चित सीमाएँ: Rs 250 crore तक (सुरक्षा उपाय), Rs 200 crore (उल्लंघन-सूचना, बच्चे), Rs 150 crore (SDF कर्तव्य), Rs 50 crore (अन्य) | टर्नओवर-आधारित जोखिम मॉडल भारतीय जोखिम को ग़लत दर्शाते हैं |
| 11 | सीमा-पार तंत्र और स्थानीयकरण | Adequacy, SCCs, BCRs, स्थानांतरण प्रभाव आकलन; कोई सामान्य स्थानीयकरण नहीं | Section 16 के अंतर्गत अनुमत, सिवाय उन देशों के जिन्हें केंद्र सरकार की अधिसूचना द्वारा प्रतिबंधित किया गया हो; क्षेत्रीय स्थानीयकरण (RBI तथा अन्य) इसके ऊपर लागू रहता है | भारत से बाहर जाने वाले स्थानांतरणों हेतु SCC पैक अनावश्यक; क्षेत्रीय नियम फिर भी लागू |
| 12 | DSAR की अवधि | एक माह, जटिल अनुरोधों के लिए दो माह तक बढ़ाने योग्य | fiduciary द्वारा निर्धारित और प्रकाशित; Rules इसे 90 दिन तक सीमित करते हैं | लंबी अवधि संभव, परंतु केवल तभी जब वह प्रकाशित हो |
| 13 | पोर्टेबिलिटी का अधिकार | Article 20 के अंतर्गत स्पष्ट अधिकार | कोई नहीं; अधिकार हैं पहुँच, सुधार और मिटाना, शिकायत निवारण तथा नामांकन — Sections 11 से 14 के अंतर्गत | पोर्टेबिलिटी उपकरण वैकल्पिक; नामांकन-प्रबंधन नया है |
| 14 | Processor अनुबंध | Article 28 विशिष्ट खंड अनिवार्य करता है | नियुक्ति 'केवल एक वैध अनुबंध के अंतर्गत'; Data Fiduciary फिर भी उत्तरदायी बना रहता है; Rules संविदात्मक सुरक्षा उपायों की अपेक्षा करते हैं | Article 28 DPAs में उल्लंघन-समय और Board के साथ सहयोग पर भारत-विशिष्ट खंड जोड़ने होंगे |
| 15 | प्रसंस्करण के अभिलेख | Article 30 ROPA अनिवार्य | कोई स्पष्ट दायित्व नहीं; व्यवहार में Section 8 के कर्तव्यों को प्रमाणित करने हेतु आवश्यक | ROPA रखें; Section 6 और 7 का आधार तथा प्रतिधारण कॉलम जोड़ें |
पंक्ति 11 हमारे सीमा-पार स्थानांतरण मार्गदर्शक में शामिल है। दो अन्य पंक्तियाँ ध्यान देने योग्य हैं। पंक्ति 5 वह जगह है जहाँ अधिकांश GDPR कार्यक्रम संरचनात्मक रूप से ऐसे तंत्र पर निर्भर हैं जो DPDP देता ही नहीं। पंक्ति 9 वह जगह है जहाँ EU के अनुरूप बनी रनबुक आपको देर करा देगी, क्योंकि DPDP अपेक्षा करता है कि आप प्रभावित व्यक्तियों को बिना विलंब सूचित करें, न कि किसी जोखिम-सीमा के पार होने के बाद। हमारा 72-घंटे उल्लंघन-प्रतिक्रिया लेख भारतीय क्रम को चरण-दर-चरण समझाता है, जिसमें यह भी शामिल है कि CERT-In का छह-घंटे का निर्देश इसके साथ किस प्रकार चलता है।
GDPR-अनुपालक कंपनी, DPDP के भारतीय दायित्व: व्यवहार में क्या बदलता है
300 कर्मचारियों, EU एंटरप्राइज़ ग्राहकों और 2019 में बनाए गए GDPR कार्यक्रम वाली एक बेंगलुरु SaaS कंपनी पर विचार करें।
वैध आधार की पुनः मैपिंग
उसकी ROPA में 42 गतिविधियाँ सूचीबद्ध हैं: उन्नीस 'अनुबंध' पर, ग्यारह 'legitimate interests' पर, नौ सहमति पर, तीन क़ानूनी दायित्व पर। कुछ अनुबंध-प्रविष्टियाँ Section 7 के अंतर्गत 'स्वैच्छिक प्रावधान' में फ़िट बैठती हैं, परंतु मार्केटिंग और विश्लेषण वाली प्रविष्टियाँ Section 7 के किसी शीर्ष में नहीं आतीं और उन्हें Section 6 के अंतर्गत सहमति चाहिए। वह सहमति स्वतंत्र, विशिष्ट, सूचित, बिना शर्त और असंदिग्ध होनी चाहिए, तथा वापसी उतनी ही आसान होनी चाहिए जितनी उसे देना — जो कुकी बैनर से नक़ल की गई बंडल सहमतियों को अमान्य कर देता है। हमारा Section 7 वैध-आधार व्याख्याता गतिविधि-दर-गतिविधि मैपिंग दिखाता है।
बच्चों का डेटा
कंपनी एक स्टूडेंट एडिशन चलाती है जिसका उपयोग कुछ 17-वर्षीय करते हैं, और जिसका GDPR आयु-द्वार 16 पर है। Section 9 के अंतर्गत उसे 18 से कम आयु के हर व्यक्ति के लिए सत्यापन-योग्य अभिभावकीय सहमति चाहिए और उस समूह के लिए ट्रैकिंग तथा लक्षित विज्ञापन बंद करने होंगे। इसमें चूक पर जुर्माने का जोखिम Rs 200 crore तक है।
उल्लंघन-प्रतिक्रिया
GDPR रनबुक में एक द्वार है: जोखिम का आकलन करें, 72 घंटे के भीतर प्राधिकरण को सूचित करें, व्यक्तियों को केवल तभी सूचित करें जब जोखिम उच्च हो। DPDP रनबुक में व्यक्तियों के लिए कोई द्वार नहीं है। प्रभावित Data Principals और Board को सूचना बिना विलंब जाती है, और Board को 72 घंटे के भीतर विस्तृत रिपोर्ट पहुँचती है। समानांतर रूप से, सूचीबद्ध साइबर घटनाएँ छह घंटे के भीतर CERT-In को जाती हैं।
Significant Data Fiduciary का दायित्व
यदि SDF के रूप में अधिसूचित किया जाता है, तो कंपनी को भारत-स्थित DPO नियुक्त करना होगा, एक स्वतंत्र डेटा ऑडिटर लगाना होगा और आवधिक DPIAs चलाने होंगे। उसका EU-स्थित DPO निवास-संबंधी अपेक्षा को पूरा नहीं करता। यह जाँचने के लिए कि आपकी प्रोफ़ाइल दायरे में आने की संभावना रखती है या नहीं, SDF Classifier टूल का उपयोग करें।
DPDP GDPR मैपिंग: वे दस्तावेज़ जिन्हें आप ज्यों-का-त्यों पुनः उपयोग कर सकते हैं
ये केवल क़ानूनी संदर्भ अद्यतन करने भर से आगे बढ़ जाते हैं।
डेटा इन्वेंट्री और डेटा-प्रवाह मानचित्र। आप क्या रखते हैं, वह कहाँ प्रवाहित होता है और उसे कौन छूता है — यह क़ानून बदलने से नहीं बदलता। एक डिजिटल-या-कागज़ी कॉलम जोड़ें, क्योंकि DPDP के दायरे में केवल डिजिटल व्यक्तिगत डेटा है।
सूचना सुरक्षा नीतियाँ और नियंत्रण। एन्क्रिप्शन, पहुँच नियंत्रण, लॉगिंग और निगरानी, तथा बैकअप लगभग शब्दशः DPDP Rules के उचित सुरक्षा उपाय हैं। पुष्टि करें कि लॉग प्रतिधारण एक वर्ष की DPDP न्यूनतम सीमा तथा CERT-In की 180-दिन भारत-में-रखने की अपेक्षा को पूरा करता है।
विक्रेता उचित-परिश्रम प्रश्नावली। एक प्रश्न जोड़ें: क्या विक्रेता 'बिना विलंब' उल्लंघन-सूचना का समर्थन कर सकता है?
गोपनीयता के मूल सिद्धांतों पर प्रशिक्षण और अभिशासन संरचना। प्रयोजन-सीमा, न्यूनीकरण और जानने-की-आवश्यकता समान रूप से लागू होते हैं; केवल क़ानूनी संदर्भ और जुर्माने की स्लाइडें बदलती हैं। संचालन समितियाँ और उन्नयन-मार्ग अपरिवर्तित रहते हैं। भारत-विशिष्ट मॉड्यूल के लिए हमारे DPDP प्रशिक्षण विकल्प देखें।
DPDP GDPR मैपिंग: वे दस्तावेज़ जिन्हें आपको फिर से लिखना होगा
इनका प्रयोजन उनके DPDP समकक्ष जैसा ही है, परंतु उनकी विषय-वस्तु किसी भारतीय ऑडिट में विफल हो जाएगी।
गोपनीयता सूचनाएँ और सहमति प्रवाह। Section 5 के लिए यह सूचित करना आवश्यक है कि कौन-सा डेटा संसाधित होता है, किस प्रयोजन से, अधिकारों का प्रयोग कैसे करें और Board के पास शिकायत कैसे करें। GDPR सूचनाएँ लंबी होती हैं, legitimate interests का उल्लेख करती हैं और EU प्राधिकरणों का हवाला देती हैं। Section 5 की सूचना छोटी, प्रयोजन-विशिष्ट और सहमति-अनुरोध के साथ या उससे पहले जारी होनी चाहिए। सहमति प्रवाहों में वापसी उतनी ही आसान चाहिए जितनी सहमति, और प्रयोजन-विशिष्ट जुड़ाव चाहिए; पैबंद लगाने के बजाय उन्हें फिर से बनाएँ।
प्रसंस्करण के अभिलेख। संरचना रखें; वैध-आधार कॉलम को Section 6 या 7 के शीर्षों के अनुसार फिर से लिखें, प्रतिधारण ट्रिगर जोड़ें (प्रयोजन पूरा होने या सहमति वापस लेने पर मिटाना) और बच्चों के डेटा को चिह्नित करें।
Processor समझौते। एक Article 28 DPA अच्छा ढाँचा है। उसमें 'बिना विलंब' के अनुरूप उल्लंघन-सूचना, Board के साथ सहयोग, और यह कथन जोड़ें कि processor चाहे जो करे, Data Fiduciary उत्तरदायी बना रहता है। हमारा विक्रेता-सुधार मार्गदर्शक उन खंडों की सूची देता है जो सबसे अधिक बार अनुपस्थित मिलते हैं।
उल्लंघन रनबुक। तीन घड़ियों के इर्द-गिर्द फिर से बनाएँ: CERT-In छह घंटे, DPDP की 'बिना विलंब' सूचना, और Board को 72-घंटे की विस्तृत रिपोर्ट। व्यक्तियों को सूचना देने के लिए जोखिम-द्वार हटा दें।
DSAR प्रक्रिया। अपनी प्रतिक्रिया अवधि प्रकाशित करें (90 दिन तक), नामांकन अनुरोध जोड़ें, केवल-भारत डेटा के लिए पोर्टेबिलिटी हटा दें, और शिकायतों को Board तक पहुँचने से पहले किसी नामित Section 8 संपर्क तक पहुँचाएँ। DSAR वर्कफ़्लो लेख एक टेम्पलेट प्रक्रिया देता है।
जुर्माना और जोखिम रजिस्टर। टर्नओवर-प्रतिशत वाले जोखिम को निश्चित Schedule सीमाओं से बदलें; Penalty Exposure Estimator बोर्ड-रिपोर्टिंग के लिए रुपये में आँकड़ा देता है।
DPDP GDPR मैपिंग: वे दस्तावेज़ जिन्हें आपको नया बनाना होगा
इनका कोई GDPR समकक्ष नहीं है, या इतना भिन्न है कि नए सिरे से आरंभ करना तेज़ पड़ता है।
सत्यापन-योग्य अभिभावकीय सहमति तंत्र। Section 9 के लिए एक सत्यापन पद्धति, एक सहमति अभिलेख, और एक तकनीकी फ़्लैग चाहिए जो 18 से कम आयु के उपयोगकर्ताओं हेतु ट्रैकिंग और लक्षित विज्ञापन बंद कर दे।
Section 7 legitimate use रजिस्टर। सहमति पर आधारित न होने वाली प्रत्येक गतिविधि के लिए — Section 7 का कौन-सा शीर्ष लागू होता है और क्यों। यह LIA संग्रह का स्थान लेता है और, हमारे आकलन में, यही वह दस्तावेज़ है जो Board सबसे पहले माँगेगा।
SDF तैयारी पैक। यदि वर्गीकरण संभावित है, तो भारत-स्थित DPO की नियुक्ति, डेटा ऑडिट का दायरा और DPIA कैलेंडर अभी तैयार कर लें।
प्रतिधारण और निष्क्रियता-आधारित मिटाने का तर्क। निर्दिष्ट बड़े fiduciaries (2 करोड़ या अधिक उपयोगकर्ताओं वाले ई-कॉमर्स, 50 लाख या अधिक वाले ऑनलाइन गेमिंग, 2 करोड़ या अधिक वाले सोशल मीडिया) को तीन वर्ष की निष्क्रियता के बाद, 48 घंटे की पूर्व सूचना देकर, डेटा मिटाना होगा। उन श्रेणियों से बाहर भी, Section 8 प्रयोजन पूरा होते ही मिटाने की अपेक्षा करता है, और अधिकांश GDPR प्रतिधारण अनुसूचियों में कोई स्वचालित ट्रिगर नहीं होता।
Board-सम्मुख शिकायत लॉग। Data Protection Board of India एक नया नियामक है। शिकायतों, प्रतिक्रिया समय और उन्नयनों का ऐसा लॉग रखें जो माँगे जाने पर प्रस्तुत किया जा सके।
ख़ाली पन्ने से मसौदा बनाने के बजाय, 16 DPDP Starter Templates में सूचनाएँ, एक उल्लंघन रनबुक और Act तथा Rules के अनुरूप विक्रेता समझौते शामिल हैं।
अक्सर पूछे जाने वाले प्रश्न
यदि हम GDPR-अनुपालक हैं, तो क्या हम स्वतः DPDP-अनुपालक हैं?
नहीं। GDPR अनुपालन आपको सुरक्षा नियंत्रणों, डेटा इन्वेंट्री और अभिशासन में मज़बूत आधार देता है, परंतु DPDP legitimate interests हटा देता है, बच्चों की सीमा 18 पर रखता है, उल्लंघन-सूचना के प्राप्तकर्ता और समय बदल देता है, तथा निश्चित रुपया-जुर्मानों का उपयोग करता है। हमारे अनुभव में लगभग एक-तिहाई GDPR दस्तावेज़ ज्यों-के-त्यों पुनः उपयोग किए जा सकते हैं, एक-तिहाई को फिर से लिखने की आवश्यकता होती है और एक-तिहाई नया बनाना पड़ता है।
क्या हम भारत में मार्केटिंग और विश्लेषण के लिए legitimate interests का उपयोग जारी रख सकते हैं?
DPDP के दायरे वाले डेटा के लिए नहीं। Section 7 legitimate uses की एक बंद सूची देता है जिसमें कोई संतुलन-परीक्षण नहीं है, और मार्केटिंग या उत्पाद-विश्लेषण उसमें नहीं आते। उन गतिविधियों के लिए सामान्यतः Section 6 के अंतर्गत सहमति चाहिए होगी, जिसमें वापसी उतनी ही आसान हो जितनी सहमति देना।
क्या हमारा EU-स्थित DPO, DPDP Act की अपेक्षा पूरी करता है?
केवल तभी जब आप Significant Data Fiduciary नहीं हैं। SDFs को Section 10 के अंतर्गत भारत में स्थित DPO नियुक्त करना होगा और साथ ही एक स्वतंत्र डेटा ऑडिटर लगाना तथा आवधिक DPIAs करना होगा। ग़ैर-SDFs के लिए DPO नियुक्त करना आवश्यक नहीं है, परंतु उन्हें शिकायतों हेतु एक संपर्क प्रकाशित करना होगा।
GDPR और DPDP के बीच उल्लंघन-सूचना के नियम किस प्रकार भिन्न हैं?
GDPR 72 घंटे के भीतर पर्यवेक्षी प्राधिकरण को सूचना अपेक्षित करता है और व्यक्तियों को केवल तभी जब उच्च जोखिम हो। DPDP Board और प्रत्येक प्रभावित Data Principal को बिना विलंब सूचना अपेक्षित करता है, उसके बाद Board को 72 घंटे के भीतर विस्तृत रिपोर्ट, और व्यक्तियों को सूचित करने के लिए कोई जोखिम-सीमा नहीं। सूचीबद्ध साइबर घटनाओं के लिए CERT-In का छह-घंटे का रिपोर्टिंग निर्देश समानांतर रूप से लागू होता है।
क्या भारत से बाहर स्थानांतरण के लिए हमें Standard Contractual Clauses चाहिए?
नहीं। Section 16 सीमा-पार स्थानांतरण की अनुमति देता है, सिवाय उन देशों के जिन्हें केंद्र सरकार की अधिसूचना द्वारा प्रतिबंधित किया गया हो, और कोई SCC या adequacy तंत्र नहीं है। RBI जैसे क्षेत्रीय नियामक फिर भी विशिष्ट डेटा-समुच्चयों पर स्थानीयकरण लागू कर सकते हैं, इसलिए किसी स्थानांतरण को मुक्त मानने से पहले क्षेत्रीय नियम जाँच लें।
संबंधित व्याख्याता
अगला क़दम
यदि आपका GDPR कार्यक्रम परिपक्व है और आप मई 2027 से पहले एक बचाव-योग्य DPDP स्थिति चाहते हैं, तो सबसे तेज़ मार्ग है एक GDPR-से-DPDP अंतर-आकलन, जो प्रत्येक दस्तावेज़ को पुनः उपयोग, पुनर्लेखन या नव-निर्माण में वर्गीकृत करता है और आपको एक क्रमबद्ध योजना सौंपता है। Readiness Sprint यही प्रदान करता है।