Ley de 2023 de protección de datos personales digitales y sus reglas de 2025

Regular el tratamiento de los datos personales digitales de un modo que reconozca a la vez el derecho de las personas a proteger sus datos y la necesidad de tratarlos con fines lícitos.[1][7]

título largo de la ley, retomado por el Gobierno ante el Parlamento (julio de 2026)

• Ámbito: datos personales digitales tratados en la India y tratamientos en el extranjero vinculados a la oferta de bienes o servicios a personas en la India. Quedan excluidos los datos tratados con fines personales o domésticos, o hechos públicos por la persona afectada o en virtud de una obligación legal.[1]
• Dos bases jurídicas: el consentimiento — « libre, específico, informado, incondicional e inequívoco », revocable con la misma facilidad con que se dio, precedido de un aviso disponible en inglés o en cualquier lengua del Octavo Anexo de la Constitución — o ciertos « usos legítimos » (artículo 7), como subsidios, prestaciones y licencias del Estado, sus funciones legales, emergencias médicas, catástrofes y empleo.[1]
• Obligaciones de los « fiduciarios de datos » (quienes deciden los fines y medios del tratamiento): medidas de seguridad razonables (cifrado, control de acceso, registros conservados un año), notificación de toda violación a la Junta y a cada persona afectada — con un informe detallado a la Junta en 72 horas —, supresión una vez cumplida la finalidad y un sistema de reclamaciones que responda en 90 días. Las plataformas de comercio electrónico, juegos en línea y redes sociales con al menos 2 crores (20 millones) de usuarios registrados en la India deben suprimir los datos tras tres años de inactividad.[1][2]
• Menores (menos de 18 años): consentimiento verificable de un progenitor, comprobado mediante datos fiables de identidad y edad o un token, por ejemplo de un Digital Locker; prohibición del rastreo, la vigilancia del comportamiento y la publicidad dirigida a menores, salvo las categorías y finalidades exentas por las reglas.[1][2]
• « Fiduciarios de datos significativos », designados por el Gobierno según el volumen y la sensibilidad de los datos, el riesgo para los derechos, la seguridad y la democracia electoral: delegado de protección de datos con sede en la India, auditor independiente, evaluación de impacto y auditoría cada doce meses y — para los datos designados a propuesta de un comité — prohibición de transferencia fuera de la India.[1][2]
• Derechos de los titulares de los datos: obtener un resumen de sus datos y de con quién se compartieron, rectificarlos, completarlos, actualizarlos y suprimirlos, reclamar y designar a alguien que actúe en su nombre en caso de fallecimiento o incapacidad. También tienen deberes — no suplantar identidades, no presentar quejas falsas o temerarias — sancionados con hasta 10.000 rupias.[1]
• Exenciones del Estado (artículo 17): la ley no se aplica a los organismos que el Gobierno designe por razones de soberanía, seguridad, relaciones amistosas con Estados extranjeros u orden público; la mayoría de las obligaciones y derechos no se aplican a los tratamientos de prevención, detección, investigación o persecución de delitos; los organismos públicos no están obligados a suprimir los datos; y el Gobierno puede, en los cinco años siguientes a la entrada en vigor, eximir a cualquier fiduciario de cualquier disposición por un plazo fijado. Las startups pueden quedar dispensadas de algunas obligaciones.[1]
• Junta de Protección de Datos de la India: una « oficina digital » cuyo presidente y miembros nombra el Gobierno central por dos años (renovables), a propuesta de comités de selección presididos por el secretario del Gabinete (presidente) o el secretario del MeitY (miembros). Investiga las infracciones — en seis meses, prorrogables — e impone las multas; los recursos van al Telecom Disputes Settlement and Appellate Tribunal en 60 días. Tras sanciones en dos o más casos, la Junta puede recomendar al Gobierno bloquear una plataforma.[1][2]
• Multas fijadas en el anexo, de hasta 250 crores de rupias (2.500 millones) por no adoptar medidas de seguridad; la Junta tiene en cuenta la gravedad, la duración, la reiteración, el beneficio y las medidas de mitigación. Las sumas van al Fondo Consolidado de la India. El Gobierno puede elevar los importes por notificación, sin superar el doble de los iniciales.[1]
• Gestores de consentimiento: sociedades registradas ante la Junta que permiten dar, gestionar, revisar y retirar el consentimiento ante varios fiduciarios; deben estar constituidas en la India, tener un patrimonio neto de al menos 2 crores de rupias, actuar como fiduciarios de la persona, no poder leer los datos que transmiten y conservar los registros de consentimiento al menos siete años.[1][2]
• Transferencias al extranjero permitidas, salvo a los países que el Gobierno restrinja por notificación; también puede fijar condiciones para poner datos a disposición de un Estado extranjero.[1][2]
• Modificación de otras leyes: se suprime el artículo 43A de la Ley de Tecnologías de la Información de 2000; y el artículo 44(3) sustituye la letra (j) del artículo 8(1) de la Ley de Derecho a la Información de 2005 — una de las excepciones a la divulgación — por una sola línea que exime « la información relativa a información personal ».[1]