印度的《数字个人数据保护法》（Digital Personal Data Protection Act）对公开数据采取了与欧洲不同的处理方式。GDPR 适用于个人数据，无论其在何处被发现。相比之下，印度的法律规定，对于某些已经公开的个人数据，该法不适用。对于那些在收集网络数据时考虑合规性的团队来说，这听起来是一个简单的答案。但事实并非如此，时间节点与措辞同样重要。
本指南将介绍该法案对公开数据的规定、何时生效、在豁免条款不适用时有哪些要求，以及如何做好准备。本文为一般性信息，不构成法律建议。
法律现状
该法案于 2023 年 8 月 11 日获得总统批准。政府于 2025 年 11 月发布了 DPDP 规则及分三个阶段的生效日期通知。
| 阶段 | 日期 | 生效内容 |
|---|---|---|
| 公布当日 | 2025 年 11 月 13 日 | 定义条款、数据保护委员会及其组建规则 |
| 一年后 | 2026 年 11 月 | 同意管理人相关条款 |
| 18 个月后 | 2027 年 5 月 13 日 | 适用范围（第 3 条）、通知、同意、合法用途、义务、权利、豁免、委员会的执法权力及处罚 |
一些摘要从 11 月 14 日（公报签署日）开始计算，这会使每个阶段的日期推迟一天。无论如何，主要义务，甚至是规定该法案适用范围及其公开数据豁免条款的部分，都已立法但尚未生效。在此之前，《信息技术法》（IT Act）第 43A 条下关于敏感个人数据的旧规则仍然适用。
2026 年初，政府就是否将部分义务对最大的数据受托人提前至 12 个月生效进行了咨询。截至本文撰写时，我们尚未发现有官方通知做出此类变更，因此在依赖 2027 年这一日期之前，请先查阅公报。
公开数据豁免条款
第 3(c)(ii) 条规定，该法不适用于“由以下主体公开或促使公开的个人数据”：
- “该个人数据所涉及的数据主体本人”，或
- “根据印度现行法律负有义务公开此类个人数据的任何其他人”。
该法案给出了一个示例：“X 是一名个人，在撰写博客表达自己观点时，在社交媒体上公开了自己的个人数据。在这种情况下，本法案的规定不适用。”
判断标准是谁使这些数据公开，而不是数据现在是否公开。以下三个案例展示了这种区别。
| 数据 | 谁使其公开 | 是否豁免 |
|---|---|---|
| 专业人士自己的个人资料或博客文章 | 本人 | 从文本来看，是 |
| 法定登记册中公司董事的详细信息 | 依法必须公开的人 | 从文本来看，是 |
| 新闻文章、评论或转发中提及某人姓名 | 无法律义务的第三方 | 否 |
爬虫收集的内容大多属于第三类：由他人汇编的文章、评论、留言和目录中提及的姓名。豁免条款并不涵盖这类数据。该法案也没有说明，一旦这类数据与其他来源结合，或被用于对某人进行画像，是否仍然保持豁免，目前尚无官方指导意见。
实际操作中，你需要了解每条记录的来源。一个混合了自行公开数据和第三方数据的数据集，不能整体依赖该豁免条款。
豁免条款不适用的情况
对于不在豁免范围内的个人数据，该法案的规定非常严格。
没有“合法利益”条款。 只有在获得同意或属于“特定合法用途”的情况下，数据处理才是合法的。这些用途是一份封闭清单：个人为特定目的自愿提供的数据、国家职能、法律义务、法院命令、医疗紧急情况、灾难以及雇佣关系。不存在像 GDPR 中“合法利益”那样的一般性平衡测试。我们关于GDPR 与住宅代理的指南介绍了欧洲如何处理同一问题。
同意的要求很高。 同意必须是“自由、明确、知情、无条件且明示的，并伴有清晰的肯定性行动”，且须事先给予通知。对于从网络收集的数据而言，获得同意很少具有可操作性。
研究有其自身的豁免。 第 17(2)(b) 条规定，该法不适用于“为研究、存档或统计目的所必需的处理，前提是该个人数据不会被用于就某一数据主体做出具体决定”，且须按规定标准进行。相关规则设定了这些标准：合法处理、仅使用必要数据、合理的准确性、有限的留存期、安全保障措施以及明确的问责制。这项豁免同样从 2027 年 5 月开始生效。
域外适用范围。 该法案适用于印度境外的数据处理，只要该处理“与向印度境内数据主体提供商品或服务的相关活动有关”。若有境外团队正在构建针对印度消费者的数据集以向其销售产品，应当假定该行为可能受本法约束。
处罚
处罚按每次违规计算，“最高可达”以下金额，自 2027 年 5 月起适用。
| 违规行为 | 最高处罚 |
|---|---|
| 未采取合理的安全保障措施 | 2.5 亿卢比（₹250 crore） |
| 未就个人数据泄露进行通报 | 2 亿卢比（₹200 crore） |
| 违反儿童相关义务 | 2 亿卢比（₹200 crore） |
| 违反重要数据受托人的相关义务 | 1.5 亿卢比（₹150 crore） |
| 违反其他任何条款 | 5000 万卢比（₹50 crore） |
₹250 crore 即 25 亿卢比。具体金额由委员会逐案决定。
另一部需要牢记的法律
DPDP 法案并非唯一涉及网络数据的印度法律。《信息技术法》第 43 条规定，如果某人“未经计算机系统所有者许可”访问该系统，或下载、复制或提取其中的数据，该人须承担赔偿责任。这一条款的关键在于是否获得许可，而非数据是否为个人数据，因此网站的服务条款和访问控制措施也需要单独考量，这与 DPDP 法案的规定是分开的。我们关于法务部门在爬取项目前会询问什么的指南介绍了如何综合评估这些问题。
数据团队应如何准备
- 梳理印度个人数据。 查明哪些数据源和字段包含有关印度境内个人的数据，以及你的使用是否与向其提供商品或服务相关。
- 记录每条记录的发布者。 将数据标记为自行公开、依法公开或第三方公开。只有前两类可以依赖该豁免条款。我们关于AI 训练流程中的来源追溯的指南展示了一种支持这种记录方式的格式。
- 删除不需要的数据。 没有合法途径的第三方个人数据应在采集环节就被过滤掉，而不是事后处理。
- 验证任何“研究”主张。 如果你依赖研究豁免条款，请记录处理目的，确认不会就个人做出决定，并满足规则中规定的标准。
- 为 2027 年 5 月做好规划。 将该日期视为最后期限，并留意可能提前日期或限制向特定国家传输数据的任何通知。
代理（proxy）适用的范围
代理改变的是请求的来源地，而不是法律允许的内容。无论是通过印度境内 IP 还是其他任何 IP 来收集印度个人数据，都不会改变 DPDP 法案是否适用，也不会改变你所依赖的豁免条款。住宅代理（Residential proxies）适用于以印度本地访客所见的方式查看公开页面，适合诸如价格监控、广告验证和本地化检查等工作，这些工作通常涉及很少甚至不涉及个人数据。
结论
印度的 DPDP 法案将人们自行公开的有关自身的个人数据排除在适用范围之外，但并不排除他人公开的有关他们的个人数据，且该法案没有可供依赖的“合法利益”基础。该法案的大部分义务，包括豁免条款本身，均从 2027 年 5 月 13 日开始生效。应利用这段时间梳理你持有哪些印度个人数据，记录每条记录的发布者，并构建只保留你能够正当证明合理性的数据的采集流程。关于与近期另一项变化的比较，请参阅我们关于英国《数据（使用与访问）法案》的指南。
来源与参考文献
- 《2023 年数字个人数据保护法》，印度公报（2023 年 8 月 11 日）：egazette.gov.in
- 生效通知，G.S.R. 843(E)（2025 年 11 月）：egazette.gov.in
- 数据保护委员会的设立，G.S.R. 844(E)（2025 年 11 月）：egazette.gov.in
- 《2025 年数字个人数据保护规则》，G.S.R. 846(E)：egazette.gov.in
- 印度新闻局（Press Information Bureau），DPDP 规则背景说明（2025 年 11 月）：pib.gov.in
- S.S. Rana and Co.，电子信息技术部（MeitY）计划缩短 DPDP 合规时间表（2026 年 2 月 13 日）：ssrana.in
- 《2000 年信息技术法》第 43 条（文本来源：CIS）：cis-india.org
- 《通用数据保护条例》，(EU) 2016/679 号条例：eur-lex.europa.eu