La Ley de Protección de Datos Personales Digitales de la India adopta un enfoque diferente al de Europa respecto a los datos públicos. El RGPD se aplica a los datos personales dondequiera que se encuentren. La ley india, en cambio, establece que no se aplica a ciertos datos personales que ya son públicos. Para los equipos que recopilan datos web teniendo en cuenta el cumplimiento normativo, eso suena como una respuesta sencilla. No lo es, y el momento en que se aplica importa tanto como la redacción.
Esta guía trata sobre lo que dice la Ley en relación con los datos públicos, cuándo entra en vigor, qué exige cuando la exclusión no se aplica y cómo prepararse. Es información general, no asesoramiento legal.
Dónde se encuentra la ley
La Ley recibió la sanción presidencial el 11 de agosto de 2023. El gobierno notificó las Normas DPDP y las fechas de entrada en vigor en noviembre de 2025, en tres etapas.
| Etapa | Fecha | Qué entra en vigor |
|---|---|---|
| En la publicación | 13 de noviembre de 2025 | Definiciones, el Consejo de Protección de Datos y sus normas de constitución |
| Al cabo de un año | noviembre de 2026 | Disposiciones sobre gestores de consentimiento |
| Al cabo de 18 meses | 13 de mayo de 2027 | Ámbito de aplicación (sección 3), avisos, consentimiento, usos legítimos, obligaciones, derechos, exenciones, las facultades de ejecución y las sanciones del Consejo |
Algunos resúmenes cuentan desde el 14 de noviembre, fecha en que se firmó la Gaceta, lo que desplaza cada etapa un día. De cualquier modo, las principales obligaciones, e incluso la sección que establece el ámbito de aplicación de la Ley y su exclusión de datos públicos, están promulgadas pero aún no en vigor. Hasta entonces, las normas anteriores de la sección 43A de la Ley de Tecnologías de la Información siguen aplicándose a los datos personales sensibles.
A principios de 2026, el gobierno consultó sobre adelantar algunas obligaciones a los 12 meses para los mayores fiduciarios de datos. En el momento de redactar este texto no hemos encontrado ninguna notificación que confirme ese cambio, así que conviene consultar la Gaceta antes de basarse en la fecha de 2027.
La exclusión de datos públicos
La sección 3(c)(ii) establece que la Ley no se aplica a “los datos personales que hayan sido hechos públicos, o cuya publicación haya sido ocasionada, por”:
- “el Titular de los Datos al que se refieren dichos datos personales”, o
- “cualquier otra persona que esté obligada, en virtud de cualquier ley vigente en la India, a hacer públicos dichos datos personales”.
La Ley ofrece un ejemplo: “X, una persona física, al escribir un blog con sus opiniones, ha puesto públicamente a disposición sus datos personales en redes sociales. En tal caso, las disposiciones de esta Ley no se aplicarán.”
El criterio decisivo es quién hizo públicos los datos, no si los datos son públicos en la actualidad. Tres casos muestran la diferencia.
| Datos | Quién los hizo públicos | ¿Excluidos? |
|---|---|---|
| El propio perfil o entrada de blog de un profesional | La propia persona | Sí, según la redacción |
| Los datos de un director de empresa en un registro estatutario | Alguien legalmente obligado a publicarlos | Sí, según la redacción |
| Un artículo de noticias, reseña o republicación que menciona a una persona | Un tercero sin obligación legal | No |
Gran parte de lo que recopila un rastreador es del tercer tipo: nombres en artículos, reseñas, comentarios y directorios compilados por otros. La exclusión no alcanza esos datos. La Ley tampoco especifica si los datos permanecen excluidos una vez combinados con otras fuentes o utilizados para elaborar perfiles de una persona, y todavía no existe orientación oficial al respecto.
En la práctica, es necesario conocer el origen de cada registro. Un conjunto de datos que mezcla datos autopublicados con datos de terceros no puede acogerse a la exclusión en su totalidad.
Cuándo no se aplica la exclusión
Para los datos personales que quedan fuera de la exclusión, la Ley es estricta.
No hay intereses legítimos. El tratamiento solo es lícito con consentimiento o para “determinados usos legítimos”. Esos usos constituyen una lista cerrada: datos que una persona proporcionó voluntariamente para un fin específico, funciones estatales, obligaciones legales, órdenes judiciales, emergencias médicas, catástrofes y relaciones laborales. No existe una prueba de ponderación general como la de los intereses legítimos del RGPD. Nuestra guía sobre el RGPD y los proxies residenciales explica cómo aborda Europa la misma cuestión.
El consentimiento es exigente. Debe ser “libre, específico, informado, incondicional e inequívoco, con una acción afirmativa clara”, y debe ir precedido de un aviso. El consentimiento rara vez resulta práctico para los datos recopilados de la web.
La investigación cuenta con su propia exención. La sección 17(2)(b) establece que la Ley no se aplica al tratamiento “necesario para fines de investigación, archivo o estadística, siempre que los datos personales no vayan a utilizarse para tomar ninguna decisión específica sobre un Titular de los Datos”, realizado conforme a los estándares prescritos. Las Normas establecen esos estándares: tratamiento lícito, solo los datos necesarios, exactitud razonable, conservación limitada, salvaguardas de seguridad y una responsabilidad clara. Esta exención también entra en vigor en mayo de 2027.
Alcance más allá de la India. La Ley se aplica al tratamiento realizado fuera de la India cuando esté “relacionado con cualquier actividad vinculada a la oferta de bienes o servicios a Titulares de Datos dentro del territorio de la India”. Un equipo en el extranjero que elabore un conjunto de datos de consumidores indios para venderles productos debería asumir que puede estar sujeto a la Ley.
Sanciones
Las sanciones se fijan por cada infracción y “pueden llegar hasta” los importes indicados a continuación. Se aplican a partir de mayo de 2027.
| Infracción | Hasta |
|---|---|
| No adoptar salvaguardas de seguridad razonables | ₹250 crore |
| No notificar una violación de datos personales | ₹200 crore |
| Infringir las obligaciones relativas a menores | ₹200 crore |
| Infringir las obligaciones de los fiduciarios de datos significativos | ₹150 crore |
| Infracción de cualquier otra disposición | ₹50 crore |
₹250 crore equivalen a 2.500 millones de rupias. El Consejo decide el importe caso por caso.
La otra ley que hay que tener en cuenta
La Ley DPDP no es la única ley india que afecta a los datos web. La sección 43 de la Ley de Tecnologías de la Información hace responsable a una persona de pagar una indemnización si, “sin permiso del propietario” de un sistema informático, accede a él o descarga, copia o extrae datos de él. Esto depende del permiso, no de que se trate de datos personales, por lo que los términos y los controles de acceso de un sitio importan de forma independiente a cualquier disposición de la Ley DPDP. Nuestra guía sobre lo que preguntará el departamento legal antes de un proyecto de scraping explica cómo evaluar juntas estas cuestiones.
Cómo deberían prepararse los equipos de datos
- Mapear los datos personales indios. Identificar qué fuentes y campos contienen datos personales sobre personas en la India, y si su uso está relacionado con la oferta de bienes o servicios a esas personas.
- Registrar quién publicó cada registro. Etiquetar los datos como autopublicados, publicados por obligación legal o de terceros. Solo los dos primeros pueden acogerse a la exclusión. Nuestra guía sobre la procedencia en el proceso de entrenamiento de IA muestra un formato de registro que recoge esta información.
- Eliminar lo que no se necesite. Los datos personales de terceros sin una base lícita deben filtrarse en el momento de la recopilación, no después.
- Poner a prueba cualquier alegación de investigación. Si se recurre a la exención de investigación, hay que documentar la finalidad, confirmar que no se toman decisiones sobre personas concretas y cumplir los estándares establecidos en las Normas.
- Planificar para mayo de 2027. Tratarlo como la fecha límite, y estar atentos a cualquier notificación que adelante las fechas o restrinja las transferencias a determinados países.
Dónde encajan los proxies
Un proxy cambia el origen aparente de una solicitud, no lo que permite la ley. Recopilar datos personales indios a través de una IP india, o de cualquier otra, no cambia si se aplica la Ley DPDP ni en qué exclusión se puede basar uno. Los proxies residenciales resultan útiles para ver páginas públicas tal como las ven los visitantes locales en la India, en tareas como la monitorización de precios, la verificación de anuncios y las comprobaciones de localización, que normalmente implican poco o ningún dato personal.
En resumen
La Ley DPDP de la India excluye los datos personales que las personas publican sobre sí mismas, pero no los datos personales que otros publican sobre ellas, y no cuenta con una base de intereses legítimos a la que recurrir. La mayoría de sus obligaciones entran en vigor el 13 de mayo de 2027, incluida la propia exclusión. Conviene aprovechar el tiempo disponible para mapear qué datos personales indios se poseen, registrar quién publicó cada registro y construir una recopilación que conserve únicamente lo que se pueda justificar. Para una comparación con otro cambio reciente, consulte nuestra guía sobre la Ley de Datos (Uso y Acceso) del Reino Unido.
Fuentes y referencias
- Digital Personal Data Protection Act, 2023, Gazette of India (11 de agosto de 2023): egazette.gov.in
- Commencement notification, G.S.R. 843(E) (noviembre de 2025): egazette.gov.in
- Establishment of the Data Protection Board, G.S.R. 844(E) (noviembre de 2025): egazette.gov.in
- Digital Personal Data Protection Rules, 2025, G.S.R. 846(E): egazette.gov.in
- Press Information Bureau, DPDP Rules backgrounder (noviembre de 2025): pib.gov.in
- S.S. Rana and Co., MeitY plans to cut short the DPDP compliance timeline (13 de febrero de 2026): ssrana.in
- Information Technology Act, 2000, section 43 (texto a través de CIS): cis-india.org
- General Data Protection Regulation, Regulation (EU) 2016/679: eur-lex.europa.eu