インドのデジタル個人データ保護法は、公開データの扱いについて欧州とは異なるアプローチを取っている。GDPRは、どこで見つかった個人データにも適用される。これに対しインドの法律は、既に公開されている一部の個人データには適用されないとしている。コンプライアンスを意識してウェブデータを収集するチームにとって、これは単純な答えのように聞こえる。しかし実際はそうではなく、タイミングも文言と同じくらい重要である。
本ガイドでは、公開データについてこの法律が何を定めているか、いつ施行されるか、適用除外が当てはまらない場合に何が求められるか、そしてどう準備すべきかを扱う。これは一般的な情報であり、法的助言ではない。
法律の現状
この法律は2023年8月11日に大統領の裁可を受けた。政府は2025年11月、DPDP規則と施行日を3段階で告示した。
| 段階 | 日付 | 発効する内容 |
|---|---|---|
| 公布時 | 2025年11月13日 | 定義、データ保護委員会およびその設置規則 |
| 1年後 | 2026年11月 | 同意管理者に関する規定 |
| 18ヶ月後 | 2027年5月13日 | 適用範囲(第3条)、通知、同意、正当な利用、義務、権利、適用除外、委員会の執行権限および罰則 |
一部の要約は、官報が署名された11月14日を起点として数えており、この場合各段階が1日ずつずれる。いずれにせよ、主要な義務、さらにはこの法律の適用範囲と公開データの適用除外を定める条項自体も、制定はされているがまだ施行されていない。それまでの間は、IT法第43A条に基づく従来の規則が、機微な個人データに対して引き続き適用される。
2026年初め、政府は最大手のデータ受託者について一部の義務を12ヶ月に前倒しすることを協議した。本稿執筆時点では、その変更を行う告示は見つかっていないため、2027年の日付に依拠する前に官報を確認すべきである。
公開データの適用除外
第3条(c)(ii)は、以下のいずれかによって「公開された、または公開させられた個人データ」には本法が適用されないとしている。
- 「当該個人データの対象であるデータ主体」、または
- 「インドで現に施行されている法律に基づき、当該個人データを公開する義務を負う他の者」
この法律は一つの例を挙げている。「個人であるXが、自身の見解をブログに書く際、ソーシャルメディア上で自身の個人データを公開した。この場合、本法の規定は適用されない。」
ここでの判断基準は、データを公開したのが誰かであって、現在それが公開されているかどうかではない。3つの事例でその違いが示される。
| データ | 誰が公開したか | 除外されるか |
|---|---|---|
| 専門職従事者自身のプロフィールやブログ記事 | 本人自身 | 文言上、除外される |
| 法定登録簿に記載された企業役員の情報 | 法律上公開を義務付けられた者 | 文言上、除外される |
| 人物名が記載されたニュース記事、レビュー、再投稿 | 法的義務のない第三者 | 除外されない |
クローラーが収集するデータの多くは3番目の種類、すなわち記事、レビュー、コメント、そして他者が編纂したディレクトリに記載された氏名である。適用除外はこのデータには及ばない。また、この法律は、データが他の情報源と組み合わされた場合や、人物のプロファイリングに使われた場合にも除外が維持されるかどうかについて言及しておらず、この点に関する公式のガイダンスも今のところ存在しない。
実務上は、各レコードの出所を把握する必要がある。自己公開データと第三者データが混在するデータセットは、全体として適用除外に依拠することはできない。
適用除外が当てはまらない場合
適用除外の対象外となる個人データについて、この法律は厳格である。
正当な利益という根拠はない。 処理が適法となるのは、同意がある場合、または「特定の正当な利用」に該当する場合のみである。これらの利用は限定列挙であり、人が特定の目的のために自発的に提供したデータ、国家機能、法的義務、裁判所命令、医療上の緊急事態、災害、雇用関係がそれにあたる。GDPRの正当な利益のような一般的な比較衡量テストは存在しない。GDPRとレジデンシャルプロキシに関する当社のガイドでは、欧州が同じ問題をどう扱っているかを解説している。
同意の要件は厳しい。 同意は「自由で、具体的かつ事前説明を受けた上での、無条件かつ明確な、積極的な行為を伴う明確なもの」でなければならず、事前の通知が必要となる。ウェブから収集したデータについて同意を得ることは、実際にはほとんど現実的ではない。
研究には独自の適用除外がある。 第17条(2)(b)は、「個人データが特定のデータ主体に関する意思決定に使用されない場合」であって、所定の基準の下で行われる「研究、記録保存または統計目的のために必要な」処理には本法が適用されないとしている。規則はこの基準を定めており、適法な処理、必要な範囲内のデータのみの利用、合理的な正確性、限定的な保存期間、安全管理措置、明確な説明責任である。この適用除外も2027年5月に発効する。
インド国外への適用。 この法律は、インド国外での処理であっても、「インド領域内のデータ主体に対する商品またはサービスの提供に関連する活動」に関係する場合には適用される。インドの消費者向けデータセットを構築し、彼らに販売しようとする国外のチームは、自らが対象となり得ると考えるべきである。
罰則
罰則は違反ごとに定められており、「最大で」以下の金額に達し得る。これらは2027年5月から適用される。
| 違反 | 上限 |
|---|---|
| 合理的な安全管理措置を講じなかった場合 | 2億5000万ルピー |
| 個人データ侵害の通知を怠った場合 | 2億ルピー |
| 子どもに関する義務違反 | 2億ルピー |
| 重要データ受託者の義務違反 | 1億5000万ルピー |
| その他の規定の違反 | 5000万ルピー |
2億5000万ルピーは25億ルピーに相当する。金額は委員会が個別の事案ごとに決定する。
忘れてはならないもう一つの法律
DPDP法は、ウェブデータに関わるインドの唯一の法律ではない。IT法第43条は、コンピュータシステムの「所有者の許可なく」それにアクセスしたり、そこからデータをダウンロード、複製、抽出した者に損害賠償の責任を負わせる。これは個人データであるかどうかではなく、許可の有無にかかっているため、サイトの利用規約とアクセス制御は、DPDP法とは別に独自に重要となる。スクレイピングプロジェクトの承認前に法務が確認することに関する当社のガイドでは、これらの問題をあわせて評価する方法を解説している。
データチームの準備方法
- インドの個人データをマッピングする。 どのソースとフィールドにインド在住者の個人データが含まれているか、また自社の利用がインドの人々への商品・サービス提供に関連しているかどうかを特定する。
- 誰が各レコードを公開したかを記録する。 データを自己公開、法的公開、第三者公開として分類する。適用除外に依拠できるのは最初の2つのみである。AIトレーニングパイプラインにおけるプロベナンスに関する当社のガイドでは、これを保持する記録形式を紹介している。
- 不要なものは除外する。 適法な根拠のない第三者の個人データは、収集後ではなく収集時点でフィルタリングすべきである。
- 研究目的の主張を検証する。 研究に関する適用除外に依拠する場合は、目的を文書化し、個人に関する意思決定が行われないことを確認し、規則に定める基準を満たすこと。
- 2027年5月に向けて計画する。 これを締め切りとして扱い、日付を前倒しする、あるいは特定国への移転を制限する告示がないか注視すること。
プロキシの位置づけ
プロキシはリクエストの発信元を変えるだけであり、法律が何を認めるかを変えるものではない。インドのIP、あるいは他のどのIPを通じてインドの個人データを収集しても、DPDP法が適用されるかどうか、どの適用除外に依拠できるかは変わらない。レジデンシャルプロキシは、価格モニタリング、広告の検証、ローカライズチェックといった、通常は個人データをほとんどまたは全く伴わない作業において、公開ページをインド国内の現地訪問者と同じように見るのに有用である。
結論
インドのDPDP法は、人々が自らについて公開した個人データを適用除外とするが、他者がその人について公開した個人データは除外せず、また拠り所となる一般的な正当利益の根拠も存在しない。その義務の大部分は、適用除外自体を含め、2027年5月13日に発効する。この期間を利用して、保有するインドの個人データをマッピングし、各レコードを誰が公開したかを記録し、正当化できるデータのみを保持する収集体制を構築すべきである。別の最近の変更との比較については、英国のデータ(利用及びアクセス)法に関する当社のガイドを参照されたい。
出典および参考資料
- Digital Personal Data Protection Act, 2023, Gazette of India (11 August 2023): egazette.gov.in
- Commencement notification, G.S.R. 843(E) (November 2025): egazette.gov.in
- Establishment of the Data Protection Board, G.S.R. 844(E) (November 2025): egazette.gov.in
- Digital Personal Data Protection Rules, 2025, G.S.R. 846(E): egazette.gov.in
- Press Information Bureau, DPDP Rules backgrounder (November 2025): pib.gov.in
- S.S. Rana and Co., MeitY plans to cut short the DPDP compliance timeline (13 February 2026): ssrana.in
- Information Technology Act, 2000, section 43 (text via CIS): cis-india.org
- General Data Protection Regulation, Regulation (EU) 2016/679: eur-lex.europa.eu