A Lei de Proteção de Dados Pessoais Digitais da Índia adota uma abordagem diferente da Europa em relação a dados públicos. O GDPR se aplica a dados pessoais onde quer que sejam encontrados. A lei indiana, por outro lado, diz que não se aplica a alguns dados pessoais que já são públicos. Para equipes que coletam dados da web pensando em conformidade, isso parece uma resposta simples. Não é, e o momento importa tanto quanto a redação.
Este guia aborda o que a Lei diz sobre dados públicos, quando ela entra em vigor, o que exige quando a exclusão não se aplica e como se preparar. É uma informação geral, não aconselhamento jurídico.
Onde a lei se encontra
A Lei recebeu sanção presidencial em 11 de agosto de 2023. O governo notificou as Regras DPDP e as datas de entrada em vigor em novembro de 2025, em três estágios.
| Estágio | Data | O que entra em vigor |
|---|---|---|
| Na publicação | 13 de novembro de 2025 | Definições, o Conselho de Proteção de Dados e suas regras de constituição |
| Após um ano | novembro de 2026 | Disposições sobre gestores de consentimento |
| Após 18 meses | 13 de maio de 2027 | Escopo (seção 3), avisos, consentimento, usos legítimos, deveres, direitos, isenções, poderes de fiscalização e penalidades do Conselho |
Alguns resumos contam a partir de 14 de novembro, data em que o Diário Oficial foi assinado, o que desloca cada estágio em um dia. De qualquer forma, as principais obrigações, e até mesmo a seção que define o escopo da Lei e sua exclusão de dados públicos, foram promulgadas mas ainda não estão em vigor. Até lá, as regras antigas da seção 43A da Lei de TI ainda se aplicam a dados pessoais sensíveis.
No início de 2026, o governo consultou sobre antecipar algumas obrigações para 12 meses para os maiores fiduciários de dados. No momento em que este texto foi escrito, não encontramos uma notificação formalizando essa mudança, portanto verifique o Diário Oficial antes de confiar na data de 2027.
A exclusão de dados públicos
A seção 3(c)(ii) diz que a Lei não se aplica a “dados pessoais tornados ou feitos para serem tornados publicamente disponíveis por”:
- “o Titular dos Dados a quem tais dados pessoais se relacionam”, ou
- “qualquer outra pessoa que esteja sob a obrigação, nos termos de qualquer lei em vigor na Índia, de tornar tais dados pessoais publicamente disponíveis”.
A Lei fornece uma ilustração: “X, um indivíduo, ao fazer um blog sobre suas opiniões, tornou publicamente disponíveis seus dados pessoais nas redes sociais. Nesse caso, as disposições desta Lei não se aplicam.”
O teste é quem tornou o dado público, não se ele é público agora. Três casos mostram a diferença.
| Dado | Quem tornou público | Excluído? |
|---|---|---|
| O próprio perfil ou post de blog de um profissional | A própria pessoa | Sim, pela redação |
| Os dados de um diretor de empresa em um registro estatutário | Alguém legalmente obrigado a publicar | Sim, pela redação |
| Uma notícia, avaliação ou repostagem que nomeia uma pessoa | Um terceiro sem dever legal | Não |
Boa parte do que um crawler coleta é do terceiro tipo: nomes em artigos, avaliações, comentários e diretórios compilados por outros. A exclusão não alcança esses dados. A Lei também não diz se o dado permanece excluído uma vez combinado com outras fontes ou usado para traçar o perfil de alguém, e ainda não há orientação oficial sobre esse ponto.
Na prática, você precisa saber a origem de cada registro. Um conjunto de dados que mistura dados autopublicados com dados de terceiros não pode se apoiar na exclusão como um todo.
Quando a exclusão não se aplica
Para dados pessoais fora da exclusão, a Lei é rigorosa.
Sem interesses legítimos. O processamento é lícito apenas com consentimento ou para “certos usos legítimos”. Esses usos são uma lista fechada: dados que uma pessoa forneceu voluntariamente para um propósito específico, funções estatais, obrigações legais, ordens judiciais, emergências médicas, desastres e emprego. Não há um teste geral de ponderação como os interesses legítimos do GDPR. Nosso guia sobre GDPR e proxies residenciais aborda como a Europa trata a mesma questão.
O consentimento é exigente. Ele deve ser “livre, específico, informado, incondicional e inequívoco com uma ação afirmativa clara”, e precedido de um aviso. O consentimento raramente é viável para dados coletados da web.
A pesquisa tem sua própria isenção. A seção 17(2)(b) diz que a Lei não se aplica ao processamento “necessário para pesquisa, arquivamento ou fins estatísticos, se os dados pessoais não forem usados para tomar qualquer decisão específica sobre um Titular de Dados”, realizado sob padrões prescritos. As Regras estabelecem esses padrões: processamento lícito, apenas os dados necessários, precisão razoável, retenção limitada, salvaguardas de segurança e responsabilização clara. Essa isenção também começa em maio de 2027.
Alcance além da Índia. A Lei se aplica ao processamento fora da Índia quando ele estiver “relacionado a qualquer atividade de oferta de bens ou serviços a Titulares de Dados dentro do território da Índia”. Uma equipe no exterior que constrói um conjunto de dados de consumidores indianos para vender a eles deve presumir que pode estar coberta.
Penalidades
As penalidades são definidas por infração e “podem chegar a” os valores abaixo. Elas se aplicam a partir de maio de 2027.
| Infração | Até |
|---|---|
| Não adotar salvaguardas de segurança razoáveis | ₹250 crore |
| Não notificar uma violação de dados pessoais | ₹200 crore |
| Violar obrigações relativas a crianças | ₹200 crore |
| Violar obrigações de fiduciários de dados significativos | ₹150 crore |
| Violação de qualquer outra disposição | ₹50 crore |
₹250 crore equivale a 2,5 bilhões de rúpias. O Conselho decide o valor caso a caso.
A outra lei a lembrar
A Lei DPDP não é a única lei indiana que afeta dados da web. A seção 43 da Lei de TI torna uma pessoa responsável por pagar indenização se, “sem permissão do proprietário” de um sistema de computador, ela acessar ou baixar, copiar ou extrair dados dele. Isso depende de permissão, não de dados pessoais, então os termos de um site e seus controles de acesso importam separadamente de qualquer coisa na Lei DPDP. Nosso guia sobre o que o jurídico vai perguntar antes de um projeto de scraping aborda como avaliar essas questões em conjunto.
Como as equipes de dados devem se preparar
- Mapeie dados pessoais indianos. Descubra quais fontes e campos contêm dados pessoais sobre pessoas na Índia, e se seu uso está relacionado à oferta de bens ou serviços a elas.
- Registre quem publicou cada registro. Marque os dados como autopublicados, legalmente publicados ou de terceiros. Apenas os dois primeiros podem se apoiar na exclusão. Nosso guia sobre proveniência no pipeline de treinamento de IA mostra um formato de registro que suporta isso.
- Descarte o que você não precisa. Dados pessoais de terceiros sem rota lícita devem ser filtrados na coleta, não depois.
- Teste qualquer alegação de pesquisa. Se você depende da isenção de pesquisa, documente o propósito, confirme que nenhuma decisão é tomada sobre indivíduos e atenda aos padrões das Regras.
- Planeje para maio de 2027. Trate essa data como o prazo final, e fique atento a qualquer notificação que antecipe datas ou restrinja transferências para países específicos.
Onde os proxies se encaixam
Um proxy muda de onde uma solicitação vem, não o que a lei permite. Coletar dados pessoais indianos por meio de um IP indiano, ou qualquer outro, não muda se a Lei DPDP se aplica ou em qual exclusão você se apoia. Proxies residenciais são úteis para ver páginas públicas como visitantes locais na Índia as veem, para trabalhos como monitoramento de preços, verificação de anúncios e checagens de localização, que normalmente envolvem pouco ou nenhum dado pessoal.
Conclusão
A Lei DPDP da Índia exclui dados pessoais que as pessoas publicam sobre si mesmas, mas não dados pessoais que outros publicam sobre elas, e não tem base de interesses legítimos para recorrer. A maioria de suas obrigações começa em 13 de maio de 2027, incluindo a própria exclusão. Use o tempo para mapear quais dados pessoais indianos você possui, registrar quem publicou cada registro e construir uma coleta que mantenha apenas o que você pode justificar. Para uma comparação com outra mudança recente, veja nosso guia sobre a Lei de Uso e Acesso de Dados do Reino Unido.
Fontes e referências
- Lei de Proteção de Dados Pessoais Digitais, 2023, Diário Oficial da Índia (11 de agosto de 2023): egazette.gov.in
- Notificação de entrada em vigor, G.S.R. 843(E) (novembro de 2025): egazette.gov.in
- Estabelecimento do Conselho de Proteção de Dados, G.S.R. 844(E) (novembro de 2025): egazette.gov.in
- Regras de Proteção de Dados Pessoais Digitais, 2025, G.S.R. 846(E): egazette.gov.in
- Press Information Bureau, documento de referência das Regras DPDP (novembro de 2025): pib.gov.in
- S.S. Rana and Co., MeitY planeja reduzir o cronograma de conformidade com a DPDP (13 de fevereiro de 2026): ssrana.in
- Lei de Tecnologia da Informação, 2000, seção 43 (texto via CIS): cis-india.org
- Regulamento Geral sobre a Proteção de Dados, Regulamento (UE) 2016/679: eur-lex.europa.eu