Cumplimiento de la Ley de Protección de Datos Personales Digitales de la India (DPDPA)
Pandectes GDPR Compliance ayuda a las tiendas Shopify a cumplir la DPDPA recogiendo el consentimiento antes de las cookies no esenciales, analizando y clasificando las cookies y conservando registros de consentimiento.
Empiece gratis
La app de consentimiento de cookies n.º 1 para Shopify, con la confianza de 185k tiendas
¿Qué es la DPDPA?
La Digital Personal Data Protection Act, 2023 (DPDPA), o Ley de Protección de Datos Personales Digitales de 2023, es la primera ley integral de protección de datos de la India. Regula cómo tratan las empresas, a las que la ley llama “Data Fiduciaries” (fiduciarios de datos), los datos personales digitales de las personas, llamadas “Data Principals” (titulares de los datos). Las Digital Personal Data Protection Rules, 2025 (DPDP Rules) establecen los detalles prácticos, como lo que debe contener un aviso de consentimiento y cómo responder a las solicitudes.
Los principales requisitos de la DPDPA son:
- El consentimiento debe ser libre, específico, informado, incondicional e inequívoco, otorgarse mediante una acción afirmativa clara y limitarse a los datos necesarios para la finalidad indicada.
- Cada solicitud de consentimiento debe ir acompañada de un aviso claro que explique qué datos se recogen y por qué. Las personas pueden pedir el aviso en inglés o en cualquiera de las lenguas que figuran en el Octavo Anexo de la Constitución.
- Las personas pueden retirar su consentimiento en cualquier momento, y retirarlo debe ser tan fácil como darlo.
- Tratar datos de un menor (cualquier persona de menos de 18 años) requiere el consentimiento verificable de uno de sus progenitores o de su tutor, y se prohíben el rastreo, el seguimiento del comportamiento y la publicidad dirigida a menores.
- Las personas tienen derecho a acceder a sus datos, rectificarlos, actualizarlos y suprimirlos, y las solicitudes deben responderse en un plazo de 90 días.
- Los Data Fiduciaries deben proteger los datos con medidas de seguridad razonables y notificar las brechas de datos personales.
¿A quién se aplica la DPDPA?
La DPDPA se aplica a los datos personales digitales que se tratan en la India. También se aplica al tratamiento realizado fuera de la India cuando está relacionado con la oferta de bienes o servicios a personas en la India, por lo que una tienda online con sede en otro país que vende a clientes en la India está incluida.
¿Qué ocurre si no cumplo la DPDPA?
La DPDPA la hace cumplir la Data Protection Board of India (Junta de Protección de Datos de la India), que puede investigar las infracciones de la ley e imponer sanciones económicas. Las sanciones máximas se fijan en un anexo de la ley:
- Hasta 250 crore ₹ por no adoptar medidas de seguridad razonables para evitar una brecha de datos personales.
- Hasta 200 crore ₹ por no notificar a la Junta y a las personas afectadas una brecha de datos personales.
- Hasta 200 crore ₹ por incumplir las obligaciones adicionales relativas a los datos de menores.
- Hasta 50 crore ₹ por otras infracciones de la ley o de las Rules cometidas por un Data Fiduciary.
La Junta decide cada sanción en función de factores como la naturaleza, la gravedad y la duración de la infracción. Sus decisiones pueden recurrirse ante el Telecom Disputes Settlement and Appellate Tribunal (TDSAT).
¿Cuándo entra en vigor la DPDPA?
La DPDPA recibió la sanción presidencial el 11 de agosto de 2023, y las DPDP Rules se publicaron oficialmente en noviembre de 2025. Las disposiciones que crean la Junta de Protección de Datos se aplicaron de inmediato, las normas sobre los Consent Managers registrados se aplican desde noviembre de 2026 y las principales obligaciones de las empresas, como el aviso, el consentimiento, los datos de menores y los derechos de los interesados, se aplican desde mayo de 2027.
Cómo cumplir la DPDPA
Las tiendas Shopify que venden a clientes en la India deben aprovechar el tiempo que queda hasta mayo de 2027 para prepararse. Cuando las cookies y las herramientas de rastreo tratan datos personales, el consentimiento del visitante debe ser una acción afirmativa clara, por lo que las casillas premarcadas o considerar que seguir navegando equivale a consentir no cumplirán el estándar. El aviso de consentimiento debe ser independiente, enumerar en un lenguaje sencillo los datos recogidos y cada finalidad concreta, y los visitantes deben poder retirar su consentimiento con la misma facilidad con que lo dieron. Si su tienda puede ser utilizada por menores, tenga especial cuidado con el rastreo y la publicidad dirigida.
La DPDPA no exige un mecanismo concreto para transferir datos al extranjero, pero el Gobierno puede restringir las transferencias a los países que notifique, así que esté atento a cualquier lista de ese tipo. También debe publicar datos de contacto para consultas sobre privacidad y establecer un procedimiento para responder a tiempo a las solicitudes de acceso, rectificación y supresión.
Una plataforma de gestión del consentimiento (CMP) como Pandectes GDPR Compliance le ayuda con la parte de este trabajo que tiene lugar en su tienda. Muestra un banner de cookies y bloquea las cookies no esenciales hasta que el visitante da su consentimiento, analiza y clasifica automáticamente las cookies de su tienda y genera una declaración de cookies para su política. Conserva registros de consentimiento como prueba del consentimiento, le ayuda a gestionar las solicitudes de los interesados y le permite configurar el banner por región mediante geolocalización, para que los visitantes de la India vean un banner adaptado a la DPDPA.
Como la DPDPA es reciente y las orientaciones de la Junta todavía se están desarrollando, revise su configuración con un asesor legal cuando proceda.