Voldoen aan de Indiase Digital Personal Data Protection Act (DPDPA)
Pandectes GDPR Compliance helpt Shopify-winkels aan de DPDPA te voldoen door toestemming te vragen vóór niet-essentiële cookies, cookies te scannen en in te delen, en toestemmingen te registreren.
Gratis starten
De #1 app voor cookietoestemming op Shopify, vertrouwd door 185k winkels
Wat is de DPDPA?
De Digital Personal Data Protection Act, 2023 (DPDPA) is de eerste uitgebreide wet op de gegevensbescherming van India. De wet regelt hoe bedrijven, die de wet “Data Fiduciaries” noemt, de digitale persoonsgegevens verwerken van personen, die “Data Principals” heten. De Digital Personal Data Protection Rules, 2025 (DPDP Rules) werken de praktische details uit, zoals wat een toestemmingsverklaring moet bevatten en hoe je op verzoeken reageert.
De belangrijkste eisen van de DPDPA zijn:
- Toestemming moet vrij, specifiek, geïnformeerd, onvoorwaardelijk en ondubbelzinnig zijn, gegeven worden via een duidelijke actieve handeling en beperkt blijven tot de gegevens die nodig zijn voor het opgegeven doel.
- Elk verzoek om toestemming moet vergezeld gaan van een duidelijke kennisgeving die uitlegt welke gegevens worden verzameld en waarom. Mensen kunnen de kennisgeving opvragen in het Engels of in een van de talen uit de Achtste Bijlage bij de Grondwet.
- Mensen kunnen hun toestemming op elk moment intrekken, en intrekken moet even makkelijk zijn als toestemming geven.
- Voor het verwerken van gegevens van een kind (iedereen onder de 18) is verifieerbare toestemming van een ouder of voogd nodig, en tracking, gedragsmonitoring en gerichte advertenties voor kinderen zijn verboden.
- Mensen hebben het recht hun gegevens in te zien, te corrigeren, bij te werken en te laten wissen, en verzoeken moeten binnen 90 dagen worden beantwoord.
- Data Fiduciaries moeten gegevens beschermen met redelijke beveiligingsmaatregelen en datalekken melden.
Voor wie geldt de DPDPA?
De DPDPA geldt voor digitale persoonsgegevens die in India worden verwerkt. De wet geldt ook voor verwerking buiten India als die verband houdt met het aanbieden van goederen of diensten aan mensen in India. Een onlinewinkel die elders is gevestigd en aan klanten in India verkoopt, valt er dus ook onder.
Wat gebeurt er als ik me niet aan de DPDPA houd?
De DPDPA wordt gehandhaafd door de Data Protection Board of India, die schendingen van de wet kan onderzoeken en financiële sancties kan opleggen. De maximale sancties staan in een bijlage bij de wet:
- Tot ₹250 crore voor het niet nemen van redelijke beveiligingsmaatregelen om een datalek te voorkomen.
- Tot ₹200 crore voor het niet melden van een datalek aan de Board en de getroffen personen.
- Tot ₹200 crore voor het schenden van de extra verplichtingen voor gegevens van kinderen.
- Tot ₹50 crore voor andere schendingen van de wet of de Rules door een Data Fiduciary.
De Board bepaalt elke sanctie op basis van factoren zoals de aard, de ernst en de duur van de schending. Beroep tegen haar beslissingen gaat naar het Telecom Disputes Settlement and Appellate Tribunal (TDSAT).
Wanneer gaat de DPDPA in?
De DPDPA kreeg op 11 augustus 2023 de goedkeuring van de president en de DPDP Rules werden in november 2025 bekendgemaakt. De bepalingen over de oprichting van de Data Protection Board gingen meteen in, de regels voor geregistreerde Consent Managers gelden vanaf november 2026, en de belangrijkste verplichtingen voor bedrijven, waaronder kennisgeving, toestemming, gegevens van kinderen en de rechten van betrokkenen, gelden vanaf mei 2027.
Aan de DPDPA voldoen
Shopify-winkels die aan klanten in India verkopen, doen er goed aan de resterende tijd tot mei 2027 te gebruiken om zich voor te bereiden. Waar cookies en trackingtools persoonsgegevens verwerken, moet de toestemming van de bezoeker blijken uit een duidelijke actieve handeling. Vooraf aangevinkte vakjes of doorklikken als toestemming beschouwen voldoet dus niet. De toestemmingsverklaring moet op zichzelf staan, de verzamelde gegevens en elk specifiek doel in begrijpelijke taal noemen, en bezoekers moeten hun toestemming even makkelijk kunnen intrekken als ze die gaven. Kan je winkel door kinderen worden gebruikt, wees dan extra voorzichtig met tracking en gerichte advertenties.
De DPDPA schrijft geen specifiek mechanisme voor om gegevens naar het buitenland door te geven, maar de overheid kan doorgifte beperken naar landen die ze aanwijst, dus houd een eventuele lijst daarvan in de gaten. Publiceer ook contactgegevens voor privacyvragen en zet een procedure op om verzoeken om inzage, correctie en wissing op tijd te beantwoorden.
Een Consent Management Platform (CMP) zoals Pandectes GDPR Compliance helpt je met het deel hiervan dat in je webwinkel plaatsvindt. Het toont een cookiebanner en blokkeert niet-essentiële cookies tot de bezoeker toestemming geeft, scant en categoriseert de cookies in je winkel automatisch en maakt een cookieverklaring voor je beleid. Het houdt toestemmingslogs bij als bewijs van toestemming, helpt je verzoeken van betrokkenen af te handelen en laat je bannerinstellingen per regio configureren met geolocatie, zodat bezoekers uit India een banner zien die past bij de DPDPA.
Omdat de DPDPA nieuw is en de richtlijnen van de Board nog in ontwikkeling zijn, laat je je instellingen waar nodig door een jurist controleren.