Página inicial » Glossário » Lei DPDP de 2023
O que é a Lei DPDP de 2023 na Índia?
Mais sobre Conformidade e Direito do Trabalho
- O Lei DPDP de 2023 É a Lei nº 22 de 2023 e recebeu a sanção presidencial em 11 de agosto de 2023.
- O Regras DPDP 2025 Foram publicadas em 13 de novembro de 2025, dando início a um processo gradual.
- As multas para quem não mantiver medidas de segurança adequadas chegam a ₹250 crore (250 milhões de rúpias).
- Em caso de violação de dados, é necessário notificar imediatamente a Autoridade de Proteção de Dados e as pessoas afetadas, e apresentar um relatório detalhado em até 72 horas.
Nesta página
Quando começam as obrigações do DPDP para os empregadores?
Principalmente em 13 de maio de 2027. A implementação ocorrerá em três etapas.
| Data | O que começa |
|---|---|
| 13 Novembro de 2025 | Definições, disposições do Conselho de Proteção de Dados e o quadro das regras |
| 13 Novembro de 2026 | Registro do gestor de consentimento |
| 13 de maio de 2027 | Avisos, usos legítimos, medidas de segurança, comunicação de violações de dados, retenção e eliminação de dados, direitos do titular dos dados, penalidades |
Portanto, o prazo final é de 18 meses após a entrada em vigor das Regras. Isso deixa cerca de seis meses e meio. O cronograma DPDP do Privacy Labs define quais regras entram em vigor em cada data.
O Conselho existe legalmente, mas não havia divulgado nenhuma nomeação até agosto de 2026. Mesmo assim, planeje-se de acordo com os prazos.
Como a Lei DPDP trata os dados dos funcionários?
Como o processamento se baseia em uso legítimo, para a maioria dos trabalhos de RH. A Seção 7(i) abrange o processamento “para fins de emprego” ou para proteger o empregador de perdas ou responsabilidades, conforme explica a análise da Bar & Bench sobre a isenção de emprego.
Folha de pagamento, controle de frequência, declarações legais e verificação de antecedentes de um novo funcionário são processados sem problemas. Não são necessários formulários de consentimento. As obrigações permanecem. A Seção 8 ainda se aplica a você.
Você deve manter medidas de segurança razoáveis, relatar violações e apagar os dados assim que sua finalidade for cumprida, a menos que outra lei exija que você os mantenha. A legislação trabalhista indiana frequentemente exige isso, portanto, associe cada registro à sua respectiva regra de retenção.
Eis a armadilha. Os empregadores estrangeiros presumem que seu programa de GDPR já abrange a Índia.
Grande parte disso se aplica. No entanto, os fundamentos diferem: a Lei DPDP não possui um fundamento geral de "interesses legítimos", e seu fundamento trabalhista pode não se aplicar claramente a contratados ou funcionários cedidos.
Transferências para o exterior são permitidas, a menos que o governo central restrinja um país por meio de notificação. Até a última verificação, nenhuma havia sido notificada.
Quem é o responsável pelos dados quando você usa um EOR?
Normalmente, a EOR (Empresa Responsável pelo Emprego) é responsável pelos registros que mantém como empregadora, podendo você atuar como fiduciário conjunto, decidindo como os dados da equipe serão utilizados. Tanto o seu sistema de RH quanto o portal de autoatendimento da EOR armazenam dados pessoais, portanto, o contrato deve especificar quem tem responsabilidade sobre o quê.
Defina as responsabilidades em caso de descumprimento do contrato antes de 13 de maio de 2027, pois o prazo de 72 horas não deixa tempo para negociação. Nosso guia sobre a Lei DPDP para empregadores na Índia abrange todo o programa.
Como a Remunance protege os dados pessoais da sua equipe?
A Remunance possui a certificação ISO/IEC 27001:2022, que você pode verificar em nossa página de certificações ISO . Essa estrutura de controles está em conformidade com a obrigação de salvaguarda de segurança da legislação. Mantemos registros de folha de pagamento, bancários e de identidade de mais de 1,200 funcionários contratados por nossos clientes, portanto, o controle de acesso e a retenção de dados são atividades diárias para nós. Para alinhar suas responsabilidades contratuais e de violação de dados antes do prazo de 2027, mapeie suas responsabilidades de proteção de dados (DPDP) conosco.
Que outras perguntas as pessoas fazem sobre a Lei DPDP?
Os empregadores precisam de consentimento para processar dados de funcionários de acordo com a DPDP?
Não se destina a fins laborais, conforme a secção 7(i). O consentimento ou outra base legal continua a ser necessário para o tratamento de dados fora desse âmbito, como por exemplo, para fins de marketing direcionado aos funcionários.
Qual é a penalidade prevista na Lei DPDP?
Até ₹250 crore. Esse limite se aplica à falta de adoção de medidas de segurança razoáveis. O Anexo também estabelece até ₹200 crore para notificações de violação de dados e falhas relacionadas a dados de crianças, e até ₹50 crore para outras violações.
O DPDP aplica-se a empresas estrangeiras?
Sim, quando processam dados pessoais digitais na Índia ou os processam no exterior enquanto oferecem bens ou serviços a pessoas na Índia. Contratar funcionários por meio de um Employer of Record (EOR) indiano mantém a maior parte do processamento de dados dos funcionários sob responsabilidade de um fiduciário indiano.