Cuando los clientes me preguntan por la Digital Personal Data Protection (DPDP) Act, la primera pregunta rara vez es “¿Qué dice?”. Normalmente es “¿Cumplimos la norma y cómo podríamos saberlo?”
Es una pregunta razonable. La mayoría de las organizaciones tienen datos personales en más lugares de los que creen: exportaciones del HRMS, documentos de candidatos en bandejas de correo, portales de proveedores, unidades compartidas, copias de seguridad antiguas. El cumplimiento no es una política única que se firma. Es un conjunto de hábitos de trabajo que puedes demostrar ante un regulador, un cliente o un auditor.
En Quinfy manejamos datos sensibles de identidad, educación, empleo y domicilio de cientos de clientes, así que pensamos en esto todos los días. Este artículo te ofrece tres cosas: el calendario oficial, una forma rápida de medir en qué punto estás y una hoja de ruta para prepararte. Al final encontrarás un kit descargable con la lista de verificación completa.
El calendario: lo que ya está en vigor y lo que viene
Las Digital Personal Data Protection Rules, 2025 fueron notificadas por el Ministry of Electronics and Information Technology (MeitY) el 13 de noviembre de 2025. Ponen en marcha la ley en tres etapas.
| Fecha | Qué se aplica | Qué significa para ti |
|---|---|---|
| 13 de noviembre de 2025 (ya en vigor) | Reglas 1, 2 y 17 a 21: definiciones y la Data Protection Board of India | El organismo de aplicación ya existe y puede recibir reclamaciones. Todavía no hay obligaciones pesadas en el día a día para la mayoría de las empresas. |
| 13 de noviembre de 2026 (dentro de unas dos semanas) | Regla 4: registro y obligaciones de los Consent Managers | Afecta sobre todo a las organizaciones que planean actuar como Consent Managers y a quienes piensan utilizarlos. Considéralo tu primer hito. |
| 13 may 2027 (cumplimiento total) | Reglas 3 y 5 a 16, más 22 y 23: aviso, consentimiento, medidas de seguridad, notificación de brechas, conservación y supresión, datos de menores, derechos de los Data Principals, obligaciones de los Significant Data Fiduciaries y normas transfronterizas | Esta es la fecha en la que tus procesos deben estar funcionando. |
Dos advertencias según nuestra lectura de los comentarios actuales:
- La fecha de mayo de 2027 podría adelantarse. Algunos comentaristas jurídicos señalan que los medios han anticipado un calendario más corto. Planifica como si tu plazo real fuera anterior al 13 de mayo de 2027, y confirma la situación más reciente con tu asesoría jurídica o en el sitio web de MeitY.
- Dieciocho meses es menos tiempo del que parece. Rehacer los flujos de consentimiento, renegociar los contratos con proveedores e implantar controles de seguridad suele consumir la mayor parte del plazo disponible. Si empiezas en noviembre, te quedan unos seis meses y medio.
La sanción que llama la atención de la junta directiva
La ley permite sanciones de hasta ₹250 crore por no mantener medidas de seguridad razonables, y otras infracciones tienen sus propias sanciones. Sea cual sea la cifra en la práctica, el riesgo comercial es igual de real: los clientes corporativos ya piden a sus proveedores garantías sobre la DPDP en sus cuestionarios de seguridad y contratos.
Una autoevaluación de cinco minutos
Responde con sinceridad estas diez preguntas. Proceden de la lista completa de 30 puntos del kit.
- ¿Sabemos dónde están los datos personales? ¿Podemos presentar un mapa de los sistemas, proveedores y archivos que contienen datos personales, incluidos los de candidatos y empleados?
- ¿Hay una persona designada responsable de la DPDP? ¿Existe un responsable con respaldo de la alta dirección?
- ¿Es claro nuestro aviso? ¿Las personas reciben, antes de recoger sus datos, un aviso en lenguaje sencillo que diga qué recogemos, por qué, cómo ejercer sus derechos y cómo presentar una reclamación?
- ¿Podemos probar el consentimiento? ¿Tenemos un registro con marca de tiempo de quién aceptó qué finalidad?
- ¿Pueden las personas retirar su consentimiento con la misma facilidad con que lo dieron?
- ¿Podemos responder a una solicitud de derechos? Si alguien pregunta qué datos tenemos sobre él o ella, o pide que los corrijamos o eliminemos, ¿podemos responder en un plazo definido?
- ¿Las medidas de seguridad están implantadas y documentadas? Piensa en cifrado, control de acceso, monitoreo y registros conservados al menos un año.
- ¿Sabríamos gestionar una brecha? ¿Contamos con un plan probado para informar a la Data Protection Board y a las personas afectadas, incluido un informe detallado en un plazo de 72 horas?
- ¿Nuestros contratos con proveedores vinculan a nuestros encargados del tratamiento? ¿Cubren instrucciones, seguridad, alertas de brechas y eliminación?
- ¿Eliminamos los datos cuando termina la finalidad? ¿Existe un calendario de conservación que realmente se cumple?
Cómo interpretar tus respuestas. Ocho o más respuestas “sí” significan que estás en una situación razonable y ahora debes documentarla. De cuatro a siete indican que hay brechas por cerrar en los próximos dos trimestres. Tres o menos significan que debes empezar este mes. El kit completo usa una puntuación sobre 60 puntos para que puedas seguir tu progreso a lo largo del tiempo.
Una hoja de ruta de seis pasos hacia la preparación
Trabaja hacia atrás desde la fecha límite. Esta es la secuencia que recomendamos.
Paso 1: Movilizar y descubrir (noviembre de 2026). Designa a un responsable, informa a la dirección y elabora tu inventario de datos. Decide si podrías ser clasificado como Significant Data Fiduciary, lo que conlleva obligaciones adicionales, como un Data Protection Officer con sede en India, una evaluación de impacto anual y una auditoría independiente.
Paso 2: Afianzar los cimientos (de diciembre de 2026 a enero de 2027). Redacta de nuevo tu aviso de privacidad, rediseña la captura del consentimiento y elabora tu calendario de conservación y el procedimiento para atender solicitudes de derechos.
Paso 3: Proteger sistemas y proveedores (de enero a marzo de 2027). Implementa las medidas de seguridad técnicas, activa los registros y actualiza los contratos con cada encargado del tratamiento que toque datos personales. Mapea cualquier transferencia transfronteriza.
Paso 4: Preparar a las personas y la respuesta a incidentes (de marzo a abril de 2027). Capacita a los equipos que manejan datos, habilita tu canal de reclamaciones, notifica a los Data Principals existentes cuando corresponda y realiza un simulacro de brecha.
Paso 5: Verificar y ponerse en marcha (de abril al 13 de mayo de 2027). Repite la autoevaluación, reúne el expediente de evidencias y obtén la aprobación de la dirección.
Paso 6: Mantener. Revisa cada año, y cada vez que MeitY publique nuevas orientaciones.
Una nota para los equipos de RR. HH. y contratación
La contratación es donde muchas organizaciones se topan por primera vez con la DPDP Act. Una sola verificación de antecedentes puede implicar números de identidad, domicilios, expedientes académicos e historial laboral. Cuatro hábitos ayudan más:
- Captura el consentimiento del candidato de forma digital, vinculado a cada verificación, en lugar de depender de un formulario escaneado.
- Adapta el paquete de verificaciones al puesto, para recoger solo lo que el puesto necesita.
- Fija un plazo de conservación para los informes de verificación y asegúrate de que los proveedores lo respeten.
- Trata con cuidado la disposición de “uso legítimo” relacionada con el empleo. No es una licencia para recoger todo, así que busca asesoramiento jurídico sobre cómo se aplica a tu caso.
Descarga el kit
Para hacerlo práctico, hemos reunido todo el proceso en un documento gratuito con la marca de Quinfy: el calendario oficial, la autoevaluación de 30 puntos con una guía de puntuación, una hoja de ruta de seis fases, una matriz de responsabilidades (RACI), un registro de evidencias y una lista de verificación específica para contratación. Úsalo para hacer tu propia revisión, compártelo con tu equipo directivo o entrégalo a tus auditores.
Si quieres que alguien más revise tus flujos de contratación y verificación, nuestro equipo estará encantado de repasarlos contigo.
Este artículo y el kit son orientación general y no constituyen asesoramiento jurídico. Las fechas y las referencias a las reglas reflejan fuentes públicas en el momento de la redacción y pueden cambiar. Confirma la situación vigente con un asesor jurídico cualificado y con las notificaciones oficiales de MeitY antes de basarte en ellas.
Sobre la autora: Suvarna Singh es Chief Client Officer y cofundadora de Quinfy, una empresa de verificación de antecedentes nativa de IA que atiende a clientes en más de 45 países.
Fuentes: Digital Personal Data Protection Rules, 2025 (G.S.R. 846(E), 13 de noviembre de 2025); comentarios y resúmenes del calendario de LKS (lkslaw.com), Legismith (legismith.com), LLM Advocates (dpdp.llmadvocates.com) y Sumrite (sumrite.com).
