お客様からDigital Personal Data Protection（DPDP）Actについてご相談を受けるとき、最初の質問が「何が書かれているのか」であることはまれです。たいていは「うちは対応できているのか、そもそもどうやって確かめればよいのか」です。
もっともな疑問です。ほとんどの組織は、自覚している以上に多くの場所に個人データを保有しています。HRMSのエクスポート、受信トレイにある候補者の書類、ベンダーのポータル、共有ドライブ、古いバックアップなどです。コンプライアンスとは、署名すれば済む一つの方針ではありません。規制当局、顧客、監査人に示すことのできる、実際に機能する習慣の集まりです。
Quinfyは、数百のクライアントの機微な身元、学歴、職歴、住所のデータを扱っているため、日々このことを考えています。この記事では、公式のタイムライン、現在地を確かめる簡単な方法、そして準備のためのロードマップの3点をお伝えします。完全なチェックリストを収めたダウンロード可能なツールキットは、末尾にあります。
タイムライン：すでに施行されているものと、これから施行されるもの
Digital Personal Data Protection Rules, 2025は、2025年11月13日に電子情報技術省（MeitY）によって通知されました。これにより、この法律は3段階で施行されます。
| 日付 | 適用される内容 | 貴社にとっての意味 |
|---|---|---|
| 2025年11月13日（すでに施行済み） | Rules 1、2、17〜21：定義およびData Protection Board of India | 執行機関が存在し、苦情を受け付けられる状態です。ほとんどの企業にとって、日常業務への大きな義務はまだありません。 |
| 2026年11月13日（約2週間後） | Rule 4：Consent Managerの登録および義務 | 主に、Consent Managerとなることを予定している組織と、その利用を予定している組織に影響します。最初のマイルストーンと考えてください。 |
| 2027年5月13日（完全な対応） | Rules 3、5〜16、22、23：通知、同意、セキュリティ上の保護措置、漏えい報告、保持と消去、児童のデータ、Data Principalの権利、Significant Data Fiduciaryの義務、国境を越える移転に関する規則 | この日までに、貴社のプロセスが機能している必要があります。 |
現在の解説を読んだ上での、2つの注意点があります。
- 2027年5月の期日が前倒しになる可能性があります。一部の法律専門家は、より短いタイムラインを予想する報道があると指摘しています。実際の期限は2027年5月13日より早いものとして計画し、最新の状況は法律顧問またはMeitYのウェブサイトで確認してください。
- 18か月は、思うより短い期間です。同意フローの再構築、ベンダー契約の再交渉、セキュリティ管理策の導入には、通常、利用可能な期間のほとんどがかかります。11月に開始する場合、残りは約6か月半です。
経営陣の注目を集める罰則
この法律では、合理的なセキュリティ上の保護措置を維持しなかった場合に最大₹250 croreの罰則が認められており、その他の違反にはそれぞれ別の罰則があります。実際の金額がどうなるかにかかわらず、商業上のリスクも同様に現実的です。大企業のクライアントはすでに、セキュリティ質問票や契約書の中で、ベンダーにDPDPへの対応の保証を求めています。
5分でできるセルフチェック
次の10問に正直に答えてください。ツールキットにある30項目の完全なチェックリストから抜粋したものです。
- 個人データがどこにあるかを把握していますか。候補者や従業員のデータを含め、個人データを保有するシステム、ベンダー、ファイルのマップを作成できますか。
- DPDPの責任者が1人明確に決まっていますか。経営層の後ろ盾を持つ、責任ある担当者がいますか。
- 通知は分かりやすいですか。データを収集する前に、収集する内容、目的、権利の行使方法、苦情の申し立て方法を記した、分かりやすい通知を本人に示していますか。
- 同意を証明できますか。誰がどの目的に同意したかを示す、タイムスタンプ付きの記録を保持していますか。
- 同意の撤回は、同意したときと同じくらい簡単にできますか。
- 権利行使の請求に対応できますか。自分についてどのような情報を保有しているかの問い合わせや、訂正・消去の依頼があった場合、定められた期間内に対応できますか。
- セキュリティ上の保護措置は導入され、証拠がありますか。暗号化、アクセス制御、モニタリング、そして少なくとも1年間保管されるログを考えてみてください。
- 情報漏えいに対処できますか。Data Protection Boardと影響を受けた個人に通知し、72時間以内に詳細な報告書を提出することを含む、テスト済みの計画がありますか。
- ベンダー契約は処理者を拘束していますか。指示、セキュリティ、漏えいの警告、削除が含まれていますか。
- 目的が終了したらデータを削除していますか。実際に守られている保持スケジュールがありますか。
結果の見方。「はい」が8個以上であれば、おおむね良好な状態であり、あとはそれを裏付ける証拠を整える段階です。4〜7個であれば、今後2四半期のうちに埋めるべきギャップがあります。3個以下であれば、今月中に着手すべきです。完全なツールキットでは60点満点のスコアを使用するため、時間をかけて進捗を追跡できます。
対応に向けた6ステップのロードマップ
期限から逆算して進めましょう。当社が推奨する順序は次のとおりです。
ステップ1：始動と現状把握（2026年11月）。責任者を任命し、経営層に説明し、データインベントリを作成します。Significant Data Fiduciaryに該当する可能性があるかどうかを判断します。該当する場合は、インド国内に拠点を置くData Protection Officer、年次の影響評価、独立した監査といった追加の義務が生じます。
ステップ2：基盤を整える（2026年12月〜2027年1月）。プライバシー通知を書き直し、同意取得の仕組みを設計し直し、保持スケジュールと権利請求への対応手順を作成します。
ステップ3：システムとベンダーの安全確保（2027年1月〜3月）。技術的な保護措置を実装し、ログ記録を有効にし、個人データを扱うすべての処理者との契約を更新します。国境を越える移転があれば、それも洗い出します。
ステップ4：人材とインシデント対応の準備（2027年3月〜4月）。データを扱うチームを教育し、苦情の窓口を設置し、必要に応じて既存のData Principalに通知し、情報漏えいの訓練を実施します。
ステップ5：検証と本番開始（2027年4月〜5月13日）。セルフアセスメントを再実施し、証拠ファイルをまとめ、経営層の承認を得ます。
ステップ6：継続。毎年、またMeitYが新しいガイダンスを出すたびに見直します。
HR・採用チームへのメモ
多くの組織が最初にDPDP Actと向き合うのは、採用の場面です。一度のバックグラウンドチェックに、身分証番号、住所、学歴、職歴が関わることもあります。次の4つの習慣が特に役立ちます。
- スキャンした書式に頼らず、各チェックに紐づけて候補者の同意をデジタルで取得する。
- 職務に必要なものだけを収集するよう、チェックパッケージを職務に合わせる。
- 確認レポートの保持期間を設定し、ベンダーがそれを守るようにする。
- 雇用に関する「正当な使用」の規定は慎重に扱ってください。すべてを収集してよいという許可ではないため、貴社への適用については法的助言を受けてください。
ツールキットをダウンロード
実務に役立てていただくため、プロセス全体を、Quinfyのブランドを付けた無料のドキュメントにまとめました。公式のタイムライン、採点ガイド付きの30項目のセルフアセスメント、6フェーズのロードマップ、責任分担表（RACI）、証拠台帳、採用に特化したチェックリストが含まれています。自社のレビューの実施、経営チームへの共有、監査人への提出にお使いください。
採用および確認のワークフローについて第三者の目で見直したい場合は、当社チームが喜んで一緒に確認します。
本記事およびツールキットは一般的なガイダンスであり、法的助言ではありません。日付や規則の参照は執筆時点の公開情報に基づいており、変更される可能性があります。ご利用の前に、資格を持つ法律顧問およびMeitYの公式通知で最新の状況をご確認ください。
著者について：Suvarna Singhは、45か国以上のクライアントにサービスを提供するAIネイティブなバックグラウンド確認企業Quinfyの、Chief Client Officer兼共同創業者です。
出典：Digital Personal Data Protection Rules, 2025（G.S.R. 846(E)、2025年11月13日）、ならびにLKS（lkslaw.com）、Legismith（legismith.com）、LLM Advocates（dpdp.llmadvocates.com）、Sumrite（sumrite.com）による解説およびタイムラインの要約。
