Quando clientes me perguntam sobre a Lei de Proteção de Dados Pessoais Digitais (DPDP), a primeira pergunta raramente é “O que ela diz?”. Em geral é “Estamos em conformidade e como saberíamos?”
É uma pergunta justa. A maioria das organizações guarda dados pessoais em mais lugares do que imagina: exportações do HRMS, documentos de candidatos em caixas de e-mail, portais de fornecedores, unidades compartilhadas, backups antigos. Conformidade não é uma política única que se assina. É um conjunto de hábitos de trabalho que você consegue demonstrar a um órgão regulador, a um cliente ou a um auditor.
Na Quinfy, lidamos com dados sensíveis de identidade, formação, emprego e endereço para centenas de clientes, então pensamos nisso todos os dias. Este artigo oferece três coisas: o cronograma oficial, uma forma rápida de testar sua situação e um roteiro de preparação. Um kit para download com o checklist completo está no final.
O cronograma: o que já está em vigor e o que vem pela frente
As Regras de Proteção de Dados Pessoais Digitais de 2025 (Digital Personal Data Protection Rules, 2025) foram notificadas pelo Ministério de Eletrônica e Tecnologia da Informação (MeitY) em 13 de novembro de 2025. Elas colocam a lei em vigor em três etapas.
| Data | O que se aplica | O que isso significa para você |
|---|---|---|
| 13 de novembro de 2025 (já em vigor) | Regras 1, 2 e 17 a 21: definições e o Conselho de Proteção de Dados da Índia | O órgão de fiscalização existe e pode receber reclamações. Ainda sem obrigações pesadas no dia a dia para a maioria das empresas. |
| 13 de novembro de 2026 (daqui a cerca de duas semanas) | Regra 4: registro e obrigações dos Consent Managers | Afeta principalmente as organizações que pretendem atuar como Consent Managers e as que pretendem usá-los. Trate como seu primeiro marco. |
| 13 de mai. de 2027 (conformidade total) | Regras 3 e 5 a 16, mais 22 e 23: aviso, consentimento, salvaguardas de segurança, comunicação de violações, retenção e eliminação, dados de crianças, direitos dos Data Principals, deveres dos Significant Data Fiduciaries e regras transfronteiriças | Esta é a data em que seus processos precisam estar funcionando. |
Duas ressalvas a partir da nossa leitura dos comentários atuais:
- A data de maio de 2027 pode ser antecipada. Alguns comentaristas jurídicos observam que reportagens da imprensa anteciparam um prazo mais curto. Planeje como se o seu prazo real fosse anterior a 13 de maio de 2027 e confirme a posição mais recente com seu assessor jurídico ou no site do MeitY.
- Dezoito meses é menos tempo do que parece. Reconstruir fluxos de consentimento, renegociar contratos com fornecedores e implantar controles de segurança costuma consumir a maior parte da janela disponível. Se você começar em novembro, terá cerca de seis meses e meio.
A penalidade que chama a atenção da diretoria
A lei prevê penalidades de até ₹250 crore por não manter salvaguardas de segurança razoáveis, e outras infrações têm suas próprias penalidades. Seja qual for o valor na prática, o risco comercial é igualmente real: clientes corporativos já pedem garantias de conformidade com o DPDP aos fornecedores em seus questionários de segurança e contratos.
Uma autoavaliação de cinco minutos
Responda a estas dez perguntas com sinceridade. Elas foram extraídas do checklist completo de 30 pontos do kit.
- Sabemos onde estão os dados pessoais? Conseguimos produzir um mapa dos sistemas, fornecedores e arquivos que guardam dados pessoais, incluindo dados de candidatos e funcionários?
- Uma pessoa nomeada é responsável pelo DPDP? Existe um responsável com respaldo da alta direção?
- Nosso aviso é claro? As pessoas recebem, antes da coleta, um aviso em linguagem simples que diz o que coletamos, por quê, como exercer seus direitos e como reclamar?
- Conseguimos comprovar o consentimento? Temos um registro com data e hora de quem concordou com qual finalidade?
- As pessoas podem retirar o consentimento com a mesma facilidade com que o deram?
- Conseguimos responder a uma solicitação de direitos? Se alguém perguntar o que guardamos sobre ela, ou pedir que corrijamos ou apaguemos esses dados, conseguimos responder em um prazo definido?
- As salvaguardas de segurança existem e estão documentadas? Pense em criptografia, controle de acesso, monitoramento e logs mantidos por pelo menos um ano.
- Saberíamos lidar com uma violação? Temos um plano testado para informar o Conselho de Proteção de Dados e as pessoas afetadas, incluindo um relatório detalhado em até 72 horas?
- Nossos contratos com fornecedores vinculam nossos operadores? Eles cobrem instruções, segurança, alertas de violação e exclusão?
- Excluímos os dados quando a finalidade termina? Existe um cronograma de retenção que seja de fato seguido?
Como interpretar suas respostas. Oito ou mais respostas “sim” indicam que você está em condição razoável e deve agora documentá-la. De quatro a sete indicam lacunas a corrigir nos próximos dois trimestres. Três ou menos indicam que você deve começar neste mês. O kit completo usa uma pontuação de 60 pontos para você acompanhar o progresso ao longo do tempo.
Um roteiro de seis etapas até a prontidão
Trabalhe de trás para frente a partir do prazo. Esta é a sequência que recomendamos.
Etapa 1: Mobilizar e mapear (novembro de 2026). Nomeie um responsável, informe a liderança e monte seu inventário de dados. Decida se você poderia ser classificado como Significant Data Fiduciary, o que traz deveres adicionais, como um Data Protection Officer sediado na Índia, uma avaliação de impacto anual e uma auditoria independente.
Etapa 2: Corrigir as bases (dezembro de 2026 a janeiro de 2027). Reescreva seu aviso de privacidade, redesenhe a captura de consentimento e elabore seu cronograma de retenção e o procedimento de tratamento de solicitações de direitos.
Etapa 3: Proteger sistemas e fornecedores (janeiro a março de 2027). Implemente as salvaguardas técnicas, ative o registro de logs e atualize os contratos com todos os operadores que tocam dados pessoais. Mapeie quaisquer transferências internacionais.
Etapa 4: Preparar as pessoas e a resposta a incidentes (março a abril de 2027). Treine as equipes que lidam com dados, configure seu canal de reclamações, notifique os Data Principals existentes quando exigido e faça um simulado de violação.
Etapa 5: Verificar e entrar em operação (abril a 13 de maio de 2027). Refaça a autoavaliação, monte o dossiê de evidências e obtenha a aprovação da liderança.
Etapa 6: Manter. Revise anualmente e sempre que o MeitY emitir novas orientações.
Uma observação para as equipes de RH e contratação
A contratação é onde muitas organizações encontram o DPDP Act pela primeira vez. Uma única verificação de antecedentes pode envolver números de identidade, endereços, históricos escolares e histórico profissional. Quatro hábitos ajudam mais:
- Colete o consentimento do candidato de forma digital, vinculado a cada verificação, em vez de depender de um formulário digitalizado.
- Ajuste o pacote de verificações ao cargo, para coletar apenas o que o cargo exige.
- Defina um prazo de retenção para os relatórios de verificação e garanta que os fornecedores o respeitem.
- Trate com cuidado a disposição de “uso legítimo” relacionada ao emprego. Ela não é uma licença para coletar tudo, então busque orientação jurídica sobre como se aplica a você.
Baixe o kit
Para tornar isso prático, reunimos todo o processo em um documento gratuito com a marca Quinfy: o cronograma oficial, a autoavaliação de 30 pontos com guia de pontuação, um roteiro de seis fases, uma matriz de responsabilidades (RACI), um registro de evidências e um checklist específico para contratação. Use-o para fazer sua própria revisão, compartilhe com sua liderança ou entregue aos seus auditores.
Se quiser uma segunda opinião sobre seus fluxos de contratação e verificação, nossa equipe terá prazer em analisá-los com você.
Este artigo e o kit são orientações gerais e não constituem aconselhamento jurídico. As datas e as referências às regras refletem fontes públicas no momento da redação e podem mudar. Confirme a posição atual com um assessor jurídico qualificado e nas notificações oficiais do MeitY antes de se basear nelas.
Sobre a autora: Suvarna Singh é Chief Client Officer e cofundadora da Quinfy, empresa de verificação de antecedentes nativa em IA que atende clientes em mais de 45 países.
Fontes: Digital Personal Data Protection Rules, 2025 (G.S.R. 846(E), 13 de novembro de 2025); comentários e resumos de cronograma de LKS (lkslaw.com), Legismith (legismith.com), LLM Advocates (dpdp.llmadvocates.com) e Sumrite (sumrite.com).
