LASSIC Media らしくメディア

監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）

インドのデジタル個人データ保護法（DPDP法）は、2023年に成立してから施行日が空欄のままでした。その空欄が、2025年11月13日の官報告示で埋まりました*1。

埋まり方が特徴的です。三つの日付に分けて、条文ごとに施行日が割り当てられました*1。器の部分は公示の日から、同意マネージャーに関する条文は1年後から、そして義務と権利の本体は18か月後からです*1。

インドに拠点や委託先を持つ企業と、そうしたシステムを受託して作る立場に向けて、告示と条文から読み取れる期限を整理します。法の全体像はDPDP法の解説もあわせてご覧ください。個別の適用は事情によりますので、法務の確認を経て進めてください。

官報告示が指定した三つの日付

まず告示の中身です*1。

2025年11月13日付の官報（EXTRAORDINARY, PART II—Section 3—Sub-section (i)）に掲載されたG.S.R. 843(E)は、デジタル個人データ保護法2023（2023年法律第22号）第1条(2)により与えられた権限に基づき、中央政府が施行日を指定するものです*1。

指定は三つに分かれています*1。

読み方の要点は「器が先、義務が後」です*1。

公示の日から施行されているのは、定義（第2条）と、データ保護委員会（Data Protection Board of India）の設置と構成に関する第18条から第26条までが中心です*2。委員会を立ち上げ、規則を作れる状態にしてから、義務の条文を動かす順序になっています*1。

逆にいえば、2027年5月13日までは、通知や同意、権利、受託者の義務といった中心部分は施行されていません*1。準備期間が確保されている形です*1。ただし後述のとおり、その前に一段あります*1。

2026年11月13日に来る二つの条文

先に来るのが第6条(9)と第27条(1)(d)です*1。

第6条(9)は、すべての同意マネージャー（Consent Manager）は、定められる方法により、また定められる技術的、運営上、財務上その他の条件に従って、委員会に登録されなければならないとしています*2。

同意マネージャーは、DPDP法に特徴的な仕組みです*2。第6条(7)は、データ主体が同意マネージャーを通じて、データ受託者に対する同意を与え、管理し、確認し、または撤回できるとしています*2。同条(8)は、同意マネージャーがデータ主体に対して責任を負い、その代理として、定められる方法と義務に従って行動するとしています*2。

第27条(1)(d)は委員会の権限です*2。同意マネージャーの登録条件の違反について通知を受けた場合、当該違反を調査し、この法律に定める制裁金を課すことが委員会の職務として挙げられています*2。

つまり2026年11月13日は、同意マネージャーという事業者区分の登録と、その監督が動き出す日です*1。

日本企業にとっての読み方は二つに分かれます*2。

自社が同意マネージャーになる予定がなければ、この日は直接の期限にはなりません*1。ただし、同意の取得や撤回を同意マネージャー経由で受ける設計を検討している場合は、登録された事業者の一覧や接続の仕様が固まる時期として見ておくことになります*2。

もうひとつは、制度の順序が示す優先順位です*1。同意の取得と撤回を「仲介する仕組み」が先に整備されるということは、2027年5月13日以降に求められる同意の管理は、この仕組みを前提に設計されると読めます*2。自社で同意の履歴を持つ設計にするか、外部の仕組みに寄せるかを、この時期に決めておく実務的な意味があります。

2027年5月13日に効き始める義務

本体は第7条から第10条までと第11条から第17条までです*1。受託開発に関わる部分を拾います*2。

第8条(1)は、データ受託者が、反対の合意や本人の義務の不履行にかかわらず、自ら行う処理と、処理者が自らのために行う処理の双方について、この法律と規則の遵守に責任を負うとしています*2。委託しても責任は残るという書き方です*2。

同条(2)は、データ主体への物品またはサービスの提供に関わる活動について処理者を用いる場合、有効な契約に基づいてのみ行えるとしています*2。

同条(3)は、処理する個人データが本人に影響する決定に用いられる可能性がある場合、または他のデータ受託者へ開示される可能性がある場合、その完全性、正確性および一貫性を確保することとしています*2。

同条(4)(5)は、遵守を確保するための技術的および組織的措置と、漏えいを防ぐための合理的な安全管理措置を求めます*2。

同条(6)は漏えい時の通知です*2。個人データの漏えいが生じた場合、データ受託者は委員会および影響を受ける各データ主体に対し、定められる様式と方法により通知することとされています*2。

同条(7)は消去です*2。法令上の保持が必要な場合を除き、本人が同意を撤回したとき、または特定された目的がもはや達成されていないと合理的に想定できるようになったときのいずれか早い時点で、個人データを消去することとされています*2。

第9条は子どもと障害のある人に関する規定です*2。処理の前に親または法定後見人の検証可能な同意を得ることとされ、子どもの福祉に不利な影響を及ぼすおそれのある処理、そして子どもの追跡や行動監視、子どもを対象とするターゲティング広告は行ってはならないとされています*2。

第10条は重要なデータ受託者（Significant Data Fiduciary）です*2。中央政府が、処理する個人データの量と機微性、本人の権利へのリスク、インドの主権と一体性への影響、選挙民主主義へのリスク、国家の保全、公共の秩序といった要素の評価に基づいて指定します*2。指定された者は、インドに所在するデータ保護責任者の選任、独立したデータ監査人の選任などを求められます*2。

第11条は本人のアクセス権です*2。処理されている個人データの概要と処理活動のほか、当該個人データを共有したすべての他のデータ受託者および処理者の identity と、共有した個人データの内容を取得できるとされています*2。「共有先を答えられるか」が実装の論点になります*2。

第16条は越境です*2。中央政府は、告示により、データ受託者が処理のために個人データを移転する先の国または地域を制限できるとされています*2。同条(2)は、より高い保護や制限を定めるインド国内の他の法律の適用を妨げないとしています*2。ネガティブリスト方式で、指定が出るまでは移転先の制限は具体化しない読み方です*2。

制裁金の上限と、逆算の順序

金額は附則（第33条(1)関係）に区分ごとに定められています*2。

金額の水準は、GDPRのような売上比例ではなく絶対額の上限で示されています*2。2億5,000万ルピーは、為替に左右されますが日本円で数億円規模に相当します*2。売上が小さくても上限が下がらない建て付けのため、規模を理由に優先度を下げにくい点に注意が必要です*2。

並べると重心がわかります*2。もっとも重い区分は安全管理措置で、次が漏えいの通知と子どもに関する義務です*2。通知の遅れが、措置の不備に次ぐ重さで扱われていることになります*2。

逆算の順序を整理します。

第一に、対象データの所在です。インドの個人について、どのシステムでどの個人データを扱っているかを一覧にします*2。委託先で処理している分も、第8条(1)により責任が残ります*2。

第二に、共有先の台帳です。第11条は、共有したすべてのデータ受託者と処理者を答えられることを前提にしています*2。後から名寄せできない構成では応えられません*2。

第三に、漏えい時の連絡経路です。第8条(6)は委員会と影響を受ける各本人への通知を求めます*2。本人への到達手段（メール、アプリ内通知など）を、影響範囲の特定と併せて設計します*2。

第四に、消去の条件です。第8条(7)は、同意の撤回か目的の達成のいずれか早い時点での消去を求めます*2。「いつ目的が終わったと見るか」を業務ごとに決めておかないと、実装できません*2。

第五に、子ども向け機能の点検です。第9条(3)は、追跡、行動監視、子どもを対象とするターゲティング広告を禁じています*2。年齢の確認と、広告や計測の仕組みの切り分けが論点です*2。

順序をこう置く理由は、どれも規則の細目に依存しないことです。様式や手続は規則で決まりますが、どのシステムにどの個人データがあり、どこへ渡しているかは、規則の内容にかかわらず自社で調べるほかありません。ここが終わっていれば、規則が出た後の作業は様式に流し込む工程に近づきます。逆に、ここが未着手のまま規則を待つと、期限の直前に棚卸しと実装が同時に来ます。

受託で進める場合の要点を三つ挙げます。

契約の形を先に決めることです。第8条(2)は、処理者の利用を有効な契約に基づく場合に限るとしています*2。既存の委託契約に不足があれば、改定の期間も工程に入れます*2。

期限を二つ持つことです。2026年11月13日と2027年5月13日は、性質が違います*1。前者は同意マネージャーの制度、後者は自社の義務です*1。混ぜて管理すると、後者の準備が遅れます。

規則の公表を待たずに始めることです。通知の様式や検証可能な同意の方法は「定められるところにより」とされており、規則で具体化されます*2。データの所在と共有先の把握は、規則の内容にかかわらず必要です*2。ここから着手するのが現実的です。

官報告示と法律の全文は、電子情報技術省（MeitY）のサイトで公開されています*1*2。適用の判定と成果物の範囲は事情によって変わりますので、法務の確認を挟みながら進めてください。

まとめ：DPDP法の施行スケジュールで押さえる3つの視点

インドのデジタル個人データ保護法2023は、2025年11月13日の官報告示G.S.R. 843(E)により施行日が三段階に指定されました。押さえたい視点は三つです。第一に、三つの日付。公示の日である2025年11月13日から、第1条(2)、第2条、第18条から第26条まで、第35条、第38条から第43条まで、第44条(1)と(3)が施行されました。公示から1年後の2026年11月13日から第6条(9)と第27条(1)(d)が、公示から18か月後の2027年5月13日から第3条から第5条まで、第6条(1)から(8)までと(10)、第7条から第10条まで、第11条から第17条まで、第27条（(1)(d)を除く）、第28条から第34条まで、第36条、第37条、第44条(2)が施行されます。第二に、先に来る同意マネージャー。第6条(9)はすべての同意マネージャーが定められる技術的、運営上、財務上その他の条件に従って委員会に登録されなければならないとし、第27条(1)(d)は登録条件の違反について通知を受けた委員会が調査し制裁金を課すことを職務としています。第三に、本体の義務と制裁金。第8条は処理者を用いる場合も責任が残ることや有効な契約、完全性と正確性の確保、技術的および組織的措置、合理的な安全管理措置、漏えい時の委員会と本人への通知、目的達成後または同意撤回後の消去を求めます。第9条は子どもについて検証可能な親の同意を求め、追跡や行動監視、子どもを対象とするターゲティング広告を禁じます。第10条は重要なデータ受託者にインド所在のデータ保護責任者と独立した監査人の選任を求め、第11条は共有先の受託者と処理者を答えられることを前提とし、第16条は中央政府が告示により移転先の国や地域を制限できるとしています。附則は、第8条(5)の違反に2億5,000万ルピー、第8条(6)と第9条の違反に2億ルピー、第10条の違反に1億5,000万ルピーという上限を定めています。

よくある質問

出典

1. *1　参考：Ministry of Electronics and Information Technology, Government of India「Notification G.S.R. 843(E)（The Gazette of India, Extraordinary, Part II—Section 3—Sub-section (i)、2025年11月13日）」（https://www.meity.gov.in/static/uploads/2025/11/c56ceae6c383460ca69577428d36828b.pdf）。デジタル個人データ保護法2023（2023年法律第22号）第1条(2)に基づき中央政府が施行日を指定したこと、(a)官報公示の日をもって第1条(2)・第2条・第18条から第26条まで・第35条・第38条・第39条・第40条・第41条・第42条・第43条・第44条(1)と(3)が施行されること、(b)公示から1年をもって第6条(9)および第27条(1)(d)が施行されること、(c)公示から18か月をもって第3条から第5条まで・第6条(1)から(8)までと(10)・第7条から第10条まで・第11条から第17条まで・第27条（(1)(d)を除く）・第28条から第34条まで・第36条・第37条・第44条(2)が施行されることの一次情報として。確認日は2026年8月27日。（2026年8月確認）
2. *2　参考：Ministry of Electronics and Information Technology, Government of India「The Digital Personal Data Protection Act, 2023 (No. 22 of 2023)」（https://www.meity.gov.in/static/uploads/2024/06/2bf1f0e9f04e6fb4f8fef35e82c42aa5.pdf）。第6条(4)から(6)（同意の撤回とその効果および処理の停止）、第6条(7)(8)(9)（同意マネージャーを通じた同意の付与・管理・確認・撤回、同意マネージャーの本人に対する責任、委員会への登録と技術的・運営上・財務上その他の条件）、第8条(1)から(7)（処理者を用いる場合を含む遵守の責任、有効な契約、完全性と正確性と一貫性の確保、技術的および組織的措置、合理的な安全管理措置、漏えい時の委員会および影響を受ける各本人への通知、同意撤回または目的の達成による消去）、第9条（子どもおよび障害のある人に関する検証可能な親または法定後見人の同意、福祉に不利な影響を及ぼすおそれのある処理の禁止、追跡と行動監視および子どもを対象とするターゲティング広告の禁止、例外の枠組み）、第10条（重要なデータ受託者の指定要素、インド所在のデータ保護責任者と独立したデータ監査人の選任）、第11条（処理の概要と処理活動および共有先のデータ受託者と処理者に関するアクセス権）、第16条（中央政府による移転先の国または地域の制限と国内法との関係）、第27条(1)（委員会の職務、(d)の同意マネージャーの登録条件違反に関する調査と制裁）、ならびに附則（第33条(1)関係。第8条(5)違反に2億5,000万ルピー、第8条(6)違反および第9条違反に2億ルピー、第10条違反に1億5,000万ルピー、第15条違反に1万ルピー、その他の違反に5,000万ルピーという制裁金の上限）の一次情報として。確認日は2026年8月27日。（2026年8月確認）

Tweet