LASSIC Media らしくメディア

監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）

インドに開発拠点を持つ、あるいはインドの企業に開発を委託している——そうした企業にとって、見ておきたい制度が動き出しました。インドのデジタル個人データ保護法、いわゆるDPDP法です。法律自体は2023年に成立していましたが、実際の運用を決める施行規則が公示され、期限のある話になってきました。

本記事では、オフショア開発や現地法人を通じてインドと関わる情報システム部門・開発部門の担当者に向けて、DPDP法の骨格、いつ何が始まるのか、日本企業に関わる場面、そして委託契約と開発体制で押さえておきたい実務のポイントを整理します。制度の一般的な整理であり個別の法的な助言ではありませんので、実際の判断は公式文書と専門家への確認を組み合わせて進めてください。

インドDPDP法とは——同意を軸にした個人データ保護の枠組み

DPDP法（Digital Personal Data Protection Act, 2023）は、インドにおける個人データの取り扱いを定めた法律です。2023年に成立したのち、具体的な手続きを定める施行規則（DPDP Rules, 2025）が2025年11月14日に公示され、運用の姿がはっきりしてきました*1。デジタル形式の個人データを対象に、本人の同意を軸として、収集・利用・保管・削除の各段面にルールを置く構えになっています。

登場する役割は三つです。本人にあたる「データ主体」、目的を決めてデータを扱う「データ受託者」、そして委託を受けて処理する「データ処理者」。義務の中心を担うのはデータ受託者で、通知の出し方、同意の取り方、安全管理、漏えい時の報告、そして本人からの請求への対応が求められます。処理者の側は、委託の範囲を契約で定めたうえで、その枠内で扱うという位置づけになるわけです。

もう一つ押さえておきたいのが、影響の大きい事業者を別枠にする考え方です。扱うデータの量や機微性などから指定された事業者は「重要なデータ受託者」として、より重い義務を負います。データ保護責任者の設置や、定期的な監査・影響評価といった仕組みづくりがここに含まれます。自社が該当しうるのかは、指定の基準と実際の運用を確かめておきたいところです。

いつ何が始まるのか——2027年5月までの段階適用

施行規則は、いっぺんに全部を動かすやり方を採っていません。規則の公示を起点に、三つの段階で発効していく形です*1*2。

期限までまだ間があるように見えるかもしれません。ただ、実体的な義務には、システムに手を入れないと満たせないものが含まれます。たとえば、同意の記録を残す、本人の請求に応じてデータを開示・削除する、保存期間を過ぎたデータを消す——こうした機能は、後から急いで足すには重い作業です。逆算すると、設計に着手するのはむしろ早いほうがよいでしょう。

なお、適用の前倒しをめぐる議論も伝えられています。制度の細部は動くことがあるため、期限を固定的に捉えず、公式の公示を定期的に確認する運用にしておくと取りこぼしを防げます。

日本企業が関わる場面——オフショア開発と現地法人

「インドの法律だから、インドの会社の話」とは言い切れません。日本企業が関わる場面は、いくつかの形で生じます。

• インドの開発会社や自社のインド拠点に、日本の顧客データや従業員データを渡して作業してもらっている
• インド国内の利用者に向けて、アプリやWebサービスを提供している
• インドに現地法人があり、その人事・顧客データを日本側のシステムで扱っている
• インドの拠点でテスト用に本番データを使っている（マスキングが不十分な場合も含む）

とりわけ多いのが一つ目、オフショア開発にともなうデータの移転です。ここでの論点は、渡す相手がどの立場になるのか、渡す範囲をどう絞るのか、そして渡したあとの扱いを契約でどう縛るのか。オフショアとニアショアの選び方そのものはオフショア開発とニアショア開発の比較で整理していますが、制度対応の観点が入ると「データを渡さずに済む作り方」も選択肢に入ってきます。

テスト環境の扱いは、実務でとくに見落とされがちです。本番データをそのまま持ち出して検証に使う運用が残っていると、対象になるデータの範囲が一気に広がってしまいます。匿名化やマスキング、あるいは合成データの利用に切り替えるだけで、負担が目に見えて軽くなる場面は少なくありません。

委託契約と開発体制で押さえる実務ポイント

委託を前提にした対応では、次の点を契約と設計の両面で決めておくと、後の手戻りを防げます。

• 渡すデータの範囲を絞る：氏名・連絡先まで必要か、識別子だけで足りるかを機能ごとに見直す
• 処理の目的と期間を書き込む：委託先が何のために、いつまで扱えるのかを契約に明記する
• 再委託の可否を決める：委託先がさらに別の会社へ回す場合の条件と通知の義務を定める
• 削除と返却の手順を用意する：契約終了時にデータを消す・返す手順と、その証跡の残し方を合意する
• 漏えい時の連絡経路を先に作る：誰が誰にいつ知らせるのかを、日本側とインド側の双方で確認しておく
• アクセス権限を最小にする：開発者が本番データに触れられる範囲を絞り、ログを残す

これらは、インドの制度に限らず、個人データを扱う委託全般で効いてくる備えでもあります。日本の個人情報保護法への対応と重なる部分も多いため、個人情報保護法対応で押さえる要点や個人情報保護法2026年改正の要点と並べて、共通する土台と国ごとの違いを切り分けておくと整理しやすくなります。

体制の面では、現地とのやりとりを誰が担うのかを決めておくのが肝心です。契約は法務、システムは開発、日々の運用は事業部門——という三者の分担が曖昧なままだと、期限が近づいたときに動けません。窓口を決め、四半期に一度でも棚卸しの場を持つ形にしておくと、変化にも追いつけるはずです。

同意と通知の実装——画面と記録の作り方

同意を軸にした制度では、画面と記録の作り方がそのまま対応の質になります。実装の勘どころを三つ挙げてみましょう。

ひとつは、通知の出し方です。何のためにどのデータを使うのかを、利用者が読める形で示す必要があります。長い規約の中に埋め込むのではなく、取得する場面ごとに短く示すほうが伝わります。多言語での提供が求められる場合もあるため、文言を画面に直書きせず、外部のリソースとして持つ設計にしておくと、あとの追加が楽になります。

もうひとつは、同意の記録です。いつ、どの版の通知に対して、どの範囲で同意を得たのか。この三点が残っていないと、後から説明ができません。撤回にも同じ考え方が要ります。撤回されたあとにどの処理を止めるのかを、機能として決めておきましょう。バッチ処理や分析基盤にコピーが残る構成では、そこまで届く設計が必要なのです。

三つめは、子どもに関わるデータの扱いです。年齢に応じて保護者の同意が求められる場面があり、対象になるサービスでは年齢確認の仕組みをどう置くかが論点になります。BtoBのシステムでは縁がないと思われがちですが、従業員の家族情報や、消費者向けアプリを併せ持つ企業では検討が要ります。国内の改正動向と合わせて、共通の判断軸を作っておくと迷いません。

各国の制度と並べて考える——共通する土台をつくる

個人データの保護をめぐる制度は、各国で足並みをそろえつつも、細部は異なります。欧州のGDPRを土台に、英国はデータ利用・アクセス法（DUAA）で国内の事情に応じた調整を加え、米国は州ごとのプライバシー法が並び立つ形。インドのDPDP法はそこへ、同意を軸にした枠組みとして加わりました。

複数の国に接点がある企業ほど、国別に一から対応するやり方は続きません。現実的なのは、共通する土台を先に作ってしまうことです。どこにどんな個人データがあるのかの一覧、同意や利用目的の記録、削除の仕組み、権限とログ、漏えい時の連絡経路。この五点が整っていれば、国ごとの追加要件は「差分」として扱えます。

逆に、この土台がない状態で個別対応を積み上げると、同じ作業を国の数だけ繰り返すことになりがちです。制度が増えるほど、土台づくりの投資が回収しやすくなる、と捉えておくとよいでしょう。

受託・委託開発で押さえる実務ポイント

受託・委託開発の現場では、次の三つを設計の初期に決めておくと、期限に追われずに済みます。

第一に、データの置き場所と流れを図にすることです。どのシステムに個人データが入り、どこへ複製され、誰が参照するのか。この図があると、範囲を絞る議論も、契約の文言づくりも進みます。逆に図がないまま「たぶん大丈夫」と進めると、あとで棚卸しに時間を取られます。

第二に、権利対応を機能として作り込むことです。本人からの開示・訂正・削除の請求に、運用でどう答えるのか。件数が少ないうちは手作業でも回りますが、管理画面に検索と出力の機能を用意しておくだけで、対応の負担はぐっと下がります。削除は、関連テーブルやバックアップまで含めた設計が要る点にも注意が必要です。

第三に、保存期間を決めて自動で消す仕組みを持つことです。「念のため残しておく」が積み上がるほど、対象データは増え、リスクも管理コストも上がります。期間を決め、その満了で自動的に消える形にしておけば、制度対応と運用の軽さが同時に手に入ります。データの持ち方を見直す作業は、システム移行・データ移行を外注する進め方のような移行案件と合わせて行うと効率的です。

まとめ：インドDPDP法で押さえる3つの視点

インドDPDP法は、同意を軸に個人データの扱いを定めた法律で、2025年11月の施行規則公示を起点に段階的な適用が進みます。押さえたい視点は三つです。第一に、義務の中心を担うのは目的を決めて扱う側であり、委託を受けて処理する側は契約で定めた範囲で動くという役割分担があること。第二に、同意マネージャー関連は2026年11月、通知・安全管理・漏えい報告などの実体的な義務は2027年5月が節目となるため、システム改修を含む準備は逆算して早めに着手したいこと。第三に、オフショア開発や現地法人を通じてインドと接点がある日本企業では、渡すデータの範囲・目的・期間・削除手順を契約と設計の両面で決めることが対応の軸になることです。まずはデータの流れを一枚の図に落とし、渡さずに済む部分がないかを見直すところから始めてみてください。

よくある質問

出典

1. *1　参考：Press Information Bureau, Government of India「DPDP Rules, 2025 Notified」（https://static.pib.gov.in/WriteReadData/specificdocs/documents/2025/nov/doc20251117695301.pdf）。施行規則の公示（2025年11月14日）と段階適用の考え方の参考として（2026年8月確認）
2. *2　参考：Ministry of Electronics and Information Technology（MeitY）「Data Protection Framework」（https://www.meity.gov.in/data-protection-framework）。法の位置づけと関連文書の一次情報の参考として（2026年8月確認）

Tweet