DPDP Act的适用范围

DPDP Act管辖印度境内的数字个人数据处理活动，以及印度境外与向印度境内个人提供商品或服务相关的处理活动。在实践中，如果您的网站可被印度用户访问，并通过该网站——包括通过Cookie、SDK、像素或指纹识别——收集个人数据，那么该法几乎肯定适用于您。

该法使用两个关键角色：数据受托人（相当于GDPR中的控制者）和数据处理者。少数规模最大的运营者可能被指定为重要数据受托人，需承担额外义务，例如开展数据保护影响评估以及任命常驻印度的数据保护官。

DPDP Act如何处理Cookie和追踪器

与ePrivacy指令不同，DPDP Act并未将Cookie单列为一个独立类别。相反，它规制任何数字个人数据的处理活动。这意味着Cookie、设备标识符、IP地址、广告ID和经过哈希处理的电子邮件，只要与可识别的个人直接或间接关联，都属于其管辖范围。

对出版商而言，这一点意味着：如果您网站上的某个Cookie或代码导致了个人数据的收集或共享，您就需要有效的合法依据。在DPDP Act下，这个依据几乎总是同意，仅在该法定义的狭窄的"合法用途"范围内存在例外。

有效同意的构成要件

DPDP Act对同意设定了较高门槛。同意必须是自由的、具体的、知情的、无条件的和明确的，并通过清晰的肯定性行为表达。预先勾选的复选框、通过继续浏览推定的同意，以及将访问权限与接受挂钩的"Cookie墙"设计，都与这些要求不相容。

对同意的用户体验而言，还有两条DPDP Act特有的规则值得关注：

• 分项告知：在获取同意之前或之时，您必须向用户提供清晰的告知，说明所收集的数据、处理目的，以及用户如何撤回同意或向印度数据保护委员会提起投诉。
• 通俗语言和多语言支持：告知必须以英语以及用户所选的印度宪法附表列明的22种语言中的任一种提供。一个无法以印地语、泰米尔语、孟加拉语、马拉地语及其他主要语言呈现同意内容的CMP，将难以实现合规。

儿童数据与父母同意

DPDP Act将18岁以下的任何人视为儿童，并要求在处理其个人数据之前取得可验证的父母同意。该法同时禁止对儿童进行行为监测和定向广告投放。任何可被印度未成年人访问的网站——实际上几乎涵盖所有网站——都需要制定年龄准入或基于风险的策略，并须在缺乏父母同意时能够阻止追踪脚本的运行。

您的CMP必须支持的用户权利

印度的数据主体（用户）享有一系列权利，这些权利必须可通过您的同意和偏好层进行行使：

• 访问权，可获取其正在被处理的个人数据摘要。
• 更正和删除权，可修正和删除其数据。
• 随时撤回同意的权利，撤回的便捷程度应与给予同意时相同。
• 指定权，可指定另一人在本人去世或丧失行为能力时行使权利。
• 申诉权，先向数据受托人提出，再向印度数据保护委员会申诉。

合规的CMP应当提供持久可见的偏好入口链接、支持一键撤回同意，并以能够在调查时按要求出示的方式记录同意事件。

跨境数据传输

DPDP Act对国际数据传输采取"负面清单"方式：除非中央政府明确限制目的地国家，否则个人数据可以传输到印度境外。这比GDPR的充分性认定机制更为宽松，但您仍应记录从印度用户接收数据的第三国，并持续关注公布的限制清单。

处罚与执法

DPDP Act规定的经济处罚相当严厉。数据保护委员会对于未能采取合理安全保障措施的行为，可处以高达2.5亿卢比（约合3000万美元）的罚款；对于未能履行对儿童所负义务的行为，可处以高达2亿卢比的罚款。与同意相关的违规行为——包括通过不合规横幅收集同意——每次违规最高可被处以5000万卢比的罚款。

在您的CMP中实施符合DPDP的同意机制

1. 对印度用户进行地理检测，并应用专门的DPDP同意模板，而不是复用GDPR横幅。所要求的告知内容和语言选项是不同的。
2. 以多种印度语言呈现告知。至少应支持印地语和英语，并根据您的流量分布增加其他地区语言。
3. 默认阻止所有非必要追踪器。仅在获得肯定性同意后再加载广告、分析和第三方SDK。
4. 清晰分离各目的。如果用户可能合理地希望同意其中部分而非全部目的，则不要将广告、分析和个性化捆绑在单一的"接受"操作中。
5. 记录同意和撤回事件，包括时间戳、当时所展示的告知确切版本以及用户的语言选择，以便在监管调查中证明合规。
6. 在每一页面提供可见的偏好链接，允许用户随时审查、更新或撤回同意。

DPDP与GDPR的实际差异

• 没有"合法利益"作为依据。DPDP Act并不像GDPR那样承认合法利益作为一般合法依据。同意承载了更大的分量，因此UX设计的重要性更高。
• 对儿童的规则更严格。数字同意年龄为18岁，而非13岁或16岁，并且明确禁止面向未成年人的定向广告。
• 多语言告知要求是DPDP Act特有的，无法仅通过英语横幅来满足。
• 重要数据受托人义务为高风险运营商设立了第二层合规等级，在GDPR中没有直接对应的概念。

结语

DPDP Act将印度带入了现代全球数据保护格局，并带有其独特的风格——以同意为先、天然多语言、对未成年人有着异乎寻常的保护力度。已经运营达到GDPR水准的CMP的出版商和平台拥有先发优势，但他们仍需调整横幅内容、语言支持、年龄处理和日志记录，以满足DPDP的要求。把印度仅仅视作"又一个GDPR辖区"，是把自己送到印度数据保护委员会面前的最快途径。