DPDP法（デジタル個人データ保護法）への対応：2025年規則の施行スケジュール、受託者の義務、同意、越境移転

このガイドでわかること

• デジタル個人データ保護法（Digital Personal Data Protection Act, 2023：DPDP法）と2025年規則の段階施行スケジュール
• データ受託者（Data Fiduciary）の主な義務と、通知・同意の要件
• 漏えい時の報告、データの保存・削除、越境移転の考え方
• 日系企業が2027年5月までに進めるべき実務対応

施行スケジュール

各時期の日付は告示日を基準に計算されます。資料によって告示日を11月13日または14日としているため、正確な期日は官報で確認してください。

データ受託者の主な義務

1. 通知：個人データを収集する際に、収集する項目、利用目的、同意の撤回方法、権利行使と苦情申立ての方法を、平易な言葉で独立した通知として示します。
2. 同意：自由意思による、特定された、明確な同意を取得します。同意の撤回は、同意と同じ程度に容易にする必要があります。雇用関係など、法定の正当な利用目的に該当する場合は同意が不要なこともあります。
3. 安全管理措置：暗号化・仮名化、アクセス制御、アクセスログ、バックアップ、委託先との契約などを講じます。ログは少なくとも1年間保存します。
4. 漏えい時の対応：本人への通知と、委員会への報告（第一報と72時間以内の詳細報告）を行います。
5. 保存と削除：目的を達成したデータは削除します。大規模なEC事業者（利用者2クロール以上）、オンラインゲーム（50ラク以上）、SNS（2クロール以上）は、最後の利用から3年で削除し、削除の48時間前に本人に通知します。
6. 子どものデータ：18歳未満の個人データの処理には、親権者の検証可能な同意が必要です。
7. 本人の権利：アクセス、訂正、削除、苦情申立てなどの請求に対応する手順を公表します。
8. 重要データ受託者（SDF）：政府に指定された事業者は、年次の影響評価と監査などの追加義務を負います。

越境移転

• DPDP法は、政府が告示で制限した国・地域を除き、国外への移転を認める方式です。
• 2026年10月時点で、制限対象国を定める一般的な告示は確認できていません。
• 業種別の規制（金融分野のRBIのデータ現地保存規制など）がある場合は、そちらが優先されます。

日系企業の実務対応

1. データの棚卸し：顧客、従業員、取引先担当者、採用応募者などのデータ項目、利用目的、保管場所、共有先（日本本社、クラウド、委託先）を一覧にします。
2. 通知文と同意の設計：ウェブサイト、アプリ、採用フォーム、販促キャンペーンごとに通知文を作り、同意記録の保存方法を決めます。英語のほか、利用者に応じて現地語の用意も検討します。
3. 委託先との契約：データ処理者（Processor）との契約に、安全管理、漏えい時の通知、再委託、削除の条項を入れます（契約と紛争解決）。
4. 漏えい対応手順：インド法人と日本本社の連絡体制を決め、72時間以内の報告ができるように訓練します。
5. 苦情窓口：問い合わせ窓口と担当者を指定し、連絡先を公表します。
6. グループ全体の整合：日本の個人情報保護法、EUのGDPRなど、既存の社内規程との差分を確認します。

よくある失敗・注意点

• 従業員データを対象外と考える。 従業員の個人データもDPDP法の対象です。
• 代理店・EC事業者から受け取る顧客データの責任を曖昧にする。 誰が受託者で誰が処理者かを契約で明確にします（インドでのEC販売とFDI規制）。
• 2027年5月直前に着手する。 システム改修や同意の再取得には時間がかかります。

次にやること

• 部門横断でデータ棚卸しを始め、2027年5月を期限とした対応計画を作る
• 顧客データを扱う販路は販売チャネルと代理店選びと合わせて契約を見直す

個別の判断は専門家（CA・弁護士・税理士）にご確認ください。