Indiens startups har netop fået en hård deadline for at ændre, hvordan de håndterer personoplysninger. Ifølge rapportering fra The Logical Indian forventes Digital Personal Data Protection (DPDP)-loven at træde fuldt i kraft i maj 2027, hvilket giver virksomheder under halvandet år til at omstrukturere måden, de indsamler, opbevarer og beskytter indiske brugeres personlige oplysninger på.

Selvom DPDP-loven blev vedtaget tilbage i 2023, kom de praktiske regler først i november 2025, og det er denne udrulning, der har forvandlet et fjernt lovgivningsmæssigt løfte til en operationel deadline, virksomheder ikke længere kan ignorere. For Indiens startup-økosystem, der har vænnet sig til at indsamle brugerdata med minimal friktion, repræsenterer skiftet et af de mest betydningsfulde regulatoriske ændringer i landets digitale historie.

Hvad DPDP-loven faktisk kræver

Kernen i DPDP-loven er, at ethvert selskab, der indsamler eller behandler personoplysninger, inklusive startups, omklassificeres som en "Datafiduciar". Denne betegnelse medfører juridiske forpligtelser: Virksomheder skal indhente gyldigt, informeret samtykke før indsamling af personoplysninger, implementere rimelige sikkerhedsforanstaltninger for at beskytte disse data og være parate til at demonstrere lovlig behandling, hvis tilsynsmyndighederne spørger.

Dette er en markant afvigelse fra de løst styrede datapraksisser, mange startups har baseret sig på. Samtykke kan ikke længere gemmes i tætskrevne servicevilkår eller antages gennem vage tilvalg. Virksomheder skal have klar, specifik tilladelse til, hvordan personoplysninger bruges, og de skal have systemer på plads til at bevise det. For et dybere indblik i, hvad dette skift betyder for almindelige brugere, forklarer DPDP-lovens 2027-deadline de nye rettigheder, indere vil få, når loven får fuld virkning, herunder større kontrol over, hvordan deres oplysninger indsamles og bruges.

Hvorfor startups er under pres

Større virksomheder har ofte allerede dedikerede juridiske teams og compliance-afdelinger samt budgettet til at hyre ekstern rådgivning eller opbygge intern privatlivsinfrastruktur. Startups, især i den tidlige fase, har typisk ikke den luksus. Mange har bygget produkter omkring hurtig, lavfriktions dataindsamling: Tilmeld dig med et telefonnummer, giv nogle få tilladelser, og begynd straks at bruge appen.

DPDP-lovens overholdelseskrav skaleres ikke ned for mindre virksomheder på nogen meningsfuld måde. Startups skal stadig opbygge ordentlige samtykkehåndteringssystemer, sikker dataopbevaringspraksis og processer til at reagere på brugerforespørgsler om deres egne data. Det er et betydeligt teknisk og juridisk løft for virksomheder, der måske kun har en håndfuld ingeniører og ingen dedikeret privatlivsansvarlig.

Indsatsen for at fejle her er også betydelig. Som beskrevet i en gennemgang af DPDP-lovens sanktioner, der kan nå op til ₹250 crore, er manglende overholdelse ikke en mindre administrativ løftet pegefinger. For en virksomhed i den tidlige fase kunne en enkelt alvorlig overtrædelse være økonomisk ødelæggende, hvilket gør proaktiv compliance-planlægning langt billigere end at reagere bagefter.

Uret tikker allerede

Maj 2027 lyder måske fjernt, men at opbygge compliant datainfrastruktur fra bunden tager tid. Startups skal revidere, hvilke personoplysninger de aktuelt indsamler, kortlægge hvordan de flyder gennem deres systemer, redesigne samtykkemekanismer og implementere sikkerhedsforanstaltninger – alt sammen før tilsynsmyndighederne begynder aktivt at håndhæve loven. At vente til måneder før deadline med at starte denne proces giver ringe plads til fejl, især for virksomheder, der først opdager huller i deres nuværende praksis efter at være begyndt at grave.

Der er også et bredere markedssignal her. Investorer og virksomhedspartnere vil i stigende grad spørge startups om deres databeskyttelsesholdning, før de indgår aftaler. At kunne demonstrere DPDP-lovparathed kan blive en konkurrencefordel, ikke blot et regulatorisk afkrydsningsfelt.

Hvad dette betyder for dig

Hvis du driver en startup, der indsamler personoplysninger fra indiske brugere, uanset om det er navne, telefonnumre, lokalitetsdata eller adfærdsoplysninger, gælder denne lov for dig. At behandle maj 2027-deadline som et fjernt anliggende er risikabelt. Compliance-arbejde som samtykke-redesign, datakortlægning og sikkerhedsopgraderinger tager typisk måneder, ikke uger.

For almindelige brugere bør DPDP-loven i sidste ende betyde mere gennemsigtighed om, hvad der sker med dine personoplysninger, og et stærkere juridisk grundlag, hvis en virksomhed mishandler dem. I mellemtiden er det stadig værd at være bevidst om, hvilke data du deler med apps og tjenester, da fuld håndhævelse stadig er i horisonten snarere end aktiv i dag.

Handlingsorienterede takeaways

Stiftere og operatører af startups bør starte nu, ikke senere. Begynd med at revidere præcis, hvilke personoplysninger din virksomhed indsamler og hvorfor, kortlæg derefter, hvordan disse data bevæger sig gennem dine systemer, og hvor de opbevares. Gennemgå dine nuværende samtykkeflows og identificer, hvor de kommer til kort i forhold til klar, specifik, informeret tilladelse. Afsæt budget, tid og ressourcer til at opbygge ordentlige sikkerhedsforanstaltninger i stedet for at behandle dem som en eftertanke. Og hold øje med yderligere regulatorisk vejledning, efterhånden som 2027-deadline nærmer sig, da yderligere præciseringer er sandsynlige, når håndhævelsesmekanismerne tager form.

DPDP-loven repræsenterer et grundlæggende skift i, hvordan personoplysninger håndteres på tværs af Indiens digitale økonomi. Startups, der behandler de kommende år som reel forberedelsestid snarere end en nedtælling, der skal ignoreres, vil være langt bedre positioneret, når fuld håndhævelse indtræffer.