Індійські стартапи щойно отримали жорсткий дедлайн для перебудови того, як вони обробляють персональні дані. Згідно з повідомленням The Logical Indian, Закон про захист цифрових персональних даних (DPDP) має стати повністю обов’язковим до виконання до травня 2027 року, залишаючи компаніям менше ніж півтора року на перебудову способів збору, зберігання та захисту персональної інформації індійських користувачів.

Хоча Закон DPDP був ухвалений ще у 2023 році, його практичні правила з’явилися лише в листопаді 2025 року, і саме це розгортання перетворило далеку законодавчу обіцянку на операційний дедлайн, який бізнес більше не може ігнорувати. Для стартап-екосистеми Індії, яка звикла збирати дані користувачів з мінімальними перешкодами, цей зсув є однією з найзначніших регуляторних змін у цифровій історії країни.

Що насправді вимагає Закон DPDP

За своєю суттю, Закон DPDP перекласифікує будь-яку компанію, яка збирає або обробляє персональні дані, включно зі стартапами, як «Фідуціара даних» (Data Fiduciary). Це позначення тягне за собою юридичні обов’язки: бізнес повинен отримати дійсну, поінформовану згоду перед збором персональної інформації, впровадити належні заходи безпеки для її захисту та бути готовим продемонструвати законність обробки, якщо регулятори поцікавляться.

Це суттєвий відхід від слабко регульованих практик роботи з даними, на які покладалися багато стартапів. Згоду більше не можна ховати в щільних текстах умов надання послуг або припускати через розпливчасті opt-in. Бізнесу знадобиться чіткий, конкретний дозвіл на те, як використовуються персональні дані, і системи, які дозволять це довести. Для глибшого розуміння того, що ця зміна означає для звичайних користувачів, дедлайн Закону DPDP у 2027 році пояснює нові права, які отримають індійці після повного набрання чинності законом, включаючи більший контроль над тим, як збирається і використовується їхня інформація.

Чому стартапи опиняються під тиском

Великі підприємства часто вже мають спеціальні юридичні та комплаєнс-команди, а також бюджет для залучення зовнішніх консультантів або створення внутрішньої інфраструктури конфіденційності. Стартапи, особливо на ранніх стадіях, зазвичай не мають такої розкоші. Багато з них побудували продукти навколо швидкого, безперешкодного збору даних: зареєструйтесь за номером телефону, надайте кілька дозволів і одразу користуйтеся додатком.

Вимоги до відповідності Закону DPDP жодним чином не масштабуються вниз для менших компаній. Стартапам все одно доведеться створювати належні системи управління згодою, безпечні практики зберігання даних і процеси для реагування на запити користувачів щодо їхніх власних даних. Це значний технічний та юридичний підйом для компаній, які можуть мати лише кількох інженерів і жодного спеціаліста з конфіденційності.

Ставки за помилку також є суттєвими. Як детально описано в розборі штрафів за Законом DPDP, які можуть сягати до 250 крор рупій, невідповідність – це не незначний адміністративний ляпас. Для компанії на ранній стадії одне серйозне порушення може бути фінансово руйнівним, що робить проактивне планування відповідності значно дешевшим, ніж реакція постфактум.

Годинник уже цокає

Травень 2027 року може здаватися далеким, але побудова відповідної інфраструктури даних з нуля потребує часу. Стартапам потрібно провести аудит того, які персональні дані вони зараз збирають, відобразити, як вони рухаються через їхні системи, переробити механізми згоди та впровадити заходи безпеки – і все це до того, як регулятори почнуть активно застосовувати закон. Очікування за кілька місяців до дедлайну, щоб розпочати цей процес, залишає мало місця для помилок, особливо для компаній, які виявляють прогалини у своїх поточних практиках, лише почавши копати глибше.

Також тут присутній ширший ринковий сигнал. Інвестори та корпоративні партнери дедалі частіше запитуватимуть стартапи про їхню позицію щодо захисту даних перед укладенням угод. Здатність продемонструвати готовність до Закону DPDP може стати конкурентною перевагою, а не просто регуляторною позначкою.

Що це означає для вас

Якщо ви керуєте стартапом, який збирає будь-які персональні дані індійських користувачів – чи то імена, номери телефонів, дані про місцезнаходження чи поведінкову інформацію – цей закон стосується вас. Ставитися до дедлайну травня 2027 року як до далекої проблеми ризиковано. Робота над відповідністю, така як переробка згоди, картографування даних та оновлення безпеки, зазвичай займає місяці, а не тижні.

Для звичайних користувачів Закон DPDP з часом має означати більше прозорості щодо того, що відбувається з їхньою персональною інформацією, та міцнішу правову основу, якщо компанія поводиться з нею недбало. Тим часом все ще варто бути обачними щодо того, які дані ви надаєте додаткам і сервісам, оскільки повне правозастосування поки що на горизонті, а не активне сьогодні.

Практичні висновки

Засновники та оператори стартапів повинні починати зараз, а не пізніше. Почніть з аудиту того, які саме персональні дані ваша компанія збирає і для чого, потім відобразіть, як ці дані переміщуються через ваші системи та де вони зберігаються. Перегляньте свої поточні потоки отримання згоди та визначте, де вони не відповідають вимогам чіткого, конкретного, поінформованого дозволу. Виділіть час і ресурси на створення належних заходів безпеки, а не ставтеся до них як до чогось другорядного. І слідкуйте за подальшими регуляторними роз’ясненнями в міру наближення дедлайну 2027 року, оскільки додаткові уточнення ймовірні, коли механізми правозастосування набуватимуть форми.

Закон DPDP являє собою фундаментальний зсув у тому, як обробляються персональні дані в цифровій економіці Індії. Стартапи, які сприймуть наступні роки як справжній час для підготовки, а не як зворотний відлік, який можна ігнорувати, будуть у набагато кращому становищі, коли настане повне правозастосування.