インドのデジタル個人データ保護法（DPDP法）はいつから施行されるのか 現在施行されている条文と、2026年11月・2027年5月に施行される条文の一覧
結論：インドのデジタル個人データ保護法2023（DPDP法）と同法の規則2025は、2025年11月13日に一部だけ施行されました。残りは2026年11月と2027年5月の2段階で施行されます（日付は13日。14日と読む余地もあります＝末尾の注）。 通知・同意・安全管理・個人データ侵害の通知・消去など、DPDP法と規則のうちデータ受託者（企業）の義務を定める条文は、2026年9月30日時点で1つも施行されていません。現在施行されているのは主に、定義と、インドデータ保護委員会の設置・運営の条文です。そのため、IT法第43A条（個人データ保護の不備による損害賠償）は2027年5月13日まで削除されず、効力を持ち続けます。
本記事は2026年9月30日時点の官報に基づきます。施行日は、電子・情報技術省が中央官報に掲載した施行告示と規則の原本で確認しました。2025年11月から2026年9月までに同省が官報の臨時号に掲載した告示を全件確認し、同じ期間の定期号（週刊）も、規則・告示を載せる部（第II部第3節）の電子版が公開されている号をすべて確認して、施行日を前倒し・延期する告示がないことを確かめています（2026年9月の定期号の一部は、基準日の時点で電子版が公開されていません）。
施行日の一覧
| 施行日 | DPDP法 | DPDP規則2025 | 主な内容 |
|---|---|---|---|
| 2025年11月13日（施行済み） | 第1条(2)、第2条、第18条〜第26条、第35条、第38条〜第43条、第44条(1)(3) | 規則1、2、17〜21 | 定義／インドデータ保護委員会の設置・構成・運営／規則制定権／情報公開法の改正 |
| 2026年11月13日（官報掲載から1年） | 第6条(9)、第27条(1)(d) | 規則4 | 同意管理者の登録／登録条件違反についての委員会の調査権限 |
| 2027年5月13日（官報掲載から18か月） | 第3条〜第5条、第6条(1)〜(8)(10)、第7条〜第17条、第27条（(1)(d)を除く）、第28条〜第34条、第36条、第37条、第44条(2) | 規則3、5〜16、22、23 | 適用範囲／データ受託者の義務（通知・同意・安全管理・侵害の通知・消去・子ども）／データ主体の権利／国外移転／委員会の調査・過料／IT法第43A条の削除 |
根拠：DPDP法の施行はG.S.R. 843(E)（2025年11月13日）、規則の施行は規則1(2)〜(4)（G.S.R. 846(E)、同日。規則1(3)(4)の文言はG.S.R. 892(E)で訂正）。
2026年11月13日・2027年5月13日という日付は、官報の紙面の発行日（2025年11月13日）から数えたものです。告示自体は「官報掲載から1年」「18か月」と定めるだけで、日付を書いていません。政府の報道発表は規則の告示日を2025年11月14日としており、そこから数えると1日ずつ後になります（末尾の注）。
現在施行されているもの：主に定義と委員会
2025年11月13日に施行されたのは、主に次の3つです。
- 定義（第2条）。データ受託者（Data Fiduciary：個人データの処理の目的と手段を決める者）、データ主体（Data Principal：個人データが関係する個人）などの用語が確定しました。
- インドデータ保護委員会（第18条〜第26条）。同じ日のG.S.R. 844(E)で設置され（本部は首都圏）、G.S.R. 845(E)で委員は4名と定められました。委員の選任・会議の手続は規則17〜21が定めます。
- 情報公開法の改正（第44条(3)）。情報公開法（Right to Information Act, 2005）第8条(1)(j)（開示義務の例外）が「個人情報に関する情報」という文言に置き換えられました。
委員会はすでに存在します。しかし、委員会が個人データ侵害を調査して過料（monetary penalty）を科す根拠の条文（第27条（(1)(d)を除く）・第28条〜第34条）は、2027年5月13日まで施行されません。過料の上限を定める附則は、第33条(1)を通じて適用されます。
2026年11月13日に施行されるもの：同意管理者の登録
2026年11月13日に施行されるのは、同意管理者（Consent Manager）の登録制度です。同意管理者は、データ主体が複数の企業に与えた同意を一か所で付与・確認・撤回できるようにする事業者で、委員会への登録が必要です（第6条(9)）。
- 登録の条件は規則4と第一附則が定めます。インドで設立された会社であること、純資産が2,000万ルピー以上であることなどです。
- 同じ日に、登録条件の違反について委員会が調査する権限（第27条(1)(d)）も施行されます。ただし、過料を科す根拠の第33条（附則の上限額は同条(1)を通じて適用）は2027年5月13日の施行です。
同意管理者として登録しようとする事業者を除けば、この段階で日本企業に新たな義務は生じません。
2027年5月13日に施行されるもの：義務の本体と過料
企業の義務の大半は2027年5月13日に一斉に施行されます。
| 義務 | 法 | 規則 |
|---|---|---|
| 同意を求める前の通知（処理する個人データの項目別の説明・目的） | 第5条 | 規則3 |
| 同意の要件と撤回 | 第6条（(9)を除く） | — |
| 合理的な安全管理措置（暗号化・アクセス制御・ログの1年保存など） | 第8条(5) | 規則6 |
| 個人データ侵害の通知（データ主体へ遅滞なく、委員会へは72時間以内に詳細） | 第8条(6) | 規則7 |
| 目的を果たした個人データの消去 | 第8条(7)(8) | 規則8・第三附則 |
| 問合せ窓口の公表 | 第8条(9) | 規則9 |
| 子どもの個人データ（親の検証可能な同意） | 第9条 | 規則10、12 |
| 重要データ受託者の追加義務（年1回の影響評価と監査） | 第10条 | 規則13 |
| 国外移転 | 第16条 | 規則15 |
過料の規定も同じ日に施行されます。過料は裁判所の科す刑事罰ではなく、委員会が調査の結果として科すものです（第33条(1)）。附則の上限は、安全管理措置の違反（第8条(5)）が25億ルピー、侵害の通知義務の違反（第8条(6)）と子どもに関する義務の違反（第9条）が各20億ルピー、重要データ受託者の義務の違反（第10条）が15億ルピー、その他の違反が5億ルピーです（データ主体の義務（第15条）の違反は1万ルピー、委員会が受け入れた自主的な誓約（第32条）の違反は元の違反と同じ上限まで）。
移行期間に留意すること
IT法第43A条は2027年5月13日まで残る
DPDP法第44条(2)は、IT法（Information Technology Act, 2000）第43A条を削除します。第43A条は、機微な個人データを扱う法人が合理的な安全管理を怠って損害を生じさせた場合の損害賠償を定めた条文です。第44条(2)の施行は2027年5月13日なので、それまでは第43A条が効力を有しています。第43A条の下には、プライバシーポリシーの公表や機微な個人データの収集時の書面同意などを定めた2011年の規則（SPDI規則、G.S.R. 313(E)）があります。この規則は第43A条と第87条(2)(ob)を根拠としており、第44条(2)はその2つをともに削除します。
「DPDP法ができたので、IT法の個人データ保護の規定はもう関係ない」とは言えません。2027年5月13日までは旧制度の下にあり、同日に新制度へ切り替わります。
「この法律の施行日」は、条ごとの施行日と読み替える
DPDP法第1条(2)は、条ごとに異なる施行日を定められるとし、条文中の「この法律の施行」はその条の施行と読み替えると定めています。影響が大きいのは次の2つです。
- 施行前に得た同意（第5条(2)）。「この法律の施行日」より前にデータ主体が同意した場合、データ受託者は合理的に可能な限り速やかに通知を出し、同意が撤回されるまで処理を続けられます。第1条(2)の読替えに従えば、基準になるのは第5条の施行日（2027年5月13日）と読めます。
- 中央政府による適用除外（第17条(5)）。中央政府は「この法律の施行日から5年」以内に、特定のデータ受託者に規定を適用しないと告示できます。第1条(2)の読替えに従えば、第17条の施行日（2027年5月13日）から数えると読めます（その場合、期限は2032年5月です）。
日本企業が2027年5月13日までに確認しておくこと
- 適用の有無：インド国内で処理するデジタル個人データか。国外での処理でも、インド国内のデータ主体に商品・サービスを提供する活動に関係すれば適用されます（第3条(b)）。データ主体自身が公開した個人データなどは適用外です（第3条(c)）。また、インドに拠点を置く者が、インド国外の者との契約に基づいてインド国外のデータ主体の個人データを処理する場合は、第2章の義務（第8条(1)(5)を除く）、第3章の権利、第16条（国外移転）が適用されません（第17条(1)(d)）。
- 通知と同意の文面：規則3は、個人データの項目別の説明、目的、撤回や苦情申立ての方法を通知に含めるよう求めています。
- 委託先との契約：データ処理者（委託先）の処理についてもデータ受託者が責任を負い（第8条(1)）、契約に安全管理措置の定めを置くことが求められます（規則6(1)(f)）。
- 侵害時の連絡体制：委員会への72時間以内の報告（規則7(2)(b)）に間に合う社内の手順。
- ログの保存と消去：安全管理のためのログの1年保存（規則6(1)(e)。処理のログは消去の前に最低1年保存＝規則8(3)）と、目的を果たしたデータの消去（第8条(7)）の両立。
- それまでの間：IT法第43A条とSPDI規則を前提にした現行の管理を続けること。
本記事は法令の施行時期を整理したもので、個別の事案についての法的助言ではありません。
注：施行日の数え方
施行告示（G.S.R. 843(E)）は、第2段階を「この官報の掲載日から1年」、第3段階を「18か月」と定めています。規則1(3)(4)も同じ書き方です（G.S.R. 892(E)による訂正後は「官報への掲載日から」）。 官報の「掲載日」がいつかについて、公式の資料どうしで日付が1日ずれています。
| 資料 | 日付 |
|---|---|
| 官報の紙面（発行日の欄・告示の日付） | 2025年11月13日 |
| 官報の電子版の識別番号（CG-DL-E-14112025-…）と電子署名 | 2025年11月14日 |
| 政府の報道発表（同11月17日の解説。PIB 2025年11月14日の発表は日付を書いていない） | 規則は「2025年11月14日に告示」 |
本記事は、紙面の発行日（2025年11月13日）から数えて2026年11月13日・2027年5月13日と表記しています。14日から数えれば2026年11月14日・2027年5月14日です。報道発表は「18か月の段階的な準拠期間」と述べるだけで、各段階の日付を示していません。施行日を明記した政府の資料が出た場合は、本記事を更新します。
根拠一覧
| 資料 | 内容 | 取得元 |
|---|---|---|
| The Digital Personal Data Protection Act, 2023（Act No. 22 of 2023） | 条文・附則 | India Code |
| G.S.R. 843(E)（2025年11月13日） | DPDP法の施行日 | eGazette |
| G.S.R. 844(E)（2025年11月13日） | インドデータ保護委員会の設置 | eGazette |
| G.S.R. 845(E)（2025年11月13日） | 委員会の委員数 | eGazette |
| G.S.R. 846(E)（2025年11月13日） | DPDP規則2025 | eGazette |
| G.S.R. 892(E)（2025年12月10日） | DPDP規則2025の正誤 | eGazette |
| The Information Technology Act, 2000／SPDI規則2011（G.S.R. 313(E)、2011年4月11日） | 第43A条・第87条(2)(ob)／規則の根拠条（前文） | India Code |
| 電子・情報技術省の官報告示（臨時号は2025年11月〜2026年9月の全件、定期号は同じ期間の第II部第3節のうち電子版が公開されている号） | 施行日を変更する告示がないことの確認 | eGazette |
更新履歴
- 2026年10月5日：初版（基準日 2026年9月30日）