Digital Personal Data Protection Act, 2023（DPDPA）と一般データ保護規則（GDPR）は、いずれも個人データの処理を規律する包括的なデータ保護の枠組みです。 インドのDPDPAは、世界のプライバシー規制でなじみのある概念をいくつも取り入れていますが、同意、正当な利用、本人の権利、子どものデータ、越境データ移転、データ受託者（Data Fiduciary）の義務、執行については独自のアプローチをとっています。 インドとEUの双方で事業を行う組織にとって、DPDPAとGDPRの違いを理解することは、実効性と拡張性を備えたプライバシーコンプライアンスプログラムを構築するうえで欠かせません。 本ガイドでは、2つの枠組みを比較し、法域ごとの要件を維持しながら共通の管理策を活用できる領域を解説します。
並列比較：DPDPA 対 GDPR
| 項目 | 🇮🇳 DPDPA | 🇪🇺 GDPR |
|---|---|---|
| 法域 | インド | EU/EEAおよび対象となる域外での処理 |
| 主要な法令 | Digital Personal Data Protection Act, 2023 | Regulation (EU) 2016/679 |
| 下位規則等 | DPDP Rules, 2025 | GDPRの実施に関するガイダンスおよび各国法 |
| 規制当局 | Data Protection Board of India | EU/EEAの監督機関およびEDPB |
| 適用範囲 | 同法の地理的適用規定の範囲内にあるデジタル個人データ | GDPRの地理的適用範囲内にある個人データの処理 |
| 主な規制対象者 | データ受託者（Data Fiduciary） | 管理者 |
| 処理者に相当する者 | データ処理者（Data Processor） | 処理者 |
| 個人 | データプリンシパル（Data Principal） | データ主体 |
| 法的根拠 | 同意および法定の正当な利用 | 第6条に定める6つの適法根拠 |
| 同意 | 自由に与えられ、特定され、十分な説明を受けたうえでの、明確な同意（所定の通知要件あり） | 自由に与えられ、特定され、十分な説明を受けたうえでの、明確な同意 |
| 正当な利益 | GDPRの正当な利益に相当する広範な根拠はなし | 第6条第1項(f)に基づき、条件付きで利用可能 |
| DPO | 重要データ受託者（Significant Data Fiduciary）に選任義務 | 所定の場合に選任が必要 |
| 子どものデータ | 子どもについては加重された要件が適用され、法律上18歳未満と定義 | 特別な保護あり。同意に基づく一定の情報社会サービスについてGDPRが定める基準年齢は16歳（加盟国により異なる） |
| データポータビリティ | GDPR第20条に相当する一般的な権利はDPDPAになし | あり |
| 自動化された意思決定に関する権利 | GDPR第22条に直接相当する規定はなし | 第22条による固有の保護 |
| 越境データ移転 | 中央政府が通知する制限に従うことを条件に可能 | 第5章の移転の仕組みが適用 |
| 特別な種類のデータ | GDPR型の特別な種類の区分はなし | 第9条の特別な種類 |
| DPIAに相当する制度 | 重要データ受託者に追加の影響評価義務 | 処理が高いリスクをもたらすおそれがある場合にDPIAが必要 |
| 侵害通知 | DPDPAおよび適用される規則に基づく要件 | 必要な場合、原則として72時間以内に監督機関へ通知 |
| 行政上の制裁金の上限 | 所定の違反について最大25億ルピー（250クロール） | 所定の違反について最大2,000万ユーロまたは全世界年間売上高の4% |
| EU代理人 | DPDPAに直接相当する制度はなし | 第27条により、一定のEU域外の組織にEU代理人の選任が必要となる場合あり |
インドのDPDPAの枠組みにおける施行日は、インド政府の最新の施行通知および規則でご確認ください。規則は2025年11月14日に公布され、段階的な施行が定められています。
DPDPAとは
Digital Personal Data Protection Act, 2023は、デジタル個人データの処理を規律するインドの基本法です。
同法は、自己の個人データを保護する個人の権利と、適法な目的のために個人データを処理する組織の必要性との調和を図るものです。データ受託者の義務、データプリンシパルの権利と義務、データ処理者に関する要件、およびData Protection Board of Indiaを中心とする執行の枠組みを定めています。
DPDP Rules, 2025は、同法に基づく追加の実施要件と運用上の詳細を定めています。同規則は、2025年11月14日にインド電子情報技術省により正式に公布されました。
GDPRとは
一般データ保護規則（GDPR）は、EUの包括的なデータ保護の枠組みです。
管理者および処理者として行動する組織による個人データの処理を規律し、次の事項に関する要件を定めています。
- 適法な処理
- 透明性
- 目的の制限
- データの最小化
- 正確性
- 保存期間の制限
- セキュリティ
- アカウンタビリティ
- 本人の権利
- 国際的なデータ移転
GDPRは、地理的適用範囲に関する規定の条件を満たす場合、EU域外の組織にも適用されることがあります。
DPDPAとGDPR：主な相違点
1. 地理的適用範囲
DPDPA
DPDPAは、インド国内におけるデジタル個人データの処理に適用されます。また、同法の適用範囲に関する規定に従い、インド国内のデータプリンシパルへの商品やサービスの提供に関連するインド国外での処理にも適用される場合があります。
したがって、物理的な所在地だけで適用の有無が決まると考えるのではなく、インドでの事業、デジタルサービス、顧客基盤、処理活動を評価する必要があります。
GDPR
GDPRは、地理的適用範囲に関する規定に基づきEU/EEA域内での処理に適用されるほか、第3条の条件を満たす場合にはEU域外の組織にも適用されることがあります。
主な相違点： いずれの枠組みも域外に適用されうるものですが、法定の判断基準と用語は異なります。
2. データ受託者とデータ管理者
DPDPA
DPDPAは、個人データの処理の目的と手段を決定する事業体を「データ受託者（Data Fiduciary）」と呼びます。
GDPR
GDPRは、個人データの処理の目的と手段を決定する事業体を「管理者（Controller）」と呼びます。
両者は類似した概念ですが、法的に同一ではありません。そのため、複数法域にまたがるプライバシープログラムを導入する際は、それぞれの責任を個別に整理する必要があります。
3. 同意と法的根拠
DPDPAとGDPRの最も重要な違いの一つは、適法な処理の位置づけです。
DPDPA
DPDPAは、同意と法定の正当な利用を強く中心に据えています。
同意を根拠とする場合、データ受託者は適切な通知を行い、同法の要件を満たす同意を取得しなければなりません。
DPDPAは、GDPRの6つの適法根拠という構造を採用していません。
GDPR
GDPRは、第6条で6つの法的根拠を認めています。
- 同意
- 契約
- 法的義務
- 生命に関する利益
- 公共の利益のための職務
- 正当な利益
特別な種類の個人データを処理する場合には、追加の要件が適用されます。
主な相違点： GDPRはより幅広い法的根拠の枠組みを定めているのに対し、DPDPAは同意と法定の正当な利用を主な処理の根拠としています。
4. 同意の要件
DPDPA
同意は法定の要件を満たし、かつ撤回できるものでなければなりません。
同意取得の仕組みが次の条件を満たすようにする必要があります。
- 明瞭であること
- 特定されていること
- 十分な説明に基づくこと
- 明確であること
- 容易に撤回できること
GDPR
GDPRにおける同意も、自由に与えられ、特定され、十分な説明を受けたうえでの、明確なものでなければなりません。
同意を法的根拠とする場合、組織は有効な同意を取得したことを証明できなければならず、実効性のある撤回の仕組みを提供する必要があります。
実務上の留意点：適切に設計された同意管理システムは両方の枠組みに対応できますが、その前提となる法的分析は法域ごとに行う必要があります。
5. 正当な利益
これは大きな相違点です。
DPDPA
DPDPAには、GDPRの正当な利益という法的根拠に相当する広範な規定がありません。
その代わりに、同法は法定の枠組みのなかで特定の正当な利用を定めています。
GDPR
GDPRは、第6条第1項(f)において正当な利益を明示的に認めています。ただし、必要な条件を満たし、かつ個人の権利および自由がその利益に優先しない場合に限られます。
組織は通常、必要に応じて正当な利益の評価（LIA）を実施し、これを文書化します。
結論：GDPRの正当な利益の評価をそのまま流用して、DPDPAの適法な利用の分析として扱うことはできません。
6. 本人の権利
DPDPAにおけるデータプリンシパルの権利
DPDPAは、次のような権利を定めています。
- 個人データに関する情報へのアクセス
- 訂正および更新
- 消去
- 苦情処理
- 同意の撤回
- 一定の場合における他の個人の指名
GDPRにおけるデータ主体の権利
GDPRは、次のようなより幅広い権利を定めています。
- アクセス
- 訂正
- 消去
- 処理の制限
- データポータビリティ
- 異議
- 同意の撤回
- 一定の自動化された意思決定およびプロファイリングに関する権利
DPDPAは、GDPRの権利をすべて取り入れているわけではありません。たとえば、GDPR第20条のデータポータビリティの権利や、もっぱら自動化された一定の意思決定を規律する第22条の固有の枠組みに相当する一般的な規定は、DPDPAにはありません。
7. 子どものデータ
DPDPA
DPDPAは、子どもを18歳未満の個人と定義しています。
同法は、子どもの個人データについて追加の義務を定めており、検証可能な保護者の同意に関する要件や、子どもに関わる一定の処理活動の制限が含まれます。ただし、法定の例外および政府が通知する規定が適用されます。
GDPR
GDPRは、DPDPAのような18歳未満を一律の対象とする同意のルールを定めていません。
子どもに直接提供される一定の情報社会サービスについて、第8条は同意に基づく処理の基準年齢を16歳と定めていますが、加盟国は13歳を下回らない範囲でこの年齢を引き下げることができます。
GDPRはまた、子ども特有の脆弱性と利益を考慮することも組織に求めています。
主な相違点： インドの法制度は「子ども」を18歳未満とする格段に広い定義を採用しているのに対し、GDPR第8条は同意という特定の場面に焦点を当てています。
8. データ保護責任者
DPDPA
DPDPAは、重要データ受託者（Significant Data Fiduciary、SDF）に対し、インドを拠点とし、組織のデータ保護上の責任に関する窓口となるデータ保護責任者（DPO）の選任を義務づけています。
DPDPAのもとで、すべてのデータ受託者に法定のDPOの選任が自動的に義務づけられるわけではありません。
GDPR
GDPR上のデータ保護責任者の選任は、第37条に定める場合に限り義務となります。
これには、大規模かつ定期的・体系的な一定のモニタリング活動や、特別な種類の個人データの一定の大規模な処理が含まれます。
主な相違点： いずれの枠組みもDPOの役割を認めていますが、選任が必要となる要件と法定の責任は異なります。
9. プライバシー代理人・現地拠点
DPDPA
DPDPAは、GDPR第27条のEU代理人に直接相当する制度を設けていません。
ただし、DPDPAの適用を受ける組織は、適切なガバナンス、責任体制、規制当局との連絡体制を維持する必要があります。
GDPR
EU域外の一定の組織は、第27条に基づきEU代理人の選任を求められる場合があります。
代理人は、組織の処理活動に関して、個人および監督機関の連絡窓口となります。
重要：商業的に提供される「インド代理人」サービスを、EUの第27条代理人に相当するDPDPA上の法定の制度であるかのように説明すべきではありません。
10. データ侵害の通知
DPDPA
DPDPAおよびDPDP Rulesは、データ受託者に侵害に関する義務を課しています。
組織は、次の事項に関する手続を整備しておく必要があります。
- 個人データ侵害の検知
- 影響の評価
- インシデントの封じ込め
- 判断内容の文書化
- 必要な場合における関係当局への通知
- 必要な場合における影響を受けるデータプリンシパルへの連絡
具体的な通知期限と実施要件は、適用される規則および施行規定に従って示す必要があります。
GDPR
第33条のもとでは、管理者は原則として、対象となる個人データ侵害について、不当な遅滞なく、可能な場合には侵害を認識してから72時間以内に、所管の監督機関に通知しなければなりません。
侵害が個人に高いリスクをもたらすおそれがある場合、第34条により、影響を受けるデータ主体への連絡が必要となることがあります。
主な相違点： いずれも侵害に関する義務を定めているというだけで、2つの制度の侵害通知手続が同一であるかのように説明してはなりません。
11. 越境データ移転
DPDPA
DPDPAは、特定の国または地域について中央政府が課すことのできる制限に従うことを条件に、越境データ移転を認めています。
つまりDPDPAは、十分性認定、SCCs、BCRsに基づくGDPR型の包括的な移転の仕組みを設けていません。
GDPR
GDPR第5章に基づく国際移転には、次のような適切な移転の仕組みが必要です。
- 十分性認定
- 標準契約条項（SCCs）
- 拘束的企業準則（BCRs）
- 適用可能な特例
移転の仕組みや状況によっては、補完的な保護措置や移転リスク評価の検討も必要となる場合があります。
12. 機微データ・特別な種類のデータ
DPDPA
DPDPAは、GDPRのような特別な種類の個人データという独立した区分を設けていません。
その代わりに、処理の性質、データ受託者としての指定の有無、個別の法定要件といった要素に基づいて義務を定めています。
GDPR
第9条は、次の事項に関する情報を含む特別な種類の個人データに、より手厚い保護を定めています。
- 健康
- 識別に用いられる生体データ
- 遺伝データ
- 政治的意見
- 宗教上または思想上の信条
- 労働組合への加入
- 人種的または民族的出自
- 性生活または性的指向
処理には、第6条の法的根拠と、適用可能な第9条の条件の両方が必要です。
13. DPIAと影響評価
DPDPA
重要データ受託者には、同法および規則に基づき、ガバナンスと評価に関する追加の義務が課されます。
これには、影響評価、監査、その他SDFについて定められた措置に関する要件が含まれることがあります。
GDPR
処理が個人の権利および自由に高いリスクをもたらすおそれがある場合、データ保護影響評価（DPIA）が必要です。
DPIAは、大規模な機微データの処理、体系的なモニタリング、その他のハイリスクな処理を伴う活動に特に関係します。
主な相違点： DPDPAの影響評価の要件は重要データ受託者の枠組みと密接に結びついているのに対し、GDPRのDPIAはリスクベースです。
14. データローカライゼーション
いずれの枠組みについても、すべての個人データを国内または域内にとどめることを一律に義務づけるものと説明すべきではありません。
DPDPA
DPDPAは、政府による制限に従うことを条件に越境データ移転を認めています。
特定の種類のデータについては、金融分野の要件など、別途分野別の要件が適用される場合があります。
GDPR
GDPRは、EU域内での一般的なデータローカライゼーションを義務づけていません。
その代わりに、国際移転は第5章の要件を満たす必要があります。
15. 罰則
DPDPA
DPDPAは高額の金銭的制裁を定めており、所定の一定の違反については上限が25億ルピー（250クロール）に達します。
適用される制裁は、違反の性質と状況によって異なります。
GDPR
所定の重大な違反について、GDPRの制裁金は、2,000万ユーロまたは前会計年度の全世界年間売上高の4%のいずれか高い額に達する可能性があります。
重要：DPDPAとGDPRの罰則体系は、通貨を換算するだけで直接比較すべきではありません。法定の枠組み、制裁額の算定方法、執行体制が異なります。
16. 規制当局
インド
Data Protection Board of Indiaは、同法に基づき割り当てられた職務を遂行するため、DPDPAの枠組みのもとで設置されています。
同委員会の法定の役割と、DPDPAおよび規則に基づく実体的な義務の段階的な施行とを区別して理解する必要があります。
EU
GDPRの執行は、EU/EEA各国のデータ保護監督機関が担っており、欧州データ保護会議（EDPB）が調整と一貫性確保の仕組みを提供しています。
DPDPAとGDPR：どちらが厳格か
単純な答えはありません。
GDPRは一般に、次のような領域でより詳細な規定を置いています。
- 適法根拠
- データ主体の権利
- データポータビリティ
- 自動化された意思決定
- 特別な種類のデータ
- 国際移転
- DPIA
- 管理者・処理者のアカウンタビリティ
DPDPAは異なる規制構造をとっており、次の点を特に重視しています。
- 同意
- データ受託者のアカウンタビリティ
- 重要データ受託者
- 子どものデータ
- データプリンシパルの権利
- 法定の正当な利用
- 政府の規制に基づく越境データ移転
したがって、いずれか一方の枠組みを、もう一方に対する万能の「ベースライン」として扱うことは避けるべきです。
1つのプライバシープログラムでDPDPAとGDPRの両方に対応できるか
対応できます。
共通のプライバシー管理フレームワークを土台とし、そのうえにインドとEUそれぞれの法域固有の管理策を追加することができます。
1. データマッピング
次の事項を網羅する一元的なインベントリを維持します。
- 収集する個人データ
- 処理の目的
- データ主体・データプリンシパル
- データ受託者・管理者
- データ処理者
- 提供先
- 保存場所
- 国際移転
- 保存期間
2. 同意管理
次の事項に対応する同意の枠組みを構築します。
- GDPR上の同意
- DPDPA上の同意
- 同意の撤回
- 同意の記録
- プライバシー通知
- プリファレンス管理
3. プライバシー権利の管理
一元的なワークフローで次の事項を管理します。
- GDPRに基づくデータ主体からの請求
- DPDPAに基づくデータプリンシパルからの請求
- 本人確認
- 請求の追跡
- 回答期限
- 証跡と監査証跡
4. ベンダー・処理者の管理
評価の対象：
- データ処理者
- 復処理者
- サービスプロバイダー
- クラウドプロバイダー
- アナリティクスプラットフォーム
- 広告テクノロジー
- 海外ベンダー
5. 侵害対応
次の事項について法域ごとの判断ポイントを備えた、統一的なインシデント対応プロセスを構築します。
- インシデントの分類
- 規制当局への通知
- 本人への通知
- 証拠の保全
- 文書化
- 是正措置
6. 規制モニタリング
プライバシープログラムでは、インドと欧州の双方の要件の変更を継続的にモニタリングする必要があります。
インドの規則は2025年11月に公布され、枠組みが段階的に施行される構造となっているため、DPDPAについてはこの点が特に重要です。
よくあるご質問
DPDPAはGDPRと同じですか？
いいえ。DPDPAは国際的なプライバシー規制でなじみのある概念を取り入れていますが、法的構造、用語、権利の枠組み、同意のモデル、執行の仕組みは独自のものです。
インドで事業を行う企業にとって、DPDPAはGDPRに代わるものですか？
いいえ。インドでの処理活動についてDPDPAを遵守しつつ、GDPRの地理的適用範囲の要件を満たす場合にはGDPRも遵守する必要があります。
DPDPAはインド国外の企業にも適用されますか？
適用される可能性があります。DPDPAには、同法の適用範囲に関する規定に従い、インド国内のデータプリンシパルへの商品やサービスの提供に関連するインド国外での処理に適用されうる規定があります。
DPDPAでは、すべての処理に同意が必要ですか？
いいえ。同意は処理の中心的な根拠ですが、同法はその枠組みのなかで、法定の正当な利用やその他の場合も定めています。
DPDPAには、GDPRのような正当な利益の根拠がありますか？
いいえ。DPDPAには、第6条第1項(f)のような広範な正当な利益の法的根拠はありません。その代わりに、法定の正当な利用を定めています。
DPDPAにはデータポータビリティの権利がありますか？
DPDPAは、GDPR第20条のデータポータビリティに相当する一般的な権利を定めていません。
DPDPAではDPOの選任が必要ですか？
すべての組織に必要なわけではありません。同法のもとでは、重要データ受託者にインド国内でのDPOの選任が義務づけられています。
DPDPAではインド代理人の選任が必要ですか？
GDPR第27条のEU代理人の要件に直接相当する法定の制度はありません。ただし、必要に応じて、インドを拠点とする適切なガバナンスと規制当局との連絡体制を整備する必要があります。
DPDPAにも、GDPRと同じ72時間以内の侵害通知ルールがありますか？
2つの枠組みを同一のものとして説明すべきではありません。GDPR第33条は、対象となる侵害について、よく知られた72時間以内の監督機関への通知義務を定めています。DPDPAの侵害に関する義務は、適用される施行時期や実施要件を含め、同法および規則によって規律されます。
DPDPAは全面的に運用されていますか？
DPDPAの枠組みは、段階的な施行の仕組みを通じて導入が進められています。DPDP Rules, 2025は2025年11月14日に公布されました。枠組み全体が同時に施行されるものと考えるのではなく、各規定に適用される施行日を確認する必要があります。
RegulatoryBridgeによるDPDPA・GDPRコンプライアンス支援
インドとEUのプライバシー要件を別々のプロセスで管理すると、作業の重複、プライバシー通知の不整合、権利対応ワークフローの分断を招くおそれがあります。
RegulatoryBridgeは、複数の法域にまたがる、連携のとれたプライバシーコンプライアンスプログラムの構築を支援します。
当社の支援には、次のものが含まれます。
- DPDPAへの対応準備状況の診断とコンプライアンス診断
- GDPRコンプライアンス診断
- データマッピングとインベントリ
- プライバシー通知のレビュー
- 同意管理
- データプリンシパルおよびデータ主体からの請求対応ワークフロー
- データ処理者・ベンダーの評価
- 越境データ移転の評価
- DPIAおよび影響評価の支援
- 侵害対応計画の策定
- DPOおよびプライバシーガバナンスの支援
- 規制モニタリング
- インドおよびEUでのプライバシー代理人サービスの支援
- 継続的なコンプライアンス管理
DPDPAとGDPRを1つのプログラムでカバーしましょう。
コントロールを一度マッピングすれば、2つの規制に準拠できます。RegulatoryBridgeは、単一のDSARパイプライン、単一のDPO、単一の侵害対応ランブックを提供し、両方のフレームワークをカバーします。