グローバル・プラクティス Global Practice

1．はじめに

インドでは、2023年デジタル個人データ保護法（Digital Personal Data Protection Act, 2023。以下「2023年法」という。）の施行規則である2025年デジタル個人データ保護規則（Digital Personal Data Protection Rules, 2025（G.S.R. 846(E)）。その後の訂正を含め、以下「本規則」という。）が2025年11月13日に公布され、2023年法及び本規則は3段階に分けて施行されることとなった。

このうち、2026年11月13日から、同意管理事業者（Consent Manager）の登録制度に関する規定が施行される。さらに、その約半年後の2027年5月13日には、通知、同意、安全管理措置、漏えい報告、越境移転、制裁金等の実質的な義務が一斉に適用されることとなる。

本号では、第2段階で施行される同意管理事業者制度の内容を解説するとともに、本格施行までの残り約半年で日系企業が準備すべき事項を概説する。
本規則の全文は、インド電子情報技術省のウェブサイト（https://www.meity.gov.in/static/uploads/2025/11/53450e6e5dc0bfa85ebd78686cadad39.pdf）から確認することができる。

なお、本規則については、以下のインド最新法令情報も参照されたい。
■インド最新法令情報（2025年1月号）2025年デジタル個人データ保護規則案の公表
＜https://www.tmi.gr.jp/service/global/asia-pacific/2025/16648.html＞
■インド最新法令情報（2025年11月号）2025年デジタル個人データ保護規則の成立
＜https://www.tmi.gr.jp/service/global/asia-pacific/2025/17747.html＞

2．施行スケジュールの全体像

2023年法の施行通知（G.S.R. 843(E)）及び本規則1条により、施行日は以下のとおり定められている。

3．同意管理事業者制度の概要

(1) 定義と役割

2023年法2条(g)は、同意管理事業者を「データ保護委員会（以下「委員会」という。）に登録された者であって、アクセス可能で透明かつ相互運用可能なプラットフォームを通じて、データ主体（Data Principal）が同意を付与し、管理し、見直し、及び撤回することを可能にする単一の窓口として行動する者」と定義している。
要するに、同意管理事業者は、個人が複数の事業者に対して与えた同意を一元的に管理するための、委員会に登録された仲介者であり、個人データの処理の目的及び手段を決定するデータ受託者（Data Fiduciary。日本法にいう個人情報取扱事業者に概ね相当する。）とは区別される。

同意管理事業者制度の目的は、主に以下の点にあると解される。

① 個人データの処理の根拠を主として本人の同意に置く2023年法の下で、多数の事業者に対して与えた同意を本人が一か所で把握し、容易に撤回できるようにすること。

② 事業者間のデータ共有を本人の指示に基づき安全に行うこと。
（本規則は、本人が同意管理事業者のプラットフォームを通じて、口座を保有する銀行に対し他の銀行へ口座明細を送付するよう指示する例を示している。）

③ このような仲介を担う者の中立性・信頼性を確保すること。
⇒同意管理事業者には、個人データの内容を読み取れない方法での取扱い、本人に対する受託者的立場での行動、データ受託者との利益相反の回避が求められる。

(2) 2023年法6条の関連規定

• 6条7項：データ主体は、同意管理事業者を通じて、データ受託者に対する同意を付与し、管理し、見直し、又は撤回することができる。
• 6条8項：同意管理事業者は、データ主体に対して責任を負い、規則で定める方法及び義務に従ってデータ主体のために行動する。
• 6条9項：全ての同意管理事業者は、規則で定める技術的、運営的、財務的その他の条件に従い、委員会に登録しなければならない。

なお、2026年11月13日に施行されるのは6条9項（登録）であり、データ主体が同意管理事業者を通じて同意を管理する仕組み（6条7項・8項）が法的に機能し始めるのは2027年5月13日である。

(3) 同意管理事業者の継続的義務（本規則4条及び第1附則Part B）

登録を受けた同意管理事業者は、第1附則Part Bに基づき、主に以下の義務を負う（本規則4条3項）。

• 個人データを提供・共有する方法について、その内容を同意管理事業者自身が読み取ることができないようにすること（2項）
• 付与・拒否・撤回された同意、同意要求に先立ち又はこれと共に提供された通知、及び移転先データ受託者との個人データの共有について記録を保持し、データ主体にアクセス及び機械可読形式での提供を認めるとともに、当該記録を少なくとも7年間（又はデータ主体との合意若しくは法令により定めるより長い期間）保存すること（3項・4項）
• ウェブサイト又はアプリを主たる提供手段として開発・維持すること、義務の履行を再委託・委任しないこと、及び合理的な安全管理措置を講じること（5項～7項）
• データ主体との関係で受託者的立場（fiduciary capacity）で行動し、データ受託者との利益相反を回避すること（8項～10項）
• 発起人、取締役、主要経営者、上級管理職、2%超の株式保有者、及びこれらの者が2%超の株式を保有する法人等の情報をウェブサイト又はアプリで開示すること（11項）
• 技術的・組織的管理措置、登録要件の継続的充足、法令遵守について実効的な監査体制を整備し、その結果を委員会に定期的に報告すること（12項）
• 売却、合併その他の方法による会社の支配権の移転について、委員会の事前承認を得ること（13項）

4．日系企業への影響

(1) 同意管理事業者への対応

同意管理事業者の登録はインドで設立された会社に限られ、純資産要件や利益相反回避義務も課されるため（本規則4条及び第1附則Part A）、一般の日系企業（在インド子会社を含む）が自ら同意管理事業者となる場面は限られると思われる。むしろ、多くの日系企業は、データ受託者として、データ主体が同意管理事業者を通じて行う同意の付与・撤回に対応する立場となる。

(2) 本規則の本格施行まで残り約半年での準備事項

2027年5月13日の第3段階に向け、在インド子会社においては、少なくとも以下の点の点検が推奨される。

① 通知（本規則3条）：他の情報と区別された、平易な言語での独立した通知。個人データの項目、目的、同意撤回・権利行使・委員会への苦情申立ての方法を明示。
⇒同意取得用通知の作成、英語又はインド憲法上認められた言語での提供体制

② 同意管理事業者との連携（2023年法6条）：データ主体は同意管理事業者を通じて同意を管理・撤回できる
⇒同意記録・撤回を受け付けるシステムの相互運用性の確認

③ 安全管理措置（本規則6条）：暗号化等、アクセス制御、ログ監視、バックアップ、委託先契約での安全管理条項等の確保、ログの1年間保存
⇒安全管理措置に関する再点検、必要に応じた見直し

④ 漏えい報告（本規則7条）：本人への遅滞なき通知、委員会への遅滞なき報告及び72時間以内の詳細報告
⇒インシデント対応手順の整備（日本本社への報告ラインを含む）

⑤ 越境移転（本規則15条）：原則として移転可能。ただし政府が定める要件に服する 。
⇒日本本社やクラウド事業者へのデータ移転の可否の確認。

⑥ 重要データ受託者（本規則13条）：年1回のDPIA及び監査、アルゴリズムのデュー・デリジェンス、特定のデータの国外移転制限（データ・ローカライゼーション）
⇒2023年法10条に基づき、インド政府が重要データ受託者（Significant Data Fiduciary）を指定することとなっている。今後の指定の状況を確認し、指定の可能性がある場合は早期に体制整備

5．日本の個人情報保護法との比較と今後の対応

日本の個人情報保護法には、本人の同意の付与・撤回を一元的に仲介する登録制の事業者という制度は設けられておらず、インドの同意管理事業者制度は、本人の同意を中心に据えた2023年法の構造に基づく特徴的な仕組みである。
日本とインドの双方で個人データを取り扱う日系企業にとっては、両国の同意取得の実務を共通化できる範囲と、インド特有の対応が必要な範囲を切り分けておくことが有益である。

また、2026年11月13日の同意管理事業者登録制度の開始は、2023年法の本格施行に向けた最初の節目であり、2027年5月13日には実質的な義務と制裁金の規定が適用される。日系企業においては、在インド子会社の個人情報の取扱いの再点検と同意取得の仕組みの見直しを早期に進めることが望ましい。

以上

TMI総合法律事務所　インド・プラクティスグループ
茂木信太郎／奥村文彦／山田怜央
info.indiapractice@tmi.gr.jp

インドにおける現行規制下では、外国法律事務所によるインド市場への参入やインド法に関する助言は規制されております。本記事は、一般的なマーケット情報を日本および非インド顧客向けに提供するものであり、インド法に関する助言を行うものではありません。