← ALLE WETTEN
De Indiase DPDP Act en cookietoestemming: de wet, de Rules en de termijnen.
India heeft geen specifieke cookieregel, maar de Digital Personal Data Protection Act vereist toestemming, of een van een korte lijst legitieme gebruiksdoelen, om digitale persoonsgegevens te verwerken, en daaronder vallen ook gegevens die via cookies worden verzameld. Toestemming moet volgen op een kennisgeving en met een duidelijke, bevestigende handeling worden gegeven, en de Rules worden in 18 maanden gefaseerd ingevoerd, tot mei 2027.
DPDP Act in één oogopslagToestemming, met uitzonderingen
- Geldt voor
- Verwerking van digitale persoonsgegevens in India, en daarbuiten als die verband houdt met het aanbieden van goederen of diensten aan mensen in India
- Van kracht
- Wet aangenomen in augustus 2023; Rules bekendgemaakt in november 2025 en gefaseerd ingevoerd over 18 maanden, tot mei 2027
- Toezicht
- Data Protection Board of India, met beroep bij het Telecom Disputes Settlement and Appellate Tribunal
- Sancties
- Tot ₹250 crore voor het niet treffen van redelijke beveiligingsmaatregelen, ₹200 crore voor tekortkomingen bij het melden van datalekken of bij gegevens van kinderen, ₹150 crore voor de extra plichten van een Significant Data Fiduciary, en ₹50 crore voor andere overtredingen
WAT DE DPDP ACT VEREIST
Wat de DPDP Act vraagt van een site met cookies.
DE REGELToestemming, of een legitiem gebruikPersoonsgegevens mogen alleen worden verwerkt met toestemming of voor een van de legitieme gebruiksdoelen die de wet opsomt, zoals gegevens die iemand vrijwillig heeft verstrekt voor een bepaald doel. Voor analytische en advertentiecookies betekent dat meestal toestemming.
MET KATLAIn AVG-modus weigert de cookieblokker elke cookie buiten de categorie Functioneel tot de bezoeker een keuze maakt, en verwijdert hij alle cookies die al waren geplaatst voordat hij actief werd. Auto gebruikt de AVG-modus voor Indiase tijdzones.
DE REGELVrije, specifieke en ondubbelzinnige toestemmingToestemming moet vrij, specifiek, geïnformeerd, onvoorwaardelijk en ondubbelzinnig zijn, met een duidelijke, bevestigende handeling worden gegeven, en beperkt blijven tot de gegevens die het doel nodig heeft.
MET KATLAAlles accepteren, Weigeren en Aanpassen staan samen op de eerste laag van de banner, en niets is vooraf aangevinkt.
DE REGELEen kennisgeving bij of vóór het verzoekHet verzoek om toestemming moet vergezeld gaan van, of voorafgegaan worden door, een op zichzelf staande kennisgeving in duidelijke en eenvoudige taal, met een gespecificeerde beschrijving van de persoonsgegevens en de doeleinden, en met uitleg over hoe je toestemming intrekt, je rechten uitoefent en een klacht indient bij de Board.
MET KATLADe laag Aanpassen van de banner beschrijft elke categorie en toont de bijbehorende cookies met hun doel, en het gegenereerde cookiebeleid dekt elke cookie die de scan heeft gevonden. Een DPDP-kennisgeving gaat over alle persoonsgegevens die je verwerkt, niet alleen over cookies, dus die moet uit je eigen privacyverklaring komen.
DE REGELEngels of een taal uit de Achtste BijlageMensen moeten de kennisgeving en het verzoek om toestemming kunnen lezen in het Engels of in een van de talen uit de Achtste Bijlage bij de Indiase grondwet.
MET KATLADe banner van Katla is beschikbaar in het Engels en het Hindi, en de widget kan de browsertaal van de bezoeker volgen. Gegenereerde beleidsteksten zijn beschikbaar in het Engels, maar niet in het Hindi of de andere talen uit de Achtste Bijlage.
DE REGELIntrekken even makkelijk als toestemmenToestemming intrekken moet ongeveer even makkelijk zijn als toestemming geven, en de verwerking moet daarna binnen een redelijke termijn stoppen.
MET KATLAEen zwevend instellingenicoon, of je eigen link “Cookie-instellingen” die katla.open() aanroept, opent de keuze opnieuw op elke pagina.
Vragen over de DPDP Act, beantwoord
Een samenvatting voor site-eigenaren, geen juridisch advies. Gecontroleerd op aan de hand van de bronnen hieronder.
- Vereist de DPDP Act een cookiebanner?
- De wet heeft geen cookieregel. Ze vereist een kennisgeving en toestemming, of een legitiem gebruik, om digitale persoonsgegevens te verwerken, en cookies die persoonsgegevens verzamelen vallen daaronder. De meeste sites vragen die toestemming met een banner.
- Wanneer gelden de DPDP Rules?
- De Rules werden in november 2025 bekendgemaakt. De bepalingen over de Data Protection Board golden direct, de registratie van consent managers geldt vanaf november 2026, en de rest, waaronder de regels voor de kennisgeving, vanaf mei 2027, 18 maanden na de bekendmaking.
- Wat is een consent manager, en is Katla er een?
- Een consent manager is een in India opgericht bedrijf, geregistreerd bij de Data Protection Board, dat één interoperabel platform biedt waarmee iemand toestemming kan geven, beheren, bekijken en intrekken. Katla is dat niet: het vraagt en registreert toestemming op je eigen site.
- Wie moet aantonen dat er toestemming is gegeven?
- Het bedrijf. Wordt de toestemming betwist, dan moet het aantonen dat het een kennisgeving heeft gegeven en dat de toestemming volgens de wet is gegeven. Elke beslissing wordt opgeslagen met de categorieën, het tijdstip en een ingekort IP-adres, en is op te vragen en te exporteren via de API, de CLI of de MCP-server. Katla bewaart per bezoeker de laatste beslissing. De tekst van de kennisgeving die de bezoeker zag, slaat Katla niet op.
- Wat zijn de sancties?
- Tot ₹250 crore voor het niet treffen van redelijke beveiligingsmaatregelen, tot ₹200 crore voor het niet melden van een datalek of het schenden van de plichten rond gegevens van kinderen, tot ₹150 crore voor een Significant Data Fiduciary die zijn extra plichten schendt, en tot ₹50 crore voor andere overtredingen van de wet of de Rules.
Zie wat je site plaatst voordat er iets gevraagd wordt.
Het gratis abonnement scant je site, classificeert elke cookie en genereert het beleid, zonder creditcard. De cookiechecker heeft zelfs helemaal geen account nodig.