印度 DPDP 法案：印度場所的顧客 WiFi 合規指南

印度 DPDP 法案：印度場域的顧客 WiFi 合規指南 Purple 技術簡報 — 大約 10 分鐘 [引言與背景 — 1 分鐘] 歡迎收看 Purple 技術簡報。我是您的主持人，今天我們將深入探討每位 IT 總監與合規負責人目前都必須密切關注的主題：印度的《數位個人資料保護法》（Digital Personal Data Protection Act，簡稱 DPDP 法案）— 以及這項法案對於在印度境內場域部署顧客 WiFi 的具體影響。 無論您是在孟買經營連鎖飯店、在班加羅爾管理零售物業、在海得拉巴營運體育場，還是跨國公司的印度分部 — 只要您提供顧客 WiFi 並透過 Captive Portal 收集註冊資料，這項立法就與您直接相關。這些規則已經生效，執法力道正在加強，且罰金非常高昂。光是安全漏洞的罰鍰，最高就可達 25 億盧比。 所以，讓我們開始吧。在接下來的十分鐘內，我將帶您了解核心義務、為您說明這在實務上與 GDPR 有何不同、提供實用的資料保留架構，並指出目前各場域最常犯的三個錯誤。 [技術深潛 — 5 分鐘] 我們從基本原則開始。《數位個人資料保護法》於 2023 年 8 月頒布，其實施細則於 2025 年底定案。合規時程是自法規生效之日起，採 12 到 18 個月的階段性進行 - 因此，如果您還沒開始您的合規計畫，您就已經落後了。 首先需要了解的是術語。在 DPDP 法案下，您的場域是「資料受託人」（Data Fiduciary）- 您決定處理個人資料的原因與方式。而您的 WiFi 平台提供商 - 無論是 Purple 還是其他任何供應商 - 都是「資料處理者」（Data Processor）。您的顧客則是「資料主體」（Data Principal）。這個區別極為重要，因為在 DPDP 法案下（與 GDPR 不同），所有合規責任均由資料受託人承擔。您的平台提供商的 DPA 並不會轉移您的風險。您必須自行承擔。 接下來是同意。這是大多數場域最容易出錯的地方。該法案第 6 條要求同意必須是自由、特定、知情、無條件且明確的，並伴隨清晰的肯定行動。「無條件」這個詞是 DPDP 法案所特有的 - 它是 GDPR 中所沒有的 - 且具有實質的法律效力。這意味著您絕不能將「同意行銷資訊」作為獲得 WiFi 連線的條件。絕無例外。 這在 Captive Portal 上的實際呈現方式為何？您需要準備三樣東西。首先，在收集任何資料之前，必須顯示符合 DPDP 規範的聲明，其中必須說明您正在收集哪些資料、原因、保留期限、訪客如何撤回同意，以及他們如何聯絡您的資料保護官或指定負責人。第二，細緻的同意核取方塊：一個用於網路存取（這是必要的處理），另有獨立、選填的核取方塊用於行銷傳播以及分析或分析畫像。這些方塊在預設情況下必須保持未勾選狀態。第三，您必須記錄該同意（時間戳記、IP 位址、同意版本以及具體同意的內容），並且必須能夠在要求時提供該記錄。 關於 Captive Portal 機制的一個實務注意事項：如果您部署在 Apple iOS 裝置、Android 或 Windows 電腦上，Captive Network Assistant（簡稱 CNA）在每個平台上的行為會有所不同。Apple 的 CNA 會開啟一個迷你瀏覽器，該瀏覽器在 Cookie 和重新導向方面存有限制。您需要確保您的同意機制在這些限制下仍能正常運作。Purple 關於 Captive Portal 偵測的指南詳細介紹了技術實作，非常值得與此合規簡報一同閱讀。 現在我們來談談資料保留，因為這是我看到最容易產生混淆的地方。DPDP 法案的方法是以目的為導向。根據第 8(7) 條，當資料當事人撤回同意，或者指定的目的不再適用時（以先到者為準），您必須刪除個人資料。規則 8 隨後增加了兩個重要疊加層。 第一，對於某些高流量平台（例如使用者超過兩千萬的電子商務、社群媒體、線上遊戲），第三附表設定了三年的視同終止期。如果三年內沒有任何互動，則視為目的不再適用。對於大多數場域營運商（飯店、零售、體育場館）而言，您不會歸入這些特定的第三附表類別，因此您適用第 8(8) 條的一般原則：如果訪客在合理期限內未與您互動或行使其權利，您應該刪除其資料。 第二，規則 8(3) 建立了一個底線：不論目的是否終止，您必須自處理之日起將處理記錄及相關資料保留至少一年。這是為了審計和監管目的。 因此，對於實用的場域保留政策，以下是我建議的架構：在合作關係存續期間外加一年內保留活躍的訪客 WiFi 設定檔。如果訪客在 24 個月內未曾連線或互動，請觸發重新同意或刪除工作流程。保留處理記錄至少一年。對於飯店住客，住宿創造了合法的處理關係 - 但住宿後的行銷需要單獨的同意，且該同意有其自身的保留計時。 現在我們來談談跨境數據傳輸。在 DPDP 之下，這其實比在 GDPR 之下更為簡單。該法案採用黑名單方式 - 除非中央政府透過通知特別限制某個特定國家或地區，否則允許向所有國家進行傳輸。這與 GDPR 的白名單方式形成鮮明對比，在 GDPR 下，每次向非合規國家傳輸數據時，您都需要合規性決定、標準契約條款或約束性企業規則。對於使用在印度境外設有數據中心的雲端 WiFi 平台的跨國場域，您目前在 DPDP 下擁有更大的彈性 - 但請密切注意這個領域，因為政府的通知權力意味著情勢可能會發生變化。 讓我再介紹一下您的顧客在 DPDP 下享有的權利，因為您的 IT 和營運團隊需要能夠對其做出回應。數據主體有權存取有關其處理的資訊、更正和刪除權，以及申訴救濟權 - 且設有強制的九十天回應窗口。與 GDPR 不同的是，他們沒有數據可攜權、反對自動化決策的權利，或限制處理的權利。這是一個較窄的權利框架，在一定程度上簡化了您的回應義務。 兒童數據是一個獨立且風險較高的類別。在 DPDP 下，處理任何未滿十八歲人士的數據都需要獲得可驗證的家長同意。如果您的場域 WiFi 處於家庭環境中 - 像是購物中心、主題公園、家庭式飯店 - 您需要一個機制來識別和處理未成年使用者。這是一個許多場域尚未解決的、不容忽視的技術與營運挑戰。 [實施建議與陷阱 - 2 分鐘] 讓我為您說明我最常看到的的三個常見陷阱，以及如何避免它們。 陷阱一：捆綁同意。這是最常見的違規行為。場域提供單一的「我同意服務條款」核取方塊，同時涵蓋了網路存取和行銷。在 DPDP 第 6 條下，這是不合規的。解決方法很簡單 - 將您的同意書拆分為獨立的、針對特定目的之核取方塊，並確保行銷核取方塊是選填的，且預設為未勾選狀態。 陷阱二：無同意稽核軌跡。如果數據保護局要求您證明特定顧客在特定日期出於特定目的給予了同意，您能提供該記錄嗎？大多數場域都做不到。您的 WiFi 平台必須以足夠的粒度儲存同意記錄 - 時間戳記、工作階段 ID、IP 地址、同意版本以及同意的具體目的。Purple 的平台原生即可擷取這些內容，但如果您使用的是舊版系統，這就是您需要迫切彌補的差距。陷阱三：未簽署資料處理協定。根據第 8(2) 條，您必須與所雇用的任何資料處理者（Data Processor）簽訂有效合約。如果您的 WiFi 平台供應商沒有提供提及 DPDP 義務的最新資料處理協定，您將面臨風險。這不僅僅是法律上的形式程序 - 它是資料控制者（Data Fiduciary）合規抗辯的先決條件。 在執行層面上，關鍵的架構決策是同意書資料的儲存位置，以及它如何與您的 CRM 或行銷自動化平台整合。您需要一個行銷團隊無法覆寫的同意狀態單一真實來源。撤回同意的決定必須在合理的時間內傳播到所有下游系統 - 我建議將最多七十二小時作為您的維運服務標準（SLA）。 對於擁有多個據點的場所（例如連鎖飯店、零售物業），您需要決定在一個據點給予的同意是否延伸到其他據點。在 DPDP 的具體性要求下，最安全的做法是採取據點層級的同意，除非您的聲明中已明確涵蓋整個集團，且顧客也已同意集團範圍內的處理。 [快速問答 - 1 分鐘] 讓我來解答幾個我常被問到的問題。 「我可以在未經同意的情況下使用 WiFi 分析（例如人流量計算、停留時間）嗎？」如果資料是真正去識別化的，且無法連結回個人，則不屬於 DPDP 法案的管轄範圍。但 MAC 位址隨機化意味著裝置層級的追蹤不準確度已日益提高。對於可識別身分的分析，您必須取得同意。 「我需要資料保護官（DPO）嗎？」只有重要資料控制者（Significant Data Fiduciaries - 政府將會公告此分類）才強制需要配備全職 DPO。對於大多數場所營運商而言，您需要一位聯絡資訊已公開的指定負責人。這門檻較低，但仍需要是由真正能解答資料保護問題的人員擔任。 「中型連鎖飯店面臨的罰鍰風險為何？」導致外洩的安全防護疏失最高可處二十五億盧比的罰鍰。未向委員會通報外洩事件則會再處最高二十億盧比。這些是固定上限，而非營業額的百分比 - 這意味著相較於 GDPR 根據營業額計算的罰鍰對大型跨國企業的影響，這對中小型組織所造成的比例衝擊更為嚴重。 [總結與後續步驟 - 1 分鐘] 總結來說，以下是您需要立即採取的五個行動。 第一：立即稽核您的 Captive Portal 同意流程。如果它只有單一勾選方塊，或者將行銷與網路存取綁定在一起，就必須重新設計。 第二：建立同意稽核軌跡。每次的同意事件都必須記錄時間戳記、IP、目的和版本。 第三：制定資料保留政策。對於大多數場所而言，以二十四個月無活動作為重新取得同意或刪除資料的觸發點是一個合理的起步點，而處理日誌則至少要保留一年。 第四：審查您與 WiFi 平台供應商以及任何下游行銷或分析廠商之間的資料處理協定。 第五：指定一名負責處理數據保護諮詢的負責人，並在其 Captive Portal 和網站上公佈其聯絡方式。 在義務的廣度方面，DPDP 法案並不像 GDPR 那麼複雜，但在執法意圖上同樣嚴肅。數據保護委員會具有實質的約束力，而且懲罰機制的設計旨在對大型組織也能產生重大影響。 如需深入了解 Captive Portal 架構，Purple 的技術指南詳細介紹了具體的實施細節。如果您正在研究訪客 WiFi 分析如何與更廣泛的場地智慧技術堆疊相整合，Purple WiFi Analytics 平台在構建時便將「同意優先」的數據擷取視為其核心。 感謝您的收聽。我們下次見。